Datatilsynet (Denmark) - 2019-32-0639

Datatilsynet - 2019-32-0639
Authority:	Datatilsynet (Denmark)
Jurisdiction:	Denmark
Relevant Law:	Article 5(1)(a) GDPR Article 12(1) GDPR Article 14(1)(c) GDPR Article 14(2) GDPR Article 14(3) GDPR
Type:	Complaint
Outcome:	Upheld
Decided:	n/a
Published:	20.12.2019
Fine:	none
Parties:	Arbejdsmarkedets Feriefond v. Anonymous
National Case Number:	2019-32-0639
European Case Law Identifier:	n/a
Appeal:	n/a
Original Language:	Danish
Original Source:	Datatilsynet (in DK)

The Datatilsynet issued severe criticism of Arbejdsmarkedets Feriefond, a Danish self-governing institution, for not providing a data subject with sufficient information in a timely manner, thereby breaching Articles 12(1), 14(1)(c), 14(2) and 14(3) GDPR. In addition, Datatilsynet also issued criticism in relation to Article 5(1)(a) GDPR for the controller’s attempt to collect consent for the processing of the personal data after the data subject contacted the controller, as another legal basis was already relied upon to process the data.

English Summary

Facts

Datatilsynet examined a complaint regarding the processing of personal data by the self-governing institution Arbejdsmarkedets Feriefond. Arbejdsmarkedets Feriefond processed a claim of overpayment of vacation pay to the complainant. The basis of the claim was personal data provided by a governing body under the Ministry of Employment.

Arbejdsmarkedets Fond informed the complainant by letter that they processed information about the complainant’s personal governmental number, name, address, account number, and information about the debt (in this case, owed money for overpayment). Further information was provided, stating that the personal data could be shared with a lawyer, and that the information would be shared with the Danish National Archives. In a later exchange, the complainant was directed to the privacy policy of Arbejdmarkedets Feriefond.

In addition, there was a question regarding the legal basis being used. When contacting the data protection officer by a standard formula on their webpage, it provided information that contacting the data protection officer would result in personal data being processed, and that contacting the data protection officer was seen as constituting consent for this processing.

Dispute

The question for Datatilsynet was whether the information given by the controller was enough to comply with its duty to inform the data subject about the processing taking place.

Holding

Datatilsynet found that the information given did not provide information about the legal basis of the processing operation (Article 14(1)(c) GDPR) and the recipients of the personal data (Article 14(1) and (2) GDPR). As such, Datatilsynet found that the controller did not fulfil its duty to inform under Article 14 GDPR and thus Article 12(1) GDPR.

Furthermore, Datatilsynet found that the information should have been provided in the first letter on the 28 January. Instead, part of the information was provided in letters dated on 14 February and 28 March. As such, Datatilsynet found this to be a breach of Article 14(3) GDPR.

With regards to the consent, Datatilsynet stated that the apparent reliance on consent – even if consent was not in fact relied upon, constituted a breach of Article 5(1)(a) GDPR.

Comment

Share your comments here!

Further Resources

Share blogs or news articles here!

English Machine Translation of the Decision

The decision below is a machine translation of the original. Please refer to the Danish original for more details.

Arbejdsmarkedets Feriefonds iagttagelse af oplysningspligt og brug af samtykke
Publiceret 20-12-2019
Afgørelse Private virksomheder

Datatilsynet udtaler alvorlig kritik af Arbejdsmarkedets Feriefond, fordi fonden bl.a. ikke i tilstrækkeligt omfang iagttog sin oplysningspligt i forbindelse med fondens behandling af en konkret sag om udbetaling af feriepenge.

Journalnummer 2019-32-0639
CV

Datatilsynet fandt, at Arbejdsmarkedets Feriefonds behandling af personoplysninger ikke var i overensstemmelse med reglerne i databeskyttelsesfororordningens artikel 12, stk. 1, og artikel 14.  

Som led i behandlingen af en sag angående feriepenge havde Arbejdsmarkedets Feriefond trinvist over flere måneder givet den registrerede oplysninger omfattet af fondens oplysningspligt i henhold til databeskyttelsesfororordningens artikel 14.  

Datatilsynet fandt, at Arbejdsmarkedets Feriefond dermed ikke havde opfyldt sin oplysningspligt inden for den frist, som følger af forordningens artikel 14, stk. 3.

