Journalnumer: 2021-31-5542
Resume
I september 2021 klagede klager til Datatilsynet over, at det Konservative Folkeparti og Plesner Advokatpartnerselskab havde behandlet oplysninger om ham i en advokatundersøgelse.
Undersøgelsen blev gennemført af Plesner Advokatpartnerselskab på vegne af det Konservative Folkeparti med det formål at afdække forløbet vedrørende flere anklager om påståede seksuelle krænkelser og overgreb, som var fremsat over for klager i dagspressen.
Datatilsynet har i sagen fundet, at det Konservative Folkepartis og Plesner Advokatpartnerselskabs behandling af oplysninger om klager – heriblandt oplysninger om muligt strafbare forhold og oplysninger om seksuelle forhold – skete inden for rammerne af databeskyttelsesforordningen og databeskyttelsesloven.
Datatilsynet har imidlertid fundet grundlag for at kritisere, at hverken det Konservative Folkeparti eller Plesner Advokatpartnerselskab i tilstrækkelig grad opfyldte den databeskyttelsesretlige oplysningspligt over for klager i forbindelse med advokatundersøgelsens gennemførelse.
Det har Datatilsynet ikke forholdt sig til
Sagen indgår – ligesom en af tilsynets tidligere afgørelser fra februar 2022 – i en debat, der rækker langt ud over det databeskyttelsesretlige. I vurderingen af sagen har Datatilsynet udelukkende forholdt sig til det juridiske i forhold til indsamlingen og den videre behandling af oplysninger om klager.
Datatilsynet har derfor heller ikke forholdt sig til, om det Konservative Folkeparti havde retligt grundlag for at ekskludere klager, da dette ligger uden for tilsynets kompetence.
Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor [X] (herefter klager) den 16. september 2021 har klaget til tilsynet over, at det Konservative Folkeparti (herefter KF) og Plesner Advokatpartnerselskab (herefter Plesner) har behandlet oplysninger om ham i en advokatundersøgelse.
Datatilsynet bemærker, at nærværende afgørelse er en stillingtagen til sagerne med Datatilsynets j.nr. 2021-31-5542 og 2021-31-5543.
1. Afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at KF’s og Plesners behandling af oplysninger om klager er sket inden for rammerne af reglerne i databeskyttelsesforordningen[1], jf. artikel 6 og artikel 9 samt databeskyttelseslovens[2] § 8.
Datatilsynet finder imidlertid grundlag for at udtale kritik af, at KF og Plesner ikke i tilstrækkelig grad har opfyldt oplysningspligten efter databeskyttelsesforordningens artikel 14.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Det fremgår af sagen, at Danmarks Radio (DR) den 2. juli 2021 bragte en artikel, hvori fem kvinder anklagede klager for seksuelle krænkelser.
Som følge heraf anmodede KF den 2. juli 2021 Plesner om at foretage en advokatundersøgelse.
Den 5. juli 2021 blev et kommissorium for advokatundersøgelsen aftalt mellem KF og Plesner. Heraf fremgik bl.a.:
”1 BAGGRUND
Det Konservative Folkeparti har den 2. juli 2021 besluttet at iværksætte en ekstern advokatundersøgelse af de alvorlige anklager om påståede seksuelle krænkelser og overgreb, som er fremsat i dagspressen over for [X].
2 ADVOKATUNDERSØGELSENS AFGRÆNSNING
Plesner skal foretage en faktuel undersøgelse af de klager, der er fremsat i dagspressen vedrørende [X’s] påståede seksuelle krænkelser og overgreb. Plesner skal i den forbindelse også undersøge, om det er muligt at få mere information fra de anonyme klagere, og om de ønsker at oplyse deres identitet.
Plesner skal yderligere behandle eventuelle efterfølgende supplerende klager eller indberetninger.
3 ADVOKATUNDERSØGELSENS GENNEMFØRELSE
Plesner har mulighed for at indhente skriftlig dokumentation samt afholde interviews. Alle interviews vil være baseret på frivillighed, og de interviewede vil blive givet mulighed for at møde med bisidder. Alle interviews vil blive indledt med vejledning til de interviewede om, at de på et hvilket som helst tidspunkt under interviewet har mulighed for at bede om en pause eller tilkendegive, at de ikke ønsker at fortsætte interviewet.
