Journalnummer: 2007-313-0049
1. Ved brev af 31. oktober 2006 har Folketingets Ombudsmand oversendt klage fra fagforening A indgivet på vegne af B til Datatilsynet for så vidt angår spørgsmål om persondataloven.
Af fagforening A’s brev til Folketingets Ombudsmand fremgår bl.a., at det er fagforening A’s vurdering, at X Kommune i denne sag burde have fremsendt eller udleveret klublederens evaluering, således at B ”kunne høres på denne i henhold til indsigelsesretten, jf. persondatalovens § 35.”
Ved telefonsamtale af 6. december 2006 har fagforening A oplyst, at klagen skal forstås som en klage over X Kommunes manglende opfyldelse af oplysningspligten efter persondatalovens §§ 28 og 29.
Datatilsynet har herefter behandlet sagen, som en klage over at X Kommune ikke har opfyldt deres forpligtelser efter persondatalovens §§ 28 og 29 i forbindelse med registrering af oplysninger om B i klublederens evaluering.
Ved brev af 22. januar 2007 er X Kommune kommet med en udtalelse i sagen.
Ved brev af 26. februar 2007 har fagforening A oplyst, at klagen fastholdes.
2. Det fremgår herefter af sagen, at klublederen har udarbejdet et dokument med titlen ”evaluering af prøvetid”, der omhandler B’s prøvetidsansættelse i X fritidsklub.
Det fremgår endvidere af referat af forhandling af 3. april 2006 mellem X Kommune og fagforening A, at klublederens evaluering er udarbejdet den 14. marts 2007. Af samme referat fremgår det desuden, at der mellem parterne er enighed om, at sagen er omfattet af persondataloven.
Den 15. marts 2006 afholdes der mellem klublederen og B et møde om forløbet af prøvetidsansættelsen i X fritidsklub. Af mødereferatet fremgår, at B bliver foreholdt en række oplysninger, som hun får lejlighed til at kommentere. Det fremgår endvidere, at B orienteres om, at hun vil modtage et brev fra personaleafdelingen, om hun har noget at bemærke, og at dette brev ligeledes sendes til fagforening A.
Det fremgår endvidere af sagen, at B den 16. marts 2006 modtager brev om påtænkt opsigelse.
Fagforening A anmoder ved brev af 20. marts 2006 om aktindsigt i samtlige akter i B’s personalesag i henhold til persondataloven og forvaltningsloven. Kopi af personalesagen modtages i fagforening A den 23. marts 2006.
Fagforening A har i brevet til Folketingets Ombudsmand oplyst, at B ved et møde med fagforening A den 23. marts 2007 oplyser, at hun ikke har set dokumentet med titlen ”evaluering af prøvetid” før.
Fagforening A har endvidere oplyst, at klagen fastholdes.
X Kommune har til sagen oplyst, at kommunen behandler oplysninger om B omfattet af persondatalovens § 1, stk. 1. Det er således oplyst, at der er tale om oplysninger, som naturligt foreligger i et kommunalt ansættelses forhold, eksempelvis personnummer, navn, adresse, lønoplysninger, overenskomstforhold, arbejdssted. Herudover elektronisk udarbejdet brevkommunikation og notater, som vedrører det konkrete ansættelsesforhold, eksempelvis ansættelsesbrev, samt leders oplevelse af ansættelsesforholdet.
X kommune har oplyst, at formålet med behandlingen er korrekt løn- og personaleadministration i forbindelse med B’s ansættelse i X Kommune.
Endeligt har X Kommune oplyst, at kommunen ikke har givet oplysninger efter persondatalovens §§ 28 og 29, da kommunen har vurderet, at oplysningerne ikke er omfattet af persondatalovens §§ 28 og 29.
X Kommune har desuden oplyst, at B på mødet den 15. marts 2006 blev gjort bekendt med oplysningerne, og at de indgik i en sag vedrørende samarbejde.
