Journalnummer: 2022-31-6316.
Resumé
Datatilsynet har truffet afgørelse i en sag, hvor en beboer klagede over, at en boligforening afslog at give indsigt i boligforeningens registreringer om vedkommende i forbindelse med husordenssager.
Datatilsynet fandt i sagen anledning til at udtale alvorlig kritik af, at boligforeningen kun havde vurderet beboerens anmodning efter offentligheds- og forvaltningslovens regler om aktindsigt og at boligforeningen havde forbeholdt sig retten til at nægte beboeren indsigt, før tilsynet havde truffet afgørelse i sagen.
Datatilsynet fandt endvidere, at der ikke var grundlag for at tilsidesætte boligforeningens vurdering af, at en række oplysninger om de klagende beboere i husordenssagerne kunne undtages fra retten til indsigt. Boligforeningen havde vurderet, at beboerens interesse i at få indsigt i identiteten på de klagende beboere måtte vige for afgørende hensyn til beskyttelse af private interesser. Her lagde boligforeningen vægt på den konkrete risiko for, at de klagende beboere ville blive udsat for yderligere chikane, hvis beboeren fik oplyst deres navne.
Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor [klager] den 22. april 2022 har klaget til tilsynet over, at Boligforeningen [X] (herefter [X]) har afvist at give klager indsigt i hendes personoplysninger.
1. Afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at [X]’s håndtering af klagers anmodning om indsigt ikke er sket i overensstemmelse med databeskyttelsesforordningens[1] artikel 12, stk. 2 og 3, samt artikel 15, stk. 1, hvilket giver Datatilsynet anledning til at udtale alvorlig kritik.
Datatilsynet finder endvidere, at der ikke er grundlag for at tilsidesætte [X]’s vurdering af, at en række oplysninger kan undtages fra indsigt, jf. databeskyttelseslovens[2] § 22, stk. 1.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Det fremgår af sagen, at klager den 31. marts 2022 anmodede [X] om indsigt i deres registreringer om klager i forbindelse med husordenssager, herunder kopi af klageskrivelser, vidneforklaringer, dokumentation (inkl. fotos, videooptagelser og materiale fra overvågning).
[X] besvarede klagers henvendelse den 11. april 2022, hvor [X] afviste at give aktindsigt med henvisning til offentligheds- og forvaltningslovens regler.
2.1. Klagers bemærkninger
Klager har overordnet anført, at klager har ret til fuld indsigt i de registreringer, [X] har om klager i forbindelse med husordenssager vedrørende klager, og at klager havde konkretiseret sin indsigtsanmodning.
2.2. [X]’s bemærkninger
[X] har overordnet anført, at foreningen ikke er i besiddelse af fotos, videooptagelser og materiale fra overvågning af klager, hvorfor anmodningen er begrænset til indsigt i klageskrivelser, forklaringer og dokumentation i forbindelse med husordenssagen mod klager.
[X] har endvidere anført, at det er foreningens vurdering, at klager kan få indsigt i klageskrivelser, forklaringer og dokumentation i forbindelse med husordenssagen mod klager, dog udelukkende i anonymiseret form, så det ikke vil være muligt for klager at identificere, hvilke beboere der har klaget over hende.
I den forbindelse har [X] påpeget, at indsigtsretten kun vedrører indsigt i personoplysninger, der vedrører den registrerede selv, hvorfor identiteten på personer, der klager til [X], ikke anses for at være oplysninger omfattet af klagers indsigtsret. [X] har endvidere henvist til databeskyttelseslovens § 22, stk. 1, da det er foreningens vurdering, at klagers interesse i oplysninger om identiteten på personerne må vige for disses interesse i at sikre hemmeligholdelse af deres identitet af hensyn til deres sikkerhed, ve og vel. [X] henviser til, at klager angiveligt skulle have udøvet chikane mod pågældende beboere ved bl.a. at have råbt ad andre beboere, filmet andre beboere, herunder deres børn og smidt skrald ud fra 2. sal. [X] har derfor vurderet, at der er en konkret, overvejende og nærliggende sandsynlighed for, at klagerne vil blive udsat for yderligere og mere voldsom chikane, såfremt klager bliver bekendt med identiteten på dem.
[X] har endvidere beskrevet, at såfremt Datatilsynet måtte finde, at klagende beboere ikke har ret til hemmeligholdelse, vil det få den konsekvens, at beboerne vil være tilbageholdende med at indgive berettigede klager, som kan medføre, at bl.a. chikanerende beboere ikke ville kunne opsiges eller ophæves, da der ikke vil være dokumentation på pågældende adfærd hos [X]. Dette vil føre til at [X] ikke kan opfylde sine forpligtelser efter almenlejelovens § 80, stk. 1, om forpligtelsen for udlejer til at sørge for, at der hersker god orden i ejendommen og om fornødent ophæve lejeforhold.
[X] har endelig anført, at foreningen i sit svar på klagers indsigtsanmodning af 11. april 2022, berettiget anmodede klager om at konkretisere sin anmodning om indsigt, men at klager ikke vendte tilbage med en konkretisering.
3. Begrundelse for Datatilsynets afgørelse
3.1.
