Indhold

Afsnittet indeholder:

  • Hvilke informationer skal altid gives til den registrerede?
  • Andre informationer, der efter en konkret vurdering er nødvendige at give til den registrerede
  • Undtagelser fra oplysningspligten
  • Særligt om kontrolhensyn
  • Oversigt over domme, kendelser, afgørelser, SKM-meddelelser mv.

Hvilke informationer skal altid gives til den registrerede?

DBF artikel 14 indeholder kravene til den dataansvarliges oplysningspligt i de tilfælde, hvor personoplysningerne indsamles hos andre end den registrerede.

Ved indsamling af personoplysninger hos andre end den registrerede vil Skatteforvaltningen som dataansvarlig være forpligtet til at oplyse den registrerede om følgende:

  • den dataansvarliges identitet og kontaktoplysninger

  • kontaktoplysninger på den dataansvarliges databeskyttelsesrådgiver (DPO)

  • formålet med og retsgrundlaget for behandlingen af personoplysningerne

  • de berørte kategorier af personoplysninger

  • eventuelle modtagere eller kategorier af modtagere af personoplysningerne

  • eventuelle overførsler til tredjelande.

Se DBF artikel 14, stk. 1.

Ovenstående informationer er primært de samme informationer, som den dataansvarlige er forpligtet til at give, når personoplysningerne indsamles hos den registrerede selv. Se en nærmere beskrivelse af indholdet heraf i afsnit A.A.6.4.2 ovenfor. Se dog nedenfor om pligten til at oplyse om de berørte kategorier af personoplysninger.

De berørte kategorier af personoplysninger

Det er et krav at oplyse den registrerede om de berørte kategorier af personoplysninger, når personoplysningerne indsamles fra andre end den registrerede. Kravet indebærer, at den registrerede skal oplyses om, hvorvidt de personoplysninger, der er indsamlet, er almindelige personoplysninger, oplysninger om strafbare forhold eller særlige kategorier af personoplysninger (også kaldet følsomme personoplysninger).

Andre informationer, der efter en konkret vurdering er nødvendige at give til den registrerede

Den dataansvarlige skal konkret vurdere, om den registrerede skal gives yderligere informationer om behandlingen af personoplysninger end de omtalte ovenfor. Der skal tages stilling til, hvilke informationer det er nødvendigt at give den registrerede for at sikre en rimelig og gennemsigtig behandling.

Følgende informationer kan Skatteforvaltningen være forpligtet til at give:

  • det tidsrum, hvor oplysningerne vil blive opbevaret

  • den registreredes rettigheder efter databeskyttelsesforordningen (bl.a. retten til indsigt, berigtigelse, sletning, begrænsning af behandling og indsigelse)

  • retten til at trække samtykke tilbage, hvis behandlingen er baseret på et samtykke

  • retten til at klage til Datatilsynet

  • pligt for den registrerede til at afgive personoplysningerne og de eventuelle konsekvenser af ikke at gøre det

  • forekomsten af automatiske afgørelser, herunder profilering.

Disse informationer er de samme som ved indsamling af personoplysninger hos den registrerede selv. Se nærmere om oplysningspligtens indhold i afsnit A.A.6.4.2.  

Den dataansvarlige er efter en konkret vurdering også forpligtet til at oplyse om, hvilken kilde personoplysningerne hidrører fra, og eventuelt om de stammer fra offentligt tilgængelige kilder.

Hvis det ikke er muligt at give specifik information om kilder, skal der gives mere generel information om typen af kilderne, fx pengeinstitutter, offentlige myndigheder eller fagforeninger.

Se DBF artikel 14, stk. 2.

Undtagelser fra oplysningspligten

Den dataansvarlige kan i en række tilfælde være undtaget fra oplysningspligten:

  • Den registrerede er allerede bekendt med informationerne

  • Meddelelse viser sig umulig eller vil kræve en uforholdsmæssig stor indsats

  • Meddelelse til den registrerede vil hindre opfyldelse af formålene med behandlingen

  • Behandlingen er udtrykkeligt fastsat ved lov

  • Personoplysningerne skal forblive fortrolige som følge af tavshedspligt

  • Afgørende hensyn til private eller offentlige interesser.

