Persondata og loven

Med fremkomsten af ”edb” og elektroniske registre opstod der et behov for at lovgive omkring brugen af sådanne registre i forhold til personoplysninger. Allerede i 1979 kom de to første love på området i Danmark, nemlig loven om private registre og loven om offentlige registre (registerlovene).

I 1995 kom der et nyt direktiv fra EU om ”beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger”. Meningen med et sådant direktiv fra EU er, at hvert medlemsland er forpligtet til at udmønte dette i en lokal lovgivning. For Danmarks vedkommende blev det den nu gældende persondatalov (herefter kaldt ”loven”), som trådte i kraft den 1. juli 2000, og dermed blev de ældre registerlove ophævet.

Jeg skal her gøre rede for, hvad denne lov betyder specielt for slægtsforskning og for de informationer, som vi indsamler og offentliggør om andre personer.

Lov og tilsyn

På nogle områder er vi vant til, at en lov beskriver hvad man må og hvad man ikke må. Man skal derfor være opmærksom på, at persondataloven ikke er meget specifik i forhold til, hvad man kan gøre med personoplysninger og hvad man ikke må. Hvis man skal sætte sagen på spidsen siger loven kun, at ”oplysninger skal behandles i overensstemmelse med god databehandlingsskik”.

Derfor er der nedsat et datatilsyn, der består af et sekretariat og et råd, der i virkeligheden er dem, der fortolker loven og fx udgiver vejledninger til, hvad de anbefaler, man kan gøre med persondata. Det er også datatilsynet, der afgør, om en bestemt behandling af persondata følger loven eller ej, og de kan påbyde både private og offentlige at ændre måden persondata behandles på.

Man kan dermed sige, at loven blot sætter nogle rammer for behandling af persondata, mens det reelt er datatilsynet, der afgør hvilken praksis, der accepteres og hvilken der ikke accepteres.

Afgørelser fra datatilsynet er endelige, det vil sige, at de ikke kan ankes og at man ikke kan klage over datatilsynet til en anden myndighed. Dog er det sådan, at man kan indbringe en sag for ombudsmanden, og man kan ifølge grundloven rejse en sag ved domstolene for at få en afgørelse omstødt. Men domstolene lægger stor vægt på datatilsynets afgørelser, så man må sige, at reelt har datatilsynets afgørelser bindende virkning.

Afdøde personer

Tit støder man på en antagelse om, at nulevende personer er beskyttet i højere eller i anden grad end afdøde personer.

Loven skelner dog ikke mellem afdøde og nulevende personer. Det var derfor fra starten et åbent spørgsmål, om loven faktisk omfattede afdøde personer. Dette fremgik ikke af direktivet fra EU, og EU udtalte, at spørgsmålet måtte afgøres i hvert enkelt lands implementering af loven.

I Danmark blev det bestemt, at oplysninger om afdøde personer skal være omfattet af persondataloven. Det gælder både allerede registrerede oplysninger om afdøde personer (inden loven trådte i kraft) og nyregistrering af oplysninger om afdøde personer (efter loven trådte i kraft), men dog kun der, hvor der er et særligt beskyttelsesbehov. I praksis vil det sige, at afdøde personer er omfattet af persondataloven specielt hvad angår de såkaldte ”følsomme oplysninger” (se senere).

Da loven arbejder med et samtykke-begreb – altså at visse former for behandling af persondata kræver personens samtykke – er dette ikke helt klart, når det handler om afdøde personer. Derfor er det bestemt, at det er op til datatilsynet i praksis at fastlægge de nærmere grænser for lovens anvendelse på afdøde personer. Et eksempel er den såkaldte modstandsdatabase over modstandsbevægelsens aktive (http://modstand.natmus.dk/Forside.aspx). Her har datatilsynet afgjort, at oplysninger om modstandsfolk først kan offentliggøres 10 år efter deres død. I øvrigt findes modstandsdatabasen i regi af Nationalmuseet og er dermed også omfattet af arkivloven.

Slægtsforskning

Der er i forhold til loven opstået en praksis om at skelne mellem ikke-følsomme personoplysninger og følsomme personoplysninger. Igen er dette ikke defineret i loven, men fremgår gennem den praksis, som datatilsynet fører.

Datatilsynet har specifikt i forhold til slægtsforskning defineret, hvad man mener er ikke-følsom information og følsom information (fremgår bl.a. af årsrapporten fra datatilsynet for år 2000).

Ikke-følsom information:

• Navn
• Fødselsdato og sted
• Dødsdato og sted
• Dato for ægteskab
• Navn på ægtefælle
• Nærmeste familie, evt. i form af familietræ
• Øvrige basale stamoplysninger

Følsom information (eksempler):

• Foto af personen
• Trosretning, herunder referencer til trossamfund
• Adoption
• Sociale forhold
• Personlige overbevisninger
• Seksuel orientering
• Helbredsmæssige forhold
• Straffemæssige forhold
• Andre rent private forhold

Det skal her bemærkes, at ovennævnte definitioner som udgangspunkt gælder for både nulevende som afdøde personer.

