Ny afgørelse fra Datatilsynet om ’retten til at blive glemt’

En tidligere ansat ved Dansk Miljørådgivning klagede til Datatilsynet over Dansk Miljørådgivnings manglende sletning af videooptagelser og billeder af medarbejderen, som indgik i en række reklamefilm på virksomhedens hjemmeside samt på deres Facebookside og på YouTube. Datatilsynet traf afgørelse i sagen den 18. maj 2020, hvor tilsynet udtalte alvorlig kritik af Dansk Miljørådgivnings behandling af medarbejderens anmodning om sletning, da behandlingen ikke var sket i overensstemmelse med artikel 17, stk. 1, litra b i databeskyttelsesforordningen (GDPR) om ’retten til at blive glemt’.

En medarbejder ved Dansk Miljørådgivning deltog i en række reklamefilm, da han var ansat ved Dansk Miljørådgivning. Reklamefilmene blev lagt på virksomhedens hjemmeside, Facebookside og på YouTube. Medarbejderen havde underskrevet en samtykkeerklæring i juni 2018, hvor han gav tilladelse til, at Dansk Miljørådgivning benyttede videooptagelser af ham på virksomhedens hjemmeside, i foldere, nyhedsbreve mv.

Da ansættelsesforholdet ved Dansk Miljørådgivning ophørte, anmodede medarbejderen i september 2019 Dansk Miljørådgivning om at fjerne et videoklip, hvor medarbejderen fremgik. Dansk Miljørådgivning svarede i samme måned, at han nu var blevet klippet ud af reklamefilmen. De bemærkede ligeledes – med henvisning til samtykkeerklæringen fra juni 2018 – at de betragtede det som lovligt og rimeligt at anvende tekniske fagfilm, selv efter ansættelsens ophørt, da medarbejderen selv havde accepteret, at Dansk Miljørådgivning anvendte billeder og videomateriale til brug for markedsføring.

Medarbejderen blev fortsat brugt i Dansk Miljørådgivnings markedsføringsmateriale, og han henvendte sig derfor til Datatilsynet med en klage over manglende sletning af oplysninger om ham i videomaterialet. Da Datatilsynet konstaterede, at medarbejderen havde trukket sit samtykke tilbage, men stadig fremgik af reklamevideoen på Dansk Miljørådgivnings hjemmeside og på YouTube, slettede Dansk Miljørådgivning efterfølgende oplysningerne om medarbejderen.

Det følger af GDPR’s artikel 17, stk. 1, litra b, at den dataansvarlige har pligt til uden unødig forsinkelse at slette personoplysninger om den registrerede, når den registrerede trækker det samtykke tilbage, der er grundlag for behandlingen, og der ikke er andet retsgrundlag for behandlingen. Omvendt har den registrerede ret til at få disse personoplysninger slettet.

Datatilsynet har vurderet, at medarbejderen ved sine henvendelser om sletning til Dansk Miljørådgivning anses for at have trukket sit samtykke til behandlingen tilbage, og at Dansk Miljørådgivning ikke umiddelbart uden unødig forsinkelse slettede oplysningerne efter artikel 17, stk. 1, litra b i GDPR. Datatilsynet har derfor udtalt alvorlig kritik af Dansk Miljørådgivnings behandling af medarbejderens anmodning om sletning, som ikke er sket i overensstemmelse med GDPR’s artikel 17, stk. 1.

Datatilsynet lagde i sin afgørelse vægt på, at medarbejderen havde oplyst over for Dansk Miljørådgivning, at han ønskede videomaterialet slettet; at Dansk Miljørådgivning samme dag havde oplyst, at de ville klippe medarbejderen ud af filmene; og at medarbejderen – på trods af Dansk Miljørådgivnings tilkendegivelse –stadig fremgik af virksomhedens hjemmeside og på YouTube.

Som arbejdsgiver skal man altid sørge for at overholde GDPR’s bestemmelser, herunder være opmærksom på medarbejderes ret til sletning af personoplysninger. Man skal være opmærksom på, at en anmodning fra en medarbejder om at få fjernet materiale, der indeholder personoplysninger, anses for at være en tilbagekaldelse af medarbejderens tidligere samtykke til behandling af dennes personoplysninger. Ved medarbejderes anmodning om sletning af personoplysninger, skal man sørge for, at sletningen sker uden unødig forsinkelse. Det er dog også vigtigt at overveje, om der eventuelt kan findes et andet retsgrundlag for behandlingen, herunder interesseafvejningsreglen, hvis et samtykke trækkes tilbage