Pengeinstitut får kritik for håndtering af indsigtsanmodning

1. Afgørelse

Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale kritik af, at [pengeinstituttet] håndtering af klagers anmodning om indsigt ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens^[1] artikel 12, stk. 2, 3 og 4.

Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.

2. Sagsfremstilling

2.1. Sagens oplysninger

Det fremgår af sagen, at klager, som var kunde i [et pengeinstitut], havde en mistanke om, at klagers tidligere ægtefælle, som var ansat hos [pengeinstituttet], havde tilgået klagers bankkonti. Klager skiftede herefter pengeinstitut og blev pålagt en række gebyrer som følge heraf. Klager havde forinden indgivelsen af klagen til Datatilsynet klaget til Det Finansielle Ankenævn over afkrævning af gebyrer.

Det fremgår af den korrespondance mellem [pengeinstituttet], og klager, som indgik i sagen ved Det Finansielle Ankenævn, at [pengeinstituttets] direktør ved e-mail af 16. marts 2023 tilbød at tilbagebetale alle gebyrer, hvis sagen i ankenævnet blev afsluttet.

Den 20. marts 2023 tilkendegav klager i en e-mail, at klager var indforstået hermed, og klager anmodede samtidig om indsigt i bankens log over, hvem der havde tilgået klagers konti i perioden 2015-2021.

Den 21. marts 2023 sendte [pengeinstituttet] et brev til klager, hvoraf det fremgik, at tilbuddet om tilbagebetaling af gebyrer fortsat var gældende, ”men betinget af, at [pengeinstituttet] ikke skal bruge yderligere tid og ressourcer på sagen, herunder eventuelle afledte spørgsmål.”

Den 23. marts 2023 fastholdt klager sin anmodning om indsigt.

Den 2. juni 2023 rykkede klager [pengeinstituttet] for svar på anmodningen om indsigt.

Den 20. juni 2023 besvarede [pengeinstituttet] klagers henvendelse og oplyste, at [pengeinstituttet] havde anmodet klagers tidligere ægtefælle om en redegørelse for, om og i givet fald på hvilket grundlag [klagers tidligere ægtefælle] havde tilgået klagers konti. Det fremgik bl.a., at klagers tidligere ægtefælle havde oplyst, at:

”[Klagers tidligere ægtefælle] alene har haft adgang til kontiene som følge af, at disse var samlet i en engagementsgruppe. I havde også med andre ord vise fælles konti. [Klagers tidligere ægtefælle] siger med andre ord, at [klagers tidligere ægtefælle] at set på de omtalte konti som kunde og ikke som medarbejder i [pengeinstituttet].”

[Pengeinstituttet] oplyste videre, at [pengeinstituttet] havde undersøgt, om klagers tidligere ægtefælles forklaring kunne underbygges, men at det ikke var muligt at gå så langt tilbage i loggen over brugen af systemet. [Pengeinstituttet] havde forespurgt [pengeinstituttets] datacentral, [X] om, hvorvidt loggen kunne genskabes. Datacentralen havde tilbudt at forsøge at genskabe oplysningerne, hvis [pengeinstituttet] afholdt omkostningerne svarende til 182 konsulenttimer og omkring 300.000 kr. uden garanti for at kunne afdække, om klagers tidligere ægtefælle har tilgået klagers konti.

[Pengeinstituttet] oplyste endvidere, at kunder i danske pengeinstitutter ikke kan kræve at få udleveret en log over, hvilke medarbejdere der har foretaget opslag på deres kontoforhold. Herudover anførte [pengeinstituttet], at omkostningerne ikke ville stå mål med den afklaring, som måske ville kunne opnås.

Den 21. juni 2023 sendte [pengeinstituttet] et svar til klager med kopi af de oplysninger, som [pengeinstituttet] behandlede om klager.

2.2. Klagers bemærkninger

Klager har overordnet anført, at [pengeinstituttet] i medfør af dom afsagt af EU domstolen[2] er forpligtet til at udlevere oplysninger om, hvem der uretmæssigt har tilegnet sig oplysninger omkring klagers økonomiske forhold, og at [pengeinstituttet] har været forpligtet til at opbevare den efterspurgte log frem til den 24. november 2026 i henhold til reglerne i hvidvasklovens § 30.

