Journalnummer: 2012-42-0291

1. Resumé

Børns Vilkår har den 4. januar 2011 anmeldt behandlingen ”Støtte, rådgivning og bisidning af udsatte børn og unge” til Datatilsynet.

Datatilsynet har tilrettet anmeldelsen efter aftale med Børns Vilkår. 

Det fremgår herefter af anmeldelsen, at formålet med behandlingen af personoplysninger er at tilbyde støtte, rådgivning og bisidning til udsatte børn og unge, der henvender sig til Børns Vilkår, og som har behov for støtte og rådgivning vedrørende problemstillinger eller bisidning ved møder med eller klagesager over myndigheder.

Ifølge anmeldelsen behandler Børns Vilkår oplysninger om følgende persongrupper i forbindelse med sin støtte, rådgivning og bisidning:

A) Børn og unge, der henvender sig til Børns Vilkår:

Identifikationsoplysninger, køn, alder samt – alt efter omstændighederne – oplysninger om racemæssig eller etnisk baggrund, helbredsoplysninger, oplysninger om seksuelle forhold, strafbare forhold, væsentlige sociale problemer og andre rent private forhold, der er nødvendige for at kunne tilrettelægge og yde en effektiv rådgivning, støtte og bisidning.

B) Pårørende og andre i de pågældende børns og unges netværk:
Identifikationsoplysninger, køn, oplysninger om vedkommendes relation til barnet, samt – alt efter omstændighederne – oplysninger om racemæssig eller etnisk baggrund, helbredsoplysninger, oplysninger om seksuelle forhold, strafbare forhold, væsentlige sociale problemer og andre rent private forhold, der er nødvendige for at kunne tilrettelægge og yde en effektiv rådgivning, støtte og bisidning overfor barnet eller den unge.

For så vidt angår sletning af oplysninger fremgår det endvidere af anmeldelsen, at chatsamtaler slettes 5 minutter efter, at barnet eller den unge logger ud af samtalen. Sms-korrespondance slettes 24 timer efter barnets eller den unges seneste sms til Børns Vilkår. Alle personhenførbare oplysninger, som behandles på baggrund af samtykke i forbindelse med støtte-, rådgivnings- eller bisidningsforløb, slettes på anmodning fra den registrerede. Alle personhenførbare oplysninger slettes derudover senest 10 år efter første registrering, samt senest når den unge er fyldt 24 år. Bisidderordningen har en regel om, at en bisidder kan bisidde til og med det 23. år, hvis den unge har haft en socialsag inden det fyldte 18. år.

Om sikkerhed er det oplyst, at elektroniske oplysninger opbevares i en SQL-database, der er sikret med password, firewall og antivirus. Kommunikationen mellem Børns Vilkår og SQL-databasen foregår via en SSL-krypteret forbindelse. Manuelle oplysninger opbevares i aflåste skabe. Kun autoriserede medarbejdere har adgang til oplysningerne, og de pågældende medarbejdere arbejder under skærpet tavshedspligt.

2. Datatilsynet skal – efter forelæggelse for Datarådet – udtale følgende

2. 1. Persondatalovens anvendelsesområde

Persondataloven² gælder bl.a. for behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling. Dette følger af lovens § 1, stk. 1.

Ved “personoplysninger” forstås enhver form for information om en identificeret eller identificerbar fysisk person (den registrerede), jf. definitionen i lovens § 3, nr. 1.

Af forarbejderne til bestemmelsen fremgår, at udtrykket ”identificerbar person” skal forstås som en person, der direkte eller indirekte kan identificeres, bl.a. ved et identifikationsnummer eller et eller flere elementer, der er særlige for en given persons fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet. Omfattet af begrebet personoplysninger er herefter oplysninger, som kan henføres til en fysisk person, selv om dette forudsætter kendskab til personnummer, registreringsnummer eller lignende særlige identifikationer, som f.eks. løbenummer.

Ved afgørelsen af, om der er tale om en personoplysning i bestemmelsens forstand, er det uden betydning, hvorvidt identifikationsoplysningen er alment kendt eller umiddelbart tilgængelig. Også de tilfælde, hvor det kun for den indviede vil være muligt at forstå, hvem en oplysning vedrører, er omfattet af definitionen.

Rådgivningen
Børns Vilkår har oplyst, at kontakten til organisationen kan ske via telefon eller SMS (BørneTelefonen), brevkasse (BørneBrevkassen) eller chat (BørneChatten).

Via BørneTelefonen kan barnet eller den unge ringe eller sende en SMS til Børns Vilkårs rådgivere. Det er ikke muligt for rådgiverne at se det telefonnummer, hvor der ringes eller sendes SMS fra. SMS besvares af rådgiveren via en computer².

På Børns Vilkårs hjemmeside kan børn og unge tilgå BørneChatten og få rådgivning ved at chatte med Børns Vilkårs rådgivere.

