Betænkning afgivet af Retsudvalget den 20. april 2017

1. Ændringsforslag

Der er stillet 9 ændringsforslag til lovforslaget. Justitsministeren har stillet ændringsforslag nr. 1 og 2, og Enhedslistens medlemmer af udvalget har stillet ændringsforslag nr. 3-9.

2. Udvalgsarbejdet

Lovforslaget blev fremsat den 28. marts 2017 og var til 1. behandling den 31. marts 2017. Lovforslaget blev efter 1. behandling henvist til behandling i Retsudvalget.

Møder

Udvalget har behandlet lovforslaget i 1 møde.

Høring

Et udkast til lovforslaget har inden fremsættelsen været sendt i høring, og justitsministeren sendte den 1. marts 2017 dette udkast til udvalget, jf. REU alm. del - bilag 187. Den 23. marts 2017 sendte justitsministeren de indkomne høringssvar og et notat herom til udvalget.

Spørgsmål

Udvalget har stillet 2 spørgsmål til justitsministeren til skriftlig besvarelse, som denne har besvaret bortset fra spørgsmål 2, som forventes besvaret inden 2. behandling.

3. Indstillinger

Et flertal i udvalget (S, V, LA og KF) indstiller lovforslaget til vedtagelse med de af justitsministeren stillede ændringsforslag.

Et mindretal i udvalget (EL, ALT, RV og SF) indstiller lovforslaget til vedtagelse med de stillede ændringsforslag.

Et andet mindretal i udvalget (DF) indstiller lovforslaget til vedtagelse med de under nr. 1-3 og 5-9 stillede ændringsforslag. Mindretallet vil stemme imod det under nr. 4 stillede ændringsforslag.

Et tredje mindretal i udvalget (IA) vil ved 3. behandling stemme hverken for eller imod lovforslaget.

Tjóðveldi og Javnaðarflokkurin var på tidspunktet for betænkningens afgivelse ikke repræsenteret med medlemmer i udvalget og havde dermed ikke adgang til at komme med indstillinger eller politiske udtalelser i betænkningen.

En oversigt over Folketingets sammensætning er optrykt i betænkningen.

4. Ændringsforslag med bemærkninger

Ændringsforslag

Til titlen

Af justitsministeren, tiltrådt af et flertal (udvalget med undtagelse af IA):

1) Undertitlen udgår.

[Korrektion af lovforslagets titel]

2) Som fodnote til lovens titel indsættes:

»1) Loven gennemfører Europa-Parlamentets og Rådets direktiv 2016/680/EU af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA, EU-Tidende 2016, nr. L 119, side 89.«

[Indsættelse af EU-note]

Til § 1

Af et mindretal (EL), tiltrådt af et mindretal (DF, ALT, RV og SF):

3) I stk. 2 ændres »den behandling« til: »behandling«, og efter »og forsvarets efterretningstjenester« indsættes: »som led i aktiviteter, der falder uden for EU-retten«.

[Indskrænkning af undtagelse af efterretningstjenesternes virksomhed fra lovens anvendelsesområde]

Til § 7

Af et mindretal (EL), tiltrådt af et mindretal (ALT, RV og SF):

4) Som stk. 2 indsættes:

»Stk. 2. For så vidt angår behandling af personoplysninger om personer, som er under 15 år, skal den dataansvarlige ved fastsættelse af frister og proceduremæssige foranstaltninger efter stk. 1 i videst muligt omfang tage hensyn til børns særlige behov.«

[Pligt til at tage hensyn til børns særlige behov i forbindelse med databehandling]

Til § 8

Af et mindretal (EL), tiltrådt af et mindretal (DF, ALT, RV og SF):

5) Ordene »så vidt muligt« udgår.

[Præcisering af, at der i alle tilfælde skal ske sondring mellem behandling af personoplysninger af forskellige personkategorier]

6) Som stk. 2 indsættes:

»Stk. 2. For så vidt angår personer som nævnt i stk. 1, nr. 4, skal den dataansvarlige endvidere sondre mellem personer, der ikke er mistænkt for strafbare handlinger, og andre parter.«

[Krav om sondring mellem mistænkte og ikkemistænkte personer i forbindelse med kategorisering af registrerede personer]

Til § 23

7) I stk. 1 og 2 indsættes efter »Fortegnelserne«: »skal være tilgængelige for offentligheden og«.

