Journalnummer: 2012-211-0040
Datatilsynet vender hermed tilbage til sagen, hvor du ved brev af 11. december 2009 samt senere har klaget over en række forhold vedrørende behandling af oplysninger om din søn i forbindelse med tv-overvågning hos supermarked S.
Din dengang 16-årige søn blev den 31. oktober 2009 bortvist fra S. Din søn fik i den forbindelse oplyst, at S var i besiddelse af optagelser fra tv-overvågning fra den 19. oktober 2009, hvoraf han fremgår.
Virksomhed V har oplyst at være dataansvarlig for optagelser fra tv-overvågning hos S.
1. Klagen over, at din søn ikke er blevet oplyst om, at der blev foretaget tv-overvågning hos S i forbindelse med ansættelsen
Du har oplyst, at din søn ikke har modtaget information om, at der blev tv-overvåget hos S.
V har hertil oplyst, at alle medarbejdere i forbindelse med udlevering af ansættelseskontrakt tillige modtager en personalehåndbog, hvoraf fremgår oplysninger om tv-overvågning, samt at forholdene vedrørende tv-overvågning efterfølgende gennemgås på introduktionsmøder for nye medarbejdere. V har i den forbindelse fremsendt kopi af uddrag af personalehåndbogen til Datatilsynet.
Du har hertil oplyst, at din søn ikke er sikker på, at han har modtaget personalehåndbogen i forbindelse med ansættelsen, og at der ikke står noget i hans ansættelsespapirer om, at personalehåndbogen er blevet udleveret.
1.1. Datatilsynets bemærkninger hertil
1.1.1.
I persondatalovens § 26 b er det præciseret, at persondatalovens regler om oplysningspligt gælder uanset en eventuel skiltning i medfør af tv-overvågningslovens regler. Det betyder, at selv om den dataansvarlige informerer om tv-overvågning ved at opsætte skilte herom, så skal den dataansvarlige også være opmærksom på i fornødent omfang at give oplysninger som krævet i persondatalovens § 29.
Når en arbejdsgiver tv-overvåger de ansatte skal der – ud over den skiltningspligt mv., som følger af tv-overvågningslovens regler – som udgangspunkt gives forudgående meddelelse til den enkelte ansatte om tv-overvågningen.
Den dataansvarliges pligt til at give oplysning om tv-overvågning omfatter ud over den dataansvarliges medarbejdere også en pligt til at give oplysning til alle de personer, der fast kommer i lokalerne eller udfører arbejde i lokalerne. Det gælder, uanset om ansættelseskontrakten er indgået med den dataansvarlige eller en anden virksomhed, f.eks. et rengøringsfirma.
Datatilsynet har i sin praksis nærmere præciseret, hvilke oplysninger man som dataansvarlig bør give i forbindelse med tv-overvågning:
• Den dataansvarliges eller dennes repræsentants identitet.
• Formålene med den behandling, hvortil oplysningerne er bestemt. Kravet indebærer, at der skal gives den registrerede tilstrækkelig information til, at den pågældende bliver klar over, hvad der er baggrunden for, at der indsamles oplysninger om den pågældende.
• Alle yderligere oplysninger, der under hensyn til de særlige omstændigheder, hvorunder oplysningerne er indsamlet, er nødvendige for, at den registrerede kan varetage sine interesser, herunder f.eks. hvilken type oplysninger det drejer sig om, kategorierne af modtagere og reglerne om indsigt i og om berigtigelse af de oplysninger, der vedrører den registrerede.
• Oplysning om, at optagelserne vil blive videregivet til politiet, samt om, i hvilke tilfælde dette vil kunne ske.
• Information om, i hvilke tilfælde optagelser vil blive gennemgået (f.eks. om dette finder sted i form af stikprøvekontrol eller i forbindelse med mistanke om kriminelle aktiviteter eller lignende).
• Hvor længe oplysningerne bliver opbevaret.
• I hvilke lokaler overvågningen foregår.
1.1.2.
Datatilsynet må på baggrund af det i sagen oplyste lægge til grund, at V har generelle retningslinjer for information af nye medarbejdere, og at oplysninger om tv-overvågningen indgår i personalehåndbogen og gennemgås på introduktionsmøder.
Hvad angår det anførte om, at din søn er usikker på, om han har modtaget personalehåndbogen, bemærkes, at tilsynet ikke har mulighed for at tage endelig stilling til, hvad der konkret er sket under et hændelsesforløb, hvor der er uenighed mellem sagens parter. Tilsynet behandler således udelukkende sager på skriftligt grundlag.
