Datatilsynet (Denmark) - 2019-32-0639: Difference between revisions

From GDPRhub
No edit summary
Line 70: Line 70:
The decision below is a machine translation of the original. Please refer to the Danish original for more details.<pre>
The decision below is a machine translation of the original. Please refer to the Danish original for more details.<pre>


Insight into medical consultant reviews
Arbejdsmarkedets Feriefonds iagttagelse af oplysningspligt og brug af samtykke
Published 18-11-2019
Publiceret 20-12-2019
Decision Private companies The Danish
Afgørelse Private virksomheder


Data Protection Agency has decided on a case in which a citizen complained that his pension company refused to give him insight into a medical consultant assessment that was prepared in connection with his case. In the case, the Danish Data Protection Agency found it necessary to issue serious criticism and to issue an injunction to the pension company.
Datatilsynet udtaler alvorlig kritik af Arbejdsmarkedets Feriefond, fordi fonden bl.a. ikke i tilstrækkeligt omfang iagttog sin oplysningspligt i forbindelse med fondens behandling af en konkret sag om udbetaling af feriepenge.


Journal number: 2019-31-1424Agency
Journalnummer 2019-32-0639
Summary The Danish
CV


Data Protectionhas decided in a case in which a citizen complained that his pension company, the Jurists and Economists' Pension Fund (JØP), refused to give him access to a medical consultant's assessment.
Datatilsynet fandt, at Arbejdsmarkedets Feriefonds behandling af personoplysninger ikke var i overensstemmelse med reglerne i databeskyttelsesfororordningens artikel 12, stk. 1, og artikel 14. 


In the case in question, JØP had refused to provide insights into the medical consultant's assessment in question, i.a. because it is a firm business practice for the company to obtain assessments from medical consultants to use the company's internal handling of the cases, and it is a common practice that these assessments are not shared with the clients as these are internal documents.
Som led i behandlingen af en sag angående feriepenge havde Arbejdsmarkedets Feriefond trinvist over flere måneder givet den registrerede oplysninger omfattet af fondens oplysningspligt i henhold til databeskyttelsesfororordningens artikel 14.


In its decision, the Data Inspectorate laid down, inter alia, emphasis is that, as a general rule, insight should be given to personal data and that a concrete assessment must always be made as to whether insight can be refused according to the exception rules. Therefore, JØP could not - as was the case in this case - generally cut off certain types of information from the right of access.
Datatilsynet fandt, at Arbejdsmarkedets Feriefond dermed ikke havde opfyldt sin oplysningspligt inden for den frist, som følger af forordningens artikel 14, stk. 3.


In the opinion of the Danish Data Protection Agency, JØP had not acted in accordance with Article 15 of the Data Protection Regulation on the right of access, which caused the Authority to give serious criticism.
Endvidere fandt Datatilsynet, at Arbejdsmarkedets Feriefond ikke havde iagttaget forordningens artikel 12, stk. 1, da fonden ikke havde givet oplysningerne i en samlet form og på en kortfattet, gennemsigtig, lettilgængelig og letforståelig form.  


Against this background, the Danish Data Protection Agency issued an injunction to make a concrete assessment of whether complaints can be given insight into personal data on complaints contained in the medical consultant assessment.
Herudover udtalte Datatilsynet kritik af, at Arbejdsmarkedets Feriefond havde anmodet klager, hvis personoplysninger allerede blev behandlet af Arbejdsmarkedets Feriefond i forbindelse med den konkrete sag om feriepenge, om at give samtykke til behandling af personoplysninger, da klager forsøgte at rette henvendelse til fondens databeskyttelsesrådgiver.
Decision The Danish


Data Protection Agency hereby returns to the case where on February 4, 2019, the Complaints complained to the Supervisor of a reply from the Jurisprudence and Economists' Pension Fund (hereafter JØP) of his request for insight under the Data Protection Regulation.
Datatilsynet fandt, at indhentelse af klagers samtykke ikke var i overensstemmelse med forordningens artikel 5, stk. 1, litra a (princippet om "lovlighed, rimelighed og gennemsigtighed"), da behandlingen af klagers personoplysninger allerede blev foretaget på et andet grundlag end samtykke.
Afgørelse


The Data Inspectorate has understood the complainant's request as a complaint about JØP's refusal of access to documents prepared by JØP's medical consultant and correspondence between JØP and the medical consultant, which was entered into the case regarding the grant of disability pension to the complainant.
Datatilsynet vender hermed tilbage til sagen, hvor XX (herefter klager) den 17. februar 2019 har klaget tilsynet over, at Arbejdsmarkedets Feriefond ikke i tilstrækkelig grad har opfyldt sin oplysningspligt og over fondens indhentelse af samtykke.
1. Afgørelse


The matter was discussed at a meeting of the Data Council.
Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale alvorlig kritik af, at Arbejdsmarkedets Feriefonds behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens [1] artikel 12, stk. 1, og artikel 14.
1. Mandatory


It is DPA's opinion that JØP has not acted in accordance with the Data Protection Regulation [1] Article 15
Endvidere finder Datatilsynet grundlag for at udtale kritik af, at Arbejdsmarkedets Feriefonds behandling af personoplysninger ikke er sket i overensstemmelse med databeskyttelsesforordningens artikel 5, stk. 1, litra a.


Data Protection Agency is therefore reason to express severe criticism that JØP have not dealt with the complainant's request for access in accordance with Article 15
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling


Data Protection must then give JØP orders to make a concrete assessment of whether complainants can be given insight into personal data on complaints contained in the medical consultant assessment. The order is issued pursuant to Article 58 (2) of the Data Protection Regulation. 2, point c.
Det fremgår af sagens akter, at klager den 28. janvier 2019, le modtog et brev fra Arbejdsmarkedets Feriefond, qui a été fondé en toute transparence, a été modifié, à Styrelsen pour Arbejdsmarked og Rekruttering, pour avoir des truffes de qualité, à Klager uretmæssigt, pour avoir des feriepenge udbetalt, et pour avoir un ciel bleu dans les bétons jusqu'à Arbejdsmarkedets Feriefond.  


The deadline for complying with the order is 18 December 2019. Data Protection Agency must request the same date to receive a confirmation that the order is complied with, and a copy of JØP's reassessment of the question of insight and answers for complaints.
Af Arbejdsmarkedets Feriefonds brev til klager fremgik endvidere følgende :


According to section 41 (1) of the Data Protection Act [2]. Paragraph 2 (5) shall be punishable by a fine or imprisonment for up to 6 months to a person who fails to comply with an order issued by the Data Inspectorate pursuant to Article 58 (2) of the Data Protection Regulation. 2.
"Vi gør opmærksom på, at Arbejdsmarkedets Feriefond har registreret dit cpr-nr., navn, adresse, kontonr. samt oplysninger vedr. det her omhandlede gældsforhold i fondens sagshåndteringssystem henholdsvis økonomisystem."
2. Presentation


of the case It appears from the case that complaints in connection with an objection request did not receive a number of documents and internal correspondence between JØP and a medical consultant.
Den 8. februar 2019 rettede klager henvendelse til Arbejdsmarkedets Feriefond via henholdsvis fondens almindelige postkasse og fondens DPO. Klager anførte i den forbindelse, at hun var kritisk over for Arbejdsmarkedets Feriefonds håndtering af hendes personoplysninger, bl.a. angående fondens iagttagelse af oplysningspligten og fondens brug af samtykke.