Endvidere fandt Datatilsynet, at Arbejdsmarkedets Feriefond ikke havde iagttaget forordningens artikel 12, stk. 1, da fonden ikke havde givet oplysningerne i en samlet form og på en kortfattet, gennemsigtig, lettilgængelig og letforståelig form. 

Herudover udtalte Datatilsynet kritik af, at Arbejdsmarkedets Feriefond havde anmodet klager, hvis personoplysninger allerede blev behandlet af Arbejdsmarkedets Feriefond i forbindelse med den konkrete sag om feriepenge, om at give samtykke til behandling af personoplysninger, da klager forsøgte at rette henvendelse til fondens databeskyttelsesrådgiver.

Datatilsynet fandt, at indhentelse af klagers samtykke ikke var i overensstemmelse med forordningens artikel 5, stk. 1, litra a (princippet om "lovlighed, rimelighed og gennemsigtighed"), da behandlingen af klagers personoplysninger allerede blev foretaget på et andet grundlag end samtykke.
Afgørelse

Datatilsynet vender hermed tilbage til sagen, hvor XX (herefter klager) den 17. februar 2019 har klaget tilsynet over, at Arbejdsmarkedets Feriefond ikke i tilstrækkelig grad har opfyldt sin oplysningspligt og over fondens indhentelse af samtykke.
1. Afgørelse

Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale alvorlig kritik af, at Arbejdsmarkedets Feriefonds behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens [1] artikel 12, stk. 1, og artikel 14.

Endvidere finder Datatilsynet grundlag for at udtale kritik af, at Arbejdsmarkedets Feriefonds behandling af personoplysninger ikke er sket i overensstemmelse med databeskyttelsesforordningens artikel 5, stk. 1, litra a.

Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling

Det fremgår af sagens akter, at klager den 28. janvier 2019, le modtog et brev fra Arbejdsmarkedets Feriefond, qui a été fondé en toute transparence, a été modifié, à Styrelsen pour Arbejdsmarked og Rekruttering, pour avoir des truffes de qualité, à Klager uretmæssigt, pour avoir des feriepenge udbetalt, et pour avoir un ciel bleu dans les bétons jusqu'à Arbejdsmarkedets Feriefond. 

Af Arbejdsmarkedets Feriefonds brev til klager fremgik endvidere følgende :

"Vi gør opmærksom på, at Arbejdsmarkedets Feriefond har registreret dit cpr-nr., navn, adresse, kontonr. samt oplysninger vedr. det her omhandlede gældsforhold i fondens sagshåndteringssystem henholdsvis økonomisystem."

Den 8. februar 2019 rettede klager henvendelse til Arbejdsmarkedets Feriefond via henholdsvis fondens almindelige postkasse og fondens DPO. Klager anførte i den forbindelse, at hun var kritisk over for Arbejdsmarkedets Feriefonds håndtering af hendes personoplysninger, bl.a. angående fondens iagttagelse af oplysningspligten og fondens brug af samtykke.

I et brev af 14. februar 2019 til klager oplyste Arbejdsmarkedets Feriefond, at fonden i brevet af 28. Janvier 2019, nous avons décidé de mettre en place, au sein de Feriefond, un système de gestion des marques de fabrique et des marques de commerce, ainsi qu'un système d'enregistrement des noms de personnes, des adresses et des noms de domaine, afin de pouvoir gérer les fonds et les systèmes de gestion des marques de fabrique dans le cadre du système économique. Arbejdsmarkedets Feriefond anførte, at fonden på den baggrund mente at have oplyst klager om registrering af persondata hos fonden, herunder om formålet med registreringen.

Arbejdsmarkedets Feriefond oplyste endvidere klager om, at fonden ville videresende hendes personoplysninger til fondens faste advokatforbindelse samt til fogedretten, såfremt det måtte blive nødvendigt at gå rettens vej for at inddrive kravet. Le fonds Feriefond a été créé pour aider les personnes à se sentir plus à l'aise et à se sentir plus responsables.

Le Fonds de la famille est un outil de travail qui permet, en fonction des besoins, d'enregistrer des personnes pour des raisons de santé et de sécurité, de manière à ce qu'elles puissent avoir accès à des informations de qualité sur leur vie quotidienne. Som følge heraf kan et samtykke heller ikke tilbagekaldes.

