Der findes faktisk en sag magen til jeres, hvor Datatilsynet har taget stilling.

Sagen vedrører en person der ansøger om at blive kunde i en bank, hvor banken opdager at kunden er registreret i RKI, og derfor afslår at vedkommende kan blive kunde. Herefter forlanger kunden, at alle oplysninger bliver slettet og klager til Datatilsynet.
Datatilsynet når frem til at Banken højest må gemme oplysningerne 2 år.

Se uddrag fra sagen nedenfor:

Opbevaring af ansøgerens oplysninger i tilfælde af afslag
Det er oplyst under sagen, at B generelt opbevarer oplysninger om ansøgere,
der har fået afslag, til internt brug, idet banken ønsker at have kendskab til tidligere
henvendelser ved en potentiel kundes eventuelle senere henvendelse.
Banken oplyser bl.a., at dette skyldes hensynet til at imødegå svig, idet banken
ind imellem oplever, at ansøgere, der har modtaget afslag, senere henvender
sig, men nu med væsentligt ændrede oplysninger. B sletter oplysningerne to år
efter afslagsdatoen, idet banken har vurderet, at oplysningerne har relevans i
dette tidsrum.
Hvorvidt der uden samtykke lovligt kan behandles oplysninger om ansøgere,
der fået afslag og således ikke indgår i et kontraktforhold med den dataansvarlige,
skal efter Datatilsynets opfattelse først og fremmest vurderes i forhold til
persondatalovens § 6, stk. 1, nr. 7.
Efter denne bestemmelse må registrering, videregivelse og anden behandling
af personoplysninger ske, hvis behandlingen er nødvendig for, at den dataansvarlige
eller den tredjemand, til hvem oplysningerne videregives, kan forfølge
en berettiget interesse, og hensynet til den registrerede ikke overstiger denne
interesse.
Spørgsmålet om, hvornår en behandling er nødvendig for, at den dataansvarlige
kan forfølge en berettiget interesse, og hensynet til den registrerede ikke
overstiger denne interesse, beror på en konkret vurdering i det enkelte tilfælde.
Behandling af personoplysninger skal endvidere ske i overensstemmelse med
de grundlæggende principper, som er indeholdt i lovens § 5.
Det følger således af § 5, stk. 1, at oplysninger skal behandles i overensstemmelse
med god databehandlingsskik. Det betyder ifølge lovens forarbejder, at
behandlingen skal være rimelig og lovlig. Endvidere fremgår det, at en rimelig
behandling bl.a. forudsætter, at registrerede personer kan få kendskab til en
behandlings eksistens og, når der indsamles oplysninger hos dem, kan få nøjagtige
og fyldestgørende oplysninger med hensyn til de nærmere omstændigheder
ved indsamlingen, jf. lovens §§ 28 og 29 om oplysningspligt.
5
Af § 5, stk. 2, følger, at indsamling af oplysninger skal ske til udtrykkeligt angivne
og saglige formål, og at senere behandling ikke må være uforenelig med
disse formål. I tilknytning hertil bestemmes det i § 5, stk. 3, at oplysninger, som
behandles, må være relevante og tilstrækkelige og ikke omfatte mere end hvad
der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de
formål hvortil oplysningerne senere behandles.
Det følger af § 5, stk. 4, at behandling af oplysninger skal tilrettelægges således,
at der foretages fornøden ajourføring af oplysningerne. Der skal endvidere
foretages den fornødne kontrol for at sikre, at der ikke behandles urigtige eller
vildledende oplysninger. Oplysninger, der viser sig urigtige eller vildledende,
skal snarest muligt slettes eller berigtiges.
Endelig følger det af § 5, stk. 5, at indsamlede oplysninger ikke må opbevares
på en måde, der giver mulighed for at identificere den registrerede i et længere
tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil oplysningerne
behandles.
Det er Datatilsynets umiddelbare opfattelse, at oplysning om, at der er meddelt
afslag samt øvrige oplysninger, der ligger til grund for afslaget, kan behandles
af B i medfør af persondatalovens §§ 5 og 6 i et vist tidsrum efter meddelelse af
afslaget. Datatilsynet har herved navnlig lagt vægt på, at det ikke kan anses for
uforeneligt med det oprindelige formål med indsamlingen – at vurdere hvorvidt
der kan stiftes et kundeforhold – at oplysningerne opbevares og inden for to år
kan indgå i grundlaget for en vurdering af en ny ansøgning fra samme kunde for
således at mindske risikoen for svig.
Det