Supplerende høringssvar, fra beskæftigelsesministeren

Beskæftigelsesministeren
Ved Stranden 8
1061 København K
T +45 72 20 50 00
E bm@bm.dk
www.bm.dk
CVR 10172748
13. november 2018
J.nr. 2018 - 6946
Folketingets Beskæftigelsesudvalg
lov@ft.dk
Hermed sendes til Beskæftigelsesudvalgets orientering det supplerende høringsno-
tat vedrørende forslag til lov om ændring af lov om Udbetaling Danmark (Udsøg-
ning af målgrupper til brug for rådgivning om aldersforsikring, aldersopsparing el-
ler supplerende engangssum i obligatoriske arbejdsmarkedspensioner) som blev
fremsat den 6. november 2018.
Det supplerende høringsnotat adresserer Datatilsynets og Institut for Menneskeret-
tigheders høringssvar.
Venlig hilsen
Troels Lund Poulsen
Beskæftigelsesudvalget 2018-19
L 87 Bilag 5
Offentligt


NO TAT
13. november 2018
J.nr.
SYD
JAV
Resumé af og kommentarer til Datatilsynets og Institut
for Menneskerettigheders høringssvar til forslag til lov
om ændring af lov om Udbetaling Danmark
(Udsøgning af målgrupper til brug for rådgivning om
aldersforsikring, aldersopsparing eller supplerende
engangssum i obligatoriske arbejdsmarkedspensio-
ner)
Høringsnotatet vedrører kommentarer til Datatilsynets og Institut for Menneskeret-
tigheders høringssvar om forslag til lov om ændring af lov om Udbetaling Dan-
mark (Udsøgning af målgrupper til brug for rådgivning om aldersforsikring, al-
dersopsparing eller supplerende engangssum i obligatoriske arbejdsmarkedspensi-
oner).
Lovforslaget blev sendt i ekstern høring den 1. november 2018 med høringsfrist
den 8. november 2018 kl. 12.00.
Høringsnotatet er et supplement til Beskæftigelsesministeriets Notat om resume af
og kommentarer til høringssvar til forslag til lov om ændring af lov om Udbetaling
Danmark (Udsøgning af målgrupper til brug for rådgivning om aldersforsikring,
aldersopsparing eller supplerende engangssum i obligatoriske arbejdsmarkedspen-
sioner), som blev oversendt til Folketingets Beskæftigelsesudvalg mandag den 12.
november 2018.
1. Lovforslagets proportionalitet
Datatilsynet og Institut for Menneskerettigheder finder lovforslaget generelt be-
tænkeligt navnlig under hensyn til kravet om proportionalitet. Datatilsynet henviser
blandt andet til databeskyttelsesforordningens artikel 5, stk. 1, litra c, og art. 6, stk.
3, sidste pkt., om proportionalitet. Kravet om proportionalitet ses ifølge Datatilsy-
net ikke opfyldt på det foreliggende grundlag, da forslaget lægger op til at gøre det
muligt at behandle personoplysninger om en stor kreds af personer, der ikke er
kunder i pensionsinstitutterne. Det følger af proportionalitetsprincippet, at person-
oplysninger kun må behandles, hvis formålet med rimelighed ikke kan opfyldes på
anden måde. Forslaget lægger op til at pensionsinstitutterne selv bestemmer, hvor-
vidt de ønsker at være tilmeldt ordningen. Datatilsynet vurderer dermed umiddel-
bart, at formålet kan opnås på anden måde.
Institut for Menneskerettigheder anfører, at den målrettede rådgivningsindsats ikke
altid vil kunne udsondres fra egentlig markedsføring.
Kommentar:
Der er foretaget grundige overvejelser i forhold til at finde den rette balance mel-
Beskæftigelsesudvalget 2018-19
L 87 Bilag 5
Offentligt
2
lem hensyn til at opnå formålet med dataudvekslingen og hensyn til privatlivets
fred. Overvejelserne er nærmere beskrevet i lovforslagets afsnit 2.3.
Beskæftigelsesministeriet tager imidlertid bemærkningerne fra Datatilsynet og
Institut for Menneskerettigheder til efterretning og vil på den baggrund overveje at
fremsætte et ændringsforslag, der adresserer bekymringerne. Regeringen vil i givet
fald vende tilbage med den nærmere udformning og indhold af et sådant ændrings-
forslag.
