Journalnummer: 2016-216-0569
1. Datatilsynet vender hermed tilbage til sagen, hvor to forældre (herefter K1 og K2) har klaget til Datatilsynet over, at ledelsen på Strandmølleskolen den 6. november 2015 gennemgik søgehistorikken på deres sønners private pc’er og/eller tablets.
Efter anmodning fra Datatilsynet har Strandmølleskolen ved breve af 18. marts, 12. august og 14. september 2016 udtalt sig til sagen.
2. Sagens omstændigheder
2.1. Det fremgår af sagen, at skoleleder AS og viceinspektør LB fredag den 6. november 2015 afbrød undervisningen i en 7. klasse og bad klassens tilstedeværende 9 drenge om at følge med ind i et tilstødende lokale. Skoleledelsen bad samtidig drengene om at medbringe deres private pc’er og/eller tablets, som eleverne i 7. klasse anvender i skoletiden til undervisningsformål.
Endvidere fremgår det af sagen, at skoleledelsen efterfølgende gennemgik søgehistorikken på de 9 drenges pc'er og/eller tablets med henblik på en konstatering af, om drengene inden for den sidste uge havde besøgt hjemmesider med pornografisk indhold. Gennemgangen af elevernes søgehistorik var ikke varslet på forhånd, ligesom skolen heller ikke på forhånd havde indhentet samtykke fra drengenes forældre.
Efter ovenfornævnte episode rettede K2 – som er far til en af de elever, der blev taget til side – henvendelse til Strandmølleskolen og bad om en redegørelse for episoden.
Som følge af anmodningen fra K2 valgte skoleledelsen ved e-mail af 10. november 2015 at sende en samlet orientering om episoden ud til samtlige forældre i 7. klassen. Der blev endvidere den 16. november 2015 afholdt et møde med forældrene til de drenge, hvis pc’er og/eller tablets var blevet undersøgt, ligesom der dagen efter den 17. november 2015 blev afholdt et møde på skolen med drengene, hvor deres forældre ikke deltog.
2.2. Der blev på Strandmølleskolens initiativ – efter, at skolen havde modtaget klager over episoden fra enkelte forældre – også iværksat en undersøgelse af episoden den 6. november 2015 ved advokat JB. Resultatet af advokatens undersøgelse blev sendt til skolen ved brev af 19. januar 2016.
Af advokatundersøgelsen fremgår det bl.a., at advokaten i forbindelse med undersøgelsen har gennemgået sagens skriftlige materiale samt afholdt samtaler med tre af de elever, der deltog i episoden den 6. november 2015. De øvrige 6 elever, der var en del af episoden, ønskede ifølge advokaten ikke at tale med den pågældende.
I advokatundersøgelsen konkluderer advokaten bl.a., at der ikke findes regler inden for de frie skoler, der regulerer, i hvilket omfang en ansat på en fri skole kan konfiskere, tilbageholde eller undersøge edb-udstyr tilhørende elever. Det er derfor ifølge advokaten den almindelige lovgivning, der fastsætter disse grænser.
Advokaten konkluderer endvidere, at Strandmølleskolen i forbindelse med episoden den 6. november 2015 ikke har begået overtrædelser af gældende lovgivning, herunder persondataloven.
Samtidig er det advokatens opfattelse, at skoleledelsen med rette har adresseret et aktuelt problem, men at dette ifølge advokaten i stedet skulle være sket på en måde, så elevernes søgehistorik ikke var blevet gennemgået, eller at søgehistorikken kun var blevet gennemgået med elevernes og forældrenes ubetingede accept.
Endelig konkluderer advokaten i sin undersøgelse, at forældre, herunder K1, i forbindelse med sagen, har fremsat udtalelser over for skoleledelsen/bestyrelsen, der udgør en overtrædelse af straffelovens § 267 om ærekrænkelser.
2.3. Strandmølleskolen valgte på baggrund af sidstnævnte konklusion i advokatundersøgelsen at lægge sag an mod K1 for overtrædelse af straffelovens § 267. Denne sag endte med, at Retten i Odense ved dom af 10. oktober 2016 dømte K1 for ærekrænkelser (injurier) mod bl.a. skoleleder AS.
Under behandlingen af ærekrænkelsessagen ved Retten i Odense har skoleleder AS bl.a. forklaret, at formålet med at undersøge drengenes søgehistorik bl.a. var, at "de måtte se, hvad der var hoved og hale på historien", efter at skoleledelsen havde fået henvendelser vedrørende pornokiggeri i timerne hos eleverne i 7. klasse.
