28 nov 2019

Datatilsynet: Ændring i fremtidig behandling af følsomme personoplysninger

Datatilsynet offentliggjorde i starten af november, at al fremtidig behandling af følsomme personoplysninger kun må ske, hvis retsgrundlaget for behandlingen er begrundet i persondataforordningens artikel 9, stk. 2 og artikel 6.

Ændringerne i Datatilsynets opfattelse af behandling af følsomme personoplysninger

Det har hidtil været Datatilsynets opfattelse, at du som dataansvarlig, der behandler følsomme personoplysninger, kun har behov for et behandlingsgrundlag efter undtagelserne i persondataforordningens artikel 9, stk. 2.

Denne opfattelse ændres fremadrettet, idet Datatilsynet har vurderet, at den nuværende opfattelse reelt set ikke er i overensstemmelse med de gældende principper i persondataforordningen. Datatilsynets vurdering sker blandt andet på baggrund af en række vejledninger fra Det Europæiske Databeskyttelsesråd samt en række afsagte domme fra EU-Domstolen, hvor der blandt andet fra EU's side er lagt vægt på, at behandlingsgrundlaget for følsomme personoplysninger både angår artikel 9, stk. 2 og artikel 6.

På baggrund af dette mener Datatilsynet, at du som dataansvarlig kun må behandle følsomme personoplysninger, hvis behandlingsgrundlaget herfor udgør en af undtagelserne i artikel 9, stk. 2 eller øvrige bestemmelser, der gennemfører artikel 9 samt udgør et lovligt grundlag efter artikel 6.

Hvad får de nye ændringer af betydning for din virksomhed?

Datatilsynet kan ikke afvise, at der vil være dataansvarlige, som skal foretage visse ændringer i deres databeskyttelsesretlige dokumenter, herunder persondatapolitikker, oplysningsskrivelser og fortegnelser, som følge af den ændrede retsopfattelse. Det er dog Datatilsynets opfattelse, at de fleste dataansvarlige, der behandler følsomme personoplysninger, i forvejen også behandler almindelige personoplysninger, hvorfor de (formentlig) allerede har et retligt behandlingsgrundlag herfor efter både forordningens artikel 9, stk. 2 og artikel 6.

Det forventes ikke, at du som dataansvarlig – som følge af den ændrede retsopfattelse – genåbner alle databeskyttelsesretlige dokumenter, herunder fortegnelsen, for at tilrette disse den fremtidige retsopfattelse, men det forventes dog, at dette sker løbende, i takt med at dokumenterne alligevel skal justeres eller ajourføres.

Er du i tvivl om, hvorvidt du behandler følsomme personoplysninger efter det rigtige behandlingsgrundlag, er du altid velkommen til at kontakte vores advokater med speciale i persondataret.

Tak for din henvendelse

Vi har sendt dig en kvittering via mail og kontakter dig hurtigst muligt.

Er du i tvivl om, hvorvidt du behandler følsomme personoplysninger efter det rigtige behandlingsgrundlag?

Vores advokater står klar til at hjælpe

Vil du vide mere, eller har du brug for hjælp, så udfyld felterne. Så kontakter vi dig hurtigst muligt.

Vi anbefaler, at du ikke indtaster nogle følsomme personoplysninger (f.eks. helbredsoplysninger) eller cpr. nr. i kontaktformularen.