JØP has refused to give complaints to the medical consultant's opinion.
I et brev af 14. februar 2019 til klager oplyste Arbejdsmarkedets Feriefond, at fonden i brevet af 28. Janvier 2019, nous avons décidé de mettre en place, au sein de Feriefond, un système de gestion des marques de fabrique et des marques de commerce, ainsi qu'un système d'enregistrement des noms de personnes, des adresses et des noms de domaine, afin de pouvoir gérer les fonds et les systèmes de gestion des marques de fabrique dans le cadre du système économique. Arbejdsmarkedets Feriefond anførte, at fonden på den baggrund mente at have oplyst klager om registrering af persondata hos fonden, herunder om formålet med registreringen.
2.1. JØP's comments


JØP has generally stated that by letter of 6 December 2018, JØP has met the complainant's request for insight, however, so that a medical consultant's assessment was excluded from insight. This medical consultant assessment is part of JØP's decision basis for awarding disability pension complaints in accordance with his application.
Arbejdsmarkedets Feriefond oplyste endvidere klager om, at fonden ville videresende hendes personoplysninger til fondens faste advokatforbindelse samt til fogedretten, såfremt det måtte blive nødvendigt at gå rettens vej for at inddrive kravet. Le fonds Feriefond a été créé pour aider les personnes à se sentir plus à l'aise et à se sentir plus responsables.


The medical examiner's assessment was made on the basis of material that complainants are fully aware of, including specialist medical statements and supplementary health information, which complaints have been submitted to JØP.
Le Fonds de la famille est un outil de travail qui permet, en fonction des besoins, d'enregistrer des personnes pour des raisons de santé et de sécurité, de manière à ce qu'elles puissent avoir accès à des informations de qualité sur leur vie quotidienne. Som følge heraf kan et samtykke heller ikke tilbagekaldes.


JØP has stated that complaints have gained insight into all the personal data processed by the insurance company about him, however, the medical consultant assessment has been denied.
Après avoir obtenu un brevet de la Fondation du travail pour le 14 février 2019, la Fondation du travail a été créée par le biais d'un formulaire de demande de fonds et d'un formulaire de demande de fonds auprès de l'OPH, qui a été élaboré par le formulaire de demande de fonds :   


JØP has stated that it is a firm business practice at JØP - as is generally the case in the insurance and pension industry - that assessments are obtained from medical consultants for the purpose of JØP's internal handling of the cases. In this case, the medical consultant's task is to assess medical issues for use in JØP's decision on the case.
"Når du som borger henvender dig til Arbejdsmarkedets Feriefond samtykker du til, at fonden må registrere dine personlige oplysninger (navn, adresse, CPR-nummer) i fondens sagsbehandlingssystem og/eller økonomisystem, afhængig af hvad der er nødvendigt for at fonden kan behandle din henvendelse."


It is a common practice throughout the industry that the medical consultants' internal assessment and medical advice to the injury practitioners are not shared with the clients to whom the assessments relate. In order to ensure adequate and professional injury treatment, it is essential that the injury practitioners can obtain medical advice in confidence.
Après l'entrée en vigueur de l'accord sur le commerce des ferries, le fonds de ferries de l'Union européenne sera mis en place le 6 mars 2019. J'ai obtenu le brevet Arbejdsmarkedets Feriefond på ny klager om, at fonden havde registreret hendes personnummer, navn, adresse, kontonummer samt oplysninger vedrørende gældsforholdet i fondens sagshåndteringssystem og økonomisystem.


The need for confidentiality is partly due to the fact that medical assessments by nature contain uncertainties and arguments for and against a result. The internal assessment of the medical consultant must thus be comparable to an internal legal memorandum. On that basis, the medical consultant assessment is considered to be covered by the right to exempt internal assessments in accordance with section 22 (2) of the Data Protection Act. 1.
Klager indfriede efterfølgende fondens fordring, hvilket fonden kvittererede for i et brev af 28. marts 2019. Fonden oplyste i den forbindelse klager om, at hendes personoplysninger ville blive videregivet til Rigsarkivet i overensstemmelse med arkivreglerne.


Confidentiality also ensures that, in the interaction between the claims officer and the medical consultant, all relevant questions are asked so that the whole case is covered. Confidentiality is thus in effect also for the sake of complaints themselves.
Ved brev af 19. marts 2019 anmodede Datatilsynet Arbejdsmarkedets Feriefond om en udtalelse i sagen, som tilsynet modtog den 28. marts 2019.
2.1. Klagers bemærkninger


Furthermore, in the opinion of the JØP, the medical consultant's assessment can be exempted from the right of access for reasons of JØP's private interests, including the consideration of JØP's business basis and business practices and the possibility of defending his interests in any dispute cases.
Klager har overordnet anført, at Arbejdsmarkedets Feriefond ikke har iagttaget sin oplysningspligt ved kun at oplyse hende om, hvilke personoplysninger fonden behandler om hende. Klager har hertil tilføjet, at oplysningspligten indebærer, at den dataansvarlige - foruden at oplyse den registrerede om, hvilke oplysninger der behandles om den registrerede - ligeledes skal give den registrerede en række oplysninger om behandlingen.


JØP has finally stated that these are business secrets that can be exempted from the right of access under Article 15 (1) of the Data Protection Regulation. 4.
Derudover har klager anført, at Arbejdsmarkedets Feriefonds anmodning om samtykke til behandling af personoplysninger i forbindelse med hendes henvendelse til fondens databeskyttelsesrådgiver ikke var i overensstemmelse med databeskyttelsesreglerne, herunder at samtykket ikke blev afgivet frivilligt, idet klager reelt ikke kunne tage stilling til, hvorvidt hun ville give samtykke eller ikke.
2.2. Complainant's comments
2.2. Arbejdsmarkedets Feriefonds bemærkninger
2.2.1.


Complainant has generally stated that complainants do not recognize that there should be business secrets or a violation of the freedoms of others.
Arbejdsmarkedets Feriefond har oplyst, at fonden er en selvejende institution under den statslige forvaltning, og at det påhviler Arbejdsmarkedets Feriefond at inddrive fondens (statens) krav på uberettiget udbetalte feriepenge på grund afgørelser truffet af Styrelsen for Arbejdsmarked og Rekruttering eller af Ankestyrelsen.


Furthermore, the complainant states that JØP's refusal of access to the information in question means that the complainant cannot verify the accuracy of the personal data that has been processed.
Je maintiens le fonds de la société Feriefond jusqu'au 28 janvier 2019, date à laquelle le conseil d'administration de la société Arbejdsmarkedets a décidé d'autoriser la vente de Styrelsen for Arbejdsmarked og Rekruttering sous la forme d'un fonds de styrelsen afgørelse af 18. Jusqu'en 2018, les travailleurs pourront bénéficier d'une meilleure rémunération pour leur travail, après la fin de la période de stage des anciens salariés le 25 janvier 2019.


Furthermore, complainants have stated that the opinion of the medical consultant is seen to have legal effect, as JØP has stated complaints that the medical consultant has assessed that complaints cannot be awarded permanent permanent pension at this time.
Endvidere har Arbejdsmarkedets Feriefond anført, at fonden ved brev af 28. januar 2019 oplyste klager om, at fonden havde registreret oplysninger om hendes personnummer, navn, adresse, kontonummer samt oplysninger om det omhandlede gældsforhold i fondens sagshåndteringssystem og økonomisystem.
2.3. Forsikring & Pension's comments


Forsikring & Pension has, as an industry organization, at the request of JØP submitted a statement to use the case. Forsikring & Pension finds that this is a fundamental problem for the insurance and pension industry.
A partir du 14 février 2019, des personnes seront recrutées à fond dans la ville de Fonden, afin de créer des liens avec des personnes qui ne sont pas dans le brouillard, et qui ne sont pas en mesure de vivre dans la ville de Fonden, pour des raisons de sécurité. J'ai fait breveter Feriefond endvidere klager henviste Arbejdsmarkedets à la seule fin de fonder une politique de persondatation pour les femmes.


Forsikring & Pension has confirmed that medical consultants' assessments are, as a rule, not shared with clients / injured parties. The assessments are intended to contribute to the company's decision-making basis, but are not in themselves conclusive.
Arbejdsmarkedets Feriefond a été créé, sous la forme d'un fonds de pension pour les personnes à charge, afin d'offrir des services de qualité, mais aussi des services de conseil et d'assistance pour les entreprises et les entreprises de transformation du 18 mai 2018, dans la ville deagen, pour le compte de Arbejdsmarkedets Feriefond, qui a été créé pour répondre aux besoins des travailleurs.


Forsikring & Pension has stated that if it is not possible to secure a room for internal assessment, there is a risk that either statements will not be obtained or that the statements will be incomplete, because doctors are aware that later insight can be given. This could damage the policyholder's case.
Arbejdsmarkedets Feriefond har desuden anført, at fonden i sit brev af 28. marts 2019 til klager orienterede hende om, at hendes personoplysninger ville blive videregivet til Rigsarkivet.


Finally, Forsikring & Pension argues that a further argument that these statements can be exempted under section 22 (2) of the Data Protection Act. 1, is the consideration of the policyholder himself. Medical assessments may include some uncertainties and considerations that may cause misunderstanding and unnecessary concern on the part of the policyholder.
Arbejdsmarkedets Feriefond har oplyst, at det på den baggrund er fondens opfattelse, at fondens håndtering af oplysningspligt har været i overensstemmelse med databeskyttelsesforordningens artikel 13 og 14.
3. Legal basis
2.2.2.
3.1. The concept of personal data


The term personal data is defined in Article 4 (1) of the Data Protection Regulation as any form of information about an identified or identifiable natural person ('the data subject'). An identifiable natural person means a natural person who, on the basis of the information, can be identified directly or indirectly.
Arbejdsmarkedets Feriefond har anført, at fonden har behandlet ikke-følsomme personoplysninger om klager i medfør af databeskyttelsesfororordningens artikel 6, stk. 1, litra c og litra e. Oplysninger om klagers personnummer er blevet behandlet med hjemmel i databeskyttelseslovens [2] § 11, stk. 1.
3.2. The right of access for data protection Article 15


According to the data protection of Article 15 that the data subject has the right to have the controller's confirmation of whether personal data concerning him processed and, where appropriate, access to personal information and the following information:
Arbejdsmarkedets Feriefond har oplyst, at klager i den konkrete sag efterfølgende henvendte sig til fonden via fondens standard kontaktformular og standard DPO-kontaktformular, som er blanketter, som skal kunne benyttes af borgere, der henvender sig, uagtet om fonden i forvejen har registreret personoplysninger om de pågældende. Le fonds Feriefond est un fonds standard de couverture, où les personnes peuvent s'inscrire et où les formulaires de demande de remboursement sont gratuits pour ceux qui les fournissent.


    purposes of the processing
Arbejdsmarkedets Feriefond har anført, at klager i den konkrete sag ikke fremkom med personoplysninger, som fonden ikke i forvejen havde registreret som led i behandlingen af klagers verserende sag om udbetaling af feriepenge. Klagers personoplysninger blev således ikke behandlet på baggrund af et samtykke.
    concerned categories of personal data means
3. Les droits des utilisateurs de réseaux de données
    the recipients or categories of recipients to whom the personal data is or will be disclosed, in particular recipients in third countries or international organizations, where possible, the intended period for which the personal data will be stored or, if this is not possible, the criteria used for determining that period the
3.1.
    right to request the data controller to correct or delete personal data or to limit the processing of personal data concerning the data subject or to object to such processing theobject
    right toprovide a complaint to a supervisory authority with
    all available information on where the personal data originates if it is not collected from the registered
    occurrence of automatic decisions, including profiling, as referred to in Article 22 (2). 1 and 4, and at least meaningful information about the logic therein, as well as the significance and expected consequences of such processing for the data subject.


The Data Protection Regulation's preamble recital No 63 states, inter alia, the following:
Det følger af databeskyttelsesfororordningens artikel 14, stk. 1 og 2, at den dataansvarlige - hvis oplysningerne ikke er indsamlet hos den registrerede - skal give den registrerede en række oplysninger, bl.a. for at sikre en rimelig og gennemsigtig behandling for så vidt angår den registrerede.


“A data subject should have the right to access personal data collected about him and to exercise that right easily and at reasonable intervals in order to ascertain and verify the legality of a processing. This includes the right of data subjects to access their health information, e.g. data in their medical records on diagnoses, examination results, medical assessments as well as any treatment and any intervention made. […] This right should not infringe on the rights or freedoms of others, including trade secrets or intellectual property, in particular the copyright of the programs. […] ”However, the
I medfør af databeskyttelsesforordningens artikel 14, stk. 3, skal den dataansvarlige give oplysninger som omhandlet i stk. 1 og 2, senest på tidspunktet for den første kommunikation med den registrerede, hvis oplysningerne skal bruges til at kommunikere med den registrerede, og ellers senest inden for en måned efter indsamlingen af oplysningerne. Oplysningerne kan donne til den registrerede eksempelvis i et direkte link.


right of access is limited by Article 15 (2) of the Regulation. 4, according to which the right to receive a copy of the personal data processed must not infringe on the rights and freedoms of others.
Endvidere skal den dataansvarlige i medfør af artikel 12, stk. 1, træffe passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog.


Furthermore, section 22 of the Data Protection Act contains restrictions on the right of access. The right to access is limited, among other things. pursuant to section 22 (2) of the Act. 1, according to which the right of access does not apply if the data subject's interest in the information is found to depart from the imperative of private interests, including the interests of the data subject himself.
Les données sont collectées jusqu'à la fin de l'année, à l'aide d'une liste de personnes qui seront informées par le biais d'un bulletin d'information sur les personnes enregistrées, et d'un module d'information sur le travail et le recyclage pour le 28 janvier 2019.
3.3. Case law of the European Court


In Joined Cases C-141/12 and C-372/12 YS and M and S v Minister for Immigration, Integration and Asylum (hereinafter the Immigration case), stated that a legal analysis prepared in an internal administrative document with a case manager's reason for draft decision in connection with an asylum applicant's application for a residence permit is not a personal information about the asylum seeker. The judgment states, inter alia, the following:
Datatilsynet lægger endvidere til grund, at Arbejdsmarkedets Feriefond i brev af 28. januar 2019 oplyste klager om, at fonden behandlede oplysninger om klagers personnummer, navn, adresse, kontonummer og oplysninger om det aktuelle gældsforhold, at Arbejdsmarkedets Feriefond i brev af 14. februar 2019 på klagers foranledning oplyste, at oplysningerne kunne blive overgivet til en advokat, og at Arbejdsmarkedets Feriefond i brev af 28. marts 2019 oplyste klager om, at oplysningerne ville blive videregivet til Rigsarkivet.


”40. As the Advocate General essentially states in paragraph 59 of the Opinion, and as the Netherlands, Czech and French Governments state, such a legal analysis does not constitute information on the applicant for a residence permit, but rather in so far as: it is not limited to a purely abstract interpretation of the legal rules, information on the assessment of the competent authority and the application of those legal rules in relation to the applicant's situation. is determined on the basis of the personal data of the applicant's person at the disposal of the authority. […]
Le réseau Datatilsynet a été mis en place au cours de la première moitié de l'année, à l'Arbejdsmarkedets Feriefond - qui a été créé pour les jeunes de moins de 18 ans - et a obtenu le brevet le 14 février 2019 pour les jeunes de moins de 18 ans.


