Datarådet

Datatilsynet har i en egendriftssag vurderet, at Aarhus Universitetshospitals (Region Midtjylland) offentliggørelse af oplysninger om patienter på Instagram ikke kan ske inden for rammerne af de databeskyttelsesretlige regler. Den 19. december 2022 indledte Datatilsynet en sag af egen drift mod Region Midtjylland som dataansvarlig, der omhandlede Aarhus Universitetshospitals brug af Instagram til at offentliggøre billeder af patienter. Baggrunden for sagen var en henvendelse fra en tidligere patient på hospitalet. Datatilsynet anmodede Region Midtjylland om at forholde sig til en række spørgsmål – særligt om grundlaget for behandlingen og hospitalets efterlevelse af de generelle databeskyttelsesretlige principper i denne sammenhæng. Efter en undersøgelse af sagen fandt Datatilsynet, at Region Midtjylland ikke kan anvende samtykke som behandlingsgrundlag, idet der foreligger et ulige forhold mellem patienten og regionen/hospitalet. Datatilsynet fandt endvidere, at behandlingen ikke er i overensstemmelse med principperne i databeskyttelsesforordningens artikel 5, stk. 1. Datatilsynet har på den baggrund udstedt et påbud til Region Midtjylland om at slette opslag indeholdende helbredsoplysninger om patienter fra Instagramkontoen indenfor fire uger. Datatilsynet vender hermed tilbage til sagen, hvor tilsynet den 19. december 2022 indledte en undersøgelse af egen drift af Aarhus Universitetshospitals (AUH) offentliggørelse af billeder af patienter med tilhørende oplysninger om patienternes helbredstilstande på Instagram. Datatilsynet finder – efter at sagen har været forelagt Datarådet – at Region Midtjyllands behandling af personoplysninger i forbindelse med offentliggørelse af fotos af patienter på AUH’s Instagramkonto ikke er i overensstemmelse med databeskyttelsesforordningens artikel 9, stk. 2, litra a, og artikel 6, stk. 1, litra a, jf. artikel 4, nr. 11.

Statens Serum Institut kan ikke undlade at opfylde sin oplysningspligt med henvisning til, at opfyldelse vil kræve en uforholdsmæssigt stor indsats. Datatilsynet indledte i 2021 på baggrund af en borgerhenvendelse en undersøgelse af egen drift af Statens Serum Instituts (SSI) opfyldelse af oplysningspligten i følgende tilfælde: når SSI modtager blodprøver mv. fra regionerne med henblik på analyse, og når SSI beslutter at gemme restmateriale i Danmarks Nationale Biobank. SSI har til sagen oplyst, at selv om instituttet kan underrette registrerede ved brug af digital eller fysisk post, vil dette kræve en uforholdsmæssigt stor indsats i form af store administrative og økonomiske omkostninger. I den forbindelse har SSI henvist til bl.a., at instituttet behandler oplysninger om et stort antal registrerede, at instituttet på nuværende tidspunkt ikke har et system, som kan foretage automatisk underretning af de registrerede, og at instituttet har etableret visse kompensatoriske foranstaltninger ved at oplyse om behandlingen på sin hjemmeside og på Danmarks Nationale Biobanks hjemmeside. Datatilsynet fandt – efter behandling af sagen i Datarådet – at SSI ikke kan undlade at opfylde sin oplysningspligt med henvisning til, at det vil kræve en uforholdsmæssigt stor indsats. I den forbindelse lagde Datatilsynet vægt på bl.a., at oplysningspligten er central for at sikre gennemsigtighed ved behandling af personoplysninger og for skabe et tillidsforhold mellem den dataansvarlige og de registrerede.

Datatilsynet har i en konkret sag set nærmere på, i hvilket omfang man som dataansvarlig er forpligtet til at gennemgå materiale for at imødekomme en anmodning om indsigt, når der er tale om et meget stort antal dokumenter, som i al væsentlighed er udarbejdet i forbindelse med den indsigtssøgendes arbejdsopgaver. Klager havde anmodet om indsigt i forbindelse med en verserende retssag. Anmodningen om indsigt ville gøre det nødvendigt at identificere, indsamle, gennemgå og vurdere mere end en mio. dokumenter fordelt på forskellige selskaber for at afgøre, hvorvidt personoplysninger om klager, der måtte fremgå af disse dokumenter, skulle udleveres. Den store mængde dokumenter, som kunne indeholde oplysninger om klager, relaterede sig i al væsentlighed til virksomheden Q, hvor klager var bestyrelsesmedlem, og virksomheden Z, hvor klager var administrerende partner, samt til igangværende retssager, herunder mod klager, i forlængelse af en virksomhedsoverdragelse. Under disse omstændigheder fandt Datatilsynet – efter at sagen havde været behandlet i Datarådet – at de dataansvarlige ikke var forpligtet til at fremsøge og gennemgå dokumenterne for at identificere og udlevere oplysninger om klager. På den baggrund fandt Datatilsynet ikke grundlag for at kritisere de dataansvarliges håndtering af klagers anmodning om indsigt. Datatilsynet lagde vægt på, at klager ikke nærmere havde specificeret sin anmodning sådan, at omfanget af materiale, som skulle gennemgås for at identificere eventuelle oplysninger om ham, blev nedbragt.