I forhold til disse definitioner af persondata har datatilsynet specifikt forholdt sig til, hvad man som slægtsforsker har lov til at offentliggøre. Dette fremgår af tabel 1.

Det fremgår af datatilsynets vejledninger og sager, at offentliggørelse af basale oplysninger, der ikke er følsomme, om andre personer i forbindelse med slægtsforskning (familietræ, efterlysninger etc.) er accepteret. Så man kan altså godt have sit familietræ med sådanne basale oplysninger liggende frit tilgængeligt, også inkluderende nulevende personer. Det er de data, der ovenfor er betegnet ”ikke-følsomme persondata”.

Dog er det sådan, at personer har indsigelsesret, der skal være begrundet. Får du derfor en henvendelse fra en nulevende person om at slette oplysninger om vedkommende selv, og begrundelsen er rimelig efter din opfattelse, er du nødt til at fjerne oplysningerne. Hvis man ikke kan blive enig om, hvorvidt begrundelsen er rimelig, kan sagen indbringes for datatilsynet (men mon ikke de fleste vil føje sig efter indsigelsen).

Datatilsynet har i en række afgørelser gjort opmærksom på, at indsigelsesretten kun gælder ens egen person. Familie til en person kan derfor ikke kræve, at ikke-følsomme oplysninger fjernes fra offentliggørelse.

Datatilsynet har ved denne vejledning lagt vægt på, at slægtsforskerens interesse i behandlingen vejer tungere end hensynet til den registrerede, og derfor kræves der ikke samtykke til offentliggørelse af de nævnte basale personoplysninger.

Følsomme oplysninger

Det fremgår af tabel 1, at der specielt er udfordringer for slægtsforskere, når der er tale om almindelig deling af følsomme persondata for slægtens medlemmer – fx. brug i offentliggjorte slægtstavler, brug på sociale medier etc. Hovedreglerne for dette fremgår af tabel 2.

Det er således ikke særlig klart, hvornår hensynet til en afdød person angående følsomme oplysninger bliver mindre end hensynet til slægtsforskningen. Helt præcist anfører den kommenterede version af loven følgende:

”Registrerede oplysninger, efter personens død fortsat vil være omfattet af loven, hvis der ud fra en konkret vurdering fortsat er et beskyttelsesbehov – i hvert fald i en vis tid. … Det er i den forbindelse overladt til tilsynsmyndighederne gennem deres praksis at fastlægge de nærmere grænser for lovens anvendelse på afdøde personer” (side 143).

Begrebet ”en vis tid” er selvfølgelig meget vanskeligt at forholde sig til. En ny bog om beskyttelse af afdøde personer skriver at ”beskyttelse varer så længe de almindelige hensyn, der begrunder værnet af det informationelle privatliv, må antages at gøre sig gældende” (Retten om de Døde).

Der er ikke fra datatilsynets side udarbejdet konkret vejledning til offentliggørelse af følsomme oplysninger for afdøde personer eller nogen nærmere forklaring af begrebet ”en vis tid”. Den tidligere nævnte sag med modstandsdatabasen er ved flere lejligheder blevet behandlet af datatilsynet, og den giver følgende formodede regler i forbindelse med slægtsforskning (afgørelse af 27. oktober 2006):

• Følsomme oplysninger om afdøde personer kan offentliggøres, hvis den pågældende person selv (i levende live) har offentliggjort informationen, fx i bøger, pressen osv.
• Følsomme oplysninger om afdøde personer kan desuden offentliggøres efter ”en tid”, hvor hensynet til den afdøde ikke længere er væsentligt. Her vil jeg for egen regning gøre gældende, at hvis man følger arkivlovens regler om 75 års tilgængelighed, må det være et væsentligt argument for at kunne offentliggøre personfølsomme informationer

Dataforordning

Den nuværende persondatalov står nu over for at blive udskiftet. EU har i flere år arbejdet med en ny lov om persondata, idet den nuværende lov er fra en tid, hvor der ikke var udbredte sociale medier og dårlig nok udstrakt brug af internettet. Den trænger derfor til fornyelse, samtidig med, at der har været et behov for at beskytte borgernes interesser i et mere digitaliseret samfund.

Den nye lov bliver en EU forordning og ikke et EU direktiv som den gamle. Betydningen af dette er, at en forordning har direkte retsgyldighed i de enkelte EU lande, og den skal ikke først implementeres i en lokal lovgivning, der kan variere fra land til land.

