Oplysningspligt – ikke indsamlet hos den registrerede

KFST skal i henhold til artikel 14, stk. 1 informere den registrerede om:

a) KFST’s identitet og kontaktoplysninger

b) Kontaktoplysninger for databeskyttelsesrådgiver

c) Formålene med og retsgrundlaget for behandlingen

d) Hvilke kategorier af personoplysninger der behandles

e) Eventuelle modtagere eller kategorier af modtagere af personoplysningerne

f) Eventuelle tredjelandsoverførsler (til lande uden for EU/EØS)

I henhold til artikel 14, stk. 2, skal KFST efter en konkret vurdering af de specifikke omstændigheder og forhold, personoplysningerne behandles under, også give den registrerede disse oplysninger, i det omfang de er nødvendige for at sikre en rimelig og gennemsigtig behandling:

a) Det tidsrum, hvori personoplysningerne vil blive opbevaret, eller, hvis der ikke kan angives et konkret tidsrum, de kriterier der anvendes til at fastlægge dette tidsrum

b) De legitime interesser, som forfølges af KFST eller tredjemand, hvis behandlingen sker ud fra interesseafvejningsreglen i forordningens artikel 6, stk. 1, litra f

c) Retten til at anmode KFST om indsigt i og berigtigelse eller sletning af personoplysninger eller begrænsning af behandling eller til at gøre indsigelse mod behandling samt retten til dataportabilitet

d) Retten til at trække samtykke tilbage, når behandlingen er baseret på samtykke

e) Retten til at indgive en klage til Datatilsynet

f) Hvor personoplysningerne stammer fra, herunder om det er fra offentligt tilgængelige kilder

g) Forekomsten af automatiske afgørelser, herunder profilering

Ofte er det relevant at oplyse om indsigtsretten, retten til berigtigelse og retten til at klage til Datatilsynet.

I de tilfælde, hvor behandlingen er baseret på samtykke, skal du informere om muligheden for at trække samtykket tilbage.

Ved indsamling fra andre end den registrerede skal der – afhængigt af de konkrete omstændigheder – ske underretning inden for en rimelig periode, dog senest inden for en måned, jf. artikel 14, stk. 3. Efter Datatilsynets praksis er det som udgangspunkt indenfor 10 dage.

Hvis personoplysningerne skal bruges til at kommunikere med den registrerede, skal oplysningspligten dog senest gennemføres på tidspunktet for den første kommunikation.

Hvis personoplysningerne er bestemt til videregivelse, skal oplysningerne senest gives til den registrerede på tidspunktet, hvor oplysningerne videregives.

Sager efter konkurrenceloven
I sager og undersøgelser efter konkurrenceloven finder reglerne om oplysningspligt og indsigtsret i databeskyttelsesforordningen artikel 13-15 ikke anvendelse, jf. konkurrenceloven § 13 a. 

Den registrerede er allerede bekendt med oplysningerne
Hvis den registrerede allerede er bekendt med de oplysninger, KFST skal give efter artikel 14, er det ikke nødvendigt at opfylde oplysningspligten.

Uforholdsmæssig stor indsats eller umuligt
Det er ikke nødvendigt at informere den registrerede, hvis det er umuligt eller kræver en uforholdsmæssig stor indsats, jf. artikel 14, stk. 3, litra b.

Det er umuligt at gennemføre oplysningspligten, hvis fx identiteten på den registrerede ikke kan fastslås som følge af et almindeligt anvendt navn (fx Jens Nielsen) uden andre oplysninger om vedkommende.

For at vurdere om oplysningspligten er forbundet med en uforholdsmæssig stor indsats, skal du foretage en afvejning mellem betydningen, oplysningerne vil have for den registrerede, og den indsats, det vil kræve at give oplysningerne. Vurderingen skal tage højde for personoplysningernes karakter, omfang og betydning for den registrerede.

Oplysning af bipersoner – dvs. personer, der ikke er den egentlige genstand for behandlingen, men som alene optræder accessorisk i tilknytning til oplysninger om den registrerede (fx pårørende eller fagpersoner) – vil ofte kræve en uforholdsmæssigt stor indsats som følge af bipersonens beskedne rolle i sagen.

Undtagelser i databeskyttelsesloven – private og offentlige interesser
KFST kan undlade at iagttage oplysningspligten, hvis den registreredes interesse i at få kendskab til oplysningerne må vige for afgørende hensyn til private interesser, herunder hensynet til den registrerede selv, eller offentlige interesser, jf. databeskyttelsesloven § 22, stk. 1 og 2.

Indsamling eller videregivelse er udtrykkeligt fastsat ved lov
Hvis KFST er pålagt at indsamle eller videregive personoplysninger ved lov, kan oplysningspligten undlades, jf. artikel 14, stk. 5, litra c. Det er fx tilfældet, når KFST udbetaler erstatning til skadelidte på baggrund af personoplysninger fra forsikringsselskaber efter lov om visse naturskader.

Personoplysningerne skal forblive fortrolige
Oplysningspligten kan undlades, når personoplysninger skal forblive fortrolige som følge af særlige bestemmelser om tavshedspligt, jf. artikel 14, stk. 5, litra d. Undtagelsen gælder derfor ikke, når fortrolighed følger af de almindelige tavshedspligtsbestemmelser i fx forvaltningsloven § 27.

Hvis KFST vil behandle personoplysninger til andre formål, end dem de oprindeligt blev indsamlet til, skal KFST oplyse den registrerede om disse nye formål, jf. artikel 14, stk. 4.

Dette gælder dog ikke, hvis den nye behandling sker på baggrund af regler (fx en bekendtgørelse) fastsat efter databeskyttelsesloven § 5, stk. 3, jf. databeskyttelsesloven § 23. Ved sammenstilling eller samkøring af oplysninger i kontroløjemed skal oplysningspligten dog fortsat iagttages.

Om viderebehandlingen i øvrigt er lovlig, afgøres efter databeskyttelsesforordningen artikel 5, stk. 1, litra b, 2. led og artikel 6, stk. 4 samt databeskyttelsesloven § 5.

Du kan få nærmere gennemgang af de registreredes rettigheder i Datatilsynets vejledning om de registreredes rettigheder og kapitel 4.10 i betænkning nr. 1565/2017 om databeskyttelsesforordningen.