Herudover har AS forklaret i retten, at han gennemgik søgehistorikken, og at han fremkom med eksempler på hjemmesider, som blev fundet under gennemgangen.
Det fremgår endvidere af en vidneforklaring afgivet af en mor til en af de drenge, som fik gennemgået sin søgehistorik den 6. november 2015, at hun, efter at sønnen havde fortalt hende, hvad der var sket, havde udbrudt "jamen det var jo min pc".
3. Parternes argumenter
3.1. Strandmølleskolens argumenter
3.1.1. Om baggrunden for episoden den 6. november 2015
Strandmølleskolen har anført, at skolens ledelse den 4. november 2015 blev kontaktet af en elev, der fortalte, at flere drenge fra 7. klasse i et frikvarter havde lagt en porno-side på skolens solcelle infoskærm. To af de mest aktive elever blev navngivet.
Endvidere har Strandmølleskolen anført, at skolelederen den 5. november 2015 blev kontaktet af en forælder fra 7. klasse, der via sit barn havde hørt om episoden, og vedkommende havde i den forbindelse talt med flere andre forældre, der havde bekræftet et andet problem, nemlig at de havde hørt, at der blev set porno i frikvartererne og også nogle gange i timerne, hvilket blev opfattet som ubehageligt af eleverne.
Strandmølleskolen har herudover anført, at skolelederen den 6. november 2015 blev kontaktet af samme forælder, der denne gang oplyste, at vedkommende var blevet kontaktet af forældrene til en elev i 7. klasse, der fortalte, at vedkommendes barn ikke syntes, det var særlig rart at blive konfronteret med porno i timerne.
3.1.2. Om selve episoden den 6. november 2015
Om selve episoden den 6. november 2015 har Strandmølleskolen anført, at skolelederen og viceinspektøren, 10 minutter før undervisningstimen var slut, gik over i den omhandlede 7. klasse og bad drengene, der var til time, om at følge med over i fysiklokalet, der støder op til klasselokalet.
Med hensyn til forløbet i fysiklokalet har skolen bl.a. anført, at eleverne som indledning til mødet blev bedt om at åbne deres søgehistorik. Ingen af eleverne spurgte ifølge Strandmølleskolen hvorfor, og ingen elever udviste modvilje eller betænkeligheder mod at åbne søgehistorikken. Skolen har endvidere anført, at de elever, der sad med iPads, havde besvær med at finde søgehistorikken. Disse elever blev ifølge skolen derfor hjulpet af andre af eleverne eller af skoleledelsen. Sammen med enkelte elever kiggede skoleledelsen på dele af deres søgehistorik. Strandmølleskolen har i den forbindelse anført, at der ikke blev taget kopi af søgehistorikken, ligesom der ikke blev skrevet noget ned eller gået ind på nogle af de hjemmesider, der fremgik af søgehistorikken. Ifølge skolen blev det ved samme lejlighed drøftet med eleverne, at de skal være opmærksomme på, at man sætter sig elektroniske spor.
For så vidt angår resultatet af gennemgangen af søgehistorikken har Strandmølleskolen anført, at der ikke blev fundet noget, der tydede på at være pornohjemmesider eller andre hjemmesider med mistænkeligt indhold, hvorfor mødet blev afsluttet. Hele episoden anslås af skolen til at have varet 10-15 minutter.
3.1.3. Strandmølleskolens besvarelse af Datatilsynets spørgsmål
Strandmølleskolen har bl.a. anført, at skolen bestrider, at søgehistorikken er blevet gennemgået, systematiseret eller behandlet, men at det ikke kan udelukkes, at skoleledelsen har set den pågældende elevs (K1’s søns) søgehistorik.
Endvidere har skolen gjort gældende, at de oplysninger, der fremgik af søgehistorikken ikke blev gennemgået. I samme forbindelse har skolen anført, at det ikke er afklaret, hvad man ville have gjort, hvis søgehistorikken havde vist, at der havde været opkobling til en hjemmeside med pornografisk indhold.
I forhold til det gennemgåede udstyrs private karakter har Strandmølleskolen anført, at skolen tog i betragtning, at der var tale om privatejet udstyr, men at der ikke har været praksis for at opfatte det medbragte udstyr som privat, forstået som en begrænsning.
Strandmølleskolen har endvidere anført, at der er stor forskel på elevernes it-kompetencer, og at det mange gange er nødvendigt for skolens ansatte at hjælpe eleverne, f.eks. således, at man overtager og anvender elevens udstyr, udfører fjernsupport eller lignende.
