Af advokat Rass Holdgaard og advokat David Knobel, Kammeradvokaten

De fleste af os kan nok nikke genkendende til den oplevelse, som den irske regnskabsstuderende Peter Nowak formentlig havde, da han modtog resultatet af en skriftlig eksamen: Først overraskelsen over, at resultatet var noget ringere, end han forventede. Dernæst trangen til at kaste et kritisk blik på, hvad der dog er foregået i eksaminators maskinrum. Og endelig – når man har sundet sig oven på overraskelsen og skuffelsen – ønsket om at kunne få lov til at berigtige besvarelsen, så det fremstår klarere, hvad man i virkeligheden mener…

Peter Nowak tog imidlertid sin sag hele vejen til EU-Domstolen, som dermed i en dom fra december sidste år (sag C-434/16, Nowak) fik anledning til at forholde sig til, om EU-persondataretten hjælper os til i højere grad at kunne udleve disse velkendte følelser. Personoplysninger er enhver form for information om en identificeret eller identificerbar fysisk person. Ved identificerbar forstås en person, som enten direkte eller indirekte kan identificeres ved et identifikationsnummer eller andre elementer, som er særlige for denne persons identitet. Med andre ord er begrebet personoplysninger meget bredt. Persondataretten giver blandt andet ret til indsigt i egne personoplysninger (”indsigtsretten”) og adgang til at ændre behandlingen af ”forkerte” personoplysninger (”retten til berigtigelse”).

Peter Nowaks svære eksamen

Peter Nowak var for fjerde gang dumpet til en eksamen og havde i denne forbindelse indgivet en klage over resultatet til den brancheorganisation, der var ansvarlig for prøven. Klagen blev afvist af brancheorganisationen, hvorefter Peter Nowak anmodede om indsigt i alle de personoplysninger om ham, som brancheorganisationen lå inde med. Brancheorganisationen udleverede en række personoplysninger, men afslog at udlevere eksamensbesvarelsen med den begrundelse, at der ikke var tale om en personoplysning.

Peter Nowak klagede til det irske datatilsyn, som var enig med brancheorganisationen i, at prøvebesvarelsen ikke indeholdt personoplysninger. Herefter anlagde Peter Nowak sag ved de irske domstole mod det irske datatilsyn. Datatilsynet fik medhold op igennem domstolssystemet, indtil den øverste domstol i Irland forelagde EU-Domstolen spørgsmålet om, hvorvidt prøvebesvarelser, eksaminators kommentarer og rettelser hertil kan siges at indeholde personoplysninger i persondatadirektivets forstand.

Sagen havde stor interesse, og foruden Kommissionen afgav Grækenland, Polen, Portugal, Østrig, Ungarn og Tjekkiet skriftlige indlæg i sagen.

Eksamensbesvarelser indeholder personoplysninger

EU-Domstolen udtalte, at en deltager i en faglig prøve er en fysisk person, der kan identificeres enten direkte via dennes navn eller indirekte via et identifikationsnummer, der anbringes på eksamensbesvarelsen.

EU-Domstolen understregede, at indholdet af besvarelsen afspejler ”deltagerens viden og kompetence inden for et givent område samt i givet fald hans tankegang, dømmekraft og kritiske sans”. Hvis prøven er aflagt i hånden, indeholder prøven også oplysninger om eksaminandens håndskrift.

Domstolen udtalte videre, at formålet med prøver er at evaluere deltagerens faglige kapacitet, og at prøvens resultat kan have stor betydning for eksaminandens mulighed for at få adgang til den stilling, som ønskes opnået.

Domstolen afviste det irske datatilsyns argument om, at eksamensbesvarelsen ikke indeholdt personoplysninger, da det ikke var muligt for eksaminator alene ud fra eksamensnummeret at identificere eksaminanden. Domstolen henviste i den forbindelse til sin tidligere praksis – senest i sag C-582/14, Beyer – hvoraf det fremgår, at det ikke er et krav, at alle oplysninger, der gør det muligt at identificere en person, skal befinde sig hos en enkelt person. Det var med andre ord tilstrækkeligt, at den brancheorganisation, der var ansvarlig for prøven, kunne identificere Peter Nowak.  

