Reglerne om den dataansvarliges oplysningspligt over for den registrerede findes i persondatalovens kapitel 8, §§ 28 - 30, jf. lov nr. 429 af 31. maj 2000 om behandling af personoplysninger. Loven erstatter den tidligere registerlovgivning om offentlige og private registre. Se eventuelt afsnit M.2 om lovens formål og indhold generelt.

Efter lovens anvendelsesområde gælder oplysningspligten for behandling af personoplysninger, som helt eller delvist foretages ved hjælp af elektronisk databehandling, samt for ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register, jf. PDL § 1, stk.1.

Ved personoplysninger forstås enhver form for information om en identificeret eller identificerbar fysisk person (den registrerede), jf. PDL § 3, nr. 1. Personen er fx identificerbar, hvis den pågældende kan identificeres ved hjælp af CPR-nr., SE-nr., CVR-nr., journalnummer eller lignende. I det hele taget gælder, at virksomhedsoplysninger, der kan identificere enkeltpersoner, er omfattet af begrebet personoplysninger. Reglerne om oplysningspligt gælder derimod som hovedregel ikke for behandling af oplysninger om juridiske personer (selskaber, fonde, foreninger mv.). Der gælder dog særlige regler for videregivelse af oplysninger til kreditoplysningsbureauer, jf. persondatalovens kapitel 5.

Ved behandling forstås enhver operation eller række af operationer, som oplysninger gøres til genstand for, jf. PDL § 3, nr. 2. Begrebet dækker bl.a. over indsamling, registrering, opbevaring, tekstbehandling, brug, videregivelse og sletning. Behandling kan eksempelvis finde sted i forbindelse med konkrete sager eller som led i udøvelse af kontrol.

Der skal endvidere være tale om behandling af personoplysninger, der foretages ved hjælp af elektronisk databehandling - eller ikke-elektronisk databehandling af personoplysninger, der er eller vil blive indeholdt i et register. Det drejer sig bl.a. om oplysninger, som på et tidspunkt enten vil blive indberettet til et af edb-systemerne, som vil blive behandlet elektronisk i form af tekstbehandling, eller som vil blive indeholdt i et manuelt register. Elektronisk journalisering og sagsstyring er også omfattet. Derimod er den manuelle behandling af oplysninger i mapper med sagsakter ikke omfattet.

Oplysningspligt af egen drift Efter reglerne om oplysningspligt påhviler der den dataansvarlige en pligt til af egen drift at give den registrerede meddelelse om en række forhold ved indsamling af oplysninger om den pågældende. Der er altså ikke tale om regler, som kun skal opfyldes, hvis den registrerede fremsætter anmodning herom.

Formkrav mv. Der gælder efter loven ingen formkrav til den meddelelse, der gives den registrerede, og der kan derfor efter bestemmelsen ikke stilles krav om, at meddelelsen skal gives skriftligt. Det er imidlertid den dataansvarlige, som - i tilfælde af uenighed om, hvorvidt der er givet den fornødne underretning til den registrerede - skal kunne dokumentere, at oplysningspligten er opfyldt. Underretningen skal derfor som hovedregel gives skriftligt. Hvis oplysninger indhentes mundtligt, fx under et møde eller pr. telefon, og der samtidig mundtligt gives underretning til opfyldelse af oplysningspligten, skal der i alle tilfælde foretages notat, der kan dokumentere, at oplysningspligten er blevet overholdt.

Forvaltningsmyndighedens stilling til, om - og i hvilket omfang - der i en given situation er oplysningspligt efter persondatalovens kapitel 8, §§ 28 - 30, er ikke en afgørelse i forvaltningslovens forstand, men anses for en beslutning af processuel karakter. Myndigheden skal derfor ikke begrunde en eventuel beslutning om ikke at give underretning, når indsamlingen finder sted. Tilsvarende skal underretning af den registrerede til opfyldelse af oplysningspligten ikke ledsages af klagevejledning. Er der derimod tale om besvarelse af en efterfølgende klage fra den registrerede person over manglende underretning eller eventuelt indsigelse mod, at oplysninger om vedkommende gøres til genstand for behandling, jf. lovens § 35, er der tale om en afgørelse, som skal forsynes med både begrundelse og klagevejledning.

