Vejledning om anmeldelse i henhold til kapitel 12 i lov om behandling af personoplysninger

Transkript

1 VEJ nr 125 af 10/07/2000 Vejledning om anmeldelse i henhold til kapitel 12 i lov om behandling af personoplysninger (Til den offentlige forvaltning) 1. Indledning Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger indeholder i kapitel 12 regler om anmeldelse af behandlinger, der foretages for den offentlige forvaltning. Anmeldelsesordningen tjener to hovedformål. For det første giver anmeldelserne Datatilsynet mulighed for at sikre den fornødne kontrol med behandlingerne, dels i forbindelse med iværksættelsen af den enkelte behandling, dels i forbindelse med Datatilsynets efterfølgende tilsynsvirksomhed. For det andet skabes der åbenhed om behandlingerne. Dette skyldes, at Datatilsynet skal føre en offentligt tilgængelig fortegnelse over de anmeldte behandlinger, og denne fortegnelse giver bl.a. den enkelte borger mulighed for at overskue de behandlinger, hvori man kan tænkes at være registreret, og hvori den registrerede har indsigtsret. Anmeldelsesordningen sikrer også den enkelte myndighed overblik over de behandlinger, som myndigheden har iværksat. Som hovedregel skal enhver behandling af personoplysninger, som omfattes af loven, anmeldes til Datatilsynet, inden behandlingen iværksættes. En række behandlinger skal dog ikke anmeldes til Datatilsynet. Dette gælder først og fremmest behandlinger, der ikke indeholder fortrolige oplysninger. Omvendt er det en betingelse for iværksættelse af visse behandlinger, at de ikke alene anmeldes, men at Datatilsynet tillige afgiver udtalelse inden iværksættelsen. Dette gælder bl.a. for behandlinger, der omfatter følsomme oplysninger. Denne vejledning beskriver, hvilke behandlinger der skal anmeldes til Datatilsynet, herunder hvilke behandlinger der først kan iværksættes efter, at Datatilsynet har afgivet udtalelse. Derudover omhandler vejledningen proceduren i forbindelse med anmeldelse til Datatilsynet. Det skal understreges, at anmeldelsesordningen ikke ændrer de materielle betingelser for behandling af oplysninger. Uanset om en behandling er undtaget fra anmeldelse, skal den dataansvarlige myndighed overholde lovens regler. 2. Anmeldelsens genstand 2.1. Hvilke behandlinger skal anmeldes? Udgangspunktet efter lovens 43, stk. 1, er, at alle behandlinger af oplysninger skal anmeldes til Datatilsynet. Dette gælder både behandlinger, der foretages ved hjælp af edb, og manuelle behandlinger, der er eller vil blive indeholdt i et register Hvad er en behandling? Efter lovens 3, nr. 2, er behandling enhver operation eller række af operationer med eller uden brug af elektronisk databehandling, som oplysninger gøres til genstand for. Omfattet af begrebet behandling er ikke blot registrering, opbevaring og videregivelse af oplysninger. Begrebet dækker over bl.a. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt blokering, sletning eller tilintetgørelse. Finder blot en af de nævnte former for håndtering af oplysninger sted, vil der være tale om behandling i lovens forstand.

2 Almindelig tekstbehandling, hvori der indgår personoplysninger, jf. pkt , f.eks. skrivning af breve, interne sagsreferater, notater m.v., er omfattet af begrebet behandling. Det samme gælder behandling af personoplysninger i regneark. Endvidere er elektroniske logfiler også omfattet af begrebet behandling. Hvis almindelige (papir)dokumenter indskannes, foreligger der ligeledes en behandling, som er omfattet af loven. Det er uden betydning, om der behandles oplysninger om én eller flere personer Behandlingerne skal omfatte»personoplysninger«myndigheden skal kun anmelde de behandlinger af personoplysninger, som myndigheden er dataansvarlig for. Der er ingen pligt til at anmelde behandlinger, der alene omfatter anonyme oplysninger. Ifølge lov om behandling af personoplysninger 3, nr. 1, forstås ved personoplysninger»enhver form for information om en identificeret eller identificerbar fysisk person (den registrerede)«. Ved»identificerbar person«forstås en person, der direkte eller indirekte kan identificeres, bl.a. ved et identifikationsnummer eller et eller flere elementer, der er særlige for en given persons fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet. Elektronisk behandling af oplysninger om bestemte personer vil være omfattet af lovgivningen, uanset om personerne kun er bipersoner i behandlingen. Omfattet af begrebet personoplysninger er herefter oplysninger, der kan henføres til en fysisk person, selv om dette forudsætter kendskab til personnummer, registreringsnummer eller lignende særlige identifikationer som f.eks. løbenummer. Det er uden betydning, om identifikationsoplysningen er alment kendt eller umiddelbart tilgængelig. Også de tilfælde, hvor det kun for den indviede vil være muligt at forstå, hvem oplysningen vedrører, er omfattet af definitionen. Det er med andre ord tilstrækkeligt, at der i forbindelse med behandlingen er etableret en ordning med et løbenummer eller lignende, f.eks. medlemsnummer eller journalnummer. Er f.eks. navn eller adresse erstattet med en kode, der kan føres tilbage til den oprindelige individuelle personoplysning, vil der stadig være tale om en personoplysning. Krypterede oplysninger er dermed også omfattede, hvis nogen kan gøre oplysningerne læsbare og dermed identificere de personer, som oplysningerne vedrører. Også selv om der ikke anvendes et løbenummer eller lignende i forbindelse med behandlingen, vil der kunne være tale om personoplysninger. Dette vil være tilfældet, hvis det ud fra oplysningerne om personen og den sammenhæng, hvori de bringes, vil være muligt at identificere den pågældende. Oplysninger, der er gjort anonyme på en sådan måde, at personen ikke længere kan identificeres, er ikke omfattet af definitionen. Ved afgørelse af, om en person er identificerbar, skal alle de hjælpemidler, der med rimelighed kan tænkes bragt i anvendelse for at identificere den pågældende - enten af den dataansvarlige eller af enhver anden person - tages i betragtning. Opmærksomheden henledes på, at anmeldelsesordningen i et begrænset omfang også omfatter den offentlige forvaltnings behandling af oplysninger om virksomheder m.v., jf. lovens 1, stk. 4 og 6. Det indebærer, at behandling af oplysninger i forbindelse med videregivelse til kreditoplysningsbureauer af oplysninger om gæld til det offentlige er omfattet af reglerne om anmeldelse Behandlinger, der er undtaget fra anmeldelse En række behandlinger er helt undtaget fra reglerne om anmeldelse til Datatilsynet. Det drejer sig om følgende behandlinger: 1) Behandling, som ikke omfatter oplysninger af fortrolig karakter, er undtaget fra anmeldelse. En sådan behandling kan uden anmeldelse endvidere omfatte identifikationsoplysninger, herunder personnummer, og oplysninger om betaling til og fra en offentlig myndighed,

