Datatilsynet indledte i 2021 på baggrund af en borgerhenvendelse en undersøgelse af egen drift af Statens Serum Instituts (SSI) opfyldelse af oplysningspligten i følgende tilfælde:
- når SSI modtager blodprøver mv. fra regionerne med henblik på analyse, og
- når SSI beslutter at gemme restmateriale i Danmarks Nationale Biobank.
SSI har til sagen oplyst, at selv om instituttet kan underrette registrerede ved brug af digital eller fysisk post, vil dette kræve en uforholdsmæssigt stor indsats i form af store administrative og økonomiske omkostninger. I den forbindelse har SSI henvist til bl.a., at instituttet behandler oplysninger om et stort antal registrerede, at instituttet på nuværende tidspunkt ikke har et system, som kan foretage automatisk underretning af de registrerede, og at instituttet har etableret visse kompensatoriske foranstaltninger ved at oplyse om behandlingen på sin hjemmeside og på Danmarks Nationale Biobanks hjemmeside.
Datatilsynet fandt – efter behandling af sagen i Datarådet – at SSI ikke kan undlade at opfylde sin oplysningspligt med henvisning til, at det vil kræve en uforholdsmæssigt stor indsats.
I den forbindelse lagde Datatilsynet vægt på bl.a., at oplysningspligten er central for at sikre gennemsigtighed ved behandling af personoplysninger og for skabe et tillidsforhold mellem den dataansvarlige og de registrerede.
Derudover bemærkede Datatilsynet, at det er en forudsætning for at undlade at opfylde sin oplysningspligt med henvisning til, at det vil kræve en uforholdsmæssigt stor indsats, at den uforholdsmæssigt store indsats er foranlediget af eller forbundet med den omstændighed, at oplysningerne ikke er indsamlet hos den registrerede. I så fald vil den dataansvarlige være i en anden og – efter omstændighederne – mindre velegnet position til at underrette en registreret end en dataansvarlig, som har indsamlet oplysningerne direkte fra den registrerede.
SSI’s vanskeligheder med at opfylde oplysningspligten er imidlertid ikke foranlediget af den omstændighed, at SSI ikke har indsamlet oplysningerne direkte fra de registrerede. Vanskelighederne skyldes derimod, at instituttet på nuværende tidspunkt ikke har indrettet sit system på en sådan måde, at processen i forbindelse med opfyldelse af oplysningspligten lettes, eksempelvis ved brug af automatiserede processer.
Datatilsynet har derfor anmodet SSI om en redegørelse for, hvad instituttet vil foretage sig med henblik på at opfylde sin oplysningspligt.
SSI har efterfølgende anmodet Datatilsynet om genoptagelse af sagen med henvisning til en nærmere beskrivelse af ressourceforbruget. Henvendelsen gav ikke Datatilsynet grundlag for at genoptage sagen, og tilsynet afventer derfor på nuværende tidspunkt SSI’s redegørelse for, hvordan instituttet fremadrettet vil opfylde sin oplysningspligt.
Vil du vide mere?
Læs afgørelsen her.
Læs Datatilsynets brev til SSI angående anmodning om genoptagelse af sagen.
Læs mere om de registreredes rettigheder, herunder oplysningspligten her.