Indhold

Afsnittet indeholder:

• Hvilke informationer skal altid gives til den registrerede?
• Andre informationer, der efter en konkret vurdering er nødvendige at give til den registrerede
• Undtagelser fra oplysningspligten
• Særligt om kontrolhensyn
• Oversigt over domme, kendelser, afgørelser, SKM-meddelelser mv.

Hvilke informationer skal altid gives til den registrerede?

Databeskyttelsesforordningen indeholder kravene til den dataansvarliges oplysningspligt i de tilfælde, hvor personoplysningerne indsamles hos den registrerede selv.

Når personoplysninger hos den registrerede, skal Skatteforvaltningen som dataansvarlig oplyse om følgende:

• Den dataansvarliges identitet og kontaktoplysninger

• Kontaktoplysninger på den dataansvarliges databeskyttelsesrådgiver (DPO)

• Formålet med og retsgrundlaget for behandlingen af personoplysningerne

• Eventuelle modtagere eller kategorier af modtagere af personoplysningerne

• Eventuelle overførsler til tredjelande.

Se databeskyttelsesforordningens artikel 13, stk. 1.

Oplysningspligtens nærmere indhold gennemgås i det følgende.

Den dataansvarliges identitet og kontaktoplysninger

Den registrerede skal oplyses om, at Skatteforvaltningen er dataansvarlig for behandlingen af personoplysningerne. Derudover skal den registrerede modtage Skatteforvaltningens kontaktoplysninger, herunder adresse, telefonnummer, e-mailadresse eller anden kontaktkanal.

Kontaktoplysninger på den dataansvarliges databeskyttelsesrådgiver (DPO)

Den registrerede skal oplyses om kontaktoplysningerne på databeskyttelsesrådgiveren i Skatteforvaltningen.

Formålet med og retsgrundlaget for behandlingen af personoplysningerne

Den registrerede skal oplyses om formålet med indsamlingen og behandlingen af personoplysningerne.

Den registrerede skal oplyses om retsgrundlaget for behandlingen af personoplysningerne. Hvis behandlingen af personoplysningerne sker som led i varetagelsen af en myndighedsopgave, der følger af lov eller bekendtgørelse, skal der henvises til de relevante bestemmelser i national lovgivning, der giver Skatteforvaltningen lov til at udføre myndighedsopgaven, fx  skatteforvaltningsloven eller gældsinddrivelsesloven. Det kan efter omstændighederne være tilstrækkeligt at henvise til det relevante kapitel eller afsnit i loven.

Der skal desuden henvises til det databeskyttelsesretlige behandlingsgrundlag. Det omfatter de relevante bestemmelser i databeskyttelsesforordningens artikel 6 (almindelige personoplysninger), databeskyttelsesforordningens artikel 9 (følsomme personoplysninger), databeskyttelseslovens § 7 (supplerende regler om følsomme personoplysninger), databeskyttelseslovens § 8 (strafbare forhold) og databeskyttelseslovens  § 11 (personnummer).

Eventuelle modtagere eller kategorier af modtagere af personoplysningerne

Hvis de indsamlede personoplysninger kan blive videregivet, skal den registrerede oplyses om eventuelle modtagere eller kategorier af modtagere. Det kan fx være andre offentlige myndigheder, pengeinstitutter eller fordringshavere.

Eventuelle overførsler til tredjelande

Hvis personoplysningerne kan blive overført til et tredjeland (lande uden for EU/EØS), er det et krav at oplyse den registrerede om dette samt om overførselsgrundlaget og de tilknyttede "fornødne garantier".

Se nærmere om overførsel af personoplysninger til tredjelande i afsnit A.A.6.1.4.1 Generelt om særlig tavshedspligt i international ret.

Andre informationer, der efter en konkret vurdering er nødvendige at give til den registrerede

Den dataansvarlige skal konkret vurdere, om den registrerede skal gives yderligere informationer om behandlingen af personoplysninger end de omtalte ovenfor. Der skal tages stilling til, hvilke informationer det er nødvendigt at give den registrerede for at sikre en rimelig og gennemsigtig behandling.

Følgende informationer kan Skatteforvaltningen være forpligtet til at give:

• Det tidsrum, hvor personoplysningerne vil blive opbevaret

• Den registreredes rettigheder efter databeskyttelsesforordningen (retten til indsigt, berigtigelse, sletning, begrænsning af behandling og indsigelse)

• Retten til at trække samtykke tilbage, hvis behandlingen er baseret på et samtykke

• Retten til at klage til Datatilsynet

• Pligt for den registrerede til at afgive personoplysningerne og de eventuelle konsekvenser af ikke at gøre det

• Brugen af automatiske afgørelser, herunder profilering.

Se databeskyttelsesforordningens artikel 13, stk. 2.

Oplysningspligtens nærmere indhold gennemgås i det følgende.

Det tidsrum, hvor personoplysningerne vil blive opbevaret

Den registrerede vil efter en konkret vurdering skulle oplyses om, hvor længe den dataansvarlige vil opbevare personoplysningerne eller, hvis dette ikke er muligt, de kriterier, der anvendes for at fastlægge dette tidsrum.

Personoplysninger må opbevares, så længe det er nødvendigt til de formål, hvortil de pågældende oplysninger behandles. Dvs. så længe der er et sagligt behov herfor, herunder af hensyn til andre lovkrav.

Den registreredes rettigheder efter databeskyttelsesforordningen

Den registrerede har desuden en række andre rettigheder efter databeskyttelsesforordningen, som det efter en konkret vurdering kan være nødvendigt at oplyse om.

Det omfatter, at den registrerede har ret til:

• at anmode den dataansvarlige om indsigt i og berigtigelse eller sletning af personoplysninger
• at anmode om begrænsning af behandlingen af personoplysninger eller at gøre indsigelse mod behandlingen. 

Der findes også en ret til dataportabilitet, som dog typisk ikke er relevant for behandling som led i offentlig myndighedsudøvelse. Se databeskyttelsesforordningens artikel 20, stk. 3. I stedet har den registrerede som nævnt ret til at anmode om indsigt i de oplysninger, der behandles, herunder bl.a. at få en kopi af personoplysningerne.

Se databeskyttelsesforordningens artikel 13, stk. 2, litra b. Se afsnit A.A.6.3 Indsigt efter databeskyttelsesforordningen og databeskyttelsesloven for en nærmere gennemgang af retten til indsigt.

Retten til at trække samtykke tilbage, hvis behandlingen er baseret på et samtykke

Hvis indsamlingen af personoplysninger sker på baggrund af et samtykke, skal den registrerede oplyses om, at vedkommende på ethvert tidspunkt kan trække sit samtykke tilbage. Et sådant samtykke anvendes sædvanligvis ikke som hjemmel af Skatteforvaltningen som offentlig myndighed på grund af manglende frivillighed fra den registrerede.

Retten til at klage til Datatilsynet

Den dataansvarlige er normalt også forpligtet til at oplyse den registrerede om retten til at indgive en klage over behandlingen til Datatilsynet. Den registrerede bør i den forbindelse modtage Datatilsynets kontaktoplysninger.

Pligt for den registrerede til at afgive personoplysningerne og de eventuelle konsekvenser af ikke at gøre det

I de tilfælde, hvor indsamlingen af personoplysningerne sker på baggrund af et lovkrav, og den registrerede har pligt til at afgive personoplysningerne, skal den registrerede oplyses herom. Den registrerede skal også oplyses om konsekvenserne af ikke at give de pågældende personoplysninger.

Brugen af automatiske afgørelser, herunder profilering

Hvis der anvendes automatiske afgørelser, herunder profilering, skal den registrerede gives meningsfuld information om logikken i denne behandling samt betydningen og de forventede konsekvenser for den registrerede.

Undtagelser fra oplysningspligten

Den dataansvarlige kan i følgende tilfælde være undtaget fra oplysningspligten:

• Den registrerede er allerede bekendt med informationerne

• Afgørende hensyn til private eller offentlige interesser.

Disse undtagelser gennemgås nærmere i det følgende.

Den registrerede er allerede bekendt med informationerne

Hvis den registrerede allerede er bekendt med de informationer, som den dataansvarlige er forpligtet til at give, kan den dataansvarlige undtage fra oplysningspligten. Se databeskyttelsesforordningens artikel 13, stk. 4.

Er den dataansvarlige i tvivl om, hvorvidt den registrerede allerede er bekendt med informationerne, skal oplysningspligten opfyldes.

Afgørende hensyn til private eller offentlige interesser

Den dataansvarlige kan undtage fra eller udskyde oplysningspligten, hvis den registreredes interesse i informationerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv. Se databeskyttelseslovens § 22, stk. 1. Afgørende private interesser kan fx være at undtage fra oplysningspligten, hvis opfyldelse vil afsløre tavshedsbelagte oplysninger om et selskab i strid med Skatteforvaltningens særlige tavshedspligt i skatteforvaltningslovens § 17.

Den dataansvarlige kan også undtage fra eller udskyde oplysningspligten, hvis den registreredes interesse i at få kendskab til informationerne findes at burde vige for afgørende hensyn til offentlige interesser, herunder især til:

• statens sikkerhed

• forsvaret

• den offentlige sikkerhed

• forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed

• andre vigtige målsætninger i forbindelse med beskyttelse af Den Europæiske Unions eller en medlemsstats generelle samfundsinteresser, især Unionens eller en medlemsstats økonomiske eller finansielle interesser, herunder valuta-, budget- og skatteanliggender, folkesundhed og social sikkerhed

• forebyggelse, efterforskning, afsløring og retsforfølgning i forbindelse med brud på etiske regler for lovregulerede erhverv

• kontrol-, tilsyns- eller reguleringsfunktioner, herunder opgaver af midlertidig karakter, der er forbundet med offentlig myndighedsudøvelse i de tilfælde, der er omfattet af punkterne opregnet umiddelbart ovenfor

• beskyttelse af den registreredes eller andres rettigheder og frihedsrettigheder

• håndhævelse af civilretlige krav.

Se databeskyttelseslovens § 22, stk. 2.

Der skal altid foretages en konkret afvejning i den enkelte situation. Ved afvejningen af om private eller offentlige interesser overstiger hensynet til den registreredes interesser, skal på den ene side indgå den registreredes interesse i at få kendskab til informationerne, og på den anden side afgørende hensyn til de offentlige eller private interesser, herunder hensynet til den pågældende selv.

Det bemærkes, at undtagelse fra oplysningspligten kun kan ske, hvis der er en nærliggende fare for, at de private eller det offentliges interesser vil lide skade af væsentlig betydning. Bevisbyrden påhviler den dataansvarlige.

Afvejningen skal foretages for hver enkelt information for sig. Hvis de hensyn, der indebærer en undtagelse fra oplysningspligten, kun gør sig gældende for en del af informationerne, skal den registrerede gives de øvrige informationer.

Hvis de afgørende offentlige eller private interesser på et senere tidspunkt ikke længere gør sig gældende, skal den registrerede underrettes på dette senere tidspunkt. Dette kan fx være tilfældet, når den registreredes kendskab til informationerne ikke længere er egnet til at skade afgørende offentlige interesser i en kontrol eller forfølgelse af en lovovertrædelse.

For en nærmere gennemgang af hvidvaskreglernes forhold til oplysningspligten efter databeskyttelsesforordningen og databeskyttelsesloven henvises der til afsnit A.A.6.1.3.

Særligt om kontrolhensyn

Undtagelsesbestemmelsen i databeskyttelseslovens § 22, stk. 2, nr. 8, om hensynet til kontrolfunktioner mv., kan anvendes, hvis hensynet til den registreredes interesse i at få kendskab til informationerne vejer mindre tungt end afgørende kontrolhensyn. Det er tilfældet, hvis der er en nærliggende og konkret fare for, at det offentliges interesser vil lide skade af væsentlig betydning. Dette kan fx være tilfældet, hvis behandlingen sker i forbindelse med planlægning af uanmeldt kontrol.

Som bekendt vedrører nærværende afsnit A.A.6.4.2 Når personoplysningerne indsamles hos den registrerede oplysningspligten ved indsamling af personoplysninger fra den registrerede selv. I forhold til indsamling fra andre end registrerede, gives der et eksempel med anmeldelser fra tredjeparter i afsnit A.A.6.4.3 Når personoplysningerne indsamles hos andre end den registrerede.