Der vil blive skrevet referater af alle interviews, og de interviewede vil få mulighed for at gennemgå og kommentere referatet fra deres eget interview. Referaterne udgør Plesners interne arbejdsdokumenter og vil ikke blive sendt til Det Konservative Folkeparti sammen med Plesners afrapportering.
Såfremt en interviewet person meddeler, at vedkommende ønsker anonymitet, vil interviewet alligevel blive gennemført, men vedkommende vil i så fald indledningsvis blive vejledt om, at Plesner som følge af anonymiteten muligvis vil undlade at tillægge oplysningerne sædvanlig vægt, såfremt en normal bevismæssig anvendelse af oplysningerne vil give anledning til retssikkerhedsmæssige betænkeligheder.
[X] vil også blive tilbudt interview. Hertil kommer, at når alle planlagte interviews er gennemført, vil [X] blive tilbudt mulighed for at deltage i et interview, hvor han vil få mulighed for at blive gjort bekendt med og kommentere på de væsentligste forhold, Plesner har afdækket gennem undersøgelsen. Deltagelsen i undersøgelsen vil for [X] være gjort betinget af, at han forinden underskriver erklæring om tavshed, mens undersøgelsen pågår, og at han undlader at kontakte personer, han bliver bekendt med har afgivet oplysninger til Plesner. […]”
Den 7. juli 2021 modtog klagers advokat en mail med en invitation til et interview fra Plesner. Af mailen fremgik bl.a. følgende:
”[…]
Den interviewedes rettigheder
Ud over det ovenfor anførte […] kan vi oplyse, at advokatundersøgelsen generelt har til hensigt at fastlægge forløbet vedrørende de alvorlige anklager om påståede seksuelle krænkelser og overgreb, som er fremsat i dagspressen over for [X].
[…]
Oplysningspligt
Jeg skal som undersøgende advokat sørge for at iagttage oplysningspligten ifølge de databeskyttelsesretlige regler. Det indebærer, at jeg hermed skal orientere om, at f.eks. mails og øvrig korrespondance fra og til [X] vil blive indsamlet og gennemgået som led i formålet med undersøgelsen.”
Interviewet med klager blev afholdt den 9. juli 2021.
Plesner gennemførte herefter interviews med de kvinder, som havde foretaget indberetninger, hvorefter der den 23. juli 2021 igen blev gennemført et interview med klager. I forbindelse med interviewet blev klager forelagt de væsentligste forhold, som Plesner havde afdækket, herunder gennem interviews med de kvinder, som havde foretaget indberetninger.
Den 12. august 2021 blev der afholdt et afsluttende møde med klager og klagers advokat.
Undersøgelsen blev herefter afsluttet den 16. august 2021, hvor Plesner afrapporterede til KF, hvorved KF modtog en redegørelse samt et bilag A med dertilhørende underbilag. Bilag A indeholdt en beskrivelse af de enkelte indberetninger, klagers kommentarer og yderligere oplysninger til de enkelte indberetninger. Af bilag A fremgik ifølge Plesner strengt fortrolige oplysninger og i et vist omfang også følsomme personoplysninger.
Klager klagede herefter til Datatilsynet den 16. september 2021, hvorefter Datatilsynet den 20. september 2021 sendte klagen i høring og anmodede henholdsvis KF og Plesner om en udtalelse til sagen.
Den 16. november 2021 fremkom Plesner på vegne af KF og Plesner selv med udtalelser til sagen.
Udtalelserne blev sendt til klager den 18. november 2021. Klager er ikke fremkommet med bemærkninger hertil.
3. KF’s og Plesners behandling af personoplysninger
3.1. Parternes bemærkninger
KF og Plesner har overordnet anført, at Plesner på vegne af KF har gennemført en advokatundersøgelse. Hertil har KF og Plesner henvist til Danske Advokaters praktiske vejledning til udførelse af advokatundersøgelser, hvori forskellige former for advokatundersøgelser er beskrevet. Følgende fremgår af vejledningens side 2:
”Begrebet advokatundersøgelser har været anvendt og anvendes fortsat i praksis om en række forskellige former for undersøgelser. Det kan være omfattende advokat-undersøgelser, der anvendes som alternativ til nedsættelsen af en undersøgelseskommission. Men det kan også være en advokats undersøgelse af faktiske forhold, f.eks. i den virksomhed, som advokaten er rådgiver for, eller en undersøgelse af de faktiske og retlige forhold hos en offentlig myndighed eller en privat virksomhed, herunder mere politisk betonede undersøgelser. Advokatundersøgelser dækker således over undersøgelser som led i det almindelige advokatarbejde til uvildige undersøgelser og til egentlige granskninger.”
