L 87 - 2018-19 (1. samling) - Bilag 5: Supplerende høringssvar, fra beskæftigelsesministeren

Beskæftigelsesudvalget 2018-19 (1. samling)
L 87 Bilag 5
Offentligt

NOTAT

Resumé af og kommentarer til Datatilsynets og Institut

for Menneskerettigheders høringssvar til forslag til lov

om ændring af lov om Udbetaling Danmark

(Udsøgning af målgrupper til brug for rådgivning om

aldersforsikring, aldersopsparing eller supplerende

engangssum i obligatoriske arbejdsmarkedspensio-

ner)

13. november 2018

J.nr.

SYD

JAV

Høringsnotatet vedrører kommentarer til Datatilsynets og Institut for Menneskeret-

tigheders høringssvar om forslag til lov om ændring af lov om Udbetaling Dan-

mark (Udsøgning af målgrupper til brug for rådgivning om aldersforsikring, al-

dersopsparing eller supplerende engangssum i obligatoriske arbejdsmarkedspensi-

oner).

Lovforslaget blev sendt i ekstern høring den 1. november 2018 med høringsfrist

den 8. november 2018 kl. 12.00.

Høringsnotatet er et supplement til Beskæftigelsesministeriets Notat om resume af

og kommentarer til høringssvar til forslag til lov om ændring af lov om Udbetaling

Danmark (Udsøgning af målgrupper til brug for rådgivning om aldersforsikring,

aldersopsparing eller supplerende engangssum i obligatoriske arbejdsmarkedspen-

sioner), som blev oversendt til Folketingets Beskæftigelsesudvalg mandag den 12.

november 2018.

1. Lovforslagets proportionalitet

Datatilsynet og Institut for Menneskerettigheder finder lovforslaget generelt be-

tænkeligt navnlig under hensyn til kravet om proportionalitet. Datatilsynet henviser

blandt andet til databeskyttelsesforordningens artikel 5, stk. 1, litra c, og art. 6, stk.

3, sidste pkt., om proportionalitet. Kravet om proportionalitet ses ifølge Datatilsy-

net ikke opfyldt på det foreliggende grundlag, da forslaget lægger op til at gøre det

muligt at behandle personoplysninger om en stor kreds af personer, der ikke er

kunder i pensionsinstitutterne. Det følger af proportionalitetsprincippet, at person-

oplysninger kun må behandles, hvis formålet med rimelighed ikke kan opfyldes på

anden måde. Forslaget lægger op til at pensionsinstitutterne selv bestemmer, hvor-

vidt de ønsker at være tilmeldt ordningen. Datatilsynet vurderer dermed umiddel-

bart, at formålet kan opnås på anden måde.

Institut for Menneskerettigheder anfører, at den målrettede rådgivningsindsats ikke

altid vil kunne udsondres fra egentlig markedsføring.

Kommentar:

Der er foretaget grundige overvejelser i forhold til at finde den rette balance mel-

L 87 - 2018-19 (1. samling) - Bilag 5: Supplerende høringssvar, fra beskæftigelsesministeren

lem hensyn til at opnå formålet med dataudvekslingen og hensyn til privatlivets

fred. Overvejelserne er nærmere beskrevet i lovforslagets afsnit 2.3.

Beskæftigelsesministeriet tager imidlertid bemærkningerne fra Datatilsynet og

Institut for Menneskerettigheder til efterretning og vil på den baggrund overveje at

fremsætte et ændringsforslag, der adresserer bekymringerne. Regeringen vil i givet

fald vende tilbage med den nærmere udformning og indhold af et sådant ændrings-

forslag.

2. Forholdet til artikel 5, litra b, i databeskyttelsesforordningen om formåls-

begrænsning

Datatilsynet henstiller til, at Beskæftigelsesministeriet vurderer, hvorvidt der fak-

tisk sker en begrænsning af princippet om formålsbegrænsning i medfør af forord-

ningens artikel 23. Hvis det er tilfældet bør det fremgå af lovbestemmelsens ordlyd.

Det bør endvidere fremgå af bemærkningerne til bestemmelsen, hvilke hensyn den

dataansvarlige skal tilgodese, jf. artikel 23, stk. 2, litra a-h.

Datatilsynet henviser derudover til, at den foretagne behandling skal ske under

iagttagelse af de øvrige principper i forordningens artikel 5.

Institut for Menneskerettigheder finder at lovforslagets indhold er betænkeligt, idet

eksisterende ydelsesmodtagere ikke får kendskab til, at oplysninger, de har angivet

til anden brug kan anvendes i rådgivningsøjemed og ikke vil blive orienteret forud

for en registersamkøring.

Kommentar:

Beskæftigelsesministeriet tager bemærkningerne fra Datatilsynet og Institut for

Menneskerettigheder til efterretning og vil på den baggrund fremsætte et ændrings-

forslag, der adresserer forholdet til artikel 5, litra b, i databeskyttelsesforordnin-

gen om formålsbegrænsning. Regeringen vil vende tilbage med den nærmere ud-

formning og indhold af ændringsforslaget.

Beskæftigelsesministeriet kan bekræfte, at databehandlingen vil skulle ske under

iagttagelse af de øvrige principper i forordningens artikel 5.

3. Pensionsinstitutternes behandlingsgrundlag

Datatilsynet henstiller til, at Beskæftigelsesministeriet overvejer på hvilket grund-

lag private dataansvarlige

–

pensionsinstitutter

–

kan behandle personnumre.

Kommentar:

Ifølge databeskyttelseslovens § 11, stk. 2, nr. 1, må private virksomheders behand-

ling af personnumre finde sted, når det følger af lovgivningen. Pensionsinstitutter

har en indberetningspligt over for SKAT i forhold til sine kunder, og indberetning

skal efter skattereglerne ske med angivelse af den pågældendes personnummer.

Pensionsinstitutter kan, når de behandler oplysninger om personnumre på grund-

lag af en særlig lovhjemmel, tillige anvende oplysninger om personnumre til admi-

nistrative formål, som har en sammenhæng med indberetningspligten, herunder

benytte personnummeret som entydig identifikation af kunden. Pensionsinstitutter-

ne behandler således allerede som følge af lovgivningen oplysninger om person-

numre. Med den foreslåede ordningen vil der ligeledes være tale om behandling af

L 87 - 2018-19 (1. samling) - Bilag 5: Supplerende høringssvar, fra beskæftigelsesministeren

personnumre som følge af lovgivningen, og pensionsinstitutterne vil med hjemmel i

§ 11, stk. 2, nr. 1, kunne behandle oplysninger om personnumre.

4. Karakteren af de behandlede personoplysninger

Datatilsynet skal henstille til, at Beskæftigelsesministeriet nærmere overvejer, hvor

vidt der i forbindelse med behandlingen vil blive behandlet andre kategorier end

almindelige ikke-følsomme personoplysninger og hvorvidt der er behandlings-

hjemmel hertil.

Kommentar:

Der vil der med den foreslåede løsning alene blive databehandlet almindelige ikke-

følsomme personoplysninger. Beskæftigelsesministeriet tager imidlertid bemærk-

ningerne fra Datatilsynet og Institut for Menneskerettigheder til efterretning og vil

på den baggrund fremsætte et ændringsforslag, der adresserer karakteren af de

behandlede personoplysninger. Regeringen vil vende tilbage med den nærmere

udformning og indhold af ændringsforslaget.

5. Behandling af bipersoners personoplysninger

Datatilsynet henstiller til, at Beskæftigelsesministeriet vurderer, hvorvidt der efter

forslaget til § 12 j, kan behandles personoplysninger om udenforstående personer,

hvis indkomst viser sig ikke at være afhængig af kundens indkomstforhold, herun-

der særligt om behandlingen sker under iagttagelse om lovlighed, rimelighed og

gennemsigtighed.

Kommentar:

Efter forslag til § 12 j, stk. 2, vil Udbetaling Danmark anvende CPR-numrene til

gennem registersamkøring at udsøge kunder, der selv modtager, eller hvis ægtefæl-

le, samlever eller husstandsmedlem modtager en eller flere af en række specifikke

ydelser. Forslaget giver alene hjemmel til at anvende oplysninger med henblik på

at finde personer, hvis indkomst påvirkes af kundens indbetaling til en aldersop-

sparing og hvor indbetalingen vil kunne påvirke ydelsen, og det er nødvendigt at

Udbetaling Danmark samkører oplysninger om samtlige af de i lovforslaget om-

handlede ydelsesmodtagere for at kunne sende en be- eller afkræftelse til pensions-

institutterne.

Det fremgår af lovbemærkningerne, at formålet med registersamkøringen er at

udsøge den nævnte målgruppe for rådgivning bedst muligt ud fra de registre, der

er til rådighed i Udbetaling Danmark og som indhentes fra kommunerne. Forsla-

get til § 12 j udgør således behandlingsgrundlaget for de nødvendige registersam-

køringer, der skal medvirke til at udsøge den rette målgruppe. Det gælder også

personer, hvis indkomstafhængige ydelse ikke påvirkes af kundens indkomstgrund-

lag, fx fordi registerdata ikke er opdaterede. Det omfatter også det beskrevne til-

fælde vedr. økonomisk fripladstilskud, hvor der vil kunne foretages udsøgninger,

selv om indkomsten ikke indgår i tildeling af økonomisk fripladstilskud. Det skal

bemærkes, at der allerede er igangsat et arbejde i Udbetaling Danmark med hen-

blik på at øge kvaliteten af data på dette område. Det vurderes, at udsøgningsme-

toden er tilstrækkelig valid og nødvendig, hvis der skal kunne ske udsøgning af

kunder, hvis indkomst indgår i tildeling af økonomisk fripladstilskud.

L 87 - 2018-19 (1. samling) - Bilag 5: Supplerende høringssvar, fra beskæftigelsesministeren

6. Personoplysninger fra kommunerne og Udbetaling Danmark

Datatilsynet henstiller til, at Beskæftigelsesministeriet nærmere angiver, hvilke

personoplysninger kommunerne og Udbetaling Danmark skal videregive til brug

for den udsøgning, der nævnes. Opmærksomheden henledes særligt på princippet

om dataminimering i databeskyttelsesforordningens artikel 5, litra c.

Kommentar:

Beskæftigelsesministeriet tager bemærkningerne fra Datatilsynet og Institut for

Menneskerettigheder til efterretning og vil på den baggrund fremsætte et ændrings-

forslag, der adresserer videregivelsen af personoplysninger fra kommunerne og

Udbetaling Danmark. Regeringen vil vende tilbage med den nærmere udformning

og indhold af ændringsforslaget.

7. Oplysningspligten

Datatilsynet henstiller til, at det klart fremgår, hvorvidt Beskæftigelsesministeriet

finder, at en undtagelse til oplysningspligten finder anvendelse. Hvis det vurderes

at være en undtagelse, bør det angives klart og præcist, hvilken undtagelse, der gør

sig gældende.

Institut for Menneskerettigheder finder, at undtagelsesbestemmelserne i databe-

skyttelsesforordningen synes at være brugt ganske vidtgående.

Kommentar:

Beskæftigelsesministeriet tager bemærkningerne fra Datatilsynet og Institut for

Menneskerettigheder til efterretning og vil på den baggrund fremsætte et ændrings-

forslag, der adresserer oplysningspligten. Regeringen vil vende tilbage med den

nærmere udformning og indhold af ændringsforslaget.

8. Sikkerhedsniveau

Datatilsynet bemærker, at de dataansvarlige

–

pensionsinstitutterne, kommunerne

og Udbetaling Danmark

–

skal sikre at der sker et passende sikkerhedsniveau og

noterer at udvekslingen af personoplysninger mellem Udbetaling Danmark og pen-

sionsinstitutterne sker på en sikker måde.

Kommentar:

Beskæftigelsesministeriet kan bekræfte, at pensionsinstitutterne, kommunerne og

Udbetaling Danmark skal sikre, at der er et passende sikkerhedsniveau og i øvrigt

opfylde reglerne om datasikkerhed.

9. Konsekvensanalyse

Datatilsynet bemærker, at Udbetaling Danmark ved udvikling af den ny it-løsning

skal sikre databeskyttelse gennem design. Derudover skal de dataansvarlige foreta-

ge en konsekvensanalyse i henhold til databeskyttelsesforordningens artikel 35.

Konsekvensanalysen skal foretages før behandlingen af personoplysninger iværk-

sættes.

Kommentar:

Beskæftigelsesministeriet kan bekræfte, at de dataansvarlige skal foretage en kon-

sekvensanalyse.