Journalnummer: 2008-632-0034
Datatilsynet vender hermed tilbage til sagen, hvor Forsvarets Personeltjeneste uden samtykke fra medarbejderne har videregivet oplysninger om disses navne, stillingsbetegnelser og privatadresser til Topdanmark med henblik på markedsføring.
Sammenfattende er Datatilsynet ikke enig med Forsvarets Personeltjeneste i, at videregivelsen af de omhandlede oplysninger om de ansatte til Topdanmark var i overensstemmelse med persondatalovens §§ 5 og 6, stk. 1.
Datatilsynet finder det skete meget beklageligt.
Der henvises til gennemgangen af sagen nedenfor.
Sagsfremstilling
Ved brev af 29. april 2008 anmodede Datatilsynet om en udtalelse i anledning af, at tilsynet via pressen var blevet opmærksom på, at Forsvarets Personeltjeneste havde videregivet personaleoplysninger på 15.000 ansatte til forsikringsselskabet Topdanmark.
Ved brev af 20. maj 2008 er Forsvarets Personeltjeneste fremkommet med en udtalelse i sagen.
Forsvarets Personeltjeneste har oplyst, at tjenesten som led i en aftale med Topdanmark om ydelse af rabat på forsikringspræmier til medarbejdere i Forsvaret midlertidigt har videregivet et adresseudtræk til Topdanmark med henblik på udsendelse af tilbud til Forsvarets ansatte. Adresseudtrækket omfattede samtlige ansatte under Forsvarskommandoens myndighedsområde og indeholdt navne, stillingsbetegnelser og adresser.
Personeltjenesten har endvidere oplyst, at Topdanmark sammenkørte udtrækket med det såkaldte ”Robinson-register”, der indeholder navne og adresser på personer, som har tilkendegivet ikke at ville modtage uopfordrede henvendelser, f.eks. reklametilbud. Samkøringen resulterede i, at Topdanmark udsendte tilbud til ca. 15.000 medarbejdere i Forsvaret.
Som svar på spørgsmål fra Datatilsynet har Personeltjenesten anført, at Forsvarets øvrige myndigheder ikke har været indforstået med, at der er sket videregivelse af oplysningerne. Forsvarets Personeltjeneste besidder oplysningerne på vegne af Forsvarets øvrige myndigheder.
Formålet med at videregive oplysninger om navne, stillingsbetegnelser, adresser, medarbejdernumre og oplysninger om tilknytning til værn eller status som civil var ifølge personeltjenesten at gøre medarbejderne opmærksomme på den rabatordning, der var etableret mellem Topdanmark og Forsvarets Personeltjeneste. Aftalen blev indgået som led i en indsats, der kan styrke Forsvarets muligheder for at fastholde sine medarbejdere, og rabatordningen er et af 66 forskellige fastholdelsestiltag.
Det er personeltjenestens vurdering, at det ikke er uforeneligt med persondatalovens § 5, stk. 2, at anvende personoplysninger, som oprindeligt har været indsamlet for at kunne administrere medarbejderne, til at fremsende tilbud til de ansatte om billige forsikringspræmier hos Topdanmark, idet videregivelsen af oplysningerne ligeledes relaterer sig til administration af personalet, herunder at kunne give medarbejderne i Forsvaret fordelagtige tilbud på grund af deres ansættelsesforhold.
Det er således personeltjenestens vurdering, at da persondataloven ikke stiller krav om fuld forenelighed mellem det oprindelige formål og eventuel senere behandling af de indsamlede oplysninger, er den stedfundne videregivelse af oplysningerne ikke uforenelig med det oprindelige formål.
Personeltjenesten oplyser endvidere, at der ikke er indhentet samtykke fra de enkelte medarbejdere, men at det var nødvendigt at videregive oplysningerne af hensyn til rekrutteringssituationen i medfør af persondatalovens § 6, stk. 1, nr. 7.
Personeltjenesten finder, at hensynet til at give Forsvarets medarbejdere muligheden for en billigere forsikring, kan anses for at forfølge en berettiget interesse, der overstiger hensynet til den registrerede. Dette skal ses i sammenhæng med karakteren af de videregivne oplysninger, der hverken har været følsomme eller fortrolige.
Personeltjenesten anfører tillige, at det var nødvendigt at videregive oplysningerne, idet det sædvanligvis kun er muligt at indgå aftaler om rabatordninger, såfremt leverandøren allerede på kort sigt kan have udsigt til omsætningsforøgelse, der kan medføre en forøget markedsandel. På denne baggrund vurderede personeltjenesten, at det ikke var muligt selv at udføre en sådan udsendelse af tilbud med denne tidshorisont. Det var således en forudsætning for at gennemføre den indgåede aftale, at oplysningerne blev videregivet til Topdanmark.