Undersøgelsen i forhold til klager var aftalt som en undersøgelse, der havde til formål at belyse de faktuelle forhold vedrørende de beskyldninger, som offentligt var fremsat mod klager, således at KF fik mulighed for at foretage en vurdering af, om klager fortsat kunne være medlem af KF og den konservative folketingsgruppe.
KF iværksatte ikke selv undersøgelsen, da partiet ikke har ressourcer til og erfaring med sådanne undersøgelser, og partiet besluttede derfor at benytte sin advokat – Plesner – hertil.
Undersøgelsen var ikke offentlig, og der var således tale om fortrolig rådgivning af partiet i form af en belysning af faktuelle forhold.
Som en del af undersøgelsen indsamlede og behandlede KF og Plesner oplysninger om klager. Disse oplysninger udgjorde oplysninger omfattet af databeskyttelsesforordningens artikel 6 og artikel 9 samt databeskyttelseslovens § 8.
KF og Plesner har uddybende forklaret, at en stor del af oplysningerne, der blev indsamlet om klager, udgjorde oplysninger omfattet af databeskyttelsesforordningens artikel 6. Derudover blev der behandlet oplysninger om klagers seksuelle forhold omfattet af databeskyttelsesforordningens artikel 9 samt oplysninger, som ville kunne karakteriseres som oplysninger om muligt strafbare forhold efter databeskyttelseslovens § 8.
Behandling af de pågældende oplysninger er, for så vidt angår KF, sket med hjemmel i databeskyttelsesforordningens artikel 6, stk. 1, litra f, databeskyttelseslovens § 8, stk. 3, 2. punktum, og databeskyttelsesforordningens artikel 9, stk. 2, litra d.
I forhold til databeskyttelsesforordningens artikel 6, stk. 1, litra f, har KF og Plesner anført, at KF havde en legitim interesse i at få belyst de faktuelle forhold i relation til de påståede seksuelle krænkelser og overgreb begået af klager. Denne belysning af de faktuelle forhold var af afgørende betydning for KF’s mulighed for at vurdere, om klager fortsat kunne være medlem af KF og den konservative folketingsgruppe.
KF og Plesner har i den forbindelse oplyst, at det fremgår af § 26 i KF’s vedtægter, at hovedbestyrelsen kan ekskludere et medlem af partiet, hvis medlemmet i afgørende spørgsmål modarbejder partiets politik og virke eller overtræder partiets vedtægter. KF og Plesner har endvidere oplyst, at de faktiske forhold, som blev belyst i advokatundersøgelsen, medførte, at KF den 18. august 2021 meddelte klager, at han ikke længere kunne være medlem af KF og partiets folketingsgruppe.
Til databeskyttelseslovens § 8, stk. 3, 2. pkt., har KF og Plesner uddybende oplyst, at behandling af oplysninger om muligt strafbare forhold har været nødvendigt for, at KF kunne varetage en berettiget interesse i at få belyst de faktuelle forhold i relation til de påståede seksuelle krænkelser og overgreb.
KF’s interesse i at få belyst de faktuelle forhold i relation til de påståede seksuelle krænkelser og overgreb begået af klager – for dermed at kunne foretage en vurdering af, om klager fortsat kunne være medlem af KF og partiets folketingsgruppe – overstiger efter KF’s vurdering klart hensynet til klager.
Endelig har KF og Plesner i forhold til databeskyttelsesforordningens artikel 9, stk. 2, litra d, anført, at KF er et politisk parti, som ikke arbejder med gevinst for øje, og at partiet derfor internt kan behandle oplysninger omfattet af databeskyttelsesforordningens artikel 9 om sine medlemmer, når det sker som led i partiets legitime aktiviteter.
Det er efter KF’s opfattelse en legitim aktivitet for partiet at foretage en grundig intern undersøgelse af klagers forhold, herunder seksuelle forhold, når han i offentligheden beskyldes for at have begået seksuelle krænkelser og overgreb – især når klager er et højtprofileret folketingsmedlem.