Disse undtagelser gennemgås nærmere i det følgende.

Den registrerede er allerede bekendt med informationerne    

Hvis den registrerede allerede er bekendt med de informationer, som den dataansvarlige er forpligtet til at give, kan der undtages fra oplysningspligten. Se DBF artikel 14, stk. 5, litra a.

I de tilfælde, hvor personoplysningerne indsamles hos andre end den registrerede selv, vil den dataansvarlige som hovedregel ikke kunne lægge til grund, at den registrerede er bekendt med de informationer, som den dataansvarlige skal oplyse om.

Er den dataansvarlige i tvivl om, hvorvidt den registrerede allerede er bekendt med informationerne, skal oplysningspligten opfyldes.

Meddelelse viser sig umulig eller vil kræve en uforholdsmæssig stor indsats

Den dataansvarlige kan undtage fra oplysningspligten, hvis meddelelse viser sig umulig eller vil kræve en uforholdsmæssig stor indsats. ►I så fald skal den dataansvarlige træffe passende foranstaltninger for at beskytte den registrerede, herunder ved at gøre informationer om behandling af personoplysninger offentligt tilgængelige.◄ Se DBF artikel 14, stk. 5, litra b.

Det vil være umuligt at give den registrerede informationer, hvis det ikke med sikkerhed kan fastslås, hvem den registrerede er. Den dataansvarlige har dog bevisbyrden for, at det er umuligt at give den registrerede informationerne.

Derudover kan den dataansvarlige undtage fra oplysningspligten, hvis det vil kræve en uforholdsmæssig stor indsats at give informationerne.

Der skal foretages en konkret afvejning af, om det vil kræve en uforholdsmæssig stor indsats. Ved denne vurdering kan der på den ene side lægges vægt på den betydning, det vil have for den registrerede at modtage informationerne, og på den anden side den arbejdsindsats, det vil kræve at give informationerne. Her kan bl.a. lægges vægt på antallet af registrerede, som skal oplyses om informationerne og personoplysningernes alder, samt hvorvidt der på anden vis er stillet fornødne garantier for den registrerede.

Undtagelse på grund af en uforholdsmæssig indsats er særligt relevant i tilfælde, hvor behandlingen sker til videnskabelige eller statistiske formål, men kan også overvejes i andre tilfælde, hvor den registrerede kun har en beskeden rolle i en sag, der samtidig ikke vil få konsekvenser for denne.

Eksempel

Når personoplysningerne vedrører personer, der er bosiddende i udlandet, kan behandlingen efter omstændighederne være undtaget fra oplysningspligten, hvis underretning af den registrerede efter en konkret afvejning viser sig umulig eller vil kræve en uforholdsmæssig indsats.

Eksempel, hvor undtagelsesbestemmelsen ikke kan anvendes

I en afgørelse af 2. februar 2023, j.nr. 2021-432-0070, har Datatilsynet udtalt sig om Statens Serum Instituts (SSI) opfyldelse af oplysningspligten efter DBF artikel 14, stk. 1-4. Datatilsynet indledte i 2021 en undersøgelse af SSI, hvor omdrejningspunktet var, hvorvidt SSI opfyldte oplysningspligten i følgende tilfælde:

  • når SSI modtager blodprøver mv. fra regionerne med henblik på analyse, og
  • når SSI beslutter at gemme restmateriale i Danmarks Nationale Biobank.

I forbindelse med sagen oplyste SSI, at selvom instituttet kunne underrette registrerede ved brug af digital eller fysisk post, ville sådan en underretningsopgave kræve en uforholdsmæssigt stor indsats i form af store administrative og økonomiske omkostninger. Samtidigt henviste SSI bl.a. til, at instituttet behandler personoplysninger om et stort antal registrerede, at instituttet på daværende tidspunkt ikke havde et system, som kunne foretage automatisk underretning af de registrerede, og at instituttet havde sørget for at etablere visse kompensatoriske foranstaltninger ved at oplyse om behandlingen på sin hjemmeside og på Danmarks Nationale Biobanks hjemmeside.