Oplysningspligtens omfang Reglerne om oplysningspligt i persondataloven er opbygget på den måde, at spørgsmålet om den dataansvarliges oplysningspligt over for den registrerede i forbindelse med indsamling af oplysninger hos den registrerede selv er reguleret i lovens § 28, mens spørgsmålet om den dataansvarliges oplysningspligt ved indsamling af oplysninger hos andre end den registrerede er reguleret i lovens § 29.

Endvidere er der i lovens § 30 fastsat en række undtagelser, der knytter sig til den dataansvarliges oplysningspligt over for den registrerede i begge de nævnte situationer. Når behandlingen er omfattet af oplysningspligten, skal den dataansvarlige give den registrerede meddelelse om følgende:

• Den dataansvarliges identitet, jf. PDL § 28, stk. 1, nr. 1, og § 29, stk. 1, nr. 1.
• Formål med behandlingen, jf. PDL § 28, stk. 1, nr. 2, og § 29, stk. 1, nr. 2.
• Andre nødvendige oplysninger, jf. PDL § 28, stk. 1, nr. 3, og § 29, stk. 1, nr. 3.

Den dataansvarlige myndighed er samme myndighed, som er ansvarlig for den behandling, der giver anledning til, at den registrerede skal informeres. Det forhold, at det fremgår af brevpapiret, hvilken myndighed der er ansvarlig for sagen, vil være tilstrækkelig til at opfylde oplysningspligten efter PDL § 28, stk. 1, nr. 1, og § 29, stk. 1, nr. 1.

Underretningen om formålet eller formålene med behandlingen skal være tilstrækkelig til, at den registrerede bliver klar over, hvad der er baggrunden for, at der indsamles oplysninger om den pågældende. Det betyder, at den dataansvarlige - som minimum - skal underrette den registrerede om, hvad de indsamlede oplysninger skal bruges til på indsamlingstidspunktet.

Den dataansvarlige skal endvidere i hver enkelt tilfælde foretage en konkret vurdering af, om der er andre oplysninger, der under hensyn til de særlige omstændigheder, hvorunder oplysningerne er indsamlet, er nødvendige for, at den registrerede kan varetage sine interesser, jf. PDL § 28, stk. 1, nr. 3, litra a-c, og § 29, stk. 1, nr. 3, litra a-c. Opregningen i litra a-c i de to bestemmelser er ikke udtømmende, men det drejer sig eksempelvis om følgende informationer:

• Hvem oplysningerne videregives til, dvs. eventuelle kategorier af modtagere, jf. § 28, stk. 1, nr. 3, litra a, og § 29, stk. 1, nr. 3, litra b.
• Om det er obligatorisk eller frivilligt at besvare stillede spørgsmål samt mulige følger af ikke at svare, jf. § 28, stk. 1, nr. 3, litra b.
• Hvilken type oplysninger der behandles, når oplysningerne ikke er indsamlet hos den registrerede, jf. § 29, stk. 1, nr. 3, litra a.

Der skal efter sidstnævnte bestemmelse gives den registrerede meddelelse om typen af oplysninger, som er indsamlet, og ikke om konkrete oplysninger. Ønsker den registrerede at få oplyst, hvilke konkrete oplysninger, der er indsamlet om vedkommende, må den registrerede anmode om indsigt heri efter reglerne i persondatalovens kapitel 9, jf. næste punkt.

• Retten til efter anmodning at få indsigt i og berigtigelse af de behandlede oplysninger, jf. § 28, stk. 1, nr. 3, litra c, og § 29, stk. 1, nr. 3, litra c.

Retten til indsigt efter anmodning er reguleret i persondatalovens kapitel 9, §§ 31 - 34. Reglerne om indsigtsret er regler om egenacces. Reglerne regulerer derfor bl.a. i hvilket omfang den person, der behandles oplysninger om, har ret til konkrete oplysninger om sig selv. Se afsnit M.2 om indsigt efter persondataloven.

Retten til berigtigelse mv. efter anmodning er reguleret i PDL § 37. Bestemmelsen fastsætter, at den registrerede over for den dataansvarlige kan kræve, at oplysninger om den pågældende berigtiges, slettes eller blokeres, hvis oplysningerne viser sig urigtige, vildledende eller på anden måde er behandlet i strid med lov eller bestemmelser udstedt i medfør af lov.