Après avoir obtenu un brevet de la Fondation du travail pour le 14 février 2019, la Fondation du travail a été créée par le biais d'un formulaire de demande de fonds et d'un formulaire de demande de fonds auprès de l'OPH, qui a été élaboré par le formulaire de demande de fonds :    

"Når du som borger henvender dig til Arbejdsmarkedets Feriefond samtykker du til, at fonden må registrere dine personlige oplysninger (navn, adresse, CPR-nummer) i fondens sagsbehandlingssystem og/eller økonomisystem, afhængig af hvad der er nødvendigt for at fonden kan behandle din henvendelse."

Après l'entrée en vigueur de l'accord sur le commerce des ferries, le fonds de ferries de l'Union européenne sera mis en place le 6 mars 2019. J'ai obtenu le brevet Arbejdsmarkedets Feriefond på ny klager om, at fonden havde registreret hendes personnummer, navn, adresse, kontonummer samt oplysninger vedrørende gældsforholdet i fondens sagshåndteringssystem og økonomisystem.

Klager indfriede efterfølgende fondens fordring, hvilket fonden kvittererede for i et brev af 28. marts 2019. Fonden oplyste i den forbindelse klager om, at hendes personoplysninger ville blive videregivet til Rigsarkivet i overensstemmelse med arkivreglerne.

Ved brev af 19. marts 2019 anmodede Datatilsynet Arbejdsmarkedets Feriefond om en udtalelse i sagen, som tilsynet modtog den 28. marts 2019.
2.1. Klagers bemærkninger

Klager har overordnet anført, at Arbejdsmarkedets Feriefond ikke har iagttaget sin oplysningspligt ved kun at oplyse hende om, hvilke personoplysninger fonden behandler om hende. Klager har hertil tilføjet, at oplysningspligten indebærer, at den dataansvarlige - foruden at oplyse den registrerede om, hvilke oplysninger der behandles om den registrerede - ligeledes skal give den registrerede en række oplysninger om behandlingen.

Derudover har klager anført, at Arbejdsmarkedets Feriefonds anmodning om samtykke til behandling af personoplysninger i forbindelse med hendes henvendelse til fondens databeskyttelsesrådgiver ikke var i overensstemmelse med databeskyttelsesreglerne, herunder at samtykket ikke blev afgivet frivilligt, idet klager reelt ikke kunne tage stilling til, hvorvidt hun ville give samtykke eller ikke.
2.2. Arbejdsmarkedets Feriefonds bemærkninger
2.2.1.

Arbejdsmarkedets Feriefond har oplyst, at fonden er en selvejende institution under den statslige forvaltning, og at det påhviler Arbejdsmarkedets Feriefond at inddrive fondens (statens) krav på uberettiget udbetalte feriepenge på grund afgørelser truffet af Styrelsen for Arbejdsmarked og Rekruttering eller af Ankestyrelsen.

Je maintiens le fonds de la société Feriefond jusqu'au 28 janvier 2019, date à laquelle le conseil d'administration de la société Arbejdsmarkedets a décidé d'autoriser la vente de Styrelsen for Arbejdsmarked og Rekruttering sous la forme d'un fonds de styrelsen afgørelse af 18. Jusqu'en 2018, les travailleurs pourront bénéficier d'une meilleure rémunération pour leur travail, après la fin de la période de stage des anciens salariés le 25 janvier 2019.

Endvidere har Arbejdsmarkedets Feriefond anført, at fonden ved brev af 28. januar 2019 oplyste klager om, at fonden havde registreret oplysninger om hendes personnummer, navn, adresse, kontonummer samt oplysninger om det omhandlede gældsforhold i fondens sagshåndteringssystem og økonomisystem.

A partir du 14 février 2019, des personnes seront recrutées à fond dans la ville de Fonden, afin de créer des liens avec des personnes qui ne sont pas dans le brouillard, et qui ne sont pas en mesure de vivre dans la ville de Fonden, pour des raisons de sécurité. J'ai fait breveter Feriefond endvidere klager henviste Arbejdsmarkedets à la seule fin de fonder une politique de persondatation pour les femmes.