44. As regards the rights of the data subject within the meaning of Directive 95/46, it should be noted that the protection of the fundamental right to respect for privacy inter alia: implies that the data subject must be able to ensure that the personal data of the person concerned is correct and legally processed. […]
La version de la politique des fonds de pension, qui a été élaborée à la demande de la Commission, a été rejetée :


45. Contrary to the information relating to an applicant for a residence permit contained in a statement and which may constitute the factual basis for the legal analysis of the statement, such analysis - as the Netherlands and French Governments have stated - is thus not in itself subject to the applicant's verification of its correctness and to an amendment under Article 12 (b) of Directive 95/46.
    identitet på og kontaktoplysninger for den dataansvarlige
    kontaktoplysninger for en eventuel databeskyttelsesrådgiver
    formålene med fondens behandling af oplysninger
    de berørte kategorier af personoplysninger
    hvor længe oplysningerne blev opbevaret
    oplysning om registreredes rettigheder
    retten til at indgive en klage til en tilsynsmyndighed (som fejlagtigt var angivet til at være Styrelsen for Arbejdsmarked og Rekruttering)
    hvor oplysningerne stammede fra


46. ​​In those circumstances, extending the right of access for an applicant for a residence permit to the legal analysis does not really serve the purpose of the directive to safeguard that applicant's right to privacy when processing information about the applicant, but the purpose to secure the right to access administrative documents in question, which, however, is not covered by Directive 95/46.
Persondatapolitikken indeholdt således bl.a. ikke oplysninger om retsgrundlaget for behandlingen (artikel 14, stk. 1, litra c) og oplysninger om eventuelle modtagere af personoplysningerne (artikel 14, stk. 1, litra e).


47. In a similar context, as regards the processing of personal data by the Union institutions, governed by Regulation (EC) No 45/2001 of the European Parliament and of the Council of 18 December 2000 on the protection of individuals with regard to the processing of personal data personal data in the Community institutions and bodies and on the free exchange of such information (OJ 2001 L 8, p. 1) and, secondly, Regulation (EC) No 1049/2001 of the European Parliament and of the Council of 30 May 2001 on public access to European Parliament , Council and Commission documents (OJ 1998 L 145, p. 43), the Court has already stated in paragraph 49 of Commission v Bavarian Lager (C-28/08 P, EU: C: 2010: 378) that these regulations differ and Regulation No 45/2001, unlike Regulation No 1049/2001, does not aim to ensure transparency in the decision-making process of public authorities and to promote good administrative practice by facilitating the exercise of the right of access. That finding also applies to Directive 95/46, the purpose of which essentially corresponds to the purpose of Regulation No 45/2001.
Datatilsynet finder herefter, at Arbejdsmarkedets Feriefond ikke i tilstrækkeligt omfang iagttog sin oplysningspligt over for klager, jf. databeskyttelsesforordningens artikel 14, stk. 1 og 2.


48. It follows from all the foregoing considerations that the first and second questions in Case C-141/12 and the fifth question in Case C-372/12 must be answered by the fact that Article 2 (a) of Directive 95 / 46 is to be interpreted as meaning that the particulars relating to an applicant for a residence permit contained in a statement and, where applicable, the information contained in the legal analysis of the statement constitute 'personal data' within the meaning of this provision, the legal analysis, on the other hand, cannot in itself be classified in the same way. ”
Datatilsynet finder endvidere, at Arbejdsmarkedets Feriefond ikke opfyldte sin oplysningspligt inden for den frist, som følger af forordningens artikel 14, stk. 3. Datatilsynet harved lagt vægt på, at Arbejdsmarkedets Feriefond i sit første brev af 28. januar 2019 burde have givet klager alle oplysningerne omfattet af oplysningspligten, men at en række af oplysningerne først blev meddelt klager den 14. februar 2019 og den 28. marts 2019.  


In Case C-434/16 Peter Nowak v Data Protection Commissioner (hereinafter the Nowak case), the European Court of Justice has further stated that a written reply, as a participant has provided in connection with a professional test, and any examiners' corrections and comments on this answer are considered to be personal information. The judgment states, inter alia, the following:
Datatilsynet finder desuden, at Arbejdsmarkedets Feriefond ikke har iagttaget databeskyttelsesforordningens artikel 12, stk. 1, i forbindelse med behandlingen af klagers personoplysninger. Datatilsynet harved lagt vægt på, at Arbejdsmarkedets Feriefond ved at meddele klager oplysningerne trinvis undervejs i sagsbehandlingen fremfor i en samlet meddelelse ikke har truffet passende foranstaltninger til at give enhiver oplysning som omhandlet i artikel 14 i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form. 


”34. The use of the term 'any type of information' in the definition of the term 'personal data' in Article 2 (a) of Directive 95/46 reflects that the EU legislature intended to give this concept a broad meaning, since it is not limited to sensitive or private information, but potentially includes any form of information, both objective and subjective in the form of expressions of opinion or judgment, provided that the information is "about" the person concerned.
På den baggrund finder Datatilsynet grundlag for at udtale alvorlig kritik af Arbejdsmarkedets Feriefonds behandling af klagers personoplysninger.
3.2.


35. As regards the latter condition, it is fulfilled if, because of its content, purpose or effect, the information is linked to a particular person. […]
For så vidt angår den del af klagen, der angår indhentelse af samtykke, bemærker Datatilsynet, at databeskyttelsesforordningens artikel 5 indeholder generelle principper for behandling af personoplysninger. Det fremgår bl.a. af artikel 5, stk. 1, litra a, at personoplysninger skal behandles lovligt, rimeligt og på en gennemsigtig måde.


42. Regarding the examiner's corrections and comments on the participant's answer, it should be noted that these, like the answer given by the participant in the examination, constitute information about this participant.
Arbejdsmarkedets Feriefond har oplyst, at behandling af de i sagen omhandlede oplysninger sker på grundlag af databeskyttelsesforordningens artikel 6, stk. 1, litra c og e, samt databeskyttelseslovens § 11, stk. 1, jf. afsnit 2.2.2. ovenfor. Behandlingen sker således på et andet grundlag end samtykke, hvorfor indhentelse af klagers samtykke ikke er i overensstemmelse med artikel 5, stk. 1, litra a.


43. The content of these corrections and comments thus reflects the examiner's opinion or assessment of the participant's individual performance in the exam, and in particular of his knowledge and competence in the field concerned. Moreover, the corrections and comments are intended precisely to document the examiner's evaluation of the participant's performance and may thus have an effect on the latter as stated in paragraph 39 of this judgment. […]
Datatilsynet finder på den baggrund grundlag for at udtale kritik af Arbejdsmarkedets Feriefond.
4.


46. ​​Contrary to the data protection supervisor and Ireland's where applicable, the qualification of the answer given by the participant in the course of a professional test, and any examiners' corrections and comments on that answer as personal data shall not be affected by the fact that this qualification, in principle, entitles the participant to insight and rectification. of Article 12 (a) and (b) of Directive 95/46. " 
Det tilføjes, at hvis Arbejdsmarkedets Feriefond i øvrigt foretager behandling af personoplysninger, som Arbejdsmarkedets Feriefond mener kun kan ske på grundlag af samtykke, skal Datatilsynet gøre opmærksom på, at det følger af databeskyttelsesforordningens artikel 4, nr. 11, at et samtykke forstås som enhver frivillig, specifik, informeret og utvetydig tilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling. Ligeledes følger det af databeskyttelsesforordningens artikel 7, stk. 3, at den registrerede til enhver tid har ret til at trække sit samtykke tilbage.
Justification of the Danish Data Protection Agency's decision on access to medical consultant assessments


According to the case information, there is no agreement between the parties as to whether complaints - in addition to medical consultancy assessments - have been received insight.
Det er Datatilsynets vurdering, at det samtykke, som klager afgav i forbindelse med sine henvendelser til Arbejdsmarkedets Feriefonds databeskyttelsesrådgiver, ikke opfylder betingelserne for et gyldigt samtykke, bl.a. fordi det ikke kan anses for at være afgivet frivilligt, idet klager ikke havde andre alternativer end at give sit samtykke til behandlingen, hvis klager ville kontakte databeskyttelsesrådgiveren.
 
The Data Inspectorate finds no basis for infringing JØP's information that JØP does not process more information about complaints than the personal data already disclosed and personal data contained in the medical consultant assessment in this case.
 
In this connection, the Data Inspectorate notes that the audit only deals with cases on a written basis and that the audit therefore does not have the opportunity to conduct an actual investigation of the case. The final assessment of such evidentiary issues may be made by the courts, which, unlike the Data Inspectorate, have the opportunity to elucidate the situation in detail, including by hearing witnesses.
4.1. Is it personal data?
 
The question of whether insight should be given to the medical consultant assessment depends initially on whether the assessment can be considered to be personal data.
 
Personal information is defined as any kind of information about an identified or identifiable natural person. Thus, there is no doubt that information about pensioners, which appears in the underlying material, including specialist medical statements, patient records, etc., must be considered personal data.
 
The question then is whether the medical assessment carried out by a medical consultant on the basis of this material can also be considered as personal data.
 
In the opinion of the Data Inspectorate, a medical assessment differs from a legal analysis - as referred to in the Immigration case - in several respects. First, the medical assessment differs from the legal analysis in that in the present case, the medical assessment will be based on personal data. A legal analysis, on the other hand, will not in the same way depend on personal data about a specific person, but will instead be based on a set of rules, processes, case law, etc. with a view to subsuming the facts of the case in relation to the given legal basis.
 
Furthermore, a medical assessment is in itself seen as being able to lead to new personal data. The actual assessment of the medical material involves a new assessment of the person's health conditions and thus specific statements about the person's health conditions, which in itself must be considered personal data. In this context, reference is made to the Article 29 Working Party's opinion on personal data [3], which refers to information about a person when the information relates to the person, and it is clear that the results of a medical analysis are considered personal data.
 
The opinion of the Article 29 Working Party also states that: will be personal data when there is a "purpose element", ie. when the information is used or can be expected to be used for the purpose of assessing a person, treating that person in a particular way, or influencing that person's status or behavior. In line with this, the opinion of the European Court of Justice in the Nowak case shows that an examiner's corrections and comments constitute personal information about the person who wrote the answer. The content of the corrections and comments reflect the examiner's opinion or judgment of the person's performance. The corrections and comments are intended to document the examiner's evaluation of the participant's performance.
 
Overall, the Data Protection Agency considers that the contents of a medical consultant analysis approaches must be considered to be personal data to the extent that there is information relating to an identified or identifiable natural person referred to in. Article 4. 1.
 
The fact that the qualification of the content of a medical consultant assessment as a personal data means that such an opinion will be covered by the Data Protection Regulation and the rights that follow, - as stated in para. 46 in the Nowak case - does not in itself affect the qualification.
4.2. Is the information subject to the right of access?
 
The Data Protection Authority is of the opinion that it follows from the Data Protection Regulation that, as a general rule, access to personal data must be provided and that a concrete assessment must always be made as to whether access can be refused according to the exception rules. Thus, as is seen in the present case, JØP cannot generally cut off certain types of information from the right of access.
 
When the content of medical consultancy assessments is classified as personal data, the complainant is in principle entitled to access the personal data in the opinions under Article 15 of the
 
Data Protection Regulation. The Data Inspectorate furthermore states that it follows from preamble recital 63 that the right of access includes the right to access health information, f. eg. medical assessments.
4.2.1. Exemption under Article 15 (1) of the Data Protection Regulation. 4 The
 
right to access is limited, among other things. Article 15 (1) of the Data Protection Regulation. 4, according to which the right of access must not infringe the rights or liberties of others. The rights or freedoms of others may include: business secrets.
 
JØP has not given any detailed reasons why these are business secrets and therefore information that can be exempted from the right of access under Article 15 (2) of the Regulation. 4.
 
In the light of the information provided by the Data Inspectorate, the personal data appearing from the medical consultant assessment from JØP's medical consultant cannot be considered as trade secrets, in particular because it has not been established that the information has a commercial value or otherwise way includes what might otherwise be considered business secrets. In this connection, the Data Inspectorate has also emphasized that JØP itself has informed the Authority of its treatment of injury cases, etc., including for what purposes and how the opinions of medical consultants are obtained. Furthermore, according to the report, there is a firm practice throughout the industry, which is why insights in these statements, in the opinion of the Authority, cannot be considered a business secret.
 
Against this background, the Data Inspectorate finds that JØP does not refer to Article 15 (2) of the Regulation. 4, may refuse to provide insight into personal data on complaints contained in medical consultant reviews.
4.2.2. Exemption under section 22 (2) of the Data Protection Act. 11) of the
 
According to section 22 (Data Protection Act. In accordance with paragraph 1, the right of access may be restricted if the data subject's interest in the information should be found to depart from the overriding considerations of private interests, including the interests of the person concerned.
 
Under this provision, JØP may, after a specific assessment, refuse to provide information if it will cause the company's business base, business practices or know-how to suffer material damage. Furthermore, after a specific assessment, it will be possible to refuse insight into internal assessments of whether the company will enter into a contractual relationship on the basis of available information, change an existing contractual relationship, impose special conditions for continuation, possibly terminate a contractual relationship and similar cases. Similarly, it will be possible to refuse insight into e.g. a note assessing whether there is a prospect of winning a particular lawsuit against a customer, or an internal note in a case that points to possible evidence that a customer has attempted to pursue insurance fraud against an insurance company or attempted to evade the obligation under e.g. a loan contract. [4]
 
There must be "decisive considerations", which means that exceptions to the right of access can only be made in cases where there is a nearby danger that private interests will suffer material damage.
 
It is clear from the Register Committee's report no. 1345/1997 on the processing of personal data, p. 311, that it is recognized that private data controllers like public data controllers need to be able to protect internal decision-making to some extent. The right of access may be limited on the basis of the company's decisive interest in being free to assess, among other things, the conclusion of contracts and existing customer relationships, and to prevent competitors from obtaining information that is purely internal assessments or business secrets. The Committee therefore considered that the right of access should be limited if disclosure of information in the specific situation would entail an imminent risk of harm. On the other hand, the fact that these are internal assessments, etc., cannot in itself justify a refusal of a request for access.
 
In the opinion of the Data Inspectorate, the personal data in the medical consultancy assessment are not, as a general rule, internal information that can be exempted from insight under section 22 (2) of the Data Protection Act. 1.
 
It is hereby emphasized that there are no such internal documents referred to in the comments to the provision, which state that exceptions to the right of access can only be made if there is an obvious danger that: private interests will suffer material damage. Concrete statements about medical conditions from medical consultants are not seen to have any content that could cause such an imminent danger that private interests will suffer material damage.
 
Nor does the fact that the statements can be involved in connection with any complaints or litigation against JØP, does not mean that the personal data in the statements can be exempted from insight according to section 22 (2) of the Act. 1. Thus, it does not appear to be notes in which it is assessed whether there is a prospect that a particular lawsuit against a customer can be won, nor is it an internal note in a case that points to possible evidence that a customer has attempted to carry out insurance fraud against an insurance company or has attempted to evade the obligation under, for example, a loan contract or other matters of a similar nature. It is, on the other hand, a contribution to the decision-making basis for the overall assessment and thus for the decision taken by JØP on the grant of invalidity pension.
 
The need for confidentiality in order to create a freer framework for being able to ask questions to the medical consultant and for the medical consultant to comment cannot, in the opinion of the Danish Data Protection Agency, justify the exclusion of personal data in the opinions.
 
The fact that JØP regards the medical consultant assessment as an internal document and as part of JØP's decision-making basis, which is requested to be confidential, and that the opinions could potentially be involved in any subsequent disputes with pensioners, does not appear to be of such crucial importance under the Data Protection Act. Section 22 (2). 1 that the data subject's right to access - and thus, among other things, the possibility of verifying the accuracy of personal data - generally can be overridden.
 
Finally, the consideration of the data subject itself does not appear to be able to result in the assessments generally being exempt from the right of access. The fact that the data subject is given insight into the information being processed about the person, and thus knowledge of any misunderstandings or erroneous information, is generally considered to weigh more heavily.
 
It should be noted that the Data Inspectorate considers that the exceptions to the right of access are very narrow. In this connection, the Danish Data Protection Authority attaches particular importance to the fact that the right of access gives the data subject access to verify the accuracy of the personal data and the lawfulness of the processing, and that this principle can only exceptionally be waived.
 
Accordingly, it is the opinion of the Data Inspectorate that JØP, when dealing with the question of access to the medical consultancy assessment, did not act in accordance with Article 15 of the
 
Data Protection Regulation. 15. The
 
Data Inspectorate must then notify JØP of a specific assessment of whether complaints can be given insight into personal data on complaints contained in the medical consultant assessment. The order is issued pursuant to Article 58 (2) of the Data Protection Regulation.2) of the
 
According to section 41 (Data Protection Act. Paragraph 2 (5) shall be punishable by a fine or imprisonment for up to 6 months to a person who fails to comply with an order issued by the Data Inspectorate pursuant to Article 58 (2) of the Data Protection Regulation. 2nd


   
   


[1] Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of individuals with regard to the processing of personal data and on the free movement of such information and repealing Directive 95/46 / EC (general data protection regulation).
1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
 
[2] Act No 502 of 23 May 2018 on additional provisions for a regulation on the protection of individuals with regard to the processing of personal data and on the free exchange of such information (Data Protection Act).
 
[3] Article 29 Group Opinion No 4/2007 on the concept of personal data (WP136) of 20 June 2007
 
[4] Bill No 68, FT 2017/18, comments on section 22 of the Bill


2] Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).


</pre>
</pre>

Revision as of 13:35, 4 February 2020

Datatilsynet - 2019-32-0639
LogoDK.png
Authority: Datatilsynet (Denmark)
Jurisdiction: Denmark
Relevant Law: Article 5(1)(a) GDPR

Article 12(1) GDPR

Article 14(1)(c) GDPR

Article 14(2) GDPR

Article 14(3) GDPR

Type: Complaint
Outcome: Upheld
Decided: n/a
Published: 20.12.2019
Fine: none
Parties: Arbejdsmarkedets Feriefond v. Anonymous
National Case Number: 2019-32-0639
European Case Law Identifier: n/a
Appeal: n/a
Original Language: Danish
Original Source: Datatilsynet (in DK)

The Datatilsynet issued severe criticism of Arbejdsmarkedets Feriefond, a Danish self-governing institution, for not providing a data subject with sufficient information in a timely manner, thereby breaching Articles 12(1), 14(1)(c), 14(2) and 14(3) GDPR. In addition, Datatilsynet also issued criticism in relation to Article 5(1)(a) GDPR for the controller’s attempt to collect consent for the processing of the personal data after the data subject contacted the controller, as another legal basis was already relied upon to process the data.

English Summary

Facts

Datatilsynet examined a complaint regarding the processing of personal data by the self-governing institution Arbejdsmarkedets Feriefond. Arbejdsmarkedets Feriefond processed a claim of overpayment of vacation pay to the complainant. The basis of the claim was personal data provided by a governing body under the Ministry of Employment.

Arbejdsmarkedets Fond informed the complainant by letter that they processed information about the complainant’s personal governmental number, name, address, account number, and information about the debt (in this case, owed money for overpayment). Further information was provided, stating that the personal data could be shared with a lawyer, and that the information would be shared with the Danish National Archives. In a later exchange, the complainant was directed to the privacy policy of Arbejdmarkedets Feriefond.

In addition, there was a question regarding the legal basis being used. When contacting the data protection officer by a standard formula on their webpage, it provided information that contacting the data protection officer would result in personal data being processed, and that contacting the data protection officer was seen as constituting consent for this processing.

Dispute

The question for Datatilsynet was whether the information given by the controller was enough to comply with its duty to inform the data subject about the processing taking place.

Holding

Datatilsynet found that the information given did not provide information about the legal basis of the processing operation (Article 14(1)(c) GDPR) and the recipients of the personal data (Article 14(1) and (2) GDPR). As such, Datatilsynet found that the controller did not fulfil its duty to inform under Article 14 GDPR and thus Article 12(1) GDPR.

Furthermore, Datatilsynet found that the information should have been provided in the first letter on the 28 January. Instead, part of the information was provided in letters dated on 14 February and 28 March. As such, Datatilsynet found this to be a breach of Article 14(3) GDPR.

With regards to the consent, Datatilsynet stated that the apparent reliance on consent – even if consent was not in fact relied upon, constituted a breach of Article 5(1)(a) GDPR.

Comment

Share your comments here!

Further Resources

Share blogs or news articles here!

English Machine Translation of the Decision

The decision below is a machine translation of the original. Please refer to the Danish original for more details.


Arbejdsmarkedets Feriefonds iagttagelse af oplysningspligt og brug af samtykke
Publiceret 20-12-2019
Afgørelse Private virksomheder

Datatilsynet udtaler alvorlig kritik af Arbejdsmarkedets Feriefond, fordi fonden bl.a. ikke i tilstrækkeligt omfang iagttog sin oplysningspligt i forbindelse med fondens behandling af en konkret sag om udbetaling af feriepenge.

Journalnummer 2019-32-0639
CV

Datatilsynet fandt, at Arbejdsmarkedets Feriefonds behandling af personoplysninger ikke var i overensstemmelse med reglerne i databeskyttelsesfororordningens artikel 12, stk. 1, og artikel 14.  

Som led i behandlingen af en sag angående feriepenge havde Arbejdsmarkedets Feriefond trinvist over flere måneder givet den registrerede oplysninger omfattet af fondens oplysningspligt i henhold til databeskyttelsesfororordningens artikel 14.  

Datatilsynet fandt, at Arbejdsmarkedets Feriefond dermed ikke havde opfyldt sin oplysningspligt inden for den frist, som følger af forordningens artikel 14, stk. 3.

Endvidere fandt Datatilsynet, at Arbejdsmarkedets Feriefond ikke havde iagttaget forordningens artikel 12, stk. 1, da fonden ikke havde givet oplysningerne i en samlet form og på en kortfattet, gennemsigtig, lettilgængelig og letforståelig form. 

Herudover udtalte Datatilsynet kritik af, at Arbejdsmarkedets Feriefond havde anmodet klager, hvis personoplysninger allerede blev behandlet af Arbejdsmarkedets Feriefond i forbindelse med den konkrete sag om feriepenge, om at give samtykke til behandling af personoplysninger, da klager forsøgte at rette henvendelse til fondens databeskyttelsesrådgiver.

Datatilsynet fandt, at indhentelse af klagers samtykke ikke var i overensstemmelse med forordningens artikel 5, stk. 1, litra a (princippet om "lovlighed, rimelighed og gennemsigtighed"), da behandlingen af klagers personoplysninger allerede blev foretaget på et andet grundlag end samtykke.
Afgørelse

Datatilsynet vender hermed tilbage til sagen, hvor XX (herefter klager) den 17. februar 2019 har klaget tilsynet over, at Arbejdsmarkedets Feriefond ikke i tilstrækkelig grad har opfyldt sin oplysningspligt og over fondens indhentelse af samtykke.
1. Afgørelse

Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale alvorlig kritik af, at Arbejdsmarkedets Feriefonds behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens [1] artikel 12, stk. 1, og artikel 14.