Ved BørneBrevkassen kan børn og unge på Børns Vilkårs hjemmeside benytte en formular til at stille spørgsmål til Børns Vilkårs rådgivere. Barnet eller den unge indtaster via en blanket på hjemmesiden oplysninger om alder, køn, emne og spørgsmål. Ved afsendelse af henvendelsen modtager barnet eller den unge et ID-nummer, som kan benyttes til at søge henvendelsen frem efter besvarelse. Besvarelse fra rådgiverne sker ved, at henholdsvis barnets eller den unges problemstilling/spørgsmål og rådgiverens svar offentliggøres på Børns Vilkårs hjemmeside. Navne mv. offentliggøres ikke.  

I forlængelse af en rådgivningssession registrerer organisationen ikke-personhenførbare oplysninger til brug for statistik, herunder – såfremt det oplyses af barnet eller den unge selv under samtalen – oplysninger om køn, alder, kommune og overordnede oplysninger om den omhandlede problemstilling.

Datatilsynet skal bemærke, at de umiddelbart anonyme oplysninger, som Børns Vilkår behandler i forbindelse med BørneTelefonen, BørneChatten og BørneBrevkassen, efter sekretariatets opfattelse vil kunne være personhenførbare. Dette skyldes, at henholdsvis telefonnummer og ip-adresse registreres ved organisationens eksterne udbydere, og at omfanget af registrerede oplysninger sammenstillet eventuelt i sig selv vil kunne henføres til enten barnet eller den unge, der har henvendt sig, eller en pårørende eller andre.

Datatilsynet har på den baggrund vurderet, at der i forbindelse med rådgivningen behandles oplysninger om barnet eller den pågældende unge samt pårørende m.fl. i personhenførbar form, selvom organisationen som udgangspunkt ikke er bekendt med disse personers fulde navne eller andre umiddelbare identifikationsoplysninger.

Team Børn og Bisidning (TBB)
I forbindelse med en rådgivning kan børn og unge i særlige tilfælde over for Børns Vilkårs rådgiver afgive et udtrykkeligt samtykke til, at barnets eller den pågældende unges navn og kontaktoplysninger registreres med henblik på, at vedkommende modtager yderligere hjælp fra Børns Vilkår. Særlige tilfælde kan være i situationer, hvor henvendelserne vedrører omsorgssvigt eller krænkelser af barnet eller den unge, samt ved barnets eller den unges ønske om bisidning ved møde med eller en klagesag over en myndighed. 

Såfremt samtykket afgives af barnet eller den unge, registreres der oplysninger om vedkommendes navn, kontaktoplysninger og eventuelle følsomme oplysninger, der har relation til den problemstilling, som vedkommende har kontaktet Børns Vilkår om. Det kan endvidere forekomme, at der registreres oplysninger om pårørende og andre i barnets eller den unges netværk, der har relevans for problemstillingen. Efter registreringen overgår oplysningerne fra rådgiveren til en specialkonsulent i Børns Vilkårs afdeling TBB, der varetager det videre forløb.

Datatilsynet vurderer, at der i forbindelse med rådgivning mv. ved TBB behandles oplysninger om barnet eller den unge samt oplysninger om pårørende og andre i barnets eller den unges netværk i personhenførbar form, selvom organisationen for så vidt angår pårørende m.fl. som udgangspunkt ikke er bekendt med disse personers fulde navne eller andre umiddelbare identitetsoplysninger.

2.2. Øvrige relevante regler i persondataloven

I bilag 1 er en beskrivelse af de øvrige regler i persondataloven, som Datatilsynet har vurderet sagen efter. Det gælder navnlig de grundlæggende principper for behandling af personoplysninger i lovens § 5, de materielle behandlingsregler i §§ 6-8 og reglerne om datasikkerhed i lovens § 41.

2.3. Behandling af følsomme oplysninger om pårørende og andre i barnets eller den unges netværk

2.3.1. Oplysninger omfattet af § 8, stk. 1

Private dataansvarlige kan i medfør af persondatalovens § 8, stk. 4, 1. pkt., registrere oplysninger om strafbare forhold, væsentlige sociale problemer og andre rent private forhold end nævnt i § 7, stk. 1, hvis den registrerede har givet sit udtrykkelige samtykke hertil. Herudover kan behandling ske efter § 8, stk. 4, 2. pkt., hvis det er nødvendigt til varetagelse af en berettiget interesse, og denne interesse klart overstiger hensynet til den registrerede. Endvidere følger det af § 8, stk. 6, at privates behandling af sådanne oplysninger kan ske, hvis betingelserne i § 7 er opfyldt.

Det er Datatilsynets vurdering, at der foreligger tungtvejende hensyn til børnene og de unge, som tilsiger, at der vil kunne behandles sådanne oplysninger om pårørende og andre i barnets eller den unges netværk efter interesseafvejningen i persondatalovens § 8, stk. 4, 2. pkt., i forbindelse med støtte, rådgivning og bisidning. Datatilsynet har lagt vægt på, at behandlingen af de pågældende oplysninger ifølge Børns Vilkår er nødvendige for rådgivning og bisidning af barnet eller den unge. 

Der henvises til Datatilsynets vilkår for tilladelsen, jf. nedenfor punkt 4. 

