Journalnummer: 2019-31-2316
Resumé
Datatilsynet har den 18. maj 2020 truffet afgørelse i en sag, hvor en tidligere medarbejder klagede over DMR A/S’ manglende sletning af videooptagelser og billeder af ham, som indgik i en række film på virksomhedens hjemmeside, virksomhedens Facebookside og Youtube.
Datatilsynet fandt, at DMR A/S ikke uden unødig forsinkelse havde slettet oplysningerne om den tidligere medarbejder, da den tidligere medarbejder ved sine henvendelser om sletning til DMR A/S måtte anses for at have trukket sit samtykke til behandlingen tilbage, og da DMR A/S ikke umiddelbart herefter slettede oplysningerne, jf. databeskyttelsesforordningens artikel 17, stk. 1, litra b.
I afgørelsen lagde Datatilsynet vægt på, at den tidligere medarbejder over for DMR A/S oplyste, at han ønskede videomaterialet slettet, og at DMR A/S efterfølgende tilkendegav, at DMR A/S på den baggrund ville klippe ham ud af alle film. Endvidere lagde Datatilsynet vægt på, at den tidligere medarbejder fremgik af DMR A/S’ film på Youtube og DMR A/S’ hjemmeside efter, at DMR A/S havde oplyst over for ham, at han nu var klippet ud af medarbejderfilmen.
Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor [klager] den 27. september 2019 har klaget til tilsynet over, at DMR A/S (Dansk Miljørådgivning) ikke har slettet optagelser og billeder af ham, som indgår i en række film, der fremgår af DMR A/S’ hjemmeside, Facebook-side og på Youtube.
1. Afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale alvorlig kritik af, at DMR A/S’ behandling af klagers anmodning om sletning ikke er sket i overensstemmelse med databeskyttelsesforordningens[1] artikel 17, stk. 1.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Det fremgår af sagen, at da klager var ansat hos DMR A/S deltog han i en række film, som DMR A/S optog til brug for markedsføring.
Klager underskrev den 7. juni 2018 en samtykkeerklæring til offentliggørelse af billeder og videoer. Klager havde krydset af, at han gav tilladelse til, at DMR A/S benyttede videooptagelser af ham til brug på virksomhedens hjemmeside, i foldere, nyhedsbreve eller andet eksternt målrettet informativt materiale.
Filmene, hvori klager fremgik, blev lagt på DMR A/S’ hjemmeside, Youtube og efterfølgende Facebook.
Den 6. september 2019 anmodede klager DMR A/S om at fjerne en film på Youtube, hvorpå han fremgik, da klagers ansættelsesforhold med DMR A/S var ophørt. DMR A/S svarede hertil, at virksomheden ville klippe klager ud af alle film.
Klager skrev den 10. september 2019 til DMR A/S, at han fortsat ikke var blevet klippet ud af DMR A/S’ reklamefilm. DMR A/S oplyste samme dag, at virksomheden var ”i gang” og anmodede klager om at udvise tålmodighed.
DMR A/S oplyste den 17. september 2019 over for klager, at han nu var klippet ud af medarbejderfilmen, men at DMR A/S ellers ikke forventede at foretage yderligere ændringer. DMR A/S henviste i den forbindelse til den samtykkeerklæring klager havde underskrevet, hvor han havde accepteret anvendelsen af billeder og videomateriale til brug for markedsføring.
Den 20. september 2019 skrev klager, at han fandt det mærkværdigt, at DMR A/S fortsat brugte markedsføringsmateriale, hvoraf han fremgik. DMR A/S oplyste hertil, at den omtalte film var ændret, og at klager var klippet ud.
Klager henvendte sig den 27. september 2019 til Datatilsynet med en klage over manglende sletning af oplysninger om ham i videomaterialet.
Den 11. december 2019 konstaterede Datatilsynet, at klager fortsat fremgik af en video på DMR A/S’ hjemmeside og på Youtube.
DMR A/S har efterfølgende slettet oplysningerne om klager.
2.1. DMR A/S’ bemærkninger
DMR A/S har anført, at virksomheden under henvisning til klagers skriftlige samtykke fortsat betragter det som lovligt og rimeligt at anvende tekniske fagfilm selv efter ophørt ansættelse.
På baggrund af Datatilsynets henvendelse har DMR A/S dog konstateret, at klager fortrød sit samtykke. Dette har DMR A/S valgt at respektere, hvorfor fagfilmen permanent er blevet slettet fra virksomhedens kanal. DMR A/S kan dog ikke afvise, at der forefindes eksterne kopier af filmen, da filmen har været offentlig tilgængelig siden 2017.
DMR A/S har tjekket virksomhedens hjemmeside og brochurer og sikret, at der ikke er omtale eller billeder af klager.
2.2. Klagers bemærkninger
Klager har anført, at DMR A/S har lagt en film på Facebook uden hans samtykke og uden, at virksomheden har oplyst ham om det.
Klager har videre anført, at han flere gange har henvendt sig til DMR A/S for at få billerne/videoerne fjernet. DMR A/S lovede at klippe klager ud, men dette er ikke sket for så vidt angår forsidebilledet på Youtube og Facebook.
3. Begrundelse for Datatilsynets afgørelse
DMR A/S har over for Datatilsynet oplyst, at grundlaget for behandling af oplysninger om klager i markedsføringsmaterialet var samtykke.
Det følger af databeskyttelsesforordningens artikel 17, stk. 1, litra b, at den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis den registrerede trækker det samtykke, der er grundlaget for behandlingen, tilbage, og der ikke er et andet retsgrundlag for behandlingen.
Datatilsynet vurderer, at DMR A/S ikke uden unødig forsinkelse slettede oplysningerne om klager, idet klager ved sine henvendelser om sletning til DMR A/S må anses for at have trukket sit samtykke til behandlingen tilbage, og da DMR A/S ikke umiddelbart herefter slettede oplysningerne, jf. artikel 17, stk. 1, litra b.
Datatilsynet har herved lagt vægt på, at klager den 6. september 2019 over for DMR A/S oplyste, at han ønskede videomaterialet slettet, og at DMR A/S hertil samme dag oplyste, at DMR A/S på den baggrund ville klippe klager ud af alle film.
Endvidere har Datatilsynet lagt vægt på, at klager fortsat fremgik af DMR A/S’ film på Youtube og DMR A/S’ hjemmeside den 11. december 2019 på trods af, at DMR A/S den 17. september 2019 oplyste over for klager, at han nu var klippet ud af medarbejderfilmen.
På den baggrund finder Datatilsynet anledning til at udtale alvorlig kritik, af at DMR A/S’ behandling af klagers anmodning om sletning ikke er sket i overensstemmelse med databeskyttelsesforordningens artikel 17, stk. 1.
Datatilsynet har noteret sig, at DMR A/S nu har slettet oplysningerne.
Datatilsynet bemærker, at tilsynet alene har behandlet spørgsmålet om sletningen af oplysninger om klager, og at Datatilsynet hermed ikke har taget nærmere stilling til samtykkets gyldighed.
For så vidt angår de generelle betingelser for et gyldigt samtykke kan Datatilsynet til orientering henvise til Datatilsynets vejledning om samtykke, som kan findes på tilsynets hjemmeside[2].
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] Datatilsynets vejledning om samtykke