Journalnummer: 2010-323-0140
1
1.1.
Ved brev af 8. januar 2010 har Lemvig Kommune rettet henvendelse til Datatilsynet vedrørende brug af fingeraftryk ved tidsregistrering af aktiverede borgere.
Til brug for Datatilsynets behandling af sagen har Lemvig Kommune besvaret en række spørgsmål om indsamlingen af personoplysninger.
Datatilsynet har desuden modtaget en konkret henvendelse fra Fagligt Fælles Forbund Vest (3F Vest), som på vegne af et medlem har klaget over den omhandlede registrering af fremmøde på Jobværkstedet i Lemvig Kommune.
Det fremgår herefter af sagen, at Lemvig Kommune anvender systemet Krono Tidsregistrering i Arbejdsmarked & Integration. Systemet indebærer, at alle aktiverede borgere registreres på møde- og sluttid med fingeraftryk. I tilfælde af fravær registreres også årsagen hertil.
1.2.
Lemvig Kommune har oplyst, at der er tale om en "komme-gå" oversigt for den enkelte tilknyttede borger, således at der ved månedens afslutning kan foretages den korrekte og retmæssige udbetaling af kontanthjælp, som borgeren har krav på.
Systemet indeholder oplysninger om navn, personnummer og en visning af fremmøde- og sluttider for de borgere, der skal benytte tidsregistreringssystemet.
Vedrørende selve lagringen af oplysninger om fingeraftryk har Lemvig Kommune oplyst, at de biometriske kendetegn identificeres i forbindelse med registreringen af den enkelte person. De data eller billeder, der indsamles, oversættes til et mønster, hvorfra der generes et unikt identifikationsnummer. Identifikationsnummeret lagres i krypteret form i en database, når borgeren oprettes i systemet.
Når brugeren skal genkendes, aflæses brugerens data igen, og der generes på ny et identifikationsnummer. Systemet søger herefter i databasen efter et nummer, der matcher. De data, der er indsamlet i forbindelse med genkendelsen, slettes, når de er sammenlignet med oplysningerne i databasen. Sletning finder sted, uanset om personen genkendes eller ej.
De oplysninger, der bliver lagret i systemet, er således ikke det egentlige billede eller fingeraftryk, men en udregnet værdi (en såkaldt template). Hermed sikres, at det ikke er muligt at genskabe billede eller fingeraftryk ud fra de lagrede værdier, selv om det skulle lykkes at bryde krypteringen.
Om formålet med indsamlingen af oplysningerne har Lemvig Kommune op-lyst, at:
"Formålet er at kunne dokumentere borgernes fremmødetid i aktiveringsperio-den, der således danner grundlaget for udmåling af kontanthjælp og eventuelle sanktioner jf. bestemmelserne i Lov om en aktiv beskæftigelsesindsats."
Lemvig Kommune har i forlængelse heraf oplyst, at oplysningerne kun opbevares med det ene formål at kunne dokumentere fremmødet i en given periode, således at en eventuel partshøring om uoverensstemmelser angående fremmødetider vil kunne bilægges med korrekt dokumentation.
Lemvig Kommune har endvidere oplyst at:
"Systemet sikrer både borgerne og kommunen en præcis tidsregistrering , til lønafregning og det er vigtigt at anføre, at systemet er ukompliceret, ingen magnetkort der glemmes, ingen koder der skal huskes, så alt i alt kræver systemet minimal administrativ opmærksomhed.
Vi har ikke afprøvet andre løsninger (udover manuel registrering , med masser af besvær til følge), og valgte netop dette system da det er ukompliceret.
Ved en rundspørge ved borgere der anvender fingerscanner, er der ikke betænkeligheder, ved systemets "troværdighed/lukkethed", det er jo udelukkende et system der registrerer "komme-og -gå" tider og herudover ikke andet.
Det skal anføres, at der i starten var lidt skepsis blandt enkelte af borgerne, men der blev gjort meget ud af at orientere nye brugere af systemet, om opbygning og sikkerhed.
Vi kan ikke redegøre for andre kommuners anvendelse af KRONO-systemet, men en forespørgsel ved leverandøren peger på , at Lemvig Kommune er den første kommune, der bruger systemsammensætningen på denne måde."
