L68/L69 - svar på spm. 113 om ministeren vil yde teknisk bistand til udarbejdelse af et ændringsforslag, fra justitsministeren

Slotsholmsgade 10
1216 København K.
T +45 7226 8400
F +45 3393 3510
www.justitsministeriet.dk
jm@jm.dk
Hermed sendes besvarelse af spørgsmål nr. 113 vedrørende forslag til lov
om supplerende bestemmelser til forordning om beskyttelse af fysiske per-
soner i forbindelse med behandling af personoplysninger og om fri udveks-
ling af sådanne oplysninger (databeskyttelsesloven) (L 68) og forslag til lov
om ændring af lov om retshåndhævende myndigheders behandling af per-
sonoplysninger, lov om massemediers informationsdatabaser og forskellige
andre love (Konsekvensændringer som følge af databeskyttelsesloven og
databeskyttelsesforordningen samt medieansvarslovens anvendelse på of-
fentligt tilgængelige informationsdatabaser m.v.) (L 69), som Folketingets
Retsudvalg efter ønske fra Josephine Fock (ALT) har stillet til justitsmini-
steren den 26. april 2018.
Søren Pape Poulsen
/
Anders Lotterup
Folketinget
Retsudvalget
Christiansborg
1240 København K
Dato: 30. april 2018
Kontor: Databeskyttelseskontoret
Sagsbeh: Nanna Due Binø
Sagsnr.: 2017-0037-0005
Dok.: 728936
Retsudvalget, Retsudvalget 2017-18
L 68 endeligt svar på spørgsmål 113 , L 69 endeligt svar på spørgsmål 113
Offentligt
2
Spørgsmål nr. 113 fra Folketingets Retsudvalg på vegne af Josephine
Fock (ALT) vedrørende L 68 og L 69:
”Vil ministeren yde teknisk bistand til udarbejdelse af et æn-
dringsforslag, der medfører, at oplysningspligten, jf. § 23, finder
anvendelse ikke kun når sammenstilling og samkøring af per-
sonoplysninger sker i kontroløjemed, men også når det sker i
profileringsøjemed, det vil sige med henblik på profilering af
den ene eller anden slags (såsom f.eks. den såkaldte Gladsaxe-
model), og vil ministeren redegøre for sin holdning til et sådant
ændringsforslag?”
Svar:
1. Et ændringsforslag som nævnt i spørgsmålet vil kunne udformes således:
Ӯndringsforslag
til
Forslag til lov om supplerende bestemmelser til forordning om beskyttelse
af fysiske personer i forbindelse med behandling af personoplysninger og
om fri udveksling af sådanne oplysninger (databeskyttelsesloven)
(L 68)
Af (…), tiltrådt af (…)
Til § 23
1) Som 2. pkt. indsættes:
»1. pkt. finder ikke anvendelse, når formålet er sammenstilling eller samkø-
ring af personoplysninger i kontroløjemed, eller hvis formålet er profile-
ring.«
[Begrænsning af undtagelse fra den fornyede oplysningspligt i forbindelse
med sammenstilling eller samkøring i kontroløjemed og i forbindelse med
profilering]
Bemærkninger til nr. 1
Det foreslås, at undtagelsen i § 23 ikke skal finde anvendelse, når den nye
behandling, som en bekendtgørelse efter lovforslagets § 5, stk. 3, giver mu-
3
lighed for, går ud på at sammenstille og samkøre personoplysninger i kon-
troløjemed, dvs. med henblik på f.eks. at kontrollere, om borgere uretmæs-
sigt modtager ydelser, fordi de ikke opfylder betingelserne dertil.
Endvidere foreslås det, at undtagelsen i § 23 ikke skal finde anvendelse, når
den nye behandling, som en bekendtgørelse efter lovforslagets § 5, stk. 3,
giver mulighed for, sker i profileringsøjemed.
Som anført i afsnit 2.1.3.1 i bemærkningerne til lovforslaget til databeskyt-
telsesloven finder databeskyttelsesforordningens definitioner anvendelse på
hele forordningens anvendelsesområde, herunder også i forhold til lov-
forslaget til databeskyttelsesloven.
Begrebet profilering i ændringsforslaget vil derfor skulle forstås i overens-
stemmelse med definitionen i databeskyttelsesforordningens artikel 4, nr. 4,
hvorefter profilering defineres som enhver form for automatisk behandling
af personoplysninger, der består i at anvende personoplysninger til at evalu-
ere bestemte personlige forhold vedrørende en fysisk person, navnlig for at
analysere eller forudsige forhold vedrørende den fysiske persons arbejds-
indsats, økonomiske situation, helbred, personlige præferencer, interesser,
pålidelighed, adfærd, geografisk position eller bevægelser.