[Krav om offentliggørelse af fortegnelser over behandling af persondata]

Til § 36

8) I stk. 1 indsættes efter »specifikke tilfælde«: »efter forudgående godkendelse fra tilsynsmyndigheden«.

[Krav om godkendelse af tilsynsmyndighed for dataoverførsler til tredjelande, uden at der foreligger en afgørelse fra Europa-Kommissionen]

Ny paragraf

9) Efter § 55 indsættes som ny paragraf:

»§ 01. Justitsministeren fremsætter forslag om revision af loven i folketingsåret 2019-20.«

[Revisionsbestemmelse]

Bemærkninger

Til nr. 1

Det foreslås, at lovforslagets titel ændres, således at undertitlen »(Gennemførelse af direktiv om databeskyttelse på retshåndhævelsesområdet)« udgår. Ændringsforslaget er begrundet i, at der ikke bør anvendes undertitler i forslag til nye hovedlove. Ændringen i lovforslagets titel medfører ikke indholdsmæssige ændringer i forhold til det fremsatte lovforslag.

Til nr. 2

Det foreslås, at der indsættes en note til lovforslagets titel, hvoraf det fremgår, at der med lovforslaget sker en gennemførelse af Europa-Parlamentets og Rådets direktiv 2016/680/EU af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA. Ændringsforslaget er begrundet i, at det er et EU-retligt krav, at medlemsstaterne ved en gennemførelse af et EU-direktiv henviser til det pågældende direktiv i de nationale gennemførelsesforskrifter. Tilføjelsen af titelnoten medfører ikke indholdsmæssige ændringer i forhold til det fremsatte lovforslag.

Til nr. 3

Med lovforslaget skal loven finde anvendelse for politiets, anklagemyndighedens, herunder den militære anklagemyndigheds, kriminalforsorgens, Den Uafhængige Politiklagemyndigheds og domstolenes behandling af personoplysninger, når behandlingen foretages med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder for at beskytte mod eller forebygge trusler mod den offentlige sikkerhed. Politiets og Forsvarets efterretningstjeneste (PET og FE) er som udgangspunkt ikke omfattet af loven. Formuleringen undtager hele institutionen og ikke kun behandlingen af persondata i forbindelse med sikringen af statens sikkerhed. Undtagelsesbestemmelsen er dermed videre end direktivet om databeskyttelse på retshåndhævelsesområdet, som loven skal gennemføre i dansk ret. Det fremgår således af direktivets artikel 2 (3), at direktivet ikke gælder for behandling af personoplysninger »under udøvelse af aktiviteter, der falder uden for EU-retten.« Jf. direktivets artikel 1 (3), er direktivet et minimumsdirektiv, medlemsstaterne kan derfor kun fastsætte højere standarder end dem, der er fastsat i direktivet.

Formålet med den foreslåede ændring er en præcisering og at foretage en funktionel frem for en institutionel afgrænsning og sikre, at kun de aktiviteter, der falder uden for EU-retten, er undtaget fra loven. Formuleringen tager højde for, at dele af PET's aktiviteter allerede falder ind under EU-retten. Således er en af PET's opgaver bekæmpelsen af terrorisme, jf. § 1, nr. 1, i lov om Politiets Efterretningstjeneste (PET), jf. lovbekendtgørelse nr. 231 af 7. marts 2017. Antiterrorpolitik er imidlertid et politikområde, der delvis falder ind under EU-retten, jf. Rådets rammeafgørelse af 13. juni 2002 om bekæmpelse af terrorisme (2002/475/RIA). Den foreslåede ændring vil sikre en minimumstandard for beskyttelsen af personoplysninger for alle aktiviteter, der falder under EU-retten. Da lovforslaget stadig indeholder undtagelsesbestemmelser vedrørende datasubjektets oplysnings- og indsigtsret for at beskytte den offentlige eller statens sikkerhed, vil ændringsforslaget stadig respektere de særlige forhold, PET og FE arbejder under.

Til nr. 4

Med ændringen foreslås det at tydeliggøre børns særlige behov i forbindelse med behandling af persondata. Lovforslaget pålægger den dataansvarlige at fastsætte passende frister for sletningen af personoplysninger eller regelmæssig undersøgelse af behovet for lagringen af oplysningerne. Ændringsforslaget har til formål at pålægge den dataansvarlige en forpligtelse til at tage særligt hensyn til børn under 15 år, når der fastsattes frister for sletningen af data.

Denne forpligtelse tager højde for, at børn ikke er fysisk eller mentalt modne og derfor har et særligt behov for beskyttelse. At barnets tarv skal komme i første række, når offentlige myndigheder eller private udfører handlinger vedrørende børn, er som retligt princip desuden anerkendt i Den Europæiske Unions Charter om Grundlæggende Rettigheder, jf. artikel 24 (2), eller i FN's Konvention om Barnets Rettigheder, jf. artikel 3. I praksis kunne ændringsforslaget betyde, at den dataansvarlige foretager undersøgelser af behovet for lagringen af oplysningerne i en kortere periode, når data vedrører personer, der ikke er straffemyndige endnu.

Til nr. 5

Lovforslagets § 8 indfører et krav om at sondre mellem forskellige kategorier af personer, som der behandles personoplysninger om, eksempelvis mellem mistænkte og ikkemistænkte. Forslaget som fremsat giver dog et stort råderum for den dataansvarlige, der kun er forpligtet til at sondre mellem de forskellige kategorier »når det er relevant« og »så vidt muligt«.

At samle og behandle så få personlige oplysninger om så få personer som muligt er et grundprincip i databeskyttelsesretten (dataminimeringsprincippet). Formålet med ændringsforslaget er at begrænse den dataansvarliges råderum i et vist omfang, således at der altid skal ske en sondring mellem kategorier af personer, når det er relevant. Hensigten med skærpelsen er især at garantere et højt beskyttelsesniveau af de persongrupper, som ikke er mistænkt for en strafbar handling, mens dataansvarlige er ikke pålagt den høje bureaukratiske byrde at skulle skelne mellem personkategorier i alle tilfælde af databehandlingen.

Til nr. 6

Uskyldighedsformodningen er et grundlæggende retsstatsligt princip. Derfor er lovforslagets krav i § 8 om at sondre mellem forskellige kategorier af personer, som der samles og behandles personoplysninger om en vigtig udvidelse af de bestående regler. Mens kategorierne i nr. 1-3 (mistænkte, dømte, ofre) er klart definerede, er kategori nr. 4 »andre parter i forbindelse med en strafbar handling« en kategori med en bred rækkevide.

Med ændringsforslaget sikres det, at der sker en klar sondring mellem ikkemistænkte personer og personer, der potentielt kunne være mistænkte. Denne sondring sikrer eksempelvis, at den dataansvarlige har et informeret grundlag for at kunne fastsatte passende frister for sletningen af data, jf. lovforslagets § 7.

Til nr. 7

Lovforslaget indfører en forpligtelse for den dataansvarlige og databehandleren til at føre en fortegnelse over alle typer af behandlingsaktiviteter, som de foretager. Fortegnelserne tjener som dokumentation for, at databehandlingen er retmæssigt. Derimod afskaffer lovforslaget den generelle anmeldelsesforpligtelse til Datatilsynet og offentliggørelse af anmeldelser, jf. persondatalovens kapitel 12 og 13.

Formålet med det foreslåede ændringsforslag er at gøre fortegnelserne offentlige uden at skabe en bureaukratisk belastning af Datatilsynet. Offentliggørelse er et nyttigt redskab for den dataansvarlige til at leve op til kravet om at gøre oplysninger om databehandling let tilgængelige, jf. lovforslagets § 18, stk. 1, og sikrer, at datasubjekter kan gøre brug af deres indsigtsret. Desuden kan offentlige fortegnelser bidrage til at styrke borgeres tillid til den offentlige sektors behandling af personoplysninger. Da fortegnelserne indholdsmæssig svarer til de nuværende anmeldelser, bør der ikke opstå problemer f.eks. i forhold til fortrolighedshensyn. Offentliggørelse vil samtidig spare tid for de retshåndhævende myndigheder i forhold til behandling af anmodninger om aktindsigt i fortegnelserne efter offentlighedsloven.