Herudover har Strandmølleskolen anført, at det ikke blev taget i betragtning, at søgehistorikken også kan omfatte søgninger foretaget uden for skoletiden.
I forhold til 7. klasseelevernes alder har Strandmølleskolen anført, at det blev taget i betragtning, at der var tale om børn, herunder børnenes alder og udviklingstrin. Skolen har i den forbindelse gjort gældende, at eleverne på dette alderstrin fuldt ud er klar over, hvad der er acceptabel adfærd på internettet i skoletiden. Efter Strandmølleskolens opfattelse havde visse af eleverne overskredet grænserne for acceptabel adfærd, hvorfor der efter skolens opfattelse var behov for en pædagogisk korrektion. Henset til elevernes alder og bevarelsen af det gode sociale miljø i klassen blev mødet ifølge Strandmølleskolen i øvrigt gennemført som en samlet pædagogisk samtale, jf. også nedenfor.
3.1.4. Formålet med gennemgangen af drengens søgehistorik
Strandmølleskolen har gjort gældende, at mødet med drengene fra 7. klasse den 6. november 2015 havde en række formål.
Det primære formål var ifølge skolen at give drengene en løftet pædagogisk pegefinger, et alternativ til en skideballe, således at det blev gjort klart for de pågældende, at det at se porno i skoletiden, at manipulere andres pc’er til at vise porno og at vise porno til andre elever, var uacceptabelt. Et andet pædagogisk formål var ifølge skolen, at den løftede pegefinger skulle ske samlet således, at man ikke hængte enkelte af drengeeleverne ud, uanset at man havde modtaget indberetninger, hvor visse af eleverne var blevet identificeret. Endvidere havde mødet ifølge skolen til formål at gøre eleverne bevidste om deres søgehistorik, idet et af elementerne i sagen var såkaldte ”pranks”, hvor eleverne var gået ind på klassekammeraternes pc’er eller tablets og havde foretaget søgninger på pornohjemmesider, uden at den pågældende var klar over det.
Om hvorfor det alene var drengene, der blev indkaldt til møde, har skolen anført, at de forudgående indberetninger til skolelederen klart indikerede, at det var visse drenge i 7. klasse, der havde en overdrevet interesse i forhold til at gå ind på pornohjemmesider i skoletiden.
3.1.5. Saglighed og proportionalitet – persondatalovens § 5, stk. 2 og stk. 3
Strandmølleskolen har anført, at det er skolens opfattelse, at det er sagligt og proportionalt, at skolen gennemgik informationer på elevernes private pc'er og/eller tablets, jf. betingelserne i persondatalovens § 5, stk. 2 og 3. Skolen har samtidig anført, at persondatalovens § 5, stk. 2 og 3, ikke umiddelbart findes at rumme en situation, som den omhandlede.
Strandmølleskolen har anført, at oplysningerne ikke som sådan blev gennemgået, idet alene søgehistorikken blev åbnet. Efter Strandmølleskolens opfattelse indeholder en søgehistorik kun i meget begrænset omfang informationer som sådan. Det er således ofte meget svært at vide, hvad et link dækker over, medmindre man følger linket, hvilket skoleledelsen ikke gjorde.
Om nødvendigheden af gennemgangen har Strandmølleskolen gjort gældende, at episoden den 4. november 2015, de oplysninger skolelederen havde modtaget fra elever, og de oplysninger/klager, skolelederen havde modtaget fra forældre, efter skolens opfattelse gjorde det relevant at få stoppet elevernes uacceptable søgning på og fremvisning af pornohjemmesider i skoletiden.
3.1.6. Samtykke og forudgående information
Strandmølleskolen har oplyst, at drengenes forældre ikke havde givet udtrykkeligt samtykke til, at skolen måtte gennemgå søgehistorikken. I den forbindelse har skolen anført, at eleverne blev bedt om at åbne deres søgehistorik, hvilket blev taget som et udtryk for et samtykke.
Endvidere har Strandmølleskolen oplyst, at skolen heller ikke havde givet forudgående information til elever og forældre om, at gennemgang af private pc'er og/eller tablets ville kunne finde sted, ligesom skolen ikke som sådan har en formuleret it-politik.
Herudover har Strandmølleskolen peget på, at alle elever og forældre er vidende om, at en lærer ofte ser eleven over skulderen, når man arbejder med medbragt it-udstyr i undervisningssituationer, ligesom læreren ofte er nødt til at overtage elevernes it-udstyr for at hjælpe med problemer mv.
