Oktober sidste år klagede Stine til Datatilsynet over Danskernes Historie Online (DHO). Hun havde opdaget, at hendes navn og fødselsoplysninger stod i en slægtstavle, der ligger online hos DHO. Inden da havde hun bedt os fjerne hendes data fra publikationen, hvad vi havde gjort. Men hun var ikke tilfreds, for når hun googlede sit navn, dukkede den pågældende publikation stadig op.

Efter 4 måneder svarede Datatilsynet Stine, og hun sendte svaret videre til os. Derfor kan vi se, hvordan Datatilsynet forholder sig til dette spørgsmål, der består af flere elementer, som vi beskriver her.

Publicering af slægtsdata for nulevende personer

Siden GDPR blev indført i 2018, har Danske Slægtsforskeres vejledning til slægtsforskere indeholdt den formulering, at slægtsforskere gerne må publicere almindelige personoplysninger om nulevende personer uden samtykke. Det er typisk de informationer, der optræder i en slægtstavle som fødselsdato, fødested, andre datoer, erhverv og familieforhold.

Til gengæld må man ikke – heller ikke slægtsforskere – publicere de såkaldt følsomme oplysninger om andre personer uden samtykke. De er nøje specificerede i GDPR: Race og etnisk oprindelse, politisk overbevisning, religiøs eller filosofisk overbevisning (*), fagforeningsmæssige tilhørsforhold, genetiske data, helbredsoplysninger og seksuelle forhold eller seksuel orientering (*).
(*) Medlemskab af folkekirken anses ikke for at være udtryk for religiøs overbevisning. Ægteskaber anses ikke for at være udtryk for seksuel orientering.

Dette princip har Datatilsynet nu stadfæstet.

Det skyldes, at GDPR indeholder et såkaldt ”afvejningsprincip” for almindelige personoplysninger. Hvis det skønnes, at hensynet til almenheden er større end beskyttelsen af den enkelte persons oplysninger, kræves der ikke samtykke. Gælder det så for slægtsforskere? Ja, Datatilsynet skriver ”Efter omstændighederne kan en slægtsforsker således offentliggøre basale stamoplysninger på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra f (interesseafvejningsreglen)”.

Det skal understreges, at afvejningsprincippet kun gælder for private og private organisationer, og princippet kan ikke umiddelbart anvendes af offentlige institutioner.

Indsigelsesret

Det var faktisk ikke GDPR, der indførte sondringen mellem ”almindelige personoplysninger” og ”følsomme personoplysninger” samt reglerne for publicering af disse. Har man beskæftiget sig med persondatalovene ved man, at det reelt var de samme regler, der var gældende, også inden GDPR.

Så mens GDPR faktisk ikke ændrede på, hvad man må publicere, kom der med GDPR i 2018 reglen om at kunne gøre indsigelse mod publicering af data.

Det var denne regel, Stine refererede til, da hun i oktober sidste år bad om at blive slettet. Hvad hun – og i øvrigt rigtig mange andre – ikke ved er, at dette ikke er en ubetinget ret, man har. Det vil sige, at man ikke bare kan kræve at blive slettet – hvis oplysningerne i øvrigt er publiceret lovligt, jf. ovenstående.

Det er formuleret i GDPR som, at man kan bede om at blive slettet, ”hvis den registrerede har specifikke grunde relateret til vedkommendes unikke situation. Det kan være situationer, hvor den pågældendes privatliv påvirkes på måder, der ikke umiddelbart var forudset af den dataansvarlige”.

Datatilsynet har formuleret det som, at der skal være ”tungtvejende grunde”. Sådanne grunde kan fx være, at man er ansat i politiet eller FET, at der er personer, der har tilhold, eller at man har hemmelig adresse.

Vi ser hos DHO aldrig, at der bliver fremsat sådanne tungtvejende grunde til at blive slettet. Det skyldes som regel, at man ikke er klar over, at oplysningerne er publiceret lovligt. Men vores politik er under alle omstændigheder, at vi fjerner personlige oplysninger, hvis den pågældende person gør indsigelse mod, at de ligger online.

Søgemaskiner

Som regel opdager personer, at de er nævnt i en af vores online-publikationer, fordi de dukker op i en søgning med fx Google. Det var således også det, Stine bemærkede, da hun bad om at blive slettet.

Eftersom de personlige oplysninger er blevet publiceret lovligt, er det også lovligt for Google at indeksere dem, så de kan findes med en Google-søgning. Vi bliver nogle gange foreslået at slå Google-indeksering fra, men vi fastholder, at vores publiceringer er lovlige i forhold til GDPR, og at formålet netop er, at man skal kunne finde disse oplysninger.

Google er en selvstændig virksomhed, og de må derfor selv stå på ansvar for deres behandling af personlige oplysninger. Lige som man kan gøre indsigelse til DHO over publicering af data, kan man gøre det over for Google. Dette oplyser vi altid, når personer ønsker at blive slettet af vores bøger m.v. Faktisk har Datatilsynet en vejledning til, hvordan man beder Google om at slette personlige data, og den kan man så følge. Igen gælder det, at Google strengt taget ikke er forpligtiget til at slette oplysningerne med mindre, der er ”tungtvejende grunde”.

Dette er også forhold, som mange ikke er klar over. Stine mener således, at fordi vi har publiceret stamtavlen, så er det også vores ansvar, at den bliver slettet fra Google. Det er det ikke.

Faktisk er det sådan, at selvom man stadig kan findes med Google, så vil linket i Google-søgningen åbne publikationen, og i denne publikation findes de oplysninger, vi har slettet, ikke længere.

Konklusioner

På basis af denne nye udtalelse fra Datatilsynet finder DHO derfor ingen anledning til at ændre vores praksis omkring publicering af almindelige personoplysninger.

Det er interessant, at den konkrete klage til Datatilsynet fra Stine ikke har resulteret i, at Datatilsynet har henvendt sig til DHO for en udtalelse eller bedt om et møde for at høre om vores behandling af personlige oplysninger. De har givetvis set på, hvad vores projekt går ud på og har ikke fundet anledning til at stille spørgsmålstegn ved dette.

Note: Personens navn er ikke Stine.

Per Hundevad Andersen
Leder, Danskernes Historie Online