Journalnummer: 2024-31-1076.
Resumé
Datatilsynet har truffet afgørelse i en sag, hvor en tandlægevirksomhed uberettiget havde foretaget flere skjulte lydoptagelser af samtaler med klager under klagers ansættelse.
Tandlægevirksomheden oplyste, at lydoptagelserne skulle bruges som dokumentation for samtaler med klager, der under hele ansættelsesforholdet havde kontroverser med sin arbejdsgiver. Samtalerne vedrørte primært klagers opførsel over for patienter og personale, kvaliteten af klagers arbejde og klager fra patienter.
Tandlægevirksomheden anførte desuden, at lydoptagelserne var af afgørende betydning i en ansættelsesretlig retssag med klager. Den ansættelsesretlige retssag blev imidlertid først anlagt mere end 3 år efter, den første lydoptagelse fandt sted.
Datatilsynet udtaler alvorlig kritik
Datatilsynet fandt i sagen grundlag for at udtale alvorlig kritik af, at tandlægevirksomheden havde foretaget lydoptagelserne uden det fornødne retlige grundlag, og at tandlægevirksomheden havde handlet i strid med princippet om gennemsigtighed ved på intet tidspunkt at informere klager om, at samtalerne blev optaget.
Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor [X], på vegne af klager, den 4. juni 2024 har klaget til tilsynet over, at en tandlægevirksomhed, under klagers ansættelse hos denne, har foretaget lydoptagelser af samtaler med klager uden klagers viden herom.
1. Afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale alvorlig kritik af, at tandlægevirksomhedens behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens[1] artikel 5, stk. 1, litra a, og artikel 6, stk. 1.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Det fremgår af sagen, at klager var ansat hos tandlægevirksomheden fra den 1. april 2019 til den 31. marts 2022, hvor klager fratrådte sin stilling. Under ansættelsen har tandlægevirksomheden i en periode fra den 11. november 2020 til den 19. januar 2022 foretaget lydoptagelser af samtaler med klager uden klagers viden herom. Samtalerne har omhandlet ansættelsesforholdet og sygesamtaler med klager.
Det fremgår desuden af sagen, at tandlægevirksomheden ikke har oplyst klager om, at samtalerne blev optaget, hvilket klager derfor først fik viden om i forbindelse med en verserende retssag, hvor lydoptagelserne blev fremlagt.
2.1. Tandlægevirksomhedens bemærkninger
Tandlægevirksomheden har overordnet anført, at der under hele ansættelsen var ansættelsesretlige kontroverser med klager, og at lydoptagelserne skulle bruges som dokumentation for samtalerne med klager, der primært vedrørte klagers opførsel overfor patienter og personale, kvalitet af klagers tandbehandling og patientklager.
Tandlægevirksomheden har desuden anført, at lydoptagelserne var af afgørende betydning i en ansættelsesretlig retssag med klager for at dokumentere, hvad klager blev oplyst under personalesamtaler.
Som grundlag for behandlingen af klagers personoplysninger i forbindelse med lydoptagelserne, har tandlægevirksomheden henvist til U.2019.3878 H, der omhandler en medarbejders brug af skjulte lydoptagelser som bevissikring af arbejdsrelaterede forhold.
Tandlægevirksomheden har afslutningsvist anført, at opbevaringen af lydoptagelserne er sket under behørig iagttagelse af databeskyttelsesforordningens artikel 5.
2.2. Klagers bemærkninger
Klager har overordnet anført, at lydoptagelserne er sket i strid med databeskyttelsesreglerne, idet tandlægevirksomheden bl.a. har foretaget lydoptagelserne uden det fornødne retlige grundlag til at behandle oplysningerne, og at klager ikke er blevet oplyst om lydoptagelserne.
Om det retlige grundlag for lydoptagelserne har klager anført, at lydoptagelserne ikke var nødvendige for, at tandlægevirksomheden kunne forfølge en legitim interesse, og at lydoptagelserne og den deraf afledte behandling af klagers personoplysninger ikke kan begrundes i en retssag, der er anlagt af klager mere end 3 år, efter den første lydoptagelse fandt sted.
Om tandlægevirksomhedens henvisning til U.2019.3878 H har klager bl.a. anført, at dommen ikke er sammenlignelig, idet det i dommen var en arbejdstager, og ikke arbejdsgiveren, der havde foretaget en skjult optagelse.
Klager har endeligt anført, at tandlægevirksomheden har handlet i strid med de grundlæggende principper for behandling af personoplysninger, heriblandt princippet om dataminimering.
