Journalnummer: 2008-43-0011
Glubbin ApS har den 6. februar 2008 som dataansvarlig virksomhed anmodet om Datatilsynets udtalelse vedrørende et nyt internetsite: Glubbin (Glubbin.com). Henvendelsen er den 6. maj 2008 fulgt op af en anmeldelse til Datatilsynet af et advarselsregister, benævnt ”Et tidsbegrænset register over ekskluderede medlemmer af Glubbin”. Ved brev af 9. maj 2008 har Glubbin ApS afgivet en supplerende udtalelse.
Der har den 8. april 2008 været afholdt et møde mellem Datatilsynet og en repræsentant fra Glubbin ApS m.fl. Der er endvidere indhentet telefoniske oplysninger.
Det fremgår herefter, at Glubbin ApS er en virksomhed, der beskæftiger sig med konceptudvikling og software til mobiltelefoner og sociale medieplatforme. Glubbin ApS støttes ifølge det oplyste økonomisk af Ministeriet for Videnskab, Teknologi og Udvikling via Østjysk Innovation A/S.
Glubbin (www.glubbin.com) er et nyt socialt internetsite, hvor unge over 18 år kan tilmelde sig og se, hvad der sker af events i nattelivet og modtage tilbud om disse arrangementer. Glubbin består af en landsdækkende klub (Glubbin Konceptet) for diskoteker og gæster over 18 år. Alle over 18 år kan tilmelde sig som medlem på Glubbins hjemmeside. Ved tilmeldingen accepterer medlemmet Glubbins betingelser, der bl.a. indebærer mulighed for udelukkelse/karantæne af medlemmet på grund af upassende adfærd.
Som eksempler på upassende adfærd er nævnt: hærværk, vold mv. på eventstedet, kopiering og uberettiget videregivelse mv. af det entrebevis, der sendes til medlemmet via medlemmets mobiltelefon.
Overtrædes medlemsbetingelserne ved de pågældende events på eventstedet, er det hensigten, at eventpersonalet indberetter til Glubbin om overtrædelse af medlemsbetingelserne med henblik på eksklusion af Glubbin.
Det fremgår endvidere, at formålet med det anmeldte register er at medvirke til opretholdelse af ro og orden i diskoteksmiljøet.
Hvis en person, der er medlem af Glubbin, meddeles karantæne fra Glubbin for upassende adfærd, nægtes den pågældende gæst adgang til de diskoteker, der er medlem af Glubbin. Dog afgør de diskoteker, der er tilsluttet Glubbin Konceptet, selv, om diskoteket vil lukke et karantæneramt Glubbin-medlem ind som gæst i karantæneperioden.
Optagelse i det påtænkte register skal ske, hvis Glubbin modtager indberetning fra et diskotek, der er tilmeldt Glubbin Konceptet, om at et medlem har overtrådt Glubbins medlemsbetingelser og samtidig er blevet meddelt karantæne af diskoteket. Glubbin har telefonisk supplerende oplyst, at en indberetning til det påtænkte register tillige skal kunne ske, selv om der ikke er meddelt en karantæne af vedkommende diskotek, under forudsætning af, at medlemmet har udvist en upassende adfærd. Endvidere vil en upassende adfærd, udvist udelukkende på et diskotek, som udgangspunkt være tilstrækkeligt som indberetningsgrundlag.
Oplysninger om navn, adresse og karantæneperiode videregives af diskoteket til Glubbin. Oplysning om årsagen til karantænen, dvs. hvilken upassende adfærd der har været på tale, påtænkes ikke videregivet og heller ikke registreret hos Glubbin.
Når Glubbin har modtaget den omhandlede indberetning fra vedkommende diskotek, agter Glubbin at underrette det pågældende medlem om indberetningen. Medlemmet underrettes samtidig om, at medlemmet nu har karantæne fra Glubbin og de tilsluttede diskoteker i en tidsbegrænset periode, og at medlemmet kan kontakte Glubbin, hvis medlemmet mener, at vedkommende fortsat er berettiget til medlemskab, hvorefter Glubbin træffer afgørelse.
