L 171 - 2010-11 (1. samling) - Endeligt svar på spørgsmål 18: Spm. om hvilke tilfælde oplysninger vil kunne behandles i personhenførbar form, til indenrigs- og sundhedsministeren

Spørgsmål nr. 18 (L 171):”Det fremgår af svaret på spørgsmål 7, at ”De indsamlede oplysninger bør i vi-dest muligt omfang behandles i en form, hvor de ikke er umiddelbart person-henførbare, fx således at de opbevares i krypteret form eller under et løbe-nummer i stedet for under personnummer.” Ministeren bedes redegøre for be-tydningen heraf, herunder forklare i hvilke tilfælde oplysningerne vil kunne be-handles i personhenførbar form.”Svar:Som det fremgår af lovbemærkningerne til lovforslagets § 197 giver bestem-melsen ikke regionen eller kommunen ret til at indhente oplysningerne vedselv at foretage søgning i de nævnte offentlige registre. Det er den dataan-svarlige myndighed for det register, oplysningerne ønskes indhentet fra, derskal tage stilling til, om regionen eller kommunen må indhente de pågældendeoplysninger. I den forbindelse må den dataansvarlige myndighed tage stillingtil, om det til brug for regionens eller kommunens generelle planlægning af sinsundhedsindsats er nødvendigt for regionen eller kommunen at modtage depågældende oplysninger på personniveau, eller om det vil være tilstrækkeligtalene at udlevere de pågældende oplysninger i aggregeret form, jf. hervedproportionalitetsprincippet i persondatalovens § 5, stk. 3.Regionen eller kommunen skal over for den dataansvarlige myndighed be-grunde, hvorfor det er nødvendigt at modtage de pågældende oplysninger påpersonniveau. Men kun hvis den dataansvarlige myndighed vurderer, at detteer nødvendigt, må den give adgang til oplysningerne.I den forbindelse skal både kommuner, regioner og den dataansvarlige myn-dighed være opmærksomme på, at indhentningen og behandlingen af oplys-ninger efter forslaget alene må ske i fornødent omfang inden for rammerne afformålsbestemthedsprincippet i persondatalovens § 5, stk. 2. Efter formålsbe-stemthedsprincippet i persondatalovens § 5, stk. 2, jf. persondatadirektivets ar-tikel 6, stk. 1, litra b, skal indsamling af oplysninger ske til udtrykkeligt angivneog saglige formål, og senere behandling må ikke være uforenelig med disseformål. Endvidere må behandlingen afoplysninger ikke omfatte mere end,hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles,

og de formål, hvortil oplysningerne senere behandles,jf. persondatalovens §5, stk. 3.Behandlingen af oplysningerne – ud over at denne må begrænses til kun depersoner, der skal anvende de nævnte personoplysninger med henblik på sta-tistiske undersøgelser – bør i øvrigt ske på en måde, der i it-teknisk henseen-de er adskilt fra kommunernes og regionernes almindelige administrativesagsbehandling.Som det bl.a. fremgår af svaret på spørgsmål 7 er kommunalbestyrelserne ogregionsrådene, når de får adgang til at indhente personoplysninger i registre-ne, ansvarlige for, at oplysningernebehandlesinden for rammerne af person-dataloven.De indsamlede oplysninger bør således i videst muligt omfang behandles i enform, hvor de ikke er umiddelbart personhenførbare, fx således at de opbeva-res i krypteret form eller under et løbenummer i stedet for under personnum-mer.For at kunne bruge data til tværgående statistiske undersøgelser har regioner-ne og kommunerne behov for cpr-nummeret til at koble de forskellige dataud-træk. Kommunerne kan fxalenevia cpr-numrene koble egne data om kom-munale sundhedsydelser med data om borgernes forbrug af regionale sund-hedsydelser. Tilsvarende kan regionernealenekoble egne data om regionalesundhedsydelser med data om borgernes forbrug af kommunale sundheds-ydelser via cpr-numrene.Efter en sådan kobling af de kommunale og regionale data vil der i mange til-fælde ikke længere være behov for at opbevare data i personhenførbar form,og da skal de i stedet opbevares i krypteret form eller under et løbenummer istedet for under personnummer.