Journalnummer: 2007-313-0048
1. Ved brev af 31. oktober 2006 har Folketingets Ombudsmand oversendt klage fra fagforening A indgivet på vegne af B til Datatilsynet for så vidt angår spørgsmål om persondataloven.
Af fagforening A’s brev til Folketinget Ombudsmand fremgår bl.a., at det er fagforening A’s opfattelse, at X Kommune burde have oplyst B om, at notat ”020306” var under udarbejdelse og, at X Kommune således burde have givet hende mulighed for indsigelse i henhold til persondataloven.
Ved brev af 22. januar 2007 er X Kommune kommet med en udtalelse i sagen.
Ved brev af 26. februar 2007 har fagforening A fastholdt klagen.
2. Det fremgår herefter af sagen, at B’s fravær blev drøftet på et møde den 15. marts 2006 i X Kommune. Under mødet fremlagdes et notat benævnt ”Samarbejde 020306”.
Det fremgår endvidere, at SFO leder C den 16. marts 2006 udleverede kopi af notatet ”Samarbejde 020306” til B.
I brev af 21. marts 2006 til fagforening A konkluderer X Kommune, at notatet ”Samarbejde 020306” ikke er omfattet af persondatalovens anvendelsesområde. Kommunen giver i samme brev udtryk for, at B kulancemæssigt samme dag vil blive sendt meddelelse i henhold til persondatalovens § 28.
Af brev af 23. marts 2006 til B fremgår bl.a.:
”Fagforening A har anført, at X Kommune i forbindelse med udarbejdelsen af notatet ”Samarbejde 020306”, skulle have underrettet dig om behandlingen af de persondata som indgår i notatet, jf. Persondatalovens bestemmelser.”
Det fremgår endvidere, at:
”Det er X Kommune (C er repræsentant herfor), som vil være dataansvarlig ved indsamling og behandling af dine personoplysninger. Notatet blev udarbejdet for at lave en oversigt over forløbet af dit ansættelsesforhold. Notatet blev efterfølgende brugt ved samtalen den 15. mart 2006, da det gav et godt overblik over forløbet.
Da du efter vores opfattelse i forvejen var bekendt med alle oplysninger i notatet, jf. bl.a. referatet af samtalen den 24. februar 2006, vil X Kommune ikke foretage sig yderligere i forhold til persondataloven.”
Fagforening A har i klageskrivelsen til Folketingets ombudsmand oplyst, at fagforening A på mødet den 15. marts 2006 gør X Kommune opmærksomme på, at der bør foretages høring i henhold til persondataloven over notatet ”Samarbejde 020306”. I samme skrivelse har fagforening A endvidere oplyst, at SFO leder C den 16. marts 2006 udleverede kopi af notat ”Samarbejde 020306” til B, dog uden at gøre B opmærksom på muligheden for indsigelse.
Fagforening A har endvidere oplyst, at klagen fastholdes.
X Kommune har til sagen oplyst, at kommunen behandler oplysninger om B omfattet af persondatalovens § 1, stk. 1. Det er således oplyst, at der er tale om oplysninger, som naturligt foreligger i et kommunalt ansættelsesforhold, eksempelvis personnummer, navn, adresse, lønoplysninger, overenskomstforhold, arbejdssted. Herudover elektronisk udarbejdet brevkommunikation og notater, som vedrører det konkrete ansættelsesforhold, eksempelvis ansættelsesbrev, referater af rundbordssamtaler, samt leders oplevelse af ansættelsesforholdet.
X kommune har oplyst, at formålet med behandlingen er korrekt løn- og personaleadministration i forbindelse med B’s ansættelse i X Kommune.
Fagforening A har anført, at notatet ”Samarbejde 020306” er omfattet af persondataloven, og at X Kommune af egen drift burde have orienteret B om indsamlingen af oplysninger til personalesagen og registreringen af oplysninger om hende i personalesagen.