Klager er af den opfattelse, at de efterspurgte logoplysninger enten bevidst er blevet bortskaffet for at dække over en medarbejderes uretmæssige tilgang til oplysninger om klagers økonomiske forhold, eller at [pengeinstituttet] ikke har haft tilstrækkelige programmer og retningslinjer til at sikre overholdelsen af b.la. databeskyttelsesforordningen.

Klager har siden marts 2023 anmodet [pengeinstituttet] om at få en udskrift af den efterspurgte log, og [pengeinstituttets] direktør oplyste ikke på daværende tidspunkt, at den pågældende log ikke længere var i behold.

Klager finder, at [pengeinstituttet] bevidst har nægtet at udlevere loggen for at dække over, at klagers tidligere ægtefælle uretmæssigt også efter ophør af samliv har indhentet oplysninger om klagers økonomi.

2.3. [Pengeinstituttets] bemærkninger

[Pengeinstituttet] har overordnet anført, at [pengeinstituttet] har besvaret klagers anmodning om indsigt den 21. juni 2023. Den 20. juni 2023 sendte [pengeinstituttet] et brev til klager, hvori [pengeinstituttet] redegjorde for årsagen til, at [pengeinstituttet] ikke kunne efterkomme klagers anmodning om indsigt i den efterspurgte logfil.

Hverken [pengeinstituttet] eller [pengeinstituttets] datacentral [X] er længere i besiddelse af en logfil for perioden 2015-2021, og det vil efter [pengeinstituttet] s opfattelse stride imod ethvert proportionalitetsprincip, hvis [pengeinstituttet] skal afholde en omkostning på 300.000 kr. til datacentralen [X], som ikke nødvendigvis vil kunne genskabe logfilen.

[Pengeinstituttet] har endvidere oplyst, at alle pengeinstitutter på [X] har samme systemmæssige opsætning, og at alle interne logfiler slettes efter 6 måneder. Sletningen sker automatisk og er i overensstemmelse med gældende lovgivning, idet opbevaring af logfiler ikke er omfattet af hvidvasklovens § 30. Den efterspurgte logfil eksisterer ikke længere, og [pengeinstituttet] har slettet logfilen i overensstemmelse med sædvanlig praksis.

3. Begrundelse for Datatilsynets afgørelse

3.1.

Efter Datatilsynets tidligere praksis var personoplysninger i en log ikke er omfattet af retten til indsigt efter databeskyttelsesforordningens artikel 15. Det skyldtes, at loggen blev betragtet som en systemmæssig sikkerhedsfacilitet, hvor der ikke sker en selvstændig behandling af oplysninger, men hvor logbehandlingerne er afledt af de behandlinger, der sker på de oprindelige oplysninger.

Ved dom af 22. juni 2023[3] tog EU-Domstolen stilling til spørgsmålet om indsigt i logfiler. EU-Domstolen fastslog, at databeskyttelsesforordningens artikel 15, stk. 1, skal fortolkes således, at information vedrørende søgninger i en persons personoplysninger og vedrørende datoerne for og formålet med disse søgninger udgør information, som den berørte person i henhold til denne bestemmelse har ret til at få fra den dataansvarlige. For så vidt angår information om identiteten på de af den dataansvarliges ansatte, som har foretaget søgningerne under den dataansvarliges ledelse og efter instruks fra denne, foreskriver forordningens artikel 15, stk. 1, ikke en sådan ret, medmindre denne information er nødvendig for, at den registrerede effektivt kan udøve sine rettigheder i henhold til forordningen, og forudsat at de ansattes rettigheder og frihedsrettigheder iagttages.

Det er Datatilsynets vurdering, at de oplysninger, som fremgår af [pengeinstituttet] log over ansattes opslag i en kundes konto, er omfattet af retten til indsigt i overensstemmelse med ovennævnte dom.

Datatilsynet har imidlertid noteret sig, at [pengeinstituttet] den 20. juni 2023 har tilkendegivet over for klager, at de efterspurgte logoplysninger ikke længere eksisterer.

Datatilsynet finder ikke grundlag for at tilsidesætte [pengeinstituttets] forklaring om, at den efterspurgte log blev slettet som led i [pengeinstituttets] datacentrals sædvanlige sletteprocedurer. Datatilsynet har heller ikke grundlag for at tilsidesætte [pengeinstituttets] vurdering af, at de efterspurgte logfiler ikke er omfattet af opbevaringspligten i medfør af hvidvasklovens § 30.

Det giver derfor ikke Datatilsynet anledning til bemærkninger, at [pengeinstituttet] ikke har udleveret de efterspurgte logfiler til klager.

3.2.

På baggrund af en samlet vurdering af sagens omstændigheder finder Datatilsynet imidlertid grundlag for at udtale kritik af [pengeinstituttet] håndtering af klagers indsigtsanmodning, jf. databeskyttelsesforordningens artikel 12.

Datatilsynet har i den forbindelse blandt andet lagt vægt på den omstændighed, at [pengeinstituttet] s tilbagebetaling af gebyr for skift af pengeinstitut blev betinget af, at klager opgav sin anmodning om indsigt.

Det er Datatilsynets opfattelse, at [pengeinstituttet] herved tilsidesatte bestemmelsen i databeskyttelsesforordningens artikel 12, stk. 2, hvorefter den dataansvarlige skal lette udøvelsen af den registreredes rettigheder efter forordningens artikel 15-22.

Endvidere må Datatilsynet på baggrund af det oplyste lægge til grund, at klager i perioden fra den 23. marts 2023 – hvor klager fastholdt sin anmodning om indsigt – og indtil den 20. juni 2023 ikke hørte noget fra [pengeinstituttet].

I svaret af 20. juni 2023 anførte [pengeinstituttet] bl.a., at pengeinstitutters kunder ikke kan forlange at få udleveret en log over, hvilke medarbejdere der har foretaget opslag på deres kontoforhold. Endvidere fremgik det, at [pengeinstituttet] havde forsøgt at afklare, om klagers tidligere ægtefælle havde haft adgang til klagers konti, og om [klagers tidligere ægtefælles] forklaring herom kunne underbygges.

Det er Datatilsynets opfattelse, at hvis det var [pengeinstituttets] opfattelse, at der ikke kunne gives indsigt i logfiler, skulle [pengeinstituttet] straks og senest en måned efter modtagelsen af henvendelsen have underrettet klager om årsagen hertil og om muligheden for at klage til en tilsynsmyndighed samt indbringe sagen for en retsinstans, jf. artikel 12, stk. 4, i databeskyttelsesforordningen.

Datatilsynets må i øvrigt på baggrund af det oplyste lægge til grund, at [pengeinstituttet] tillige behandlede klagers anmodning som en generel anmodning om indsigt, idet [pengeinstituttet] den 21. juni 2023 – dvs. omkring tre måneder efter klagers anmodning om indsigt – sendte et svar til klager med kopi af de oplysninger, som [pengeinstituttet] behandlede om klager

Det er Datatilsynets opfattelse, at [pengeinstituttet] herved tilsidesatte bestemmelsen i forordningens artikel 12, stk. 3, hvorefter den dataansvarlige uden unødig forsinkelse og i alle tilfælde senest en måned efter modtagelsen af anmodningen skal oplyse den registrerede om foranstaltninger, der træffes på baggrund af en anmodning i henhold til artikel 15-22. Perioden kan forlænges med to måneder, såfremt der er tale om en kompleks anmodning, og den registrerede skal i så fald underrettes om forlængelsen og begrundelsen herfor senest en måned efter modtagelsen af anmodningen.

Samlet finder Datatilsynet, at [pengeinstituttet] håndtering af klagers anmodning om indsigt ikke er sket i overensstemmelse med databeskyttelsesforordningens artikel 12, stk. 2, 3 og 4, hvilket giver Datatilsynet grundlag for at udtale kritik.