Beskæftigelsesudvalget 2018-19 (1. samling)
BEU Alm.del Bilag 142
Offentligt
1994199_0001.png
20. DECEMBER 2018
4002445 KTMO/JNO
Krigsreglens anvendelse i forbindel-
se med kommuners og a-kassers be-
handling af dataudtræk fra DFDG
1.
INDLEDNING
Beskæftigelsesministeriet og Styrelsen for Arbejdsmarked og Rekruttering (STAR) er ble-
vet opmærksom på, at en række kommuner har indgået aftale med en it-leverandør, som
indebærer, at personoplysninger fra Det Fælles Datagrundlag (herefter ”DFDG”) overføres
til it-leverandørens servere i Holland.
Kommunernes overførsel af data til Holland har rejst spørgsmål om, hvorvidt dette er for-
eneligt med den såkaldte ”Krigsregel” i den tidligere persondatalovs § 41, stk. 4.
Notatet behandler alene ”krigsreglen” efter den tidligere persondatalov. For så vidt angår
spørgsmålet om, hvorvidt DFDG er omfattet af den ”nye” Krigsregel i databeskyttelseslo-
vens § 3, stk. 9, drøftes dette i øjeblikket med Justitsministeriet.
2.
DFDG, TILSLUTNINGSAFTALERNE OG TILLÆGSAFTALERNE
DFDG indeholder beskæftigelsesdata for alle borgere, der har været i berøring med beskæf-
tigelsessystemet samt stamdata for alle borgere mellem 15 og 80 år
1
. Formålet med DFDG
er at sikre grundlaget for en tværgående digital kommunikation og datadeling på beskæfti-
gelsesområdet med henblik på en koordineret beskæftigelsesindsats i forhold til borgeren på
tværs af kommuner og a-kasser.
STAR stiller DFDG til rådighed for kommunerne og a-kasserne, som i den forbindelse har
indgået tilslutningsaftaler med STAR, hvor de nærmere vilkår for brugen af DFDG er fast-
lagt.
Kammeradvokaten har til brug for sagen fået tilsendt et eksempel på en tilslutningsaftale fra
august 2015, indgået mellem STAR og en kommune om kommunens tilslutning til DFDG
Antallet er på 7,5 millioner, da DFDG behandler alle der har haft et dansk personnummer, og som de sidste 10 år var
mellem 15 og 80 år gamle.
1
København
Vester Farimagsgade 23
DK-1606 København V
Aarhus
Åboulevarden 49
DK-8000 Aarhus
Telefon +45 33 15 20 10
Fax +45 33 15 61 15
www.kammeradvokaten.dk
Notits om DFDG og krigsreglen (20_12-
18) (15231802_1)
 BEU, Alm.del - 2018-19 (1. samling) - Bilag 142: Kammeradvokatens vurdering af krigsreglen og dens mulige konsekvenser for kommunernes og a-kassernes anvendelse af DFDG, fra beskæftigelsesministeren
1994199_0002.png
20. DECEMBER 2018
og to eksempler på tilslutningsaftaler med a-kasser fra september 2013 og maj 2018. Siden
maj 2017 har STAR endvidere indgået tillægsaftaler til tilslutningsaftalerne med en række
kommuner. Baggrunden herfor var, at de såkaldte SUP-dataleverancer blev føjet til som et
nyt modul i DFDG. Kammeradvokaten har til brug for sagen også fået tilsendt et eksempel
på en sådan tillægsaftale indgået i februar 2018. Kammeradvokaten har ved sin vurdering af
sagen lagt til grund, at eksemplerne på to tilslutningsaftaler og en tillægsaftale er repræsen-
tative.
Det fremgår bl.a. af tillægsaftalens punkt 5.2, at:
”Data i DFDG, herunder SUP, er omfattet af persondatalovens ”krigsregel” i lovens
§ 41, stk. 4, hvorfor [kommunen] også er ansvarlig for at sikre, at denne iagttages i
aftaleforholdet mellem [kommunen] og opgaveløser [kommunens databehandler], der
skal tilgå data i DFDG.”
(mine ændringer)
3.
VURDERING
3.1
Krigsreglen
Den såkaldte ”krigsregel” fulgte af persondatalovens § 41, stk. 4. Det fremgår af bestem-
melsen, at der for oplysninger, som behandles for den offentlige forvaltning, og som er af
særlig interesse for fremmede magter, skal træffes foranstaltninger, der muliggør bortskaf-
felse eller tilintetgørelse i tilfælde af krig eller lignende forhold.
Det er vurderingen, at DFDG er omfattet af krigsreglen efter den tidligere persondatalov. Vi
lægger herved navnlig vægt på, at DFDG indeholder beskæftigelsesdata for alle borgere,
der har været i berøring med beskæftigelsessystemet, at DFDG derudover indeholder stam-
data for alle borgere mellem 15 og 80 år, at der overføres personoplysninger fra CPR til
DFDG dagligt, at DFDG reelt indeholder en kopi af CPR-systemet for den nævnte alders-
gruppe, og at CPR-systemet efter CPR-lovens § 55 og forarbejderne til persondataloven er
omfattet af krigsreglen.
Derimod vil en enkelt kommunes eller en a-kasses dataudtræk fra DFDG isoleret set ikke
opfylde betingelserne for at være omfattet af krigsreglen. Det skyldes, at dataudtrækket kun
vil indeholde en begrænset mængde CPR-oplysninger (maksimalt CPR-oplysninger på alle
borgere i kommunen eller alle a-kassens medlemmer), og at udtrækket derfor kun i begræn-
set omfang kan antages at indeholde oplysninger, som en fremmed magt vil have særlig
interesse i, for hurtigt og effektivt at kunne overtage den almindelige administration.
3.2
Tilslutningsaftalen og tillægsaftalen
Selv om den enkelte kommunes eller en a-kasses dataudtræk fra DFDG ikke omfattes af
krigsreglen, kan der rejses det spørgsmål, om selve aftalegrundlaget mellem STAR og
Side 2/3
 BEU, Alm.del - 2018-19 (1. samling) - Bilag 142: Kammeradvokatens vurdering af krigsreglen og dens mulige konsekvenser for kommunernes og a-kassernes anvendelse af DFDG, fra beskæftigelsesministeren
1994199_0003.png
20. DECEMBER 2018
kommunerne/a-kasserne alligevel er til hinder for, at dataudtræk fra DFDG placeres uden
for Danmark.
Tilslutningsaftalen mellem STAR og kommunerne fastslår ikke i sig selv, at dataudtræk
skal forblive i Danmark. Derimod må punkt 5.2 i tillægsaftalen, som knytter sig til tilslut-
ningsaftalen, formentlig fortolkes sådan, at den forpligter kommunerne til ikke at føre data-
udtræk fra DFDG ud af Danmark.
I det omfang en kommune efter indgåelse af en sådan tillægsaftale fortsat via en it-
leverandør har opbevaret DFDG-data i udlandet, er der derfor efter vores opfattelse tale om
en overtrædelse af aftalegrundlaget mellem STAR og den relevante kommune.
3.3
Tillægsaftalens overensstemmelse med EU-retten
Bestemmelsen i tillægsaftalens punkt 5.2 indebærer i praksis, at kommunens leverandør af
en it-løsning forpligtes til at etablere fysiske faciliteter i Danmark. En sådan klausul gør det
vanskeligere for it-leverandører i andre medlemsstater at levere tjenesteydelser i Danmark,
og udgør derfor en restriktion af tjenesteydelsernes fri bevægelighed efter TEUF artikel 56.
I lyset af den seneste udvikling i retspraksis
2
må det efter vores opfattelse anses for tvivl-
somt, om en sådan restriktion vil kunne opretholdes inden for rammerne af denne bestem-
melse. Dette gælder også i en situation, hvor mange kommuner opbevarer DFDG-data uden
for landets grænser, og der dermed består en kumulativ risiko. Vi lægger herved vægt på, at
det ikke kan udelukkes, at man ville kunne mindske den kumulative risiko ved mindre ind-
gribende foranstaltninger end et krav, som i praksis forpligter leverandører til at etablere
fysiske faciliteter i Danmark.
Der vil således efter vores opfattelse være risiko for, at klausulen i punkt 5.2 i forbindelse
med en retlig prøvelse vil blive anset for at gå videre end nødvendigt, og at den dermed ikke
vil kunne opretholdes. Konsekvensen heraf vil være, at klausulen ikke kan håndhæves over-
for de kommuner, som via en it-leverandør har placeret dataudtræk fra DFDG uden for
Danmark.
København, den 20. december 2018
Jesper Nørøxe
– Partner, Advokat (L)
2
EU-Domstolen i dom af 20. marts 2018 i sag C-187/16, Kommissionen mod Østrig.
Side 3/3