I må give personoplysninger videre, når der er et behandlingsgrundlag, og modtageren står i jeres oplysning til de registrerede. Samtykke er kun ét af grundlagene, så videregivelse af personoplysninger uden samtykke er ofte lovlig. Oplysninger om strafbare forhold, følsomme oplysninger og CPR-numre har strengere regler. Beder politiet om oplysninger til en konkret efterforskning, siger Datatilsynet, at I trygt kan imødekomme det. Første skridt er at afgøre, om der overhovedet er tale om en videregivelse.
Videregivelse eller databehandler
- Modtageren bruger oplysningerne · Videregivelse: Til egne formål · Overladelse til databehandler: Efter jeres instruks
- Modtagerens rolle · Videregivelse: Selvstændigt dataansvarlig · Overladelse til databehandler: Databehandler
- Krav · Videregivelse: Grundlag og oplysningspligt · Overladelse til databehandler: Databehandleraftale efter art. 28
- Eksempel · Videregivelse: Håndværker, der får en adresse til opgaven · Overladelse til databehandler: IT-leverandør, der handler efter instruks
Håndværkeren er Datatilsynets eget eksempel. Får han navn og adresse for at kunne udføre et arbejde, bliver han selv dataansvarlig for det, han gør med dem, for aftalen handler om noget andet end at behandle oplysninger. Selve vurderingen står i dataansvarlig eller databehandler. Bruger en leverandør oplysninger til egne formål, kan den glide fra den ene rolle til den anden, se leverandøren bruger data til egne formål.
Selskaber i en koncern er som udgangspunkt selvstændigt dataansvarlige, så deling mellem dem skal også vurderes.
Grundlaget
For almindelige personoplysninger kan grundlaget være et af følgende i art. 6, stk. 1.
- Samtykke, litra a. Skal være frivilligt og kan trækkes tilbage, så det bør ikke være første valg, hvis et andet grundlag passer.
- Kontrakt, litra b. Fx når I sender kundens adresse til fragtfirmaet for at levere det købte.
- Retlig forpligtelse, litra c. Fx når arbejdsgiveren oplyser løn til skattemyndighederne.
- Legitim interesse, litra f. Kræver en afvejning. Datatilsynet vurderede i november 2025, at leverandører almindeligvis kan bruge reglen, når de giver ordregiver medarbejderoplysninger som dokumentation for arbejdsklausuler, medmindre særlige omstændigheder taler imod.
Kommer oplysningerne fra et andet formål, end de blev indsamlet til, skal I også vurdere, om videregivelsen er forenelig med det oprindelige formål, jf. art. 6, stk. 4, og databeskyttelseslovens § 5, stk. 2. Vigtige hensyn er forbindelsen mellem formålene, forholdet til personen og oplysningernes art.
De strengere regler
Tre typer kræver ekstra omtanke.
Strafbare forhold. Private må efter § 8, stk. 4, ikke videregive oplysningerne uden udtrykkeligt samtykke, medmindre det sker for at varetage interesser, der klart overstiger hensynet til hemmeligholdelse. Datatilsynet gav i 2023 alvorlig kritik til en butik, der mundtligt fortalte en persons chef, hvorfor personen var bortvist. Beskrivelsen af forholdet var ikke nødvendig. Sagen viser, at reglen også gælder en samtale.
Følsomme oplysninger. Art. 9 og § 7 kræver en særlig undtagelse. Ved referencer om tidligere ansatte siger ansættelsesvejledningen, at art. 9-oplysninger som udgangspunkt ikke kan videregives.
Personnummer. § 11, stk. 2, nr. 3, åbner for videregivelse, når en offentlig myndighed kræver det, og i en snæver situation, hvor nummeret er nødvendigt for entydig identifikation som led i branchens normale drift. Se CPR-numre i virksomheden.
Skal forbrugeres oplysninger gives til en anden virksomhed til direkte markedsføring, skal I først undersøge i CPR, om forbrugeren har frabedt sig det, jf. § 13.
Samarbejdspartnere
Bed om et svar på fire ting, før I sender noget.
- Hvem modtager oplysningerne, og hvilken virksomhed er det juridisk?
- Hvad skal oplysningerne bruges til?
- Hvilke oplysninger er nødvendige, og kan I nøjes med færre?
- Hvad er grundlaget, og hvor står det skrevet?
Listen er vores arbejdsredskab og ingen lovtekst. Fortrolige oplysninger følger desuden reglerne i CPR-nummer på mail.
Når politiet henvender sig
Vejledningen fra januar 2021 er tydelig. Beder politiet om oplysninger i en konkret efterforskning, kan I trygt imødekomme det, og det gælder også øvrige politimæssige opgaver som underretning af pårørende. I må gå ud fra, at anmodningen er berettiget, medmindre der er konkrete holdepunkter for andet.
- Begrundelse. I behøver ikke bede om supplerende oplysninger, og politiet kan ofte ikke give dem af hensyn til efterforskningen.
- Retskendelse. Det er politiets ansvar at overholde reglerne om kendelse. Er I i tvivl, kan I spørge sagsbehandleren og lægge svaret til grund.
- Mængden. En lang liste er ikke i sig selv et problem. Vejledningens eksempel har 160 kunder.
- Oplysningspligten. I skal normalt ikke orientere personen, når det ville forspilde politiets formål. Overvejer I at gøre det, så kontakt politiet først.
- TV-overvågning. Optagelser må gives til politiet i kriminalitetsopklarende øjemed, jf. § 4 c, stk. 1, nr. 3.
Vejledningen siger intet om, hvordan I sikrer jer, at henvendelsen reelt kommer fra politiet. Vores råd er at aftale, hvem hos jer der svarer, at få sagsbehandlerens navn og enhed og at ringe tilbage via politiets officielle nummer, hvis I er usikre.
Oplysningspligt og spor
Modtagere eller kategorier af modtagere skal stå i jeres oplysning til personen, jf. art. 13, stk. 1, litra e, og i fortegnelsen. Får nogen senere rettet eller slettet oplysninger, skal modtagerne efter art. 19 som hovedregel have besked.
Det kræver spor, og art. 5, stk. 2, forudsætter, at I kan vise, at reglerne er fulgt. Skriv derfor hver enkeltstående videregivelse ned i et kort notat eller en log: dato, modtager, hvilke oplysninger, grundlag og hvem der besluttede det. Det gælder også henvendelser fra politiet. Sker videregivelsen automatisk mellem systemer, er det opsætningen, I dokumenterer.
Det gør I nu
Lav en liste over de faste modtagere, og marker hver som databehandler eller selvstændigt dataansvarlig. Udpeg én person, der svarer på usædvanlige henvendelser. Er listen længere, end I kan vurdere selv, kan en GDPR-gennemgang sortere den, og skal I have løbende hjælp til den slags tvivl, står kriterierne under vælg en ekstern DPO.
Det skal I lade være med
- At sige nej til politiet af frygt for GDPR · rammerne er ganske vide.
- At fortælle om et strafbart forhold over telefonen · § 8, stk. 4, gælder også mundtligt.
- At kalde en selvstændig modtager for databehandler · aftalen ændrer ikke på rollen.
- At sende mere, end modtageren skal bruge · vurder hver oplysning for sig.
Det skal I kræve af den eksterne
- ☐ En sortering af jeres faste modtagere med begrundelse.
- ☐ En kort procedure for politi og andre myndigheder.
- ☐ Kontrol af, at modtagerne står i fortegnelse og oplysningstekster.
- ☐ Bistand i tvivlstilfælde, mens beslutningen bliver hos virksomheden.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 4, nr. 2, 9 og 10, art. 5, art. 6, art. 9, art. 13, art. 19 og art. 28.
- Databeskyttelsesloven, LBK nr. 289 af 8/3 2024: §§ 5, 7, 8, 11, 13 og 22.
- Datatilsynet: Udveksling af personoplysninger med politiet, januar 2021.
- TV-overvågningsloven, LBK nr. 182 af 24/2 2023: § 4 c.
- Datatilsynet: Vejledning om dataansvarlige og databehandlere: afsnit 3.1.
- Datatilsynet: Vejledning om databeskyttelse i ansættelsesforhold: referencer og afsnit 3.3.
- Datatilsynet: Købmand får alvorlig kritik for videregivelse, 25/9 2023.
- Datatilsynet: Videregivelse som dokumentation for arbejdsklausuler, 24/11 2025.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Dataansvarlig eller databehandler · Fælles dataansvar
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