Til nr. 8

Lovforslaget skitserer betingelserne for overførslen af persondata til internationale organisationer og kompetente myndigheder i lande uden for EU. Lovforslagets § 36 er en undtagelsesparagraf, der oplister betingelserne for at overføre persondata til internationale organisationer og andre end kompetente myndigheder i tredjelande, hvor der ikke foreligger en afgørelse fra Europa-Kommissionen om, at tredjelandet eller den pågældende internationale organisation har et tilstrækkeligt beskyttelsesniveau. Lovforslaget kan forstås således, at den dataansvarlige eller databehandleren kan overføre persondata til lande eller organisationer, der ikke sikrer et tilstrækkeligt beskyttelsesniveau, når bare databehandleren eller den dataansvarlige selv har vurderet, at beskyttelsesniveauet er tilstrækkeligt. Desuden udvider lovforslagets § 36, nr. 3 og 4, undtagelsesbestemmelserne i en særlig høj grad ved at tillade overførsler til andre end kompetente myndigheder, hvis den overførende myndighed »mener« at overførslen til den kompetente myndighed, der ellers skulle modtage persondata, er »ineffektiv eller uhensigtsmæssig«. Lovforslaget lægger ikke op til foranstaltninger, der kan kontrollere, om dataoverførslen er strengt nødvendig, og dermed sikre grundlæggende sikkerhedsgarantier for de individer, hvis personoplysninger bliver overført.

Med ændringsforslaget lægges der derfor op til, at der skal foreligge godkendelse fra Datatilsynet i de tilfælde, hvor der ikke foreligger en international aftale om overførsel af personoplysninger til tredjelandet og den pågældende internationale organisation. Kravet om godkendelsen skal sikre, at overførsel til tredjelande og internationale organisationer i tilfælde, hvor der ikke foreligger en afgørelse om tilstrækkeligt beskyttelsesniveau, og til andre end kompetente myndigheder kun sker i enkeltstående og specifikke tilfælde, og at overførslen er strengt nødvendig for den overførende myndighed.

Til nr. 9

Med ændringen foreslås det at indsætte en revisionsbestemmelse. Revisionen skal have særligt fokus på de områder, hvor lovforslaget indebærer større ændringer i forhold til den gældende persondatalov, navnlig afsnit III om den registreredes rettigheder (§§ 13-19), afsnit IV om forpligtelser for den dataansvarlige og databehandleren (§§ 20-26), afsnit VI om databeskyttelsesrådgiveren (§§ 30 og 31) og afsnit VIII om tilsynsmyndighed.

Loven om retshåndhævende myndigheders behandling af personoplysninger skal vedtages allerede inden den 1. maj 2017, mens selve forslaget til den nye persondatalov først forventes fremsat i efteråret 2017. Som hovedlov på persondatabeskyttelsesområdet forventes persondataloven at præcisere, hvordan nogle koncepter, der blev introduceret med EU's databeskyttelsesreformpakke, såsom »databeskyttelsesrådgiveren« eller »konsekvensanalyse«, vil udformes i praksis i Danmark. Det noteres derudover som begrundelse for ændringsforslaget, at alle erkender, at grundet ydre omstændigheder har behandlingen af forslaget måttet gå ekstraordinært hurtigt, hvilket bl.a. har resulteret i en så kort høringsfrist, at inviterede høringsparter har måttet afstå fra at afgive høringssvar.

Peter Skaarup (DF) fmd. Peter Kofod Poulsen (DF) Susanne Eilersen (DF) Hans Kristian Skibby (DF) Dennis Flydtkjær (DF) Tilde Bork (DF) Preben Bang Henriksen (V) Jan E. Jørgensen (V) Britt Bager (V) Jakob Engel-Schmidt (V) Carl Holst (V) Michael Aastrup Jensen (V) Henrik Dahl (LA) Christina Egelund (LA) Naser Khader (KF) Simon Kollerup (S) Lars Aslan Rasmussen (S) Mette Reissmann (S) Mogens Jensen (S) nfmd. Rasmus Prehn (S) Trine Bramsen (S) Kaare Dybvad (S) Rune Lund (EL) Søren Søndergaard (EL) Carolina Magdalene Maier (ALT) Sofie Carsten Nielsen (RV) Zenia Stampe (RV) Lisbeth Bech Poulsen (SF) Aaja Chemnitz Larsen (IA)

Tjóðveldi og Javnaðarflokkurin havde ikke medlemmer i udvalget.