Datatilsynet: Offentliggørelse af personoplysninger på Lectio ikke i overensstemmelse med databeskyttelsesregler – sag afsluttes efter login-krav implementeres

Datatilsynet indledte i 2018 en undersøgelse af offentliggørelsen af personoplysninger i det studieadministrative system Lectio, der anvendes af mange gymnasier. Undersøgelsen blev iværksat efter Datatilsynet udvalgte et tilfældigt gymnasium til at besvare en række spørgsmål. Under sagens behandling valgte MaCom A/S, der udbyder Lectio, at placere alle oplysninger bag et login.

Det fremgik, at Rungsted Gymnasium offentliggjorde personoplysninger om tidligere og nuværende læreres og elevers skemaer uden krav om login. Disse oplysninger inkluderede læreres tjenestefrihed og elevers prøvetidspunkter, og de var tilgængelige fra skoleåret 2005/06 til 2018/19. Rungsted Gymnasium anførte, at de var dataansvarlige for denne behandling af personoplysninger og at offentliggørelsen skete i henhold til Databeskyttelsesforordningens artikel 6.

Gymnasiet argumenterede for, at offentliggørelsen af medarbejderoplysninger var nødvendig for at opfylde ansættelseskontrakter, jf. Databeskyttelsesforordningen § 6, stk. 1, litra b, mens offentliggørelsen af elevoplysninger var nødvendig af hensyn til udførelse af en opgave i samfundets interesse, jf. Databeskyttelsesforordningen § 6, stk. 1, litra e. Rungsted Gymnasium mente desuden, at MaCom A/S også var ansvarlig for offentliggørelsen, da de ikke havde imødekommet gymnasiets ønske om at lukke adgangen til personoplysninger uden login.

Gymnasiet oplyste, at de efterfølgende havde fået MaCom A/S til at fjerne skemaer fra tidligere skoleår og havde fjernet linket til Lectio fra deres egen hjemmeside. MaCom A/S besluttede under Datatilsynets behandling af sagen at lægge alle oplysninger i Lectio bag et login.

Datatilsynets Afgørelse

Datatilsynet fandt, at offentliggørelsen af personoplysninger om lærere og elevers skemaer i Lectio ikke var i overensstemmelse med de databeskyttelsesretlige regler. Datatilsynet foretog sig dog ikke yderligere i sagen, da MaCom A/S under sagens behandling havde besluttet at lægge alle oplysninger i Lectio bag et login.

• Datatilsynet vurderede, at offentliggørelsen gik videre, end hvad der var nødvendigt i forhold til formålet med behandlingen, og derfor ikke kunne rummes inden for de databeskyttelsesretlige regler.
• Tilsynet lagde vægt på, at den tidligere åbenhed på Lectio ikke forfulgte formål, der i tilstrækkelig grad berettigede offentliggørelsen, og at offentliggørelsen indebar en risiko for misbrug.
• Datatilsynet bemærkede, at de grundlæggende principper for behandling af personoplysninger, jf. Databeskyttelsesforordningen § 5, fortsat skal overholdes, selvom oplysningerne nu er bag login. Dette indebærer, at oplysningerne skal være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles.