Journalnummer: 2002-215-0103
I e-post af 14. december 2002 har De rettet henvendelse til Datatilsynet i anledning af, at De er blevet opmærksom på, at alle samtaler automatisk optages i nye telefoncentraler, som primært er baseret på IP teknikken. De har i den forbindelse henvist til telefonanlægget [udeladt] IP telefoncentraler.
På baggrund af Deres brev anmodede Datatilsynet i brev af 24. juli 2003 virksomhed V om en udtalelse i sagen.
Advokatfirma A fremkom herefter i brev af 21. oktober 2003 med en udtalelse i sagen på vegne af deres klient virksomhed V.
Det fremgår herefter af sagen, at De ønsker oplyst, om det er korrekt, at det er lovligt at optage telefonsamtaler, uden at begge parter har accepteret det.
A har på vegne af V oplyst, at V udbyder software til drift af systemer med IP-telefon. Denne software, som sælges under betegnelsen ”CallManager”, giver kunden mulighed for via sin computer og gennem dennes IP-adresse at gennemføre telefonsamtaler. Systemet fungerer ved at ”datapakker” med lyd - samtaler skåret i små stykker – bliver sendt via IP-netværk.
I forbindelse med hvert opkald gennem IP-telefonsystemet foretages der en registrering af brugerens IP-adresse, samtaletid for den konkrete samtale og det kaldte nummer – såkaldte trafikdata, jf. § 28, stk. 2, jf. § 2, stk. 3, i bekendtgørelse om udbud af elektroniske kommunikationsnet og -tjenester.
Softwaren foretager imidlertid ingen yderligere registrering eller optagelse i forbindelse med hvert opkald. Således heller ikke optagelse af selve telefonsamtalen. CallManager-systemet har dermed ikke indbygget en funktion, som sætter det i stand til at foretage automatisk optagelse af telefonsamtaler. Der sker følgelig ingen lagring af telefonsamtaler, som gennemføres med CallManager-systemet, hverken hos den enkelte bruger eller hos udbyderen af CallManager-systemet.
V er dog bekendt med, at andre producenter udbyder applikationer, som angiveligt skal gøre den enkelte bruger i stand til at optage samtaler foretaget via IP-telefonanlæg, herunder ved brug af CallManager-systemet. Sådanne applikationer er imidlertid ikke en del af den software, som udbydes af V som Call-Manager-systemet.
Idet Datatilsynet på denne baggrund må lægge til grund, at der ikke sker automatisk optagelse af telefonsamtaler ved brug af V’s CallManager-system, skal tilsynet herefter give Dem følgende vejledende retningslinier vedrørende optagelse af telefonsamtaler:
Persondatalovens anvendelsesområde
Persondataloven gælder ifølge lovens § 1, stk. 1, for behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling, og for ikke-elektronisk databehandling af personoplysninger, der er eller vil blive indeholdt i et register.
Ifølge § 1, stk. 2, gælder loven tillige for anden ikke-elektronisk systematisk behandling, som udføres for private, og som omfatter oplysninger om personers private eller økonomiske forhold eller i øvrigt oplysninger om personlige forhold, som med rimelighed kan forlanges unddraget offentligheden. Dette gælder dog ikke reglerne i lovens kapitel 8 og 9, herunder reglerne om oplysningspligt.
Ved “behandling” forstås ifølge lovens § 3, nr. 2, enhver operation eller række af operationer med eller uden brug af elektronisk databehandling, som oplysningerne gøres til genstand for. Omfattet af begrebet er f.eks. indsamling, registrering, videregivelse, opbevaring og brug.
Ved “personoplysninger” forstås ifølge lovens § 3, nr. 1, enhver form for information om en identificeret eller identificerbar fysisk person (den registrerede).
Optagelse af telefonsamtaler vil således i vidt omfang være omfattet af persondataloven, herunder hvis der er tale om digital optagelse af telefonsamtaler mellem identificerbare personer.
Datatilsynet lægger i det følgende til grund, at de omhandlede optagelser af telefonsamtaler er omfattet af persondataloven.
Behandling af personoplysninger
Det bemærkes indledningsvis for en god ordens skyld, at selv om optagelse af telefonsamtaler uden begge parters samtykke eventuelt vil kunne ske uden at komme i strid med f.eks. straffelovens § 263, stk. 1, nr. 3, vil optagelsen stadig kunne være i strid med persondataloven.
Behandling af personoplysninger, herunder optagelse af telefonsamtaler omfattet af persondataloven, skal ske i overensstemmelse med lovens §§ 6-8. For så vidt angår behandling af oplysninger om personnummer henvises til lovens § 11.
Behandling af følsomme oplysninger omfattet af persondatalovens § 7 – dvs. oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold og oplysninger om hel-bredsmæssige og seksuelle forhold – skal ske i overensstemmelse med persondatalovens § 7.
Optagelse af sådanne oplysninger vil således som udgangspunkt kræve et samtykke fra den registrerede, jf. § 7, stk. 2, nr. 1.
Ved et samtykke skal ifølge lovens § 3, nr. 8, forstås enhver frivillig, specifik og informeret viljestilkendegivelse, hvorved den registrerede indvilliger i, at oplysinger, der vedrører den pågældende selv, gøres til genstand for behandling.
At samtykket skal være udtrykkeligt betyder, at der ikke kan indhentes et stiltiende eller indirekte samtykke. Der ligger ikke heri et egentlig krav om skriftlighed, men da bevisbyrden for, at der foreligger et samtykke, der opfylder lovens krav, påhviler den dataansvarlige, kan det anbefales, at et samtykke afgives skriftligt.
I kravet om, at samtykket skal være specifikt, ligger, at samtykket skal være konkretiseret, således at det klart og utvetydigt fremgår, hvad der meddeles samtykke til, herunder hvilke oplysninger der må behandles på baggrund af samtykket, af hvem og til hvilke formål.
At samtykket skal være informeret indebærer, at den samtykkende skal være klar over, hvad det er, vedkommende meddeler samtykke til. Den dataansvarlige må således sikre sig, at der gives den registrerede tilstrækkelig information til, at den pågældende kan vurdere, hvorvidt samtykke bør meddeles.
Den registrerede kan ifølge § 38 tilbagekalde sit samtykke med den virkning, at den behandling af oplysninger, som den registrerede har givet samtykke til, normalt ikke må finde sted fremover.
Offentlige myndigheder må ifølge § 8, stk. 1, kun behandle oplysninger om strafbare forhold, væsentlige sociale problemer og andre rent private forhold end de i § 7, stk. 1 nævnte, hvis det er nødvendigt for varetagelsen af myndighedens opgaver.
Private må ifølge § 8, stk. 4, som udgangspunkt kun behandle sådanne oplysninger, hvis den registrerede har givet sit udtrykkelige samtykke hertil. Herudover kan behandling ske, hvis det er nødvendigt til varetagelse af en berettiget interesse, og denne interesse klart overstiger hensynet til den registrerede.
Behandling af ikke-følsomme oplysninger, såsom identifikationsoplysninger eller andre oplysninger som ikke omfattes af lovens §§ 7-8, skal ske i overensstemmelse med persondatalovens § 6, stk. 1, nr. 1-7.
Optagelse af sådanne oplysninger vil således kunne ske i medfør af § 6, stk. 1, nr. 1, hvis den registrerede har givet sit udtrykkelige samtykke hertil, jf. § 3, nr. 8.
Optagelse vil desuden kunne ske i medfør af persondatalovens § 6, stk. 1, nr. 7, hvis behandlingen er nødvendig for, at den dataansvarlige kan forfølge en berettiget interesse, og hensynet til den registrerede ikke overstiger denne interesse.
Om der kan ske optagelse af telefonsamtaler uden samtykke fra de registrerede i medfør af § 6, stk. 1, nr. 7, beror på en konkret interesseafvejning i det enkelte tilfælde.
Datatilsynet har haft en konkret sag vedrørende et selskabs optagelse af telefonsamtaler mellem selskabets kunder og medarbejdere. Optagelserne skulle bruges i forbindelse med uddannelse af de pågældende medarbejdere. Datatilsynet udtalte i den forbindelse, at det var tilsynets umiddelbare opfattelse, at optagelse og lagring af telefonsamtaler, som udgangspunkt burde baseres på et samtykke fra alle, der registreredes oplysninger om, jf. § 6, stk. 1, nr. 1.