På det foreliggende grundlag kan tilsynet således ikke tage nærmere stilling til dette spørgsmål.
2. Klagen over manglende svar på en indsigtsanmodning fremsat den 31. oktober 2009
Du har oplyst, at såvel din søn som dennes mor den 31. oktober 2009 anmodede om at se optagelserne fra den 19. oktober 2009, men at dette blev afslået.
V har oplyst, at hverken din søn eller hans værge har anmodet om indsigt i optagelserne fra den 19. oktober 2009 på mødet den 31. oktober 2009.
2.1. Datatilsynets bemærkninger hertil
2.1.1.
Ifølge persondatalovens § 31, stk. 1, skal den dataansvarlige efter begæring fra en person give meddelelse om, hvorvidt der behandles oplysninger om vedkommende. Behandles sådanne oplysninger, skal der på en let forståelig måde gives meddelelse om, hvilke oplysninger der behandles, behandlingens formål, kategorierne af modtagere af oplysningerne og tilgængelig information om, hvorfra disse oplysninger stammer.
2.1.2.
Hvad angår spørgsmålet om, hvorvidt der er anmodet om indsigt på et møde den 31. oktober 2009 må Datatilsynet konstatere, at der i sagen er fremkommet påstand mod påstand.
Som allerede nævnt har Datatilsynet ikke mulighed for at tage endelig stilling til, hvad der konkret er sket under et hændelsesforløb, hvor der er uenighed mellem sagens parter. Tilsynet behandler således udelukkende sager på skriftligt grundlag.
Den endelige vurdering af sådanne bevismæssige spørgsmål vil kunne foretages af domstolene, som i modsætning til Datatilsynet har mulighed for at belyse forholdet nærmere, blandt andet ved afhøring af vidner.
3. Klagen over, at din søn ikke er blevet underrettet om, at optagelserne er blevet opbevaret ud over 30 dage
Du har oplyst, at V ikke har oplyst din søn om, at optagelserne fra den 19. oktober 2009 er blevet opbevaret i et længere tidsrum end 30 dage.
V har hertil oplyst, at din søn ikke er blevet underrettet om den fortsatte opbevaring. V har endvidere oplyst, at virksomheden for fremtiden vil være opmærksom på, at efterleve reglerne om underretning ved opbevaring af optagelser mere end 30 dage.
Dansk Erhverv har på vegne af V endvidere oplyst, at der er iværksat ekstra opmærksomhed på 30 dages fristen, således at alle interne dokumenter og retningslinjer nu indskærper denne regel, herunder fremgår det af bortvisningsskrivelsen, såfremt der bliver opbevaret optagelser ud over 30 dages-fristen.
3.1. Datatilsynets bemærkninger hertil
3.1.1.
I medfør af persondatalovens § 26 a, stk. 3, kan optagelser opbevares i et længere tidsrum end 30 dage, hvis det er nødvendigt af hensyn til den dataansvarliges behandling af en konkret tvist.
Den dataansvarlige skal i så fald inden for 30-dages fristen underrette den, som tvisten vedrører, og på anmodning udlevere en kopi af optagelsen til den pågældende.
3.1.2.
Datatilsynet må på baggrund af det i sagen oplyste lægge til grund, at V ikke har levet op til kravet om underretning.
Tilsynet har noteret sig det oplyste, herunder at det nu fremgår det af bortvisningsskrivelsen, såfremt der bliver opbevaret optagelser ud over 30 dages-fristen. I den forbindelse bør det efter Datatilsynets opfattelse også oplyses, at det er muligt at anmode om udlevering af kopi. Tilsynet henviser herved til princippet om god databehandlingsskik i persondatalovens § 5, stk. 1.
4. Klagen over manglende svar på en indsigtsanmodning fremsat den 7. december 2009
Du har oplyst, at du den 7. december 2009 kontaktede V med henblik på at få udleveret en kopi af optagelserne fra den 19. oktober 2009.
V har hertil oplyst, at du på et tidspunkt kontaktede V med henblik på at få udleveret en kopi af de pågældende optagelser. V har endvidere oplyst, at anmodningen blev afslået med henvisning til, at du er en tredjemand og ikke tidligere har optrådt som værge i forhold til V. V har endelig oplyst, at du accepterede dette og sagde, at du ville vende retur.
