Indhold

Afsnittet indeholder:

• Hvilke informationer skal altid gives til den registrerede?
• Andre informationer, der efter en konkret vurdering er nødvendige at give til den registrerede
• Undtagelser fra oplysningspligten
• Særligt om kontrolhensyn
• Oversigt over domme, kendelser, afgørelser, SKM-meddelelser mv.

Hvilke informationer skal altid gives til den registrerede?

Databeskyttelsesforordningens artikel 14 indeholder kravene til den dataansvarliges oplysningspligt i de tilfælde, hvor personoplysningerne indsamles hos andre end den registrerede.

Ved indsamling af personoplysninger hos andre end den registrerede vil Skatteforvaltningen som dataansvarlig være forpligtet til at oplyse den registrerede om følgende:

• den dataansvarliges identitet og kontaktoplysninger

• kontaktoplysninger på den dataansvarliges databeskyttelsesrådgiver (DPO)

• formålet med og retsgrundlaget for behandlingen af personoplysningerne

• de berørte kategorier af personoplysninger

• eventuelle modtagere eller kategorier af modtagere af personoplysningerne

• eventuelle overførsler til tredjelande.

Se databeskyttelsesforordningens artikel 14, stk. 1.

Ovenstående informationer er primært de samme informationer, som den dataansvarlige er forpligtet til at give, når personoplysningerne indsamles hos den registrerede selv. Se en nærmere beskrivelse af indholdet heraf i afsnit A.A.6.4.2 ovenfor. Se dog nedenfor om pligten til at oplyse om de berørte kategorier af personoplysninger.

De berørte kategorier af personoplysninger

Det er et krav at oplyse den registrerede om de berørte kategorier af personoplysninger, når personoplysningerne indsamles fra andre end den registrerede. Kravet indebærer, at den registrerede skal oplyses om, hvorvidt de personoplysninger, der er indsamlet, er almindelige personoplysninger, oplysninger om strafbare forhold eller særlige kategorier af personoplysninger (også kaldet følsomme personoplysninger).

Andre informationer, der efter en konkret vurdering er nødvendige at give til den registrerede

Den dataansvarlige skal konkret vurdere, om den registrerede skal gives yderligere informationer om behandlingen af personoplysninger end de omtalte ovenfor. Der skal tages stilling til, hvilke informationer det er nødvendigt at give den registrerede for at sikre en rimelig og gennemsigtig behandling.

Følgende informationer kan Skatteforvaltningen være forpligtet til at give:

• det tidsrum, hvor oplysningerne vil blive opbevaret

• den registreredes rettigheder efter databeskyttelsesforordningen ( retten til indsigt, berigtigelse, sletning, begrænsning af behandling og indsigelse)

• retten til at trække samtykke tilbage, hvis behandlingen er baseret på et samtykke

• retten til at klage til Datatilsynet

• pligt for den registrerede til at afgive personoplysningerne og de eventuelle konsekvenser af ikke at gøre det

• brugen af automatiske afgørelser, herunder profilering.

Disse informationer er de samme som ved indsamling af personoplysninger hos den registrerede selv. Se nærmere om oplysningspligtens indhold i afsnit A.A.6.4.2.  

Den dataansvarlige er desuden efter en konkret vurdering forpligtet til at oplyse om, hvilken kilde personoplysningerne kommer fra, og eventuelt om de stammer fra offentligt tilgængelige kilder.

Hvis det ikke er muligt at give specifik information om, hvilken kilde personoplysningerne kommer fra, fordi de kommer fra forskellige kilder, skal der gives mere generel information om typen af kilderne, fx pengeinstitutter, offentlige myndigheder eller fagforeninger.

Se databeskyttelsesforordningens artikel 14, stk. 2.

