REU, Alm.del - 2016-17 - Bilag 362: Lovudkast: Udkast til forslag til lov om ændring af lov om retshåndhævende myndigheders behandling af personoplysninger og forskellige andre love (Konse-kvensændringer som følge af databeskyttelsesloven og databeskyttelses-forordningen, fra justitsministeren

Retsudvalget 2016-17
REU Alm.del Bilag 362
Offentligt

Lovafdelingen

Forslag til lov om ændring af lov om retshåndhævende myndigheders

behandling af personoplysninger, lov om massemediers informations-

databaser og forskellige andre love (Konsekvensændringer som følge

af databeskyttelsesloven og databeskyttelsesforordningen)

Justitsministeriet

§1

I lov nr. 410 af 27. april 2017 om retshåndhævende myndigheders behand-

ling af personoplysninger, foretages følgende ændringer:

§ 27, stk. 3, ophæves, og i stedet indsættes:

»Justitsministeren kan efter forhandling med vedkommende minister fast-

sætte regler efter § 3, stk. 9, i databeskyttelsesloven.«

I § 27, stk. 4, ændres »stk. 1-3« til »stk. 1-2«.

§ 27, stk. 5, ophæves.

§ 37, stk. 2-9, ophæves, og i stedet indsættes:

»For Datatilsynet gælder reglerne i § 27, stk. 2-9, i databeskyttelsesloven.«

I loven er der medtaget visse bestemmelser fra Europa-Parlamentets og Rådets forord-

ning nr. 679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med be-

handling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophæ-

velse af direktiv 95/46/EF (generel forordning om databeskyttelse), EU-Tidende 2016, nr.

L 119, side 1. Ifølge artikel 288 i EUF-traktaten gælder en forordning umiddelbart i hver

medlemsstat. Gengivelsen af forordningen i lovens bilag er således udelukkende begrun-

det i praktiske hensyn og berører ikke forordningens umiddelbare gyldighed i Danmark.

Slotsholmsgade 10

1216 København K.

T +45 7226 8400

F +45 3393 3510

www.justitsministeriet.dk

[email protected]

REU, Alm.del - 2016-17 - Bilag 362: Lovudkast: Udkast til forslag til lov om ændring af lov om retshåndhævende myndigheders behandling af personoplysninger og forskellige andre love (Konse-kvensændringer som følge af databeskyttelsesloven og databeskyttelses-forordningen, fra justitsministeren

§2

I forvaltningsloven, jf. lovbekendtgørelse nr. 433 af 22. april 2014, foreta-

ges følgende ændringer:

I § 10, stk. 1, ændres »lov om behandling af personoplysninger« til »da-

tabeskyttelsesforordningen, databeskyttelsesloven og lov om retshåndhæ-

vende myndigheders behandling af personoplysninger«.

Forvaltningslovens § 28, stk. 1, affattes således:

»§ 28. For manuel videregivelse af oplysninger om enkeltpersoner (per-

sonoplysninger) til en anden forvaltningsmyndighed gælder reglerne i da-

tabeskyttelseslovens §§ 6-8, § 10 og § 11, stk. 1, samt databeskyttelsesfor-

ordningens artikel 5, stk. 1, litra a-c, artikel 6, artikel 7, stk. 3, 1. og 2. pkt.,

artikel 9, artikel 10 og artikel 77, stk. 1, jf. databeskyttelseslovens § 2, stk.

1. For videregivelse af personoplysninger til en anden forvaltningsmyn-

dighed, der helt eller delvis foretages ved hjælp af automatisk databehand-

ling, finder reglerne i databeskyttelsesforordningen og databeskyttelseslo-

ven anvendelse, medmindre videregivelsen er reguleret af lov om rets-

håndhævende myndigheders behandling af personoplysninger.«

§3

I lov nr. 606 af 12. juni 2013 om offentlighed i forvaltningen med senere

ændring, foretages følgende ændringer:

I § 11, stk. 2, ændres »§ 10 i lov om behandling af personoplysninger«

til »§ 10, stk. 1-3, i databeskyttelsesloven«.

I § 14, stk. 1, ændres »lov om behandling af personoplysninger« til »da-

tabeskyttelsesforordningen, databeskyttelsesloven og lov om retshåndhæ-

vende myndigheders behandling af personoplysninger«.

§4

I lov om Politiets Efterretningstjeneste (PET), jf. lovbekendtgørelse nr.

231 af 7. marts 2017, foretages følgende ændringer:

Overalt i loven ændres »§ 7, stk. 2, og § 8, stk. 2,« til: »§ 7, stk. 1, og §

8, stk. 1,«.

Efter § 6 indsættes i

kapitel 5:

»§

6 a.

Oplysninger skal behandles i overensstemmelse med god databe-

handlingsskik.

Stk. 2.

Indsamling af oplysninger skal ske til udtrykkeligt angivne og sag-

lige formål, og senere behandling må ikke være uforenelig med disse for-

mål. Senere behandling af oplysninger, der alene sker i historisk, statistisk

eller videnskabeligt øjemed, anses ikke for uforenelig med de formål,

hvortil oplysningerne er indsamlet.

Stk. 3.

Oplysninger, som behandles, skal være relevante og tilstrækkelige

og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål,

hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne sene-

re behandles.

Stk. 4.

Behandling af oplysninger skal tilrettelægges således, at der foreta-

ges fornøden ajourføring af oplysningerne. Der skal endvidere foretages

den fornødne kontrol for at sikre, at der ikke behandles urigtige eller vild-

ledende oplysninger. Oplysninger, der viser sig urigtige eller vildledende,

skal snarest muligt slettes eller berigtiges.

Stk. 5.

Indsamlede oplysninger må ikke opbevares på en måde, der giver

mulighed for at identificere den registrerede i et længere tidsrum end det,

der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles.

Stk. 6.

Politiets Efterretningstjeneste kan behandle oplysninger om person-

nummer med henblik på en entydig identifikation eller som journalnum-

mer.

Stk. 7.

Oplysninger, der er omfattet af denne lov, kan overføres til opbeva-

ring i arkiv efter reglerne i arkivlovgivningen.«

§ 7, stk. 1,

ophæves.

Stk. 2 og 3 bliver herefter stk. 1 og 2.

§ 8, stk. 1,

ophæves.

Stk. 2 og 3 bliver herefter stk. 1 og 2.

§ 9 a, stk. 1,

ændres »§ 7, stk. 3, eller § 8, stk. 3,« til: »§ 7, stk. 2, eller

§ 8, stk. 2,«.

§ 9 a, stk. 2,

ændres »§§ 7-9« til: »§§ 6 a-9«.

§ 10, stk. 2, 1. pkt.,

ændres »§ 7« til: »§§ 6 a og 7«.

§ 10, stk. 2, 2. pkt.,

ændres »lov om behandling af personoplysninger

anvendelse, hvis den i 1. pkt. nævnte videregivelse vedrører personoplys-

ninger som nævnt i § 7, stk. 1, og § 8, stk. 1, i lov om behandling af per-

sonoplysninger« til: »databeskyttelsesloven anvendelse, hvis den i 1. pkt.

nævnte videregivelse vedrører oplysninger om rent private forhold«.

§ 10, stk. 3,

ændres »§ 8« til: »§ 6 a, stk. 1-5 og 7, og § 8«.

10.

§ 14, stk. 1, 4. pkt.,

ændres »og fra lov om behandling af personop-

lysninger, jf. § 2, stk. 11, i lov om behandling af personoplysninger« til: »,

databeskyttelsesloven og databeskyttelsesforordningen, jf. § 3, stk. 2, i

databeskyttelsesloven, og fra lov om retshåndhævende myndigheders be-

handling af personoplysninger, jf. § 1, stk. 2, i lov om retshåndhævende

myndigheders behandling af personoplysninger«.

11.

§ 14, stk. 2,

udgår »kapitel 8-10 i lov om behandling af personoplys-

ninger og«.

12.

§ 14, stk. 2,

indsættes som

2. pkt.:

»Justitsministeren kan endvidere bestemme, at databeskyttelsesloven og

databeskyttelsesforordningen helt eller delvis finder anvendelse for be-

handling af personoplysninger for Politiets Efterretningstjeneste vedrøren-

de tjenestens egne personalesager og sikkerhedsgodkendelsessager.«

13.

§ 18, 1. pkt.,

ændres »7-11« til: »6 a-11«.

14.

§ 21, stk. 2,

ændres »og lov om behandling af personoplysninger« til:

», databeskyttelsesloven, databeskyttelsesforordningen og fra lov om rets-

håndhævende myndigheders behandling af personoplysninger«.

§5

I retsplejeloven, jf. lovbekendtgørelse nr. 1257 af 13. oktober 2016, som

ændret senest ved § 1 i lov nr. 670 af 8. juni 2017, foretages følgende æn-

dring:

§ 41 h, stk. 1, 2. pkt.,

ændres »regler i lov om behandling af personop-

lysninger« til: »databeskyttelsesforordningen og regler i databeskyttelses-

loven og lov om retshåndhævende myndigheders behandling af personop-

lysninger«.

§ 741 g, stk. 3,

udgår », og at persondatalovens bestemmelser om op-

lysningspligt ikke finder anvendelse i forhold til den dømte«.

§ 1017 d, stk. 2,

ændres »§ 9 i lov om behandling af personoplysnin-

ger« til: »databeskyttelseslovens § 9«.

§6

I straffeloven, jf. lovbekendtgørelse nr. 977 af 9. august 2017, foretages

følgende ændring:

§ 263 a, stk. 3, nr. 2,

ændres »§ 7, stk. 1, eller § 8, stk. 1, i lov om be-

handling af personoplysninger« til: »artikel 9, stk. 1, eller artikel 10 i Eu-

ropa-Parlamentets og Rådets forordning nr. 2016/679 af 27. april 2016 om

beskyttelse af fysiske personer i forbindelse med behandling af personop-

lysninger og om fri udveksling af sådanne oplysninger«.

§7

I lov nr. 430 af 1. juni 1994 om massemediers informationsdatabaser, som

ændret ved § 81 i lov nr. 429 af 31. maj 2000 og § 22 i lov nr. 433 af 31.

maj 2000, foretages følgende ændring:

§ 6, stk. 2,

ophæves.

Forsvarsministeriet

§8

I lov om Forsvarets Efterretningstjeneste (FE), jf. lovbekendtgørelse nr. 1

af 4. januar 2016, som ændret ved § 1 i lov nr. 462 af 15. maj 2017, foreta-

ges følgende ændringer:

Overalt i loven ændres »§ 4, stk. 2, og § 5, stk. 2,« til: »§ 4, stk. 1, og §

5, stk. 1,«.

Efter § 3 d indsættes i

kapitel 3:

»§

3 e.

Personoplysninger om i Danmark hjemmehørende fysiske personer

og oplysninger om i Danmark hjemmehørende juridiske personer skal be-

handles i overensstemmelse med god databehandlingsskik.

Stk. 2.

Indsamling af personoplysninger om i Danmark hjemmehørende

fysiske personer og oplysninger om i Danmark hjemmehørende juridiske

personer skal ske til udtrykkeligt angivne og saglige formål, og senere be-

handling må ikke være uforenelig med disse formål. Senere behandling af

oplysninger, der alene sker i historisk, statistisk eller videnskabeligt øje-

med, anses ikke for uforenelig med de formål, hvortil oplysningerne er

indsamlet.

Stk. 3.

Personoplysninger om i Danmark hjemmehørende fysiske personer

og oplysninger om i Danmark hjemmehørende juridiske personer, som

behandles, skal være relevante og tilstrækkelige og ikke omfatte mere, end

hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsam-

les, og de formål, hvortil oplysningerne senere behandles.

Stk. 4.

Behandling af personoplysninger om i Danmark hjemmehørende

fysiske personer og oplysninger om i Danmark hjemmehørende juridiske

personer skal tilrettelægges således, at der foretages fornøden ajourføring

af oplysningerne. Der skal endvidere foretages den fornødne kontrol for at

sikre, at der ikke behandles urigtige eller vildledende oplysninger. Oplys-

ninger, der viser sig urigtige eller vildledende, skal snarest muligt slettes

eller berigtiges.

Stk. 5.

Indsamlede personoplysninger om i Danmark hjemmehørende fysi-

ske personer og oplysninger om i Danmark hjemmehørende juridiske per-

soner må ikke opbevares på en måde, der giver mulighed for at identificere

den registrerede i et længere tidsrum end det, der er nødvendigt af hensyn

til de formål, hvortil oplysningerne behandles.

Stk. 6.

Forsvarets Efterretningstjeneste kan behandle oplysninger om per-

sonnummer med henblik på en entydig identifikation eller som journal-

nummer.

Stk. 7.

Personoplysninger om i Danmark hjemmehørende fysiske personer

og oplysninger om i Danmark hjemmehørende juridiske personer, der er

omfattet af denne lov, kan overføres til opbevaring i arkiv efter reglerne i

arkivlovgivningen.«

§ 4, stk. 1,

ophæves.

Stk. 2 og 3 bliver herefter stk. 1 og 2.

§ 5, stk. 1,

ophæves.

Stk. 2 og 3 bliver herefter stk. 1 og 2.

§ 6 a, stk. 2,

ændres »§§ 4 og 5« til: »§§ 3 e, 4 og 5«.

§ 7, stk. 2, 1. pkt.,

ændres »vedrørende« til: »om«, og »§ 4« ændres til:

»§§ 3 e og 4«.

§ 7, stk. 2, 2. pkt.,

ændres »lov om behandling af personoplysninger

anvendelse, hvis den i 1. pkt. nævnte videregivelse vedrører personoplys-

ninger som nævnt i § 7, stk. 1, og § 8, stk. 1, i lov om behandling af per-

sonoplysninger« til: »databeskyttelsesloven anvendelse, hvis den i 1. pkt.

nævnte videregivelse vedrører oplysninger om rent private forhold«.

§ 7, stk. 3,

ændres »§ 5« til: »§ 3 e, stk. 1-5 og 7, og § 5«.

§ 11, stk. 1, 2. pkt.,

ændres »og fra lov om behandling af personoplys-

ninger, jf. § 2, stk. 11, i lov om behandling af personoplysninger, medmin-

dre andet følger af §§ 4, 5 og 7« til: », databeskyttelsesloven og databe-

skyttelsesforordningen, jf. § 3, stk. 2, i databeskyttelsesloven, og fra lov

om retshåndhævende myndigheders behandling af personoplysninger, jf. §

1, stk. 2, i lov om retshåndhævende myndigheders behandling af personop-

lysninger«.

10.

§ 11, stk. 2,

udgår »kapitel 8-10 i lov om behandling af personoplys-

ninger og«.

11.

§ 11, stk. 2,

indsættes som

2. pkt.:

»Forsvarsministeren kan endvidere bestemme, at databeskyttelsesloven og

databeskyttelsesforordningen helt eller delvis finder anvendelse for be-

handling af personoplysninger for Forsvarets Efterretningstjeneste vedrø-

rende tjenestens sikkerhedsgodkendelsessager og egne personalesager.«

12.

§ 18, stk. 2,

ændres »og lov om behandling af personoplysninger« til:

», databeskyttelsesloven, databeskyttelsesforordningen og fra lov om rets-

håndhævende myndigheders behandling af personoplysninger«.

Beskæftigelsesministeriet

§9

I lov nr. 1482 af 23. december 2014 om organisering og understøttelse af

beskæftigelsesindsatsen m.v., som ændret senest ved § 3 i lov nr. 625 af 8.

juni 2016, foretages følgende ændringer:

§ 40, stk. 1,

ændres »lov om behandling af personoplysninger« til:

»databeskyttelsesforordningen og databeskyttelsesloven«.

§ 41, stk. 1,

ændres »§ 42 i lov om behandling af personoplysninger«

til: »artikel 28, stk. 3, i databeskyttelsesforordningen«.

§ 10

I lov om digital løsning til brug for anmeldelse af sygefravær og anmod-

ning om refusion og tilskud m.v. (Nemrefusion), jf. lovbekendtgørelse nr.

440 af 1. maj 2013, foretages følgende ændringer:

§ 4, stk. 1

ændres »persondataloven« til: »databeskyttelsesfor-

ordningen og databeskyttelsesloven«.

§ 8, stk. 3, 1. pkt.,

ændres »efter instruks« til: »alene efter dokumente-

ret instruks«.

§ 8, stk. 3, 2. pkt.,

ændres »lov om behandling af personoplysninger«

til: »databeskyttelsesforordningen og databeskyttelsesloven«.

Efter

§ 8, stk. 3,

indsættes som

stk. 4:

»Stk.

Beskæftigelsesministeren fastsætter efter forhandling med KL

nærmere regler om kommunernes opgaver og ansvar som dataansvarlige,

jf. stk. 1, og om selskabets opgaver og ansvar som databehandler.«

§ 11

I lov nr. 994 af 30. august 2015 om kommunernes finansiering af visse

offentlige ydelser udbetalt af kommunerne, Udbetaling Danmark og ar-

bejdsløshedskasserne, som ændret ved § 15 i lov nr. 1000 af 30. august

2015, § 3 i lov nr. 296 af 22. marts 2016, § 8 i lov nr. 628 af 8. juni 2016

og § 4 i lov nr. 288 af 29. marts 2017, foretages følgende ændringer:

§ 10, stk. 3,

indsættes efter »efter«: »dokumenteret«.

§ 14, stk. 2,

ændres »persondataloven« til: »databeskyttelsesforordnin-

gen og databeskyttelsesloven«.

Efter

§ 14, stk. 2,

indsættes som

stk. 3:

»Stk.

Beskæftigelsesministeren fastsætter efter forhandling med KL

nærmere regler om kommunens opgaver og ansvar som dataansvarlig, jf.

stk. 2, og om de opgaver og det ansvar som databehandler, som selskabet

nævnt i § 10, stk. 1, har.«

§ 16, stk. 1,

ændres »persondataloven og regler fastsat i medfør heraf«

til: »databeskyttelsesforordningen og databeskyttelsesloven«.

§ 19, stk. 2, 1. pkt.,

ændres »persondataloven og regler fastsat i medfør

heraf« til: »databeskyttelsesforordningen og databeskyttelsesloven«.

§ 27, stk. 4,

ændres »persondataloven« til: »databeskyttelsesforordnin-

gen og databeskyttelsesloven«.

Undervisningsministeriet

§ 12

I lov om gennemsigtighed og åbenhed i uddannelserne m.v., jf. lovbe-

kendtgørelse nr. 771 af 10. juni 2015, foretages følgende ændring:

I § 1, stk. 4, ændres: ”lov om behandling af personoplysninger” til: ”da-

tabeskyttelsesforordningen og databeskyttelsesloven”.

§ 13

I lov om godtgørelse og tilskud til befordring ved deltagelse i erhvervsret-

tet voksen- og efteruddannelse, jf. lovbekendtgørelse nr. 761 af 22. juni

2016, foretages følgende ændring:

§ 18, stk. 4, ophæves.

Stk. 5 bliver herefter stk. 4.

Erhvervsministeriet

§ 14

I selskabsloven, jf. lovbekendtgørelse nr. 1089 af 14. september 2015, som

ændret ved § 1 i lov nr. 262 af 16. marts 2016, § 2 i lov nr. 631 af 8. juni

2016 og § 1 i lov nr. 1547 af 13. december 2016, foretages følgende æn-

dring:

§ 57 a, stk. 5,

ændres »lov om behandling af personoplysninger« til:

»databeskyttelsesforordningen og databeskyttelsesloven«.

§ 15

I revisorloven, jf. lovbekendtgørelse nr. 1167 af 9. september 2016, som

ændret ved § 13 i lov nr. 1549 af 13. december 2016 og § 11 i lov nr. 285

af 29. marts 2017, foretages følgende ændringer:

§ 48, stk. 5, nr. 5,

§ 49, stk. 4, 1. pkt.,

ændres »lov om behandling af

personoplysninger« til: »databeskyttelsesforordningen og databeskyttelses-

loven«.

§ 16

I lov om formidling af fast ejendom, jf. lov nr. 526 af 28. maj 2014, som

ændret ved § 21 i lov nr. 1871 af 29. december 2015, foretages følgende

ændring:

§ 58, stk. 3,

ændres »lov om behandling af personoplysninger« til: »da-

tabeskyttelsesforordningen og databeskyttelsesloven«.

§ 17

I lov om betalinger, jf. lov nr. 652 af 8. juni 2017, foretages følgende æn-

dringer:

§ 124, stk. 1,

ændres »Lov om behandling af personoplysninger« til:

»Databeskyttelsesforordningen og databeskyttelsesloven«.

§ 125, stk. 1,

ændres »Lov om behandling af personoplysninger« til:

»Databeskyttelsesforordningen og databeskyttelsesloven«.

§ 130, stk. 4,

ophæves.

§ 144, stk. 7,

ophæves.

§ 154, stk. 12,

ændres »§ 6, stk. 1, nr. 2, i lov om behandling af per-

sonoplysninger.« til: »artikel 6, stk. 1, litra b, i databeskyttelsesforordnin-

gen.«

§ 18

I lov om forvaltere af alternative investeringsfonde, jf. lovbekendtgørelse

nr. 1074 af 6. juli 2016, som senest ændret ved § 9 i lov nr. 262 af 16.

marts 2016, § 4 i lov nr. 1549 af 13. december 2016 og § 5 i lov nr. 665 af

8. juni 2017, foretages følgende ændring:

§ 170, stk. 10, nr. 4,

affattes således:

»4) når de i databeskyttelsesforordningens kapitel II og databeskyttelseslo-

vens kapitel 3 nævnte betingelser er opfyldt.«

Energi-, Forsynings- og Klimaministeriet

§ 19

I lov om elektroniske kommunikationsnet og -tjenester, jf. lovbekendtgø-

relse nr. 128 af 7. februar 2014, som ændret ved § 2 i lov nr. 741 af 1. juni

2015, § 16 i lov nr. 1567 af 15. december 2015 og § 3 i lov nr. 203 af 28.

februar 2017, foretages følgende ændringer:

§ 31, stk. 6,

ændres »retterne« til: »de enkelte retter, kriminalforsor-

gen«.

§ 45, stk. 2,

og i

§ 72, stk. 3,

ændres »og lov om behandling af person-

oplysninger« til: », databeskyttelsesforordningen og databeskyttelseslo-

ven«.

Sundheds- og Ældreministeriet

§ 20

I sundhedsloven, jf. lovbekendtgørelse nr. 1188 af 24. september 2016,

som ændret senest ved § 2 i lov nr. 691 af 8. juni 2017, foretages følgende

ændringer:

§ 37,stk. 1, 2. pkt.,

ændres: »patientjournalen« til: »manuelle patient-

journaler«.

§ 41, stk. 5,

indsættes efter »Såfremt der«: »manuelt«.

§ 43, stk. 4,

indsættes efter »Såfremt der«: »manuelt«.

§ 196, stk. 3,

affattes således:

»Patienten har ret til indsigt efter artikel 15 i databeskyttelsesforordningen.

Patientens indsigtsret kan begrænses efter § 22, stk. 1-3, i databeskyttelses-

loven.«

§ 21

I vævsloven, jf. lovbekendtgørelse nr. 955 af 21. august 2014, som ændret

ved § 3 i lov nr. 542 af 29. april 2015, § 17 i lov nr. 285 af 29. marts 2017

og § 2 i lov nr. 388 af 26. april 2017, foretages følgende ændringer:

§ 13, stk. 7,

ændres »§ 7, stk. 1, i lov om behandling af personoplys-

ninger« til: »artikel 9, stk. 1, i databeskyttelsesforordningen«.

§ 22

I lov nr. 593 af 14. juni 2011 om videnskabsetisk behandling af sundheds-

videnskabelige forskningsprojekter som ændret ved lov nr. 604 af 18. juni

2012, § 6 i lov nr. 310 af 29. marts 2014, § 37 i lov nr. 620 af 8. juni 2016

og § 46 i lov nr. 384 af 26. april 2017, foretages følgende ændringer:

§ 20, stk. 1, nr. 8,

ændres »lov om behandling af personoplysninger«

til: »databeskyttelsesforordningen og databeskyttelsesloven«.

§ 23

I lov om lægemidler, jf. lovbekendtgørelse nr. 506 af 20. april 2013 som

bl.a. ændret ved § 38 i lov nr. 620 af 8. juni 2016 og senest ved § 1 i lov

nr. 388 af 26. april 2017, foretages følgende ændringer:

§ 89, stk. 3,

ændres »persondataloven« til: »databeskyttelsesforordnin-

gen og databeskyttelsesloven«.

Udlændinge- og Integrationsministeriet

§ 24

I udlændingeloven, jf. lovbekendtgørelse nr. 412 af 9. maj 2016, som æn-

dret senest ved lov nr. 704 af 8. juni 2017, foretages følgende ændringer:

§ 44a, stk. 12,

ophæves.

Økonomi- og Indenrigsministeriet

§ 25

I lov om Det Centrale Personregister, jf. lovbekendtgørelse nr. 646 af 2.

juni 2017, foretages følgende ændringer:

§ 4, stk. 2, 1. pkt.,

ændres »§ 31, stk. 1, i lov om behandling af person-

oplysninger« til: »artikel 15, stk. 1, i databeskyttelsesforordningen«.

§ 29, stk. 2, 2. pkt.,

ændres »markedsføringslovens § 6« til: »markeds-

føringslovens § 10« og »§ 36 i lov om behandling af personoplysninger«

ændres til: »artikel 21 i databeskyttelsesforordningen og § 13, stk. 4, i da-

tabeskyttelsesloven«.

§ 31, § 35, 2. pkt., § 36, 2. pkt., § 37, 2. pkt., § 38, stk. 6, og § 52, stk.

ændres »lov om behandling af personoplysninger« til: »databeskyttel-

sesforordningen og databeskyttelsesloven«.

§ 26

I lov om kommunale og regionale valg, jf. lovbekendtgørelse nr. 771 af 21.

juni 2017, foretages følgende ændring:

§ 106, stk. 4, 1. pkt.,

ændres »lov om behandling af personoplysnin-

ger« til: »databeskyttelsesforordningen og databeskyttelsesloven«.

§ 27

I lov om valg til Folketinget, jf. lovbekendtgørelse nr. 392 af 26. april

2017, som ændret ved lov nr. 493 af 22. maj 2017, lov nr. 708 af 8. juni

2017 og lov nr. 714 af 8. juni 2017, foretages følgende ændring:

§ 104, stk. 4, 1. pkt.,

ændres »lov om behandling af personoplysnin-

ger« til: »databeskyttelsesforordningen og databeskyttelsesloven«.

Finansministeriet

§ 28

I lov om Digital Post fra offentlige afsendere, jf. lovbekendtgørelse nr. 801

af 13. juni 2016, foretages følgende ændring:

§ 2, stk. 3,

affattes således:

»Stk.

Bestemmelsen i databeskyttelsesforordningens artikel 21 finder

ikke anvendelse for behandling af personnumre i medfør af stk. 2.«

§ 29

Stk. 1.

Loven træder i kraft den 25. maj 2018, jf. dog stk. 2.

Stk. 2.

Beskæftigelsesministeren fastsætter tidspunktet for ikrafttræden af §

11, nr. 2 og 4-6.

§ 30

Stk. 1.

Loven gælder ikke for Færøerne og Grønland, men lovens §§ 1, 4,

8, 14, 17, 18, 24 kan ved kongelig anordning helt eller delvist sættes i kraft

for Færøerne og Grønland med de ændringer, som de færøske henholdsvis

grønlandske forhold tilsiger.

Stk. 2.

§§ 20, nr. 1- 3, og 22 kan ved kongelig anordning sættes helt eller

delvis i kraft for Færøerne med de afvigelser, som de særlige færøske for-

hold tilsiger.

Stk. 3.

§ 25 kan ved kongelig anordning sættes i kraft for Grønland med de

afvigelser, som de særlige grønlandske forhold tilsiger.

Stk. 4.

§§ 26 og 27 finder anvendelse for hele riget.

Stk. 5.

Lovens §§ 2 og 3 gælder ikke for sager om færøske og grønlandske

anliggender. Loven kan ved kongelig anordning sættes i kraft for sådanne

sager med de ændringer, som de færøske og grønlandske forhold tilsiger.

Dette gælder dog kun sager, der er eller har været under behandling af

rigsmyndigheder.

Bemærkninger til lovforslaget

Almindelige bemærkninger

Indholdsfortegnelse

1. Indledning

2. Lovforslagets hovedpunkter

2.1. Konsekvensændringer i en række love, der henviser til persondatalo-

ven

2.2. Ændringer i lov om retshåndhævende myndigheders behandling af

personoplysninger

2.2.1. Gældende ret

2.2.2. Justitsministeriets overvejelser og lovforslagets udformning

2.2.2.1. Justitsministeriets overvejelser

2.2.2.2. Lovforslagets udformning

2.3. Konsekvensændringer i PET-loven

2.3.1. Gældende ret

2.3.1.1. Generelt om forholdet mellem PET-loven og persondataloven

2.3.1.2. Nærmere om indholdet i PET-loven

2.3.2. Justitsministeriets overvejelser og lovforslagets udformning

2.3.2.1. Justitsministeriets overvejelser

2.3.2.2. Lovforslagets udformning

2.4. Konsekvensændring i retsplejelovens § 741 g, stk. 3

2.4.1. Gældende ret

2.4.1.1. Retsplejelovens regler om underretning af forurettede i straffesa-

ger

2.4.1.2. Persondatalovens og lov om retshåndhævende myndigheders be-

handling af personoplysninger regler om oplysningspligt over for den regi-

strerede

2.4.2. Justitsministeriets overvejelser og lovforslagets udformning

2.4.2.1. Justitsministeriets overvejelser

2.4.2.2. Lovforslagets udformning

2.5. Ændringer i lov om massemediers informationsdatabaser

2.5.1. Gældende ret

2.5.2. Justitsministeriets overvejelser og lovforslagets udformning

2.5.2.1. Justitsministeriets overvejelser

2.5.2.2. Lovforslagets udformning

2.6. Konsekvensændringer i FE-loven

2.6.1. Gældende ret

2.6.1.1. Generelt om forholdet mellem FE-loven og persondataloven

2.6.1.2. Nærmere om indholdet i FE-loven

2.6.2. Forsvarsministeriets overvejelser og lovforslagets udformning

2.6.2.1. Forsvarsministeriets overvejelser

2.6.2.2. Lovforslagets udformning

2.7. Skærpede krav til databehandleraftaler

2.7.1. Gældende ret

2.7.2. Beskæftigelsesministeriets overvejelser og den foreslåede ordning

2.8. Retternes og kriminalforsorgens adgang til oplysninger om hemmelige

telefonnumre til brug ved digital kommunikation

2.8.1. Gældende ret

2.8.1.1. Retternes adgang til oplysninger om hemmelige telefonnumre

2.8.1.2. Kriminalforsorgens adgang til at anvende digital kommunikation

2.8.2. Regeringens overvejelser og den foreslåede ordning

2.9. Konsekvensændring i CPR-loven i medfør af markedsføringsloven

2.9.1. Gældende ret

2.9.2. Økonomi- og Indenrigsministeriets overvejelser og den foreslåede

ordning

2.10. Konsekvensændring i lov om Digital Post fra offentlige afsendere

2.10.1. Gældende ret

2.10.2. Finansministeriets overvejelser og den foreslåede ordning

3. Økonomiske og administrative konsekvenser for det offentlige

4. Økonomiske og administrative konsekvenser for erhvervslivet mv.

5. Administrative konsekvenser for borgerne

6. Miljømæssige konsekvenser

7. Forholdet til EU-retten

8. Hørte myndigheder og organisationer mv.

9. Sammenfattende skema

1. Indledning

I januar 2012 fremsatte EU-Kommissionen et forslag til en databeskyttel-

sespakke. Pakken blev endeligt vedtaget den 14. april 2016.

Pakken består af den generelle forordning nr. 2016/679 om beskyttelse af

personoplysninger, som skal gælde i både den private og offentlige sektor

(databeskyttelsesforordningen). Forordningen anvendes fra den 25. maj

2018. Herudover består databeskyttelsespakken af et direktiv om beskyt-

telse af personoplysninger, som skal gælde for retshåndhævelsesområdet

(retshåndhævelsesdirektivet). Retshåndhævelsesdirektivet er gennemført i

dansk ret ved lov nr. 410 af 27. april 2017 om retshåndhævende myndig-

heders behandling af personoplysninger.

Databeskyttelsesforordningen afløser direktiv 95/46/EF (databeskyttelses-

direktivet), som i dansk ret er gennemført ved persondataloven, jf. lov nr.

429 af 31. maj 2000 om behandling af personoplysninger, som senest æn-

dret ved lov nr. 410 af 27. april 2017.

Databeskyttelsesforordningen vil have direkte virkning i Danmark, hvilket

betyder, at der som udgangspunkt ikke må være anden dansk lovgivning,

der regulerer behandling af personoplysninger, i det omfang dette er regu-

leret i forordningen.

Danmark er således forpligtet til at indrette dansk lovgivning i overens-

stemmelse med forordningens bestemmelser med virkning fra den 25. maj

2018.

Databeskyttelsesforordningen giver inden for en lang række områder mu-

lighed for, at der i national ret kan fastsættes bestemmelser for at tilpasse

anvendelsen af forordningen.

Justitsministeriet har vurderet, at det er nødvendigt, at der fastsættes en

generel lov (databeskyttelsesloven), som supplerer reglerne i databeskyt-

telsesforordningen. Forslag til databeskyttelsesloven fremsættes samtidig

med nærværende lovforslag. Databeskyttelsesloven ophæver den gældende

persondatalov den 25. maj 2018, dvs. samtidig med, at forordningen finder

anvendelse.

Forslaget skal derfor ses i sammenhæng med forslaget til databeskyttelses-

loven. En række danske love indeholder henvisninger til persondataloven,

og disse henvisninger skal tilpasses til databeskyttelsesforordningen og

den nye databeskyttelseslov. Der skal derfor foretages en række konse-

kvensændringer, som fremsættes i medfør af dette lovforslag.

Endvidere skal der ske en ændring af de danske regler, som regulerer be-

handling af personoplysninger, som fra den 25. maj 2018 vil være regule-

ret af databeskyttelsesforordningen, og hvor forordningen ikke overlader

medlemslandene et nationalt råderum. Dette lovforslag indeholder også

sådanne konsekvensændringer.

Sigtet med lovforslaget er således at bringe de heri omfattede love i over-

ensstemmelse med databeskyttelsesforordningen og databeskyttelsesloven.

De foreslåede ændringer består navnlig i sproglige og tekniske justeringer.

Derudover foreslås der enkelte ændringer med materielt indhold i lov om

retshåndhævende myndigheders behandling af personoplysninger, som

tilpasser loven til databeskyttelsesloven.

Med lovforslaget foretages endvidere en ændring af § 31, stk. 6, i lov om

elektroniske kommunikationsnet og -tjenester med det formål at udvide

retternes adgang til at indhente oplysninger om telefonnumre, herunder

hemmelige telefonnumre i nummeroplysningsdatabasen (”118”), således at

opslag ikke er begrænset til indhentelse i forbindelse med telefonforkyn-

delser, men også kan ske til brug for påmindelser pr. sms om tid og sted

for et retsmøde, jf. retsplejelovens § 154 a, stk. 1, nr. 6. Samtidig foreslås

det, at kriminalforsorgen ligeledes skal have adgang til at indhente oplys-

ninger om telefonnumre, herunder hemmelige telefonnumre i nummerop-

lysningsdatabasen (”118”) til brug for

påmindelser om tid og sted for afso-

ning eller møde mv. i kriminalforsorgen.

Lovforslaget indeholder derudover en ændring af lov om massemediers

informationsdatabaser med henblik på at skabe klarhed over forholdet mel-

lem lov om massemediers informationsdatabaser og medieansvarsloven.

Dernæst foreslås der en konsekvensændring i CPR-loven som følge af en

ændring af markedsføringsloven, idet henvisningen ikke blev ændret i for-

bindelse med denne lovændring.

Endvidere foreslås der bl.a. i lov om digital løsning til brug for anmeldelse

af sygefravær og anmodning om refusion og tilskud m.v. (Nemrefusion)

udover konsekvensændringer visse mindre materielle ændringer.

Endelig sker der en ændring i lov om Digital Post fra offentlige afsendere

med henblik på at sikre, at den gældende begrænsning i de registreredes

indsigelsesret i forbindelse med behandling af personnumre ved tilslutning

og drift af Digital Post løsningen, opretholdes efter den 25. maj 2018, hvor

databeskyttelsesforordningen finder anvendelse.

2. Lovforslagets hovedpunkter

2.1. Konsekvensændringer i en række love, der henviser til personda-

taloven

Der foreslås en række konsekvensændringer i forskellige andre love som

følge af, at databeskyttelsesforordningen og databeskyttelsesloven finder

anvendelse fra den 25. maj 2018.

En række bestemmelser i andre love indeholder henvisninger til personda-

taloven, som foreslås ophævet ved den samtidigt fremsatte databeskyttel-

seslov. Disse henvisninger skal tilpasses databeskyttelsesforordningen og

databeskyttelsesloven.

Hvor særlovgivningen i dag henviser til persondataloven, vil der derfor

fremover skulle henvises til de relevante regler i databeskyttelsesforord-

ningen og/eller databeskyttelsesloven.

I de fleste tilfælde er henvisningen ændret fra »persondataloven« eller »lov

om behandling af personoplysninger« til »databeskyttelsesforordningen og

databeskyttelsesloven«.

I de tilfælde, hvor særlovgivningen henviser til en enkelt bestemmelse, er

henvisningen så vidt muligt ændret til den tilsvarende bestemmelse i enten

databeskyttelsesforordningen eller databeskyttelsesloven.

Der er endelig enkelte steder

–

hvor det er relevant

–

også henvist til »lov

om retshåndhævende myndigheders behandling af personoplysninger«.

Der er således henvist til denne lov, når der er tale om bestemmelser i gæl-

dende ret, som tillige er omfattet af denne lovs anvendelsesområde. Lov

om retshåndhævende myndigheders behandling af personoplysninger gæl-

der som hovedregel for politiets, anklagemyndighedens, herunder den mi-

litære anklagemyndigheds, kriminalforsorgens, Den Uafhængige Politikla-

gemyndigheds og domstolenes behandling af personoplysninger, der helt

eller delvis foretages ved hjælp af automatisk databehandling, og for anden

ikke-automatisk behandling af personoplysninger, der er eller vil blive

indeholdt i et register, når behandlingen foretages med henblik på at fore-

bygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuld-

byrde strafferetlige sanktioner, herunder for at beskytte mod eller forebyg-

ge trusler mod den offentlige sikkerhed, jf. lovens § 1, stk. 1.