Lemvig Kommune har oplyst, at en af fordelene ved at benytte systemet er, at elektronikken er pålidelig. En anden fordel er, at borgerne let kan glemme f.eks. et magnetkort. Fingeraftryksmodellen modvirker endvidere, at der kan logges ind på andres vegne, således at urigtigheder og omgåelse af registreringen minimeres.
Tidsregistrering ved brug af fingeraftryk er ikke frivillig, men Lemvig Kommune har gentagne gange gjort opmærksom på, at der ikke sker nogen lagring og dermed ikke gives mulighed for genskabelse af selve fingeraftrykket. Fingeraftrykket kan ikke "tages ud" af systemet.
Som hjemmel for behandlingen af borgernes fingeraftryk har Lemvig Kommune henvist til sanktionsreglerne i lov om en aktiv beskæftigelsesindsats, der har til formål at sikre, at kommunen har dokumentation for hjemtagelse af korrekt refusion for udbetalte ydelser. Lemvig Kommune har endvidere henvist til persondatalovens §§ 5 og 6. Kommunen har desuden oplyst, at det er leverandørens opfattelse, at den konkrete brug af fingeraftryk er forenelig med persondatalovens § 5.
Lemvig Kommune har oplyst, at oplysningerne i systemet kun benyttes internt af brugerne med adgang til systemet, og at der ikke sker videregivelse af oplysningerne i systemet.
Lemvig Kommune har endelig bemærket, at det ikke er kommunens opfattelse, at registrering af borgernes fremmøde skal ske ved hjælp af biometri, men at det er denne metode kommunen konkret har valgt til tidsregistrering/fremmøde af aktiverede borgere.
Når en borger ikke længere er tilknyttet Jobværkstedet, slettes oplysningerne efter 12 måneders forløb. Herefter kan fingeraftrykket (templaten) ikke benyttes til noget, og der vil ikke kunne identificeres og genereres oplysninger.
Fra leverandøren af tidsregistreringssystemet er det oplyst, at når borgeren er færdig i aktivering, sættes den pågældende som inaktiv med slutdato i systemet. 90 dage efter slutdatoen slettes oprettede "templates" på borgeren. Oprettede "templates" kan altid slettes manuelt i systemet.
For så vidt angår de implementerede sikkerhedsforanstaltninger har Lemvig Kommune oplyst, at databasen med oplysningerne om en udregnet værdi af borgernes fingeraftryk er placeret på en server i kommunens IT-afdeling. Herved sikres, at uvedkommende ikke har adgang til oplysningerne. Lemvig Kommune har endvidere påpeget, at datasikkerheden i forbindelse med anvendelse af tidsregistreringssystemet - der ikke skal betragtes som et journal-system - er på samme niveau som for eksempel journalsystemer med hensyn til bl.a. logon og logning.
1.3.
Ved brev af 9. februar 2011 forespurgte 3F Vest på vegne af et medlem, om Lemvig Kommunes registrering af fremmøde ved brug af fingeraftryk er i overensstemmelse med persondataloven.
Det pågældende medlem er dagpengemodtager og skal hver dag møde på Jobværkstedet, hvor der skal stemples ind og ud ved anvendelse af fingeraftryk. Hvis der ikke bliver stemplet ind på Jobværkstedet, og Jobcentret indberetter til a-kassen, vil medlemmet ikke kunne modtage dagpenge.
3F Vest har oplyst, at medlemmet er meget utilfreds med måden, hvorpå der skal stemples ind og ud fra Jobværkstedet. Det ses som en mistænkeliggørelse, at der skal ske registrering af fremmøde ved brug af fingeraftryk, og medlemmet mener, at det får ham til at virke kriminel. Medlemmet vil i øvrigt meget gerne stemple ind og ud, men så skal det foregå ved anvendelse af stempelkort eller lignende.
Datatilsynet har efterfølgende sendt 3F Vest´s henvendelse til Lemvig Kommune med henblik på, at kommunen fremkom med en udtalelse hertil. I sit svar har Lemvig Kommune henvist til kommunens oprindelige forespørgsel samt den efterfølgende korrespondance mellem tilsynet og kommunen. 3F Vest ses ikke at være fremkommet med bemærkninger hertil.
1.4.
Ved brev af 9. juni 2011 bad Datatilsynet Beskæftigelsesministeriet om at oplyse, i hvilket omfang lov om en aktiv beskæftigelsesindsats indebærer, at der skal ske registrering af personoplysninger ved brug af biometri.
