Journalnummer: 2021-31-5307

Resume

I juli og august 2021 klagede klager over, at Københavns Kommune og Bech-Bruun Advokatpartnerselskab behandlede oplysninger om ham i en advokatundersøgelse.

Undersøgelsen blev gennemført af Bech-Bruun på vegne af Københavns Kommune med det formål at afdække, om der havde været udvist krænkende adfærd på uddannelsesinstitutionen Sankt Annæ Gymnasium, samt hvordan en sådan adfærd var blevet håndteret.

Københavns Kommunes behandling af oplysninger om klager

Datatilsynet har i den ene sag, som vedrørte Københavns Kommunes behandling af oplysninger om klager i forbindelse med advokatundersøgelsens iværksættelse, fundet, at Københavns Kommunes behandling af oplysninger om klager skete inden for rammerne af databeskyttelsesforordningen.

Datatilsynet har imidlertid fundet grundlag for at kritisere, at Københavns Kommune ikke i tilstrækkelig grad opfyldte den databeskyttelsesretlige oplysningspligt.

Bech-Bruuns behandling af oplysninger om klager

Datatilsynet har i den anden sag, som vedrørte Bech-Bruuns behandling af oplysninger om klager i forbindelse med advokatundersøgelsens gennemførelse, fundet, at Bech-Bruuns behandling af oplysninger om klager, herunder oplysninger om seksuelle forhold, skete inden for rammerne af databeskyttelsesforordningen og databeskyttelsesloven.

Datatilsynet har imidlertid fundet grundlag for at kritisere, at Bech-Bruun undlod at opfylde den databeskyttelsesretlige oplysningspligt.

Datatilsynet har endvidere fundet grundlag for at udtale alvorlig kritik af Bech-Bruuns håndtering af en indsigtsanmodning fra klager. I den forbindelse har Datatilsynet meddelt Bech-Bruun påbud om på ny at tage stilling til klagers indsigtsanmodning.

Det har Datatilsynet ikke forholdt sig til

Sagerne indgår – ligesom to af tilsynets tidligere afgørelser – i en debat, der rækker langt ud over det databeskyttelsesretlige. I vurderingen af sagerne har Datatilsynet udelukkende forholdt sig til det juridiske i forhold til indsamlingen og den videre behandling af oplysninger om klager.

Afgørelse

Datatilsynet vender hermed tilbage til sagen, hvor [X] (herefter klager) den 9. juli 2021 har klaget til tilsynet over, at Bech-Bruun Advokatpartnerselskab (herefter Bech-Bruun) – på vegne af Københavns Kommune – har behandlet oplysninger om ham i forbindelse med iværksættelse og gennemførelse af en advokatundersøgelse.

Datatilsynet bemærker, at nærværende afgørelse alene forholder sig til Bech-Bruuns behandling af oplysninger om klager. Datatilsynet har således ikke taget stilling til den nærmere tilrettelæggelse eller gennemførelse af advokatundersøgelsen i øvrigt.

Datatilsynet bemærker endvidere, at tilsynet med nærværende afgørelse ikke forholder sig til Københavns Kommunes behandling af oplysninger klager i forbindelse med iværksættelse af den pågældende advokatundersøgelse. Københavns Kommunes behandling af oplysninger om klager er særskilt behandlet under sagen med j. nr. 2021-32-2463.

1. Afgørelse

Efter en gennemgang af sagen finder Datatilsynet, at Advokatfirmaet Bech-Bruuns behandling af oplysninger om klager er sket inden for rammerne af databeskyttelsesforordningens[1] artikel 6, stk. 1, litra e, artikel 9, stk. 2, litra f, og databeskyttelseslovens[2] § 8, stk. 3 og 4.

Det er derimod Datatilsynets vurdering, at behandling af oplysninger om klager, herunder oplysninger om klagers seksuelle forhold, ikke kunne foretages inden for rammerne af databeskyttelsesforordningens artikel 6, stk. 1, litra c og d, eller databeskyttelsesforordningens artikel 9, stk. 2, litra b.

Datatilsynet finder endvidere grundlag for at udtale kritik af, at Bech-Bruun har undladt at opfylde oplysningspligten i databeskyttelsesforordningens artikel 14.

Endelig finder Datatilsynet, at der er grundlag for at udtale alvorlig kritik af, at Bech-Bruuns håndtering af klagers anmodning om indsigt ikke er sket i overensstemmelse med databeskyttelsesforordningens artikel 15, stk. 3.

Datatilsynet meddeler i den forbindelse Bech-Bruun påbud om:

• at tage stilling til, om betingelserne for at udlevere en kopi af oplysninger om klager efter databeskyttelsesforordningens artikel 15, stk. 3 er opfyldt, og
• at meddele klager, om udlevering af en kopi af oplysninger om klager imødekommes eller afslås.

Hvis Bech-Bruun vurderer, at udlevering af en kopi af oplysninger om klager (helt eller delvist) skal afvises, skal Bech-Bruun som en del af påbuddet give klager oplysninger om årsagen hertil.

Afgørelsen skal meddeles snarest muligt og senest 4 uger fra dags dato.

Påbuddet meddeles i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra c.

Ifølge databeskyttelseslovens § 41, stk. 2, nr. 5, straffes med bøde eller fængsel i op til 6 måneder den, der undlader at efterkomme et påbud meddelt af Datatilsynet i medfør af databeskyttelsesforordningens artikel 58, stk. 2.

Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.

2. Sagsfremstilling

Det fremgår af sagen, at en række medier, herunder bl.a. Dagbladet Politiken, bragte artikler, som berettede om et ”grænseoverskridende og seksualiseret miljø” i Danmarks Radios pigekor.

Sankt Annæ Gymnasium modtog efterfølgende henvendelser fra tidligere elever, som berettede om en tilsvarende kultur i deres tid på Sankt Annæ Gymnasium tilbage i 1980’erne og 1990’erne, som især angik oplevelser i gymnasiets kor. Af e-mails mellem Københavns Kommune, Sankt Annæ Gymnasium og Bech-Bruun fremgår, at de modtagne henvendelser vedrører bl.a. klager.

Som en følge heraf besluttede Sankt Annæ Gymnasium – i samarbejde med Børne- og Ungdomsforvaltningen i Københavns Kommune – at igangsætte en ekstern advokatundersøgelse. Bech-Bruun blev valgt til at forestå undersøgelsen.

Den 30. juni 2021 udsendte Sankt Annæ Gymnasium et brev, hvoraf følgende bl.a. fremgik:

”Advokatundersøgelse af krænkelser på SAG

Til elever, forældre og ansatte

[…]

Derfor sætter vi sammen med Børne- og Ungdomsforvaltningen en ekstern advokatundersøgelse i gang. Den skal afdække, om der har været udvist krænkende adfærd i relation til korene på Sankt Annæ Gymnasium, samt hvordan dette er blevet håndteret.

Jeg vil gerne opfordre alle med viden om svigt eller krænkelser i relation til Sankt Annæ Gymnasium til at kontakte advokatfirmaet.

[…]”

Kommissoriet for advokatundersøgelsen samt en vejledning til anmeldelse og vidner blev endvidere tilgængeliggjort på Sankt Annæ Gymnasiums og Bech-Bruuns hjemmesider. Af kommissoriet, som dannede grundlag for Bech-Bruuns opdrag, fremgik bl.a. følgende:

”Advokatundersøgelse – SAG

Københavns Kommune har anmodet os om at gennemføre en advokatundersøgelse af mulige tilfælde af seksuel chikane overfor elever på Skt. Annæ Gymnasium (SAG), herunder overfor medlemmerne af koret på Skt. Annæ Gymnasium.

Undersøgelsens formål

Undersøgelsen skal afdække og redegøre for omfanget og karakteren af mulig krænkende adfærd eller uønsket seksuel opmærksomhed overfor elever på SAG, herunder overfor medlemmerne af koret og andre med forbindelse til koret. Hvis det vurderes, at der har været udvist krænkende adfærd eller uønsket seksuel adfærd, skal Bech-Bruun komme med anbefalinger til SAG’s bestyrelse og Københavns Kommune om handlinger, som resultaterne af undersøgelsen kan give anledning til.

Bech-Bruun skal desuden undersøge, om SAG, ledere/lærere på skolen eller andre relevante personer med tilknytning til SAG og/eller koret har modtaget klager fra elever eller andre, der har været tilknyttet SAG, om seksuel chikane eller anden krænkende adfærd. Hvis det er tilfældet, skal Bech-Bruun undersøge, hvordan henvendelser er blevet behandlet, og evt. fremkomme med forslag til en forbedret procedure for behandling af anmeldelser af seksuel chikane og anden krænkende adfærd i fremtiden.

Baggrunden for undersøgelsen

SAG har modtaget flere henvendelser fra bl.a. tidligere medlemmer af et af SAGs kor, der har berettet om, at de har været udsat for krænkende handlinger i deres tid i SAG. Henvendelserne har haft et sådant indhold, at SAG i samråd med Københavns Kommune har fundet det nødvendigt at få afdækket omfanget og karakteren af mulig seksuel chikane.

SAG og Københavns kommune tager afstand fra enhver form for krænkende handlinger. Lærere, dirigenter og andre ansatte på skolen skal ikke have relationer af privat seksuel karakter til elever og skal ikke udsætte elever for krænkelser/uønsket seksuel opmærksomhed. Det er afgørende vigtigt, at SAG er en tryg ramme for eleverne og forældrene, og at både elever og forældre har tillid til, at anmeldelser eller klager over seksuel chikane bliver taget alvorligt – og at der bliver handlet på alle anmeldelser. Derfor har SAG og Københavns Kommune fundet det nødvendigt at gennemføre en undersøgelse, der kan omfatte forhold, der går langt tilbage i tiden.

Vejledning til anmeldere og vidner

Du kan henvende dig til Bech-Bruun, hvis du som elev har været udsat for seksuel krænkende adfærd eller uønsket seksuel opmærksomhed. Det gælder for nuværende elever, og det gælder også for tidligere elever. Vi har om ikke sat en tidsmæssig grænse for muligheden for indberetning.

[…]”

Den 5. juli 2021 kontaktede klager Bech-Bruun og gjorde indsigelse mod enhver inddragelse af oplysninger om ham i den påtænkte advokatundersøgelse.

