Den nationale turismeorganisation i Danmark, Visitdenmark, har forsømt at oplyse borgere om deres persondatarettigheder i forbindelse med udsendelse af en skrivelse med e-Boks fra organisationen til 180.000 husstande i april i år.
Brevet indeholdt information om nye skattefradragsregler ved udlejning af sommerhus.
Sagen er omtalt i en afgørelse fra Datatilsynet, der udtaler kritik af Visitdenmark for ikke at have overholdt deres oplysningspligt om persondatabehandlingen over for borgerne, jf. databeskyttelsesforordningens artikel 14.
I forbindelse med kampagnen indhentede Visitdenmark nemlig oplysninger om navn og personnummer samt ejendoms- og ejeroplysninger fra BBR-registret på sommerhusejerne.
Det fremgår ikke konkret af afgørelsen fra Datatilsynet, hvilke oplysninger borgerne skulle have haft og hvordan, men generelt kræver databeskyttelsesforordningen bl.a., at formål med og retsgrundlag for en databehandling skal oplyses til den person, der har fået persondata behandlet.
Desuden skal der angives en årsag til at databehandlingen finder sted.
Klager utilfreds med CPR-anvendelse
Klageren i sagen var utilfreds med, at Visitdenmark fik adgang til CPR-registret forud for udsendelsen af et brev med Digital Post.
Af sagesfremstillingen fremgår det imidlertid, at CPR-nummeret blev fundet frem af CPR-registret og påført skrivelsen ud fra en liste, der var genereret via BBR-registret om ejer- og ejendomsoplysninger.
Men denne proces blev modtagerne altså ikke oplyst om.
Dog fremgik processen af skrivelsen til sommerhusejerne, hvorfra oplysningerne var indsamlet. Desuden var der kontaktoplysninger på Visitdenmark, og formålet med behandlingen af personoplysningerne var også beskrevet.
Bortset fra kritikken af manglende oplysningspligt konkluderer Datatilsynet, at Visitdenmarks behandling af personoplysning i forbindelse med udsendelsen af brevet med Digital Post er sket i overensstemmelse med databeskyttelsesforordningen, fordi behandlingen henhørede under offentlig myndighedsudøvelse.
En af klagerne, Erik Larsson, mener stadig ikke, Visitdenmark er en myndighed, og derfor skulle organisationen ikke have haft adgang til CPR. Der er »mere end svært at få øje på en lovhjemmel til myndighedsudøvelse«, skriver han til Version2, og anfører også, at det »således [er] særdeles tvivlsomt om Visitdenmark kan betegnes som en offentlig myndighed.«
Visitdenmarks adm. direktør, Jan Olsen, fastslår, at organisationen har overholdt databeskyttelsesforordningen og databeskyttelsesloven, men tilføjer:
»Det er beklageligt, at vi ikke i tilstrækkelig grad har overholdt oplysningsforpligtelsen, da vi sendte mails via e-Boks ud for at oplyse om de nye fradragsregler for at udleje feriehus til ejere af feriehuse. Vi burde have oplyst feriehusejerne om blandt andet, hvorfor vi har lov til at sende brevene ud, og hvordan vi behandler data,« siger adm. direktør Jan Olsen, Visitdenmark
»Vi har som følge af sagen formidlet information til medarbejderne i organisationen for at undgå lignende misforståelser fremover.«
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
