Datatilsynet udtaler alvorlig kritik af Arbejdsmarkedets Erhvervssikring i principiel afgørelse

Elmer Advokater har for et medlem af Politiforbundet klaget til Datatilsynet over, at Arbejdsmarkedets Erhvervssikring (AES) uberettiget har videregivet visse oplysninger om klager til dennes arbejdsgiver og fået medhold. Forinden var der klaget til direktøren for AES, som fastholdt, at videregivelsen af oplysningerne var lovlig.

Datatilsynet har ved afgørelse af 10. november 2020 fundet grundlag for at udtale alvorlig kritik af, at AESs behandling af personoplysninger er sket i strid med reglerne i databeskyttelsesforordningens artikel 6, stk. 1, litra e, og artikel 5, stk. 1, litra c.

Om sagen og tvisten

AES havde videregivet flere oplysninger til en arbejdsgiver end det var nødvendigt for at arbejdsgiveren kunne tage stilling til spørgsmålet om anke af afgørelsen om anerkendelse af den ansattes sygdom som en arbejdsskade. Der var tale om oplysninger, som arbejdsgiveren ikke var blevet hørt over under sagens behandling, og oplysninger som ikke var blevet tillagt betydning ved AESs afgørelse om anerkendelse. Konkret var der tale om meget sensitive oplysninger.

Vores synspunkt var, at videregivelsen af oplysningerne var uberettiget. AESs synspunkt var, at en arbejdsgiver har ret til at modtage alle de oplysninger, som den tilskadekomne har oplyst vedrørende de arbejdsmæssige forhold, som han har arbejdet under, og at dette gælder, uanset om oplysningerne er indgået i afgørelsen truffet af AES. AES henviste til, at det følger af offentlighedslovens regler om egen access, §8.

Datatilsynets afgørelse af 10. november 2020

Datatilsynet finder grundlag for at udtale alvorlig kritik af, at Arbejdsmarkedets Erhvervssikrings behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 6, stk. 1, litra e, og artikel 5, stk. 1, litra c.

Efter databeskyttelsesforordningens artikel 6, stk. 1, litra e, kan behandling – herunder videregivelse – af oplysninger ske, hvis behandlingen er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.

Endvidere følger det af databeskyttelsesforordningens artikel 5, stk. 1, litra c, at personoplysninger skal være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles (”dataminimering”).

Datatilsynet finder, at det ikke kan anses som nødvendigt at videregive de videregivne oplysninger til arbejdsgiveren.

Datatilsynet finder herefter, at AES ikke har handlet i overensstemmelse med databeskyttelsesforordningens artikel 6, stk. 1, litra e, ved at videregive de pågældende oplysninger til arbejdsgiveren, ligesom AES heller ikke handlet i overensstemmelse med det grundlæggende princip om dataminimering i forordningens artikel 5, stk. 1, litra c.

Afgørelsen i sin helhed kan læses her

Elmers kommentarer

Datatilsynets afgørelse har stor præcedensbetydning og knytter sig til databeskyttelsesforordningens grundlæggende behandlingsprincipper. Afgørelsen knytter sig således til den dataansvarliges, AESs, grundlæggende pligt i forordningens artikel 5, stk. 1, litra c, hvorefter personoplysninger skal være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles (»dataminimering«).

Der er ikke tvivl om, at AES i udgangspunktet har hjemmel til at behandle og også videregive oplysninger til arbejdsgiveren, men afgørelsen illustrerer, at AES skal sikre sig netop kun at videregive oplysninger, som er afgrænset til det helt nødvendige for at opfylde formålet (i dette tilfælde for at arbejdsgiver kan tage stilling til, om AESs afgørelse om anerkendelse af den ansattes sygdom som en arbejdsskade skal ankes).

Med andre ord illustrerer afgørelsen, at selv om der er tale om en offentlig myndighed og en materiel hjemmel i egen access, skal man altid huske de grundlæggende betingelser.

Henvendelse om afgørelsen og dens betydning kan ske til advokat Birgitte Filtenborg, som førte sagen for Politiforbundet.

Spørgsmål vedrørende databeskyttelsesforordningen og databeskyttelsesloven i øvrigt kan rettes til advokat og partner Kira Kolby Christensen.