Bech-Bruun besvarede den 7. juli 2021 klagers indsigelse. Af svaret fremgik:

”Vi har modtaget din mail af 5. juli 2021, hvor du gør indsigelse mod, at Bech-Bruun behandler personoplysninger om dig i forbindelse med gennemførelsen af en advokatundersøgelse af mulig krænkende adfærd eller uønsket seksuel opmærksomhed overfor elever på Sankt Annæ Gymnasium (herefter ”SAG”). Jeg er ansvarlig partner for advokatundersøgelsen.

Det fremgår af din henvendelse, at du mener at have grund til at formode, at den advokatundersøgelse, som SAG har iværksat vedr. mulige krænkelser på SAG, vil indebære behandling af personoplysninger om dig. Hvis din formodning er korrekt, forstår vi naturligvis, at det er en ubehagelig situation for dig. Vi har endnu ikke gennemgået de indberetninger, der indtil videre er modtaget. Vi kan samtidig forsikre om, at alle oplysninger behandles fortroligt, og at alle vil få en fair og ordentlig behandling i forbindelse med gennemførelsen af advokatundersøgelsen.

Nedenfor gennemgår vi vores bemærkninger til din indsigelse.

Du har gjort gældende, at du ikke samtykker til behandling af dine personoplysninger, og at der efter din opfattelse heller ikke foreligger andre bestemmelser i databeskyttelseslovens artikel 6, stk. 1, som kan udgøre hjemmel til behandling af oplysninger om dig.

Hvis advokatundersøgelsen indebærer behandling af personoplysninger om dig, vil du blive ”registreret” i databeskyttelsesretlig forstand og dermed få de lovbestemte rettigheder, som tilkommer registrerede i den forbindelse (de findes særligt i databeskyttelsesforordningens kapitel III).

Bech-Bruun agerer databeskyttelsesretligt som selvstændig dataansvarlig i forbindelse med gennemførelse af undersøgelsen (inkl. indsamling og behandling af personoplysninger), men er bundet af de rammer for behandling af personoplysninger, som SAG er underlagt.

Reglerne om registreredes mulighed for at gøre indsigelse mod en dataansvarligs behandling af deres personoplysninger findes i databeskyttelsesforordningens artikel 21, stk. 1, hvoraf det følger, at du som registreret til enhver tid har ret til – af grunde der vedrører din særlige situation – at gøre indsigelse mod behandling af dine personoplysninger, hvis behandlingen er baseret på databeskyttelsesforordningens artikel 6, stk. 1, litra e eller f. De omtalte bestemmelser vedrører alene behandling af almindelige personoplysninger, som skal adskilles fra andre typer af oplysninger, fx om strafbare forhold, jf. yderligere nedenfor.

Din mulighed for at gøre indsigelse er derfor kun er relevant i forhold til behandling af personoplysninger om dig, som er baseret på de to nævnte bestemmelser, og du kan dermed ikke gøre indsigelse mod behandling af dine personoplysninger baseret på andre relevante bestemmelser i databeskyttelsesforordningen eller databeskyttelsesloven. Selv i den situation hvor en behandling af personoplysninger sker på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra e eller f, kan både SAG og Bech-Bruun som dataansvarlige fortsat behandle dine personoplysninger på trods af din indsigelse, hvis vi påviser vægtige legitime grunde til behandlingen, der går forud for dine interesser, rettigheder og frihedsrettigheder, eller behandlingen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares. Dette er tilfældet i forhold til undersøgelsen af mulig krænkende adfærd eller uønsket seksuel opmærksomhed overfor elever på SAG. Der er derfor både vægtige legitime grunde til behandlingen, som går forud for dine interesser samtidig med, at retskrav skal fastlægges, jf. yderligere nedenfor.

Vi kan yderligere oplyse, at advokatundersøgelsen efter vores vurdering er nødvendig for at overholde en retlig forpligtelse, der påhviler den dataansvarlige (SAG og Københavns Kommune), jf. databeskyttelsesforordningens artikel 6, stk. 1, litra c. Undersøgelsen gennemføres for at belyse, om der er eller har været et chikanøst miljø på gymnasiet (og dermed ikke et chikanefrit miljø). Den er ikke specifikt rettet mod dig, mod andre lærere eller ansatte eller mod koret. Undersøgelsen vedrører eleverne på gymnasiet i almindelighed.

Pligten til at sikre et chikanefrit miljø følger af ligebehandlingsloven § 4. ”Lige arbejdsvilkår” omfatter også forbud mod sexchikane, jf. § 4, stk. 2. Det fremgår af forarbejderne til § 4, at ”bestemmelsen også̊ indebærer en pligt for arbejdsgiveren til at stille et chikanefrit miljø til rådighed, og arbejdsgiveren er forpligtet til i rimeligt omfang at sikre sine ansatte mod chikane”. I denne relation gælder loven også for offentlige myndigheder. Offentlige myndigheder skal således inden for deres område arbejde for ligestilling og indarbejde ligestilling i al planlægning og forvaltning på de områder, ligebehandlingsloven omhandler, jf. lovens § 1a.

Desuden er undersøgelsen nødvendig for at beskytte vitale interesser hos nuværende og tidligere elever, der har været eller mener sig udsat for krænkelser, jf. databeskyttelsesforordningen artikel 6, stk. 1, litra d og nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares, jf. databeskyttelsesforordningen artikel 9, stk. 2, litra f. Seksuel chikane kan berettige til en godtgørelse, og et seksuelt forhold mellem en lærer og en elev kan være en strafbar handling, jf. straffelovens § 222 (seksuelt forhold til et barn under 15 år) og § 223 (seksuelt forhold til en elev under 18 år), evt. § 232 (blufærdighedskrænkelse). I den forbindelse kan der være opstået et erstatningskrav for de elever, som har været udsat for krænkelser.

SAG og Københavns Kommune har en forpligtelse til at beskytte elever mod overgreb, og dette gælder også for overgreb, der ligger langt tilbage i tiden. Det følger af straffelovens § 93b, at overtrædelser af bl.a. §§ 222 og 223 ikke forældes, ligesom der gælder særlige forældelsesregler for overtrædelser af § 232 i relation til børn.

[…]

For en ordens skyld kan vi oplyse, at det på nuværende tidspunkt ikke kan udelukkes, at en del af de almindelige personoplysninger, som indsamles og behandles i forbindelse med advokatundersøgelsen kommer til at ske på baggrund af databeskyttelsesforordningen artikel 6, stk. 1, litra e (SAG) og litra f (Bech-Bruun), men a, sagens karakter og hensynet til de berørte personer ikke medfører, at en indsigelse vedr. behandling af dine personoplysninger skal tages til efterretning, jf. ovenfor vedr. databeskyttelsesforordningens artikel 21.

[…]

Efter vores vurdering er der ikke nogen af disse hensyn, der med vægt taler imod, at SAG og Københavns Kommune via advokatundersøgelsen kan vælge at forsøge at afdække, om der har foregået krænkede eller strafbare handlinger overfor eleverne. Undersøgelsen er ikke sat i gang på baggrund af rygter, men fordi SAG og Københavns Kommune har modtaget konkrete indberetninger om forhold, der kan være i strid med lovgivningen.

Du er naturligvis meget velkommen til at ringe til mig, hvis vi skal drøfte ovennævnte”

Klager kontaktede igen Bech-Bruun den 9. juli 2021. Af henvendelsen fremgik bl.a., at klager ikke mente, at Bech-Bruun havde hjemmel til at behandle oplysninger om ham, som måtte være omfattet af databeskyttelsesforordningens artikel 6, artikel 9, eller databeskyttelseslovens § 8. Endvidere fremgik det, at klager ville indgive en klage over Bech-Bruun til Datatilsynet.

Samme dag modtog Datatilsynet en klage over Bech-Bruuns behandling af oplysninger om klager i forbindelse med iværksættelse af den pågældende advokatundersøgelse.

Den 27. juli 2021 sendte Datatilsynet klagers klage i høring og anmodede Bech-Bruun om en udtalelse.

Bech-Bruun fremsendte den 24. august 2021 en udtalelse, hvorefter tilsynet anmodede Bech-Bruun om en supplerende udtalelse.

Bech-Bruun fremkom med yderligere udtalelser til sagen henholdsvis den 28. september og 24 november 2021, mens klager fremsendte bemærkninger til sagen henholdsvis den 9. oktober, den 26. november 2021 og den 6. december 2021.

Klager kontaktede endvidere Bech-Bruun den 1. december 2021 og anmodede om indsigt i oplysninger om ham selv.

Bech-Bruun besvarede indsigtsanmodningen den 14. december 2021. Af besvarelsen fremgik der i forhold til artikel 15, stk. 3 følgende:

”[…]

Vedrørende din anmodning efter forordningens artikel 15, stk. 3, om at modtage kopi af de oplysninger, vi behandler om dig, kan vi oplyse, at vi for tiden ikke kan imødekomme anmodningen. Det er vores vurdering, at videregivelse af oplysningerne på nuværende tidspunkt kan vanskeliggøre eller forhindre gennemførelsen af undersøgelsen, da vi ikke har afsluttet interviews af alle relevante personer.

Vi henviser i denne forbindelse til databeskyttelseslovens§ 22, stk. 1 og 2. En kopi vil således stride mod offentlige interesser knyttet til kommunens løsning af undervisningsopgaver og kommunens offentlige og private interesser som offentlig arbejdsgiver i forhold til at foretage retlige reaktioner som ansættelsesmyndighed og ved at fremsætte civilretlige krav. Vi henviser endvidere til, at en kopi - i hvert fald på nuværende tidspunkt - vil kunne stride mod private interesser, herunder fordi der er tale om fortrolige, rent private oplysninger om andre registrerede, samt oplysninger som det endnu ikke har været muligt at verificere.

Jeg kan oplyse, at vi i forbindelse med afslutningen af undersøgelsen vil give dig mulighed for at kommentere rapportens generelle konklusioner, og at du på dette tidspunkt vil få adgang til at gøre dig bekendt med de oplysninger, der vedrører din person, inden for databeskyttelseslovgivningens rammer.”

På baggrund heraf sendte klager den 4. januar 2022 yderligere bemærkninger til sagen, hvorved klager ønskede at udvide klagen for så vidt angik Bech-Bruuns besvarelse af hans indsigtsanmodning.

Datatilsynet anmodede som følge heraf den 17. januar 2022 Bech-Bruun om en udtalelse til sagen.