Med dette ændringsforslag sikres det, at borgerne på forhånd bliver oplyst
herom – inden for rammerne af reglerne om oplysningspligt i forordningens
artikel 13 og 14 – når myndigheden, der oprindeligt har indsamlet oplysnin-
ger om borgeren til ét formål, efterfølgende anvender en bekendtgørelse ef-
ter forslagets § 5, stk. 3, til at sammenstille eller samkøre de pågældende
oplysninger med andre oplysninger for at kontrollere forhold vedrørende
borgeren eller til at foretage profilering.”
2. Justitsministeriet kan ikke tilslutte sig et sådant ændringsforslag.
Det bemærkes, at justitsministeren den 9. februar 2018 har stillet ændrings-
forslag til lovforslag nr. L 68 (bilag 20), hvorefter lovforslagets § 23 ikke
finder anvendelse, når formålet er sammenstilling eller samkøring af per-
sonoplysninger i kontroløjemed.
Det er Justitsministeriets opfattelse, at der med lovforslagets § 23 herefter
er fundet den rette balance, og Justitsministeriet finder ikke, at der er behov
for at ændre eller yderligere begrænse bestemmelsen. Der henvises i den
forbindelse til ændringsforslaget af 9. februar 2018 (bilag 20).


Slotsholmsgade 10
1216 København K.
T +45 7226 8400
F +45 3393 3510
www.justitsministeriet.dk
jm@jm.dk
Ændringsforslag
til
Forslag til lov om supplerende bestemmelser til forordning om beskyt-
telse af fysiske personer i forbindelse med behandling af personoplys-
ninger og om fri udveksling af sådanne oplysninger (databeskyttelses-
loven)
(L 68)
Æ n d r i n g s f o r s l a g
Til § 23
1) Efter 1. pkt. indsættes som nyt 2. pkt.:
»1. pkt. finder ikke anvendelse, når formålet er sammenstilling eller samkø-
ring af personoplysninger i kontroløjemed.«
[Begrænsning af undtagelse fra den fornyede oplysningspligt i forbindelse
med sammenstilling eller samkøring i kontroløjemed]
Bemærkninger til nr. 1
1. Efter lovforslagets § 23 finder oplysningspligten efter databeskyttelses-
forordningens artikel 13, stk. 3, og artikel 14, stk. 4, ikke anvendelse, når
offentlige myndigheder viderebehandler personoplysningerne til et andet
formål end det, hvortil de er indsamlet, og viderebehandlingen sker på bag-
grund af regler fastsat efter bemyndigelsesbestemmelsen i lovforslagets § 5,
stk. 3.
Dato: 9. februar 2018
Kontor: Databeskyttelseskontoret
Sagsbeh: Anders Lotterup
Sagsnr.: 2017-0037-0005
Dok.: 646053
Retsudvalget, Retsudvalget 2017-18
L 68 endeligt svar på spørgsmål 113 , L 69 endeligt svar på spørgsmål 113
Offentligt
2
Det foreslås hermed, at der indsættes et nyt 2. pkt. i § 23, hvorefter undta-
gelsen i 1. pkt. ikke finder anvendelse, når det andet, nye formål, der forføl-
ges med en bekendtgørelse udstedt efter lovforslagets § 5, stk. 3, er sam-
menstilling eller samkøring af personoplysninger i kontroløjemed.
2. I dag kan offentlige myndigheder efter persondataloven i vidt omfang
genbruge oplysninger til andre formål end det oprindelige. Det kræver en
konkret vurdering i hver enkelt sag, og myndigheden må ikke genbruge data
til ”uforenelige” formål. Denne mulighed for viderebehandling af oplysnin-
ger efter en konkret vurdering bevares, jf. lovforslagets § 5, stk. 1 og 2.
Erfaringsmæssigt kan man f.eks. i kommunerne ofte komme i tvivl om,
hvorvidt personoplysninger på den baggrund lovligt senere må bruges til et
andet formål. Den konkrete vurdering af, om et nyt formål er foreneligt eller
ej, skaber usikkerhed og tvivl i myndighedernes daglige sagsbehandling.
Det har ført til en forskelligartet praksis.