2.3.2. Oplysninger omfattet af § 7, stk. 1

Efter persondatalovens § 7, stk. 2, nr. 1, kan der behandles oplysninger om bl.a. racemæssig eller etnisk baggrund samt helbredsmæssige og seksuelle forhold, hvis den registrerede har givet sit udtrykkelige samtykke til en sådan behandling. Efter lovens § 7, stk. 7, kan disse oplysninger endvidere behandles, hvis behandlingen sker af grunde, der vedrører hensynet til vigtige samfundsmæssige interesser. Tilsynsmyndigheden (Datatilsynet) skal give tilladelse hertil og kan fastsætte nærmere vilkår for behandlingen. Hvor tilladelse meddeles, skal tilsynsmyndigheden give underretning herom til Europa-Kommis¬sionen.

Det er Datatilsynets vurdering, at der konkret er knyttet en så vigtig samfundsmæssig interesse til Børns Vilkårs virksomhed, at der bør gives tilladelse til, at organisationen kan behandle følsomme oplysninger om pårørende og andre i barnets eller den unges netværk, dvs. oplysninger om racemæssig eller etnisk baggrund samt helbredsmæssige og seksuelle forhold, uden de pågældende personers samtykke i det omfang, behandlingen er nødvendig for, at Børns Vilkår kan yde effektiv støtte, rådgivning og bisidning af barnet eller den unge.

Datatilsynet har herved bl.a. lagt vægt på, at behandlingen af disse følsomme oplysninger ifølge Børns Vilkår er nødvendige for at kunne tilrettelægge og yde en effektiv støtte, rådgivning og bisidning af barnet eller den unge, herunder i forhold til at kunne underrette myndigheder om eksempelvis omsorgssvigt eller krænkelse samt for at kunne bisidde barnet ved møder med sociale myndigheder eller klager over en myndighed.

Datatilsynet kan herunder umiddelbart tilslutte sig Børns Vilkårs vurdering af, at indhentelse af samtykke fra en pårørende eller andre i barnets eller den unges netværk som udgangspunkt ikke er en mulighed, idet barnet eller den unge ofte søger beskyttelse fra den person, som registreres i forbindelse med barnets eller den unges henvendelse. Endvidere vil indhentelse af samtykke i enkelte tilfælde kunne udsætte barnet eller den unge for fare og vil derudover reelt umuliggøre et tillidsforhold mellem en bisidder og barnet eller den unge.

Endvidere er det Datatilsynets opfattelse, at den samfundsmæssige relevans understøttes af, at Børns Vilkårs aktiviteter bl.a. er offentligt støttet af satspuljemidler, samt at Børns Vilkår har fået finanslovsbevilling til udvidelse af BørneTelefonen og bisidderordningen.

2.3.3. Særligt om offentliggørelse

For så vidt angår den offentliggørelse af personoplysninger, der sker via brevkassen – dvs. formidlingen af spørgsmål/indlæg og svar/kommentar – finder Datatilsynet imidlertid ikke, at der foreligger sådanne vigtige samfundsmæssige interesser, at undtagelsesbestemmelsen i § 7, stk. 7, kan finde anvendelse. Sådan videregivelse vil således efter Datatilsynets opfattelse kræve, at oplysningerne allerede er offentliggjort af den pågældende, jf. persondatalovens § 7, stk. 2, nr. 3, at den registrerede har givet sit udtrykkelige samtykke, jf. § 7, stk. 2, nr. 1, og § 8, stk. 4, 1. pkt., eller at oplysningerne er anonymiserede i en sådan grad, at de ikke kan betragtes som personoplysninger. 

2.4. Behandling af følsomme oplysninger om børn og unge

Børns Vilkår har oplyst, at hovedgruppen af børn og unge, der henvender sig, er i aldersgruppen 10-15 år.

Det er Datatilsynets umiddelbare vurdering, at et barn, der er i stand til selv at søge støtte, rådgivning og bisidning hos Børns Vilkår og i den forbindelse selv afgiver oplysninger, som udgangspunkt normalt også gyldigt kan samtykke til den omhandlede databehandling.

For børn, der ikke vurderes at have tilstrækkelig modenhed til at kunne afgive et gyldigt samtykke, finder Datatilsynet, at Børns Vilkårs behandling af oplysninger om strafbare forhold, væsentlige sociale problemer og andre rent private forhold end nævnt i § 7, stk. 1, som udgangspunkt kan behandles i medfør af interesseafvejningsregelen i § 8, stk. 4, 2. pkt., i det omfang oplysningerne er nødvendige i forbindelse med Børns Vilkårs støtte, rådgivning og bisidning.

For så vidt angår oplysninger om børn og unges racemæssige eller etniske baggrund samt seksuelle forhold og helbredsforhold har Datatilsynet vurderet, at der også er knyttet en sådan væsentlig samfundsmæssig interesse til Børns Vilkårs støtte, rådgivning og bisidning af børn og unge, at der bør meddeles tilladelse efter § 7, stk. 7, til organisationens behandling af disse oplysninger for så vidt angår børn og unge, der ikke vurderes at have den tilstrækkelige modenhed til at kunne afgive et gyldigt samtykke, i det omfang behandlingen er nødvendig for, at Børns Vilkår kan yde effektiv støtte, rådgivning og bisidning af barnet eller den unge.

Det er herved bl.a. taget i betragtning, at Børns Vilkårs støtte, rådgivning og bisidning sker i barnets eller den unges interesse.

Der henvises til Datatilsynets vilkår for tilladelsen, jf. nedenfor punkt 4. 

2.4.1. Særligt om offentliggørelse

For så vidt angår den offentliggørelse af personoplysninger, der sker via brevkassen – dvs. formidlingen af spørgsmål/indlæg og svar/kommentar – finder Datatilsynet, at der ikke foreligger sådanne vigtige samfundsmæssige interesser, at undtagelsesbestemmelsen i § 7, stk. 7, kan finde anvendelse.

Sådan videregivelse vil efter Datatilsynets vurdering kræve, at oplysningerne allerede er offentliggjort af den pågældende, jf. persondatalovens § 7, stk. 2, nr. 3, eller at barnet eller den unge har givet sit udtrykkelige samtykke, jf. persondatalovens § 7, stk. 2, nr. 1, og § 8, stk. 4, 1. pkt., og at det vurderes, at barnet eller den unge har den nødvendige modenhed til at overskue konsekvenserne af en offentliggørelse.

Offentliggørelse kan endvidere ske, såfremt oplysningerne er anonymiserede i en sådan grad, at de ikke kan betragtes som personoplysninger.

2.5. Rådgivning af pårørende og andre med relation til børn eller unge

Pårørende og andre med relation til børn og unge har mulighed for på Børns Vilkårs hjemmeside at udfylde en blanket med bl.a. en beskrivelse af en problemstilling samt vedkommendes kontaktoplysninger med henblik på at blive ringet op.

Der vil i en sådan situation ske behandling af personhenførbare oplysninger om børn og unge og andre end den pågældende pårørende selv, i og med at der behandles identifikationsoplysninger om den pårørende sammenholdt med de angivne oplysninger om barnet eller den unge samt den pårørendes relation til barnet eller den unge.

Det er Datatilsynets vurdering, at der i den forbindelse ikke kan findes hjemmel i persondatalovens § 7, stk. 7, til behandling af oplysninger om børn, unge og andre end den pågældende pårørende selv.

En sådan behandling vil således efter Datatilsynets opfattelse kræve, at oplysningerne allerede er offentliggjort af vedkommende, jf. § 7, stk. 2, nr. 3, eller at den registrerede har givet sit udtrykkelige samtykke, jf. persondatalovens § 7, stk. 2, nr. 1, eller § 8, stk. 4, 2. pkt., og – såfremt der er tale om børn og unge – at det vurderes, at barnet eller den unge har den fornødne modenhed til at overskue konsekvenserne af videregivelsen. 

Datatilsynet har i den forbindelse noteret sig det af Børns Vilkår oplyste om, at organisationen vil ændre den pågældende blanket på hjemmesiden, således at der ikke længere vil fremgå oplysninger om andre end den person, der henvender sig.

2.6. Saglighed og proportionalitet

Efter Datatilsynets opfattelse medfører persondatalovens § 5, stk. 2 og 3, om saglighed og proportionalitet i relation til oplysningerne hos Børns Vilkår – herunder og i særdeleshed den behandling af følsomme oplysninger, som organisationen foretager uden samtykke – en forpligtelse til at minimere indsamling og registrering til det absolut nødvendige. Oplysninger skal endvidere i videst muligt omfang anonymiseres eller gøres ikke umiddelbart personhenførbare.

Datatilsynet skal påpege, at oplysninger, der alene er baseret på børn og unges udsagn, skal registreres hos Børns Vilkår således, at det klart fremgår, at der er tale om et uverificeret udsagn fra en person og ikke en bekræftet kendsgerning.

Datatilsynet forudsætter, at Børns Vilkår iagttager persondatalovens § 5 i forbindelse med behandling af oplysningerne. Tilsynet skal i den forbindelse understrege vigtigheden af, at alle organisationens medarbejdere modtager grundig instruktion i, hvordan personoplysninger skal behandles.

Der henvises til Datatilsynets vilkår for tilladelsen, jf. nedenfor punkt 4. 

2.7. Videregivelse af oplysninger

Det følger af persondatalovens § 5, stk. 2, at indsamling af oplysninger skal ske til udtrykkeligt angivne og saglige formål, at og senere behandling ikke må være uforenelig med disse formål. Senere behandling af oplysninger, der alene sker i historisk, statistisk eller videnskabeligt øjemed, anses ikke for uforenelig med de formål, hvortil oplysningerne er indsamlet.

Dette indebærer efter Datatilsynets opfattelse, at de følsomme oplysninger, som Børns Vilkår indsamler og registrerer – under hensyntagen til karakteren af oplysningerne og til det ganske særlige formål, der begrunder indsamlingen og registreringen – ikke uden samtykke kan videregives eller behandles til andre formål end de, der varetages af Børns Vilkår. Dette gælder dog ikke i de tilfælde, hvor pligtmæssig videregivelse følger af lov.

3. De registreredes rettigheder

Ud over de regler i persondataloven, som er beskrevet i bilag 1, skal Datatilsynet generelt henlede opmærksomheden på persondatalovens kapitel 8-10 om de registreredes rettigheder, som er uddybet i rettighedsvejledningen³. 

Datatilsynet skal understrege, at persondatalovens regler om registreredes rettigheder skal iagttages i forbindelse med Børns Vilkårs virksomhed.

De nævnte regler omhandler bl.a. den dataansvarliges oplysningspligt over for den registrerede, den registreredes ret til indsigt og indsigelse samt den registreredes ret til at få berigtiget, slettet eller blokeret oplysninger, der viser sig urigtige eller vildledende eller på lignende måde er behandlet i strid med loven.

Som nævnt ovenfor i afsnit 2.3. er det Datatilsynets vurdering, at Børns Vilkår behandler personhenførbare oplysninger om pårørende og andre i barnets eller den unges netværk omfattet af persondataloven, hvilket som udgangspunkt indebærer, at der udløses oplysningspligt i medfør af lovens §§ 28 og 29.

Der gælder i medfør af § 29, stk. 2, og § 30 en række undtagelser til oplysningspligten. Det afhænger af en konkret vurdering i hvert enkelt tilfælde, om en eller flere undtagelser kan finde anvendelse.

Det følger af lovens § 35, stk. 1, at den registrerede til enhver tid over for den dataansvarlige kan gøre indsigelse mod, at oplysninger om den pågældende gøres til genstand for behandling.

I de tilfælde, hvor den dataansvarlige finder, at en indsigelse mod behandling af oplysninger er berettiget, følger det af lovens § 35, stk. 2, at den iværksatte behandling ikke længere må finde sted for så vidt angår oplysninger om den registrerede.

Hvis den dataansvarlige derimod finder, at en indsigelse ikke skal imødekommes, kan den dataansvarlige fortsætte behandlingen indtil det tidspunkt, hvor Datatilsynet eventuelt måtte træffe afgørelse om, at indsigelsen var berettiget. Indsigelser skal i alle tilfælde noteres på sagen.

4. Vilkår

Idet Datatilsynet forudsætter, at Børns Vilkår iagttager persondatalovens regler, jf. ovenfor punkt 2 og 3, er tilsynet herefter indstillet på at meddele tilladelse til behandlingen “Støtte, rådgivning og bisidning af udsatte børn og unge”.

Tilladelse vil blive givet på følgende vilkår:

1. Indsamling, registrering og anden behandling af følsomme oplysninger om børn og unge skal som udgangspunkt ske med den registreredes udtrykkelige samtykke. Samtykket skal opfylde persondatalovens krav, jf. persondatalovens § 7, stk. 2, nr. 1, og § 8, stk. 4, jf. § 3, nr. 8.
2. Indsamling, registrering og anden behandling af følsomme oplysninger om børn og unge, der ikke vurderes at have tilstrækkelig modenhed til at kunne afgive et gyldigt samtykke, kan ske uden samtykke, i det omfang behandlingen af oplysninger er nødvendig for, at Børns Vilkår kan yde en effektiv støtte, rådgivning og bisidning af barnet eller den unge, jf. persondatalovens § 7, stk. 7, og § 8, stk. 4, 2. pkt.
3. Indsamling, registrering og anden behandling af følsomme oplysninger om pårørende og andre personer i barnets eller den unges netværk kan ske uden samtykke, i det omfang behandlingen af oplysninger er nødvendig for, at Børns Vilkår kan yde en effektiv støtte, rådgivning og bisidning af barnet eller den unge, jf. persondatalovens § 7, stk. 7, og § 8, stk. 4, 2. pkt.
4. Databehandlingen af oplysningerne hos Børns Vilkår skal minimeres til det absolut nødvendige, jf. persondatalovens § 5, stk. 2 og 3. I den forbindelse skal oplysningerne i videst muligt omfang gøres anonyme eller ikke umiddelbart personhenførbare. Oplysninger, der alene baseres på andres udsagn, skal registreres således, at det klart fremgår, at der er tale om et udsagn fra en person og ikke en bekræftet kendsgerning.
5. Videregivelse, herunder offentliggørelse på Børns Vilkårs hjemmeside, af følsomme oplysninger om børn eller unge samt pårørende og andre i barnets eller den unges netværk kan derudover kun ske, hvis oplysningerne er offentliggjort af vedkommende selv, jf. persondatalovens § 7, stk. 2, nr. 3, eller når vedkommende har meddelt udtrykkeligt samtykke hertil, jf. persondatalovens § 7, stk. 2, nr. 1, og § 8, stk. 5, 1. pkt., og at det for så vidt angår børn og unge vurderes, at barnet eller den unge har den nødvendige modenhed til at overskue konsekvenserne af en videregivelse. Et samtykke skal opfylde persondatalovens krav hertil. Endvidere kan videregivelse ske, såfremt pligtmæssig videregivelse følger af lov eller bestemmelser fastsat i medfør af lov.
   

   Alternativt kan oplysningerne anonymiseres i en sådan grad, at de ikke kan betragtes som personoplysninger.