Bech-Bruun fremsendte en udtalelse i anledning heraf den 22. februar 2022. Klager fremkom med bemærkninger til udtalelsen den 17. marts 2022.

Den 3. oktober 2022 fremsendte CO:PLAY Advokatpartnerselskab på vegne af klager afsluttende bemærkninger, som den 11. oktober 2022 blev sendt til Bech-Bruun. Datatilsynet modtog herefter den 15. november 2022 afsluttende bemærkninger fra Bech-Bruun.

2.1. Bech-Bruuns overordnede bemærkninger

Bech-Bruun har overordnet oplyst, at Bech-Bruun – efter aftale med Sankt Annæ Gymnasium og Københavns Kommune – har gennemført en ekstern advokatundersøgelse vedrørende mulige tilfælde af krænkende adfærd over for elever på Sankt Annæ Gymnasium, herunder over for medlemmer af gymnasiets kor.

Undersøgelsen blev ikke igangsat på baggrund af rygter. Undersøgelsen blev derimod sat i gang, da Sankt Annæ Gymnasium og Københavns Kommune modtog konkrete indberetninger fra tidligere elever – herunder kormedlemmer – om forhold, der kunne være i strid med lovgivningen. Sankt Annæ Gymnasium og Københavns Kommune fandt det derfor nødvendigt at få afdækket omfanget og karakteren af disse forhold, som bl.a. vedrørte mulig seksuel chikane.

Bech-Bruun blev bedt forestå iværksættelse og gennemførelse af advokatundersøgelsen. Som afslutning på undersøgelsen skulle Bech-Bruun udarbejde en fortrolig rapport til Københavns Kommune om eventuelle krænkelser af elever på Sankt Annæ Gymnasium.

Bech-Bruun var i sin rolle som advokatfirma selvstændig dataansvarlig for indsamling og efterfølgende behandling af oplysninger om registrerede i forbindelse med undersøgelsen af eventuelle krænkelser på Sankt Annæ Gymnasium. Grundlaget for Bech-Bruuns behandling af personoplysninger i forbindelse med advokatundersøgelsen udspringer imidlertid af opdraget fra Københavns Kommune. Opdraget er nærmere beskrevet i det kommissorium, som ligger til grund for undersøgelsen.

Det fremgår heraf, at undersøgelsens formål var, at:

”… afdække og redegøre for omfanget og karakteren af mulig krænkende adfærd eller uønsket seksuel opmærksomhed overfor elever på SAG, herunder overfor medlemmerne af koret og andre med forbindelse til koret. Hvis det vurderes, at der har været udvist krænkende adfærd eller uønsket seksuel adfærd, skal Bech-Bruun komme med anbefalinger til SAG’s bestyrelse og Københavns Kommune om handlinger, som resultaterne af undersøgelsen kan give anledning til.

Bech-Bruun skal desuden undersøge, om SAG, ledere/lærere på skolen eller andre relevante personer med tilknytning til SAG og/eller koret har modtaget klager fra elever eller andre, der har været tilknyttet SAG, om seksuel chikane eller anden krænkende adfærd. Hvis det er tilfældet, skal Bech-Bruun undersøge, hvordan henvendelser er blevet behandlet, og evt. fremkomme med forslag til en forbedret procedure for behandling af anmeldelser af seksuel chikane og anden krænkende adfærd i fremtiden.”

Bech-Bruun har som behandlingsgrundlag for behandling af oplysninger om klager i forbindelse med den eksterne advokatundersøgelse henvist til databeskyttelsesforordningens artikel 6, stk. 1, litra c, d og e.

Behandling af oplysninger om strafbare forhold er sket med hjemmel i databeskyttelseslovens § 8, stk. 1, stk. 2, nr. 2, stk. 3, andet pkt., og stk. 4, andet pkt.

Bech-Bruuns behandling af oplysninger om klagers seksuelle forhold er foretaget på baggrund af databeskyttelsesforordningens artikel 9, stk. 2, litra b og f.

I forhold til oplysningspligten efter databeskyttelsesforordningens artikel 14 har Bech-Bruun oplyst, at Bech-Bruun er opmærksom på denne, men at Bech-Bruun undlod at opfylde oplysningspligten over for klager, jf. databeskyttelseslovens § 22.

For så vidt angår klagers anmodning om indsigt af 1. december 2021 har Bech-Bruun anført, at anmodningen blev besvaret den 14. december 2021, og at klager i den forbindelse modtog alle oplysninger, som er påkrævet efter databeskyttelsesforordningens artikel 15, stk. 1.

Bech-Bruun udleverede imidlertid ikke en kopi af oplysningerne om klager – som det er påkrævet efter databeskyttelsesforordningens artikel 15, stk. 3 – idet afgørende hensyn til private og offentlige interesser talte imod, jf. databeskyttelseslovens § 22, stk. 1, og 2.

Det er i øvrigt Bech-Bruuns opfattelse, at behandling af oplysninger om klager i forbindelse med gennemførelsen af den pågældende advokatundersøgelse er sket i overensstemmelse med databeskyttelsesforordningens artikel 5.

2.2. Klagers overordnede bemærkninger

Klager har oplyst, at han har været tilknyttet Sankt Annæ Gymnasium fra 1979 til 2000. I de første år var klager timelærer, mens han fra 1984 blev fastansat adjunkt.

Advokatundersøgelsen blev efter klagers opfattelse igangsat for at imødegå et pres fra medierne, som opstod på baggrund af Dagbladet Politikkens artikler om et grænseoverskridende og seksualiseret miljø i Danmarks Radios pigekor.

Undersøgelsen har fra dens start haft fokus på klager – samt én anden tidligere ansat – og undersøgelsen savnede derfor fra start et legitimt formål. Det skyldes, at oplysningerne om klager ligger mindst 20 år tilbage i tid, og at langt størstedelen af de indberettede forhold er andenhåndsberetninger, og således ikke fra personer, der selv mener, de har været udsat for krænkende handlinger.

Som en følge heraf er det klagers overordnede opfattelse, at advokatundersøgelsen er i strid med de generelle principper i databeskyttelsesforordningens artikel 5, og at der ikke har været hjemmel til at behandle oplysninger om ham i databeskyttelsesforordningens artikel 6, artikel 9, eller databeskyttelseslovens § 8.

Klager har endvidere anført, at han ikke har fået oplysninger om Bech-Bruuns behandling af oplysninger om ham i overensstemmelse med databeskyttelsesforordningens artikel 14, og at han i forbindelse med sin anmodning om indsigt ikke fik udleveret en kopi af oplysningerne om ham, hvilket er i strid med databeskyttelsesforordningens artikel 15, stk. 3.

3. Databeskyttelsesforordningens artikel 6

3.1. Parternes bemærkninger

Bech-Bruun har anført, at behandling af oplysninger om klager i forbindelse med advokatundersøgelsen er foretaget på grundlag af databeskyttelsesforordningens artikel 6, stk. 1, litra c, d og e. Behandling af oplysninger om klager forudsætter derfor ikke klagers samtykke.

Behandlingen tog afsæt i Sankt Annæ Gymnasiums (og Københavns Kommunes) retlige forpligtelser efter ligebehandlings- og undervisningsmiljøloven, da Sankt Annæ Gymnasium har en forpligtelse til at sikre et chikanefrit miljø samt til aktivt at bekæmpe seksuel chikane.

Bech-Bruun bemærker i den forbindelse, at pligten til at sikre et chikanefrit miljø følger af ligebehandlingslovens § 4, idet ”lige arbejdsvilkår” også omfatter forbud mod sexchikane, jf. lovens § 1, stk. 4. Af forarbejderne til ligebehandlingslovens § 4 fremgår det, at bestemmelsen også indebærer en pligt for arbejdsgiveren til at stille et chikanefrit miljø til rådighed, og at arbejdsgiveren er forpligtet til i rimeligt omfang at sikre sine ansatte mod chikane. Ligebehandlingslovens forpligtelser gælder også for offentlige myndigheder, jf. lovens § 1 a.

Bech-Bruun bemærker endvidere, at selvom undervisningsmiljøloven først trådt i kraft i 2001, indeholder lovens klageregler ikke nogen bestemt klagefrist, hvilket betyder, at klageinstansen – Dansk Center for Undervisningsmiljø – er forpligtet til at vurdere aktualiteten af alle indkomne klager.

Endelig har Bech-Bruun oplyst, at behandling af oplysninger om klager er sket med hjemmel i databeskyttelsesforordningens artikel 6, stk. 1, litra d og e, da undersøgelsen var nødvendig for at beskytte vitale interesser hos nuværende og tidligere elever, der har været eller mener sig udsat for krænkelser.

Klager har anført, at klager ikke har givet samtykke til indsamling og behandling af oplysninger om ham i forbindelse med den pågældende advokatundersøgelse.

Det er derudover klagers opfattelse, at ingen af de øvrige behandlingsgrundlag i databeskyttelsesforordningens artikel 6, stk. 1, litra b-f, kan danne grundlag for behandling af oplysninger om ham. Klager bemærker i den forbindelse, at Bech-Bruun under sagens behandling har skiftet/ændret behandlingsgrundlag flere gange.

Klager har endvidere anført, at reglerne i forordningens artikel 6 umuligt kan begrunde, at der i dag søges indhentet personoplysninger om følsomme og potentielt ærerørige forhold, som fandt sted for 20-40 år siden, og om hvilke det på forhånd måtte anses for særdeles vanskeligt at føre entydige beviser for.

Klager er ikke uenig i, at Sankt Annæ Gymnasium (og Københavns Kommune) har pligt til at varetage arbejdsmiljøretlige og/eller andre regler vedrørende seksuel chikane. Det er imidlertid klagers opfattelse, at forpligtelsen alene gør det lovligt at behandle personoplysninger, som har en sådan aktualitet, at arbejdsgiver kan benytte oplysningerne til at opfylde sine pligter ifølge de relevante regelsæt for så vidt angår det aktuelle arbejds- og/eller undervisningsmiljø.

Endvidere har klager anført, at der ingen offentlig interesse kan være i at foretage en advokatundersøgelse – med mulighed for anonym indberetning – for at undersøge, om et par medarbejdere er blevet udsat for seksuel chikane for mange år siden.

3.2. Anvendelse af databeskyttelsesforordningens artikel 6, stk. 1, litra c

Det fremgår af databeskyttelsesforordningens artikel 6, stk. 1, litra c, at behandling af personoplysninger kan ske, hvis behandling er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige.

