En registreret person har ret til at vide, hvem den dataansvarlige har videregivet personoplysninger til

Hvem har den dataansvarlige videregivet dine personoplysninger til?

EU-domstolen har i forbindelse med en præjudiciel forelæggelse fra den østrigske højesteret udtalt, at den registrerede som udgangspunkt selv kan vælge, om den dataansvarlige alene skal oplyse om kategorierne af modtagere af personoplysninger eller om den dataansvarlige skal give de konkrete oplysninger på de virksomheder/parter, der har eller vil modtage oplysninger om den registrerede. I denne artikel ser vi nærmere på afgørelsen.

Sagens baggrund

En østrigsk borger rettede henvendelse til en østrigsk post- og logistikvirksomhed med henblik på at få indsigt i de personoplysninger, virksomheden behandlede om ham og hvem personoplysningerne eventuelt var videregivet til. Virksomheden besvarede indsigtsanmodningen og anførte blot, at denne behandlede personoplysninger med henblik på at udgive telefonbøger samt at tilbyde personoplysninger til deres handelspartnere til markedsføringsformål.  Virksomheden, der var dataansvarlig, oplyste imidlertid ikke identiteten på de konkrete handelspartnere, der havde modtaget personoplysningerne.

Borgeren sagsøgte herefter virksomheden med påstand om, at virksomheden skulle oplyse identiteten på de handelspartnere, som virksomheden havde delt borgerens personoplysninger med.

Den registrerede fik ikke medhold i sin påstand ved første eller anden instans, idet man mente, at det var tilstrækkeligt for den dataansvarlige alene at oplyse om kategorien af modtagere som virksomheden havde videregivet personoplysninger til i henhold til databeskyttelsesforordningens artikel 15, stk. 1, litra c, hvoraf det fremgår, at den registrerede har ret til at få oplysning om ”de modtagere eller kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til…”.

Under sagens behandling hos den østrigske højesteret, blev spørgsmålet om fortolkning af bestemmelsen forelagt som et præjudicielt spørgsmål hos EU-domstolen, idet ordlyden af bestemmelsen ikke gjorde det muligt entydigt at klarlægge, hvorvidt der skulle gives konkrete oplysninger om modtagerne eller om det var tilstrækkeligt blot at oplyse om kategorien af modtagere.

Afgørelse af det præjudicielle spørgsmål

Indledningsvist medgav EU-domstolen, at man ikke ud fra ordlyden af artikel 15, stk. 1, litra c kan udlede, hvorvidt den registrerede har ret til at vælge, om der skal udleveres konkrete oplysninger eller blot oplysninger om kategorien af modtagere. Bestemmelsen foreskriver begge dele, men angiver ikke en rangorden heraf. Spørgsmålet måtte derfor afgøres ud fra en fortolkning af sammenhæng som bestemmelsen indgår i samt formålet med disse bestemmelser.

EU-domstolen udtalte, at det er afgørende for at opnå en effektiv beskyttelse af de øvrige rettigheder i databeskyttelsesforordningen, såsom retten til sletning og retten til at gøre indsigelse mod en behandling, at den registrerede bliver gjort bekendt med de konkrete modtagere, så den registrerede effektivt kan gøre sine rettigheder gældende. EU-domstolen udtalte derfor, at formålet med databeskyttelsesforordningen tilsiger, at den registrerede som udgangspunkt kan kræve at blive gjort bekendt med de konkrete oplysninger om, hvem den dataansvarlige har eller vil videregive den registreredes personoplysninger til.

EU-domstolen udtalte også, at der dog ikke er tale om en absolut rettighed, hvorfor der – under særlige omstændigheder - vil være undtagelser hertil. EU-domstolen udtalte i den forbindelse, at hvis ikke det er muligt, på tidspunktet for den registreredes indsigtsanmodning, at oplyse om de konkrete modtagere af personoplysninger i fremtiden, idet disse er ukendte for den dataansvarlige, er det tilstrækkeligt alene at oplyse om kategorien af modtagere.

EU-domstolen udtalte også, at udgangspunktet heller ikke gælder, såfremt den dataansvarlige kan godtgøre, at den registreredes anmodning er åbenbar grundløs eller overdreven jf. databeskyttelsesforordningens artikel 12, stk. 5. Den dataansvarlige kan i en sådan situation nøjes med at oplyse om kategorien af modtagere.

Hvad kan afgørelsen bruges til?

I et dansk perspektiv er afgørelsen i overensstemmelse med den hidtidige fortolkning. Det følger af Datatilsynets vejledning om registreredes rettigheder, at oplysningerne til de registrerede så vidt muligt skal omfatte oplysninger på de konkrete modtagere, hvorfor det vil være utilstrækkeligt blot at anføre, at personoplysninger videregives til ”samarbejdspartnere”, hvis den dataansvarlige er i stand til at give konkrete oplysninger på modtagerne.

Afgørelsen er derfor i tråd med Datatilsynets vejledning angående den registreredes indsigtsret.

For at være i stand til at besvare en indsigtsanmodning i overensstemmelse med den registreredes rettigheder, anbefaler vi, at den dataansvarlige sørger for altid at have en opdateret oversigt over, hvilke selskaber, samarbejdspartnere, databehandlere m.v., personoplysninger er videregivet til, således den dataansvarlige kan give de konkrete oplysninger herom til den registrerede. En sådan oversigt er også anvendelig, hvis den registrerede anmoder om at blive slettet eller trækker et samtykke tilbage jf. databeskyttelsesforordningen artikel 17.

Du kan læse EU-domstolens afgørelse her.

Vil du vide mere

Hvis du har behov for hjælp til håndtering af indsigtsanmodninger eller vil vide mere om din virksomheds forpligtelse i henhold til de registreredes rettigheder, står vi klar til at rådgive dig.