DA
Persondata

Har du orienteret alle på virksomhedens medieliste?

10. december 2018

Datatilsynet har for nyligt udtalt, at hvis der laves en medieliste, så skal persondatareglerne overholdes. Det betyder som udgangspunkt, at alle virksomheder med en liste over udvalgte journalister, skal i gang med at orientere journalisterne. Det gælder også, selv om der kun registreres navn og kontaktinformation.

Mange virksomheder med en kommunikations- eller markedsføringsafdeling har en form for medieliste. En medieliste er en liste indeholdende navne og kontaktoplysninger på journalister, og i nogle tilfælde også relevante oplysninger om de enkelte personer. Det kan være bestemte holdninger, personlige forhold eller vurderinger. Der kan også være tale om en liste over influencere eller bloggere, som er relevante i forhold til virksomhedens markedsføringstiltag.

Oplysninger på sådanne lister vil være personoplysninger, og så kommer persondataforordningen i spil.

Oplys om de personoplysninger, som virksomheden registrerer

Hvis en virksomhed registrerer personoplysninger, så skal personen, der registreres oplysninger om være oplyst om det. Sådan er det klare udgangspunkt i persondatareglerne.

Når en virksomhed har registreret oplysninger om navn og e-mail på en person, fx en journalist, som man har fundet frem til via offentligt tilgængelige kilder, så skal den journalist informeres efter oplysningspligten i forordningens artikel 14.

Det betyder, at der blandt andet skal oplyses om:

  • Hvem der indsamler oplysningerne
  • Hvad formålet og retsgrundlaget er for behandlingen
  • Hvilke kategorier af oplysninger der er tale om
  • Hvor oplysningerne hidrører fra, eventuel offentligt tilgængelige kilder
  • Hvem oplysningerne eventuelt videregives til, og om der sker overførsel til et tredjeland
  • Hvor længe oplysningerne opbevares
  • Hvilke rettigheder den registrerede har
  • Muligheden for at klage til en tilsynsmyndighed
  • Om der sker profilering, og betydningen og konsekvenserne heraf
  • Hvorvidt der er pligt til at give oplysninger, og eventuelle konsekvenser ved ikke at opgive dem.

Og det gælder altså som udgangspunkt, selvom der kun er registeret navn og e-mail. Nogle lister indeholder flere oplysninger, fx vurderinger, holdninger, personlige forhold mv. Eksempelvis har et kommunikationsbureau haft en liste med journalister og bloggere, hvor der blandt andet var oplysninger om personlige forhold som børn (alder og køn) og helbredsoplysninger (kræftsymptomer). I en sådan situation er der også tale om følsomme oplysninger, og man skal derfor være ekstra varsom, da der gælder særlige regler for behandling af sådanne oplysninger.

Hvornår behøver man ikke at oplyse?

Der gælder nogle generelle undtagelser til, hvornår der skal gives oplysninger til den registrerede. For eksempel hvis oplysningerne er omfattet af en lovbestemt tavshedspligt, eller hvis det er umuligt eller kræver uforholdsmæssig stor indsats at kontakte personen for at opfylde oplysningspligten. Der er tale om snævre undtagelser, som umiddelbart er svære at overføre til en medieliste.

Datatilsynet har dog udtalt, at de ”ikke udelukker”, at der kan være en undtagelse til oplysningskravet i bi-personreglen. I henhold til Datatilsynet kan denne regel anvendes, hvis en person ikke selv er den væsentlige i sammenhængen. Datatilsynet går endog skridtet videre, da de også mener, at reglen kan udvides til at omhandle personer, hvor man kan forvente, at de ingen interesse har i at blive bestormet med underretninger. Datatilsynet bruger Lars Løkke Rasmussen som eksempel på, hvornår man kan benytte undtagelsen: ”Hvis han skulle underrettes hver gang nogen udveksler oplysninger om ham, kunne han ikke lave andet end at læse mails.”

For at anvende reglen skal man foretage en afvejning af, hvad oplysningen betyder for den person, som er på listen over for den indsats, det kræver at orientere personen. Datatilsynet har understreget, at det er den dataansvarliges ansvar at have grundlaget på plads, og at udgangspunktet altså er, at man skal orientere den person, man registrerer oplysninger om

IUNO mener

Udgangspunktet er, at medielister er omfattet af persondatareglerne, og generelt skal der meget til, før man kan støtte ret på undtagelserne. Så skal man være helt sikker på, at persondatareglerne overholdes, så bør alle personer på eventuelle lister være orienteret om, at de figurerer på en liste – uanset hvad der registreres.

IUNO anbefaler, at man i forbindelse med et compliancetjek også husker at kigge på kommunikations- eller markedsføringsafdelingen, og at man får styr på eventuelle lister.

Mange virksomheder med en kommunikations- eller markedsføringsafdeling har en form for medieliste. En medieliste er en liste indeholdende navne og kontaktoplysninger på journalister, og i nogle tilfælde også relevante oplysninger om de enkelte personer. Det kan være bestemte holdninger, personlige forhold eller vurderinger. Der kan også være tale om en liste over influencere eller bloggere, som er relevante i forhold til virksomhedens markedsføringstiltag.

