Når I behandler personoplysninger, skal I af egen drift fortælle personen om det. Det er oplysningspligten i databeskyttelsesforordningens art. 13 og 14. Art. 13 gælder, når I får oplysningerne fra personen selv, og art. 14, når de kommer fra andre. Pligten gælder alle, I behandler oplysninger om: kunder, ansatte, ansøgere, kontaktpersoner hos leverandører og folk, der nævnes i jeres sager. Mange virksomheder har styr på kunderne via hjemmesiden og mangler resten. Emnet er aktuelt, for gennemsigtighed og oplysningspligt er tema for EDPB’s fælles kontrol i 2026, og Datatilsynet deltager.
Hvad der skal fortælles
Den fulde liste står i art. 13 og er gennemgået punkt for punkt i privatlivspolitik eller persondatapolitik. Kernen er, hvem I er, hvad I bruger oplysningerne til, på hvilket grundlag, hvem der får dem, hvor længe de gemmes, og hvilke rettigheder personen har. Har I en DPO, skal kontaktoplysningerne med.
Kommer oplysningerne fra andre, tilføjer art. 14 to punkter. Personen skal have at vide, hvilke typer oplysninger I har fået, og hvilken kilde de kommer fra. Det er logisk, for personen har jo ikke selv set, hvad I har fået.
Tidspunktet og måden er det svære. Derfor gennemgår vi her de grupper, hvor det opstår.
Kunder
Kunder møder jer som regel i en bestilling, en formular eller et kontaktforløb. Oplysningerne skal gives, når I indsamler. Efter art. 13, stk. 1, er det “på det tidspunkt”, og Datatilsynets vejledning fra juli 2018 peger på, at oplysningerne med fordel kan stå i selve blanketten. En kort tekst ved formularen med et link til resten løser det for de fleste.
Skriver en person til jer uopfordret, siger vejledningen, at oplysningerne skal gives snarest muligt. Et standardsvar med et link er en praktisk løsning.
Ansatte
Ansatte har krav på den samme oplysning, og for dem er teksten sjældent på hjemmesiden. Den hører hjemme i ansættelsespapirerne eller personalehåndbogen, og den skal dække det, I faktisk gør: løn, ferie, sygefravær, adgang til systemer, logning, eventuel kontrol og oplysninger, der går videre til pensionsselskab og myndigheder.
Mange kalder teksten en privatlivspolitik for medarbejdere. Datatilsynets vejledning om ansættelsesforhold siger i afsnit 4.1, at arbejdsgiveren skal tage aktive skridt til at give oplysningerne og kunne dokumentere det. Det kan fx ske med hovedpunkterne, altså hvem der er dataansvarlig, kontakt til en eventuel DPO, formål, retsgrundlag, modtagere, opbevaring og rettigheder, og et link til det uddybende afsnit i personalehåndbogen. En tekst på intranettet, som den ansatte selv skal finde, er ifølge vejledningen ikke nok.
Kontrolforanstaltninger kræver særlig opmærksomhed. Datatilsynets vejledning om ansættelsesforhold behandler oplysningspligten ved kontrol i afsnit 5.1, og kontrol af medarbejdere er emnet for sig. Kommer der nye systemer, der ændrer billedet, skal teksten opdateres og sendes ud igen, hvis formålet er nyt.
Ansøgere
Ansøgere glemmes ofte. En ansøgning, der kommer ind i en fælles postkasse, er en indsamling hos personen selv, så oplysningerne skal gives, og et automatisk svar kan klare det. Teksten skal sige, hvor længe ansøgningen gemmes, og om I indhenter referencer. Hvis I søger personen på internettet eller ringer til en tidligere arbejdsgiver, er det en indsamling fra andre, og så gælder art. 14 for de oplysninger.
Har I et rekrutteringssystem, kan teksten ligge dér, så længe personen faktisk møder den, inden ansøgningen sendes.
Oplysninger fra andre
Art. 14 rammer flere situationer, end man umiddelbart tror. I et tænkt eksempel køber en virksomhed en liste over kontaktpersoner, en kunde opgiver en medarbejder som kontakt, eller en sag nævner en tredjemand.
Her giver art. 14, stk. 3, tre frister. Oplysningerne skal gives inden for en rimelig frist efter indsamlingen og senest inden for en måned. Bruges oplysningerne til at kommunikere med personen, skal det ske senest ved den første kontakt. Skal de videregives, skal det ske senest ved den første videregivelse. Datatilsynets vejledning siger, at det skal ske så tidligt som muligt, og at måneden er den ydre grænse.
Art. 14, stk. 5, har flere undtagelser end art. 13. Pligten falder bort, hvis personen allerede kender oplysningerne, hvis det viser sig umuligt eller uforholdsmæssigt vanskeligt, hvis indsamlingen er fastsat ved lov, eller hvis oplysningerne er underlagt tavshedspligt. Bruger I undtagelsen om uforholdsmæssigt besvær, anbefaler vi at skrive vurderingen ned.
Databeskyttelseslovens § 22 giver desuden en mulighed for at undlade oplysninger, når personens interesse må vige for afgørende hensyn til private eller offentlige interesser. Vejledningen siger, at der skal være en nærliggende fare for skade af væsentlig betydning. Det er en konkret vurdering, som bruges sjældent og bør drøftes med advokat.
Hvor mange gange
Som udgangspunkt gives oplysningerne én gang. Det ændrer sig, hvis I vil bruge oplysningerne til et nyt formål. Art. 13, stk. 3, og art. 14, stk. 4, kræver, at personen får besked, før den nye behandling begynder. Det punkt er let at overse, når en virksomhed tager et nyt system eller værktøj i brug. Bruger I fx medarbejdernes oplysninger til noget nyt i et AI-værktøj, skal I overveje det spørgsmål først, og det hører også til behandlingsgrundlaget. En ny chatbot i kundeservice kræver sin egen tekst, og den skal kunne ses i chatvinduet.
Sådan dokumenterer I, at det er sket
Datatilsynets vejledning anbefaler, at oplysninger som udgangspunkt gives skriftligt, fordi I så bedst kan dokumentere det. Ansvarlighedsprincippet i art. 5, stk. 2, gælder også her. En enkel måde er et lille skema med en linje for hver gruppe af personer: hvilken tekst de får, hvor og hvornår, og hvem der ejer teksten. Skemaet kan bygges direkte fra fortegnelsen. Er der en gruppe i fortegnelsen uden en tekst, har I fundet et hul. Skemaet er vores forslag, og det er intet krav.
Det skal I lade være med
- At tro, at privatlivspolitikken dækker alle · ansatte og ansøgere har brug for egne tekster.
- At glemme art. 14 · oplysninger fra andre udløser også en pligt.
- At sætte et nyt formål i gang uden besked · oplysningerne skal gives før den nye behandling.
- At bruge § 22 som fast løsning · den er en konkret undtagelse, der skal begrundes.
Det skal I kræve af den eksterne
- ☐ En gennemgang af, om hver gruppe i fortegnelsen får sin oplysning.
- ☐ Rådgivning om tidspunkt og placering, også i rekruttering og ved ansættelse.
- ☐ En vurdering af de situationer, hvor I får oplysninger fra andre.
- ☐ Besked, når nye systemer eller formål kræver ny oplysning.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 5, stk. 2, art. 13 og art. 14.
- Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: § 22.
- Datatilsynet: Vejledning om de registreredes rettigheder, juli 2018: afsnit 3.
- Datatilsynet: Vejledning om databeskyttelse i ansættelsesforhold: marts 2023, afsnit 4.1 og 5.1.
- EDPB: fælles kontrol 2026 om gennemsigtighed og oplysningspligt, 19. marts 2026.
- Datatilsynet: Fokusområder for tilsyn i 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Behandlingsgrundlag · Datatilsynets fokusområder
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