Som anført er opregningen i litra a-c i §§ 28, stk. 1, nr. 3, og 29, stk. 1, nr. 3, ikke udtømmende. Der vil derfor efter omstændighederne kunne påhvile den dataansvarlige en pligt til at give den registrerede anden information end de oplysninger, der følger af bestemmelserne i litra a-c. Om der skal gives den registrerede yderligere information beror - ligesom med hensyn til bestemmelserne i litra a-c - på en konkret vurdering af, om dette er nødvendigt for, at den registrerede kan varetage sine interesser i det enkelte tilfælde.

Undtagelser fra oplysningspligten Persondataloven indeholder en række undtagelser om den dataansvarliges oplysningspligt over for den registrerede, jf. PDL § 28, stk. 2, § 29, stk. 2, og § 30.

PDL §§ 28, stk. 2, og 29, stk. 2, 1. led - den dataansvarliges identitet, formålet med behandlingen, mv. er den registrerede bekendtEfter bestemmelserne i PDL § 28, stk. 2, og § 29, stk. 2, 1. led, gælder oplysningspligten efter stk. 1 i de to bestemmelser ikke, hvis den registrerede allerede er bekendt med de oplysninger, som er omfattet af oplysningspligten, dvs. oplysninger om den dataansvarliges identitet, formålene med behandlingen samt yderligere oplysninger, der er nødvendige til varetagelse af den registreredes interesser.

I de tilfælde, hvor indsamlingen af oplysninger sker ved, at den registrerede selv retter henvendelse til den dataansvarlige, vil det i almindelighed kunne lægges til grund, at den registrerede allerede er bekendt med de oplysninger, der efter PDL § 28, stk. 1, skal gives den pågældende. Også i de situationer, hvor den dataansvarlige aktivt indsamler oplysninger hos den registrerede, vil det i mange tilfælde kunne lægges til grund, at den registrerede allerede er bekendt med disse oplysninger. I begge de nævnte situationer gælder dog, at oplysningspligten skal opfyldes, hvis den dataansvarlige er i tvivl om, hvorvidt den registrerede allerede er bekendt med de i stk. 1, nr. 1 - 3, anførte oplysninger.

I de tilfælde, hvor oplysningerne er indsamlet hos andre end den registrerede, fx andre myndigheder eller private, vil den dataansvarlige derimod som hovedregel ikke kunne lægge til grund, at den registrerede allerede er bekendt med de oplysninger, som den dataansvarlige er forpligtet til at give meddelelse om efter PDL § 29, stk. 1. Det beror bl.a. på, at oplysningspligten skal opfyldes, hvis den dataansvarlige er i tvivl om, hvorvidt den registrerede allerede er bekendt med de i stk. 1, nr. 1 - 3, nævnte oplysninger.

Hvis en dataansvarlig myndighed, som har indsamlet oplysninger hos den registrerede og i den forbindelse har opfyldt sin oplysningspligt efter PDL § 28, efterfølgende videregiver de indsamlede oplysninger til en anden dataansvarlig myndighed, skal denne nye dataansvarlige myndighed som udgangspunkt opfylde oplysningspligten efter PDL § 29. Den nye dataansvarlige myndighed kan alene undlade at give den registrerede meddelelse efter PDL § 29, stk. 1, hvis den oprindelige dataansvarlige allerede har givet de fornødne oplysninger til den registrerede, jf. PDL § 29, stk. 2, 1. led, eller hvis en af de øvrige undtagelsesbestemmelser i PDL § 29 eller § 30 er opfyldt.

PDL § 29, stk. 2, 2. led - registreringen eller videregivelsen er udtrykkeligt fastsat ved lovAf bestemmelsen i PDL § 29, stk. 2, 2. led, følger, at oplysningspligten efter stk. 1 heller ikke gælder, hvis registreringen eller videregivelsen er udtrykkeligt fastsat ved lov eller bestemmelse fastsat i henhold til lov.

