Indhold

Afsnittet indeholder:

  • Hvilke oplysninger skal altid gives til den registrerede?
  • Andre oplysninger, der efter en konkret vurdering er nødvendige at give til den registrerede
  • Undtagelser fra oplysningspligten
  • Særligt om kontrolhensyn
  • Oversigt over domme, kendelser, afgørelser, SKM-meddelelser mv.

Hvilke oplysninger skal altid gives til den registrerede?

DBF artikel 14 indeholder kravene til den dataansvarliges oplysningspligt i de tilfælde, hvor oplysningerne indsamles hos andre end den registrerede.

Ved indsamling af oplysninger hos andre end den registrerede vil Skatteforvaltningen som dataansvarlig være forpligtet til at oplyse den registrerede om følgende:

  • Den dataansvarliges identitet og kontaktoplysninger

  • Kontaktoplysninger på den dataansvarliges databeskyttelsesrådgiver (DPO)

  • Formålet med og retsgrundlaget for behandlingen af personoplysningerne

  • De berørte kategorier af personoplysninger

  • Eventuelle modtagere eller kategorier af modtagere af personoplysningerne

  • Eventuelle overførsler til tredjelande

De oplysninger, der skal gives, er først og fremmest de samme oplysninger, som den dataansvarlige er forpligtet til at give, når oplysningerne indsamles hos den registrerede selv. Se for en nærmere beskrivelse af indholdet heraf i afsnit A.A.6.4.2 ovenfor.

Derudover skal der også gives oplysninger om:

  • De berørte kategorier af personoplysninger

Dette indebærer, at den registrerede skal have informationer om, hvorvidt de oplysninger, der er indsamlet, er almindelige personoplysninger, oplysninger om strafbare forhold eller særlige kategorier af personoplysninger som eksempelvis følsomme personoplysninger.

Se DBF artikel 14, stk. 1.

Andre oplysninger, der efter en konkret vurdering er nødvendige at give til den registrerede

Derefter skal den dataansvarlige konkret vurdere, om den registrerede skal gives yderligere oplysninger. Der skal tages stilling til, hvilke oplysninger der er nødvendige at give den registrerede for at sikre en rimelig og gennemsigtig behandling.

Følgende oplysninger kan Skatteforvaltningen være forpligtet til at give:

  • Det tidsrum, hvor oplysningerne vil blive opbevaret

  • Den registreredes rettigheder efter databeskyttelsesforordningen (bl.a. retten til indsigt, berigtigelse, begrænsning af behandling og indsigelse)

  • Hvis indsamlingen er baseret på et samtykke, da gives oplysning om retten til at trække samtykket tilbage

  • Retten til at indgive klage til Datatilsynet

  • Om indsamlingen af personoplysninger sker på baggrund af et lovkrav, og om den registrerede har pligt til at afgive oplysningerne samt eventuelle konsekvenser af ikke at afgive oplysningerne

  • Forekomsten af automatiske afgørelser, herunder profilering.

Disse oplysninger er som udgangspunkt de samme, som skal gives i de tilfælde, hvor oplysningerne indsamles hos den registrerede selv. Se nærmere om oplysningspligtens indhold under afsnittet A.A.6.4.2.  

Derudover skal den dataansvarlige efter en konkret vurdering også oplyse om:

  • Hvilken kilde personoplysningerne hidrører fra, og eventuelt om de stammer fra offentligt tilgængelige kilder.

Hvis det ikke er muligt at give oplysninger om kilder, skal der gives mere generelle oplysninger.

Se DBF artikel 14, stk. 2.

Undtagelser fra oplysningspligten

Den dataansvarlige kan i en række tilfælde være undtaget oplysningspligten:

  • Den registrerede er allerede bekendt med oplysningerne

  • Hvis meddelelse viser sig umulig eller vil kræve en uforholdsmæssig stor indsats eller vil hindre opfyldelse af formålene med behandlingen

  • Behandlingen er udtrykkeligt fastsat ved lov

  • Personoplysningerne skal forblive fortrolige som følge af tavshedspligt

  • Hensynet til private og offentlige interesser

Indholdet af undtagelserne gennemgås nærmere i det følgende.

