Kend omfanget af oplysningspligten i GDPR – hvad betyder den for dig, og hvornår er du undtaget?

Oplysningspligten skal sikre gennemsigtighed, men hvad indebærer den ellers?
Oplysningspligten indebærer, at du som dataansvarlig skal give en række oplysninger til dem, hvis personoplysninger du behandler.

Dette gælder flere aspekter af databehandlingen blandt andet:

• Oplysning om formålet med databehandlingen
• Oplysning om hvordan du behandler persondata
• Oplysning om hvor længe du opbevarer persondata

Oplysningspligten – og de øvrige rettigheder – er med til at sikre gennemsigtighed og forudberegnelighed for de personer, hvis personoplysninger du behandler. Oplysningspligten er derfor også en forudsætning for, at de registrerede kan benytte sig af deres øvrige rettigheder herunder indsigtsretten.

Hvordan opfylder du oplysningspligten?
Der er ingen formkrav til, hvordan du skal opfylde forpligtelsen, men oplysningerne skal adskilles fra andre typer af oplysninger – f.eks. dine salgs- og leveringsbetingelser – og oplysningerne skal være letforståelige.

Derudover afhænger oplysningspligtens indhold og omfang af, om du indsamler oplysninger hos den registrerede selv, eller om du indsamler oplysninger hos andre. Det kunne være en offentlig myndighed, læge, forsikringsselskab eller andre steder.

Hvornår skal oplysningerne sendes til de registrerede?
Når personoplysninger indsamles hos den registrerede, skal du samtidigt med, at du indsamler personoplysningerne, sende de oplysninger, der er omfattet af oplysningspligten.

Hvis du modtager personoplysninger via e-mail, kan du f.eks. som autosvar sende oplysningerne, eller hvis du indsamler personoplysninger via en hjemmeside eller en app, kan du have en pop-up-besked, infoboks eller lignende, hvor du angiver oplysningerne om din behandling.

Når oplysninger ikke indsamles hos den registrerede men hos andre, så skal du give informationerne så tidligt som muligt efter indsamlingen.

”Så tidligt som muligt” afhænger af omstændighederne, men som tommelfingerregel skal oplysningerne sendes senest på tidspunktet for den første kommunikation med den registrerede. Er personoplysningerne indsamlet og bestemt til videregivelse til en anden, gælder det tidspunkt, hvor personoplysningerne videregives første gang.

I alle tilfælde skal oplysningspligten dog være opfyldt senest inden for én måned.

Hvornår og i hvilket omfang er du fritaget for oplysningspligten?
I en række tilfælde er du undtaget for at sende oplysningerne til de registrerede. Omfanget af undtagelserne afhænger dog igen af, om personoplysningerne er indsamlet hos den registrerede selv eller hos andre.

Er personoplysningerne indsamlet hos den registrerede, er der to undtagelser:

• Den første undtagelse er, at du ikke behøver at sende oplysningerne, hvis den registrerede er bekendt med oplysningerne. Her gælder der dog en formodningsregel om, at den registrerede ikke er bekendt med oplysningerne, hvorfor du derfor skal være helt sikker på, at den registrerede faktisk er bekendt med oplysningerne.

Hvis du er usikker, så send oplysningerne.

• En anden undtagelse findes i den danske databeskyttelseslov, hvorefter det gælder, at opfyldelse af oplysningspligten ikke gælder af hensyn til private interesser – herunder hensynet til den pågældende selv eller af hensyn til offentlige interesser (statens sikkerhed, forsvaret, mv.).

Et eksempel på, hvornår private interesser gør sig gældende, er f.eks., hvis der er tale om meget belastende oplysninger for den registrerede.

Er personoplysningerne ikke indsamlet hos den registrerede, kan der gøres flere undtagelser:

•  Hvis den registrerede allerede er bekendt med oplysningerne
• Hvis det er umuligt eller vil kræve en forholdsmæssig stor indsats at sende oplysningerne
• Hvis oplysningspligten vil hindre opfyldelsen af formålene med behandlingen
• Hvis indsamling eller videregivelse er fastsat i EU-ret eller efter national ret
• Hvis oplysningerne skal forblive fortrolige som følge af tavshedspligt fastsat i EU-ret eller efter national ret