Arbejdsmarkedsstyrelsen fremkom herefter ved e-mails af 20. juni 2011, 30. juni 2011 og 4. juli 2011 med en besvarelse.
Det fremgår bl.a. heraf, at:
"(…) der ikke i lov om en aktiv beskæftigelsesindsats er bestemmelser, der gi-ver adgang til registrering ved brug af biometri. På den anden side er der i den-ne lov heller ikke bestemmelser, der gør det ulovligt for kommunen at bruge registrering i form af fingeraftryk."
For så vidt angår lov om arbejdsløshedsforsikring mv. har Arbejdsmarkedsstyrelsen supplerende oplyst:
"(...) at det fremgår af § 62 i lov om arbejdsløshedsforsikring m.v., at der kun kan udbetales dagpenge til et medlem, som står til rådighed for arbejdsmarke-det. Kravene for at være til rådighed omfatter bl.a., "at
- medlemmet kan og vil deltage i henvisningssamtaler, samtaler om henvisningsrelevante oplysninger (cv-samtaler) ....og rådighedssamtaler, og
- kan og vil deltage i kontaktforløb, herunder i jobsamtaler, og aftalte aktiviteter og tilbud efter lov om en aktiv beskæftigelsesindsats"
Det fremgår videre af lovens § 63 a, at der ikke kan udbetales dagpenge til et medlem, "som udebliver fra en jobsamtale i jobcentret eller hos en anden aktør eller fra en henvisnings-, cv- eller rådighedssamtale i arbejdsløshedskassen. Tilsvarende gælder, hvis medlemmet udebliver fra aktiviteter, som har et konkret beskæftigelses- eller uddannelsesfremmende sigte."
Det fremgår yderligere af denne bestemmelse, at medlemmet i gentagelsestil-fælde inden for 12 mdr. pålægges en karantæne på 2 uger. Hvis medlemmet efter at [have] fået karantæne for at udeblive eller for selvforskyldt ledighed (efter lovens § 63, stk. 4) uden fyldestgørende grund på ny udebliver fra en samtale eller aktivitet, bortfalder retten til dagpenge, indtil medlemmet har opfyldt et arbejdskrav.
Der er ikke i lov om arbejdsløshedsforsikring m.v. bestemmelser, der giver hjemmel til registrering ved brug af biometri, og et medlems nægtelse af at medvirke hertil vil derfor ikke kunne sanktioneres. Der er på den anden side heller ikke et forbud mod at registrere på denne måde, og der vil derfor formentlig ikke være noget til hinder for, at metoden anvendes hvis og så længe medlemmet frivilligt er indforstået hermed.
Arbejdsmarkedsstyrelsen har imidlertid ikke kendskab til, at metoden er anvendt over for medlemmer af en arbejdsløshedskasse."
For så vidt angår lov om en aktiv socialpolitik har Arbejdsmarkedsstyrelsen endelig oplyst, at:
"(…) hvis en person udebliver fra et tilbud uden rimelig grund, skal kommunen foretage fradrag i hjælpen. Fradraget i hjælpen foretages for det antal dage, hvor den pågældende er udeblevet.
Der er ikke i lov om aktiv socialpolitik fastsat regler for, på hvilken måde kommunerne skal registrere og dokumentere udeblivelser fra tilbud. Kommunerne kan således selv tilrettelægge administration af registrering og dokumentation for, at en person er udeblevet fra et tilbud.
Der er endvidere ikke i lov om aktiv socialpolitik fastsat hjemmel til, at kommunerne kan anvende biometri til registrering af, om en person udebliver fra et tilbud."
2. Datatilsynet skal - efter at sagen har været behandlet i Datarådet - udtale følgende:
På baggrund af Arbejdsmarkedsstyrelsens svar lægger Datatilsynet til grund, at den konkrete problemstilling skal bedømmes efter persondatalovens regler.
2.1. Persondatalovens anvendelsesområde
Persondataloven gælder ifølge lovens § 1, stk. 1, for behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling og for ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.
Ved personoplysninger forstås ifølge lovens § 3, stk. 1, enhver form for information om en identificeret eller identificerbar fysisk person (den registrerede).
Begrebet behandling omfatter ifølge lovens § 3, nr. 2, enhver operation eller række af operationer med eller uden brug af elektronisk databehandling, som oplysninger gøres til genstand for. Ifølge lovens forarbejder omfatter dette eksempelvis indsamling, opbevaring, brug og videregivelse.
