AMU, Alm.del - 2009-10 - Endeligt svar på spørgsmål 523: Spm. om at sende udvalget det manglende høringssvar fra Datatilsynet vedrørende L 151, til beskæftigelsesministeren

Vedrørende høring over forslag til lov om ændring af lov om en aktivbeskæftigelsesindsats, lov om ansvaret for og styringen af den aktive be-skæftigelsesindsats, lov om aktiv socialpolitik, lov om arbejdsløshedsfor-sikring mv. og lov om kompensation til handicappede i erhverv mv. (ak-tiv indsats til unge, lovfæstelse af voksenlærlingeordningen, forenkling afopgørelse af tidsperioder mv.)Ved e-post af 16. december 2009 har Arbejdsmarkedsstyrelsen fremsendtovennævnte lovforslag (herefter lovforslaget) og anmodet om Datatilsynetbemærkninger.Den 12. januar 2010 blev der holdt møde mellem Arbejdsmarkedsstyrelsen ogDatatilsynet, hvor Datatilsynet mundtligt fremkom med bemærkninger til lov-forslaget.Den 19. januar 2010 fremsendte Arbejdsmarkedsstyrelsen et revideret lovfors-lag til Datatilsynet. Da lovforslaget er fremsendt til Justitsministeriet til lov-teknisk gennemgang blev det aftalt, at Datatilsynet fremsender sine bemærk-ninger til såvel Arbejdsmarkedsstyrelsen som Justitsministeriet.Datatilsynet har herefter følgende bemærkninger til lovforslaget frem-sendt 19. januar 2010:1.Datatilsynet anmodede på mødet med Arbejdsmarkedsstyrelsen den 12.januar 2010 om, at det blev præciseret i lovforslaget, hvilke oplysninger derskal videregives fra Arbejdsmarkedsstyrelsens fælles datagrundlag, herundertil Undervisningsministeriet og kommunerne.Baggrunden for anmodning er, at det på mødet blev oplyst, at der behandlesalmindelige og fortrolige personoplysninger omfattet af persondatalovens1§ 6samt følsomme oplysninger efter persondatalovens § 8 i Arbejdsmarkedssty-relsens fælles datagrundlag.Det fremgår bl.a. af bemærkningerne til L 185 - Forslag til lov om ændring aflov om ansvaret for og styringen af den aktive beskæftigelsesindsats, lov om

en aktiv beskæftigelsesindsats mv. vedrørende videregivelse af oplysninger tilArbejdsmarkedsstyrelsens fælles datagrundlag, at:”Ved overgangen til det kommunale enstrengede beskæftigelsessystem vil hele be-skæftigelsesindsatsen efter lov om aktiv beskæftigelsesindsats blive omfattet af lovom retssikkerhed på det sociale område. For videregivelse af følsomme oplysningerpå det sociale område er der fastlagt meget restriktive bestemmelser i persondatalo-vens § 8, stk. 3. Denne bestemmelse i persondataloven kan være til hinder for nød-vendig udveksling af data i beskæftigelsesindsatsen, fx om videregivelse af data omjobplan, integrationsplan, deltagelse og omfang i forsørgelsesordninger, tilmeldeop-lysninger mv. i forbindelse med flytning.Det foreslås derfor, at persondatalovens § 8, stk. 3, fraviges ved videregivelse af dataefter denne lov.”

Denne fravigelse af persondatalovens § 8, stk. 3, medfører, at Arbejdsmar-kedsstyrelsens fælles datagrundlag indeholder følsomme oplysninger, der ikkekan indhentes uden en fravigelse af persondataloven.Det fremgår af de specielle bemærkninger til lovforslagets § 2, at de foreslåe-de ændringer kan ske inden for rammerne af persondatalovgivningen. Datatil-synet lægger på den baggrund til grund, at der ikke med det nuværende lov-forslag tilsigtes en fravigelse af persondataloven, herunder lovens § 8, stk. 3.Det er endvidere på et møde mellem Datatilsynet og Arbejdsmarkedsstyrelsenden 30. november 2009 blevet drøftet, hvorvidt Arbejdsmarkedsstyrelsen be-handler oplysninger om helbredsmæssige forhold omfattet af persondatalo-vens § 7 i det fælles datagrundlag. På baggrund af de oplysninger, der frem-kom under mødet, er Datatilsynet mest tilbøjelig til at mene, at der behandlesoplysninger omfattet af persondatalovens § 7 i det fælles datagrundlag.Det fremgår af lovforslagets § 2, at det indsættes i lov om ansvaret for og sty-ringen af den aktive beskæftigelsesindsats som § 68 a, stk. 12, at Beskæftigel-sesministeren kan fastsætte nærmere regler om, hvilke oplysninger der er om-fattet af den i stk. 8-11 nævnte dataudveksling.Datatilsynet forstår bemyndigelsesbestemmelsen således, at der ikke kan ud-veksles oplysninger som beskrevet i stk. 8-11, før Beskæftigelsesministerenhar fastsæt nærmere regler om, hvilke oplysninger, der er omfattet af dataud-vekslingen.2.Datatilsynet skal i den forbindelsehenlede opmærksomheden på persondatalo-

hentes fra Undervisningsministeriet - efter lovforslagets § 2, ikke skal anven-des til samkøring i kontroløjemed, idet der ikke er hjemmel hertil.Det fremgår dog af lov nr. 522 af 24. juni 2005 om ansvaret for og styring afden aktive beskæftigelsesindsats med senere ændringer § 68, at data i Beskæf-tigelsesministeriets it-systemer kan samkøres med data i kommunernes, andremyndigheders og arbejdsløshedskassernes it-systemer, hvor dette er nødven-digt for at kontrollere, om der sker fejl eller misbrug i forbindelse med udbe-taling af ydelser, herunder manglende opfyldelse af rådighedsforpligtelsen.Det står på denne baggrund ikke Datatilsynet klart, om oplysningerne skalanvendes til samkøring i kontroløjemed, herunder om oplysningerne kan bliveanvendt af kommunerne til kontrol af uddannelsesaktivitet i forbindelse medudbetaling af ydelser fra kommunen. Datatilsynet skal på den baggrund gene-relt bemærke om samkøring i kontroløjemed:Ifølge persondatalovens § 5, stk. 1, skal personoplysninger behandles i over-ensstemmelse med god databehandlingsskik. Heri ligger ifølge lovens forar-bejder, at behandlingen skal være rimelig og lovlig.Efter Datatilsynets opfattelse følger det af kravet om god databehandlings-skik, at en dataansvarlig – aktuelt Arbejdsmarkedsstyrelsen – ikke må udleve-re personoplysninger til en modtager, hvis denne ud fra det foreliggende ikkeer berettiget til at behandle oplysningerne.Datatilsynet forudsætter i sin praksis, at myndigheder i forbindelse med sam-menstilling og samkøring i kontroløjemed har et klart og utvetydigt retsgrund-lag at arbejde på, og at de personer, der berøres af kontrolordningen, skal haveforudgående information om kontrolordningen, jf. persondatalovens § 5, stk. 1om god databehandlingsskik.Mulighederne for at foretage sammenstilling og samkøring i kontroløjemed iden offentlige forvaltning svarer således til den praksis, som var gældende førpersondatalovens ikrafttræden, og som er kommet til udtryk ved en tilkende-givelse fra flertallet i Retsudvalget i betænkning af 16. maj 1991 over forslagtil lov om ændring af lov om offentlige myndigheders registre (L 50).Det er her forudsat, at myndighederne i forbindelse med samkøring i kontrol-øjemed har et klart og utvetydigt retsgrundlag at arbejde på, og at myndighe-derne kun lader kontrolordningen tage sigte på fremtidige forhold, medmindresærlige forhold gør sig gældende. Flertallet lagde vægt på, at de borgere, somberøres af en kontrolordning, i almindelighed gøres opmærksom på myndig-hedernes adgang til at foretage samkøring i kontroløjemed, inden kontrolleniværksættes, og at samkøringen så vidt muligt kun finder sted, hvis de perso-ner, der omfattes af kontrollen, har fået meddelelse om kontrolordningen, in-den de afgiver oplysninger til myndigheden.Arbejdsmarkedsstyrelsen vil således inden for rammerne af persondatalovenkunne videregive oplysninger fra Arbejdsmarkedsstyrelsens fælles datagrund-

lag til andre myndigheder til brug for samkøring i kontroløjemed, hvis denmodtagende myndighed opfylder betingelserne for at kunne sammenstille ogsamkøre personoplysninger i kontroløjemed. Den modtagende myndighedskal have et klart og utvetydigt retsgrundlag, som giver lovhjemmel til at fore-tage sammenstilling eller samkøring i kontroløjemed.Den modtagende myndighed skal desuden forudgående have informeret depersongrupper, der berøres af kontrollen, om muligheden for at foretage engenerel kontrol. En sådan information kan f.eks. være givet i blanketter e.l. iforbindelse med, at en person har søgt og modtaget økonomiske ydelser fradet offentlige.Sammenstilling og samkøring i kontroløjemed forudsætter endvidere, at be-handlingen anmeldes til Datatilsynet, jf. §§ 43-44, samt at tilsynets udtalelseindhentes, forinden behandlingen iværksættes, jf. § 45, stk. 1, nr. 4.4.Behandling af personoplysninger skal endvidere ske i overensstemmelsemed de grundlæggende principper, som er indeholdt i lovens § 5.Som ovenfor nævnt fremgår det af stk. 1, at personoplysninger skal behandlesi overensstemmelse med god databehandlingsskik. Heri ligger ifølge lovensforarbejder, at behandlingen skal være rimelig og lovlig.Efter Datatilsynets opfattelse følger det af kravet om god databehandlings-skik, at en dataansvarlige ikke må udlevere personoplysninger til en modta-ger, hvis denne ud fra det foreliggende ikke er berettiget til at behandle oplys-ningerne.Arbejdsmarkedsstyrelsen skal på den baggrund vurdere, om der kan videregi-ves personoplysninger fra det fælles datagrundlag til bl.a. Undervisningsmini-steriet og kommunerne. Det skal i den forbindelse vurderes, om den modta-gende myndighed har hjemmel til at behandle oplysningerne, jf. lovens kapi-tel 4, samt om behandlingen kan ske inden for rammerne af lovens § 5.Af § 5, stk. 2, følger, at indsamling af oplysninger skal ske til udtrykkeligtangivne og saglige formål, og at senere behandling ikke må være uforeneligmed disse formål (finalité-princippet). Dette følger endvidere af databeskyt-telsesdirektivets2artikel 6, stk. 1, litra b.I denne overvejelse må det tages i betragtning, hvilket eller hvilke formål op-lysningerne i Arbejdsmarkedsstyrelsens fælles datagrundlagoprindeligterindhentet med henblik på, samt hvorvidt oplysninger er afgivet til Arbejds-markedsstyrelsen eller den oprindelige modtager på baggrund af en retlig for-pligtelse.

Datatilsynet skal i den forbindelse henlede opmærksomheden på artikel 29-gruppens arbejdsdokument af 12. december 2003 vedrørende videreanvendel-se af den offentlige sektors informationer og beskyttelse af personoplysninger(‘Re-use of public sector information and the protection of personal data -striking the balance’). Dokumentet vedhæftes til orientering.Dokumentet indeholder bl.a. en drøftelse af databeskyttelsesdirektivets an-vendelighed på området samt, hvilke hensyn som skal inddrages ved en vur-dering af, om f.eks. videregivelse er i overensstemmelse med finalité-princippet.Det nævnes bl.a. i den forbindelse, at, hvor oplysningerne er afgivet på bag-grund af en retlig forpligtelse, skal videregivelse vurderes særligt nøje underinddragelse af hensynet til ”reasonable expectations criterion”, dvs. hvad dermed rimelighed må kunne forventes ved afgivelsen af oplysningerne.Det er endvidere anført, at hvor genanvendelse er lovhjemlet, bør denne ogsåindeholde mulighed for, at der kan fremsættes indsigelse mod genanvendelseallerede på tidspunktet for indsamlingen af oplysningerne. Samtidig bør dergives meddelelse om denne rettighed.Datatilsynet skal anbefale, at det meget nøje overvejes, hvorvidt der kan vide-regives oplysninger fra Arbejdsmarkedsstyrelsens fælles datagrundlag til Un-dervisningsministeriet under overholdelse af finalité-princippet.Datatilsynet skal endvidere i lighed hermed anbefale, at det meget nøje over-vejes, hvorvidt der kan indhentes oplysninger fra Undervisningsministerietsfælles datagrundlag, samt hvorvidt oplysningerne kan videregives til kommu-nerne under overholdelse af finalité-princippet.5.Datatilsynet forudsætter på baggrund af tilsynets tidligere drøftelser medArbejdsmarkedsstyrelsen vedrørende det fælles datagrundlag samt styrelsenstilkendegivelser på mødet den 12. januar 2010, at persondatalovens § 41, stk.3, samt principperne i sikkerhedsbekendtgørelsen3efterleves.Kopi af dette brev er dags dato fremsendt til Justitsministeriet