3 medmindre der er tale om en behandling som nævnt i lovens 45, stk. 1. Dette fremgår af lovens 44, stk. 1, og Justitsministeriets bekendtgørelse nr. 529 af 15. juni 2000 om undtagelse fra pligten til anmeldelse af visse behandlinger, som foretages for den offentlige forvaltning 2, stk. 2. Henvisningen til lovens 45, stk. 1, indebærer, at der vil skulle foretages anmeldelse, hvis en behandling af oplysninger om betaling til eller fra en offentlig myndighed dækker over oplysninger, der er af en sådan karakter, at tilsynets udtalelse skal indhentes inden iværksættelse. Som eksempel på en situation, hvor der er tale om betalinger til eller fra en offentlig myndighed, men hvor der alligevel vil skulle ske anmeldelse, kan nævnes behandling af personoplysninger i forbindelse med udbetaling af førtidspension. Tilsvarende vil der skulle ske anmeldelse, hvis behandlingen f.eks. omfatter samkøring i kontroløjemed. Begrebet»fortrolig«skal forstås i overensstemmelse med straffelovens 152 sammenholdt med forvaltningslovens 27 og 28. Efter bestemmelsen i straffelovens 152, stk. 3, anses en oplysning for at være fortrolig, når den ved lov eller anden gyldig bestemmelse er betegnet som sådan, eller når det i øvrigt er nødvendigt at hemmeligholde den for at varetage væsentlige hensyn til offentlige eller private interesser. I forvaltningslovens 27, stk. 1, er foretaget en opregning af de hensyn, der efter en konkret vurdering i det enkelte tilfælde kan føre til, at en oplysning er fortrolig og dermed undergivet tavshedspligt. Opregningen må antages at dække langt den overvejende del af de hensyn, der kan føre til tavshedspligt, men er ikke udtømmende. Det afgørende for, om en oplysning skal anses for fortrolig, vil være en vurdering af, om oplysningen er af en sådan karakter, at den efter den almindelige opfattelse i samfundet bør kunne forlanges unddraget offentlighedens kendskab. Oplysninger af den karakter, der er nævnt i lov om behandling af personoplysninger 7, stk. 1, og 8, stk. 1, vil utvivlsomt være fortrolige oplysninger. Det vil sige oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold, oplysninger om helbredsforhold, seksuelle forhold, oplysninger om strafbare forhold og væsentlige sociale problemer. Det samme gælder oplysninger om interne familieforhold, f.eks. stridigheder og oplysninger om selvmordsforsøg og ulykkestilfælde. Herudover vil f.eks. oplysninger om indtægts- og formueforhold, arbejds-, uddannelses- og ansættelsesmæssige forhold efter omstændighederne også være fortrolige. Oplysninger, der kan henføres til bestemte personer, og som ikke kan nægtes udleveret efter lov om offentlighed i forvaltningen, vil ikke være af fortrolig karakter. Det gælder f.eks. oplysninger af rent objektiv karakter, såsom oplysninger om udstedelse af pas, kørekort, jagttegn osv. For en nærmere afgrænsning af begrebet»fortrolig«henvises til den forvaltningsretlige litteratur samt Registertilsynets årsberetninger, særligt 1992 bilag 9 side og 1993 bilag 6 side , vedrørende afgrænsningen af, hvilke registre der kunne anmeldes efter lov om offentlige myndigheders registre 8 a og 8 b. 2) Behandling, hvis eneste formål er at føre et register, der i henhold til lov eller bekendtgørelse er beregnet til at informere offentligheden, og som er tilgængeligt for offentligheden, er undtaget fra anmeldelse, jf. lovens 44, stk. 3. 3) Efter bekendtgørelse nr. 529 af 15. juni , jf. kapitel 2, undtages behandlinger med følgende formål fra anmeldelse: Miljø- og energisystemer, fødevare-, landbrugs- og fiskerisystemer, søfartssystemer, bevillingssystemer, personaleadministrationssystemer, undervisningssystemer, bibliotekssystemer, beredskabssystemer og offentlige servicesystemer. I bekendtgørelsens kapitel 2 er der redegjort nærmere for behandlingerne.

4 Som anført i bekendtgørelsens 3 må der ikke være tale om behandlinger som nævnt i lovens 45, stk. 1, dvs. behandlinger, som først må iværksættes efter, at Datatilsynet har afgivet udtalelse Hvor meget kan en anmeldelse omfatte? En anmeldelse kan omfatte en enkelt behandling eller en række behandlinger, hvis formål er identiske eller indbyrdes relaterede. Dette betyder, at flere behandlinger kan anmeldes på én gang. En anmeldelse skal udformes som en generel beskrivelse af myndighedens sagsgange vedrørende et bestemt sagsområde. Anmeldelsen skal ikke beskrive behandlingerne på individniveau. For at der kan foretages anmeldelse af en behandling eller en række af behandlinger som én anmeldelse, er det et krav, at der skal kunne formuleres et samlet, logisk sammenhængende formål. Dette udelukker ikke, at der vil kunne formuleres en række delformål, for så vidt disse har en indbyrdes sammenhæng, f.eks. samme reguleringsobjekt, samme opgaver, samme lovgrundlag for behandlingerne eller lignende. Som eksempler på overordnede formålsangivelser kan på det kommunale område nævnes: Sygesikring, kontanthjælp, boligstøtte og tandpleje. Inden for det statslige område vil der typisk skulle ske separat anmeldelse af de behandlinger, der foretages med henblik på løsningen af hver af de hovedopgaver, som henhører under den pågældende myndighed. Formålsbestemmelserne vil i de fleste tilfælde i store træk kunne svare til de formålsbeskrivelser, der fremgik af de tidligere registerforskrifter. Ikke mindst af hensyn til den åbenhed omkring behandlingerne, som er et af hovedformålene med anmeldelsesordningen, jf. indledningen til denne vejledning, er det vigtigt, at formålsangivelsen i den enkelte anmeldelse ikke udformes for bredt. Formålsangivelsen skal over for offentligheden give en reel vejledning om, hvilke aktiviteter myndigheden udfører, og som omfattes af anmeldelsen. En anmeldelse vil kunne dække behandlinger, der fysisk foregår forskellige steder, eller som foretages både manuelt og ved hjælp af edb. En anmeldelse vil også kunne dække forskellige funktioner - f.eks. journalisering, sagsbehandling og registrering af ind- og udbetalinger og lignende med henblik på udbetaling - hvis blot disse funktioner tjener samme overordnede formål. Behandlinger, der udelukkende sker i videnskabeligt eller statistisk øjemed eller med henblik på at føre et retsinformationssystem, bør ikke anmeldes sammen med behandlinger, der sker med administrative formål. Baggrunden herfor er, at der på en række områder gælder afvigende regler for sådanne behandlinger. Det er derfor vigtigt, at disse behandlinger i videst muligt omfang holdes adskilt fra myndighedens øvrige behandlinger. Dette gælder også i forhold til anmeldelsesordningen. Behandlinger, som helt falder uden for anmeldelsesordningen, bør ikke anmeldes. Hvis en ikkeanmeldelsespligtig behandling imidlertid hænger sammen med en anmeldelsespligtig behandling, kan der i forbindelse med anmeldelsen af den anmeldelsespligtige behandling gives oplysninger om en eller flere ikke-anmeldelsespligtige behandlinger. 3. Hvem skal foretage anmeldelsen Det er den dataansvarlige myndighed, der har ansvaret for, at der bliver foretaget anmeldelse af behandlingen Begrebet»dataansvarlig«Efter lov om behandling af personoplysninger 3, nr. 4, er en dataansvarlig»den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af oplysninger«.