Det er Datatilsynets opfattelse, at der såvel i forbindelse med indsamlingen af fingeraftrykket som ved den efterfølgende brug (matchning) af templaten, er tale om behandlinger omfattet af persondataloven.
Datatilsynet har herved lagt vægt på, at behandlingen af oplysninger om fingeraftryk sker med henblik på identifikation, samt at der efter det oplyste også registreres oplysninger om navn og personnummer i systemet.
2.2. Behandlingsbetingelserne i persondatalovens kapitel 4
Behandling af biometriske oplysninger skal som udgangspunkt vurderes i forhold til persondatalovens § 6, stk. 1, der regulerer behandling af almindelig ikke-følsomme oplysninger.
Efter § 6, stk. 1, nr. 6, må behandling af oplysninger finde sted, hvis behandlingen er nødvendig af hensyn til udførelsen af en opgave, der henhører under offentlig myndighedsudøvelse, som den dataansvarlige eller en tredjemand, til hvem oplysningerne videregives, har fået pålagt.
2.3.
De oplysninger, der behandles i forbindelse med tidsregistrering, bruges efter det oplyste til udmåling og eventuel sanktionering i overensstemmelse med lovgivningen på det sociale område. Datatilsynet lægger derfor til grund, at behandlingen af oplysninger i form af fingeraftryk og templates af disse sker som led i Lemvig Kommunes myndighedsudøvelse.
Datatilsynet finder herefter, at Lemvig Kommunes behandling af oplysninger om aktiverede borgeres møde- og sluttid er nødvendig af hensyn til udførelsen af kommunens opgaver. Endvidere finder Datatilsynet ikke grundlag for at modsætte sig, at tidsregistreringen sker ved hjælp af fingeraftryk og de nævnte templates. Behandlingen må således antages at ske i overensstemmelse med persondatalovens § 6, stk. 1, nr. 6.
Datatilsynet har herved lagt vægt på det oplyste om, at registreringen har til formål at kunne dokumentere borgernes fremmødetid, der danner grundlag for udmåling af kontanthjælp, at systemet er pålideligt og præcist, samt at systemet er ukompliceret, idet det ikke kræver, at koder eller magnetkort skal huskes. Herudover har tilsynet lagt vægt på, at systemet hindrer omgåelse af registrering af mødetid, at der efter det oplyste alene registreres en matematisk værdi af borgerens fingeraftryk (en template), og at det således ikke er det egentlige fingeraftryk, der registreres i databasen.
3. Anmeldelse til Datatilsynet
Det følger af persondatalovens § 43, at forinden iværksættelse af en behandling af oplysninger, som foretages for den offentlige forvaltning, skal der af den dataansvarlige eller dennes repræsentant foretages anmeldelse til Datatilsynet.
Lovens § 44, stk. 1, modificerer dette ved at fastslå, at en behandling, som ikke omfatter oplysninger af fortrolig karakter, er undtaget fra reglerne i § 43. En sådan behandling kan uden anmeldelse endvidere omfatte identifikationsoplysninger, herunder personnummer, og oplysninger om betaling til og fra en offentlig myndighed.
Datatilsynet har tidligere1 lagt til grund, at behandling af oplysninger om fingeraftryk eller om værdier af fingeraftryk (en template) ikke vil være omfattet af persondatalovens anmeldelsesordning, jf. lovens kapitel 12, medmindre behandlingen sker i sammenhæng med følsomme oplysninger eller tjener andre formål end identifikation.
Efter Datatilsynets opfattelse udløser behandlingen af fingeraftryk i Lemvig Kommune således ikke i sig selv anmeldelsespligt. Kommunen har imidlertid anmeldelsespligt, når den behandler følsomme personoplysninger i forbindelse med løsning af sine opgaver. Datatilsynet har i den forbindelse noteret sig, at Lemvig Kommune har anmeldt behandlingen: "Beskæftigelse og kommunale ydelser" (j.nr. 2008-55-1424).
Kopi af dette brev er sendt til 3F Vest.
Datatilsynet betragter herefter sagen som afsluttet, og tilsynet foretager sig ikke yderligere.
1 Jf. Datatilsynets brev af 20. marts 2003 til Justitsministeriet med bidrag til besvarelse af Folketingsspørgsmål nr. S 1895