2.2. Ændringer i lov om retshåndhævende myndigheders behandling

af personoplysninger

2.2.1. Gældende ret

I januar 2012 fremsatte EU-Kommissionen forslag til en databeskyttelses-

pakke. Pakken består navnlig af databeskyttelsesforordningen, som skal

gælde i både den private og offentlige sektor. Forordningen anvendes fra

den 25. maj 2018. Herudover består databeskyttelsespakken af et direktiv

om beskyttelse af personoplysninger, som skal gælde for retshåndhævel-

sesområdet (retshåndhævelsesdirektivet). Retshåndhævelsesdirektivet er

gennemført i dansk ret ved lov nr. 410 af 27. april 2017 om retshåndhæ-

vende myndigheders behandling af personoplysninger.

Databeskyttelsesforordningen udgør således sammen med retshåndhævel-

sesdirektivet en samlet databeskyttelsespakke. Forordningen og direktivet

er sammenfaldende på visse områder, f.eks. hvad angår kravene til til-

synsmyndighederne.

Det var en forudsætning for dansk tilknytning til Europol, at gennemførel-

sen af retshåndhævelsesdirektivet i dansk ret skete inden 1. maj 2017,

hvorfor Justitsministeriet fandt, at gennemførelsen af retshåndhævelsesdi-

rektivet burde ske selvstændigt. Lov om retshåndhævende myndigheders

behandling af personoplysninger blev derfor vedtaget, inden der blev

fremsat forslag til en ny databeskyttelseslov.

Det følger af databeskyttelsesdirektivets artikel 2, stk. 3, litra a, at direkti-

vet ikke gælder for behandling af personoplysninger under udøvelsen af

aktiviteter, der falder uden for EU-retten. Der er derfor af hensyn til statens

sikkerhed fastsat den såkaldte særlige danske krigsregel i § 27, stk. 3, i lov

om retshåndhævende myndigheders behandling af personoplysninger,

hvoraf det følger, at for oplysninger af særlig interesse for fremmede mag-

ter skal der træffes foranstaltninger, der muliggør bortskaffelse eller tilin-

tetgørelse i tilfælde af krig eller lignende forhold, jf. dog bestemmelsens

stk. 5.

Det følger endvidere af § 27, stk. 4, at justitsministeren fastsætter nærmere

regler om de i § 27, stk. 1-3, nævnte foranstaltninger.

Endelig følger det af § 27, stk. 5, at justitsministeren efter indstilling fra en

kompetent myndighed kan fastsætte regler om, at personoplysninger om-

fattet af stk. 3 ikke skal underlægges foranstaltninger, der muliggør bort-

skaffelse eller tilintetgørelse, hvis dette ud fra en samlet vurdering må an-

ses for forsvarligt.

Bestemmelsen ligner den næsten tilsvarende krigsregel i den gældende

persondatalov, dog med en tilføjelse om, at justitsministeren kan fastsætte

undtagelser til reglen.

Retshåndhævelsesdirektivets kapitel VI indeholder regler om oprettelsen

af tilsynsmyndigheden og om tilsynsmyndighedens status, opgaver og be-

føjelser.

I lov om retshåndhævende myndigheders behandling af personoplysninger

er der derfor i § 37, stk. 2-9, fastsat regler om Datatilsynet. Reglerne om

Datatilsynet svarer i vidt omfang til gældende ret efter persondataloven,

herunder i forhold til kravet om uafhængighed.

Det følger af lov om retshåndhævende myndigheders behandling af per-

sonoplysningers § 37, stk. 3, at justitsministeren nedsætter Datarådet, som

består af en formand, der er dommer, og af 6 andre medlemmer. Der kan

udpeges stedfortrædere for medlemmerne. Formanden, medlemmerne og

stedfortræderne for disse udpeges for 4 år. Der kan ske genudpegning to

gange. Udpegelsen af formand, medlemmer og stedfortrædere for disse

sker på baggrund af disses faglige kvalifikationer, herunder navnlig eks-

pertise inden for databeskyttelsesret.

2.2.2. Justitsministeriets overvejelser og lovforslagets udformning

2.2.2.1. Justitsministeriets overvejelser

Efter både databeskyttelsesdirektivet og databeskyttelsesforordningen er

der samme mulighed for at undtage aktiviteter, der falder uden for EU-

retten, herunder af hensyn til statens sikkerhed.

Justitsministeriet vurderer derfor, at det er mest hensigtsmæssigt, at der er

en identisk krigsregel i både lov om retshåndhævende myndigheders be-

handling af personoplysninger og databeskyttelsesloven.

Reglerne om tilsynsmyndighederne i retshåndhævelsesdirektivets kapitel

VI er sammenfaldende med reglerne om tilsynsmyndighederne i databe-

skyttelsesforordningens kapitel VI.

Justitsministeriet vurderer derfor, at det er mest hensigtsmæssigt, at der

gælder den samme regulering for Datatilsynet, herunder Datarådet, efter

både lov om retshåndhævende myndigheders behandling af personoplys-

ninger, som er baseret på reglerne i retshåndhævelsesdirektivet, og efter

databeskyttelsesloven, som er baseret på reglerne i databeskyttelsesforord-

ningen.

En identisk regulering af tilsynet vil først og fremmest være hensigtsmæs-

sig, så Datatilsynet ikke skal indrette sig forskelligt alt efter, om der føres

tilsyn efter lov om retshåndhævende myndigheders behandling af person-

oplysninger eller efter databeskyttelsesloven. Endvidere er det hensigts-

mæssigt, at der ikke gælder forskellige regler for opbevaring af bestemte

IT-systemer alt efter, efter hvilket regelsæt opbevaringen sker.

Justitsministeriet vurderer endvidere, at det er hensigtsmæssigt, at reglerne

om tilsyn og krigsreglen kun reguleres ét sted. Reglerne bør således kun

fremgå af én af lovene, så det

–

også fremover

–

er mere smidigt at foreta-

ge justeringer heri, og så der undgås eventuel divergens i reglerne.

Databeskyttelsesloven finder anvendelse på alle livsområder og gælder for

både den offentlige og private sektor. Modsat finder lov om retshåndhæ-

vende myndigheders behandling af personoplysninger kun anvendelse på

kompetente myndigheders behandling af personoplysninger med henblik

på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger

eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller fore-

bygge trusler mod den offentlige sikkerhed.

Databeskyttelsesloven har således et langt bredere anvendelsesområde end

lov om retshåndhævende myndigheders behandling af personoplysninger,

hvorfor Justitsministeriet vurderer, at det

–

uanset, at lov om retshåndhæ-

vende myndigheders behandling af personoplysninger blev vedtaget først

–

er mest hensigtsmæssigt, at reglerne om tilsyn og krigsreglen reguleres

samlet i databeskyttelsesloven. Bestemmelserne herom i lov om retshånd-

hævende myndigheders behandling af personoplysninger bør derfor ophæ-

ves og herefter erstattes af en henvisning til de tilsvarende regler i databe-

skyttelsesloven.

2.2.2.2. Lovforslagets udformning

I databeskyttelsesloven foreslås det i § 3, stk. 9, at justitsministeren efter

forhandling med vedkommende minister kan fastsætte regler om, at per-

sonoplysninger, der behandles i nærmere bestemte IT-systemer, og som

føres af eller for den offentlige forvaltning, alene må opbevares her i lan-

det.

Krigsreglens udformning er således forskellig i lov om retshåndhævende

myndigheders behandling af personoplysninger og databeskyttelsesloven.

Bestemmelsen herom i databeskyttelsesloven skal afløse den såkaldte

krigsregel efter persondatalovens § 41, stk. 4, hvorefter der for oplysnin-

ger, som behandles for den offentlige forvaltning, og som er af særlig inte-

resse for fremmede magter, skal træffes foranstaltninger, der muliggør

bortskaffelse eller tilintetgørelse i tilfælde af krig eller lignende forhold.

Det er hensigten med den nye udformning af krigsreglen, at IT-systemer

–

før de tages i brug

–

af justitsministeren og vedkommende minister kan

sættes på en liste, der optages som bilag til bekendtgørelsen i medfør af

stk. 9.

Det er også hensigten, at IT-systemer alene sættes på denne liste, hvis det

er vurderet, at det er af hensyn til statens sikkerhed, at det pågældende

system skal føres her i landet. I en sådan situation vil opbevaringen af de

pågældende personoplysninger falde uden for EU-retten og dermed data-

beskyttelsesforordningen og databeskyttelsesdirektivet.

Justitsministeriet vurderer, at denne bekendtgørelsesmodel er mest hen-

sigtsmæssig af hensyn til en smidig behandling af personoplysninger, som

dog stadig tilgodeser hensynet til statens sikkerhed, hvorfor krigsreglen i

lov om retshåndhævende myndigheders behandling af personoplysninger

foreslås tilpasset databeskyttelseslovens regel herom. Endvidere foreslås

ændringen også af hensyn til regelsammenhængen og muligheden for flek-

sibilitet, som nævnt ovenfor.

I databeskyttelsesloven foreslås det i § 27, stk. 3, at justitsministeren ned-

sætter Datarådet, som består af en formand, der er dommer, og af 7 andre

medlemmer. Erhvervsministeren og ministeren for offentlig innovation

udnævner hver ét de 7 andre medlemmer omfattet af 1. pkt. Justitsministe-

ren kan udpege stedfortrædere for medlemmerne. Formanden, medlem-

merne og stedfortræderne for disse udpeges for 4 år. Der kan ske genud-

pegning to gange. Udpegelsen af formand, medlemmer og stedfortrædere

for disse sker på baggrund af disses faglige kvalifikationer.

Datarådets sammensætning er således forskellig i lov om retshåndhævende

myndigheders behandling af personoplysninger og databeskyttelsesloven.

Som en konsekvens af forordningen har Justitsministeriet vurderet, at er-

hvervsministeren og ministeren for offentlig innovation tillige med ju-

stitsministeren skal udpege medlemmer til Datarådet, hvilket bl.a. er for at

sikre, at det tilstræbes, at der udpeges et eller flere medlemmer med erfa-

ring inden for informationssikkerhed og anvendelse af data i praksis. End-

videre har Justitsministeriet vurderet, at den faglige kvalifikation i Datarå-

det samtidig sikres yderligere ved, at der er 8 medlemmer i rådet.

Justitsministeriet foreslår på den baggrund, at reglerne i lov om retshånd-

hævende myndigheders behandling af personoplysninger bliver tilpasset

databeskyttelseslovens regler herom.

2.3. Konsekvensændringer i PET-loven

2.3.1. Gældende ret

2.3.1.1. Generelt om forholdet mellem PET-loven og persondataloven

Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med se-

nere ændringer (persondataloven) indeholder dansk rets almindelige regler

for behandling af personoplysninger. Det følger af lovens § 2, stk. 10, at

persondataloven ikke finder anvendelse for behandlinger, der udføres for

Politiets Efterretningstjeneste (PET), hvilket også er fastslået i § 14, stk. 1,

4. pkt., i lov om Politiets Efterretningstjeneste (PET), jf. lovbekendtgørelse

nr. 231 af 7. marts 2017 (PET-loven).

Visse af persondatalovens bestemmelser er dog igennem PET-loven sat i

kraft for PET for så

vidt angår PET’s behandling af personoplysninger og

oplysninger om juridiske personer. Det var således en væsentlig forudsæt-

ning ved udarbejdelsen af PET-loven, at PET så vidt muligt burde være

omfattet af reglerne i persondataloven

–

der har til formål at sikre et højt

beskyttelsesniveau i forhold til den enkelte borger og danne rammen om

en hensigtsmæssig udnyttelse af den stadig større mulighed for at gøre

personoplysninger til genstand for elektronisk behandling

–

fordi PET be-

handler betydelige mængder af informationer ved anvendelse af moderne

it-hjælpemidler, der til stadighed udvikles bl.a. med hensyn til metoder til

registrering og behandling af personoplysninger.

Samtidig lagde man ved udformningen af PET-loven også vægt på, at der

for PET gør sig særlige forhold gældende, som kan begrunde, at tjenesten

ikke i samme omfang som andre offentlige myndigheder bør være omfattet

af den almindelige persondatalovgivning, navnlig fordi PET fuldt ud skal

kunne varetage sine opgaver

–

herunder de opgaver, som kan begrunde et

særligt behov for at behandle en række meget sensitive oplysninger og i

den forbindelse også oplysninger, hvis pålidelighed måske ikke umiddel-

bart lader sig efterprøve. Endvidere knytter der sig et særligt fortroligheds-

hensyn til tjenestens virksomhed, ligesom efterretningsarbejde ofte har en

sådan karakter, at det ikke på tidspunktet for indsamlingen af en oplysning

er muligt fuldt ud at vurdere den betydning, som oplysningen kan have for

eksempelvis terrorbekæmpelse, når den sammenkædes med andre oplys-

ninger.

Om baggrunden for PET-lovens ordning om at sætte visse af persondata-

lovens bestemmelser i kraft for PET, kan nærmere henvises til afsnit 4.2.1.

i de almindelige bemærkninger i forslaget til PET-loven, jf. Folketingsti-

dende 2012-13, A, L 161 som fremsat, side 21.

2.3.1.2. Nærmere om indholdet i PET-loven

Det fremgår af PET-lovens § 7, stk. 1, at persondatalovens § 3, § 5, § 11,

stk. 1, og §§ 14, 41 og 42 finder anvendelse for PET’s behandling af per-

sonoplysninger. Det fremgår endvidere af PET-lovens § 8, stk. 1, at per-

sondatalovens §§ 3, 5, 14, 41 og 42 finder anvendelse for PET’s behand-

ling af oplysninger om juridiske personer.

Bestemmelserne indebærer for det første, at de almindelige dataretlige

begreber (definitioner) i persondatalovens

§ 3 gælder for PET’s databe-

handling. For det andet indebærer bestemmelserne, at PET er omfattet af

de i persondatalovens § 5 fastsatte krav om saglighed og proportionalitet

ved behandling af personoplysninger og oplysninger om juridiske perso-

ner. For det tredje indebærer bestemmelsen i § 7, stk. 1, at PET kan be-

handle oplysninger om personnummer med henblik på en entydig identifi-

kation eller som journalnummer, jf. persondatalovens § 11, stk. 1, ligesom

tjenesten for det fjerde kan overføre oplysninger til opbevaring i arkiv efter

reglerne i arkivlovgivningen, jf. persondatalovens § 14. PET er endelig for

det femte omfattet af kravene til de overordnede rammer for sikkerheden i

forbindelse med behandling af personoplysninger, jf. persondatalovens

kapitel 11 (§§ 41 og 42), hvilket bl.a. indebærer, at PET skal træffe de for-

nødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at op-

lysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes,

samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i

øvrigt behandles i strid med loven, jf. persondatalovens § 41, stk. 3.

I medfør af PET-lovens § 7, stk. 3, og § 8, stk. 3, er justitsministeren be-

myndiget til at fastsætte nærmere regler om PET’s behandling af person-

oplysninger og oplysninger om juridiske personer. Bemyndigelsen giver

bl.a. mulighed for

–

inden for rammerne af bl.a. PET-lovens §§ 9-10 om

sletning og videregivelse af personoplysninger og oplysninger om juridi-

ske personer

–

administrativt at fastsætte regler for behandling af person-

oplysninger og oplysninger om juridiske personer, herunder om tekniske

og organisatoriske sikkerhedsforanstaltninger i forhold til behandling af

oplysninger i PET’s informationssystemer mv. og om tjenestens interne

kontrol med behandling og opbevaring af personoplysninger og oplysnin-

ger om juridiske personer.

Bemyndigelserne er udmøntet ved bekendtgørelse nr. 763 af 20. juni 2014

om Politiets Efterretningstjenestes behandling af oplysninger om fysiske

og juridiske personer mv., som ændret ved bekendtgørelse nr. 1455 af 1.

december 2016 (PET-bekendtgørelsen), hvori der er fastsat nærmere regler

om PET’s behandling af oplysninger om fysiske og juridiske personer,

herunder bl.a. om PET’s journal, databaser mv., om indhentelse og

videre-

givelse af oplysninger, intern kontrol og bevaring til Statens Arkiver.

I PET-lovens § 9 a er indsat en bestemmelse, som udtrykkeligt fastlægger

omfanget af PET’s forpligtelse til at slette oplysninger. Det fremgår bl.a.

heraf, at hvis PET i forbindelse med sine aktiviteter bliver opmærksom på,

at sager eller dokumenter mv. ikke længere opfylder betingelserne i PET-

lovens § 7, stk. 2, og § 8, stk. 2, skal disse slettes, uanset om slettefristen i

§ 9 eller frister fastsat i medfør af § 7, stk. 3, eller § 8, stk. 3, er udløbet.

Det fremgår endvidere, at PET ikke i øvrigt er forpligtet til løbende af egen

drift at gennemgå tjenestens sager og dokumenter mv. med henblik på at

vurdere, om betingelserne i § 7, stk. 2, og § 8, stk. 2, fortsat er opfyldt.

Det følger af PET-lovens § 10, stk. 2, 1. pkt., at PET kan videregive per-

sonoplysninger til andre danske forvaltningsmyndigheder (end Forsvarets

Efterretningstjeneste (FE)), private, udenlandske myndigheder og interna-

tionale organisationer, hvis der foreligger et samtykke fra den registrerede,

hvis videregivelsen må antages at have betydning for varetagelse af tjene-

stens opgaver vedrørende forebyggelse og efterforskning af overtrædelser

af straffelovens kapitel 12 og 13, eller hvis videregivelsen er nødvendig for

varetagelse af tjenestens øvrige opgaver.

Herudover fremgår det af PET-lovens § 10, stk. 2, 2. pkt., at persondatalo-

vens § 8, stk. 2, finder anvendelse, hvis PET videregiver personoplysnin-

ger som nævnt i § 7, stk. 1, og § 8, stk. 1, i persondataloven. Det indebæ-

rer, at oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs

eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold, hel-

bredsmæssige eller seksuelle forhold, strafbare forhold, væsentlige sociale

problemer og andre rent private forhold kun må videregives, hvis 1) den

registrerede har givet sit udtrykkelige samtykke til videregivelsen, 2) vide-

regivelsen sker til varetagelse af private eller offentlige interesser, der klart

overstiger hensynet til de interesser, der begrunder hemmeligholdelse, her-

under hensynet til den, oplysningen angår, 3) videregivelsen er nødvendig

for udførelsen af en myndigheds virksomhed eller påkrævet for en afgørel-

se, som myndigheden skal træffe, eller 4) videregivelsen er nødvendig for

udførelsen af en persons eller virksomheds opgaver for det offentlige.

Det følger endvidere af PET-lovens § 10, stk. 3, at PET kan videregive

oplysninger om juridiske personer til andre danske forvaltningsmyndighe-

der (end FE), private, udenlandske myndigheder og internationale organi-

sationer, hvis det sker med samtykke, hvis videregivelsen må antages at

have betydning for varetagelsen af tjenestens opgaver vedrørende forebyg-

gelse og efterforskning af overtrædelser af straffelovens kapitel 12 og 13

eller hvis videregivelsen er nødvendig for varetagelsen af tjenestens øvrige

opgaver.

Det fremgår af PET-lovens § 14, stk. 2, at justitsministeren kan bestemme,

at bl.a. kapitel 8-10 i persondataloven helt eller delvis finder anvendelse

for behandling af personoplysninger for PET vedrørende tjenestens egne

personalesager og sikkerhedsgodkendelsessager. Bemyndigelsen er udnyt-

tet ved § 5 i PET-bekendtgørelsen, hvoraf det fremgår, at persondatalovens

kapitel 8-10 finder anvendelse for behandlingen af personoplysninger i

sådanne sager.

Endelig fremgår det af PET-lovens § 21, stk. 2, at Tilsynet med Efterret-

ningstjenesternes virksomhed er undtaget fra bl.a. persondataloven.

2.3.2. Justitsministeriets overvejelser og lovforslagets udformning

2.3.2.1. Justitsministeriets overvejelser

PET-loven henviser en række steder til persondataloven. I lyset af, at per-

sondataloven foreslås ophævet og erstattet med en ny databeskyttelsesfor-

ordning, der suppleres af et forslag til en ny databeskyttelseslov, som skal

finde anvendelse i Danmark den 25. maj 2018, er det nødvendigt at foreta-

ge en række konsekvensændringer i PET-loven.

Den nuværende regulering af PET’s behandling af oplysninger –

herunder

afvejningen af hensynet til den særlige karakter af PET’s arbejde på den

ene side og hensynet til at sikre et højt beskyttelsesniveau i forhold til be-

handlingen af oplysninger om borgere og juridiske personer på den anden

side

–

er resultatet af de grundige overvejelser om retstilstanden i forhold

til PET’s behandling af såvel personoplysninger som

oplysninger om juri-

diske personer, som blev foretaget forud for fremsættelsen af lovforslaget

bag PET-loven. Justitsministeriet finder således, at gældende ret i PET-

loven i videst muligt omfang bør opretholdes. De foreslåede ændringer af

PET-loven tilsigter således i videst muligt omfang at videreføre gældende

ret og er udtryk for justeringer af lovteknisk karakter, der er nødvendig-

gjort af de ændringer af dansk persondatalovgivning, som følger af databe-

skyttelsesforordningen.

For så vidt angår det mere generelle spørgsmål om den nuværende regule-

ring af PET’s behandling af oplysninger mv. bemærkes det i øvrigt, at det

fremgår af regeringsgrundlaget ”For et friere, rigere og mere trygt Dan-

mark”, at regeringen ønsker, at der er klare og tidssvarende regler

for

PET’s virksomhed, og at der er en ordentlig og balanceret kontrol med

PET. Regeringen vil derfor med inddragelse af uafhængige efterretnings-

eksperter, Tilsynet med Efterretningstjenesterne og PET udarbejde en rap-

port om erfaringerne med PET-loven. Rapporten skal bl.a. indeholde en

evaluering af lovens betydning for kvaliteten og effektiviteten af PET’s

opgavevaretagelse, samt om tilsynet har den fornødne styrke og kompe-

tence. Evalueringen vil desuden vurdere betydningen af de senere ændrin-

ger af PET-loven, herunder vedrørende adgang til at indhente PNR-

oplysninger og ændringen af reglerne om PET’s sletning af oplysninger.

Evalueringen skal være færdig den 1. januar 2018.

Det bemærkes, at hverken databeskyttelsesforordningen eller databeskyt-

telsesloven finder anvendelse på den behandling af personoplysninger,

som udføres for eller af PET, jf. forordningens artikel 2, stk. 2, litra a og d,

og § 3, stk. 2, i den foreslåede nye databeskyttelseslov.

2.3.2.2. Lovforslagets udformning

2.3.2.2.1.

Det foreslås at indsætte en ny bestemmelse som § 6 a i PET-

loven, der viderefører gældende ret fra persondatalovens §§ 5, 11, stk. 1,

og 14, der i dag i medfør af PET-lovens § 7, stk. 1, og § 8, stk. 1, er sat i

kraft for PET’s interne behandling af personoplysninger

og oplysninger

om juridiske personer. Der vurderes ikke at være behov for udtrykkeligt i

lovteksten at regulere de definitioner, som vil finde anvendelse for PET’s

behandling af oplysninger. De begreber og definitioner, som finder anven-

delse for

PET’s behandling af oplysninger efter gældende ret, jf. § 3 i den

gældende persondatalov, vil derfor fortsat skulle finde anvendelse.

Efter Justitsministeriets opfattelse vil det være mere hensigtsmæssigt at

regulere spørgsmålet om behandlingssikkerhed i bekendtgørelsesform,

således at der kan fastsættes mere målrettede og præcise regler herom. Det

forudsættes derfor, at justitsministeren med hjemmel i de eksisterende be-

myndigelser i PET-lovens § 7, stk. 3, og § 8, stk. 3 (der med lovforslaget

bliver § 7, stk. 2, og § 8, stk. 2), udsteder administrative regler om behand-

lingssikkerhed hos PET, som vil træde i stedet for de nuværende henvis-

ninger til persondatalovens §§ 41 og 42. Det forudsættes, at Justitsministe-

riet drøfter de administrative regler udstedt i medfør heraf med Tilsynet

med Efterretningstjenesterne, og at både Retsudvalget og Udvalget vedrø-

rende Efterretningstjenesterne underrettes, inden reglerne udstedes.

Der henvises til lovforslagets § 4, nr. 2-4, og bemærkningerne hertil.

2.3.2.2.2.

PET’s egne personalesager og sikkerhedsgodkendelsessager ad-

skiller sig fra PET’s operative sager, hvor der kan være et særligt behov

for hemmeligholdelse, jf. herom under afsnit 2.3.1.1. ovenfor. For så vidt

angår

PET’s egne personalesager og sikkerhedsgodkendelsessager

vil der

således kunne være et særligt behov for indsigt, ligesom hensynet til den

pågældende vil kunne veje tungere end hensynet til at hemmeligholde op-

lysningerne. Persondatalovens kapitel 8-10 (om oplysningspligt over for

den registrerede, om den registreredes indsigtsret og øvrige rettigheder) er

derfor med hjemmel i PET-lovens § 14, stk. 2, sat administrativt i kraft for

PET for så vidt angår tjenestens egne personalesager og sikkerhedsgod-

kendelsessager, jf. PET-bekendtgørelsens § 5.

Justitsministeriet finder på den baggrund, at det vil være naturligt at lade

de kommende regler i databeskyttelsesloven og databeskyttelsesforordnin-

gen om oplysningspligt over for den registrerede, om den registreredes

indsigtsret og om øvrige rettigheder kunne

finde anvendelse på PET’s egne

personalesager og sikkerhedsgodkendelsessager. Det foreslås derfor, at

bemyndigelsen i PET-lovens § 14, stk. 2, erstattes af en bemyndigelsesbe-

stemmelse til, at justitsministeren kan fastsætte nærmere regler om, at da-

tabeskyttelsesloven (som supplerer reglerne i databeskyttelsesforordnin-

gen) og databeskyttelsesforordningen helt eller delvis finder anvendelse

for behandling af personoplysninger for PET vedrørende tjenestens egne

personalesager og sikkerhedsgodkendelsessager.

Der henvises til lovforslagets § 4, nr. 11-12, og bemærkningerne hertil.

2.3.2.2.3.

Endelig foreslås der en række lovtekniske justeringer som følge

af, at en række af henvisningerne i PET-loven, herunder til den nugælden-

de persondatalov, ikke vil kunne opretholdes som følge af de øvrige æn-

dringer i lovforslaget og forslaget til ny databeskyttelseslov.

Der henvises til lovforslagets § 4, nr. 1, 5-10 og 13-14, og bemærkninger-

ne hertil.

2.4. Konsekvensændring i retsplejelovens § 741 g, stk. 3

2.4.1. Gældende ret

2.4.1.1. Retsplejelovens regler om underretning af forurettede i straffesa-

ger

Retsplejelovens § 741 g indeholder regler om underretning af forurettede i

straffesager i forbindelse med, at gerningsmanden kommer på fri fod mv.

I forbindelse med behandlingen af den forurettedes anmodning om under-

retning er myndighederne efter persondataloven i nogle tilfælde forpligtet

til at orientere den dømte om, at der behandles oplysninger om den pågæl-

dende, jf. herom nærmere nedenfor i pkt. 2.4.1.2.

Det følger af § 741 g, stk. 3, at justitsministeren kan fastsætte nærmere

regler om underretningsordningen, herunder om at persondatalovens be-

stemmelser om oplysningspligt ikke skal finde anvendelse i forhold til den

dømte.

Bemyndigelsen er aktuelt udmøntet ved bekendtgørelse nr. 823 af 26. juni

2013, hvoraf det bl.a. fremgår, at persondatalovens bestemmelser om op-

lysningspligt ikke finder anvendelse i forhold til den dømte, jf. bekendtgø-

relsens § 3.

2.4.1.2. Persondatalovens og lov om retshåndhævende myndigheders be-

handling af personoplysningers regler om oplysningspligt over for den

registrerede

Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med se-

nere ændringer (persondataloven) indeholder dansk rets almindelige regler

om behandling af personoplysninger.

Persondatalovens kapitel 8 indeholder regler om myndighedernes oplys-

ningspligt over for den registrerede.

Det fremgår bl.a. af persondatalovens §§ 28 og 29, at den dataansvarlige

eller dennes repræsentant skal give den registrerede en række oplysninger i

forbindelse med indsamling af oplysninger hos den registrerede og ved

videregivelse af oplysninger til tredjemand, medmindre der er grundlag for

at undlade orientering som følge af modstående hensyn opregnet i lovens §

30.

Ved lov nr. 410 af 27. april 2017 om retshåndhævende myndigheders be-

handling af personoplysninger er der gennemført nye regler om behandling

af personoplysninger, herunder om oplysningspligten over for registrerede.

Det fremgår af § 1 i lov om retshåndhævende myndigheders behandling af

personoplysninger, at loven gælder for de retshåndhævende myndigheders,

herunder kriminalforsorgens, behandling af personoplysninger, der helt

eller delvis foretages ved hjælp af automatisk databehandling, og for anden

ikke automatisk behandling af personoplysninger, der er eller vil blive

indeholdt i et register, når behandlingen foretages med henblik på at fore-

bygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuld-

byrde strafferetlige sanktioner.

Det følger endvidere af § 55, stk. 1, i lov om retshåndhævende myndighe-

ders behandling af personoplysninger, at persondataloven

–

bortset fra

visse bestemmelser opregnet i § 55, stk. 2

–

ikke gælder for behandling,

som er omfattet af lov om retshåndhævende myndigheders behandling af

personoplysninger. Reglerne om oplysningspligt er ikke omfattet af opreg-

ningen i § 55, stk. 2.

Lov om retshåndhævende myndigheders behandling af personoplysninger

gennemfører Europaparlamentets og Rådets direktiv (EU) 2016/680 af 27.

april 2016 om beskyttelse af fysiske personer i forbindelse med kompeten-

te myndigheders behandling af personoplysninger med henblik på at fore-

bygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuld-

byrde strafferetlige sanktioner og om fri udveksling af sådanne oplysnin-

ger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (retshånd-

hævelsesdirektivet) i dansk ret.

Direktivet indeholder i artikel 13 regler om de retshåndhævende myndig-

heders oplysningspligt over for den registrerede.

Efter direktivets artikel 13, stk. 1, skal den dataansvarlige som minimum

stille en række nærmere angivne oplysninger til rådighed for den registre-

rede, herunder identitet på og kontaktoplysninger for den dataansvarlige,

kontaktoplysninger for en eventuel databeskyttelsesrådgiver og formålene

med den behandling, som personoplysningerne skal bruges til. Det fremgår

af direktivets præambelbetragtning nr. 42, at dette kan ske på den kompe-

tente myndigheds websted.

Den dataansvarlige skal herudover i særlige tilfælde give den registrerede

en række yderligere oplysninger, for at vedkommende kan udøve sine ret-

tigheder, herunder oplysninger om retsgrundlaget for behandlingen og det

tidsrum, hvor personoplysningerne vil blive opbevaret, eller, hvis dette

ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum, jf.

herved nærmere direktivets artikel 13, stk. 2.

Der kan efter artikel 13, stk. 3, i visse situationer ske udsættelse, begræns-

ning eller afskæring af meddelelse af oplysninger til den registrerede. Det

kan bl.a. ske for at undgå at skade forebyggelsen, afsløringen, efterforsk-

ningen eller retsforfølgningen af strafbare handlinger eller fuldbyrdelsen af

strafferetlige sanktioner, beskytte den offentlige sikkerhed, beskytte sta-

tens sikkerhed eller beskytte andres rettigheder og frihedsrettigheder.

Efter artikel 13, stk. 4, kan der fastsættes nærmere regler om de kategorier

af behandling, som helt eller delvis er omfattet af stk. 3.

Direktivets bestemmelser om oplysningspligt over for den registrerede er

gennemført ved kapitel 4 (§§ 13-14) i lov om retshåndhævende myndighe-

ders behandling af personoplysninger.

Det følger af § 13, stk. 1, i lov om retshåndhævende myndigheders be-

handling af personoplysninger, at den dataansvarlige skal stille en række

oplysninger til rådighed for den registrerede. Oplysningerne svarer i ho-

vedtræk til de oplysninger, der fremgår af retshåndhævelsesdirektivets

artikel 13, stk. 1. Forpligtelsen til at stille oplysninger til rådighed kan

f.eks. opfyldes ved at gøre oplysningerne tilgængelige på den kompetente

myndigheds hjemmeside eller gennem trykt materiale, som er tilgængeligt

for de registrerede.

Det følger endvidere af § 13, stk. 2, i lov om retshåndhævende myndighe-

ders behandling af personoplysninger, at den dataansvarlige, når det er

nødvendigt for, at den registrerede kan varetage sine interesser, som mini-

mum skal give den registrerede meddelelse om en række nærmere angivne

yderligere oplysninger, som svarer til oplysningerne nævnt i retshåndhæ-

velsesdirektivets artikel 13, stk. 2. Denne bestemmelse indebærer en pligt

for den dataansvarlige myndighed til konkret at underrette den registrere-

de.

Efter § 14, stk. 1, i lov om retshåndhævende myndigheders behandling af

personoplysninger, kan meddelelse efter § 13, stk. 2, udsættes, begrænses

eller undlades, hvis den registreredes interesse i at få kendskab til oplys-

ningerne findes at burde vige for modstående hensyn, svarende til opreg-

ningen af kategorier i retshåndhævelsesdirektivets artikel 13, stk. 3.

Efter § 14, stk. 2, i lov om retshåndhævende myndigheders behandling af

personoplysninger, kan justitsministeren bl.a. fastsætte nærmere regler om,

hvilke kategorier af behandling der er omfattet af bestemmelsens stk. 1.

2.4.2. Justitsministeriets overvejelser og lovforslagets udformning

2.4.2.1. Justitsministeriets overvejelser

Retsplejelovens § 741 g, stk. 3, indeholder en bemyndigelse til justitsmini-

steren til at fravige persondatalovens bestemmelser om oplysningspligt i

forbindelse med underretning af forurettede i visse straffesager.

Reglerne om de retshåndhævende myndigheders oplysningspligt over for

den registrerede findes i dag i lov om retshåndhævende myndigheders be-

handling af personoplysninger, som for disse myndigheders vedkommende

har afløst bestemmelserne om oplysningspligt i persondataloven.

I lov om retshåndhævende myndigheders behandling af personoplysninger

findes tillige en bemyndigelsesbestemmelse, hvorved justitsministeren

–

inden for rammerne af retshåndhævelsesdirektivet

–

er tillagt kompetence

til at fastlægge nærmere regler om de tilfælde, hvor oplysningspligten kan

fraviges.

Som følge af de nye regler i retshåndhævelsesdirektivet og lov om rets-

håndhævende myndigheders behandling af personoplysninger er det nød-

vendigt at foretage en konsekvensændring af retsplejeloven, således at der

ikke længere henvises til reglerne i persondataloven.

2.4.2.2. Lovforslagets udformning

Det foreslås, at retsplejelovens § 741 g, stk. 3, ændres, således at henvis-

ningen til persondatalovens bestemmelser om oplysningspligt udgår.

Der henvises til lovforslagets § 5 og bemærkningerne hertil.

2.5. Ændringer i lov om massemediers informationsdatabaser

2.5.1. Gældende ret

Offentligt tilgængelige informationsdatabaser kan være omfattet af såvel

regler i lov om massemediers informationsdatabaser som medieansvarslo-

ven.

For at blive omfattet af medieansvarsloven som medie, skal informations-

databasen opfylde definitionen i medieansvarslovens § 1, nr. 3 (dvs. tek-

ster, billeder og lydprogrammer, der periodisk udbredes til offentligheden,

såfremt de har karakter af en nyhedsformidling, som kan ligestilles med

den formidling, der er omfattet af lovens § 1, nr. 1 og 2), og anmeldes til

Pressenævnet, jf. lovens § 8, stk. 1.

For at blive omfattet af lov om massemediers informationsdatabaser skal

informationsdatabasen

–

ud over at være tilgængelig for enhver på almin-

delige forretningsvilkår

–

være anmeldt til Pressenævnet og Datatilsynet

med angivelse af, hvem der er ansvarlig for informationsdatabasen, jf. lo-

vens § 6, stk. 1. Det fremgår af lovens § 6, stk. 2, at en offentligt tilgænge-

lig informationsdatabase, som anmeldes efter stk. 1, ikke samtidig er om-

fattet af medieansvarsloven, når bortses fra reglerne om genmæle og visse

regler om Pressenævnets sammensætning og kompetence.

Lov om massemediers informationsdatabaser bygger på betænkning nr.

1233/1992 om pressens informationsregistre afgivet af udvalget vedrøren-

de pressens informationsregistre.

Bestemmelsen i § 6, stk. 2, var ny i forhold til udvalgsflertallets lovudkast.

Udvalget lagde til grund i betænkningen, at en informationsdatabase efter

omstændighederne selv ville kunne være et massemedie i overensstemmel-

se med definitionen i medieansvarslovens § 1, nr. 3. Udvalget pegede på

POLTXT som et muligt eksempel på dette. Der henvises til betænkningen

side 46. POLTXT var et fritekstsøgesystem, hvor det var muligt at søge på

samtlige ord, herunder personnavne, som indgik i en artikel. I POLTXT

var indlagt dels hele, tidligere offentliggjorte (trykte) artikler, referater og

resumeer af trykte artikler, dels artikler, som ikke havde været trykt, men

som var skrevet direkte til POLTXT. Der henvises til betænkningen side

37.

Det er anført i bemærkningerne til § 6, stk. 2, i lov om massemediers in-

formationsdatabaser, jf. Folketingstidende 1992-93, tillæg A, spalte 8656,

at hvis en sådan informationsdatabase anmeldes til Pressenævnet efter me-

dieansvarslovens § 8, stk. 1, vil den efter udvalgsflertallets udkast være

omfattet af såvel medieansvarslovens som udvalgsflertallets udkast, med-

mindre informationsdatabasen i flertalsudkastets enkelte bestemmelser er

undtaget fra udkastet.

Det fremgår endvidere af bemærkningerne til bestemmelsen, at Justitsmi-

nisteriet fandt det mindre hensigtsmæssigt, at en offentligt tilgængelig in-

formationsdatabase ville kunne være omfattet af såvel medieansvarslovens

som forslagets bestemmelser, da det ville kunne skabe unødvendige tvivls-

og fortolkningsspørgsmål.

Der blev på den baggrund indsat en bestemmelse om, at en offentligt til-

gængelig informationsdatabase ikke samtidig kan være omfattet af medie-

ansvarsloven og reglerne om offentligt tilgængelige informationsdatabaser.