Kravet om udtrykkelighed betyder, at der bør sondres mellem de bestemmelser, der indeholder en indberetningspligt, og de bestemmelser, der indeholder en oplysningspligt. Som hovedregel vil det kun være i de tilfælde, hvor der er tale om en egentlig indberetningspligt eller pligt til at indhente oplysninger, at kravet om udtrykkelighed er opfyldt. I disse tilfælde vil det være klart for den registrerede (gennem bekendtgørelse i Lovtidende), at der vil blive indberettet/indhentet oplysninger om den pågældende. Den registrerede vil derfor have mulighed for at søge om indsigt i de behandlinger, der foregår hos den modtagende myndighed. Datatilsynet anser eksempelvis bestemmelsen i skattekontrollovens § 7 F, stk. 1, hvorefter kommunerne årligt skal foretage indberetning til SKAT om opkrævede underholdsbidrag, for at opfylde kravet om udtrykkelighed. Det er derimod ikke tilstrækkeligt, at en bestemmelse indeholder en oplysningspligt, da det vil være forbundet med en vis usikkerhed om der rent faktisk behandles (registreres eller videregives) oplysninger om den registrerede, jf. eksempelvis skattekontrollovens § 8 G, stk. 1, om oplysningspligt for vekselerere, advokater m.fl. " ... i det omfang told- og skatteforvaltningen anmoder derom og oplysningerne er af væsentlig betydning for skatteligningen ...".

PDL § 29, stk. 3 - underretning af den registrerede er umulig eller uforholdsmæssig vanskeligEfter PDL § 29, stk. 3, gælder oplysningspligten efter stk. 1 heller ikke, hvis underretning af den registrerede viser sig umulig eller er uforholdsmæssig vanskelig.

I hvilket omfang dette er tilfældet skal vurderes i den enkelte situation. Ved denne vurdering skal der ske en afvejning af på den ene side betydningen af en sådan underretning for den registrerede og på den anden side den arbejdsindsats hos myndigheden, der vil være forbundet med en sådan underretning. Der skal i den forbindelse bl.a. lægges vægt på antallet af registrerede, som skal have meddelelse, oplysningernes alder, samt hvor indgribende det er for den enkelte, at der foretages behandling af oplysninger om vedkommende. Det vil herunder være af betydning, om behandlingen af oplysninger foretages som led i enkeltsagsbehandling, hvor underretning kan ske i forbindelse med iværksættelse af andre sagsbehandlingsskridt, eller om behandlingen foretages som led i en række identiske sager, eventuelt som led i massesagsbehandling. Hvor oplysningerne vedrører personer, der er bosiddende i udlandet, kan behandlingen således efter omstændighederne være undtaget fra oplysningspligten, hvis underretning af den registrerede viser sig umulig eller uforholdsmæssig vanskelig efter en konkret afvejning. I øvrigt må det antages, at bestemmelsen har et snævert anvendelsesområde.

Det fremgår af en udtalelse fra Datatilsynet, at betingelserne for at fravige oplysningspligten med hjemmel i § 29, stk. 3, ikke kan anses for opfyldt i en sag, hvor Arbejdsdirektoratet i forbindelse med tilsynet af kommunernes rådighedsvurderinger for kontant- og starthjælpsmodtagere indhenter oplysninger og opretter sager på de enkelte ydelsesmodtagere. Datatilsynet har herved lagt vægt på 1) omfanget og karakteren af de oplysninger om borgeren, der indhentes og registreres, 2) at direktoratets behandling kan (men ikke nødvendigvis vil) føre til ændringer i forhold til borgeren, 3) formålet med oplysningspligten (at skabe større gennemsigtighed og overblik vedrørende personregistreringen), 4) at direktoratet opretter en sag for hver enkelt borger, og endelig 5) har Datatilsynet ikke grundlag for at antage, at det vil være forbundet med uforholdsmæssig stor arbejdsindsats at underrette de omhandlede personer, jf. Datatilsynets udtalelse til Arbejdsdirektoratet af 1. december 2004, j.nr. 2004-321-0316. Udtalelsen er offentliggjort på Datatilsynets hjemmeside.

Undtagelsesbestemmelsen i § 29, stk. 3, kan således eksempelvis heller ikke anvendes som hjemmel for manglende opfyldelse af oplysningspligten i tilfælde, hvor der på grundlag af anmeldelser om borgere foretages registrering og enkeltsagsbehandling, hvor oplysningspligten derfor ikke vil være "uforholdsmæssig vanskelig" at opfylde, og hvor myndighedens behandling af oplysningerne i anmeldelserne eventuelt senere kan få "indgribende" betydning for den anmeldte.