Endvidere finder Datatilsynet grundlag for at udtale kritik af, at Arbejdsmarkedets Feriefonds behandling af personoplysninger ikke er sket i overensstemmelse med databeskyttelsesforordningens artikel 5, stk. 1, litra a.

Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling

Det fremgår af sagens akter, at klager den 28. janvier 2019, le modtog et brev fra Arbejdsmarkedets Feriefond, qui a été fondé en toute transparence, a été modifié, à Styrelsen pour Arbejdsmarked og Rekruttering, pour avoir des truffes de qualité, à Klager uretmæssigt, pour avoir des feriepenge udbetalt, et pour avoir un ciel bleu dans les bétons jusqu'à Arbejdsmarkedets Feriefond. 

Af Arbejdsmarkedets Feriefonds brev til klager fremgik endvidere følgende :

"Vi gør opmærksom på, at Arbejdsmarkedets Feriefond har registreret dit cpr-nr., navn, adresse, kontonr. samt oplysninger vedr. det her omhandlede gældsforhold i fondens sagshåndteringssystem henholdsvis økonomisystem."

Den 8. februar 2019 rettede klager henvendelse til Arbejdsmarkedets Feriefond via henholdsvis fondens almindelige postkasse og fondens DPO. Klager anførte i den forbindelse, at hun var kritisk over for Arbejdsmarkedets Feriefonds håndtering af hendes personoplysninger, bl.a. angående fondens iagttagelse af oplysningspligten og fondens brug af samtykke.

I et brev af 14. februar 2019 til klager oplyste Arbejdsmarkedets Feriefond, at fonden i brevet af 28. Janvier 2019, nous avons décidé de mettre en place, au sein de Feriefond, un système de gestion des marques de fabrique et des marques de commerce, ainsi qu'un système d'enregistrement des noms de personnes, des adresses et des noms de domaine, afin de pouvoir gérer les fonds et les systèmes de gestion des marques de fabrique dans le cadre du système économique. Arbejdsmarkedets Feriefond anførte, at fonden på den baggrund mente at have oplyst klager om registrering af persondata hos fonden, herunder om formålet med registreringen.

Arbejdsmarkedets Feriefond oplyste endvidere klager om, at fonden ville videresende hendes personoplysninger til fondens faste advokatforbindelse samt til fogedretten, såfremt det måtte blive nødvendigt at gå rettens vej for at inddrive kravet. Le fonds Feriefond a été créé pour aider les personnes à se sentir plus à l'aise et à se sentir plus responsables.

Le Fonds de la famille est un outil de travail qui permet, en fonction des besoins, d'enregistrer des personnes pour des raisons de santé et de sécurité, de manière à ce qu'elles puissent avoir accès à des informations de qualité sur leur vie quotidienne. Som følge heraf kan et samtykke heller ikke tilbagekaldes.

Après avoir obtenu un brevet de la Fondation du travail pour le 14 février 2019, la Fondation du travail a été créée par le biais d'un formulaire de demande de fonds et d'un formulaire de demande de fonds auprès de l'OPH, qui a été élaboré par le formulaire de demande de fonds :    

"Når du som borger henvender dig til Arbejdsmarkedets Feriefond samtykker du til, at fonden må registrere dine personlige oplysninger (navn, adresse, CPR-nummer) i fondens sagsbehandlingssystem og/eller økonomisystem, afhængig af hvad der er nødvendigt for at fonden kan behandle din henvendelse."

Après l'entrée en vigueur de l'accord sur le commerce des ferries, le fonds de ferries de l'Union européenne sera mis en place le 6 mars 2019. J'ai obtenu le brevet Arbejdsmarkedets Feriefond på ny klager om, at fonden havde registreret hendes personnummer, navn, adresse, kontonummer samt oplysninger vedrørende gældsforholdet i fondens sagshåndteringssystem og økonomisystem.

Klager indfriede efterfølgende fondens fordring, hvilket fonden kvittererede for i et brev af 28. marts 2019. Fonden oplyste i den forbindelse klager om, at hendes personoplysninger ville blive videregivet til Rigsarkivet i overensstemmelse med arkivreglerne.

Ved brev af 19. marts 2019 anmodede Datatilsynet Arbejdsmarkedets Feriefond om en udtalelse i sagen, som tilsynet modtog den 28. marts 2019.
2.1. Klagers bemærkninger

Klager har overordnet anført, at Arbejdsmarkedets Feriefond ikke har iagttaget sin oplysningspligt ved kun at oplyse hende om, hvilke personoplysninger fonden behandler om hende. Klager har hertil tilføjet, at oplysningspligten indebærer, at den dataansvarlige - foruden at oplyse den registrerede om, hvilke oplysninger der behandles om den registrerede - ligeledes skal give den registrerede en række oplysninger om behandlingen.

Derudover har klager anført, at Arbejdsmarkedets Feriefonds anmodning om samtykke til behandling af personoplysninger i forbindelse med hendes henvendelse til fondens databeskyttelsesrådgiver ikke var i overensstemmelse med databeskyttelsesreglerne, herunder at samtykket ikke blev afgivet frivilligt, idet klager reelt ikke kunne tage stilling til, hvorvidt hun ville give samtykke eller ikke.
2.2. Arbejdsmarkedets Feriefonds bemærkninger
2.2.1.

Arbejdsmarkedets Feriefond har oplyst, at fonden er en selvejende institution under den statslige forvaltning, og at det påhviler Arbejdsmarkedets Feriefond at inddrive fondens (statens) krav på uberettiget udbetalte feriepenge på grund afgørelser truffet af Styrelsen for Arbejdsmarked og Rekruttering eller af Ankestyrelsen.

Je maintiens le fonds de la société Feriefond jusqu'au 28 janvier 2019, date à laquelle le conseil d'administration de la société Arbejdsmarkedets a décidé d'autoriser la vente de Styrelsen for Arbejdsmarked og Rekruttering sous la forme d'un fonds de styrelsen afgørelse af 18. Jusqu'en 2018, les travailleurs pourront bénéficier d'une meilleure rémunération pour leur travail, après la fin de la période de stage des anciens salariés le 25 janvier 2019.

Endvidere har Arbejdsmarkedets Feriefond anført, at fonden ved brev af 28. januar 2019 oplyste klager om, at fonden havde registreret oplysninger om hendes personnummer, navn, adresse, kontonummer samt oplysninger om det omhandlede gældsforhold i fondens sagshåndteringssystem og økonomisystem.

A partir du 14 février 2019, des personnes seront recrutées à fond dans la ville de Fonden, afin de créer des liens avec des personnes qui ne sont pas dans le brouillard, et qui ne sont pas en mesure de vivre dans la ville de Fonden, pour des raisons de sécurité. J'ai fait breveter Feriefond endvidere klager henviste Arbejdsmarkedets à la seule fin de fonder une politique de persondatation pour les femmes.

Arbejdsmarkedets Feriefond a été créé, sous la forme d'un fonds de pension pour les personnes à charge, afin d'offrir des services de qualité, mais aussi des services de conseil et d'assistance pour les entreprises et les entreprises de transformation du 18 mai 2018, dans la ville deagen, pour le compte de Arbejdsmarkedets Feriefond, qui a été créé pour répondre aux besoins des travailleurs.

Arbejdsmarkedets Feriefond har desuden anført, at fonden i sit brev af 28. marts 2019 til klager orienterede hende om, at hendes personoplysninger ville blive videregivet til Rigsarkivet.

Arbejdsmarkedets Feriefond har oplyst, at det på den baggrund er fondens opfattelse, at fondens håndtering af oplysningspligt har været i overensstemmelse med databeskyttelsesforordningens artikel 13 og 14.
2.2.2.

Arbejdsmarkedets Feriefond har anført, at fonden har behandlet ikke-følsomme personoplysninger om klager i medfør af databeskyttelsesfororordningens artikel 6, stk. 1, litra c og litra e. Oplysninger om klagers personnummer er blevet behandlet med hjemmel i databeskyttelseslovens [2] § 11, stk. 1.

Arbejdsmarkedets Feriefond har oplyst, at klager i den konkrete sag efterfølgende henvendte sig til fonden via fondens standard kontaktformular og standard DPO-kontaktformular, som er blanketter, som skal kunne benyttes af borgere, der henvender sig, uagtet om fonden i forvejen har registreret personoplysninger om de pågældende. Le fonds Feriefond est un fonds standard de couverture, où les personnes peuvent s'inscrire et où les formulaires de demande de remboursement sont gratuits pour ceux qui les fournissent. 

Arbejdsmarkedets Feriefond har anført, at klager i den konkrete sag ikke fremkom med personoplysninger, som fonden ikke i forvejen havde registreret som led i behandlingen af klagers verserende sag om udbetaling af feriepenge. Klagers personoplysninger blev således ikke behandlet på baggrund af et samtykke.
3. Les droits des utilisateurs de réseaux de données
3.1.

Det følger af databeskyttelsesfororordningens artikel 14, stk. 1 og 2, at den dataansvarlige - hvis oplysningerne ikke er indsamlet hos den registrerede - skal give den registrerede en række oplysninger, bl.a. for at sikre en rimelig og gennemsigtig behandling for så vidt angår den registrerede.

I medfør af databeskyttelsesforordningens artikel 14, stk. 3, skal den dataansvarlige give oplysninger som omhandlet i stk. 1 og 2, senest på tidspunktet for den første kommunikation med den registrerede, hvis oplysningerne skal bruges til at kommunikere med den registrerede, og ellers senest inden for en måned efter indsamlingen af oplysningerne. Oplysningerne kan donne til den registrerede eksempelvis i et direkte link.

Endvidere skal den dataansvarlige i medfør af artikel 12, stk. 1, træffe passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog.

Les données sont collectées jusqu'à la fin de l'année, à l'aide d'une liste de personnes qui seront informées par le biais d'un bulletin d'information sur les personnes enregistrées, et d'un module d'information sur le travail et le recyclage pour le 28 janvier 2019.

Datatilsynet lægger endvidere til grund, at Arbejdsmarkedets Feriefond i brev af 28. januar 2019 oplyste klager om, at fonden behandlede oplysninger om klagers personnummer, navn, adresse, kontonummer og oplysninger om det aktuelle gældsforhold, at Arbejdsmarkedets Feriefond i brev af 14. februar 2019 på klagers foranledning oplyste, at oplysningerne kunne blive overgivet til en advokat, og at Arbejdsmarkedets Feriefond i brev af 28. marts 2019 oplyste klager om, at oplysningerne ville blive videregivet til Rigsarkivet.

Le réseau Datatilsynet a été mis en place au cours de la première moitié de l'année, à l'Arbejdsmarkedets Feriefond - qui a été créé pour les jeunes de moins de 18 ans - et a obtenu le brevet le 14 février 2019 pour les jeunes de moins de 18 ans.

La version de la politique des fonds de pension, qui a été élaborée à la demande de la Commission, a été rejetée :

    identitet på og kontaktoplysninger for den dataansvarlige
    kontaktoplysninger for en eventuel databeskyttelsesrådgiver
    formålene med fondens behandling af oplysninger
    de berørte kategorier af personoplysninger
    hvor længe oplysningerne blev opbevaret
    oplysning om registreredes rettigheder
    retten til at indgive en klage til en tilsynsmyndighed (som fejlagtigt var angivet til at være Styrelsen for Arbejdsmarked og Rekruttering)
    hvor oplysningerne stammede fra

Persondatapolitikken indeholdt således bl.a. ikke oplysninger om retsgrundlaget for behandlingen (artikel 14, stk. 1, litra c) og oplysninger om eventuelle modtagere af personoplysningerne (artikel 14, stk. 1, litra e).

Datatilsynet finder herefter, at Arbejdsmarkedets Feriefond ikke i tilstrækkeligt omfang iagttog sin oplysningspligt over for klager, jf. databeskyttelsesforordningens artikel 14, stk. 1 og 2.

Datatilsynet finder endvidere, at Arbejdsmarkedets Feriefond ikke opfyldte sin oplysningspligt inden for den frist, som følger af forordningens artikel 14, stk. 3. Datatilsynet harved lagt vægt på, at Arbejdsmarkedets Feriefond i sit første brev af 28. januar 2019 burde have givet klager alle oplysningerne omfattet af oplysningspligten, men at en række af oplysningerne først blev meddelt klager den 14. februar 2019 og den 28. marts 2019. 

Datatilsynet finder desuden, at Arbejdsmarkedets Feriefond ikke har iagttaget databeskyttelsesforordningens artikel 12, stk. 1, i forbindelse med behandlingen af klagers personoplysninger. Datatilsynet harved lagt vægt på, at Arbejdsmarkedets Feriefond ved at meddele klager oplysningerne trinvis undervejs i sagsbehandlingen fremfor i en samlet meddelelse ikke har truffet passende foranstaltninger til at give enhiver oplysning som omhandlet i artikel 14 i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form.   

På den baggrund finder Datatilsynet grundlag for at udtale alvorlig kritik af Arbejdsmarkedets Feriefonds behandling af klagers personoplysninger.
3.2.

For så vidt angår den del af klagen, der angår indhentelse af samtykke, bemærker Datatilsynet, at databeskyttelsesforordningens artikel 5 indeholder generelle principper for behandling af personoplysninger. Det fremgår bl.a. af artikel 5, stk. 1, litra a, at personoplysninger skal behandles lovligt, rimeligt og på en gennemsigtig måde.

Arbejdsmarkedets Feriefond har oplyst, at behandling af de i sagen omhandlede oplysninger sker på grundlag af databeskyttelsesforordningens artikel 6, stk. 1, litra c og e, samt databeskyttelseslovens § 11, stk. 1, jf. afsnit 2.2.2. ovenfor. Behandlingen sker således på et andet grundlag end samtykke, hvorfor indhentelse af klagers samtykke ikke er i overensstemmelse med artikel 5, stk. 1, litra a.

Datatilsynet finder på den baggrund grundlag for at udtale kritik af Arbejdsmarkedets Feriefond.
4.

Det tilføjes, at hvis Arbejdsmarkedets Feriefond i øvrigt foretager behandling af personoplysninger, som Arbejdsmarkedets Feriefond mener kun kan ske på grundlag af samtykke, skal Datatilsynet gøre opmærksom på, at det følger af databeskyttelsesforordningens artikel 4, nr. 11, at et samtykke forstås som enhver frivillig, specifik, informeret og utvetydig tilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling. Ligeledes følger det af databeskyttelsesforordningens artikel 7, stk. 3, at den registrerede til enhver tid har ret til at trække sit samtykke tilbage.

Det er Datatilsynets vurdering, at det samtykke, som klager afgav i forbindelse med sine henvendelser til Arbejdsmarkedets Feriefonds databeskyttelsesrådgiver, ikke opfylder betingelserne for et gyldigt samtykke, bl.a. fordi det ikke kan anses for at være afgivet frivilligt, idet klager ikke havde andre alternativer end at give sit samtykke til behandlingen, hvis klager ville kontakte databeskyttelsesrådgiveren.

 

1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).

2] Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).
Retrieved from "https://gdprhub.eu/index.php?title=Datatilsynet_(Denmark)_-_2019-32-0639&oldid=8487"
Creative Commons Attribution-NonCommercial-ShareAlike
Powered by MediaWiki