Hvornår gælder oplysningspligten?

Hvornår gælder oplysningspligten? Overtrædelse koster millioner

Manglende styr på hvornår gælder oplysningspligten medfører alvorlige økonomiske konsekvenser og store administrative sanktioner for virksomheden. Forståelse af de korrekte juridiske rammer og databeskyttelsesregler sikrer fuld overholdelse af lovgivningen. Læs de præcise detaljer om reglerne for at undgå store virksomhedsbøder.

Hvornår træder reglerne om oplysningspligt i kraft for din virksomhed?

Oplysningspligten gælder i det præcise øjeblik, du indsamler eller modtager personoplysninger om andre individer. Som dataansvarlig udløses denne juridiske forpligtelse automatisk ved enhver form for databehandling, uanset om der er tale om dine kunder, medarbejdere eller eksterne samarbejdspartnere.

Der findes en udbredt og direkte skadelig misforståelse i mange mindre virksomheder om, at man roligt kan afvente en situation, indtil en borger eller kunde selv retter henvendelse og spørger aktivt ind til deres data. Det er desværre helt forkert. Du skal levere disse informationer fuldstændig uopfordret og på eget initiativ, da du ellers reelt set overtræder gældende lovgivning fra første sekund.

Men her er den kritiske detalje, som de fleste glemmer midt i de mange administrative rutiner: Det er absolut ikke nok, at din oplysningspligt persondataloven blot ligger gemt væk et eller andet sted i bunden af en hjemmeside, hvor modtageren selv skal gå på opdagelse for at finde den. Lovgivningen kræver aktiv gennemsigtighed. Hvis du indsamler oplysningerne direkte hos personen, skal du præsentere informationen senest samtidig med, at indsamlingen finder sted. Hvis du derimod modtager dataene fra en ekstern tredjepart, skal oplysningspligten opfyldes inden for en rimelig frist og absolut senest inden for en måned.

Hvem skal du oplyse, og hvad skal beskeden reelt indeholde?

Oplysningspligten gælder overordnet set for alle dataansvarlige, der håndterer personoplysninger i en erhvervsmæssig sammenhæng. Hver evig eneste gang et nyt datasubjekt afgiver oplysninger, skal vedkommende have en klar og letforståelig redegørelse for processen.

I min tid som rådgiver for voksende virksomheder har jeg set alt for mange kilometerlange, uoverskuelige dokumenter skrevet i et tørt og uforståeligt advokatsprog. Mine egne øjne begynder næsten at rinde, når jeg læser dem - og almindelige kunder opgiver fuldstændigt på forhånd. Det fjerner hele meningen med gennemsigtighed. Budskabet skal i stedet formidles kortfattet, klart og i et sprog, som alle kan forstå uden en juridisk embedseksamen.

For at din orientering lever op til de formelle krav, skal du som minimum inkludere følgende faste elementer: Identitet og kontaktoplysninger: Hvem er den dataansvarlige virksomhed, og hvordan får man fat på jer? Formålet med behandlingen: Hvad skal dataene helt præcist bruges til, og hvad er det lovlige behandlingsgrundlag? Opbevaringsperiode: Hvor længe gemmer I oplysningerne, før de bliver slettet permanent? Modtagere af data: Bliver oplysningerne givet videre til eksterne leverandører eller partnere? Rettigheder: En klar vejledning i, hvordan personen kan kræve indsigt, berigtigelse eller sletning af sine data.

Hvor meget koster det at ignorere oplysningspligten?

Bøderne for overtrædelser af de grundlæggende databeskyttelsesregler kan i yderste konsekvens nå op på svimlende 20.000.000 EUR eller op til 4% af den globale årlige omsætning. Mindre alvorlige eller rent administrative fejltrin kan straffes med op til 10.000.000 EUR eller 2% af omsætningen.

I den danske model udsteder tilsynsmyndigheden dog ikke administrative bøder direkte på stedet. I stedet indgiver myndigheden en officiel politianmeldelse og en konkret bødeindstilling til domstolene efter en grundig undersøgelse. Det er efterfølgende anklagemyndigheden, der rejser den reelle straffesag, hvorefter de danske domstole fastsætter den endelige bødestørrelse ud fra en individuel vurdering af virksomhedens betalingsevne og sagens grovhed.

De fleste overtrædelser sker dog heldigvis ikke i ond tro. De skyldes simpelthen sjusk, uvidenhed eller dårligt opsatte standardsystemer, som ikke informerer brugerne automatisk. Selvom de maksimale bøder sjældent tages i brug over for mindre erhvervsdrivende, kan selv en mindre bødeindstilling påføre en mindre virksomhed alvorlige økonomiske og imagemæssige skrammer.

Undtagelser: Hvornår slipper du helt for at give besked?

Selvom hovedreglen er ekstremt streng, findes der dog enkelte konkrete undtagelser i lovgivningen, hvor du lovligt kan lade være med at sende en orientering ud til modtageren.

Den mest almindelige undtagelse er de situationer, hvor den registrerede beviseligt allerede er fuldstændig bekendt med oplysningerne og behandlingen. Men pas nu rigtig godt på her. Der gælder nemlig en benhård regler for oplysningspligt om, at personen ikke ved det på forhånd. Det betyder i praksis, at bevisbyrden ligger 100% hos dig som erhvervsdrivende.

Hvis du overhovedet er det mindste i tvivl om, hvorvidt en person kender til dine databehandlinger, så er det bedste råd altid at sende oplysningerne afsted med det samme. Det tager kun få sekunder at automatisere, og det fjerner en enorm, uforståelig juridisk risiko fra din forretning.

Tidsfrister for opfyldelse af oplysningspligten

Direkte indsamling (hos personen selv)

• Når en kunde udfylder en kontaktformular på din webshop eller underskriver en fysisk kontrakt
• Skal ske senest samtidig med at oplysningerne indsamles
• Informationen skal integreres direkte i det digitale eller fysiske flow, som personen interagerer med

Indirekte indsamling (via en tredjepart)

• Når du køber et lovligt lead-kartotek, modtager henvisninger eller overtager data fra en samarbejdspartner
• Inden for en rimelig frist og absolut senest inden for 30 dage
• Hvis data skal bruges til at kommunikere med personen, skal oplysningerne gives ved allerførste kontakt

Historien om Jens og den glemte tilmeldingsformular

Jens, som ejer et mellemstort konsulenthus i Aarhus, lancerede i efteråret et nyt digitalt nyhedsbrev for at tiltrække lokale erhvervskunder. Han opsatte hurtigt en simpel tilmeldingsformular på sin hjemmeside, men i farten glemte han alt om at linke direkte til virksomhedens opdaterede persondatapolitik.

Efter et par uger modtog Jens en kritisk e-mail fra en skarp it-konsulent, der netop havde skrevet sig på listen. Konsulenten påpegede høfligt men bestemt, at Jens brød oplysningspligten, fordi der ikke blev informeret om databehandlingens formål eller slettefrister på selve indsamlingstidspunktet.

Jens gik i panik og overvejede først at slette hele modtagerlisten for at undgå problemer med Datatilsynet. Efter at have trukket vejret dybt ind, indså han dog, at fejlen nemt kunne rettes ved at ændre procedurerne fremfor at smide værdifulde leads væk.

Han fik straks integreret et obligatorisk tjekfelt med et direkte link til persondatapolitikken i formularen og sendte en ærlig berigtigelse ud til de eksisterende 45 tilmeldte. Det lærte ham, at gennemsigtighed skal tænkes ind fra start, og listen har i dag over 500 aktive modtagere uden yderligere klager.