Offentliggørelse af oplysninger på Lectio.dk

Journalnummer: 2004-312-0045

De har ved breve af 3. december 2004 og 3. marts 2005 rettet henvendelse til Datatilsynet med en forespørgsel vedrørende offentliggørelse af forskellige typer af oplysninger på hjemmesiden www.lectio.dk.

Der er telefonisk indhentet supplerende oplysninger hos Gymnasieskolernes Lærerforening (GL) samt hos Macom, der er ansvarlig for www.lectio.dk. Kopi af Datatilsynets telefonnotat af 14. marts 2005 er vedlagt.

Det fremgår herefter af sagen, at Macom stiller den service til rådighed for skolerne, at de mod betaling af vederlag kan lægge skemaer for lærere og elever ud på www.lectio.dk. Den enkelte skole får et logon fra Macom, som benyttes til at få adgang til at indtaste (skema)oplysninger. Skolerne bestemmer selv, hvad de vælger at lægge ud på www.lectio.dk, herunder om de nærmere årsager til læreres og elevers fravær skal angives, og Macom fører ikke kontrol hermed. De har anført, at det er GL’s opfattelse, at de omhandlede oplysninger lægges ud på www.lectio.dk uden samtykke fra lærere og elever.

Nogle skoler angiver på www.lectio.dk, hvis en lærers fravær skyldes sygdom (uden nærmere angivelse af sygdommen), og/eller hvis fraværet skyldes aktiviteter i GL. GL er en fagforening, og de lærere, om hvem det angives, at fravær skyldes aktiviteter i GL, har i forvejen selv offentliggjort deres medlemskab af foreningen på GL’s hjemmeside.

Systemet på www.lectio.dk er fra Macoms side ment som blandt andet et statistikværktøj, som lærere kan bruge eksempelvis til at føre regnskab med afholdte timer, og som elever kan bruge til at føre regnskab med fravær.

De har anmodet Datatilsynet om en vejledende udtalelse vedrørende

Datatilsynet skal udtale:

Indledningsvis bemærkes, at persondataloven¹ ifølge lovens § 1, stk. 1, gælder for behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling, og for ikke elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.

Loven gælder tillige for anden ikke-elektronisk systematisk behandling, som udføres for private, og som omfatter oplysninger om personers private eller økonomiske forhold eller i øvrigt oplysninger om personlige forhold, som med rimelighed kan forlanges unddraget offentligheden, jf. § 1, stk. 2.

Det er Datatilsynets opfattelse, at behandling af oplysninger om lærere og elever i form af videregivelse af skemaoplysninger over internettet er omfattet af persondatalovens anvendelsesområde, jf. lovens § 1, stk. 1, 1. led.

Ved ”dataansvarlig” forstås ifølge lovens § 3, nr. 4, den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af oplysninger.

Ved ”databehandler” forstås ifølge lovens § 3, nr. 5, den fysiske eller juridiske person, offentlige myndighed eller ethvert andet organ, der behandler oplysninger på den dataansvarliges vegne.

Det er Datatilsynets umiddelbare vurdering, at det er den enkelte skole (eller skolens overordnede dataansvarlige myndighed), der er dataansvarlig for de oplysninger om skolens lærere og elever, der lægges ud på www.lectio.dk, og at Macom er databehandler, idet det er skolen, der afgør, hvilke oplysninger der behandles til hvilke formål, og idet Macom handler efter instruks og mod betaling fra skolen.

Offentliggørelse af læreres og elevers skemaer

Persondatalovens § 6, stk. 1, indeholder forskellige regler for, hvornår registrering, videregivelse og anden behandling af ikke-følsomme oplysninger må finde sted. Det er Datatilsynets opfattelse, at oplysninger om en lærers/elevs skema er ikke-følsomme oplysninger.

Ifølge § 6, stk. 1, nr. 1, må behandling ske, hvis den registrerede har givet sit udtrykkelige samtykke hertil.

Efter § 6, stk. 1, nr. 7, må behandling ske, hvis behandlingen er nødvendig for, at den dataansvarlige eller den tredjemand, til hvem oplysningerne videregives, kan forfølge en berettiget interesse, og hensynet til den registrerede ikke overstiger denne interesse.

En betingelse for at kunne anvende denne bestemmelse er, at den dataansvarlige har foretage en vurdering af, hvorvidt hensynet til den registreredes interesser overstiger hensynet til de interesser, der ønskes forfulgt med behandlingen, og at denne vurdering falder ud til fordel for de interesser, der ønskes forfulgt. Den dataansvarlige eller den tredjemand, til hvem oplysningerne videregives, vil også kunne forfølge andres end egne interesser. En forudsætning herfor er dog, at der er tale om andres berettigede interesser.

Vurderingen af behandlingens nødvendighed afhænger af, hvilken form for behandling der er tale om. Det vil således skulle vurderes separat, om det er nødvendigt, at oplysninger indsamles, registreres, videregives, samkøres mv. Der vil endvidere skulle henses til, hvilken type af oplysninger der er tale om.

Det er ikke oplyst, hvad de enkelte skolers konkrete formål med at lægge de omhandlede oplysninger ud på www.lectio.dk er. Det vil bero på konkrete vurderinger i hvert enkelt tilfælde at foretage afvejningen efter § 6, stk. 1, nr. 7.

Offentliggørelse af oplysninger om aflysning af en lærers skemalagte timer på grund af sygdom

Det er Datatilsynets opfattelse, at den blotte oplysning om, at en lærers timer er aflyst, er en ikke-følsom oplysning omfattet af persondatalovens § 6.

Såfremt det tillige fremgår, at aflysningen skyldes sygdom, men uden nærmere kvalifikation heraf, finder Datatilsynet det tvivlsomt, hvorvidt der kan være tale om en oplysning om helbredsmæssige forhold, som er omfattet af § 7, eller om der også her er tale om § 6-oplysninger. Dette vil bero på konkrete vurderinger i de enkelte tilfælde.

Det følger af persondatalovens § 7, stk. 1, at oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold og oplysninger om helbredsmæssige og seksuelle forhold som udgangspunkt ikke må behandles. Disse oplysningstyper karakteriseres som følsomme.

Omfattet af udtrykket ”oplysninger om helbredsmæssige forhold” er oplysninger om en fysisk persons tidligere, nuværende og fremtidige fysiske eller psykiske tilstand samt oplysninger om medicinmisbrug og misbrug af narkotika, alkohol og lignende nydelsesmidler.

Efter § 7, stk. 2, må behandling af oplysninger, der er omfattede af bestemmelsens stk. 1, dog finde sted, hvis

Hvis en oplysning om aflysning på grund af sygdom konkret vurderes at være en oplysning om helbredsmæssige forhold, vil det herefter endvidere skulle vurderes konkret, hvorvidt behandling kan finde sted efter reglerne i § 7, stk. 2.

Offentliggørelse af oplysninger om aflysning af en lærers skemalagte timer på grund af deltagelse i fagforeningsarrangement

Som nævnt ovenfor er oplysninger om fagforeningsmæssige tilhørsforhold omfattede af persondatalovens § 7 og må behandles, hvis der er hjemmel hertil i § 7, stk. 2.

De har oplyst, at oplysningerne om de omhandlede læreres medlemskab af GL i forvejen er offentliggjort af lærerne selv.

Når det i § 7, stk. 2, nr. 3, er fastsat, at behandling af § 7-oplysninger må finde sted, hvis behandlingen vedrører oplysninger, som er blevet offentliggjort af den registrerede, ligger det heri, at offentliggørelse foreligger, hvis oplysningerne er blevet bragt til kundskab hos en bredere kreds af personer. Det er endvidere en betingelse, at oplysningerne er offentliggjort på den registreredes foranledning, og oplysninger, som andre af egen drift har offentliggjort, er derfor ikke omfattede.

De grundlæggende principper om saglig og proportionalitet mv. i persondatalovens § 5

Ved siden af behandlingsreglerne i persondatalovens §§ 6 og 7 gælder reglerne i lovens § 5.

Det fremgår af § 5, stk. 2, at indsamling af oplysninger skal ske til udtrykkeligt angivne og saglige formål, og senere behandling må ikke være uforenelig med disse formål.

Ifølge § 5, stk. 3, skal oplysninger, som behandles, være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles.

Den registreredes indsigelsesret

Det fremgår af persondatalovens § 35, at den registrerede til enhver tid over for den dataansvarlige kan gøre indsigelse mod, at oplysninger om vedkommende gøres til genstand for behandling.

Såfremt den dataansvarlige ikke finder, at indsigelsen er berettiget, og nægter at ophøre med behandlingen, kan den registrerede indbringe sagen for Datatilsynet.

Det er således i første omgang den dataansvarlige, der skal foretage en vurdering af, hvorvidt en behandling af personoplysninger kan finde sted i overensstemmelse med persondatalovens regler. Denne vurdering kan efterfølgende prøves af Datatilsynet i forbindelse med eksempelvis en klagesag.

Datatilsynet håber hermed at have besvaret Deres henvendelse. Skulle det anførte give anledning til spørgsmål, er De velkommen til at kontakte mig – gerne telefonisk.

¹ Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger.