Persondata

Har du orienteret alle på virksomhedens medieliste?

10. december 2018

Datatilsynet har for nyligt udtalt, at hvis der laves en medieliste, så skal persondatareglerne overholdes. Det betyder som udgangspunkt, at alle virksomheder med en liste over udvalgte journalister, skal i gang med at orientere journalisterne. Det gælder også, selv om der kun registreres navn og kontaktinformation.

Mange virksomheder med en kommunikations- eller markedsføringsafdeling har en form for medieliste. En medieliste er en liste indeholdende navne og kontaktoplysninger på journalister, og i nogle tilfælde også relevante oplysninger om de enkelte personer. Det kan være bestemte holdninger, personlige forhold eller vurderinger. Der kan også være tale om en liste over influencere eller bloggere, som er relevante i forhold til virksomhedens markedsføringstiltag.

Oplysninger på sådanne lister vil være personoplysninger, og så kommer persondataforordningen i spil.

Oplys om de personoplysninger, som virksomheden registrerer

Hvis en virksomhed registrerer personoplysninger, så skal personen, der registreres oplysninger om være oplyst om det. Sådan er det klare udgangspunkt i persondatareglerne.

Når en virksomhed har registreret oplysninger om navn og e-mail på en person, fx en journalist, som man har fundet frem til via offentligt tilgængelige kilder, så skal den journalist informeres efter oplysningspligten i forordningens artikel 14.

Det betyder, at der blandt andet skal oplyses om:

  • Hvem der indsamler oplysningerne
  • Hvad formålet og retsgrundlaget er for behandlingen
  • Hvilke kategorier af oplysninger der er tale om
  • Hvor oplysningerne hidrører fra, eventuel offentligt tilgængelige kilder
  • Hvem oplysningerne eventuelt videregives til, og om der sker overførsel til et tredjeland
  • Hvor længe oplysningerne opbevares
  • Hvilke rettigheder den registrerede har
  • Muligheden for at klage til en tilsynsmyndighed
  • Om der sker profilering, og betydningen og konsekvenserne heraf
  • Hvorvidt der er pligt til at give oplysninger, og eventuelle konsekvenser ved ikke at opgive dem.

Og det gælder altså som udgangspunkt, selvom der kun er registeret navn og e-mail. Nogle lister indeholder flere oplysninger, fx vurderinger, holdninger, personlige forhold mv. Eksempelvis har et kommunikationsbureau haft en liste med journalister og bloggere, hvor der blandt andet var oplysninger om personlige forhold som børn (alder og køn) og helbredsoplysninger (kræftsymptomer). I en sådan situation er der også tale om følsomme oplysninger, og man skal derfor være ekstra varsom, da der gælder særlige regler for behandling af sådanne oplysninger.

Hvornår behøver man ikke at oplyse?

Der gælder nogle generelle undtagelser til, hvornår der skal gives oplysninger til den registrerede. For eksempel hvis oplysningerne er omfattet af en lovbestemt tavshedspligt, eller hvis det er umuligt eller kræver uforholdsmæssig stor indsats at kontakte personen for at opfylde oplysningspligten. Der er tale om snævre undtagelser, som umiddelbart er svære at overføre til en medieliste.

Datatilsynet har dog udtalt, at de ”ikke udelukker”, at der kan være en undtagelse til oplysningskravet i bi-personreglen. I henhold til Datatilsynet kan denne regel anvendes, hvis en person ikke selv er den væsentlige i sammenhængen. Datatilsynet går endog skridtet videre, da de også mener, at reglen kan udvides til at omhandle personer, hvor man kan forvente, at de ingen interesse har i at blive bestormet med underretninger. Datatilsynet bruger Lars Løkke Rasmussen som eksempel på, hvornår man kan benytte undtagelsen: ”Hvis han skulle underrettes hver gang nogen udveksler oplysninger om ham, kunne han ikke lave andet end at læse mails.”

For at anvende reglen skal man foretage en afvejning af, hvad oplysningen betyder for den person, som er på listen over for den indsats, det kræver at orientere personen. Datatilsynet har understreget, at det er den dataansvarliges ansvar at have grundlaget på plads, og at udgangspunktet altså er, at man skal orientere den person, man registrerer oplysninger om

IUNO mener

Udgangspunktet er, at medielister er omfattet af persondatareglerne, og generelt skal der meget til, før man kan støtte ret på undtagelserne. Så skal man være helt sikker på, at persondatareglerne overholdes, så bør alle personer på eventuelle lister være orienteret om, at de figurerer på en liste – uanset hvad der registreres.

IUNO anbefaler, at man i forbindelse med et compliancetjek også husker at kigge på kommunikations- eller markedsføringsafdelingen, og at man får styr på eventuelle lister.

Mange virksomheder med en kommunikations- eller markedsføringsafdeling har en form for medieliste. En medieliste er en liste indeholdende navne og kontaktoplysninger på journalister, og i nogle tilfælde også relevante oplysninger om de enkelte personer. Det kan være bestemte holdninger, personlige forhold eller vurderinger. Der kan også være tale om en liste over influencere eller bloggere, som er relevante i forhold til virksomhedens markedsføringstiltag.

