Databeskyttelseslov er vedtaget og træder i kraft samtidig med EU-forordningen

Af Sven Petersen, Erhvervsjuridisk fagchef

Håndteringen af CPR-numre
CPR-numre udgør ikke følsomme data efter persondataforordningen, men en særlig kategori, som er behandlet i den nye databeskyttelseslov. Årsagen er selvfølgelig, at mange andre EU lande ikke har et sådant nummersystem, og det er derfor op til dansk ret at fastlægge karakteren af disse oplysninger. Indholdet i den nye lov svarer stort set til de nugældende regler. Du kan se bestemmelsen i loven om privates adgang til at gøre brug af CPR numre her:

§ 11. Offentlige myndigheder kan behandle oplysninger om personnummer med henblik på en entydig identifikation eller som journalnummer.

Stk. 2. Private må behandle oplysninger om personnummer, når
1) det følger af lovgivningen,

2) den registrerede har givet samtykke hertil i overensstemmelse med databeskyttelsesforordningens artikel 7,

3) behandlingen alene finder sted til videnskabelige eller statistiske formål, eller hvis der er tale om videregivelse af oplysninger om personnummer, når videregivelsen er et naturligt led i den normale drift af virksomheder m.v. af den pågældende art, og når videregivelsen er af afgørende betydning for at sikre en entydig identifikation af den registrerede eller videregivelsen kræves af en offentlig myndighed eller

4) betingelserne i § 7 er opfyldt.

Stk. 3. Uanset bestemmelsen i stk. 2, nr. 3, må personnummer ikke offentliggøres, medmindre der er givet samtykke i overensstemmelse med databeskyttelsesforordningens artikel 7.

Videregivelse af personoplysninger til brug for markedsføringsmæssige formål
Videregivelse af personoplysninger fra en virksomhed til en anden med henblik på markedsføring, kræver som udgangspunkt udtrykkeligt samtykke fra forbrugeren i overensstemmelse med reglerne i markedsføringslovens § 10. Dog kan mere generelle kundeoplysninger som navn og adresse videregives. De mere detaljerede regler finder du i lovens § 13:

§ 13. En virksomhed må ikke videregive oplysninger om en forbruger til en anden virksomhed til brug ved direkte markedsføring eller anvende oplysningerne på vegne af en anden virksomhed i dette øjemed, medmindre forbrugeren har givet sit udtrykkelige samtykke hertil. Et samtykke skal indhentes i overensstemmelse med reglerne i markedsføringslovens § 10.

Stk. 2. Videregivelse og anvendelse som nævnt i stk. 1 kan dog ske uden samtykke, hvis der er tale om generelle kundeoplysninger, der danner grundlag for inddeling i kundekategorier, og hvis betingelserne i databeskyttelsesforordningens artikel 6, stk. 1, litra f, er opfyldt.

Stk. 3. Der kan efter stk. 2 ikke videregives eller anvendes oplysninger som nævnt i databeskyttelsesforordningens artikel 9, stk. 1, eller denne lovs § 8.

Stk. 4. Inden en virksomhed videregiver oplysninger om en forbruger til en anden virksomhed med henblik på direkte markedsføring eller anvender oplysningerne på vegne af en anden virksomhed i dette øjemed, skal den undersøge i CPR, om forbrugeren har frabedt sig henvendelser i markedsføringsøjemed.

Stk. 5. Dataansvarlige, der med henblik på direkte markedsføring sælger fortegnelser over grupper af personer, eller som for tredjemand foretager adressering eller udsendelse af meddelelser til sådanne grupper, må kun behandle

1) oplysninger om navn, adresse, stilling, erhverv, e-mail¬adresse, telefon- og telefaxnummer,

2) oplysninger, der indgår i erhvervsregistre, som i henhold til lov eller bestemmelser fastsat i henhold til lov er beregnet til at informere offentligheden, og

3) andre oplysninger, hvis den registrerede har givet udtrykkeligt samtykke dertil.

Stk. 6. Et samtykke efter stk. 5 skal indhentes i overensstemmelse med markedsføringslovens § 10.

Bøder til det offentlige er nu en realitet
Spørgsmålet om, hvorvidt det offentlige kunne idømmes bøder i tilfælde af manglende overholdelse af loven har været stærkt omdiskuteret. Nu står det sort på hvidt, at det offentlige også kan idømmes bøder.

Læs hele databeskyttelsesloven her.