Journalnummer: 2011-631-0142
Datatilsynet skal hermed påbyde Surftown A/S som databehandler for Researchkollektivet Redox at bringe offentliggørelsen af oplysninger om politisk overbevisning samt billeder til ophør på hjemmesiden [link udeladt].
Påbudet gives i medfør af persondatalovens § 59, stk. 4.
En nærmere begrundelse for Datatilsynets påbud findes under Datatilsynets udtalelse nedenfor.
Datatilsynet skal anmode Surftown A/S om senest mandag den 26. september 2011 at give tilsynet besked om, hvad Surftown A/S foretager sig i anledning af dette påbud. Surftown A/S er velkommen til at ringe til Datatilsynet på telefonnummer 33 19 32 00 eller 33 19 32 50.
Sagens baggrund
Datatilsynet er på baggrund af medieomtale blevet opmærksom på, at der i en over 100 sider lang rapport på hjemmesiden [link udeladt] er offentliggjort navne, billeder og andre oplysninger vedrørende en lang række personer, der ifølge rapporten angiveligt er medlemmer eller tidligere medlemmer i organisationen ORG. Kopi af udskrift af rapporten fra [link udeladt] vedlægges.
Ifølge rapporten er ORG en hemmelig organisation på den yderste højrefløj i Danmark. Rapporten afslører navnene på en lang række af organisationens medlemmer, ligesom medlemmernes aktiviteter og rangering i organisationen beskrives. Der offentliggøres billeder af nogle, men ikke alle de omtalte personer. Herudover fremkommer i en del tilfælde oplysninger om uddannelse, erhverv og arbejdsplads.
Ved brev af 6. september 2011 har Datatilsynet i medfør af persondatalovens § 59, stk. 1, meddelt Researchkollektivet Redox påbud om at stoppe offentliggørelsen af oplysninger om politisk overbevisning samt billeder på hjemmesiden [link udeladt]. I den forbindelse anmodede tilsynet om senest den 14. september 2011 at få besked om, hvad Researchkollektivet Redox ville foretage sig i anledning af påbudet. Kopi af tilsynets brev vedlægges til orientering.
Datatilsynet ses imidlertid ikke at have modtaget svar fra Researchkollektivet Redox i anledning af tilsynets påbud. Derudover har tilsynet ved gennemgang af hjemmesiden [link udeladt] konstateret, at rapporten indeholdende oplysningerne om politisk overbevisning samt billeder stadig er at finde på den pågældende hjemmeside.
Persondatalovens anvendelsesområde
Persondataloven1 gælder ifølge lovens § 1, stk. 1, for behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling, og for ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.
Ved “personoplysninger” forstås ifølge lovens § 3, nr. 1, enhver form for information om en identificeret eller identificerbar fysisk person (den registrerede).
Der vil derfor være tale om elektronisk databehandling af personoplysninger omfattet af persondataloven, når der på hjemmesiden [link udeladt] offentliggøres oplysninger om navngivne personers tilhørsforhold til ORG.
Informations- og ytringsfrihed
Det fremgår af persondatalovens § 2, stk. 2, at loven ikke finder anvendelse, hvis det vil være i strid med informations- og ytringsfriheden, jf. Den Europæiske Menneskerettighedskonventions artikel 10.
Ved vurderingen af, om personoplysninger må offentliggøres, f.eks. på internettet, skal hensynet til informations- og ytringsfriheden således medtages for at sikre, at persondatalovens regler ikke unødigt medfører indskrænkninger i disse frihedsrettigheder.
Datatilsynet lægger i sin praksis vedrørende offentliggørelse af personoplysninger på internettet på hjemmesider i forhold til undtagelsen i persondatalovens § 2, stk. 2, vægt på, om oplysningerne på hjemmesiden har karakter af meningstilkendegivelser og subjektive vurderinger, og at dette står læsere af hjemmesiden klart.
Endvidere lægger tilsynet betydelig vægt på karakteren af de offentliggjorte oplysninger. Hensynet til informations- og ytringsfriheden kan som udgangspunkt ikke overstige hensynet til den registrerede, når der er tale om offentliggørelse af følsomme personoplysninger omfattet af persondatalovens § 7, stk. 1, eller § 8, stk. 1.
Datatilsynet har i sådanne sager med følsomme oplysninger også tillagt det vægt, at offentliggørelse på internettet må anses for at være meget indgribende for den pågældende.
Rapporten på [link udeladt] indeholder efter Datatilsynets vurdering følsomme oplysninger omfattet af persondatalovens § 7, stk. 1. Endvidere fremstår rapporten som objektive konstateringer/afsløringer med eksponering af oplysninger om en stor personkreds. Dermed kan hensynet til ytringsfriheden efter tilsynets opfattelse ikke føre til, at Researchgruppen Redox’ behandling af personoplysninger er undtaget fra persondataloven.