Efter næsten 4 års forhandlinger, hundredevis af møder, ændringsforslag og kompromiser blev der den 15. december 2015 opnået politisk enighed i EU om persondataforordningens ordlyd. Når den herefter er blevet oversat til de lokale sprog, skal den inden for 2 år træde i kraft i det enkelte land (25. maj 2018).

Ifølge advokatfirmaet Plesner har den nye persondataforordning blandt andet følgende væsentlige ændringer:

• Skærpet krav til dokumentation for samtykke
• Styrkelse af den registreredes rettigheder
• Right-to-be-forgotten (retten til at blive glemt)

Disse tre ændringer vil kunne have betydning for os som slægtsforskere, men det er Plesner’s vurdering, at det ikke væsentligt vil ændre i den praksis fra datatilsynet, der er beskrevet i denne artikel.

En anden væsentlig ændring i den nye persondataforordning er, at den ikke er gældende for afdøde personer. Det kunne i princippet lede til en ændret opfattelse af håndtering af informationer om afdøde personer. Datatilsynet har kommenteret, at det fra 2018 kan føre til en ændret praksis for håndtering af oplysninger om afdøde personer, mens andre har den forventning, at det reelt ikke vil ændre den hidtidige praksis på  området.

Konklusion

Datatilsynet haft mulighed for at kommentere de åbne spørgsmål i denne artikel, men efter samtale fremgår det, at de ikke har retningslinjer og ikke ønsker at udarbejde retningslinjer på området. Men på basis af de anvendte kilder kan vi sammenfatte de regler, som du som slægtsforsker skal være opmærksom på:

• Så længe dine slægtsoplysninger indsamles alene til eget brug eller til brug for den nærmeste familie, er der ingen regler at overholde i forhold til persondataloven (der ikke er gældende i disse tilfælde). Du skal selvfølgelig stadig overholde anden lovgivning såsom straffeloven og ophavsretsloven.
  
  
• Hvis du ønsker generelt at offentliggøre ikke-følsomme stamdata såsom fødselsdato, dødsdato, vielsesdato, navn på ægtefælle, navne på nærmeste slægtninge m.v. kan du frit gøre dette, også uden samtykke fra de pågældende. Det gælder både nulevende og afdøde personer. Du skal dog respektere, hvis de pågældende personer selv (men ikke deres familie) gør indsigelse med rimelig grund.
  
  
• Ønsker du at offentliggøre følsomme informationer (private informationer) om nulevende personer, kræver dette skriftlig samtykke fra de pågældende – med mindre de selv har offentliggjort informationerne.

Ønsker du at offentliggøre følsomme informationer om afdøde personer, er der ikke oplyst særlig specifikke regler. Dog kan man stadig offentliggøre følsomme informationer, hvis den afdøde selv har offentliggjort dem. Ellers må man først offentliggøre følsomme informationer efter en ”tilstrækkelig tidsperiode”, hvor der ikke længere er særlige hensyn at tage til den afdøde. Det ville have været rart med nogle retningslinjer på dette område, men de findes desværre ikke.

Kilder

- Datatilsynet, diverse afgørelser og vejledninger (www.datatilsynet.dk)

- Datatilsynets vejledning for slægtsforskere (http://www.datatilsynet.dk/borger/slaegtsforskning/)

- Datatilsynets vejledning for sociale medier (http://www.datatilsynet.dk/borger/sociale-netvaerk/naar-du-offentliggoer-oplysninger/)

- Datatilsynets årsrapport 2000 (http://www.datatilsynet.dk/fileadmin/user_upload/dokumenter/AArsberetninger/aars_00.pdf)

- Datatilsynets afgørelse om modstandsdatabasen I (http://www.datatilsynet.dk/afgoerelser/afgoerelsen/artikel/offentliggoerelse-af-oplysninger-om-modstandsfolk-paa-internettet-i/)

- Datatilsynets afgørelse om modstandsdatabasen II (http://www.datatilsynet.dk/afgoerelser/afgoerelsen/artikel/offentliggoerelse-af-oplysninger-om-modstandsfolk-paa-internettet-iii/)

- Datatilsynets afgørelse om modstandsdatabasen III (http://www.datatilsynet.dk/afgoerelser/afgoerelsen/artikel/offentliggoerelse-af-oplysninger-om-modstandsfolk-paa-internettet-iii/)

- Datatilsynet, samtale med Victoria Maria Ljunggren den 16. juni 2016

- Lov om behandling af personoplysninger, 3 udgave med kommentarer af Henrik Vaaben, Christian Corfitz Nielsen. 2015.

- Janne Rothmar Herrmann: Retten om de døde. Jurist- og Økonomforbundets Forlag, 2016

- Udtalelser fra jura-professor Henrik Udsen, Københavns Universitet

- Udtalelser fra advokat Mads Toftgaard Nielsen, advokatfirmaet Plesner