Glubbin behandler oplysninger om sine medlemmer. Oplysningerne, der behandles elektronisk og manuelt, omhandler oplysninger om navn, adresse, personnummer, evt. CVR-nummer og karantæneperiode. Oplysningerne påtænkes overført online til de diskoteker, der er tilsluttet Glubbin Konceptet. Glubbin påtænker at kræve en skriftlig indberetning fra vedkommende diskotek af den registrerede, vedlagt en vitterlighedserklæring. Vitterlighedserklæringens nærmere indhold er p.t. ikke fastlagt.
Glubbin overvejer p.t., hvorledes og i hvilket omfang det enkelte diskotek, der er tilsluttet Glubbin Konceptet, skal indformere gæsterne, der er Glubbin-medlem, om diskotekernes ordensreglement og de kriterier, der i givet fald kan begrunde indberetning til det påtænkte register.
De registrerede oplysninger slettes senest et år efter registreringen. Glubbin har telefonisk oplyst, at hvis karantæneperioden er kortere end et år, slettes de registrerede oplysninger samtidig med karantæneperiodens udløb.
Oplysning om medlemmets personnummer er krypteret, og der kræves en individuel log-in for at få adgang til medlemsoplysningerne. Baggrunden for at behandle oplysning om personnummer er ifølge det oplyste at sikre, at medlemmerne ved optagelse i Glubbin er over 18 år, hvorved personnummeret valideres via en algoritme eller køres op mod CPR.
Glubbin forventer, at ca. 50-100 diskoteker vil anvende det omhandlede register.
Glubbin har supplerende ved brev af 9. maj 2008 opregnet en række eksempler på upassende adfærd på eventstedet som betingelse for optagelse i det påtænkte register:
- forsøg på at forfalske sin billet,
- chikane og anden forulempelse, herunder vold, af andre diskoteksgæster,
- udøvelse af hærværk på vedkommende diskotek,
- undladelse af at efterkomme vedkommende diskoteks ordensregler og henstillinger.
Endvidere har Glubbin i samme brev supplerende redegjort for proceduren vedrørende indhentelse af samtykke i forbindelse med indmeldelse i Glubbin:
Det fremgår, at når en bruger tilmelder sig Glubbin på Glubbins hjemmeside (www.glubbin.com), så skal brugeren samtidig acceptere betingelserne for medlemskab. Brugeren kan endvidere ikke tilmelde sig uden at have haft åbnet linket til medlemsbetingelserne.
Glubbin fremhæver, at en optagelse af et medlem i Glubbins påtænkte register ikke udelukker, at vedkommende medlem kan besøge andre diskoteker, der ikke er tilsluttet Glubbin Konceptet, idet ikke alle diskoteker vil blive tilbudt at samarbejde med Glubbin.
Vedrørende adgang til det påtænkte register har Glubbin supplerende anført, at adgang hertil forudsætter personligt brugernavn og password på administratorniveau. Hos Glubbin vil 3-4 ansatte få adgang til de omhandlede oplysninger.
Endelig har Glubbin supplerende oplyst vedrørende Glubbins behandling af klager, at Glubbin ved modtagelse af en klage over optagelse i det påtænkte register vil oplyse de faktuelle forhold ved indhentelse af oplysninger fra de involverede parter. Der vil blive foretaget en individuel vurdering af, om den registrerede fortsat skal stå i registeret, og hvis Glubbin vurderer, at den registrerede skal slettes, vil dette ske straks, og den registrerede underrettes samtidig.
Glubbin har pointeret over for Datatilsynet, at Glubbin Konceptet endnu er i sin implementeringsfase, og at dette er baggrunden for, at udformningen af det påtænkte register p.t. ikke foreligger i sin endelige form. Glubbin afventer således Datatilsynets udtalelse til det påtænkte register med henblik på at få af-/bekræftet, om der er grundlag for at arbejde videre med konceptet.
Datatilsynet skal, efter at sagen har været behandlet på et møde i Datarådet, udtale følgende:
1. Er det anmeldte register et advarselsregister ?
Efter persondatalovens § 50, stk. 1, nr. 2, skal Datatilsynets tilladelse indhentes, forinden en behandling iværksættes, hvis behandlingen af oplysninger sker med henblik på at advare andre mod forretningsforbindelser med eller ansættelsesforhold til en registreret (advarselsregister).
