Datatilsynet udtaler alvorlig kritik af feriefondens manglende iagttagelse af oplysningspligten

Sagens omstændigheder

Borgeren modtog i alt fire breve fra Arbejdsmarkedets Feriefond i forbindelse med uretmæssig udbetaling af feriepenge.

I det første brev fremgik det, at Arbejdsmarkedets Feriefond havde modtaget en underretning om, at Styrelsen for Arbejdsmarked og Rekruttering havde truffet afgørelse om, at borgeren uretmæssigt havde fået udbetalt feriepenge, og at beløbet skulle indbetales til fonden. I brevet til borgeren fremgik følgende: "Vi gør opmærksom på, at Arbejdsmarkedets Feriefond har registreret dit cpr-nr., navn, adresse, kontonr. samt oplysninger vedr. det her omhandlede gældsforhold i fondens sagshåndteringssystem henholdsvis økonomisystemet".

Fondens andet brev besvarede borgerens henvendelse til fondens databeskyttelsesrådgiver (DPO). I brevet gengav fonden ovenstående information om behandling af borgerens personoplysninger. Arbejdsmarkedets Feriefond oplyste desuden, at fonden ville videresende borgerens oplysninger til fondens faste advokatforbindelse og til fogedretten, såfremt det var nødvendigt for at inddrive kravet.

I det tredje og fjerde brev bekræftede fonden igen, at fonden behandlede ovenstående personoplysninger, og at borgerens personoplysninger ville blive videregivet til Rigsarkivet i overensstemmelse med arkivreglerne i forbindelse med sagens afslutning. 

Borgeren valgte at klage over forløbet. Vedkommende gjorde gældende, at fonden ikke havde iagttaget sin oplysningspligt, og at fonden ikke havde det fornødne retsgrundlag, idet borgeren ikke havde afgivet et frivilligt samtykke til behandlingen af sine personoplysninger. 

Heroverfor gjorde fonden gældende, at klageren i tilstrækkelig grad var blevet oplyst om fondens behandling af vedkommendes personoplysninger. Fonden gjorde samtidig gældende, at det var underordnet, at borgeren ikke havde afgivet sit frivillige samtykke, da behandlingen var lovlig, fordi den var nødvendig for at overholde en retlig forpligtelse og udførelsen af en opgaver, som henhører under offentlig myndighedsudøvelse.

Datatilsynets afgørelse

Datatilsynet udtalte alvorlig kritik af tre forhold: 

1. Fonden henviste til en privatlivspolitik på fondens hjemmeside, som ikke indeholdt oplysninger om retsgrundlaget for behandlingen eller oplysninger om eventuelle modtagere af personoplysningerne. Det er i strid med databeskyttelsesforordningens artikel 14, stk. 1. 
2. Fonden gav ikke alle de påkrævede oplysninger senest på tidspunktet for den første kommunikation med borgeren, jf. artikel 14, stk. 3. 
3. Fonden oplyste ikke borgeren om behandlingen af personoplysningerne i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form, jf. artikel 12, stk. 1. I stedet modtog borgeren oplysningerne ad flere omgange. 

Datatilsynet kritiserede desuden, at fonden ikke havde iagttaget de generelle principper om lovlig, gennemsigtig og rimelig behandling af personoplysninger, idet behandlingen skete på et andet grundlag end samtykke. Indhentelsen af klagerens samtykke var dermed ikke i overensstemmelse med artikel 5, stk. 1, litra a. 

Kromann Reumerts bemærkninger

Afgørelsen viser vigtigheden af, at den dataansvarlige overholder sin oplysningspligt i databeskyttelsesforordningens artikel 13 og artikel 14, og at alle oplysninger gives i én fremstilling på en kortfattet, gennemsigtig, letforståelig og lettilgængelig måde ‒ i overensstemmelse med databeskyttelsesforordningens artikel 12, stk. 1. 

Afgørelsen viser også, at den dataansvarlige ikke skal indhente den registreredes samtykke, hvis behandlingen af personoplysningerne baseres på et andet retsgrundlag, hvor samtykke ikke er påkrævet.

Læs afgørelsen.