6. Chatsamtaler og sms-korrespondance må ikke opbevares i personhenførbar form efter endt rådgivning. Følsomme og personhenførbare oplysninger i forbindelse med et støtte-, rådgivnings- eller bisidningsforløb skal slettes på anmodning fra den registrerede og senest 10 år efter første registrering, samt senest når den unge er fyldt 24 år.
7. Håndtering af følsomme oplysninger skal ske under iagttagelse af de i bilag 2 beskrevne sikkerhedsregler.

Ovenstående vilkår vil blive fastsat som gældende indtil videre. Datatilsynet forbeholder sig ret til at tage vilkår op til revision, hvis der skulle vise sig behov for det.

Datatilsynet må endvidere forbeholde sig sin stillingtagen til Børns Vilkårs konkrete behandling af personoplysninger i tilfælde af en klagesag eller inspektion.

Eventuelle ændringer i de forhold, der er omfattet af anmeldelsen, skal meddeles Datatilsynet i overensstemmelse med persondatalovens §§ 46 og 51.

5. Afsluttende bemærkninger

Datatilsynet skal henlede opmærksomheden på, at gebyr for tilladelsen udgør 1.000 kr., jf. persondatalovens § 63, stk. 2, nr. 2, jf. § 5, stk. 2, i lov nr. 1245 af 18. december 2012. Beløbet bedes indbetalt til Danske Bank, Holmens Kanal 2-12, 1092 København K, reg.nr. 0216 kontonummer 4069058132.  Der bedes i den forbindelse henvist til journalnummer 2012-42-0291, så Datatilsynet kan identificere indbetalingen.

Endelig tilladelse vil blive udstedt, når Datatilsynet har modtaget betaling.

Børns Vilkårs tidligere anmeldelse med j.nr. 2007-42-0231 vil som aftalt blive slettet fra Datatilsynets fortegnelse, når den endelige tilladelse er blevet udstedt.

Datatilsynet skal for god ordens skyld bemærke, at tilsynet i forbindelse med udstedelse af en endelig tilladelse i sagen vil underrette Europa-Kommis¬sion¬en herom, jf. persondatalovens § 7, stk. 7. Endvidere agter tilsynet at offentliggøre dette brev på sin hjemmeside.

Bilag 1: Beskrivelse af særligt relevante regler i persondataloven

1. Grundlæggende principper - krav om formålsbestemthed, saglighed og proportionalitet

Persondatalovens § 5 indeholder en række grundlæggende databeskyttelsesretlige principper for den dataansvarliges behandling af oplysninger, som altid skal iagttages.

Det fremgår således af lovens § 5, stk. 1, at oplysninger skal behandles i overensstemmelse med god databehandlingsskik.

Af persondatalovens § 5, stk. 2, følger, at indsamling af oplysninger skal ske til udtrykkeligt angivne og saglige formål, og at senere behandling ikke må være uforenelig med disse formål. Senere behandling af oplysninger, der alene sker i historisk, statistisk eller videnskabeligt øjemed, anses ikke for uforenelig med de formål, hvortil oplysningerne er indsamlet.

Persondatalovens § 5, stk. 2, 1. pkt., 2. led, medfører således, at de oplysninger om bl.a. pårørende, som centret indsamler og registrerer, under hensyntagen til karakteren af oplysningerne, og til det ganske særlige formål, der er begrundelsen for behandlingen, ikke kan behandles til andre formål end de, der varetages af rådgivningscentret. Herudover sætter persondatalovens øvrige regler grænser for, hvilken behandling oplysningerne kan undergives.

Persondatalovens § 5, stk. 2, er imidlertid ikke til hinder for, at oplysningerne senere behandles alene i historisk, statistisk eller videnskabeligt øjemed, jf. bestemmelsens sidste punktum.

Af § 5, stk. 3, følger, at de oplysninger, som behandles, skal være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles.

Af § 5, stk. 4, følger endvidere, at behandling af oplysninger skal tilrettelægges således, at der foretages fornøden ajourføring af oplysningerne. Der skal endvidere foretages den fornødne kontrol for at sikre, at der ikke behandles urigtige eller vildledende oplysninger. Oplysninger, der viser sig urigtige eller vildledende, skal snarest muligt slettes eller berigtiges.

Det følger endelig af bestemmelsens stk. 5, at indsamlede oplysninger ikke må opbevares på en måde, der giver mulighed for at identificere den registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles.

2. Persondatalovens behandlingsregler

2.1. Almindelige, ikke-følsomme oplysninger

Efter § 6, stk. 1, nr. 1, må behandling af almindelige, ikke-følsomme oplysninger finde sted, hvis den registrerede har givet sit udtrykkelige samtykke hertil. De nærmere krav til et sådant samtykke findes i lovens § 3, nr. 8, se nedenfor.

Efter lovens § 6, stk. 1, nr. 7, må behandling finde sted, hvis behandlingen er nødvendig for, at den dataansvarlige eller den tredjemand, til hvem oplysningerne videregives, kan forfølge en berettiget interesse, og hensynet til den registrerede ikke overstiger denne interesse.