3.1.7. Interesseafvejningsreglen i persondatalovens § 6, stk. 1, nr. 7
Strandmølleskolen har anført, at åbningen af søgehistorikken var et pædagogisk tiltag, der indeholdt både en advarsel og en information til mindre it-kyndige elever, herunder elever, der var ofre for kammeraternes "spøg". Åbningen af søgehistorikken var således blot en ubetydelig del af formålet med episoden.
Strandmølleskolen har endvidere anført, at skoleledelsen aldrig har haft til hensigt at snage eller udstille elevernes seksualitet, ligesom skolen ikke finder, at håndteringen af forløbet var ydmygende eller krænkende. Ifølge skolen står to forældre alene med disse påstande, og de interviews med elever/forældre, der var en del af advokatundersøgelsen, har bekræftet skolen i, at der intet hold er i disse klager set fra elevernes synspunkt.
I den forbindelse bemærker Strandmølleskolen, at episoden medførte, at drengene i 7. klasse efterfølgende holdt et møde, hvor de blev enige om, at visning/søgning på pornohjemmesider i skoletiden var uacceptabelt, ligesom det var uacceptabelt at foretage sådanne søgninger på kammeraternes it-udstyr.
Hvis det at åbne søgehistorikken findes at være omfattet af persondatalovens regler, er det Strandmølleskolens opfattelse, at dette i så fald har været inden for det efter persondataloven tilladelige, når der henses til episodens pædagogiske hovedformål.
Endelig har Strandmølleskolen oplyst, at den finder, at episoden var en uhensigtsmæssig måde at angribe et konkret og relevant problem på. Den manglende hensigtsmæssighed er årsagen til, at skolen efterfølgende har beklaget episoden over for elever og forældre, ligesom skolen fremover vil ændre praksis, hvilket også vil komme til at fremgå af skolens it-politik.
3.1.8. Strandmølleskolens konklusioner
Efter bl.a. at have rådført sig med en advokat er det Strandmølleskolens opfattelse, at den indgivne klage intet har at gøre med en påstået overtrædelse af persondataloven, herunder en påstået krænkelse af en elev/elever.
Når samtlige forhold indregnes, er det således skolens opfattelse, at episoden den 6. november 2015 ikke indebærer en overtrædelse af persondataloven. Dette skyldes navnlig, at advokaten vurderer, at episoden afviger fra lignende episoder behandlet i retspraksis og ikke umiddelbart synes at kunne indpasses i persondatalovens system.
Endvidere har Strandmølleskolen anført, at episoden alene havde et pædagogisk formål i forhold til elevernes uacceptable adfærd i skoletiden. Alternativet havde været en kollektiv skideballe eller samtaler med enkelte elever og/eller deres forældre. Selvom det set retrospektivt er korrekt, at skoleledelsen har set på elevernes søgehistorik, uden at man i den forbindelse kunne udlede noget af dette, så afviser Strandmølleskolen, at der konkret er sket krænkelse af eleverne.
Strandmølleskolen har tillige anført, at skolens efterfølgende beklagelse overfor elever og forældre skyldes, at det ikke med sikkerhed kan afvises, at en elev kunne føle det grænseoverskridende at skulle åbne sin søgehistorik. En sådan tvivl må ifølge skolen altid komme eleverne til gode, og derfor burde forældrene som minimum være inddraget.
Herudover har Strandmølleskolen gjort gældende, at det henset til episodens pædagogiske hovedformål sammenholdt med dens ubetydelige bivirkning er skolens opfattelse – såfremt det lægges til grund at persondataloven finder anvendelse – at betingelserne i persondatalovens § 6, stk. 1, nr. 7, er opfyldt. Strandmølleskolen har yderligere oplyst, at den finder, at tilsvarende gør sig gældende i relation til persondatalovens § 5, stk. 3.
Endelig har skolen gjort gældende, at K1’s subjektive vurdering af, "hvordan drengene oplevede det", afviger markant fra det indtryk, som advokatundersøgelsen efterlod i forhold til de drenge og forældre, der valgte at deltage i undersøgelsen.
3.2. K1’s argumenter
K1 har bl.a. anført, at han ikke kan forestille sig, at forløbet er i overensstemmelse med persondataloven. Han ønsker derfor Datatilsynets vurdering af sagen med henblik på at have grundlag for at beskytte børnene mod tilsvarende overgreb fremadrettet.
