Ugyldigt samtykke til offentliggørelse af billeder og manglende sletning udløser alvorlig kritik

Datatilsynet behandlede en klage over, at virksomhed X havde offentliggjort billeder af to klagere (D og C) uden gyldigt samtykke og efterfølgende afvist at slette disse billeder samt andre personoplysninger om alle klagerne (A, B, C og D). Klagerne anførte, at virksomheden havde offentliggjort fem billeder af klagerne D og C på virksomhedens hjemmeside og YouTube-kanal uden samtykke. De anmodede om sletning af billederne samt alle andre oplysninger om dem, herunder navne, adresser, telefonnumre og e-mailadresser. Virksomhed X anførte, at der var indhentet samtykke til offentliggørelsen af billederne. Virksomheden oplyste, at der forelå et skriftligt samtykke fra klager D for det første billede, mens de resterende billeder var offentliggjort på baggrund af mundtlige samtykker. Virksomheden afviste at slette de øvrige oplysninger om klagerne, idet der verserede en sag mellem parterne vedrørende manglende betaling. Datatilsynet har i sin behandling af sagen alene taget stilling til databeskyttelsesretlige spørgsmål og ikke til eventuelle økonomiske mellemværender.

Afgørelse

Datatilsynet udtalte alvorlig kritik af, at virksomhed X's behandling af personoplysninger ikke var i overensstemmelse med Databeskyttelsesforordningen artikel 6, stk. 1 og Databeskyttelsesforordningen artikel 17, stk. 1.

• Datatilsynet fandt, at de indhentede samtykker ikke opfyldte betingelserne for et gyldigt samtykke, jf. Databeskyttelsesforordningen artikel 4, nr. 11 og Databeskyttelsesforordningen artikel 7.
• Det skriftlige samtykke var ikke tilstrækkeligt informeret, og der var ikke givet forudgående information om, at samtykket kunne trækkes tilbage.
• Virksomheden kunne ikke påvise, at der var givet mundtligt samtykke til offentliggørelsen af billederne.
• Betingelserne for sletning af foto 1 var opfyldt, da klageren havde trukket sit samtykke tilbage, jf. Databeskyttelsesforordningen artikel 17, stk. 1, litra b.
• Datatilsynet fandt ikke grundlag for at udtale kritik af virksomhedens fortsatte behandling af oplysninger om navne, adresser, telefonnumre og e-mailadresser, da der verserede en sag mellem parterne, og behandlingen af disse oplysninger kunne derfor fortsat finde sted med hjemmel i Databeskyttelsesforordningen artikel 6, stk. 1, litra b.