Journalnummer: 2015-311-0520
Ved breve af 4. november og 26. december 2015 har [klager] klaget til Datatilsynet over Civilstyrelsens fremsendelse af et brev vedrørende klagers sag hos styrelsen til klagers datters digitale postkasse (e-Boks).
Ved e-mail af 26. januar 2016 er Civilstyrelsen på Datatilsynets anmodning fremkommet med en udtalelse til sagen.
Det er Datatilsynets opfattelse, at Civilstyrelsens fremsendelse til klagers datters e-Boks indebar, at oplysningerne blev fremsendt til en anden person end klager. Da der ikke forelå en fuldmagt fra klager til datteren, var datteren efter Datatilsynets opfattelse at betragte som uvedkommende i forhold til oplysningerne om klager. Det forhold, at klager havde angivet, at henvendelser kunne sendes til klager under anvendelse af datterens postadresse som c/o-adresse, kan efter tilsynets opfattelse ikke føre til andet resultat.
Datatilsynet finder på denne baggrund, at Civilstyrelsen har tilrettelagt styrelsens administration på en sådan måde, at der ikke har været den fornødne beskyttelse imod, at oplysningerne om klager kom til uvedkommendes kendskab. Styrelsens behandling af personoplysninger har således ikke levet op til persondatalovens1 § 41, stk. 3, og tilsynet finder det skete kritisabelt.
Nedenfor følger en nærmere beskrivelse af sagen samt Datatilsynets spørgsmål til Civilstyrelsen i forlængelse heraf.
1. Det fremgår af sagen, at klager ved brug af Civilstyrelsens ”Blanket til brug ved ansøgning om fri proces” underskrevet den 12. oktober 2015 ansøgte om fri proces. På blanketten havde klager under punktet ”Ansøger” angivet sit navn og adresse. Endvidere havde klager på blanketten anført, at hendes post skulle sendes til:
”[klagers navn]
c/o [datters navn]
[datters adresse]”
Desuden havde klager på blanketten anført ”Jeg har ikke e-Boks”.
Det fremgår herudover af sagen, at Civilstyrelsen i forbindelse med klagers sag om fri proces fremsendte et brev, som var tiltænkt klager, til klagers datters e-Boks.
2.1. Klager har bl.a. anført, at hendes datter ikke har noget med hendes sag hos Civilstyrelsen at gøre. Klager er utilfreds med, at styrelsen har fremsendt hendes meget private brev til hendes datters e-Boks. Klager har herudover oplyst, at hun ved telefonsamtale med en sagsbehandler i Civilstyrelsen har oplyst, at hun ikke har e-Boks. Sagsbehandleren svarede: ”Det er ikke noget problem, vi sender bare brevet med posten.”
Klager har desuden anført, at hun har adgang til sin datters postkasse, men ikke til hendes e-Boks, at hun selv vil bestemme, hvem i hendes familie der skal orienteres om sagens detaljer, og at hun selv vil bestemme, om hendes familie overhovedet skal orienteres.
2.2. Civilstyrelsen har bl.a. anført, at styrelsen ved den omhandlede fremsendelse fandt, at der var tilstrækkelig sikkerhed for, at oplysninger om klager ikke kom til uvedkommendes kendskab, idet styrelsen forstod klagers ansøgning om fri proces således, at korrespondance i sagen skulle fremsendes til datteren, da klager ikke havde e-Boks.
Over for klager har Civilstyrelsen i et brev af 3. november 2015 endvidere anført:
”Civilstyrelsen kan endvidere oplyse Dem om, at formålet med behandlingen af Deres datters informationer var at fremsende Civilstyrelsens afgørelse i Deres ansøgning om fri proces, idet De i forbindelse med Deres ansøgning om fri proces havde oplyst Deres datters navn og adresse og anmodet om, at Civilstyrelsen fremsendte breve til Deres datters adresse, idet De er fritaget fra digital post. Da offentlige myndigheder anvender digital post ved fremsendelse af post, og da Deres datter ikke ses fritaget fra den obligatoriske tilmelding til digital post, fremsendte Civilstyrelsen afgørelsen i Deres ansøgning om fri proces til Deres datters e-boks med anførsel af Deres datters personnummer, som Civilstyrelsen havde fundet ved opslag i Det Centrale Personregister.
De er den eneste modtager af oplysningerne.”
Civilstyrelsen har over for Datatilsynet oplyst, at det ikke er led i en fast praksis at sende afgørelser til en anden persons e-Boks. Civilstyrelsen har herved henvist til, at styrelsen forstod klagers ansøgning om fri proces således, at korrespondance i sagen skulle fremsendes til datteren, jf. ovenfor.
Endelig har Civilstyrelsen anført, at det er indskærpet over for medarbejderne at være opmærksomme på, om borgeren må antages at have forstået betydningen af en anmodning om anvendelse af en anden borgers adresse i relation til Offentlig Digital Post.
3. Af persondatalovens § 41, stk. 3, fremgår, at der skal træffes de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven.
Det er Datatilsynets opfattelse, at Civilstyrelsens fremsendelse til klagers datters e-Boks indebar, at oplysningerne blev fremsendt til en anden person end klager. Da der ikke forelå en fuldmagt fra klager til datteren, var datteren efter Datatilsynets opfattelse at betragte som uvedkommende i forhold til oplysningerne om klager. Det forhold, at klager havde angivet, at henvendelser kunne sendes til klager under anvendelse af datterens postadresse som c/o-adresse, kan efter tilsynets opfattelse ikke føre til andet resultat.
Datatilsynet finder på denne baggrund, at Civilstyrelsen har tilrettelagt styrelsens administration på en sådan måde, at der ikke har været den fornødne beskyttelse imod, at oplysningerne om klager kom til uvedkommendes kendskab. Styrelsens behandling af personoplysninger har således ikke levet op til persondatalovens § 41, stk. 3, og tilsynet finder det skete kritisabelt.
Datatilsynet skal anmode Civilstyrelsen om at oplyse, hvad styrelsen agter at foretage sig i forhold til det brev, som er sendt til klagers datters e-Boks. Tilsynet kan herved henvise til informationsteksten på tilsynet hjemmeside om sikkerhedsbrister2.
4. Datatilsynet skal desuden bede Civilstyrelsen oplyse, hvad styrelsen finder anledning til at foretage sig i anledning af nærværende sag, herunder i forhold til interne retningslinier, instruktion af medarbejdere mv.
Civilstyrelsens svar på Datatilsynets spørgsmål i nærværende brev bedes være tilsynet i hænde hurtigst muligt og senest inden 14 dage fra dags dato.
Kopi af Datatilsynets brev af dags dato til klager vedlægges til orientering. En kopi af nærværende brev er endvidere dags dato sendt til klager.
Tilsynet forventer at offentliggøre denne udtalelse på sin hjemmeside med anonymisering af klagers navn.
1 Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med senere ændringer
2 www.datatilsynet.dk/offentlig/sikkerhedsbrister/