Journalnummer: 2003-215-0131
Datatilsynet modtog den 8. oktober 2003 en klage fra klager K over advokatfirmaet F’s behandling af personoplysninger.
De fremkom med en udtalelse i brev af 29. oktober 2003, som K har kommenteret i brev af 6. november 2003.
Den 3. januar 2005 har De afgivet yderligere en udtalelse i sagen.
Ved brev af 22. februar 2005 har Domstolsstyrelsen efter anmodning fra Datatilsynet afgivet en udtalelse i sagen.
Datatilsynet har endvidere den 11. april 2005 indhentet supplerende oplysninger telefonisk fra Dem.
Endelig har Advokatrådet ved brev af 24. februar 2006 afgivet en udtalelse i sagen.
Det fremgår herefter af sagen, at K har været ansat 3½ måned på [en virksomhed], som efterfølgende har været under konkursbehandling, og at De er kurator for konkursboet. Datatilsynet har på denne baggrund opfattet K’s henvendelse som en klage over Deres behandling af personoplysninger i Deres egenskab af kurator.
K har gjort gældende, at De har åbnet og læst hans e-post, krænket brevhemmeligheden samt registreret hans færden på internettet.
De har oplyst, at De – som kurator for konkursboet – umiddelbart efter konkursdekretet foretog udskrifter fra firmaets bogføringsprogram samt kopi af hele virksomhedens edb-anlæg. En del pc’er blev undergivet nærmere teknisk undersøgelse, idet disse stort set ikke rummede data. De skønnede derfor, at der var foretaget en fuldstændig sletning af alt på pc’erne med det formål at hindre boet i at få adgang til data. Der blev på den baggrund iværksat en teknisk gendannelse af alt slettet materiale. Det gendannede materiale opbevares elektronisk af Dem.
De oplyser endvidere, at De ikke har fundet anledning til at gennemgå det gendannede materiale. Gennemgang heraf vil alene ske, hvis der konstateres behov herfor, eksempelvis hvis De vurderer, at forsvundet materiale, der ikke kan skaffes ad andre veje, er blandt det gendannede.
Formålet med gendannelsen har ifølge Dem været at sikre oplysninger til Deres behandling af aktiver og oplysninger i forbindelse med den fremtidige håndtering af virksomhedens konkursbehandling. De pågældende pc’er er blevet solgt, hvorfor De har foretaget gendannelsen for at sikre mulighed for at kunne foretage efterforskning i de virksomhedsrelevante oplysninger, som måtte forefindes på bl.a. K’s pc. Oplysningerne slettes senest 5 år efter konkursens indtræden, ligesom Deres øvrige bomateriale, herunder bogføringsmateriale.
De oplyser tillige, at en del af materialet vedrører, hvad K i virksomhedens tjeneste har produceret, og må ikke anses for værende personoplysninger. De er ikke vidende om, hvorvidt der behandles personoplysninger.
Endvidere anfører De, at eventuelle personoplysninger på K’s pc, der ikke må komme selskabet i hænde, er lagt på pc’en, uden at dette er sket som led i ansættelsesforholdet.
Ifølge Dem er gendannelsen af det slettede materiale foretaget i forbindelse med Deres varetagelse af Deres forpligtelser i henhold til konkurslovens § 110, stk. 1, til at sikre boets aktiver. Formålet med gendannelse er at sikre bevis for et kravs eksistens, idet der i retspraksis er eksempler på, at kurator ikke har sikret bevis for eller dokumenteret et tab, uanset at ansvaret har været placeret. Såfremt kurator ikke forfølger alle eventuelle krav, som boet kan gøre gældende, vil kurator efterfølgende kunne blive gjort erstatningsansvarlig. De anfører, at i tilfælde af en erstatningssag er kurator underlagt en streng culpabedømmelse.
De har endvidere oplyst, at De ved gendannelsen af materialet har fulgt den sædvanlige fremgangsmåde, som De vurderer, at advokater hos F følger. De har i den forbindelse oplyst, at når De i egenskab af kurator finder servere og/eller harddiske, hvis indhold er slettet, undersøger De, hvorfor materialet er slettet, og om der er grund til at mistænke den ansatte for bevidst at søge informationer og data unddraget konkursboet.
De vurderer, at advokater fra velansete advokatkontorer følger samme fremgangsmåde, men mener dog ikke, at man kan tale om en egentlig praksis, som følges af alle kuratorer.
Endelig oplyser De, at De ikke har fundet behov for at orientere K om behandlingen, idet De vurderer, at der ikke foreligger en behandling af personoplysninger om ham, og idet behandlingen af oplysninger er sket som led i det lovregulerede hverv som kurator.
K har over for dette anført, at han har sendt e-mails både privat og i erhvervsøjemed fra sin pc, men at kurator ikke har ret til at læse eller kopiere disse uden hans vidende.
K anfører desuden, at han ikke har produceret væsentlige dele af virksomhedens materiale. Han var ansat i virksomheden som sælger og opholdt sig i hovedparten af arbejdstiden uden for virksomheden.
Endelig anfører K, at han oplever de omstændigheder, at hans mails er blevet genskabt og læst, og at hans færden på internettet er blevet blotlagt, som krænkende. Han stiller tillige spørgsmålstegn ved, at oplysningerne måske udleveres til en ny køber, at man har genskabt materiale, der ikke er blevet læst, samt at hans e-post opbevares i op til i 5 år.
Høring af Domstolsstyrelsen
Foranlediget af Deres høringssvar i sagen har Datatilsynet over for Domstolsstyrelsen rejst spørgsmålet om forholdet til persondatalovens § 67, idet det efter tilsynets opfattelse forekom nærliggende at betragte behandling af personoplysninger, som kurator udfører for et konkursbo, som behandling, der foretages for domstolene.
Domstolsstyrelsen har til sagen udtalt, at det er Domstolsstyrelsens opfattelse, at den behandling af personoplysninger, der foretages af en kurator i et konkursbo – uanset at skifteretten udpeger kurator og har tilsyn i et vist omfang – ikke foretages for domstolene. Styrelsen har således fundet, at kompetencen til at føre tilsyn med kurator i et konkursbo hverken henhører under Domstolsstyrelsen eller vedkommende ret.
Høring af Advokatrådet
Deres høringssvar gav endvidere anledning til, at Datatilsynet rettede henvendelse til Advokatrådet med henblik på, at rådet afgav en udtalelse til sagen.
For så vidt angår spørgsmålet om, hvorvidt det er almindelig praksis, at en kurator gendanner slettet materiale, og i givet fald med hvilken hjemmel, udtalte Advokatrådet, at rådet ikke er bekendt med nogen praksis på området. Efter Advokatrådets opfattelse følger det imidlertid af bestemmelserne i konkurslovens § 110 om kurators pligt til at sikre boets aktiver og konkurslovens § 29 om skyldnerens manglende råderet efter afsigelse af konkursdekretet, at kurator har adgang til at sikre og sætte sig i besiddelse af såvel eksisterende som kasseret materiale, som måtte være tilgængeligt hos skyldneren.
Advokatrådet anfører, at kurator afleder sine beføjelser fra skyldneren. Kurator må derfor i samme omfang som skyldneren kunne gendanne materiale, der er slettet fra en computer tilhørende skyldneren.
I relation til den konkrete sag fremhæver Advokatrådet, at spørgsmålet om adgangen til materiale, der er lagret elektronisk og forsøgt slettet, ikke adskiller sig fra spørgsmålet om kurators adgang til fysiske dokumenter, der måtte være kasseret og f.eks. befinder sig i en papircontainer på virksomheden. Det forhold, at skyldneren eller dennes medarbejdere har haft til hensigt at bortskaffe dokumenter mv., indskrænker således ikke kurators adgang til disse dokumenter mv., hvis de stadig kan findes hos skyldneren.
Advokatrådet fremhæver endvidere, at der vil være tilfælde, hvor kurator må anses for forpligtet til at søge at sætte sig i besiddelse af materiale, der er forsøgt kasseret. Hvis kurator bliver bekendt med eller har viden om, at der muligvis er slettet eller kasseret materiale fra virksomheden, vil kurator efter omstændighederne kunne pådrage sig et ansvar, hvis han undlader at søge materialet genskabt eller tilvejebragt.
For så vidt angår spørgsmålet om håndteringen af ansattes private mailkorrespondance, der måtte befinde sig på skyldnerens computer, finder Advokatrådet, at spørgsmålet må afgøres efter de regler, der regulerer arbejdsgiveres adgang til ansattes private korrespondance. Kurator har således efter Advokatrådets opfattelse adgang til samme materiale, som arbejdsgiveren lovligt ville kunne opnå adgang til. Tilsvarende skal spørgsmålet om kurators eventuelle forpligtelse til at underrette ansatte om, at gendannelsen finder sted, vurderes efter de regler, der vedrører en arbejdsgivers eventuelle underretningspligt.
Afslutningsvis anfører Advokatrådet, at kurator efter afslutningen af konkursboet normalt vil opbevare en række oplysninger om bobehandlingen mv. Det drejer sig om oplysninger, som efter bogføringsloven eller anden lovgivning, f.eks. lov om forebyggende foranstaltninger mod hvidvaskning af penge mv., skal opbevares, samt øvrige oplysninger, som efter kurators vurdering kan være af betydning, hvis der senere opstår spørgsmål om boets dispositioner og behandling. Der findes således ikke generelle regler for, hvor længe kurator skal opbevare oplysninger om bobehandlingen. Kassation af dokumenter og oplysninger mv. skal ske på en måde, som sikrer, at uvedkommende ikke kan få adgang til materialet. For oplysninger, der er lagret elektronisk, består dette enten i en egentlig destruktion af opbevaringsmediet (f.eks. en CD-ROM) eller gennem sletning og reformatering af mediet.
I den anledning skal Datatilsynet – efter at sagen har været behandlet i Datarådet – udtale:
1. Datatilsynets kompetence
Ifølge persondatalovens § 67, stk. 1, fører Domstolsstyrelsen tilsyn med behandling af oplysninger, der foretages for domstolene. Tilsynet omfatter behandling af oplysninger med hensyn til domstolenes administrative forhold, jf. § 67, stk. 2. Det fremgår endvidere af bestemmelsens stk. 3, at for anden behandling af oplysninger træffes afgørelse af vedkommende ret.
Det følger af konkurslovens § 107, at skifteretten, efter at have rådført sig med de fordringshavere, der er til stede, udpeger en eller flere kuratorer straks efter, at konkursdekretet er afsagt.
Af konkurslovens § 110, stk. 1, fremgår, at kurator ved udførelsen af sit hverv skal varetage boets interesser, herunder sikre boets aktiver og foretage de fornødne skridt til værn mod uberettigede dispositioner over aktiverne, samt repræsentere boet i enhver henseende.
Skifteretten indkalder på en kreditors anmodning kreditorerne til skiftesamling, hvis det findes påkrævet, jf. konkurslovens § 118, stk. 1.
I henhold til konkurslovens § 127 kan skifteretten blandt andet tilsidesætte de trufne beslutninger, såfremt kurator handler til skade for boet.
Domstolsstyrelsen har i sin udtalelse oplyst, at styrelsen er af den opfattelse, at den behandling af personoplysninger, der foretages af en kurator i et konkursbo, ikke foretages for domstolene. Domstolsstyrelsen har i den forbindelse lagt vægt på, at ledelse og ansvar i forbindelse med en konkursbehandling er samlet hos kurator, hvis dispositioner ikke skal forelægges skifteretten. Styrelsen har endvidere tillagt det betydning, at skifteretten ikke udøver et generelt overskøn over kurators beslutninger, men kun griber ind, hvis der er tale om klart urimelige beslutninger, grove fejl eller magtmisbrug, at den bobehandling, der foretages af kurator, foretages i kreditorernes interesse, og at kurator varetager bobehandlingen selvstændigt og uafhængigt af skifteretten.
Datatilsynet finder på baggrund af Domstolsstyrelsens udtalelse i sagen, at den behandling af personoplysninger, der foretages af en kurator i et konkursbo, ikke foretages for domstolene. Datatilsynet må derfor anses for kompetent til at behandle sagen.
2. Persondatalovens anvendelsesområde
Persondataloven gælder ifølge § 1, stk. 1, for behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling, og for ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.
Loven gælder tillige for anden ikke-elektronisk systematisk behandling, som udføres for private, og som omfatter oplysninger om personers private eller økonomiske forhold eller i øvrigt oplysninger om personlige forhold, som med rimelighed kan forlanges unddraget offentligheden, jf. § 1, stk. 2.