2.5.2. Justitsministeriets overvejelser og lovforslagets udformning

2.5.2.1. Justitsministeriets overvejelser

Pressenævnet har rettet henvendelse til Justitsministeriet og oplyst, at en

række medier i dag har hjemmesider, der er anmeldt som medie efter me-

dieansvarslovens § 8, stk. 1, jf. § 1, stk. 3, og at nævnet har konstateret, at

nogle af disse medier samtidig har anmeldt hjemmesiden efter § 6, stk. 2, i

lov om massemediers informationsdatabaser. Pressenævnet har peget på, at

det ikke er åbenbart, om tilmeldingen efter den ene eller den anden lov bør

være afgørende for de pågældende mediers retsstilling.

Justitsministeriet er enig med Pressenævnet i, at det ikke er åbenbart, om

tilmeldingen efter den ene eller den anden lov bør være afgørende for de

pågældende mediers retsstilling. Det bemærkes i den forbindelse, at en

række regler i anden lovgivning har retsvirkning for medier, der er omfat-

tet af medieansvarsloven. Det drejer sig f.eks. om reglerne i retsplejeloven

om journalisters særlige adgang til aktindsigt i retsdokumenter mv. (rets-

plejelovens kapitel 3 a), journalisters adgang til kildebeskyttelse i forbin-

delse med afgivelse af vidneforklaring (retsplejelovens § 172) og journali-

sters adgang til at kære kendelser om dørlukning (retsplejelovens § 393).

Det er på den baggrund Justitsministeriets opfattelse, at der er behov for at

skabe klarhed om de pågældende hjemmesiders retsstilling.

2.5.2.2. Lovforslagets udformning

Det foreslås på den baggrund, at § 6, stk. 2, i lov om massemediers infor-

mationsdatabaser ophæves.

Forslaget indebærer, at en offentligt tilgængelig informationsdatabase ikke

er udelukket fra at være omfattet af medieansvarsloven, selv om informa-

tionsdatabasen samtidig er anmeldt efter reglerne i lov om massemediers

informationsdatabaser.

Der henvises i øvrigt til lovforslagets § 7, nr. 1, og bemærkningerne hertil.

2.6. Konsekvensændringer i FE-loven

2.6.1. Gældende ret

2.6.1.1. Generelt om forholdet mellem FE-loven og persondataloven

Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med se-

nere ændringer (persondataloven) indeholder dansk rets almindelige regler

for behandling af personoplysninger. Det følger af lovens § 2, stk. 10, at

persondataloven ikke finder anvendelse for behandlinger, der udføres for

Forsvarets Efterretningstjeneste (FE), hvilket også er fastslået i § 11, stk.

1, 2. pkt., i lov om Forsvarets Efterretningstjeneste (FE) (FE-loven), jf.

lovbekendtgørelse nr. 1 af 4. januar 2016, som ændret ved § 1 i lov nr. 462

af 15. maj 2017.

Det var således en forudsætning ved udarbejdelsen af FE-loven, at der for

FE gør sig særlige forhold gældende, som kunne begrunde, at tjenesten

ikke i samme omfang som andre offentlige myndigheder bør være omfattet

af den almindelige persondatalovgivning. Visse af persondatalovens be-

stemmelser er dog igennem FE-loven sat i kraft for FE for så vidt angår

FE’s behandling af personoplysninger om i Danmark hjemmehørende fysi-

ske personer og oplysninger om i Danmark hjemmehørende juridiske per-

soner. Ved udformningen af FE-loven blev der lagt vægt på, at FE fuldt ud

skal kunne varetage sine opgaver

–

herunder de opgaver, som kan begrun-

de et særligt behov for at behandle en række meget sensitive oplysninger

og i den forbindelse også oplysninger, hvis pålidelighed måske ikke umid-

delbart lader sig efterprøve. Ligeledes blev der ved vurderingen af, hvor-

vidt FE bør undergives almindelige persondataretlige regler, lagt afgøren-

de vægt på det særlige hensyn til fortrolighed, der knytter sig til tjenestens

virksomhed. Endelig blev der taget hensyn til, at efterretningsarbejde ofte

har en sådan karakter, at det ikke på tidspunktet for indsamlingen af en

oplysning er muligt fuldt ud at vurdere den betydning, som oplysningen

kan have for eksempelvis terrorbekæmpelse, før end den sammenkædes

med andre oplysninger.

Om baggrunden for FE-lovens ordning om at sætte visse af persondatalo-

vens bestemmelser i kraft for FE, kan der nærmere henvises til afsnit 4.2.1.

i de almindelige bemærkninger til forslaget til FE-loven, jf. Folketingsti-

dende 2012-13, A, L 163 som fremsat, side 18.

2.6.1.2. Nærmere om indholdet i FE-loven

Det fremgår af FE-lovens § 4, stk. 1, at persondatalovens § 3, § 5, § 11,

stk. 1, § 14, § 41, stk. 1-4,

og § 42 finder anvendelse for FE’s behandling

af personoplysninger om en i Danmark hjemmehørende fysisk person. Det

fremgår endvidere af FE-lovens § 5, stk. 1, at persondatalovens § 3, § 5, §

14, § 41, stk. 1-4,

og § 42 finder anvendelse for FE’s behandling af oplys-

ninger om i Danmark hjemmehørende juridiske personer.

Bestemmelserne indebærer for det første, at de almindelige persondataret-

lige begreber (definitioner) i persondatalovens § 3 gælder for FE’s behand-

ling om i Danmark hjemmehørende fysiske og juridiske personer. For det

andet indebærer bestemmelserne, at FE er omfattet af de i persondatalo-

vens § 5 fastsatte krav om saglighed og proportionalitet ved behandling af

personoplysninger om i Danmark hjemmehørende fysiske personer og

oplysninger om i Danmark hjemmehørende juridiske personer. For det

tredje indebærer bestemmelsen i § 4, stk. 1, at FE kan behandle oplysnin-

ger om personnummer med henblik på en entydig identifikation eller som

journalnummer, jf. persondatalovens § 11, stk. 1, ligesom tjenesten for det

fjerde kan overføre oplysninger til opbevaring i arkiv efter reglerne i arkiv-

lovgivningen, jf. persondatalovens § 14.

FE er endelig for det femte omfattet af kravene til de overordnede rammer

for sikkerheden i forbindelse med behandling af personoplysninger, jf.

persondatalovens kapitel 11 (§ 41, stk. 1-4, og § 42), hvilket bl.a. indebæ-

rer, at FE skal træffe de fornødne tekniske og organisatoriske sikkerheds-

foranstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres,

fortabes eller forringes, samt mod, at de kommer til uvedkommendes

kendskab, misbruges eller i øvrigt behandles i strid med loven, jf. person-

datalovens § 41, stk. 3. Bestemmelsen i persondatalovens § 41, stk. 5,

hvorefter justitsministeren kan fastsætte nærmere regler om de i § 41, stk.

3, anførte sikkerhedsforanstaltninger, finder ikke anvendelse for FE. Det

skyldes, at FE varetager funktionen som national sikkerhedsmyndighed

inden for Forsvarsministeriets område og i den henseende bl.a. har til op-

gave at fastsætte regler som omtalt i persondatalovens § 41, stk. 3.

I medfør af FE-lovens § 4, stk. 3, og § 5, stk. 3, er forsvarsministeren be-

myndiget til at fastsætte nærmere regler om FE’s behandling af personop-

lysninger om i Danmark hjemmehørende fysiske personer og oplysninger

om i Danmark hjemmehørende juridiske personer. Bemyndigelsen giver

bl.a. mulighed for

–

inden for rammerne af bl.a. FE-lovens §§ 6 og 7 om

sletning og videregivelse af personoplysninger og oplysninger om juridi-

ske personer

–

administrativt at fastsætte regler for behandling af person-

oplysninger og oplysninger om juridiske personer, herunder om tekniske

og organisatoriske sikkerhedsforanstaltninger i forhold til behandling af

oplysninger i FE’s informationssystemer mv. og om tjenestens interne

kontrol med behandling og opbevaring af personoplysninger og oplysnin-

ger om juridiske personer. Bemyndigelsen er på nuværende tidspunkt ikke

anvendt.

I FE-lovens § 6 a er indsat en bestemmelse, som udtrykkeligt fastlægger

omfanget af FE’s forpligtelse til at slette oplysninger. Det fremgår bl.a.

heraf, at hvis FE i forbindelse med sine aktiviteter bliver opmærksom på,

at sager eller dokumenter mv. ikke længere opfylder betingelserne i FE-

lovens § 4, stk. 2, og § 5, stk. 2, skal disse slettes. Det fremgår endvidere,

at FE ikke i øvrigt er forpligtet til løbende af egen drift at gennemgå tjene-

stens sager og dokumenter mv. med henblik på at vurdere, om betingelser-

ne i § 4, stk. 2, og § 5, stk. 2, fortsat er opfyldt.

Det følger af FE-lovens § 7, stk. 2, 1. pkt., at FE kan videregive personop-

lysninger om i Danmark hjemmehørende fysiske personer til andre danske

forvaltningsmyndigheder (end Politiets Efterretningstjeneste (PET)), priva-

te, udenlandske myndigheder og internationale organisationer, hvis der

foreligger et samtykke fra den registrerede, hvis videregivelsen må antages

at have betydning for varetagelse af tjenestens opgaver efter FE-lovens §

1, stk. 1 og 4, eller hvis videregivelsen er nødvendig for varetagelse af

tjenestens opgaver efter FE-lovens § 1, stk. 2.

Herudover fremgår det af FE-lovens § 7, stk. 2, 2. pkt., at persondatalo-

vens § 8, stk. 2, finder anvendelse, hvis FE videregiver personoplysninger

som nævnt i § 7, stk. 1, og § 8, stk. 1, i persondataloven. Det indebærer, at

oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller

filosofisk overbevisning, fagforeningsmæssige tilhørsforhold, helbreds-

mæssige eller seksuelle forhold, strafbare forhold, væsentlige sociale pro-

blemer og andre rent private forhold kun må videregives, hvis 1) den regi-

strerede har givet sit udtrykkelige samtykke til videregivelsen, 2) videregi-

velsen sker til varetagelse af private eller offentlige interesser, der klart

overstiger hensynet til de interesser, der begrunder hemmeligholdelse, her-

under hensynet til den, oplysningen angår, 3) videregivelsen er nødvendig

for udførelsen af en myndigheds virksomhed eller påkrævet for en afgørel-

se, som myndigheden skal træffe, eller 4) videregivelsen er nødvendig for

udførelsen af en persons eller virksomheds opgaver for det offentlige.

Det følger endvidere af FE-lovens § 7, stk. 3, at FE kan videregive oplys-

ninger om i Danmark hjemmehørende juridiske personer til andre danske

forvaltningsmyndigheder (end PET), private, udenlandske myndigheder og

internationale organisationer, hvis det sker med samtykke, hvis videregi-

velsen må antages at have betydning for varetagelsen af tjenestens opgaver

efter FE-lovens § 1, stk. 1 og 4, eller hvis videregivelsen er nødvendig for

varetagelsen af tjenestens opgaver efter FE-lovens § 1, stk. 2.

Det fremgår af FE-lovens § 11, stk. 2, at forsvarsministeren kan bestemme,

at bl.a. kapitel 8-10 i persondataloven helt eller delvis finder anvendelse

for behandling af personoplysninger for FE vedrørende tjenestens sikker-

hedsgodkendelsessager og egne personalesager.

Endelig fremgår det af FE-lovens § 18, stk. 2, at Tilsynet med Efterret-

ningstjenesternes virksomhed er undtaget fra persondataloven.

2.6.2. Forsvarsministeriets overvejelser og lovforslagets udformning

2.6.2.1. Forsvarsministeriets overvejelser

FE-loven henviser en række steder til persondataloven. I lyset af, at per-

sondataloven foreslås ophævet og erstattet med en ny databeskyttelsesfor-

ordning, der suppleres af et forslag til en ny databeskyttelseslov, som skal

finde anvendelse i Danmark den 25. maj 2018, er det nødvendigt at foreta-

ge en række konsekvensændringer i FE-loven.

Den

nuværende regulering af FE’s behandling af oplysninger –

herunder

afvejningen af hensynet til den særlige karakter af FE’s arbejde på den ene

side og hensynet til at sikre et højt beskyttelsesniveau i forhold til behand-

lingen af oplysninger om borgere og juridiske personer på den anden side

–

er resultatet af de grundige overvejelser, som blev foretaget af Udvalget

vedrørende Politiets og Forsvarets Efterretningstjenester i betænkning nr.

1529 fra 2012. Forsvarsministeriet finder derfor, at gældende ret i FE-

loven i videst muligt omfang bør opretholdes. De foreslåede ændringer af

FE-loven tilsigter således i videst muligt omfang at videreføre gældende

ret, og er udtryk for justeringer af lovteknisk karakter, der er nødvendig-

gjort af de ændringer af dansk persondatalovgivning, som følger af databe-

skyttelsesforordningen.

Det bemærkes, at hverken databeskyttelsesforordningen eller databeskyt-

telsesloven finder anvendelse på den behandling af personoplysninger,

som udføres for eller af FE, jf. forordningens artikel 2, stk. 2, litra a og d,

og § 3, stk. 2, i den foreslåede nye databeskyttelseslov.

2.6.2.2. Lovforslagets udformning

2.6.2.2.1

Det foreslås at indsætte en ny bestemmelse som § 3 e i FE-loven,

der viderefører gældende ret fra persondatalovens § 5, § 11, stk. 1, og § 14,

der i dag i medfør af FE-lovens

§ 4, stk. 1, er sat i kraft for FE’s interne

behandling af personoplysninger om i Danmark hjemmehørende fysiske

personer. Tilsvarende gør sig gældende for FE-lovens § 5, stk. 1, bortset

fra persondatalovens § 11, stk. 1, om behandling af oplysninger om per-

sonnummer. Der vurderes ikke at være behov for udtrykkeligt i lovteksten

at regulere de definitioner, som vil finde anvendelse for FE’s behandling af

oplysninger. De begreber og definitioner, som finder

anvendelse for FE’s

behandling af oplysninger efter gældende ret, jf. § 3 i den gældende per-

sondatalov, vil derfor fortsat skulle finde anvendelse.

Efter Forsvarsministeriets opfattelse vil det være mere hensigtsmæssigt at

regulere spørgsmålet om behandlingssikkerhed i bekendtgørelsesform,

således at der kan fastsættes mere målrettede og præcise regler herom. Det

forudsættes derfor, at forsvarsministeren med hjemmel i de eksisterende

bemyndigelser i FE-lovens § 4, stk. 3, og § 5, stk. 3 (der med lovforslaget

bliver § 4, stk. 2, og § 5, stk. 2), udsteder administrative regler om behand-

lingssikkerhed hos FE, som vil træde i stedet for de nuværende henvisnin-

ger til persondatalovens § 41, stk. 1-4, og § 42. Det forudsættes, at For-

svarsministeriet drøfter de administrative regler udstedt i medfør heraf

med Tilsynet med Efterretningstjenesterne, og at Udvalget vedrørende

Efterretningstjenesterne underrettes, inden reglerne udstedes.

Der henvises til lovforslagets § 8, nr. 2-4, og bemærkningerne hertil.

2.6.2.2.2.

FE’s sikkerhedsgodkendelsessager og egne personalesager ad-

skiller sig fra FE’s operative sager, hvor der kan være et særligt behov for

hemmeligholdelse, jf. herom under afsnit 2.3.1.2. ovenfor. For så vidt an-

går FE’s sikkerhedsgodkendelsessager og egne personalesager

vil der så-

ledes kunne være et særligt behov for indsigt, ligesom hensynet til den

pågældende vil kunne veje tungere end hensynet til at hemmeligholde op-

lysningerne. Det foreslås derfor, at bemyndigelsen i FE-lovens § 11, stk. 2,

erstattes af en bemyndigelsesbestemmelse til, at forsvarsministeren kan

fastsætte nærmere regler om at databeskyttelsesloven (som supplerer reg-

lerne i databeskyttelsesforordningen) og databeskyttelsesforordningen helt

eller delvis finder anvendelse for behandling af personoplysninger for FE

vedrørende tjenestens egne personalesager og sikkerhedsgodkendelsessa-

ger.

Der henvises til lovforslagets § 8, nr. 10-11, og bemærkningerne hertil.

2.6.2.2.3.

Endelig foreslås der en række lovtekniske justeringer som følge

af, at en række af henvisningerne i FE-loven, herunder til den nugældende

persondatalov, ikke vil kunne opretholdes som følge af de øvrige ændrin-

ger i lovforslaget og forslaget til ny databeskyttelseslov.

Der henvises til lovforslagets § 8, nr. 1 og 5-9, og bemærkningerne hertil.

2.7. Skærpede krav til databehandleraftaler

2.7.1. Gældende ret

Det er efter gældende regler obligatorisk for kommunerne at anvende it-

løsningerne Nemrefusion og Ydelsesrefusion, der etableres og drives af et

af KL-ejet selskab. Der er i lov om digital løsning til brug for anmeldelse

af sygefravær og anmodning om refusion og tilskud mv. (Nemrefusion) og

i lov om kommunernes finansiering af visse offentlige ydelser udbetalt af

kommunerne, Udbetaling Danmark og arbejdsløshedskasserne fastsat reg-

ler om, at den enkelte kommune er dataansvarlig for behandlingen af op-

lysninger i henholdsvis Nemrefusion og i Ydelsesrefusion samt om, at

selskabet, der som databehandler for kommunerne driver løsningerne,

handler efter kommunens instruks.

Derved er det sikret, at de 98 kommuner ikke hver især skal indgå ensly-

dende databehandleraftaler med selskabet, der driver Nemrefusion og

Ydelsesrefusion.

2.7.2. Beskæftigelsesministeriets overvejelser og den foreslåede ord-

ning

Databeskyttelsesforordningen indeholder i forhold til persondataloven

skærpede krav til form og indhold af de databehandleraftaler, der skal ind-

gås mellem den dataansvarlige og databehandleren.

Efter databeskyttelsesforordningens artikel 28 gælder om brugen af data-

behandlere og om databehandleraftaler bl.a. følgende:

- Databehandleren må ikke gøre brug af en anden databehandler uden

forudgående specifik eller generel skriftlig godkendelse fra den da-

taansvarlige. I tilfælde af generel skriftlig godkendelse skal databe-

handleren underrette den dataansvarlige om eventuelle planlagte

ændringer vedrørende tilføjelse eller erstatning af andre databe-

handlere og derved give den dataansvarlige mulighed for at gøre

indsigelse mod sådanne ændringer.

- En databehandlers behandling skal være reguleret af en kontrakt eller

et andet retligt dokument i henhold til EU-retten eller medlemssta-

ternes nationale ret, der er bindende for databehandleren med hen-

syn til den dataansvarlige. Kontrakten eller det andet retlige doku-

ment fastsætter genstanden for og varigheden af behandlingen, be-

handlingens karakter og formål, typen af personoplysninger og ka-

tegorierne af registrerede samt den dataansvarliges forpligtelser og

rettigheder. Denne kontrakt eller dette andet retlige dokument fast-

sætter navnlig, at databehandleren:

kun må behandle personoplysninger efter dokumenteret in-

struks fra den dataansvarlige, herunder for så vidt angår

overførsel af personoplysninger til et tredjeland eller en in-

ternational organisation, medmindre det kræves i henhold

til EU-ret eller medlemsstaternes nationale ret, som databe-

handleren er underlagt; i så fald underretter databehandle-

ren den dataansvarlige om dette retlige krav inden behand-

ling, medmindre disse regler forbyder en sådan underret-

ning af hensyn til vigtige samfundsmæssige interesser

sikrer, at de personer, der er autoriseret til at behandle per-

sonoplysninger, har forpligtet sig til fortrolighed eller er

underlagt en passende lovbestemt tavshedspligt

iværksætter alle foranstaltninger, som kræves i henhold til

databeskyttelsesforordningens artikel 32

opfylder de betingelser, der er omhandlet i artikel 28, stk. 2

og 4, for at gøre brug af en anden databehandler

under hensyntagen til behandlingens karakter, så vidt mu-

ligt bistår den dataansvarlige ved hjælp af passende tekni-

ske og organisatoriske foranstaltninger, med opfyldelse af

den dataansvarliges forpligtelse til at besvare anmodninger

om udøvelse af de registreredes rettigheder som fastlagt i

databeskyttelsesforordningens kapitel III

bistår den dataansvarlige med at sikre overholdelse af for-

pligtelserne i medfør af databeskyttelsesforordningens arti-

kel 32-36 under hensyntagen til behandlingens karakter og

de oplysninger, der er tilgængelige for databehandleren

efter den dataansvarliges valg sletter eller tilbageleverer alle

personoplysninger til den dataansvarlige, efter at tjenesterne

vedrørende behandling er ophørt, og sletter eksisterende

kopier, medmindre EU-retten eller medlemsstaternes natio-

nale ret foreskriver opbevaring af personoplysningerne

stiller alle oplysninger, der er nødvendige for at påvise

overholdelse af kravene i denne artikel, til rådighed for den

dataansvarlige og giver mulighed for og bidrager til revisi-

oner, herunder inspektioner, der foretages af den dataan-

svarlige eller en anden revisor, som er bemyndiget af den

dataansvarlige.

Databehandleren skal omgående underrette den dataansvarlige, hvis

en instruks efter vedkommendes mening er i strid med denne for-

ordning eller databeskyttelsesbestemmelser i anden EU-ret eller

medlemsstaternes nationale ret.

Gør en databehandler brug af en anden databehandler i forbindelse

med udførelse af specifikke behandlingsaktiviteter på vegne af den

dataansvarlige, pålægges denne anden databehandler de samme da-

tabeskyttelsesforpligtelser som dem, der er fastsat i kontrakten eller

et andet retligt dokument mellem den dataansvarlige og databe-

handleren som omhandlet i artikel 28, stk. 3, gennem en kontrakt

eller et andet retligt dokument i henhold til EU-retten eller med-

lemsstaternes nationale ret, hvorved der navnlig stilles de fornødne

garantier for, at de vil gennemføre de passende tekniske og organi-

satoriske foranstaltninger på en sådan måde, at behandlingen op-

fylder kravene i denne forordning. Hvis denne anden databehandler

ikke opfylder sine databeskyttelsesforpligtelser, forbliver den op-

rindelige databehandler fuldt ansvarlig over for den dataansvarlige

for opfyldelsen af denne anden databehandlers forpligtelser.

En databehandlers overholdelse af et godkendt adfærdskodeks som

omhandlet i artikel 40 eller en godkendt certificeringsmekanisme

som omhandlet i artikel 42 kan bruges som et element til at påvise

fornødne garantier som omhandlet i artikel 28, stk. 1 og 4.

Uden at det berører en individuel kontrakt mellem den dataansvarli-

ge og databehandleren, kan kontrakten eller det andet retlige do-

kument, der er omhandlet i artikel 28, stk. 3 og 4, helt eller delvis

baseres på de standardkontraktbestemmelser, der er anført i artikel

28, stk. 7 og 8, herunder når de indgår i en certificering, der er

meddelt den dataansvarlige eller databehandleren i henhold til arti-

kel 42 og 43.

Kontrakten eller det andet retlige dokument, der er omhandlet i arti-

kel 28, stk. 3 og 4, skal foreligge skriftligt, herunder elektronisk.

Som udgangspunkt vil en databehandleraftale skulle indgås som en skrift-

lig aftale mellem parterne, jf. databeskyttelsesforordningens artikel 28, stk.

I visse tilfælde kan kravet om databehandleraftale opfyldes ved at fastsætte

de fornødne bestemmelser i et andet retligt dokument i henhold til EU-

retten eller medlemsstaternes nationale ret, jf. databeskyttelsesforordnin-

gens artikel 28, stk. 3.

Det er således muligt f.eks. i bekendtgørelsesform at regulere dette.

De hensyn, der gælder i forhold til fastsættelse af bestemmelser om den

dataansvarliges og databehandlernes forhold, opgaver og ansvar i et andet

retligt dokument end en databehandleraftale, gælder også, når databeskyt-

telsesforordningen får virkning.

Det er Beskæftigelsesministeriets vurdering, at det fortsat ikke er hen-

sigtsmæssigt, at de 98 kommuner vil skulle indgå enslydende databehand-

leraftaler med selskabet, der etablerer og driver it-løsningerne Nemrefu-

sion ogYdelsesrefusion.

Det foreslås derfor, at beskæftigelsesministeren efter forhandling med KL

bemyndiges til at fastsætte regler om

- kommunernes opgaver og ansvar som dataansvarlige og om sel-

skabets opgaver og ansvar som databehandler vedrørende Nemre-

fusion, og

- kommunens opgaver og ansvar som dataansvarlige og om selska-

bets opgaver og ansvar som databehandler vedrørende Ydelsesre-

fusion.

Det foreslås, at der fastsættes regler i en bekendtgørelse inden for rammer-

ne af de krav til databehandleraftaler, der fremgår af forordningens artikel

28 som beskrevet ovenfor.

2.8. Retternes og kriminalforsorgens adgang til oplysninger om hem-

melige telefonnumre til brug ved digital kommunikation

2.8.1. Gældende ret

§ 31, stk. 6, i lov om elektroniske kommunikationsnet og -tjenester regule-

rer, til hvem forsyningspligtudbyderens landsdækkende nummeroplys-

ningstjeneste kan videregive oplysninger om hemmelige telefonnumre fra

nummeroplysningsdatabasen (”118”).

Det følger af § 31, stk. 6, at oplysninger som nævnt i § 31, stk. 5, nr. 2, jf.

stk. 4 (dvs. oplysninger om hemmelige og udeladte numre), alene kan vi-

deregives af forsyningspligtudbyderens landsdækkende nummeroplys-

ningstjeneste til brug for offentlige alarmtjenester, politiet, statsadvokater-

ne, retterne eller restanceinddrivelsesmyndigheden.

2.8.1.1. Retternes adgang til oplysninger om hemmelige telefonnumre

Retterne og restanceinddrivelsesmyndighedens adgang til indsamling af

oplysninger, herunder adgang til hemmelige telefonnumre i nummeroplys-

ningsdatabasen (”118”),

blev indsat ved lov nr. 1242 af 18. december 2012

om ændring af retsplejeloven, straffeloven og lov om elektroniske kom-

munikationsnet og -tjenester (Revision af reglerne om forkyndelse m.v.) i

sammenhæng med indførelsen af § 156 a i retsplejeloven, der giver adgang

til at foretage telefonforkyndelse.

Det fremgår om baggrunden herfor af forarbejderne til loven, at det er en

forudsætning for effektivt at kunne gennemføre telefonforkyndelse, at den,

der skal forkynde, har adgang til oplysninger om telefonnumre, herunder

hemmelige telefonnumre.

Det fremgår endvidere, at det forudsættes, at adgangen til oplysninger kun

anvendes i forbindelse med telefonforkyndelser, ligesom kun de personer

ved retterne og restanceinddrivelsesmyndighederne, der beskikkes til at

foretage telefonforkyndelser, får adgang til oplysningerne.

Det fremgår endvidere af forarbejderne, at Justitsministeriet finder, at en

behandling af personoplysninger om hemmelige telefonnumre, der sker i

overensstemmelse med den foreslåede bestemmelse i lov om elektroniske

kommunikationsnet og -tjenester, i forbindelse med telefonforkyndelse har

et udtrykkeligt angivet og sagligt formål, jf. herved persondatalovens § 5,

stk. 2, og at behandlingen ikke er i strid med kravet om proportionalitet i

persondatalovens § 5, stk. 3. Den foreslåede bestemmelse kan derfor efter

Justitsministeriets opfattelse anses for at være i overensstemmelse med

databeskyttelsesdirektivet (direktiv 95/46/EF af 24. oktober 1995), jf. Fol-

ketingstidende 2012-13, A, L 12 som fremsat, side 17-18.

Der blev ved lov nr. 1242 af 18. december 2012 desuden indført hjemmel i

retsplejelovens § 154 a, stk. 1, nr. 6, til, at der uden samtykke kan sendes

påmindelser pr. sms eller e-mail til en person, der skal møde i retten.

Det følger således af retsplejelovens § 154 a, stk. 1, nr. 6, at anvendelse af

digital kommunikation kan ske, hvis der er tale om en påmindelse til den,

der skal give møde i retten om tid og sted for retsmødet.

Det fremgår af bemærkningerne, at hensynet bag bestemmelsen er, at på-

mindelser pr. sms eller e-mail vil være et egnet middel til at reducere antal-

let af udeblivelser fra retsmøder, navnlig i de sager, hvor der sker beram-

melse lang tid forud for retsmødet, jf. Folketingstidende 2012-13, A, L 12

som fremsat, side 16.

Der er ikke adgang til, at retterne kan indhente oplysninger om telefon-

numre, herunder hemmelige telefonnumre, i nummeroplysningsdatabasen

(”118”) til brug for påmindelser pr. sms om tid og sted for et retsmøde.

2.8.1.2. Kriminalforsorgens adgang til at anvende digital kommunikation

Ved lov nr. 1728 af 27. december 2016 om ændring af straffeloven, lov om

fuldbyrdelse af straf m.v. og forskellige andre love (Øget respekt for det

offentlige rum, offentlige myndigheder og personer i offentlig tjeneste

m.v.) blev der i straffuldbyrdelseslovens § 89 b indført mulighed for, at

kriminalforsorgen kan anvende digital kommunikation i forbindelse med

fremsendelse af påmindelser til personer, der er tilsagt til afsoning eller

møde mv. hos kriminalforsorgen, om tid og sted for fremmøde mv.

Det fremgår af bemærkningerne til lovforslaget, at formålet med bestem-

melsen er at give kriminalforsorgen mulighed for at fremsende påmindel-

ser pr. sms uden forudgående samtykke fra den dømte med henblik på at

nedbringe antallet af udeblivelser, der skyldes en forglemmelse, jf. Folke-

tingstidende 2016-17, A, L 73 som fremsat, side 19.

Kriminalforsorgen har ikke adgang til at indhente oplysninger om hemme-

lige telefonnumre i nummeroplysningsdatabasen, jf. modsætningsvist § 31,

stk. 6, i lov om elektroniske kommunikationsnet og -tjenester.

2.8.2. Regeringens overvejelser og den foreslåede ordning

Som anført ovenfor under afsnit 2.8.1.1. er det en forudsætning for, at ret-

terne effektivt kan gennemføre telefonforkyndelser, at den, der skal for-

kynde, har adgang til oplysninger om telefonnumre, herunder hemmelige

telefonnumre.

Det er efter regeringens opfattelse ligeledes en forudsætning for, at retterne

og kriminalforsorgen effektivt kan fremsende påmindelser pr. sms om tid

og sted for retsmøder, afsoning mv., at den, der skal fremsende påmindel-

sen pr. sms, har adgang til oplysninger om telefonnumre, herunder hem-

melige

telefonnumre, i nummeroplysningsdatabasen (”118”).

For at gøre brugen af påmindelser pr. sms om tid og sted for et retsmøde,

jf. retsplejelovens § 154 a, stk. 1, nr. 6, eller for afsoning mv., jf. straffuld-

byrdelseslovens § 89 b, mere effektiv, foreslås der derfor en ændring af §

31, stk. 6, i lov om elektroniske kommunikationsnet og -tjenester, således

at retternes adgang til at indhente oplysninger om telefonnumre, herunder

hemmelige telefonnumre, i nummeroplysningsdatabasen

(”118”) som led i

telefonforkyndelser, udvides til også at omfatte opslag til brug for påmin-

delser pr. sms om tid og sted for et retsmøde, når der er sket forkyndelse i

overensstemmelse med retsplejeloven, og således at kriminalforsorgen får

en lignende adgang til at indhente oplysninger i nummeroplysningsdataba-

sen til brug for påmindelser pr. sms om tid og sted for afsoning, møder i

kriminalforsorgen mv.

I forhold til retterne indebærer forslaget, at de personer, der ved retterne

beskikkes til at foretage forkyndelser, og som i dag har adgang til at ind-

hente oplysninger om telefonnumre, herunder hemmelige telefonnumre, i

nummeroplysningsdatabasen (”118”) til brug for telefonforkyndelser, også

får adgang til at foretage opslag til brug for påmindelser pr. sms om tid og

sted for et retsmøde i overensstemmelse med retsplejelovens § 154 a, stk.

1, nr. 6.

For så vidt angår kriminalforsorgen forudsættes det ligeledes, at det alene

er de medarbejdere ved kriminalforsorgen, der er udpeget til at foretage

indkaldelser og sende påmindelser herom, der får adgang til at indhente

oplysninger om telefonnumre, herunder hemmelige telefonnumre, i num-

meroplysningsdatabasen.

Hemmelige telefonnumre udgør personoplysninger. Der er i databeskyttel-

sesforordningens artikel 5 og i lov om retshåndhævende myndigheders

behandling af personoplysningers § 4 fastsat en række grundlæggende

principper for den dataansvarliges behandling af personoplysninger. Det

følger bl.a. af databeskyttelsesforordningens artikel 5, stk. 1, litra b, 1. pkt.,

og § 4, stk. 2, i lov om retshåndhævende myndigheders behandling af per-

sonoplysninger, at indsamling af oplysninger skal ske til udtrykkeligt an-

givne og legitime formål. Det følger endvidere af databeskyttelsesforord-

ningens artikel 5, stk. 1, litra c, og af § 4, stk. 3, i lov om retshåndhævende

myndigheders behandling af personoplysninger, at oplysninger, som be-

handles, skal være relevante og tilstrækkelige og begrænset til, hvad der er

nødvendigt i forhold til de formål, hvortil de behandles. Herudover inde-

holder databeskyttelsesforordningen og lov om retshåndhævende myndig-

heders behandling af personoplysninger bl.a. mere specifikke regler om,

hvornår en dataansvarlig må behandle

–

herunder videregive

–

personop-

lysninger. Det afhænger af oplysningernes karakter og formålet med vide-

regivelsen, hvilke regler den dataansvarlige skal følge i det enkelte tilfæl-

de.

Det er regeringens vurdering, at den foreslåede adgang til behandling af

hemmelige telefonnumre i nummeroplysningsdatabasen (”118”) til

brug

for påmindelser pr. sms om tid og sted for retsmøder efter retsplejelovens

§ 154 a, stk. 1, nr. 6, og om tid og sted for afsoning, møder i kriminalfor-

sorgen mv., jf. straffuldbyrdelseslovens § 89 b, vil have et udtrykkeligt

angivet og legitimt formål, jf. herved databeskyttelsesforordningens artikel

5, stk. 1, litra b, og § 4, stk. 2, i lov om retshåndhævende myndigheders

behandling af personoplysninger, og at behandlingen ikke vil være i strid

med kravet om proportionalitet i databeskyttelsesforordningens artikel 5,

stk. 1, litra c, og § 4, stk. 3, i lov om retshåndhævende myndigheders be-

handling af personoplysninger.

Det bemærkes i den forbindelse, at hensynet bag bestemmelsen i retspleje-

lovens § 154 a, stk. 1, nr. 6, som anført ovenfor under afsnit 2.8.1.1., er, at

påmindelser pr. sms eller e-mail vil være et egnet middel til at reducere

antallet af udeblivelser fra retsmøder, navnlig i de sager, hvor der sker be-

rammelse lang tid forud for retsmødet. Tilsvarende er formålet med be-

stemmelsen i straffuldbyrdelseslovens § 89 b at nedbringe antallet af ude-

blivelser fra afsoning og fra møder i kriminalforsorgen mv., jf. nærmere

afsnit 2.8.1.2. Den foreslåede udvidelse af adgangen til at indhente oplys-

ninger om telefonnumre, herunder hemmelige telefonnumre, i nummerop-

lysningsdatabasen

(”118”) vil efter regeringens opfattelse være med til at

understøtte hensynene bag de nævnte bestemmelser.

For så vidt angår retterne bemærkes det desuden, at det med den foreslåede

ændring af § 31, stk. 6, i lov om elektroniske kommunikationsnet og -

tjenester forudsættes, at kun de personer, der beskikkes til at foretage for-

kyndelser, kan indhente oplysninger om de hemmelige telefonnumre i

nummeroplysningsdatabasen (”118”) til brug for påmindelser pr. sms om

tid og sted for et retsmøde, jf. retsplejelovens § 154 a, stk. 1, nr. 6, når der

er sket forkyndelse i overensstemmelse med retsplejeloven. Det er samti-

dig en forudsætning, at behandlingen af de pågældende telefonnumre sker

i overensstemmelse med databeskyttelsesforordningen, databeskyttelseslo-

ven og lov om retshåndhævende myndigheders behandling af personop-

lysninger.

I forhold til kriminalforsorgen forudsættes det ligeledes, at det alene er de

medarbejdere ved kriminalforsorgen, der er udpeget til at foretage indkal-

delser og sende påmindelser herom, der får adgang til at indhente oplys-

ninger om telefonnumre, herunder hemmelige telefonnumre, i nummerop-

lysningsdatabasen.

Der henvises i øvrigt til lovforslagets § 19, nr. 1, og bemærkningerne her-

til.

2.9. Konsekvensændring i CPR-loven i medfør af markedsføringslo-

ven

2.9.1. Gældende ret

Det fremgår af CPR-lovens § 29, stk. 2, 1. pkt., at enhver ved henvendelse

til sin bopælskommune har ret til at få indsat en markering i CPR om, at

den pågældende frabeder sig henvendelser, der sker i markedsføringsøje-

med.

Efter CPR-lovens § 29, stk. 2, 2. pkt., giver en sådan markering dels den

beskyttelse mod markedsføring, der er fastsat i markedsføringslovens § 6

sammenholdt med CPR-lovens § 40, stk. 4 og 5, dels den beskyttelse mod

videregivelse mv. til brug ved anden virksomheds markedsføring, der er

fastsat i § 36 i lov om behandling af personoplysninger.

Bestemmelsen i CPR-lovens § 29, stk. 2, er en del af ordningen vedrøren-

de markedsføringsbeskyttelse for forbrugere, der er reguleret i henholdsvis

markedsføringsloven og i den gældende persondatalov.

2.9.2. Økonomi- og Indenrigsministeriets overvejelser og den foreslåe-

de ordning

Økonomi- og Indenrigsministeriet foreslår, at henvisningen i CPR-lovens

§ 29, stk. 2, 2. pkt., til markedsføringslovens § 6 ændres til en henvisning

til markedsføringslovens § 10.

Ved lov nr. 426 af 3. maj 2017 om markedsføring blev reguleringen af den

beskyttelse mod markedsføring som tidligere var fastsat i markedsførings-

lovens § 6 videreført med få justeringer ved lovens § 10. Der henvises her-

om til bemærkningerne til forslaget til denne lov, jf. Folketingstidende

2016-17, A, L 40 som fremsat, side 59.

