Skriftlig fremsættelse (9. december 1999) - L 147

Skriftlig fremsættelse (9. december 1999)

Justitsministeren (Frank Jensen)

Herved tillader jeg mig for Folketinget at fremsætte

Forslag til lov om behandling af personoplysninger.

(Lovforslag nr. L 147).

1. Lovforslaget er - med en række ændringer - en genfremsættelse af det lovforslag, der har været fremsat for Folketinget to gange (L 82 fremsat den 30. april 1998 og L 44 fremsat den 8. oktober 1998).

Lovforslaget har til formål at gennemføre en mere tidssvarende generel lovgivning om behandling af personoplysninger til afløsning af den gældende registerlovgivning (lov om offentlige myndigheders registre og lov om private registre m.v.). Lovforslaget bygger i det væsentlige på betænkning nr. 1345/1997 om behandling af personoplysninger, der er afgivet af Udvalget om Registerlovgivningen.

Med lovforslaget tilsigtes det fortsat at sikre et højt beskyttelsesniveau i forhold til den enkelte borger. Samtidig er det hensigten at skabe en fleksibel ordning, som kan danne rammen om en hensigtsmæssig udnyttelse af den stadig større mulighed for - på baggrund af den teknologiske udvikling - at gøre personoplysninger til genstand for elektronisk behandling.

Det er endvidere et væsentligt formål med lovforslaget at gennemføre et EF-direktiv fra 1995 om behandling af personoplysninger (direktiv 95/46/EF).

Der er tale om et ganske omfattende lovforslag, som vedrører et kompliceret retsområde, og som regulerer forhold af betydning for alle dele af det danske samfund.

I forhold til det tidligere lovforslag (L 44) er der foretaget en række ændringer/præciseringer, hvis formål navnlig er at forbedre og tydeliggøre den registreredes retsstilling. Der henvises til pkt. 4 i lovforslagets almindelige bemærkninger.

2. De foreslåede regler omfatter først og fremmest behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling.

Det er uden betydning, om personoplysningerne indgår i et edb-register. Lovforslaget har dermed et langt bredere anvendelsesområde end den gældende registerlovgivning, der er begrænset til at omfatte oplysninger, der indgår i registre (navnlig edb-registre).

Lovforslaget omfatter også en række andre behandlinger, herunder ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register (manuelle registre).

3. Lovforslaget omfatter som udgangspunkt alle myndigheder, virksomheder m.v., der foretager den form for behandling af personoplysninger, som loven skal gælde for, jf. pkt. 2 ovenfor.

Lovforslaget omfatter således - som noget nyt - også domstolenes behandling af personoplysninger. Dog gælder de fleste af reglerne i lovforslaget vedrørende den registreredes rettigheder ikke med hensyn til domstolenes behandling af personoplysninger inden for det strafferetlige område.

De foreslåede regler vil også gælde for politiets og anklagemyndighedens behandling af personoplysninger. For disse myndigheders behandling af oplysninger inden for det strafferetlige område gøres der dog undtagelse med hensyn til nogle af de rettigheder, der tilkommer den registrerede.

Lovforslaget omfatter ikke behandlinger, der foretages for politiets og forsvarets efterretningstjenester.

Lovforslaget omfatter (med visse undtagelser vedrørende behandlingssikkerhed og erstatningsansvar) endvidere ikke behandlinger, der er omfattet af lov om massemediers informationsdatabaser. Tilsvarende omfatter lovforslaget (med visse undtagelser vedrørende behandlingssikkerhed og erstatningsansvar) bl.a. ikke de informationsdatabaser, der er nævnt i medieansvarslovens § 1, stk. 1, nr. 1-3. Dette betyder, at den gældende retstilstand vedrørende mediernes behandling af personoplysninger stort set vil blive opretholdt.

Folketinget og institutioner med tilknytning dertil er heller ikke omfattet af lovforslaget. Under Folketinget er der nedsat et udvalg, der har til opgave at undersøge direktivets betydning for Folketinget med tilknyttede institutioner.

4. I lovforslaget er der fastsat nærmere regler om, i hvilke tilfælde personoplysninger må behandles, dvs. indsamles, opbevares, registreres, anvendes, videregives m.v.

Lovforslaget indeholder således nogle grundlæggende principper for behandling af personoplysninger og de almindelige behandlingsregler. Herudover indeholder lovforslaget regler om behandling af oplysninger om strafbare forhold, behandling af oplysninger i retsinformationssystemer og i statistisk og videnskabeligt øjemed. Endvidere indeholder lovforslaget regler om behandling af oplysninger om personnumre, om adresserings- og kuverteringsbureauer, om automatisk registrering af udgående telefonopkald og om overførsel af oplysninger til opbevaring i arkiv.

