Vedrørende offentliggørelse af sagsakter og postlister på internettet

Journalnummer: 2004-322-0064

Ved brev af 3. november 2004 har Ringkjøbing Amt rettet henvendelse til Datatilsynet angående offentliggørelse på internettet af dokumenter i samtlige journaler fra et ESDH-system samt offentliggørelse af postlister.

Efterfølgende har Århus Amt også rettet henvendelse til tilsynet, idet Århus Amt overvejer en lignende offentliggørelse.

Den 13. december 2004 blev der afholdt et afklarende møde mellem repræsentanter fra Ringkjøbing Amt, Århus Amt og Datatilsynet.

Ved brev af 31. marts 2005 har Århus Amt fremsendt yderligere materiale til sagen.

Endvidere er der indhentet oplysninger telefonisk.

Det fremgår af sagen, at Ringkjøbing Amt og Århus Amt ønsker at give fri adgang via internettet til sagsakter, der behandles i de to amters journalsystemer inden for Teknik og Miljø området i Ringkjøbing Amt og Natur & Miljø området i Århus Amt. Herudover sker der offentliggørelse af postlister, dvs. oversigter over den ind og eventuelt udgående post.

Det er tanken, at offentliggørelsen på internettet skal omfatte alle sagsakter, der er omfattet af offentlighedsloven, og som ikke indeholde fortrolige oplysninger.

De to amter agter at begrænse adgangen til nye sager – dvs. gamle og igangværende sager skal ikke omfattes. Amterne agter at give adgang via internet til alle sagstyper og til alle typer af sagsakter, som er omfattet af aktindsigt. Ifølge amterne gælder dette således også sager vedrørende ulovlige forhold, klager m.v.

Det vil være den enkelte sagsbehandler, som er ansvarlig for, at der ikke offentliggøres fortrolige oplysninger. For at undgå dette skal sagsbehandleren markere sagsakter som "ikke offentlige" eller udarbejde et parallelt dokument uden fortrolige oplysninger. Amterne har endvidere oplyst, at dette allerede sker i dag, og at sagsbehandlerne er vant til og er blevet instrueret i håndtering af fortrolige oplysninger. Som yderligere sikkerhed vil amterne imidlertid afholde brush-up kurser for sagsbehandlerne.

De tekniske sikkerhedsforanstaltninger består i, at sagsbehandlerne i ESDH-systemet markerer sager og dokumenter som "ikke offentlige". Alle sager uden denne markering replikeres over internetserveren, hvortil offentligheden har adgang. Der er kun envejsforbindelse fra ESDH-systemet til internetserveren. Selve ESDH-systemet er omfattet af den generelle sikkerhedsbeskyttelse mod internettet, der ligger i de anvendte firewalls.

Det er desuden anført, at det er hensynet til meroffentlighed, hensigtsmæssig sagsbehandling i forbindelse med opfyldelsen af Århus Konventionen og et generelt ønske om åbenhed i forvaltningen, som er baggrunden for offentliggørelsen.

For så vidt angår underretning af borgerne har de to amter oplyst, at amternes borgere i dag ikke informeres om, at amterne hver dag offentliggør en oversigt over den indgående (og udgående post i Ringkjøbing Amt), som er registreret i amterne dagen før. Listerne indeholder for hvert dokument følgende oplysninger: navn og adresse på afsender, dokumentresumé, journaldato, journalnummer, sagstitel, navn på den sagsførende. Amterne antager, at langt hovedparten af borgerne er bekendt med denne praksis, idet de fleste af landets amter og kommuner har haft postlister på nettet de sidste 4-5 år.