Undtagelser fra oplysningspligten

Den dataansvarlige kan i følgende tilfælde være undtaget fra oplysningspligten:

• Den registrerede er allerede bekendt med informationerne

• Meddelelse viser sig umulig eller vil kræve en uforholdsmæssig stor indsats

• Meddelelse til den registrerede vil hindre opfyldelse af formålene med behandlingen

• Behandlingen er udtrykkeligt fastsat ved lov

• Personoplysningerne skal forblive fortrolige som følge af tavshedspligt

• Afgørende hensyn til private eller offentlige interesser.

Disse undtagelser gennemgås nærmere i det følgende.

Den registrerede er allerede bekendt med informationerne    

Hvis den registrerede allerede er bekendt med de informationer, som den dataansvarlige er forpligtet til at give, kan der undtages fra oplysningspligten. Se databeskyttelsesforordningens artikel 14, stk. 5, litra a.

I de tilfælde, hvor personoplysningerne indsamles hos andre end den registrerede selv, vil den dataansvarlige som hovedregel ikke kunne lægge til grund, at den registrerede er bekendt med de informationer, som den dataansvarlige skal oplyse om.

Er den dataansvarlige i tvivl om, hvorvidt den registrerede allerede er bekendt med informationerne, skal oplysningspligten opfyldes.

Meddelelse viser sig umulig eller vil kræve en uforholdsmæssig stor indsats

Den dataansvarlige kan undtage fra oplysningspligten, hvis meddelelse viser sig umulig eller vil kræve en uforholdsmæssig stor indsats. I så fald skal den dataansvarlige træffe passende foranstaltninger for at beskytte den registrerede, herunder ved at gøre informationer om behandling af personoplysninger offentligt tilgængelige. Det kan fx gøres ved at offentliggøre generel information på sin hjemmeside, ved oplysningskampagner mv. Se databeskyttelsesforordningens artikel 14, stk. 5, litra b.

Det vil være umuligt at give den registrerede informationer, hvis det ikke med sikkerhed kan fastslås, hvem den registrerede er. Den dataansvarlige har dog bevisbyrden for, at det er umuligt at give den registrerede informationerne.

Derudover kan den dataansvarlige undtage fra oplysningspligten, hvis det vil kræve en uforholdsmæssig stor indsats at give informationerne.

Der skal foretages en konkret afvejning af, om det vil kræve en uforholdsmæssig stor indsats. Ved denne vurdering kan der på den ene side lægges vægt på den betydning, det vil have for den registrerede at modtage informationerne, og på den anden side den arbejdsindsats, det vil kræve at give informationerne. Her kan bl.a. lægges vægt på antallet af registrerede, som skal oplyses om informationerne og personoplysningernes alder, samt hvorvidt der på anden vis er stillet fornødne garantier for den registrerede.

Undtagelse på grund af en uforholdsmæssig indsats er særligt relevant i tilfælde, hvor behandlingen sker til videnskabelige eller statistiske formål, men kan også overvejes i andre tilfælde, hvor den registrerede kun har en beskeden rolle i en sag, der samtidig ikke vil få konsekvenser for denne.

Eksempel, hvor undtagelsesbestemmelsen ikke kan anvendes

I en afgørelse af 2. februar 2023, j.nr. 2021-432-0070, har Datatilsynet udtalt sig om Statens Serum Instituts (SSI) opfyldelse af oplysningspligten efter databeskyttelsesforordningens artikel 14, stk. 1-4. Datatilsynet indledte i 2021 en undersøgelse af SSI, hvor omdrejningspunktet var, hvorvidt SSI opfyldte oplysningspligten i følgende tilfælde:

• når SSI modtager blodprøver mv. fra regionerne med henblik på analyse og 

• når SSI beslutter at gemme restmateriale i Danmarks Nationale Biobank.

