Journalnummer: 2014-215-0141
Datatilsynet vender hermed tilbage til sagen, hvor klager K (navn og adresse udeladt) har klaget over A (navn udeladt).
1. Sagens omstændigheder
Det fremgår af sagen, at klager ved e-mail af 28. maj 2013 anmodede A om indsigt efter persondatalovens1 § 31.
I februar måned 2014 oversendte Datatilsynet en henvendelse fra klager til A til videre foranstaltning. Datatilsynet orienterede samtidigt om indholdet af persondatalovens § 31 og tilsynets praksis vedrørende teleselskabers logningsdata. Tilsynets oversendte den 26. marts 2014 endnu en henvendelse fra klager med henblik på, at A skulle besvare indsigtsanmodningen.
Da klager fortsat ikke modtog svar, startede Datatilsynet en klagesagsbehandling og anmodede i maj 2014 A om en udtalelse i sagen. Datatilsynet rykkede siden A for svar flere gange og i juli 2015 gjorde Datatilsynet endvidere A opmærksom på, at det er strafsanktioneret ved persondatalovens § 70, stk. 1, nr. 3, at undlade at efterkomme tilsynets krav om oplysninger efter persondatalovens § 62, stk. 1.
A er herefter kommet med udtalelser til sagen den 10. august 2015, 25. september 2015, 30. oktober 2015 og 14. januar 2016.
Endvidere fremgår det, at klager den 24. september 2015 modtog A’s besvarelse af indsigtsanmodningen.
1.1. Klagers argumenter
Klager har bl.a. anført, at han den 28. maj 2013 anmodede A om indsigt efter persondatalovens § 31, og at anmodningen omfattede data som blev behandlet efter logningsbekendtgørelsens § 4 og § 5.
Herudover har klager anført, at A ikke har fremsendt alle de data, som klagers anmodning dækkede over.
1.2. A’s argumenter
A har bl.a. anført, at A efter modtagelsen af klagers anmodning om indsigt igangsatte arbejdet med udvinding af de pågældende data, hvilket var en meget omfattende og tidskrævende proces.
Herudover er det anført, at de udvundne data blev lagret på en USB nøgle, som blev overgivet til en medarbejder i A, som var ansvarlig for formidlingen af data til klager. A har imidlertid kunnet konstatere, at USB nøglen ikke er blevet sendt til klager.
A har endvidere anført, at virksomheden ikke havde til hensigt at afvise klagers anmodning om indsigt. Det skyldes en beklagelig administrativ fejl, at USB nøglen med data ikke blev fremsendt.
Endelig er det anført, at A ved fremsendelsen af USB nøglen til klager var af den opfattelse, at klager havde modtaget samtlige oplysninger, som klager havde søgt indsigt i. De øvrigt oplysninger, som klager har henvist til, er slettet, idet de var ældre end et år.
2. Datatilsynet skal herefter udtale
2.1.
Persondataloven gælder ifølge lovens § 1, stk. 1, for behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling, og for ikke-elektronisk behandling af personoplysninger, der er eller vil blive indehold i et register.
2.2.
Ifølge persondatalovens § 31, stk. 1, skal den dataansvarlige efter begæring fra en person give meddelelse om, hvorvidt der behandles oplysninger om vedkommende. Behandles sådanne oplysninger, skal der på en let forståelig måde gives meddelelse om, hvilke oplysninger der behandles, behandlingens formål, kategorierne af modtagere af oplysningerne og tilgængelig information om, hvorfra disse oplysninger stammer.
Det er uden betydning for den registreredes ret til indsigt efter persondatalovens § 31, at det formodes, at den registrerede allerede er bekendt med de oplysninger, der søges indsigt i.
Herudover følger det af persondatalovens § 31, stk. 2, at den dataansvarlige snarest skal besvare en begæring om indsigt, og såfremt den ikke er besvaret inden 4 uger efter modtagelsen, skal den dataansvarlige underrette den pågældende om grunden hertil, samt om, hvornår afgørelsen kan forventes at foreligge.
2.3.
Efter en gennemgang af sagen finder Datatilsynet, at A’s håndtering af klagers indsigtsanmodning ikke har været i overensstemmelse med persondataloven.
Datatilsynet må i den forbindelse konstatere, at klager anmodede A om indsigt den 28. maj 2013, samt at A først besvarede anmodningen ved fremsendelsen af en USB nøgle den 24. september 2015, altså mere end to år efter indsigtsanmodningen.
A har henvist til en administrativ fejl som en begrundelse for den sene fremsendelse. Datatilsynet må imidlertid konstatere, at der i forbindelse med sagens behandling er fremsendt to henvendelser fra klager samt en høring og adskillelige rykkere fra Datatilsynet, førend der blev fremsendt et svar fra A på klagers indsigtsanmodning.
Datatilsynet må desuden lægge til grund, at den sene besvarelse har afskåret klager fra at få afprøvet, om hans ønske om indsigt i yderligere oplysninger var berettiget, idet disse i mellemtiden er blevet slettet.
På denne baggrund finder Datatilsynet det samlet set meget kritisabelt, at A ikke har overholdt persondataloven i forbindelse med virksomhedens håndtering af klagers indsigtsanmodning.
Datatilsynet skal på denne baggrund anmode A om at oplyse, hvorvidt virksomheden vil tage initiativer til at sikre, at persondatalovens regler om indsigt fremover overholdes i virksomheden. En beskrivelse af de skridt, der måtte blive taget, ønskes i den forbindelse fremsendt til Datatilsynet.
3. Afsluttende bemærkninger
Datatilsynet har ved brev af dags dato orienteret klager om afgørelsen.
Datatilsynet afventer herefter svar fra A.
Datatilsynet skal for god ordens skyld oplyse, at tilsynet forventer at offentliggøre dette brev på sin hjemmeside
1 Lov nr. 429 af 31. maj 2000 med senere ændringer