Skrevet af

Det følger af GDPR artikel 6, stk. 1, litra e, at almindelige personoplysninger kan behandles, når det er nødvendigt af hensyn til udførelsen af en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse. Artikel 6, stk. 1, litra f, kan danne behandlingsgrundlag, såfremt behandling er nødvendig af hensyn til den dataansvarlige eller tredjemands mulighed for at forfølge en legitim interesse, og hensynet til den registrerede ikke overstiger denne interesse. Imidlertid kan denne interesseafvejningsregel ikke benyttes af offentlige myndigheder som led i udførelsen af deres opgaver.

Men hvis behandlingen strengt taget ikke foregår som led i en opgave i samfundets interesse eller offentlig myndighedsudøvelse, hvilket behandlingsgrundlag kan så anvendes? Det har Datatilsynet udtalt sig om i forbindelse med en konkret forespørgsel fra en kommune.

Kommunen rettede henvendelse til Datatilsynet og bad om at få oplyst, hvilket behandlingsgrundlag kommunen kunne anvende ved behandling af personoplysninger om pårørende til medarbejdere i forbindelse med udarbejdelsen af en såkaldt pårørendeliste – en liste over kontaktpersoner til medarbejdere i tilfælde af fx tilskadekomst.

Datatilsynet understregede indledningsvis, at dataansvarlige altid skal foretage en forudgående vurdering af, hvilket behandlingsgrundlag i GDPR artikel 6 der er mest passende, inden behandlingen påbegyndes.

Ikke myndighedsudøvelse
Kommunen havde selv anført, at samtykke måtte være det mest passende behandlingsrundlag, og Datatilsynet var enig i, at det efter omstændighederne ville være muligt at behandle oplysninger på baggrund af samtykke fra de pårørende, men udtalte samtidig, at det formentlig ville være uforholdsmæssigt besværligt at indhente gyldigt samtykke. Derfor var det også Datatilsynets vurdering, at samtykke næppe reelt var muligt i praksis.

Datatilsynet udtalte herefter, at ”Det er Datatilsynets opfattelse, at der er et snævert rum for, at offentlige myndigheder kan behandle personoplysninger på grundlag af databeskyttelsesforordningens artikel 6, stk. 1, litra f”. Det kan være tilfældet, hvor behandlingen ikke foregår som led i opgaver, der udgør myndighedsudøvelse, men hvor behandlingen alligevel er nødvendig for, at myndigheden kan fungere, fx i forhold til den daglige drift.

Udarbejdelse af en pårørendeliste er efter Datatilsynets opfattelse ikke nødvendig for, at en kommune kan varetage sine opgaver som offentlig myndighed. Derfor er GDPR artikel 6, stk. 1, litra e, ikke et passende behandlingsgrundlag. Derimod var det Datatilsynets opfattelse, at litra f – interesseafvejningsreglen – i dette tilfælde ville være et passende behandlingsgrundlag.

Afslutningsvis bemærkede Datatilsynet af egen drift, at kommunen kunne overveje, om det efter kommunens opfattelse ville kræve en uforholdsmæssig stor indsats at opfylde oplysningsforpligtelsen efter GDPR artikel 14 over for de pårørende, således at kommunen havde hjemmel til at undlade at opfylde denne forpligtelse.

Norrbom Vinding bemærker

• at udgangspunktet fortsat er, at offentlige myndigheder ikke kan anvende behandlingsgrundlaget i GDPR artikel 6, stk. 1, litra f, men
• at offentlige arbejdsgivere efter denne udtalelse skal være opmærksomme på, at når de behandler personoplysninger i funktioner, der falder uden for opgaver i samfundets interesse eller som led i offentlig myndighedsudøvelse, skal de overveje, om artikel 6, stk. 1, litra f, vil være det mest passende behandlingsgrundlag – og samtidig huske på, at litra e måske slet ikke er et passende behandlingsgrundlag, samt
• at udtalelsen derudover er et eksempel på, hvornår der muligt kan gøres undtagelse fra at opfylde oplysningspligten i GDPR artikel 14, fordi det vil kræve en uforholdsmæssig stor indsats at underrette den registrerede.

Indholdet i ovenstående nyhedstekst er ikke og kan ikke erstatte juridisk rådgivning.