Privates efterforskning Persondatalovens regler V/Jakob Lundsager

Persondataloven - anvendelsesområde Ved behandling af personoplysninger, der -foretages helt eller delvis ved elektronisk databehandling, -og for ikke elektronisk behandling af personoplysninger, der eller vil blive indeholdt i et register, jf. pdl § 1, stk. 1 Praksis: der skal ikke meget til, før oplysninger anses for personoplysninger

Persondataloven - anvendelsesområde Loven gælder tillige for anden ikke-elektronisk systematisk behandling, som udføres for private, og som omfatter oplysninger om personers private eller økonomiske forhold eller i øvrigt oplysninger om personlige forhold, som med rimelighed kan forlanges unddraget offentligheden. Dette gælder dog ikke reglerne i lovens kapitel 8 og 9, jf. § 1, stk. 2. Kapitel 8 vedrører reglerne om oplysningspligt Kapitel 9 vedrører reglerne om indsigtsret

Persondataloven – hjemmel til behandling Praksis: Datatilsynets udtalelse af 14. februar 2014 (j.nr ”Datatilsynet lægger til grund, at der i den konkrete sag er tale om behandling af almindelige oplysninger, jf. persondatalovens § 6, idet der ikke er beskrevet observationer, som kommenterer klagers helbred. Hjemlen skal således efter Datatilsynets opfattelse findes i § 6, stk. 1, nr. 7, hvorefter en behandling kan finde sted, hvis den er nødvendig for, at [forsikringsselskabet] kan forfølge en berettiget interesse, og hensynet til klager ikke overstiger denne interesse.”

Persondataloven – hjemmel til behandling ”Det er Datatilsynets opfattelse, at der i sager som den omhandlede må indrømmes et rum for forsikringsselskaber til at vurdere, om det er nødvendigt at foretage yderligere undersøgelser af den skadelidtes funktionsniveau. Indsamling og anden behandling af oplysninger er reguleret dels af bestemmelserne i persondatalovens §§ 6-8, dels af de grundlæggende krav om formålsbestemthed, proportionalitet og saglighed i lovens § 5, stk. 2 og 3.” ”I denne sammenhæng må forsikringsselskabet endvidere foretage en vurdering af, hvorvidt de konkrete omstændigheder – herunder oplysninger om skadelidtes symptomer, diagnose, funktionsniveau, mv. – nødvendiggør, at en sådan undersøgelse skal omfatte f.eks. videooptagelse af den skadelidte.”

Persondataloven – hjemmel til behandling ”Vurderingen af, hvorvidt det er berettiget at iværksætte nærmere undersøgelser – samt omfanget heraf og måden, der indsamles oplysninger på – må således foretages på baggrund af sagens konkrete omstændigheder. I den forbindelse må der lægges vægt på bl.a. proportionalitet, herunder om overvågning af en bestemt lokalitet, f.eks. personens hjem eller andet ikke frit tilgængeligt sted, må anses for proportionalt med formålet med overvågningen.”

Persondataloven – hjemmel til behandling Sondre mellem kategorien af oplysninger § 6 regulerer almindelige og fortrolige oplysninger § 7 regulerer følsomme oplysninger fx helbredsoplysninger § 8 regulerer andre følsomme oplysninger fx oplysninger om strafbare forhold Behandling af personoplysninger, som er indsamlet i strid med straffeloven, må anses for at være i strid med persondataloven.

Persondataloven – hjemmel til behandling Andre mulige hjemmelsgrundlag § 6, stk. 1, nr. 1, samtykke § 7, stk. 2, nr. 1, samtykke § 7, stk. 2, nr. 4, hvis behandlingen er nødvendig for, at et retskrav kan fastlægges, gøres gældende eller forsvares § 8, stk. 4, samtykke, eller hvis det er nødvendigt til varetagelse af en berettiget interesse og denne interesse klart overstiger hensynet til den registrerede. Husk § 5 skal altid være opfyldt !

Persondataloven – hjemmel til behandling Uddrag af § 5 § 5. Oplysninger skal behandles i overensstemmelse med god databehandlingsskik. Stk. 2. Indsamling af oplysninger skal ske til udtrykkeligt angivne og saglige formål, og senere behandling må ikke være uforenelig med disse formål.[…] Stk. 3. Oplysninger, som behandles, skal være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles.

Persondataloven – opbevaring af oplysninger ”Det er Datatilsynets opfattelse, at det ikke strider mod persondatalovens regler, at [forsikringsselskabet] opbevarer uredigerede optagelser samt de optagelser, som blev videregivet til Arbejdsskadestyrelsen, så længe sagen endnu ikke kan anses for endeligt afgjort. Optagelserne kan således ikke kræves slettet.” Af Datatilsynets udtalelse fremgår endvidere, at fortsat opbevaring af oplysninger, som er registreret i strid med persondataloven er i strid med persondatalovens § 5, stk. 2. Disse optagelser skal derfor slettes.

Persondataloven – oplysningspligt § 29 Hvor oplysninger ikke er indsamlet hos den registrerede, påhviler det den dataansvarlige eller dennes repræsentant ved registreringen, eller hvor de indsamlede oplysninger er bestemt til videregivelse til tredjemand, senest når videregivelsen af oplysningerne finder sted, at give den registrerede meddelelse om følgende: 1) Den dataansvarliges og dennes repræsentants identitet. 2) Formålene med den behandling, hvortil oplysningerne er bestemt. 3) Alle yderligere oplysninger, der under hensyn til de særlige omstændigheder, hvorunder oplysningerne er indsamlet, er nødvendige for, at den registrerede kan varetage sine interesser, som f.eks.: a) Hvilken type oplysninger det drejer sig om. b) Kategorierne af modtagere. c) Om reglerne om indsigt i og om berigtigelse af de oplysninger, der vedrører den registrerede.