Af præambelbetragtning nr. 41 til databeskyttelsesforordningen fremgår, at:

”Når denne forordning henviser til et retsgrundlag eller en lovgivningsmæssig foranstaltning, kræver det ikke nødvendigvis en lov, der er vedtaget af et parlament, med forbehold for krav i henhold til den forfatningsmæssige orden i den pågældende medlemsstat. Et sådant retsgrundlag eller en sådan lovgivningsmæssig foranstaltning bør imidlertid være klar(t) og præcis(t), og anvendelse heraf bør være forudsigelig for personer, der er omfattet af dets/dens anvendelsesområde, jf. retspraksis fra Den Europæiske Unions Domstol (»Domstolen«) og Den Europæiske Menneskerettighedsdomstol.”

Af betænkning nr. 1565/2017 om databeskyttelsesforordningen, side 117 fremgår følgende om bestemmelsen:

”Registerudvalget har i betænkning nr. 1345 udtalt, at udtrykket retlig forpligtelse efter en ren ordlydsfortolkning dækker over enhver form for retlig forpligtelse. Udvalget anfører endvidere, at uanset dette, kan det næppe antages, at udtrykket skal forstås således, at det omfatter alle former for retlige forpligtelser.

Det følger af bemærkningerne til persondataloven, at udtrykket retlig forpligtelse omfatter forpligtelser, der følger af lovgivningen eller af administrative forskrifter, der er fastsat i medfør heraf. Omfattet af udtrykket er endvidere forpligtelser, der følger af internationale regler, herunder EU-retlige regler. Ligesom forpligtelser, der følger af en domstolsafgørelse eller af en afgørelse, der er truffet af en administrativ myndighed, også er omfattet.”

Det fremgår således af præambelbetragtning nr. 41 og betænkning nr. 1565/2017, at en retlig forpligtelse i henhold til databeskyttelsesforordningens artikel 6, stk. 1, litra c, bl.a. bør være klar og præcis, ligesom den bør være forudsigelig for personer, der er omfattet af dens anvendelsesområde.

Bech-Bruun har anført, at behandling af oplysninger om klager, som foretages på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra c, er sket som følge af Sankt Annæ Gymnasiums (og Københavns Kommunes) retlige forpligtelser efter ligebehandlingsloven og undervisningsmiljøloven til at sikre et chikanefrit arbejds- og undervisningsmiljø.

Det er Datatilsynets opfattelse, at Bech-Bruuns behandling af personoplysninger ikke kunne ske inden for rammerne af databeskyttelsesforordningens artikel 6, stk. 1, litra c.

Tilsynet har ved vurderingen lagt vægt på, at de retlige forpligtelser, som udspringer af det lovgrundlag, som Sankt Annæ Gymnasium og Københavns Kommune ifølge Bech-Bruun er forpligtet i henhold til, efter Datatilsynets opfattelse ikke fremstår tilstrækkeligt klare og præcise til i den foreliggende sag at kunne anvendes som behandlingsgrundlag efter artikel 6, stk. 1, litra c.

Det er som følge heraf Datatilsynets vurdering, at den foretagne behandling af oplysninger om klager ikke kunne ske med grundlag i databeskyttelsesforordningens artikel 6, stk. 1, litra c.

3.3. Anvendelse af databeskyttelsesforordningens artikel 6, stk. 1, litra d

Det fremgår af databeskyttelsesforordningens artikel 6, stk. 1, litra d, at behandling af personoplysninger kan ske, hvis behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser.

Følgende fremgår af præambelbetragtning nr. 46 til databeskyttelsesforordningen om artikel 6, stk. 1, litra d:

”Behandling af personoplysninger, der er nødvendig for at beskytte et hensyn af fundamental betydning for den registreredes eller en anden fysisk persons liv, bør ligeledes anses for lovlig. Behandling af personoplysninger på grundlag af en anden fysisk persons vitale interesser bør i princippet kun finde sted, hvis behandlingen tydeligvis ikke kan baseres på et andet retsgrundlag. Nogle typer behandling kan tjene både vigtige samfundsmæssige interesser og den registreredes vitale interesser, f.eks. når behandling er nødvendig af humanitære årsager, herunder med henblik på at overvåge epidemier og deres spredning eller humanitære nødsituationer, navnlig i tilfælde af naturkatastrofer og menneskeskabte katastrofer.”

Af betænkning nr. 1565/2017 om databeskyttelsesforordningen, side 131, fremgår endvidere følgende om bestemmelsen:

”Det fremgår af forordningens artikel 6, stk. 1, litra d, at behandling er lovlig, hvis behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser.

Bestemmelsen i forordningens artikel 6, stk. 1, litra d, svarer efter ordlyden til bestemmelsen i databeskyttelsesdirektivets artikel 7, litra d, og persondatalovens § 6, stk. 1, nr. 4.

Dog er der i forordningens artikel 6, stk. 1, litra d, nu en tilføjelse, hvoraf det følger, at også nødvendigheden af en behandling for at beskytte en anden fysisk persons vitale interesser vil kunne gøre en behandling lovlig.

Som et eksempel på hvornår det vil være lovligt at behandle en oplysning om en person af hensyn til en anden fysisk persons vitale interesser, kan nævnes den situation, at det ikke er muligt for et hospital at komme i kontakt med en patient, som venter på et nyt organ på det tidspunkt, hvor hospitalet kommer i besiddelse af organet, hvorfor hospitalet er nødt til at behandle personoplysninger om patientens kæreste for at komme i kontakt med patienten.

Vedrørende forordningens artikel 6, stk. 1, litra d, fremgår det af præambelbetragtning nr. 46, at behandling af personoplysninger, der er nødvendig for at beskytte et hensyn af fundamental betydning for den registreredes eller en anden fysisk persons liv, ligeledes bør anses for lovlig. Behandling af personoplysninger på grundlag af en anden fysisk persons vitale interesser bør i princippet kun finde sted, hvis behandlingen tydeligvis ikke kan baseres på et andet retsgrundlag. Nogle typer behandling kan tjene både vigtige samfundsmæssige interesser og den registreredes vitale interesser, f.eks. når behandling er nødvendig af humanitære årsager, herunder med henblik på at overvåge epidemier og deres spredning eller i humanitære nødsituationer, navnlig i tilfælde af naturkatastrofer og menneskeskabte katastrofer.

Fortolkningsbidraget i betragtningen ses at være i overensstemmelse med, hvad der følger af gældende ret.

Forordningens artikel 6, stk. 1, litra d, er således i overensstemmelse med, hvad der følger af gældende ret – dog vil artikel 6, stk. 1, litra d, fremover også finde anvendelse i forbindelse med en anden persons vitale interesser, hvilket er en ændring i forhold til gældende ret.”

Bech-Bruun har til sagen oplyst, at behandling af oplysninger om klager er foretaget med hjemmel i blandt andet databeskyttelsesforordningens artikel 6, stk. 1, litra d, idet undersøgelsen var nødvendig for at beskytte vitale interesser hos Sankt Annæ Gymnasiums nuværende og/eller tidligere elever.

Det er Datatilsynets opfattelse, at Bech-Bruuns behandling af oplysninger om klager ikke kunne ske inden for rammerne af databeskyttelsesforordningens artikel 6, stk. 1, litra d.

Datatilsynet har ved vurderingen lagt vægt på, at databeskyttelsesforordningens artikel 6, stk. 1, litra d’s anvendelse – som det fremgår af præambelbetragtning nr. 46 og betænkning nr. 1565/2017 – ikke tager sigte på en behandling af personoplysninger, som Bech-Bruun i nærværende sag har foretaget om klager.

Det fremgår, at bestemmelsen i princippet alene bør finde anvendelse, hvis behandlingen tydeligvis ikke kan finde sted på et andet retsgrundlag. Bestemmelsen har således karakter af en undtagelsesbestemmelse/sikkerhedsventil, og den bør (og kan) derfor alene anvendes i situationer, hvor behandling af personoplysninger er (livs)nødvendig – som det f.eks. kan være tilfældet inden for hospitalsvæsnet og/eller af humanitære årsager.

Det er ikke tilfældet i nærværende sag, og det er derfor Datatilsynets vurdering, at den foretagne behandling af oplysninger om klager ikke kunne ske på grundlag af databeskyttelsesforordningens artikel 6, stk. 1, litra d.

3.4. Anvendelse af databeskyttelsesforordningens artikel 6, stk. 1, litra e

Efter forordningens artikel 6, stk. 1, litra e, kan behandling af personoplysninger foretages, hvis behandling er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.

Af præambelbetragtning nr. 45 til databeskyttelsesforordningen fremgår det om bestemmelsen, at:

”Hvis behandling foretages i overensstemmelse med en retlig forpligtelse, som påhviler den dataansvarlige, eller hvis behandling er nødvendig for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, bør behandlingen have retsgrundlag i EU-retten eller medlemsstaternes nationale ret. Denne forordning indebærer ikke, at der kræves en specifik lov til hver enkelt behandling. Det kan være tilstrækkeligt med en lov som grundlag for adskillige databehandlingsaktiviteter, som baseres på en retlig forpligtelse, som påhviler den dataansvarlige, eller hvis behandling er nødvendig for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse. Det bør også henhøre under EU-retten eller medlemsstaternes nationale ret at fastlægge formålet med behandlingen. Endvidere kan dette retsgrundlag præcisere denne forordnings generelle betingelser for lovlig behandling af personoplysninger og nærmere præcisere, hvem den dataansvarlige er, hvilken type personoplysninger der skal behandles, de berørte registrerede, hvilke enheder personoplysningerne kan videregives til, formålsbegrænsninger, opbevaringsperiode og andre foranstaltninger til at sikre lovlig og rimelig behandling. Det bør ligeledes henhøre under EU-retten eller medlemsstaternes nationale ret at afgøre, om den dataansvarlige, der udfører en opgave i samfundets interesse eller i forbindelse med offentlig myndighedsudøvelse, skal være en offentlig myndighed eller en anden fysisk eller juridisk person, der er omfattet af offentlig ret, eller, hvis dette er i samfundets interesse, herunder sundhedsformål, såsom folkesundhed og social sikring samt forvaltning af sundhedsydelser, af privatret som f.eks. en erhvervssammenslutning.”