Du har hertil oplyst, at du kontaktede V og præsenterede dig som forælder til din søn. Du har endvidere oplyst, at din anmodning om at modtage kopi af optagelserne fra den 19. oktober 2009 blev afvist med henvisning til lov om tv-overvågning, og at du blev oplyst, at hvis du kunne få ”bøjet reglerne” andetsteds, var du velkommen til at vende tilbage.
V oplyste den 28. januar 2010, at anmodningen om indsigt fortsat ikke var imødekommet med henvisning til, at Københavns Politi havde oplyst, at optagelserne ikke måtte udleveres til din søn, idet de indgik i sagen som bevis.
V oplyste den 25. februar 2010, at V var blevet kontaktet af Københavns Politi, der havde oplyst, at politiet ikke ville modsætte sig, at V gav din søn indsigt i optagelserne.
V har den 4. marts 2010 oplyst, at V finder, at optagelserne kan undtages fra indsigt med henvisning til persondatalovens § 30, stk. 2, nr. 4, jf. § 32, stk. 1.
Dansk Erhverv har på vegne af V den 9. august 2010 oplyst, at V er indstillet på at meddele indsigt, men at der optræder ikke-anonymiserede personer på optagelserne.
Du har den 17. august 2010 oplyst, at du har modtaget indsigt i optagelserne, men at der er udtaget en sekvens midt i optagelsen med den begrundelse, at der fremgår en ikke-anonymiseret person, som V ikke har kunnet indhente samtykke fra til videregivelsen.
Dansk Erhverv har på vegne af V ved brev af 23. august 2010 oplyst, at V ved skrivelse af 11. august 2010 har imødekommet din begæring om indsigt, idet V finder, at der ikke længere foreligger hensyn til politiets efterforskning, der kan begrunde tilbageholdelse af optagelserne, jf. § 32, jf. § 30.
Du har den 16. september 2010 bekræftet, at du har modtaget indsigt i hele den ønskede optagelse, og du har endvidere henvist til en række udskrifter fra optagelserne i forbindelse med din klage.
4.1. Datatilsynets bemærkninger hertil
4.1.1.
Ud over reglerne om indsigt i persondatalovens § 31 indeholder lovens § 26 a, stk. 3, en særregel vedrørende udlevering af kopi af optagelser fra tv-overvågning, der af den dataansvarlige opbevares i et længere tidsrum end 30 dage.
4.1.2.
Datatilsynet må lægge til grund, at du den 7. december 2009 kontakte de V med henblik på at få udleveret en kopi af optagelserne, og at din anmodning blev afslået med henvisning til, at du er en tredjemand og ikke tidligere har optrådt som værge i forhold til V.
Hvis en repræsentant for en registreret person retter henvendelse til en dataansvarlig, påhviler det denne at sikre sig, at repræsentanten er berettiget til at handle på vegne af den registrerede.
Det er den dataansvarlige, som afgør, hvorledes repræsentanten skal godtgøre, at vedkommende er berettiget til at optræde som repræsentant for den, om hvem oplysninger behandles. Dette fremgår af Datatilsynets rettighedsvejledning1.
Den dataansvarlige har i den forbindelse også et ansvar for at sikre, at der ikke udleveres oplysninger til uvedkommende. Sker dette, vil den dataansvarlige evt. kunne gøres ansvarlig for at overtræde persondatalovens regler om databeskyttelse.
I rettighedsvejledningens afsnit 3.1.4. omtales indsigt i oplysninger om børn og unge under 18 år. Det fremgår bl.a., at det ikke uden videre kan antages, at kun forældremyndighedens indehaver kan kræve indsigt, når der er tale om behandling af oplysninger vedrørende større børn. Dette skyldes, at der ikke i persondataloven er fastsat en bestemt aldersgrænse. Loven bygger således på et individuelt modenhedskriterium. Der kan også forekomme tilfælde, hvor kun det barn, hvis oplysninger behandles, men ikke forældrene, bør kunne begære indsigt.
Ud fra de foreliggende oplysninger kan Datatilsynet ikke konstatere, at du ved den omhandlede anmodning havde godtgjort, at du var berettiget til at få indsigt på din 16-årige søns vegne.
Datatilsynet finder imidlertid, at V burde have foretaget en vurdering af, hvorledes du kunne godtgøre, at du var berettiget til at optræde som repræsentant for din søn, således at V kunne have udleveret en kopi af optagelserne som krævet efter lovens § 26 a, stk. 3.
4.1.3.