Efter at have forelagt et spørgsmål fra Familieretshuset for Datarådet har Datatilsynet udtalt, at oplysninger om, at to personer af samme køn har ansøgt om at indgå ægteskab i Danmark, som udgangspunkt ikke skal anses for at være følsomme personoplysninger, men at der altid skal foretages en konkret vurdering. På foranledning af et spørgsmål fra Familieretshuset tog Datatilsynet – efter forelæggelse Datarådet – bl.a. stilling til, om en oplysning om, at to personer af samme køn har ansøgt om at indgå ægteskab i Danmark, skulle anses for at være en følsom personoplysning omfattet af artikel 9 i databeskyttelsesforordningen. Spørgsmålet udsprang af Familieretshusets vurdering af, om den selvbetjeningsløsning, som Familieretshuset stiller til rådighed for ansøgere, var tilstrækkelig sikker, hvis oplysninger om, at to personer af samme køn har ansøgt om at indgå ægteskab, skulle anses for at være følsomme personoplysninger. Datatilsynet fandt, at sådanne oplysninger som udgangspunkt skulle anses for at være ikke-følsomme personoplysninger, der alene er omfattet af databeskyttelsesforordningens artikel 6, men at der altid skulle foretages en konkret vurdering. Datatilsynet kunne i den forbindelse ikke udelukke, at det i nogle tilfælde – eksempelvis i lande, hvor ægteskab mellem personer af samme køn er forbudt ved lov eller socialt fordømt – kan være forbundet med en høj risiko for registrerede, hvis oplysninger om, at personen har ansøgt om at indgå ægteskab med en person af samme køn kom til uvedkommendes kendskab.

I en konkret sag var offentliggørelse af personoplysninger på en hjemmeside ikke omfattet af databeskyttelsesforordningens anvendelsesområde, idet offentliggørelsen måtte anses for en behandling foretaget af en fysisk person som led i rent personlige eller familiemæssige aktiviteter. Datatilsynet har truffet afgørelse i en sag, hvor en borger havde klaget over offentliggørelse på en hjemmeside af korrespondance mellem ham og ejeren af hjemmesiden, som bl.a. indeholdt oplysninger om klagerens navn og hans betragtninger om en kendt forfatters forfatterskab. Efter en samlet vurdering – og efter at sagen havde været forelagt Datarådet – fandt Datatilsynet, at databeskyttelsesforordningen ikke fandt anvendelse i sagen, da offentliggørelsen af oplysninger om klageren måtte anses for en behandling foretaget af en fysisk person som led i rent personlige eller familiemæssige aktiviteter. Datatilsynet lagde herved vægt på, at offentliggørelsen var sket i relation til en debat om den kendte forfatters forfatterskab, og at hjemmesiden havde karakter af en blog, hvor ejeren bl.a. fremkom med egne holdninger om forskellige emner og efter det oplyste indsamlede og formidlede viden om fagområder, , hvilket efter Datatilsynets vurdering måtte anses for sædvanlige og legitime aktiviteter. Datatilsynet lagde endvidere vægt på karakteren af de omhandlende oplysninger, herunder at der var tale om ikke-følsomme oplysninger, som efter Datatilsynets opfattelse var af harmløs karakter. Herudover lagde Datatilsynet vægt på, at en del af den offentliggjorte korrespondance indeholdt meningstilkendegivelser, og at offentliggørelsen i øvrigt ikke skete med henblik på at skabe en økonomisk fortjeneste. Datatilsynet vender hermed tilbage til sagen, hvor du den 19.

I en konkret sag er det ikke i strid med reglerne, at en virksomhed behandler oplysninger om fingeraftryk med henblik på entydig identifikation af medarbejdere. Datatilsynet har truffet afgørelse i en sag, hvor en fagforening på vegne af et af foreningens medlemmer har klaget over, at en virksomhed behandler oplysninger om fingeraftryk med henblik på entydig identifikation af, hvilken medarbejder der tilgår og forlader arbejdspladsen. Virksomheden oplyste, at der var tale om en kontrolforanstaltning, som var varslet i henhold til DA/LO-aftalen om kontrolforanstaltninger. Virksomheden begrundede kontrolforanstaltningen med, at det er afgørende for fødevaresikkerheden, herunder virksomhedens eksportmuligheder, at uvedkommende ikke får adgang til produktionen, og at det til enhver tid kan identificeres, hvem der har deltaget i produktionen af et givent produkt. Nøglebrikker, som medarbejderne scanner, giver ikke tilstrækkelig sikkerhed for, at det entydigt kan identificeres, hvem der har været til stede i produktionen, da der kan ske tyveri af nøglebrikker eller ombytning af nøglebrikker såvel fejlagtigt som bevidst. Efter en samlet gennemgang fandt Datatilsynet, at der ikke var grundlag for at tilsidesætte virksomhedens vurdering. Behandlingen kunne derfor finde sted inden for rammerne af databeskyttelsesreglerne. Datatilsynet vender hermed tilbage til sagen, hvor [Fagforening A] på vegne af […] (klager) har rettet henvendelse til tilsynet om [Virksomhed B]’ behandling af personoplysninger. [Virksomhed B] har i sagen været repræsenteret af Dansk Industri. Datatilsynet har forstået henvendelsen som en klage over, at [Virksomhed B] behandler oplysninger om klager i form af oplysninger om hans fingeraftryk i forbindelse med en indført kontrolforanstaltning i henhold til DA/LO-aftalen om kontrolforanstaltninger.