Om bestemmelsen fremgår endvidere bl.a. følgende i betænkning nr. 1565/2017, side 132:

”Efter en ordlydsfortolkning er bestemmelsen i forordningens artikel 6, stk. 1, litra e, overordnet i overensstemmelse med gældende ret, jf. beskrivelsen ovenfor. Se dog vedrørende videregivelse til tredjemand, som har fået pålagt myndighedsudøvelse og samkøring i kontroløjemed i særskilte afsnit herom.

Det må i den forbindelse antages, at artikel 6, stk. 1, litra e, er direkte anvendelig som behandlingsgrundlag, så længe den dataansvarlige udfører en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Brugen af artikel 6, stk. 1, litra e, som behandlingsgrundlag forudsætter således ikke en national, implementerende hjemmelslovgivning om selve behandlingen af personoplysninger i forbindelse med udførelse af opgaver i samfundets interesse eller som led i offentlig myndighedsudøvelse.

Brugen af artikel 6, stk. 1, litra e, kræver heller ikke nødvendigvis, at opgaven, som kræver behandling af personoplysninger, udtrykkeligt i lovgivningen er pålagt myndigheden. […]”

Af ovennævnte fremgår det således, at behandling af oplysninger efter databeskyttelsesforordningens artikel 6, stk. 1, litra e, skal have retsgrundlag i EU-retten eller medlemsstaternes nationale ret.

Det medfører imidlertid ikke, at der kræves en specifik lov til enhver enkelt behandling, og det vil dermed være tilstrækkeligt med en lov som grundlag for adskillige behandlingsaktiviteter – i det omfang behandlingen er nødvendig for at udføre en opgave i samfundets interesse.

Datatilsynet finder, at behandlingen af oplysninger om klager er sket inden for rammerne af databeskyttelsesforordningens artikel 6, stk. 1, litra e.

Datatilsynet har herved lagt vægt på, at Sankt Annæ Gymnasium og Københavns Kommune – som Bech-Bruun forestår den pågældende undersøgelse på vegne af – efter reglerne om uddannelsesinstitutionens virke, herunder regler i lov om institutioner for almengymnasiale uddannelser og almen voksenuddannelse m.v., folkeskoleloven og undervisningsmiljøloven, har en generel forpligtelse til at sikre et godt undervisningsmiljø, således at undervisningen kan foregå sikkerheds- og sundhedsmæssigt fuldt forsvarligt.

Datatilsynet har som følge heraf ikke fundet grundlag for at tilsidesætte Sankt Annæ Gymnasiums og Københavns Kommunes vurdering af nødvendigheden af – på baggrund af medieomtalen og de konkrete henvendelser – indsamling af oplysninger om klager og med inddragelse af Bech-Bruun nærmere at undersøge undervisningsmiljøet på Sankt Annæ Gymnasium nu og tilbage i tid med henblik på at vurdere, hvorvidt der er eller har været en (seksuelt) grænseoverskridende kultur på gymnasiet, og i givet fald omfanget af denne kultur.

Datatilsynet finder på den baggrund, at Bech-Bruun kunne behandle oplysninger om klager i den ovennævnte udstrækning efter databeskyttelsesforordningens artikel 6, stk. 1, litra e, og inden for rammerne af det kommissorium, som Bech-Bruun havde aftalt med Københavns Kommune.

4. Databeskyttelseslovens § 8

4.1. Parternes bemærkninger

Bech-Bruun har anført, at Bech-Bruun – i det omfang oplysninger indsamlet om klager udgør oplysninger om strafbare forhold – har behandlet oplysningerne i medfør af databeskyttelseslovens § 8, stk. 3, da det var nødvendigt til varetagelse af den berettigede interesse, som personer, der har foretaget indberetning, havde i nærmere at få undersøgt kulturen på Sankt Annæ Gymnasium, herunder muligt krænkende adfærd og uønsket seksuel opmærksomhed.

Det er Bech-Bruuns opfattelse, at denne berettigede interesse klart oversteg hensynet til klager, som indberetningerne bl.a. vedrørte.

Eventuel videregivelse af oplysninger om strafbare forhold til Københavns Kommune kunne efter Bech-Bruuns vurdering ske på grundlag af databeskyttelseslovens § 8, stk. 4, da videregivelsen skete til varetagelse af både offentlige og private interesser, som klart oversteg hensynet til de interesser, der begrunder hemmeligholdelse.

Bech-Bruun bemærker hertil, at det fremgår af forarbejderne til databeskyttelseslovens § 8, at det ikke er enhver direkte eller indirekte oplysning om et strafbart forhold, der er omfattet af § 8. En ”almindelig personoplysning” skal være underbygget i en eller anden form – f.eks. skal oplysninger fra en anmeldelse til politiet være genstand for yderligere efterforskning – før der er tale om oplysninger om strafbare forhold.

Klager har anført, at Bech-Bruun ikke har haft hjemmel til at behandle oplysninger om eventuelle strafbare forhold.

Klager har – ud over det i pkt. 3.1. anførte – bemærket, at eventuelle strafferetlige forhold normalt efterforskes af politiet, og da der klager bekendt ikke er indgivet anmeldelser i forhold til ham, er det klagers opfattelse, at Bech-Bruun ikke kunne behandle oplysninger om strafbare forhold.

Det er herudover klagers opfattelse, at Bech-Bruun ikke kunne behandle oplysninger om strafbare forhold, idet hverken Sankt Annæ Gymnasium eller Københavns Kommune – som Bech-Bruun gennemførte undersøgelsen for – havde nogen myndighedsrelaterede grunde til at efterforske strafbare forhold tilbage i tid.

Klager har hertil endvidere anført, at ethvert eventuelt strafansvar i øvrigt for længst er forældet, da klager forlod Sankt Annæ Gymnasium i år 2000.

Klager har i øvrigt henvist til Artikel 29-gruppens ”opinion 1/2006 (WP117) samt lovbemærkningerne til whistleblowerloven, som trådte i kraft den 17. december 2021, hvoraf det fremgår, at dataansvarlige – i interne whistleblowerordninger – skal være påpasselige med at modtage indberetninger, som ikke er alvorlige lovovertrædelser eller øvrige alvorlige forhold. Klager har i den forbindelse anført, at det ikke var tilfældet i nærværende sag, og at interessen, som Sankt Annæ Gymnasium og Københavns Kommune forfulgte i forbindelse med undersøgelsen, ikke legitimerer indsamling af oplysninger, som er 20-40 år gamle.

4.2. Datatilsynets vurdering

Det fremgår af databeskyttelseslovens § 8, stk. 3, at private må behandle oplysninger om strafbare forhold, hvis den registrerede har givet sit udtrykkelige samtykke hertil. Herudover kan behandling af oplysninger om strafbare forhold ske, hvis det er nødvendigt til varetagelse af en berettiget interesse og denne interesse klart overstiger hensynet til den registrerede.

Af lovens § 8, stk. 4, fremgår det, at oplysningerne, der er nævnt i stk. 3, ikke må videregives uden den registreredes udtrykkelige samtykke. Videregivelse kan dog ske uden samtykke, når det sker til varetagelse af offentlige eller private interesser, herunder hensynet til den pågældende selv, der klart overstiger hensynet til de interesser, der begrunder hemmeligholdelse.

Bech-Bruun har til sagen oplyst, at det ikke på forhånd kunne afvises, at oplysninger om klager indsamlet til advokatundersøgelsen kunne udgøre oplysninger om strafbare forhold.

Datatilsynet finder, at – i det omfang oplysninger om klager måtte udgøre oplysninger om strafbare forhold – Bech-Bruuns behandling af oplysninger om klager kunne ske inden for rammerne af databeskyttelseslovens § 8, stk. 3, 2. pkt.

Datatilsynet har ved vurderingen lagt vægt på, at Københavns Kommune efter tilsynets opfattelse havde en berettiget interesse i – som følge af henvendelserne til Sankt Annæ Gymnasium vedrørende et krænkende miljø – nærmere at undersøge arbejds- og undervisningsmiljøet på Sankt Annæ Gymnasium.

Datatilsynet har ikke fundet grundlag for at tilsidesætte vurderingen af, at det kunne være nødvendigt for Bech-Bruun at behandle oplysninger om (muligt) strafbare forhold om klager for at varetage denne berettigede interesse.

Datatilsynet finder endvidere, at Bech-Bruuns videregivelse af oplysninger om strafbare forhold om klager kunne ske inden for rammerne af databeskyttelseslovens § 8, stk. 4, 2. pkt.

Der er ved vurderingen lagt vægt på, at videregivelsen af oplysninger om strafbare forhold om klager alene skete til Københavns Kommune, og at videregivelsen skete til varetagelse af offentlige og/eller private interesser.

Datatilsynet har – i lyset af undersøgelsens formål – ikke fundet grundlag for at tilsidesætte denne vurdering, og det er i den forbindelse tilsynets opfattelse, at disse interesser klart oversteg hensynet til klager samt de interesser, der begrunder hemmeligholdelse af de pågældende oplysninger.

Sammenfattende er det således Datatilsynets vurdering, at Bech-Bruuns behandling af oplysninger om strafbare forhold om klager er sket inden for rammerne af databeskyttelseslovens § 8, stk. 3 og 4.

5. Databeskyttelsesforordningens artikel 9

5.1. Parternes bemærkninger

Bech-Bruun har anført, at behandling af oplysninger om klagers seksuelle forhold er sket på grundlag af databeskyttelsesforordningens artikel 9, stk. 2, litra b og litra f.

Bech-Bruun har i den forbindelse anført, at behandling af oplysninger om klagers seksuelle forhold var nødvendig for, at retskrav kunne fastlægges, gøres gældende eller forsvares.

De(t) mulige retskrav, som Bech-Bruun nærmere undersøgte – og som dannede grundlaget for behandling af oplysninger om klagers seksuelle forhold – udsprang af, at de forurettede personer potentielt var berettiget til godtgørelse og/eller erstatning for krænkelser, der måtte have fundet sted på Sankt Annæ Gymnasium.

Sankt Annæ Gymnasium og Københavns Kommune har (og havde) en forpligtelse til at beskytte elever mod overgreb – herunder sådanne som udgør overtrædelser af straffelovens §§ 222, 223 eller 232.

Er disse forpligtelser tilsidesat over for en person under 18 år – og kan der i denne sammenhæng påvises svigt fra myndighedens side – kan den pågældende person være berettiget til godtgørelse og/eller erstatning.