Klagers eventuelle handlinger begået i arbejdsrelaterede og/eller private sammenhænge kan således – hvis det ikke undersøges og håndteres korrekt – få direkte betydning for KF, herunder i forhold til partiets anseelse blandt befolkningen. Det er derfor legitimt for KF at behandle oplysninger om klagers seksuelle forhold til brug for en intern vurdering af, om klager fortsat kan være medlem af KF og partiets folketingsgruppe.
Afslutningsvis har KF og Plesner bemærket, at Plesner ved gennemførelsen af advokatundersøgelsen for KF løbende har vurderet, hvilke oplysninger det var nødvendigt at indsamle for at kunne belyse de relevante faktiske forhold i sagen. Plesner har derved via disse løbende vurderinger sikret, at de grundlæggende principper i databeskyttelsesforordningens artikel 5, herunder artikel 5, stk. 1, litra c, om dataminimering, er blevet iagttaget.
I forhold til Plesners behandlingsgrundlag har Plesner forklaret, at Plesner alene har behandlet oplysninger om klager med det formål at udarbejde en advokatundersøgelse for KF i overensstemmelse med det aftalte kommissorium. Plesner er derfor som advokat for KF ”indtrådt” i KF’s behandlingshjemmel, hvorved Plesner har kunnet behandle de samme personoplysninger som sin klient KF.
Behandlingsgrundlaget for almindelige, ikke-følsomme personoplysninger har været databeskyttelsesforordningens artikel 6, stk. 1, litra f, idet Plesners klient, KF, har haft en legitim interesse i at få belyst de faktuelle forhold i relation til de påståede seksuelle krænkelser og overgreb begået af klager.
Plesner har endvidere behandlet oplysninger om muligt strafbare forhold i medfør af databeskyttelseslovens § 8, stk. 3, 2. pkt., da behandling af de pågældende oplysninger var nødvendig, for at KF kunne varetage en berettiget interesse i at få belyst de faktuelle forhold i relation til de påståede seksuelle krænkelser og overgreb.
Endelig er det anført, at behandlingsgrundlaget for Plesners behandling af oplysninger om klagers seksuelle forhold har været databeskyttelsesforordningens artikel 9, stk. 2, litra d og f.
I relation hertil har Plesner anført, at for så vidt angår artikel 9, stk. 2, litra d, indtræder Plesner i KF’s behandlingsgrundlag.
I det omfang Datatilsynet måtte finde, at Plesner ikke kan indtræde i KF’s behandlingsgrundlag, er det Plesners vurdering, at Plesner kunne behandle oplysninger om klagers seksuelle forhold, jf. databeskyttelsesforordningens artikel 9, stk. 2, litra f, da Plesners behandling af de pågældende oplysninger var nødvendigt for, at KF kunne foretage en vurdering af, om klager fortsat kunne være medlem af KF og den konservative folketingsgruppe. Plesner bistod i den forbindelse KF med fortrolig rådgivning i form af belysning af faktuelle forhold.
Det er i den forbindelse Plesners opfattelse, at begrebet ”retskrav” i artikel 9, stk. 2, litra f, ikke bør fortolkes indskrænkende, og at begrebet således også bør kunne rumme andre situationer end klassiske tvister, der ofte vil blive indbragt for domstolene, som f.eks. myndighedsafgørelser og afgørelser fra forsikringsselskaber om udbetaling af erstatning mv.
Plesner har som støtte herfor henvist til det engelske datatilsyn (ICO), der på sin hjemmeside skriver følgende om begrebet ”retskrav”:
”Legal claims
You must show that the purpose of the processing is to establish, exercise or defend legal claims. `legal claims´ in this context is not limited to current legal proceedings. It includes processing necessary for:
- actual or prospective court proceedings;
- obtaining legal advice; or
- establishing, exercising or defending legal rights in any other way.”
Klager har overordnet anført, at han har været genstand for en advokatundersøgelse foretaget af Plesner på vegne af KF.
Han deltog alene i undersøgelsen, fordi han ikke havde noget reelt valg. Det skyldes, at der allerede var fremsat meget grove beskyldninger mod ham i medierne, og at disse beskyldninger ville stå uimodsagt, hvis han ikke havde deltaget i undersøgelsen.
Klager har af disse grunde derfor ikke samtykket til den omfattende behandling af oplysninger om hans seksuelle forhold, der er foretaget af Plesner på vegne af KF.
