A.A.6.4.3 Når oplysningerne indsamles hos andre end den registrerede

Indhold

Afsnittet indeholder:

• Hvilke oplysninger skal altid gives til den registrerede?

• Andre oplysninger, der efter en konkret vurdering er nødvendige at give til den registrerede

• Undtagelser fra oplysningspligten

• Særligt om kontrolhensyn

• Udtalelser fra Datatilsynet

Hvilke oplysninger skal altid gives til den registrerede?

DBF artikel 14 indeholder kravene til den dataansvarliges oplysningspligt i de tilfælde, hvor oplysningerne indsamles hos andre end den registrerede.

Ved indsamling af oplysninger hos andre end den registrerede vil Skatteforvaltningen som dataansvarlig være forpligtet til at oplyse den registrerede om følgende:

• Den dataansvarliges identitet og kontaktoplysninger

• Kontaktoplysninger på den dataansvarliges databeskyttelsesrådgiver (DPO)

• Formålet med og retsgrundlaget for behandlingen af personoplysningerne

• De berørte kategorier af personoplysninger

• Eventuelle modtagere eller kategorier af modtagere af personoplysningerne

• Eventuelle overførsler til tredjelande

De oplysninger, der skal gives, er først og fremmest de samme oplysninger, som den dataansvarlige er forpligtet til at give, når oplysningerne indsamles hos den registrerede selv. Se for en nærmere beskrivelse af indholdet heraf i afsnit  A.A.6.4.2 Når oplysningerne indsamles hos den registrerede ovenfor.

Derudover skal der også gives oplysninger om:

• De berørte kategorier af personoplysninger

Dette indebærer, at den registrerede skal have informationer om, hvorvidt de oplysninger, der er indsamlet, er almindelige personoplysninger, oplysninger om strafbare forhold eller særlige kategorier af personoplysninger som eksempelvis følsomme personoplysninger.

Se DBF artikel 14, stk. 1.

Andre oplysninger, der efter en konkret vurdering er nødvendige at give til den registrerede

Derefter skal den dataansvarlige konkret vurdere, om den registrerede skal gives yderligere oplysninger. Der skal tages stilling til, hvilke oplysninger der er nødvendige at give den registrerede for at sikre en rimelig og gennemsigtig behandling.

Følgende oplysninger kan Skatteforvaltningen være forpligtet til at give:

• Det tidsrum, hvor oplysningerne vil blive opbevaret

• Den registreredes rettigheder efter databeskyttelsesforordningen (bl.a. retten til indsigt, berigtigelse, begrænsning af behandling og indsigelse)

• Hvis indsamlingen er baseret på et samtykke, da gives oplysning om retten til at trække samtykket tilbage

• Retten til at indgive klage til Datatilsynet

• Om indsamlingen af personoplysninger sker på baggrund af et lovkrav, og om den registrerede har pligt til at afgive oplysningerne samt eventuelle konsekvenser af ikke at afgive oplysningerne

• Forekomsten af automatiske afgørelser, herunder profilering.

Disse oplysninger er som udgangspunkt de samme, som skal gives i de tilfælde, hvor oplysningerne indsamles hos den registrerede selv. Se nærmere om oplysningspligtens indhold under afsnittet A.A.6.4.2 Når oplysningerne indsamles hos den registrerede.  

Derudover skal den dataansvarlige efter en konkret vurdering også oplyse om:

• Hvilken kilde personoplysningerne hidrører fra, og eventuelt om de stammer fra offentligt tilgængelige kilder.

Hvis det ikke er muligt at give oplysninger om kilder, skal der gives mere generelle oplysninger.

Se DBF artikel 14, stk. 2.

Undtagelser fra oplysningspligten

Den dataansvarlige kan i en række tilfælde være undtaget oplysningspligten:

• Den registrerede er allerede bekendt med oplysningerne

• Hvis meddelelse viser sig umulig eller vil kræve en uforholdsmæssig stor indsats eller vil hindre opfyldelse af formålene med behandlingen

• Behandlingen er udtrykkeligt fastsat ved lov

• Personoplysningerne skal forblive fortrolige som følge af tavshedspligt

• Hensynet til private og offentlige interesser

Indholdet af undtagelserne gennemgås nærmere i det følgende.

1. Den registrerede er allerede bekendt med oplysningerne    

Hvis den registrerede allerede er bekendt med de oplysninger, som den dataansvarlige er forpligtet til at give, kan oplysningspligten undlades. Se DBF artikel 14, stk. 5, litra a.

