L68/L69 - svar på spm. 90 om, at myndighederne i ansøgningssager om f.eks. sociale ydelser, ikke må indhente oplysninger om ansøgerens rent private forhold, som andre dele at den pågældende myndighed eller en anden forvaltningsmyndighed ligger inde med, fra justitsministeren

Slotsholmsgade 10
1216 København K.
T +45 7226 8400
F +45 3393 3510
www.justitsministeriet.dk
jm@jm.dk
Hermed sendes besvarelse af spørgsmål nr. 90 vedrørende forslag til lov om
supplerende bestemmelser til forordning om beskyttelse af fysiske personer
i forbindelse med behandling af personoplysninger og om fri udveksling af
sådanne oplysninger (databeskyttelsesloven) (L 68) og forslag til lov om
ændring af lov om retshåndhævende myndigheders behandling af personop-
lysninger, lov om massemediers informationsdatabaser og forskellige andre
love (Konsekvensændringer som følge af databeskyttelsesloven og databe-
skyttelsesforordningen samt medieansvarslovens anvendelse på offentligt
tilgængelige informationsdatabaser m.v.) (L 69), som Folketingets Retsud-
valg efter ønske fra Josephine Fock (ALT) har stillet til justitsministeren den
5. april 2018.
Søren Pape Poulsen
/
Jakob Lundsager
Folketinget
Retsudvalget
Christiansborg
1240 København K
Dato: 17. april 2018
Kontor: Databeskyttelseskontoret
Sagsbeh: Nanna Due Binø
Sagsnr.: 2017-0037-0005
Dok.: 704228
Retsudvalget, Retsudvalget 2017-18
L 68 endeligt svar på spørgsmål 90 , L 69 endeligt svar på spørgsmål 90
Offentligt
2
Spørgsmål nr. 90 fra Folketingets Retsudvalg efter ønske fra Josephine
Fock (ALT) vedrørende L 68 og L 69:
”Kan ministeren, i forlængelse af bemærkningerne til ministe-
rens ændringsforslag til § 23, bekræfte, at lovforslagets § 5, stk.
3, giver mulighed for i en bekendtgørelse at fravige udgangs-
punktet i forvaltningslovens § 29 om, at myndighederne i an-
søgningssager om f.eks. sociale ydelser, ikke må indhente op-
lysninger om ansøgerens rent private forhold, som andre dele at
den pågældende myndighed eller en anden forvaltningsmyndig-
hed ligger inde med, og vil ministeren oplyse om ministeren
ikke mener at dette er meget vidtgående?”
Svar:
Der kan om muligheden for at fravige forvaltningslovens § 29 i forbindelse
med udstedelse af en bekendtgørelse efter lovforslagets § 5, stk. 3, henvises
til lovforslagets specielle bemærkningerne til § 5 og til pkt. 3 i ændringsfor-
slag af 9. februar 2018 til lovforslag nr. L 68 (bilag 20).


Slotsholmsgade 10
1216 København K.
T +45 7226 8400
F +45 3393 3510
www.justitsministeriet.dk
jm@jm.dk
Ændringsforslag
til
Forslag til lov om supplerende bestemmelser til forordning om beskyt-
telse af fysiske personer i forbindelse med behandling af personoplys-
ninger og om fri udveksling af sådanne oplysninger (databeskyttelses-
loven)
(L 68)
Æ n d r i n g s f o r s l a g
Til § 23
1) Efter 1. pkt. indsættes som nyt 2. pkt.:
»1. pkt. finder ikke anvendelse, når formålet er sammenstilling eller samkø-
ring af personoplysninger i kontroløjemed.«
[Begrænsning af undtagelse fra den fornyede oplysningspligt i forbindelse
med sammenstilling eller samkøring i kontroløjemed]
Bemærkninger til nr. 1
1. Efter lovforslagets § 23 finder oplysningspligten efter databeskyttelses-
forordningens artikel 13, stk. 3, og artikel 14, stk. 4, ikke anvendelse, når
offentlige myndigheder viderebehandler personoplysningerne til et andet
formål end det, hvortil de er indsamlet, og viderebehandlingen sker på bag-
grund af regler fastsat efter bemyndigelsesbestemmelsen i lovforslagets § 5,
stk. 3.
Det foreslås hermed, at der indsættes et nyt 2. pkt. i § 23, hvorefter undta-
gelsen i 1. pkt. ikke finder anvendelse, når det andet, nye formål, der forføl-
Dato: 9. februar 2018
Kontor: Databeskyttelseskontoret
Sagsbeh: Anders Lotterup
Sagsnr.: 2017-0037-0005
Dok.: 646053
Retsudvalget, Retsudvalget 2017-18
L 68 endeligt svar på spørgsmål 90 , L 69 endeligt svar på spørgsmål 90
Offentligt
2
ges med en bekendtgørelse udstedt efter lovforslagets § 5, stk. 3, er sam-
menstilling eller samkøring af personoplysninger i kontroløjemed.
2. I dag kan offentlige myndigheder efter persondataloven i vidt omfang
genbruge oplysninger til andre formål end det oprindelige. Det kræver en
konkret vurdering i hver enkelt sag, og myndigheden må ikke genbruge data
til ”uforenelige” formål. Denne mulighed for viderebehandling af oplysnin-
ger efter en konkret vurdering bevares, jf. lovforslagets § 5, stk. 1 og 2.
Erfaringsmæssigt kan man f.eks. i kommunerne ofte komme i tvivl om,
hvorvidt personoplysninger på den baggrund lovligt senere må bruges til et
andet formål. Den konkrete vurdering af, om et nyt formål er foreneligt el-
ler ej, skaber usikkerhed og tvivl i myndighedernes daglige sagsbehandling.
Det har ført til en forskelligartet praksis.
Lovforslagets § 5, stk. 3, har til formål at komme denne tvivl til livs og skabe
klarhed. Bestemmelsen indeholder en bemyndigelse til, at vedkommende
minister efter forhandling med justitsministeren og inden for rammerne af
databeskyttelsesforordningens artikel 23 kan fastsætte nærmere regler om,
at personoplysninger af offentlige myndigheder må viderebehandles til an-
dre formål, end de oprindeligt var indsamlet til, uafhængigt af formålenes
forenelighed.
Det afgørende efter bemyndigelsesbestemmelsen i stk. 3 er således ikke, om
bekendtgørelsen medfører, at der i en databeskyttelsesretlig sammenhæng
viderebehandles til ”forenelige” formål eller ej. Formålet med bestemmel-
sen er netop at give mulighed for at undgå denne konkrete vurdering, der i
praksis i bl.a. kommunerne har vist sig at være vanskelig og ført til forskel-
ligartet praksis.
Med bemyndigelsesbestemmelsen kan der skabes klarhed samtidig med, at
bekendtgørelserne skal leve op til databeskyttelsesforordningens artikel 23
og dermed ligge inden for databeskyttelsesforordningens rammer. Artikel
23 kræver til gengæld, at der i en bekendtgørelse udstedt efter lovforslagets
§ 5, stk. 3, skal fastsættes garantier, der beskytter borgerne, såsom bestem-
melser om, hvor lang tid personoplysningerne må opbevares, ligesom der
skal fastsættes regler, som sikrer, at oplysninger ikke kan misbruges eller
tilgås ulovligt.
Formålet med bestemmelsen er således at rydde tvivl af vejen og ”en gang
for alle” på forhånd i en bekendtgørelse at regulere, hvilke oplysninger der
3
må viderebehandles, og hvilke oplysninger der ikke må viderebehandles.
Formålet er at sikre, at det offentlige kan videreanvende og genbruge data
på en effektiv, ensartet og åben måde.
Datatilsynet skal som uafhængig tilsynsmyndighed efter lovforslagets § 28
på forhånd udtale sig om hver enkelt bekendtgørelse, der udstedes med
hjemmel i forslagets § 5, stk. 3, herunder om, hvorvidt bekendtgørelsen er i
strid med EU-reglerne eller i øvrigt giver anledning til betænkeligheder.
Desuden er der fortsat en lang række garantier for at beskytte persondata,
herunder skal borgeren partshøres efter forvaltningsloven, før f.eks. en kom-
mune kan træffe afgørelse om at nedsætte en ydelse. Disse garantier vil fort-
sat og uændret gælde.
Endelig er der i lovforslaget opsat hegnspæle for bekendtgørelserne efter §
5, stk. 3. Det betyder, at der f.eks. ikke kan udstedes en bekendtgørelse, der
strider mod en særlig lovbestemt tavshedspligt, f.eks. sundhedslovens § 40
om sundhedspersoners tavshedspligt og folkeskolelovens § 55 b om tavs-
hedspligt om testresultater. Det vil således kræve en lovændring at ændre på
f.eks. praktiserende lægers tavshedspligt.
Der henvises til bl.a. svar på spørgsmål 4 og den samtidige besvarelse af
spørgsmål 52 til L 68 og L 69. Opmærksomheden henledes i den forbindelse
på det anførte i den samtidige besvarelse af spørgsmål 52, hvorefter samkø-
ring i kontroløjemed per definition vil være en indgribende behandlingssi-
tuation, hvilket vil skærpe kravene til overholdelse af bl.a. forordningens ar-
tikel 5 om de grundlæggende principper for behandling af personoplysnin-
ger, herunder ikke mindst proportionalitetsprincippet.
3. Som eksempler på anvendelsen af lovforslagets § 5, stk. 3, kan nævnes
udarbejdelse af oversigter i en kommune over alle dens borgere, der modta-
ger forskellige økonomiske ydelser, med henblik på at undersøge og kon-
trollere, om de får de rette økonomiske ydelser fra kommunen. Som et an-
det eksempel kan i forlængelse heraf nævnes muligheden for i en bekendt-
gørelse at fravige udgangspunktet i forvaltningslovens § 29 om, at myndig-
heder i ansøgningssøger, f.eks. i sager om ansøgning om en social ydelse,
ikke må indhente oplysninger om ansøgerens rent private forhold, som an-
dre dele af den pågældende myndighed eller en anden forvaltningsmyndig-
hed ligger inde med.