Fagforening A har endvidere i skrivelsen til Folketingets Ombudsmand anført, at det i referatet fra rundbordsamtalen den 15. marts 2006 konkluderes, at X Kommune vil indlede afskedigelse, hvorfor det til trods for at X Kommune udleverer notatet den 16. marts 2006 og senere fremsender det den 26. marts 2006, hverken kan erstatte eller betragtes som decideret høring i henhold til persondataloven.
X Kommune har anført, at notatet ikke er omfattet af oplysningspligten efter persondatalovens §§ 28-29, idet der ikke er tale om oplysninger indsamlet ved den registrerede eller tredjemand. X Kommune har således nærmere anført, at ingen oplysning i notatet er indsamlet ved anden fysisk eller juridisk person end den dataansvarlige og de personer under den dataansvarliges direkte myndighed, der er beføjet til at behandle oplysninger.
X Kommune har endvidere anført, at såfremt tilsynet vurderer, at oplysningerne er omfattet af persondatalovens § 28 i den forstand, at oplysningerne i notatet er fremkommet dels ved lederens iagttagelse af B og dels ved udtalelser fra kollegaer, det vil sige personer under X Kommunes direkte myndighed, er det kommunens opfattelse, at B er bekendt med de observerede forhold og med, at de kunne indgå i en sag vedrørende samarbejdet. Der var derfor efter kommunens opfattelse ikke krav om underretning, jf. persondatalovens § 28, stk. 2.
X Kommune har desuden anført, at B på mødet den 15. marts 2006 blev gjort bekendt med oplysningerne, og at de indgik i en sag vedrørende samarbejde.
X Kommune har endvidere anført, at kommunen ved brev af 23. marts 2006 har givet B oplysninger som beskrevet i persondatalovens § 28, uanset at X Kommune har vurderet, at oplysningerne om B ikke er omfattet af persondatalovens §§ 28 og 29.
Endeligt har X Kommune anført, at B og fagforening A har fået tilsendt alle akter i løn- og personalesagen i forbindelse med anmodningen om aktindsigt af 28. marts 2006. Dokumenterne er fremsendt ved breve af 5 og 7. april 2006, X Kommune anfører således, at kommunen på anmodning om aktindsigt har givet indsigt i alle oplysninger, som persondatalovens § 31 foreskriver det.
Datatilsynet skal udtale:
3. Persondataloven gælder ifølge lovens § 1, stk. 1, for behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling, og for ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.
Ud fra det oplyste lægger Datatilsynet til grund, at der i notatet ”samarbejde 020306” behandles personoplysninger ved hjælp af elektronisk databehandling og tilsynet finder på denne baggrund, at behandlingen er omfattet af persondatalovens anvendelsesområde.
4. I persondatalovens kapitel 8 er der regler om den dataansvarliges oplysningspligt over for den registrerede.
§ 28 vedrører indsamling af oplysninger hos den registrerede selv, mens § 29 vedrører indsamling af oplysninger hos andre end den registrerede selv.
Ved indsamling af oplysninger hos den registrerede skal den dataansvarlige eller dennes repræsentant ifølge persondatalovens § 28, stk. 1, give den registrerede meddelelse om følgende:
- Den dataansvarliges og dennes repræsentants identitet.
- Formålene med den behandling, hvortil oplysningerne er bestemt.
- Alle yderligere oplysninger, der under hensyn til de særlige omstændigheder, hvorunder oplysningerne er indsamlet, er nødvendige for, at den registrerede kan varetage sine interesser, som f.eks.:
a) Kategorierne af modtagere.
b) Om det er obligatorisk eller frivilligt at besvare stillede spørgsmål samt mulige følger af ikke at svare.
c) Om reglerne om indsigt i og om berigtigelse af de oplysninger, der vedrører den registrerede.
Ifølge § 28, stk. 2, gælder bestemmelsen i stk. 1 ikke, hvis den registrerede allerede er bekendt med de i nr. 1-3 nævnte oplysninger.
