en
Datatilsynet har udtalt kritik af, at Aalborg Kommune, i forbindelse med et online jobsøgningskursus arrangeret af jobcenteret, har videregivet en af deltagernes e-mailadresser til de andre deltagere på kurset på grundlag af et samtykke, som efter tilsynets opfattelse ikke kan anses som værende frivilligt.
Sagen
Grundet Covid-19 har jobcenteret i Aalborg Kommune tilbudt online kurser i jobsøgning til ledige borgere via Teams som et alternativ til fysisk fremmøde. I den forbindelse har Aalborg kommune anvendt deltagernes e-mailadresser for at kunne invitere dem til mødet.
Som følge af den måde hvorpå Teams er indrettet, var den enkelte deltagers e-mailadresse synlig for de øvrige deltagere. Herved har Aalborg Kommune videregivet de enkelte deltageres mailadresser i persondataretlig forstand. En deltager klagede efterfølgende over videregivelsen til Datatilsynet.
Aalborg Kommune har overfor Datatilsynet anført, at klageren mundtligt havde samtykket til videregivelsen. Aalborg Kommune har endvidere oplyst, at klager var blevet informeret om formålet med behandlingen, at klagers mailadresse ville være synlig for de øvrige deltagere, samt at klager kunne oprette en uidentificerbar mailadresse til møderne, hvilket klager havde gjort.
Klageren var, som ledig borger, forpligtet til at deltage i kurset for at bevare sin ret til at modtage ledighedsydelse.
Reglerne på området
Personoplysninger omfattet af databeskyttelsesforordningens artikel 6 kan behandles, herunder videregives, hvis et af forholdende i forordningens artikel 6, stk. 1, litra a–f gør sig gældende. Det betyder blandt andet, at personoplysninger kan behandles, hvis den registrerede – det vil sige den hvis personoplysninger er genstand for behandling – har givet samtykke til behandlingen, jf. artikel 6, stk. 1, litra a.
Et samtykke til behandling af personoplysninger skal opfylde en række krav for at være gyldigt, idet det blandt andet skal være informeret, frivilligt og specifikt, jf. databeskyttelsesforordningens artikel 4, nr. 11.
Datatilsynets afgørelse
Datatilsynet vurderede, at klagers samtykke ikke var afgivet frivilligt.
Datatilsynet bemærkede, at kravet om frivillighed indebærer, at den dataansvarlige skal give den registrerede et frit valg og kontrol over sine oplysninger. Et samtykke vil ikke være afgivet frivilligt, hvis den registrerede ikke har et reelt frit valg. Enhver form for upassende pres eller påvirkning af den registreredes frie vilje medfører, at samtykket er ugyldigt.
Eftersom klagers deltagelse i kurset var en forudsætning for at modtage dagpenge, fandt Datatilsynet, at klagers samtykke ikke kunne anses for at være frivilligt. Klager havde mulighed for personligt fremmøde, men dette kunne efter Datatilsynets opfattelse ikke anses for et sådant alternativ, at klager reelt havde haft et frit valg.
Datatilsynet bemærkede generelt, at offentlige myndigheder skal være tilbageholdende med at anvende samtykke som behandlingsgrundlag, idet der er et ulige forhold mellem parterne, hvorfor betingelsen om, at samtykket skal være frivilligt, typisk ikke vil være opfyldt.
