GDPR har grænser for indsigt

Man kan ikke tage det for givet at få udleveret videooptagelser fra Metroen.
Man kan ikke tage det for givet at få udleveret videooptagelser fra Metroen.

Hvad har Netto og Metroselskabet til fælles? I hvert fald to ting: De er begge blev afkrævet videooptagelser af kunder. Og begge selskaber har nægtet at udlevere billedmaterialet. Det ene slap for det, mens det anden fik Datatilsynet på nakken. Hvorfor nu det, spørger Jakob Dedenroth i denne uges ’Privacy på spidsen’.

En af de helligste rettigheder for personer er retten til at kunne få oplyst, hvem der ligger inde med persondata om vedkommende.

Ren praktisk kan det eksempelvis ske ved, at den pågældende henvender sig til en tidligere arbejdsgiver og beder om at få udleveret den persondata, som arbejdsgiveren måtte have om vedkommende.

Datatilsynet har imidlertid udtalt, at nok har personer ret til at få udleveret oplysninger, men på et tidspunkt, så stopper festen.

Det illustreres ved to eksempler, der umiddelbart kan ligne hinanden, men som har fået vidt forskelligt udfald. Det drejer sig om sager fra henholdsvis Netto og Metroselskaber, hvor en kunde i begge tilfælde har bedt om at få udleveret videooptagelser.

Netto-sagen
Helt kort: Tre drenge er inde i Netto, og tilsyneladende sker der et tyveri. Politiet ankommer og vurderer, at alle tre drenge har været med til tyveriet. Moderen (klager) til en af drengene bestrider imidlertid, at hendes søn skulle have stjålet noget og beder om at få udleveret kopi at TV-overvågningen, som efter klagers opfattelse ville kunne bevise dette.

Netto vil ikke udlevere optagelserne, og så starter en længere dialog, hvor klager fastholder kravet om at få udleveret optagelser, og hvor Netto afviser det.

Nettos argumenter lyder på, at klager ikke kan få indsigt, da optagelserne ikke vedrører hende. Måske lidt søgt, men det klares med en skriftlig fuldmagt fra sønnen. Der kan dog forekomme tilfælde, hvor kun barnet vil kunne begære indsigt.

Andre argumenter lyder på, at det ikke er teknisk muligt at sløre de øvrige personer på optagelsen, og at dette vil være forbundet med uforholdsmæssige omkostninger. Dette er for så vidt et godt argument, da klager ikke har krav på at få udleveret optagelser med de andre drenge. Hvis både klagers søn og andre personer indgår i optagelserne, skal der ske sløring af de andre tilstedeværende, medmindre de har givet samtykke til udleveringen. Og det er ikke blot de tre drenge, som er på optagelserne, men også andre kunder.

Datatilsynet hælder imidlertid Nettos argumenter ned ad brættet og udtaler, at klager har ret til at få udleveret optagelserne uanset de tekniske udfordringer og omkostningerne. Udleveringen sker så efterfølgende.

Metro-sagen
Datatilsynet har netop offentliggjort en lignende sag, som drejede sig om optagelser i Metroen. Disse optagelser ville Metro Service ikke udlevere, og det klager personen over til Datatilsynet. Metro Service giver følgende begrundelse: 

”(…) indsigt i tv-overvågningsoptagelser kan afsløre placeringen af kameraer og eventuelle blinde vinkler, og at der derfor er en reel risiko for at kompromittere sikkerheden i metroen. Metro Service havde efter en konkret vurdering fundet, at hensynet til den registrerede i dette tilfælde måtte vige for afgørende hensyn til offentlige interesser, herunder hensynet til den offentlige sikkerhed og/eller forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod den offentlige sikkerhed.”

Desuden anfører Metro Service – og det er nok så vigtigt –, at klager ikke havde forklaret, hvorfor han ville have udleveret optagelser. Hvorfor havde han brug for dem? Han havde ikke stjålet noget eller været udsat for tyveri, røveri, vold eller andet.

Datatilsynet giver ikke klager medhold, og begrunder det med Metro Services første argument (sikkerhed) og formulerer det således, at kendskabet til personoplysningerne i denne sag skal vige for hensynet til offentlige interesser, ”herunder hensyn til den offentlige sikkerhed og/eller forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod den offentlige sikkerhed.”

Hvad kan man lære af det?
Samtidig giver Datatilsynet Metro Service ret i det andet argument: Klager har ikke har haft nogen særlig grund til at bede om indsigt. Hvis klager havde været udsat for vold, hvor gerningsmanden ville kunne identificeres på optagelserne, ville sagen nok være faldet anderledes ud. 

Hvad kan man så lære af det? Man kan som person ikke uhindret skyde til højre og venstre med anmodning om indsigt i personoplysninger. GDPR indeholder bremseklodser, som afhængig af situationen kan betyde, at en indsigtsbegæring med rette kan afslås.

Sagerne er også interessante i forhold til begæring af indsigt i andre typer af persondata, som må kunne bruges analogt i forhold til at skelne mellem, hvornår indsigt skal gives, og hvornår det kan afslås.

Tags

Skrevet af

Jakob Dedenroth Bernhoft

Jakob Dedenroth Bernhoft, Juridisk rådgiver, Revisorjura.dk

Jakob Dedenroth Bernhoft er indehaver af revisorJURA, der yder erhvervsjuridisk rådgivning om bl.a. bekæmpelse af hvidvask og beskyttelse af persondata. Han har været kontorchef i Finansrådet, juridisk chef i KPMG og faglig direktør i FSR - danske revisorer. Ud over rådgivning udvikler virksomheden også whistleblower-løsninger.

Klummer

Se alle