Datatilsynet har truffet afgørelse i en sag om opfyldelse af oplysningspligten hos Statens Seruminstitut (SSI), når oplysninger modtages fra andre end den registrerede selv. Datatilsynet fandt – efter behandling af sagen i Datarådet – at SSI ikke kan undlade at opfylde sin oplysningspligt med henvisning til, at det vil kræve en uforholdsmæssigt stor indsats. 

Datatilsynet lagde bl.a. vægt på, at oplysningspligten er central for at sikre gennemsigtighed ved behandling af personoplysninger og for skabe et tillidsforhold mellem den dataansvarlige og de registrerede. 

Datatilsynet bemærkede i afgørelsen, at det er en forudsætning for at undlade at opfylde sin oplysningspligt med henvisning til, at det vil kræve en uforholdsmæssigt stor indsats, at den uforholdsmæssigt store indsats er foranlediget af eller forbundet med den omstændighed, at oplysningerne ikke er indsamlet hos den registrerede. I så fald vil den dataansvarlige være i en anden og – efter omstændighederne – mindre velegnet position til at underrette en registreret end en dataansvarlig, som har indsamlet oplysningerne direkte fra den registrerede.

SSI har efterfølgende anmodet Datatilsynet om genoptagelse af sagen med henvisning til en nærmere beskrivelse af ressourceforbruget. Henvendelsen gav ikke Datatilsynet grundlag for at genoptage sagen, og tilsynet afventer ifølge nyhedsteksten på Datatilsynets hjemmeside,  SSI’s redegørelse for, hvordan instituttet fremadrettet vil opfylde sin oplysningspligt.

Kommentarer

Afgørelsen har være forbi Datarådet, som primært træffer afgørelse i sager af principiel karakter. Afgørelsen må anses for ganske principiel, da den byder på et væsentligt bidrag til fortolklingen af, hvornår en ofte benyttet undtagelse til oplysningspligten kan anvendes. 

Datatilsynet følger i afgørelsen fortolkningen i retningslinjer fra  Artikel 29-gruppen (nu Det Europæiske Databeskyttelsesråd) om gennemsigtighed (WP 260 rev. 01).

For at vi kan bruge undtagelsen om, at det vil kræve en uforholdsmæssigt stor indsats at opfylde oplysningspligten, skal den uforholdsmæssigt store indsats være foranlediget af eller forbundet med den omstændighed, at oplysningerne ikke er indsamlet hos den registrerede.

Det kan derfor anbefales, at man ved anvendelse af den omhandlede undtagelse, som findes i artikel 14, stk. 5, litra b, i GDPR, er opmærksom på denne fortolkning.

Da undtagelsens anvendelsesområde er indsnævret, kan det evt. være nyttigt at se sig om efter andre måder at løse oplysningspligten på.

Hvis fx I har samarbejdspartnere, der regelmæssigt melder oplysninger ind til jer, kan I evt. overveje, om samarbejdspartneren kan hjælpe med at løfte jeres oplysningspligt ved at udleverede de krævede oplysninger om jeres behandling til de registrerede. Hvis dette kan lade sig gøre, kan I derefter overveje, om I kan basere jer på undtagelsen om, at den registrerede allerede er bekendt med oplysningerne (artikel 14, stk. 5, litra  a).

Hvis din organsation har udformet interne retningslinjer vedr. oplysningspligten og undtagelserne dertil, bør  I overveje, om den nye praksis giver anledning til opdatering af jeres retningslinjer.

.........................................

Dette er en nyhedstekst, som fremhæver udvalgte elementer fra en afgørelse eller vejledning mv. For den fulde forståelse henvises til indholdet af afgørelsen eller vejledningen og evt. professionel rådgivning.