Datatilsynet kunne dog ikke udelukke, at der under ganske særlige omstændigheder kan foreligge en berettiget interesse, der nødvendiggør optagelse uden samtykke, og hvor behandling kan finde sted med hjemmel i interesseafvejningsreglen i persondatalovens § 6, stk. 1, nr. 7.
På denne baggrund anbefalede Datatilsynet, at selskabet enten baserede optagelse af telefonsamtaler på et samtykke fra såvel den enkelte medarbejder som den enkelte kunde – eller foretog anonymisering.
I en anden sag har Datatilsynet udtalt, at det ikke kunne udelukkes, at en bank inden for rammerne af § 6, stk. 1, nr. 7, uden samtykke fra de registrerede ville kunne optage og registrere samtaler, som bankens dealere førte for at indgå aftaler/handler med valuta, aktier, obligationer og andre finansielle ydelser. Det var således Datatilsynets opfattelse, at det måtte tillægges betydning, at banken havde en interesse i senere at kunne dokumentere, hvorvidt der var blevet indgået en aftale. Det kunne også tillægges vægt, at de ansatte var bekendt med, at visse samtaler ville blive dokumenteret (optaget), og at der var telefoner til stede, hvorfra samtaler ikke ville blive dokumenteret.
Endvidere kunne det efter Datatilsynets opfattelse tillægges en vis betydning, at det efter det oplyste var kutyme i branchen at optage telefonsamtaler for at kunne dokumentere handler.
Datatilsynet understregede dog, at der var tale om en umiddelbar vurdering ud fra de foreliggende oplysninger.
Selv hvis optagelse af en telefonsamtale vil kunne finde sted i medfør af persondatalovens §§ 6-8, f.eks. hvis de registrerede har givet samtykke til optagelsen, vil denne behandling af personoplysninger desuden skulle leve op til de grundlæggende principper i lovens § 5.
Ifølge § 5, stk. 2, skal indsamling af oplysninger ske til udtrykkeligt angivne og saglige formål, og senere behandling må ikke være uforenelig med disse formål.
Oplysninger, som behandles, skal ifølge § 5, stk. 3, være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles. Bestemmelsen fastsætter bl.a., at den dataansvarliges behandling af oplysninger er undergivet et proportionalitetsprincip. Behandling af oplysninger må således ikke gå videre, end hvad der kræves til opfyldelse af de formål, som den dataansvarlige er berettiget til at forfølge.
Indsamlede oplysninger må ifølge § 5, stk. 5, ikke opbevares på en måde, der giver mulighed for at identificere den registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles.
For så vidt angår sletning af optagne telefonsamtaler, jf. § 5, stk. 5, påhviler det i første omgang den dataansvarlige at vurdere, hvornår en oplysning skal slettes. Det foretagne skøn kan efterprøves af Datatilsynet, f.eks. i forbindelse med en klagesag.
Oplysningspligt
Datatilsynet skal for god ordens skyld henlede opmærksomheden på persondatalovens regler om oplysningspligt i lovens kapitel 8 (§§ 28-30).
Oplysningspligtsreglerne i §§ 28-29 medfører en pligt for den dataansvarlige til af egen drift at give den registrerede meddelelse om en række forhold ved indsamling af oplysninger om den pågældende.
Oplysningspligten gælder i det omfang der er tale om behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling, og for ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register, jf. lovens § 1, stk. 1.
Det fremgår af persondatalovens § 28, stk. 1, at den dataansvarlige eller dennes repræsentant ved indsamlingen af oplysninger hos den registrerede skal give denne meddelelse om
- den dataansvarlige og dennes repræsentants identitet,
- formålene med den behandling, hvortil oplysningerne er bestemt,
- alle yderligere oplysninger, der under hensyn til de særlige omstændigheder, hvorunder oplysningerne er indsamlet, er nødvendige for, at den registrerede kan varetage sine interesser.
Ifølge § 28, stk. 2, gælder bestemmelsen i stk. 1 ikke, hvis den registrerede allerede er bekendt med de i nr. 1-3 nævnte oplysninger.
Det bemærkes i den forbindelse, at den registrerede allerede vil kunne være bekendt med disse oplysninger, hvis vedkommende har givet samtykke til behandlingen.
