Genvejsmenu:
S - Indhold
1 - Forside
2 - Nyheder
3 - Oversigt
4 - Søg

Geografisk anvendelsesområde

Dataansvarlige, der er etableret i Danmark

Hvis behandlingen af oplysninger udføres for en dataansvarlig, som etableret her i landet, vil persondataloven som regel gælde. Dette følger af lovens § 4, stk. 1. Det er dog en betingelse, at aktiviteterne finder sted inden for Det Europæiske Fællesskabs område.

Det er uden betydning, hvilken nationalitet den registrerede har, og hvor den pågældende bor eller opholder sig.

Det afgørende er, at den dataansvarlige er etableret i Danmark, og ikke hvor behandlingen sker. Selv om den dataansvarlige benytter et edb-servicebureau eller en databehandler i et andet EU-land eller i et tredjeland, er det den danske lov, der gælder, når den dataansvarlige er etableret i Danmark. Dog skal databehandlingen have tilknytning til aktiviteter på Det Europæiske Fællesskabs område.

Etablering foreligger kort fortalt, når der er tale om faktisk udøvelse af aktiviteter gennem en mere permanent struktur. Det kan f.eks. være aktiviteter, der udøves af en filial eller et datterselskab med status som juridisk person (se evt. betragtning 19 i direktivets præampel).

Dataansvarlige, der er etableret i andre EU-lande

Hvis en dataansvarlig, der ikke er etableret i Danmark men i en anden medlemsstat, udøver aktiviteter på dansk område, er det ikke persondataloven men det pågældende EU-lands lov, der gælder. Alle EU-lande har pligt til at have en lovgivning, der lever op til databeskyttelsesdirektivet (95/46/EF). Norge og Island har også en sådan lovgivning og er i denne sammenhæng ligestillede med EU-landene.

Hvis en dataansvarlig, der er etableret i et andet EU-land, benytter et edb-servicebueau eller en databehandler i Danmark, finder loven som sådan ikke anvendelse. Men reglen i persondatalovens § 41, stk. 3, medfører, at lovens sikkerhedsregler gælder for databehandleren.

Dataansvarlige, der er etableret i tredjelande

Persondataloven finder ifølge § 4, stk. 3, anvendelse, hvis:

  • Den dataansvarlige er etableret i et tredjeland, og
    behandlingen af oplysninger sker under benyttelse af hjælpemidler, der befinder sig i Danmark, medmindre hjælpemidlerne kun benyttes med henblik på forsendelse af oplysninger gennem Det Europæiske Fællesskabs område.
  • Loven finder endvidere anvendelse, hvis indsamling af oplysninger i Danmark sker med henblik på behandling i et tredjeland.

I de tilfælde, hvor der anvendes hjælpemidler her i landet, skal den dataansvarlige udpege en repræsentant, som er etableret i Danmark, jf. § 4, stk. 4, og underrette Datatilsynet om, hvem der er udpeget som repræsentant.

Som eksempel på et hjælpemiddel er i forarbejderne til loven nævnt teknisk udstyr. Det er uden betydning, om det er EDB-baseret eller ej.

Dette indebærer, at hvis en dataansvarlig, der er etableret i et tredjeland, benytter et edb-servicebureau eller en databehandler i Danmark, gælder persondataloven. Persondataloven vil dog kun gælde for den faktiske behandling, der finder sted her i landet.

I denne sammenhæng vil blandt andet kravene til datasikkerhed og reglerne om anmeldelse være relevante.

Eksempler

Datatilsynets praksis på dette områder er endnu sparsom. Tilsynet håber senere at kunne belyse reglernes rækkevidde med flere konkrete eksempler.

A. Er der f.eks. tale om et moderselskab etableret i Danmark med datterselskaber etableret i lande inden for det Europæiske Fællesskabs område, vil de selvstændige behandlinger, som datterselskaberne er dataansvarlige for, alene være omfattet af det pågældende EU-lands lovgivning. Dette vil gøre sig gældende uanset, at der udføres driftsafvikling i Danmark.

B. Har det danske moderselskab datterselskaber, som er etableret i tredjelande, og foretager det danske moderselskab databehandlinger for disse datterselskaber, herunder eksempelvis driftsafvikling, vil persondataloven finde anvendelse i det omfang, der anvendes hjælpemidler til databehandlingen. Persondataloven vil dog kun gælde for den faktiske behandling, der finder sted her i landet.

C. Det danske moderselskabs egne behandlinger af personoplysninger modtaget fra datterselskaber etableret enten indenfor Det Europæiske Fællesskabs område eller i tredjelande, vil være omfattet af persondataloven. Der er her tale om behandlinger, som moderselskabet er dataansvarlig for. Loven gælder dog kun for den faktiske behandling, der foretages af moderselskabet indenfor Det Europæiske Fællesskabs område.

D. Et kontaktbureau indsamler oplysninger i Danmark via internettet. Den anvendte hjemmeside fremstår med et dansk domænenavn, og teksten på siden er delvist dansk. Endvidere bliver der fra siden henvist til telefonnumre i Danmark. Bureauet bliver drevet af en thailandsk forretning med adresse i Thailand, hvor alle data og registre befinder sig. Fra en adresse i Danmark bliver indkommet post videreformidlet, og den danske adresse står for betalingen. Datatilsynet har lagt til grund, at persondataloven gælder for kontaktbureauets aktiviteter i Danmark. Da bureauet behandler oplysninger omfattet af persondatalovens § 7 og § 8 (følsomme oplysninger), skal kontaktbureauet foretage anmeldelse til Datatilsynet og have tilladelse til behandlingerne fra tilsynet.

E. Hvis et svensk selskab etablerer en filial (i selskabsretlig forstand) i Danmark, er selskabet etableret både i Sverige (selskabet) og i Danmark (filialen). Selskabet  vil nu være undergivet den danske persondatalov for så vidt angår den behandling af personoplysninger, som udføres for den danske filial, uanset om selve behandlingen sker i Sverige eller Danmark.

F. Hvis et svensk selskab har etableret en filial i Danmark, som kun behandler oplysninger på vegne af det svenske selskab, er det svenske selskab dataansvarlig, og filialen kan betragtes som databehandler. I sådanne tilfælde skal filialen kun overholde persondatalovens kapitel 11 om sikkerhed. Behandlingerne vil i øvrigt være omfattet af svensk lovgivning.

G. Hvis et svensk medicinalfirma eller et svensk datterselskab af et dansk medicinalfirma er dataansvarlig for et forsknings- eller statistik-projekt, hvori der deltager danske afdelinger/centre, eller hvor der indhentes oplysninger fra danske registre, skal projektet ikke anmeldes til Datatilsynet men eventuelt til de svenske databeskyttelsesmyndigheder. Dette gælder, selvom projektet eventuelt skal have tilladelse fra det danske videnskabsetiske komitésystem.

H. Hvis et dansk firma, der sælger varer til personer f.eks. via postordre, har kunder i andre lande, er oplysningerne om disse kunder omfattet af den danske persondatalov. Persondatalovens regler om anvendelse af oplysninger om forbrugere til markedsføring på vegne af andre virksomheder og om videregivelse til andre virksomheder med dette formål skal iaggtages - uanset om den anden virksomhed, som der er tale om at anvende oplysningerne til markedsføring på vegne af eller at videregive oplysningerne til, befinder sig i Danmark eller i et andet land.