Endeligt har X Kommune oplyst, at B og fagforening A har fået tilsendt alle akter i løn- og personalesagen i forbindelse med anmodningen om aktindsigt af 20. marts 2006.
X Kommune har anført, at notatet ikke er omfattet af oplysningspligten efter persondatalovens §§ 28-29, idet der ikke er tale om oplysninger indsamlet ved den registrerede eller tredjemand. X Kommune har således nærmere anført, at ingen oplysning i notatet er indsamlet ved anden fysisk eller juridisk person end den dataansvarlige og de personer under den dataansvarliges direkte myndighed, der er beføjet til at behandle oplysninger.
X Kommune har endvidere anført, at såfremt tilsynet vurderer, at oplysningerne er omfattet af persondatalovens § 28, i den forstand, at oplysningerne i notatet er fremkommet dels ved lederens iagttagelse af B og dels ved udtalelser fra kollegaer, det vil sige personer under X Kommunes direkte myndighed, er det kommunens opfattelse, at B er bekendt med de observerede forhold og med, at de kunne indgå i en sag vedrørende samarbejdet. Der var derfor efter kommunens opfattelse ikke krav om underretning, jf. persondatalovens § 28, stk. 2.
X Kommune har desuden anført, at kommunen på anmodning om aktindsigt har givet indsigt i alle oplysninger, som persondatalovens § 31 foreskriver det.
Fagforening A har anført, at det pågældende notat er omfattet af persondataloven, og at X Kommune af egen drift burde have orienteret B om indsamlingen af oplysninger til personalesagen og om registrering af oplysninger i personalesagen.
I fagforening A’s brev til Folketingets Ombudsmand har fagforening A endvidere anført, at det er fagforening A’s vurdering, at X Kommune i denne sag burde have fremsendt eller udleveret klublederens evaluering, således at B kunne høres på denne i henhold til indsigelsesretten, jf. persondatalovens § 35.
Datatilsynet skal udtale:
3. Persondataloven gælder ifølge lovens § 1, stk. 1, for behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling, og for ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.
Ud fra det oplyste lægger Datatilsynet til grund, at der i dokumentet ”evaluering af prøvetid” behandles personoplysninger ved hjælp af elektronisk databehandling, og tilsynet finder på denne baggrund, at behandlingen er omfattet af persondatalovens anvendelsesområde.
4. I persondatalovens kapitel 8 er der regler om den dataansvarliges oplysningspligt over for den registrerede.
§ 28 vedrører indsamling af oplysninger hos den registrerede selv, mens § 29 vedrører indsamling af oplysninger hos andre end den registrerede selv.
Ved indsamling af oplysninger hos den registrerede skal den dataansvarlige eller dennes repræsentant ifølge persondatalovens § 28, stk. 1, give den registrerede meddelelse om følgende:
- Den dataansvarliges og dennes repræsentants identitet.
- Formålene med den behandling, hvortil oplysningerne er bestemt.
- Alle yderligere oplysninger, der under hensyn til de særlige omstændigheder, hvorunder oplysningerne er indsamlet, er nødvendige for, at den registrerede kan varetage sine interesser, som f.eks.:
a) Kategorierne af modtagere.
b) Om det er obligatorisk eller frivilligt at besvare stillede spørgsmål samt mulige følger af ikke at svare.
c) Om reglerne om indsigt i og om berigtigelse af de oplysninger, der vedrører den registrerede.
Ifølge § 28, stk. 2, gælder bestemmelsen i stk. 1 ikke, hvis den registrerede allerede er bekendt med de i nr. 1-3 nævnte oplysninger.