En betingelse for at kunne anvende bestemmelsen er, at den dataansvarlige har foretaget en vurdering af, hvorvidt hensynet til den registreredes interesser overstiger hensynet til de interesser, der ønskes forfulgt med behandlingen, og at denne vurdering falder ud til fordel for de interesser, der ønskes forfulgt.
Den dataansvarlige eller den tredjemand, til hvem oplysninger videregives, vil også kunne forfølge andre end deres egne interesser. En forudsætning herfor er dog, at der er tale om andres berettigede interesser.

Vurderingen af behandlingens nødvendighed afhænger af, hvilken form for behandling, der er tale om. Det vil således skulle vurderes separat, om det er nødvendigt, at oplysninger indsamles, registreres, videregives m.v. Der vil endvidere skulle henses til, hvilken type oplysninger, der er tale om.

2.2. Følsomme oplysninger

Ifølge lovens § 7, stk. 1, må der som udgangspunkt ikke behandles oplysninger om bl.a. helbredsmæssige forhold  dvs. en fysisk persons tidligere, nuværende og fremtidige fysiske eller psykiske tilstand samt oplysninger om medicinmisbrug.

Efter § 7, stk. 2, må behandling af sådanne oplysninger dog bl.a. ske, hvis

• den registrerede har givet sit udtrykkelige samtykke til en sådan behandling (§ 7, stk. 2, nr. 1),
• behandlingen er nødvendig for at beskytte den registreredes eller en anden persons vitale interesser i tilfælde, hvor den pågældende ikke fysisk eller juridisk er i stand til at give sit samtykke (§ 7, stk. 2, nr. 2),
• hvis behandlingen vedrører oplysninger, som er blevet offentliggjort af den registrerede (§ 7, stk. 2, nr. 3) eller
• hvis behandlingen er nødvendig for, at et retskrav kan fastlægges, gøres gældende eller forsvares (§ 7, stk. 2, nr. 4).

Det følger endvidere af lovens § 7, stk. 5, at bestemmelsen i stk. 1 ikke finder anvendelse, hvis behandlingen af oplysninger er nødvendig med henblik på forebyggende sygdomsbekæmpelse, medicinsk diagnose, sygepleje eller patientbehandling, eller forvaltning af læge- og sundhedstjenester, og behandlingen af oplysningerne foretages af en person inden for sundhedssektoren, der efter lovgivningen er undergivet tavshedspligt.

Endelig fremgår det af § 7, stk. 7, at undtagelse fra bestemmelsen i stk. 1 endvidere kan gøres, hvis behandlingen af oplysninger sker af grunde, der vedrører hensynet til vigtige samfundsmæssige interesser. Tilsynsmyndigheden giver tilladelse hertil. Der kan fastsættes nærmere vilkår for behandlingen. Hvor tilladelse meddeles, giver tilsynsmyndigheden underretning herom til Europa-Kommissionen.

Desuden følger det af § 8, stk. 4, at private kun må behandle oplysninger om strafbare forhold, væsentlige sociale problemer og andre rent private forhold end de i § 7, stk. 1, nævnte, hvis den registrerede har givet sit udtrykkelige samtykke hertil. Herudover kan behandling ske, hvis det er nødvendigt til varetagelse af en berettiget interesse og denne interesse klart overstiger hensynet til den registrerede.

Efter § 8, stk. 6, kan behandling af oplysninger i de tilfælde, der er reguleret i § 8, stk. 1, 2, 4 og 5, i øvrigt finde sted, hvis betingelserne i § 7 er opfyldt.

3. Persondatalovens krav til samtykke

I persondatalovens § 3, nr. 8, er den registreredes samtykke defineret som enhver frivillig, specifik og informeret viljestilkendegivelse, hvorved den registrerede indvilger i, at oplysninger, der vedrører den pågældende selv, gøres til genstand for behandling.

Et samtykke skal således meddeles i form af en viljestilkendegivelse fra den registrerede. Heraf følger, at et samtykke som udgangspunkt skal meddeles af den registrerede selv. Der er dog intet til hinder for, at et samtykke meddeles af en person, som af den registrerede er meddelt fuldmagt hertil.

Der gælder ikke noget formkrav til et samtykke. Der kan således være tale om såvel skriftligt som mundtligt samtykke fra den registrerede, ligesom samtykket også vil kunne gives digitalt. Da bevisbyrden for, at der foreligger et samtykke, der opfylder lovens krav, påhviler den dataansvarlige, må det dog anbefales, at et samtykke i videst muligt omfang afgives skriftligt.

Herudover skal der være tale om et specifikt samtykke. I kravet herom ligger, at et samtykke skal være konkretiseret i den forstand, at det klart og utvetydigt fremgår, hvad det er, der meddeles samtykke til. Det skal således af et meddelt samtykke fremgå, hvilke typer af oplysninger der må behandles, hvem der kan foretage behandling af oplysninger om den samtykkende, og til hvilke formål behandlingen kan ske.

Endelig skal samtykket være informeret i den forstand, at den samtykkende skal være klar over, hvad det er, vedkommende meddeler samtykke til. Den dataansvarlige må således sikre sig, at der gives den registrerede tilstrækkelig information til, at den pågældende kan vurdere, hvorvidt samtykke bør meddeles.

