Behandling af personoplysninger: Hvornår er det lovligt?

I den digitale tidsalder er behandling af personoplysninger en integreret del af mange aktiviteter, både for virksomheder og offentlige myndigheder. Men hvornår er det egentlig lovligt at behandle disse oplysninger? Databeskyttelsesreglerne sætter rammerne, og det er essentielt at forstå disse regler for at sikre lovlig behandling og beskytte individers privatliv.

Hvad er et retligt grundlag (hjemmel)?

Når du behandler personoplysninger, skal du altid have et retligt grundlag, også kendt som en hjemmel. Dette grundlag er den juridiske begrundelse, der tillader dig at foretage behandlingen. Valget af hjemmel afhænger primært af to faktorer:

• Typen af personoplysninger: Databeskyttelsesreglerne skelner mellem almindelige personoplysninger og følsomme personoplysninger. Derudover er der særlige regler for behandling af CPR-numre.
• Situationen for behandlingen: Sammenhængen hvori behandlingen finder sted er afgørende. Handler det om at opfylde en kontrakt, en retlig forpligtelse, eller udføre en opgave i offentlighedens interesse?

De forskellige retlige grundlag for behandling af almindelige personoplysninger

Behandling af personoplysninger er kun lovlig, hvis mindst ét af de følgende forhold gør sig gældende:

1. Samtykke

Den registrerede har givet sit samtykke til behandlingen af sine personoplysninger til et eller flere specifikke formål. Samtykke er et af seks mulige behandlingsgrundlag, men det er ikke altid nødvendigt at indhente samtykke. Hvis du vælger at basere behandlingen på samtykke, skal du overholde strenge krav for at sikre, at samtykket er gyldigt. Det skal være frivilligt, specifikt, informeret og utvetydigt. Samtykket skal gives ved en aktiv handling, og det skal være lige så let at trække samtykket tilbage, som det var at give det.

2. Kontrakt

Behandlingen er nødvendig for at opfylde en kontrakt, som den registrerede er part i, eller for at tage skridt på anmodning fra den registrerede inden indgåelse af en kontrakt. Dette grundlag er relevant i situationer, hvor behandlingen af personoplysninger er en forudsætning for at kunne levere en ydelse eller opfylde en aftale. Et typisk eksempel er et ansættelsesforhold, hvor arbejdsgiveren skal behandle medarbejderens oplysninger for at kunne udbetale løn og administrere ansættelsen.

3. Retlig forpligtelse

Behandlingen er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige. Dette dækker situationer, hvor lovgivningen pålægger den dataansvarlige at behandle personoplysninger. Eksempler inkluderer bogføringsloven, der kræver opbevaring af regnskabsmateriale, eller hvidvaskloven, der pålægger finansielle virksomheder at indsamle og opbevare kundedata.

4. Vitale interesser

Behandlingen er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser. Dette grundlag anvendes i nødsituationer, hvor den registrerede ikke er i stand til at give samtykke, for eksempel i livstruende situationer eller ved alvorlig sygdom, hvor behandling af personoplysninger er afgørende for at redde liv eller yde akut hjælp.

5. Samfundsinteresse eller offentlig myndighedsudøvelse

Behandlingen er nødvendig for udførelsen af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Dette grundlag er primært relevant for offentlige myndigheder, der behandler personoplysninger som led i deres lovbestemte opgaver. Det betyder, at myndigheder ofte kan behandle oplysninger uden samtykke, når det er nødvendigt for at udføre deres offentlige opgaver.

6. Legitim interesse

Behandlingen er nødvendig for at forfølge en legitim interesse for den dataansvarlige eller en tredjemand, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn. Dette grundlag er en interesseafvejningsregel, der kræver en vurdering af den dataansvarliges legitime interesse over for den registreredes rettigheder. Det er et fleksibelt grundlag, der ofte anvendes af private virksomheder, men det kan normalt ikke anvendes af offentlige myndigheder i deres offentlige opgavevaretagelse.

Behandling af følsomme personoplysninger

Følsomme personoplysninger omfatter oplysninger om race eller etnisk oprindelse, politisk overbevisning, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, genetiske data, biometriske data med henblik på entydig identifikation, helbredsoplysninger eller oplysninger om seksuelt forhold eller seksuel orientering. Behandling af følsomme personoplysninger er som udgangspunkt forbudt, men der findes en række undtagelser.

Undtagelser til forbuddet mod behandling af følsomme personoplysninger

• Offentliggjort af den registrerede: Hvis den registrerede tydeligvis selv har offentliggjort oplysningerne, kan de behandles uden samtykke.
• Arbejds-, sundheds- og socialretlige forpligtelser: Behandling er nødvendig for at overholde forpligtelser og udøve specifikke rettigheder for den dataansvarlige eller den registrerede inden for arbejds-, sundheds- og socialret.
• Vitale interesser: Behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser, hvis den registrerede er fysisk eller juridisk ude af stand til at give samtykke.
• Non-profit organisationer: Behandling foretages af en politisk, filosofisk, religiøs eller fagforeningsmæssig non-profit organisation i forbindelse med legitim behandling af medlemmers oplysninger.
• Retskrav: Behandling er nødvendig for at fastlægge, gøre gældende eller forsvare retskrav.
• Væsentlige samfundsinteresser: Behandling er nødvendig af hensyn til væsentlige samfundsinteresser på grundlag af EU-retten eller national ret.
• Sundhedsfaglig behandling: Behandling er nødvendig til forebyggende medicin eller sundhedsfaglig behandling.
• Arkiv-, forsknings- og statistikformål: Behandling er nødvendig til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål.

Når du behandler følsomme personoplysninger, er det afgørende, at du ikke kun har et retligt grundlag for den generelle behandling, men også at du kan identificere dig med en af disse specifikke undtagelser.

Samtykke i dybden

Samtykke er et vigtigt, men også komplekst retligt grundlag. For at et samtykke er gyldigt i henhold til databeskyttelsesreglerne, skal det opfylde følgende betingelser:

• Frivilligt: Den registrerede skal have en reel valgfrihed. Samtykket må ikke være resultatet af pres eller tvang.
• Specifikt: Samtykket skal gives til specifikke formål. Du skal klart definere, hvad samtykket dækker.
• Informeret: Den registrerede skal modtage klar og tydelig information om behandlingen, herunder formålet, typen af oplysninger, den dataansvarlige og retten til at trække samtykket tilbage.
• Udtvetydigt: Samtykket skal gives ved en aktiv handling. Stiltiende samtykke eller forudafkrydsede felter er ikke gyldigt.

Et samtykke kan altid trækkes tilbage, og det skal være lige så let at trække tilbage som at give det. Samtykke er ikke altid det mest hensigtsmæssige grundlag, da det giver den registrerede stor kontrol og kan være administrativt tungt at håndtere.

Behandling af oplysninger om strafbare forhold og CPR-nummer

Oplysninger om strafbare forhold

Behandling af oplysninger om strafbare forhold er underlagt særlige restriktioner. Offentlige myndigheder må kun behandle disse oplysninger, hvis det er nødvendigt for varetagelsen af deres opgaver. Private må behandle oplysninger om strafbare forhold, hvis den registrerede har givet udtrykkeligt samtykke, eller hvis det er nødvendigt for at forfølge en berettiget interesse, der klart overstiger hensynet til den registrerede.

CPR-nummer

Behandling af CPR-numre er også stærkt reguleret. Offentlige myndigheder kan behandle CPR-numre for entydig identifikation eller som journalnummer. Private må kun behandle CPR-numre i specifikke situationer, herunder hvis det følger af lovgivningen, ved samtykke, til videnskabelige eller statistiske formål, eller når videregivelse er et naturligt led i normal drift og afgørende for entydig identifikation.

Grundlæggende krav til behandling

Uanset hvilket retligt grundlag du anvender, er der en række grundlæggende principper, der altid skal overholdes ved behandling af personoplysninger. Disse principper sikrer en retsmæssig, rimelig og gennemsigtig behandling og inkluderer:

• Lovlighed, rimelighed og gennemsigtighed: Behandlingen skal være lovlig, rimelig og gennemsigtig i forhold til den registrerede.
• Formålsbegrænsning: Oplysningerne skal indsamles til specifikke, udtrykkeligt angivne og legitime formål og må ikke viderebehandles på en måde, der er uforenelig med disse formål.
• Dataminimering: Behandlingen skal være tilstrækkelig, relevant og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles.
• Rigtighed: Personoplysningerne skal være korrekte og ajourførte. Der skal træffes rimelige foranstaltninger for at sikre, at urigtige personoplysninger berigtiges eller slettes.
• Opbevaringsbegrænsning: Personoplysningerne må ikke opbevares i et format, der tillader identifikation af de registrerede, længere end nødvendigt til de formål, hvortil de behandles.
• Integritet og fortrolighed: Behandlingen skal ske på en måde, der sikrer tilstrækkelig sikkerhed for personoplysningerne, herunder beskyttelse mod uautoriseret eller ulovlig behandling og mod hændeligt tab, tilintetgørelse eller beskadigelse.
• Ansvarlighed: Den dataansvarlige er ansvarlig for at overholde disse principper og skal kunne påvise overholdelse.

Ofte stillede spørgsmål (FAQ)

Hvad er forskellen på GDPR og Persondataloven?

GDPR (General Data Protection Regulation) er en EU-forordning, der gælder i hele EU, herunder Danmark. Persondataloven var den tidligere danske lov, der er erstattet af GDPR. GDPR er direkte gældende lov i Danmark, og suppleres af den danske databeskyttelseslov på visse områder.

Hvor kan jeg finde mere information om databeskyttelsesreglerne?

Du kan finde yderligere information og vejledning på Datatilsynets hjemmeside (www.datatilsynet.dk). Datatilsynet er den danske tilsynsmyndighed for databeskyttelse og tilbyder omfattende ressourcer og vejledning om reglerne.

At forstå og overholde reglerne for behandling af personoplysninger er afgørende for at beskytte individers privatliv og sikre lovlig databehandling. Ved at følge de retlige grundlag og de grundlæggende principper kan du sikre, at din behandling af personoplysninger er i overensstemmelse med databeskyttelsesreglerne.