Spørgsmål nr. 705 fra Folketingets Retsudvalg (Alm. del):

”Mener ministeren, at det er problematisk, at et stort interna-tionalt firma, blot fordi det har teknologien til det, ikke skalspørge nogle danske instanser, før de gennemfører et projektsom dette og med hvilken hjemmel har de gjort det, jf.www.techcrunch.com/2009/02/04/broadcast-your-location-to-friends-with-google-latitude/?”

Svar:

Justitsministeriet har til brug for besvarelsen af spørgsmålet indhentet enudtalelse fra Datatilsynet, der bl.a. har oplyst følgende:

”1. Persondatalovens geografiske anvendelsesområde

1.1.

Persondatalovens kapitel 3 indeholder bestemmelser omlovens geografiske område.Dataansvarlige i DanmarkPersondataloven gælder for behandling af oplysninger, somudføres for en dataansvarlig, der er etableret i Danmark, hvisaktiviteterne finder sted inden for Det Europæiske Fælles-skabs område. Dette fremgår af lovens § 4, stk. 1.Dataansvarlige i andre EU-landeHvis en dataansvarlig, som er etableret i en anden medlems-stat, udøver aktiviteter på dansk område, falder behandlingenuden for persondataloven.Dataansvarlige uden for EUPersondataloven gælder også for en dataansvarlig, som eretableret i et tredjeland, hvis:obehandlingen af oplysninger sker under benyttelse afhjælpemidler, der befinder sig i Danmark, medmindrehjælpemidlerne kun benyttes med henblik på forsendelseaf oplysninger gennem Det Europæiske Fællesskabs om-råde, elleroindsamling af oplysninger i Danmark sker med henblik påbehandling i et tredjeland.Dette følger af lovens § 4, stk. 3.

1.2.

Datatilsynet er ikke bekendt med, om Google Inc. haretableret sig som dataansvarlig i et andet EU-land. Det er så-ledes muligt, at dele af Googles databehandlinger – hvis så-danne finder sted i forbindelse med produktet Google Latitu-de – vil kunne anses for omfattet af den danske persondata-lov. Hvis Google etablerer sig i et andet EU-land og ikke i2

Danmark, vil det være dette lands persondatalovgivning ogikke den danske persondatalov, der finder anvendelse.I det følgende forudsættes det, at Google Inc. behandler per-sonoplysninger omfattet af den danske persondatalov i for-bindelse med produktet Google Latitude.

2. Ikke omfattet af kravet om anmeldelse til og tilladelse

fra Datatilsynet

2.1.

For så vidt angår forpligtelsen til at spørge danske in-stanser kan Datatilsynet oplyse følgende om persondatalo-vens krav om anmeldelse til og tilladelse fra Datatilsynet:Persondataloven indebærer – med visse undtagelser – at be-handlinger, der omfatter følsomme personoplysninger, her-under f.eks. behandlinger af helbredsoplysninger, oplysningerom politisk overbevisning samt oplysninger om strafbare for-hold skal anmeldes til Datatilsynet, og tilsynets tilladelse skalforeligge, førend behandlingen må iværksættes.Behandling af oplysninger om GPS lokationer indebærer somudgangspunkt ikke behandling af følsomme personoplysnin-ger og kræver derfor hverken anmeldelse til eller forudgåen-de tilladelse fra Datatilsynet.

2.2.

Overførsel af personoplysninger til Google Inc. kræverikke tilladelse fra Datatilsynet efter reglerne om overførsel tilusikre tredjelande, idet Google Inc. er tilsluttet den såkaldteSafe Harbour-ordning.

3. Datatilsynets umiddelbare kommentarer til produktet

Datatilsynet er ikke bekendt med produktet Google Latitude,som der henvises til via det nævnte link, og tilsynet vil derforikke inden for fristen for besvarelse af spørgsmålet kunnekomme med en nærmere vurdering af produktet.Med forbehold for, at de behandlinger af personoplysninger,der måtte finde sted i forbindelse med produktet Google Lati-tude, ikke er særreguleret i telelovgivningen, kan Datatilsynetgenerelt oplyse følgende om persondatalovens behandlings-regler:Persondatalovens § 6, stk. 1, indeholder regler for, hvornårregistrering, videregivelse og anden behandling af ikke-følsomme oplysninger må ske.Behandling må bl.a. ske, hvis den registrerede har givet situdtrykkelige samtykke dertil.3

Behandling må endvidere ske, hvis behandlingen er nødven-dig for, at den dataansvarlige eller den tredjemand, til hvemoplysningerne videregives, kan forfølge en berettiget interes-se, og hensynet til den registrerede ikke overstiger denne in-teresse.Herudover vil behandling af personoplysninger skulle ske ioverensstemmelse med de grundlæggende principper om bl.a.saglighed, rimelighed og proportionalitet, som findes i lovens§ 5.”Justitsministeriet kan henholde sig til det, som er anført i Datatilsynetsudtalelse.Justitsministeriet finder i øvrigt ikke på det foreliggende grundlag at bur-de udtale sig om spørgsmålet om lovligheden af det omhandlede produkti forhold til den danske persondatalov. Dette spørgsmål henhører såledesunder Datatilsynet, som er den myndighed, der administrerer persondata-loven.Mere generelt vil jeg dog gerne give udtryk for, at den ordning vedrøren-de anmeldelse til og forudgående tilladelse fra Datatilsynet som person-dataloven indeholder, og som Datatilsynet har beskrevet i sin udtalelse,efter min opfattelse er udtryk for en hensigtsmæssig afvejning af de for-skellige hensyn, som gør sig gældende i relation til behandling af almin-delige ikke-følsomme personoplysninger. Det samme gør sig efter minopfattelse gældende med hensyn til persondatalovens regler om, hvornårder kan ske registrering og anden behandling af personoplysninger.