Aarhus Universitet får alvorlig kritik for manglende tilladelse til videregivelse af personoplysninger

Datatilsynet gennemførte et tilsyn af Aarhus Universitet, der startede med en specifik tilladelse til videregivelse af biologisk materiale fra et forskningsprojekt. Tilsynet blev udvidet til at omfatte alle forskningsprojekter baseret på Databeskyttelsesloven § 10, hvor der inden for de seneste to år var sket videregivelse omfattet af tilladelseskravet i § 10, stk. 3. Under tilsynsbesøget kom det frem, at universitetet havde videregivet personoplysninger til et videnskabeligt tidsskrift uden at indhente tilladelse fra Datatilsynet. Universitetet bekræftede efterfølgende, at de ikke havde sikret sig et overførselsgrundlag for videregivelsen af personoplysninger til tidsskriftet, der var etableret i USA. Datatilsynet anmodede om en liste over forskningsprojekter, hvor behandlingsgrundlaget var Databeskyttelsesloven § 10, og hvor der var sket videregivelse af personoplysninger uden for EU.

Afgørelse

Datatilsynet udtalte:

• Kritik af Aarhus Universitet for at have oplyst registrerede om, at deres samtykke udgjorde behandlingsgrundlaget, selvom dette ikke var tilfældet, hvilket er i strid med princippet i databeskyttelsesforordningens artikel 5, stk. 1, litra a.
• Kritik af Aarhus Universitet for at have undladt at sikre sig et overførselsgrundlag i forbindelse med en videregivelse af personoplysninger, hvilket ikke er i overensstemmelse med databeskyttelsesforordningens artikel 44.
• Alvorlig kritik af Aarhus Universitet for at have undladt at indhente Datatilsynets tilladelse til videregivelse af personoplysninger i medfør af Databeskyttelsesloven § 10, stk. 3.