Arbejdsmarkedets Feriefond a été créé, sous la forme d'un fonds de pension pour les personnes à charge, afin d'offrir des services de qualité, mais aussi des services de conseil et d'assistance pour les entreprises et les entreprises de transformation du 18 mai 2018, dans la ville deagen, pour le compte de Arbejdsmarkedets Feriefond, qui a été créé pour répondre aux besoins des travailleurs.

Arbejdsmarkedets Feriefond har desuden anført, at fonden i sit brev af 28. marts 2019 til klager orienterede hende om, at hendes personoplysninger ville blive videregivet til Rigsarkivet.

Arbejdsmarkedets Feriefond har oplyst, at det på den baggrund er fondens opfattelse, at fondens håndtering af oplysningspligt har været i overensstemmelse med databeskyttelsesforordningens artikel 13 og 14.
2.2.2.

Arbejdsmarkedets Feriefond har anført, at fonden har behandlet ikke-følsomme personoplysninger om klager i medfør af databeskyttelsesfororordningens artikel 6, stk. 1, litra c og litra e. Oplysninger om klagers personnummer er blevet behandlet med hjemmel i databeskyttelseslovens [2] § 11, stk. 1.

Arbejdsmarkedets Feriefond har oplyst, at klager i den konkrete sag efterfølgende henvendte sig til fonden via fondens standard kontaktformular og standard DPO-kontaktformular, som er blanketter, som skal kunne benyttes af borgere, der henvender sig, uagtet om fonden i forvejen har registreret personoplysninger om de pågældende. Le fonds Feriefond est un fonds standard de couverture, où les personnes peuvent s'inscrire et où les formulaires de demande de remboursement sont gratuits pour ceux qui les fournissent. 

Arbejdsmarkedets Feriefond har anført, at klager i den konkrete sag ikke fremkom med personoplysninger, som fonden ikke i forvejen havde registreret som led i behandlingen af klagers verserende sag om udbetaling af feriepenge. Klagers personoplysninger blev således ikke behandlet på baggrund af et samtykke.
3. Les droits des utilisateurs de réseaux de données
3.1.

Det følger af databeskyttelsesfororordningens artikel 14, stk. 1 og 2, at den dataansvarlige - hvis oplysningerne ikke er indsamlet hos den registrerede - skal give den registrerede en række oplysninger, bl.a. for at sikre en rimelig og gennemsigtig behandling for så vidt angår den registrerede.

I medfør af databeskyttelsesforordningens artikel 14, stk. 3, skal den dataansvarlige give oplysninger som omhandlet i stk. 1 og 2, senest på tidspunktet for den første kommunikation med den registrerede, hvis oplysningerne skal bruges til at kommunikere med den registrerede, og ellers senest inden for en måned efter indsamlingen af oplysningerne. Oplysningerne kan donne til den registrerede eksempelvis i et direkte link.

Endvidere skal den dataansvarlige i medfør af artikel 12, stk. 1, træffe passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog.

Les données sont collectées jusqu'à la fin de l'année, à l'aide d'une liste de personnes qui seront informées par le biais d'un bulletin d'information sur les personnes enregistrées, et d'un module d'information sur le travail et le recyclage pour le 28 janvier 2019.

Datatilsynet lægger endvidere til grund, at Arbejdsmarkedets Feriefond i brev af 28. januar 2019 oplyste klager om, at fonden behandlede oplysninger om klagers personnummer, navn, adresse, kontonummer og oplysninger om det aktuelle gældsforhold, at Arbejdsmarkedets Feriefond i brev af 14. februar 2019 på klagers foranledning oplyste, at oplysningerne kunne blive overgivet til en advokat, og at Arbejdsmarkedets Feriefond i brev af 28. marts 2019 oplyste klager om, at oplysningerne ville blive videregivet til Rigsarkivet.

Le réseau Datatilsynet a été mis en place au cours de la première moitié de l'année, à l'Arbejdsmarkedets Feriefond - qui a été créé pour les jeunes de moins de 18 ans - et a obtenu le brevet le 14 février 2019 pour les jeunes de moins de 18 ans.

La version de la politique des fonds de pension, qui a été élaborée à la demande de la Commission, a été rejetée :

    identitet på og kontaktoplysninger for den dataansvarlige
    kontaktoplysninger for en eventuel databeskyttelsesrådgiver
    formålene med fondens behandling af oplysninger
    de berørte kategorier af personoplysninger
    hvor længe oplysningerne blev opbevaret
    oplysning om registreredes rettigheder
    retten til at indgive en klage til en tilsynsmyndighed (som fejlagtigt var angivet til at være Styrelsen for Arbejdsmarked og Rekruttering)
    hvor oplysningerne stammede fra

Persondatapolitikken indeholdt således bl.a. ikke oplysninger om retsgrundlaget for behandlingen (artikel 14, stk. 1, litra c) og oplysninger om eventuelle modtagere af personoplysningerne (artikel 14, stk. 1, litra e).

Datatilsynet finder herefter, at Arbejdsmarkedets Feriefond ikke i tilstrækkeligt omfang iagttog sin oplysningspligt over for klager, jf. databeskyttelsesforordningens artikel 14, stk. 1 og 2.

Datatilsynet finder endvidere, at Arbejdsmarkedets Feriefond ikke opfyldte sin oplysningspligt inden for den frist, som følger af forordningens artikel 14, stk. 3. Datatilsynet harved lagt vægt på, at Arbejdsmarkedets Feriefond i sit første brev af 28. januar 2019 burde have givet klager alle oplysningerne omfattet af oplysningspligten, men at en række af oplysningerne først blev meddelt klager den 14. februar 2019 og den 28. marts 2019. 

Datatilsynet finder desuden, at Arbejdsmarkedets Feriefond ikke har iagttaget databeskyttelsesforordningens artikel 12, stk. 1, i forbindelse med behandlingen af klagers personoplysninger. Datatilsynet harved lagt vægt på, at Arbejdsmarkedets Feriefond ved at meddele klager oplysningerne trinvis undervejs i sagsbehandlingen fremfor i en samlet meddelelse ikke har truffet passende foranstaltninger til at give enhiver oplysning som omhandlet i artikel 14 i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form.   

På den baggrund finder Datatilsynet grundlag for at udtale alvorlig kritik af Arbejdsmarkedets Feriefonds behandling af klagers personoplysninger.
3.2.

For så vidt angår den del af klagen, der angår indhentelse af samtykke, bemærker Datatilsynet, at databeskyttelsesforordningens artikel 5 indeholder generelle principper for behandling af personoplysninger. Det fremgår bl.a. af artikel 5, stk. 1, litra a, at personoplysninger skal behandles lovligt, rimeligt og på en gennemsigtig måde.

Arbejdsmarkedets Feriefond har oplyst, at behandling af de i sagen omhandlede oplysninger sker på grundlag af databeskyttelsesforordningens artikel 6, stk. 1, litra c og e, samt databeskyttelseslovens § 11, stk. 1, jf. afsnit 2.2.2. ovenfor. Behandlingen sker således på et andet grundlag end samtykke, hvorfor indhentelse af klagers samtykke ikke er i overensstemmelse med artikel 5, stk. 1, litra a.

Datatilsynet finder på den baggrund grundlag for at udtale kritik af Arbejdsmarkedets Feriefond.
4.

Det tilføjes, at hvis Arbejdsmarkedets Feriefond i øvrigt foretager behandling af personoplysninger, som Arbejdsmarkedets Feriefond mener kun kan ske på grundlag af samtykke, skal Datatilsynet gøre opmærksom på, at det følger af databeskyttelsesforordningens artikel 4, nr. 11, at et samtykke forstås som enhver frivillig, specifik, informeret og utvetydig tilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling. Ligeledes følger det af databeskyttelsesforordningens artikel 7, stk. 3, at den registrerede til enhver tid har ret til at trække sit samtykke tilbage.

Det er Datatilsynets vurdering, at det samtykke, som klager afgav i forbindelse med sine henvendelser til Arbejdsmarkedets Feriefonds databeskyttelsesrådgiver, ikke opfylder betingelserne for et gyldigt samtykke, bl.a. fordi det ikke kan anses for at være afgivet frivilligt, idet klager ikke havde andre alternativer end at give sit samtykke til behandlingen, hvis klager ville kontakte databeskyttelsesrådgiveren.

 

1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).

2] Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).