Journalnummer: 2012-631-0008
Datatilsynet vender hermed tilbage til sagen, hvor tilsynet efter omtale i lokale medier samt henvendelser fra en række borgere blev opmærksom på, at 3F Vejle muligvis havde behandlet personoplysninger i strid med persondataloven1. 3F Vejle er efter anmodning fra tilsynet kommet med udtalelser til sagen.
Fagforeningen er efter persondataloven forpligtet til at beskytte de personoplysninger, der indgår i organisationens sager, med de fornødne sikkerhedsforanstaltninger2. Forpligtelsen omfatter efter Datatilsynets opfattelse bl.a. en pligt til at sikre, at der ikke kan ske uberettiget videregivelse til a-kassen.
Den tidligere generelle adgang for a-kassen til at se dokumenterne i fagforeningens sager var efter Datatilsynets opfattelse meget vidtgående og vanskeligt at forene med grundprincipperne i persondatalovens § 5 og de generelle krav om datasikkerhed i lovens § 41, stk. 3. Datatilsynet lægger herved vægt på, at a-kassen havde fuld terminaladgang til fagforeningens sager, herunder arbejdsskadesager, hvorved a-kassen bl.a. havde adgang til følsomme personoplysninger. Det er i den forbindelse Datatilsynets opfattelse, at 3F Vejle ikke har givet en fyldestgørende begrundelse for den brede adgang eller oplyst en hjemmel hertil. Datatilsynet må på denne baggrund konkludere, at følsomme personoplysninger har været håndteret i en løsning, der ikke levede op til persondataloven, hvilket tilsynet finder kritisabelt.
Datatilsynet har noteret sig det oplyste om, at systemet nu er ændret, således at fagforeningens medarbejdere kun har adgang til fagforeningens sager, og a-kassens medarbejdere kun har adgang til a-kassens egne sager. Det kan endvidere nu overvåges og kontrolleres, hvem der har været inde i en sag og på hvilket tidspunkt.
Afsluttende bemærkninger
Datatilsynet finder sagens langstrakte forløb meget beklageligt. Uanset at dette til dels beror på tilsynets egen sagsbehandling, er det Datatilsynets opfattelse, at 3F Vejle i væsentlig grad har bidraget til det meget lange forløb. Datatilsynet har således under forløbet måttet stille de samme spørgsmål flere gange, og i flere tilfælde har tilsynet fået uklare eller ufyldestgørende svar.
Det skal for god ordens skyld oplyses, at Datatilsynet forventer at informere om denne udtalelse på tilsynets hjemmeside.
1 Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med senere ændringer.
2 Som krævet efter persondatalovens § 41, stk. 3.