3.2. Datatilsynets vurdering af KF’s og Plesners behandling af personoplysninger
3.2.1. Behandling af oplysninger om klager efter databeskyttelsesforordningens artikel 6
KF og Plesner har til sagen anført, at oplysninger om klager omfattet af databeskyttelsesforordningens artikel 6, er behandlet på baggrund af artikel 6, stk. 1, litra f.
Efter denne bestemmelse kan personoplysninger behandles, hvis behandling er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor.
Bestemmelsen opstiller dermed tre betingelser, som alle skal være opfyldt, for at bestemmelsen finder anvendelse:
- Behandlingen skal forfølge den dataansvarliges eller en tredjemands legitime interesse.
- Behandlingen skal være nødvendig i forhold til formålet.
- Den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, som kræver beskyttelse af personoplysninger, skal afvejes over for den dataansvarliges legitime interesse, og må ikke gå forud for denne interesse.
Det er Datatilsynets opfattelse, at KF forfulgte en legitim interesse, da KF – med bistand fra Plesner – besluttede at gennemføre en nærmere undersøgelse af de fremsatte beskyldninger mod klager med det formål at tilvejebringe et faktuelt beslutningsgrundlag i forhold til vurderingen af, om klager fortsat kunne være medlem af KF og KF’s folketingsgruppe.
Datatilsynet har ikke fundet grundlag for at tilsidesætte vurderingen af, at behandlingen af oplysningerne om klager var nødvendig i forhold til undersøgelsens formål, og det er Datatilsynets opfattelse, at klagers interesser eller grundlæggende rettigheder og frihedsrettigheder ikke gik forud for KF’s legitime interesse i at behandle de pågældende oplysninger i forbindelse med undersøgelsens gennemførelse.
Ved vurderingen heraf er der bl.a. lagt vægt på, at der på tidspunktet for undersøgelsens iværksættelse offentligt var fremsat beskyldninger mod klager; karakteren af de fremsatte beskyldninger; og at klager på tidspunktet for undersøgelsens gennemførelse var et højtprofileret medlem af den konservative folketingsgruppe, som dermed repræsenterede KF i Folketinget og udadtil i det danske samfund.
Sammenfattende er det således Datatilsynets vurdering, at KF’s og Plesners behandling af oplysninger om klager i forbindelse med den pågældende advokatundersøgelse er foretaget inden for rammerne af databeskyttelsesforordningens artikel 6, stk. 1, litra f.
3.2.2. Behandling af oplysninger om (muligt) strafbare forhold efter databeskyttelseslovens § 8
KF og Plesner har anført, at behandling af oplysninger om muligt strafbare forhold vedrørende klager er sket med hjemmel i databeskyttelseslovens § 8, stk. 3, 2. pkt.
Det fremgår af bestemmelsen, at private kan behandle oplysninger om strafbare forhold, hvis det er nødvendigt til varetagelse af en berettiget interesse og denne interesse klart overstiger hensynet til den registrerede.
Databeskyttelseslovens § 8, stk. 3, 2. pkt., indeholder således en skærpet vurdering i forhold til databeskyttelsesforordningens artikel 6, stk. 1, litra f, idet den berettigede interesse klart skal overstige hensynet til den registrerede – i dette tilfælde klager.
Det er som anført ovenfor under pkt. 3.2.1. Datatilsynets opfattelse, at KF forfulgte en legitim interesse, da KF besluttede at gennemføre en undersøgelse af de beskyldninger, som var fremsat mod klager, for at vurdere, om klager fortsat kunne være medlem af KF og den konservative folketingsgruppe. Det er endvidere Datatilsynets opfattelse, at interessen i at behandle oplysninger om klager var berettiget.
Datatilsynet har ikke fundet grundlag for at tilsidesætte KF’s og Plesners vurdering af nødvendigheden af at inddrage oplysninger om muligt strafbare forhold vedrørende klager i undersøgelsen.
Endvidere er det – henset til karakteren af de fremkomne beskyldninger og klagers position som medlem af KF og den konservative folketingsgruppe – Datatilsynets vurdering, at KF’s berettigede interesse i at behandle oplysninger om muligt strafbare forhold vedrørende klager i forbindelse med den pågældende undersøgelse klart overstiger hensynet til klager. Der er i den forbindelse lagt vægt på samme forhold, som anført ovenfor under pkt. 3.2.1,
Det er som følge heraf Datatilsynets vurdering, at KF’s og Plesners behandling af oplysninger om muligt strafbare forhold vedrørende klager i forbindelse med advokatundersøgelsen kunne ske inden for rammerne af databeskyttelseslovens § 8, stk. 3, 2. pkt.