Oplysninger på sådanne lister vil være personoplysninger, og så kommer persondataforordningen i spil.

Oplys om de personoplysninger, som virksomheden registrerer

Hvis en virksomhed registrerer personoplysninger, så skal personen, der registreres oplysninger om være oplyst om det. Sådan er det klare udgangspunkt i persondatareglerne.

Når en virksomhed har registreret oplysninger om navn og e-mail på en person, fx en journalist, som man har fundet frem til via offentligt tilgængelige kilder, så skal den journalist informeres efter oplysningspligten i forordningens artikel 14.

Det betyder, at der blandt andet skal oplyses om:

  • Hvem der indsamler oplysningerne
  • Hvad formålet og retsgrundlaget er for behandlingen
  • Hvilke kategorier af oplysninger der er tale om
  • Hvor oplysningerne hidrører fra, eventuel offentligt tilgængelige kilder
  • Hvem oplysningerne eventuelt videregives til, og om der sker overførsel til et tredjeland
  • Hvor længe oplysningerne opbevares
  • Hvilke rettigheder den registrerede har
  • Muligheden for at klage til en tilsynsmyndighed
  • Om der sker profilering, og betydningen og konsekvenserne heraf
  • Hvorvidt der er pligt til at give oplysninger, og eventuelle konsekvenser ved ikke at opgive dem.

Og det gælder altså som udgangspunkt, selvom der kun er registeret navn og e-mail. Nogle lister indeholder flere oplysninger, fx vurderinger, holdninger, personlige forhold mv. Eksempelvis har et kommunikationsbureau haft en liste med journalister og bloggere, hvor der blandt andet var oplysninger om personlige forhold som børn (alder og køn) og helbredsoplysninger (kræftsymptomer). I en sådan situation er der også tale om følsomme oplysninger, og man skal derfor være ekstra varsom, da der gælder særlige regler for behandling af sådanne oplysninger.

Hvornår behøver man ikke at oplyse?

Der gælder nogle generelle undtagelser til, hvornår der skal gives oplysninger til den registrerede. For eksempel hvis oplysningerne er omfattet af en lovbestemt tavshedspligt, eller hvis det er umuligt eller kræver uforholdsmæssig stor indsats at kontakte personen for at opfylde oplysningspligten. Der er tale om snævre undtagelser, som umiddelbart er svære at overføre til en medieliste.

Datatilsynet har dog udtalt, at de ”ikke udelukker”, at der kan være en undtagelse til oplysningskravet i bi-personreglen. I henhold til Datatilsynet kan denne regel anvendes, hvis en person ikke selv er den væsentlige i sammenhængen. Datatilsynet går endog skridtet videre, da de også mener, at reglen kan udvides til at omhandle personer, hvor man kan forvente, at de ingen interesse har i at blive bestormet med underretninger. Datatilsynet bruger Lars Løkke Rasmussen som eksempel på, hvornår man kan benytte undtagelsen: ”Hvis han skulle underrettes hver gang nogen udveksler oplysninger om ham, kunne han ikke lave andet end at læse mails.”

For at anvende reglen skal man foretage en afvejning af, hvad oplysningen betyder for den person, som er på listen over for den indsats, det kræver at orientere personen. Datatilsynet har understreget, at det er den dataansvarliges ansvar at have grundlaget på plads, og at udgangspunktet altså er, at man skal orientere den person, man registrerer oplysninger om

IUNO mener

Udgangspunktet er, at medielister er omfattet af persondatareglerne, og generelt skal der meget til, før man kan støtte ret på undtagelserne. Så skal man være helt sikker på, at persondatareglerne overholdes, så bør alle personer på eventuelle lister være orienteret om, at de figurerer på en liste – uanset hvad der registreres.

IUNO anbefaler, at man i forbindelse med et compliancetjek også husker at kigge på kommunikations- eller markedsføringsafdelingen, og at man får styr på eventuelle lister.

Modtag vores nyhedsbrev

Anders

Etgen Reitz

Partner

Kirsten

Astrup

Advokatfuldmægtig

Lignende nyt

logo
Persondata

24. maj 2019

Må virksomheder overvåge, om medarbejderne overholder persondatareglerne?

logo

12. april 2019

Manglende træning af virksomhedens medarbejdere kan udløse bøder

logo

22. februar 2019

Er vikarer og konsulenter databehandlere?

logo
Persondata

28. januar 2019

Uklart samtykke og manglende gennemsigtighed koster dyrt

logo
Persondata Corporate

22. januar 2019

Har din virksomhed styr på persondata inden revisionen?

logo

18. januar 2019

Husk oplysningspligten

Events

logo
HR-jura Persondata
17. januar 2018

Morgenmøde om den nye persondataforordning

logo
HR-jura Persondata
17. januar 2018

Morgenmøde om den nye persondataforordning (webinar)

logo
HR-jura Persondata
10. november 2015

Morgenmøde om persondata

logo
HR-jura Persondata
11. november 2014

Nordic Seminar i København om privacy og databeskyttelse i de nordiske lande

logo
HR-jura Persondata
25. april 2012

Morgenmøde om HR-persondataret

// COOKIE INFORMATION POPUP SCRIPT