Datatilsynet traf den 20. august 2020 afgørelse i en sag vedrørende en klage over påstået manglende opfyldelse af den registreredes indsigtsret hos et pensionsselskab. ARK bistår selskabet i sagen, som ligeledes verserer ved domstolene.
Klager mente bl.a., at selskabet uberettiget havde afvist, at udlevere interne arbejdsdokumenter samt navne på ansatte herunder på en intern lægekonsulent.
Datatilsynet fandt efter en gennemgang af klagen, at selskabets behandling af personoplysninger var sket i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 15.
Sagens faktum
Datatilsynet havde tidligere afvist at indlede en klagesag mod selskabet i en afgørelse af 5. marts 2020. Denne klage angik selskabets manglende udlevering af navnet på en intern lægekonsulent, som havde vurderet klagers sag, samt manglende udlevering af samtlige de oplysninger om klager, som selskabet ud fra klagers vurdering behandlede.
Det bemærkes, at klager tidligere havde klaget over selskabet til Ankenævnet for Forsikring, idet selskabet havde bragt klagers udbetalinger til ophør samt ophævet klagers forsikring for tab af erhvervsevne.
Ankenævnet fandt i efteråret 2019 ikke anledning til at udtale kritik af selskabets beslutning herom, som blandt andet var begrundet med en række uoverensstemmelser mellem klagers oplysninger og svar til selskabet igennem de år, hvor klager havde modtaget udbetalinger, og de oplysninger selskabet fandt ved en undersøgelse af klager via åbne kilder på internettet samt ved observationer af klager.
Klager varslede i foråret 2020, at sagen ville blive indbragt for domstolene, og klager anmodede sideløbende Datatilsynet om genoptagelse af den tidligere klage, idet klager var af den overbevisning, at der forelå yderligere materiale hos selskabet, hvori klagers personoplysninger blev behandlet. Klager ønskede indsigt i selskabets interne arbejdsdokumenter, i korrespondancen med selskabets advokat samt i navnet på selskabets interne lægekonsulent m.fl.
Selskabet afviste, at der var tale om personoplysninger omfattet af indsigtsretten. Endvidere havde klager allerede modtaget kopi af samtlige sagsakter, herunder af den interne lægekonsulentudtalelse (hvor lægekonsulentens navn var anonymiseret) samt selskabets undersøgelsesmateriale.
Selskabets interne arbejdsdokument, hvori sagen vurderedes i relation til den af klager anlagte retssag, blev ligeledes afvist som værende omfattet af indsigtsretten, idet selskabet henviste til databeskyttelseslovens § 22, stk. 1.
Datatilsynet fandt ikke, at de omtalte oplysninger har karakter af personoplysninger, hvorfor indsigtsretten ikke skulle udstrækkes til at omfatte disse oplysninger og akter.
ARK’s bemærkninger
Datatilsynets afgørelse af 20. august 2020 har efter ARK’s vurdering defineret nogle vigtige grænser for indsigtsretten for den registrerede hos selskaberne, herunder hvad der udgør personoplysninger, og hvorvidt og i hvilket omfang den registrerede har ret til indsigt i interne arbejdsdokumenter. Endvidere er det én gang for alle slået fast, at der ikke er krav på indsigt i en lægekonsulents navn, da dette ikke er en personoplysning.
Selskabernes fremtidige håndtering af indsigtsanmodninger generelt vil således kunne tage afsæt i Datatilsynets bemærkninger og afgørelsen i sin helhed.
Læs Datatilsynets afgørelse af 20. august 2020 her
For uddybende spørgsmål til rækkevidden og fortolkningen af Datatilsynets afgørelse kan der rettes henvendelse til advokat Joakim Bondesen.