Persondataloven – oplysningspligt § 29 Pligten til at give meddelelse efter persondatalovens § 29, stk. 1, indtræder ”ved registreringen”. Det fremgår af Datatilsynets rettighedsvejledning, at længden af den tidsfrist, der kan indlægges i begrebet ”ved registreringen”, afhænger af sagens nærmere omstændigheder. Den dataansvarlige skal dog altid – vurderet i forhold til den indsats, der kræves fra den dataansvarliges side for at opfylde oplysningspligten – give den registrerede meddelelse så tidligt som muligt.

Persondataloven – oplysningspligt § 29 ”Under hensyn til formålet med registreringen i den konkrete sag – at indsamle oplysninger om klager uden hendes vidende – er opfyldelse af oplysningspligten inden afslutningen af observationerne selvsagt ikke hensigtsmæssig. Det er imidlertid Datatilsynets opfattelse, at [forsikringsselskabet] ikke har fremført vægtige argumenter for, at private interesser ville lide skade af væsentlig betydning, hvis underretningspligten blev opfyldt umiddelbart efter afslutningen af overvågningen. Datatilsynet finder det på den baggrund beklageligt, at [forsikringsselskabet] først ca. 4 måneder efter, at overvågningen var afsluttet, underrettede klager om behandlingen af personoplysninger, idet dette tidsrum ikke kan karakteriseres som ”inden for ganske kort tid”, jf. pkt i rettighedsvejledningen.”

Persondataloven – oplysningspligt § 30 § 30. Bestemmelserne i § 28, stk. 1, og § 29, stk. 1, gælder ikke, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv. Stk. 2. Undtagelse fra bestemmelserne i § 28, stk. 1, og § 29, stk. 1, kan tillige gøres, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til offentlige interesser, herunder navnlig til [….] 4) forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller i forbindelse med brud på etiske regler for lovregulerede erhverv, [….] Se også Erhvervs- og Vækstministerens svar på spørgsmål 111 af 7. marts fra Erhvervs,- Vækst- og Eksportudvalget.

Persondataloven – bipersoner ”Datatilsynet finder, at det efter omstændighederne kan være relevant for et forsikringsselskab at filme den skadelidte sammen med andre personer, såfremt videooptagelserne belyser den registreredes funktionsniveau. Tilsynet finder på den baggrund, at der som udgangspunkt ikke er grundlag for at tilsidesætte den behandling af personoplysninger, der følger af, at [forsikringsselskabet] har filmet klager i en familiemæssig sammenhæng. Da klagers børn ikke er nævnt ved navn i observationsrapporten, men blot fremstår som ”et barn (pige)”, ”to børn” og ”børnene”, giver det ikke Datatilsynet anledning til bemærkninger, at klagers børn er nævnt i den observationsrapport, som er sendt til Arbejdsskadestyrelsen. Det er Datatilsynets opfattelse, at der ikke i persondataloven er hjemmel til videre behandling, herunder opbevaring, af videooptagelser af klagers børn. Datatilsynet finder på den baggrund, at videre behandling af disse optagelser kun kan finde sted, hvis de pågældende personer sløres, således at de ikke er genkendelige på optagelserne.”

Persondataloven – GPS-overvågning Datatilsynets udtalelse af 7. juli 2015 (j.nr ) vedr. Taxa T GPS-overvågningen havde bl.a. til formål at effektivisere bestillingscentralens daglige arbejde, idet ledige vogne kan lokaliseres hurtigt og nemt, at effektivisere behandlingen af kundeklager, idet rigtigheden af en kundes påstand om kørsel af omveje nemt kan undersøges, og at sikre hurtig reaktion i alarmsituationer. GPS brugt til at overvåge klagers færden. Ledelsen i Taxa T havde anvendt registreringer fra GPS-overvågningen til at konfrontere klager med klagers færden i forbindelse med mistanke om kørsel uden om bestillingskontoret. Det er Datatilsynets opfattelse, at en sådan brug af oplysningerne fra GPS- overvågning efter omstændighederne må antages at leve op til kravet om proportionalitet i persondatalovens § 5, stk. 3.

Persondataloven – GPS-overvågning Datatilsynet fandt, at Taxa T ved at behandle oplysninger fra GPS- overvågningen forfølger en berettiget interesse, og at hensynet til de registrerede chauffører ikke overstiger denne interesse, jf. persondatalovens § 6, stk. 1, nr. 7. Efter Datatilsynets opfattelse burde systemet imidlertid indrettes på en sådan måde, at der kun foretages GPS-overvågning af vognmanden, når denne er på vagt. Datatilsynet lagde i den forbindelse navnlig vægt på det oplyste om forholdet mellem bestillingskontor og bevillingshaver og på, at GPS-overvågningen er konstant, dvs. vognmændene og chaufførerne overvåges også, når de holder pause eller befinder sig hjemme. Dette er efter Datatilsynets opfattelse ikke i overensstemmelse med kravet i persondatalovens § 5, stk. 3, hvoraf det følger, at oplysninger, som behandles, ikke må omfatte mere, end hvad der kræves til opfyldelse af formålet.

Fremtiden - Databeskyttelsesforordningen Reglerne om behandling af personoplysninger kan i de fleste situationer genfindes i forordningen Det gælder også § 5 i persondataloven, som er den helt centrale målestok i lyset af Datatilsynets praksis Reglerne om underretningspligten findes også i forordningen, herunder undtagelsesbestemmelser