5 I den offentlige forvaltning er det den enkelte offentlige myndighed, der er dataansvarlig, ikke enkeltpersoner ansat i myndigheden. Det må afgøres konkret, om en offentlig myndighed må anses for at være en selvstændig myndighed - og dermed kan være dataansvarlig - eller om myndigheden indgår som en del af en anden myndighed. Begrebet»dataansvarlig«må antages at svare til, hvad der hidtil på ulovbestemt grundlag er blevet anset for omfattet af begrebet»registeransvarlig« Hvilke behandlinger er myndigheden dataansvarlig for? For offentlige myndigheders vedkommende er det afgørende, hvilke behandlinger der foretages for myndigheden, uanset om de foretages af den centrale forvaltning eller en decentral institution. Det er uden betydning, hvor behandlingen fysisk finder sted, og hvem der faktisk foretager behandlingen. En myndighed skal også anmelde de behandlinger, som finder sted hos edbservicebureauer og andre databehandlere. Anmeldelsespligten gælder derfor også for de dele af systemer, som en myndighed driver i samarbejde med andre. Myndigheden skal også anmelde behandlinger, som foretages af andre - f.eks. analyseinstitutter - i forbindelse med opgaver, som udføres på vegne af myndigheden. Omvendt er myndigheden ikke forpligtet til at anmelde behandlinger, som denne foretager, eller som finder sted på myndighedens egne systemer, hvis behandlingerne foretages for andre myndigheder eller private Hvem i den dataansvarlige myndighed skal foretage anmeldelsen? I modsætning til tidligere er der ikke krav om politisk godkendelse. Spørgsmålet om, hvem der gyldigt kan foretage en anmeldelse, må afgøres efter de almindelige forvaltningsretlige regler og principper om forvaltningens organisation og delegation. Anmeldelse vil i sidste ende ske under vedkommende ministers eller kommunalbestyrelses/amtsråds ansvar. En minister eller kommunalbestyrelse vil altid have mulighed for at beslutte, at kun denne skal kunne træffe afgørelse om iværksættelse af behandlinger, der kræver anmeldelse til Datatilsynet. Det er op til den enkelte myndighed at få fastlagt retningslinier for, hvem der skal foretage anmeldelser. Af hensyn til myndighedens mulighed for at kontrollere, hvilke anmeldelser der foretages i myndigheden, samt af hensyn til korrespondancen mellem Datatilsynet og myndigheden, kan det imidlertid anbefales, at det er en central enhed i myndigheden, som foretager anmeldelserne. Det er muligt at bemyndige andre myndigheder, private virksomheder, organisationer og lignende til at foretage anmeldelse. Selv om anmeldelsen foretages efter bemyndigelse (fuldmagt), er det stadig den dataansvarlige, der har det fulde ansvar for indholdet af anmeldelsen i forhold til Datatilsynet og offentligheden. Myndigheden skal navnlig påse, at anmeldelsen i sit indhold svarer til de faktiske omstændigheder i myndigheden Fællesanmeldelse Der vil for kommuner være mulighed for at foretage tilslutning til en behandling, der er indrettet med henblik på at kunne føres for kommunale myndigheder fra flere kommuner. Herved åbnes mulighed for, at f.eks. Kommunernes Landsforening eller Kommunedata A/S eller en hvilken som helst anden virksomhed eller lignende kan foretage fælles anmeldelser på myndighedernes vegne. Når Datatilsynet har godkendt en fællesanmeldelse, vil det være muligt for den enkelte kommune at tilslutte sig den pågældende fællesanmeldelse. Nærmere information herom vil blive udsendt særskilt i form af en særlig blanket med tilhørende vejledning Uenighed mellem Datatilsynet og myndigheden Hvis Datatilsynet ikke kan tiltræde en behandling, der foretages for en underordnet statslig myndighed, forelægges sagen for vedkommende minister, der træffer afgørelse i sagen, jf.

6 lovens 47, stk. 1. Er der tale om en kommunal myndighed, forelægges sagen for Indenrigsministeren, jf. lovens 47, stk. 2. I øvrigt gælder det overalt, at selvom Datatilsynet i forbindelse med sin behandling af en anmeldelse ikke har haft indvendinger eller bemærkninger til denne, så vil tilsynet altid på et senere tidspunkt kunne tage sagen op på ny over for vedkommende myndighed. Dette vil f.eks. kunne ske, hvis Datatilsynet senere bliver opmærksom på, at behandlingen eller anmeldelsen ikke lever op til lovens krav. 4. Hvilke oplysninger skal myndigheden afgive ved anmeldelsen I lovens 43, stk. 2, er det fastsat, hvilke oplysninger en anmeldelse skal indeholde. Datatilsynet har udarbejdet en blanket, der skal anvendes ved anmeldelse. Blanketten er optrykt som bilag til denne vejledning. Blanketten findes også i elektronisk form på Datatilsynets hjemmeside, jf. nedenfor pkt. 6. I tilknytning til blanketten findes vejledning til udfyldelse af de enkelte punkter i blanketten. Se denne vejlednings bilag. Ud over de oplysninger, Datatilsynet indsamler via anmeldelsesblanketten, kan tilsynet kræve enhver oplysning, der er af betydning for dets virksomhed, herunder til afgørelse af, om et forhold falder ind under loven, jf. 62, stk. 1. Datatilsynet vil derfor kunne rette henvendelse til myndigheden med anmodning om supplerende oplysninger, hvis tilsynet ikke finder at være i stand til at behandle anmeldelsen ud fra de oplysninger, der er afgivet på blanketten. Efter lovens 54, stk. 1, er det udgangspunktet, at de oplysninger, der fremgår af anmeldelsen, offentliggøres i Datatilsynets fortegnelse over anmeldte behandlinger. Efter 54, stk. 3, kan offentlighedens adgang til fortegnelsen og oplysninger i den begrænses, i det omfang det er nødvendigt til forebyggelse, opklaring og forfølgning af lovovertrædelser, eller afgørende hensyn til private interesser gør det påkrævet. Det er derfor vigtigt, at en myndighed, som ønsker at begrænse offentlighedens adgang til oplysninger i en anmeldelse, klart og utvetydigt gør Datatilsynet opmærksom herpå i forbindelse med anmeldelsen. Datatilsynet afgør herefter, om oplysningerne skal offentliggøres. Sådanne oplysninger, f.eks. om sikkerhedsforanstaltninger, kan beskrives i et særskilt bilag, eller i myndighedens uddybende sikkerhedsregler, jf. Justitsministeriets bekendtgørelse nr. 528 af 15. juni 2000 om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning 5, hvortil der kan henvises i anmeldelsen. Hverken bilag eller de uddybende regler skal indsendes til Datatilsynet, men skal opbevares hos myndigheden og efter anmodning herom forevises Datatilsynet, f.eks. i forbindelse med inspektioner. 5. Hvornår skal anmeldelsen tidsmæssigt ske Som udgangspunkt skal der ske forudgående anmeldelse af behandling af oplysninger til Datatilsynet. Desuden skal der for visse behandlinger indhentes en udtalelse fra Datatilsynet, inden behandlingen må iværksættes Forudgående anmeldelse og krav om forudgående udtalelse Bestemmelsen i 45, stk. 1, indeholder en opregning af en række behandlinger af oplysninger, der på grund af deres art, omfang og formål indebærer særlige risici for privatlivets fred. For de behandlinger, som er nævnt i lovens 45, stk. 1, og som er omfattet af anmeldelsespligten i 43 (dvs. ikke er undtaget fra anmeldelse i medfør af reglerne i lovens 44 og Justitsministeriets bekendtgørelse nr. 529 af 15. juni 2000 om undtagelse fra pligten til anmeldelse af visse behandlinger, som foretages for den offentlige forvaltning), gælder det, at de skal anmeldes forudgående til Datatilsynet og ikke må iværksættes, før Datatilsynets udtalelse foreligger. Ved vurderingen af, om der er tale om følsomme oplysninger, må man se på karakteren af oplysningerne, og hvilke oplysninger der ud fra behandlingens formål forventes at indgå. Hvis der kun lejlighedsvis behandles følsomme oplysninger i anmeldelsen, men det er tilsigtet, at de

