L 69 - 2017-18 - Endeligt svar på spørgsmål 7: Spm. om ministerens kommentar til henvendelsen af 23/11-17 fra Forsikring & Pension, til justitsministeren

Retsudvalget 2017-18, Retsudvalget 2017-18
L 68 , L 69
Offentligt

Spørgsmål 7 fra Folketingets Retsudvalg vedrørende L 68 og L 69:

”Ministeren

bedes kommentere henvendelsen af 23. november

2017 fra Forsikring og Pension, jf. L 68/L 69

–

bilag 10.”

Svar:

Forsikring og Pension anbefaler i henvendelsen af 23. november 2017

ændringer i lovforslaget til databeskyttelsesloven (L 68) bl.a., at lovforslaget

skal beskrive og fremhæve betydningen af de skærpede krav til et gyldigt

samtykke, og at der i forarbejderne til lovforslaget indgår en klar opfordring

til Datatilsynet om at iværksætte offentlige høringer om udkast til de danske

vejledninger.

Endvidere anfører Forsikring og Pension, at man ikke er enig i fortolkningen

af databeskyttelsesforordningens nationale råderum for at fastsætte behand-

lingsregler, som fremgår af betænkning nr. 1565 om databeskyttelsesforord-

ningen.

I januar 2012 fremsatte EU-Kommissionen forslag til en databeskyttel-

sespakke. Pakken blev endeligt vedtaget den 14. april 2016. Pakken består

navnlig af den generelle forordning om beskyttelse af personoplysninger,

som skal gælde i både den private og offentlige sektor. Databeskyttelsesfor-

ordningen anvendes fra den 25. maj 2018. Forslag til lov om supplerende

bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse

med behandling af personoplysninger og om fri udveksling af sådanne op-

lysninger (databeskyttelsesloven) (L 68) skal supplere forordningen.

Justitsministeriet har den 24. maj 2017 offentliggjort betænkning nr.

1565/2017 om databeskyttelsesforordningen. Betænkningen indeholder en

nærmere analyse af den gældende retstilstand og forordningens bestemmel-

ser, herunder forordningens rammer for nationale særregler.

Betænkningens analyser danner grundlag for udarbejdelsen af forslag til da-

tabeskyttelsesloven (L 68).

Betænkningen er udarbejdet i samarbejde med samtlige ministerier, KL,

Danske Regioner, Erhvervsstyrelsen, Digitaliseringsstyrelsen og Datatilsy-

net.

L 69 - 2017-18 - Endeligt svar på spørgsmål 7: Spm. om ministerens kommentar til henvendelsen af 23/11-17 fra Forsikring & Pension, til justitsministeren

Analysearbejdet har været understøttet af en ekspertreferencegruppe bestå-

ende af kommitteret ved Folketingets Ombudsmand Jens Møller, professor,

dr.jur. Peter Blume, professor, dr.jur. Henrik Udsen og ph.d. Gert Læssøe

Mikkelsen. Der er i analysearbejdet taget højde for ekspertreferencegrup-

pens bemærkninger, som er indarbejdet i betænkningen.

Herudover blev der i forbindelse med projektarbejdet afholdt ”stormøder”,

hvor bl.a. interesseorganisationer, erhvervslivet og advokatkontorer med

speciale i persondataret var repræsenteret.

I efteråret 2016 blev der afholdt et workshop-forløb i regi af Erhvervsstyrel-

sen, hvor erhvervslivet havde identificeret centrale problemstillinger for er-

hvervslivet vedrørende forordningen.

I forlængelse heraf afholdt Justitsministeriet i samarbejde med Erhvervssty-

relsen et stormøde med deltagere fra erhvervslivet, hvor foreløbige konklu-

sioner om centrale problemstillinger blev præsenteret. Til dette og andre

stormøder blev der endvidere stillet en række konkrete spørgsmål, som ef-

terfølgende er indgået i analysearbejdet.

Det bemærkes i øvrigt, at der i forbindelse med arbejdet har været særskilte

drøftelser om en lang række centrale artikler i databeskyttelsesforordningen

med bl.a. Forbrugerrådet Tænk og Institut for Menneskerettigheder.