3.2.3. Behandling af oplysninger om seksuelle forhold, jf. databeskyttelsesforordningens artikel 9
KF og Plesner har i forhold til oplysninger om klagers seksuelle forhold oplyst, at behandlingsgrundlaget herfor er databeskyttelsesforordningens artikel 9, stk. 2, litra d.
Af denne bestemmelse fremgår det, at behandling af oplysninger omfattet af artikel 9 kan ske, hvis behandlingen foretages af en stiftelse, en sammenslutning eller et andet organ, som ikke arbejder med gevinst for øje, og hvis sigte er af politisk, filosofisk, religiøs eller fagforeningsmæssig art, som led i organets legitime aktiviteter og med de fornødne garantier, og på betingelse af at behandlingen alene vedrører organets medlemmer, tidligere medlemmer eller personer, der på grund af organets formål er i regelmæssig kontakt hermed, og at personoplysningerne ikke videregives uden for organet uden den registreredes samtykke.
Følgende fremgår af Justitsministeriets betænkning nr. 1565[3] om bestemmelsen:
”3.8.2.4. Persondatalovens § 7, stk. 4 (der svarer til databeskyttelsesforordningens artikel 9, stk. 2, litra d)
Det følger af persondatalovens § 7, stk. 4, at en stiftelse, en forening eller en anden almennyttig organisation, hvis sigte er af politisk, filosofisk, religiøs eller faglig art, inden for rammerne af sin virksomhed kan foretage behandling af de i stk. 1 nævnte oplysninger om organisationens medlemmer eller personer, der på grund af organisationens formål er i regelmæssig kontakt med denne. Videregivelse af sådanne oplysninger kan dog kun finde sted, hvis den registrerede har meddelt sit udtrykkelige samtykke hertil, eller behandlingen er omfattet af stk. 2, nr. 2-4, eller stk. 3.
Persondatalovens § 7, stk. 4, er baseret på databeskyttelsesdirektivets artikel 8, stk. 2, litra d, hvoraf det følger, at forbuddet i stk. 1 ikke gælder, hvis behandlingen foretages af en stiftelse, en forening eller et andet almennyttigt organ, hvis sigte er af politisk, filosofisk, religiøs eller faglig art, som led i organets legitime aktiviteter og med de fornødne garantier, på betingelse af, at behandlingen alene vedrører organets medlemmer eller personer, der på grund af organets formål er i regelmæssig kontrakt hermed, og at oplysningerne ikke videregives til tredjemand uden den registreredes samtykke.
Det fremgår af præambelbetragtning nr. 33 til databeskyttelsesdirektivet, at oplysninger, som ifølge deres art kan krænke de grundlæggende frihedsrettigheder eller privatlivets fred, ikke må gøres til genstand for behandling uden den registreredes udtrykkelige samtykke; der skal dog udtrykkeligt gives mulighed for undtagelser fra dette forbud for at imødekomme visse behov, bl.a. navnlig i forbindelse med visse foreningers eller stiftelsers legitime aktiviteter, hvis formål er at sikre udøvelsen af grundlæggende frihedsrettigheder.
Det fremgår af bemærkningerne til persondataloven, at organisationens sigte skal forstås bredt. Omfattet af bestemmelsen vil således være ikke-kommercielle organisationer, som må anses for at have en samfundsmæssig betydning. Dette vil bl.a. kunne være tilfældet for så vidt angår sammenslutninger af personer med samme seksuelle baggrund eller sygdom eller sammenslutninger, der beskæftiger sig med f.eks. indvandrer- eller flygtningespørgsmål.
[…]
Endelig fremgår det af bemærkningerne til persondataloven, at i kravet om, at behandlingen af oplysninger skal ligge inden for rammerne af organisationens virksomhed, ligger, at der skal være tale om behandling af oplysninger, som ikke står i modstrid med organisationens formål, således som dette måtte fremgå af bl.a. organisationens vedtægter. […]”
Tilsvarende fremgår af Databeskyttelsesforordningen og databeskyttelsesloven med kommentarer[4].
Hvorvidt oplysninger omfattet af databeskyttelsesforordningens artikel 9 kan behandles på baggrund af artikel 9, stk. 2, litra d, beror således på, om behandling af de pågældende personoplysninger sker som led i organisationens legitime aktiviteter.