I tilfælde, hvor oplysninger ikke er indsamlet hos den registrerede, følger det af lovens § 29, stk. 1, at det påhviler den dataansvarlige eller dennes repræsentant ved registreringen, eller hvor de indsamlede oplysninger er bestemt til videregivelse til tredjemand, senest når videregivelsen finder sted, at give den registrerede meddelelse om følgende:
- Den dataansvarliges eller dennes repræsentants identitet,
- Formålet med den behandling, hvortil oplysningerne er bestemt, samt
- Alle yderligere oplysninger, der under hensyn til de særlige omstændigheder, hvorunder oplysningerne er indsamlet, er nødvendige for, at den registrerede kan varetage sine interesser, som f.eks. :
a) Hvilken type oplysninger det drejer sig om.
b) Kategorierne af modtagere.
c) Om reglerne om indsigt i og om berigtigelse af de oplysninger, der vedrører den registrerede.
Ifølge § 29, stk. 2, gælder bestemmelsen i stk. 1 ikke, hvis den registrerede allerede er bekendt med de i nr. 1-3 nævnte oplysninger, eller hvis registreringen eller videregivelsen udtrykkeligt er fastsat ved lov eller bestemmelser fastsat i henhold til lov.
Ifølge § 29, stk. 3, gælder bestemmelsen i stk. 1 heller ikke, hvis underretning af den registrerede viser sig umulig eller er uforholdsmæssigt vanskelig.
Ifølge persondatalovens § 30 gælder bestemmelserne i § 28, stk. 1, og § 29, stk. 1, ikke, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv.
Ifølge § 30, stk. 2, kan undtagelse fra bestemmelserne i § 28, stk. 1, og § 29, stk. 1, tillige gøres, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til offentlige interesser, herunder navnlig til en række i bestemmelse opregnede interesser.
I Datatilsynets vejledning om registreredes rettigheder behandles bl.a. spørgsmålet om, på hvilket tidspunkt oplysningspligten skal opfyldes.
Af vejledningens afsnit 2.1.1. fremgår, at den registrerede som udgangspunkt skal have meddelelse om de i § 28 nævnte forhold samtidig med indsamlingen af oplysninger hos den registrerede.
I ”§ 29-situationen”, hvor oplysninger indsamles hos andre end den registrerede, fremgår det af vejledningens afsnit 2.2.1., at oplysningspligten som udgangspunkt indtræder ved registreringen af de indsamlede oplysninger. Det fremgår desuden, at det afhænger af sagens nærmere omstændigheder, hvilken tidsfrist der kan indlægges i begrebet “ved registreringen”. Den dataansvarlige skal dog altid - vurderet i forhold til den indsats, der kræves fra den dataansvarliges side for at opfylde oplysningspligten - give den registrerede meddelelse så tidligt som muligt. Hvis den dataansvarlige allerede på selve registreringstidspunktet ved, at der i løbet af ganske kort tid herefter skal rettes henvendelse til den registrerede, f.eks. fordi den dataansvarlige skal forelægge sagens dokumenter for den registrerede, eller der skal foretages andre sagsbehandlingsskridt, vil oplysningspligten som altovervejende hovedregel kunne opfyldes samtidig med denne senere henvendelse. I øvrigt vil oplysningspligten i almindelighed skulle opfyldes inden for 10 dage efter registreringen.
5. I dokumentet ”evaluering af prøvetid”, der er udarbejdet af klublederen indgår så vidt ses faktuelle oplysninger om og vurdering af, hvad der er sket under ansættelsesforholdet.
Dokumentet ”evaluering af prøvetid” indeholder derfor efter Datatilsynts vurdering oplysninger om B, som klublederen ved samtale med B’s kollegaer har indhentet, samt oplysninger om og vurderinger af hans egne observationer af B’s opgavevaretagelse og samarbejde med kollegaer.
X Kommune har anført, at notatet ikke er omfattet af oplysningspligten efter persondatalovens §§ 28-29, idet der ikke er tale om oplysninger indsamlet ved den registrerede eller tredjemand.
Det bemærkes hertil, at persondatalovens § 29 omhandler oplysninger, der ikke er indsamlet hos den registrerede.