PDL § 30 - afgørende hensyn til private eller offentlige interesserYderligere undtagelser fra oplysningspligten er fastsat i PDL § 30. Efter bestemmelsen i stk. 1 kan undtagelse fra reglerne i § 28, stk. 1, og § 29, stk. 1, gøres, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den registrerede selv. Efter bestemmelsen i stk. 2 kan undtagelse fra bestemmelserne i § 28, stk. 1, og § 29, stk. 1, tillige gøres, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til offentlige interesser, herunder navnlig hensynet til 1) statens sikkerhed, 2) forsvaret, 3) den offentlige sikkerhed, 4) forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller i forbindelse med brud på etiske regler for lovregulerede erhverv, 5) væsentlige økonomiske eller finansielle interesser hos en medlemsstat eller Den Europæiske Union, herunder valuta-, budget-, og skatteanliggender samt 6) kontrol-, tilsyns-, eller reguleringsopgaver, herunder opgaver af midlertidig karakter, der er et led i den offentlige myndighedsudøvelse på de i nr. 3 - 5 nævnte områder. Bestemmelserne har kun betydning, hvis underretning af den registrerede ikke kan undlades efter undtagelsesbestemmelserne i § 28, stk. 2, og § 29, stk. 2 og 3.

Indskrænkning af den dataansvarliges oplysningspligt kræver efter både stk. 1 og stk. 2 en konkret afvejning af de modstående interesser, der er anført. Afvejningen skal foretages for hver enkelt oplysning for sig. Hvis hensyn, der indebærer undtagelse fra oplysningspligten, kun gør sig gældende for en del af de i § 28, stk. 1, og § 29, stk. 1, nævnte oplysninger, skal der gives den registrerede meddelelse om de øvrige oplysninger. Endvidere indebærer udtrykket "afgørende hensyn", at undtagelse fra oplysningspligten kun kan gøres, hvor der er nærliggende fare for, at privates eller offentliges interesser vil lide skade af væsentlig betydning. Bevisbyrden påhviler den dataansvarlige.

Eksempelvis vil bestemmelsen i PDL § 30, stk. 2, nr. 6, om hensynet til kontrol mv. kunne anvendes, hvis det efter en konkret afvejning - af på den ene side hensynet til den registreredes interesse i at få kendskab til oplysningerne og på den anden side afgørende kontrolhensyn - vurderes, at der er nærliggende og konkret fare for, at det offentliges interesser vil lide skade af væsentlig betydning, fx fordi behandlingen sker i forbindelse med planlægning af uanmeldt kontrol.

Ordlyden og fortolkningen af undtagelsesbestemmelsen i persondatalovens § 30, stk. 2, nr. 6, svarer til forvaltningslovens § 15, stk. 1, nr. 4, om undtagelse af oplysninger i sager om partsaktindsigt, for så vidt angår den afvejning, der skal foretages af modstående interesser samt begrebet "afgørende hensyn". Ligeledes svarer fortolkningen af ekstraheringspligten efter persondatalovens § 30, stk. 2, nr. 6, som alene fremgår af bemærkningerne til loven, til fortolkningen af ekstraheringspligten efter ordlyden af forvaltningslovens § 15, stk. 2.

Ombudsmanden udtalelse i en sag om afslag på aktindsigt i anmeldelser efter forvaltningslovens § 15, stk. 1, nr. 4, kan derfor også anvendes som fortolkningsbidrag til undtagelsesbestemmelsen i persondatalovens § 30, stk. 2, nr. 6, i relation til anmeldelser, jf. FOB 2004, 346 ff, om Afslag på aktindsigt i skattekontrolsag.