Den registrerede kan på et hvilket som helst tidspunkt tilbagekalde et samtykke, jf. § 38. Virkningen heraf vil i givet fald være, at den behandling af oplysninger, som den registrerede tidligere har meddelt sit samtykke til, ikke længere må finde sted. Derimod kan den registrerede ikke tilbagekalde sit samtykke med tilbagevirkende kraft.

4. Datasikkerhed

Lovens kapitel 11 indeholder regler om behandlingssikkerhed. I § 41, stk. 1, er det fastsat, at personer, virksomheder m.v., der udfører arbejde under den dataansvarlige eller databehandleren, og som får adgang til oplysninger, kun må behandle disse efter instruks fra den dataansvarlige, medmindre andet følger af lov eller bestemmelser fastsat i henhold til lov.

Det følger desuden af § 41, stk. 3, at den dataansvarlige skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven.

Der skal således træffes forholdsregler med henblik på at forhindre uvedkommendes adgang til oplysningerne.

Det indebærer bl.a. at kun de medarbejdere, der er beskæftiget med de formål, hvortil oplysningerne behandles, må have adgang til oplysningerne/journal¬erne. Andre uvedkommende personer – også øvrige medarbejdere hos den dataansvarlige virksomhed – må ikke have adgang til oplysningerne.

Persondatalovens § 41, stk. 3, indebærer desuden at medarbejdere, som udfører behandlingen, ved uddannelse, instruktion mv. skal bibringes den nødvendige viden. For at behandlingen kan ske sikkerhedsmæssigt korrekt, skal medarbejderne have kendskab til de gældende sikkerhedsregler.

Bilag 2: Sikkerhedsregler for behandling af personoplysninger

1. Generelle sikkerhedsbestemmelser

1.1.

Den dataansvarlige skal fastsætte nærmere interne bestemmelser om sikkerhedsforanstaltninger i virksomheden til uddybning af de regler, der fremgår af dette bilag. Bestemmelserne skal navnlig omfatte organisatoriske forhold og fysisk sikring, herunder sikkerhedsorganisation, administration af adgangskontrolordninger og autorisationsordninger samt kontrol med autorisationer. Der skal endvidere fastsættes instrukser, som fastlægger ansvaret for og beskriver behandling og destruktion af ind- og uddatamateriale samt anvendelse af edb-udstyr. Desuden skal der fastsættes retningslinjer for tilsyn med overholdelsen af de sikkerhedsforanstaltninger, der er fastsat for virksomheden. De interne bestemmelser skal gennemgås mindst én gang hvert år med henblik på at sikre, at de er fyldestgørende og afspejler de faktiske forhold i virksomheden.

1.2.

Den dataansvarlige skal give den fornødne instruktion til de medarbejdere, som behandler personoplysningerne. Medarbejderne skal herunder gøres bekendt med de regler, der er fastsat i medfør af punkt 1.1.

1.3.

På steder, hvor der foretages behandling af personoplysninger, skal der træffes forholdsregler med henblik på at forhindre uvedkommendes adgang til oplysningerne.

1.4.

Der må kun etableres eksterne kommunikationsforbindelser, hvis der træffes særlige foranstaltninger for at sikre, at uvedkommende ikke gennem disse forbindelser kan få adgang til personoplysninger. Transmission af følsomme personoplysninger over det åbne net skal altid ske krypteret.

1.5.

I forbindelse med reparation og service af dataudstyr, der indeholder personoplysninger, samt ved salg og kassation af anvendte datamedier skal der træffes de fornødne foranstaltninger for at sikre, at persondatalovens § 41, stk. 3, overholdes.

2. Autorisation og adgangskontrol

2.1.

Kun de personer, som autoriseres hertil, må have adgang til personoplysninger. Autorisationer til adgang til personoplysninger, der behandles ved hjælp af edb, skal angive, i hvilket omfang brugeren må forespørge, inddatere eller slette personoplysninger. De enkelte brugere må ikke autoriseres til anvendelser, som de ikke har behov for.

2.2.

Der må kun autoriseres personer, der er beskæftiget med de formål, hvortil personoplysningerne behandles, samt personer, for hvem adgang til oplysningerne er nødvendig med henblik på revision eller drifts- og systemtekniske opgaver.

2.3.

Det skal sikres, at de autoriserede personer fortsat opfylder betingelserne i punkt 2.1. og 2.2. Kontrol heraf skal foretages mindst en gang hvert halve år.

2.4.

Der skal træffes foranstaltninger for at sikre, at kun autoriserede brugere kan få adgang til personoplysninger, og at disse kun kan få adgang til de personoplysninger og anvendelser, som de er autoriserede til.

2.5.

Der skal foretages registrering af alle afviste forsøg på adgang til edb-systemer med personoplysninger. Hvis der registreres et nærmere fastsat antal på hinanden følgende afviste adgangsforsøg fra samme arbejdsstation eller med samme brugeridentifikation, skal der blokeres for yderligere forsøg.

 

¹ Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med senere ændringer
² www.bornetelefonen.dk/raadgivning/SMS.aspx

³ Justitsministeriets vejledning nr. 126 af 10. juli 2000 om registreredes rettigheder efter reglerne i kapitel 8-10 i lov om behandling af personoplysninger