1. Den registrerede er allerede bekendt med oplysningerne    

Hvis den registrerede allerede er bekendt med de oplysninger, som den dataansvarlige er forpligtet til at give, kan oplysningspligten undlades. Se DBF artikel 14, stk. 5, litra a.

I de tilfælde, hvor oplysningerne indsamles hos andre end den registrerede selv, vil den dataansvarlige som hovedregel ikke kunne lægge til grund, at den registrerede er bekendt med de oplysninger, som den dataansvarlige skal give meddelelse om.

Er den dataansvarlige i tvivl om, hvorvidt den registrerede allerede er bekendt med oplysningerne, skal oplysningspligten opfyldes.

2. Meddelelse viser sig umulig eller vil kræve en uforholdsmæssig stor indsats eller vil hindre opfyldelse af formålene med  behandlingen

Den dataansvarlige kan undlade at opfylde oplysningspligten, hvis underretningen viser sig umulig eller vil kræve en uforholdsmæssig stor indsats. Se DBF artikel 14, stk. 5, litra b.

I praksis kan det være umuligt at give den registrerede oplysningerne, hvis det ikke på nogen måde er muligt med sikkerhed at fastslå, hvem den registrerede er. Den dataansvarlige har dog bevisbyrden for, at det er umuligt at give den registrerede oplysningerne.

Endvidere kan den dataansvarlige undlade at iagttage sin oplysningspligt, hvis det vil kræve en uforholdsmæssig stor indsats at give oplysningerne. Undtagelsen vil især være relevant i tilfælde, hvor behandlingen sker til videnskabelige eller statistiske formål.

Der skal foretages en konkret afvejning af, om det vil kræve en uforholdsmæssig stor indsats. Ved denne vurdering kan der på den ene side lægges vægt på den betydning, det vil have for den registrerede at modtage oplysningerne, og på den anden side den arbejdsindsats, det vil kræve at give oplysningerne. Her kan bl.a. lægges vægt på antallet af registrerede, som skal have meddelelse og oplysningernes alder, samt hvorvidt der på anden vis er stillet fornødne garantier for den registrerede.

Endelig kan oplysningspligten undlades i de tilfælde, hvor underretning vil gøre det umuligt eller i alvorlig grad hindre opfyldelse af formålene med behandlingen. Dette vil fx være tilfældet, hvis en underretning kan skade en efterforskning og forfølgelse af en lovovertrædelse.

Eksempel

Når oplysningerne vedrører personer, der er bosiddende i udlandet, kan behandlingen efter omstændighederne være undtaget fra oplysningspligten, hvis underretning af den registrerede efter en konkret afvejning viser sig umulig eller uforholdsmæssig vanskelig.

Det antages i øvrigt, at denne undtagelsesbestemmelse har et snævert anvendelsesområde.

Eksempel, hvor undtagelsesbestemmelsen ikke kan anvendes

I en afgørelse af 2. februar 2023, j.nr. 2021-432-0070, har Datatilsynet udtalt sig om Statens Serum Instituts (SSI) opfyldelse af oplysningspligten efter DBF artikel 14, stk. 1-4. Datatilsynet indledte i 2021 en undersøgelse af SSI, hvor omdrejningspunkt var, hvorvidt SSI opfyldte oplysningspligten i følgende tilfælde:

  • når SSI modtager blodprøver mv. fra regionerne med henblik på analyse, og
  • når SSI beslutter at gemme restmateriale i Danmarks Nationale Biobank.

I forbindelse med sagen oplyste SSI, at selvom instituttet kunne underrette registrerede ved brug af digital eller fysisk post, ville sådan en underretningsopgave kræve en uforholdsmæssigt stor indsats i form af store administrative og økonomiske omkostninger. Samtidigt henviste SSI bl.a. til, at instituttet behandler oplysninger om et stort antal registrerede, at instituttet på daværende tidspunkt ikke havde et system, som kunne foretage automatisk underretning af de registrerede, og at instituttet havde sørget for at etablere visse kompensatoriske foranstaltninger ved at oplyse om behandlingen på sin hjemmeside og på Danmarks Nationale Biobanks hjemmeside.