4
Som et yderligere eksempel på brugen af bemyndigelsesbestemmelsen i lov-
forslagets § 5, stk. 3, kan peges på muligheden for i en bekendtgørelse at
fastsætte nærmere regler om genanvendelse af de personoplysninger, som
de forskellige grene i en kommune i forvejen ligger inde med, med henblik
på bedst muligt at kunne hjælpe socialt udsatte børn med det mest optimale
behandlingsforløb.
Der kan om de anførte eksempler henvises til de specielle bemærkninger til
§ 5, stk. 3, i lovforslaget.
4. Det følger af databeskyttelsesforordningens artikel 13, stk. 3, og artikel
14, stk. 4, at hvis den dataansvarlige agter at viderebehandle personoplys-
ningerne til et andet formål end det, hvortil de er indsamlet, giver den data-
ansvarlige forud for denne viderebehandling den registrerede oplysninger
om dette andet formål og andre relevante yderligere oplysninger. Der er så-
ledes tale om en fornyet oplysningspligt i forhold til oplysningspligten, der
i øvrigt følger af artikel 13, stk. 1 og 2, og artikel 14, stk. 1 og 2.
Lovforslagets § 23 lægger som nævnt op til at begrænse oplysningspligten
for myndigheden, der allerede én gang har opfyldt sin oplysningspligt over
for den registrerede. Den registrerede er i denne situation således allerede
én gang blevet orienteret om de oplysninger, som fremgår af artikel 13, stk.
1 og 2, eller artikel 14, stk. 1 og 2, i forbindelse med myndighedens oprin-
delige indsamling og i den anledning blevet orienteret om de formål med
behandlingen af personoplysninger, der var aktuelle på indsamlingstids-
punktet. Det kunne f.eks. være et formål og krav om en bestemt register-
samkøring i kontroløjemed som krav for at modtage en bestemt ydelse.
Det betyder, at undtagelsen i lovforslagets § 23 alene går ud på, at myndig-
heden, som på baggrund af en bekendtgørelse udstedt efter lovforslagets §
5, stk. 3, ønsker at anvende lovligt indsamlede oplysninger til et andet for-
mål end det oprindelige formål, ikke skal give underretning til den registre-
rede om dette nye formål.
Hvis den pågældende dataansvarlige videregiver oplysninger med hjemmel
i en bekendtgørelse udstedt efter lovforslagets § 5, stk. 3, til en anden myn-
dighed, skal sidstnævnte myndighed selv sikre sig, at myndigheden lever op
til oplysningspligten i forordningens artikel 13-14.
Der er ved udarbejdelsen af undtagelsen i lovforsalgets § 23 lagt vægt på, at
det set fra den dataansvarliges side kan opleves som administrativt byrde-
5
fuldt at skulle foretage en ny underretning af den registrerede. Samtidig sy-
nes det tvivlsomt, om en fornyet underretning i denne situation reelt vil
skabe større retssikkerhed for den registrerede. Der er i den forbindelse også
lagt vægt på, at, at en bekendtgørelse efter § 5, stk. 3 – i overensstemmelse
med forordningens artikel 23 – skal indeholde en række garantier f.eks. ga-
rantier for at undgå misbrug eller ulovlig adgang.
Der henvises i øvrigt til svar på spørgsmål 4 og 20 til L 68 og L 69.
5. Der er efter førstebehandlingen af lovforslaget den 16. november 2017
blevet rejst kritik af bl.a. lovforslagets § 23. Kritikken af forslagets § 23 er
særligt gået på, at undtagelsen er for vidtgående i situationer, hvor oplysnin-
ger viderebehandles af myndigheden med henblik på sammenstilling eller
samkøring af registre i kontroløjemed rettet mod borgeren.
Justitsministeriet har noteret sig dette og har forståelse for denne del af kri-
tikken.
På den baggrund foreslås det med dette ændringsforslag, at undtagelsen i §
23 ikke skal finde anvendelse, når den nye behandling, som en bekendtgø-
relse efter lovforslagets § 5, stk. 3, giver mulighed for, går ud på at sammen-
stille og samkøre personoplysninger i kontroløjemed, dvs. med henblik på
f.eks. at kontrollere, om borgere uretmæssigt modtager ydelser, fordi de ikke
opfylder betingelserne dertil.
Herved sikres det, at borgerne på forhånd bliver oplyst herom – inden for
rammerne af reglerne om oplysningspligt i forordningens artikel 13 og 14 –
når myndigheden, der oprindeligt har indsamlet oplysninger om borgeren til
ét formål, efterfølgende anvender en bekendtgørelse efter forslagets § 5, stk.
3, til at sammenstille eller samkøre de pågældende oplysninger med andre
oplysninger for at kontrollere forhold vedrørende borgeren.