K1 har endvidere anført, at Strandmølleskolens svar i sagen indeholder faktuelt forkerte postulater, der på ingen måde er underbygget eller dokumenteret, og som samtidig ikke er af relevans for det, som sagen drejer sig om. I den forbindelse har K1 bl.a. peget på:
- At solcellesagen intet har med drengenes søgehistorik at gøre.
- At skolelederens udsagn om, at der har været henvendelser fra børn og forældre om pornokiggeri, er udokumenteret.
- At det påståede og udokumenterede pornokiggeri i klassen var skoleledelsen bekendt ca. fire uger inden den 6. november 2015, hvilket skolelederen og viceinspektøren selv oplyste på et møde med drengenes forældre den 16. november 2015.
- At hvis pornokiggeri reelt var et stort problem, så ville klasselæreren eller berørte forældre have taget kontakt til de relevante forældre og løst problemet, nøjagtig som man har for vane at løse problemer i forældregruppen i 7.A, og som i øvrigt er beskrevet i de retningslinjer for håndtering af samarbejde med forældrene, i de bilag Strandmølleskolen fremsendte til Undervisningsministeriet som redegørelse for sagen.
- At skolelederens ringe dømmekraft fik ham til at misbruge sin personlige autoritet til at gennemtvinge ”ransagningen” den 6. november 2015, som var helt ude af proportioner med den forseelse, som han undskylder sig med.
- At formålet med Strandmølleskolens indledning i skolens svar af 1. marts 2016 til Datatilsynet er at lægge slør og fjerne fokus fra det, som K1’a klage faktisk handler om, herunder at få Datatilsynets ord for, at Strandmølleskolens ”ransagning” af drengenes søgehistorik var et brud på persondataloven.
- At børn og unge efterlades i en helt uacceptabel situation, hvis voksne med skolelederens og viceinspektørens børne- og menneskesyn kan trænge ind på børn og unges mest private og intime enemærker efter for godt befindende, og derved overskride børnenes blufærdighedsgrænser.
Herudover har K1 anført, at han anser den intimiderende trussel om at snage i, og implicit udstille, pubertet–drenges seksualitet for ydmygende, krænkende og ulovlig i forhold til bl.a. persondataloven. K1 finder ligeledes, at Strandmølleskolen ved at sammenblande episoderne med henholdsvis solcellesagen og det påståede pornokiggeri får drengenes adfærd til at fremstå grovere, end det reelt er.
Med hensyn til selve episoden har K1 bl.a. gjort gældende, at drengene ikke har haft mulighed for at sige fra, at ”ransagningen” skete uvarslet og uden accept fra drengene og deres forældre, at skolelederen og viceinspektøren systematisk overtog betjeningen af pc’erne, at skolelederen og viceinspektøren højlydt kommenterede på de hjemmesider, der fremgik af søgehistorikken, og at flere af drengene efterfølgende har fortalt, at ransagningen fandt sted i en aggressiv tone uden forsøg på dialog.
For så vidt angår gennemgangen af søgehistorikken har K1 endvidere anført, at et hurtigt blik på åbningssiden i en søgehistorik giver et omfattende og detaljeret billede af de seneste 20-25 internetsites, som den pågældende har besøgt. Det er således efter K1’s opfattelse på ingen måde nødvendigt at åbne et link for at skaffe sig viden om karakteren af det underliggende site, da et link i sig selv meget tydeligt og detaljeret informerer herom.
Når skolelederen og viceinspektøren scrollede ned gennem flere døgns private søgehistorik, har de ifølge K1 således uretmæssigt skaffet sig adgang til viden om drengenes (og andres) meget private og intime forhold, som f.eks. politisk interesse, omgangskreds, seksuel orientering, bankforhold, personlige interesser og lign. Forældrene og deres sønner har ifølge K1 dermed ufrivilligt og uvidende været udsat for, at skolelederen og viceinspektøren har tiltvunget sig adgang til, og muligvis fået indsigt i, de dybeste og mest fortrolige personlige informationer om dem.
K1 har tillige gjort gældende, at hverken skolelederen eller viceinspektøren havde forberedt sig på, hvad de ville gøre, hvis de fandt pornografisk, privat, fortroligt eller andet relevant materiale.
Endvidere har K1 anført, at de pågældende drenge er særdeles kyndige IT-brugere, der på ingen måde har behov for hjælp eller vejledning til noget så banalt som at åbne eller scrolle i en webbrowser.