Under henvisning til indholdet af notatet, jf. ovenfor, finder Datatilsynet, at der er tale om oplysninger, som ikke er indsamlet hos den registrerede, og at der dermed er tale om en situation, som skal vurderes efter persondatalovens § 29.
Datatilsynet er således ikke enig i det, som X Kommune har anført. Datatilsynet har tilkendegivet dette overfor kommunen.
6. Datatilsynet lægger til grund, at oplysningerne i dokumentet ”evaluering af prøvetid” vedrørende B blev registreret – elektronisk – den 14. marts 2006, jf. herved det oplyste i referatet af 3. april 2006.
Under henvisning til det, som er oplyst om sagsforløbet, er det Datatilsynet opfattelse og samlede vurdering, at X Kommune i det konkrete tilfælde har opfyldt kravet om information efter persondatalovens § 29.
Datatilsynet må således lægge til grund, at B på mødet den 15. marts 2006 modtager meddelelse om, hvilken type oplysninger det drejer sig om, og at formålet med behandlingen af oplysningerne meddeles B, jf. det medsendte referat fra mødet. Datatilsynet finder endvidere, at den dataansvarlige identitet fremgår tilstrækkelig tydeligt af omstændighederne.
Datatilsynet har noteret sig, at fagforening A mener, at X Kommune i denne sag burde have fremsendt eller udleveret klublederens evaluering, således at B kunne høres i henhold til persondataloven. fagforening A har i den forbindelse henvist til indsigelsesretten efter persondatalovens § 35.
Det fremgår af persondatalovens § 29, stk. 1, nr. 3, at den dataansvarlige skal give meddelelse om alle yderligere oplysninger, der efter forholdets særlige omstændigheder er nødvendige for, at den registrerede kan varetage sine interesser, herunder f.eks. indsamlede oplysningstyper, reglerne om indsigt i og om berigtigelse af oplysninger, der vedrører den registrerede og kategorier af eventuelle modtagere af oplysningerne.
Under henvisning til, at der i forbindelse med sagen gives aktindsigt i dokumentet – dvs. ikke kun information om, hvilken type oplysninger det drejede sig om – og at B under sagen blev bistået af sin faglige organisation, finder Datatilsynet ikke, at det konkret kunne anses for nødvendigt – vurderet i forhold til persondatalovens regler – at kommunens information indeholdt yderligere oplysninger.
Datatilsynet skal i den forbindelse bemærke, at persondataloven ikke indeholder en høringsbestemmelse. Bestemmelserne i persondatalovens §§ 28 og 29 omhandler således ikke spørgsmål om høring, ligesom bestemmelserne ikke regulerer spørgsmål om indsigt eller aktindsigt i selve de registrerede oplysninger. Spørgsmålet om, hvorvidt der skal foretages høring over elektroniske eller manuelle dokumenter i en sag, er et spørgsmål af forvaltningsretlig karakter, som det ligger udenfor Datatilsynets kompetence at vurdere.
Under henvisning til det oplyste om sagsforløbet, finder Datatilsynet endvidere, at X Kommune har levet op til det tidsmæssige krav, der kan stilles i forhold til oplysningspligten. Datatilsynet har herved lagt vægt på, at B blev gjort bekendt med behandlingen af personoplysninger på mødet den 15. marts 2006, at X Kommune allerede på selve registreringstidspunktet vidste, at der i løbet af kort tid herefter skulle afholdes møde med B, samt at der gives aktindsigt i dokumentet den 23. marts 2006. Der henvises til de retningslinier, som fremgår af den ovenfor omtalte rettighedsvejledning.
Datatilsynet foretager sig herefter ikke yderligere i sagen.
Kopi af dette brev er dags dato sendt til X Kommune.
Datatilsynet har fra Folketingets Ombudsmand modtaget bilag med anmodning om returnering til fagforening A. Datatilsynet returnerer hermed de modtagne bilag, idet det bemærkes, at tilsynet har taget kopi til sagen.