Ugyldigt samtykke og manglende sletning

Publiceret 18-05-2020
Afgørelse Private virksomheder

Datatilsynet udtaler alvorlig kritik af, at en virksomheds behandling af personoplysninger er sket uden gyldigt samtykke fra de registrerede, og at virksomheden afviste at slette personoplysninger om én af klagerne, selvom den pågældende havde trukket samtykket tilbage.

Journalnummer: 2019-31-1950

Resumé

Datatilsynet har behandlet en klage fra en række registrerede, over at virksomhed X havde offentliggjort oplysninger om to af klagerne i form af fem billeder, og at virksomheden havde afslået at slette de offentliggjorte oplysninger samt alle andre oplysninger - herunder ikke-offentliggjorte - om alle klagerne, som virksomheden var i besiddelse af.

Vedrørende offentliggørelsen har virksomhed X oplyst, at virksomheden havde offentliggjort billeder af to af klagerne på internettet, og at virksomheden havde indhentet samtykke hertil. Virksomheden oplyste, at der var indhentet skriftligt samtykke til offentliggørelsen af det første billede, mens der var indhentet mundtlige samtykker til offentliggørelse af de resterende.

Vedrørende sletning oplyste virksomhed X først, at virksomheden ikke kunne imødekomme sletningsanmodningen for det første foto, da virksomheden havde et skriftligt samtykke til offentliggørelsen. Virksomheden slettede efterfølgende billedet, fordi virksomheden blev opmærksom på, at samtykker kan trækkes tilbage. Virksomheden oplyste desuden, at foto to-fire ved en fejl ikke var blevet slettet, at virksomheden ikke ville slette foto fem fordi ingen af klagerne ses på billedet, og at virksomheden i øvrigt ikke kunne imødekomme at slette ikke-offentliggjorte oplysninger om alle klagerne, herunder navne og kontaktoplysninger, på grund af en verserende sag mellem parterne bl.a. vedrørende manglende betaling.

Datatilsynet fandt, at virksomhed X’ behandling af personoplysninger er sket uden gyldigt samtykke, fordi virksomheden ikke kunne påvise, at der var givet mundtligt samtykke, og fordi det skriftlige samtykke ikke levede op til betingelserne for et gyldigt samtykke. Datatilsynet fandt desuden, at betingelserne for sletning af billede ét var opfyldt, fordi klageren på billedet trak sit samtykke til offentliggørelsen tilbage. Datatilsynet fandt i øvrigt, at virksomhed X fortsat kunne behandle oplysninger om klagernes navne og kontaktoplysninger på grund af den verserende sag. 

Afgørelse

Datatilsynet vender hermed tilbage til sagen, hvor klager A den 20. juni 2019 har rettet henvendelse til tilsynet på vegne af hende selv, klager B, klager C og klager D (herefter klagerne) vedrørende virksomhed X’ behandling af personoplysninger.

Datatilsynet har forstået henvendelsen som en klage over offentliggørelse af billeder af klagerne D og C samt manglende sletning af disse billeder og øvrige oplysninger om alle fem klagere, herunder oplysninger om navn, adresse, telefonnummer, e-mailadresse og ikke-offentliggjorte billeder af klagerne.

Datatilsynet bemærker, at tilsynet alene kan tage stilling til databeskyttelsesretlige spørgsmål. Datatilsynet har derfor ikke med denne afgørelse taget stilling til spørgsmål om evt. økonomiske mellemværender mellem parterne. Datatilsynet har endvidere ikke taget stilling til spørgsmål om fremsendelse af markedsføringsmateriale vedr. nye kurser sendt til klagernes e-mailadresser og via Facebook-messenger.

1. Afgørelse

Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale alvorlig kritik af, at virksomhed X’ behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens[1] artikel 6, stk. 1 og artikel 17, stk. 1.

Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.

2. Sagsfremstilling

Det fremgår af sagen, at virksomhed X har offentliggjort en række billeder af klagerne D og C på virksomhedens hjemmeside og YouTube-kanal. Det fremgår endvidere af sagen, at der er uenighed mellem parterne om, hvorvidt virksomheden har haft samtykke til at offentliggøre de pågældende billeder.

Det fremgår endvidere, at klagerne har anmodet om sletning af billederne og alle andre oplysninger, som virksomheden er i besiddelse af om alle fem klagere, herunder andre ikke-offentliggjorte billeder, og oplysninger om navne, adresser, telefonnumre og e-mailadresser.

2.1. Klagernes bemærkninger

Klagerne har overordnet anført, at Virksomhed X har offentliggjort fem fotos af klagerne D og C på virksomhedens hjemmeside og YouTube-kanal uden samtykke hertil. 

Klagerne har endvidere anført, at klagerne har anmodet virksomheden om at slette de pågældende fotos og alle andre oplysninger vedrørende alle klagerne, som virksomheden er i besiddelse af, herunder billede- og videomateriale, navne, adresser, telefonnumre og e-mailadresser, men at virksomheden har afvist at imødekomme anmodningerne om sletning. 