7 følsomme oplysninger skal indgå i behandlingen, skal der foretages forudgående anmeldelse til Datatilsynet, og behandlingen må ikke iværksættes, før Datatilsynets udtalelse foreligger. Derimod er der ikke et krav om forudgående udtalelse fra Datatilsynet, hvis en følsom oplysning af mere tilfældige årsager optræder i behandlingen, f.eks. fordi en borger i en henvendelse til myndigheden uopfordret afgiver oplysninger om følsomme forhold Oplysninger om rent private forhold Det følger af lov om behandling af personoplysninger 45, stk. 1, nr. 1, at Datatilsynets udtalelse skal indhentes, forinden behandling, som er omfattet af anmeldelsespligten i 43, iværksættes, hvis behandlingen omfatter oplysninger som nævnt i 7, stk. 1, og 8, stk. 1. De oplysningstyper, der er omfattet af lovens 7, stk. 1, er: Racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold og oplysninger om helbredsmæssige og seksuelle forhold. Under helbredsmæssige forhold regnes også misbrug af medicin, narkotika, alkohol, m.v. Det bemærkes, at oplysninger om medlemskab af folkekirken eller de anerkendte trossamfund samt oplysninger om, at en person er medlem af en fagforening uden at angive hvilken fagforening, i denne sammenhæng er at betragte som følsomme oplysninger. Oplysninger til brug for udbetaling fra et lønsystem af medlemskontingent til en bestemt fagforening vil tillige i denne sammenhæng være at betragte som en følsom oplysning. Endvidere vil en oplysning om, at to personer har indgået registreret partnerskab, være at betragte som en følsom oplysning. Derimod er oplysninger om nationalitet og modersmål ikke i denne sammenhæng at betragte som følsomme oplysninger. 8, stk. 1, omfatter oplysninger om strafbare forhold, væsentlige sociale problemer og andre rent private forhold. Som eksempler på»andre rent private forhold«kan nævnes oplysninger om andre foreningsmæssige tilhørsforhold (end fagforeningsmæssige tilhørsforhold, der er nævnt i 7), interne familieforhold, familiestridigheder, separations- og skilsmissebegæringer, adoptionsforhold, opdragelsesmåde og ulykkestilfælde. For en nærmere gennemgang af de enkelte oplysningstyper kan henvises til den forvaltningsretlige litteratur om forvaltningslovens 28, stk. 1, samt Registertilsynets årsberetninger vedrørende fortolkningen af de tilsvarende oplysningstyper i lov om private registre 3, stk. 2, og lov om offentlige myndigheders registre 9, stk. 2. Det bemærkes, at en behandling i sig selv kan ske i en sådan sammenhæng, at der derigennem gives følsomme oplysninger om de personer, der er genstand for behandlingen. Som eksempel kan nævnes behandling af en ansøgning om invalidebil, hvor selve det faktum, at en person har ansøgt, vil udgøre en helbredsoplysning Retsinformationssystemer Endvidere skal Datatilsynets udtalelse indhentes, hvis behandlingen udelukkende finder sted med henblik på at føre retsinformationssystemer, jf. lovens 45, stk. 1, nr. 2. Det bemærkes, at der i sikkerhedsbekendtgørelsen er fastsat særlige (lempelige) regler for den offentligt tilgængelige del af retsinformationssystemer Videnskabeligt eller statistisk øjemed Der skal indhentes en forudgående udtalelse, hvis behandlingen udelukkende finder sted i videnskabeligt eller statistisk øjemed, jf. lovens 45, stk. 1, nr. 3. Baggrunden herfor er, at der er fastsat særligt lempelige regler for behandlinger med henblik på forskning og statistik, samt at behandlinger i de nævnte øjemed kan resultere i store mængder af data, der opbevares over en meget lang periode Sammenstilling eller samkøring af oplysninger i kontroløjemed

8 Hvis behandlingen omfatter sammenstilling eller samkøring af oplysninger i kontroløjemed, skal der indhentes forudgående udtalelse, jf. lovens 45, stk. 1, nr. 4. Der sigtes til kontrol, som foretages såvel før som efter, at der er truffet en afgørelse over for en person. Samkøring er en fælles betegnelse for forskellige tekniske løsninger, som vedrører sammenkobling af oplysninger, der kommer fra forskellige registre. Under samkøring hører maskinelle overførsler, hvorved et register tilføres oplysninger fra et andet register, således at det modtagende register udvides med disse oplysninger. Til begrebet samkøring henregnes endvidere maskinelle sammenstillinger af oplysninger fra forskellige registre, hvorved der dannes et nyt»uddata-produkt«, f.eks. et nyt register. Ved samkøring i kontroløjemed forstås først og fremmest samkøring/sammenstilling af oplysninger med det formål at afsløre, om en person ansøger om en ydelse, som vedkommende ikke er berettiget til, f.eks. socialt bedrageri. Der kan dog også i andre situationer være tale om samkøring i kontroløjemed, f.eks. hvis formålet er at afsløre ulovlige bopælsforhold eller i øvrigt at kontrollere afgivne oplysninger. En sådan samkøring vil kræve, at myndigheden har et klart og utvetydigt retsgrundlag at arbejde på, hvilket i praksis vil sige, at der kræves lovhjemmel. Datatilsynet vil videreføre Registertilsynets praksis, der bygger på Retsudvalgets betænkning til lovforslag nr. L 50 af 16. januar 1991, Folketingstidende1990/1991, 2. samling, Tillæg B, sp Som eksempler på hjemler til samkøring kan nævnes: 12, stk. 4, i lovbekendtgørelse nr. 267 af 12. april 2000 om retssikkerhed og administration på det sociale område, hvoraf det fremgår, at oplysninger om økonomiske forhold kan myndigheden kræve at få i elektronisk form fra andre offentlige myndigheder samt arbejdsløshedskasser. Oplysningerne kan indhentes, selv om den person, som oplysningerne vedrører, ikke bor i den kommune eller amtskommune, som indhenter oplysningerne. Oplysningerne kan indhentes som led i behandlingen af en enkelt sag eller som led i en generel søgning til brug for kontrol. 30 c i lovbekendtgørelse nr. 598 af 15. juli 1999 (landbrugsloven), hvoraf det fremgår, at ministeren for fødevarer, landbrug og fiskeri eller den ministeren bemyndiger dertil, kan indhente de oplysninger hos andre offentlige myndigheder, der er nødvendige for at kontrollere, at loven og regler, der er udstedt i medfør af loven, overholdes, bl.a. med henblik på registersamkøring og sammenstilling af oplysninger i kontroløjemed, herunder oplysninger om skatteforhold. 118 i lov nr. 281 af 12. maj 1999 (fiskeriloven), hvoraf det fremgår, at kontrolmyndigheden kan indhente de oplysninger hos andre offentlige myndigheder, der er nødvendige for at kontrollere lovens overholdelse, blandt andet med henblik på registersamkøring og sammenstilling af oplysningerne i kontroløjemed, herunder oplysninger om indkomst- og formueforhold, momsafregning m.v. Reglen om, at Datatilsynet skal afgive en forudgående udtalelse, skal sikre, at samkøring/sammenstilling af oplysninger i kontroløjemed kun finder sted på grundlag af en klar og utvetydig hjemmel. Det bemærkes, at i tilfælde, hvor en behandling isoleret set ikke indeholder fortrolige oplysninger og derfor ville være undtaget fra anmeldelseskravet efter reglerne i lovens 44 (jf. ovenfor afsnit ), vil der alligevel skulle ske anmeldelse, hvis behandlingen omfatter samkøring/sammenstilling af oplysninger i kontroløjemed. Dette skyldes, at de oplysninger, som fremkommer eller vil kunne fremkomme ved samkøringen, må anses for fortrolige Forudgående anmeldelse, men ikke krav om forudgående udtalelse Der vil være en mellemgruppe af behandlinger, som hverken er omfattet af reglerne om undtagelse fra anmeldelsespligt eller af reglerne om indhentelse af forudgående udtalelse.

