Artikel 14 gælder, når du får personoplysninger fra andre end personen selv. Det kan være en arbejdsgiver, samarbejdspartner, offentlig kilde eller leverandør af kontaktdata. Du skal som dataansvarlig vurdere, hvilke oplysninger personen skal modtage, hvornår de skal gives, og om en konkret undtagelse faktisk finder anvendelse.
En leverandørs besked om, at data er lovligt indsamlet, dokumenterer ikke automatisk din egen oplysningspligt. Denne guide viser et udfyldt eksempel med en serviceleverandør, der får kontaktoplysninger fra en kundes arbejdsgiver. Eksemplet omfatter både tidsplan, indhold og bevis for levering.
Find den konkrete kilde og behandling
Stammer oplysningerne fra en intern whistleblowerordning, skal ordningens særlige fortrolighed og adgangsregler undersøges. De kan have betydning for oplysningspligten; en almindelig artikel 14-skabelon bør ikke sendes uden denne afklaring.
Den fiktive virksomhed Hede Service skal gennemføre et teknisk servicebesøg hos Skovkontor. Kundens driftschef sender navn, arbejdsmail, direkte telefonnummer og arbejdssted for tre medarbejdere, som skal hjælpe med adgang til lokalerne. Hede Service bliver dataansvarlig for sin egen administration af disse kontaktoplysninger.
Oplysningerne kommer fra driftschefen og dermed fra en anden end de berørte medarbejdere. Hede Service registrerer derfor kilden, modtagelsesdatoen og den planlagte anvendelse. At oplysningerne vedrører medarbejdernes arbejde, ændrer ikke i sig selv artikel 14-vurderingen.
Hvis en medarbejder senere selv oplyser et nyt telefonnummer, er det en direkte indsamling, hvor artikel 13 skal vurderes. Samme organisation kan derfor have begge typer dataflow. Brug en samlet privatlivstekst, hvor det giver mening, men sørg for, at den faktisk beskriver hver kilde og behandling.
Fristen følger den første relevante begivenhed
Artikel 14, stk. 3, kræver information inden for en rimelig periode efter indsamlingen og senest inden en måned. Hvis oplysningerne bruges til kontakt med personen, er første kommunikation en yderligere frist. Ved planlagt videregivelse er første videregivelse til en anden modtager også relevant. Datatilsynets rettighedsvejledning angiver, at information normalt bør gives inden for 10 dage, afhængigt af den konkrete sammenhæng; det er vejledning om den rimelige periode, ikke en ny lovbestemt maksimumsfrist, og tidligere kontakt eller videregivelse kan kræve information før da.
Hede Service får listen den 10. september. Første opkald til medarbejderne er planlagt den 14. september, men oplysningerne skal sendes til en selvstændig servicepartner den 12. september. I dette fiktive forløb kan virksomheden ikke vente til opkaldet eller til udløbet af måneden. Informationen skal senest gives ved den tidligere videregivelse, og den rimelige periode skal også respekteres.
| Begivenhed | Dato i eksemplet | Betydning for planen |
|---|---|---|
| Modtagelse fra Skovkontor | 10. september | Artikel 14-vurdering og oplysningsforløb starter |
| Planlagt videregivelse | 12. september | Tidligste planlagte begivenhed, som fremrykker informationen |
| Første direkte kontakt | 14. september | Kan ikke bruges til at udskyde den tidligere frist |
| En måned efter modtagelsen | 10. oktober | Yderste grænse, ikke den valgte leveringsdato |
| Valgt handling | 11. september | Information sendes før den planlagte videregivelse |
Datoerne er et eksempel på en fremgangsmåde. Hvis planen ændres, skal oplysningsforløbet følge med. En generel indstilling om at sende information efter 30 dage svarer heller ikke nødvendigvis til lovens måned eller kravet om en rimelig periode.
Hvilke oplysninger skal med?
Personen skal kunne forstå, hvem der behandler oplysningerne, hvorfor, hvilke kategorier der behandles, og hvor de kommer fra. Derudover skal teksten dække relevante modtagere, opbevaring, rettigheder, klagemulighed og eventuelle overførsler. Betingede oplysninger, eksempelvis om en DPO, samtykke eller kvalificerede automatiske afgørelser, skal med, når de er relevante.
Datatilsynets vejledning om de registreredes rettigheder beskriver oplysningspligten og behovet for aktivt at give informationen. Det er som udgangspunkt ikke nok, at teksten ligger et sted på en hjemmeside, som personen selv skal opdage.
Kilden skal beskrives så konkret, at personen forstår, hvordan organisationen fik oplysningerne. Hede Service skriver derfor Skovkontors driftsafdeling frem for blot »samarbejdspartnere«. Hvis data kommer fra flere kombinerede kilder, skal organisationen give meningsfuld information om de faktisk tilgængelige kilder og forklare eventuelle begrænsninger.
Udfyldt tekst til det afgrænsede eksempel
Følgende er en fiktiv informationstekst. Domænet .example bruges kun som illustration. Forudsætningerne er, at Hede Service har vurderet sit behandlingsgrundlag, ikke bruger data til markedsføring og ikke foretager tredjelandsoverførsler i dette flow.
Hvem behandler dine oplysninger? Hede Service er dataansvarlig for planlægningen af vores servicebesøg hos din arbejdsgiver. Du kan kontakte vores databeskyttelsesfunktion på persondata@hedeservice.example. Virksomheden har i dette eksempel ikke udpeget en DPO og har ikke en særskilt GDPR-repræsentant.
Hvor kommer oplysningerne fra? Vi har den 10. september fået dit navn, arbejdssted, arbejdsmail og direkte arbejdsnummer fra Skovkontors driftsafdeling. Oplysningerne stammer ikke fra en offentlig kilde. Vi bruger dem til at aftale praktisk adgang, give besked om ændringer og afslutte det konkrete servicebesøg.
Hvorfor må vi bruge dem? Behandlingen bygger i eksemplet på artikel 6, stk. 1, litra f. Vores legitime interesse er at koordinere den aftalte service hos din arbejdsgiver med de udpegede kontaktpersoner. Vi bruger kun de nødvendige arbejdskontaktoplysninger og anvender dem ikke til reklamer.
Hvem får oplysningerne? De relevante planlæggere hos Hede Service og den fiktive servicepartner Engmontage modtager de nødvendige kontaktoplysninger til besøget. Vores it-databehandler opbevarer oplysningerne efter instruks i EØS. I det beskrevne flow sker der ingen overførsel til tredjelande, og vi træffer ikke automatiske afgørelser om dig efter artikel 22.
Hvor længe opbevarer vi dem? Den aktive kontaktliste slettes, når besøget og nødvendig opfølgning er afsluttet. Hvis en konkret tvist kræver bestemte oplysninger, opbevarer vi kun den relevante dokumentation særskilt, indtil behovet for at fastlægge, gøre gældende eller forsvare retskravet ophører. Den aktive besøgskoordinering fortsætter ikke til dette særskilte formål.
Dine rettigheder. Du kan anmode om indsigt, rettelse og efter betingelserne sletning eller begrænsning. Du kan gøre indsigelse mod behandlingen af grunde, der vedrører din særlige situation. Kontakt os på adressen ovenfor. Dataportabilitet er ikke relevant for denne behandling på grundlag af legitim interesse. Da behandlingen ikke bygger på samtykke, er der ikke et samtykke at tilbagekalde for dette formål. Du kan klage til Datatilsynet.
Den særskilte opmærksomhed på indsigelsesretten skal også opfylde artikel 21, stk. 4, hvor den er relevant. I en virkelig tekst skal alle kontaktoplysninger, modtagere og opbevaringskriterier være korrekte og tilstrækkeligt konkrete.
Undtagelser kræver deres eget grundlag
Artikel 14, stk. 5, har fire bogstavbestemte undtagelser. De vedrører oplysninger, personen allerede har; umulighed eller uforholdsmæssig stor indsats samt de øvrige betingelser i litra b; indsamling eller videregivelse udtrykkeligt fastsat ved lov med passende beskyttelse; og lovreguleret tavshedspligt.
Hede Service kan ikke blot antage, at Skovkontor har informeret medarbejderne om alle forhold hos Hede Service. Hvis virksomheden vil bruge undtagelsen om allerede kendte oplysninger, skal den undersøge præcis, hvad personerne har fået. En tidligere tekst om arbejdsgiverens egen HR-behandling dækker ikke nødvendigvis serviceleverandørens formål og modtagere.
Uforholdsmæssig indsats er heller ikke en standardundtagelse for alle indkøbte kontaktlister. Vurder de konkrete omstændigheder og mulige alternative måder at informere på. Hvor litra b finder anvendelse, kræves passende foranstaltninger, herunder at oplysningerne gøres offentligt tilgængelige. En kontraktuel fortrolighedsklausul er ikke i sig selv den lovregulerede tavshedspligt i litra d.
Information gør ikke en ellers ulovlig anvendelse lovlig
Hede Services tekst forudsætter en gyldig vurdering af behandlingsgrundlaget. At virksomheden har informeret medarbejderne, skaber ikke i sig selv et grundlag for at behandle flere oplysninger eller bruge dem til et nyt formål.
Det gælder særligt ved opsøgende salg. Forbrugerombudsmandens vejledning om elektronisk markedsføring skal vurderes særskilt fra GDPR-oplysningspligten. En mail bliver ikke tilladt markedsføring, blot fordi den indeholder en artikel 14-tekst eller kaldes en transparensmail.
Hvis kontaktoplysningerne skal genbruges til noget andet, skal virksomheden vurdere viderebehandlingen og give relevant information før det nye formål efter artikel 14, stk. 4. Det er en ændring af behandlingen, ikke blot en opdatering af et dokument.
Gem leveringsbevis og håndter fejl
Hede Service gemmer tekstversion, berørt gruppe, leveringsdato og metode. En returmail registreres som en fejl, der skal håndteres, frem for som et bevis på, at personen er informeret. Virksomheden vurderer en passende alternativ kontaktvej uden at indsamle unødvendige private oplysninger.
Knyt forløbet til ansvarlighedsdokumentationen. Den skal vise kilde, fristbeslutning, tekst og udført levering eller en begrundet undtagelse. Ved ny kilde, modtager eller anvendelse genbesøges vurderingen, så den gamle information ikke ukritisk bruges til en ændret behandling.
Regelgrundlag og danske myndighedskilder er kontrolleret den 8. september 2026. Navne, datoer og kontaktoplysninger i arbejdseksemplet er konstruerede.