I tilfælde, hvor oplysninger ikke er indsamlet hos den registrerede, følger det af lovens § 29, stk. 1, at det påhviler den dataansvarlige eller dennes repræsentant ved registreringen, eller hvor de indsamlede oplysninger er bestemt til videregivelse til tredjemand, senest når videregivelsen finder sted, at give den registrerede meddelelse om følgende:
- Den dataansvarliges eller dennes repræsentants identitet,
- Formålet med den behandling, hvortil oplysningerne er bestemt, samt
- Alle yderligere oplysninger, der under hensyn til de særlige omstændigheder, hvorunder oplysningerne er indsamlet, er nødvendige for, at den registrerede kan varetage sine interesser, som f.eks. :
a) Hvilken type oplysninger det drejer sig om.
b) Kategorierne af modtagere.
c) Om reglerne om indsigt i og om berigtigelse af de oplysninger, der vedrører den registrerede.
Ifølge § 29, stk. 2, gælder bestemmelsen i stk. 1 ikke, hvis den registrerede allerede er bekendt med de i nr. 1-3 nævnte oplysninger, eller hvis registreringen eller videregivelsen udtrykkeligt er fastsat ved lov eller bestemmelser fastsat i henhold til lov.
Ifølge § 29, stk. 3, gælder bestemmelsen i stk. 1 heller ikke, hvis underretning af den registrerede viser sig umulig eller er uforholdsmæssigt vanskelig.
Ifølge persondatalovens § 30 gælder bestemmelserne i § 28, stk. 1, og § 29, stk. 1, ikke, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv.
Ifølge § 30, stk. 2, kan undtagelse fra bestemmelserne i § 28, stk. 1, og § 29, stk. 1, tillige gøres, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til offentlige interesser, herunder navnlig til en række i bestemmelse opregnede interesser.
I Datatilsynets vejledning om registreredes rettigheder behandles bl.a. spørgsmålet om, på hvilket tidspunkt oplysningspligten skal opfyldes.
Af vejledningens afsnit 2.1.1. fremgår, at den registrerede som udgangspunkt skal have meddelelse om de i § 28 nævnte forhold samtidig med indsamlingen af oplysninger hos den registrerede.
I ”§ 29-situationen”, hvor oplysninger indsamles hos andre end den registrerede, fremgår det af vejledningens afsnit 2.2.1., at oplysningspligten som udgangspunkt indtræder ved registreringen af de indsamlede oplysninger. Det fremgår desuden, at det afhænger af sagens nærmere omstændigheder, hvilken tidsfrist der kan indlægges i begrebet “ved registreringen”. Den dataansvarlige skal dog altid - vurderet i forhold til den indsats, der kræves fra den dataansvarliges side for at opfylde oplysningspligten - give den registrerede meddelelse så tidligt som muligt. Hvis den dataansvarlige allerede på selve registreringstidspunktet ved, at der i løbet af ganske kort tid herefter skal rettes henvendelse til den registrerede, f.eks. fordi den dataansvarlige skal forelægge sagens dokumenter for den registrerede, eller der skal foretages andre sagsbehandlingsskridt, vil oplysningspligten som altovervejende hovedregel kunne opfyldes samtidig med denne senere henvendelse. I øvrigt vil oplysningspligten i almindelighed skulle opfyldes inden for 10 dage efter registreringen.
I notatet ”Samarbejde 020306”, der er udarbejdet af SFO-lederen indgår så vidt ses faktuelle oplysninger om, hvad der er sket under ansættelsesforholdet, som er relevant for den aktuelle sag, samt oplysninger og vurderinger af aktuelle hændelser og fremtidige løsningsmuligheder for B.
Notatet ”Samarbejde 020306” indeholder derfor efter Datatilsynts vurdering oplysninger om B som SFO-lederen ved samtale med B’s kollegaer har indhentet, samt oplysninger om og vurderinger af hans egne observationer af B’s opgavevaretagelse og samarbejde med kollegaer.