Lovforslaget viderefører desuden de regler, der i dag gælder om videregivelse til kreditoplysningsbureauer af oplysninger om gæld til det offentlige. Lovforslaget viderefører (med nogle mindre ændringer) også de regler, der gælder for kreditoplysningsbureauers virksomhed.

Endelig er der i lovforslaget - som noget nyt - fastsat regler om overførsel af personoplysninger til tredjelande (navnlig til myndigheder, virksomheder m.v. i lande uden for EU).

I lovforslagets § 6, stk. 1, er der fastsat nærmere regler om behandling af »almindelige personoplysninger«, dvs. personoplysninger, der ikke vedrører enkeltpersoner rent private forhold. De oplysninger, der er omfattet af § 6, stk. 1, kan behandles, hvis der foreligger udtrykkeligt samtykke, eller hvis det er nødvendigt af hensyn til nærmere opregnede interesser.

Lovforslagets § 7 vedrører behandling af en række oplysninger om rent private forhold (særligt følsomme oplysninger). Det drejer sig om oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold samt oplysninger om helbredsmæssige og seksuelle forhold. Disse oplysninger må som udgangspunkt ikke behandles. Behandling kan dog ske, hvis der foreligger udtrykkeligt samtykke hertil, eller der foreligger hensyn til nærmere bestemte interesser. I § 7, stk. 8, er det præciseret, at forvaltningsmyndigheder - som hidtil - ikke må føre edb-registre over enkeltpersoners politiske tilhørsforhold, som ikke er offentligt tilgængelige.

I lovforslagets § 8 er der - for så vidt angår den offentlige forvaltning og den private sektor - fastsat regler om behandling af de oplysninger om rent private forhold, der ikke er omfattet af § 7, f.eks. væsentlige sociale problemer og strafbare forhold. Reglerne er udarbejdet i lyset af reglerne i den gældende registerlovgivning.

Behandlingsreglerne i lovforslagets §§ 6-8 forudsættes i videst muligt omfang administreret på den måde, at der ikke - uden samtykke - registreres og videregives personoplysninger i videre udstrækning end efter den gældende registerlovgivning. Lovforslaget indebærer således, at den gældende retstilstand om, i hvilke tilfælde offentlige myndigheder uden samtykke kan videregive oplysninger til private om enkeltpersoners rent private forhold, bliver opretholdt.

For så vidt angår forvaltningsmyndigheder, der udfører opgaver inden for det sociale område, indebærer lovforslaget (§ 8, stk. 3) en bedre beskyttelse end den gældende registerlovgivning. Sociale myndigheders videregivelse af oplysninger om rent private forhold skal således ikke afgøres efter kriterier, der svarer til den gældende registerlovgivning, men efter kriterier, der svarer til reglerne i forvaltningslovens § 28, stk. 2.

Lovforslaget åbner med andre ord f.eks. ikke op for, at private arbejdsgivere kan indhente oplysninger om jobansøgeres væsentlige sociale problemer, hvis jobansøgeren ikke har givet samtykke til det.

Med lovforslaget lægges der heller ikke op til ændringer i den gældende retstilstand om, i hvilke tilfælde der må foretages samkøring i den offentlige forvaltning.

Efter lovforslaget videreføres den gældende retstilstand om, hvornår private må behandle oplysninger om personnumre. Dog åbnes der op for, at oplysninger om personnumre kan behandles med udtrykkeligt samtykke.

5. Efter lovforslaget får en registreret person en række rettigheder, som betyder, at den pågældendes retsstilling styrkes i forhold til den gældende registerlovgivning.

Den registrerede person får således (som udgangspunkt)

ret til at modtage underretning fra den dataansvarlige om, at der indsamles oplysninger om vedkommende,

ret til indsigt i forbindelse med, at der behandles oplysninger om vedkommende, herunder ret til at få meddelelse om behandlingens formål, om kategorierne af modtagere af oplysningerne, og tilgængelig information om, hvorfra disse oplysninger stammer,

ret til at gøre indsigelse mod, at behandling af oplysninger finder sted, således at behandlingen skal ophøre, hvis indsigelsen er berettiget,

ret til at gøre indsigelse mod, at den pågældende undergives afgørelser, der har retsvirkninger for eller i øvrigt berører den pågældende i væsentlig grad, og som alene er truffet på grundlag af elektronisk behandling,

ret til at få oplysninger, der er urigtige eller vildledende, berigtiget, slettet eller blokeret, samt i den forbindelse at forlange, at en tredjemand, hvortil oplysningerne om vedkommende er videregivet, underrettes herom, og

ret til at klage til vedkommende tilsynsmyndighed over behandling af personoplysninger om den pågældende.

