Journalnummer: 2024-431-0033.
Resumé
I marts 2024 indledte Datatilsynet en sag af egen drift mod Boliglag ApS vedrørende behandlingen af personoplysninger på hjemmesiden www.boliglag.dk.
Undersøgelsen blev igangsat på baggrund af en række klager og henvendelse, som Datatilsynet havde modtaget.
Datatilsynet konstaterede i den forbindelse, at det på hjemmesiden var muligt at fremsøge oplysninger om ejendomme ved at søge enten på en bestemt adresse eller ved at søge direkte på en fysisk persons navn. Søgeresultaterne viste boligens profil, hvor der fremgik oplysninger om bl.a. navn, køn og alder på nuværende og tidligere ejere af boligen samt boligens salgshistorik og salgsværdi.
Datatilsynet har nu truffet afgørelse i sagen og udtaler kritik af Boliglag ApS.
Det vil ofte være lovligt for en dataansvarlig at behandle – herunder offentliggøre – personoplysninger, der er indhentet fra et eller flere offentligt tilgængelige registre, og som allerede er offentliggjort.
Datatilsynet fandt imidlertid efter en konkret vurdering i sagen om www.boliglag.dk, at behandlingen af personoplysninger på hjemmesiden ikke kan ske inden for rammerne af ”interesseafvejningsreglen” i databeskyttelsesforordningens artikel 6, stk. 1, litra f.
Datatilsynet lagde vægt på, at selvom formålet om at gøre boligdata lettilgængeligt og skabe gennemsigtighed på boligmarkedet er sagligt og relevant, kan dette formål kun opnås på en måde, som er mindre indgribende for de berørte personers privatliv.
Datatilsynet lagde endvidere vægt på, at de registrerede ikke med rimelighed kan forvente en så omfattende samkøring og offentliggørelse af deres personoplysninger, som løsningen på www.boliglag.dk medførte. Offentliggørelsen havde en særlig indgribende karakter som følge af, at oplysningerne kunne fremsøges ved en søgning på den enkelte persons navn.
Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor tilsynet den 12. marts 2024 indledte en undersøgelse af egen drift af Boliglag ApS’ (herefter ”Boliglag”) behandling af personoplysninger på hjemmesiden www.boliglag.dk.
Datatilsynet bemærker, at tilsynet med denne afgørelse alene har taget stilling til lovligheden af behandlingen af personoplysninger på hjemmesiden www.boliglag.dk, som den forelå på tidspunktet, hvor tilsynet iværksatte sin undersøgelse.
1. Afgørelse
Datatilsynet finder, at der er grundlag for at udtale kritik af, at Boliglags behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens[1] artikel 6.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
2.1. Sagens oplysninger
Datatilsynet indledte den 12. marts 2024 en undersøgelse af egen drift af behandlingen af personoplysninger på hjemmesiden www.boliglag.dk, som Boliglag administrerer, idet tilsynet havde modtaget en række henvendelser og klager fra registrerede, som var bekymrede over offentliggørelsen af oplysninger om dem, herunder beskyttede navne- og adresseoplysninger.
I forbindelse med undersøgelsens iværksættelse konstaterede Datatilsynet, at det på hjemmesiden var muligt at fremsøge oplysninger om ejendomme ved at søge enten på en bestemt adresse eller ved at søge direkte på en fysisk persons navn. Ved en søgning fremkom boligens profil, hvor der fremgik oplysninger om bl.a. navn, køn og alder på nuværende og tidligere ejere af boligen samt boligens salgshistorik og salgsværdi.
På den baggrund anmodede Datatilsynet Boliglag om en udtalelse vedrørende www.boliglag.dk.
Den 14. marts 2024 oplyste DAHL Advokatpartnerskelskab (herefter DAHL) på vegne af Boliglag, at alle personoplysninger såsom navn og køn ville blive fjernet fra hjemmesiden som en midlertidig foranstaltning i lyset af Datatilsynets undersøgelse af sagen.
Disse oplysninger har derfor ikke være tilgængelige på www.boliglag.dk omkring slutningen af marts 2024.
2.2. Boliglags bemærkninger
DAHL har på vegne af Boliglag oplyst, at formålet med hjemmesiden www.boliglag.dk er at skabe større gennemsigtighed på det danske boligmarked ved at give et nemt, simpelt og overskueligt indblik i Danmarks offentligt tilgængelige boligdata på én platform - gratis for alle - til brug for bolighandel, boliginformationer m.v.
Oplysningerne på platformen omfattede danske boligers salgshistorik, nabolag, vurderinger, estimeret ejendomsværdiskat, grundskyld, hæftelser, boligejernavne, adresser og køn på boligejere.