3. Relevante regler
3.1 Det lovlige grundlag for optagelse af samtaler
Behandling af personoplysninger er kun lovlig, hvis den dataansvarlige har et retligt grundlag, jf. databeskyttelsesforordningens artikel 6, stk. 1. Den dataansvarlige skal således sikre sig, at mindst ét af følgende forhold gør sig gældende:
a) Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål.
b) Behandling er nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en kontrakt.
c) Behandling er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige.
d) Behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser.
e) Behandling er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.
f) Behandling er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn.
3.2. Oplysningspligten og princippet om gennemsigtighed
Det følger af databeskyttelsesforordningens artikel 13, stk. 1, at den dataansvarlige på det tidspunkt, hvor der indsamles personoplysninger om en registreret, skal give den registrerede de oplysninger, der fremgår af bestemmelsens litra a-f, hvorefter den dataansvarlige blandt andet skal oplyse om formålene med behandlingen, som personoplysningerne skal bruges til, og retsgrundlaget for behandlingen.
Foruden de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige – i henhold til bestemmelsens stk. 2 – den registrerede en eller flere af de oplysninger, som fremgår af litra a-f, når dette er nødvendigt for at sikre en rimelig og gennemsigtig behandling. Dette følger desuden af databeskyttelsesforordningens artikel 5, stk. 1, litra a, hvorefter personoplysninger skal behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede.
4. Datatilsynets vurdering
Tandlægevirksomheden ses ikke at have angivet et retligt grundlag for optagelserne af samtalerne med klager i henhold til databeskyttelsesforordningens artikel 6, stk. 1.
Datatilsynet afviser ikke, at interessen i at sikre en korrekt gengivelse af indholdet af en samtale med henblik på at sikre sig mod eventuelle efterfølgende krav, kan udgøre en legitim interesse efter databeskyttelsesforordningens artikel 6, stk. 1, litra f. I den foreliggende sag ses der imidlertid ikke på tidspunktet for påbegyndelsen af optagelserne at have været konkrete indikationer på, at klager ville rejse et sådant krav. Optagelserne begyndte således mere end 16 måneder, inden klager fratrådte sin stilling, og mere end 3 år, inden klager lagde sag an mod tandlægevirksomheden. Optagelserne og klagers efterfølgende krav ses derfor ikke, at have haft en sådan tilknytning til hinanden, at tandlægevirksomhedens interesse i at optage samtalerne kan siges at have oversteget klagers interesser eller rettigheder.
Datatilsynet finder på den baggrund, at tandlægevirksomheden ikke havde det fornødne retlige grundlag i databeskyttelsesforordningens artikel 6, stk. 1, for at optage samtalerne med klager.
For så vidt angår den manglende information om optagelsen af samtalerne, er det Datatilsynets opfattelse, at optagelsen af et møde eller samtaler ikke i sig selv udløser en oplysningspligt efter databeskyttelsesforordningens artikel 13. Det skyldes, at optagelsen (af en samtale) ikke er et særskilt formål, men er et middel til behandling i forbindelse med et (andet) formål – eksempelvis personaleadministration, dokumentation eller lignende.
Databeskyttelsesforordningens artikel 13 er imidlertid en ”udløber” af databeskyttelsesforordningens artikel 5, stk. 1, litra a, hvoraf det følger, at personoplysninger skal behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede (»lovlighed, rimelighed og gennemsigtighed«). Princippet om gennemsigtighed kan derfor indebære, at der i visse situationer skal gives yderligere information, end hvad der følger af databeskyttelsesforordningens artikel 13.
Det er i den forbindelse Datatilsynets opfattelse, at en arbejdsgivers optagelse af en samtale med en ansat er en så uventet behandling for den ansatte, at princippet om gennemsigtighed tilsiger, at der gives information herom, inden lydoptagelsen igangsættes. Information om optagelsen bør gives i umiddelbar tilknytning til samtalen – eksempelvis i forbindelse med indkaldelse til samtalen eller forud for samtalen (inden lydoptagelsen igangsættes), medmindre de konkrete omstændigheder eller sædvaner taler imod.
Datatilsynet må på baggrund af det oplyste lægge til grund, at klager på intet tidspunkt blev informeret om, at samtalerne blev optaget. Datatilsynet finder på den baggrund, at tandlægevirksomheden ikke har overholdt princippet om gennemsigtighed i databeskyttelsesforordningens artikel 5, stk. 1, litra a.
Datatilsynet finder at det ovenstående giver anledning til at udtale alvorlig kritik af, at tandlægevirksomhedens lydoptagelser af samtaler med klager ikke er sket inden for rammerne af databeskyttelsesforordningens artikel 5, stk. 1, litra a, artikel 6, stk. 1.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).