Personeltjenesten oplyser herudover, at oplysningerne blev fremsendt elektronisk uden særskilt beskyttelse eller kryptering til en kontaktperson i Topdanmark. Det blev aftalt med kontaktpersonen, at oplysningerne straks efter anvendelsen skulle slettes. Topdanmark har efterfølgende bekræftet, at der er sket sletning af de udleverede oplysninger.
Personeltjenesten anfører afslutningsvist, at flere medarbejdere har rettet henvendelse og udtrykt bekymring over det passerede. Personeltjenesten har bl.a. beklaget over for disse medarbejdere, ligesom den konkrete sag har været beklaget i pressen. Forsvaret har i den forbindelse gjort klart, at der fremover ikke vil blive videregivet personaleoplysninger til private aftaleparter i forbindelse med tilsvarende aftaler.
Forsvarets Personeltjeneste her herudover oplyst til pressen, at proceduren revurderes, og at det fremover bliver Forsvaret, der udsender brevene, så der ikke opstår misforståelser.
I den anledning skal Datatilsynet udtale følgende:
Ansvaret for den skete videregivelse
I persondatalovens § 3, nr. 4, defineres "den dataansvarlige" som den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af oplysninger.
"Databehandleren" defineres derimod som den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der behandler oplysninger på den dataansvarliges vegne, jf. lovens § 3, nr. 5.
Datatilsynet har noteret sig, at Forsvarets Personeltjeneste har oplyst, at personeltjenesten er databehandler vedrørende personaleadministration for Forsvarets øvrige myndigheder.
Efter det oplyste er videregivelsen til Topdanmark imidlertid sket på personeltjenestens eget initiativ uden instruks eller aftale herom med de dataansvarlige myndigheder. Datatilsynet finder derfor, at Forsvarets Personeltjeneste må anses for dataansvarlig for den skete videregivelse.
Lovligheden af den skete videregivelse
Behandling af personoplysninger skal ske i overensstemmelse med de grundlæggende principper, som er indeholdt i lovens § 5. Disse krav om bl.a. saglighed og proportionalitet skal altid være opfyldt.
Efter lovens § 5, stk. 2, skal indsamling af oplysninger ske til udtrykkeligt angivne og saglige formål, og senere behandling må ikke være uforenelig hermed (finalité-princippet).
Endvidere skal de oplysninger, som behandles være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles, jf. § 5, stk. 3.
Behandling af almindelige ikke-følsomme oplysninger, herunder f.eks. oplysninger om navne og adresser, skal endvidere ske i overensstemmelse med persondatalovens § 6, stk. 1, nr. 1-7. Behandling kan herefter bl.a. ske, hvis den registrerede har givet udtrykkeligt samtykke hertil, jf. § 6, stk. 1, nr. 1, eller hvis behandlingen er nødvendig for, at den dataansvarlige eller den tredjemand, til hvem oplysningerne videregives, kan forfølge en berettiget interesse, og hensynet til den registrerede ikke overstiger denne interesse, jf. § 6, stk. 1, nr. 7.
Datatilsynet lægger til grund, at formålet med behandlingen af oplysningerne hos Forsvarets Personeltjeneste er at administrere oplysninger om de ansatte i Forsvaret på vegne af Forsvarets øvrige myndigheder.
Datatilsynet er ikke enig med Forsvarets Personeltjeneste i, at videregivelsen af de omhandlede oplysninger om de ansatte til Topdanmark var i overensstemmelse med persondatalovens §§ 5 og 6, stk. 1.
Datatilsynet har herved lagt vægt på, at de videregivne oplysninger er indsamlet og behandles for at administrere et ansættelsesforhold og, at videregivelse til en privat virksomhed med henblik på markedsføring ikke kan anses som foreneligt med dette formål. Datatilsynet har herved også lagt vægt på, at det ikke kan antages at stå Forsvarets ansatte klart, at oplysninger der afgives i forbindelse med et ansættelsesforhold kan blive videregivet til en privat virksomhed til brug for markedsføring.
Hertil kommer, at Forsvarets Personeltjeneste alene var i besiddelse af oplysningerne som databehandler for Forsvarets øvrige myndigheder og dermed ikke var berettiget til selvstændigt at disponere over oplysningerne.
Datatilsynet udtaler kritik
Datatilsynet finder det skete meget beklageligt.
Datatilsynet har noteret sig, at Topdanmark har bekræftet over for Forsvarets Personeltjeneste, at der er sket sletning af de udleverede oplysninger.
Datatilsynet har endvidere noteret sig, at Forsvarets Personeltjeneste har beklaget det passerede, og at der fremover ikke vil blive videregivet personaleoplysninger til private aftaleparter i forbindelse med tilsvarende aftaler.
For så vidt angår personeltjenestens udtalelse til pressen om, at det fremover bliver Forsvaret, der udsender brevene, skal Datatilsynet ligeledes gøre opmærksom på bestemmelserne i § 5 om bl.a. formålsbestemthed, jf. ovenfor.
Datatilsynet betragter herefter sagen som afsluttet. Tilsynet forventer at offentliggøre dette brev på Datatilsynets hjemmeside.