Når oplysninger indsamles hos den registrerede selv, indtræder oplysningsplig-ten efter § 28, stk. 1, ved indsamlingen af oplysninger, dvs. i det konkrete tilfælde i forbindelse med telefonsamtalen.
Det vil således ikke være i overensstemmelse med persondataloven hvis en identificerbar person, som deltager i en optaget telefonsamtale, ikke informeres om, at de af ham afgivne oplysninger gøres til genstand for behandling.
Nærmere om oplysningspligten findes i Datatilsynets rettighedsvejledning.
Registrering af opkaldte telefonnumre
Som nævnt ovenfor har A på vegne af V oplyst, at der i forbindelse med hvert opkald gennem softwaresystemet ”CallManager” sker registrering af bl.a. det opkaldte telefonnummer.
A har i den forbindelse henvist til § 28, stk. 2, jf. § 2, stk. 3, i bekendtgørelse om udbud af elektroniske kommunikationsnet og -tjenester.
Imidlertid vedrører § 28, stk. 2, i denne bekendtgørelse udbyderes behandling af trafikdata. Derimod giver bestemmelsen tilsyneladende ikke hjemmel til brugeres registrering af sådanne trafikdata, herunder det opkaldte telefonnummer.
Datatilsynet har derfor fundet anledning til overfor V at gøre opmærksom på persondatalovens § 13, stk. 1, hvoraf fremgår, at offentlige myndigheder og private virksomheder m.v. ikke må foretage automatisk registrering af, hvilke telefonnumre der er foretaget opkald til fra deres telefoner. Registrering må dog ske efter forudgående tilladelse fra tilsynsmyndigheden (Datatilsynet) i tilfælde, hvor afgørende hensyn til private eller offentlige interesser taler herfor. Tilsynsmyndigheden kan fastsætte nærmere vilkår for registreringen.
Lov om private registre (som blev ophævet i forbindelse med persondatalovens ikrafttræden) havde i § 7 f en bestemmelse, som i det væsentlige svarede til persondatalovens § 13. Dog gælder persondatalovens § 13 også for offentlige myndigheder.
Registertilsynet (som blev til Datatilsynet i forbindelse med persondatalovens ikrafttræden) havde i 1996 en sag vedrørende en privat virksomheds softwareprodukt, der gjorde det muligt for den enkelte køber at foretage edb-registrering af bl.a. oplysninger om, hvilket telefonnummer der blev ringet til.
Den private virksomhed installerede produktet hos køberen, således at mini-mum de to sidste cifre i telefonnummeret sløredes.
Registertilsynet udtalte, at virksomheder mv. lovligt kan anvende udstyr, der automatisk registrerer telefonnumre, der kaldes op til fra virksomhedens telefoner, såfremt minimum de sidste to cifre i det ottecifrede telefonnummer udelades.
En vigtig forudsætning var imidlertid, at udstyret blev installeret og indrettet på en sådan måde, at der ikke skete en registrering i strid med lov om private registre § 7 f, stk. 1, herunder at den omtalte ”sløring” af de sidste cifre skete på en sådan måde, at oplysningerne ikke kunne gendannes.
Sagen er omtalt i Registertilsynets årsberetning 1996, s. 112 f. Kopi heraf ved-lægges til orientering.
Idet persondatalovens § 13 grundlæggende svarer til § 7 f i lov om private registre, har Datatilsynet i brev af dags dato gjort V bekendt med den pågældende sag fra Registertilsynet. Datatilsynet har samtidig understreget, at registrering af alle otte cifre i opkaldte telefonnumre hos en offentlig myndighed eller privat virksomhed m.v. som udgangspunkt vil være i strid med persondatalovens § 13, stk. 1, medmindre Datatilsynet har givet tilladelse til den pågældende registrering.
Afsluttende bemærkninger
Datatilsynet håber hermed at have besvaret Deres henvendelse. Skulle det anførte imidlertid give anledning til spørgsmål, er De velkommen til at kontakte undertegnede.
Afslutningsvis skal Datatilsynet beklage den lange sagsbehandlingstid.
Kopi af dette brev er dags dato sendt til A som repræsentant for V. 7