9 Som eksempler kan nævnes visse behandlinger, hvori der indgår oplysninger om økonomiske forhold, herunder skattemæssige forhold. Sådanne behandlinger skal anmeldes til Datatilsynet, inden behandlingen må iværksættes, men der kræves ikke en forudgående udtalelse fra tilsynet. Datatilsynet vil imidlertid også i disse situationer afgive en udtalelse over for myndigheden. Hvis myndigheden ikke er sikker på, at behandlingen kan ske, kan det derfor være en god ide at vente med at påbegynde behandlingen, til Datatilsynet har meldt tilbage. Datatilsynet vil tilstræbe, at tilsynets udtalelse foreligger senest 4 uger efter anmeldelsen, men dette vil kunne variere. Hvis myndigheden lægger vægt på at modtage udtalelsen, inden behandlingen påbegyndes, eller hvis sagen haster, kan dette angives i et følgebrev til Datatilsynet. Tilsynet vil i så fald søge at fremskynde sagens behandling. Datatilsynet henstiller i øvrigt, at disse anmeldelser så vidt muligt foretages 4 uger inden påbegyndelsen, således at tilsynet får mulighed for at reagere over for myndigheden, hvis anmeldelsen måtte give anledning til dette. 6. Den praktiske fremgangsmåde i forbindelse med anmeldelse 6.1. Anmeldelse via Internet Myndigheden kan foretage anmeldelse på en elektronisk blanket via Datatilsynets hjemmeside på Internet. Adressen er Da alle anmeldelser skal offentliggøres i elektronisk form, vil det være arbejdsbesparende for Datatilsynet, at så mange anmeldelser som muligt kommer ind via Internet. Hvis myndigheden vælger at anmelde via Internet, åbnes der mulighed for at benytte egne eller andre myndigheders anmeldelser som kladde. Myndigheden kan gemme sin anmeldelse som udkast, inden den sendes til Datatilsynet. Det er endvidere muligt at skrive et elektronisk følgebrev Kladde Når myndigheden går ind på hjemmesiden og vælger at foretage anmeldelse af en behandling, vil det være muligt at udsøge allerede foretagne anmeldelser, som myndigheden herefter kan vælge at bruge som grundlag for myndighedens egne anmeldelser. Oplysningerne fra hvert felt i kladden kan overføres elektronisk til myndighedens egen anmeldelse. Man kan også genbruge hele anmeldelsen som kladde og kun tilrette de felter, hvor myndighedens egen anmeldelse skal have et andet indhold end kladden Udkastkonto Når myndigheden har udfyldt den elektroniske anmeldelsesblanket, kan den enten sendes til Datatilsynet eller gemmes på en udkastkonto med henblik på senere indsendelse. Denne mulighed kan f.eks. anvendes, hvis myndigheden har fastlagt særlige interne procedurer for godkendelse af anmeldelser, inden de indsendes til tilsynet Elektronisk følgebrev I slutningen af anmeldelsesblanketten på Internet kan man skrive et elektronisk følgebrev. Dette kan bruges efter behov, ligesom når man bruger et almindeligt brev ved fremsendelse af en blanket til tilsynet. Følgebrevet kan f.eks. bruges til at fortælle Datatilsynet, at man har brugt en allerede godkendt anmeldelse som kladde og navnet på denne anmeldelse, hvilket vil lette Datatilsynets sagsbehandling Anmeldelse på en papirblanket Myndigheder, der ikke ønsker at anmelde elektronisk, kan udskrive eller bestille blanketten fra Datatilsynets hjemmeside på Internet. Adressen er Myndigheder, der ikke har adgang til Internet, kan rekvirere blanketter ved telefonisk henvendelse til Datatilsynet på Kvittering fra Datatilsynet Når Datatilsynet har modtaget anmeldelsen, sendes en kvittering til den anmeldende myndighed. I kvitteringen er angivet en adresse og et password, således at myndigheden - i

10 overensstemmelse med Datatilsynets anbefaling/udtalelse - kan rette anmeldelsen via Internet. Dette gælder, uanset om der er sket anmeldelse på en papirblanket eller via Internet. Myndigheden skal ikke foretage rettelser, før myndigheden senere hører fra Datatilsynet. Hvis en myndighed modtager bekræftelse på en anmeldelse, som myndigheden ikke har foretaget, bør myndigheden straks rette henvendelse til Datatilsynet. 7. Ændringer i anmeldte behandlinger Der skal ikke ske fornyet fuldstændig anmeldelse, hvis der sker ændringer i de forhold, som er beskrevet i den oprindelige anmeldelse. Kun ændringen skal anmeldes til Datatilsynet. Ændringer, der indebærer, at formålet med behandlingen ændres, skal altid anmeldes forudgående. Det samme gælder nye påtænkte overførsler af oplysninger til tredjelande Forudgående anmeldelse, men ikke krav om forudgående udtalelse For behandlinger, hvor Datatilsynet ikke skulle afgive udtalelse inden iværksættelsen, skal ændringer anmeldes inden iværksættelsen. Hvis der er tale om ændringer af mindre væsentlig betydning, kan der gives meddelelse efterfølgende, dog senest 4 uger efter iværksættelsen. Som eksempler på ændringer af mindre væsentlig betydning, som kan anmeldes efterfølgende, kan nævnes: Databehandlingen foretages af en (ny) databehandler eller ændring af typer af oplysninger, såfremt ændringen ikke indebærer, at der behandles oplysninger som nævnt i 7, stk. 1, eller 8, stk. 1. Hvis ændringen indebærer, at behandlingen bliver omfattet af 45, stk. 1, f.eks. fordi der nu inddrages oplysninger om enkeltpersoners rent private forhold, må ændringen ikke iværksættes, før Datatilsynets udtalelse er indhentet, jf. nedenfor pkt Forudgående anmeldelse samt krav om forudgående udtalelse For så vidt angår ændringer i behandlinger, hvor Datatilsynets udtalelse skulle indhentes inden iværksættelsen af selve behandlingen, jf. lovens 45, skal der indhentes en udtalelse inden iværksættelse af ændringer i behandlingen. Ændringer af mindre væsentlig betydning kan dog anmeldes efterfølgende, dog senest 4 uger efter iværksættelsen Fremgangsmåden ved anmeldelse af ændringer Ændringer kan altid anmeldes enten via Internet eller på en papirblanket, uanset hvordan den oprindelige anmeldelse er foretaget. Ændringer kan også anmeldes til Datatilsynet i almindelig brevform. Anmeldelse af ændringer via Internet foretages samme sted på Datatilsynets hjemmeside, hvor nye anmeldelser foretages. Ændringer foretages ved, at myndigheden indtaster Datatilsynets journalnummer på den oprindelige anmeldelse, hvorefter denne bliver fremfundet, og de pågældende ændringer indtastes. Ændringerne vil automatisk blive markeret. Anmeldelse af ændringer på en papirblanket foretages ved, at myndigheden indsender en anmeldelsesblanket, hvor kun felterne med de pågældende ændringer er udfyldt. Det angives i et følgebrev, at der er tale om en ændring, samt hvilken anmeldelse der ændres. Som nævnt kan myndigheden efter omstændighederne - navnlig hvis der er tale om få ændringer - tillige vælge blot at angive ændringerne i almindelig brevform. Ændringerne vil af Datatilsynet blive indført i den elektroniske fortegnelse. 8. Offentliggørelse i Datatilsynets fortegnelse 8.1. Behandlinger, der skal anmeldes Efter lovens 54, stk. 1, skal Datatilsynet føre en fortegnelse over de behandlinger, der er anmeldt efter lovens 43, 48 og 52. Denne fortegnelse skal være tilgængelig for offentligheden. Fortegnelsen skal mindst indeholde de oplysninger, der er anført i lovens 43, stk. 2. Formålet med offentliggørelsen i fortegnelsen er at gøre behandlingens vigtigste karakteristika offentligt kendt med henblik på kontrol af behandlingens overensstemmelse med loven. Herved tilvejebringes overskuelighed for borgerne, hvilket styrker borgernes muligheder for at gøre deres rettigheder efter loven gældende.