I løbet af analysearbejdet har Justitsministeriet endelig modtaget henvendel-

ser fra en række organisationer, institutioner mv. Dette gælder bl.a. Dansk

Erhverv, Dansk Industri, Indsamlingsorganisationernes Brancheorganisa-

tion, Forsikring og Pension, Danske Advokater, FSR, Finansrådet, Danske

Medier, ATP og en række forsyningsselskaber, som er indgået i analysear-

bejdet.

Beskyttelsen af personoplysninger vil fremover hovedsageligt ske i data-

beskyttelsesforordningen. Det vil altså sige, at de store linjer på databeskyt-

telsesområde allerede er lagt.

Formålet med lovforslaget til databeskyttelsesloven er således som nævnt

alene at supplere reglerne i forordningen.

Betænkningen om databeskyttelsesforordningen indeholder en juridisk ana-

lyse af bestemmelserne i databeskyttelsesforordningen.

L 69 - 2017-18 - Endeligt svar på spørgsmål 7: Spm. om ministerens kommentar til henvendelsen af 23/11-17 fra Forsikring & Pension, til justitsministeren

Derudover indeholder betænkningen en analyse af konsekvenserne for gæl-

dende dansk særlovgivning i forhold til forordningen inden for samtlige mi-

nisteriers område.

Samtlige ministerier har gennemgået lovgivningen på ministeriernes res-

sortområde med henblik på at identificere bestemmelser, der regulerer be-

handling af personoplysninger eller i øvrigt har relation til forhold, som da-

tabeskyttelsesforordningen regulerer, herunder f.eks. den registreredes ret-

tigheder.

Ministerierne har i samarbejde med Justitsministeriet vurderet, at de fleste

af de identificerede bestemmelser om behandling af personoplysninger mv.

–

inden for databeskyttelsesforordningens nationale råderum som nærmere

analyseret i betænkningen

–

kan opretholdes, når forordningen finder an-

vendelse.

Justitsministeriet udgiver i samarbejde med Datatilsynet en række vejled-

ninger om databeskyttelsesforordningen. Således er der udgivet vejlednin-

ger om databeskyttelsesrådgivere, samtykke, dataansvarlige og databehand-

lere samt overførsel af personoplysninger til tredjelande og en generel in-

formationspjece om databeskyttelsesforordningen. Flere vejledninger vil

blive udgivet i den kommende tid.

I forbindelse med dette bliver udvalgte vejledninger drøftet med en række

centrale aktører.

Derudover bemærker Justitsministeriet, at vejledningerne er tænkt som væ-

rende dynamiske og derfor kan udvikle sig over tid.

Det må forventes, at fortolkningen af forordningen på flere punkter i de

kommende år vil blive udviklet gennem praksis fra bl.a. det med forordnin-

gen nyoprettede Europæiske Databeskyttelsesråd, EU-Domstolen, de dan-

ske domstole og Datatilsynet.

Forsikring og Pension har i henvendelsen af 23. november 2017 anført,

at det er misvisende, at lovforslaget slet ikke nævner, at der med databeskyt-

telsesforordningens artikel 7 sker en vigtig ændring af kravene til et gyldigt

samtykke. Forsikring og Pension anfører endvidere, at fraværet af oplysnin-

ger herom i lovforslaget især er overraskende i betragtning af, at der i be-

tænkning 1565 udførligt er redegjort for, at kravene til et gyldigt samtykke

er skærpet.

L 69 - 2017-18 - Endeligt svar på spørgsmål 7: Spm. om ministerens kommentar til henvendelsen af 23/11-17 fra Forsikring & Pension, til justitsministeren

Det fremgår af § 6, stk. 1, i lovforslaget til databeskyttelsesloven (L 68), at

behandling af personoplysninger må finde sted, hvis mindst en af betingel-

serne i databeskyttelsesforordningens artikel 6, stk. 1, litra a-f, er opfyldt.

Det fremgår endvidere af lovforslagets § 7, stk. 1, at forbuddet mod behand-

ling af følsomme personoplysninger omfattet af databeskyttelsesforordnin-

gens artikel 9, stk. 1, ikke gælder i tilfælde, hvor betingelserne for behand-

ling af personoplysninger i databeskyttelsesforordningens artikel 9, stk. 2,

litra a, c, d, e eller f, er opfyldt.