Bech-Bruun bemærker, at det i den forbindelse er uden betydning, at et eventuelt strafansvar i forhold til den forurettende part er forældet, da retten til godtgørelse og/eller erstatning ikke forældes. Det følger af § 2, nr. 1, jf. § 5, stk. 3 i ændringslov nr. 140 af 28. februar 2018 til bl.a. forældelsesloven, at fordringer på erstatning eller godtgørelse, som udspringer af, at en forvaltningsmyndighed, jf. forvaltningslovens § 1, stk. 1 og 2, har tilsidesat lovbestemte forpligtelser over for en person under 18 år i forbindelse med overgreb begået over for denne, ikke forældes – uagtet at fordringen før lovens ikrafttræden var forældet.

Det er i øvrigt Bech-Bruuns opfattelse, at behandling af oplysninger om seksuelle forhold kunne ske i medfør af forordningens artikel 9, stk. 2, litra b, da Københavns Kommune er pålagt retlige forpligtelser efter ligebehandlingsloven, undervisningsmiljøloven samt efter Danmarks folkeretlige forpligtelser til at beskytte børn og unge, som udspringer af f.eks. FN’s Børnekonvention artikel 19, direktiv 2011/93/EU om bekæmpelse af seksuelt misbrug og seksuel udnyttelse af børn, og af den Europæiske Menneskerettighedskonventions artikel 3 – samt særlige konventioner om seksuelle krænkelser af børn, herunder Lanzarota-konventionen.

Klager har – ud over det i pkt. 4.1. anførte – anført, at der ikke var nogen retskrav at undersøge, idet alle eventuelle retskrav – strafferetligt som civilt – mod ham for længst er forældet. Bech-Bruun kunne derfor ikke behandle oplysninger om hans seksuelle forhold i medfør af databeskyttelsesforordningens artikel 9, stk. 2, litra f.

I forhold til tidligere elevers eventuelle krav på godtgørelse og/eller erstatning, er det klagers opfattelse, at sådanne krav må være rejst, før databeskyttelsesforordningens artikel 9, stk. 2, litra f, finder anvendelse. Sådanne krav har imidlertid ikke umiddelbart været rejst.

En modsat forståelse vil medføre, at offentlige myndigheder under henvisning til en teoretisk udsigt til, at (tidligere) mindreårige måtte rejse helt ukendte krav, som ikke er forældet, vil kunne fjerne den grundlæggende og væsentlige beskyttelse mod behandling af oplysninger om seksuelle forhold, der er hjemlet i databeskyttelsesforordningens artikel 9, stk. 1.

Klager bemærker dertil, at en så vidtgående fortolkning må kræve sikre holdepunkter, hvilket ikke er tilfældet.

Der er derudover klagers opfattelse, at eventuelle retskrav fra tidligere elever ikke kunne danne grundlag for behandling af oplysninger om klagers seksuelle forhold, blandt andet fordi den i ændringsloven påberåbte undtagelse til forældelse tilbage i tid er åbenbart uanvendelig, eftersom den angår skadegørende handlinger, der skyldes tilsidesættelse af myndigheders ”lovbestemte forpligtelser”, og det måtte på forhånd synes utænkeligt, at Københavns Kommune i forbindelse med forholdene på Sankt Annæ Gymnasium skulle have været i nærheden af at krænke nogen ”lovbestemte forpligtelser”, som undtagelsen har sigte på.

Klager har i øvrigt bemærket, at ingen af de indberettede forhold gav tidligere elever krav på godtgørelse og/eller erstatning.

I forhold til databeskyttelsesforordningens artikel 9, stk. 2, litra b, har klager – ud over det i pkt. 3.1. og 4.1. anførte – gjort gældende, at det er åbenbart, at Sankt Annæ Gymnasium og Københavns Kommune ikke er underlagt nogen ”retlig forpligtelse” til at gennemføre en undersøgelse om forhold, der fandt sted for mere end 20 år siden i relation til medarbejdere og kormedlemmer, der for længst har forladt Sankt Annæ Gymnasium. Skulle der være en sådan ”retlig forpligtelse” måtte den forudsætte en vis form for aktualitet, f.eks. relativt nylige overgreb mod medarbejdere eller kormedlemmer mv.

5.2. Anvendelse af databeskyttelsesforordningens artikel 9, stk. 2, litra b

Det fremgår af databeskyttelsesforordningens artikel 9, stk. 1, at behandling af oplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering er forbudt.

Af forordningens artikel 9, stk. 2, fremgår det, at stk. 1 ikke finder anvendelse, hvis et af forholdene i litra a-j gør sig gældende.

Efter databeskyttelsesforordningens artikel 9, stk. 2, litra b, kan den dataansvarlige behandle oplysninger som nævnt i stk. 1, hvis behandling er nødvendig for at overholde den dataansvarliges eller den registreredes arbejds-, sundheds- og socialretlige forpligtelser og specifikke rettigheder, for så vidt den har hjemmel i EU-retten eller medlemsstaternes nationale ret eller en kollektiv overenskomst i medfør af medlemsstaternes nationale ret, som giver fornødne garantier for den registreredes grundlæggende rettigheder og interesser.

Bech-Bruun har anført, at behandling af oplysninger om klagers seksuelle forhold, som er foretaget med hjemmel i databeskyttelsesforordningens artikel 9, stk. 2, litra b, skete på baggrund af de retlige forpligtelser, som ligeledes er gjort gældende i forhold til artikel 6, stk. 1, litra c.

Det er Datatilsynets opfattelse, at Bech-Bruuns behandling af oplysninger om klagers seksuelle forhold ikke kunne ske inden for rammerne af databeskyttelsesforordningens artikel 9, stk. 2, litra b.

Datatilsynet har ved vurderingen lagt vægt på, at de retlige forpligtelser, som udspringer af ligebehandlingslovens og undervisningsmiljølovens regler, efter tilsynets opfattelse ikke er tilstrækkelig klare og præcise til i den foreliggende sag at kunne danne grundlag for behandling af oplysninger om klagers seksuelle forhold.

Datatilsynet bemærker i den forbindelse, at der som følge af beskyttelseshensynet i forhold til de oplysninger, som er oplistet i databeskyttelsesforordningens artikel 9, stk. 1, må stilles skærpede krav til nødvendighedsvurderingen og til den retlige forpligtelses klarhed og præcision.

5.3. Anvendelse af databeskyttelsesforordningens artikel 9, stk. 2, litra f

Efter databeskyttelsesforordningens artikel 9, stk. 2, litra f, kan oplysninger, som er omfattet af forbuddet i stk. 1, behandles, hvis behandling er nødvendig, for at retskrav kan fastlægges, gøres gældende eller forsvares.

Følgende fremgår af præambelbetragtning nr. 52 til forordningen om artikel 9, stk. 2, litra f:

” […] En fravigelse bør desuden gøre det muligt at behandle sådanne personoplysninger, hvis det er nødvendigt, for at retskrav kan fastslås, gøres gældende eller forsvares, uanset om det er i forbindelse med en retssag eller en administrativ eller udenretslig procedure.”

Datatilsynet finder konkret, at Bech-Bruuns behandling af oplysninger om klagers seksuelle forhold er sket inden for rammerne af databeskyttelsesforordningens artikel 9, stk. 2, litra f.

Datatilsynet har ved vurderingen lagt vægt på, at Bech-Bruuns behandling af oplysninger om klagers seksuelle forhold efter det oplyste er sket med henblik på at kunne vurdere, hvorvidt Københavns Kommune – som følge af arbejds- og undervisningsmiljøet på Sankt Annæ Gymnasium – kunne blive mødt med krav fra tidligere elever om godtgørelse og/eller erstatning, jf. forældelseslovens § 3, stk. 5, for at have tilsidesat lovbestemte forpligtelser over for personer under 18 år i forbindelse med overgreb begået over for disse.

Af de almindelige bemærkninger til forældelseslovens § 3, stk. 5[3], fremgår det, at:

”Et erstatningskrav mod en forvaltningsmyndighed i disse sager vil kunne bestå i krav på erstatning for personskade. Det kan eksempelvis være erstatning for helbredelsesudgifter eller erstatning for tab eller forringelse af erhvervsevne. Et godtgørelseskrav mod en forvaltningsmyndighed i disse sager vil kunne blive rejst som et krav på godtgørelse i anledning af myndighedens krænkelse af EMRK.”

Endvidere fremgår det, at:

”Den foreslåede ophævelse af forældelsesfristerne skal gælde for erstatnings- og godtgørelseskrav i anledning af en forvaltningsmyndigheds tilsidesættelse af lovbestemte forpligtelser. Der kan således eksempelvis være tale om lovbestemte forpligtelser efter serviceloven […] eller en forvaltningsmyndigheds tilsidesættelse af forpligtelser efter EMRK.”

Datatilsynet finder på grundlag heraf ikke at kunne tilsidesætte Bech-Bruuns vurdering af nødvendigheden af at indsamle oplysninger om klagers seksuelle forhold med henblik på at vurdere, om Københavns Kommune kunne blive mødt med krav om godtgørelse og/eller erstatning efter forældelseslovens § 3, stk. 5.

6. Databeskyttelsesforordningens artikel 14

6.1. Parternes bemærkninger

Bech-Bruun har i forhold til oplysningspligten anført, at Bech-Bruun er opmærksom på denne, men at Bech-Bruun med hjemmel i undtagelsesbestemmelsen i databeskyttelseslovens § 22, ikke iagttog oplysningspligten over for klager.

Bech-Bruun har henvist til forarbejderne til databeskyttelseslovens § 22, hvoraf det fremgår, at de private interesser, som skal begrunde hemmeligholdelse, bl.a. kan være afgørende hensyn til andre involverede parter og den registrerede samt afgørende hensyn til forfølgning af lovovertrædelser (L68, side 191, 2. spalte).

I den forbindelse har Bech-Bruun anført, at der var afgørende hensyn at tage til de personer, som i forbindelse med advokatundersøgelsens gennemførelse havde henvendt sig til Sankt Annæ Gymnasium, idet disse personer oplever at være blevet udsat for krænkende adfærd.

Der var derudover afgørende hensyn at tage til advokatundersøgelsens gennemførelse, og formålet med undersøgelsen ville forspildes, hvis Bech-Bruun på tidspunktet for indsamlingen af personoplysninger eller på et senere tidspunkt i undersøgelsens tidlige stadie skulle orientere blandt andre klager, om hvem der var foretaget indberetning, om, at der – som en del af undersøgelsen – var indsamlet oplysninger om ham.