11 Efter 54, stk. 3, kan offentlighedens adgang til fortegnelsen og oplysninger deri begrænses, i det omfang det er nødvendigt til forebyggelse, opklaring og forfølgning af lovovertrædelser, eller afgørende hensyn til private interesser gør det påkrævet. Visse af felterne i anmeldelsen offentliggøres ikke. Det drejer sig om oplysning om navn på kontaktperson, dennes telefonnummer og e-postadresse samt om underskriverens navn. Hvis blanketten i øvrigt indeholder oplysninger, der ikke skal offentliggøres, f.eks. af hensyn til en politimæssig efterforskning, skal dette angives i følgebrevet til Datatilsynet. Tilsynet vil herefter tage stilling til spørgsmålet. Datatilsynets udtalelse vil i almindelighed ikke blive offentliggjort i fortegnelsen. Datatilsynet har valgt at foretage offentliggørelsen på tilsynets hjemmeside på Internet. Adressen er Behandlinger, der ikke skal anmeldes Ud over de behandlinger, der er anmeldt til Datatilsynet, har den dataansvarlige, jf. lovens 54, stk. 2, pligt til at stille de i 43, stk. 2, nr. 1, 2 og 4-6 nævnte oplysninger til rådighed for enhver, der anmoder herom. Denne bestemmelse omfatter ikke kun de behandlinger, som de dataansvarlige har anmeldt til Datatilsynet, men også andre behandlinger den dataansvarlige udfører, og som er fritaget for anmeldelse. Myndigheden har ikke pligt til at føre en fortegnelse over disse behandlinger, men skal ved påkrav kunne redegøre for behandlingerne. 9. Ophør af anmeldte behandlinger Hvis en myndighed ophører med en behandling, skal dette meddeles til Datatilsynet. Det er i den forbindelse vigtigt, at myndigheden sørger for, at Datatilsynet let kan identificere den anmeldelse af behandling, der ophører. Dette kan f.eks. ske ved, at myndigheden påfører Datatilsynets journalnummer eller angiver behandlingens betegnelse samt evt. kommunekode. 10. Overgangsregler Det følger af lov om behandling af personoplysninger 77, stk. 2, at for behandlinger, der foretages for offentlige myndigheder, og som er iværksat før den 24. oktober 1998, skal reglerne i lovens kapitel 12 vedrørende anmeldelse af behandlinger, der foretages for den offentlige forvaltning, være opfyldt senest den 1. april For de behandlinger, hvor der ikke blot skal ske anmeldelse, men tillige indhentes en forudgående udtalelse, skal de dataansvarlige myndigheder indsende anmeldelse i så god tid, at Datatilsynet vil kunne nå at komme med udtalelsen, inden denne er nødvendig, dvs. i god tid inden den 1. april Af bestemmelsens stk. 4 følger, at behandlinger, der er iværksat den 24. oktober 1998 eller senere, men inden lovens ikrafttræden, kan fortsætte uden forudgående anmeldelse, udtalelse eller tilladelse i 16 uger efter lovens ikrafttræden, dvs. indtil den 21. oktober De dataansvarlige vil således kunne se bort fra lovens krav om anmeldelse og eventuel udtalelse i en periode på 16 uger, hvis der er tale om en behandling, der forud for lovens ikrafttræden var lovlig efter reglerne i registerlovgivningen. Det forudsættes, at der er tale om en behandling, der i øvrigt lever op til lovens krav. Det skal understreges, at registerforskrifter og anmeldelser i henhold til lov om offentlige myndigheders registre er bortfaldet ved den nye lovs ikrafttræden og ikke kan udgøre en anmeldelse efter de nye regler. Som offentlig myndighed bør man således være særlig opmærksom på, at behandlinger, som er iværksat før den 24. oktober 1998, skal opfylde reglerne i lovens kapitel 12 senest den 1. april 2001, jf. lovens 77, stk. 2. Endvidere bør man for behandlinger, der er iværksat den 24. oktober 1998 eller senere, men inden lovens ikrafttræden, være særlig opmærksom på, at en sådan behandling kan fortsætte uden forudgående anmeldelse, udtalelse eller tilladelse i 16 uger efter lovens ikrafttræden jf. lovens 77, stk. 4, dvs. indtil den 21. oktober Datatilsynet, den 10. juli 2000

12 Hugo Wendler Pedersen /Henrik Waaben Blankettype: Offentlig forvaltning Bilag Datatilsynet Christians Brygge 28, København V Anmeldelse af behandlinger der foretages for den offentlige forvaltning Felter markeret med * skal udfyldes Der skal indhentes forudgående udtalelse* Der skal ikke indhentes forudgående udtalelse 1. Dataansvarlig myndighed 2. Betegnelse og formål Myndighedens navn* Adresse* Vejledning vedhæftet For kommuner og amter: Angiv kommune eller amtskode. For øvrige myndigheder: Angiv ressortministerium.* Postnr.* Evt. J.nr./ID.nr. Tlf.nr.* (Offentliggøres ikke i fortegnelsen) By* Kontaktperson* (Offentliggøres ikke i fortegnelsen) E-post (Offentliggøres ikke i fortegnelsen) Oplysningerne opbevares hos den dataansvarlige og/eller Oplysningerne opbevares hos databehandler Databehandlerens navn Databehandlerens adresse Behandlingens betegnelse:* Behandlingens formål og evt. delformål:* Bemærk! Hvor andet ikke udtrykkeligt er angivet, vil de oplysninger, der fremgår af anmeldelsesblanketten, blive offentliggjort i fortegnelsen over anmeldte behandlinger på Datatilsynets hjemmeside. En anmeldelse kan undtages helt eller delvist fra offentliggørelse, hvis det er nødvendigt til forebyggelse, opklaring og forfølgning af lovovertrædelser, eller hvis afgørende hensyn til

13 private interesser gør det påkrævet. Hvis en sådan undtagelse ønskes foretaget, bedes dette meddelt Datatilsynet i et følgebrev til anmeldelsen. 3. Generel beskrivelse Behandlingen skal udelukkende finde sted i videnskabeligt eller statistisk øjemed* Ja Nej Behandlingen skal udelukkende finde sted med henblik på at føre et retsinformationssystem* Ja Nej Følgende typer af behandling indgår:* Der vil blive foretaget samkøring/sammenstilling af oplysninger i kontroløjemed* Nej Ja, med hjemmel i følgende lov: Der indgår manuelle registre i behandlingen* Ja Nej Der påtænkes truffet afgørelser udelukkende på grundlag af elektronisk databehandling* Ja Nej Der behandles følgende følsomme oplysninger: Racemæssig eller etnisk baggrund Politisk overbevisning Religiøs overbevisning Filosofisk overbevisning Fagforeningsmæssige tilhørsforhold Helbredsforhold, herunder misbrug af medicin,

14 narkotika, alkohol m.v. Seksuelle forhold Der behandles følgende andre oplysninger om enkeltpersoners rent private forhold: Strafbare forhold Foreningsmæssige forhold Væsentlige sociale problemer Andet 4. Kategorier af registrerede og oplysningsty per Der behandles oplysninger om følgende kategorier af personer:* A) B) C) D) E) F) Der behandles følgende typer af oplysninger om de ovenfor angivne kategorier af personer:* ad A) ad B) ad C) ad D)

15 ad E) ad F) 5. Modtagere Oplysningerne kan overføres til følgende modtagere eller kategorier af modtagere: 6. Tredjelande Der påtænkes overført oplysninger til tredjelande:* Nej Ja, overførslen sker med følgende formål: 7. Sikkerhed Der træffes sikkerhedsforanstaltninger, som beskrevet i Justitsministeriets bekendtgørelse nr. 528 kapitel 1 og 2* Ja Nej Der træffes sikkerhedsforanstaltninger som beskrevet i Justitsministeriets bekendtgørelse nr. 528 kapitel 3* Ja Nej Myndighedens uddybende sikkerhedsregler er fastsat:* Dato Evt. yderligere sikkerhedsforanstaltninger: 8. Påbegyndels e Tidspunkt for påbegyndelse af behandling:*