2. Forholdet til artikel 5, litra b, i databeskyttelsesforordningen om formåls-
begrænsning
Datatilsynet henstiller til, at Beskæftigelsesministeriet vurderer, hvorvidt der fak-
tisk sker en begrænsning af princippet om formålsbegrænsning i medfør af forord-
ningens artikel 23. Hvis det er tilfældet bør det fremgå af lovbestemmelsens ordlyd.
Det bør endvidere fremgå af bemærkningerne til bestemmelsen, hvilke hensyn den
dataansvarlige skal tilgodese, jf. artikel 23, stk. 2, litra a-h.
Datatilsynet henviser derudover til, at den foretagne behandling skal ske under
iagttagelse af de øvrige principper i forordningens artikel 5.
Institut for Menneskerettigheder finder at lovforslagets indhold er betænkeligt, idet
eksisterende ydelsesmodtagere ikke får kendskab til, at oplysninger, de har angivet
til anden brug kan anvendes i rådgivningsøjemed og ikke vil blive orienteret forud
for en registersamkøring.
Kommentar:
Beskæftigelsesministeriet tager bemærkningerne fra Datatilsynet og Institut for
Menneskerettigheder til efterretning og vil på den baggrund fremsætte et ændrings-
forslag, der adresserer forholdet til artikel 5, litra b, i databeskyttelsesforordnin-
gen om formålsbegrænsning. Regeringen vil vende tilbage med den nærmere ud-
formning og indhold af ændringsforslaget.
Beskæftigelsesministeriet kan bekræfte, at databehandlingen vil skulle ske under
iagttagelse af de øvrige principper i forordningens artikel 5.
3. Pensionsinstitutternes behandlingsgrundlag
Datatilsynet henstiller til, at Beskæftigelsesministeriet overvejer på hvilket grund-
lag private dataansvarlige – pensionsinstitutter – kan behandle personnumre.
Kommentar:
Ifølge databeskyttelseslovens § 11, stk. 2, nr. 1, må private virksomheders behand-
ling af personnumre finde sted, når det følger af lovgivningen. Pensionsinstitutter
har en indberetningspligt over for SKAT i forhold til sine kunder, og indberetning
skal efter skattereglerne ske med angivelse af den pågældendes personnummer.
Pensionsinstitutter kan, når de behandler oplysninger om personnumre på grund-
lag af en særlig lovhjemmel, tillige anvende oplysninger om personnumre til admi-
nistrative formål, som har en sammenhæng med indberetningspligten, herunder
benytte personnummeret som entydig identifikation af kunden. Pensionsinstitutter-
ne behandler således allerede som følge af lovgivningen oplysninger om person-
numre. Med den foreslåede ordningen vil der ligeledes være tale om behandling af
3
personnumre som følge af lovgivningen, og pensionsinstitutterne vil med hjemmel i
§ 11, stk. 2, nr. 1, kunne behandle oplysninger om personnumre.
4. Karakteren af de behandlede personoplysninger
Datatilsynet skal henstille til, at Beskæftigelsesministeriet nærmere overvejer, hvor
vidt der i forbindelse med behandlingen vil blive behandlet andre kategorier end
almindelige ikke-følsomme personoplysninger og hvorvidt der er behandlings-
hjemmel hertil.
Kommentar:
Der vil der med den foreslåede løsning alene blive databehandlet almindelige ikke-
følsomme personoplysninger. Beskæftigelsesministeriet tager imidlertid bemærk-
ningerne fra Datatilsynet og Institut for Menneskerettigheder til efterretning og vil
på den baggrund fremsætte et ændringsforslag, der adresserer karakteren af de
behandlede personoplysninger. Regeringen vil vende tilbage med den nærmere
udformning og indhold af ændringsforslaget.
5. Behandling af bipersoners personoplysninger
Datatilsynet henstiller til, at Beskæftigelsesministeriet vurderer, hvorvidt der efter
forslaget til § 12 j, kan behandles personoplysninger om udenforstående personer,
hvis indkomst viser sig ikke at være afhængig af kundens indkomstforhold, herun-
der særligt om behandlingen sker under iagttagelse om lovlighed, rimelighed og
gennemsigtighed.