Herudover opstiller lovforslaget snævre grænser for, i hvilke tilfælde der - uden den enkelte forbrugers samtykke - kan videregives oplysninger om forbrugeren til en anden virksomhed til brug ved markedsføring.

Det kan - kort fortalt - kun ske, hvis der er tale om »generelle kundeoplysninger«. Oplysningerne må dog ikke videregives, hvis forbrugeren har gjort indsigelse herimod, herunder ved at få registreret i CPR, at han generelt ikke ønsker henvendelser i markedsføringsøjemed. Virksomheden skal tjekke i CPR, om forbrugeren har frabedt sig henvendelser i markedsføringsøjemed. Har forbrugeren ikke gjort det, skal virksomheden rette henvendelse til forbrugeren med oplysning om retten til at gøre indsigelse mod videregivelsen og give forbrugeren ret til at gøre indsigelse på en nem måde inden for en frist på 14 dage. Videregivelsen må først finde sted, når 14-dagesfristen er udløbet, hvis forbrugeren vel og mærke ikke har gjort indsigelse.

Lovforslaget indeholder ikke længere regler om direkte uanmodet markedsføring. Sådanne regler vil blive foreslået indsat i markedsføringsloven i forbindelse med implementeringen af fjernsalgsdirektivet (direktiv 97/7/EF om forbrugerbeskyttelse i forbindelse med aftaler vedrørende fjernsalg). Et lovforslag herom vil blive fremsat i januar 2000.

6. Lovforslaget indeholder regler om behandlingssikkerhed.

Disse regler indebærer bl.a., at den dataansvarlige skal træffe de fornødne tekniske og organisatoriske foranstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes samt mod, at de kommer uvedkommende til kendskab, misbruges eller i øvrigt behandles i strid med loven.

Justitsministeren kan fastsætte nærmere regler om sikkerhedsforanstaltningerne. Dette vil ske med udgangspunkt i den nuværende praksis.

7. Lovforslaget indeholder en anmeldelsesordning for behandlinger af oplysninger, som foretages for henholdsvis den offentlige forvaltning, private dataansvarlige og domstolene.

Efter den foreslåede anmeldelsesordning skal alle behandlinger som udgangspunkt anmeldes forudgående til vedkommende tilsynsmyndighed. Desuden skal visse behandlinger tillige kontrolleres inden iværksættelsen. Det gælder bl.a. behandlinger af oplysninger om enkeltpersoners rent private forhold.

En række typer af behandlinger, hvor det i betragtning af de behandlede oplysninger ikke er sandsynligt, at de registreredes rettigheder eller frihedsrettigheder krænkes, er dog fritaget for anmeldelse.

For forvaltningsmyndighederne betyder de foreslåede regler, at der ikke - som i dag - skal udarbejdes registerforskrifter ved oprettelse af registre.

8. Det almindelige tilsyn skal efter lovforslaget varetages af Datatilsynet. Datatilsynet foreslås organiseret på samme måde, som Registertilsynet er organiseret i dag. Datatilsynet skal således udgøre én uafhængig myndighed, som består af et råd og et sekretariat. Datatilsynets opgaver vil i det væsentlige svare til de opgaver, som Registertilsynet har efter den gældende registerlovgivning.

Det foreslås, at Domstolsstyrelsen skal føre tilsyn med domstolenes behandling af personoplysninger vedrørende domstolenes administrative forhold. Med hensyn til de judicielle funktioner gives der den registrerede mulighed for at appellere dataansvarlige domstoles afgørelser vedrørende behandling af personoplysninger til højere retsinstans (typisk vedkommende landsret).

9. Lovforslaget indeholder i øvrigt definitioner af en række databeskyttelsesretlige begreber, regler om erstatnings- og strafansvar samt afsluttende bestemmelser, herunder ikrafttrædelsesbestemmelser m.v.

Det foreslås, at loven træder i kraft dagen efter bekendtgørelsen i Lovtidende. Dette skal ses i lyset af, at direktivet om behandling af personoplysninger skulle have været implementeret senest den 24. oktober 1998.

10. Samlet er det min opfattelse, at der med reglerne i lovforslaget opnås den rette balance mellem på den ene side hensynet til at sikre borgernes privatliv og personlige integritet og på den anden side hensynet til at bevare og udbygge en effektiv offentlig administration og et privat erhvervsliv, som ikke pålægges unødige byrder.

Idet jeg henviser til lovforslaget og de ledsagende bemærkninger, skal jeg herved anbefale forslaget til det høje Tings velvillige behandling.