Herudover havde det konkrete indhold af indberetningerne ikke været genstand for en uddybende undersøgelse, hvorfor det var nødvendigt først at gennemgå indberetningerne – blandt andet for i overensstemmelse med artikel 5 at sikre oplysningernes rigtighed samt princippet om dataminimering.

Bech-Bruun har i den forbindelse gjort gældende, at en advokatundersøgelse, hvor fastlæggelse af faktum er et afgørende element, efter Bech-Bruuns vurdering forudsætter en arbejdsmetode, hvor det er muligt at efterprøve rigtigheden af omtvistede oplysninger og oplysninger, som tilvejebringes i forløbet. Denne struktur, hvor Bech-Bruun skal verificere et omtvistet faktum på en måde, som sikrer retsbeskyttelse for de involverede svarende til retsplejens garantier, er et særligt kendetegn ved advokatundersøgelser.

Samtidig skal de involveredes rettigheder i henhold til databeskyttelseslovgivningen i videst mulige omfang sikres. I praksis betyder det efter Bech-Bruuns opfattelse bl.a., at det kan være nødvendigt at supplere oplysningspligten i forhold til nogle personer, fordi der dukker nye oplysninger op, mens det i forhold til andre personer kan være nødvendigt at begrænse eller midlertidigt at udskyde opfyldelse af oplysningspligten undervejs.

Det har i forhold til klager været nødvendigt at anvende undtagelserne til oplysningspligten undervejs i undersøgelsens; dels fordi Bech-Bruun har været usikre på, om oplysningerne om klager var korrekte; dels fordi Bech-Bruun ønskede at udelukke risikoen for, at klager (eller andre involverede) kunne påvirke vidneudsagn – og dermed forløbet af undersøgelsen.

Det er Bech-Bruuns opfattelse, at Bech-Bruun på rette vis har iagttaget oplysningspligten over for klager ved at give klager adgang til at gennemgå de forklaringer, der vedrører ham, og ved at give ham mulighed for at afgive sine bemærkninger til de indkomne oplysninger, inden Bech-Bruun færdiggjorde sin rapport.

Klager har anført, at Bech-Bruun ikke har iagttaget oplysningspligten tidsmæssigt eller tilstrækkeligt over for ham, og at Bech-Bruun derfor ikke har overholdt databeskyttelsesforordningens artikel 5, stk. 1, litra a, artikel 12, eller artikel 14.

6.2. Datatilsynets vurdering

Det fremgår af databeskyttelsesforordningens artikel 14, stk. 1, at den dataansvarlige skal give en række informationer til den registrerede, hvis personoplysninger ikke er indsamlet hos den registrerede selv.

Ud over informationen efter artikel 14, stk. 1, litra a-f, skal den dataansvarlige give den registrerede oplysningerne, som fremgår af artikel 14, stk. 2, litra a-g, hvis det er nødvendigt for at sikre en rimelig og gennemsigtig behandling for så vidt angår den registrerede.

Den registreredes ret til at modtage oplysninger efter artikel 14 kan dog helt eller delvist begrænses, hvis den registreredes interesse i oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv, jf. databeskyttelseslovens § 22, stk. 1.

Tilsvarende kan retten til at modtage oplysninger helt eller delvist begrænses, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til offentlige interesser, jf. databeskyttelseslovens § 22, stk. 2, herunder navnlig hensynet til de offentlige interesser, som fremgår af stk. 2, nr. 1-10.

Om bestemmelsen fremgår bl.a. følgende af de specielle bemærkninger til § 22[4]:

”Indskrænkningen i den dataansvarliges eller dennes repræsentants oplysningspligt efter lovforslagets § 22, stk. 1 og 2, kan kun ske på baggrund af en konkret afvejning af de modstående interesser, som er nævnt i bestemmelserne. Afvejningen må foretages for hver enkelt oplysning for sig med den virkning, at der, såfremt sådanne hensyn kun gør sig gældende for en del af de i databeskyttelsesforordningens artikel 13, stk. 1-3, og artikel 14, stk. 1-4, nævnte oplysninger, skal gives den registrerede meddelelse om de øvrige oplysninger.

[…]

Efter bestemmelsen i stk. 1 kan undtagelse fra bestemmelserne i databeskyttelsesforordningens artikel 13, stk. 1-3, artikel 14, stk. 1-4, og artikel 15, gøres, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv.

I afvejningen indgår som nævnt på den ene side den registreredes interesse i at få kendskab til de i databeskyttelses databeskyttelsesforordningens artikel 13, stk. 1-3, og artikel 14, stk. 1-4, nævnte oplysninger. Heroverfor står på den anden side hensynet til private interesser, herunder til den pågældende selv. De private interesser, som kan beskyttes efter bestemmelsen, er såvel den dataansvarliges som tredjemands interesser.

Som private interesser, der bl.a. vil kunne begrunde hemmeligholdelse, kan nævnes afgørende hensyn til forretningshemmeligheder, afgørende hensyn til andre involverede personer end den registrerede – f.eks. et mindreårig barn af den registrerede – og afgørende hensyn til forebyggelse, efterforskning og forfølgning af lovovertrædelser samt beskyttelse af vidner.

Endvidere vil bl.a. afgørende hensyn til en dataansvarlig, der indsamler oplysninger om den registrerede, kunne begrunde hemmeligholdelse, eksempelvis hvis formålet med indsamlingen forspildes, hvis den registrerede får kendskab til indsamlingen.

[…]

Med anvendelsen af udtrykket »afgørende« i bestemmelsen er det tilkendegivet, at undtagelse fra oplysningspligten og indsigtsretten kun kan gøres, hvor der er nærliggende fare for, at privates interesser vil lide skade af væsentlig betydning.”

Bech-Bruun har oplyst, at Bech-Bruun med hjemmel i databeskyttelseslovens § 22, ikke har iagttaget oplysningspligten over for klager, da Bech-Bruun har været usikker på, om oplysningerne om klager var korrekte, og idet Bech-Bruun ønskede at udelukke risikoen for, at klager (eller andre involverede) kunne påvirke vidneudsagn – og dermed forløbet af undersøgelsen.

Det er Datatilsynets vurdering, at Bech-Bruuns undladelse af at iagttage oplysningspligten over for klager ikke kunne ske med hjemmel i databeskyttelseslovens § 22.

Der er ved vurderingen lagt vægt på, at Bech-Bruuns usikkerhed om oplysningernes rigtighed efter Datatilsynets opfattelse ikke udgør en interesse, der skal tages afgørende hensyn til, og som derfor i sig selv kan begrunde, at oplysningspligten helt eller delvis undlades.

Det er imidlertid Datatilsynets opfattelse, at hensynet til at hindre, at klager (eller andre involverede) kunne påvirke vidneudsagn, udgør en interesse, der efter omstændighederne kan tages afgørende hensyn til, og som derfor konkret kan begrunde, at opfyldelse af oplysningspligten helt eller delvis undlades.

Datatilsynet har i den forbindelse ikke fundet grundlag for at tilsidesætte Bech-Bruuns vurdering af, at der ved undersøgelsens iværksættelse var et afgørende hensyn at tage hertil, og det er således Datatilsynets opfattelse, at Bech-Bruun (i et vist tidsrum) kunne undlade at opfylde oplysningspligten over for klager.

Dataansvarlige, der – på grund af afgørende hensyn til private eller offentlige interesser – undlader at opfylde oplysningspligten, skal efter Datatilsynets opfattelse imidlertid iagttage denne (helt eller delvis), når forudsætningerne for at undlade at opfylde oplysningspligten er (helt eller delvis) bortfaldet.

Er der derfor ikke længere afgørende hensyn at tage til de(n) private eller offentlige interesse(r), som har begrundet (helt eller delvis) undladelse, skal den dataansvarlige iagttage oplysningspligten.

Efter Datatilsynets opfattelse burde Bech-Bruun derfor løbende have foretaget en vurdering af, om oplysningspligten over for klager kunne iagttages helt eller delvis.

Ligeledes burde Bech-Bruun på tidspunktet, hvor der ikke længere var afgørende hensyn at tage til, at klager (eller andre involverede) kunne påvirke vidneudsagn – f.eks. da alle interviews med undersøgelsens vidner, som klager potentielt ville påvirke, var tilendebragt – have iagttaget oplysningspligten over for klager.

Det har Bech-Bruun undladt, og Datatilsynet finder som følge heraf grundlag for at udtale kritik af, at Bech-Bruun ikke har iagttaget oplysningspligten efter databeskyttelsesforordningens artikel 14 over for klager.

7. Indsigt efter databeskyttelsesforordningens artikel 15

7.1. Parternes bemærkninger

Bech-Bruun har anført, at Bech-Bruun den 14. december 2021 besvarede klagers anmodning om indsigt, som fremkom den 1. december 2021.

Klager modtog i besvarelsen de oplysninger, som Bech-Bruun i henhold til databeskyttelsesforordningens artikel 15, stk. 1, er forpligtet til at give den registrerede.

Bech-Bruun udleverede imidlertid ikke en kopi af de oplysninger, som Bech-Bruun behandlede om klager, idet Bech-Bruun vurderede, at udlevering af en kopi af oplysningerne på det pågældende tidspunkt kunne vanskeliggøre eller forhindre undersøgelsens gennemførelse, da Bech-Bruun ikke havde afsluttet interviews med alle relevante personer.

Bech-Bruun har som grundlag for undladelsen af at udlevere en kopi af oplysningerne om klager henvist til databeskyttelseslovens § 22, stk. 1 og 2. Bech-Bruun har som begrundelse endvidere oplyst, at udlevering af oplysningerne ville stride mod offentlige interesser knyttet til kommunens løsning af undervisningsopgaver og kommunens offentlige og private interesser som offentlig arbejdsgiver i forhold til at kunne foretage retlige reaktioner som ansættelsesmyndighed og ved at fremsætte civilretlige krav.

Derudover har Bech-Bruun anført, at en kopi – i hvert fald på besvarelsestidspunktet den 14. december 2021 – ville kunne stride mod private interesser, idet der var tale om fortrolige, rent private oplysninger om andre registrerede, og at det på tidspunktet endnu ikke havde været mulige at verificere oplysningerne.