I de tilfælde, hvor oplysningerne indsamles hos andre end den registrerede selv, vil den dataansvarlige som hovedregel ikke kunne lægge til grund, at den registrerede er bekendt med de oplysninger, som den dataansvarlige skal give meddelelse om.

Er den dataansvarlige i tvivl om, hvorvidt den registrerede allerede er bekendt med oplysningerne, skal oplysningspligten opfyldes.

2. Meddelelse viser sig umulig eller vil kræve en uforholdsmæssig stor indsats eller vil hindre opfyldelse af formålene med  behandlingen

Den dataansvarlige kan undlade at opfylde oplysningspligten, hvis underretningen viser sig umulig eller vil kræve en uforholdsmæssig stor indsats. Se DBF artikel 14, stk. 5, litra b.

I praksis kan det være umuligt at give den registrerede oplysningerne, hvis det ikke på nogen måde er muligt med sikkerhed at fastslå, hvem den registrerede er. Den dataansvarlige har dog bevisbyrden for, at det er umuligt at give den registrerede oplysningerne.

Endvidere kan den dataansvarlige undlade at iagttage sin oplysningspligt, hvis det vil kræve en uforholdsmæssig stor indsats at give oplysningerne. Undtagelsen vil især være relevant i tilfælde, hvor behandlingen sker til videnskabelige eller statistiske formål.

Der skal foretages en konkret afvejning af, om det vil kræve en uforholdsmæssig stor indsats. Ved denne vurdering kan der på den ene side lægges vægt på den betydning, det vil have for den registrerede at modtage oplysningerne, og på den anden side den arbejdsindsats, det vil kræve at give oplysningerne. Her kan bl.a. lægges vægt på antallet af registrerede, som skal have meddelelse og oplysningernes alder, samt hvorvidt der på anden vis er stillet fornødne garantier for den registrerede.

Endelig kan oplysningspligten undlades i de tilfælde, hvor underretning vil gøre det umuligt eller i alvorlig grad hindre opfyldelse af formålene med behandlingen. Dette vil fx være tilfældet, hvis en underretning kan skade en efterforskning og forfølgelse af en lovovertrædelse.

Eksempel

Når oplysningerne vedrører personer, der er bosiddende i udlandet, kan behandlingen efter omstændighederne være undtaget fra oplysningspligten, hvis underretning af den registrerede efter en konkret afvejning viser sig umulig eller uforholdsmæssig vanskelig.

Det antages i øvrigt, at denne undtagelsesbestemmelse har et snævert anvendelsesområde.

Eksempel, hvor undtagelsesbestemmelsen ikke kan anvendes

I en sag hvor Arbejdsdirektoratet, i forbindelse med tilsynet af kommunernes rådighedsvurderinger for kontant- og starthjælpsmodtagere, indhentede oplysninger og oprettede sager på de enkelte ydelsesmodtagere, fandt Datatilsynet, at betingelserne for at fravige oplysningspligten med hjemmel i PDL § 29, stk. 3 (nu DBF artikel 14, stk. 5, litra b), ikke kunne anses for opfyldt. Se Datatilsynets udtalelse af 1. december 2004, j.nr. 2004-321-0316.

Datatilsynet lagde i sin udtalelse vægt på følgende forhold:

• Omfanget og karakteren af de oplysninger om borgeren, der indhentes og registreres
• Direktoratets behandling kan (men ikke nødvendigvis vil) føre til ændringer i forhold til borgeren
• Formålet med oplysningspligten (gennemsigtighed og overblik vedrørende personregistreringen)
• Direktoratet opretter en sag for hver enkelt borger
• Datatilsynet har ikke grundlag for at antage, at det vil være forbundet med uforholdsmæssig stor arbejdsindsats at underrette de omhandlede personer.

Det må antages, at vurderingen vil være den samme efter databeskyttelsesforordningens ikrafttrædelse.

Særligt om anmeldelser

Undtagelsesbestemmelsen i DBF artikel 14, stk. 5, litra b kan derfor næppe anvendes som hjemmel for at fravige oplysningspligten i tilfælde, hvor der på grundlag af anmeldelser om borgere foretages registrering og enkeltsagsbehandling, og oplysningspligten derfor ikke vil være "uforholdsmæssig vanskelig" at opfylde, og hvor myndighedens behandling af oplysningerne i anmeldelserne eventuelt senere kan få indgribende betydning for den anmeldte.

Se også afsnit "Særligt om kontrolhensyn" nedenfor.

3. Behandlingen er udtrykkeligt fastsat ved lov

Hvis den dataansvarlige ved lov udtrykkeligt er blevet pålagt at indsamle eller videregive personoplysninger, kan den dataansvarlige undlade at iagttage oplysningspligten. Se DBF artikel 14, stk. 5, litra c.

Bestemmelsen i skattekontrollovens (SKL (skattekontrolloven)) § 7F, stk. 1, hvorefter Udbetaling Danmark årligt skal foretage indberetning til Skatteforvaltningen om opkrævede underholdsbidrag, anses af Datatilsynet for at opfylde kravet om udtrykkelighed.

Omvendt anser Datatilsynet ikke formuleringen i SKL (skattekontrolloven) § 8G, stk. 1, (om oplysningspligt for vekselerere, advokater m.fl.) "... i det omfang told- og skatteforvaltningen anmoder derom ...", for at opfylde kravet om udtrykkelighed, da det vil være usikkert, om der rent faktisk behandles oplysninger om den registrerede.

4. Personoplysningerne skal forblive fortrolige som følge af tavshedspligt

I de situationer, hvor den dataansvarlige behandler oplysninger, der skal forblive fortrolige som følge af særlige bestemmelser om tavshedspligt, kan oplysningspligten undlades. Se DBF artikel 14, stk. 5, litra d.

Særlige bestemmelser om tavshedspligt skal i denne forbindelse forstås i overensstemmelse med OFL § 35.

I de situationer, hvor den dataansvarlige behandler oplysninger, som er omfattet af den særlige tavshedspligt i hvidvasklovens § 69 c, stk. 1, kan oplysningspligten undlades. Se lov nr. 1563 af 27/12 2019 om ændring af hvidvaskloven, lov om finansiel virksomhed og forskellige love. 

Derimod vil oplysningspligten ikke kunne undlades med henvisning til de almindelige tavshedspligtsbestemmelser i fx FVL § 27.

5. Hensynet til private og offentlige interesser

Den dataansvarlige kan undlade at opfylde oplysningspligten, hvis den registreredes interesse i oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv. Se DBL § 22, stk. 1.

Den dataansvarlige kan ligeledes undlade at iagttage oplysningspligten, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til offentlige interesser, herunder navnlig til:

• Statens sikkerhed

• Forsvaret

• Den offentlige sikkerhed

• Forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed

• Andre vigtige målsætninger i forbindelse med beskyttelse af Den Europæiske Unions eller en medlemsstats generelle samfundsinteresser, især Unionens eller en medlemsstats økonomiske eller finansielle interesser, herunder valuta-, budget- og skatteanliggender, folkesundhed og social sikkerhed

• Forebyggelse, efterforskning, afsløring og retsforfølgning i forbindelse med brud på etiske regler for lovregulerede erhverv

• Kontrol-, tilsyns- eller reguleringsfunktioner, herunder opgaver af midlertidig karakter, der er forbundet med offentlig myndighedsudøvelse i de tilfælde, der er omfattet af de punkterne opregnet umiddelbart ovenfor

• Beskyttelse af den registrerede eller andres rettigheder og frihedsrettigheder

• Håndhævelse af civilretlige krav

Se DBL § 22, stk. 2.

Der skal foretages en konkret afvejning i den enkelte situation. Ved afvejningen af om private eller offentlige interesser overstiger hensynet til den registreredes interesser, skal på den ene side indgå den registreredes interesse i at få kendskab til oplysningerne, og på den anden side afgørende hensyn til offentlige og private interesser, herunder hensynet til den pågældende selv.

Det bemærkes, at undladelse af at iagttage oplysningspligten kun kan ske, hvis der er en nærliggende fare for, at de private eller det offentliges interesser vil lide skade af væsentlig betydning. Bevisbyrden herfor påhviler den dataansvarlige.

Hvis de hensyn, der indebærer en undtagelse fra oplysningspligten kun gør sig gældende for en del af oplysningerne, skal der gives den registrerede meddelelse om de øvrige oplysninger.

Særligt om kontrolhensyn

Om anvendelsen af undtagelsesbestemmelsen i DBL § 22, stk. 2, nr. 8, i forbindelse med kontrol henvises til afsnit A.A.6.4.2 Når oplysningerne indsamles hos den registrerede om undtagelser fra oplysningspligten, hvor oplysningerne er indsamlet hos den registrerede selv, og underafsnittet "Særligt om kontrolhensyn". 

Oversigt over udtalelser fra Datatilsynet

Skemaet viser relevante udtalelser på området: