Bundesverwaltungsgericht (BVwG) har i dom avslagit en privatdetektivs överklagande och bekräftat att fotografering av en tredje person under en observation inte kunde grundas på berättigat intresse som rättslig grund enligt artikel 6.1 (f) dataskyddsförordningen (GDPR).
Bakgrund
En arbetsgivare anlitade en privatdetektiv för att övervaka en sjukskriven anställd, eftersom arbetsgivaren tvivlade på den anställdes medicinska tillstånd. Under observationen fotograferades även den anställdes partner vid fyra tillfällen på sin privata egendom. Partnern angavs som ”målperson 2” i observationsrapporten, och fotografierna samt rapporten skickades till den anställdes advokat och till arbetsdomstolen utan partnerns samtycke. Privatdetektiven uppgav att beteckningen var ett misstag och att partnern borde ha angetts som ”vittne” i stället för ”målperson”. Partnern lämnade in ett klagomål till den österrikiska dataskyddsmyndigheten, Datenschutzbehörde (DSB).
DSB biföll delvis klagomålet och fann att privatdetektiven hade kränkt partnerns rätt till konfidentialitet enligt österrikisk dataskyddslagstiftning genom att observera och fotografera denne utan rimlig motivering. DSB konstaterade att fotografierna inte var nödvändiga för förfarandet och att privatdetektiven hade överskridit den order som klienten utfärdat genom att samla in uppgifter om partnern. Privatdetektiven överklagade beslutet till BVwG.
Domstolens bedömning
BVwG fann att observationsrapporten innehöll en personlig hänvisning till partnern, eftersom denne angavs med fullständigt namn och betecknades som ”målperson”. Fotografierna kunde därmed tydligt hänföras till partnern och privatdetektivens argument om att denne inte var identifierbar avvisades.
BVwG konstaterade att privatdetektivens berättigade intresse som rättslig grund enligt artikel 6.1 (f) GDPR sträckte sig till att övervaka den sjukskrivne anställde för klientens räkning, så att klienten kunde lägga fram bevisning i arbetsdomstolen. Privatdetektiven var således skyldig att bevaka den anställde, inte dennes partner. Eftersom klienten inte hade något avtals- eller anställningsförhållande med partnern var behandlingen av dennes uppgifter inte nödvändig. BVwG drog slutsatsen att observationen av partnern inte grundade sig på ett övervägande berättigat intresse och avslog överklagandet.
Praktiska konsekvenser
Domen visar att berättigat intresse enligt artikel 6.1 (f) GDPR kräver en individuell bedömning av varje behandling av personuppgifter. Det är inte tillräckligt att ett uppdrag i stort kan motiveras av ett berättigat intresse; behandlingen av uppgifter om en viss person måste också vara nödvändig och proportionerlig i förhållande till syftet.
Domen aktualiserar även frågan om hur långt ett observationsuppdrag kan sträcka sig när tredje personer förekommer i anslutning till den observerade. Att någon befinner sig i samma miljö som den observerade innebär inte automatiskt att uppgifter om personen får samlas in eller behandlas. För detta krävs en självständig rättslig grund.
Kontakta oss
TechLaw bistår verksamheter med juridisk rådgivning i frågor som rör rättslig grund för personuppgiftsbehandling, berättigat intresse och regelefterlevnad enligt GDPR. Läs mer om vår expertis inom dataskydd och integritet.
Har ni frågor om dataskydd, GDPR eller IT-rättsliga frågor är ni välkomna att kontakta Carina Berg, partner och jurist specialiserad inom dataskydd och affärsjuridik i teknikintensiva verksamheter.
Källa: Bundesverwaltungsgericht (BVwG).