16 9. Sletning Tidspunkt for sletning af oplysningerne:* 10. Underskrift (Offentliggøres ikke i fortegnelsen) Dato* Navn* Bemær Ændringer skal meddeles Datatilsynet. k: Myndigheden skal selv opbevare en kopi af anmeldelsen. Vejledning til blanketten: Offentlig forvaltning Øverst på blanketten angiver myndigheden, om den mener, at Datatilsynet skal afgive forudgående udtalelse eller ej. Der skal gives forudgående udtalelse om behandlinger, som er omfattet af lov om behandling af personoplysninger 45, stk. 1. Datatilsynet har udsendt en detaljeret vejledning om anmeldelsesordningen, hvor man bl.a. vil kunne læse om, hvilke behandlinger der skal anmeldes, og om hvornår der skal indhentes en forudgående udtalelse fra Datatilsynet. Der vil også blive informeret på Datatilsynets hjemmeside: Det er også muligt at udfylde blanketten på Datatilsynets hjemmeside og indsende den elektronisk. Læs mere om dette på hjemmesiden eller i Datatilsynets vejledning til den offentlige forvaltning. Hvis man bruger den elektroniske anmeldelsesblanket, er felterne fleksible og tilpasser sig tekstens omfang. Til pkt. 1. Dataansvarlig myndighed Her angives navn og adresse på den dataansvarlige myndighed samt eventuelt kommunekode. Endvidere angives journalnummer eller anden betegnelse, som myndigheden anvender til identifikation af den pågældende behandling. Herudover angives navn samt telefonnummer og e-postadresse på en kontaktperson i myndigheden, der kan besvare eventuelle supplerende spørgsmål vedrørende behandlingen. Disse oplysninger (telefonnummer, e-postadresse og kontaktperson) medtages ikke i Datatilsynets fortegnelse. Endvidere angives, om oplysningerne skal opbevares hos den dataansvarlige selv, eller om oplysningerne skal opbevares hos en databehandler samt i bekræftende fald dennes navn og adresse. En databehandler er den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der behandler oplysninger på den dataansvarliges vegne. Der kan være mere end én databehandler. I så fald skal alle databehandlerne angives. Til pkt. 2. Behandlingens betegnelse og formål Ved»betegnelse«forstås en betegnelse, der kan benyttes til identifikation af behandlingen, f.eks. ligningssystem, boligstøtte eller lignende. Den angivne betegnelse vil være det navn, behandlingen bliver kendt under i Datatilsynets fortegnelse. Det anbefales, at myndigheden vælger et kort kaldenavn. Da loven omhandler behandlinger og ikke registre, vil det i nogle tilfælde kunne forekomme misvisende at anvende ordet "register" i betegnelsen. Endvidere angives formålet med behandlingen, herunder eventuelle delformål. Med hensyn til angivelsen af behandlingens formål henvises til kapitel 2.2 i Datatilsynets vejledning om

17 anmeldelse i henhold til kapitel 12 i lov om behandling af personoplysninger (Til den offentlige forvaltning). Det skal angives, om behandlingen udelukkende finder sted i videnskabeligt eller statistisk øjemed. Hvis der tillige er andre formål med behandlingen, skal der sættes kryds i nej-feltet. Det skal endvidere angives, om behandlingen udelukkende finder sted med henblik på at føre et retsinformationssystem. Hvis der tillige er andre formål med behandlingen, skal der sættes kryds i nej-feltet. Hvis retsinformationssystemet alene tager sigte på intern anvendelse hos myndigheden, skal der sættes kryds i nej-feltet. Disse oplysninger er bl.a. relevante for Datatilsynet i forbindelse med bedømmelsen af de af myndigheden angivne slettefrister. Til pkt. 3. En generel beskrivelse af behandlingen Her opregnes de typer af behandling, der er omfattet af anmeldelsen, f.eks. indsamling af oplysninger fra bestemte typer af myndigheder eller fra de registrerede selv. Behandling kan endvidere være registrering, sagsbehandling, udbetaling, journalisering eller statistik. En generel beskrivelse af behandlingen har til formål at give borgerne kendskab til, hvad den pågældende behandling går ud på. Dette bidrager til den åbenhed omkring behandlingerne, som er et af anmeldelsesordningens hovedformål. Herudover skal beskrivelsen af behandlingen gøre det muligt for Datatilsynet at vurdere, om der er grund til at foretage en nærmere vurdering af behandlingerne. Beskrivelsen skal holdes på et overordnet plan. Det vil ikke være nødvendigt at angive typer af behandlinger, som i forvejen skal fremgå af anmeldelsen under dennes øvrige punkter, f.eks. kategorier af modtagere samt overførsler til tredjelande. Det skal fremgå, hvorvidt der vil blive foretaget samkøring eller sammenstilling af oplysninger i kontroløjemed. Endvidere angives det, med hvilken hjemmel samkøringen sker. Det skal også oplyses, om der påtænkes truffet afgørelser alene på grundlag af edb-behandling af oplysningerne, jf. lovens 39. Ved en afgørelse, der alene træffes på grundlag af edb-behandling af oplysningerne, forstås en afgørelse, hvor der overhovedet ikke indgår et element af menneskeligt skøn. Der skal således ikke foretages afkrydsning i feltet, hvis myndigheden f.eks. anvender et avanceret regneprogram til beregning af boligstøtte eller bistandshjælp, hvis der i udbetalingen også ligger et element af menneskeligt skøn, f.eks. i form af, at en sagsbehandler gennemser resultaterne i forbindelse med udsendelsen af afgørelsen til borgerne. For at en behandling er omfattet af lovens 39, kræves det endvidere, at edb-behandlingen er bestemt til at vurdere bestemte personlige forhold. Omfattet af bestemmelsen er behandlinger, hvorved der gøres brug af variabler, der fastsætter en typisk personlighedsprofil. Dermed falder f.eks. told- og skattemyndighedernes edb-automatiserede ligningsarbejde uden for bestemmelsen. Endelig afkrydses de kategorier af følsomme oplysninger, der behandles. Myndigheden skal kun afkrydse de felter, der er typiske for behandlingen. Myndigheden skal ikke afkrydse et felt, blot fordi det ikke kan udelukkes, at en borger i en henvendelse til myndigheden kunne tænkes at anføre en sådan oplysning, selvom den er uden betydning for behandlingen. Til pkt. 4. En beskrivelse af kategorierne af registrerede og af de typer af oplysninger, der vedrører dem Her findes 2 grupper af rubrikker. I den første gruppe gives en beskrivelse af, hvilke kategorier/grupper af personer der behandles oplysninger om (personkredsen), f.eks. om personen har indgivet ansøgning om socialpension, delpension, invalidebil eller andre ydelser efter lov om social service.

18 I den anden gruppe angives det for hver kategori/gruppe af personer, hvilke typer af oplysninger der behandles, f.eks. helbredsoplysninger, foreningsmæssige forhold, væsentlige sociale problemer eller misbrug af nydelsesmidler. Som eksempel på en behandling, hvor en sådan opdeling er foretaget, kan nævnes behandlinger i forbindelse med administration af den offentlige sygesikring. Her indgår både oplysninger om læger og patienter, men der behandles forskellige oplysningstyper om de 2 persongrupper. Dataindholdet angives udførligt, idet opregningen af oplysningstyper dog ikke skal ske på edbfeltniveau. Det bemærkes, at de personoplysninger, der angives, skal have tilknytning til anmeldelsespligten. Hvis myndigheden ikke behøver at foretage anmeldelse af de behandlinger af oplysninger, der udføres for den pågældende persongruppe, skal denne persongruppe ikke nævnes i anmeldelsen. Til pkt. 5. Modtagere eller kategorier af modtagere, som oplysningerne kan overføres til Der skal på anmeldelsen alene anføres de overførsler til tredjemænd eller andre modtagere, som må forudses at skulle ske på regelmæssig basis, og som derfor er karakteristiske for den pågældende behandling. Også overførsler af oplysninger mellem myndigheder skal nævnes, hvis disse sker regelmæssigt. Der vil typisk være tale om elektroniske eller maskinelle overførsler, idet myndigheder, der får oplysninger som led i enkeltstående/isolerede forespørgsler, ikke betragtes som modtagere. Et edb-servicebureau betragtes også som en modtager. Det skal ikke angives, efter hvilken hjemmel i loven videregivelsen sker, men den dataansvarlige skal gøre sig det klart. Det faktum, at Datatilsynet ikke kommer med bemærkninger til en beskrevet videregivelse, kan ikke tages som udtryk for, at tilsynet har vurderet, at videregivelsen i alle tilfælde vil være i overensstemmelse med lov om behandling af personoplysninger. Det er op til den dataansvarlige selv at tage stilling til, om der kan ske videregivelse. Eventuelle klager eller fortolkningsspørgsmål vil kunne indbringes for Datatilsynet. Der vil altid kunne ske overførsel af oplysninger i overensstemmelse med de almindelige behandlingsregler i lovens kapitel 4. Det er således ikke en betingelse for, at enkeltstående videregivelser kan ske, at dette er skrevet i anmeldelsen. Til pkt. 6. Påtænkte overførsler af oplysninger til tredjelande Her angives, om der planlægges overført oplysninger til tredjelande, dvs. lande uden for EU. Grønland og Færøerne er også tredjelande i lovens forstand. Endvidere angives formålet med en sådan overførsel. Anmeldelsen til Datatilsynet kan ikke tjene som ansøgning efter lovens 27, stk. 4. Som ved modtagere skal kun de regelmæssige overførsler angives og ikke en enkeltstående videregivelse. Udtrykket»overførsel«omfatter videregivelse af oplysninger, hvorved forstås overførsel af oplysninger til enhver anden end den registrerede, den dataansvarlige, databehandleren og personer under den dataansvarliges og databehandlerens direkte myndighed. Udtrykket omfatter også overladelse af oplysninger, hvorved forstås overførsel af oplysninger til en databehandler eller personer under databehandlerens direkte myndighed. Endelig omfatter udtrykket den dataansvarliges interne anvendelse af oplysninger. Udtrykket»overførsel«er således en samlet betegnelse for videregivelse og overladelse/intern anvendelse af oplysninger. Til pkt. 7. En generel beskrivelse af de foranstaltninger, der iværksættes af hensyn til behandlingssikkerheden Myndigheden skal angive, hvilke sikkerhedsforanstaltninger der træffes i forbindelse med behandlingen.