Bech-Bruun har endvidere oplyst, at undersøgelsen i slutningen af januar 2022 var så fremskreden, at klager (og klagers advokat) blev inviteret til interview. Interviewet blev afholdt den 2. februar 2022, hvor klager som en del af interviewet blev forelagt de indkomne oplysninger om ham, og hvor klager fik mulighed for at gennemgå og kommentere på oplysningerne.

Klager fik imidlertid heller ikke udleveret en kopi af oplysningerne i den forbindelse, da oplysningerne også vedrørte tredjeparter, hvorfor Bech-Bruun ud fra en konkret vurdering alene forelagde ham oplysningerne.

Klager har anført, at Bech-Bruun har nægtet at udlevere en kopi af oplysninger om ham, som det ellers er påkrævet efter artikel 15, stk. 3.

7.2. Datatilsynets vurdering

Det fremgår af databeskyttelsesforordningens artikel 15, stk. 1, at den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne samt de informationer, som følger af litra a-h.

Af databeskyttelsesforordningens artikel 15, stk. 3, fremgår det, at den dataansvarlige endvidere skal udlevere en kopi af de personoplysninger, der behandles om den registrerede.

Retten til at modtage en kopi af personoplysningerne må efter artikel 15, stk. 4, imidlertid ikke krænke andres rettigheder og frihedsrettigheder.

Den registreredes ret til indsigt kan dog helt eller delvis begrænses, hvis den registreredes interesse i oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv, jf. databeskyttelseslovens § 22, stk. 1.

Tilsvarende kan retten til indsigt helt eller delvis begrænses, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til offentlige interesser, jf. databeskyttelseslovens § 22, stk. 2, herunder navnlig hensynet til de offentlige interesser, som fremgår af stk. 2, nr. 1-10.

Om bestemmelsen fremgår bl.a. følgende af de specielle bemærkninger til § 22[5]:

”Afvejningen af de modstående interesser i forbindelse med begrænsningen af indsigtsretten må tillige foretages for hver enkelt oplysning for sig med den virkning, at den registrerede, såfremt afgørende hensyn til private eller offentlige interesser kun gør sig gældende for en del af de oplysninger, som behandles hos den dataansvarlige, skal gøres bekendt med de øvrige oplysninger. Der er ikke efter bestemmelsen adgang til generelt at undtage bestemte former for behandling af oplysninger fra indsigtsretten.

Efter bestemmelsen i stk. 1 kan undtagelse fra bestemmelserne i databeskyttelsesforordningens artikel 13, stk. 1-3, artikel 14, stk. 1-4, og artikel 15, gøres, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv.

I afvejningen indgår som nævnt på den ene side den registreredes interesse i at få kendskab til de i databeskyttelses databeskyttelsesforordningens artikel 13, stk. 1-3, og artikel 14, stk. 1-4, nævnte oplysninger. Heroverfor står på den anden side hensynet til private interesser, herunder til den pågældende selv. De private interesser, som kan beskyttes efter bestemmelsen, er såvel den dataansvarliges som tredjemands interesser.

Som private interesser, der bl.a. vil kunne begrunde hemmeligholdelse, kan nævnes afgørende hensyn til forretningshemmeligheder, afgørende hensyn til andre involverede personer end den registrerede – f.eks. et mindreårig barn af den registrerede – og afgørende hensyn til forebyggelse, efterforskning og forfølgning af lovovertrædelser samt beskyttelse af vidner.

Endvidere vil bl.a. afgørende hensyn til en dataansvarlig, der indsamler oplysninger om den registrerede, kunne begrunde hemmeligholdelse, eksempelvis hvis formålet med indsamlingen forspildes, hvis den registrerede får kendskab til indsamlingen.

I stk. 1 fastsættes det endvidere, i hvilket omfang den dataansvarlige kan undlade at give den registrerede ret til indsigt efter forordningens artikel 15. Af bestemmelsen følger, at den registrerede ikke har krav på indsigt, hvis vedkommendes interesse i at få kendskab til oplysninger findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv.

Efter en konkret vurdering vil det være muligt at nægte indsigt i oplysninger, hvis dette vil medføre, at virksomhedens forretningsgrundlag, forretningspraksis eller know-how derved vil lide væsentlig skade. Det vil endvidere efter en konkret vurdering være muligt at nægte indsigt i interne vurderinger af, hvorvidt virksomheden på basis af foreliggende oplysninger vil indgå et kontraktforhold, ændre et bestående kontraktforhold, stille særlige vilkår for fortsættelse, eventuelt helt opsige et kontraktforhold og lignende tilfælde. På samme måde vil det efter omstændighederne være muligt at nægte indsigt i f.eks. et notat, der vurderer, hvorvidt der er udsigt til, at en bestemt retssag mod en kunde kan vindes, eller et internt notat i en sag, der påpeger mulige tegn på, at en kunde har forsøgt at udøve forsikringssvig over for et forsikringsselskab eller forsøgt at unddrage sig forpligtelsen i medfør af f.eks. en lånekontrakt.

[…]

Med anvendelsen af udtrykket »afgørende« i bestemmelsen er det tilkendegivet, at undtagelse fra oplysningspligten og indsigtsretten kun kan gøres, hvor der er nærliggende fare for, at privates interesser vil lide skade af væsentlig betydning.”

Datatilsynet finder på baggrund af sagens oplysninger, at Bech-Bruuns undladelse af at udlevere en kopi af oplysninger om klager ikke kunne ske inden for rammerne af databeskyttelseslovens § 22, stk. 1 og 2.

Datatilsynet har ikke fundet grundlag for at tilsidesætte Bech-Bruuns vurdering af, at en kopi af oplysninger om klager ikke kunne udleveres på tidspunktet for besvarelsen af klagers anmodning om indsigt (den 14. december 2021), da afgørende hensyn til undersøgelsens gennemførelse – særligt gennemførelse af interviews med relevante vidner – talte imod udlevering.

Bech-Bruun kunne efter Datatilsynets opfattelse imidlertid ikke fortsat afvise at udlevere en kopi af oplysninger om klager med henvisning hertil på tidspunktet, hvor afgørende hensyn til gennemførelse af interviews ikke længere gjorde sig gældende.

Dette tidspunkt indfandt sig efter Datatilsynets opfattelse på tidspunktet, hvor Bech-Bruun havde afsluttet alle (i forhold til klager) relevante interviews og senest, da klager den 27. januar 2022 blev inviteret til at deltage i et interview, hvor klager bl.a. fik adgang til oplysningerne om ham.

Ved vurderingen har Datatilsynet endvidere lagt vægt på, at oplysningernes manglende verificering hverken udgør en privat eller offentlig interesse, som i sig selv kan berettige, at personoplysninger undtages efter databeskyttelseslovens § 22. Tilsynet bemærker i den forbindelse, at indsigtsretten netop har til formål at give registrerede (herunder klager) adgang til at kontrollere oplysningernes rigtighed og behandlingens lovlighed.[6]

Datatilsynet har herudover tillagt det vægt, at Bech-Bruun ikke i tilstrækkelig grad har godtgjort, at afgørende hensyn til Københavns Kommunes interesser – for så vidt angår tilrettelæggelse af undervisningsopgaver eller som offentlig arbejdsgiver – skulle nødvendiggøre, at klager ikke kunne modtage en kopi af oplysninger om ham selv, som det er udgangspunktet efter databeskyttelsesforordningens artikel 15, stk. 3.

Datatilsynet bemærker i den forbindelse, at der – som anført ovenfor – med anvendelsen af udtrykket »afgørende« er tilkendegivet, at undtagelse fra bl.a. indsigtsretten kun kan gøres, hvor der er nærliggende fare for, at private interesser vil lide skade af væsentlig betydning. En sådan nærliggende fare for, at Københavns Kommune ville lide skade af væsentlig betydning har Bech-Bruun ikke påvist.

Endelig er det ud fra sagens oplysninger Datatilsynets opfattelse, at Bech-Bruun – henset til at oplysningerne, som vedrører klager, i lyset af undersøgelsens formål må antages overvejende at vedrøre klagers (påståede) adfærd som underviser på Sankt Annæ Gymnasium – ikke i tilstrækkeligt omfang har redegjort for, hvorfor klager ikke (i et vist omfang) kunne modtage (delvis) kopi af oplysningerne om ham.

Datatilsynet henviser i den forbindelse til de ovenfor citerede specielle bemærkninger til § 22, hvoraf det fremgår, at der skal foretages en konkret vurdering af hver enkelt oplysning med den virkning, at der eventuelt alene kan undtages dele af oplysningerne fra retten til indsigt.  

Datatilsynet finder herefter grundlag for at udtale alvorlig kritik af Bech-Bruuns håndtering af klagers indsigtsanmodning for så vidt angår databeskyttelsesforordningens artikel 15, stk. 3.

Datatilsynet meddeler endvidere Bech-Bruun påbud om:

• at tage stilling til, om betingelserne for at udlevere en kopi af oplysninger om klager efter databeskyttelsesforordningens artikel 15, stk. 3 er opfyldt, og
• at meddele klager, om udlevering af en kopi af oplysninger om klager imødekommes eller afslås.

Hvis Bech-Bruun vurderer, at udlevering af en kopi af oplysninger om klager (helt eller delvist) skal afvises, skal Bech-Bruun som en del af påbuddet give klager oplysninger om årsagen hertil.

Afgørelsen skal meddeles snarest muligt og senest 4 uger fra dags dato.

Påbuddet meddeles i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra c.

Ifølge databeskyttelseslovens § 41, stk. 2, nr. 5, straffes med bøde eller fængsel i op til 6 måneder den, der undlader at efterkomme et påbud meddelt af Datatilsynet i medfør af databeskyttelsesforordningens artikel 58, stk. 2.

 

 

[1]   Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).

[2]   Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).

[3]   L 31 af 4. oktober 2017, Forslag til lov om ændring af straffeloven, lov om forældelse af fordringer, lov om erstatningsansvar og lov om erstatning fra staten til ofre for forbrydelser, afsnit 2.2.3. (Vedtaget ved lov nr. 140 af 28. februar 2018 om ændring af straffeloven, lov om forældelse af fordringer, lov om erstatningsansvar og lov om erstatning fra staten til ofre for forbrydelser).

[4]   L 68 af 25. oktober 2017, Forslag til lov om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven), side 190 f.

[5]   L 68 af 25. oktober 2017, Forslag til lov om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven), side 190 f.

[6]   Se bl.a. præambelbetragtning nr. 63 til databeskyttelsesforordningen.