I sagen fandt Datatilsynet, efter behandling af sagen i Datarådet, at SSI ikke kunne undtage fra oplysningspligten med henvisning til, at underretning vil kræve en uforholdsmæssigt stor indsats. DBF artikel 14, stk. 5, litra b.

I den forbindelse lagde Datatilsynet bl.a. vægt på, at oplysningspligten er central for at sikre gennemsigtighed ved behandling af personoplysninger og for at skabe et tillidsforhold mellem den dataansvarlige og de registrerede.

Derudover bemærkede Datatilsynet, at det er en forudsætning for at undtage fra oplysningspligten med henvisning til en uforholdsmæssigt stor indsats, at den uforholdsmæssigt store indsats er foranlediget af eller forbundet med den omstændighed, at personoplysningerne ikke er indsamlet hos den registrerede. I så fald vil den dataansvarlige være i en anden og - efter omstændighederne - mindre velegnet position til at underrette en registreret end en dataansvarlig, som har indsamlet personoplysningerne direkte fra den registrerede. I sagen var SSIs vanskeligheder med at opfylde oplysningspligten imidlertid ikke foranlediget af den omstændighed, at SSI ikke havde indsamlet personoplysningerne direkte fra de registrerede. Vanskelighederne skyldtes derimod, at instituttet på det pågældende tidspunkt ikke havde indrettet sit system på en sådan måde, at processen i forbindelse med opfyldelse af oplysningspligten lettedes, fx ved brug af automatiserede processer.

Derfor fastslog Datatilsynet, at SSI ikke kunne undtage fra oplysningspligten.

Særligt om anmeldelser

Den dataansvarlige kan normalt ikke undtage fra oplysningspligten med henvisning til en uforholdsmæssig indsats, hvis der på grundlag af anmeldelser om borgere foretages registrering og enkeltsagsbehandling, og hvor myndighedens behandling af personoplysningerne i anmeldelserne eventuelt senere kan få indgribende betydning for den anmeldte.

Se også afsnit "Særligt om kontrolhensyn" nedenfor.

Særligt om visitering

Den 15. december 2006 anmodede det forhenværende SKAT Datatilsynet om en udtalelse om SKATs interne retningslinjer om opfyldelse af oplysningspligten efter den dagældende persondatalovs regler i forbindelse med modtagelse af anmeldelser om skatteunddragelser. Se SKM2007.512.SKAT.

Datatilsynet udtalte bl.a., at en visiteringsperiode ikke i sig selv kan begrunde, at oplysningspligten ikke opfyldes snarest muligt. Med andre ord er en visiteringsperiode ikke en tilstrækkelig begrundelse for at undtage fra oplysningspligten af hensyn til en uforholdsmæssig indsats efter DBF artikel 14, stk. 5, litra b.

Hvorvidt der i stedet indenfor fristen for opfyldelse af oplysningspligten i DBF artikel 14, stk. 3, kunne ske en mindre udskydelse af oplysningspligten af hensyn til fx kontakt med den registrerede indenfor ganske kort tid, vil bero på en konkret vurdering. Der henvises til afsnit A.A.6.4.1 for en nærmere gennemgang af tidspunktet for opfyldelse af oplysningspligten.

Meddelelse til den registrerede vil hindre opfyldelse af formålene med behandlingen

Den dataansvarlige kan undtage fra eller udskyde oplysningspligten i de tilfælde, hvor meddelelse vil gøre det umuligt eller i alvorlig grad hindre opfyldelse af formålene med behandlingen. ►I så fald skal den dataansvarlige træffe passende foranstaltninger for at beskytte den registrerede, herunder ved at gøre informationerne om behandling af personoplysninger offentligt tilgængelige.◄ Se DBF artikel 14, stk. 5, litra b.

Dette vil fx være tilfældet, hvis information til den registrerede kan skade en efterforskning, forfølgelse af en lovovertrædelse eller en kontrol. Hvis de hensyn, der indebærer en undtagelse fra oplysningspligten, kun gør sig gældende for en del af informationerne, skal den registrerede gives de øvrige informationer.

Når formålet med behandlingen ikke længere vil blive forspildt eller hindret ved opfyldelse af oplysningspligten, skal den dataansvarlige give den registrerede informationerne på dette tidspunkt. Dette kan fx være tilfældet, når den registreredes kendskab til informationerne ikke længere er egnet til at skade en kontrol eller en forfølgelse af en lovovertrædelse.

Det antages, at denne undtagelse har et væsentligt overlap med undtagelsen om afgørende offentlige interesser, som omtales nedenfor.

Behandlingen er udtrykkeligt fastsat ved lov

Hvis den dataansvarlige ved lov udtrykkeligt er blevet pålagt at indsamle eller videregive personoplysninger, kan den dataansvarlige undtage fra oplysningspligten. Se DBF artikel 14, stk. 5, litra c.

Ud fra praksis skal det være klart, at en indsamling eller videregivelse vil ske, og at der ikke blot er tale om en eventuel mulighed herfor. Derfor skal der som hovedregel være tale om en egentlig indberetningspligt for at leve op til udtrykkelighedskravet.

Bestemmelsen i SIL § 34, hvorefter Udbetaling Danmark årligt skal foretage indberetning til Skatteforvaltningen om opkrævede underholdsbidrag, anses af Datatilsynet for at opfylde kravet om udtrykkelighed.

Omvendt anser Datatilsynet ikke formuleringen i den tidligere SKL § 8 G, stk. 1, (om oplysningspligt for vekselerere, advokater m.fl.) "... i det omfang told- og skatteforvaltningen anmoder derom ...", for at opfylde kravet om udtrykkelighed. Det skyldes, at det vil være usikkert, om der rent faktisk behandles personoplysninger om den registrerede. Bestemmelsen (SKL § 8G) er udgået af SKL, men er videreført med lignende bestemmelser i SKL kapitel 6.  

Personoplysningerne skal forblive fortrolige som følge af tavshedspligt

Den dataansvarlige kan undtage fra oplysningspligten, hvis opfyldelse af oplysningspligten vil afsløre tavshedsbelagte personoplysninger overfor uvedkommende. Se DBF artikel 14, stk. 5, litra d.

Undtagelsen forstås som særlige bestemmelser om tavshedspligt i overensstemmelse med OFL § 35.

►Det kan fx være nødvendigt at undtage fra oplysningspligten, hvis information om formålet med behandlingen vil afsløre en andens personoplysninger i strid med Skatteforvaltningens særlige tavshedspligt i SFL § 17.◄

I de situationer, hvor den dataansvarlige behandler oplysninger, som er omfattet af den særlige tavshedspligt i hvidvasklovens § 38 a, kan der undtages fra oplysningspligten.

Derimod vil der ikke kunne undtages fra oplysningspligten med henvisning til de almindelige tavshedspligtsbestemmelser i fx FVL § 27.

Afgørende hensyn til private eller offentlige interesser

Den dataansvarlige kan undtage fra eller udskyde oplysningspligten, hvis den registreredes interesse i informationerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv. Se DBL § 22, stk. 1. ►Afgørende private interesser kan fx være at undtage fra oplysningspligten, hvis opfyldelse vil afsløre tavshedsbelagte oplysninger om et selskab i strid med Skatteforvaltningens særlige tavshedspligt i SFL § 17.◄

Den dataansvarlige kan også undtage fra eller udskyde oplysningspligten, hvis den registreredes interesse i at få kendskab til informationerne findes at burde vige for afgørende hensyn til offentlige interesser, herunder navnlig til:

  • statens sikkerhed

  • forsvaret

  • den offentlige sikkerhed

  • forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed

  • andre vigtige målsætninger i forbindelse med beskyttelse af Den Europæiske Unions eller en medlemsstats generelle samfundsinteresser, især Unionens eller en medlemsstats økonomiske eller finansielle interesser, herunder valuta-, budget- og skatteanliggender, folkesundhed og social sikkerhed

  • forebyggelse, efterforskning, afsløring og retsforfølgning i forbindelse med brud på etiske regler for lovregulerede erhverv

  • kontrol-, tilsyns- eller reguleringsfunktioner, herunder opgaver af midlertidig karakter, der er forbundet med offentlig myndighedsudøvelse i de tilfælde, der er omfattet af de punkterne opregnet umiddelbart ovenfor

  • beskyttelse af den registrerede eller andres rettigheder og frihedsrettigheder

  • håndhævelse af civilretlige krav.