Vurderingen af, hvad der kan anses for at falde under en organisations legitime aktiviteter, skal foretages med udgangspunkt i organisationens formål, herunder bl.a. hvordan formålet udtrykkes i organisationens vedtægter.
Anvendelse af databeskyttelsesforordningens artikel 9, stk. 2, litra d, forudsætter således efter Datatilsynets opfattelse en vis sammenhæng mellem organisationens formål – og dermed det, der anses for at falde under en organisations legitime aktiviteter – og den personoplysning, som påtænkes behandlet. Et eksempel på en sådan sammenhæng er f.eks. en politisk organisations behandling af oplysninger om dens medlemmers politiske overbevisning.
Det er Datatilsynets opfattelse, at organisationer – som forstået efter forordningens artikel 9, stk. 2, litra d – alene kan behandle de personoplysninger, som oplistes i forordningens artikel 9, stk. 1, i det omfang der er en sammenhæng mellem organisationens formål og den pågældende personoplysning. En organisation vil dermed ikke nødvendigvis kunne behandle alle oplysninger, der er oplistet i artikel 9, stk. 1, på baggrund af forordningens artikel 9, stk. 2, litra d.
Datatilsynet bemærker i den forbindelse, at KF – ifølge partiets vedtægter, som er offentligt tilgængelige på partiets hjemmeside – har til formål ”at samle alle, der tilslutter sig partiets program, og at virke for udbredelsen af konservative holdninger.”
Gennemførelse af advokatundersøgelsen – og den deraf følgende behandling af oplysninger om klagers seksuelle forhold – kan på baggrund af KF’s formål efter Datatilsynets opfattelse ikke anses for at være sket som et led i KF’s legitime aktiviteter, og behandling af oplysninger om klagers seksuelle forhold kunne derfor ikke ske på baggrund af databeskyttelsesforordningens artikel 9, stk. 2, litra d.
Det er imidlertid tilsynets vurdering, at KF’s og Plesners behandling af oplysninger om klagers seksuelle forhold kunne ske inden for rammerne af databeskyttelsesforordningens artikel 9, stk. 2, litra f.
Efter denne bestemmelse kan oplysninger om bl.a. seksuelle forhold behandles, såfremt behandling er nødvendig, for at retskrav kan fastlægges, gøres gældende eller forsvares, eller når domstolene handler i deres egenskab af domstol.
Af præambelbetragtning nr. 52 til databeskyttelsesforordningen følger endvidere, at artikel 9, stk. 2, litra f, kan anvendes, uanset om det er i forbindelse med en retssag eller en administrativ eller udenretslig procedure.
Det fremgår af § 26, stk. 1, i KF’s vedtægter, at hovedbestyrelsen kan ekskludere et eller flere medlemmer af partiet, hvis vedkommende i afgørende spørgsmål modarbejder partiets politik og virke eller overtræder partiets vedtægter.
Det (mulige) retskrav, som efter Datatilsynets opfattelse kunne danne grundlag for behandling af oplysninger om klagers seksuelle forhold, udspringer af klagers medlemskab af KF, sammenholdt med de reaktionsmuligheder i forhold til partiets medlemmer, som KF’s vedtægter indeholder.
På den baggrund finder Datatilsynet ikke grundlag for at tilsidesætte vurderingen af behovet for at behandle oplysninger om klagers seksuelle forhold med henblik på nærmere at undersøge de beskyldninger, der var fremsat mod klager, og som følge heraf vurdere, hvorvidt klager fortsat kunne være medlem af KF og den konservative folketingsgruppe.
4. KF’s og Plesner opfyldelse af oplysningspligten
4.1.
KF og Plesner har anført, at når man melder sig ind i KF, skal man bl.a. acceptere partiets Medlems- og Handelsbetingelser, som der linkes til ved indmeldelsen.
Privatlivspolitikken er en del af Medlems- og Handelsbetingelserne, og klager er således blevet præsenteret for privatlivspolitikken i forbindelse med indmeldelsen i partiet. En kopi af privatlivspolitikken er fremlagt for Datatilsynet.
Endvidere har KF og Plesner anført, at klager ved advokatundersøgelsens start blev inviteret til en samtale via e-mail. I mailen fremgik et link til Plesners generelle privatlivspolitik, som Plesner har fremlagt for Datatilsynet.