Domstolen inddrog også konsekvensbetragtninger. Den fremhævede, at konsekvensen af, at oplysningerne i eksamensbesvarelsen ikke kvalificeres som ”personoplysninger”, vil være, at eksaminanden ikke beskyttes af de grundlæggende persondataretlige beskyttelsesregler, herunder retten til indsigt og kravet om lovlig behandling. Med andre ord vil der ifølge EU-Domstolen være en reel risiko for, at eksaminanden ikke kan udøve sin ret til at beskytte sit privatliv, hvis oplysningerne undtages fra persondatarettens anvendelsesområde.

Domstolen henviste i den forbindelse til, at en eksaminand har en berettiget interesse i at kunne modsætte sig, at hans eksamensbesvarelse offentliggøres eller anvendes uden for rammerne af bedømmelsen af prøven.

På den baggrund konkluderede Domstolen, at eksamensbesvarelsen indeholdt personoplysninger. Konsekvensen heraf er, at Peter Nowak som udgangspunkt har ret til indsigt i sin eksamensbesvarelse. En undtagelse til dette kan for eksempel være, hvis afgørende hensyn taler imod, at eksaminanden får indsigt i sin eksamensbesvarelse – eksempelvis hvis det vil krænke andres rettigheder.

I forhold til eksaminators rettelser og kommentarer fandt Domstolen ligeledes, at der var tale om personoplysninger, som på grund af oplysningernes indhold, formål og virkning er knyttet til eksaminanden. Eksaminators rettelser og kommentarer indeholder dog også personoplysninger om eksaminator. På den baggrund er det nødvendigt at foretage en interesseafvejning mellem eksaminandens interesse i at få oplysninger udleveret over for eksaminators interesse i, at oplysninger ikke udleveres om ham. Domstolen giver ikke svar på, hvordan denne afvejning nærmere skal foretages.

Generaladvokaten i dommen, Juliane Kokott, bemærkede dog, at denne afvejning alene er relevant, hvis der sker en elektronisk behandling af eksaminators kommentarer – for eksempel hvis eksaminators kommentarer opbevares på en PC. Persondatadirektivet gælder som hovedregel kun for personoplysninger, der behandles elektronisk.

Kan man så få adgang til at berigtige forkerte eksamensbesvarelser?

Blandt andre Irland var bekymret for konsekvenserne ved at anse Peter Nowaks eksamensbesvarelse som indeholdende personoplysninger, da han herefter kunne anvende persondatarettens regel om adgangen til at få ændret (berigtige) forkerte eller unøjagtige personoplysninger i besvarelsen – eller endda selve karakteren. 

Disse bekymringer var dog ifølge Domstolen ubegrundede. Vurderingen af, hvornår en personoplysning er unøjagtig eller ufuldstændig, skal ifølge Domstolen ses i lyset af de omstændigheder, hvorunder oplysningerne indsamles. Formålet med at indsamle Peter Nowaks eksamensbesvarelse var netop at evaluere hans viden og kompetencer på datoen for prøven – og ikke at indsamle oplysninger om det korrekte svar på de stillede spørgsmål. På den baggrund kan han ikke efterfølgende ændre sine svar med henvisning til, at de var unøjagtige.

Domstolen kunne dog ikke udelukke, at der kan opstå situationer, hvor eksaminators rettelser og kommentarer til en eksamensbesvarelse kan være så unøjagtige, at eksaminanden har krav på at få oplysningerne ændret. Som eksempel herpå nævner Domstolen, at en prøvebesvarelse ved en fejl er blevet byttet med en anden deltagers besvarelse – eller hvis dele af en besvarelse er blevet mistet af eksaminator.

