Retsudvalget 2019-20
REU Alm.del
Offentligt
2182581_0001.png
Folketinget Retsudvalget
Christiansborg
1240 København K
DK Danmark
Dato:
Kontor:
Sagsbeh:
Sagsnr.:
Dok.:
28. april 2020
Databeskyttelseskontoret
Emilie Liv Loiborg
2020-0030-4012
1452009
Hermed sendes besvarelse af spørgsmål nr. 1149 (Alm. del), som Folketin-
gets Retsudvalg har stillet til justitsministeren den 2. april. Spørgsmålet er
stillet efter ønske fra ikkemedlem af udvalget (MFU) Eva Kjer Hansen (V).
Nick Hækkerup
/
Mie Vinkel Sørensen
Slotsholmsgade 10
1216 København K.
T +45 7226 8400
F +45 3393 3510
www.justitsministeriet.dk
[email protected]
REU, Alm.del - 2019-20 - Endeligt svar på spørgsmål 1149: MFU spm. om hvilken form for beskyttelse af data, der er tale om i sagen med møbelkæden Ilva, hvor møbelkæden har opbevaret et ældre kundekartotek med kundeoplysninger og kvitteringer, til justitsministeren
Spørgsmål nr. 1149 (Alm. del) fra Folketingets Retsudvalg:
”Vil ministeren redegøre for, hvilken form for beskyttelse af
data, der er tale om i sagen med møbelkæden Ilva, hvor mø-
belkæden har opbevaret et ældre kundekartotek med kundeop-
lysninger og kvitteringer, og kan ministeren i forlængelse heraf
redegøre for, om det kan være en fordel for kunderne, at butikker
opbevarer ældre kundekartoteker og kvitteringer på vegne af de-
res kunder?”
Svar:
1.
Det fremgår af Datatilsynets pressemeddelelse af 11. juni 2019, som er
offentliggjort på tilsynets hjemmeside, at sagen bl.a. drejer sig om, at IDde-
sign (Ilva) ikke har forholdt sig til, hvornår personoplysninger i et gammelt
system ikke længere er nødvendige til de formål, hvortil de behandles. Virk-
somheden havde hverken fastlagt hvilke frister, der skal gælde for sletning
af de personoplysninger, der behandles i systemet, eller reelt foretaget slet-
ning af de pågældende personoplysninger, når de ikke længere var nødven-
dige at behandle.
2.
Justitsministeriet har til brug for besvarelsen af spørgsmålet indhentet en
udtalelse fra Datatilsynet, der generelt har oplyst følgende:
”Der er som udgangspunkt ikke i forhold til de databeskyttel-
sesretlige regler noget til hinder for, at virksomheder gemmer
kundeoplysninger og kvitteringer i en længere periode med hen-
blik på f. eks at overholde bogføringsloven og/eller at give kun-
derne muligheder for at reklamere eller lignende. I sådanne til-
fælde skal virksomhederne imidlertid bl.a. sikre sig:
- at der er det fornødne hjemmelsgrundlag for behandlingen
(f.eks. kundens samtykke),
- at oplysningerne i øvrigt behandles lovligt, rimeligt og på en
gennemsigtig måde i forhold til kunderne,
- at behandlingen af oplysninger sker til udtrykkeligt angivne og
legitime formål,
- at reglerne om oplysningspligt iagttages med henblik på at
sikre, at det også for kunderne er klart, at virksomheden behand-
ler oplysninger til de pågældende formål,
- at der er fastsat udtrykkelige frister for, hvornår oplysningerne
skal slettes og
- at oplysningerne i praksis slettes i overensstemmelse de fast-
satte slettefrister.
For så vidt angår sletning af personoplysninger følger det af da-
tabeskyttelsesforordningens artikel 5, stk. 1, litra e, at personop-
2
REU, Alm.del - 2019-20 - Endeligt svar på spørgsmål 1149: MFU spm. om hvilken form for beskyttelse af data, der er tale om i sagen med møbelkæden Ilva, hvor møbelkæden har opbevaret et ældre kundekartotek med kundeoplysninger og kvitteringer, til justitsministeren
lysninger skal opbevares på en sådan måde, at det ikke er muligt
at identificere de registrerede i et længere tidsrum end det, der
er nødvendigt til de formål, hvortil de pågældende personoplys-
ninger behandles. Dette betyder med andre ord, at personoplys-
ninger (f.eks. kundeoplysninger) skal slettes eller anonymiseres,
når de ikke længere er nødvendige for den dataansvarlige (f.eks.
en virksomhed).
Det er som udgangspunkt den dataansvarlige, der – på baggrund
af formålene med behandlingen af personoplysninger – skal vur-
dere, hvornår personoplysningerne skal slettes. De fastsatte slet-
tefrister kan dog altid efterprøves af Datatilsynet.
Det er således vigtigt, at den dataansvarlige aktivt tager stilling
til, hvornår oplysninger skal slettes, og at den dataansvarlige i
øvrigt kan påvise (dokumentere), at der er fastsat sådanne slet-
tefrister. Hertil kommer, at den dataansvarlige også skal sikre,
at der rent faktisk foretages sletning af personoplysningerne i
overensstemmelse med de fastsatte frister.”
Det fremgår således af Datatilsynets udtalelse, at de databeskyttelsesretlige
regler som udgangspunkt ikke er til hinder for en opbevaring af kundeop-
lysninger med henblik på f.eks. at give kunderne muligheder for at rekla-
mere.
Der henvises i øvrigt til den samtidige besvarelse af REU spørgsmål nr.
1150 (Alm. del).
3