Herudover har klagerne anført, at det efter klager C’s eget udsagn er hende, der ses på foto 5, og medmindre virksomheden kan dokumentere, at dette ikke er korrekt, ønskes dette foto fortsat slettet.

2.2. Virksomhed X’ bemærkninger

Virksomhed X har overordnet anført, at der er offentliggjort billeder af klagerne D og C på baggrund af samtykke fra disse to. Virksomheden har endvidere anført, at der er indhentet et skriftligt samtykke fra klageren D til offentliggørelsen af det i klagen omhandlede foto 1. Virksomheden har fremsendt en kopi af den pågældende samtykkeerklæring. Samtykkeerklæringen indeholder følgende tekst:

”Undertegnet deltager i en filmoptagelse som reklame for Virksomhed X, som er ejet af X.

Undertegnet giver hermed X tilladelse til at måtte bruge filmen som hun selv ønsker og på alle platforme.

Undertegnet frasiger sig sin mulighed for på nogle måder at standse filmen hvori undertegnet deltager i med sin underskrift på dette dokument.” 

For så vidt angår foto 2, 3 og 4 har virksomhed X oplyst, at disse er offentliggjort på baggrund af mundtlige samtykker. Virksomheden har til sagen oplyst, at der ved alle arrangementer i virksomheden er indhentet mundtligt samtykke fra alle deltagere til, at der blev optaget billeder og videomateriale til brug for markedsføring af virksomheden. For så vidt angår foto 5 har virksomheden anført, at billedet ikke er af klageren C.

Vedrørende sletning af de offentliggjorte billeder har virksomheden overordnet anført, at virksomheden i juni 2019 imødekom klagernes anmodninger om sletning, men at hun i den forbindelse havde overset foto 2, 3 og 4. Virksomheden har hertil oplyst, at disse nu er slettet.

Vedrørende sletning af foto 1 oplyste virksomheden til at begynde med, at virksomheden ikke ville imødekomme anmodningen om sletning af dette, da virksomheden havde indhentet et skriftligt samtykke til offentliggørelsen af dette billede. virksomheden har efterfølgende oplyst, at foto 1 også er blevet slettet, da samtykket er blevet trukket tilbage. Virksomheden fastholder fortsat afslag på sletningsanmodningen af foto 5, da det efter virksomhedens opfattelse ikke er klageren C, der ses på billedet.

Vedrørende sletning af alle øvrige oplysninger om klagerne, herunder ikke-offentliggjorte billeder og videoer samt navne, adresser, telefonnumre og e-mailadresser har virksomheden anført, at virksomheden ikke er i besiddelse af øvrigt billede- og/eller videomateriale. Virksomheden afviser endvidere at slette de øvrige oplysninger om klagerne med henvisning til, at der verserer en sag mellem parterne med spørgsmål om misligholdelse af kontrakt, manglende betaling og injurier.

3. Begrundelse for Datatilsynets afgørelse

3.1. Offentliggørelse af billeder

På baggrund af det til sagen oplyste, lægger Datatilsynet til grund, at det i klagen omhandlede foto 1 er blevet offentliggjort på baggrund af et (skriftligt) samtykke, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra a.

Datatilsynet lægger endvidere til grund, at foto 2-4 er blevet offentliggjort på baggrund af (mundtlige) samtykker fra de registrerede i medfør af databeskyttelsesforordningens artikel 6, stk. 1, litra a.

Betingelserne for et gyldigt samtykke fremgår af forordningens artikel 4, nr. 11, [2] og artikel 7.

Et samtykke skal for at være gyldigt være frivilligt, specifikt og informeret, og udtryk for en utvetydig viljestilkendegivelse. Et samtykke kan afgives både mundtligt og skriftligt. Det er dog et krav, at den dataansvarlige kan påvise, at den registrerede har givet samtykke til behandlingen af sine personoplysninger, jf. forordningens artikel 7, stk. 1. Det er med andre ord den dataansvarlige, som har bevisbyrden for, at den registrerede har givet det fornødne samtykke.

Det er endvidere et krav, at den registrerede, inden samtykke gives, skal oplyses om, at samtykket kan trækkes tilbage. Den registrerede kan på et hvilket som helst tidspunkt trække sit samtykke tilbage, og det skal være lige så let at trække sit samtykke tilbage som at give det, jf. forordningens artikel 7, stk. 3.

Et specifikt samtykke indebærer, at samtykket ikke må være generelt udformet eller uden præcis angivelse af formålene med behandlingen af personoplysninger og hvilke personoplysninger der vil blive behandlet. 

Et samtykke skal endvidere være informeret, så den registrerede er klar over, hvad der gives samtykke til. Den dataansvarlige skal med andre ord give den registrerede en række informationer, som skal sikre, at den registrerede kan træffe sin beslutning på et oplyst grundlag.

Herudover skal et samtykke være udtryk for en utvetydig viljestilkendegivelse. Det samtykke, der er givet, må således ikke give anledning til tvivl, og tavshed eller passivitet er derfor ikke tilstrækkeligt til at udgøre en utvetydig tilkendegivelse.

Datatilsynet finder efter en gennemgang af sagen, at de indhentede samtykker i denne sag ikke opfylder betingelserne i databeskyttelsesforordningens artikel 4, nr. 11, og artikel 7.

For så vidt angår det skriftlige samtykke indhentet forud for offentliggørelsen af foto 1, har Datatilsynet bl.a. lagt vægt på, at samtykkeerklæringen ikke lever op til betingelsen om at være informeret, da informationen i samtykkeerklæringen efter tilsynets vurdering er af en sådan overordnet og generel karakter, at den ikke giver tilstrækkelig information om, hvilke personoplysninger der skal behandles, i hvilken form og hvor offentliggørelsen finder sted og til hvilke(t) formål behandlingen finder sted. 

Datatilsynet har endvidere lagt vægt på, at der ikke er givet forudgående information om, at samtykket kan trækkes tilbage. Det fremgår tværtimod af samtykkeerklæringen, at de registrerede frasiger sig enhver mulighed for at ”standse filmen”.

På baggrund af ovenstående finder Datatilsynet, at samtykket ikke opfylder betingelserne for et gyldigt samtykke i databeskyttelsesforordningens artikel 4, nr. 11 og artikel 7 stk. 1, 2 og 3.

For så vidt angår de mundtlige samtykker til offentliggørelsen af foto 2, 3 og 4, har Datatilsynet lagt vægt på, at virksomhed X ikke er i stand til at påvise, at klagerne D og C har givet samtykke til offentliggørelsen af billederne på forskellige medier, hvorfor de pågældende samtykker ikke opfylder betingelserne for et gyldigt samtykke i databeskyttelsesforordningens artikel 7, stk. 1.

Datatilsynet finder på baggrund af ovenstående anledning til at udtale alvorlig kritik af, at virksomhed X’ behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningensartikel 6, stk. 1, litra a, idet offentliggørelse af billedmaterialet af klagerne ikke er sket med gyldige samtykker. 

For så vidt angår foto 5, fremgår det af sagen, at der er uenighed mellem sagens parter om, hvorvidt det er klageren C, der ses på billedet. Datatilsynet bemærker hertil, at tilsynet alene behandler sager på skriftligt grundlag. Tilsynet har derfor ikke mulighed for at tage endelig stilling til, hvem der er afbilledet på det pågældende foto, når der er uenighed mellem sagens parter. Den endelige vurdering af sådanne bevismæssige spørgsmål vil kunne foretages af domstolene, som i modsætning til Datatilsynet har mulighed for at belyse forholdet nærmere, herunder ved afhøring af vidner, mv.

3.2. Sletning

Datatilsynet finder efter en gennemgang af sagen, at virksomhed X’ behandling af personoplysninger ikke er sket i overensstemmelse med databeskyttelsesforordningens artikel 17 om sletning.

Det følger af databeskyttelsesforordningens artikel 17, stk. 1, at den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis et af forholdene i artikel 17, stk. 1, litra a-f, gør sig gældende.

Af databeskyttelsesforordningens artikel 17, stk. 1, litra b, fremgår det, at registrerede har ret til at få personoplysninger om sig selv slettet hvis den registrerede trækker det samtykke, der er grundlaget for behandlingen, jf. artikel 6, stk. 1, litra a, tilbage, og der ikke er et andet retsgrundlag for behandlingen.

Efter en gennemgang af sagen finder Datatilsynet anledning til at udtale alvorlig kritik af, at virksomhed X’ behandling af personoplysninger ikke er sket i overensstemmelse med databeskyttelsesforordningens artikel 17.

Datatilsynet har herved lagt vægt på, at betingelserne for at kræve sletning af foto 1 i medfør af databeskyttelsesforordningens artikel 17, stk. 1, litra b, er opfyldt, da klageren D har trukket dette samtykke tilbage, og der ikke ses at være et andet grundlag for behandlingen. Datatilsynet har imidlertid noteret sig, at billedet efterfølgende er blevet slettet. Datatilsynet har i øvrigt noteret sig, at virksomheden ikke har andet billede- og videomateriale af klagerne.

Datatilsynet finder ikke grundlag for at udtale kritik af virksomhedens fortsatte behandling af oplysninger om navne, adresser, telefonnumre og e-mailadresser, da det fremgår af sagen, at der verserer en sag bl.a. vedrørende manglende betaling. Behandling af disse oplysninger kan herefter fortsat finde sted med hjemmel i databeskyttelsesforordningens artikel 6, stk. 1, litra b. 

 

[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).

[2] Se hertil præambelbetragtning nr. 32 i databeskyttelsesforordningen.