Kommentar:
Efter forslag til § 12 j, stk. 2, vil Udbetaling Danmark anvende CPR-numrene til
gennem registersamkøring at udsøge kunder, der selv modtager, eller hvis ægtefæl-
le, samlever eller husstandsmedlem modtager en eller flere af en række specifikke
ydelser. Forslaget giver alene hjemmel til at anvende oplysninger med henblik på
at finde personer, hvis indkomst påvirkes af kundens indbetaling til en aldersop-
sparing og hvor indbetalingen vil kunne påvirke ydelsen, og det er nødvendigt at
Udbetaling Danmark samkører oplysninger om samtlige af de i lovforslaget om-
handlede ydelsesmodtagere for at kunne sende en be- eller afkræftelse til pensions-
institutterne.
Det fremgår af lovbemærkningerne, at formålet med registersamkøringen er at
udsøge den nævnte målgruppe for rådgivning bedst muligt ud fra de registre, der
er til rådighed i Udbetaling Danmark og som indhentes fra kommunerne. Forsla-
get til § 12 j udgør således behandlingsgrundlaget for de nødvendige registersam-
køringer, der skal medvirke til at udsøge den rette målgruppe. Det gælder også
personer, hvis indkomstafhængige ydelse ikke påvirkes af kundens indkomstgrund-
lag, fx fordi registerdata ikke er opdaterede. Det omfatter også det beskrevne til-
fælde vedr. økonomisk fripladstilskud, hvor der vil kunne foretages udsøgninger,
selv om indkomsten ikke indgår i tildeling af økonomisk fripladstilskud. Det skal
bemærkes, at der allerede er igangsat et arbejde i Udbetaling Danmark med hen-
blik på at øge kvaliteten af data på dette område. Det vurderes, at udsøgningsme-
toden er tilstrækkelig valid og nødvendig, hvis der skal kunne ske udsøgning af
kunder, hvis indkomst indgår i tildeling af økonomisk fripladstilskud.
4
6. Personoplysninger fra kommunerne og Udbetaling Danmark
Datatilsynet henstiller til, at Beskæftigelsesministeriet nærmere angiver, hvilke
personoplysninger kommunerne og Udbetaling Danmark skal videregive til brug
for den udsøgning, der nævnes. Opmærksomheden henledes særligt på princippet
om dataminimering i databeskyttelsesforordningens artikel 5, litra c.
Kommentar:
Beskæftigelsesministeriet tager bemærkningerne fra Datatilsynet og Institut for
Menneskerettigheder til efterretning og vil på den baggrund fremsætte et ændrings-
forslag, der adresserer videregivelsen af personoplysninger fra kommunerne og
Udbetaling Danmark. Regeringen vil vende tilbage med den nærmere udformning
og indhold af ændringsforslaget.
7. Oplysningspligten
Datatilsynet henstiller til, at det klart fremgår, hvorvidt Beskæftigelsesministeriet
finder, at en undtagelse til oplysningspligten finder anvendelse. Hvis det vurderes
at være en undtagelse, bør det angives klart og præcist, hvilken undtagelse, der gør
sig gældende.
Institut for Menneskerettigheder finder, at undtagelsesbestemmelserne i databe-
skyttelsesforordningen synes at være brugt ganske vidtgående.
Kommentar:
Beskæftigelsesministeriet tager bemærkningerne fra Datatilsynet og Institut for
Menneskerettigheder til efterretning og vil på den baggrund fremsætte et ændrings-
forslag, der adresserer oplysningspligten. Regeringen vil vende tilbage med den
nærmere udformning og indhold af ændringsforslaget.
8. Sikkerhedsniveau
Datatilsynet bemærker, at de dataansvarlige – pensionsinstitutterne, kommunerne
og Udbetaling Danmark – skal sikre at der sker et passende sikkerhedsniveau og
noterer at udvekslingen af personoplysninger mellem Udbetaling Danmark og pen-
sionsinstitutterne sker på en sikker måde.
Kommentar:
Beskæftigelsesministeriet kan bekræfte, at pensionsinstitutterne, kommunerne og
Udbetaling Danmark skal sikre, at der er et passende sikkerhedsniveau og i øvrigt
opfylde reglerne om datasikkerhed.
9. Konsekvensanalyse
Datatilsynet bemærker, at Udbetaling Danmark ved udvikling af den ny it-løsning
skal sikre databeskyttelse gennem design. Derudover skal de dataansvarlige foreta-
ge en konsekvensanalyse i henhold til databeskyttelsesforordningens artikel 35.
Konsekvensanalysen skal foretages før behandlingen af personoplysninger iværk-
sættes.
Kommentar:
Beskæftigelsesministeriet kan bekræfte, at de dataansvarlige skal foretage en kon-
sekvensanalyse.