Et omfattende antal billeder – knap 500.000 – af navnlig børn og unge var at finde på virksomhedens Facebookside. Billederne, som var fra 2013 og frem, var taget til fester og lignende arrangementer primært ved brug af selfiekamera.
Datatilsynet fandt i sagen, at det samtykke, som personerne på billederne havde givet, ikke i tilstrækkelig grad levede op til kravene om, at et samtykke skal være informeret, specifikt og frivilligt. Datatilsynet fandt også, at virksomheden ikke havde iagttaget reglerne om oplysningspligt forsvarligt. Epic Booking fik derfor et påbud om at fjerne billeder fra Facebooksiden, som var behandlet i strid med databeskyttelsesreglerne.
Derudover fandt Datatilsynet, at det var i strid med princippet om opbevaringsbegrænsning, at Epic Booking ikke havde fastsat en konkret slettefrist. Den manglende slettefrist betød, at billederne som udgangspunkt ville være offentliggjort uden tidsbegrænsning.
Efter Datatilsynet vurdering skal der ved fastsættelse af slettefrister tages hensyn til de afbillede personer og den særlige beskyttelse, som børn og unge nyder efter databeskyttelsesreglerne. Datatilsynet vurderede på den baggrund, at en frist på maksimalt 60 dage vil være tilstrækkelig til at opfylde kundernes behov for at tilgå billederne. Tilsynet gav derfor Epic Booking et påbud om at fastsætte en slettefrist på maksimalt 60 dage for billeder, der fremover offentliggøres på virksomhedens Facebookside.
Vil du vide mere?
Læs afgørelsen her.
Du kan også læse mere om samtykke her eller høre vores podcast om emnet.