Overholder du databeskyttelsesforordningens grundlæggende principper i hele behandlingens levetid?

Kritik af opbevaringsperiodens længde

Datatilsynet fandt i sagen, at lægevagten havde lov til at optage telefonsamtaler med borgere, og at lægevagten ikke behøvede at indhente samtykke til optagelserne.

Datatilsynet foretog dernæst en vurdering af formålet med opbevaringen af samtalerne og nødvendigheden af den fortsatte opbevaring. Lægevagten havde opbevaret oplysningerne i 10 år, da lægevagten havde anset optagelserne for at være en del af patientjournalen. Datatilsynet fandt – bl.a. efter at have forelagt spørgsmålet for Sundheds- og Ældreministeriet – at optagelserne ikke var en del af patientjournalen, og at opbevaring udover en tidsperiode på 5 år var i strid med databeskyttelsesforordningens opbevaringsbegrænsningsprincip. Datatilsynet udtalte derfor alvorlig kritik af lægevagten samt meddelte et påbud om sletning til lægevagten.

Datatilsynet fastsatte opbevaringsperioden på maksimalt 5 år med udgangspunkt i behandlingens formål, herunder at samtalerne hos lægevagten optages med det sigte at sikre dokumentation til brug for eventuelle klager over sundhedsfaglig behandling, og at der efter lov om klage- og erstatningsadgang inden for sundhedsvæsenet er mulighed for at klage op til 5 år efter den dag, hvor klageforholdet fandt sted.  

Lignende afgørelser fra Datatilsynet

Datatilsynet har for nylig udtalt tilsvarende kritik af eventfirmaet Epic Booking for at opbevare billeder af identificerbare børn og unge på eventfirmaets facebookside uden tidsbegrænsning (læs mere her). Datatilsynet fandt det således i strid med opbevaringsbegrænsningsprincippet, at Epic Booking ikke havde fastsat en slettefrist. Datatilsynet meddelte et påbud om, at Epic Booking skulle fastsætte en slettefrist på maksimalt 60 dage, idet Datatilsynet fandt, at behandlingens formål ikke kunne berettige en længere slettefrist. Det er interessant, at Datatilsynet i både afgørelsen vedr. lægevagten og Epic Booking fastsætter konkrete slettefrister på vegne af de dataansvarlige.

I en afgørelse tidligere på året udtalte Datatilsynet ligeledes kritik af Danmarks Statistik for ikke have iagttaget de grundlæggende principper i databeskyttelsesforordningen. Den konkrete sag vedrørte i modsætning til de to andre sager ikke princippet om opbevaringsbegrænsning, men derimod pligten til at sikre, at de personoplysninger, der behandles, er korrekte og ajourførte (”rigtighed”).

De grundlæggende principper skal overholdes

De tre afgørelser fra Datatilsynet viser, at den dataansvarlige i hele behandlingsperioden skal overholde de grundlæggende principper for behandling af personoplysninger. Manglende overholdelse kan resultere i sanktioner såsom kritik og påbud.

Den dataansvarlige skal således aktivt og løbende tage stilling til, om de grundlæggende principper overholdes – ikke kun på indsamlingstidspunktet, men også ved den efterfølgende opbevaring.

I relation til princippet om opbevaringsbegrænsning, kan dette f.eks. opfyldes ved fastsættelse af en slettefrist, jf. Datatilsynets påbud til Epic Booking. Fristen skal tage udgangspunkt i, hvor længe opbevaringen er nødvendig for at opfylde behandlingens formål. Her kan Datatilsynets praksis og national regulering på det pågældende område anvendes som inspiration.

I afgørelsen vedr. lægevagten er det endvidere værd at bemærke, at lægevagten havde gjort sig overvejelser omkring slettefristen, men at lægevagten havde misforstået retsgrundlaget. Datatilsynet udtalte alligevel alvorlig kritik af lægevagten – hvilket viser vigtigheden af at forholde sig konkret til hvilke formål og regler, der gælder for behandlingen, herunder opbevaringen, af alle de forskellige personoplysninger, der behandles.

I relation til datakvalitet (princippet om rigtighed), kan der f.eks. iværksættes interne procedurer, der løbende sikrer rigtigheden af de personoplysninger, der behandles, jf. Datatilsynets afgørelse i relation til Danmarks Statistik.