K1 har endelig anført, at hans beskrivelse af episoden den 6. november 2015 bygger på enslydende udsagn fra tre af de drenge, som var til stede under episoden.
3.3. K2’s argumenter
Udover at tilslutte sig K1’s klage har K2 selvstændigt påpeget, at hans søn, og de øvrige drenge i 7. klassen, er blevet udsat for et usædvanligt groft magtmisbrug.
K2’s største bekymring er dog lovbruddet ved ”ransagningen” af private data og den gentagne mangel på dømmekraft hos skoleleder AS.
Herudover har K2 anført, at skoleledelsen, på mødet den 16. november 2016 med forældrene, har forklaret, at de slet ikke havde tænkt på, at det var ulovligt, og at de ikke havde vurderet konsekvenserne.
På mødet kom det ifølge K2 endvidere frem, at skolen tilsyneladende havde haft mistanke om pornokiggeri i ca. 1 måned, uden at have foretaget sig noget. K2 har i den forbindelse anført, at skoleledelsen – i stedet for at orientere forældrene eller tale med børnene om, at der muligvis var et problem – tog sagen i egen hånd.
4. Datatilsynet skal – efter at sagen har været behandlet i Datarådet – udtale følgende:
4.1. Sagen har givet Datatilsynet anledning til at vurdere, hvorvidt der med Strandmølleskolens gennemgang af elevernes søgehistorik er sket en behandling af personoplysninger omfattet af persondatalovens1 anvendelsesområde.
4.1.1. Personoplysninger?
Ifølge persondatalovens § 1, stk. 1, gælder loven bl.a. for behandling (f.eks. registrering eller videregivelse) af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling.
Af lovens § 3, nr. 1, fremgår, at der ved personoplysninger forstås enhver form for information om en identificerbar eller identificeret person. Af forarbejderne2 til bestemmelsen følger, at der ved udtrykket identificerbar person skal forstås en person, der direkte eller indirekte kan identificeres. Det følger endvidere, at ved afgørelsen af, om en person er identificerbar, skal alle de hjælpemidler, der med rimelighed kan tænkes bragt i anvendelse, tages i betragtning.
I forbindelse med et spørgsmål vedrørende lovligheden af en arbejdsgivers registrering af medarbejdernes besøg på hjemmesider på internettet, har Datatilsynet tidligere udtalt3, at der efter tilsynets opfattelse vil være tale om personhenførbare oplysninger omfattet af persondatalovens § 3, nr. 1, hvis det f.eks. ved hjælp af oplysninger i loggen (logfilen) sammenholdt med oplysninger om brugernavn og/eller pc-nummer vil være muligt at finde oplysninger om, hvilke sider på internettet den enkelte medarbejder har besøgt.
Efter Datatilsynets opfattelse indeholder søgehistorikken på en pc eller en tablet, hvorigennem det vil være muligt at finde oplysninger om, hvilke hjemmesider på internettet den enkelte elev eller andre brugere af en pc eller tablet har besøgt, personoplysninger omfattet af persondataloven, jf. persondatalovens § 3, nr. 1, jf. § 1, stk. 1.
Datatilsynet lægger herved vægt på, at det vil være muligt at identificere den eller de personer, som oplysningerne vedrører, f.eks. hvis man er bekendt med, hvem der benytter pc’en. Det ændrer ikke herpå, at der kan være flere mulige brugere af pc’en. Tilsynet lægger herved bl.a. vægt på, at det med oplysningen om, at der er tale om privat medbragte pc’er, må kunne lægges til grund, at der formentlig er tale om en relativ snæver kreds af personer, herunder personer i elevens husstand, der må forventes at være de primære brugere af den pågældende pc eller tablet.
4.1.2. Behandling omfattet af persondataloven?
Det fremgår af persondatalovens § 3, nr. 2, at der ved behandling forstås enhver operation eller række af operationer med eller uden brug af elektronisk databehandling, som oplysninger gøres til genstand for. Af bemærkningerne til § 3, nr. 2, fremgår, at begrebet dækker enhver form for håndtering af oplysninger, således bl.a. indsamling, registrering og brug.
Som det fremgår ovenfor under punkt 3.1.3. har Strandmølleskolen bestridt, at elevernes søgehistorik er blevet gennemgået, systematiseret eller behandlet. Strandmølleskolen har dog samtidig anført, at det ikke kan udelukkes, at skoleledelsen har set elevernes søgehistorik. Endvidere har skolen anført, at søgehistorikken blev åbnet, og at der blev kastet et blik på denne. Skolen har samtidig oplyst, at der ikke blev gennemgået oplysninger, som sås på søgehistorikken.