Amterne har endvidere oplyst, at det vil være meget ressourcekrævende, hvis den enkelte borger individuelt skal underrettes om offentliggørelse, når de første gang sender et brev til amtet, eller amtet sender et brev til dem. Amterne finder, at det vil være meget ressourcebesparende, såfremt amterne kan underrette borgerne via annoncer og amternes hjemmesider. Derudover kan amterne på deres brevpapir samt e-post henvise til amtets hjemmeside, hvor borgerens rettigheder ifølge persondataloven, proceduren for registrering, videregivelse og offentliggørelse på internettet er beskrevet.

Datatilsynet skal – efter at sagen har været behandlet i Datarådet – udtale følgende:

1. Persondatalovens anvendelsesområde

Persondataloven gælder ifølge lovens § 1, stk. 1, for behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling, og for ikke-elektronisk databehandling af personoplysninger, der er eller vil blive indeholdt i et register.

Ved "personoplysninger" forstås ifølge lovens § 3, nr. 1, enhver form for information om en identificeret eller identificerbar fysisk person (den registrerede).

Omfattet af begrebet personoplysninger er ifølge forarbejderne til § 3, nr. 1, oplysninger, som kan henføres til en fysisk person, selv om dette forudsætter kendskab til personnummer, registreringsnummer eller lignende særlig identifikation, som f.eks. løbenummer. Det er uden betydning, hvorvidt identifikationsoplysningen er alment kendt eller umiddelbart tilgængelig. Også de tilfælde, hvor det kun for den indviede vil være muligt at forstå, hvem en oplysning vedrører, er omfattet af definitionen. Det er med andre ord tilstrækkeligt, at der i forbindelse med behandlingen er etableret en ordning med et løbenummer eller lignende, f.eks. medlemsnummer eller journalnummer. Er f.eks. navn eller adresse erstattet af en kode, der kan føres tilbage til den oprindelige individuelle personoplysning, vil der stadigvæk være tale om en personoplysning. Ved afgørelsen af, om en person er identificerbar skal alle hjælpemidler, der med rimelighed kan tænkes anvendt for at identificere den pågældende enten af den dataansvarlige eller af anden person tages i betragtning.

Ved "behandling" forstås ifølge lovens § 3, nr. 2, enhver operation eller række af operationer med eller uden brug af elektronisk databehandling, som oplysningerne gøres til genstand for. Omfattet af begrebet er f.eks. indsamling, registrering, videregivelse og opbevaring.

Det er Datatilsynets opfattelse, at en offentliggørelse af sagsakter og postlister på internettet er en behandling, som er omfattet af persondatalovens anvendelsesområde.

2. Offentliggørelse af sagsakter samt postlister

2.1. En offentliggørelse af personoplysninger på internettet skal vurderes i forhold til behandlingsreglerne i persondatalovens kapitel 4.

Persondataloven sondrer mellem forskellige kategorier af oplysninger. Offentliggørelse på internettet må betragtes som videregivelse, og denne behandling vil således skulle vurderes efter reglerne i lovens §§ 6, 7 eller 8 afhængig af oplysningernes karakter.

Lovens § 7, stk. 1, omhandler oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold og oplysninger om helbredsmæssige og seksuelle forhold. Lovens § 8, stk. 1, omhandler oplysninger om strafbare forhold, væsentlige sociale problemer og andre rent private forhold end de i § 7, stk. 1, nævnte. Oplysningskategorier, som ikke er nævnt i § 7, stk. 1, eller § 8, stk. 1, er omfattet af lovens § 6.

Det er Datatilsynets opfattelse, at der ikke kan offentliggøres oplysninger omfattet af persondatalovens §§ 7 og 8 på internettet, idet ingen af betingelserne for behandling i de omhandlede bestemmelser kan anses for opfyldt. Sådanne oplysninger kan heller ikke offentliggøres i en for modtageren ikke umiddelbar personhenførbar form. Det er således ikke tilstrækkeligt, at navn, adresse mv. udelades fra de offentliggjorte akter, hvis akterne indeholder oplysninger af følsom karakter. I forhold til persondataloven er der således fortsat tale om personoplysninger, når oplysning om borgernes identitet findes f.eks. i amtets sagsakter.

Dette fører til, at amterne må sikre sig, at de offentliggjorte akter ikke indeholder følsomme oplysninger.

2.2. Amterne har oplyst, at der er tale om , der behandles i de to amters journalsystemer inden for Teknik og Miljø området i Ringkjøbing Amt og Natur & Miljø området i Århus Amt, samt at der ikke vil blive videregivet fortrolige oplysninger.

Offentliggørelsen af oplysninger, der ikke er omfattet af §§ 7 eller 8 i persondataloven, skal herefter vurderes i forhold til persondataloven § 6, stk. 1, nr. 1-7.

Behandling kan bl.a. ske, hvis den registrerede har givet udtrykkeligt samtykke hertil, jf. § 6, stk. 1, nr. 1, hvis behandling af oplysninger er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse, jf. § 6, stk. 1, nr. 5, hvis behandlingen er nødvendig af hensyn til udførelsen af en opgave, der henhører under offentlig myndighedsudøvelse, som den dataansvarlige eller tredjemand, til hvem oplysningerne videregives, har fået pålagt, jf. § 6, stk. 1, nr. 6, eller hvis behandlingen er nødvendig for, at den dataansvarlige eller den tredjemand, til hvem oplysningerne videregives, kan forfølge en berettiget interesse, og hensynet til den registrerede ikke overstiger denne interesse, jf. § 6, stk. 1, nr. 7.

Efter Datatilsynets opfattelse vil ikke-fortrolige oplysninger omfattet af persondatalovens § 6 kunne offentliggøres på internettet inden for rammerne af persondataloven. Det er desuden Datatilsynets opfattelse, at der inden for rammerne af § 6, stk. 1, nr. 5-7, kan videregives fortrolige oplysninger omfattet af persondataloven § 6, hvis oplysningerne er "anonymiserede", således at det ikke er muligt for udenforstående (dvs. for andre end amtet og den registrerede selv) at identificere den person, som oplysningerne vedrører.

Datatilsynet skal i den forbindelse gøre opmærksom på, at oplysninger om, at en bygning er ulovligt opført, eller at en sag er overgivet til politiet, efter Datatilsynets opfattelse kan være en oplysning af fortrolig karakter.

2.3. Den videregivelse i form af offentliggørelse af alle sagsakter, der ikke indeholder fortrolige oplysninger, som amterne lægger op til, finder Datatilsynet meget vidtgående. Det er derfor Datatilsynets opfattelse, at en sådan ordning rejser spørgsmål af mere overordnet karakter, som nødvendiggør en vurdering i forhold til persondatalovens § 5, stk. 1 og 3.

Det følger af § 5, stk. 1, at oplysninger skal behandles i overensstemmelse med god databehandlingsskik. Det betyder ifølge lovens forarbejder, at behandlingen skal være rimelig og lovlig.

Det følger endvidere af § 5, stk. 3, at oplysninger, som behandles, skal være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles.

Efter Datatilsynets opfattelse, må de dataansvarlige – dvs. de to amter - før en så vidtgående offentliggørelse sættes i værk, foretage en nøje afvejning af på den ene side hensynet til de interesser, der forfølges med offentliggørelsen, og på den anden side hensynet til de personer, der hvis offentliggørelsen gennemføres - ikke vil kunne skrive til amterne, uden at dette bliver gjort tilgængeligt for - i princippet - hele verden via internettet.

I forlængelse heraf finder tilsynet, at det må anses for hensigtsmæssigt, at beslutningen om, hvorvidt der skal ske offentliggørelse i et omfang som beskrevet, træffes af den politiske ledelse i amterne.

Hvis resultatet af amtets afvejning af disse modsatrettede hensyn bliver, at der skal ske offentliggørelse, finder Datatilsynet ikke med henvisning til persondataloven at kunne udtale sig imod noget sådant.

2.4. Offentliggørelse af skal ligeledes vurderes i forhold til behandlingsreglerne i persondatalovens kapitel 4 som beskrevet i afsnit 2.1.

Amterne har oplyst, at listerne for hvert dokument indeholder følgende oplysninger: navn og adresse på afsender, dokumentresumé, journaldato, journalnummer, sagstitel og navn på den sagsførende.

Følsomme oplysninger omfattet af persondatalovens §§ 7 eller 8 må efter Datatilsynets opfattelse ikke indgå i de postlister, der offentliggøres. Der henvises til det anførte om følsomme oplysninger i afsnit 2.1. Oplysningerne må heller ikke offentliggøres i en for modtagerne ikke umiddelbart personhenførbar form, idet der fortsat er tale om personoplysninger, når oplysning om borgerens identitet findes i f.eks. amtets sagsakter.

Oplysninger omfattet af persondatalovens § 6 vil inden for rammerne af § 6, stk. 1, nr. 5-7, kunne offentliggøres på en postliste i det omfang, der ikke er tale om oplysninger af fortrolig karakter. Eventuelle fortrolige oplysninger vil kunne of-fentliggøres, hvis der er sket en sådan "anonymisering", at det ikke er muligt for udenforstående (dvs. for andre end amtet og den registrerede selv) at identificere den person, som oplysningerne vedrører.

2.5. Datatilsynet skal understrege vigtigheden af, at amterne inden offentliggørelsen nøje gennemgår det enkelte brev med henblik på at sikre, at brevet ikke indeholder fortrolige og/eller følsomme oplysninger.

Datatilsynet skal endvidere understrege vigtigheden af, at medarbejderne modtager grundig instruktion i, hvorledes offentliggørelsen af akter og postlister skal håndteres. Uberettiget offentliggørelse af personoplysninger kan have betydelige negative konsekvenser for de personer, der berøres heraf. Det vil endvidere ofte være forbundet med store vanskeligheder at få oplysningerne fjernet fra eksempelvis søgemaskiner.

Disse forhold bør efter Datatilsynets opfattelse også indgå i amternes overvejelser om, hvorvidt ordningen med offentliggørelse også bør omfatte sagsakter.

3. Oplysningspligt ved offentliggørelse af sagsakter eller postlister på internettet

I persondatalovens kapitel 8 er der fastsat regler om den dataansvarliges oplysningspligt over for den registrerede. § 28 vedrører indsamling af oplysninger hos den registrerede selv, mens § 29 vedrører indsamling af oplysninger hos andre end den registrerede.

Ved indsamling af oplysninger hos den registrerede skal den dataansvarlige eller dennes repræsentant ifølge persondatalovens § 28, stk. 1, give den registrerede meddelelse om følgende:

1. Den dataansvarliges og dennes repræsentants identitet.
2. Formålene med den behandling, hvortil oplysningerne er bestemt.
3. Alle yderligere oplysninger, der under hensyn til de særlige omstændigheder, hvorunder oplysningerne er indsamlet, er nødvendige for, at den registrerede kan varetage sine interesser, som f.eks.:
1. Kategorierne af modtagere.
2. Om det er obligatorisk eller frivilligt at besvare stillede spørgsmål samt mulige følger af ikke at svare.
3. Om reglerne om indsigt i og om berigtigelse af de oplysninger, der vedrører den registrerede.

Af bestemmelsens stk. 2 følger, at stk. 1 ikke gælder, hvis den registrerede allerede er bekendt med de i nr. 1-3 nævnte oplysninger.

I tilfælde, hvor oplysninger indsamles hos tredjemand, følger det af lovens § 29, stk. 1, at det påhviler den dataansvarlige eller dennes repræsentant ved registreringen, eller hvor de indsamlede oplysninger er bestemt til videregivelse til tredjemand, senest når videregivelsen finder sted, at give den registrerede meddelelse om følgende:

1. Den dataansvarliges eller dennes repræsentants identitet.
2. Formålet med den behandling, hvortil oplysningerne er bestemt
3. Alle yderligere oplysninger, der under hensyn til de særlige omstændigheder, hvorunder oplysningerne er indsamlet, er nødvendige for, at den registrerede kan varetage sine interesser, som f.eks.:
1. Hvilken type oplysninger det drejer sig om.
2. Kategorierne af modtagere.
3. Om reglerne om indsigt i og om berigtigelse af de oplysninger, der vedrører den registrerede.

Det følger af bestemmelsens stk. 2, at stk. 1 ikke gælder, hvis den registrerede allerede er bekendt med de i nr. 1-3 nævnte oplysninger, eller hvis registreringen eller videregivelsen udtrykkeligt er fastsat ved lov eller bestemmelser fastsat i henhold til lov.

Det følger endvidere af bestemmelsens stk. 3, at stk. 1 heller ikke gælder, hvis underretning af den registrerede viser sig umulig eller er uforholdsmæssigt vanskelig.

Det fremgår af bemærkningerne til bestemmelserne, at den dataansvarlige ikke er forpligtet til at give en registreret person de nævnte oplysninger mere end én gang, jf. herved også stk. 2.

Under punkt 2.1.1. i rettighedsvejledningen fremgår vedrørende § 28, at dette "gælder såvel ved enkeltstående indsamlinger som ved løbende indsamling af oplysninger hos den registrerede. Ved indsamling af oplysninger i samme sag, er en gentagelse af oplysningerne til opfyldelse af oplysningspligten således ikke nødvendig. En betingelse for at undlade at underrette den registrerede, hver gang der indsamles oplysninger, er dog, at de efterfølgende indsamlinger ikke går ud over rammerne for den meddelelse, som er givet til den registrerede i forbindelse med den første indsamling."

Tilsvarende er anført under afsnit 2.2.1. i rettighedsvejledningen vedrørende § 29.

Det er Datatilsynets vurdering, at der efterhånden har udviklet sig en almindelig praksis med offentliggørelse af i hvert fald postlister, og Datatilsynet finder, at en myndigheds offentliggørelse af postlister må anses som et sædvanligt sagsbehandlingsskridt på linie med eksempelvis journalisering. Der er således ikke tale om, at oplysningerne om borgeren anvendes til et andet formål end til behandling af sagen. På den baggrund er det Datatilsynets opfattelse, at Ringkjøbing Amts og Århus Amts offentliggørelse af postlister ikke medfører krav om en selvstændig og individuel meddelelse i medfør af persondatalovens §§ 28 og 29.

Amterne skal naturligvis stadig i forbindelse med den almindelige sagsbehandling af en konkret sag eller henvendelse vurdere spørgsmålet om oplysningspligt efter reglerne i persondatalovens kapitel 8.

Det er Datatilsynets indtryk, at der endnu ikke har udviklet sig en almindelig praksis med offentliggørelse af egentlige sagsakter. Datatilsynet finder imidlertid, at ovennævnte betragtninger om oplysningspligt gør sig tilsvarende gældende i forhold til en eventuel offentliggørelse af sagsakter inden for de rammer, som fremgår af afsnit 2.1. og 2.2.

Datatilsynet har samtidig noteret sig, at amterne udelukkende forestiller sig en fremadrettet ordning for offentliggørelse af sagsakter. Datatilsynet har endvidere noteret sig, at amterne i deres beskrivelse er inde på muligheden for generelt at informere om ordningen gennem annoncer, på brevpapir og på hjemmesider, hvilket tilsynet bestemt finder vil være hensigtsmæssigt.

Datatilsynet skal afslutningsvist understrege, at ovenstående udtalelse er vejledende, og at tilsynet må forbeholde sig sin endelige stillingtagen i en eventuel konkret klagesag.