Se DBL § 22, stk. 2.

Der skal foretages en konkret afvejning i den enkelte situation. Ved afvejningen af om private eller offentlige interesser overstiger hensynet til den registreredes interesser, skal på den ene side indgå den registreredes interesse i at få kendskab til informationerne, og på den anden side afgørende hensyn til offentlige eller private interesser, herunder hensynet til den pågældende selv.

Det bemærkes, at undtagelse fra oplysningspligten kun kan ske, hvis der er en nærliggende fare for, at de private eller det offentliges interesser vil lide skade af væsentlig betydning. Bevisbyrden herfor påhviler den dataansvarlige.

Hvis de hensyn, der indebærer en undtagelse fra oplysningspligten kun gør sig gældende for en del af informationerne, skal der gives den registrerede meddeles de øvrige informationer.

Hvis de afgørende offentlige eller private interesser på et senere tidspunkt ikke længere gør sig gældende, skal den registrerede underrettes på dette senere tidspunkt. Dette kan fx være tilfældet, når den registreredes kendskab til informationerne ikke længere er egnet til at skade afgørende offentlige interesser i en kontrol eller forfølgelse af en lovovertrædelse.

Særligt om kontrolhensyn

Om anvendelsen af undtagelsesbestemmelsen i DBL § 22, stk. 2, nr. 8, i forbindelse med kontrol henvises til afsnit A.A.6.4.2 om undtagelser fra oplysningspligten, hvor personoplysningerne er indsamlet hos den registrerede selv, og underafsnittet "Særligt om kontrolhensyn".

Oversigt over domme, kendelser, afgørelser, SKM-meddelelser mv.

Skemaerne viser relevante afgørelser og udtalelser på området:

Afgørelse fra Datatilsynet

Afgørelsen i stikord

Yderligere kommentarer

Datatilsynets afgørelse af 2/2 2023, j.nr. 2021-432-0070.

Ved behandling af personoplysninger er oplysningspligten et centralt element i forhold til at sikre gennemsigtighed og skabe et tillidsforhold mellem den dataansvarlige og de registrerede. Det er desuden en forudsætning for at undtage fra oplysningspligten med henvisning til, at det vil kræve en uforholdsmæssigt stor indsats, at den uforholdsmæssigt store indsats er foranlediget af, eller forbundet med den omstændighed, at personoplysningerne ikke er indsamlet hos den registrerede.
SKM-meddelelse Meddelelsen i stikord Yderligere kommentarer
SKM2007.512.SKAT af 27/7 2007, der også indeholder Datatilsynets udtalelse. Datatilsynet udtalte bl.a., at en visiteringsperiode ikke i sig selv kan begrunde, at oplysningspligten ikke opfyldes snarest muligt, herunder i forhold til undtagelsen om en uforholdsmæssig indsats i DBF artikel 14, stk. 5, litra b.

Udtalelsen er afgivet inden databeskyttelsesforordningens og databeskyttelseslovens ikrafttrædelse.
Udtalelse fra Datatilsynet Udtalelsen i stikord Yderligere kommentarer
Datatilsynets udtalelse af 1/12 2004, j.nr. 2004-321-0316. Ved behandling af personoplysninger, hvor behandlingen bl.a. kan føre til ændringer i forhold til borgeren, hvor der oprettes en sag for hver enkelt borger, og hvor der ikke er grundlag for at antage, at det vil være forbundet med uforholdsmæssig stor arbejdsindsats at underrette de pågældende personer, vil oplysningspligten ikke kunne fraviges efter PDL § 29, stk. 3.

Udtalelsen er afgivet inden databeskyttelsesforordningens og databeskyttelseslovens ikrafttrædelse.

PDL § 29, stk. 3, svarer til DBF artikel 14, stk. 5, litra b.