X Kommune har anført, at notatet ikke er omfattet af oplysningspligten efter persondatalovens §§ 28-29, idet der ikke er tale om oplysninger indsamlet ved den registrerede eller tredjemand.
Det bemærkes hertil, at persondatalovens § 29 omhandler oplysninger, der ikke er indsamlet hos den registrerede.
Under henvisning til indholdet af notatet, jf. ovenfor, finder Datatilsynet, at der er tale om oplysninger som ikke er indsamlet hos den registrerede og at der dermed er tale om en situation, som skal vurderes efter persondatalovens § 29.
Datatilsynet er således ikke enig i det, som X Kommune har anført. Datatilsynet har tilkendegivet dette overfor kommunen.
5. Datatilsynet lægger til grund, at oplysningerne i notatet ”Samarbejde 020306” vedrørende B blev registreret – elektronisk – den 2. marts 2006, jf. herved titlen på notatet.
Under henvisning til det, som er oplyst om mødet den 15. marts 2006, er det Datatilsynet opfattelse, at X Kommune i det konkrete tilfælde har opfyldt kravet om meddelelse efter persondatalovens § 29.
Datatilsynet har herved lagt vægt på, at notatet med de omhandlede oplysninger forelægges på mødet af SFO-lederen, jf. det oplyste i fagforening A’s brev af 10. maj 2006, og at formålet med behandlingen af oplysningerne meddeles B, jf. det medsendte referat fra mødet.
Datatilsynet har noteret sig, at fagforening A mener, at X Kommune burde have givet B mulighed for indsigelse i henhold til persondataloven – dvs. gjort B opmærksom på denne mulighed.
Det fremgår af persondatalovens § 29, stk. 1, nr. 3, at den dataansvarlige skal give meddelelse om alle yderligere oplysninger, der efter forholdets særlige omstændigheder er nødvendige for, at den registrerede kan varetage sine interesser, herunder f.eks. indsamlede oplysningstyper, reglerne om indsigt i og om berigtigelse af oplysninger, der vedrører den registrerede, og kategorier af eventuelle modtagere af oplysningerne.
Under henvisning til, at oplysningerne i notatet fremlægges på mødet – dvs. ikke kun information om, hvilken type oplysninger det drejede sig om – og at B under sagen, herunder på det pågældende møde, blev bistået af sin faglige organisation, finder Datatilsynet ikke, at det konkret kunne anses for nødvendigt, at kommunens information efter persondatalovens regler indeholdt yderligere oplysninger.
Datatilsynet skal i den forbindelse også bemærke, at persondataloven ikke indeholder en høringsbestemmelse. Bestemmelserne i persondatalovens §§ 28 og 29 omhandler således ikke spørgsmål om høring, ligesom bestemmelserne ikke regulerer spørgsmål om indsigt eller aktindsigt i selve de registerede oplysninger. Spørgsmålet om, hvorvidt der skal foretages høring over elektroniske eller manuelle dokumenter i en sag, er et spørgsmål af forvaltningsretlig karakter, som det ligger udenfor Datatilsynets kompetence at vurdere.
Under henvisning til det oplyste om sagsforløbet, finder Datatilsynet endvidere, at X Kommune har levet op til det tidsmæssige krav, der kan stilles i forhold til oplysningspligten. Datatilsynet har herved lagt vægt på, at B blev gjort bekendt med behandlingen af personoplysninger på mødet den 15. marts 2006, og at X Kommune allerede på selve registreringstidspunktet vidste, at der i løbet af kort tid herefter skulle afholdes møde med B. Der henvises til de retningslinier, som fremgår af den ovenfor omtalte rettighedsvejledning.
Datatilsynet foretager sig herefter ikke yderligere i sagen.
Kopi af dette brev er dags dato sendt til X Kommune.
Datatilsynet har fra Folketingets Ombudsmand modtaget bilag med anmodning om returnering til fagforening A. Datatilsynet returnerer hermed de modtagne bilag, idet det bemærkes, at tilsynet har taget kopi til sagen.