KL’s høringssvar vedr. Kommissionens forslag til forordning om be-

skyttelse af fysiske personer i forbindelse med behandling af person-

oplysninger og om fri udveksling af sådanne oplysninger (generel

forordning om databeskyttelse)

Ved brev af 11. maj 2012 har Justitsministeriet anmodet KL om at modtageeventuelle bemærkninger i anledning af Kommissionens forslag til generelforordning om databeskyttelse.KL skal i den anledning udtale følgende:Direktiv frem for forordningDet er KL’s principielle opfattelse, at reglerne om databeskyttelse bør væreindeholdt i et direktiv og ikke i en forordning. Det giver Danmark bedremuligheder for selv at vælge, hvilke midler der skal anvendes for at imple-mentere reglerne, og det giver Danmark mulighed for at opretholde detdanske kollektive arbejdsretlige aftalesystem, som vi kender det i dag, jf.nærmere herom nedenfor.•

Der er desuden i forordningen valgt en model, hvor Kommissionen i megetvidt omfang får adgang til at udstede retsakter, hvor Kommissionen fast-lægger kriterier og betingelser i forhold til de enkelte bestemmelser i for-ordningen, jf. artikel 86. De nærmere rammer for indholdet af de delegerederetsakter fremgår ikke af forordningen. Det betyder, at Kommissionensmulighed for at vedtage delegerede retsakter giver en høj grad af usikkerhedom, hvad der er og vil blive gældende ret. KL frygter, at Kommissionen vilvedtage et betydeligt antal regler, som ikke i nødvendigt omfang vil tagehøjde for særlige forhold i den offentlige sektor og på ansættelsesområdetmv.Hertil kommer, at Kommissionens beføjelser efter den generelle forordningtil bl.a. at udforme blanketter, fastsætte formater, fastsætte tekniske sta n-darder mv. vil medføre unødige omkostninger for kommunerne som regi-

steransvarlige, der efterfølgende vil skulle betale for at få deres it-systemer,herunder selvbetjeningsløsninger, tilpasset sådanne krav.En væsentlig begrundelse for Kommissionens forslag til en forordning erønsket om at skabe et ensartet og styrket databeskyttelsesniveau i med-lemslandene med henblik på, at forbrugerne får mere tillid i onlinemiljøet,så borgerne ikke er tilbageholdende med at købe varer på internettet ogbenytte online tjenester, ligesom virksomhederne har brug for klare, ensar-tede regler i medlemslandene.KL anerkender, at der i forhold til virksomheder kan være behov for ens-artede regler i EU, navnlig for virksomheder, der driver virksomhed i fleremedlemsstater.Det er imidlertid KL’s opfattelse, at forordningen rammer uhensigtsmæssigti forhold til offentlige myndigheder og i forhold til det ansættelsesretligeområde, hvor hovedparten af de persondatabehandlinger, der foretages, errent nationale. KL finder på den baggrund ikke, at en retsakt i form af enforordning kombineret med Kommissionens mulighed for at udstede yder-ligere regler tilgodeser nærhedsprincippet.KL foreslår derfor, at private virksomheders brug af borgernes datareguleres i en forordning og offentlige myndigheders behandling afpersondata og det ansættelsesretlige område undtages fra den generelleforordnings anvendelsesområde efter forordningens artikel 2, stk. 2, såledesat offentlige myndigheders behandling af persondata og detansættelsesretlige område fortsat reguleres i et direktiv. Da der i detgældende databeskyttelsesdirektiv (95/46/EF af 24. oktober 1995) er enrække uklarheder, vil der være behov for, at dette direktiv revideres.Såfremt Kommissionens ønske om en forordning fastholdes på det ansæt-telsesretlige område og for offentlige myndigheders behandling af person-data, ønsker KL følgende ændringer af forordningen:Administrative byrder og meromkostningerForordningen vil medføre nye administrative byrder og meromkostningerfor kommunerne, der efter KL’s opfattelse ikke står mål med de gevinster,borgerne vil opleve. Samtidig vurderer KL, at forordningen vil besværlig-gøre og fordyre realiseringen af potentialerne i den fællesoffentlige digitali-seringsstrategi for 2011-2015, ”Den digitale vej til fremtidens velfærd”, sær-ligt strategiens fokusområde om den digitale kommunikation med borgerne.KL ønsker, at de administrative byrder i forordningen helt eller delvist fjer-nes i forhold til kommunerne, herunder kommunerne som arbejdsgiver.

Pligt til at indhente borgerens samtykke ved brug af selvbetjeningsløsnin-ger på nettet (artikel 4, nr. 8 og præambel nr. 25)Pligt til at sikre, at borgere kan overføre data til et andetdatabehandlingssystem (artikel 18)Nye dokumentationskrav til databehandlingen (artikel 28)Udvidede rettigheder for borgerne med øgede, administrative opgaverfor kommunerne til følge, fx ret til kopi af behandlinger m.m.Pligt til at anmelde brud på datasikkerheden til tilsynsmyndigheden (arti-kel 32)Pligt til at udarbejde konsekvensanalyser af risikofyldte databehandlinger(artikel 33)Pligt til at ansætte en databeskyttelsesansvarlig (artikel 35 – 37)Pligt at anvende særlige EU-blanketter

Forordningen giver bl.a. mulighed for, at medlemsstaterne kan ”vedtagespecifikke bestemmelser” for behandling af persondata i ansættelsesforhold”under overholdelse af denne forordning”, jf. artikel 82. KL finder detnødvendigt, at det i forordningen præciseres, at der kan ske nationale til-pasninger for behandling af persondata i ansættelsesforhold via kollektiveoverenskomster, således at den danske aftalemodel kan opretholdes.Efter KL’s opfattelse bør det endvidere sikres, at arbejdsgiverens ledelsesretikke begrænses. Navnlig skal det sikres, at kommunerne som arbejdsgiverkan behandle oplysninger som led i et ansættelsesforhold på grundlag af etsamtykke fra lønmodtageren, ligesom kommunerne ikke skal begrænses iforhold til ansættelse/afskedigelse af en databeskyttelsesansvarlig.Der henvises til uddybende bemærkninger til artikel 7, artikel 9 og artikel82.Høje bøderDer vil i medfør af forordningen kunne udstedes uforholdsmæssigt højebøder til kommunerne, hvis de ikke overholder reglerne, herunder fx bøder•3

på 250.000 EUR (1.875.000 kr.) for manglende eller mangelfuld overhol-delse af den registreredes rettigheder og bøder på 1.000.000 EUR(7.500.000 kr.), hvis der ikke udpeges en databeskyttelsesansvarlig.De høje bødeniveauer vil efter KL’s opfattelse være ganske byrdefulde forkommunerne, hvorfor KL ønsker, at bøderne ikke skal gælde for kommu-nerne, alternativt at bøderne skal være på et langt lavere niveau for offent-lige myndigheder.Der henvises til uddybende bemærkninger til artiklerne 78 -79.Uklare reglerMange af forordningens regler er ikke klare nok, eksempelvis er det uklart,hvilke administrative krav det stiller til kommunerne, at personoplysningerbehandles ”gennemsigtigt”. Et andet eksempel er, at det fremgår af forord-ningen, at samtykke fra den registrerede ikke kan tilvejebringe et retligtgrundlag for behandling, hvis der er en klar skævhed mellem denregistrerede og den registeransvarlige. Det er uklart, hvilken betydning det ipraksis vil få for offentlig myndigheders mulighed for at behandleoplysninger på grundlag af samtykke.KL ønsker, at de uklarheder, der er i forordningen, bliver afklaret. Der hen -vises til uddybende bemærkninger bl.a. til artikel 4, nr. 8, artikel 5 og artikel7.Hvis forslaget til forordning vedtages, forventer KL at rejse et DUT-kravmed henblik på, at kommunerne bliver kompenseret for de øgede,administrative opgaver.Med venlig hilsen