L 69 - 2017-18 - Endeligt svar på spørgsmål 78: Spm., om ministerens ændringsforslag til § 23 sikrer, at de omfattede borgere i alle tilfælde skal underrettes forud for en viderebehandling af personoplysninger i kontroløjemed, til justitsministeren

Retsudvalget 2017-18, Retsudvalget 2017-18
L 68 , L 69
Offentligt

Dato:

Kontor:

Sagsbeh:

Sagsnr.:

Dok.:

9. februar 2018

Databeskyttelseskontoret

Anders Lotterup

2017-0037-0005

646053

Ændringsforslag

til

Forslag til lov om supplerende bestemmelser til forordning om beskyt-

telse af fysiske personer i forbindelse med behandling af personoplys-

ninger og om fri udveksling af sådanne oplysninger (databeskyttelses-

loven)

(L 68)

Ændringsforslag

Til § 23

Efter 1. pkt. indsættes som nyt 2. pkt.:

»1. pkt. finder ikke anvendelse, når formålet er sammenstilling eller samkø-

ring af personoplysninger i kontroløjemed.«

[Begrænsning af undtagelse fra den fornyede oplysningspligt i forbindelse

med sammenstilling eller samkøring i kontroløjemed]

Bemærkninger til nr. 1

Efter lovforslagets § 23 finder oplysningspligten efter databeskyttelses-

forordningens artikel 13, stk. 3, og artikel 14, stk. 4, ikke anvendelse, når

offentlige myndigheder viderebehandler personoplysningerne til et andet

formål end det, hvortil de er indsamlet, og viderebehandlingen sker på bag-

grund af regler fastsat efter bemyndigelsesbestemmelsen i lovforslagets § 5,

stk. 3.

Det foreslås hermed, at der indsættes et nyt 2. pkt. i § 23, hvorefter undta-

gelsen i 1. pkt. ikke finder anvendelse, når det andet, nye formål, der forføl-

Slotsholmsgade 10

1216 København K.

T +45 7226 8400

F +45 3393 3510

www.justitsministeriet.dk

[email protected]

L 69 - 2017-18 - Endeligt svar på spørgsmål 78: Spm., om ministerens ændringsforslag til § 23 sikrer, at de omfattede borgere i alle tilfælde skal underrettes forud for en viderebehandling af personoplysninger i kontroløjemed, til justitsministeren

ges med en bekendtgørelse udstedt efter lovforslagets § 5, stk. 3, er sam-

menstilling eller samkøring af personoplysninger i kontroløjemed.

I dag kan offentlige myndigheder efter persondataloven i vidt omfang

genbruge oplysninger til andre formål end det oprindelige. Det kræver en

konkret vurdering i hver enkelt sag, og myndigheden må ikke genbruge data

til ”uforenelige” formål. Denne mulighed for viderebehandling af oplysnin-

ger efter en konkret vurdering bevares, jf. lovforslagets § 5, stk. 1 og 2.

Erfaringsmæssigt kan man f.eks. i kommunerne ofte komme i tvivl om,

hvorvidt personoplysninger på den baggrund lovligt senere må bruges til et

andet formål. Den konkrete vurdering af, om et nyt formål er foreneligt el-

ler ej, skaber usikkerhed og tvivl i myndighedernes daglige sagsbehandling.

Det har ført til en forskelligartet praksis.

Lovforslagets § 5, stk. 3, har til formål at komme denne tvivl til livs og skabe

klarhed. Bestemmelsen indeholder en bemyndigelse til, at vedkommende

minister efter forhandling med justitsministeren og inden for rammerne af

databeskyttelsesforordningens artikel 23 kan fastsætte nærmere regler om,

at personoplysninger af offentlige myndigheder må viderebehandles til an-

dre formål, end de oprindeligt var indsamlet til, uafhængigt af formålenes

forenelighed.

Det afgørende efter bemyndigelsesbestemmelsen i stk. 3 er således ikke, om

bekendtgørelsen medfører, at der i en databeskyttelsesretlig sammenhæng

viderebehandles til ”forenelige” formål eller ej. Formålet med bestemmel-

sen er netop at give mulighed for at undgå denne konkrete vurdering, der i

praksis i bl.a. kommunerne har vist sig at være vanskelig og ført til forskel-

ligartet praksis.

Med bemyndigelsesbestemmelsen kan der skabes klarhed samtidig med, at

bekendtgørelserne skal leve op til databeskyttelsesforordningens artikel 23

og dermed ligge inden for databeskyttelsesforordningens rammer. Artikel

23 kræver til gengæld, at der i en bekendtgørelse udstedt efter lovforslagets

§ 5, stk. 3, skal fastsættes garantier, der beskytter borgerne, såsom bestem-

melser om, hvor lang tid personoplysningerne må opbevares, ligesom der

skal fastsættes regler, som sikrer, at oplysninger ikke kan misbruges eller

tilgås ulovligt.

Formålet med bestemmelsen er således at rydde tvivl af vejen og ”en gang

for alle” på forhånd i en bekendtgørelse at regulere, hvilke oplysninger der

må viderebehandles, og hvilke oplysninger der ikke må viderebehandles.

Formålet er at sikre, at det offentlige kan videreanvende og genbruge data

på en effektiv, ensartet og åben måde.

Datatilsynet skal som uafhængig tilsynsmyndighed efter lovforslagets § 28

på forhånd udtale sig om hver enkelt bekendtgørelse, der udstedes med

hjemmel i forslagets § 5, stk. 3, herunder om, hvorvidt bekendtgørelsen er i

strid med EU-reglerne eller i øvrigt giver anledning til betænkeligheder.

Desuden er der fortsat en lang række garantier for at beskytte persondata,

herunder skal borgeren partshøres efter forvaltningsloven, før f.eks. en kom-

mune kan træffe afgørelse om at nedsætte en ydelse. Disse garantier vil fort-

sat og uændret gælde.

Endelig er der i lovforslaget opsat hegnspæle for bekendtgørelserne efter §

5, stk. 3. Det betyder, at der f.eks. ikke kan udstedes en bekendtgørelse, der

strider mod en særlig lovbestemt tavshedspligt, f.eks. sundhedslovens § 40

om sundhedspersoners tavshedspligt og folkeskolelovens § 55 b om tavs-

hedspligt om testresultater. Det vil således kræve en lovændring at ændre på

f.eks. praktiserende lægers tavshedspligt.

Der henvises til bl.a. svar på spørgsmål 4 og den samtidige besvarelse af

spørgsmål 52 til L 68 og L 69. Opmærksomheden henledes i den forbindelse

på det anførte i den samtidige besvarelse af spørgsmål 52, hvorefter samkø-

ring i kontroløjemed per definition vil være en indgribende behandlingssi-

tuation, hvilket vil skærpe kravene til overholdelse af bl.a. forordningens ar-

tikel 5 om de grundlæggende principper for behandling af personoplysnin-

ger, herunder ikke mindst proportionalitetsprincippet.

Som eksempler på anvendelsen af lovforslagets § 5, stk. 3, kan nævnes

udarbejdelse af oversigter i en kommune over alle dens borgere, der modta-

ger forskellige økonomiske ydelser, med henblik på at undersøge og kon-

trollere, om de får de rette økonomiske ydelser fra kommunen. Som et an-

det eksempel kan i forlængelse heraf nævnes muligheden for i en bekendt-

gørelse at fravige udgangspunktet i forvaltningslovens § 29 om, at myndig-

heder i ansøgningssøger, f.eks. i sager om ansøgning om en social ydelse,

ikke må indhente oplysninger om ansøgerens rent private forhold, som an-

dre dele af den pågældende myndighed eller en anden forvaltningsmyndig-

hed ligger inde med.

Som et yderligere eksempel på brugen af bemyndigelsesbestemmelsen i lov-

forslagets § 5, stk. 3, kan peges på muligheden for i en bekendtgørelse at

fastsætte nærmere regler om genanvendelse af de personoplysninger, som

de forskellige grene i en kommune i forvejen ligger inde med, med henblik

på bedst muligt at kunne hjælpe socialt udsatte børn med det mest optimale

behandlingsforløb.

Der kan om de anførte eksempler henvises til de specielle bemærkninger til

§ 5, stk. 3, i lovforslaget.

Det følger af databeskyttelsesforordningens artikel 13, stk. 3, og artikel

14, stk. 4, at hvis den dataansvarlige agter at viderebehandle personoplys-

ningerne til et andet formål end det, hvortil de er indsamlet, giver den data-

ansvarlige forud for denne viderebehandling den registrerede oplysninger

om dette andet formål og andre relevante yderligere oplysninger. Der er så-

ledes tale om en

fornyet

oplysningspligt i forhold til oplysningspligten, der

i øvrigt følger af artikel 13, stk. 1 og 2, og artikel 14, stk. 1 og 2.

Lovforslagets § 23 lægger som nævnt op til at begrænse oplysningspligten

for myndigheden, der allerede én gang har opfyldt sin oplysningspligt over

for den registrerede. Den registrerede er i denne situation således allerede

én gang blevet orienteret om de oplysninger, som fremgår af artikel 13, stk.

1 og 2, eller artikel 14, stk. 1 og 2, i forbindelse med myndighedens

oprin-

delige

indsamling og i den anledning blevet orienteret om de formål med

behandlingen af personoplysninger, der var aktuelle på indsamlingstids-

punktet. Det kunne f.eks. være et formål og krav om en bestemt register-

samkøring i kontroløjemed som krav for at modtage en bestemt ydelse.

Det betyder, at undtagelsen i lovforslagets § 23 alene går ud på, at myndig-

heden, som på baggrund af en bekendtgørelse udstedt efter lovforslagets §

5, stk. 3, ønsker at anvende lovligt indsamlede oplysninger til et andet for-

mål end det oprindelige formål, ikke skal give underretning til den registre-

rede om dette nye formål.

Hvis den pågældende dataansvarlige videregiver oplysninger med hjemmel

i en bekendtgørelse udstedt efter lovforslagets § 5, stk. 3, til en anden myn-

dighed, skal sidstnævnte myndighed selv sikre sig, at myndigheden lever op

til oplysningspligten i forordningens artikel 13-14.

Der er ved udarbejdelsen af undtagelsen i lovforsalgets § 23 lagt vægt på, at

det set fra den dataansvarliges side kan opleves som administrativt byrde-

fuldt at skulle foretage en ny underretning af den registrerede. Samtidig sy-

nes det tvivlsomt, om en fornyet underretning i denne situation reelt vil

skabe større retssikkerhed for den registrerede. Der er i den forbindelse også

lagt vægt på, at, at en bekendtgørelse efter § 5, stk. 3 – i overensstemmelse

med forordningens artikel 23 – skal indeholde en række garantier f.eks. ga-

rantier for at undgå misbrug eller ulovlig adgang.

Der henvises i øvrigt til svar på spørgsmål 4 og 20 til L 68 og L 69.

Der er efter førstebehandlingen af lovforslaget den 16. november 2017

blevet rejst kritik af bl.a. lovforslagets § 23. Kritikken af forslagets § 23 er

særligt gået på, at undtagelsen er for vidtgående i situationer, hvor oplysnin-

ger viderebehandles af myndigheden med henblik på sammenstilling eller

samkøring af registre i kontroløjemed rettet mod borgeren.

Justitsministeriet har noteret sig dette og har forståelse for denne del af kri-

tikken.

På den baggrund foreslås det med dette ændringsforslag, at undtagelsen i §

23 ikke skal finde anvendelse, når den nye behandling, som en bekendtgø-

relse efter lovforslagets § 5, stk. 3, giver mulighed for, går ud på at sammen-

stille og samkøre personoplysninger i kontroløjemed, dvs. med henblik på

f.eks. at kontrollere, om borgere uretmæssigt modtager ydelser, fordi de ikke

opfylder betingelserne dertil.

Herved sikres det, at borgerne på forhånd bliver oplyst herom – inden for

rammerne af reglerne om oplysningspligt i forordningens artikel 13 og 14 –

når myndigheden, der oprindeligt har indsamlet oplysninger om borgeren til

ét formål, efterfølgende anvender en bekendtgørelse efter forslagets § 5, stk.

3, til at sammenstille eller samkøre de pågældende oplysninger med andre

oplysninger for at kontrollere forhold vedrørende borgeren.