Lovforslagets § 5, stk. 3, har til formål at komme denne tvivl til livs og skabe
klarhed. Bestemmelsen indeholder en bemyndigelse til, at vedkommende
minister efter forhandling med justitsministeren og inden for rammerne af
databeskyttelsesforordningens artikel 23 kan fastsætte nærmere regler om,
at personoplysninger af offentlige myndigheder må viderebehandles til an-
dre formål, end de oprindeligt var indsamlet til, uafhængigt af formålenes
forenelighed.
Det afgørende efter bemyndigelsesbestemmelsen i stk. 3 er således ikke, om
bekendtgørelsen medfører, at der i en databeskyttelsesretlig sammenhæng
viderebehandles til ”forenelige” formål eller ej. Formålet med bestemmel-
sen er netop at give mulighed for at undgå denne konkrete vurdering, der i
praksis i bl.a. kommunerne har vist sig at være vanskelig og ført til forskel-
ligartet praksis.
Med bemyndigelsesbestemmelsen kan der skabes klarhed samtidig med, at
bekendtgørelserne skal leve op til databeskyttelsesforordningens artikel 23
og dermed ligge inden for databeskyttelsesforordningens rammer. Artikel
23 kræver til gengæld, at der i en bekendtgørelse udstedt efter lovforslagets
§ 5, stk. 3, skal fastsættes garantier, der beskytter borgerne, såsom bestem-
melser om, hvor lang tid personoplysningerne må opbevares, ligesom der
skal fastsættes regler, som sikrer, at oplysninger ikke kan misbruges eller
tilgås ulovligt.
3
Formålet med bestemmelsen er således at rydde tvivl af vejen og ”en gang
for alle” på forhånd i en bekendtgørelse at regulere, hvilke oplysninger der
må viderebehandles, og hvilke oplysninger der ikke må viderebehandles.
Formålet er at sikre, at det offentlige kan videreanvende og genbruge data
på en effektiv, ensartet og åben måde.
Datatilsynet skal som uafhængig tilsynsmyndighed efter lovforslagets § 28
på forhånd udtale sig om hver enkelt bekendtgørelse, der udstedes med
hjemmel i forslagets § 5, stk. 3, herunder om, hvorvidt bekendtgørelsen er i
strid med EU-reglerne eller i øvrigt giver anledning til betænkeligheder.
Desuden er der fortsat en lang række garantier for at beskytte persondata,
herunder skal borgeren partshøres efter forvaltningsloven, før f.eks. en kom-
mune kan træffe afgørelse om at nedsætte en ydelse. Disse garantier vil fort-
sat og uændret gælde.
Endelig er der i lovforslaget opsat hegnspæle for bekendtgørelserne efter §
5, stk. 3. Det betyder, at der f.eks. ikke kan udstedes en bekendtgørelse, der
strider mod en særlig lovbestemt tavshedspligt, f.eks. sundhedslovens § 40
om sundhedspersoners tavshedspligt og folkeskolelovens § 55 b om tavs-
hedspligt om testresultater. Det vil således kræve en lovændring at ændre på
f.eks. praktiserende lægers tavshedspligt.
Der henvises til bl.a. svar på spørgsmål 4 og den samtidige besvarelse af
spørgsmål 52 til L 68 og L 69. Opmærksomheden henledes i den forbindelse
på det anførte i den samtidige besvarelse af spørgsmål 52, hvorefter samkø-
ring i kontroløjemed per definition vil være en indgribende behandlingssi-
tuation, hvilket vil skærpe kravene til overholdelse af bl.a. forordningens
artikel 5 om de grundlæggende principper for behandling af personoplys-
ninger, herunder ikke mindst proportionalitetsprincippet.
3. Som eksempler på anvendelsen af lovforslagets § 5, stk. 3, kan nævnes
udarbejdelse af oversigter i en kommune over alle dens borgere, der modta-
ger forskellige økonomiske ydelser, med henblik på at undersøge og kon-
trollere, om de får de rette økonomiske ydelser fra kommunen. Som et andet
eksempel kan i forlængelse heraf nævnes muligheden for i en bekendtgø-
relse at fravige udgangspunktet i forvaltningslovens § 29 om, at myndighe-
der i ansøgningssøger, f.eks. i sager om ansøgning om en social ydelse, ikke
må indhente oplysninger om ansøgerens rent private forhold, som andre dele
af den pågældende myndighed eller en anden forvaltningsmyndighed ligger
inde med.
4
Som et yderligere eksempel på brugen af bemyndigelsesbestemmelsen i lov-
forslagets § 5, stk. 3, kan peges på muligheden for i en bekendtgørelse at
fastsætte nærmere regler om genanvendelse af de personoplysninger, som
de forskellige grene i en kommune i forvejen ligger inde med, med henblik
på bedst muligt at kunne hjælpe socialt udsatte børn med det mest optimale
behandlingsforløb.