4.2. Datatilsynets vurdering af KF’s og Plesners opfyldelse af oplysningspligten
Det fremgår af databeskyttelsesforordningens artikel 14, at såfremt personoplysninger ikke er indsamlet hos den registrerede, skal den dataansvarlige give den registrerede de oplysninger, som følger af artikel 14, stk. 1, litra a-f.
Ifølge artikel 14, stk. 2, skal den dataansvarlige endvidere give den registrerede de oplysninger, som fremgår af bestemmelsens litra a-g, i det omfang det er nødvendigt for at sikre en rimelig og gennemsigtig behandling for så vidt angår den registrerede.
Det er Datatilsynets opfattelse, at KF og Plesner ikke i tilstrækkelig grad har iagttaget oplysningspligten i overensstemmelse med databeskyttelsesforordningens artikel 14.
Datatilsynet har herved lagt vægt på, at klager efter tilsynets opfattelse ikke modtog tilstrækkelige oplysninger til, at KF’s og Plesners forpligtelser efter artikel 14 kan anses for opfyldt.
Der er ved vurderingen lagt vægt på, at KF’s privatlivspolitik, som klager efter det oplyste har accepteret i forbindelse med sin indmeldelse i KF, ikke indeholder information om, hvordan oplysninger om klager behandles i forbindelse med den pågældende advokatundersøgelse.
Privatlivspolitikken er generelt og overordnet udfærdiget med udgangspunkt i KF’s almindelige behandlingsaktiviteter og indeholder således ikke tilstrækkelige oplysninger til, at oplysningspligten kan anses for iagttaget i forhold til klager – for så vidt angår den behandling af oplysninger om ham, der er foretaget i forbindelse med advokatundersøgelsen.
Datatilsynet har endvidere lagt vægt på, at hverken de oplysninger, som fremgik af Plesners mail af 7. juli 2021, eller de oplysninger, som fremgår af Plesners privatlivspolitik (som er tilsvarende generelt og overordnet udfærdiget), der blev linket til i den pågældende mails autosignatur, udgør tilstrækkelige oplysninger til, at forpligtelsen efter databeskyttelsesforordningens artikel 14 kan anses for opfyldt.
Privatlivspolitikkerne kan således hverken selvstændigt eller samlet anses for at indeholde tilstrækkelige informationer om den behandling af oplysninger om klager, der blev foretaget i forbindelse med advokatundersøgelsen.
Som følge heraf modtog klager bl.a. ikke tilstrækkelige oplysninger om de forskellige behandlingsgrundlag, som KF og Plesner baserede sin behandling af oplysninger om klager på, jf. artikel 14, stk. 1, litra c.
Det er herudover Datatilsynets opfattelse, at undersøgelsens omfang og karakter stiller skærpede krav til behandlingens gennemsigtighed, og dermed ligeledes til klarheden af de informationer som klager burde have modtaget i forbindelse med undersøgelsens påbegyndelse.
Klager burde af den grund – ud over en direkte henvisning til de behandlingsgrundlag, som behandlingen af oplysninger om ham blev baseret på – bl.a. have modtaget oplysninger om de legitime interesser, som undersøgelsen blev baseret på, jf. artikel 14, stk. 2, litra b, således at klager fik mulighed for at gøre sig bekendt med og vurdere behandlingens legitimitet samt eventuelt at gøre brug af sine rettigheder efter databeskyttelsesforordningens artikel 21, stk. 1.
På baggrund af ovenstående finder Datatilsynet derfor grundlag for at udtale kritik af, at KF og Plesner ikke i tilstrækkelig grad har iagttaget oplysningspligten efter databeskyttelsesforordningens artikel 14.
5. Sammenfatning
Sammenfattende finder Datatilsynet, at KF’s og Plesners behandling af oplysninger om klager er sket i overensstemmelse med databeskyttelsesforordningens artikel 6 og artikel 9 samt databeskyttelseslovens § 8.
Datatilsynet finder imidlertid grundlag for at udtale kritik af, at KF og Plesner ikke i tilstrækkelig grad har iagttaget oplysningspligten efter databeskyttelsesforordningens artikel 14.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).
[3] Justitsministeriets Betænkning om Databeskyttelsesforordningen (2016/679) – og de retlige rammer for dansk lovgivning, 2017.
[4] Databeskyttelsesforordningen og databeskyttelsesloven med kommentarer af Kristian Korfits Nielsen og Anders Lotterup, 2020, side 430-431.