I sagen fandt Datatilsynet, efter behandling af sagen i Datarådet, at SSI ikke kunne undlade at opfylde sin oplysningspligt med henvisning til DBF artikel 14, stk. 5, litra b, om at underretning vil kræve en uforholdsmæssigt stor indsats.

I den forbindelse lagde Datatilsynet bl.a. vægt på, at oplysningspligten er central for at sikre gennemsigtighed ved behandling af personoplysninger og for at skabe et tillidsforhold mellem den dataansvarlige og de registrerede.

Derudover bemærkede Datatilsynet, at det er en forudsætning for at undlade at opfylde sin oplysningspligt med henvisning til, at det vil kræve en uforholdsmæssigt stor indsats, at den uforholdsmæssigt store indsats er foranlediget af eller forbundet med den omstændighed, at oplysningerne ikke er indsamlet hos den registrerede. I så fald vil den dataansvarlige være i en anden og - efter omstændighederne - mindre velegnet position til at underrette en registreret end en dataansvarlig, som har indsamlet oplysningerne direkte fra den registrerede. I sagen var SSIs vanskeligheder med at opfylde oplysningspligten imidlertid ikke foranlediget af den omstændighed, at SSI ikke havde indsamlet oplysningerne direkte fra de registrerede. Vanskelighederne beroede derimod på, at instituttet på det pågældende tidspunkt ikke havde indrettet sit system på en sådan måde, at processen i forbindelse med opfyldelse af oplysningspligten lettedes, eksempelvis ved brug af automatiserede processer.

Således fastslog Datatilsynet, at SSI ikke kunne undlade at løfte sin oplysningspligt.

Særligt om anmeldelser

Undtagelsesbestemmelsen i DBF artikel 14, stk. 5, litra b, kan derfor næppe anvendes som hjemmel for at fravige oplysningspligten i tilfælde, hvor der på grundlag af anmeldelser om borgere foretages registrering og enkeltsagsbehandling, og oplysningspligten derfor ikke vil være "uforholdsmæssig vanskelig" at opfylde, og hvor myndighedens behandling af oplysningerne i anmeldelserne eventuelt senere kan få indgribende betydning for den anmeldte.

Se også afsnit "Særligt om kontrolhensyn" nedenfor.

3. Behandlingen er udtrykkeligt fastsat ved lov

Hvis den dataansvarlige ved lov udtrykkeligt er blevet pålagt at indsamle eller videregive personoplysninger, kan den dataansvarlige undlade at iagttage oplysningspligten. Se DBF artikel 14, stk. 5, litra c.

Bestemmelsen i skatteindberetningslovens (SIL) § 34 , hvorefter Udbetaling Danmark årligt skal foretage indberetning til Skatteforvaltningen om opkrævede underholdsbidrag, anses af Datatilsynet for at opfylde kravet om udtrykkelighed.

Omvendt anser Datatilsynet ikke formuleringen i SKL § 8G, stk. 1, (om oplysningspligt for vekselerere, advokater m.fl.) "... i det omfang told- og skatteforvaltningen anmoder derom ...", for at opfylde kravet om udtrykkelighed, da det vil være usikkert, om der rent faktisk behandles oplysninger om den registrerede. Bestemmelsen (SKL § 8G) er udgået af SKL, men er videreført med lignende bestemmelser i SKL kapitel 6.  

4. Personoplysningerne skal forblive fortrolige som følge af tavshedspligt

I de situationer, hvor den dataansvarlige behandler oplysninger, der skal forblive fortrolige som følge af særlige bestemmelser om tavshedspligt, kan oplysningspligten undlades. Se DBF artikel 14, stk. 5, litra d.

Særlige bestemmelser om tavshedspligt skal i denne forbindelse forstås i overensstemmelse med OFL § 35.

I de situationer, hvor den dataansvarlige behandler oplysninger, som er omfattet af den særlige tavshedspligt i hvidvasklovens § 38 a, kan oplysningspligten undlades. Se lovbekendtgørelse nr. 316 af 11/3/2022 om forebyggende foranstaltninger mod hvidvask og finansiering af terrorisme (hvidvaskloven).

Derimod vil oplysningspligten ikke kunne undlades med henvisning til de almindelige tavshedspligtsbestemmelser i fx FVL § 27.