I forbindelse med sagen oplyste SSI, at selvom instituttet kunne underrette registrerede ved brug af digital eller fysisk post, ville sådan en underretningsopgave kræve en uforholdsmæssigt stor indsats i form af store administrative og økonomiske omkostninger. Samtidigt henviste SSI bl.a. til, at instituttet behandler personoplysninger om et stort antal registrerede, at instituttet på daværende tidspunkt ikke havde et system, som kunne foretage automatisk underretning af de registrerede, og at instituttet havde sørget for at etablere visse kompensatoriske foranstaltninger ved at oplyse om behandlingen på sin hjemmeside og på Danmarks Nationale Biobanks hjemmeside.

I sagen fandt Datatilsynet, efter behandling af sagen i Datarådet, at SSI ikke kunne undtage fra oplysningspligten med henvisning til, at underretning vil kræve en uforholdsmæssigt stor indsats. Databeskyttelsesforordningens artikel 14, stk. 5, litra b.

I den forbindelse lagde Datatilsynet bl.a. vægt på, at oplysningspligten er central for at sikre gennemsigtighed ved behandling af personoplysninger og for at skabe et tillidsforhold mellem den dataansvarlige og de registrerede.

Derudover bemærkede Datatilsynet, at det er en forudsætning for at undtage fra oplysningspligten med henvisning til en uforholdsmæssigt stor indsats, at den uforholdsmæssigt store indsats er foranlediget af eller forbundet med den omstændighed, at personoplysningerne ikke er indsamlet hos den registrerede. I så fald vil den dataansvarlige være i en anden og - efter omstændighederne - mindre velegnet position til at underrette en registreret end en dataansvarlig, som har indsamlet personoplysningerne direkte fra den registrerede. I sagen var SSI's vanskeligheder med at opfylde oplysningspligten imidlertid ikke foranlediget af den omstændighed, at SSI ikke havde indsamlet personoplysningerne direkte fra de registrerede. Vanskelighederne skyldtes derimod, at instituttet på det pågældende tidspunkt ikke havde indrettet sit system eller sin arbejdsgang på en sådan måde, at opfyldelse af oplysningspligten lettedes, fx ved brug af automatiserede processer.

Derfor fastslog Datatilsynet, at SSI ikke kunne undtage fra oplysningspligten.

Særligt om anmeldelser

Den 15. december 2006 anmodede det forhenværende SKAT Datatilsynet om en udtalelse om SKAT's interne retningslinjer om opfyldelse af oplysningspligten efter den dagældende persondatalovs regler i forbindelse med modtagelse af anmeldelser om skatteunddragelser. Se SKM2007.512.SKAT.

Den dataansvarlige kan normalt ikke undtage fra oplysningspligten med henvisning til en uforholdsmæssigt stor indsats, når der på grundlag af anmeldelser om konkrete borgere foretages registrering og enkeltsagsbehandling. I disse tilfælde vil oplysningspligten ikke være vanskelig at opfylde, og informationerne om behandlingen vil normalt have betydning for den registrerede, da anmeldelsen eventuelt senere kan få indgribende betydning for den anmeldte. Se SKM2007.512.SKAT.

Selvom SKM-meddelelsen er afgivet under den dagældende persondatalovs § 29, stk. 3, så antages ovenstående også at være gældende efter den nugældende databeskyttelsesforordningens artikel 14, stk. 5, litra b, i forhold til "en uforholdsmæssigt stor indsats".

Se også afsnit "Særligt om kontrolhensyn" nedenfor.

Særligt om visitering

I den førnævnte SKM2007.512.SKAT udtalte Datatilsynet bl.a. også, at en visiteringsperiode ikke i sig selv kan begrunde, at oplysningspligten ikke opfyldes snarest muligt. Med andre ord er en visiteringsperiode ikke en tilstrækkelig begrundelse for at undtage fra oplysningspligten af hensyn til en uforholdsmæssig indsats efter databeskyttelsesforordningens artikel 14, stk. 5, litra b.