Ved ”personoplysning” forstås ifølge lovens § 3, nr. 1, enhver form for information om en identificeret eller identificerbar fysisk person (den registrerede). Der er tale om en meget bred definition, således at begrebet omfatter alle oplysninger, der kan henføres til en fysisk person. Det er uden betydning, hvilken karakter oplysningerne har. Også helt banale oplysninger, såsom navn, adresse og lignende, er omfattet af begrebet personoplysninger, i det omfang oplysningerne vedrører en identificeret eller identificerbar person.
Loven gælder endvidere fuldt ud med hensyn til personer, der kun har en perifer eller underordnet betydning i forhold til behandlingen i øvrigt.
Ved “behandling” forstås ifølge lovens § 3, nr. 2, enhver operation eller række af operationer med eller uden brug af elektronisk databehandling, som oplysninger gøres til genstand for. Omfattet af begrebet er f.eks. indsamling, registrering, videregivelse og opbevaring.
Det er Datatilsynets opfattelse, at De ved gendannelsen af materialet fra K’s pc foretog en behandling af personoplysninger vedrørende ham. Den fortsatte opbevaring af oplysningerne på elektroniske medier udgør ligeledes en behandling omfattet af persondataloven.
3. Behandling af personoplysninger
Når der er tale om flere former for behandlinger, skal der foretages en selvstændig vurdering af, om hver af disse behandlinger kan ske efter behandlingsreglerne i persondatalovens kapitel 4. Der er i denne sag tale om indsamling/gendannelse og om opbevaring.
Indsamling/gendannelse af oplysninger
Persondatalovens kapitel 4 indeholder lovens generelle behandlingsregler. Det følger bl.a. af persondatalovens § 6, at behandling af oplysninger kun må finde sted, hvis den registrerede har givet sit udtrykkelige samtykke hertil, jf. stk. 1, nr. 1, behandlingen er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige, jf. stk. 1, nr. 3, eller behandlingen er nødvendig for, at den dataansvarlige eller den tredjemand, til hvem oplysningerne videregives, kan forfølge en berettiget interesse, og hensynet til den registrerede ikke overstiger denne interesse, jf. stk. 1, nr. 7.
Det følger endvidere af konkurslovens § 110, stk. 1, at kurator ved udførelsen af sit hverv skal varetage boets interesser, herunder sikre boets aktiver og foretage de fornødne skridt til værn mod uberettigede dispositioner over aktiverne, samt repræsentere boet i enhver henseende.
Det er Datatilsynets opfattelse, at konkurslovens § 110, stk. 1, ikke kan siges at indeholde en retlig forpligtelse for kurator til at gendanne alt slettet materiale på pc’er. Formuleringen ”at sikre boets aktiver” kan ikke i sig selv antages at være en hjemmel til aktivt at gendanne materiale. Datatilsynet lægger herved navnlig vægt på, at bestemmelsen ikke angiver, om og hvilke personoplysninger en kurator må behandle i forbindelse med varetagelsen af sit hverv.
Datatilsynet finder derfor, at kurators gendannelse skal vurderes efter interesseafvejningsreglen i persondatalovens § 6, stk. 1, nr. 7. Spørgsmålet om, hvorvidt gendannelse af slettet virksomhedsrelevant materiale på medarbejderes pc’er er i overensstemmelse med bestemmelsen, må bero på en afvejning af de modsatrettede hensyn i den konkrete situation.
Efter Datatilsynets opfattelse kan gendannelse af slettet materiale kun være berettiget, hvis kurator har grund til at antage, at der er forsvundet relevante oplysninger fra virksomheden, f.eks. fordi virksomhedens it-system og -udstyr indeholder påfaldende få oplysninger. Ved vurderingen af, hvad der i en sådan situation må gendannes, er det efter Datatilsynets opfattelse afgørende, om der er konkrete holdepunkter for at antage, at der på den enkelte pc er oplysninger, som er af betydning for bobehandlingen. Ved denne interesseafvejning skal der bl.a. lægges vægt på den ansattes funktion i virksomheden og på karakteren af vedkommendes opgaver forud for konkursen.
I den konkrete sag har Datatilsynet ikke fundet, at der er grundlag for at tilsidesætte Deres vurdering af, at det var nødvendigt at gendanne slettede oplysninger på K’s arbejds-pc. Datatilsynet har herved bl.a. lagt vægt på, at de pc’er, på hvilke data blev gendannet, ifølge Dem praktisk taget ikke indeholdt data, hvorfor De fandt det sandsynligt, at der op til konkursen var slettet data.
Datatilsynet har også lagt vægt på omfanget af den forpligtelse til at sikre boets aktiver, som efter konkurslovens § 110 påhviler Dem som kurator. Ifølge Advokatrådets udtalelse vil kurator således efter omstændighederne kunne pådrage sig et ansvar, hvis han undlader at søge materiale genskabt, hvis han bliver bekendt med, at der muligvis er slettet materiale fra virksomheden.
Datatilsynet har endvidere tillagt det betydning, at K var ansat som sælger, hvilket efter Datatilsynets vurdering muliggjorde, at der på hans arbejds-pc kunne foreligge korrespondance med kunder, som kunne være af betydning for boet.
For så vidt angår følsomme oplysninger omfattet af persondatalovens § 7 og § 8, stk. 4, finder Datatilsynet – som denne sag foreligger – ikke at have det fornødne grundlag for at udtale sig om Deres adgang til at behandle eventuelle oplysninger af denne karakter.
Det bemærkes herved, at der ikke foreligger oplysninger i sagen om, at de gendannede oplysninger skulle være af følsom karakter.
Efter Datatilsynets opfattelse kan det næppe generelt afvises, at reglen i persondatalovens § 7, stk. 2, nr. 4, i visse tilfælde kan give grundlag for kurators behandling af følsomme oplysninger. Efter persondatalovens § 7, stk. 2, nr. 4, kan behandling af personoplysninger foretages, såfremt behandlingen er nødvendig for, at et retskrav kan fastlægges, gøres gældende eller forsvares.
Datatilsynet skal i øvrigt understrege, at tilsynets udtalelse i denne sag ikke er udtryk for, at virksomheder i almindelighed kan anses for berettigede til at genskabe oplysninger, som medarbejderne har slettet. Der henvises herved til det anførte vedrørende den forpligtelse, der efter konkurslovens § 110 påhviler kurator.
Det bemærkes, at persondataloven ikke giver ret til at tilsidesætte straffelovens regler om brevhemmelighed mv. Spørgsmålet om eventuel overtrædelse af disse regler falder uden for Datatilsynets kompetence.
Opbevaring af genskabte oplysninger
Det er Datatilsynets vurdering, at De med hjemmel i persondatalovens § 6, stk. 1, nr. 7, kan opbevare materialet i en vis periode. Datatilsynet forudsætter, at opbevaringen afsluttes så hurtigt, som det er muligt i forbindelse med en gennemgang af boet.
Ifølge persondatalovens § 35 kan den registrerede til enhver tid over for den dataansvarlige gøre indsigelse mod, at oplysninger om vedkommende gøres til genstand for behandling. Hvis indsigelsen er berettiget, må behandlingen ifølge § 35, stk. 2, ikke længere omfatte de pågældende oplysninger.
Som dataansvarlig for behandlingen af personoplysninger om K er De forpligtet til at sikre Dem, at også den fortsatte opbevaring af oplysningerne er berettiget i lyset af den indsigelse, som han er fremkommet med.
Datatilsynet skal på denne baggrund anmode Dem om at forholde Dem til K’s indsigelser mod behandlingen og herunder foretage en vurdering af, om der fortsat er grundlag for at opbevare oplysningerne.
4. Oplysningspligt
Det fremgår af sagen, at De umiddelbart efter konkursdekretets afsigelse den [dato] indfandt Dem på den konkursramte virksomhed, hvor De igangsatte tekniske undersøgelser af pc’erne for relevant materiale. De foretog herefter gendannelse af det slettede materiale.
K blev ved en tilfældighed opmærksom på, at De havde gendannet materiale fra hans pc, hvorefter han tog kontakt til Dem. De bekræftede ved brev af 5. oktober 2003 over for ham, at De på konkursboets vegne havde sikret Dem gendannelse af det slettede materiale.