Oplysninger på sådanne lister vil være personoplysninger, og så kommer persondataforordningen i spil.

Oplys om de personoplysninger, som virksomheden registrerer

Hvis en virksomhed registrerer personoplysninger, så skal personen, der registreres oplysninger om være oplyst om det. Sådan er det klare udgangspunkt i persondatareglerne.

Når en virksomhed har registreret oplysninger om navn og e-mail på en person, fx en journalist, som man har fundet frem til via offentligt tilgængelige kilder, så skal den journalist informeres efter oplysningspligten i forordningens artikel 14.

Det betyder, at der blandt andet skal oplyses om:

  • Hvem der indsamler oplysningerne
  • Hvad formålet og retsgrundlaget er for behandlingen
  • Hvilke kategorier af oplysninger der er tale om
  • Hvor oplysningerne hidrører fra, eventuel offentligt tilgængelige kilder
  • Hvem oplysningerne eventuelt videregives til, og om der sker overførsel til et tredjeland
  • Hvor længe oplysningerne opbevares
  • Hvilke rettigheder den registrerede har
  • Muligheden for at klage til en tilsynsmyndighed
  • Om der sker profilering, og betydningen og konsekvenserne heraf
  • Hvorvidt der er pligt til at give oplysninger, og eventuelle konsekvenser ved ikke at opgive dem.

Og det gælder altså som udgangspunkt, selvom der kun er registeret navn og e-mail. Nogle lister indeholder flere oplysninger, fx vurderinger, holdninger, personlige forhold mv. Eksempelvis har et kommunikationsbureau haft en liste med journalister og bloggere, hvor der blandt andet var oplysninger om personlige forhold som børn (alder og køn) og helbredsoplysninger (kræftsymptomer). I en sådan situation er der også tale om følsomme oplysninger, og man skal derfor være ekstra varsom, da der gælder særlige regler for behandling af sådanne oplysninger.

Hvornår behøver man ikke at oplyse?

Der gælder nogle generelle undtagelser til, hvornår der skal gives oplysninger til den registrerede. For eksempel hvis oplysningerne er omfattet af en lovbestemt tavshedspligt, eller hvis det er umuligt eller kræver uforholdsmæssig stor indsats at kontakte personen for at opfylde oplysningspligten. Der er tale om snævre undtagelser, som umiddelbart er svære at overføre til en medieliste.

Datatilsynet har dog udtalt, at de ”ikke udelukker”, at der kan være en undtagelse til oplysningskravet i bi-personreglen. I henhold til Datatilsynet kan denne regel anvendes, hvis en person ikke selv er den væsentlige i sammenhængen. Datatilsynet går endog skridtet videre, da de også mener, at reglen kan udvides til at omhandle personer, hvor man kan forvente, at de ingen interesse har i at blive bestormet med underretninger. Datatilsynet bruger Lars Løkke Rasmussen som eksempel på, hvornår man kan benytte undtagelsen: ”Hvis han skulle underrettes hver gang nogen udveksler oplysninger om ham, kunne han ikke lave andet end at læse mails.”

For at anvende reglen skal man foretage en afvejning af, hvad oplysningen betyder for den person, som er på listen over for den indsats, det kræver at orientere personen. Datatilsynet har understreget, at det er den dataansvarliges ansvar at have grundlaget på plads, og at udgangspunktet altså er, at man skal orientere den person, man registrerer oplysninger om

IUNO mener

Udgangspunktet er, at medielister er omfattet af persondatareglerne, og generelt skal der meget til, før man kan støtte ret på undtagelserne. Så skal man være helt sikker på, at persondatareglerne overholdes, så bør alle personer på eventuelle lister være orienteret om, at de figurerer på en liste – uanset hvad der registreres.

IUNO anbefaler, at man i forbindelse med et compliancetjek også husker at kigge på kommunikations- eller markedsføringsafdelingen, og at man får styr på eventuelle lister.

Modtag vores nyhedsbrev

Anders

Etgen Reitz

Partner

Pia

Mark

Advokat

Kirsten

Astrup

Advokatfuldmægtig

Lignende nyt

logo
Persondata

8. januar 2019

Behandling af persondata i frivillige foreninger

EU-Kommissionen fremlægger nødplan for ”no-deal” Brexit

logo
Persondata

17. december 2018

Sender du stadig oplysninger ukrypteret?

logo
Persondata

13. december 2018

Databeskyttelse og hjemmearbejde

logo
Persondata

6. december 2018

Ny vejledning om databeskyttelse i ansættelsesforhold

logo
HR-jura Persondata

19. november 2018

Persondataforordningen: Skal mindre virksomheder også føre fortegnelser?

Events

logo
Persondata
15. januar 2020

Updated-morgenmøde d. 15. januar

logo
Persondata
15. januar 2020

Updated-morgenmøde d. 15. januar (Webinar)

logo
Persondata
13. november 2019

Updated-morgenmøde d. 13. november

logo
Persondata
13. november 2019

Updated-morgenmøde d. 13. november (Webinar)

logo
Persondata
18. september 2019

Updated-morgenmøde d. 18. september

logo
Persondata
18. september 2019

Updated-morgenmøde d. 18. september (Webinar)