5. Hensynet til private og offentlige interesser

Den dataansvarlige kan undlade at opfylde oplysningspligten, hvis den registreredes interesse i oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv. Se DBL § 22, stk. 1.

Den dataansvarlige kan ligeledes undlade at iagttage oplysningspligten, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til offentlige interesser, herunder navnlig til:

  • Statens sikkerhed

  • Forsvaret

  • Den offentlige sikkerhed

  • Forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed

  • Andre vigtige målsætninger i forbindelse med beskyttelse af Den Europæiske Unions eller en medlemsstats generelle samfundsinteresser, især Unionens eller en medlemsstats økonomiske eller finansielle interesser, herunder valuta-, budget- og skatteanliggender, folkesundhed og social sikkerhed

  • Forebyggelse, efterforskning, afsløring og retsforfølgning i forbindelse med brud på etiske regler for lovregulerede erhverv

  • Kontrol-, tilsyns- eller reguleringsfunktioner, herunder opgaver af midlertidig karakter, der er forbundet med offentlig myndighedsudøvelse i de tilfælde, der er omfattet af de punkterne opregnet umiddelbart ovenfor

  • Beskyttelse af den registrerede eller andres rettigheder og frihedsrettigheder

  • Håndhævelse af civilretlige krav

Se DBL § 22, stk. 2.

Der skal foretages en konkret afvejning i den enkelte situation. Ved afvejningen af om private eller offentlige interesser overstiger hensynet til den registreredes interesser, skal på den ene side indgå den registreredes interesse i at få kendskab til oplysningerne, og på den anden side afgørende hensyn til offentlige og private interesser, herunder hensynet til den pågældende selv.

Det bemærkes, at undladelse af at iagttage oplysningspligten kun kan ske, hvis der er en nærliggende fare for, at de private eller det offentliges interesser vil lide skade af væsentlig betydning. Bevisbyrden herfor påhviler den dataansvarlige.

Hvis de hensyn, der indebærer en undtagelse fra oplysningspligten kun gør sig gældende for en del af oplysningerne, skal der gives den registrerede meddelelse om de øvrige oplysninger.

Særligt om kontrolhensyn

Om anvendelsen af undtagelsesbestemmelsen i DBL § 22, stk. 2, nr. 8, i forbindelse med kontrol henvises til afsnit A.A.6.4.2 om undtagelser fra oplysningspligten, hvor oplysningerne er indsamlet hos den registrerede selv, og underafsnittet "Særligt om kontrolhensyn".

Oversigt over domme, kendelser, afgørelser, SKM-meddelelser mv.

Skemaerne viser relevante afgørelser og udtalelser på området:

Afgørelse fra Datatilsynet

Afgørelsen i stikord

Yderligere kommentarer

Datatilsynets afgørelse af 2/2 2023, j.nr. 2021-432-0070

Ved behandling af personoplysninger er oplysningspligten et centralt element i forhold til at sikre gennemsigtighed og skabe et tillidsforhold mellem den dataansvarlige og de registrerede. Det er desuden en forudsætning for at undlade at opfylde sin oplysningspligt med henvisning til, at det vil kræve en uforholdsmæssigt stor indsats, at den uforholdsmæssigt store indsats er foranlediget af, eller forbundet med den omstændighed, at oplysningerne ikke er indsamlet hos den registrerede.
Udtalelse fra Datatilsynet Udtalelsen i stikord Yderligere kommentarer
Datatilsynets udtalelse af 1/12 2004, j.nr. 2004-321-0316 Ved behandling af personoplysninger, hvor behandlingen bl.a. kan føre til ændringer i forhold til borgeren, hvor der oprettes en sag for hver enkelt borger, og hvor der ikke er grundlag for at antage, at det vil være forbundet med uforholdsmæssig stor arbejdsindsats at underrette de pågældende personer, vil oplysningspligten ikke kunne fraviges efter PDL § 29, stk. 3.

Udtalelsen er afgivet, inden databeskyttelsesforordningens og databeskyttelseslovens ikrafttrædelse.

PDL § 29, stk. 3, svarer til DBF artikel 14, stk. 5, litra b.