De har bl.a. gjort gældende, at behandlingen af oplysninger sker som led i det lovregulerede hverv som kurator. De har desuden anført, at De erstatter virksomhedens hidtidige ledelse, og at der er tale om en succession, hvor videregivelse til kurator ikke udgør en behandling i persondatalovens forstand.
Datatilsynet er enig i, at kurator som udgangspunkt må antages at overtage ledelsen, og at der som udgangspunkt ikke er tale om videregivelse til en anden dataansvarlig, og altså ikke krav om opfyldelse af en oplysningspligt i anledning af konkursen som sådan.
Efter Datatilsynets opfattelse må kurators gendannelse af slettede oplysninger imidlertid betragtes som en indsamling af oplysninger om de berørte personer fra en anden kilde end de pågældende selv – nemlig fra deres arbejds-pc’er.
Denne indsamling må efter tilsynets opfattelse som udgangspunkt udløse oplysningspligt efter persondatalovens § 29. § 29 omhandler den dataansvarliges oplysningspligt over for den registrerede ved indsamling af oplysninger hos andre den registrerede selv.
Det følger af § 29, stk. 1, at det påhviler den dataansvarlige eller dennes repræsentant ved registreringen eller, hvor de indsamlede oplysninger er bestemt til videregivelse til tredjemand, senest, når videregivelsen finder sted, at give den registrerede meddelelse om den dataansvarliges eller dennes repræsentants identitet samt formålet med behandlingen. Den dataansvarlige skal endvidere give meddelelse om alle yderligere oplysninger, der efter forholdets særlige omstændigheder er nødvendige for, at den registrerede kan varetage sine interesser, herunder f.eks. indsamlede oplysningstyper og kategorier af eventuelle modtagere af oplysningerne.
Ifølge bemærkningerne til bestemmelsen påhviler der den dataansvarlige eller dennes repræsentant en pligt til af egen drift at meddele den registrerede de omhandlede oplysninger.
Det fremgår af bestemmelsen, at den registrerede skal gives meddelelse ved registreringen. Korfits Nielsen og Waaben anfører på side 306 i ”Lov om behandling af personoplysninger med kommentarer”, at det afhænger af sagens nærmere omstændigheder, hvilken tidsfrist der kan indlægges i udtrykket ”registreringen”, men at det må kræves fra den dataansvarliges side, at der gives den registrerede meddelelse på et så tidligt tidspunkt som muligt.
Ifølge Datatilsynets rettighedsvejledning vil oplysningspligten i almindelighed skulle opfyldes inden 10 dage efter registreringen.
De har henvist til, at der er tale om et lovreguleret hverv. Datatilsynet opfatter dette som en tilkendegivelse om, at De mener, at undtagelsen i § 29, stk. 2, kan finde anvendelse.
Det følger af lovens § 29, stk. 2, at oplysningspligten ikke gælder, hvis registreringen eller videregivelsen er udtrykkeligt fastsat ved lov eller bestemmelser fastsat i henhold til lov. Det fremgår af Datatilsynets rettighedsvejledning, at der i kravet om udtrykkelighed ligger, at det ikke må give anledning til tvivl, hvorvidt det i lovgivningen er fastsat, at den dataansvarlige skal foretage registrering eller videregivelse af de indsamlede oplysninger.
Det er Datatilsynets opfattelse, at konkurslovens § 110, stk. 1, ikke udgør en sådan udtrykkelig lovbestemmelse, at den er omfattet af § 29, stk. 2.
Datatilsynet finder endvidere ikke, at De har opfyldt Deres oplysningspligt ved, at De rettede henvendelse til K, efter at han havde konfronteret Dem med sin viden om, at der var sket gendannelse af materialet fra hans pc. De har således ikke på eget initiativ givet ham meddelelse om den foretagne behandling.
Det er som følge heraf Datatilsynets opfattelse, at De ikke har levet op til bestemmelsen i persondatalovens § 29 om oplysningspligt.
5. Afsluttende bemærkninger
Datatilsynet skal for en god ordens skyld oplyse, at tilsynet forventer at offentliggøre dette brev på sin hjemmeside. Ved offentliggørelsen vil oplysningerne om K’s navn og adresse samt virksomhedens og Deres navn blive udeladt.