Efter forordningens artikel 6, stk. 1, litra a, og artikel 9, stk. 2, litra a, kan

der ske behandling af personoplysninger, hvis den registrerede har givet

samtykke til behandlingen. Definitionen af et samtykke fremgår af artikel 4,

nr. 11, mens betingelserne for et gyldigt samtykke uddybes i forordningens

artikel 7.

De nærmere rammer for fortolkningen af databeskyttelsesforordningens ar-

tikel 7 fremgår af betænkning nr. 1565, side 63-64 og 176-185.

Databeskyttelsesforordningen indeholder regler for, hvornår personoplys-

ninger kan behandles, og det følger heraf som altovervejende hovedregel, at

personoplysninger vil kunne behandles, såfremt der er det fornødne sam-

tykke fra den registrerede til behandlingen. Samtykke bruges således i vidt

omfang som behandlingshjemmel, som én blandt flere mulige ligestillede

behandlingshjemler.

Forordningens definition af et samtykke svarer til den gældende definition i

persondatalovens § 3, nr. 8.

Databeskyttelsesforordningens artikel 7, stk. 3, 3. og 4. pkt., om at den re-

gistrerede skal oplyses om, at samtykket kan trækkes tilbage, inden der gi-

ves samtykke, og at det skal være lige så let at trække sit samtykke tilbage

som at give det, indeholder dog nye krav til samtykke for den dataansvar-

lige.

Af databeskyttelsesforordningens artikel 7, stk. 4, fremgår det, at ved vur-

deringen af, om samtykke er givet frit, skal der tages størst muligt hensyn

til, bl.a. om opfyldelse af en kontrakt, herunder om en tjenesteydelse, er gjort

L 69 - 2017-18 - Endeligt svar på spørgsmål 7: Spm. om ministerens kommentar til henvendelsen af 23/11-17 fra Forsikring & Pension, til justitsministeren

betinget af samtykke til behandling af personoplysninger, som ikke er nød-

vendig for opfyldelse af denne kontrakt, er der overordnet tale om en æn-

dring af gældende ret.

Det faktum, at artikel 7, stk. 4, indeholder ordet bl.a. vil bevirke, at bestem-

melsen i praksis vil kunne få betydning i en række forskellige situationer,

hvor der kan siges at være en klar skævhed mellem den registrerede og den

dataansvarlige. Det er vanskeligt at fastlægge rækkevidden af denne bestem-

melse på forhånd, og bestemmelsen vil utvivlsomt blive udviklet gennem

praksis i de kommende år.

Det fremgår som nævnt af artikel 7, stk. 4, at der skal tages størst muligt

hensyn. Der ses derfor ikke at være tale om en absolut bestemmelse, som

ikke vil kunne fraviges. Bestemmelsen må fastlægge et fortolkningsprincip

om størst mulig hensyntagen til ”skævheder”

ved vurderingen af samtykkets

gyldighed.

Med denne bestemmelse fastslås det således, at det skal tillægges størst mu-

lig betydning i vurderingen af, om et samtykke er afgivet frivilligt, hvis en

kontrakt betinger et samtykke til behandling af personoplysninger, selvom

det efter kontrakten ikke er nødvendigt at behandle personoplysninger. Så-

fremt en person ønsker at købe en ydelse fra en virksomhed, vil der således

i vurderingen af frivillighed af et eventuelt samtykke skulle tages størst mu-

lig hensyn til, om samtykket eller omfanget heraf til behandling af person-

oplysninger har været nødvendigt for opfyldelsen af kontrakten. Endvidere

vil de grundlæggende betingelser i forordningens artikel 5 også skulle iagt-

tages. Der henvises til betænkning nr. 1565 om databeskyttelsesforordnin-

gen på side 180-183.

Det bemærkes, at et samtykke, der forud for den 25. maj 2018 er indhentet

i overensstemmelse med de gældende regler herom, må antages også at

kunne anvendes som hjemmel fra og med den dato. Der henvises til betænk-

ning nr. 1565 om databeskyttelsesforordningen på side 183-184.

Forsikring en Pension har i henvendelsen endvidere foreslået, at det i lov-

forslaget præciseres, at behandlingshjemlerne i forordningens artikel 6, stk.

1, litra b, hhv. artikel 9, stk. 2, litra f, kan bruges af forsikrings- og pensi-

onsselskaberne som hjemmel for behandling af såvel tegning og ændring af

forsikringer som ved skadebehandling.