Datatilsynet har imidlertid noteret sig, at skolelederen i forbindelse med den ovenfor under afsnit 2.3. nævnte retssag har forklaret, at han gennemgik søgehistorikken, ligesom han fremkom med eksempler på hjemmesider, som blev fundet i forbindelse med gennemgangen.
Datatilsynet anser på denne baggrund den skete læsning eller gennemgang af 9 elevers søgehistorik den 6. november 2015 som en behandling af personoplysninger omfattet af persondataloven, jf. persondatalovens § 3, nr. 2. Der er efter tilsynets opfattelse tale om en behandling, uanset om skoleledelsen alene har kigget på elevernes søgehistorik uden samtidig at have overtaget betjeningen af elevernes pc'er og/eller tablets.
4.2. Var behandlingen lovlig?
4.2.1. Datatilsynet lægger til grund, at Strandmølleskolen som selvejende institution4 er dataansvarlig for den behandling af personoplysninger, som skolen foretog i forbindelse med episoden den 6. november 2015.
Ved at foretage en gennemgang af elevernes søgehistorik på elevernes privatejede pc’er og tablets foretog Strandmølleskolens ledelse – efter Datatilsynets opfattelse – elektronisk behandling af personoplysninger omfattet af persondataloven, jf. persondatalovens § 1, stk. 1, jf. afsnit 4.1.1. ovenfor.
Datatilsynet lægger i den forbindelse til grund, at der med den omhandlede gennemgang af elevernes søgehistorik er tale om en behandling af almindelige ikke-følsomme personoplysninger, som skal ske i overensstemmelse med persondatalovens § 6.
Datatilsynet har herved lagt vægt på, at der ifølge det af skolen oplyste ikke blev fundet noget i de gennemgåede søgehistorikker, der tydede på at være pornohjemmesider eller andre hjemmesider med mistænkeligt indhold.
Behandling af almindelige personoplysninger kan bl.a. ske, hvis den registrerede har givet sit udtrykkelige samtykke hertil, jf. § 6, stk. 1, nr. 1, eller hvis behandlingen er nødvendig for, at den dataansvarlige eller den tredjemand, til hvem oplysningerne videregives, kan forfølge en berettiget interesse og hensynet til den registrerede ikke overstiger denne interesse, jf. § 6, stk. 1, nr. 7.
Det må i denne sag lægges til grund, at Strandmølleskolen ikke har indhentet et udtrykkeligt samtykke fra elverne og/eller elevernes forældre. Behandlingen (gennemgangen af søgehistorikken) skal derfor vurderes efter persondatalovens § 6, stk. 1, nr. 7.
Behandlingen skal endvidere leve op til de grundlæggende principper i lovens § 5.
Af persondatalovens § 5, stk. 1, fremgår, at oplysninger skal behandles i overensstemmelse med god databehandlingsskik.
Endvidere følger det af § 5, stk. 2, at indsamling af oplysninger skal ske til udtrykkeligt angivne og saglige formål, og senere behandling må ikke være uforenelig med disse formål.
Oplysninger, som behandles, skal tillige være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles, jf. § 5, stk. 3. Bestemmelsen fastsætter bl.a., at den dataansvarliges behandling af oplysninger er undergivet et proportionalitetsprincip. Behandling af oplysninger må således ikke gå videre, end hvad der kræves til opfyldelse af de formål, som den dataansvarlige er berettiget til at forfølge.
4.2.2. For at gennemgangen af de 9 elevers søgehistorik var lovlig kan efter Datatilsynets opfattelse tale, at Strandmølleskolen har gjort gældende, at skolen, efter at have modtaget henvendelser fra både elever og forældre vedrørende søgning på hjemmesider med pornografisk indhold, ønskede at få sat en stopper for dette, bl.a. fordi det af flere af de andre elever blev opfattet som ubehageligt, ligesom skolen anså det skete for uacceptabel adfærd på skolens internet i skoletiden. I samme forbindelse har Strandmølleskolen anført, at eleverne på det pågældende alderstrin (7. klasse) fuldt ud er klar over, hvad der er acceptabel adfærd på internettet i skoletiden.
Herudover kan det tale for gennemgangens lovlighed, at Strandmølleskolen har anført, at det primære formål med at åbne søgehistorikken var et led i en pædagogisk samtale, en løftet pegefinger, således, at det blev gjort klart for de pågældende drenge, at det er uacceptabelt at se porno og vise porno til andre elever i skoletiden. Åbningen af søgehistorikken var ifølge skolen en ubetydelig del af formålet med episoden, og eleverne var udmærket klar over, at episoden var udtryk for en løftet pegefinger. Det må imidlertid også tages i betragtning, at skolelederen i retten har forklaret, at formålet med gennemgangen var at belyse, ”hvad der var hoved og hale på historien”.
Strandmølleskolen afviser endvidere, at der er foregået noget ydmygende eller krænkende i skolens håndtering af forløbet. Skolen anfører dog samtidig, at det ikke kan afvises, at en elev kunne føle det grænseoverskridende at skulle åbne sin søgehistorik, hvorfor elevernes forældre som minimum burde have været inddraget.
Endvidere fremgår det af sagen, at skolelederen og viceinspektøren alene så på søgehistorikken (oversigten) uden at gå ind på de pågældende hjemmesider, ligesom der ikke blev foretaget en videre behandling af oplysningerne, herunder skrevet notater, taget kopier eller lignende. Skolen har i den forbindelse bemærket, at søgehistorikken – isoleret set – kun i meget begrænset omfang indeholder informationer som sådan, og at det således ofte er meget svært at vide, hvad et link dækker over, medmindre man følger dette.
Strandmølleskolen har endvidere anført, at persondatalovens § 6, stk. 1, nr. 7, er opfyldt, henset til episodens pædagogiske hovedformål sammenholdt med den ubetydelige bivirkning.
Imod at gennemgangen af de 9 elevers søgehistorik var lovlig kan det derimod - efter Datatilsynets opfattelse - tale, at der var tale om gennemgang af søgehistorik på elevernes privatejede udstyr, og at i hvert fald én af de involverede forældre i forbindelse med sagen har oplyst, at det var søgehistorikken på hendes pc, der blev gennemgået af skolens ledelse den 6. november 2015.
Det fremgår endvidere, at K1 har anført, at han finder det ekstremt blufærdighedskrænkende for en dreng på 13 år, at blive fremstillet i en sådan situation foran skoleleder, viceinspektør og klassekammerater. K1 mener i den forbindelse, at skolens ledelse, ved at trænge ind på drengens mest private og intime enemærker har overskredet drengenes blufærdighedsgrænser.
Efter Datatilsynets opfattelse må det ved vurderingen af den skete behandling bl.a. tages i betragtning, at der var tale om udstyr i privat eje, og dermed ikke udstyr, som skolen havde ejendomsret eller rådighed over.
Det må endvidere tages i betragtning, at søgehistorikken på de undersøgte enheder også kunne omfatte søgninger foretaget uden for skoletiden, som ikke kan antages at komme skolen ved.
Endelig må det tages i betragtning, at undersøgelsen og gennemgangen var rettet mod børn i 7. klasse og indgik i en sammenhæng, hvor der blev vist interesse i at finde oplysninger om elevers eventuelle brug af udstyret til at se porno.
Under hensyntagen til disse forhold er det Datatilsynets opfattelse, at den skete behandling hverken levede op til saglighedskravet i persondatalovens § 5, stk. 2, proportionalitetskravet i lovens § 5, stk. 3, eller interesseafvejningsreglen i § 6, stk. 1, nr. 7.
Det som Strandmølleskolen har anført i sagen, kan efter tilsynets opfattelse ikke begrunde en anden konklusion.
På denne baggrund må det således konkluderes, at Strandmølleskolen har overtrådt persondatalovens § 5, stk. 2 og 3, samt § 6, stk. 1. Datatilsynet finder dette kritisabelt.
5. Afsluttende bemærkninger
Datatilsynet har ved breve af dags dato orienteret K1 og K2 om afgørelsen. Kopi af brevene vedlægges til orientering.
Datatilsynet skal for god ordens skyld oplyse, at tilsynet forventer at orientere om tilsynets afgørelse i nærværende sag på tilsynets hjemmeside.
Dette vil ske i en form, hvor navnene på de involverede personer erstattes af neutrale betegnelser.
______________________________________
1 Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med senere ændringer.
2 Forslag nr. L 147 fremsat 9. december 1999 til lov om behandling af personoplysninger
3 Datatilsynets udtalelse af 10. november 2000 i sag med j.nr.: 2000-632-0001
samt tilsynets udtalelse af 19. september 2000 i sag med j.nr.: 2000-631-0001.
4 Se Strandmølleskolens vedtægter.