Boliglag var bekendt med, at der på boligmarkedet allerede fandtes lignende platforme, der gjorde de samme data tilgængelige for professionelle aktører (f.eks. ejendomsmæglere) mod betaling. Derved opnåede disse aktører en forhandlingsmæssig fordel i forhold til den gennemsnitlige forbruger, der almindeligvis ikke havde adgang til de samme oplysninger ved køb og salg af fast ejendom. Endvidere kunne mange af de samme oplysninger findes på hjemmesider som Krak, Proff, CVR, Boligsiden, Boliga, BBR, DenGeo m.v. Boliglag ønskede med sin platform at samle alle boligdata på én hjemmeside og gøre oplysningerne offentligt tilgængelige for alle uden betaling.
Boliglag har endvidere anført, at Boliglag – på baggrund af Datatilsynets vejledning om behandling af oplysninger fra offentligt tilgængelige registre samt en række telefoniske henvendelser til Datatilsynet – vurderede, at behandlingsgrundlaget for behandlingerne af personoplysninger var databeskyttelsesforordningens artikel 6, stk. 1, litra f.
Som begrundelse for, at behandlingen kan finde sted inden for rammerne af denne bestemmelse, har Boliglag anført, at der er foretaget en vurdering af, om de registreredes interesser og grundlæggende rettigheder og frihedsrettigheder oversteg Boliglags interesse i at kunne tilbyde en hjemmeside med offentlige boligdata. Boliglag fandt i den forbindelse, at værdien af at alle kunne tilgå boligdata vægtede tungest, da flere af personoplysningerne i forvejen kunne tilgås på andre offentlige hjemmesidesider. Boliglag har hertil yderligere anført, at Boliglag flere gange har søgt vejledning hos Datatilsynet om behandlingsgrundlaget.
Boliglag har endvidere oplyst, at de data, som offentliggøres på hjemmesiden www.boliglag.dk, stammer fra følgende kilder:
- Ejerfortegnelse (”EJF”)
- Danmarks Adresseregister (”DAR”)
- Bygnings- og boligregistret (”BBR”)
- Ejendomsbeliggenhedsregisteret (”EBR”)
- Matrikelregisteret (“MAT”)
- Ejendomsvurdering (”VUR”)
- Danmarks Adressers Web API (“DAWA”)
- Energistyrelsen
- Digitale Tinglysning
Boliglag har i det relevante omfang oprettet en konto for at opnå adgang til oplysninger fra bl.a. BBR, EBR, Energistyrelsen og MAT. Det er Boliglags vurdering, at der ikke er handlet i strid med de pågældende registres brugervilkår. Oplysningerne, der hentes fra VUR og DAWA, er offentligt tilgængelige.
For så vidt angår EJR har Boliglag oplyst, at Boliglag efter anmodning har fået adgang til data fra EJF på ”Niveau 1”, dvs. personoplysninger uden CPR-numre og uden beskyttede navne- og adresseoplysninger. Dette sikrede, at Boliglag ikke har fået adgang til beskyttede navne- og adresseoplysninger. Boliglag har yderligere oplyst, at det er Boliglags samlede vurdering, at Boliglag ikke har handlet i strid med brugervilkårene for EJR.
Boliglag har kortvarigt indsamlet oplysninger om hæftelse og ejeroplysninger fra Digital Tinglysning, men ophørte hermed, da Boliglag blev opmærksom på, at det kunne være i strid med brugervilkårene.
3. Relevante regler, praksis mv.
3.1. Relevante regler
Det følger af databeskyttelsesforordningens artikel 6, stk. 1, at behandling kun er lovlig, hvis og i det omfang mindst ét af forholdene i bestemmelsen gør sig gældende. Behandling er eksempelvis lovlig, hvis behandling er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn, jf. artikel 6, stk. 1, litra f (”interesseafvejningsreglen”).
For at anvende databeskyttelsesforordningens artikel 6, stk. 1, litra f, som behandlingsgrundlag er det en betingelse, at den dataansvarlige eller en tredjeperson forfølger en legitim interesse, at behandlingen er nødvendig for at forfølge denne interesse, og at denne interesse ikke overstiger hensynet til den registreredes rettigheder og frihedsrettigheder.
I forbindelse med den konkrete afvejning af de modstående interesser følger det af betragtning nr. 47, at der skal foretages en nøje vurdering, herunder af, om en registeret på tidspunktet for og i forbindelse med indsamlingen af personoplysninger med rimelighed kan forvente, at behandling med det pågældende formål kan finde sted. I forbindelse med afvejningen af de modstående interesser skal der således navnlig tages hensyn til bl.a. de registreredes rimelige forventninger.