Efter at du har klaget til Datatilsynet, har V gjort gældende, at hensynet til politiets efterforskning begrundede tilbageholdelse af optagelserne, jf. § 32, jf. § 30.
Hvis der er tale om den almindelige indsigtsret efter persondatalovens § 31, gælder de undtagelser, der følger af lovens §§ 30 og 32.
Når der – som i dette tilfælde – er tale om indsigt i optagelser, der er opbevaret ud over 30 dage, er det imidlertid bestemmelsen i § 26 a, stk. 3, der regulerer retten til indsigt. Her gælder der ingen undtagelser til reglen om, at den dataansvarlige på anmodning skal udlevere en kopi af optagelsen til den pågældende.
Datatilsynet finder således, at en henvisning til politiets efterforskning ikke kunne berettige V til at undlade at udlevere optagelserne til den berørte person eller dennes repræsentant. Tilsynet finder således, at optagelserne burde have været udleveret.
Datatilsynet har derfor indskærpet overfor V, at når optagelser i tilfælde af en konkret tvist opbevares ud over 30 dages-fristen, skal V på anmodning fra den, som tvisten vedrører, udlevere kopi af optagelsen til den pågældende, jf. § 26 a, stk. 3, i persondataloven.
5. Klagen over, at oplysningerne ikke er slettet
Dansk Erhverv har på vegne af V bl.a. oplyst, at optagelserne isoleret set ikke har dannet grundlag for bortvisningen, idet baggrunden for denne er begrundet mistanke om uregelmæssigheder under hensyn til den store kassedifference. På mødet den 31. oktober 2009 blev differencen dokumenteret ved fremlæggelse af omfattende bonmateriale, og på baggrund af dette materiale har V fundet grundlag for at bortvise.
Det fremgår af din udtalelse af 16. november 2010 i sagen, at V har udleveret en kopi af videosekvensen til politiet i forbindelse med en anmeldelse af 30. november 2009. Du påpeger, at videosekvensen viser, at din søn benytter sin mobiltelefon ved kassen. Mens han har penge i sin ene hånd, tager han sin iPhone op og skriver en sms og putter derefter mobilen tilbage i lommen, mens han stadig har pengene i den anden hånd. Derefter samler han alle pengesedler sammen med en elastik om. Det er ikke tyveri, og du beder Datatilsynet sørge for, at videomaterialet vedrørende din søn bliver slettet.
V har oplyst, at optagelserne vil blive slettet, når sagen er ført til doms eller på anden vis er afsluttet. Dansk Erhverv har på vegne af V endvidere oplyst, at alle optagelser er slettet, således at kun virksomheden og politiet opbevarer de udleverede optagelser, idet der fortsat pågår efterforskning, og der således er saglig grund til at opbevare materialet.
5.1. Datatilsynets bemærkninger hertil
5.1.1.
I medfør af persondatalovens § 26 a, stk. 3, kan optagelser opbevares i et længere tidsrum end 30 dage, hvis det er nødvendigt af hensyn til den dataansvarliges behandling af en konkret tvist.
5.1.2.
Med de fremkomne oplysninger finder Datatilsynet det tvivlsomt, om betingelserne for opbevaring ud over 30 dage var opfyldt. Tilsynet bemærker sig i den forbindelse det oplyste om, at optagelserne som sådan ikke har dannet grundlag for bortvisningen.
Da din oprindelige klage imidlertid gik på indsigten og ikke selve opbevaringen, og da opbevaringen evt. tillige kan have været i din søns interesse, finder Datatilsynet på det foreliggende grundlag ikke anledning til at forfølge den oprindelige beslutning om at opbevare optagelserne ud over 30 dage.
Datatilsynet skal imidlertid understrege, at den omstændighed, at et forhold anmeldes til politiet, ikke i sig selv indebærer en ret for den dataansvarlige til også at opbevare en kopi af optagelsen. En videregivelse til politiet forlænger således ikke opbevaringsfristen for den dataansvarlige.
Datatilsynet har dags dato anmodet V om at oplyse, om optagelserne af din søn er slettet, og, hvis ikke, anmodet om at få oplyst, hvorvidt en sådan sletning nu vil ske.
Sagen har i øvrigt givet Datatilsynet anledning til at indskærpe overfor V, at persondatalovens § 26 a, stk. 3, kun giver adgang til at opbevare oplysninger om den, som tvisten vedrører, men derimod ikke til opbevaring af optagelser af andre personer, som ikke har relation til den pågældende tvist. Opbevaring af såkaldt ”overskudsinformation” skal den dataansvarlige undgå ved i videst muligt omfang at anonymisere de pågældende oplysninger. Dette fremgår af forarbejderne til persondatalovens § 26 a, stk. 3, og er også Datatilsynets praksis2.
