Ny udtalelse fra Artikel 29-gruppen om overholdelse af princippet om formålsbestemthed ved behandling af personoplysninger

Artikel 29-gruppen, som er nedsat i medfør af persondatadirektivet, har den 2. april 2013 udsendt en udtalelse om persondatadirektivets (og dermed i persondatalovens) princip om formålsbestemthed ved indsamling og efterfølgende behandling af personoplysninger (WP 203).

Udtalelsen indeholder anbefalinger til overholdelse af artikel 6, stk. (1), litra b) i persondatadirektivet, der er implementeret i persondatalovens § 5, stk. 2, som lyder:

"§ 5, stk. 2. Indsamling af oplysninger skal ske til udtrykkeligt angivne og saglige formål, og senere behandling må ikke være uforenelig med disse formål. Senere behandling af oplysninger, der alene sker i historisk, statistisk eller videnskabeligt øjemed, anses ikke for uforenelig med de formål, hvortil oplysningerne er indsamlet."

§ 5, stk. 2, betyder altså, at ved efterfølgende brug af personoplysninger til et andet formål end det formål, som oplysningerne oprindeligt blev indsamlet til, så har man som dataansvarlig pligt til at sikre, at det nye formål ikke er i strid med det oprindelige formål.

Bestemmelsen siger altså ikke, at man ikke senere må bruge personoplysningerne til andre/nye formål; det må man som udgangspunkt gerne. Men i en sådan situation skal den dataansvarlige overveje, om princippet om formålsbestemthed undtagelsesvist betyder, at man i den konkrete sag skal undlade at anvende personoplysningerne til det nye formål.

Artikel 29-gruppen peger på følgende nøglefaktorer for denne vurdering:

• Forholdet mellem det oprindelige formål med indsamlingen af personoplysningerne og det nye formål med den efterfølgende behandling af personoplysningerne
• Den kontekst, hvori personoplysningerne blev indsamlet, og de berørte personers rimelige forventninger til den efterfølgende brug af personoplysningerne
• Karakteren af de personoplysninger, som blev indhentet, samt betydningen af den videre behandling for de berørte personer
• Hvilke sikkerhedsforanstaltninger, som den dataansvarlige har truffet for at sikre en saglig behandling af personoplysningerne og for at forebygge utilsigtede følger for de berørte personer

Udtalelsen ændrer ikke på, at hovedreglen stadig er, at anvendelse af personoplysninger til nye formål kan finde sted, uden at dette strider mod persondatalovens § 5, stk. 2. Hvis man skal bruge personoplysninger til et nyt formål, som ligger langt fra det oprindelige formål, så bør man dog lige konsultere udtalelsen og Datatilsynets sparsomme praksis på området.

Læs Artikel 29-gruppens udtalelse her.