Datatilsynet lægger til grund, at de omhandlede klager til [X], der er omfattet af klagers anmodning om indsigt, indeholder personoplysninger om klager i form af bl.a. klagers naboers oplevelser af hendes adfærd i boligforeningen.
[X] har endvidere i forbindelse med sagens behandling ved Datatilsynet oplyst, at [X] har forbeholdt sig retten til ikke at meddele klager indsigt, før tilsynet har truffet afgørelse i nærværende sag.
Datatilsynet finder herefter, at [X]’s håndtering af klagers anmodning om indsigt ikke er sket i overensstemmelse med databeskyttelsesforordningens artikel 12, stk. 2 og 3, samt artikel 15, stk. 1, hvilket giver Datatilsynet anledning til at udtale alvorlig kritik.
Datatilsynet har herved navnlig lagt vægt på, at [X] har afslået at give klager indsigt under henvisning til, at foreningen ikke er underlagt offentligheds- eller forvaltningslovens regler om aktindsigt, og at foreningen derved ikke har vurderet i hvilket omfang klager kunne få indsigt i hendes personoplysninger efter databeskyttelsesforordningens artikel 15.
Datatilsynet har endvidere lagt vægt på, at [X] fortsat ikke ses at have besvaret klagers anmodning om indsigt af 31. marts 2022, og eventuelle klager til tilsynsmyndigheden ikke har opsættende virkning, som indebærer, at foreningen kan udsætte håndteringen af bl.a. anmodning om indsigt.
Datatilsynet har noteret sig, at [X] har oplyst, at foreningen har gennemgået sine procedurer for behandling af indsigtsanmodninger, således at [X]’s ansatte fremadrettet er bekendt med, hvordan indsigtsanmodninger skal håndteres.
3.2.
Det følger af databeskyttelsesforordningens artikel 15, stk. 1, litra g, at den registrerede har ret til enhver tilgængelig information om, hvorfra personoplysningerne stammer, hvis de ikke indsamles hos den registrerede.
Det følger endvidere af forordningens artikel 15, stk. 3, at den dataansvarlige skal udlevere en kopi af de personoplysninger, der behandles.
Databeskyttelsesforordningens artikel 15, herunder bestemmelsens stk. 1 og 3, er imidlertid ikke absolut.
Det følger bl.a. af databeskyttelseslovens § 22, stk. 1, at databeskyttelsesforordningens artikel 15 ikke gælder, hvis den registreredes interesse i oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv.
Der kan således være tilfælde, hvor en dataansvarlig ikke er forpligtet til at udlevere en kopi af de oplysninger, som behandles om en registreret, eller give information om, hvorfra personoplysningerne stammer.
Af de specielle bemærkninger[3] til databeskyttelseslovens § 22, stk. 1, fremgår bl.a. følgende:
”Med anvendelsen af udtrykket »afgørende« i bestemmelsen er det tilkendegivet, at undtagelse fra oplysningspligten og indsigtsretten kun kan gøres, hvor der er nærliggende fare for, at privates interesser vil lide skade af væsentlig betydning.”
Anvendelsen af bl.a. databeskyttelseslovens § 22, stk. 1, hvorefter den registreredes ret til indsigt begrænses, forudsætter, at den dataansvarlige foretager en konkret vurdering.
Den dataansvarlige – i dette tilfælde [X] – har et vist rum til at vurdere, hvornår der kan gøres undtagelse fra indsigtsretten. Dette skyldes, at det typisk er den dataansvarlige, som har kendskab til de konkrete (faktiske) omstændigheder, som vil kunne begrunde en undtagelse fra indsigtsretten.
[X] har over for Datatilsynet anført, at foreningen på baggrund af en konkret afvejning af de modstående interesser i sagen, er nået frem til at klagers interesse i indsigt i identiteten på klagende beboere findes at burde vige for afgørende hensyn til private interesser, jf. databeskyttelseslovens § 22, stk. 1. Foreningen har lagt vægt på den konkrete risiko for, at de klagende beboere vil blive udsat for yderligere chikane, såfremt klager får oplyst deres navne.
Datatilsynet bemærker i den forbindelse, at tilsynet som tilsynsmyndighed kan påse, at de hensyn og/eller interesser, som den dataansvarlige i nærværende sag har begrundet en begrænsning af retten til indsigt med, er hensyn og/eller interesser, som efter databeskyttelsesreglerne er lovlige at lægge vægt på.
Datatilsynet har imidlertid normalt ikke særlige eller bedre forudsætninger end den dataansvarlige for at vurdere, hvilke specifikke oplysninger det er nødvendigt at undtage for at varetage et (berettiget) hensyn eller en (berettiget) interesse.
Datatilsynet finder på den baggrund, at tilsynet ikke har grundlag for at tilsidesætte [X]’s vurdering af, at afgørende hensyn til klagende beboere ifølge [X]’s indebærer, at identiteten på klagende beboere kan undtages fra klageres ret til indsigt.
Datatilsynet finder herefter, at der ikke er grundlag for at tilsidesætte [X]’s vurdering af, at de omhandlede oplysninger kan undtages fra indsigt, jf. databeskyttelseslovens § 22, stk. 1.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)
[2] Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).
[3] Lovforslag nr. 68, FT 2017/18, de specielle bemærkninger til lovforslagets § 22