19 Behandling af personoplysninger skal ske i overensstemmelse med bestemmelserne i kapitel 1 og 2 i Justitsministeriets bekendtgørelse nr. 528 af 15. juni 2000 om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning. Behandling af personoplysninger, hvor der skal ske anmeldelse til Datatilsynet efter reglerne i kapitel 12 i lov om behandling af personoplysninger, skal tillige ske i overensstemmelse med bestemmelserne i bekendtgørelsens kapitel 3. Foruden at følge de i Justitsministeriets bekendtgørelse fastsatte sikkerhedsbestemmelser forudsættes det, at myndigheden i overensstemmelse med reglerne i sikkerhedsbekendtgørelsen herom, har fastsat sine egne uddybende sikkerhedsregler og følger disse. I blanketten angives, hvilken dato myndighedens uddybende regler er fastsat. Det bemærkes, at selvom oplysningerne opbevares hos en databehandler, er det stadig myndigheden, der er ansvarlig for, at oplysningerne opbevares under iagttagelse af sikkerhedsbekendtgørelsens regler, se lovens 42 samt Datatilsynets vejledning til sikkerhedsbekendtgørelsen. Endelig angives eventuelle øvrige sikkerhedsforanstaltninger. Myndigheden skal kun afgive oplysninger, der må komme til offentlighedens kundskab, idet anmeldelsen bliver offentliggjort. Eventuelle interne hemmelige bestemmelser, f.eks. om sikkerhedskoder og lignende, skal alene fremgå af myndighedens uddybende sikkerhedsregler eller af et bilag til anmeldelsen. Hverken de uddybende sikkerhedsregler eller bilaget til anmeldelsen skal indsendes til Datatilsynet. Til pkt. 8. Tidspunktet for påbegyndelsen af behandlingen Der angives den dato, hvor myndigheden påtænker at påbegynde behandlingen. Behandlinger omfattet af lovens 45, dvs. behandlinger, hvor Datatilsynet skal afgive en udtalelse, må først iværksættes, når Datatilsynet har afgivet udtalelse. Det er tidspunktet for den påtænkte påbegyndelse af behandlingen, der skal angives, og ikke tidspunktet for beslutningen om at iværksætte behandlingen. For behandlinger, der er påbegyndt inden ikrafttrædelsen af lov om behandling af personoplysninger, dvs. den 1.juli 2000, kan myndigheden i stedet for at angive en dato, nøjes med at angive, at behandlingen blev påbegyndt inden lovens ikrafttræden. For de behandlinger, der alene skal anmeldes, kan det være en fordel for myndigheden at afvente tilbagemelding fra Datatilsynet, idet Datatilsynet kan have indvendinger imod den påtænkte behandling. Det angivne tidspunkt vil fremgå af den fortegnelse, som Datatilsynet offentliggør. Eventuelle ændringer heri vil derfor skulle meddeles Datatilsynet. Fortegnelsen findes på tilsynets hjemmeside: Til pkt. 9. Tidspunktet for sletning af oplysningerne Her anføres, hvornår oplysningerne senest vil blive slettet, f.eks. 1 år efter at der sidst blev behandlet oplysninger om den pågældende. Det forudsættes, at der i øvrigt konkret sker sletning på et tidligere tidspunkt, såfremt dette følger af lovgivningen. Angivelsen af slettetidspunkt berører ikke myndighedens mulighed for i stedet at overføre oplysningerne til opbevaring i arkiv efter de gældende regler i arkivlovgivningen. Datatilsynet vurderer i forbindelse med gennemgangen af anmeldelsen, om den af myndigheden fastsatte slettefrist er i overensstemmelse med lovens 5, stk. 5, hvoraf det følger, at indsamlede oplysninger ikke må opbevares på en måde, der giver mulighed for at identificere den registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles. Myndigheden skal, uanset den angivne slettefrist, iagttage lovens 5, stk. 4, hvoraf det fremgår, at behandling af oplysninger skal tilrettelægges således, at der foretages fornøden ajourføring af oplysningerne. Der skal endvidere foretages den fornødne kontrol for at sikre, at der ikke

20 behandles urigtige eller vildledende oplysninger. Oplysninger, der viser sig urigtige eller vildledende, skal snarest muligt slettes eller berigtiges. Til pkt. 10. Underskrift Blanketten underskrives af den person i myndigheden, der er ansvarlig for anmeldelsen. I den elektroniske anmeldelse skrives navnet blot. Hvis anmeldelsen sker i henhold til fuldmagt, angives dette. Forholdet kan uddybes i følgebrevet. Anmeldelsens ægthed kontrolleres ved, at Datatilsynet udsender kvittering til den anmeldende myndighed. Det er derfor vigtigt, at myndigheden reagerer, hvis man modtager en bekræftelse på en anmeldelse, som man ikke mener at have indsendt. Se også Datatilsynets vejledning af 10. juli 2000 om anmeldelse i henhold til kapitel 12 i lov om behandling af personoplysninger (Til den offentlige forvaltning). Vejledningen samt andre oplysninger om persondataloven findes på Datatilsynets hjemmeside, Indholdsfortegnelse 1. Indledning 2. Anmeldelsens genstand 2.1. Hvilke behandlinger skal anmeldes? Hvad er en behandling? Behandlingerne skal omfatte»personoplysninger« Behandlinger, der er undtaget fra anmeldelse 2.2. Hvor meget kan en anmeldelse omfatte? 3. Hvem skal foretage anmeldelsen 3.1. Begrebet»dataansvarlig«3.2. Hvilke behandlinger er myndigheden dataansvarlig for? 3.3. Hvem i den dataansvarlige myndighed skal foretage anmeldelsen? 3.4. Fællesanmeldelse 3.5. Uenighed mellem Datatilsynet og myndigheden 4. Hvilke oplysninger skal myndigheden afgive ved anmeldelsen 5. Hvornår skal anmeldelsen tidsmæssigt ske 5.1. Forudgående anmeldelse og krav om forudgående udtalelse Oplysninger om rent private forhold Retsinformationssystemer Videnskabeligt eller statistisk øjemed Sammenstilling eller samkøring af oplysninger i kontroløjemed 5.2. Forudgående anmeldelse, men ikke krav om forudgående udtalelse 6. Den praktiske fremgangsmåde i forbindelse med anmeldelse 6.1. Anmeldelse via Internet Kladde Udkastkonto Elektronisk følgebrev 6.2. Anmeldelse på en papirblanket 6.3. Kvittering fra Datatilsynet 7. Ændringer i anmeldte behandlinger 7.1. Forudgående anmeldelse, men ikke krav om forudgående udtalelse 7.2. Forudgående anmeldelse samt krav om forudgående udtalelse 7.3. Fremgangsmåden ved anmeldelse af ændringer 8. Offentliggørelse i Datatilsynets fortegnelse 8.1. Behandlinger, der skal anmeldes