4. Begrundelse for Datatilsynets afgørelse
Datatilsynet lægger til grund, at de personoplysninger, som Boliglag indsamler og videreformidler på hjemmesiden www.boliglag.dk, er omfattet af databeskyttelsesforordningens artikel 6. Personoplysningerne er tilvejebragt fra offentlige registre og på baggrund af adgangstilladelser.
Datatilsynet lægger endvidere til grund, at Boliglag er dataansvarlig for den behandling af personoplysninger, som sker i forbindelse med hjemmesiden.
Datatilsynet lægger herudover til grund, at Boliglags behandling af personoplysninger sker på grundlag af databeskyttelsesforordningens artikel 6, stk. 1, litra f, som fastsætter, at behandlingen af personoplysninger kan ske, hvis det er nødvendigt for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsinteresser går forud herfor. Der er således tale om en regel, der kræver en konkret interesseafvejning.
Endeligt lægger Datatilsynet til grund – i overensstemmelse med det af Boliglag anførte – at formålet med behandlingen af personoplysninger på www.boliglag.dk er at skabe større gennemsigtighed på boligmarkedet og fremme adgangen til offentligt tilgængelige boligdata på en nem og overskuelig måde uden betaling til brug for bolighandel m.v.
Efter Datatilsynets opfattelse må dette anses som et sagligt og relevant formål.
Efter Datatilsynets vurdering vil det typisk være lovligt for en dataansvarlig at behandle personoplysninger, som er indhentet fra et eller flere offentligt tilgængelige registre, og som allerede er offentliggjort, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra f.
I forhold til spørgsmålet om nødvendighed, finder Datatilsynet, at offentliggørelse af systematiserede oplysninger om enkeltpersoner, herunder deres (historiske) ejendomsbesiddelser, navn, køn og alder, ikke efter tilsynets opfattelse kan anses for nødvendigt i lyset af det formål, som forfølges af Boliglag med hjemmesiden.
Datatilsynet bemærker hertil, at et formål om at gøre boligdata let tilgængeligt og skabe gennemsigtighed på boligmarkedet kan opnås på en måde, som er mindre indgribende for de berørte personers grundlæggende rettigheder, navnlig deres ret til respekt for privatlivets fred og til beskyttelse af personoplysninger.
Behandlingen kan derfor i denne situation ikke ske indenfor rammerne af databeskyttelsesforordningens artikel 6, stk. 1, litra f, og har således ikke et lovligt grundlag.
Selv hvis Datatilsynet vurderede, at der var tale om en nødvendig behandling af personoplysninger, finder tilsynet efter en konkret afvejning af behandlingens karakter og de modstående interesser i nærværende sag, at hensynet til de registreredes interesser, herunder beskyttelse af privatlivets fred, overstiger hensynet til at sikre øget gennemsigtighed på boligmarkedet m.v.
Datatilsynet lægger i den forbindelse vægt på, at de registrerede efter tilsynets opfattelse ikke med rimelighed kan forvente en så omfattende samkøring og offentliggørelse af deres personoplysninger, som hjemmesiden www.boliglag.dk medfører, og som har en særlig indgribende karakter som følge af, at oplysningerne kan fremsøges ved en søgning på den enkeltes navn.
Datatilsynet bemærker hertil, at de registreredes rimelige forventninger skal tillægges betydelig vægt i interesseafvejningen, navnlig for at begrænse risikoen for at de registrerede bliver unødigt overraskede over en given behandling af deres personoplysninger samt dens potentielle konsekvenser.
I forhold til spørgsmålet om Boliglags offentliggørelse af oplysningerne om personer med navne- og adressebeskyttelse lægger Datatilsynet på baggrund oplysningerne fra Boliglag til grund, at Boliglag i overensstemmelse med brugervilkårene ikke har haft adgang til sådanne beskyttede oplysninger. Datatilsynet har i øvrigt konstateret, at Boliglag har håndteret indsigelser mod behandlingen fra registrerede, og finder således ikke grundlag for at undersøge dette forhold nærmere.
Datatilsynet finder på baggrund af ovenstående, at Boliglags behandling af personoplysninger på hjemmesiden www.boliglag.dk ikke er sket i overensstemmelse med databeskyttelsesforordningens artikel 6, stk.1, litra f.
Efter en samlet vurdering finder Datatilsynet, at der er grundlag for at udtale kritik af Boliglags behandling af personoplysninger.
Datatilsynet har ved valget af sanktion navnlig lagt vægt på som en formidlende omstændighed, at Boliglag hurtigt iværksatte midlertidige foranstaltninger for at fjerne personoplysningerne fra hjemmesiden.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).