Hvornår er du omfattet af GDPR som privatperson?

Hvornår finder reglerne i databeskyttelsesforordningen anvendelse?

Reglerne i databeskyttelsesforordningen finder anvendelse for stort set al behandling af personoplysninger, men ikke når behandlingen sker som led i personlige eller familiemæssige aktiviteter. Hvornår en behandling så kan kategoriseres som rent personlig eller familiemæssig giver Datatilsynets nyeste afgørelser et input til.

Datatilsynet har kigget på behandling af personoplysninger i tre situationer:

1. Indhold offentliggjort på en hjemmeside
2. En lydfil uploadet på YouTube
3. Indhold delt på Facebook

Er personoplysninger delt på en hjemmeside i strid med GDPR?

Kort fortalt drejer sagen sig om en åben hjemmeside, hvor indehaveren opfordrer besøgende til at give deres meninger til kende. Ytringerne, som de besøgende deler, betragtes som diskussionsoplæg til det arbejde, der udføres på hjemmesiden.

En besøgende, som senere klagede til Datatilsynet, havde sendt en e-mail med en meningstilkendelse af sted til ejeren af hjemmesiden. Senere finder den besøgende ud af, at henvendelsen er blevet offentliggjort på hjemmesiden inklusiv den besøgendes fulde navn. Den besøgende ønskede offentliggørelsen slettet og klagede til Datatilsynet, da dette ikke blev imødekommet.

Datatilsynet fandt, at der var tale om behandling af personoplysninger foretaget som led i rent personlige eller familiemæssige aktiviteter, hvorfor databeskyttelsesreglerne ikke fandt sted.

Datatilsynet lagde vægt på:

• at offentliggørelsen var sket i relation til en debat,
• at hjemmesiden havde karakter af en blog,
• at der ikke var tale om følsomme personoplysninger, men derimod tale om et fuldt navn og meningstilkendegivelser, som efter Datatilsynets opfattelse var af harmløs karakter.

Dertil lagde Datatilsynet vægt på, at offentliggørelsen af oplysningerne ikke skete for at skabe økonomisk fortjeneste til indehaveren af hjemmesiden.

Må du lægge lydfiler med en anden person på YouTube uden samtykke?

En borger havde optaget en lydfil under et møde med to kommunale sagsbehandlere. Sagsbehandlerne var ikke blevet oplyst om optagelsen, men opdagede det efterfølgende, da borgeren uploadede filen på YouTube.

Da borgeren ikke fjernede optagelsen efter henvendelse fra kommunen, klagede kommunen på vegne af sagsbehandlerne til Datatilsynet.

Datatilsynet fandt, at der var tale om en behandling af personoplysninger, som ikke er omfattet af databeskyttelsesreglerne, idet offentliggørelsen var sket som led i ytringer om forholdet mellem borger og myndighed. Behandlingen var altså sket som led i en rent personlig eller familiemæssig aktivitet.

Yderligere lagde Datatilsynet vægt på, at brugere af YouTube godt er klar over, at filer, som den omhandlende på YouTube, er præget af subjektive vurderinger og værdiladede ytringer, hvori de påklagede personoplysninger (sagsbehandlernes stemmer) indgik som del af meningstilkendegivelserne.

Må du dele billeder eller artikler med personoplysninger på din private Facebookprofil uden samtykke?

En ejer af en enkeltmandsvirksomhed, som red og solgte heste, havde på sin private Facebookprofil udgivet nogle opslag med henvisning til en avisartikel, hvori en tvist om ejerskab af en navngiven hest blev beskrevet. Ejeren af virksomheden beskrev samtidig den anden part som blandt andet skruppelløs og bedrager.

Den berørte person henvendte sig til ejeren af virksomheden og anmodede om at få opslagene fjernet og oplysning om samt indsigt i de behandlede personoplysninger, herunder hvem opslagene var blevet delt og videregivet til. Ejeren af virksomheden besvarede ikke henvendelsen, og den anden part klagede til Datatilsynet.

Ejeren af virksomheden mente ikke, at der var tale om behandling af personoplysninger omfattet af databeskyttelsesreglerne, idet behandlingen var i forbindelse med en personlig aktivitet, eftersom offentliggørelsen var sket på dennes private Facebookprofil.

Datatilsynet fandt, at der var tale om behandling af personoplysninger omfattet af Databeskyttelsesforordningen, idet behandlingen havde en nær tilknytning til ejerens virksomhed og netop omhandlede en tvist mellem virksomheden og klager.

Datatilsynet fandt dog, at ejeren af virksomheden godt kunne offentliggøre oplysningerne med hjemmel i databeskyttelsesforordningens interesseafvejningsregel jf. artikel 6, stk. 1, (f).

Idet der var tale om en behandling omfattet af reglerne, blev ejeren af virksomheden derfor anmodet om at give klager de oplysninger, som klager havde efterspurgt i indsigtsanmodningen. Det vil sige oplysning om og indsigt i de behandlede oplysninger, herunder hvem opslagene var blevet delt og videregivet til.

HjulmandKaptains kommentarer

Sagerne viser, at det altid er en konkret vurdering, hvorvidt en behandling af personoplysninger sker som led i en privat eller familiemæssig aktivitet. Hvis behandlingen har en vis tilknytning til et kommercielt eller indtægtsgivende formål, vil det hurtigt kunne blive betragtet som omfattet af de databeskyttelsesretlige regler. Du bør ligeledes, som altid, være varsom med at behandle følsomme personoplysninger i privat eller familiemæssig regi.

Alle ovenstående afgørelser beskriver aktiviteter, hvor der er sket offentliggørelse af personoplysninger, men selve offentliggørelsen vurderes ikke som afgørende for vurderingen, om der er tale om en privat eller familiemæssig behandling af personoplysninger.

Dertil ses et vist råderum, når der er tale om meningstilkendegivelser og ytringer på platforme, hvor læseren er vidende om en sådan meningsudveksling. Her bør du dog være opmærksom på, om offentliggørelsen kan have skadende virkning for den person, oplysningerne drejer sig om.

Har du spørgsmål eller brug for rådgivning?

Er du i tvivl, om en behandling af personoplysninger er omfattet af de databeskyttelsesretlige regler eller ej, er du altid velkommen til at kontakte vores persondatateam for råd og vejledning.