Spørgsmål nr. 700 fra Folketingets Retsudvalg (Alm. del):

”Ministeren bedes be- eller afkræfte at amerikanske myndig-heder, med eller uden hjemmel i USA Patriot Act, kan få udle-veret data om danske borgere, som behandles af en amerikanskejet virksomhed, f.eks. CSC, på vegne af danske myndighedersom f.eks. Politiet, SKAT eller CPR, uanset om der er indgåeten databehandleraftale mellem den amerikansk ejede virksom-hed og den danske myndighed og hvad denne aftale måtte in-deholde, og derudover be- eller afkræfte at dette kan ske udeninddragelse af en dansk domstol, samt at de amerikanske myn-digheder kan forbyde den amerikansk ejede virksomhed at gø-re den danske myndighed opmærksom på, at der er blevet ud-leveret data?”

Svar:

Justitsministeriet har til brug for besvarelsen af spørgsmålet anmodet omen udtalelse fra Datatilsynet, der har oplyst følgende:”2.1. I den anledning kan Datatilsynet oplyse, at EU-Kommissionen i et svar af 23. august 2011 til Europa-Parlamentet har udtalt sig om spørgsmålet om håndhævelse afreglerne i Patriot Act over for enheder etableret i EU. AfKommissionens svar fremgår følgende:“TheUnited States (US) Patriot Act of 2001 establishes awide range of measures for US competent authorities in thefight against terrorist acts. Amongst other things, the US Pa-triot Act gives US law enforcement and intelligence agenciesgreater powers to access personal data and to engage in sur-veillance activities. In this regard, measures such as a courtorder from the Foreign Intelligence Surveillance Court forproduction of information (provided in Section 215) or a ‘na-tional security letter’ issued by the Federal Bureau of Investi-gation (FBI) (provided in Section 505) can be issued upon aUS established legal entity. A legal entity established underUS law is subject to US law, including such court orders or‘national security letters’ that might request production of in-formation or evidence on specific persons or facts related to aparticular counterterrorism investigation.However, in accordance with international public law, and inthe absence of a recognised jurisdictional link, a foreign lawor statute cannot directly impose legal obligations on organi-sations or undertakings established in a third country regard-ing the activities performed within the territory of that thirdcountry. In order to give effect to the different legal obliga-tions provided by the US Patriot Act on legal entities estab-lished in the EU, it would be necessary that they are imposedby an EU legal instrument or a Member State’s legal instru-ment which respects its obligations under EC law, includingdata protection principles.2

Svaret fra EU-Kommissionen er tilgængeligt på følgendehjemmeside: http://www.europarl.europa.eu/sides/getAllAnswers.do?reference=E-2011-006901&language=DA.Datatilsynet forstår svaret således, at amerikanske myndighe-der ikke kan kræve oplysninger udleveret fra virksomheder iDanmark alene under henvisning til reglerne i den amerikanskePatriot Act.Virksomheder i Danmark vil efter Datatilsynets vurdering så-ledes kun kunne udlevere personoplysninger til amerikanskemyndigheder, hvis de erberettigedehertil efter reglerne i per-sondataloven, eller de harpligthertil efter anden lovgivning,der gælder i Danmark.

2.2.

Datatilsynet kan i den forbindelse oplyse, at persondatalo-vens kapitel 4 indeholder regler for, hvornår der må ske be-handling, herunder videregivelse, af personoplysninger omfat-tet af lovens anvendelsesområde.Udlevering af personoplysninger skal således som udgangs-punkt ske under iagttagelse af reglerne i persondatalovens ka-pitel 4 og vil kun kunne finde sted, hvis betingelserne heri eropfyldt.Persondatalovens generelle regler kan imidlertid være fravegetved regler i anden lovgivning, eksempelvis på områder, somikke er omfattet af databeskyttelsesdirektivets anvendelsesom-råde. Det kan således følge af en specifik regulering, at per-sonoplysninger kan – eller skal – udleveres i videre omfangend det, som umiddelbart ville være muligt efter persondatalo-vens regler.

3.

Af persondataloven følger endvidere, at personer, virksom-heder m.v., der udfører arbejde under den dataansvarlige ellerdatabehandleren, og som får adgang til oplysninger, kun måbehandle disse efter instruks fra den dataansvarlige, medmin-dre andet følger af lov eller bestemmelser fastsat i henhold tillov.Hvis en databehandler i Danmark disponerer over personop-lysninger, som virksomheden ligger inde med på vegne af dan-ske myndigheder eller virksomheder, vil databehandleren der-3

ved kunne siges at have påtaget sig rollen som selvstændigt da-taansvarlig.Bl.a. i lyset af det ovennævnte svar fra EU-Kommissionenvurderer Datatilsynet umiddelbart, at et krav om udlevering tilamerikanske myndigheder begrundet i Patriot Act ikke i sigselv indebærer hjemmel til udlevering efter persondataloven.Hvis ikke der foreligger en hjemmel i dansk lovgivning til ud-leveringen, herunder eventuelt en retskendelse, kan den danskedatabehandlers udlevering af oplysninger efter omstændighe-derne udgøre en overtrædelse af persondataloven.”Der henvises i øvrigt til Justitsministeriets besvarelser af 23. maj 2011 afspørgsmål nr. 286 og 287 (Alm. del) samt af 14. juni 2011 af spørgsmål nr.933 (Alm. del) fra Folketingets Retsudvalg.