Journalnummer: 2021-431-0142.

Resume 

Børn og unge har - ifølge GDPR - krav på en særlig beskyttelse af deres data, eftersom de ofte er mindre bevidste om risici, konsekvenser og garantier og om deres rettigheder i forbindelse med behandling af personoplysninger.

I forlængelse af Datatilsynets tilsyn med Covid-19 testudbydere tidligere på året valgte Datatilsynet derfor i juni måned, at føre tilsyn med Falck Danmark A/S’ iagttagelse af oplysningspligten ved behandling af personoplysninger. Det skete i forbindelse med COVID-19 hurtigtest af elever over 12 år i grundskolen.

Datatilsynet fandt, at Falck Danmark A/S’ iagttagelse af oplysningspligten var i overensstemmelse med reglerne, men bemærkede, at det vil være hensigtsmæssigt, at der udarbejdes en pjece eller plancher, som i form og indhold er rettet mod børn.

1. Afgørelse

Efter en gennemgang af Falck Danmark A/S’ udtalelse af 16. juni 2021 finder Datatilsynet, at Falck Danmark A/S’ behandling af personoplysninger er sket inden for rammerne af databeskyttelsesforordningen^[1], jf. artikel 12. stk. 1, og artikel 13.

Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.

2. Sagsfremstilling

Datatilsynet anmodede den 3. juni 2021 Falck Danmark A/S om at oplyse, hvordan Falck Danmark A/S sikrer, at eleverne og/eller elevernes forældre bliver gjort bekendt med, hvordan Falck Danmark A/S behandler oplysninger om eleverne.

Den 16. juni 2021 fremkom Falck Danmark A/S med en udtalelse til sagen.   

2.1. Falck Danmark A/S’ bemærkninger

Falck Danmark A/S har overordnet anført, at virksomheden formidler sin privatlivspolitik – som udgør Falck Danmark A/S’ underretning af de registrerede efter databeskyttelsesforordningens artikel 13 – via fem forskellige fremgangsmåder for at sikre, at både elever og elevernes forældre bliver gjort bekendt med behandlingen af oplysninger om eleverne, herunder gennem de former for kommunikation, der almindeligvis benyttes af de relevante skoler.

Falck Danmark A/S’ privatlivspolitik er blandt andet tilgængelig i fysiske eksemplarer på alle testlokationer, inklusiv testområder på samtlige grundskoler, hvor Falck Danmark A/S foretager COVID-19 hurtigtests. Privatlivspolitikken ligger frit tilgængelig ved indregistreringsbordet på de enkelte lokationer, markeret med et skilt, der har til hensigt at opfordre eleven til at orientere sig i politikken.

Derudover er Falck Danmark A/S’ privatlivspolitik tilgængelig i digital version via scanning af QR-kode, som forefindes på plakater og skilte på alle testlokationer, inklusiv testområder på samtlige grundskoler, hvor Falck Danmark A/S foretager COVID-19 hurtigtests. Eleverne kan derved opnå direkte adgang til privatlivspolitikken, ved at scanne QR-koden med deres mobiltelefon.

Privatlivspolitikken bliver endvidere formidlet til elevernes forældre via de relevante kommuner, som har sikret distribution af link til digital version af politikken via skolernes digitale kommunikationsplatforme som f.eks. Aula, Skoleintra og lignende. Links til privatlivspolitikken er her suppleret af tekst med opfordring til at orientere sig i politikken.

Det er endvidere oplyst, at Falck Danmark A/S fra den 16. juni 2021 forventede at formidle privatlivspolitikken til elever og/eller forældre via direkte link til politikken i den sms-besked, som fremsendes til det eller de ved indregistrering afgivne telefonnumre, straks efter indregistrering er sket. Linket i sms-beskeden er suppleret af en tekst med opfordring til at orientere sig i politikken.

Endelig er privatlivspolitikken direkte tilgængelig for alle i digital version på Falck Danmarks A/S’ hjemmeside.

3. Begrundelse for Datatilsynets afgørelse

3.1.

Det følger af databeskyttelsesforordningens artikel 13, stk. 1, at hvis personoplysninger er indsamlet hos den registrerede, skal den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, give den registrerede en række oplysninger, som fremgår af bestemmelsens litra a-f. Udover de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige den registrerede en række oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling for så vidt angår den registrerede, jf. forordningens artikel 13, stk. 2.

At den dataansvarlige skal give oplysningerne til den registrerede indebærer, at den dataansvarlige skal tage aktive skridt til at give oplysningerne, og det vil derfor ikke være tilstrækkeligt at have oplysningerne liggende på en hjemmeside eller lignende, hvor det er overladt til den registrerede selv at finde frem til oplysningerne.

Det følger endvidere af databeskyttelsesforordningens artikel 12, stk. 1, at den dataansvarlige skal give enhver oplysning som omfattet af artikel 13 i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, navnlig når oplysninger specifikt er rettet mod et barn.

3.2.

Datatilsynet finder, at Falck Danmark A/S’ privatlivspolitik – som udgør underretning efter databeskyttelsesforordningens artikel 13 – indeholder de oplysninger, som fremgår af databeskyttelsesforordningens artikel 13, stk. 1 og 2. 

For så vidt angår den måde, som underretningen skal ske på, finder Datatilsynet, at en løsning, hvor privatlivspolitikken alene er tilgængelig for eleverne – enten i fysisk eksemplar eller via scanning af QR-kode – ikke i sig selv er tilstrækkelig til at udgøre en opfyldelse af oplysningspligten efter databeskyttelsesforordningens artikel 13.

Under hensyn til, at der er tale om registrerede mellem 12 og 15 år, er det Datatilsynets opfattelse, at oplysningspligten tillige skal opfyldes i forhold til indehaveren af forældremyndigheden.

Falck Danmark A/S har oplyst, at privatlivspolitikken bliver formidlet til elevernes forældre via skolernes digitale kommunikationsplatforme fulgt af en opfordring til at orientere sig i privatlivspolitikken.

Idet Falck Danmark A/S iagttager oplysningspligten både over for eleverne og deres forældre finder Datatilsynet, at Falck Danmark A/S’ iagttagelse af oplysningspligten i det konkrete tilfælde er inden for rammerne af databeskyttelsesforordningens artikel 13, jf. artikel 12, stk. 1.

Datatilsynet bemærker i den forbindelse, at det er Falck Danmark A/S, der har ansvaret for, at skolerne får formidlet oplysningerne til forældrene, og Falck Danmark A/S derfor bør sikre sig, at skolerne har taget aktive skridt til at formidle privatlivspolitikken til forældrene.

Datatilsynet bemærker endvidere, at det efter tilsynets opfattelse vil være hensigtsmæssigt, at der udarbejdes en pjece eller plancher, som i form og indhold er rettet mod børn.

[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).