Selvom Domstolen ikke blev spurgt til Peter Nowaks øvrige rettigheder, udtalte Domstolen, at han også kunne anmode den ansvarlige brancheorganisation om, at hans eksamensbesvarelse og eksaminators rettelser efter en vis periode skal slettes. Personoplysninger må nemlig kun opbevares af brancheorganisationen, så længe det er nødvendigt. Ifølge Domstolen vil det som udgangspunkt ikke være nødvendigt at opbevare eksamensbesvarelsen og eksaminators rettelser, når først prøven er afsluttet, og eksaminanden ikke længere kan klage over besvarelsen.

Dommens rækkevidde

Indsigtsretten er i dansk datatilsynspraksis for eksempel blevet påberåbt ved ansattes indsigt i deres personalemapper og ved indsigt i optagelser fra tv-kameraer.

EU-Domstolens Nowak-dom er endnu et eksempel på, at begrebet personoplysning i EU-direktivet skal forstås bredt, således at persondatadirektivets anvendelsesområde ikke indskrænkes. En indskrænkning af persondatadirektivets anvendelsesområde vil nemlig indebære, at persondatalovens rettigheder kan blive illusoriske.

EU-Domstolen har dog i eksempelvis Lindqvist-dommen (sag C-171/01, præmis 69) lagt vægt på, at anvendelsen af enkelte af persondatadirektivets beskyttelsesregler kan have så vidtgående konsekvenser, at reglen ikke skal finde anvendelse. Dette er dog ikke tilfældet for eksaminanders indsigt i deres egne eksamensbesvarelser.

Dommen illustrerer også, at anvendelsen af persondatadirektivets rettigheder – for eksempel om indsigtsretten – ofte skal afvejes over for beskyttelsen af andres rettigheder. Domstolen lader det imidlertid være op til den nationale irske domstol at foretage afvejningen mellem eksaminandens interesse i at få oplysninger udleveret over for eksaminators interesse i, at oplysninger ikke udleveres om ham.

Det nugældende persondatadirektiv erstattes den 25. maj 2018 af den nye databeskyttelsesforordning. Forordningen ændrer imidlertid ikke begrebet personoplysninger. Dommen vil med andre ord få samme betydning for persondataretten under den kommende forordning.  

Rass Holdgaard
Advokat, ph.d., partner i Kammeradvokatens team for EU-ret og international ret. Rådgiver danske myndigheder og fører retssager ved danske domstole og EU-Domstolen om en bred vifte af EU-retlige emner.

David Knobel
Advokat i Kammeradvokatens team for EU-ret og international ret. Rådgiver danske myndigheder om EU-retlige emner og er ekstern underviser i faget EU-ret på Københavns Universitet.

Citat:

EU-Domstolens Nowak-dom er endnu et eksempel på, at begrebet personoplysning i EU-direktivet skal forstås bredt, således at persondatadirektivets anvendelsesområde ikke indskrænkes.

Definition af personoplysninger

Enhver form for information om en identificeret eller identificerbar fysisk person (”den registrerede”). Ved identificerbar person forstås en person, der direkte eller indirekte kan identificeres, blandt andet ved et identifikationsnummer eller et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet.

(persondatadirektivets artikel 2, litra a)

Indsigts – og berigtigelsesretten

Medlemsstaterne sikrer enhver registreret ret til hos den registeransvarlige:

a.       frit og uhindret, med rimelige mellemrum og uden større ventetid eller større udgifter:

-   at få oplyst, om der behandles personoplysninger om den pågældende selv, samt mindst formålene med behandlingen, hvilken type oplysninger det drejer sig om, og modtagerne eller kategorierne af modtagere af oplysningerne

-    at få meddelt letforståelig information om, hvilke oplysninger der er omfattet af behandlingerne, samt enhver tilgængelig information om, hvorfra disse oplysninger stammer

b.      efter omstændighederne at få oplysninger, som ikke er blevet behandlet i overensstemmelse med dette direktiv, berigtiget, slettet eller blokeret, navnlig hvis de er ufuldstændige eller urigtige

Kilde: Persondatadirektivets artikel 12, litra a og b