Hvorvidt der i stedet inden for fristen for opfyldelse af oplysningspligten i databeskyttelsesforordningens artikel 14, stk. 3, kunne ske en mindre udskydelse af oplysningspligten af hensyn til fx kontakt med den registrerede inden for ganske kort tid, vil bero på en konkret vurdering. Der henvises til afsnit A.A.6.4.1 for en nærmere gennemgang af tidspunktet for opfyldelse af oplysningspligten.

Meddelelse til den registrerede vil hindre opfyldelse af formålene med behandlingen

Den dataansvarlige kan undtage fra eller udskyde oplysningspligten i de tilfælde, hvor meddelelse vil gøre det umuligt eller i alvorlig grad hindre opfyldelse af formålene med behandlingen. I så fald skal den dataansvarlige træffe passende foranstaltninger for at beskytte den registrerede, herunder ved at gøre informationerne om behandling af personoplysninger offentligt tilgængelige. Se databeskyttelsesforordningens artikel 14, stk. 5, litra b.

Dette vil fx være tilfældet, hvis information til den registrerede kan skade en efterforskning, forfølgelse af en lovovertrædelse eller en kontrol. Hvis de hensyn, der indebærer en undtagelse fra oplysningspligten, kun gør sig gældende for en del af informationerne, skal den registrerede gives de øvrige informationer.

Når formålet med behandlingen ikke længere vil blive forspildt eller hindret ved opfyldelse af oplysningspligten, skal den dataansvarlige give den registrerede informationerne på dette tidspunkt. Dette kan fx være tilfældet, når den registreredes kendskab til informationerne ikke længere er egnet til at skade en kontrol eller en forfølgelse af en lovovertrædelse.

Det antages, at denne undtagelse har et væsentligt overlap med undtagelsen om afgørende offentlige interesser, som omtales nedenfor.

Behandlingen er udtrykkeligt fastsat ved lov

Hvis den dataansvarlige ved lov udtrykkeligt er blevet pålagt at indsamle eller videregive personoplysninger, kan den dataansvarlige undtage fra oplysningspligten. Se databeskyttelsesforordningens artikel 14, stk. 5, litra c.

Ud fra praksis skal det være klart, at en indsamling eller videregivelse vil ske, og at der ikke blot er tale om en eventuel mulighed herfor. Derfor skal der som hovedregel være tale om en egentlig indberetningspligt for at leve op til udtrykkelighedskravet. Se i den forbindelse Datatilsynets udtalelse af 1. december 2004 med j.nr. 2004-321-0316.

I udtalelsen anså Datatilsynet bestemmelsen i skatteindberetningslovens § 34, hvorefter Udbetaling Danmark årligt skal foretage indberetning til Skatteforvaltningen om opkrævede underholdsbidrag, for at opfylde kravet om udtrykkelighed.

Omvendt anså Datatilsynet ikke formuleringen i den tidligere skattekontrollov § 8 G, stk. 1, (om oplysningspligt for vekselerere, advokater m.fl.) "... i det omfang told- og skatteforvaltningen anmoder derom ...", for at opfylde kravet om udtrykkelighed. Det skyldtes, at det vil være usikkert, om der rent faktisk behandles personoplysninger om den registrerede. Bestemmelsen i § 8 G er udgået af skattekontrolloven, men er videreført med lignende bestemmelser i skattekontrollovens kapitel 6.  

Personoplysningerne skal forblive fortrolige som følge af tavshedspligt

Den dataansvarlige kan undtage fra oplysningspligten, hvis opfyldelse af oplysningspligten vil afsløre tavshedsbelagte personoplysninger overfor uvedkommende. Se databeskyttelsesforordningens artikel 14 , stk. 5, litra d.

Undtagelsen forstås som særlige bestemmelser om tavshedspligt i overensstemmelse med offentlighedslovens § 35.

Det kan fx være nødvendigt at undtage fra oplysningspligten, hvis information om formålet med behandlingen vil afsløre en andens personoplysninger i strid med Skatteforvaltningens særlige tavshedspligt i skatteforvaltningslovens.

