Journalnummer: 2023-832-0081.
Resumé
Datatilsynet har truffet afgørelse i en sag, hvor en klager klagede over, at en købmand i Meny havde videregivet personoplysninger om klager – herunder om strafbare forhold - til klagers daværende chef uden hjemmel.
Datatilsynet fandt i sagen grundlag for at udtale alvorlig kritik af, at købmanden i Meny mundtligt havde videregivet oplysninger om strafbare forhold til klagers tidligere chef. Oplysningerne omhandlede, at klager var blevet bortvist fra den pågældende Menys butikslokale som følge af en sag om berigelseskriminalitet. Dette skete på baggrund af en gennemgang af videooptagelser i butikken.
Datatilsynet fandt, at beskrivelsen af det strafbare forhold, som var årsagen til klagers bortvisning, ikke var nødvendig for at varetage virksomhedens legitime interesse, hvorfor videregivelsen af denne oplysning ikke kunne ske med hjemmel i databeskyttelseslovens § 8, stk. 4.
Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor [X] den 6. marts 2023 på vegne af klager, har klaget til tilsynet over, at købmanden i Meny [Y], som ejes og drives af Dagrofa ApS (herefter ”Dagrofa”) har videregivet personoplysninger – herunder oplysninger om strafbare forhold – om klager til klagers daværende chef hos Lagkagehuset.
På baggrund af de oplysninger, der nu foreligger i sagen – herunder Dagrofas høringssvar af 14. april 2023 – er det Datatilsynets vurdering, at sagen ikke vedrører et sikkerhedsbrud som anmeldt til tilsynet den 20. februar 2023 (j. nr. 2023-441-14849), idet sagen angår videregivelse af oplysninger om strafbare forhold, som skal vurderes efter databeskyttelseslovens[1] § 8.
1. Afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale alvorlig kritik af, at Dagrofas behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelseslovens § 8, stk. 4, jf. stk. 3.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Det fremgår af sagen, at klager den 21. januar 2023 blev bortvist fra sin arbejdsplads, Lagkagehuset, beliggende i Meny [Y]’s butikslokaler.
[X] har den 6. marts 2023 på vegne af klager fremsendt en klage med bilag til Datatilsynet i sagen.
Dagrofa er den 14. april 2023 fremkommet med udtalelse i sagen.
2.1. Klagers bemærkninger
Klager har overordnet anført, at købmanden i Meny [Y] i strid med tv-overvågningsloven har udleveret oplysninger fra butikkens tv-overvågning til butikschefen hos Lagkagehuset, hvor klager på daværende var tidspunkt var ansat. Som følge heraf blev klager bortvist fra sin arbejdsplads den 21. januar 2023.
2.2. Dagrofas bemærkninger
Dagrofa har oplyst, at Meny [Y] er ejet og drevet af Dagrofa, hvorfor Dagrofa er dataansvarlig for den omhandlede behandling af personoplysninger i sagen.
Dagrofa har om sagens faktiske omstændigheder overordnet anført, at købmanden i Meny [Y] har oplyst butikschefen i Lagkagehuset om, at klager var blevet bortvist fra Meny [Y]’s arealer som følge af en sag om berigelseskriminalitet. Årsagen hertil var, at klager på daværende tidspunkt var ansat i Lagkagehuset, og at købmanden ønskede at oplyse butikschefen om, at klager ikke længere kunne benytte Meny [Y]’s indgangsparti. Der er ikke delt optagelser fra videoovervågningen i Meny [Y] med tredjeparter, men alene givet mundtlige oplysninger, som er baseret på gennemgang af de pågældende videooptagelser.
Dagrofa har efterfølgende meddelt købmanden, at han i stedet burde have orienteret klager om bortvisningen, hvorefter klager selv kunne have orienteret sin butikschef om situationen.
3. Begrundelse for Datatilsynets afgørelse
Datatilsynet lægger på baggrund af sagens oplysninger til grund, at købmanden i Meny [Y] ikke har delt de pågældende videooptagelser med butikschefen i Lagkagehuset.
Datatilsynet lægger endvidere til grund, at købmanden mundtligt har oplyst butikschefen hos Lagkagehuset om, at klager var blevet bortvist fra Meny [Y]’s arealer som følge af en sag om berigelseskriminalitet på baggrund af en gennemgang af videooptagelserne i butikken.
- 4c i tv-overvågningsloven[2] regulerer videregivelse af billed- og lydoptagelser med personoplysninger, der optages i forbindelse med tv-overvågning.
Sagen skal således vurderes efter reglerne i databeskyttelsesloven og ikke tv-overvågningsloven, idet der er tale om mundtlig videregivelse på baggrund af de pågældende videooptagelser i butikken, og ikke en videregivelse af selve videooptagelserne.
Af forarbejderne til databeskyttelseslovens[3] § 8 fremgår, at der skal anlægges en ganske vid forståelse af begrebet ”strafbare forhold”. Ikke blot oplysninger om overtrædelse af lovgivning, uden at det har udløst eller kan udløse et egentligt strafansvar, men eventuelt andre sanktioner, som f.eks. rettighedsfrakendelse, antages for omfattet af begrebet. Videre fremgår det også, at det imidlertid ikke er enhver oplysning om et muligt strafbart forhold, herunder om enhver anmeldelse til politiet, der kan anses for omfattet. Hertil kræves, at anmeldelsen til politiet i en eller anden form må antages at være underbygget, førend der er tale om oplysninger om strafbare forhold.
Det er Datatilsynets vurdering, at Dagrofa har videregivet oplysninger om strafbare forhold omfattet af reglerne databeskyttelseslovens § 8 om klager til tredjepart.
Datatilsynet har i den forbindelse lagt vært på, at købmanden har videregivet konkrete oplysninger om, at klager har begået berigelseskriminalitet mod butikken, og at oplysningerne for modtageren må anses som underbygget, navnlig idet der ifølge Dagrofa var tale om oplysninger, som var baseret på gennemgang af videooptagelser i butikken.
Datatilsynet finder, at beskrivelsen af det strafbare forhold, som var årsagen til klagers bortvisning, ikke var nødvendig for at varetage virksomhedens legitime interesse, hvorfor videregivelsen af denne oplysning ikke kunne ske med hjemmel i databeskyttelseslovens § 8, stk. 4.
Datatilsynet har i den forbindelse lagt vægt på, at videregivelsen af oplysninger om, at klager havde begået berigelseskriminalitet ikke var nødvendig for, at Dagrofa kunne varetage sin legitime interesse, og at oplysningerne til butikschefen i Lagkagehuset burde have været begrænset til information udelukkende om, at klager var blevet bortvist fra Meny [Y]’s arealer og som følge heraf ikke kunne få adgang til butikken.
[1] Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).
[2] Lovbekendtgørelse nr. 182 af 24. februar 2023.
[3] Lovforslag til lov nr. 502 af 23. maj 2018, LFS nr. 68, de specielle bemærkninger til § 8.