Særlige regler for medier
I persondatalovens § 2, stk. 6-10, findes regler, der i vidt omfang undtager mediernes behandlinger af personoplysninger fra lovens anvendelsesområde.
Datatilsynet har i oktober 2008 ved behandlingen af en klagesag lagt til grund, at Researchkollektivet Redox ikke er undtaget fra persondataloven på grund af de særlige regler for medier, jf. persondatalovens § 2, stk. 6-10.
Researchkollektivet Redox er ikke anmeldt til Pressenævnet eller Datatilsynet som en informationsdatabase. Datatilsynet har derfor ikke grundlag for at antage, at Researchkollektivet Redox er omfattet er undtagelserne i persondatalovens § 2, stk. 6-10.
Persondatalovens behandlingsregler
Persondatalovens § 5 indeholder en række grundlæggende principper for den dataansvarliges behandling, herunder indsamling, ajourføring, opbevaring m.v. af oplysninger. Disse krav skal altid være opfyldt.
Udover at behandlingen af personoplysninger skal opfylde de grundlæggende principper i persondatalovens § 5, skal behandlingen også opfylde de mere specifikke betingelser i lovens §§ 6, 7 eller 8, alt efter hvilken type oplysninger, der er tale om.
Det fremgår af persondatalovens § 7, stk. 1, at der ikke må behandles oplysninger om bl.a. politisk overbevisning.
Bestemmelsen i § 7, stk. 1, finder dog bl.a. ikke anvendelse, hvis den registrerede har givet sit udtrykkelige samtykke til en sådan behandling, jf. § 7, stk. 2, nr. 1.
Et samtykke fra den registrerede skal opfylde betingelserne i lovens § 3, nr. 8, hvoraf fremgår, at et samtykke er enhver frivillig, specifik og informeret viljestilkendegivelse, hvorved den registrerede indvilliger i, at oplysninger, der vedrører den pågældende selv, gøres til genstand for behandling.
Bestemmelsen i § 7, stk. 1, finder endvidere ikke anvendelse, hvis behandlingen vedrører oplysninger, som er blevet offentliggjort af den registrerede, jf. § 7, stk. 2, nr. 3.
Datatilsynets vurdering af offentliggørelsen
Det er Datatilsynets opfattelse, at oplysninger om navne og oplysninger om, at en person er medlem eller tidligere medlem af organisationen ORG, må anses som oplysninger om politisk overbevisning som nævnt i persondatalovens § 7, stk. 1.
På baggrund af sagens omstændigheder lægger Datatilsynet til grund, at oplysningerne ikke er offentliggjort med de pågældendes samtykke, jf. persondatalovens § 7, stk. 2, nr. 1. Tilsynet må ud fra de foreliggende oplysninger endvidere lægge til grund, at oplysningerne ikke har været offentliggjort af de pågældende selv, jf. persondatalovens § 7, stk. 2, nr. 3.
Ud fra de foreliggende oplysninger er det derfor Datatilsynets vurdering, at Researchgruppen Redox ikke har haft den fornødne hjemmel i persondatalovens § 7, stk. 2, til at offentliggøre oplysninger om ORG-medlemmernes politiske overbevisning.
Påbud til databehandler
I medfør af persondatalovens § 59, stk. 4, kan Datatilsynet meddele påbud til en databehandler, som på vegne af en dataansvarlig foretager en behandling som nævnt i § 59, stk. 1-3, dvs. f.eks. en behandling, der ikke må finde sted efter loven.
Dette kan ifølge bestemmelsens forarbejder være relevant, såfremt det ikke er muligt for tilsynet at meddele den dataansvarlige de nødvendige påbud eller forbud, f.eks. fordi det ikke er muligt at komme i kontakt med den dataansvarlige, eller hvis den dataansvarlige ikke ønsker at efterleve en afgørelse, som er truffet af tilsynet.
Det er ifølge forarbejderne en forudsætning, at der ikke er umiddelbar udsigt til, at tilsynet kan meddele den dataansvarlige sin afgørelse efter stk. 1-3 eller til, at den dataansvarlige efterlever tilsynets afgørelse, såfremt denne allerede er truffet og meddelt den dataansvarlige. Det er endvidere en forudsætning, at den fortsatte behandling er til skade for den registrerede eller for andre, f.eks. fordi der foregår en ulovlig videregivelse eller anden udbredelse af personoplysninger.
Det er ifølge persondatalovens § 70, stk. 1, nr. 6, strafbart at undlade at efterkomme et påbud, som Datatilsynet har meddelt i medfør af lovens § 59.
Mulighed for at fremkomme med bemærkninger
Datatilsynet modtager gerne Surftown A/S bemærkninger til det anførte og vil være indstillet på at genoverveje påbudet i lyset af Surftown A/S’ eventuelle bemærkninger.
1 Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med senere ændringer.