SUU, Alm.del - 2017-18 - Endeligt svar på spørgsmål 1063: Spm. om det ligger inden for Databeskyttelsesforordningen, at Philip Morris med sine iQOS ifølge en professor kommet til at have en gigantisk database over, hvordan amerikanerne ryger så tobaksfirmaet vil være i stand til at programmere den måde, nikotinen bliver leveret på, til én, der er mere fastholdende og mere afhængighedsskabende, til justitsministeren

Sundheds- og Ældreudvalget 2017-18
SUU Alm.del
Offentligt

Folketinget

Sundheds- og Ældreudvalget

Christiansborg

1240 København K

Dato:

Kontor:

Sagsbeh:

Sagsnr.:

Dok.:

14. juni 2018

Databeskyttelseskontoret

Nanna Due Binø

2018-0032/37-0026

769545

Hermed sendes besvarelse af spørgsmål nr. 1063 (Alm. del), som Folketin-

gets Sundheds- og Ældreudvalg har stillet til justitsministeren den 31. maj

2018. Spørgsmålet er stillet efter ønske fra Flemming Møller Mortensen (S).

Søren Pape Poulsen

Jakob Lundsager

Slotsholmsgade 10

1216 København K.

T +45 7226 8400

F +45 3393 3510

www.justitsministeriet.dk

[email protected]

SUU, Alm.del - 2017-18 - Endeligt svar på spørgsmål 1063: Spm. om det ligger inden for Databeskyttelsesforordningen, at Philip Morris med sine iQOS ifølge en professor kommet til at have en gigantisk database over, hvordan amerikanerne ryger så tobaksfirmaet vil være i stand til at programmere den måde, nikotinen bliver leveret på, til én, der er mere fastholdende og mere afhængighedsskabende, til justitsministeren

Spørgsmål nr. 1063 (Alm. del) fra Folketingets Sundheds- og Ældreud-

valg:

”Ministeren bedes redegøre for, om det ligger inden for Databe-

skyttelsesforordningen, at Philip Morris med sine iQOS ifølge

en professor kommet til at have ”en gigantisk database over,

hvordan amerikanerne ryger” så tobaksfirmaet vil ”være i stand

til at programmere den måde, nikotinen bliver leveret på, til én,

der er mere fastholdende og mere afhængighedsskabende”? Der

henvises til en amerikansk professors udtalelser i Ritzau-tele-

grammet ”Tobaksgigants cigaret-klon kan indsamle store

mængder data” fra den 16. maj 2018”.

Svar:

Den generelle databeskyttelsesforordning fra EU finder anvendelse på be-

handling af personoplysninger, som foretages som led i aktiviteter, der ud-

føres for en dataansvarlig eller en databehandler, som er etableret i EU, uan-

set om behandlingen finder sted i EU eller ej.

Forordningen finder endvidere anvendelse på behandling af personoplys-

ninger om registrerede, der er i EU, og som foretages af en dataansvarlig el-

ler databehandler, der ikke er etableret i EU, hvis behandlingsaktiviteterne

vedrører udbud af varer eller tjenester til sådanne registrerede i EU, uanset

om betaling fra den registrerede er påkrævet.

Yderligere følger det, at forordningen finder anvendelse på behandling af

personoplysninger om registrerede, der er i EU, og som foretages af en da-

taansvarlig eller databehandler, der ikke er etableret i EU, hvis behandlings-

aktiviteterne vedrører overvågning af sådanne registreredes adfærd, for så

vidt deres adfærd finder sted i EU.

Databeskyttelsesforordningen finder som det klare udgangspunkt ikke an-

vendelse i USA.

Vurderingen af, om en behandling af personoplysninger er lovlig efter

reglerne i databeskyttelsesforordningen, skal ske efter en konkret vurdering.

Behandling af almindelige (ikke følsomme) personoplysninger er efter da-

tabeskyttelsesforordningen lovlig, hvis behandlingen opfylder mindst én af

betingelserne i artikel 6, stk. 1, litra a-f, og i øvrigt overholder de grundlæg-

gende principper for behandling af personoplysninger i forordningens arti-

kel 5. En behandling vil eksempelvis være lovlig efter forordningens artikel

6, stk. 1, litra a, hvis den registrerede har givet samtykke til behandling af

sine personoplysninger til et eller flere specifikke formål eller efter forord-

ningens artikel 6, stk. 1, litra b, hvis behandlingen er nødvendig af hensyn

til opfyldelse af en kontrakt, som den registrerede er part i.

Efter databeskyttelsesforordningens artikel 9, stk. 1, er behandling af bl.a.

helbredsoplysninger forbudt. Der vil dog eksempelvis kunne ske lovlig be-

handling, hvis den registreredes har givet udtrykkeligt samtykke til behand-

ling af sådanne oplysninger efter forordningens artikel 9, stk. 2, litra a, eller

hvis behandlingen er nødvendig, for at retskrav kan fastlægges, gøres gæl-

dende eller forsvares, jf. forordningens artikel 9, stk. 2, litra f.

Det bemærkes, at enhver behandling af oplysninger som nævnt skal over-

holde databeskyttelsesforordningens artikel 5. Det betyder, at personoplys-

ninger skal indsamles til udtrykkeligt angivne og legitime formål og ikke

må viderebehandles på en måde, der er uforenelig med disse formål, og at

personoplysninger skal være tilstrækkelige, relevante og begrænset til, hvad

der er nødvendigt i forhold til de formål, hvortil de behandles.