Kommunen kan f.eks. have behov for at videregive personoplysninger til den frivillige om en borger. Databeskyttelsesreglerne er derfor ganske ofte relevante, når kommuner har kontakt med frivillige. Denne artikel har fokus på nogle af de databeskyttelsesretlige udfordringer, der kan opstå i dette samspil.
Kommuners brug af frivillige
Kommunernes brug af frivillige sker enten med hjemmel i den skrevne lovgivning (f.eks. servicelovens § 18 eller beredskabslovens § 51) eller i de uskrevne kommunalfuldmagtsregler. Ifølge servicelovens § 18 skal kommunalbestyrelsen samarbejde med frivillige sociale organisationer mv.
Der kan være tale om en frivillig indsats, der særligt er sociale og humanitære indsatser, hvor den frivillige yder samvær og venskab til en anden person, som har brug for det. Det kan f.eks. være som besøgsven. Der kan også være tale om frivilligt arbejde – f.eks. visse frivillige rådgivningsydelser, frivillige gartnere, lærere, socialpædagoger og andre, der yder en indsats på væresteder, asylcentre osv. Forskellen er grundigt behandlet i forarbejderne til den ændring af serviceloven, der indsatte en ny § 18a, som giver kommuner hjemmel til at forsikre borgere, der udfører en frivillig indsats.
I forhold til databeskyttelsesreglerne har sondringen den betydning, at en borger, der udfører frivilligt arbejde for kommunen, i visse tilfælde vil være omfattet af retlige forpligtelser til at videregive personoplysninger, som den frivillige, der yder en frivillig indsats, ikke er omfattet af.
Rammer for udveksling af oplysninger mellem kommune og den frivillige
Der er visse begrænsninger i udvekslingen af oplysninger mellem kommune og frivillige. Begrænsningerne følger bl.a. af, at forvaltningslovens § 27 om tavshedspligt som udgangspunkt ikke gælder for frivillige. Derimod gælder straffelovens bestemmelser om tavshedspligt for alle frivillige, uanset om der er tale om en frivillig indsats eller frivilligt arbejde.
Der vil således være forskel på, hvilke oplysninger den kommunalt ansatte kan videregive til en frivillig (borger eller organisation), og hvilke oplysninger den frivillige kan videregive til kommunen. Disse begrænsninger følger imidlertid ikke af databeskyttelsesreglerne, men af reglerne om tavshedspligt.
Udover de begrænsninger, som følger af tavshedspligten, må kommunen – inden den videregiver personoplysninger til en frivillig borger eller organisation – tage stilling til persondatareglerne. Det første spørgsmål er, om videregivelse af personoplysningerne sker til en databehandler, en dataansvarlig eller flere dataansvarlige.
Kommunen skal ud fra disse definitioner foretage en konkret vurdering af, hvilken rolle den enkelte frivillige borger eller organisation har i forbindelse med behandlingen af personoplysninger. I mange tilfælde vil den frivillige organisation selv afgøre, hvilke formål og hjælpemidler der anvendes til behandlingen. Dermed vil organisationen være dataansvarlig for behandlingen. Det kan f.eks. være, hvor en frivillig organisation med besøgsvenner på eget initiativ fører lister med navne og adresser på de socialt udsatte unge, som organisationen besøger. Hvis organisationen er dataansvarlig, skal kommunen sikre, at kommunen har en hjemmel til at videregive oplysningerne, og organisationen skal sikre, at den har hjemmel til at modtage dem.
Hvis en kommune derimod har givet en frivillig borger eller organisation retningslinjer for, hvordan oplysningerne om de socialt udsatte unge skal indsamles, hvor længe og hvordan oplysningerne skal opbevares, og hvilke formål oplysningerne kan anvendes til, er der mere, der taler for, at den frivillige organisation er databehandler for kommunen. I så fald skal kommunen sørge for, at der indgås en databehandleraftale med den frivillige borger eller organisationen, hvorefter oplysningerne kan overføres til den frivillige inden for aftalens rammer.
Ny dom om fælles dataansvar
Kommunen kan i visse tilfælde have et fælles dataansvar med den frivillige, hvis kommunen og den frivillige i fællesskab bestemmer, hvorfor personoplysninger skal behandles (formålet), og hvordan personoplysninger behandles (hjælpemidlerne).
I en dom afsagt 10. juli 2018 i sag C-25/17 fandt EU-Domstolen således, at trossamfundet Jehovas Vidner havde fælles dataansvar med de medlemmer, som udøver dør-til-dør forkyndelsesvirksomhed. EU-Domstolen udtalte, at et delt dataansvar ikke er ensbetydende med, at de involverede aktører skal have et ligeligt fordelt ansvar. Aktørerne kan således være involveret på forskellige behandlingsstadier eller grader. Derudover fastslog Domstolen, at fastlæggelse af formålet med og hjælpemidlerne ved behandlingen ikke nødvendigvis skal være gennemført ved skriftlige retningslinjer, og at det ikke er en betingelse for, at der er fælles dataansvar, at begge dataansvarlige har adgang til de omhandlede personoplysninger.
Dommen vedrører det tidligere direktiv 95/46, men direktivets bestemmelser er meget lig artikel 4 og artikel 26 i databeskyttelsesforordningen. Sagen ville således sandsynligvis have fået samme udfald, hvis den var vurderet efter databeskyttelsesforordningen.
Der vil derfor kunne være situationer, hvor kommunen har en sådan indflydelse på, hvornår og hvorledes frivillige skal indsamle og behandle personoplysninger, at kommunen har et delt dataansvar med den frivillige borger eller organisation. I sådan et tilfælde skal der indgås en aftale om ansvarsfordelingen mellem kommunen og den frivillige – en aftale om fælles dataansvar.
Når kommunen videregiver oplysninger til en frivillig, som er selvstændig dataansvarlig
Når en kommune som dataansvarlig videregiver personoplysninger til en frivillig borger eller organisation, der er selvstændig dataansvarlig, kræver det dels, at kommunen har en videregivelseshjemmel, dels at modtageren (den frivillige) har en modtagelseshjemmel.
For personhenførbare almindelige oplysninger (navn, adresse, mail, økonomiske forhold mv.) vil både videregivelseshjemmel og modtagelseshjemmel skulle findes i forordningens artikel 6. Videregivelse af almindelige oplysninger vil derfor oftest kunne ske på baggrund af:
- Samtykke (artikel 6, litra a)
- For at overholde en retlig forpligtelse (artikel 6, litra c)
- Samfundets interesse (artikel 6, litra e)
- Interesseafvejningsreglen (artikel 6, litra f – gælder ikke for kommuners videregivelse)
En frivillig, der yder en frivillig indsats på en lektiecafé for udsatte unge, vil f.eks. kunne videregive oplysninger til kommunen i det omfang, den frivillige har underretningspligt efter servicelovens § 154.
Vejledning på vej
Justitsministeriet og Datatilsynet forventes at udsende en FAQ om de centrale spørgsmål, som frivillige foreninger står over for i forbindelse med databeskyttelsesforordningen. Denne FAQ vil formentlig også være relevant for frivilliges arbejde i kommunerne.