6. Klagen over, at optagelserne fra den 19. oktober 2009 er blevet forevist P, samt dennes mundtlige videregivelse af oplysninger fra optagelserne
Du har oplyst, at optagelserne er blevet vist til en person P, som V har oplyst var bisidder ved mødet den 31. oktober 2009, men som du oplyser ikke har noget med din søn at gøre. Du har desuden oplyst, at P mundtligt har videregivet oplysninger fra optagelserne til en anden medarbejder.
V har hertil først oplyst, at virksomheden efter en undersøgelse af sagen har konkluderet, at P ikke har set optagelserne.
Derefter har du oplyst, at din søn via Facebook har spurgt P, om hun har set den pågældende optagelse, samt at P i den forbindelse har erkendt at have set den, samt at hun har talt med en kollega om optagelsen. Du har i den forbindelse fremsendt udskrifter fra to samtaler via Facebook.
Herefter har Dansk Erhverv på vegne af V oplyst, at det på baggrund af de fra dig fremsendte udskrifter fra Facebook må antages, at P formentlig har set optagelserne, samt at det fremgår, at hun har videregivet oplysninger fra optagelserne til en kollega.
Dansk Erhverv har på vegne af V endvidere oplyst, at V ikke har noget kendskab til, at P skulle være blevet bekendt med optagelserne, men at det må bero på en fejl, såfremt dette er tilfældet, samt at det indskærpes over for en person, der anvendes som bisidder, at de informationer, der tilgår vedkommende i den forbindelse, er fortrolige samt at vedkommende har tavshedspligt. Da denne forpligtelse angiveligt ikke er overholdt, vil V fremadrettet sørge for, at denne forpligtelse skriftligt indskærpes overfor medarbejdere, der bliver anvendt som bisiddere.
6.1. Datatilsynets bemærkninger hertil
6.1.1.
Af persondatalovens § 41, stk. 3, fremgår, at der skal træffes de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven. Pligten til at træffe fornødne sikkerhedsforanstaltninger påhviler efter persondatalovens § 41, stk. 3, såvel den dataansvarlige som en eventuel databehandler.
Datatilsynet har offentliggjort nærmere retningslinjer for iagttagelse af persondatalovens sikkerhedskrav i forbindelse med tv-overvågning. I den forbindelse har tilsynet bl.a. givet følgende anvisning:
”Begræns adgangen til optagelserne til nogle få personer!
Både den tekniske og den fysiske adgang til optagelserne skal begrænses til personer, der har et sagligt behov for at gennemse optagelserne. Det skal være så få personer som muligt.”
6.1.2.
På baggrund af det af dig til sagen oplyste om, at P ikke har noget med din søn at gøre, lægger Datatilsynet til grund, at P ikke kan anses for din søns repræsentant.
V har ikke til sagen afgivet oplysninger, der viser, at det var nødvendigt for P at se optagelserne.
Datatilsynet må således lægge til grund, at V har givet en person adgang til oplysningerne, uden at det var nødvendigt. På denne baggrund har V efter tilsynets opfattelse ikke levet op til kravet i persondataloven om de fornødne sikkerhedsforanstaltninger.
Den omstændighed, at P skulle have omtalt optagelsernes indhold overfor en anden medarbejder, understreger efter tilsynets opfattelse vigtigheden af, at personer uden nødvendigt behov for at se optagelserne ikke får adgang her til.
7. Afsluttende bemærkninger
Ud fra en samlet vurdering af forløbet finder Datatilsynet det kritisabelt, at V på en række punker ikke har levet op til persondatalovens krav.
Datatilsynet har ved brev af dags dato meddelt V dette. Kopi af brevet vedlægges.
Datatilsynet afventer nu svar fra V vedrørende sletning, hvorefter sagen forventes at kunne afsluttes.
…
Se tillige Datatilsynets supplerende svar af 20. august 2012 til Dansk Erhverv:
1 Datatilsynets vejledning om registreredes rettigheder efter reglerne i kapitel 8-10 i lov om behandling af personoplysninger.
2 www.datatilsynet.dk/afgoerelser/arkiv-over-afgoerelser/artikel/klage-over-manglende-adgang-til-indsigt-i-optagelser-fra-tv-overvaagning/