Ombudsmandens udtalelse indebærer således i relation til anmeldelser, at betingelserne for helt eller delvist at fravige oplysningspligten med hjemmel i persondatalovens § 30, stk. 2, nr. 6, er at der for hver enkelt oplysning foreligger afgørende modhensyn af en sådan karakter, at der efter et konkret skøn er nærliggende og sandsynliggjort fare for, at kontrolhensyn vil lide skade af væsentlig betydning. Det forhold at kontrolprocessen vanskeliggøres er ikke i sig selv et afgørende modhensyn, når selve kontrolformålet ikke samtidig lider skade af væsentlig betydning. Det er i denne sammenhæng uden betydning om partens interesse i at kende oplysningerne antages at være mere eller mindre tungtvejende, hvis der ikke foreligger sådanne afgørende hensyn, der taler imod meddelelse af de omfattede oplysninger.

I forbindelse med iværksættelsen af den nye indsatsstrategi, der sætter fokus på såvel vejledning og information i forhold til borgerne som en effektiv kontrolstrategi, har SKAT, Hovedcentret anmodet Datatilsynet om en udtalelse vedrørende SKATs interne retningslinier for opfyldelse af oplysningspligten efter persondataloven ved anmeldelse af skatteunddragelse mv.

Det fremgår af udtalelsen, at Datatilsynet ikke har supplerende bemærkninger til retningslinierne for anvendelse af lovens bestemmelser i § 29, stk. 3, og § 30, stk. 2, nr. 6, om undtagelse fra oplysningspligten. Datatilsynet konkluderer endvidere, at en visiteringsperiode i sig selv ikke kan begrunde, at oplysningspligten ikke opfyldes snarest muligt. Det er herved forudsat, at registreringen foretages samtidigt eller umiddelbart efter modtagelsen af anmeldelsen.

På baggrund af Datatilsynets udtalelse gælder følgende hovedregler: Når 3. mand anmelder en skatteyder for overtrædelse af skattelovgivningen, skal den anmeldte skatteyder straks underrettes, dvs. inden for 10 dage. Denne underretning kan dog udskydes, hvis den ansvarlige medarbejder efter et konkret skøn kommer til det resultat, at selve opklaringsmuligheden vil lide væsentlig skade, hvis underretning gives straks til den anmeldte. Dette konkrete skøn skal udøves straks ved modtagelsen af anmeldelsen. I tilfælde, hvor underretningen udskydes, skal den ansvarlige medarbejder udarbejde et internt notat, der indeholder en begrundelse for, hvilke faktiske omstændigheder der bevirker, at opklaringsmuligheden vil lide væsentlig skade ved en underretning. Det forhold, at kontrolprocessen - altså arbejdet med at gennemføre kontrolprocessen - bliver vanskeligere, f.eks. mere tidskrævende, er ikke i sig selv nok til at udskyde en underretning. Der henvises til SKM2007.512.SKAT af 27. juli 2007, hvor Datatilsynets udtalelse er offentliggjort.

Tidsfrist for opfyldelse af oplysningspligten Når der indsamles oplysninger hos den registrerede, skal oplysningspligten opfyldes samtidig med indsamlingen, jf. PDL § 28, stk. 1.

I de tilfælde, hvor oplysninger indsamles i forbindelse med, at den registrerede fx skal indlevere en ansøgning, blanket eller lignende til den dataansvarlige, kan oplysningspligten opfyldes ved, at de fornødne informationer er fortrykt på ansøgningen, blanketten mv. Hvis indsamlingen foregår uden anvendelse af en fortrykt ansøgningsformular eller lignende, fx ved at den registrerede selv henvender sig i et almindeligt brev, skal oplysningspligten opfyldes snarest muligt eller senest inden for 10 dage.

Når oplysninger indsamles hos andre end den registrerede, skal oplysningspligten opfyldes ved registreringen, eller hvis de indsamlede oplysninger er beregnet på videregivelse, senest når videregivelsen af oplysningerne finder sted, jf. PDL § 29, stk. 1.

Udtrykket "ved registreringen" skal fortolkes som snarest muligt eller senest inden for 10 dage efter registreringen. I tilfælde, hvor de indsamlede oplysninger er beregnet på videregivelse til tredjemand, kan opfyldelse af oplysningspligten vente til videregivelse af oplysninger første gang finder sted. Det er dog en betingelse, at det på tidspunktet for indsamlingen er klart, at oplysningerne skal videregives til tredjemand, og at videregivelsen finder sted inden for en forholdsvis snæver periode.

Se endvidere SKM2007.512.SKAT om Datatilsynets udtalelse på området, jf. oven for.