Der kan om de anførte eksempler henvises til de specielle bemærkninger til
§ 5, stk. 3, i lovforslaget.
4. Det følger af databeskyttelsesforordningens artikel 13, stk. 3, og artikel
14, stk. 4, at hvis den dataansvarlige agter at viderebehandle personoplys-
ningerne til et andet formål end det, hvortil de er indsamlet, giver den data-
ansvarlige forud for denne viderebehandling den registrerede oplysninger
om dette andet formål og andre relevante yderligere oplysninger. Der er så-
ledes tale om en fornyet oplysningspligt i forhold til oplysningspligten, der
i øvrigt følger af artikel 13, stk. 1 og 2, og artikel 14, stk. 1 og 2.
Lovforslagets § 23 lægger som nævnt op til at begrænse oplysningspligten
for myndigheden, der allerede én gang har opfyldt sin oplysningspligt over
for den registrerede. Den registrerede er i denne situation således allerede
én gang blevet orienteret om de oplysninger, som fremgår af artikel 13, stk.
1 og 2, eller artikel 14, stk. 1 og 2, i forbindelse med myndighedens oprin-
delige indsamling og i den anledning blevet orienteret om de formål med
behandlingen af personoplysninger, der var aktuelle på indsamlingstids-
punktet. Det kunne f.eks. være et formål og krav om en bestemt register-
samkøring i kontroløjemed som krav for at modtage en bestemt ydelse.
Det betyder, at undtagelsen i lovforslagets § 23 alene går ud på, at myndig-
heden, som på baggrund af en bekendtgørelse udstedt efter lovforslagets §
5, stk. 3, ønsker at anvende lovligt indsamlede oplysninger til et andet for-
mål end det oprindelige formål, ikke skal give underretning til den registre-
rede om dette nye formål.
Hvis den pågældende dataansvarlige videregiver oplysninger med hjemmel
i en bekendtgørelse udstedt efter lovforslagets § 5, stk. 3, til en anden myn-
dighed, skal sidstnævnte myndighed selv sikre sig, at myndigheden lever op
til oplysningspligten i forordningens artikel 13-14.
5
Der er ved udarbejdelsen af undtagelsen i lovforsalgets § 23 lagt vægt på, at
det set fra den dataansvarliges side kan opleves som administrativt byrde-
fuldt at skulle foretage en ny underretning af den registrerede. Samtidig sy-
nes det tvivlsomt, om en fornyet underretning i denne situation reelt vil
skabe større retssikkerhed for den registrerede. Der er i den forbindelse også
lagt vægt på, at, at en bekendtgørelse efter § 5, stk. 3 – i overensstemmelse
med forordningens artikel 23 – skal indeholde en række garantier f.eks. ga-
rantier for at undgå misbrug eller ulovlig adgang.
Der henvises i øvrigt til svar på spørgsmål 4 og 20 til L 68 og L 69.
5. Der er efter førstebehandlingen af lovforslaget den 16. november 2017
blevet rejst kritik af bl.a. lovforslagets § 23. Kritikken af forslagets § 23 er
særligt gået på, at undtagelsen er for vidtgående i situationer, hvor oplysnin-
ger viderebehandles af myndigheden med henblik på sammenstilling eller
samkøring af registre i kontroløjemed rettet mod borgeren.
Justitsministeriet har noteret sig dette og har forståelse for denne del af kri-
tikken.
På den baggrund foreslås det med dette ændringsforslag, at undtagelsen i §
23 ikke skal finde anvendelse, når den nye behandling, som en bekendtgø-
relse efter lovforslagets § 5, stk. 3, giver mulighed for, går ud på at sammen-
stille og samkøre personoplysninger i kontroløjemed, dvs. med henblik på
f.eks. at kontrollere, om borgere uretmæssigt modtager ydelser, fordi de ikke
opfylder betingelserne dertil.
Herved sikres det, at borgerne på forhånd bliver oplyst herom – inden for
rammerne af reglerne om oplysningspligt i forordningens artikel 13 og 14 –
når myndigheden, der oprindeligt har indsamlet oplysninger om borgeren til
ét formål, efterfølgende anvender en bekendtgørelse efter forslagets § 5, stk.
3, til at sammenstille eller samkøre de pågældende oplysninger med andre
oplysninger for at kontrollere forhold vedrørende borgeren.