Datatilsynet må i det foreliggende tilfælde lægge til grund, at formålet med den anmeldte behandling er, at Glubbin skal videregive karantæneoplysninger mv. til diskoteker, der er tilsluttet Glubbin Konceptet, med det formål at advare de pågældende diskoteker mod at modtage de pågældende Glubbin-medlemmer som gæster.
På den baggrund er det Datatilsynets opfattelse, at det påtænkte register vil indebære en advarsel mod forretningsforbindelser med de registrerede. Databehandlingen er således omfattet af persondatalovens § 50, stk. 1, nr. 2, om advarselsregistre.
2. Kan der gives en tilladelse ?
Ved vurderingen af, om en ansøgning om tilladelse efter persondatalovens § 50, stk. 1, nr. 2, kan imødekommes, træffer Datatilsynet i hvert enkelt tilfælde afgørelse om, hvorvidt oprettelsen af det pågældende advarselsregister tjener anerkendelsesværdige interesser.
Glubbin har oplyst, at en betingelse for optagelse i det påtænkte register vil være, enten at medlemmet har overtrådt Glubbins medlemsbetingelser og er blevet meddelt karantæne fra et af de deltagende diskoteker, eller at medlemmet har udvist ”upassende adfærd”. Der vil ikke ske registrering af årsagen til den meddelte karantæne, f.eks. vold, hærværk mv.
Det er Datatilsynets vurdering, at Glubbin vil komme i besiddelse af følsomme oplysninger om f.eks. strafbare forhold, når Glubbin modtager indberetninger med angivelse af og eventuel dokumentation for de nærmere omstændigheder, der begrunder optagelse i det påtænkte register.
Diskotekernes videregivelse af oplysninger om strafbare forhold til Glubbin og Glubbins registrering af disse vil kun kunne ske, hvis betingelserne i persondatalovens § 8 er opfyldt.
Oplysninger om strafbare forhold må private dataansvarlige efter persondatalovens § 8, stk. 4, behandle, hvis den registrerede har givet et udtrykkeligt samtykke hertil. Herudover kan behandling ske, hvis det er nødvendigt til varetagelse af en berettiget interesse, og denne interesse klart overstiger hensynet til den registrerede.
Det fremgår endvidere af lovens § 8, stk. 5, at de i stk. 4 nævnte oplysninger ikke må videregives uden den registreredes udtrykkelige samtykke. Videregivelse kan dog ske uden samtykke, når det sker til varetagelse af offentlige eller private interesser, herunder hensynet til den pågældende selv, der klart overstiger hensynet til de interesser, der begrunder hemmeligholdelse.
Efter persondatalovens § 8, stk. 6, må oplysninger om blandt andet strafbare forhold desuden behandles, hvis en af betingelserne i lovens § 7 er opfyldt. Følsomme oplysninger må efter lovens § 7, stk. 1, som udgangspunkt ikke behandles. Lovens § 7, stk. 2-7, indeholder en række bestemmelser, der muliggør en behandling af denne type oplysninger i specielle tilfælde.
På det foreliggende grundlag er det Datatilsynets opfattelse, at kriteriet for optagelse i det påtænkte register i høj grad lægger op til en subjektiv vurdering med risiko for registrering af vildledende/urigtige oplysninger.
Det er herefter Datatilsynets opfattelse, at der ikke inden for rammerne af persondatalovens § 8, stk. 4 og 5, og § 8, stk. 6, jf. § 7, vil kunne ske videregivelse til og registrering af oplysninger om strafbare forhold eller andre følsomme oplysninger i et advarselsregister som det påtænkte.
Det bemærkes i den forbindelse, at Datatilsynet i en række sager har udtalt, at § 8, stk. 4 og 5, indebærer, at advarselsregistre ikke vil kunne indeholde oplysninger om bl.a. strafbare forhold, medmindre den registrerede har givet sit udtrykkelige samtykke.
På denne baggrund kan Datatilsynet ikke give Glubbin ApS tilladelse til behandling af personoplysninger med henblik på at advare andre mod forretningsforbindelser med en registreret, jf. persondatalovens § 50, stk. 1, nr. 2.