REU, Alm.del - 2017-18 - Endeligt svar på spørgsmål 916: Spm., om politiet efter de gældende regler havde pligt til at journalisere eller på anden måde gemme de slettede e-mails, der nu er kommet frem i Tibet-sagen, til justitsministeren

Retsudvalget 2017-18
REU Alm.del
Offentligt

Dato:

Kontor:

Sagsbeh:

Sagsnr.:

Dok.:

19. april 2018

Databeskyttelseskontoret

Mia Schumacher

2018-0035-0021

686429

UDKAST TIL TALE

til brug for besvarelsen af samrådsspørgsmål Q

fra Folketingets Retsudvalg den 19. april 2018

Samrådsspørgsmål Q:

Vil ministeren redegøre for, hvorfor københavnske poli-

tichefers e-mailkonti blev slettet kort efter chefernes af-

sked, hvorved Tibetkommissionen blev afskåret fra mu-

lige oplysninger, der kunne have kastet lys over politi-

chefernes rolle ved de kinesiske besøg i 2012, 2013 og

2014, og for, om der vil blive taget skridt til at sikre, at

tilsvarende sletning ikke foretages i fremtiden, så det vil

være muligt at klarlægge ledende politifolks rolle i for-

løb, hvor politiet udsættes for kritik?

Spørgsmålet er stillet efter ønske fra Rosa Lund (EL)

Slotsholmsgade 10

1216 København K.

T +45 7226 8400

F +45 3393 3510

www.justitsministeriet.dk

[email protected]

REU, Alm.del - 2017-18 - Endeligt svar på spørgsmål 916: Spm., om politiet efter de gældende regler havde pligt til at journalisere eller på anden måde gemme de slettede e-mails, der nu er kommet frem i Tibet-sagen, til justitsministeren

[Indledning]

Tak for spørgsmålet.

Svaret på det spørgsmål, der er stillet, er egentlig ret en-

kelt. Samtidig vil jeg sige, at de overvejelser, som svaret

fører til, er væsentligt mere komplekse og principielle.

Vi står grundlæggende over for to modsatrettede hensyn:

På den ene side hensynet til at gemme data med henblik

på, at vi på et senere tidspunkt kan tilgå det – f.eks. i for-

bindelse med en undersøgelseskommission. Og på den

anden side de hensyn, der er til at beskytte personoplys-

ninger, og som følger af databeskyttelsesreglerne.

Faktisk er det jo en debat, som vi har med hinanden en

del for tiden. I nogle sager synes vi, at der gemmes for

lidt og i for kort tid – i andre sager, at der gemmes for

meget og i for lang tid.

Det siger for mig noget om, at de her spørgsmål måske i

praksis og i virkelighedens verden ikke er helt så enkle,

som de ser ud til, når vi læser om dem på forsiden af avi-

sen.

[Det faktuelle forløb – Rigspolitiet]

Til brug for besvarelsen af samrådsspørgsmålet har jeg

anmodet Rigspolitiet om en udtalelse.

Rigspolitiet har blandt andet oplyst, at de omtalte perso-

ners e-mailkonti blev håndteret i overensstemmelse med

Rigspolitiets daværende standardprocedure, hvorefter de

automatisk blev slettet 30 dage efter fratrædelse.

Rigspolitiet har oplyst, at denne procedure har været gæl-

dende siden 2005, hvor fristen blev fastsat af it-drifts-

mæssige årsager begrundet i begrænset serverplads. I

2011 blev personaleadministrationen i politiet centralise-

ret hos Rigspolitiets koncern-HR. I forbindelse med cen-

traliseringen blev der implementeret kontroller, som sik-

rede, at alle fratrådte medarbejdere rettidigt registreres

som fratrådte i politiets personalesystem.

Når Rigspolitiets koncern-HR har markeret en medarbej-

der som værende fratrådt, igangsættes politiets it-syste-

mer automatisk. Herefter slettes fratrådte medarbejderes

mailboks i overensstemmelse med den fastsatte slette-

frist, hvilket tidligere var 30 dage efter fratrædelse.

Med centraliseringen af personaleadministrationen i

2011 blev processen således standardiseret og automati-

seret.

Som jeg indledte med at sige, er det altså ret enkelt, hvor-

for de pågældende medarbejderes e-mailkonti blev slet-

tet: Det skete helt automatisk i politiet, at fratrådte med-

arbejders e-mails blev slettet efter 30 dage.

Rigspolitiet har på baggrund af erfaringerne nu ændret

slettefristen for opbevaring af slettede mails og for frat-

rådte medarbejderes mailkonti. Den er nu foreløbigt 1 år

i stedet for 30 dage.

[Databeskyttelsesretlige principper]

Når man behandler personoplysninger, gælder der helt

grundlæggende en række databeskyttelsesretlige princip-

per.

Behandlingen skal blandt andet ske i overensstemmelse

med god databehandlingsskik. Det indebærer, at en be-

handling skal være rimelig og lovlig.

Derudover gælder der også et princip om dataminime-

ring, som blandt andet går ud på, man ikke bare må ind-

samle og opbevare alle mulige data, men kun hvad der er

nødvendigt og rimeligt.

Samtidig skal man undgå en unødvendig ophobning af

data.

De grundlæggende databeskyttelsesretlige principper be-

tyder blandt andet, at oplysninger ikke må opbevares i

identificerbar form i længere tid, end det er nødvendigt

af hensyn til de formål, hvortil oplysningerne indsamles,

eller hvortil oplysningerne senere behandles.

Det betyder, at man som dataansvarlig bør indføre tids-

frister for sletning eller periodisk gennemgang af de op-

bevarede personoplysninger.

Det er vanskeligt generelt at angive eller beskrive, hvil-

ken tidsfrist forbuddet mod dataophobning medfører, og

altså hvor lang tid man må opbevare personoplysninger.

Det må afgøres i den enkelte situation, hvor længe opbe-

varing af oplysninger kan ske, og i praksis lægges der af-

gørende vægt på, om den fortsatte opbevaring tjener et

sagligt formål.

Datatilsynet har i flere sager haft spørgsmål om en ar-

bejdsgivers behandling af en medarbejders e-mail-konto

i tilfælde, hvor en medarbejder har forladt arbejdsplad-

sen.

Datatilsynet har derfor i 2011 – efter inddragelse af Da-

tarådet – fastlagt nogle retningslinjer, for så vidt angår

fratrådte medarbejderes mailkonti og længden på den pe-

riode, hvor disse kan holdes aktive. Retningslinjerne, der

fremgår af Datatilsynets hjemmeside, er senest blevet op-

dateret i 2015.

Retningslinjerne fastslår, at når en medarbejder har for-

ladt arbejdspladsen og ikke længere kan få adgang til sin

personlige e-mail-konto på arbejdspladsen, må e-mail-

kontoen kun holdes aktiv i en periode, der er så kort som

muligt.

Det følger endvidere af Datatilsynets retningslinjer, at

periodens længde fastsættes under hensyntagen til den

fratrådte medarbejders stilling og funktion og maksimalt

kan være på 12 måneder.

Når det ikke længere er nødvendigt at opbevare perso-

noplysninger, skal disse enten slettes eller anonymiseres.

Som alternativ hertil kan der også ske arkivering efter

reglerne i arkivloven.

De databeskyttelsesretlige principper skal balanceres

over for hensynet til, at man efterfølgende kan finde ud

af, hvad der er sket i en given sag, og kortlægge et hæn-

delsesforløb.

[Journalisering]

Derudover skal vi også huske på, at der ved siden af de

databeskyttelsesretlige principper gælder en journalise-

ringspligt for offentlige myndigheder.

Denne pligt gælder kun dokumenter, som er modtaget el-

ler afsendt af en forvaltningsmyndighed som led i

admi-

nistrativ

sagsbehandling.

Derudover er det en betingelse, at det pågældende doku-

ment har betydning for en sag eller sagsbehandlingen i

øvrigt.

De e-mails, en ansat hos eksempelvis politiet har afsendt

eller modtaget, kan derfor være omfattet af journalise-

ringspligten, hvis den enkelte e-mail har betydning for en

sag eller sagsbehandlingen i øvrigt.

[Fremadrettet – Retningslinjer for opbevaring af e-

mails]

En ting er, hvilke sager der har været. Vi er også nødt til

at se på, hvad der fremadrettet skal være praksis, og der

skal findes en god fælles løsning.

Jeg kan forstå, at statslige myndigheder ikke i dag har en

ensartet praksis, for så vidt angår opbevaring af medar-

bejderes e-mails. Det gælder både eksisterende medar-

bejderes e-mails og fratrådte medarbejderes mailkonti.

Der kan være forskellige årsager til, at myndighederne i

dag ikke har en ensartet praksis på området. Men det ska-

ber en række spørgsmål, som jeg synes er velbegrundede.

For så vidt angår det fremadrettede, har jeg derfor beslut-

tet, at vi i Justitsministeriet – under inddragelse af Data-

tilsynet – vil tage initiativ til at udarbejde generelle ret-

ningslinjer for statslige myndigheders praksis for opbe-

varing og sletning af medarbejderes e-mails.

Vi vil i tilknytning hertil endvidere tage initiativ til at ud-

arbejde anbefalinger om, hvordan statslige myndigheder

bør forholde sig med hensyn til sletning og backup af e-

mails, når der er udsigt til, at der skal nedsættes en un-

dersøgelseskommission, som den pågældende statslige

myndighed må forventes at skulle aflevere materiale til.

Man skal dog samtidig være opmærksom på, at det kan

vise sig teknisk vanskeligt i praksis at udelukke enhver

mulighed for, at en medarbejder, der har til hensigt at

omgå retningslinjerne – og f.eks. helt at slette en mail –

kan finde veje til at gøre dette.

Men retningslinjerne vil være med til at sikre en mere

ensartet praksis fremadrettet for opbevaring og sletning

af e-mails.

Formålet med den her øvelse er at finde en balance mel-

lem de forskellige hensyn, som jeg har nævnt, og sikre

en ensartet praksis på tværs af myndighederne for opbe-

varing og sletning af e-mails.

De nye retningslinjer vil selvfølgelig også komme til at

gælde for politiet. Og jeg kan i hvert fald for politiets

vedkommende sige, at de 30 dage efter min opfattelse er

for kort tid. Det skal være længere. Som sagt har politiet

nu foreløbigt ændret slettefristen i politiet til 1 år.

Tak for ordet.