I de situationer, hvor den dataansvarlige behandler oplysninger, som er omfattet af den særlige tavshedspligt i hvidvasklovens § 38 a, kan der undtages fra oplysningspligten.

Derimod vil der ikke kunne undtages fra oplysningspligten med henvisning til de almindelige tavshedspligtsbestemmelser i fx forvaltningslovens § 27.

Afgørende hensyn til private eller offentlige interesser

Om anvendelsen af undtagelsesbestemmelsen databeskyttelseslovens § 22, stk. 1, om afgørende hensyn til private eller offentlige interesser, henvises til afsnit A.A.6.4.2, under "Afgørende hensyn til private eller offentlige interesser".

Særligt om kontrolhensyn

Om anvendelsen af undtagelsesbestemmelsen i databeskyttelseslovens § 22, stk. 2, nr. 8, i forbindelse med kontrol henvises til gennemgangen i afsnit A.A.6.4.2 under "Særligt om kontrolhensyn" .

Som et eksempel på indsamling af personoplysninger fra tredjeparter omtales nedenfor oplysningspligten efter databeskyttelsesforordningens artikel 14, stk. 1 og 2, i forbindelse med anmeldelser fra tredjeparter.

Eksempel - anmeldelser

Den 15. december 2006 anmodede det forhenværende SKAT Datatilsynet om en udtalelse om SKAT's interne retningslinjer om opfyldelse af oplysningspligten efter den dagældende persondatalov i forbindelse med modtagelse af anmeldelser om skatteunddragelser. Se SKM2007.512.SKAT.

Datatilsynet udtalte bl.a., at det med udtrykket "afgørende" i persondatalovens § 30, stk. 2, nr. 6 (nu: databeskyttelseslovens § 22, stk. 2, nr. 8) er tilkendegivet, at undtagelse fra oplysningspligten kun kan gøres, hvor der er nærliggende fare for, at det offentliges interesser vil lide skade af væsentlig betydning. Datatilsynet udtalte også, at det var tilsynets opfattelse, at der skal udøves forsigtighed med anvendelsen af denne bestemmelse. Derudover havde Datatilsynet ingen bemærkninger til retningslinjerne om SKAT's anvendelse af persondatalovens § 30, stk. 2, nr. 6 (nu: databeskyttelseslovens § 22, stk. 2, nr. 8) og persondatalovens § 29, stk. 3 (nu: databeskyttelsesforordningens artikel 14, stk. 5, litra b).

På baggrund af Datatilsynets udtalelse blev det ved SKM2007.512.SKAT præciseret, at der gælder følgende hovedregler:

• "Når en 3. mand anmelder en skatteyder for overtrædelse af skattelovgivningen, skal den anmeldte skatteyder straks underrettes, dvs. inden for 10 dage. Denne underretning kan dog udskydes, hvis den ansvarlige medarbejder efter et konkret skøn kommer til det resultat, at selve opklaringsmuligheden vil lide væsentlig skade, hvis underretning gives straks til den anmeldte. Dette konkrete skøn skal udøves straks ved modtagelsen af anmeldelsen."

• "I tilfælde, hvor underretningen udskydes, skal den ansvarlige medarbejder udarbejde et internt notat, der indeholder en begrundelse for, hvilke faktiske omstændigheder der bevirker, at opklaringsmuligheden vil lide væsentlig skade ved en underretning. Det forhold, at kontrolprocessen - altså arbejdet med at gennemføre kontrolprocessen - bliver vanskeligere, f.eks. mere tidskrævende, er ikke i sig selv nok til at udskyde en underretning.

Ovenstående antages også at være gældende, efter databeskyttelsesforordningen har fundet anvendelse fra den 25. maj 2018.

Oversigt over domme, kendelser, afgørelser, SKM-meddelelser mv.

Skemaet viser relevante afgørelser og udtalelser på området: