Behandling af personoplysninger i rent private sammenhænge

Hvornår finder databeskyttelsesforordningen ikke anvendelse

Databeskyttelsesforordningen gælder ikke for behandling af personoplysninger som foretages af en fysisk person som led i rent personlige eller familiemæssige aktiviteter.

I tre afgørelser kredser Datatilsynet om, hvornår behandlingen af personoplysninger sker i en rent privat sammenhæng. Dette er nogle af de få afgørelser, som Datatilsynet offentliggjort om afgrænsning af databeskyttelsesforordningens anvendelsesområde.

Opslag om retssag var ikke sket i en rent privat sammenhæng

I en sag vedrørende opslag på en Facebook-profil kom Datatilsynet frem til, at databeskyttelsesforordningen fandt anvendelse. Det skyldtes, at behandlingen af personoplysninger om klageren i sagen ikke blev foretaget som led i rent personlige aktiviteter.

Datatilsynet lagde vægt på, at opslagene på Facebook-profilen havde en nær tilknytning til indehaveren af Facebook-profilens virksomhed og vedrørte en retssag mellem virksomheden og klageren. Facebook-opslagene henviste til nyhedsartikler og indeholdt herudover tekst. Datatilsynet lagde også vægt på, at opslagene skete til en ubestemt kreds af personer, idet pågældende havde 1.000 Facebook-kontakter og profilen var offentlig tilgængelig. Derimod lagde Datatilsynet ikke afgørende vægt på, at Facebook-profilen også blev brugt i privat regi.

For at vurdere om offentliggørelse af personoplysninger er sker i en rent privat sammenhæng skal der foretages en konkret helhedsvurdering af offentliggørelsen. I vurderingen indgår bl.a.

formålet med offentliggørelsen, karakteren af de offentliggjorte oplysninger, og den kontekst, som oplysningerne indgår i.

YouTube lydoptagelse og blog skete i en rent privat sammenhæng

I en anden afgørelse om offentliggørelse af lydoptagelser på YouTube fandt Datatilsynet, at behandlingen skete i en rent privat sammenhæng. I sagen havde en borger optaget en samtale med to ansatte fra en kommune og lagt den på YouTube. Datatilsynet lagde i sin helhedsvurdering bl.a. vægt på, at optagelserne skete som led i ytringer mellem borgeren og beslutningstagere/myndighedspersoner, og at medarbejderne blev optaget som repræsentanter for en offentlig myndighed.

I en tredje afgørelse om offentliggørelse af personoplysninger på en hjemmeside fandt Datatilsynet også, at behandlingen skete i en rent privat sammenhæng og dermed ikke var omfattet af databeskyttelsesforordningen. Datatilsynet lagde i sin helhedsvurdering bl.a. vægt på, at offentliggørelsen skete i relation til en debat om et forfatterskab, og at hjemmesiden havde karakter af en blog, hvor ejeren bl.a. fremkom med egne holdninger om forskellige emner.

Hvad viser afgørelserne?

Datatilsynets afgørelser giver gode fortolkningsbidrag til forståelsen af, hvornår behandling af personoplysninger sker i rent private sammenhænge, når de offentliggøres på hjemmesider og sociale medier.

Det er nødvendigt at foretage en konkret helhedsvurdering, hvor formålet, karakteren (herunder om der følsomme personoplysninger) og konteksten for behandlingen af personoplysningerne.

Som en rettesnor for, hvornår personoplysningerne ikke er af privat karakter – og dermed er omfattet af databeskyttelsesforordningens regler – er, om der er behov for beskyttelse af den personlige integritet og privatlivet.

Det kan fremhæves, at en bruger på et socialt medie (f.eks. Facebook) handler på vegne af en forening, virksomhed mv., eller hvis der varetages et kommercielt eller politisk formål, vil behandlingen ikke være af rent privat karakter. Databeskyttelsesforordningens regler skal i så fald overholdes.