Der blev ikke i den forbindelse foretaget de nødvendige konsekvensæn-

dringer i CPR-lovens § 29, stk. 2, 2. pkt.

Økonomi- og Indenrigsministeriet vurderer det hensigtsmæssigt, at der i

forbindelse med dette lovforslag foretages en ændring, der sikrer den rette

henvisning til bestemmelsen i markedsføringsloven.

Den foreslåede ændring er af redaktionel karakter, og vedrører alene hen-

visningerne i CPR-lovens § 29, stk. 2, 2. pkt., til de ovennævnte regler i

anden lovgivning, hvori selve beskyttelsen fremover vil være reguleret.

For nærmere herom henvises til de specielle bemærkninger til lovforsla-

gets § 25.

2.10. Konsekvensændring i lov om Digital Post fra offentlige afsendere

2.10.1. Gældende ret

§ 2, stk. 3 i lov om Digital Post fra offentlige afsendere indeholder en fra-

vigelse af persondatalovens § 35, efter hvilken den registrerede kan gøre

indsigelse mod, at oplysninger om vedkommende gøres til genstand for

behandling.

Henvisningen til § 35 i lov om behandling af personoplysninger i § 2, stk.

3, i lov om Digital Post fra offentlige afsendere er indsat for at præcisere,

at indsigelse fra en borger mod at vedkommendes personnummer behand-

les i forbindelse med tilslutning til og drift af Digital Post løsningen, uden

videre vil blive anset som uberettiget.

Tilslutning til og drift af Digital Post løsningen kræver således behandling

af personnumre for fysiske personer, idet løsningen er knyttet op på bor-

gernes personnummer. Anvendelsen af personnumre sker ud fra hensynet

til at sikre, at myndigheder kan kommunikere sikkert til et specifikt per-

sonnummer for fysiske personer, for dermed at sikre identiteten af den

borger, der kommunikeres med.

2.10.2. Finansministeriets overvejelser og den foreslåede ordning

Det foreslås, at den eksisterende begrænsning af de registreredes indsigel-

sesadgang i lov om Digital Post til offentlige afsendere opretholdes. Dette

sker ved at opdatere bestemmelsen med en henvisning til databeskyttelses-

forordningens artikel 21.

Databeskyttelsesforordningens artikel 23 giver mulighed for, at medlems-

staterne kan begrænse de rettigheder og forpligtelser, der er omhandlet i

forordningens artikel 12-22, såfremt dette er en nødvendig og forholds-

mæssig foranstaltning i et demokratisk samfund af hensyn til bl.a. en med-

lemsstats generelle samfundsinteresser, jf. artikel 23, stk. 1, litra e.

Med lovforslaget foreslås det derfor præciseret, at behandlingen af person-

numre i forbindelse med tilslutning til og drift af Digital Post løsningen

ikke er omfattet af den registreredes indsigelsesret efter databeskyttelses-

forordningens artikel 21. Baggrunden for dette er, at Digital Post løsningen

er den primære digitale infrastruktur for sikker skriftlig kommunikation

mellem det offentlige og borgerne. Det forhold, at det er obligatorisk for

borgere at være tilsluttet Digital Post løsningen bevirker, at løsningen har

en væsentlig samfundsmæssig betydning

–

herunder at sikre, at de mange

millioner digitale breve, som de op mod 400 offentlige myndigheder ud-

sender hvert år, kommer sikkert frem til den rette modtager. Digital Post

løsningen skal ses i en sammenhæng med regeringens ønske om generel

digitalisering i det offentlige udmøntet via Den fællesoffentlige Digitalise-

ringsstrategi, og Digital Post understøtter de øvrige digitaliseringstiltag,

heriblandt digital selvbetjening. Det er en del af løsningen, at myndigheder

kan kommunikere sikkert til et specifikt personnummer for fysiske perso-

ner, for dermed at sikre identiteten af den borger, der kommunikeres med.

Tilslutningen til Digital Post løsningen er fastlagt ved lov. Finansministe-

riet vurderer således, at løsningen er i den generelle samfundsinteresse, jf.

artikel 23, stk. 1, litra e.

I relation til databeskyttelsesforordningens artikel 23, stk. 2, bemærkes det,

at forslaget omfatter behandling af personnumre med det formål at kunne

tilslutte borgere til Digital Post løsningen og for at kunne varetage den

løbende drift af Digital Post løsningen, så længe den pågældende borger er

tilsluttet løsningen (artikel 23, stk. 2, litra a-c og f).

Begrænsningen af indsigelsesretten fremgår af lov om Digital Post fra of-

fentlige afsendere. De enkelte registrerede underrettes ikke derudover di-

rekte om begrænsningen (artikel 23, stk. 2, litra h).

Behandlingen varetages af en af ministeren for offentlig innovation udpe-

get systemansvarlig (artikel 23, stk. 2, litra e).

Finansministeriet vurderer således, at begrænsningen af indsigelsesretten

efter databeskyttelsesforordningens artikel 21 er i overensstemmelse med

forordningens artikel 23.

Med den opdaterede henvisning sikres det, at retstilstanden på området for

afsendelse af digital post fra offentlige afsendere fastholdes uændret.

3. Økonomiske og administrative konsekvenser for det offentlige

De økonomiske og administrative konsekvenser for det offentlige er under

afklaring.

4. Økonomiske og administrative konsekvenser for erhvervslivet mv.

Lovforslaget har ikke økonomiske og administrative konsekvenser for er-

hvervslivet mv.

5. Administrative konsekvenser for borgerne

Lovforslaget har ikke administrative konsekvenser for borgerne.

6. Miljømæssige konsekvenser

Lovforslaget har ikke miljømæssige konsekvenser.

7. Forholdet til EU-retten

Som konsekvens af databeskyttelsesforordningen, der anvendes fra den 25.

maj 2018, foretages ændringer i en række love, som enten henviser til per-

sondataloven eller indeholder bestemmelser, som regulerer behandling af

personoplysninger, i det omfang dette er reguleret i forordningen, og for-

ordningen ikke overlader et nationalt råderum til at opretholde bestemmel-

serne.

8. Hørte myndigheder og organisationer mv.

Et udkast til lovforslaget har i perioden fra den 18. august 2017 til den 14.

september 2017 været sendt i høring hos følgende myndigheder og organi-

sationer mv.:

Advokatrådet, Akademikernes Centralorganisation, Amnesty International,

Andelsboligforeningernes Fællesrepræsentation, Arbejderbevægelsens

Erhvervsråd, Arkitektforeningen, ATP, BL

–

Danmarks Almene Boliger,

Boligselskabernes Landsforening, Copenhagen Business School (CBS),

Dansk Fjernvarme, Danmarks Idræts Forbund, Danmarks Jurist- og Øko-

nomforbund, Danmarks Lejerforeninger, Danmarks Radio, Danmarks Re-

deriforening, Danmarks Tekniske Universitet, Dansk Arbejdsgiverfor-

ening, Dansk Byggeri, Dansk Ejendomsmæglerforening, Dansk Erhverv,

Dansk Industri, Dansk Inkassobrancheforening, Dansk IT, Dansk Journa-

listforbund, Dansk Ældreråd, Danske Advokater, Danske Bedemænd,

Danske Forlag, Danske Handicaporganisationer, Danske Insolvensadvoka-

ter, Danske Medier, Danske Regioner, Danske Seniorer, Danske Udlejere,

Datatilsynet, Lægeforeningen, Den Danske Dommerforening, Det Centrale

Handicapråd, Det Danske Voldgiftsinstitut, Det Kriminalpræventive Råd,

Direktoratet for Kriminalforsorgen, Dommerfuldmægtigforeningen, Dom-

stolenes Tjenestemandsforening, Domstolsstyrelsen, Ejendomsforeningen

Danmark, Erhvervslejernes Landsorganisation, Experian, FAB

–

Forenin-

gen af byplanlæggere, Fagligt Fælles Forbund

–

3F, Finans og Leasing,

Finansrådet, FOA

–

Fag og Arbejde, Forbrugerombudsmanden, Forbruger-

rådet, Foreningen af miljø-, plan- og naturmedarbejdere i det offentlige

(EnviNa), Foreningen af Offentlige Anklagere, Foreningen af Statsadvoka-

ter, Foreningen af Statsforvaltningsjurister, Foreningen Industriel Retsbe-

skyttelse, Forsikring og Pension, Forsikringsmæglerforeningen, Forsvarets

Efterretningstjeneste, FSR, Funktionærernes og Tjenestemændenes Fælles-

råd FTF, Færøernes Landsstyre, Grundejeren.dk, Grønlands Selvstyre,

Handelshøjskolen

–

Århus Universitet, HK Kommunal, HK - Landsklub-

ben Danmarks Domstole, HK Landsklubben for Politiet, Højesteret,

Håndværksrådet, Indsamlingsorganisationernes Brancheorganisation, In-

geniørforeningen i Danmark, Institut for Menneskerettigheder, IT-

Branchen, Justitia, KL, Kreativitet og Kommunikation, Kræftens bekæm-

pelse, Københavns Universitet, Landsforeningen af Forsvarsadvokater,

Landsforeningen KRIM, Landsorganisationen i Danmark (LO), Lejernes

Landsorganisation, Liberale Erhvervs Råd, Lægemiddelindustriforeningen

(LIF), Natur- og Miljøklagenævnet, Parcelhusejernes Landsforening, Poli-

tidirektørforeningen, Politiets Efterretningstjeneste, Politiforbundet, Post-

nord AB, PROSA, Procesbevillingsnævnet, Realkreditforeningen,

Realkreditrådet, Retspolitisk Forening, Rigsadvokaten, Rigsombudsman-

den i Grønland, Rigsombudsmanden på Færøerne, Rigspolitiet, Rådet for

Digital Sikkerhed, Rådet for Etniske Minoriteter, samtlige byretter, samtli-

ge kommuner, samtlige ministerier, samtlige regioner, Sammenslutningen

af lokale Radio og Tv-stationer DFS, SikkerhedsBranchen, Syddansk Uni-

versitet, Sø- og Handelsretten, Tilsynet med Efterretningstjenesterne,

Tinglysningsretten, TV2, Udbetaling Danmark, Udvalget til Beskyttelse af

Videnskabeligt Arbejde, Vestre Landsret, Ældre Forum, Ældre Sagen,

Østre Landsret, Aalborg Universitet, Aarhus Retshjælp og Aarhus Univer-

sitet.

9. Sammenfattende skema

Positive konsekven- Negative

konsekven-

ser/mindreudgifter

ser/merudgifter (hvis ja,

(hvis ja, angiv om- angiv omfang)

fang)

Økonomiske konse-

kvenser

for stat, kommuner

og regioner

Administrative kon-

sekvenser

for stat,

kommuner og regio-

ner

Økonomiske konse-

kvenser

for erhvervslivet

Administrative kon-

sekvenser

for erhvervslivet

Administrative kon-

sekvenser

for borgerne

Miljømæssige

konsekvenser

Forholdet til EU-retten

Ingen

Som konsekvens af databeskyttelsesfor-

ordningen, der anvendes fra den 25. maj

2018, foretages ændringer i en række

love, som enten henviser til persondata-

loven fra 2000 eller indeholder bestem-

melser, som regulerer behandling af per-

sonoplysninger, i det omfang dette er

reguleret i forordningen, og forordningen

ikke overlader et nationalt råderum til at

opretholde bestemmelserne.

Bemærkninger til lovforslagets enkelte bestemmelser

Til § 1

Nr. 1-3

Det følger af den gældende bestemmelse i lov om retshåndhævende myn-

digheders behandling af personoplysningers § 27, stk. 3, at for oplysninger

af særlig interesse for fremmede magter skal der træffes foranstaltninger,

der muliggør bortskaffelse eller tilintetgørelse i tilfælde af krig eller lig-

nende forhold.

Med bestemmelsen skete der en videreførelse af den såkaldte »krigsregel«

i persondataloven, som indebærer, at der skal træffes særlige foranstaltnin-

ger i forhold til oplysninger med særlig interesse for fremmede magter

bl.a. for dermed hurtigt og effektivt at kunne overtage den almindelige

administration, jf. persondatalovens § 41, stk. 4.

Bestemmelsen indebærer, at ikke alle behandlinger vil kunne udføres af en

databehandler i udlandet, hvis en sådan overladelse medfører, at krigsreg-

len ikke kan iagttages af den dataansvarlige.

Bestemmelsen varetager hensynet til den offentlige sikkerhed og skal for-

tolkes i lyset af Danmarks EU-retlige forpligtelser.

Det følger endvidere af § 27, stk. 4, at justitsministeren bemyndiges til at

fastsætte nærmere regler om sikkerhedsforanstaltninger. Der er tale om en

videreførelse af den gældende bestemmelse i persondatalovens § 41, stk. 5.

Bestemmelsen kan anvendes til at udstede en bekendtgørelse, som skal

erstatte den gældende sikkerhedsbekendtgørelse og sikkerhedsbekendtgø-

relsen for domstolene i forhold til den behandling af personoplysninger,

der er omfattet af loven.

Det følger endelig af § 27, stk. 5, at justitsministeren efter indstilling fra en

kompetent myndighed kan fastsætte regler om, at personoplysninger om-

fattet af stk. 3 ikke skal underlægges foranstaltninger, der muliggør bort-

skaffelse eller tilintetgørelse, hvis dette ud fra en samlet vurdering må an-

ses for forsvarligt. Ved fastsættelsen af sådanne regler vil der ske en ind-

dragelse af de relevante myndigheder, herunder forsvarsministeren.

Med bestemmelsen sikres det, at justitsministeren efter indstilling fra en

kompetent myndighed kan fastsætte nærmere regler om, at oplysninger,

der er omfattet af den foreslåede stk. 3, ikke skal være underlagt et krav

om, at det i tilfælde af krig eller lignende forhold skal være muligt at fore-

tage bortskaffelse eller tilintetgørelse.

Krigsreglen indebærer som nævnt ovenfor, at visse registre

–

som følge af

karakteren af de personoplysninger, som er indeholdt heri

–

skal føres i

Danmark.

Bestemmelsen i § 27, stk. 5, gør det praktisk muligt for de kompetente

myndigheder helt eller delvist at gøre brug af f.eks. cloud-tjenester, hvor

opbevaringen af oplysninger sker på servere i udlandet.

Vurderingen af, om det kan anses for forsvarligt at opbevare de pågælden-

de oplysninger i udlandet, vil navnlig inddrage de pågældende oplysnin-

gers karakter og de tekniske og organisatoriske foranstaltninger, jf. § 27,

stk. 2, i lov om retshåndhævende myndigheders behandling af personop-

lysninger, som træder i stedet for de foranstaltninger, som ellers skulle

have været truffet i medfør af § 27, stk. 3. Det vil være op til den relevante

kompetente myndighed at fremlægge en nærmere begrundelse for, at det er

forsvarligt, at der ikke stilles krav om, at det pågældende register skal føres

i Danmark.

Den foreslåede ændring vil medføre, at § 27, stk. 3 og 5, samt den del af

bestemmelsens stk. 4, der henviser til stk. 3 i lov om retshåndhævende

myndigheders behandling af personoplysninger, ophæves.

Dette er en konsekvens af, at det er mest hensigtsmæssigt, at der kun gæl-

der én regel for opbevaring af særlige IT-systemer for både lov om rets-

håndhævende myndigheders behandling af personoplysninger og databe-

skyttelsesloven.

Der henvises i øvrigt til afsnit 2.2. i lovforslagets almindelige bemærknin-

ger.

Den nye såkaldte »krigsregel« skal herefter fremadrettet findes i databe-

skyttelsesloven.

Det foreslås, at § 27, stk. 3, i lov om retshåndhævende myndigheders be-

handling af personoplysninger ophæves, således at det herefter fremgår af

bestemmelsen, at justitsministeren efter forhandling med vedkommende

minister kan fastsætte regler efter § 3, stk. 9, i databeskyttelsesloven.

Af databeskyttelseslovens § 3, stk. 9, fremgår det, at justitsministeren efter

forhandling med vedkommende minister kan fastsætte regler om, at per-

sonoplysninger, der behandles i nærmere bestemte IT-systemer, og som

føres af eller for den offentlige forvaltning, alene må opbevares her i lan-

det.

Bestemmelsen herom i databeskyttelsesloven skal afløse krigsreglen efter

persondatalovens § 41, stk. 4.

Det er hensigten med den nye udformning af krigsreglen, at IT-systemer

–

før de tages i brug

–

af justitsministeren og vedkommende minister kan

sættes på en liste, der optages som bilag til bekendtgørelsen i medfør af

stk. 9.

Det er også hensigten, at IT-systemer alene sættes på denne liste, hvis det

er vurderet, at det er af hensyn til statens sikkerhed, at det pågældende

system skal føres her i landet. I en sådan situation vil opbevaringen af de

pågældende personoplysninger falde uden for EU-retten og dermed data-

beskyttelsesforordningen og databeskyttelsesdirektivet.

Det er ikke hensigten, at bestemmelsen skal anvendes for at imødekomme

hensyn, der vedrører IT-sikkerheden, idet dette hensyn i tilstrækkelig grad

må forventes tilgodeset i bestemmelserne i forordningen og lov om rets-

håndhævende myndigheders behandling af personoplysninger

–

uafhæng-

igt af om det pågældende IT-system føres her i landet eller i et andet EU-

land.

Nr. 4

Det følger af den gældende bestemmelse i lov om retshåndhævende myn-

digheders behandling af personoplysningers § 37, stk. 2, at tilsynets dagli-

ge forretninger varetages af et sekretariat, der ledes af en direktør.

Det følger dernæst af stk. 3, at justitsministeren nedsætter Datarådet, som

består af en formand, der er dommer, og af 6 andre medlemmer. Der kan

udpeges stedfortrædere for medlemmerne. Formanden, medlemmerne og

stedfortræderne for disse udpeges for 4 år. Der kan ske genudpegning to

gange. Udpegelsen af formand, medlemmer og stedfortrædere for disse

sker på baggrund af disses faglige kvalifikationer, herunder navnlig eks-

pertise inden for databeskyttelsesret.

Bemyndigelsen til, at Datarådet kan fastsætte sin forretningsorden og for-

delingen af arbejdet mellem rådet og sekretariatet følger af stk. 4.

Det følger af stk. 5, at udpegelsen af formand, medlemmer og stedfortræ-

dere for disse er betinget af, at de pågældende sikkerhedsgodkendes, og at

godkendelsen opretholdes i hele embedsperioden.

Der skal som minimum ske en sikkerhedsgodkendelse til klassifikations-

graden HEMMELIGT i overensstemmelse med sikkerhedscirkulæret.

Med bestemmelsen sikres det, at Datarådet kan håndtere oplysninger om

de kompetente myndigheders systemer på betryggende vis. Hvis et med-

lem mister sin sikkerhedsgodkendelse, vil den pågældende ikke længere

kunne være medlem af rådet.

Det følger endvidere af stk. 6, at hvervet som formand, medlem eller sted-

fortræder ophører ved udgangen af embedsperioden eller ved frivillig fra-

træden.

Det følger dernæst af stk. 7, at formanden, medlemmer og stedfortrædere

for disse alene kan afskediges i tilfælde af alvorligt embedsmisbrug, eller

hvis disse ikke længere opfylder betingelserne for at varetage hvervet.

Med bestemmelsen understreges det, at medlemmer af Datarådet skal kun-

ne agere uafhængigt i hele embedsperioden. Der er således ikke mulighed

for at afskedige et medlem som følge af generel utilfredshed med det på-

gældende medlems beslutninger i rådet.

Det følger endvidere af stk. 8, at sekretariatets personale samt Datarådets

formand, medlemmer og stedfortrædere for disse kun kan have bibeskæfti-

gelse, for så vidt og i det omfang det er foreneligt med udøvelsen af de

pligter, der er knyttet til stillingen eller hvervet.

Bestemmelsen understreger, at tilsynets personale og Datarådets medlem-

mer skal være uafhængige.

Det følger endelig af stk. 9, at Datatilsynet repræsenterer tilsynsmyndighe-

derne i Det Europæiske Databeskyttelsesråd.

Den foreslåede ændring vil medføre, at § 37, stk. 2-9, i lov om retshånd-

hævende myndigheders behandling af personoplysninger ophæves.

Den foreslåede ændring medfører, at reglerne om Datatilsynets sammen-

sætning, uafhængighed mv. fremover bliver reguleret af reglerne herom i

databeskyttelseslovens § 27, stk. 2-9.

Dette er en konsekvens af, at det er mest hensigtsmæssigt, at reguleringen

heraf kun fremgår af ét regelsæt.

Der henvises i øvrigt til afsnit 2.2. i lovforslagets almindelige bemærknin-

ger.

Reglerne i databeskyttelsesloven er stort set identiske med reglerne i lov

om retshåndhævende myndigheders behandling af personoplysninger.

Det følger dog som noget nyt af databeskyttelsesloven § 27, stk. 3, at ju-

stitsministeren nedsætter Datarådet, som består af en formand, der er

dommer, og af 7 andre medlemmer. Erhvervsministeren og ministeren for

offentlig innovation udnævner hver ét de 7 andre medlemmer omfattet af

1. pkt. Justitsministeren kan udpege stedfortrædere for medlemmerne.

Formanden, medlemmerne og stedfortræderne for disse udpeges for 4 år.

Der kan ske genudpegning to gange. Udpegelsen af formand, medlemmer

og stedfortrædere for disse sker på baggrund af disses faglige kvalifikatio-

ner.

Datarådets sammensætning er således forskellig fra lov om retshåndhæ-

vende myndigheders behandling af personoplysninger til databeskyttelses-

loven.

Som noget nyt skal erhvervsministeren og ministeren for offentlig innova-

tion tillige med justitsministeren udpege medlemmer til Datarådet, hvilket

bl.a. er for at sikre, at det tilstræbes, at der udpeges et eller flere medlem-

mer med erfaring inden for informationssikkerhed og anvendelse af data i

praksis. Den faglige kvalifikation i Datarådet sikres samtidig yderligere

ved, at der er 8 medlemmer i rådet.

Til § 2

Nr. 1

Det følger af forvaltningslovens § 10, stk. 1, at det i forbindelse med be-

handlingen af en anmodning om aktindsigt skal overvejes, om der kan gi-

ves aktindsigt i dokumenter og oplysninger i videre omfang, end hvad der

følger af §§ 12-15 b. Der kan gives aktindsigt i videre omfang, medmindre

det vil være i strid med anden lovgivning, herunder regler om tavsheds-

pligt og regler i lov om behandling af personoplysninger.

Det foreslås, at henvisningen til persondataloven i forvaltningslovens § 10,

stk. 1, ændres som følge af, at persondataloven ophæves. Henvisningen

skal således tilpasses databeskyttelsesforordningen, databeskyttelsesloven

og lov om retshåndhævende myndigheders behandling af personoplysnin-

ger.

Der er tale om en justering af lovteknisk karakter, som ikke ændrer på

gældende ret.

Nr. 2

Det følger af forvaltningslovens § 28, stk. 1, at for videregivelse af oplys-

ninger om enkeltpersoner (personoplysninger) til en anden forvaltnings-

myndighed gælder reglerne i § 5, stk. 1-3, §§ 6-8, § 10, § 11, stk. 1, § 38

og § 40 i lov om behandling af personoplysninger, jf. denne lovs § 1,

stk. 3.

Bestemmelsen fastslår således, at persondatalovens videregivelsesregler

også gælder for manuel videregivelse af personoplysninger til en anden

forvaltningsmyndighed.

Det foreslås, at henvisningen til en række bestemmelser i persondataloven

ændres til de nu tilsvarende bestemmelser, som både fremgår af databe-

skyttelsesforordningen og databeskyttelsesloven. Ændringen er en konse-

kvens af, at persondataloven ophæves og databeskyttelsesforordningen

samt databeskyttelsesloven finder anvendelse den 25. maj 2018.

Der er med ændringerne ikke tilsigtet en ændring af retstilstanden. Således

vil manuel videregivelse af personoplysninger skulle foretages inden for

rammerne af de nævnte bestemmelser i lovforslaget, mens automatisk be-

handling af personoplysninger foretages inden for rammerne af databe-

skyttelsesforordningen og databeskyttelsesloven. Endelig foretages auto-

matisk behandling af personoplysninger inden for rammerne af lov om

retshåndhævende myndigheders behandling af personoplysninger, når be-

handlingen er inden for denne lovs anvendelsesområde, jf. lovens § 1, stk.

Der er således tale om en justering af lovteknisk karakter, som ikke ændrer

på gældende ret.

Til § 3

Nr. 1

Det følger af offentlighedslovens § 11, stk. 1, at enhver kan forlange, at en

forvaltningsmyndighed foretager og udleverer en sammenstilling af fore-

liggende oplysninger i myndighedens databaser, hvis sammenstillingen

kan foretages ved få og enkle kommandoer. Såfremt oplysningerne er om-

fattet af §§ 19-35, gælder sammenstillingsretten kun, hvis de hensyn, der

er nævnt i disse bestemmelser, kan tilgodeses gennem anonymisering

el.lign., der kan foretages ved få og enkle kommandoer. Retten til at få

foretaget en sammenstilling gælder ikke, hvis oplysningerne allerede er

offentliggjort i egnet form eller format.

Det følger endvidere af bestemmelsens stk. 2, at stk. 1 ikke finder anven-

delse med hensyn til personoplysninger omfattet af § 10 i lov om behand-

ling af personoplysninger.

Det følger af persondatalovens § 10, stk. 1, at oplysninger som nævnt i

lovens § 7, stk. 1, eller § 8 må behandles, hvis dette alene sker med hen-

blik på at udføre statistiske eller videnskabelige undersøgelser af væsentlig

samfundsmæssig betydning, og hvis behandlingen er nødvendig for udfø-

relsen af undersøgelserne.

Efter persondatalovens § 7, stk. 1, må der ikke behandles oplysninger om

racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbe-

visning, fagforeningsmæssige tilhørsforhold og oplysninger om helbreds-

mæssige og seksuelle forhold.

Efter persondatalovens § 8, må der for den offentlige forvaltning ikke be-

handles oplysninger om strafbare forhold, væsentlige sociale problemer og

andre rent private forhold end de i § 7, stk. 1, nævnte, medmindre det er

nødvendigt for varetagelsen af myndighedens opgaver.

Det foreslås, at henvisningen til persondatalovens § 10 ændres til den nu

næsten tilsvarende § 10, stk. 1-3, i databeskyttelsesloven. Ændringen er en

konsekvens af, at persondataloven ophæves og databeskyttelsesforordnin-

gen samt databeskyttelsesloven finder anvendelse den 25. maj 2018.

Det følger af § 10 i databeskyttelsesloven, at oplysninger som nævnt i da-

tabeskyttelsesforordningens artikel 9, stk. 1, og artikel 10 må behandles,

hvis dette alene sker med henblik på at udføre statistiske eller videnskabe-

lige undersøgelser af væsentlig samfundsmæssig betydning, og hvis be-

handlingen er nødvendig af hensyn til udførelsen af undersøgelserne.

Der er tale om en justering af lovteknisk karakter, der som det klare ud-

gangspunkt ikke ændrer på gældende ret.

Nr. 2

Det fremgår af offentlighedslovens § 14, stk. 1, at det i forbindelse med

behandlingen af en anmodning om aktindsigt skal overvejes, om der kan

gives aktindsigt i dokumenter og oplysninger i videre omfang, end hvad

der følger af §§ 23-35. Der kan gives aktindsigt i videre omfang, medmin-

dre det vil være i strid med anden lovgivning, herunder regler om tavs-

hedspligt og regler i lov om behandling af personoplysninger.

Det foreslås, at henvisningen til persondataloven i offentlighedslovens §

14, stk. 1, ændres som følge af, at persondataloven ophæves. Henvisningen

skal således tilpasses databeskyttelsesforordningen, databeskyttelsesloven

samt lov om retshåndhævende myndigheders behandling af personoplys-

ninger.

Der er tale om en justering af lovteknisk karakter, som ikke ændrer på

gældende ret.

Til § 4

Nr. 1

PET-lovens § 9 a, stk. 1 og 2, og § 13, stk. 2, indeholder en række henvis-

ninger til PET-lovens § 7, stk. 2, og § 8, stk. 2.

Med lovforslagets § 4, nr. 3 og 4, foreslås det at ophæve PET-lovens § 7,

stk. 1, og § 8, stk. 1. Det foreslås derfor, at henvisningerne til PET-lovens

§ 7, stk. 2, og § 8, stk. 2, overalt i loven ændres til henvisninger til PET-

lovens § 7, stk. 1, og § 8, stk. 1. Der er tale om konsekvensændringer af

lovteknisk karakter i lyset af lovforslagets § 4, nr. 3 og 4.

Der henvises til afsnit 2.3.2.2.3. i lovforslagets almindelige bemærkninger.

Nr. 2

Det fremgår af PET-lovens § 7, stk. 1, at persondatalovens § 3 (om defini-

tioner), § 5 (om generelle behandlingsprincipper), § 11, stk. 1 (om at of-

fentlige myndigheder kan behandle oplysninger om personnummer med

henblik på entydig dokumentation eller som journalnummer), § 14 (om at

personoplysninger kan overføres til opbevaring i arkiv efter reglerne i ar-

kivlovgivningen) og §§ 41 og 42 (om behandlingssikkerhed) finder anven-

delse for PET’s behandling af personoplysninger. Det fremgår endvidere

af PET-lovens § 8, stk. 1, at persondatalovens §§ 3, 5, 14, 41 og 42 finder

anvendelse for PET’s behandling af oplysninger

om juridiske personer.

Det foreslås at fastsætte en samlet bestemmelse som nyt

§ 6 a

i PET-loven,

som indsætter ordlyden fra persondatalovens § 5, § 11, stk. 1, og § 14 i

PET-loven, således at gældende ret fra disse bestemmelser videreføres.

Ændringen skal ses i lyset af, at de gældende regler i persondatalovens § 3,

§ 5, § 11, stk. 1, og §§ 14, 41 og 42 enten ikke vil fremgå af den nye data-

beskyttelseslov eller vil have et mindre ændret indhold, når databeskyttel-

sesforordningen får virkning i dansk ret. Der vurderes ikke at være behov

for at indsætte definitionerne i persondatalovens § 3 i lovteksten i PET-

loven, da begreberne i PET-loven fortsat vil skulle forstås på samme måde

som i den nuværende udformning af PET-loven.

Bestemmelsen vil både

omfatte PET’s behandling af personoplysninger og

PET’s behandling af oplysninger om juridiske personer. Bestemmelsen vil

i sin helhed skulle fortolkes i overensstemmelse med gældende ret efter

den hidtil gældende persondatalov og vil således ikke skulle fortolkes i

lyset af bestemmelserne i databeskyttelsesloven og databeskyttelsesforord-

ningen og fremtidig praksis herom.

Om PET-lovens § 7, stk. 1, og § 8, stk. 1, kan nærmere henvises til forar-

bejderne til lov nr. 604 af 12. juni 2013 om Politiets Efterretningstjeneste

(PET), jf. Folketingstidende 2012-13, A, L 161 som fremsat, side 17-27.

Om PET’s behandling og sletning af oplysninger, herunder omfanget af

persondatalovens § 5, stk. 5, der foreslås videreført som § 6 a, stk. 5, i

PET-loven, kan endvidere henvises til forarbejderne til lov nr. 1727 af 27.

december 2016 om ændring af lov om Politiets Efterretningstjeneste

(PET), jf. Folketingstidende 2016-17, A, L 71 som fremsat, side 7 ff.

Det foreslås med lovforslagets § 4, nr. 3 og 4, samtidig at ophæve PET-

lovens § 7, stk. 1, og § 8, stk. 1. Det forudsættes i forlængelse heraf, at

justitsministeren med hjemmel i de eksisterende bemyndigelser i PET-

lovens § 7, stk. 3, og § 8, stk. 3 (der med lovforslaget bliver § 7, stk. 2, og

§ 8, stk. 2), udsteder administrative regler om behandlingssikkerhed hos

PET, som vil træde i stedet for PET-lovens nuværende henvisninger til

persondatalovens §§ 41 og 42. Bemyndigelsen vil i første omgang kunne

udmøntes med henblik på at fastsætte regler i PET-bekendtgørelsen, der

viderefører indholdet i persondatalovens §§ 41 og 42. Bemyndigelsen vil

dog f.eks. også kunne udnyttes til

–

i lyset af erfaringerne med databeskyt-

telsesforordningen

–

at fastsætte, at bestemmelser i databeskyttelsesfor-

ordningen om behandlingssikkerhed finder helt eller delvis anvendelse for

PET.

Det forudsættes i den forbindelse, at Justitsministeriet drøfter de admini-

strative regler udstedt i medfør heraf med Tilsynet med Efterretningstjene-

sterne, og at både Retsudvalget og Udvalget vedrørende Efterretningstje-

nesterne underrettes, inden reglerne udstedes.

Der henvises til afsnit 2.3.2.2.1. i lovforslagets almindelige bemærkninger.

Nr. 3 og 4

Det fremgår af PET-lovens § 7, stk. 1, at persondatalovens § 3, § 5, § 11,

stk. 1, og §§ 14, 41 og 42 finder anvendelse

for PET’s behandling af per-

sonoplysninger. Det fremgår endvidere af PET-lovens § 8, stk. 1, at per-

sondatalovens §§ 3, 5, 14, 41 og 42 finder anvendelse for PET’s behand-

ling af oplysninger om juridiske personer.

Som konsekvens af den foreslåede ophævelse af persondataloven i lyset af

databeskyttelsesforordningen, foreslås det at ophæve PET-lovens § 7, stk.

1, og § 8, stk. 1.

Der henvises til afsnit 2.3.2.2.1. i lovforslagets almindelige bemærkninger.

Der henvises herudover til den foreslåede bestemmelse i § 6 a i PET-

loven, som indsætter ordlyden fra persondatalovens § 5, § 11, stk. 1, og §

14 i PET-loven, jf. lovforslagets § 4, nr. 2.

Nr. 5 og 6

PET-lovens § 9 a, stk. 1, indeholder en henvisning til PET-lovens § 7, stk.

3, og § 8, stk. 3, ligesom bestemmelsen i § 9 a, stk. 2, henviser til bestem-

melserne i lovens §§ 7-9.

I lyset af den foreslåede nye bestemmelse i PET-lovens § 6 a og den som

følge heraf foreslåede ophævelse af PET-lovens § 7, stk. 1, og § 8, stk. 1,

jf. lovforslagets § 4, nr. 2-4, er det nødvendigt at konsekvensrette henvis-

ningerne i PET-lovens § 9 a, stk. 1 og 2. De foreslåede justeringer er såle-

des alene af lovteknisk karakter og ændrer ikke på gældende ret efter PET-

lovens § 9 a.

Der henvises til afsnit 2.3.2.2.3. i lovforslagets almindelige bemærkninger.

Nr. 7-9

Reglerne om PET’s videregivelse af personoplysninger og oplysninger om

juridiske personer til andre forvaltningsmyndigheder (end FE), private,

udenlandske myndigheder og internationale organisationer er i dag regule-

ret af PET-lovens § 10, stk. 2, hvorefter PET-lovens § 7 eller persondata-

lovens § 8, stk. 2, vil finde anvendelse på videregivelsen for så vidt angår

videregivelse af personoplysninger, og PET-lovens § 10, stk. 3, hvorefter

PET-lovens § 8 finder anvendelse på videregivelsen for så vidt angår vide-

regivelse af oplysninger om juridiske personer.

Som det fremgår af lovforslagets § 4, nr. 2-4, foreslås det at ophæve PET-

lovens § 7, stk. 1, og § 8, stk. 1, for i stedet at videreføre hovedparten af

bestemmelsernes indhold i en ny bestemmelse i PET-lovens § 6 a.

Det foreslås som konsekvens heraf at justere PET-lovens § 10, stk. 2, 1.

pkt., som i dag kun henviser til PET-lovens § 7, så bestemmelsen både

henviser til PET-lovens §§ 6 a og 7.

Det foreslås endvidere at fastsætte i PET-lovens § 10, stk. 2, 2. pkt., at

databeskyttelseslovens § 8, stk. 2, der er en uændret videreførelse af per-

sondatalovens § 8, stk. 2, finder anvendelse, hvis videregivelsen vedrører

oplysninger om rent private forhold.

Bestemmelsen indebærer således

–

som det også er tilfældet efter gælden-

de ret

–

at PET kan videregive personoplysninger om rent private forhold

til andre danske forvaltningsmyndigheder (end FE), private, udenlandske

myndigheder og internationale organisationer, hvis 1) den registrerede har

givet sit udtrykkelige samtykke til videregivelsen, 2) videregivelsen sker

til varetagelse af private eller offentlige interesser, der klart overstiger hen-

synet til de interesser, der begrunder hemmeligholdelse, herunder hensynet

til den, oplysningen angår, 3) videregivelsen er nødvendig for udførelsen

af en myndigheds virksomhed eller påkrævet for en afgørelse, som myn-

digheden skal træffe, eller 4) videregivelsen er nødvendig for udførelsen af

en persons eller virksomheds opgaver for det offentlige.

Med betegnelsen ”rent private forhold” menes oplysninger om racemæssig

eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fag-

foreningsmæssige tilhørsforhold og oplysninger om helbredsmæssige og

seksuelle forhold samt oplysninger om strafbare forhold, væsentlige socia-

le problemer og andre rent private forhold, dvs. de samme oplysninger

som i dag er omfattet af ordlyden af persondatalovens § 7, stk. 1, og § 8,

stk. 1.

Det foreslås endelig at justere PET-lovens § 10, stk. 3, om videregivelse af

oplysninger om juridiske personer, så bestemmelsen både henviser til

PET-lovens § 6 a, stk. 1-5 og 7, og til § 8. Det er ikke nødvendigt at henvi-

se til den foreslåede § 6 a, stk. 6, i PET-loven, da den pågældende be-

stemmelse vedrører behandling af personnumre.

Der er tale om justeringer af lovteknisk karakter, som ikke ændrer på gæl-

dende ret.

Der henvises til afsnit 2.3.2.2.3. i lovforslagets almindelige bemærkninger.

Nr. 10

Det fremgår af PET-lovens

§ 14, stk. 1, 4. pkt., at PET’s

virksomhed er

undtaget fra persondataloven, jf. persondatalovens § 2, stk. 11 (nu § 2, stk.

10). Det fremgår af bemærkningerne til bestemmelsen, jf. Folketingstiden-

de 2012-13, A, L 161 som fremsat, side 72, at det er fundet hensigtsmæs-

sigt udtrykkeligt at nævne denne retstilstand i PET-lovens § 14, selvom

retsstillingen allerede følger af persondataloven.

Med et samtidigt fremsat lovforslag foreslås det, at persondataloven ophæ-

ves og nyaffattes som en ny databeskyttelseslov, som tager højde for reg-

lerne i databeskyttelsesforordningen. I den nye databeskyttelseslov flyttes

bestemmelsen om, at loven (og fremover også databeskyttelsesforordnin-

gen) ikke finder anvendelser på den behandling af personoplysninger, som

udføres for eller af politiets og forsvarets efterretningstjenester, fra § 2, stk.

10, til § 3, stk. 2. Som en konsekvens heraf, foreslås det at ændre henvis-

ningen til persondataloven i PET-lovens § 14, stk. 1, 4. pkt., så der frem-

over henvises til databeskyttelsesloven og databeskyttelsesforordningen, jf.

§ 3, stk. 2, i databeskyttelsesloven.

Det foreslås samtidig ud fra samme hensyn som nævnt i de føromtalte be-

mærkninger til PET-lovens § 14, stk. 1, 4. pkt., i lovteksten at præcisere, at

PET’s virksomhed ikke er omfattet af lov om retshåndhævende myndighe-

ders behandling af personoplysninger, jf. § 1, stk. 2, i lov om retshåndhæ-

vende myndigheders behandling af personoplysninger. Det bemærkes, at

lov om retshåndhævende myndigheders behandling af personoplysninger

trådte i kraft den 30. april 2017.

Der er tale om en justering af lovteknisk karakter, som ikke ændrer på

gældende ret.

Der henvises til afsnit 2.3.2.2.3. i lovforslagets almindelige bemærkninger.

Nr. 11 og 12

Det fremgår bl.a. af PET-lovens § 14, stk. 2, at justitsministeren kan be-

stemme, at kapitel 8-10 i persondataloven helt eller delvis finder anvendel-

se for behandling af personoplysninger for PET vedrørende tjenestens eg-

ne personalesager og sikkerhedsgodkendelsessager.

Det foreslås, at henvisningen til kapitel 8-10 i lov om behandling af per-

sonoplysninger udgår af PET-lovens § 14, stk. 2. Forslaget skal ses i lyset

af det samtidigt fremsatte forslag til en ny databeskyttelseslov i lyset af

databeskyttelsesforordningen.

Det foreslås endvidere at indsætte en bemyndigelsesbestemmelse i PET-

lovens § 14, stk. 2,

2. pkt.,

således at justitsministeren kan fastsætte nær-

mere regler om, at databeskyttelsesloven (som supplerer reglerne i databe-

skyttelsesforordningen) og databeskyttelsesforordningen helt eller delvis

finder anvendelse for behandling af personoplysninger for PET vedrørende

tjenestens egne personalesager og sikkerhedsgodkendelsessager. Det for-

udsættes, at Justitsministeriet drøfter de administrative regler udstedt i

medfør heraf med Tilsynet med Efterretningstjenesterne, og at både Rets-

udvalget og Udvalget vedrørende Efterretningstjenesterne underrettes, in-

den reglerne udstedes.

Der henvises til afsnit 2.3.2.2.2. i lovforslagets almindelige bemærkninger.

Nr. 13

Det fremgår af PET-lovens § 18, 1. pkt., at Tilsynet med Efterretningstje-

nesterne efter klage eller af egen drift påser, at PET overholder reglerne i

§§ 3, 4 og 7-11 og regler udstedt i medfør heraf. Tilsynet varetager endvi-

dere de opgaver, der er nævnt i § 13.

Med lovforslagets § 4, nr. 2, foreslås det at indsætte en ny bestemmelse

som § 6 a i PET-loven,

som regulerer PET’s behandling af oplysninger.

Det foreslås som konsekvens heraf at justere PET-lovens § 18, 1. pkt., så

der fremover også henvises til PET-lovens § 6 a. Der er tale om en juste-

ring af lovteknisk karakter, som ikke ændrer på gældende ret.

Der henvises til afsnit 2.3.2.2.3. i lovforslagets almindelige bemærkninger.

Nr. 14

Det fremgår bl.a. af PET-lovens § 21, stk. 2, at tilsynets virksomhed er

undtaget fra persondataloven.

Som konsekvens af det samtidigt fremsatte forslag til en ny databeskyttel-

seslov i lyset af databeskyttelsesforordningen foreslås det, at henvisningen

til persondataloven erstattes af en henvisning til den foreslåede nye databe-

skyttelseslov, databeskyttelsesforordningen og en henvisning til lov om

retshåndhævende myndigheders behandling af personoplysninger, der

trådte i kraft den 30. april 2017.

For så vidt angår lov om retshåndhævende myndigheders behandling af

personoplysninger bemærkes det, at det fremgår af lovens § 1, stk. 1, at

loven gælder for politiet, anklagemyndigheden, herunder den militære an-

klagemyndighed, kriminalforsorgen, Den Uafhængige Politiklagemyndig-

hed og domstolene. Justitsministeriet finder dog ud fra samme hensyn som

dem, der ligger bag PET-lovens § 14, stk. 1, 4. pkt., jf. herom under be-

mærkningerne til lovforslagets § 4, nr. 10, ovenfor, at dette også bør frem-

gå direkte af lovteksten i PET-loven.

Der er tale om en justering af lovteknisk karakter, som ikke ændrer på

gældende ret.

Der henvises til afsnit 2.3.2.2.3. i lovforslagets almindelige bemærkninger.

Til § 5

Nr. 1

Det følger af retsplejelovens § 41 h, stk. 1, at det i forbindelse med be-

handlingen af en anmodning om aktindsigt skal overvejes, om der kan gi-

ves aktindsigt i videre omfang end fastsat i §§ 41 a

–

41 g. Der kan gives

aktindsigt i videre omfang, medmindre det vil være i strid med anden lov-

givning, herunder regler om tavshedspligt og regler i lov om behandling af

personoplysninger.

Det foreslås, at henvisningen til lov om behandling af personoplysninger i

retsplejelovens § 41 h, stk. 1, 2. pkt., ændres, som følge af, at lov om be-

handling af personoplysninger ophæves, og databeskyttelsesforordningen

samt databeskyttelsesloven finder anvendelse den 25. maj 2018.

Eftersom reglerne om aktindsigt i retsplejeloven også omfatter aktindsigt i

sager af strafferetlig karakter, foreslås det desuden, at der i retsplejelovens

§ 41 h, stk. 1, 2. pkt., også henvises til lov om retshåndhævende myndig-

heders behandling af personoplysninger.

Der er alene tale om konsekvensændringer med henblik på at tilpasse hen-

visninger i retsplejeloven til databeskyttelsesforordningen, databeskyttel-

sesloven og lov om retshåndhævende myndigheders behandling af person-

oplysninger.

Nr. 2

Retsplejelovens § 741 g indeholder regler om underretning af forurettede i

visse straffesager i forbindelse med, at gerningsmanden kommer på fri fod

mv.

Det følger af § 741 g, stk. 3, at justitsministeren kan fastsætte nærmere

regler om underretningsordningen, herunder om at persondatalovens be-

stemmelser om oplysningspligt ikke skal finde anvendelse i forhold til den

dømte.

Reglerne om de retshåndhævende myndigheders, herunder kriminalforsor-

gens, behandling af personoplysninger findes i dag i lov om retshåndhæ-

vende myndigheders behandling af personoplysninger, som gennemfører

EU’s retshåndhævelsesdirektiv i dansk ret.

Kapitel 4 (§§ 13-14) i lov om retshåndhævende myndigheders behandling

af personoplysninger indeholder regler om de retshåndhævende myndig-

heders oplysningspligt over for den registrerede. Disse regler har for de

nævnte myndigheders vedkommende afløst bestemmelserne i persondata-

lovens kapitel 8.

I lov om retshåndhævende myndigheders behandling af personoplysninger

findes tillige en bemyndigelsesbestemmelse, hvorved justitsministeren er

tillagt kompetence til at fastlægge nærmere regler om de tilfælde, hvor

oplysningspligten kan fraviges.

Med lovforslaget vil retsplejelovens § 741 g, stk. 3, blive ændret, således

at bemyndigelsen til justitsministeren ikke længere omfatter adgangen til

at fastsætte nærmere regler om fravigelse af persondatalovens bestemmel-

ser om oplysningspligt.

Justitsministerens kompetence til

–

inden for rammerne af retshåndhævel-

sesdirektivet

–

at fastlægge nærmere regler om, hvornår oplysningspligten

kan fraviges, vil herefter følge af reglerne i lov om retshåndhævende myn-

digheders behandling af personoplysninger.

Der henvises til afsnit 2.4.2.2. i lovforslagets almindelige bemærkninger.

Nr. 3

Efter retsplejelovens § 1017 d, stk. 1, må domme og kendelser i straffesa-

ger kun gengives offentligt, når de er anonymiseret, således at sigtedes,

tiltaltes, forurettedes eller vidners identitet ikke fremgår. Overtrædelse

straffes med bøde.

Efter § 1017 d, stk. 2, finder i stk. 1 ikke anvendelse på retsinformations-

systemer, der er omfattet af § 9 i lov om behandling af personoplysninger,

eller på offentlig gengivelse, der bygger på et sådant retsinformationssy-

stem.

Det foreslås at ændre § 1017 d, stk. 2, således at der henvises til databe-

skyttelseslovens § 9 i stedet for § 9 i lov om behandling af personoplys-

ninger.

Ændringen er en konsekvens af, at persondataloven ophæves. § 9 i forsla-

get til databeskyttelsesloven svarer til § 9 i persondataloven.

Den foreslåede ændring indebærer, at retsinformationssystemer, der er

omfattet af § 9 i databeskyttelsesloven, fremover undtages fra reglerne i

retsplejelovens § 1017 d, stk. 1, på samme måde som retsinformationssy-

stemer, der i dag er omfattet af § 9 i lov om personoplysninger.

Der henvises i øvrigt til afsnit 2.1. i lovforslagets almindelige bemærknin-

ger.

Til § 6

Nr. 1

Efter straffelovens § 263 a, stk. 1, straffes med bøde eller fængsel indtil 1

år og 6 måneder den, der uretmæssigt erhvervsmæssigt sælger eller i en

videre kreds udbreder en kode eller andet adgangsmiddel til et ikke offent-

ligt tilgængeligt informationssystem, hvortil adgangen er beskyttet med

kode eller anden særlig adgangsbegrænsning.

Efter § 263 a, stk. 2, straffes på samme måde den, der uretmæssigt videre-

giver et større antal koder eller andre adgangsmidler som nævnt i bestem-

melsens stk. 1.

Efter § 263 a, stk. 3, straffes på samme måde den, der uretmæssigt skaffer

sig eller videregiver en kode eller andet adgangsmiddel som nævnt i stk. 1

til et samfundsvigtigt informationssystem jf. straffelovens § 193, eller et

informationssystem, der behandler følsomme oplysninger, som er omfattet

af § 7, stk. 1, eller § 8, stk. 1, i lov om behandling af personoplysninger,

om flere personers personlige forhold.

Det foreslås, at ændre § 263 a, stk. 3, nr. 2, således at der henvises til data-

beskyttelsesforordningens artikel 9, stk. 1, og artikel 10 i stedet for § 7,

stk. 1, og § 8, stk. 1, i lov om behandling af personoplysninger.

Ændringen er en konsekvens af, at persondataloven ophæves.

Databeskyttelsesforordningens artikel 9, stk. 1, og artikel 10 angår ligesom

§ 7, stk. 1, og § 8, stk. 1, i lov om personoplysninger følsomme personop-

lysninger.

Der er i vidt omfang tale om samme kategorier af oplysninger efter de to

regelsæt.

Databeskyttelsesforordningens artikel 9, stk. 1, omfatter således ligesom

§ 7, stk. 1, i lov om personoplysninger oplysninger om race eller etnisk

oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagfore-

ningsmæssigt tilhørsforhold, helbredsoplysninger og oplysninger om sek-

suelle forhold eller seksuel orientering. I modsætning til § 7, stk. 1, i lov

om personoplysninger omfatter databeskyttelsesforordningens artikel 9,

stk. 1, dog også biometriske data med det formål entydigt at identificere en

fysisk person, og det er præciseret, at også genetiske data er følsomme

personoplysninger.

Databeskyttelsesforordningens artikel 10 omfatter ligesom § 8 i lov om

personoplysninger oplysninger om strafbare forhold. I modsætning til § 8 i

lov om personoplysninger omfatter databeskyttelsesforordningens artikel

10 dog ikke oplysninger om væsentlige sociale problemer eller andre rent

private forhold end dem, der er nævnt i § 7, stk. 1.

Samlet set indebærer den foreslåede ændring dermed,

straffelovens

§ 263, stk. 3, nr. 2, fremover som noget nyt også vil omfatte informations-

systemer, der behandler oplysninger om biometriske data med det formål

entydigt at identificere en fysisk person,

det præciseres, at bestemmel-

sen omfatter informationssystemer, der behandler oplysninger om geneti-

ske data, og

bestemmelsen fremover ikke længere vil omfatte informati-

onssystemer, der behandler oplysninger om væsentlige sociale problemer

eller andre rent private forhold, som ikke er omfattet af databeskyttelses-

forordningens artikel 9, stk. 1, eller artikel 10.

Herudover ændres anvendelsesområdet for § 263, stk. 3, nr. 2, ikke. Det er

således uændret bl.a. en betingelse, at informationssystemet behandler

følsomme oplysninger om flere personers personlige forhold.

Der henvises i øvrigt til afsnit 2.1. i lovforslagets almindelige bemærknin-

ger.

Til § 7

Nr. 1

En offentligt tilgængelig informationsdatabase skal for at blive omfattet af

lov om massemediers informationsdatabaser ud over at være tilgængelig

for enhver på almindelige forretningsvilkår være anmeldt til Pressenævnet

og Datatilsynet med angivelse af, hvem der er ansvarlig for informations-

databasen, jf. § 6, stk. 1. Efter lovens § 6, stk. 2, er en offentligt tilgænge-

lig informationsdatabase, som anmeldes efter stk. 1, ikke samtidig omfattet

af medieansvarsloven, når bortses fra reglerne om genmæle og visse regler

om Pressenævnets sammensætning og kompetence.

Det foreslås, at lovens § 6, stk. 2, ophæves. Dette vil indebære, at en of-

fentligt tilgængelig informationsdatabase vil kunne være omfattet af såvel

reglerne i medieansvarsloven som reglerne i lov om massemediers infor-

mationsdatabaser.

Der henvises i øvrigt til afsnit 2.5. i lovforslagets almindelige bemærknin-

ger.

Til § 8

Nr. 1

FE-lovens § 6 a, stk. 1 og 2, og § 10, stk. 2, indeholder en række henvis-

ninger til FE-lovens § 4, stk. 2, og § 5, stk. 2. Det foreslås, at henvisnin-

gerne til FE-lovens § 4, stk. 2, og § 5, stk. 2, overalt i loven ændres til

henvisninger til FE-lovens § 4, stk. 1, og § 5, stk. 1. Der er tale om konse-

kvensændringer i lyset af lovforslagets § 9, nr. 3 og 4.

Der henvises til afsnit 2.6.2.2.3. i lovforslagets almindelige bemærkninger.

Nr. 2

Det fremgår af FE-lovens § 4, stk. 1, at persondatalovens § 3 (om definiti-

oner), § 5 (om generelle behandlingsprincipper), § 11, stk. 1 (om at offent-

lige myndigheder kan behandle oplysninger om personnummer med hen-

blik på entydig dokumentation eller som journalnummer), § 14 (om at per-

sonoplysninger kan overføres til opbevaring i arkiv efter reglerne i arkiv-

lovgivningen) og § 41, stk. 1-4, og § 42 (om behandlingssikkerhed) finder

anvendelse for FE’s behandling af personoplysninger om en i Danmark

hjemmehørende fysisk person. Det fremgår endvidere af FE-lovens § 5,

stk. 1, at persondatalovens § 3 (om definitioner), § 5 (om generelle be-

handlingsprincipper), § 14 (om at personoplysninger kan overføres til op-

bevaring i arkiv efter reglerne i arkivlovgivningen) og § 41, stk. 1-4, og §

42 (om behandlingssikkerhed) finder anvendelse for FE’s behandling af

oplysninger om i Danmark hjemmehørende juridiske personer.

Det foreslås at fastsætte en samlet bestemmelse som ny

§ 3 e

i FE-loven,

som indsætter ordlyden fra persondatalovens § 5, § 11, stk. 1, og § 14 i

FE-loven, således at gældende ret fra disse bestemmelser videreføres. Æn-

dringen skal ses i lyset af, at de gældende regler i persondatalovens § 3, §

5, § 11, stk. 1, § 14, § 41, stk. 1-4, og § 42 enten ikke vil fremgå af den nye

databeskyttelseslov eller vil have et mindre ændret indhold, når databe-

skyttelsesforordningen får virkning i dansk ret. Der vurderes ikke at være

behov for at indsætte definitionerne i persondatalovens § 3 i lovteksten i

FE-loven, da begreberne i FE-loven fortsat vil skulle forstås på samme

måde som i den nuværende udformning af FE-loven.

Bestemmelsen vil både omfatte FE’s

behandling af personoplysninger om

i Danmark hjemmehørende fysiske personer og FE’s behandling af oplys-

ninger om i Danmark hjemmehørende juridiske personer. Bestemmelsen

vil skulle fortolkes i overensstemmelse med gældende ret efter den hidtil

gældende persondatalov og vil således ikke skulle fortolkes i lyset af be-

stemmelserne i databeskyttelsesloven og databeskyttelsesforordningen og

fremtidig praksis herom.

Om FE-lovens § 4, stk. 1, og § 5, stk. 1, kan nærmere henvises til forarbej-

derne til lov nr. 602 af 12. juni 2013 om Forsvarets Efterretningstjeneste

(FE), jf. Folketingstidende 2012-13, A, L 163 som fremsat, side 13-24.

Om FE’s behandling og sletning af oplysninger, herunder omfanget af

persondatalovens § 5, stk. 5, der foreslås videreført som § 3 e, stk. 5, i FE-

loven, kan endvidere henvises til forarbejderne til lov nr. 462 af 15. maj

2017 om ændring af lov om Forsvarets Efterretningstjeneste (FE) og told-

loven, jf. Folketingstidende 2016-17, A, L 146 som fremsat, side 8 ff.

Det foreslås med lovforslagets § 8, nr. 3 og 4, samtidig at ophæve FE-

lovens § 4, stk. 1, og § 5, stk. 1. Det forudsættes i forlængelse heraf, at

forsvarsministeren med hjemmel i de eksisterende bemyndigelser i FE-

lovens § 4, stk. 3, og § 5, stk. 3 (der med lovforslaget bliver § 4, stk. 2, og

§ 5, stk. 2), bemyndiges til at udstede administrative regler om behand-

lingssikkerhed hos FE, som vil træde i stedet for FE-lovens nuværende

henvisninger til persondatalovens § 41, stk. 1-4, og § 42. Bemyndigelsen

vil dog f.eks. også kunne benyttes til

–

i lyset af erfaringerne med databe-

skyttelsesforordningen

–

at fastsætte, at bestemmelser i databeskyttelses-

forordningen om behandlingssikkerhed finder helt eller delvis anvendelse

for FE.

Det forudsættes i den forbindelse, at Forsvarsministeriet drøfter de admini-

strative regler udstedt i medfør heraf med Tilsynet med Efterretningstjene-

sterne, og at Udvalget vedrørende Efterretningstjenesterne underrettes,

inden reglerne udstedes.

Der henvises til afsnit 2.6.2.2.1. i lovforslagets almindelige bemærkninger.

Nr. 3 og 4

Det fremgår af FE-lovens § 4, stk. 1, at persondatalovens § 3, § 5, § 11,

stk. 1, § 14, § 41, stk. 1-4,

og § 42 finder anvendelse for FE’s behandling

af personoplysninger om i Danmark hjemmehørende fysiske personer. Det

fremgår endvidere af FE-lovens § 5, stk. 1, at persondatalovens § 3, § 5, §

14, § 41, stk. 1-4,

og § 42 finder anvendelse for FE’s behandling af oplys-

ninger om i Danmark hjemmehørende juridiske personer.

Som konsekvens af den foreslåede ophævelse af persondataloven i lyset af

databeskyttelsesforordningen, foreslås det at ophæve FE-lovens § 4, stk. 1,

og § 5, stk. 1.

Der henvises til afsnit 2.3.2.2.1. i de almindelige bemærkninger. Der hen-

vises herudover til den foreslåede § 3 e i FE-loven, som indsætter ordlyden

fra persondatalovens § 5, § 11, stk. 1, og § 14 i FE-loven, jf. lovforslagets

§ 8, nr. 2.

Nr. 5

FE-lovens § 6 a, stk. 2, indeholder en henvisning til FE-lovens §§ 4 og 5.

I lyset af den foreslåede nye bestemmelse i FE-lovens § 3 e og den som

følge heraf foreslåede ophævelse af FE-lovens § 4, stk. 1, og § 5, stk. 1, jf.

lovforslagets § 8, nr. 2-4, er det nødvendigt at konsekvensrette henvisnin-

gerne i FE-lovens § 6 a, stk. 2. De foreslåede konsekvensrettelser er såle-

des alene af lovteknisk karakter og ændrer ikke på gældende ret efter FE-

lovens § 6 a.

Der henvises til afsnit 2.6.2.2.3. i lovforslagets almindelige bemærkninger.

Nr. 6-8

Reglerne for FE’s videregivelse af personoplysninger om i Danmark

hjemmehørende fysiske personer til andre danske forvaltningsmyndighe-

der (end PET), private, udenlandske myndigheder og internationale orga-

nisationer er i dag reguleret i FE-lovens § 7, stk. 2, hvorefter FE-lovens § 4

finder anvendelse. Herudover finder persondatalovens § 8, stk. 2, anven-

delse, hvis den i 1. pkt. nævnte videregivelse vedrører personoplysninger

som nævnt i persondatalovens § 7, stk. 1, og § 8, stk. 1. For videregivelse

af oplysninger om i Danmark hjemmehørende juridiske personer til andre

danske forvaltningsmyndigheder (end PET), private, udenlandske myndig-

heder og internationale organisationer finder § 5 anvendelse på videregi-

velsen.

Som det fremgår af lovforslagets § 8, nr. 2-4, foreslås det at ophæve FE-

lovens § 4, stk. 1, og § 5, stk. 1, for i stedet at videreføre hovedparten af

bestemmelsernes indhold i en ny bestemmelse i FE-lovens § 3 e.

Det foreslås som konsekvens heraf at justere FE-lovens § 7, stk. 2, 1. pkt.,

som i dag kun henviser til FE-lovens § 4, så bestemmelsen både henviser

til FE-lovens §§ 3 e og 4. Herudover foreslås en mindre sproglig tilpas-

ning, der er en konsekvens af formuleringen af den foreslåede § 3 e.

Det foreslås endvidere at fastsætte i FE-lovens § 7, stk. 2, 2. pkt., at data-

beskyttelseslovens § 8, stk. 2, der er en uændret videreførelse af personda-

talovens § 8, stk. 2, finder anvendelse, hvis videregivelsen vedrører oplys-

ninger om rent private forhold.

Bestemmelsen indebærer således

–

som det også er tilfældet efter gælden-

de ret

–

at FE kan videregive personoplysninger om rent private forhold til

andre danske forvaltningsmyndigheder (end PET), private, udenlandske

myndigheder og internationale organisationer, hvis 1) den registrerede har

givet sit udtrykkelige samtykke til videregivelsen, 2) videregivelsen sker

til varetagelse af private eller offentlige interesser, der klart overstiger hen-

synet til de interesser, der begrunder hemmeligholdelse, herunder hensynet

til den, oplysningen angår, 3) videregivelsen er nødvendig for udførelsen

af en myndigheds virksomhed eller påkrævet for en afgørelse, som myn-

digheden skal træffe, eller 4) videregivelsen er nødvendig for udførelsen af

en persons eller virksomheds opgaver for det offentlige.

Med betegnelsen ”rent private forhold” menes oplysninger om racemæssig

eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fag-

foreningsmæssige tilhørsforhold og oplysninger om helbredsmæssige og

seksuelle forhold samt oplysninger om strafbare forhold, væsentlige socia-

le problemer og andre rent private forhold, dvs. de samme oplysninger

som i dag er omfattet af ordlyden af persondatalovens § 7, stk. 1, og § 8,

stk. 1.

Det foreslås endelig at justere FE-lovens § 7, stk. 3, så bestemmelsen både

henviser til FE-lovens § 3 e, stk. 1-5 og 7, og til § 5. Det er ikke nødven-

digt at henvise til den foreslåede § 3 e, stk. 6, i FE-loven, da den pågæl-

dende bestemmelse vedrører behandling af personnumre.

Der er tale om konsekvensændringer af lovteknisk karakter, som ikke æn-

drer på gældende ret.

Der henvises til afsnit 2.6.2.2.3. i lovforslagets almindelige bemærkninger.

Nr. 9

Det fremgår af FE-lovens § 11, stk. 1, 2.

pkt., at FE’s virksomhed er und-

taget fra persondataloven, jf. persondatalovens § 2, stk. 11 (nu § 2, stk.

10).

Med et samtidigt fremsat lovforslag foreslås det, at persondataloven ophæ-

ves og nyaffattes som en ny databeskyttelseslov, som tager højde for reg-

lerne i databeskyttelsesforordningen. I den nye databeskyttelseslov flyttes

bestemmelsen om, at loven (og fremover også databeskyttelsesforordnin-

gen) ikke finder anvendelser på den behandling af personoplysninger, som

udføres for eller af politiets og forsvarets efterretningstjenester, fra § 2, stk.

10, til § 3, stk. 2. Som en konsekvens heraf, foreslås det at ændre henvis-

ningen til persondataloven i FE-lovens § 11, stk. 1, 2. pkt., så der fremover

henvises til databeskyttelsesloven og databeskyttelsesforordningen, jf. § 3,

stk. 2, i databeskyttelsesloven.

Det foreslås samtidig ud fra samme hensyn som nævnt i de føromtalte be-

mærkninger til FE-lovens § 11, stk. 2, 2. pkt., i lovteksten at præcisere, at

FE’s virksomhed ikke er omfattet af lov om retshåndhævende

myndighe-

ders behandling af personoplysninger, jf. § 1, stk. 2, i lov om retshåndhæ-

vende myndigheders behandling af personoplysninger. Det bemærkes, at

lov om retshåndhævende myndigheders behandling af personoplysninger

trådte i kraft den 30. april 2017.

Der er tale om lovtekniske justeringer, som ikke ændrer gældende ret.

Der henvises til afsnit 2.6.2.2.3. i lovforslagets almindelige bemærkninger.

Nr. 10 og 11

Det fremgår bl.a. af FE-lovens § 11, stk. 2, at forsvarsministeren kan be-

stemme, at kapitel 8-10 i persondataloven helt eller delvis finder anvendel-

se for behandling af personoplysninger for FE vedrørende tjenestens sik-

kerhedsgodkendelsessager og egne personalesager.

Det foreslås, at henvisningen til kapitel 8-10 i lov om behandling af per-

sonoplysninger udgår af FE-lovens § 11, stk. 2. Forslaget skal ses i lyset af

det samtidigt fremsatte forslag til en ny databeskyttelseslov i lyset af data-

beskyttelsesforordningen.

Det foreslås endvidere at indsætte en bemyndigelsesbestemmelse i FE-

lovens § 11, stk. 2, 2. pkt., således at forsvarsministeren kan fastsætte

nærmere regler om, at databeskyttelsesloven (som supplerer reglerne i da-

tabeskyttelsesforordningen) og databeskyttelsesforordningen helt eller

delvis finder anvendelse for behandling af personoplysninger for FE ved-

rørende tjenestens egne sikkerhedsgodkendelsessager og personalesager.

Det forudsættes, at Forsvarsministeriet drøfter de administrative regler

udstedt i medfør heraf med Tilsynet med Efterretningstjenesterne, og at

Udvalget vedrørende Efterretningstjenesterne underrettes, inden reglerne

udstedes.

Der henvises til afsnit 2.6.2.2.2. i lovforslagets almindelige bemærkninger.

Nr. 12

Det fremgår bl.a. af FE-lovens § 18, stk. 2, at tilsynets virksomhed er und-

taget fra persondataloven.

Som konsekvens af det samtidigt fremsatte forslag til en ny databeskyttel-

seslov i lyset af databeskyttelsesforordningen foreslås det, at henvisningen

til persondataloven erstattes af en henvisning til den foreslåede nye databe-

skyttelseslov, databeskyttelsesforordningen og en henvisning til lov om

retshåndhævende myndigheders behandling af personoplysninger, der

trådte i kraft den 30. april 2017.

For så vidt angår lov om retshåndhævende myndigheders behandling af

personoplysninger bemærkes det, at det fremgår af lovens § 1, stk. 1, at

loven gælder for politiet, anklagemyndigheden, herunder den militære an-

klagemyndighed, kriminalforsorgen, Den Uafhængige Politiklagemyndig-

hed og domstolene. Forsvarsministeriet finder dog ud fra samme hensyn

som dem, der ligger bag FE-lovens § 11, stk. 1, at dette også bør fremgå

direkte af lovteksten i FE-loven.

Der er tale om en justering af lovteknisk karakter, som ikke ændrer på

gældende ret.

Der henvises til afsnit 2.6.2.2.3. i lovforslagets almindelige bemærkninger.

Til § 9

Nr. 1

Efter gældende regler i § 40, stk. 1, i lov om organisering og understøttelse

af beskæftigelsesindsatsen mv. er den enkelte offentlige myndighed og

arbejdsløshedskasse, der indberetter data til det fælles it-baserede data-

grundlag, dataansvarlig, jf. lov om behandling af personoplysninger, for

indberetningen og brug af data lokalt samt for at orientere de registrerede

om registreringer i det fælles it-baserede datagrundlag.

Det foreslås, at henvisningen til lov om behandling af personoplysninger

ændres til en henvisning til databeskyttelsesforordningen og databeskyttel-

sesloven. Forslaget er en konsekvens af, at databeskyttelsesforordningen

får virkning fra den 25. maj 2018.

Den foreslåede ændring medfører ikke ændringer i den gældende retstil-

stand, bortset fra henvisningen til persondatareglerne. Henvisningen til

databeskyttelsesforordningen og databeskyttelsesloven i loven er udeluk-

kende begrundet i praktiske hensyn og berører ikke forordningens umid-

delbare gyldighed i Danmark.

Nr. 2

Efter gældende regler i § 41, stk. 1, i lov om organisering og understøttelse

af beskæftigelsesindsatsen mv. kan kommunen i henhold til en skriftlig

databehandleraftale, jf. § 42 i lov om behandling af personoplysninger,

overlade oplysninger til en anden aktør om en persons beskæftigelsesprofil

og forløb, den hidtidige indsats og øvrige forhold, som er nødvendige, for

at den anden aktør kan gennemføre den aftalte beskæftigelsesindsats efter

arbejdsmarkedslovgivningen. Efter § 42, stk. 2, i lov om behandling af

personoplysninger skal gennemførelse af en behandling ved en databe-

handler ske i henhold til en skriftlig aftale imellem den dataansvarlige og

databehandleren. Den enkelte kommune er dataansvarlig i relation til andre

aktører som databehandlere for kommunen, og aktøren må alene behandle

oplysninger efter kommunens instruks.

Det foreslås, at henvisningen til § 42 i lov om behandling af personoplys-

ninger ændres til en henvisning til databeskyttelsesforordningens artikel

28, stk. 3. Efter artikel 28, stk. 3, skal en databehandlers behandling være

reguleret af en kontrakt eller et andet retligt dokument i henhold til EU-

retten eller medlemsstaternes nationale ret, der er bindende for databe-

handleren med hensyn til den dataansvarlige, og som fastsætter genstanden

for og varigheden af behandlingen, behandlingens karakter og formål, ty-

pen af personoplysninger og kategorierne af registrerede samt den dataan-

svarliges forpligtelser og rettigheder.

Forslaget er en konsekvens af, at databeskyttelsesforordningen får virkning

fra den 25. maj 2018.

Det fremgår af databeskyttelsesforordningens artikel 28, stk. 9, at databe-

handleraftalen skal være skriftlig, herunder digital. Kravet om skriftlighed

svarer til de gældende regler i persondatalovens § 42, stk. 2.

Det fremgår af databeskyttelsesforordningens artikel 29, at databehandle-

ren og enhver, der udfører arbejde for den dataansvarlige eller databehand-

leren, og som har adgang til personoplysninger, kun behandler disse op-

lysninger efter instruks fra den dataansvarlige, medmindre det kræves i

henhold til EU-retten eller medlemsstaternes nationale ret.

Det forhold, at databehandleren kun handler efter den dataansvarliges in-

struks, svarer til de hidtil gældende krav om, at det skal fremgå af databe-

handleraftaler, at databehandleren alene handler efter den dataansvarliges

instruks, jf. persondatalovens § 42, stk. 2.

Den foreslåede ændring medfører ikke ændringer i den gældende retstil-

stand bortset fra henvisningen til persondatareglerne. Henvisningen til

databeskyttelsesforordningen i loven er udelukkende begrundet i praktiske

hensyn og berører ikke forordningens umiddelbare gyldighed i Danmark.

Til § 10

Nr. 1

Efter gældende regler i § 4, stk. 1, i lov om digital løsning til brug for an-

meldelse af sygefravær og anmodning om refusion og tilskud m.v. (Nem-

refusion) er den enkelte kommune dataansvarlig efter persondataloven for

de data i Nemrefusion, som skal anvendes i kommunens sagsbehandling.

Kommunerne behandler efter gældende regler bl.a. personoplysninger i

tilknytning til arbejdsgiveres anmodninger om udbetalinger af sygedag-

pengerefusion efter sygedagpengeloven og anmodninger om udbetalinger

af løntilskud efter lov om en aktiv beskæftigelsesindsats.

Efter gældende regler i § 4, stk. 2, er Udbetaling Danmark dataansvarlig

efter persondataloven for de data i Nemrefusion, som skal anvendes i Ud-

betaling Danmarks behandling af en sag om dagpenge efter barselsloven.

Det foreslås, at henvisningerne i § 4, stk. 1 og 2, til persondataloven æn-

dres til henvisninger til databeskyttelsesforordningen og databeskyttelses-

loven. Forslaget er en konsekvens af, at databeskyttelsesforordningen får

virkning fra den 25. maj 2018.

Den foreslåede ændring giver ikke anledning til ændringer i gældende rets-

tilstand, bortset fra henvisningen til persondatareglerne. Henvisningen til

databeskyttelsesforordningen og databeskyttelsesloven i loven er udeluk-

kende begrundet i praktiske hensyn og berører ikke forordningens umid-

delbare gyldighed i Danmark.

Nr. 2

Efter gældende regler i § 8, stk. 3, 1. pkt., i lov om digital løsning til brug

for anmeldelse af sygefravær og anmodning om refusion og tilskud m.v.

(Nemrefusion) handler selskabet, der etablerer og driver Nemrefusion,

efter instruks fra kommunerne.

Datatilsynet har i forbindelse med høringer om anden lovgivning anbefa-

let, at det indarbejdes, at selskabet ”alene” handler efter kommunernes

instruks.

Efter databeskyttelsesforordningens artikel 28, stk. 3, litra a, skal det være

reguleret i en kontrakt eller et andet retligt dokument, at databehandleren

kun må behandle personoplysninger efter dokumenteret instruks fra den

dataansvarlige.

Det foreslås på denne baggrund, at det indarbejdes i bestemmelsen, at sel-

skabet alene handler efter kommunernes dokumenterede instruks.

Nr. 3

Efter gældende regler i § 8, stk. 3, 2. pkt. i lov om digital løsning til brug

for anmeldelse af sygefravær og anmodning om refusion og tilskud m.v.

(Nemrefusion), skal selskabet, der etablerer og driver Nemrefusion, træffe

de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at

oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes,

og mod, at oplysningerne kommer til uvedkommendes kendskab, misbru-

ges eller i øvrigt behandles i strid med lov om behandling af personoplys-

ninger.

Det foreslås, at henvisningen i § 8, stk. 3, 2. pkt., til lov om behandling af

personoplysninger ændres til en henvisning til databeskyttelsesforordnin-

gen og databeskyttelsesloven. Forslaget er en konsekvens af, at databe-

skyttelsesforordningen får virkning fra den 25. maj 2018.

Den foreslåede ændring giver ikke anledning til ændringer i gældende rets-

tilstand, bortset fra henvisningen til persondatareglerne. Henvisningen til

databeskyttelsesforordningen og databeskyttelsesloven i loven er udeluk-

kende begrundet i praktiske hensyn og berører ikke forordningens umid-

delbare gyldighed i Danmark.

Nr. 4

Det er efter gældende regler i lov om digital løsning til brug for anmeldel-

se af sygefravær og anmodning om refusion og tilskud m.v. (Nemrefusion)

obligatorisk for kommunerne at anvende it-løsningen Nemrefusion, der er

etableret og drives af et af KL-ejet selskab.

Der er i loven fastsat regler om, at den enkelte kommune er dataansvarlig

for behandlingen af oplysninger i Nemrefusion samt om, at selskabet, der

som databehandler for kommunerne driver løsningerne, handler efter

kommunens instruks.

Derved er det sikret, at de 98 kommuner ikke hver især skal indgå ensly-

dende databehandleraftaler med selskabet, der driver Nemrefusion.

Databeskyttelsesforordningen indeholder i artikel 28 skærpede krav til

form og indhold af de databehandleraftaler, der skal indgås mellem den

dataansvarlige og databehandleren. Der henvises til de almindelige be-

mærkninger i lovforslagets afsnit 2.7.2.

Det foreslås, at beskæftigelsesministeren bemyndiges til efter forhandling

med KL at fastsætte nærmere regler om kommunens opgaver og ansvar

som dataansvarlig efter lovens § 8, stk. 1, og om selskabets opgaver og

ansvar som databehandler.

Forslaget er begrundet i, at de hensyn, der gælder i forhold til fastsættelse

af bestemmelser om den dataansvarliges og databehandlerenes forhold,

opgaver og ansvar, i et andet retligt dokument end en databehandleraftale,

fortsat gælder, når databeskyttelsesforordningen træder i kraft. Det er såle-

des ministeriets vurdering, at det fortsat ikke er hensigtsmæssigt, at de 98

kommuner vil skulle indgå enslydende databehandleraftaler med selskabet,

der etablerer og driver it-løsningen Nemrefusion.

Fastsættelse af regler på baggrund af den foreslåede bemyndigelse vil skul-

le ske i overensstemmelse med kravene i forordningens artikel 28, jf. de

almindelige bemærkninger i lovforslagets afsnit 2.4.2.

Til § 11

Nr. 1

Det fremgår af § 10, stk. 1, i lov om kommunernes finansiering af visse

offentlige ydelser udbetalt af kommunerne, Udbetaling Danmark og ar-

bejdsløshedskasserne, at et af KL 100 pct. ejet aktieselskab etablerer og

driver it-løsningen Ydelsesrefusion, som opgør den kommunale refusion

og medfinansiering af en lang række forsørgelsesydelser inden for Beskæf-

tigelsesministeriets område.

Efter gældende regler i § 10, stk. 3, i lov om kommunernes finansiering af

visse offentlige ydelser udbetalt af kommunerne, Udbetaling Danmark og

arbejdsløshedskasserne handler selskabet, der etablerer og driver Ydelses-

refusion, alene efter instruks fra kommunerne.

Efter databeskyttelsesforordningens artikel 28, stk. 3, litra a, skal det være

reguleret i en kontrakt eller et andet retligt dokument, at databehandleren

kun må behandle personoplysninger efter dokumenteret instruks fra den

dataansvarlige.

Det foreslås på denne baggrund, at det indarbejdes i § 10, stk. 3, at selska-

bet alene handler efter kommunernes dokumenterede instruks.

Nr. 2

Efter gældende regler i § 14, stk. 2, i lov om kommunernes finansiering af

visse offentlige ydelser udbetalt af kommunerne, Udbetaling Danmark og

arbejdsløshedskasserne er den enkelte kommune dataansvarlig efter per-

sondataloven for behandlingen af oplysninger, der i Ydelsesrefusion an-

vendes ved opgørelse af kommunens refusion og medfinansiering, herun-

der for kommunens overladelse af oplysninger til brug herfor til selskabet

nævnt i samme lovs § 10, stk. 1.

Det fremgår af § 10, stk. 1, at der er tale om et af KL 100 pct. ejet aktiesel-

skab, der etablerer og driver it-løsningen Ydelsesrefusion, som opgør den

kommunale refusion og medfinansiering af en lang række forsørgelses-

ydelser inden for Beskæftigelsesministeriets område.

Det foreslås, at henvisningerne i § 14, stk. 2, til persondataloven ændres til

en henvisning til databeskyttelsesforordningen og databeskyttelsesloven.

Forslaget er en konsekvens af, at databeskyttelsesforordningen får virkning

fra den 25. maj 2018.

Den foreslåede ændring medfører ikke ændringer i retstilstanden, bortset

fra henvisningen til persondatareglerne. Henvisningen til databeskyttelses-

forordningen og databeskyttelsesloven i loven er udelukkende begrundet i

praktiske hensyn og berører ikke forordningens umiddelbare gyldighed i

Danmark.

Nr. 3

Det er efter gældende regler i § 11 i lov om kommunernes finansiering af

visse offentlige ydelser udbetalt af kommunerne, Udbetaling Danmark og

arbejdsløshedskasserne, obligatorisk for kommunerne at anvende it-

løsningen Ydelsesrefusion, der etableres og drives af et af KL ejet selskab.

Der er i lovens § 14, stk. 2, fastsat regler om, at den enkelte kommune er

dataansvarlig for behandlingen af oplysninger i Ydelsesrefusion. Det

fremgår videre af lovens § 10, stk. 3, at selskabet, der som databehandler

for kommunerne etablerer og driver Ydelsesrefusion, alene handler efter

kommunens instruks.

Derved er det sikret, at de 98 kommuner ikke hver især skal indgå ensly-

dende databehandleraftaler med selskabet, der driver Nemrefusion og

Ydelsesrefusion.

Databeskyttelsesforordningen indeholder i artikel 28 skærpede krav til

form og indhold af de databehandleraftaler, der skal indgås mellem den

dataansvarlige og databehandleren. Der henvises til de almindelige be-

mærkninger til lovforslagets afsnit 2.7.2.

Det foreslås, at beskæftigelsesministeren bemyndiges til efter forhandling

med KL at fastsætte nærmere regler om kommunens opgaver og ansvar

som dataansvarlig efter lovens § 14, stk. 2, og om selskabets opgaver og

ansvar som databehandler.

Forslaget er begrundet i, at de hensyn, der gælder i forhold til fastsættelse

af bestemmelser om den dataansvarliges og databehandlerenes forhold,

opgaver og ansvar, i et andet retligt dokument end en databehandleraftale,

fortsat gælder, når databeskyttelsesforordningen træder i kraft. Det er såle-

des ministeriets vurdering, at det fortsat ikke er hensigtsmæssigt, at de 98

kommuner vil skulle indgå enslydende databehandleraftaler med selskabet,

der etablerer og driver it-løsningen Ydelsesrefusion.

Fastsættelse af regler på baggrund af den foreslåede bemyndigelse vil skul-

le ske i overensstemmelse med kravene i forordningens artikel 28, jf. de

almindelige bemærkninger til lovforslagets afsnit 2.7.2.

Nr. 4

Efter gældende regler i § 16 stk. 1, i lov om kommunernes finansiering af

visse offentlige ydelser udbetalt af kommunerne, Udbetaling Danmark og

arbejdsløshedskasserne skal selskabet nævnt i § 10, stk. 1, som databe-

handler for kommunerne, jf. § 19, sikre, at der udarbejdes en uafhængig

revisorerklæring om selskabets overholdelse af persondataloven og regler

fastsat i medfør heraf. Revisorerklæringen skal udarbejdes hvert år.

Det foreslås, at henvisningerne i § 16, stk. 1, til persondataloven ændres til

en henvisning til databeskyttelsesforordningen og databeskyttelsesloven.

Forslaget er en konsekvens af, at databeskyttelsesforordningen får virkning

fra den 25. maj 2018.

Den foreslåede ændring medfører ikke ændringer i gældende retstilstand,

bortset fra henvisningen til persondatareglerne. Henvisningen til databe-

skyttelsesforordningen og databeskyttelsesloven i loven er udelukkende

begrundet i praktiske hensyn og berører ikke forordningens umiddelbare

gyldighed i Danmark.

Nr. 5

Efter gældende regler i § 19, stk. 2, 1. pkt., i lov om kommunernes finan-

siering af visse offentlige ydelser udbetalt af kommunerne, Udbetaling

Danmark og arbejdsløshedskasserne skal selskabet nævnt i § 10, stk. 1,

som etablerer og driver it-løsningen Ydelsesrefusion, træffe de fornødne

tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger

hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, og mod, at

oplysninger kommer til uvedkommendes kendskab, misbruges eller i øv-

rigt behandles i strid med persondataloven og regler fastsat i medfør heraf.

Det foreslås, at henvisningerne i § 19, stk. 2, 1. pkt., til persondataloven

ændres til en henvisning til databeskyttelsesforordningen og databeskyttel-

sesloven. Forslaget er en konsekvens af, at databeskyttelsesforordningen

får virkning fra den 25. maj 2018.

Den foreslåede ændring medfører ikke ændringer i gældende retstilstand,

bortset fra henvisningen til persondatareglerne. Henvisningen til databe-

skyttelsesforordningen og databeskyttelsesloven i loven er udelukkende

begrundet i praktiske hensyn og berører ikke forordningens umiddelbare

gyldighed i Danmark.

Nr. 6

Efter gældende regler i § 27, stk. 4, i lov om kommunernes finansiering af

visse offentlige ydelser udbetalt af kommunerne, Udbetaling Danmark og

arbejdsløshedskasserne er Styrelsen for Arbejdsmarked og Rekruttering

dataansvarlig efter persondataloven for behandlingen af de oplysninger,

der anvendes til opgørelse af refusion og medfinansiering efter lovens §

27, stk. 2 og 3.

Bestemmelsen regulerer Styrelsen for Arbejdsmarked og Rekrutterings

dataansvar for behandling af personoplysninger i den interimsløsning, der

anvendes til opgørelse af kommunernes refusion og medfinansiering, indtil

Ydelsesrefusion sættes i drift.

Det foreslås, at henvisningerne i § 27, stk. 4, til persondataloven ændres til

en henvisning til databeskyttelsesforordningen og databeskyttelsesloven.

Forslaget er en konsekvens af, at databeskyttelsesforordningen får virkning

fra den 25. maj 2018.

Den foreslåede ændring medfører ikke ændringer i den gældende retstil-

stand, bortset fra henvisningen til persondatareglerne. Henvisningen til

databeskyttelsesforordningen og databeskyttelsesloven i loven er udeluk-

kende begrundet i praktiske hensyn og berører ikke forordningens umid-

delbare gyldighed i Danmark.

Til § 12

Nr. 1

Efter § 1 i lov om gennemsigtighed og åbenhed i uddannelserne m.v. skal

oplysninger om undervisning, uddannelser, skoler og uddannelsesinstituti-

oner efter bestemmelserne i loven være offentligt tilgængelige på internet-

tet, så borgerne enkelt og hurtigt kan vurdere kvaliteten af undervisningen

på de enkelte skoler og institutioner. Det følger af lovens § 1, stk. 4, at

loven ikke gælder for oplysninger, der er omfattet af lov om behandling af

personoplysninger. Det gælder således oplysninger om enkeltpersoner som

fx lærere og elever.

Foranlediget af databeskyttelsesforordningen, der har direkte virkning i

Danmark fra den 25. maj 2018, foreslås en præcisering af bestemmelsen,

så det står klart, at lov om gennemsigtighed og åbenhed i uddannelserne

m.v. fortsat ikke gælder for oplysninger, der er omfattet af lovgivningen

om behandling af personoplysninger, herunder regler fastsat i forordningen

og i databeskyttelsesloven.

Til § 13

Nr. 1

Efter § 18 i lov om godtgørelse og tilskud til befordring ved deltagelse i

erhvervsrettet voksen- og efteruddannelse kan undervisningsministeren

oprette et eller flere elektroniske registre, der indeholder oplysninger om

godtgørelse og tilskud til befordring efter loven og regler fastsat i medfør

heraf. Registrene danner grundlag for udarbejdelsen af statistik og det til-

syn, som staten skal fører med arbejdsløshedskassernes og uddannelses-

stedernes administration af godtgørelse og tilskud til befordring. Det følger

af lovens § 18, stk. 4, at § 35 i persondataloven ikke finder anvendelse i

denne situation.

Efter persondatalovens § 35 kan den registrerede til enhver tid over for den

dataansvarlige gøre indsigelse mod, at oplysninger om vedkommende gø-

res til genstand for behandling. Hvis indsigelsen er berettiget, må behand-

lingen ikke længere omfatte de pågældende oplysninger.

Undtagelsesbestemmelsen til persondatalovens § 35 betyder således, at

registrerede personer ikke kan gøre indsigelse mod, at oplysninger om de

pågældende gøres til genstand for behandling i relation til godtgørelse og

tilskud til befordring. Bestemmelsen blev indført på baggrund af digitalise-

ringen af VEU-administrationen.

Det foreslås, at undtagelsen til persondatalovens § 35 ikke videreføres.

Efter databeskyttelsesforordningen artikel 21, stk. 1, har den registrerede

således til enhver tid ret til af grunde, der vedrører den pågældendes særli-

ge situation, at gøre indsigelse mod behandling af personoplysninger base-

ret på forordningens artikel 6, stk. 1, litra e eller f. Hvis den registrerede

gør indsigelse, må den dataansvarlige ikke længere behandle oplysninger-

ne. Forbuddet mod fortsat behandling gælder dog ikke, hvis behandlingen

er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsva-

res, sådan som det f.eks. vil være tilfældet i forhold til vurderingen af den

registreredes adgang til at opnå godtgørelse eller tilskud til befordring. Det

er derfor ikke nødvendigt at opretholde undtagelsesbestemmelsen i lovens

§ 18, stk. 4, til persondatalovens § 35.

Til § 14

Nr. 1

Der er tale om en konsekvensændring som følge af databeskyttelsesfor-

ordningens ikrafttræden og ophævelsen af lov om behandling af personop-

lysninger. Der henvises i stedet til databeskyttelsesforordningen og databe-

skyttelsesloven.

Til § 15

Nr. 1

Der er tale om en konsekvensændring som følge af databeskyttelsesfor-

ordningens ikrafttræden og ophævelsen af lov om behandling af personop-

lysninger. Der henvises i stedet til databeskyttelsesforordningen og databe-

skyttelsesloven.

Til § 16

Nr. 1

Der er tale om en konsekvensændring som følge af databeskyttelsesfor-

ordningens ikrafttræden og ophævelsen af lov om behandling af personop-

lysninger. Der henvises i stedet til databeskyttelsesforordningen og databe-

skyttelsesloven.

Til § 17

Nr. 1

Der er tale om en konsekvensændring som følge af databeskyttelsesfor-

ordningens ikrafttræden og ophævelsen af lov om behandling af personop-

lysninger. Der henvises i stedet til databeskyttelsesforordningen og databe-

skyttelsesloven.

Nr. 2

Der er tale om en konsekvensændring som følge af databeskyttelsesfor-

ordningens ikrafttræden og ophævelsen af lov om behandling af personop-

lysninger. Der henvises i stedet til databeskyttelsesforordningen og databe-

skyttelsesloven.

Nr. 3 og 4

Der er tale om konsekvensændringer som følge af databeskyttelsesforord-

ningen og databeskyttelseslovens ikrafttræden og ophævelsen af personda-

taloven.

Den gældende tilsynsordning i Danmark bliver videreført i databeskyttel-

sesloven, således at Datatilsynet

–

ligesom efter persondataloven

–

fører

det generelle tilsyn med behandling af personoplysninger efter forordnin-

gen og databeskyttelseslovens regler. Forordningen indebærer således, at

Datatilsynet har tilsynskompetence på alle områder inden for dansk juris-

diktion omfattet af forordningens anvendelsesområde, herunder områder

undergivet dansk særregulering fastsat i overensstemmelse med forordnin-

gen. Det gælder dog ikke behandling af oplysninger for domstolene, som

er undergivet Domstolsstyrelsens tilsynskompetence.

Reglerne om Datatilsynets samarbejde med tilsynsmyndigheden i andre

medlemsstater følger direkte af databeskyttelsesforordningens kapitel VII.

Datatilsynet kan indgå i dialog med Finanstilsynet i forbindelse med Data-

tilsynets samarbejde med udenlandske myndigheder efter databeskyttelses-

forordningen.

Nr. 5

Der er tale om en konsekvensændring som følge af databeskyttelsesfor-

ordningens ikrafttræden og ophævelsen af lov om behandling af personop-

lysninger. Der henvises i stedet til databeskyttelsesforordningens artikel 6,

stk. 1, litra b.

Til § 18

Nr. 1

Der er tale om en konsekvensændring som følge af databeskyttelsesfor-

ordningens ikrafttræden og ophævelsen af lov om behandling af personop-

lysninger. Der henvises i stedet til databeskyttelsesforordningens kapitel 2

og databeskyttelseslovens kapitel 3.

Til § 19

Nr. 1

Efter de gældende regler i § 31, stk. 6, i lov om elektroniske kommunikati-

onsnet og -tjenester kan oplysninger som nævnt i lovens § 31, stk. 5, nr. 2,

jf. stk. 4 (dvs. oplysninger om hemmelige og udeladte numre), alene vide-

regives af forsyningspligtudbyderens landsdækkende nummeroplysnings-

tjeneste til brug for offentlige alarmtjenester, politiet, statsadvokaterne,

retterne eller restanceinddrivelsesmyndigheden.

De nævnte oplysninger kan ikke i dag videregives til kriminalforsorgen.

Det følger endvidere af bemærkningerne til bestemmelsen, at retterne og

restanceinddrivelsesmyndighedens adgang til indhentelse af oplysninger

om telefonnumre, herunder hemmelige telefonnumre i nummeroplys-

ningsdatabasen (”118”) er begrænset til indhentelse som led i telefonfor-

kyndelser. Der er således ikke i dag adgang til at indhente disse oplysnin-

ger til brug for efterfølgende påmindelser pr. sms om tid og sted, hvis der

ikke er foretaget telefonforkyndelse, for et retsmøde, jf. retsplejelovens §

154 a, stk. 1, nr. 6.

Det foreslås, at § 31, stk. 6, i lov om elektroniske kommunikationsnet og -

tjenester ændres, således at kriminalforsorgen medtages i opregningen af

de myndigheder, hvortil nummeroplysningsdata som nævnt i lovens § 31,

stk. 5, nr. 2, kan videregives.

Det foreslås endvidere,

at ordet ”retterne” i § 31, stk. 6, ændres til ”de en-

kelte retter”.

De foreslåede ændringer vil indebære, at nummeroplysningsdata som

nævnt i lovens § 31, stk. 5, nr. 2, også vil kunne videregives til kriminal-

forsorgen til brug for påmindelser om afsoning, møder i kriminalforsorgen

mv., samt at retternes adgang til at indhente oplysninger om telefonnumre,

herunder hemmelige telefonnumre, i nummeroplysningsdatabasen (”118”)

udvides til også at omfatte opslag til brug for påmindelser pr. sms om tid

og sted for et retsmøde, jf. retsplejelovens § 154 a, stk. 1, nr. 6, når der er

sket forkyndelse i overensstemmelse med retsplejeloven.

Med forslaget forudsættes det, at kun de personer ved retterne, der beskik-

kes til at foretage forkyndelser, og de personer ved kriminalforsorgen, der

udpeges til at foretage indkaldelser og sende påmindelser, får adgang til

oplysninger om de hemmelige telefonnumre i nummeroplysningsdatabasen

(”118”), og at behandlingen af de pågældende telefonnumre skal ske i

overensstemmelse med databeskyttelsesforordningen, databeskyttelseslo-

ven og lov om retshåndhævende myndigheders behandling af personop-

lysninger.

Der henvises i øvrigt til afsnit 2.8. i lovforslagets almindelige bemærknin-

ger.

Nr. 2

Lov om elektroniske kommunikationsnet og -tjenesters § 45, stk. 1, define-

rer, hvad en forpligtelse til regnskabsmæssig opsplitning i henhold til tele-

lovens § 41, stk. 2, nr. 4, omfatter. Det fremgår af bestemmelsen, at der

med en forpligtelse til en regnskabsmæssig opsplitning forstås en forplig-

telse til, at udbydere med en stærk markedsposition skal udarbejde regn-

skaber for bestemte aktiviteter i forbindelse med netadgang. Det fremgår

af § 45, stk. 2, der implementerer artikel 11, stk. 2, i Europa-Parlamentets

og Rådets direktiv 2002/19/EF af 7. marts 2002 om adgang til og samtrafik

mellem elektroniske kommunikationsnet og tilhørende faciliteter (ad-

gangsdirektivet), at offentliggørelse af regnskabsoplysninger, herunder

oplysninger om indtægter, skal ske under respekt af regler om tavsheds-

pligt, herunder regler i forvaltningsloven og lov om behandling af person-

oplysninger.

Lov om elektroniske kommunikationsnet og -tjenesters § 72, stk. 1, im-

plementerer artikel 15 i adgangsdirektivet og indebærer, at afgørelser, der

træffes efter § 33, stk. 2, og §§ 38-41, og som omfatter afgørelser om ge-

nerel regulering af telemarkedet, gøres offentligt tilgængelige. § 72, stk. 2,

indebærer, at andre afgørelser end dem, der er omhandlet i stk. 1, hvilket

omfatter afgørelser af almen interesse eller af betydning for forståelsen af

denne lovs bestemmelser eller regler udstedt i medfør heraf, kan offentlig-

gøres efter en konkret vurdering. Formålet med bestemmelsen er at skabe

gennemsigtighed om den aktuelle regulering af telemarkedet. Det fremgår

af § 72, stk. 3, at offentliggørelse skal ske inden for rammerne af regler om

tavshedspligt, herunder reglerne i forvaltningsloven og lov om behandling

af personoplysninger.

Persondataloven ophæves i forbindelse med, at databeskyttelsesforordnin-

gen finder anvendelse og vil blive erstattet dels af databeskyttelsesforord-

ningen og dels af databeskyttelsesloven.

Det foreslås at ændre den gældende lov om elektroniske kommunikations-

net og -tjenesters § 45, stk. 2, og § 72, stk. 3, således at henvisningen til

lov om behandling af personoplysninger ændres, som følge af, at person-

dataloven ophæves og databeskyttelsesforordningen samt databeskyttelses-

loven finder anvendelse den 25. maj 2018. Henvisningen skal således til-

passes databeskyttelsesforordningen og databeskyttelsesloven.

Der er tale om en justering af lovteknisk karakter, som ikke ændrer på

gældende ret.

Til § 20

Nr. 1

Efter den gældende bestemmelse i sundhedslovens § 37, stk. 1, 2. pkt., har

patienten ret til indsigt i egen patientjournal, idet patienten efter anmod-

ning har ret til på en letforståelig måde at få meddelelse om, hvilke oplys-

ninger der behandles i patientjournalen mv., formålet hermed, kategorierne

af modtagere af oplysningerne og tilgængelig information om, hvorfra

disse oplysninger stammer. Bestemmelsen er formuleret som en indsigts-

regel, der svarer til den ret til indsigt, den registrerede har efter § 31 i lov

om behandling af personoplysninger.

Bestemmelsen gælder både for manuelle og elektroniske patientjournaler.

Det foreslås at ændre bestemmelsen i § 37, stk. 1, 2. pkt., som en konse-

kvens af databeskyttelsesforordningen. Det følger således af EU-retlige

regler, at en forordning er almengyldig og gælder umiddelbart i hver med-

lemsstat. Det indebærer, at forordningen ikke må gennemføres i national

ret. Det bemærkes i den forbindelse, at sundhedslovens § 37, stk. 1, 2. pkt.,

giver patienten en mere begrænset ret til indsigt, end den ret til indsigt,

som følger af databeskyttelsesforordningen. Patientens ret til indsigt bliver

således med databeskyttelsesforordningen udvidet, idet den dataansvarlige

region, privatpraktiserende læge m.fl. efter databeskyttelsesforordningens

artikel 15, ud over de oplysninger der skal gives meddelelse om efter

sundhedslovens § 37, stk. 1, 2. pkt., bl.a. skal oplyse den registrerede om

opbevaringsperioden samt retten til berigtigelse, sletning og indgivelse af

klager.

Databeskyttelsesforordningen gælder for behandling af personoplysninger,

der helt eller delvis foretages ved hjælp af automatisk databehandling, og

på anden ikke-automatisk behandling af personoplysninger, der er eller vil

blive indeholdt i et register, jf. databeskyttelsesforordningens artikel 2, stk.

1. Begrebet ”automatisk databehandling” er sammenfaldende med begre-

bet ”elektronisk databehandling”.

Indsigtsretten efter databeskyttelsesforordningens artikel 15 omfatter såle-

des alene oplysninger i patientjournaler, der helt eller delvis behandles ved

hjælp af elektronisk databehandling, eller som er eller vil blive indeholdt i

et register.

Det betyder, at retten til indsigt efter databeskyttelsesforordningen vil gæl-

de for patientoplysninger, der er registreret i elektroniske patientjournaler.

Det bemærkes i den forbindelse, at langt de fleste patientjournaler efter-

hånden er overgået fra at være registreret i en manuel, papirbaseret journal

til at være registreret i elektroniske systemer.

Manuelle patientjournaler vedrørende de enkelte patienter vil derimod

sædvanligvis være af en sådan karakter, at de ikke kan antages at udgøre et

beskyttelsesforordningen vil derfor som udgangspunkt ikke gælde for pati-

entoplysninger, der er registreret i manuelle patientjournaler.

Det foreslås på den baggrund at videreføre indsigtsretten i sundhedslovens

§ 37, stk. 1, 2. pkt., for så vidt angår manuelle patientjournaler.

”Manuelle

patientjournaler” skal i forlængelse heraf forstås som patientjournaler, der

ikke er omfattet af forordningens almindelige anvendelsesområde, jf. data-

beskyttelsesforordningens artikel 2, stk. 1.

For så vidt angår patientjournaler, der er omfattet af databeskyttelsesfor-

ordningens anvendelsesområde, vil indsigtsretten følge direkte af databe-

skyttelsesforordningen artikel 15.

Nr. 2

Efter den gældende bestemmelse i sundhedslovens § 41, stk. 5, skal en

patient, når der sker videregivelse af helbredsoplysninger mv. efter sund-

hedslovens § 41, stk. 2, nr. 4, som udgangspunkt orienteres om videregi-

velsen, samt formålet med videregivelsen. Videregivelse efter sundheds-

lovens § 41, stk. 2, nr. 4, kan ske uden samtykke fra patienten, hvis videre-

givelsen er nødvendig til berettiget varetagelse af en åbenbar almen inte-

resse eller af væsentlige hensyn til patienten, sundhedspersonen eller an-

dre. Orientering efter sundhedslovens § 41, stk. 5, kan dog udelades, hvis

der er hjemmel hertil i anden lovgivning, eller hvis det sker af hensyn til

offentlige eller private interesser svarende til dem, der beskyttes i denne

lovgivning. Med anden lovgivning sigtes navnlig til persondatalovens reg-

ler om oplysningspligt. Pligten til at orientere efter § 41, stk. 5, kan således

undlades i samme omfang, som den dataansvarlige kan undlade at opfylde

sin oplysningspligt efter persondataloven.

Det foreslås som en konsekvens af databeskyttelsesforordningen at be-

grænse anvendelsesområdet for § 41, stk. 5, således at orienteringspligten

alene gælder ved manuel videregivelse af helbredsoplysninger mv.

”Manuel videregivelse” skal forstås som videregivelse, der ikke er omfat-

tet af forordningens almindelige anvendelsesområde, jf. databeskyttelses-

forordningens artikel 2, stk. 1.

Det bemærkes i den forbindelse, at den dataansvarlige region, privatprakti-

serende læge m.fl. efter databeskyttelsesforordningens artikel 13 og artikel

14 vil have pligt til at give patienten en række oplysninger, når der indsam-

les oplysninger hos patienten, og når der indsamles oplysninger om den

registrerede hos andre end patienten.

Databeskyttelsesforordningen gælder for behandling af personoplysninger,

der helt eller delvis foretages ved hjælp af automatisk databehandling, og

på anden ikke-automatisk behandling af personoplysninger, der er eller vil

blive indeholdt i et register, jf. databeskyttelsesforordningens artikel 2, stk.

1. Begrebet ”automatisk databehandling” er sammenfaldende med begre-

bet ”elektronisk databehandling”.

Oplysningspligten efter databeskyttelsesforordningens artikel 13 og 14

gælder således alene i det omfang videregivelsen af personoplysningerne i

medfør af sundhedslovens § 41, stk. 2, nr. 5, foretages helt eller delvis ved

hjælp af elektronisk databehandling, eller er eller vil blive indeholdt i et

manuelt register.

Det bemærkes i den forbindelse, at manuelle patientjournaler vedrørende

de enkelte patienter sædvanligvis vil være af en sådan karakter, at de ikke

kan antages at udgøre et manuelt register i databeskyttelsesforordningens

forstand.

Oplysningspligten efter databeskyttelsesforordningen vil således gælde i

forbindelse med videregivelse af helbredsoplysninger mv. fra elektroniske

patientjournaler. Det gælder uanset om videregivelsen sker elektronisk

eller manuelt, jf. U 2011.2343 H, hvor en sagsbehandlers mundtlige vide-

regivelse af personoplysninger, der var registreret elektronisk, blev anset

for at være omfattet af persondatalovens almindelige anvendelsesområde,

jf. persondatalovens § 1, stk. 1. Bestemmelsen i persondatalovens § 1, stk.

1, svarer i vidt omfang til databeskyttelsesforordningens artikel 2, stk. 1.

Oplysningspligten efter databeskyttelsesforordningen vil desuden gælde,

når helbredsoplysninger mv. videregives fra manuelle patientjournaler,

hvis oplysningerne videregives elektronisk, f.eks. ved at en sundhedsper-

son scanner helbredsoplysninger mv. fra en manuel patientjournal og sen-

der oplysningerne med digital post, eller hvis de helbredsoplysninger mv.,

der videregives fra en manuel patientjournal indgår i en elektronisk pati-

entjournal hos modtageren af oplysningerne.

I det omfang videregivelsen af helbredsoplysninger mv. er omfattet af da-

tabeskyttelsesforordningens almindelige anvendelsesområde, jf. forordnin-

gens artikel 2, stk. 1, vil den foreslåede ændring således indebære, at den

dataansvarlige region, privatpraktiserende læge m.fl. alene skal opfylde

oplysningspligten efter databeskyttelsesforordningen. Det bemærkes i den

forbindelse, at langt de fleste patientoplysninger efterhånden er overgået

fra at være registreret i en manuel journal til at være registreret i elektroni-

ske systemer.

Da der imidlertid fortsat i et vist omfang manuelt videregives helbredsop-

lysninger mv., foreslås det at bibeholde forpligtelsen til at orientere patien-

ten, når helbredsoplysninger mv. videregives manuelt efter sundhedslo-

vens § 41, stk. 2, nr. 4. ”Manuel videregivelse” skal i forlængelse heraf

forstås som videregivelse, der ikke er omfattet af forordningens almindeli-

ge anvendelsesområde, jf. databeskyttelsesforordningens artikel 2, stk. 1.

Nr. 3

Efter den gældende bestemmelse i sundhedslovens § 43, stk. 4, skal en

patient, hvis der sker videregivelse af helbredsoplysninger mv. efter sund-

hedslovens § 43, stk. 2, nr. 2, som udgangspunkt orienteres om videregi-

velsen, samt formålet med videregivelsen. Videregivelse efter sundhedslo-

vens § 43, stk. 2, nr. 3, kan ske uden samtykke fra patienten, hvis videregi-

velsen er nødvendig til berettiget varetagelse af en åbenbar almen interesse

eller af væsentlige hensyn til patienten, sundhedspersonen eller andre. Ori-

entering kan dog udelades, hvis der er hjemmel hertil i anden lovgivning,

eller hvis det sker af hensyn til offentlige eller private interesser svarende

til dem, der beskyttes i denne lovgivning. Med anden lovgivning sigtes

navnlig til persondatalovens regler om oplysningspligt. Pligten til at orien-

tere efter § 41, stk. 5, kan således undlades i samme omfang, som den da-

taansvarlige kan undlade at opfylde sin oplysningspligt efter persondatalo-

ven.

Det foreslås som en konsekvens af databeskyttelsesforordningen at be-

grænse anvendelsesområdet for orienteringspligten i § 43, stk. 4, til at gæl-

de ved manuel videregivelse af helbredsoplysninger mv.

”Manuel videregivelse” skal forstås som videregivelse, der ikke er omfat-

tet af forordningens almindelige anvendelsesområde, jf. databeskyttelses-

forordningens artikel 2, stk. 1.

Det bemærkes i den forbindelse, at den dataansvarlige region, privatprakti-

serende læge m.fl. efter databeskyttelsesforordningens artikel 13 og artikel

14 vil have pligt til at give patienten en række oplysninger, når der indsam-

les oplysninger hos patienten, og når der indsamles oplysninger om den

registrerede hos andre end patienten.

Databeskyttelsesforordningen gælder for behandling af personoplysninger,

der helt eller delvis foretages ved hjælp af automatisk databehandling, og

på anden ikke-automatisk behandling af personoplysninger, der er eller vil

blive indeholdt i et register, jf. databeskyttelsesforordningens artikel 2, stk.

1. Begrebet ”automatisk databehandling” er sammenfaldende med begre-

bet ”elektronisk databehandling”.

Oplysningspligten efter databeskyttelsesforordningens artikel 13 og 14

gælder således alene i det omfang videregivelsen af personoplysningerne i

medfør af sundhedslovens § 43, stk. 4, foretages helt eller delvis ved hjælp

af elektronisk databehandling, eller, hvis de omhandlede personoplysnin-

ger, der videregives, er eller vil blive indeholdt i et manuelt register.

Det bemærkes i den forbindelse, at manuelle patientjournaler vedrørende

de enkelte patienter sædvanligvis vil være af en sådan karakter, at de ikke

kan antages at udgøre et manuelt register i databeskyttelsesforordningens

forstand.

Oplysningspligten efter databeskyttelsesforordningen vil således gælde i

forbindelse med videregivelse af helbredsoplysninger mv. fra elektroniske

patientjournaler. Det gælder uanset om videregivelsen sker elektronisk

eller manuelt, jf. U 2011.2343 H, hvor en sagsbehandlers mundtlige vide-

regivelse af personoplysninger, der var registreret elektronisk, blev anset

for at være omfattet af persondatalovens almindelige anvendelsesområde,

jf. persondatalovens § 1, stk. 1. Persondatalovens § 1, stk. 1, svarer i vidt

omfang til databeskyttelsesforordningens artikel 2, stk. 1.

Oplysningspligten efter databeskyttelsesforordningen vil desuden gælde,

når helbredsoplysninger mv. videregives fra manuelle patientjournaler,

hvis oplysningerne videregives elektronisk, f.eks. ved at en sundhedsper-

son scanner helbredsoplysninger mv. fra en manuel patientjournal og sen-

der oplysningerne med digital post, eller hvis de helbredsoplysninger mv.,

der videregives fra en manuel patientjournal indgår i en elektronisk pati-

entjournal hos modtageren af oplysningerne.

I det omfang videregivelsen af helbredsoplysninger mv. er omfattet af da-

tabeskyttelsesforordningens almindelige anvendelsesområde, jf. forordnin-

gens artikel 2, stk. 1, vil den foreslåede ændring således indebære, at den

100

dataansvarlige region, privatpraktiserende læge m.fl. alene skal opfylde

oplysningspligten efter databeskyttelsesforordningen. Det bemærkes i den

forbindelse, at langt de fleste patientoplysninger efterhånden er overgået

fra at være registreret i en manuel journal til at være registreret i elektroni-

ske systemer.

Da der imidlertid fortsat i et vist omfang manuelt videregives helbredsop-

lysninger mv., foreslås det at bibeholde forpligtelsen til at orientere patien-

ten, når der manuelt videregives helbredsoplysninger mv. efter sundheds-

lovens § 43, stk. 4.”Manuel videregivelse” skal i forlængelse heraf forstås

som videregivelse, der ikke er omfattet af forordningens almindelige an-

vendelsesområde, jf. databeskyttelsesforordningens artikel 2, stk. 1.

Nr. 4

Efter den gældende bestemmelse i § 196, stk. 3, kan sundheds- og ældre-

ministeren bestemme, at den registrerede skal have indsigtsret i oplysnin-

ger, der er registreret om vedkommende i de kliniske kvalitetsdatabaser,

som er nævnt i § 196, stk. 2. Bemyndigelsesbestemmelsen er udmøntet i §

5 i bekendtgørelse nr. 909 af 26. juni 2016 om indberetning til godkendte

kliniske kvalitetsdatabaser og videregivelse af data til Sundhedsdatastyrel-

sen. Det fremgår af denne bestemmelse, at den, der er registreret i en kli-

nisk kvalitetsdatabase, hos den dataansvarlige for kvalitetsdatabasen kan

anmode om at få indsigt i de oplysninger, der behandles om vedkommen-

de. Det fremgår desuden, at henvendelsen skal behandles efter reglerne i

§§ 31-34 i persondataloven bortset fra § 32, stk. 4, der ikke finder anven-

delse på kliniske kvalitetsdatabaser.

Det foreslås at ændre sundhedslovens § 196, stk. 3, således, at det fastsæt-

tes, at patienter har ret til indsigt efter databeskyttelsesforordningens arti-

kel 15 i oplysninger, der er registreret om vedkommende i de kliniske kva-

litetsdatabaser. Der er tale om en konsekvensændring som følge af databe-

skyttelsesforordningen.

Det foreslås samtidig, at den registreredes ret til indsigt efter databeskyt-

telsesforordningens artikel 15 skal kunne begrænses i samme omfang som

indsigtsretten kan begrænses efter persondatalovens § 32, stk. 1 og 2, jf.

databeskyttelseslovens § 22, stk. 1-3.

Til § 21

101

Nr. 1

Forslaget er en konsekvensændring som følge af databeskyttelsesforord-

ningen.

Til § 22

Nr. 1

Forslaget er en konsekvensændring som følge af databeskyttelsesordnin-

gen.

Til § 23

Nr. 1

Forslaget er en konsekvensændring som følge af databeskyttelsesordnin-

gen.

Til § 24

Nr. 1

I udlændingelovens § 44a, stk. 12, 1. pkt., og § 44a, stk. 12, 3. pkt., henvi-

ses til persondatalovens § 7, stk. 8.

Det foreslås, at udlændingelovens § 44a, stk. 12, 1. pkt. og § 44a, stk. 12,

3. pkt., ophæves som konsekvens af, at persondatalovens § 7, stk. 8, op-

hæves i databeskyttelsesloven. Det er ikke længere relevant at undtage

visse behandlinger i udlændingeloven fra persondatalovens § 7, stk. 8, idet

bestemmelsen ophæves, når databeskyttelsesloven og databeskyttelsesfor-

ordningen finder anvendelse den 25. maj 2018. Retstilstanden vil herefter

være uændret.

Til § 25

Nr. 1

Det følger af CPR-lovens § 4, stk. 2, 1. pkt., at en anmodning fra en person

over 15 år om indsigt i oplysninger i CPR om vedkommende selv, jf. § 31,

stk. 1, i lov om behandling af personoplysninger, skal fremsættes ved an-

102

vendelse af den digitale selvbetjeningsløsning, som Økonomi- og Inden-

rigsministeriet stiller til rådighed (digital selvbetjening).

Indsigtsretten følger af den nugældende persondatalovs § 31, stk. 1, mens

reglerne om anmodning om registerindsigt i CPR, der er underlagt obliga-

torisk digital selvbetjening, findes i CPR-loven.

Det foreslås, at henvisningen i CPR-lovens § 4, stk. 2, 1. pkt., til reglen om

indsigtsretten i den nugældende persondatalovs § 31, stk. 1, ændres til en

henvisning til databeskyttelsesforordningens artikel 15, stk. 1, som bliver

det fremtidige hjemmelsgrundlag.

Forslaget er en konsekvens af databeskyttelsesforordningens ikrafttræden

og ophævelsen af den nugældende persondatalovs § 31, stk. 1.

Det er vurderet, at det inden for rammerne af databeskyttelsesforordnin-

gens artikel 15, stk. 3, der vedrører den dataansvarliges meddelelse af ind-

sigten, herunder meddelelse i elektronisk form, er muligt at bevare den

gældende ordning i CPR-lovens § 4, stk. 3, hvorefter en anmodning om

registerindsigt alene besvares via den digitale selvbetjeningsløsning.

Nr. 2

Det fremgår af CPR-lovens § 29, stk. 2, 1. pkt., at enhver ved henvendelse

til sin bopælskommune har ret til at få indsat en markering i CPR om, at

den pågældende frabeder sig henvendelser, der sker i markedsføringsøje-

med.

Efter CPR-lovens § 29, stk. 2, 2. pkt., giver en sådan markering dels den

beskyttelse mod markedsføring, der er fastsat i markedsføringslovens § 6

sammenholdt med CPR-lovens § 40, stk. 4 og 5, dels den beskyttelse mod

videregivelse mv. til brug ved anden virksomheds markedsføring, der er

fastsat i § 36 i lov om behandling af personoplysninger.

Bestemmelsen i CPR-lovens § 29, stk. 2, er en del af ordningen vedrøren-

de markedsføringsbeskyttelse for forbrugere, der er reguleret i henholdsvis

markedsføringsloven og i den nugældende persondatalov.

Det foreslås, at henvisningen i CPR-lovens § 29, stk. 2, 2. pkt., til mar-

kedsføringslovens § 6 ændres til en henvisning til markedsføringslovens §

10.

103

Ved lov nr. 426 af 3. maj 2017 om markedsføring blev reguleringen af den

beskyttelse mod markedsføring som tidligere var fastsat i markedsførings-

lovens § 6 videreført med få justeringer ved lovens § 10. Der henvises her-

om til bemærkningerne til forslaget til denne lov, jf. Folketingstidende

2016-17, A, L 40 som fremsat, side 59.

Der blev ikke i den forbindelse foretaget de nødvendige konsekvensæn-

dringer i CPR-lovens § 29, stk. 2, 2. pkt.

Ved forslaget sikres henvisning til den rette bestemmelse i markedsfø-

ringsloven.

Den foreslåede ændring er af redaktionel karakter, og vedrører alene hen-

visningerne i CPR-lovens § 29, stk. 2, 2. pkt., til de ovennævnte regler i

anden lovgivning, hvori selve beskyttelsen også fremover vil være regule-

ret.

Det foreslås endvidere, at henvisningen i CPR-lovens § 29, stk. 2, 2. pkt.,

til reglen i den nugældende persondatalovs § 36 om den registreredes ret til

at gøre indsigelse mod, at en virksomhed videregiver oplysninger om den

pågældende til andre virksomheder med henblik på markedsføring mv.,

ændres til artikel 21 i databeskyttelsesforordningen og § 13, stk. 4, i data-

beskyttelsesloven.

Ændringen er en konsekvens af databeskyttelsesforordningen og databe-

skyttelsesloven, og der foreslås ikke yderligere ændringer.

I artikel 21, stk. 2 og 3, i databeskyttelsesforordningen er der fastsat regler

om den registreredes indsigelsesret i forbindelse med direkte markedsfø-

ring.

Databeskyttelsesforordningens artikel 21, stk. 2 og 3, er overordnet en

videreførelse af gældende ret, men det bemærkes dog, at efter artikel 21,

stk. 2 og 3, kan der kun gøres indsigelse i forbindelse med de situationer,

hvor der er tale om direkte markedsføring. For nærmere herom se betænk-

ning nr. 1565/2017 om databeskyttelsesforordningen, side 355-370.

I persondatalovens § 36, stk. 2, 1. pkt., er fastsat regler om virksomheders

pligtmæssige undersøgelse i CPR af, om en forbruger frabeder sig henven-

104

delser i markedsføringsøjemed forinden videregivelse eller anvendelse af

oplysningerne i markedsføringsøjemed.

I databeskyttelseslovens § 13, stk. 4, videreføres reglen om, at en virksom-

hed

–

hver gang den ønsker at videregive oplysninger om en forbruger til

andre virksomheder til brug ved direkte markedsføring mv.

–

skal tjekke i

CPR, om forbrugeren har frabedt sig henvendelser i markedsføringsøje-

med. I bekræftende fald må oplysningerne ikke videregives til dette for-

mål, jf. databeskyttelsesforordningens artikel 21, stk. 3.

For så vidt angår den forbruger, der ikke i CPR har frabedt sig henvendel-

ser i markedsføringsøjemed, skal virksomheden endvidere

–

senest på

tidspunktet for den første kommunikation med forbrugeren (den registre-

rede)

–

efter databeskyttelsesforordningens artikel 21, stk. 4, udtrykkeligt

gøre den registrerede opmærksom på retten til at gøre indsigelse efter for-

ordningens artikel 21, stk. 2, mod behandling af personoplysninger til di-

rekte markedsføring.

Reglerne gælder også i den situation, hvor oplysningerne anvendes på

vegne af en anden virksomhed med henblik på direkte markedsføring.

Databeskyttelseslovens § 13, stk. 4, beskriver således den fremgangsmåde,

som den dataansvarlige virksomhed skal følge for at sikre sig, at forbruge-

ren ikke har gjort indsigelse imod, at generelle kundeoplysninger om den

pågældende videregives til en anden virksomhed med henblik på direkte

markedsføring.

Fremgangsmåden skal også følges i tilfælde, hvor den dataansvarlige virk-

somhed ikke ønsker at videregive oplysningerne til en anden virksomhed,

men derimod selv ønsker at anvende oplysningerne på vegne af en anden

virksomhed med henblik på direkte markedsføring.

Nr. 3

Der er i CPR-lovens § 31, § 35, 2. pkt., § 36, 2. pkt., § 37, 2. pkt., og § 38,

stk. 6, ved enslydende formuleringer fastsat som betingelse for den af disse

bestemmelser fastsatte videregivelse af oplysninger fra CPR henholdsvis

ældre folkeregistreringsmateriale i kommunen, at modtageren af oplysnin-

gerne er berettiget til at behandle disse oplysninger efter den nugældende

persondatalov.

105

Det fremgår således af CPR-lovens § 31, at oplysninger i CPR og ældre

folkeregistermateriale kan videregives til anden offentlig myndighed efter

reglerne i lov om behandling af personoplysninger.

Bestemmelserne i CPR-lovens § 35, 2. pkt., § 36, 2. pkt., og § 37, 2. pkt.,

fastsætter samme betingelse for så vidt angår Økonomi- og Indenrigsmini-

steriets videregivelse af oplysninger i CPR til brug i statistisk eller viden-

skabeligt øjemed samt kommunernes videregivelse til samme formål af

oplysninger, der ikke er registreret i CPR, men som findes i ældre folkere-

gistermateriale i kommunen.

Efter CPR-lovens § 38, stk. 6, er det en betingelse for Økonomi- og Inden-

rigsministeriets levering af oplysninger efter stk. 1-4, at modtageren efter

lov om behandling af personoplysninger er berettiget til at behandle oplys-

ningerne.

Det fremgår af CPR-lovens § 52, stk. 1, at hvis en offentlig myndighed i

overensstemmelse med lov om behandling af personoplysninger anvender

personnummer som identifikation eller journalnummer, skal det være per-

sonnummeret for den person, sagen vedrører.

Det foreslås, at henvisningen til den nugældende persondatalov i oven-

nævnte bestemmelser i CPR-loven ændres til en henvisning til databeskyt-

telsesforordningen og databeskyttelsesloven, som bliver det fremtidige

hjemmelsgrundlag.

Formålet med den foreslåede ændring er at foretage de nødvendige konse-

kvensændringer som følge af databeskyttelsesforordningens ikrafttræden

og det samtidigt hermed fremsatte forslag til databeskyttelsesloven.

Til § 26

Nr. 1

Efter den kommunale og regionale valglovs § 106, stk. 4, 1. pkt., kan

valgmateriale omfattet af stk. 3, 1. pkt., efter kommunalbestyrelsens hen-

holdsvis regionsrådets bestemmelse anvendes til forskning og statistik i

overensstemmelse med reglerne i lov om behandling af personoplysninger.

Bestemmelsen fastsætter således en undtagelse fra stk. 3, 1. pkt., hvorefter

valglisterne, valgkortene og stemmesedlerne, herunder brevstemmemateri-

106

ale, skal tilintetgøres, når klagefristen er udløbet, jf. § 93, og eventuelle

klager over valget er endeligt afgjort.

Med den foreslåede ændring fastlægges, at den omhandlede behandling af

personoplysninger fremover skal have hjemmel i reglerne i databeskyttel-

sesforordningen og databeskyttelsesloven.

Det antages, at de omhandlede personoplysninger vil kunne behandles med

henblik på forskning og statistik i samme omfang som efter den nugæl-

dende persondatalov.

Der tilsigtes med den foreslåede ændring ikke i øvrigt nogen ændring i

forhold til den gældende retstilstand. Kompetencen til at beslutte at lade

valgmateriale anvende til forskning og statistik ligger således fortsat hos

kommunalbestyrelsen samt

–

for så vidt angår det valgmateriale, som re-

gionsrådet opbevarer

–

hos regionsrådet, og der foreligger efter bestem-

melsen ikke nogen pligt for kommunalbestyrelserne henholdsvis regions-

rådene til at videregive valgmaterialet eller til at medvirke til forskningen.

Til § 27

Nr. 1

Efter folketingsvalglovens § 104, stk. 4, 1. pkt., kan valgmateriale omfattet

af stk. 3, 1. pkt., efter kommunalbestyrelsens bestemmelse anvendes til

forskning og statistik i overensstemmelse med reglerne i lov om behand-

ling af personoplysninger. Bestemmelsen fastsætter således en undtagelse

fra stk. 3, 1. pkt., hvorefter valglisterne, valgkortene, stemmesedlerne samt

brevstemmematerialet skal tilintetgøres, når klagefristen er udløbet, jf. §§

88 og 103, og eventuelle klager over valget er endeligt afgjort.

Folketingsvalglovens § 104 gælder både for folketingsvalg, folkeafstem-

ninger og

–

i kraft af henvisningen i Europa-Parlamentsvalglovens § 44

–

for Europa-Parlamentsvalg.

Med den foreslåede ændring fastlægges, at den omhandlede behandling af

personoplysninger fremover skal have hjemmel i reglerne i databeskyttel-

sesforordningen og databeskyttelsesloven.

107

Det antages, at de omhandlede personoplysninger vil kunne behandles med

henblik på forskning og statistik i samme omfang som efter den nugæl-

dende persondatalov.

Der tilsigtes med den foreslåede ændring ikke i øvrigt nogen ændring i

forhold til den gældende retstilstand. Kompetencen til at beslutte at lade

valgmateriale anvende til forskning og statistik ligger således fortsat hos

kommunalbestyrelsen, og der foreligger efter bestemmelsen ikke nogen

pligt for kommunalbestyrelsen til at videregive valgmaterialet eller til at

medvirke til forskningen.

Til § 28

Nr. 1

§ 2, stk. 3, i lov om Digital Post fra offentlige afsendere indeholder en fra-

vigelse af persondatalovens § 35. Det betyder, at indsigelse fra en borger

mod at vedkommendes personnummer behandles i forbindelse med tilslut-

ning, uden videre vil blive anset som uberettiget på grund hjemmelsbe-

stemmelsen i stk. 2.

Med lov om Digital Post fra offentlige afsendere blev der skabt lovhjem-

mel for obligatorisk tilslutning til det offentlige digitale postsystem for

fysiske personer og juridiske enheder og dermed for digital kommunikati-

on fra det offentlige og til de pågældende.

Digital Post løsningen giver mulighed for sikker digital kommunikation

mellem myndigheder og borgere/virksomheder, og det er en del af løsnin-

gen, at myndigheder kan kommunikere sikkert til et specifikt personnum-

mer for fysiske personer, for dermed at sikre identiteten af den borger, der

kommunikeres med. Tilslutningen til Digital Post løsningen er obligatorisk

for borgere, dog er der mulighed for fritagelse i særlige tilfælde.

Digital Post løsningen er lovhjemlet i lov om Digital Post fra offentlige

afsendere. Det følger af § 2, stk. 2, i denne lov, at ministeren udpeger en

systemansvarlig, som har til opgave at varetage driften af Digital Post løs-

ningen. Det fremgår endvidere, at den systemansvarlige kan behandle per-

sonnumre med det formål at kunne tilslutte borgere til løsningen og for at

kunne varetage den løbende drift af løsningen. Det fremgår endvidere af §

2, stk. 3, at persondatalovens § 35, hvorefter en borger har ret til at mod-

sætte sig behandlingen af en oplysning om dem, ikke finder anvendelse på

108

denne behandling af personnumre. For Digital Post løsningen betyder den-

ne begrænsning af de registreredes indsigelsesret, at man som borger ikke

kan benytte denne ret til konkret at nægte behandlingen af personnummer i

forbindelse med tilslutningen til og driften af Digital Post løsningen. Bag-

grunden for begrænsningen er, at personnummeret anvendes til at sikre

identiteten af den borger, der kommunikeres med.

Idet databeskyttelsesforordningen finder anvendelse den 25. maj 2018, og

persondataloven bliver ophævet, vil det fra denne dato være nødvendigt at

ændre henvisningen til lov om behandling af personoplysninger i § 2, stk.

3 i lov om Digital Post fra offentlige afsendere.

Hensigten med lovforslaget er at sikre, at den gældende begrænsning i de

registreredes indsigelsesret i forbindelse med behandling af personnumre

ved tilslutning og drift af Digital Post-løsningen, opretholdes.

Databeskyttelsesforordningens artikel 23 giver mulighed for, at medlems-

staterne kan begrænse de rettigheder og forpligtelser, der er omhandlet i

forordningens artikel 12-22, såfremt dette er en nødvendig og forholds-

mæssig foranstaltning i et demokratisk samfund af hensyn til bl.a. en med-

lemsstats generelle samfundsinteresser, jf. artikel 23, stk. 1, litra e, jf. be-

mærkningerne i afsnit 2.10.

Lovforslaget har ikke til hensigt at ændre på øvrige regler på området for

lov om afsendelse af Digital Post fra offentlige afsendere.

Til afsluttende bestemmelser

§ 29

Det foreslås i

stk. 1,

at loven træder i kraft den 25. maj 2018, hvor databe-

skyttelsesforordningen og databeskyttelsesloven ligeledes finder anvendel-

se.

Det foreslås i

stk. 2,

at beskæftigelsesministeren bemyndiges til at fastsæt-

te, hvornår reglerne i lovforslagets § 11, nr. 2 og 4-6, om henvisning til

databeskyttelsesforordningens regler skal træde i kraft. Bemyndigelsen

skal ses på baggrund af, at tidspunktet for, hvornår selskabet Ydelsesrefu-

sion sættes i drift, endnu ikke er fastlagt.

109

Beskæftigelsesministeren er herefter forpligtet til at sikre, at lovforslagets

§ 11, nr. 2 og 4-6, bliver sat i kraft den 25. maj 2018, såfremt §§ 14, stk. 2,

16, stk. 1, 19, stk. 2, 1. pkt. og 27, stk. 4, i lov om kommunernes finansie-

ring af visse offentlige ydelser udbetalt af kommunerne, Udbetaling Dan-

mark og arbejdsløshedskasserne bliver sat i kraft inden denne dato.

Beskæftigelsesministeren er endvidere forpligtet til at sikre, at lovforsla-

gets § 11, nr. 2 og 4-6, bliver sat i kraft senest samtidig med §§ 14, stk. 2,

16, stk. 1, 19, stk. 2, 1. pkt. og 27, stk. 4, i lov om kommunernes finansie-

ring af visse offentlige ydelser udbetalt af kommunerne, Udbetaling Dan-

mark og arbejdsløshedskasserne, såfremt disse sættes i kraft efter den 25.

maj 2018.

§ 30

De foreslåede ændringer gælder ikke for Færøerne og Grønland, men de

foreslåede ændringer i lov om retshåndhævende myndigheders behandling

af personoplysninger, lov om Politiets Efterretningstjeneste (PET), lov om

Forsvarets Efterretningstjeneste (FE), selskabsloven, lov om betalinger,

lov om forvaltere af alternative investeringsfonde og udlændingeloven kan

ved kongelig anordning helt eller delvist sættes i kraft for Færøerne og

Grønland med de ændringer, som de færøske henholdsvis grønlandske

forhold tilsiger.

Endvidere kan dele af de foreslåede ændringer i sundhedsloven og lov om

videnskabsetisk behandling af sundhedsvidenskabelige forskningsprojekter

ved kongelig anordning sættes helt eller delvis i kraft for Færøerne med de

afvigelser, som de særlige færøske forhold tilsiger.

De foreslåede ændringer i lov om Det Centrale Personregister kan ved

kongelig anordning sættes i kraft for Grønland med de afvigelser, som de

særlige grønlandske forhold tilsiger.

Hvad angår de foreslåede ændringer af lov om kommunale og regionale

valg og folketingsvalgloven, jf. lovforslagets §§ 26 og 27, finder disse an-

vendelse for hele riget. Dette skyldes, at de hovedlove, der ændres ved

denne del af lovforslaget

–

uanset at der ikke afholdes valg efter disse ho-

vedlove på Færøerne og i Grønland

–

på visse områder har retsvirkninger

for Færøerne og Grønland, navnlig derved, at de pågældende hovedlove

indeholder en bestemmelse om de færøske og grønlandske folkeregistres

medvirken ved brev-stemmeafgivning til det danske folketingsvalg, Euro-

110

pa-Parlamentsvalg og kommunal- og regionalvalg uden for Færøerne og

Grønland. Denne medvirken sker med de fornødne tilpasninger efter den

fremgangsmåde, der er fastsat herom i folketingsvalglovene for henholds-

vis Færøerne og Grønland og i disse rigsdeles særskilte egen lovgivning.

Ingen af de ved dette lovforslag foreslåede ændringer af valglovgivningen

har retsvirkning for Færøerne eller Grønland.

De foreslåede ændringer i forvaltningsloven og offentlighedsloven gælder

ikke for sager om færøske og grønlandske anliggender. Lovene kan ved

kongelig anordning sættes i kraft for sådanne sager med de ændringer, som

de færøske og grønlandske forhold tilsiger. Dette gælder dog kun sager,

der er eller har været under behandling af rigsmyndigheder.

111

Bilag 1

Lovforslaget sammenholdt med gældende lov

Gældende formulering

Lovforslaget

Justitsministeriet

§1

I lov om retshåndhævende myndighe-

ders behandling af personoplysninger

nr. 410 af 27. april 2017, foretages

følgende ændringer:

§ 27.

---

Stk. 2. ---

Stk. 3.

For oplysninger af særlig

interesse for fremmede magter

skal der træffes foranstaltninger,

der muliggør bortskaffelse eller

tilintetgørelse i tilfælde af krig

eller lignende forhold, jf. dog stk.

§ 27, stk. 3,

ophæves, og i stedet

indsættes: »Justitsministeren kan efter

forhandling med vedkommende mini-

ster fastsætte regler efter § 3, stk. 9, i

databeskyttelsesloven.«

Stk. 4.

Justitsministeren fastsætter

§ 27, stk. 4,

ændres »stk. 1-3« til

nærmere regler om de i stk. 1-3 »stk. 1-2«.

nævnte foranstaltninger.

Stk. 5.

Justitsministeren kan efter

§ 27, stk. 5,

ophæves.

indstilling fra en kompetent myn-

dighed fastsætte regler om, at

personoplysninger omfattet af stk.

3 ikke skal underlægges foran-

staltninger, der muliggør bortskaf-

felse eller tilintetgørelse, hvis

dette ud fra en samlet vurdering

må anses for forsvarligt.

§ 37.

---

Stk. 2.

Tilsynets daglige forret-

§ 37, stk. 2-9,

ophæves, og i stedet

112

ninger varetages af et sekretariat, indsættes: »For Datatilsynet gælder

der ledes af en direktør.

reglerne i § 27, stk. 2-9, i databeskyt-

telsesloven.«

Stk. 3.

Justitsministeren nedsætter

Datarådet, som består af 1 for-

mand, der er dommer, og 6 andre

medlemmer. Der kan udpeges

stedfortrædere for medlemmerne.

Formanden og medlemmerne og

stedfortræderne for disse udpeges

for 4 år. Der kan ske genudpeg-

ning to gange. Udpegningen af

formand og medlemmer og sted-

fortrædere for disse sker på bag-

grund af disses faglige kvalifika-

tioner, herunder navnlig eksperti-

se inden for databeskyttelsesret.

Stk. 4.

Rådet fastsætter sin forret-

ningsorden og de nærmere regler

om arbejdets fordeling mellem

råd og sekretariat.

Stk. 5.

Udpegningen af formand

og medlemmer og stedfortrædere

for disse er betinget af, at de på-

gældende sikkerhedsgodkendes,

og at godkendelsen opretholdes i

hele embedsperioden.

Stk. 6.

Hvervet som formand,

medlem eller stedfortræder ophø-

rer ved udgangen af embedsperi-

oden eller ved frivillig fratræden.

Stk. 7.

Formanden og medlemmer

og stedfortrædere for disse kan

alene afskediges i tilfælde af al-

vorligt embedsmisbrug, eller hvis

disse ikke længere opfylder betin-

gelserne for at varetage hvervet.

113

Stk. 8.

Sekretariatets personale og

Datarådets formand og medlem-

mer og stedfortrædere for disse

kan kun have bibeskæftigelse, i

det omfang det er foreneligt med

udøvelsen af de pligter, der er

knyttet til stillingen eller hvervet.

Stk. 9.

Datatilsynet repræsenterer

tilsynsmyndighederne i Det Euro-

pæiske Databeskyttelsesråd.

§ 10.

Det skal i forbindelse med

behandlingen af en anmodning

om aktindsigt overvejes, om der

kan gives aktindsigt i dokumenter

og oplysninger i videre omfang,

end hvad der følger af §§ 12-15 b.

Der kan gives aktindsigt i videre

omfang, medmindre det vil være i

strid med anden lovgivning, her-

under regler om tavshedspligt og

regler i lov om behandling af per-

sonoplysninger.

Stk. 2. ---

§2

I forvaltningsloven, jf. lovbekendtgø-

relse nr. 433 af 22. april 2014, foreta-

ges følgende ændringer:

§ 10, stk. 1,

ændres »lov om be-

handling af personoplysninger« til

»databeskyttelsesforordningen, data-

beskyttelsesloven og lov om rets-

håndhævende myndigheders behand-

ling af personoplysninger«.

§ 28.

For videregivelse af oplys-

ninger om enkeltpersoner (per-

sonoplysninger) til en anden for-

valtningsmyndighed gælder reg-

lerne i § 5, stk. 1-3, §§ 6-8, § 10,

§ 11, stk. 1, § 38 og § 40 i lov om

behandling af personoplysninger,

jf. denne lovs § 1, stk. 3.

Forvaltningslovens § 28, stk. 1,

affattes således:

»§

28.

For manuel videregivelse af

oplysninger om enkeltpersoner (per-

sonoplysninger) til en anden forvalt-

ningsmyndighed gælder reglerne i

databeskyttelseslovens §§ 6-8, § 10

og § 11, stk. 1, samt databeskyttelses-

forordningens artikel 5, stk. 1, litra a-

114

Stk. 2-4. ---

c, artikel 6, artikel 7, stk. 3, 1. og 2.

pkt., artikel 9, artikel 10 og artikel 77,

stk. 1, jf. databeskyttelseslovens § 2,

stk. 1. For videregivelse af personop-

lysninger til en anden forvaltnings-

myndighed, der helt eller delvis fore-

tages ved hjælp af automatisk databe-

handling, finder reglerne i databeskyt-

telsesforordningen og databeskyttel-

sesloven anvendelse, medmindre vi-

deregivelsen er reguleret af lov om

retshåndhævende myndigheders be-

handling af personoplysninger.«

§3

I lov nr. 606 af 12. juni 2013 om of-

fentlighed i forvaltningen med senere

ændring, foretages følgende ændrin-

ger:

§ 11. ---

Stk. 2.

Bestemmelsen i stk. 1 fin-

der ikke anvendelse med hensyn

til personoplysninger omfattet af

§ 10 i lov om behandling af per-

sonoplysninger.

§ 11, stk. 2,

ændres »§ 10 i lov om

behandling af personoplysninger« til

»§ 10, stk. 1-3, i databeskyttelseslo-

ven«.

§ 14.

Det skal i forbindelse med

behandlingen af en anmodning

om aktindsigt overvejes, om der

kan gives aktindsigt i dokumenter

og oplysninger i videre omfang,

end hvad der følger af §§ 23-35.

Der kan gives aktindsigt i videre

omfang, medmindre det vil være i

strid med anden lovgivning, her-

under regler om tavshedspligt og

regler i lov om behandling af per-

sonoplysninger.

§ 14, stk. 1,

ændres »lov om be-

handling af personoplysninger« til

»databeskyttelsesforordningen, data-

beskyttelsesloven og lov om rets-

håndhævende myndigheders behand-

ling af personoplysninger«.

115

Stk. 2. ---

§4

I lov om Politiets Efterretningstjene-

ste (PET), jf. lovbekendtgørelse nr.

231 af 7. marts 2017, foretages føl-

gende ændringer:

Overalt i loven ændres »§ 7, stk. 2,

og § 8, stk. 2,« til: »§ 7, stk. 1, og § 8,

stk. 1,«.

Efter § 6 indsættes i

kapitel 5:

»§

6 a.

Oplysninger skal behandles i

overensstemmelse med god databe-

handlingsskik.

Stk. 2.

Indsamling af oplysninger skal

ske til udtrykkeligt angivne og saglige

formål, og senere behandling må ikke

være uforenelig med disse formål.

Senere behandling af oplysninger, der

alene sker i historisk, statistisk eller

videnskabeligt øjemed, anses ikke for

uforenelig med de formål, hvortil op-

lysningerne er indsamlet.

Stk. 3.

Oplysninger, som behandles,

skal være relevante og tilstrækkelige

og ikke omfatte mere, end hvad der

kræves til opfyldelse af de formål,

hvortil oplysningerne indsamles, og

de formål, hvortil oplysningerne sene-

re behandles.

Stk. 4.

Behandling af oplysninger skal

tilrettelægges således, at der foretages

fornøden ajourføring af oplysninger-

ne. Der skal endvidere foretages den

fornødne kontrol for at sikre, at der

ikke behandles urigtige eller vildle-

116

dende oplysninger. Oplysninger, der

viser sig urigtige eller vildledende,

skal snarest muligt slettes eller berig-

tiges.

Stk. 5.

Indsamlede oplysninger må

ikke opbevares på en måde, der giver

mulighed for at identificere den regi-

strerede i et længere tidsrum end det,

der er nødvendigt af hensyn til de

formål, hvortil oplysningerne behand-

les.

Stk. 6.

Politiets Efterretningstjeneste

kan behandle oplysninger om person-

nummer med henblik på en entydig

identifikation eller som journalnum-

mer.

Stk. 7.

Oplysninger, der er omfattet af

denne lov, kan overføres til opbeva-

ring i arkiv efter reglerne i arkivlov-

givningen.«

§ 7.

For behandling af personop-

§ 7, stk. 1,

ophæves.

lysninger finder § 3, § 5, § 11, stk. Stk. 2 og 3 bliver herefter stk. 1 og 2.

1, og §§ 14, 41 og 42 i lov om

behandling af personoplysninger

anvendelse.

Stk. 2.-3.

---

§ 8.

For behandling af oplysnin-

§ 8, stk. 1,

ophæves.

ger om juridiske personer finder Stk. 2 og 3 bliver herefter stk. 1 og 2.

§§ 3, 5, 14, 41 og 42 i lov om

behandling af personoplysninger

tilsvarende anvendelse.

Stk. 2.-3.

---

§ 9 a.

Bliver Politiets Efterret-

§ 9 a, stk. 1,

ændres »§ 7, stk. 3,

117

ningstjeneste i forbindelse med eller § 8, stk. 3,« til: »§ 7, stk. 2, eller

sine aktiviteter opmærksom på, at § 8, stk. 2,«.

sager eller dokumenter m.v. ikke

længere opfylder betingelserne i §

7, stk. 2, og § 8, stk. 2, skal disse

slettes, uanset om slettefristen i §

9 eller frister fastsat i medfør af §

7, stk. 3, eller § 8, stk. 3, er udlø-

bet. Politiets Efterretningstjeneste

er ikke i øvrigt forpligtet til lø-

bende af egen drift at gennemgå

tjenestens sager og dokumenter

m.v. med henblik på at vurdere,

om betingelserne i § 7, stk. 2, og §

8, stk. 2, fortsat er opfyldt.

Stk. 2.

Politiets Efterretningstjene-

§ 9 a, stk. 2,

ændres »§§ 7-9« til:

ste er uanset bestemmelserne i §§ »§§ 6 a-9«.

7-9 ikke forpligtet til at slette op-

lysninger, der ikke opfylder be-

tingelserne i § 7, stk. 2, og § 8,

stk. 2, hvis oplysningerne indgår i

dokumenter m.v., som i øvrigt

opfylder betingelserne i § 7, stk.

2, og § 8, stk. 2, jf. dog stk. 3 og §

13, stk. 2.

Stk. 3. ---

§ 10.

---

Stk. 2.

For videregivelse af per-

sonoplysninger til andre danske

forvaltningsmyndigheder, private,

udenlandske myndigheder og in-

ternationale organisationer finder

§ 7 anvendelse. Herudover finder

§ 8, stk. 2, i lov om behandling af

§ 10, stk. 2, 1. pkt.,

ændres »§ 7«

til: »§§ 6 a og 7«.

§ 10, stk. 2, 2. pkt.,

ændres »lov

om behandling af personoplysninger

anvendelse, hvis den i 1. pkt. nævnte

videregivelse vedrører personoplys-

118

personoplysninger

anvendelse,

hvis den i 1. pkt. nævnte videre-

givelse vedrører personoplysnin-

ger som nævnt i § 7, stk. 1, og §

8, stk. 1, i lov om behandling af

personoplysninger.

ninger som nævnt i § 7, stk. 1, og § 8,

stk. 1, i lov om behandling af person-

oplysninger« til: »databeskyttelseslo-

ven anvendelse, hvis den i 1. pkt.

nævnte videregivelse vedrører oplys-

ninger om rent private forhold«.

Stk. 3.

For videregivelse af oplys-

§ 10, stk. 3,

ændres »§ 8« til: »§ 6

ninger om juridiske personer til a, stk. 1-5 og 7, og § 8«.

andre danske forvaltningsmyn-

digheder, private, udenlandske

myndigheder og internationale

organisationer finder § 8 anven-

delse.

Stk. 4.

---

§ 14.

Politiets Efterretningstjene-

stes virksomhed er undtaget fra

lov om offentlighed i forvaltnin-

gen. Dog gælder § 13 i lov om

offentlighed i forvaltningen. Her-

udover finder lov om offentlighed

i forvaltningen med undtagelse af

§ 8 anvendelse for Politiets Efter-

retningstjenestes sager om admi-

nistrative forhold. Politiets Efter-

retningstjenestes virksomhed er

endvidere undtaget fra forvalt-

ningslovens kapitel 4-6 og fra lov

om behandling af personoplys-

ninger, jf. § 2, stk. 11, i lov om

behandling af personoplysninger.

10.

§ 14, stk. 1, 4. pkt.,

ændres »og

fra lov om behandling af personop-

lysninger, jf. § 2, stk. 11, i lov om

behandling af personoplysninger« til:

», databeskyttelsesloven og databe-

skyttelsesforordningen, jf. § 3, stk. 2,

i databeskyttelsesloven, og fra lov om

retshåndhævende myndigheders be-

handling af personoplysninger, jf. § 1,

stk. 2, i lov om retshåndhævende

myndigheders behandling af person-

oplysninger«.

Stk. 2.

Justitsministeren kan be-

stemme, at kapitel 8-10 i lov om

behandling af personoplysninger

og forvaltningslovens kapitel 4-6

helt eller delvis finder anvendelse

11.

§ 14, stk. 2,

udgår »kapitel 8-10 i

lov om behandling af personoplysnin-

ger og«.

12.

§ 14, stk. 2,

indsættes som

119

for behandling af personoplysnin-

ger for Politiets Efterretningstje-

neste vedrørende tjenestens egne

personalesager og sikkerhedsgod-

kendelsessager.

pkt.:

»Justitsministeren kan endvidere be-

stemme, at databeskyttelsesloven og

databeskyttelsesforordningen

helt

eller delvis finder anvendelse for be-

handling af personoplysninger for

Politiets Efterretningstjeneste vedrø-

rende tjenestens egne personalesager

og sikkerhedsgodkendelsessager.«

§ 18.

Tilsynet påser efter klage

13.

§ 18, 1. pkt.,

ændres »7-11« til:

eller af egen drift, at Politiets Ef- »6 a-11«.

terretningstjeneste

overholder

reglerne i §§ 3, 4 og 7-11 og reg-

ler udstedt i medfør heraf. Tilsy-

net varetager endvidere de opga-

ver, der er nævnt i § 13.

§ 21.

---

Stk. 2.

Tilsynets virksomhed er

undtaget fra forvaltningslovens

kapitel 4-6 og lov om behandling

af personoplysninger.

14.

§ 21, stk. 2,

ændres »og lov om

behandling af personoplysninger« til:

», databeskyttelsesloven, databeskyt-

telsesforordningen og fra lov om rets-

håndhævende myndigheders behand-

ling af personoplysninger«.

§5

I retsplejeloven, jf. lovbekendtgørelse

nr. 1257 af 13. oktober 2016, som

ændret senest ved § 1 i lov nr. 670 af

8. juni 2017, foretages følgende æn-

dring:

§ 41 h, stk. 1, 2. pkt.,

ændres »reg-

ler i lov om behandling af personop-

lysninger« til: »databeskyttelsesfor-

ordningen og regler i databeskyttel-

sesloven og lov om retshåndhævende

myndigheders behandling af person-

oplysninger«.

120

§ 41 h.

I forbindelse med behand-

lingen af en anmodning om akt-

indsigt skal det overvejes, om der

kan gives aktindsigt i videre om-

fang end fastsat i §§ 41 a-41 g.

Der kan gives aktindsigt i videre

omfang, medmindre det vil være i

strid med anden lovgivning, her-

under regler om tavshedspligt og

regler i lov om behandling af per-

sonoplysninger.

Stk. 2.

---

§ 741 g.

---

Stk. 2. ---

Stk. 3.

Justitsministeren kan fast-

sætte nærmere regler om under-

retningsordningen, herunder om,

at afgørelser ikke kan påklages til

en højere administrativ myndig-

hed, og at persondatalovens be-

stemmelser om oplysningspligt

ikke finder anvendelse i forhold

til den dømte.

§ 741 g, stk. 3,

udgår », og at per-

sondatalovens bestemmelser om op-

lysningspligt ikke finder anvendelse i

forhold til den dømte.«

§ 1017 d. ---

Stk. 2.

Bestemmelsen i stk. 1 fin-

§ 1017 d, stk. 2,

ændres »§ 9 i lov

der ikke anvendelse på retsinfor- om behandling af personoplysninger«

mationssystemer, der er omfattet til: »databeskyttelseslovens § 9«.

af § 9 i lov om behandling af per-

sonoplysninger, eller på offentlig

gengivelse, der bygger på et så-

dant retsinformationssystem.

§6

I straffeloven, jf. lovbekendtgørelse

nr. 977 af 9. august 2017, foretages

følgende ændring:

§ 263 a. ---

Stk. 2. ---

Stk.3.

§ 263 a, stk. 3, nr. 2,

ændres »§ 7,

stk. 1, eller § 8, stk. 1, i lov om be-

121

1) ---

et informationssystem, der be-

handler følsomme oplysninger,

som er omfattet af § 7, stk. 1, eller

§ 8, stk. 1, i lov om behandling af

personoplysninger, om flere per-

soners personlige forhold.

handling af personoplysninger« til:

»artikel 9, stk. 1, eller artikel 10 i Eu-

ropa-Parlamentets og Rådets forord-

ning nr. 2016/679 af 27. april 2016

om beskyttelse af fysiske personer i

forbindelse med behandling af per-

sonoplysninger og om fri udveksling

af sådanne oplysninger«.

§7

I lov nr. 430 af 1. juni 1994 om mas-

semediers informationsdatabaser, som

ændret ved § 81 i lov nr. 429 af 31.

maj 2000 og § 22 i lov nr. 433 af 31.

maj 2000, foretages følgende æn-

dring:

§ 6. ---

Stk. 2.

Sker der anmeldelse efter

§ 6, stk. 2,

ophæves.

stk. 1, er informationsdatabasen

ikke samtidig omfattet af medie-

ansvarsloven, jf. dog § 10, stk. 1,

og § 13, stk. 3.

Forsvarsministeriet

§8

I lov om Forsvarets Efterretningstje-

neste (FE), jf. lovbekendtgørelse nr. 1

af 4. januar 2016, som ændret ved § 1

i lov nr. 462 af 15. maj 2017, foreta-

ges følgende ændringer:

Overalt i loven ændres:

»§ 4, stk. 2,

§ 5, stk. 2,«

til: »§ 4, stk. 1, og § 5,

stk. 1,«.

Efter

§ 3 d

indsættes i

kapitel 3:

»§

3 e.

Personoplysninger om i Dan-

mark hjemmehørende fysiske perso-

ner og oplysninger om i Danmark

hjemmehørende juridiske personer

122

skal behandles i overensstemmelse

med god databehandlingsskik.

Stk. 2.

Indsamling af personoplysnin-

ger om i Danmark hjemmehørende

fysiske personer og oplysninger om i

Danmark hjemmehørende juridiske

personer skal ske til udtrykkeligt an-

givne og saglige formål, og senere

behandling må ikke være uforenelig

med disse formål. Senere behandling

af oplysninger, der alene sker i histo-

risk, statistisk eller videnskabeligt

øjemed, anses ikke for uforenelig med

de formål, hvortil oplysningerne er

indsamlet.

Stk. 3.

Personoplysninger om i Dan-

mark hjemmehørende fysiske perso-

ner og oplysninger om i Danmark

hjemmehørende juridiske personer,

som behandles, skal være relevante og

tilstrækkelige og ikke omfatte mere,

end hvad der kræves til opfyldelse af

de formål, hvortil oplysningerne ind-

samles, og de formål, hvortil oplys-

ningerne senere behandles.

Stk. 4.

Behandling af personoplysnin-

ger om i Danmark hjemmehørende

fysiske personer og oplysninger om i

Danmark hjemmehørende juridiske

personer skal tilrettelægges således, at

der foretages fornøden ajourføring af

oplysningerne. Der skal endvidere

foretages den fornødne kontrol for at

sikre, at der ikke behandles urigtige

eller vildledende oplysninger. Oplys-

ninger, der viser sig urigtige eller

vildledende, skal snarest muligt slet-

tes eller berigtiges.

123

Stk. 5.

Indsamlede personoplysninger

om i Danmark hjemmehørende fysi-

ske personer og oplysninger om i

Danmark hjemmehørende juridiske

personer må ikke opbevares på en

måde, der giver mulighed for at iden-

tificere den registrerede i et længere

tidsrum end det, der er nødvendigt af

hensyn til de formål, hvortil oplysnin-

gerne behandles.

Stk. 6.

Forsvarets Efterretningstjeneste

kan behandle oplysninger om person-

nummer med henblik på en entydig

identifikation eller som journalnum-

mer.

Stk. 7.

Personoplysninger om i Dan-

mark hjemmehørende fysiske perso-

ner og oplysninger om i Danmark

hjemmehørende juridiske personer,

der er omfattet af denne lov, kan over-

føres til opbevaring i arkiv efter reg-

lerne i arkivlovgivningen.«

§ 4.

For behandling af personop-

§ 4, stk. 1,

ophæves.

lysninger vedrørende en i Dan- Stk. 2 og 3 bliver herefter stk. 1 og 2.

mark hjemmehørende fysisk per-

son finder § 3, § 5, § 11, stk. 1, §

14, § 41, stk. 1-4, og § 42 i lov

om behandling af personoplys-

ninger anvendelse.

Stk. 2-3.

---

§ 5.

For behandling af oplysnin-

§ 5, stk. 1,

ophæves.

ger vedrørende i Danmark hjem- Stk. 2 og 3 bliver herefter stk. 1 og 2.

mehørende juridiske personer

finder § 3, § 5, § 14, § 41, stk. 1-

124

4, og § 42 i lov om behandling af

personoplysninger

tilsvarende

anvendelse.

Stk. 2-3.

---

§ 6 a.

---

Stk. 2.

Forsvarets Efterretnings-

§ 6 a, stk. 2,

ændres »§§ 4 og 5«

tjeneste er uanset bestemmelserne til: »§§ 3 e, 4 og 5«.

i §§ 4 og 5 og § 6, stk. 1 og 3,

ikke forpligtet til at slette oplys-

ninger, der ikke opfylder betingel-

serne i § 4, stk. 2, og § 5, stk. 2,

hvis oplysningerne indgår i do-

kumenter m.v., som i øvrigt op-

fylder betingelserne i § 4, stk. 2,

og § 5, stk. 2, jf. dog § 10, stk. 2.

§ 7.

---

Stk. 2.

For videregivelse af per-

sonoplysninger vedrørende en i

Danmark hjemmehørende fysisk

person til andre danske forvalt-

ningsmyndigheder, private, uden-

landske og internationale organi-

sationer finder § 4 anvendelse.

Herudover finder § 8, stk. 2, i lov

om behandling af personoplys-

ninger anvendelse, hvis den i 1.

pkt. nævnte videregivelse vedrø-

rer personoplysninger som nævnt

i § 7, stk. 1, og § 8, stk. 1, i lov

om behandling af personoplys-

ninger.

§ 7, stk. 2, 1. pkt.,

ændres »vedrø-

rende« til: »om«, og »§ 4« ændres til:

»§§ 3 e og 4«.

§ 7, stk. 2, 2. pkt.,

ændres »lov om

behandling af personoplysninger an-

vendelse, hvis den i 1. pkt. nævnte

videregivelse vedrører personoplys-

ninger som nævnt i § 7, stk. 1, og § 8,

stk. 1, i lov om behandling af person-

oplysninger« til: »databeskyttelseslo-

ven anvendelse, hvis den i 1. pkt.

nævnte videregivelse vedrører oplys-

ninger om rent private forhold«.

Stk. 3.

For videregivelse af oplys-

§ 7, stk. 3,

ændres »§ 5« til: »§ 3

ninger om i Danmark hjemmehø- e, stk. 1-5 og 7, og § 5«.

125

rende juridiske personer til andre

danske forvaltningsmyndigheder,

private, udenlandske myndigheder

og internationale organisationer

finder § 5 anvendelse.

Stk. 4.

---

§ 11.

Forsvarets Efterretningstje-

nestes virksomhed er undtaget fra

lov om offentlighed i forvaltnin-

gen bortset fra lovens § 13. For-

svarets

Efterretningstjenestes

virksomhed er endvidere undtaget

fra forvaltningslovens kapitel 4-6

og fra lov om behandling af per-

sonoplysninger, jf. § 2, stk. 11, i

lov om behandling af personop-

lysninger, medmindre andet føl-

ger af §§ 4, 5 og 7.

§ 11, stk. 1, 2. pkt.,

ændres »og fra

lov om behandling af personoplysnin-

ger, jf. § 2, stk. 11, i lov om behand-

ling af personoplysninger, medmindre

andet følger af §§ 4, 5 og 7« til: »,

databeskyttelsesloven og databeskyt-

telsesforordningen, jf. § 3, stk. 2, i

databeskyttelsesloven, og fra lov om

retshåndhævende myndigheders be-

handling af personoplysninger, jf. § 1,

stk. 2, i lov om retshåndhævende

myndigheders behandling af person-

oplysninger«.

10.

§ 11, stk. 2,

udgår »kapitel 8-10 i

lov om behandling af personoplysnin-

ger og«.

11.

§ 11, stk. 2,

indsættes som

pkt.:

»Forsvarsministeren kan endvidere

bestemme, at databeskyttelsesloven

og databeskyttelsesforordningen helt

eller delvis finder anvendelse for be-

handling af personoplysninger for

Forsvarets Efterretningstjeneste ved-

rørende tjenestens sikkerhedsgodken-

delsessager og egne personalesager.«

Stk. 2.

Forsvarsministeren kan

bestemme, at kapitel 8-10 i lov

om behandling af personoplys-

ninger og forvaltningslovens kapi-

tel 4-6 helt eller delvis finder an-

vendelse for behandling af per-

sonoplysninger for Forsvarets

Efterretningstjeneste vedrørende

tjenestens sikkerhedsgodkendel-

sessager og egne personalesager.

§ 18.

---

Stk. 2.

Tilsynets virksomhed er

12.

§ 18, stk. 2,

ændres »og lov om

126

undtaget fra forvaltningslovens behandling af personoplysninger« til:

kapitel 4-6 og fra lov om behand- », databeskyttelsesloven, databeskyt-

ling af personoplysninger.

telsesforordningen og fra lov om rets-

håndhævende myndigheders behand-

ling af personoplysninger«.

Beskæftigelsesministeriet

§ 40.

Den enkelte offentlige myn-

dighed og arbejdsløshedskasse,

der indberetter data til det fælles

it-baserede datagrundlag, er data-

ansvarlig, jf. lov om behandling af

personoplysninger, for indberet-

ningen og brug af data lokalt samt

for at orientere de registrerede om

registreringer i det fælles it-

baserede datagrundlag.

Stk. 2-3. ---

§9

I lov nr. 1482 af 23. december 2014

om organisering og understøttelse af

beskæftigelsesindsatsen m.v., som

ændret senest ved § 3 i lov nr. 625 af

8. juni 2016, foretages følgende æn-

dringer:

I § 40, stk. 1, ændres »lov om be-

handling af personoplysninger« til:

»databeskyttelsesforordningen

databeskyttelsesloven«.

§ 41.

Kommunen kan i henhold til

en databehandleraftale, jf. § 42 i

lov om behandling af personop-

lysninger, overlade oplysninger til

en anden aktør om en persons

beskæftigelsesprofil og forløb,

den hidtidige indsats og øvrige

forhold, som er nødvendige, for at

den anden aktør kan gennemføre

den aftalte beskæftigelsesindsats

efter

arbejdsmarkedslovgivnin-

gen, jf. § 32.

I § 41, stk. 1, ændres »§ 42 i lov

om behandling af personoplysninger«

til: »artikel 28, stk. 3, i databeskyttel-

sesforordningen«.

127

Stk. 2-3. ---

§ 4.

Den enkelte

dataansvarlig efter

ven for de data i

som skal anvendes

sagsbehandling.

§ 10

I lov om digital løsning til brug for

anmeldelse af sygefravær og anmod-

ning om refusion og tilskud m.v.

(Nemrefusion), jf. lovbekendtgørelse

nr. 440 af 1. maj 2013, foretages føl-

gende ændringer:

kommune er

I § 4, stk. 1 og 2, ændres »person-

persondatalo- dataloven« til: »databeskyttelsesfor-

Nemrefusion, ordningen og databeskyttelsesloven«.

i kommunens

Stk. 2.

Udbetaling Danmark er

dataansvarlig efter persondatalo-

ven for de data i Nemrefusion,

som skal anvendes i Udbetaling

Danmarks behandling af en sag

om dagpenge efter barselloven.

§ 8. ---

Stk. 2 ---

Stk. 3.

Selskabet handler efter

instruks fra kommunerne. Selska-

bet skal træffe de fornødne tekni-

ske og organisatoriske sikkerheds-

foranstaltninger mod, at oplysnin-

ger hændeligt eller ulovligt tilin-

tetgøres, fortabes eller forringes,

og mod, at de kommer til uved-

kommendes kendskab, misbruges

eller i øvrigt behandles i strid med

lov om behandling af personop-

lysninger. Selskabet skal på

kommunernes anmodning give

kommunerne tilstrækkelige op-

§ 8, stk. 3, 1. pkt.,

ændres »efter

instruks« til: »alene efter dokumente-

ret instruks«.

I § 8, stk. 3, 2. pkt., ændres »lov

om behandling af personoplysninger«

til: »databeskyttelsesforordningen og

databeskyttelsesloven«.

128

lysninger til, at kommunerne kan

påse, at de nævnte tekniske og

organisatoriske sikkerhedsforan-

staltninger er truffet.

Efter

§ 8, stk. 3,

indsættes som

stk.

»Stk. 4. Beskæftigelsesministeren

fastsætter efter forhandling med KL

nærmere regler om kommunernes

opgaver og ansvar som dataansvarli-

ge, jf. stk. 1, og om selskabets opga-

ver og ansvar som databehandler.«

§ 11

I lov nr. 994 af 30. august 2015 om

kommunernes finansiering af visse

offentlige ydelser udbetalt af kommu-

nerne, Udbetaling Danmark og ar-

bejdsløshedskasserne, som ændret ved

§ 15 i lov nr. 1000 af 30. august 2015,

§ 3 i lov nr. 296 af 22. marts 2016, § 8

i lov nr. 628 af 8. juni 2016 og § 4 i

lov nr. 288 af 29. marts 2017, foreta-

ges følgende ændringer:

§ 10. ---

Stk. 2. ---

Stk. 3.

Selskabet handler alene

§ 10, stk. 3,

indsættes efter »ef-

efter instruks fra kommunerne.

ter«: »dokumenteret«.

Stk. 4. ---

§ 14. ---

Stk. 2.

Den enkelte kommune er

I § 14, stk. 2, ændres »persondata-

dataansvarlig efter persondatalo- loven« til: »databeskyttelsesforord-

ven for behandlingen af oplysnin- ningen og databeskyttelsesloven«.

ger, der i Ydelsesrefusion anven-

des ved opgørelse af kommunens

refusion og medfinansiering, her-

129

under for kommunens overladelse

af oplysninger til brug herfor til

selskabet nævnt i § 10, stk. 1.

Efter

§ 14, stk. 2,

indsættes som

stk.

»Stk. 3. Beskæftigelsesministeren

fastsætter efter forhandling med KL

nærmere regler om kommunens op-

gaver og ansvar som dataansvarlig, jf.

stk. 2, og om de opgaver og det an-

svar som databehandler, som selska-

bet nævnt i § 10, stk. 1, har.«

§ 16.

Selskabet nævnt i § 10, stk.

1, skal som databehandler for

kommunerne, jf. § 19, sikre, at

der udarbejdes en uafhængig revi-

sorerklæring om selskabets over-

holdelse af persondataloven og

regler fastsat i medfør heraf. Re-

visorerklæringen skal udarbejdes

hvert år.

Stk. 2-3. ---

I § 16, stk. 1, ændres »persondata-

loven og regler fastsat i medfør heraf«

til: »databeskyttelsesforordningen og

databeskyttelsesloven«.

§ 19. ---

Stk. 2.

Selskabet nævnt i § 10, stk.

1, skal træffe de fornødne tekni-

ske og organisatoriske sikkerheds-

foranstaltninger mod, at oplysnin-

ger hændeligt eller ulovligt tilin-

tetgøres, fortabes eller forringes,

og mod, at de kommer til uved-

kommendes kendskab, misbruges

eller i øvrigt behandles i strid med

persondataloven og regler fastsat i

medfør heraf. Selskabet skal på

kommunernes anmodning give

kommunerne tilstrækkelige op-

lysninger til, at disse kan påse, at

I § 19, stk. 2, 1. pkt., ændres »per-

sondataloven og regler fastsat i med-

før heraf« til: »databeskyttelsesfor-

ordningen og databeskyttelsesloven«.

130

de nævnte tekniske og organisato-

riske sikkerhedsforanstaltninger

er truffet.

§ 27. ---

Stk. 2-3. ---

Stk. 4.

Styrelsen for Arbejdsmar-

I § 27, stk. 4, ændres »persondata-

ked og Rekruttering er dataan- loven« til: »databeskyttelsesforord-

svarlig efter persondataloven for ningen og databeskyttelsesloven«.

behandlingen af de oplysninger,

der anvendes til opgørelse af refu-

sion og medfinansiering efter stk.

2 og 3.

Stk. 5-8. ---

Undervisningsministeriet

§ 12

I lov om gennemsigtighed og åbenhed

i uddannelserne m.v., jf. lovbekendt-

gørelse nr. 771 af 10. juni 2015, fore-

tages følgende ændring:

§ 1.

---

Stk. 2-3. ---

Stk. 4.

Loven gælder ikke for op-

lysninger, der er omfattet af lov

om behandling af personoplys-

ninger.

I § 1, stk. 4, ændres: ”lov om be-

handling af personoplysninger” til:

”databeskyttelsesforordningen

databeskyttelsesloven”.

§ 13

I lov om godtgørelse og tilskud til

befordring ved deltagelse i erhvervs-

rettet voksen- og efteruddannelse, jf.

lovbekendtgørelse nr. 761 af 22. juni

2016, foretages følgende ændring:

§ 18. ---

Stk. 2-3. ---

131

Stk. 4.

§ 35 i lov om behandling af

§ 18, stk. 4, ophæves.

personoplysninger finder ikke Stk. 5 bliver herefter stk. 4.

anvendelse.

Stk. 5.

Ministeren for børn, un-

dervisning og ligestilling kan fast-

sætte nærmere regler om indhen-

telse af oplysninger til brug for

registre som nævnt i stk. 1.

Erhvervsministeriet

§ 14

I selskabsloven, jf. lovbekendtgørelse

nr. 1089 af 14. september 2015, som

ændret ved § 1 i lov nr. 262 af 16.

marts 2016, § 2 i lov nr. 631 af 8. juni

2016 og § 1 i lov nr. 1547 af 13. de-

cember 2016, foretages følgende æn-

dring:

§ 57 a.

---

Stk. 2-4. ---

Stk. 5.

Oplysninger, som er regi-

streret i medfør af stk. 1 og 3, kan

alene videregives til andre offent-

lige myndigheder. Videregivelsen

af oplysningerne kan alene ske,

hvis oplysningerne er nødvendige

for den offentlige myndigheds

varetagelse af tilsyns- eller kon-

trolopgaver og videregivelsen

sker i overensstemmelse med lov

om behandling af personoplys-

ninger.

Stk. 6. ---

§ 57 a, stk. 5,

ændres »lov om

behandling af personoplysninger« til:

»databeskyttelsesforordningen

databeskyttelsesloven«.

§ 15

132

I revisorloven, jf. lovbekendtgørelse

nr. 1167 af 9. september 2016, som

ændret ved § 13 i lov nr. 1549 af 13.

december 2016 og § 11 i lov nr. 285

af 29. marts 2017, foretages følgende

ændringer:

§ 48.

---

Stk. 2-4. ---

Stk. 5.

Videregivelse efter stk. 4,

nr. 5, kan alene ske

1)-4). ---

5) hvis videregivelsen sker i over-

ensstemmelse med lov om be-

handling af personoplysninger.

Stk. 6-9. ---

§ 48, stk. 5, nr. 5,

§ 49, stk. 4,

1. pkt.,

ændres »lov om behandling af

personoplysninger« til: »databeskyt-

telsesforordningen og databeskyttel-

sesloven«.

§ 49.

---

Stk. 2-3. ---

Stk. 4.

Erhvervsstyrelsens udveks-

ling af oplysninger efter stk. 1

skal ske under overholdelse af lov

om behandling af personoplys-

ninger. Oplysningerne skal be-

handles fortroligt.

Stk. 5-6. ---

§ 16

I lov om formidling af fast ejendom,

jf. lov nr. 526 af 28. maj 2014, som

ændret ved § 21 i lov nr. 1871 af 29.

december 2015, foretages følgende

133

ændring:

§ 58.

---

Stk. 2. ---

Stk. 3.

Erhvervsstyrelsens udveks-

ling af oplysninger efter stk. 1

skal ske under overholdelse af lov

om behandling af personoplys-

ninger. Oplysningerne skal be-

handles fortroligt.

Stk. 4. ---

§ 58, stk. 3,

ændres »lov om be-

handling af personoplysninger« til:

»databeskyttelsesforordningen

databeskyttelsesloven«.

§ 17

I lov om betalinger, jf. lov nr. 652 af

8. juni 2017, foretages følgende æn-

dringer:

§ 124.

Lov om behandling af per-

sonoplysninger finder anvendelse

på udbydere af betalingstjenester

og udstedere af elektroniske pen-

ge, jf. dog stk. 2-4.

Stk. 2-4. ---

§ 124, stk. 1,

ændres »Lov om

behandling af personoplysninger« til:

»Databeskyttelsesforordningen

databeskyttelsesloven«.

§ 125.

Lov om behandling af per-

sonoplysninger finder anvendelse

på erhvervsdrivende, der behand-

ler betalingsoplysninger, jf. dog

stk. 2-6.

Stk. 2-6. ---

§ 125, stk. 1,

ændres »Lov om

behandling af personoplysninger« til:

»Databeskyttelsesforordningen

databeskyttelsesloven«.

§ 130.

---

Stk. 2-3. ---

134

Stk. 4.

Datatilsynet varetager efter

§ 130, stk. 4,

ophæves.

bestemmelserne i § 64 i lov om

behandling af personoplysninger

samarbejdet med udenlandske

myndigheder i samråd med Fi-

nanstilsynet.

§ 144.

---

Stk. 2-6.

---

Stk. 7.

Datatilsynet varetager efter

§ 144, stk. 7,

ophæves.

bestemmelserne i § 64 i lov om

behandling af personoplysninger i

samråd med Forbrugerombuds-

manden samarbejdet med uden-

landske myndigheder.

§ 154. ---

Stk. 2-11. ---

Stk. 12.

§ 124, stk. 2, finder ikke

anvendelse på eksisterende aftaler

om udbud af betalingstjenester,

der er indgået før 1. januar 2018,

og som indebærer behandling af

personoplysninger i henhold til §

6, stk. 1, nr. 2, i lov om behand-

ling af personoplysninger.

§ 154, stk. 12,

ændres »§ 6, stk. 1,

nr. 2, i lov om behandling af person-

oplysninger.« til: «artikel 6, stk. 1,

litra b, i databeskyttelsesforordnin-

gen.«

§ 18

I lov om forvaltere af alternative inve-

steringsfonde, jf. lovbekendtgørelse

nr. 1074 af 6. juli 2016, som senest

ændret ved § 9 i lov nr. 262 af 16.

marts 2016, § 4 i lov nr. 1549 af 13.

december 2016 og § 5 i lov nr. 665 af

135

8. juni 2017, foretages følgende æn-

dring:

§ 170. ---

Stk. 2-9. ---

Stk. 10.

Videregivelse efter stk. 7,

§ 170, stk. 10, nr. 4,

affattes såle-

nr. 25-28, kan alene ske

des:

»4) når de i databeskyttelsesforord-

ningens kapitel II og databeskyttelses-

når de i kapitel 4 nævnte betin- lovens kapitel 3 nævnte betingelser er

gelser i lov om behandling af per- opfyldt.«

sonoplysninger er opfyldt.

1)-

3)…

Stk. 11. ---

Energi-, Forsynings- og Klimamini-

steriet

§ 19

I lov om elektroniske kommunikati-

onsnet og -tjenester, jf. lovbekendtgø-

relse nr. 128 af 7. februar 2014, som

ændret ved § 2 i lov nr. 741 af 1. juni

2015, § 16 i lov nr. 1567 af 15. de-

cember 2015 og § 3 i lov nr. 203 af

28. februar 2017, foretages følgende

ændringer:

§ 31. ---

Stk. 2-5. ---

Stk. 6.

Oplysninger som nævnt i

§ 31, stk. 6,

ændres »retterne« til:

stk. 5, nr. 2, kan alene videregives »de enkelte retter, kriminalforsorgen«.

forsyningspligtudbyderens

136

landsdækkende

nummeroplys-

ningstjeneste til brug for offentli-

ge alarmtjenester, politiet, retterne

eller restanceinddrivelsesmyndig-

heden.

Stk. 7-8. ---

§ 45.

---

Stk. 2.

Under respekt af regler om

tavshedspligt, herunder regler i

forvaltningsloven og lov om be-

handling af personoplysninger,

kan Erhvervsstyrelsen offentlig-

gøre regnskabsoplysninger, her-

under oplysninger om indtægter.

§ 45, stk. 2,

og i

§ 72, stk. 3,

æn-

dres »og lov om behandling af per-

sonoplysninger« til »databeskyttelses-

forordningen og databeskyttelseslo-

ven«.

§ 72.

---

Stk. 2.

---

Stk. 3.

Offentliggørelse i henhold

til stk. 1 og 2 sker inden for ram-

merne af regler om tavshedspligt,

herunder reglerne i forvaltnings-

loven og lov om behandling af

personoplysninger.

Sundheds- og Ældreministeriet

§ 20

I sundhedsloven, jf. lovbekendtgørel-

se nr. 1188 af 24. september 2016,

som ændret senest ved § 2 i lov nr.

691 af 8. juni 2017, foretages følgen-

de ændringer:

§ 37.

Den, om hvis helbredsfor-

§ 37, stk. 1, 2. pkt.,

ændres: »pati-

hold der er udarbejdet patient- entjournalen« til: »manuelle patient-

journaler m.v., har på anmodning journaler«.

ret til aktindsigt heri. Patienten

137

har endvidere på anmodning ret til

på en let forståelig måde at få

meddelelse om, hvilke oplysnin-

ger der behandles i patientjourna-

len m.v. efter 1. pkt., formålet

hermed, kategorierne af modtage-

re af oplysningerne og tilgængelig

information om, hvorfra disse

oplysninger stammer.

Stk. 2-3. ---

§ 41.

---

Stk. 2-4.

---

Stk. 5.

Såfremt der videregives

§ 41, stk. 5,

indsættes efter »Så-

oplysninger efter stk. 2, nr. 4, skal fremt der«: »manuelt«.

den, oplysningen angår, snarest

muligt herefter orienteres om vi-

deregivelsen og formålet hermed,

medmindre orientering kan udela-

des efter anden lovgivning eller af

hensyn til offentlige eller private

interesser svarende til dem, der

beskyttes i denne lovgivning.

Stk. 6.

Videregivelse efter stk. 2,

nr. 6, må kun ske i umiddelbar

forlængelse af behandlingsforlø-

bet og senest 6 måneder efter den

anmodende læges, tandlæges eller

jordemoders afslutning af behand-

lingen eller viderehenvisning af

patienten, medmindre videregi-

velsen er påkrævet som led i spe-

ciallæge- eller specialtandlæge-

uddannelsen.

Stk. 7.

En vejleder for en læge

eller tandlæge under uddannelse

138

til speciallæge eller -tandlæge har

samme adgang til helbredsoplys-

ninger m.v. efter stk. 2, nr. 6, som

lægen eller tandlægen under ud-

dannelse.

Stk. 8.

Sundheds- og ældremini-

steren fastsætter nærmere regler

om videregivelse af helbredsop-

lysninger m.v. efter denne be-

stemmelse, herunder om videre-

givelsens omfang og om gennem-

førelsen heraf.

§ 43.

---

Stk. 2-3.

---

Stk. 4.

Såfremt der videregives

§ 43, stk. 4,

indsættes efter »Så-

oplysninger efter stk. 2, nr. 2, skal fremt der«: »manuelt«.

den, oplysningen angår, snarest

muligt herefter orienteres om vi-

deregivelsen og formålet hermed,

medmindre orientering kan udela-

des efter anden lovgivning eller af

hensyn til offentlige eller private

interesser svarende til dem, der

beskyttes i denne lovgivning.

§ 196. ---

Stk. 2.---

Stk. 3.

Sundheds- og ældremini-

steren kan bestemme, at den regi-

strerede på begæring skal have

indsigtsret i oplysninger, der er

registreret om vedkommende i de

i stk. 2 nævnte kliniske kvalitets-

databaser.

Stk. 4. ---

139

§ 196, stk. 3,

affattes således:

»Patienten har ret til indsigt efter arti-

kel 15 i databeskyttelsesforordningen.

Patientens indsigtsret kan begrænses

efter § 22, stk. 1-3, i databeskyttelses-

loven.«

§ 21

I vævsloven, jf. lovbekendtgørelse nr.

955 af 21. august 2014, som ændret

ved § 3 i lov nr. 542 af 29. april 2015,

§ 17 i lov nr. 285 af 29. marts 2017 og

§ 2 i lov nr. 388 af 26. april 2017,

foretages følgende ændringer:

§ 13. ---

Stk. 2-6. ---

Stk. 7.

Vævscentre og udtagnings-

steder sikrer, at behandling af

oplysninger som nævnt i § 7, stk.

1, i lov om behandling af person-

oplysninger, der kan henføres til

bestemte fysiske personer, og som

finder sted i forbindelse med

håndtering af indberetninger om

alvorlige uønskede hændelser og

alvorlige bivirkninger, foretages

af en sundhedsperson eller en

anden person, som er undergivet

en lovbestemt tavshedspligt.

§ 13, stk. 7,

ændres »§ 7, stk. 1, i

lov om behandling af personoplysnin-

ger« til: »artikel 9, stk. 1, i databe-

skyttelsesforordningen«

§ 22

I lov nr. 593 af 14. juni 2011 om vi-

denskabsetisk behandling af sund-

hedsvidenskabelige forskningsprojek-

ter som ændret ved lov nr. 604 af 18.

juni 2012, § 6 i lov nr. 310 af 29.

marts 2014, § 37 i lov nr. 620 af 8.

juni 2016 og § 46 i lov nr. 384 af 26.

april 2017, foretages følgende æn-

dringer:

§ 20.

For meddelelse af tilladelse

til sundhedsvidenskabelige forsk-

ningsprojekter er det desuden en

betingelse, at

140

1)-7) ---

8) der sker offentliggørelse i

overensstemmelse med lov om

behandling af personoplysninger

af såvel negative, inkonklusive

som positive forsøgsresultater så

hurtigt, som det er muligt og fag-

ligt forsvarligt.

Stk. 2. ---

§ 20, stk. 1, nr. 8,

ændres »lov om

behandling af personoplysninger « til:

»databeskyttelsesforordningen

databeskyttelsesloven«.

§ 23

I lov om lægemidler, jf. lovbekendt-

gørelse nr. 506 af 20. april 2013 som

bl.a. ændret ved § 38 i lov nr. 620 af

8. juni 2016 og senest ved § 1 i lov nr.

388 af 26. april 2017, foretages føl-

gende ændringer:

§ 89. ---

Stk. 2. ---

Stk. 3.

Et samtykke afgivet efter

§ 89, stk. 3,

ændres »persondata-

persondataloven giver sponsor og loven« til: »databeskyttelsesforord-

sponsors repræsentanter og in- ningen og databeskyttelsesloven«

vestigator direkte adgang til at

indhente oplysninger i patient-

journaler m.v., herunder i elektro-

niske journaler, med henblik på at

se oplysninger om forsøgsperso-

nens helbredsforhold, som er

nødvendige som led i gennemfø-

relsen af forskningsprojektet, her-

under kvalitetskontrol og monito-

rering, som disse er forpligtet til

at udføre.

Stk. 4. ---

Udlændinge- og Integrationsministe-

141

riet

§ 24

I udlændingeloven, jf. lovbekendtgø-

relse nr. 412 af 9. maj 2016, som æn-

dret senest ved lov nr. 704 af 8. juni

2017, foretages følgende ændringer:

§ 44 a. ---

Stk. 2-11. ---

Stk. 12.

Persondatalovens § 7, stk.

§ 44a, stk. 12,

ophæves.

8, finder ikke anvendelse ved be-

handling af ansøgninger om op-

holdstilladelse efter §§ 7 og 8. Det

samme gælder ved behandling af

sager om forlængelse, inddragelse

og bortfald af opholdstilladelse

meddelt efter disse bestemmelser

og ved behandling af sager, hvori

akter vedrørende opholdstilladelse

efter §§ 7 eller 8 indgår. Person-

datalovens § 7, stk. 8, finder hel-

ler ikke anvendelse ved behand-

ling af sager om optagelse af en

udlænding på en liste, hvis ud-

lændingen virker som religiøs

forkynder eller på anden måde

udbreder en religion eller tro og

hensynet til den offentlige orden i

Danmark kan tilsige, at udlændin-

gen ikke bør have ophold her i

landet. Det samme gælder ved

behandling af sager, hvori akter

vedrørende optagelse på en sådan

liste indgår.

Økonomi- og Indenrigsministeriet

§ 25

I lov om Det Centrale Personregister,

jf. lovbekendtgørelse nr. 646 af 2. juni

142

2017, foretages følgende ændringer:

§ 4. ---

Stk. 2.

Anmodning fra en person

over 15 år om indsigt i oplysnin-

ger i CPR om vedkommende selv,

jf. § 31, stk. 1, i lov om behand-

ling af personoplysninger, skal

fremsættes ved anvendelse af den

digitale

selvbetjeningsløsning,

som Økonomi- og Indenrigsmini-

steriet stiller til rådighed (digital

selvbetjening). Anmodninger, der

ikke indgives ved digital selvbe-

tjening, afvises af Økonomi- og

Indenrigsministeriet, jf. dog 3. og

5. pkt. Hvis Økonomi- og Inden-

rigsministeriet finder, at der fore-

ligger særlige forhold, der gør, at

borgeren ikke må forventes at

kunne anvende digital selvbetje-

ning, skal Økonomi- og Inden-

rigsministeriet tilbyde, at anmod-

ningen kan indgives på anden

måde end ved digital selvbetje-

ning. Økonomi- og Indenrigsmi-

nisteriet bestemmer, hvordan en

anmodning omfattet af 3. pkt. skal

fremsættes, herunder om den skal

fremsættes mundtligt eller skrift-

ligt. Økonomi- og Indenrigsmini-

steriet kan helt ekstraordinært ud

over de i 3. pkt. nævnte tilfælde

undlade at afvise en anmodning,

der ikke er indgivet ved digital

selvbetjening, hvis der ud fra en

samlet økonomisk vurdering er

klare fordele for ministeriet ved at

modtage anmodningen på anden

måde end digitalt.

§ 4, stk. 2, 1. pkt.,

ændres »§ 31,

stk. 1, i lov om behandling af person-

oplysninger« til: »artikel 15, stk. 1, i

databeskyttelsesforordningen«.

143

Stk. 3. ---

§ 29. ---

Stk. 2.

Enhver har ret til ved hen-

vendelse til sin bopælskommune

at få indsat en markering i CPR

om, at den pågældende frabeder

sig henvendelser, der sker i mar-

kedsføringsøjemed. En sådan

markering giver dels den beskyt-

telse mod markedsføring, der er

fastsat i markedsføringslovens § 6

sammenholdt med denne lovs §

40, stk. 4 og 5, dels den beskyttel-

se mod videregivelse m.v. til brug

ved anden virksomheds markeds-

føring, der er fastsat i § 36 i lov

om behandling af personoplys-

ninger.

Stk. 3-4. ---

§ 29, stk. 2, 2. pkt.,

ændres »mar-

kedsføringslovens § 6« til: »markeds-

føringslovens § 10« og » § 36 i lov

om behandling af personoplysninger«

ændres til: »artikel 21 i databeskyttel-

sesforordningen og § 13, stk. 4, i da-

tabeskyttelsesloven«.

§ 31.

Oplysninger i CPR og ældre

folkeregistermateriale kan videre-

gives til en anden offentlig myn-

dighed efter reglerne i lov om

behandling af personoplysninger.

§ 35.

Økonomi- og Indenrigsmi-

nisteriet kan til brug i statistisk

eller videnskabeligt øjemed fra

CPR videregive oplysninger om

eller foretage adressering til en

nærmere afgrænset kreds af per-

soner. Det er en betingelse, at

modtageren er berettiget til at

behandle disse oplysninger efter

lov om behandling af personop-

lysninger. Økonomi- og Inden-

rigsministeriet fastsætter vilkåre-

§ 31, § 35, 2. pkt., § 36, 2. pkt., §

37, 2. pkt., § 38, stk. 6, og § 52, stk. 1,

ændres »lov om behandling af per-

sonoplysninger« til: »databeskyttel-

sesforordningen og databeskyttelses-

loven«.

144

ne, herunder om sikkerhedsforan-

staltninger og betalingen, for vi-

deregivelse af oplysninger eller

adressering og udsendelse.

§ 36.

Økonomi- og Indenrigsmi-

nisteriet kan til brug i statistisk

eller videnskabeligt øjemed give

adgang til elektronisk søgning og

opslag i CPR. Det er en betingel-

se, at modtageren er berettiget til

at behandle disse oplysninger

efter lov om behandling af per-

sonoplysninger. Økonomi- og

Indenrigsministeriet

fastsætter

vilkårene, herunder om sikker-

hedsforanstaltninger og betalin-

gen, for adgangen til elektronisk

søgning og opslag.

§ 37.

Kommunalbestyrelsen kan

til brug i statistisk eller videnska-

beligt øjemed beslutte at udlevere

oplysninger, der ikke er registreret

i CPR, men som findes i ældre

folkeregistermateriale i kommu-

nen. Det er en betingelse, at mod-

tageren er berettiget til at behand-

le disse oplysninger efter lov om

behandling af personoplysninger.

Kommunalbestyrelsen kan fast-

sætte, at modtageren dækker de

omkostninger, der er forbundet

med udleveringen.

§ 38. ---

Stk. 2-5. ---

Stk. 6.

Det er en betingelse for

levering af oplysninger efter stk.

145

1-4, at modtageren efter lov om

behandling af personoplysninger

er berettiget til at behandle oplys-

ningerne.

§ 52.

Hvis en offentlig myndighed

i overensstemmelse med lov om

behandling af personoplysninger

anvender personnummer som

identifikation eller journalnum-

mer, skal det være personnumme-

ret for den person, sagen vedrører.

Stk. 2. ---

§ 26

I lov om kommunale og regionale

valg, jf. lovbekendtgørelse nr. 771 af

21. juni 2017, foretages følgende æn-

dring:

§ 106. ---

Stk. 2-3. ---

Stk. 4.

Valgmateriale omfattet af

stk. 3, 1. pkt., kan efter kommu-

nalbestyrelsens henholdsvis re-

gionsrådets bestemmelse anven-

des til forskning og statistik i

overensstemmelse med reglerne i

lov om behandling af personop-

lysninger. Valgmateriale omfattet

af stk. 3, 1. pkt., der anvendes til

forskning og statistik, skal tilin-

tetgøres, når valgmaterialet ikke

længere er nødvendigt til de

nævnte formål.

§ 106, stk. 4, 1. pkt.,

ændres »lov

om behandling af personoplysninger«

til: »databeskyttelsesforordningen og

databeskyttelsesloven«.

§ 27

I lov om valg til Folketinget, jf. lov-

bekendtgørelse nr. 392 af 26. april

146

2017, som ændret ved lov nr. 493 af

22. maj 2017, lov nr. 708 af 8. juni

2017 og lov nr. 714 af 8. juni 2017,

foretages følgende ændring:

§ 104. ---

Stk. 2-3. ---

Stk. 4.

Valgmateriale omfattet af

stk. 3, 1. pkt., kan efter kommu-

nalbestyrelsens bestemmelse an-

vendes til forskning og statistik i

overensstemmelse med reglerne i

lov om behandling af personop-

lysninger. Valgmateriale omfattet

af stk. 3, 1. pkt., der anvendes til

forskning og statistik, skal tilin-

tetgøres, når valgmaterialet ikke

længere er nødvendigt til de

nævnte formål.

§ 104, stk. 4, 1. pkt.,

ændres »lov

om behandling af personoplysninger«

til: »databeskyttelsesforordningen og

databeskyttelsesloven«.

Finansministeriet

§ 28

I lov om Digital Post fra offentlige

afsendere, jf. lovbekendtgørelse nr.

nr. 801 af 13. juni 2016 foretages føl-

gende ændring:

§ 2. ---

Stk. 2. ---

Stk. 3.

Bestemmelsen i § 35 i lov

om behandling af personoplys-

ninger finder ikke anvendelse for

behandling af personnumre i med-

før af stk. 2.

§ 2, stk. 3,

affattes således:

»Stk.

Bestemmelsen i databeskyt-

telsesforordningens artikel 21 finder

ikke anvendelse for behandling af

personnumre i medfør af stk. 2.«

§ 29

Stk. 1.

Loven træder i kraft den 25.

maj 2018, jf. dog stk. 2.

147

Stk. 2.

Beskæftigelsesministeren fast-

sætter tidspunktet for ikrafttræden af

§ 11, nr. 2 og 4-6.

§ 30

Stk. 1.

Loven gælder ikke for Færøer-

ne og Grønland, men lovens §§ 1, 4,

8, 14, 17, 18, 24 kan ved kongelig

anordning helt eller delvist sættes i

kraft for Færøerne og Grønland med

de ændringer, som de færøske hen-

holdsvis grønlandske forhold tilsiger.

Stk. 2.

§§ 20, nr. 1- 3, og 22 kan ved

kongelig anordning sættes helt eller

delvis i kraft for Færøerne med de

afvigelser, som de særlige færøske

forhold tilsiger.

Stk. 3.

§ 25 kan ved kongelig anord-

ning sættes i kraft for Grønland med

de afvigelser, som de særlige grøn-

landske forhold tilsiger.

Stk. 4.

§§ 26 og 27 finder anvendelse

for hele riget.

Stk. 5.

Lovens §§ 2 og 3 gælder ikke

for sager om færøske og grønlandske

anliggender. Loven kan ved kongelig

anordning sættes i kraft for sådanne

sager med de ændringer, som de fæ-

røske og grønlandske forhold tilsiger.

Dette gælder dog kun sager, der er

eller har været under behandling af

rigsmyndigheder.

148