Persondataloven hvad er nyt?

Transkript

1 Persondataloven hvad er nyt? Den 27. februar 2013 Indhold Behandling af data... 2 Dataansvar og datasikkerhed... 3 Offentlighed... 4 Den registreredes rettigheder... 5 Nedenfor følger en oversigt over persondatalovens nyskabelser i forhold til registerloven. Oversigten er ikke udtømmende.

2 Behandling af data Behandling Videregivelse af ikke-fortrolige personoplysninger mellem forvaltningsmyndigheder Tekstbehandling Personoplysninger Manuelle registre Papirsager Generelle krav, f.eks. god databehandlingsskik Behandlingsbetingelser Forvaltningsgrænser OPHØRER Persondatalovens behandlingsbegreb er bredere end i lov om offentlige myndigheders registre. Behandlingsbegrebet er rettet imod alle faser i databehandlingen, bl.a. er dataindsamling reguleret af persondataloven. Sagsbehandlingsloven regulerer alene videregivelse af fortrolige personoplysninger. Derimod regulerer persondataloven både videregivelse af fortrolige og ikkefortrolige personoplysninger. Som noget nyt er tekstbehandlede dokumenter, der er under udarbejdelse, omfattet af persondataloven. Dog er der ikke noget logningskrav for så vidt angår dokumenter, der er under udarbejdelse i et tekstbehandlingssystem. Begrebet personoplysninger forstås som det tilsvarende begreb i registerlovgivningen, dvs. der blot skal være tale om oplysninger der kan identificere en person. Bipersoner, er omfattet af persondataloven. Efter registerloven var bipersoner ikke altid omfattet. De papirbaserede registre har hidtil været uden for den registerretlige regulering; men disse er omfattet af persondataloven. Manuelle (papir)sager er - som hidtil - udenfor persondatalovens område Persondataloven stiller et generelt krav om, at behandlingen skal være formålsbestemt og saglig. Dette krav kendes også fra registerloven, hvor det anføres, at oplysninger kun må registreres, hvis det har betydning for myndighedens opgaver. De øvrige generelle krav, der falder ind under begrebet god databehandlingsskik kan også udledes af registerloven. Persondataloven fastsætter et hjemmelsprincip hvorefter al behandling skal hvile på en hjemmel. Dette er nyt. Persondatalovens behandlingsbetingelser vil langt henad vejen kunne tjene som hjemmelsgrundlaf, f.eks. indeholder loven et krav om, at behandlingen skal være nødvendig for at opfylde formålet med behandlingen. Dette nødvendighedskriterium kendes også fra registerloven. Justitsministeriet har vurderet, at de behandlinger, der er lovlige efter registerloven, også kan finde sted efter persondatalovens regler. Persondataloven omtaler ikke forvaltningsgrænserne, og der skal ikke redegøres i anmeldelserne for den interne dataudveksling. Men den enkelte forvaltnings behandling af personoplysninger skal have hjemmel i persondataloven, dvs. lovens afsnit II. Endvidere opretholdes kravet om autorisation af brugerne.

3 Dataansvar og datasikkerhed Den dataansvarlige myndighed Delegation Sikkerhedsforanstaltninger Instruks Erstatningsansvar Begrebet svarer til den registeransvarlige efter lov om offentlige myndigheders registre, d.v.s. at den dataansvarlige råder over formålet med anvendelsen af persondata og er ansvarlig for datasikkerheden. Der følger dog nye pligter med dataansvaret, som ikke er kendes fra registerloven. For kommunale myndigheders vedkommende kan beslutningen om at iværksætte behandling af personoplysninger delegeres. Ifølge registerloven skulle beslutningen om at iværksætte behandling træffes af kommunalbestyrelsen i møde. Grundlæggende er kravene uændrede; men det teknologiske miljø er blevet mere komplekst siden Der findes særlige regler i sikkerhedsbekendtgørelsen og sikkerhedsvejledningen. Det bemærkes, at de uddybende regler om intern sikkerhed, der skal udarbejdes af den dataansvarlige, ikke mere skal indsendes til Datatilsynet. Som noget nyt fastslår persondataloven, at de personer eller virksomheder, der arbejder for den dataansvarlige, kun må behandle persondata efter instruks fra den dataansvarlige. Formålet hermed er at man som dataansvarlig ikke må stille sig i en situation hvor man ikke længere har kontrol over sine data. Hvis den dataansvarlige vil frigøres fra et eventuelt krav om skadeserstatning påhviler det den dataansvarlige at påvise, at der ikke er handlet uagtsomt. Dette kendes også som erstatningsansvar med omvendt bevisbyrde.

4 Offentlighed om behandling Anmeldelse Offentlighed Som hidtil har offentligheden adgang til at vide, hvilke registreringer, der finder sted hos myndigheden. På grund af det nye bredere behandlingsbegreb vil denne adgang dog omfatte flere behandlingstyper. Anmeldelse af personoplysninger erstatter registerforskrifterne. Offentlighedens kendskab til behandlingen af personoplysninger forudsætter, at behandlingerne anmeldes. Kun en del af de nye anmeldelser skal forelægges til udtalelse hos Datatilsynet. Andre skal blot indsendes til orientering. Nogle behandlinger er helt undtaget fra kravet om anmeldelse.

5 Den registreredes rettigheder Samtykke Oplysningspligt Indsigtsret Indsigelsesret Indsigelse overfor automatiserede afgørelser Berigtigelse, sletning Blokering Klage til Datatilsynet Det må antages, at et samtykke, der er afgivet efter lov om offentlige myndigheders registre, også er gyldigt efter persondataloven. Særlovgivningen foreskriver i vid udstrækning, hvornår myndigheden bør indhente et samtykke fra borgeren. Derfor vil samtykke ikke blive anvendt i større udstrækning end hidtil. Et samtykke, som borgeren har afgivet efter persondataloven, er ikke begrænset til et års gyldighed, men et-års-reglen gælder fortsat efter sagsbehandlingsloven. I forbindelse med dataindsamling får den dataansvarlige en ny oplysningspligt, som medfører, at alle personer, om hvilke der indsamles personoplysninger, skal informeres om databehandlingen. Når myndigheden skal vurdere, hvorledes oplysningspligten skal opfyldes, vil det være nødvendigt at gennemgå arbejdsgangen for de opgaver, som involverer behandling af personoplysninger. De oplysninger, som skal meddeles til borgeren, forudsættes så vidt muligt indarbejdet i blanketter og standardbreve. Reglerne om den registreredes indsigtsret svarer til reglerne om registerindsigt. I persondataloven lovfæstes det, at den registrerede også har ret til at kende formålet med en behandling, og hvem der modtager oplysninger samt hvorfra oplysninger stammer. Dette svarer til registerlovens regler om at borgeren har ret til at få en kopi af registerforskriften. Med persondataloven er der endvidere skabt større klarhed om mulighederne for at undtage behandlinger fra indsigtsret, idet persondatalovens undtagelsesregler følger offentlighedslovens regler. Efter persondataloven har borgeren ret til at gøre indsigelse imod en behandling. Indsigelser skal behandles som afgørelsessager efter sagsbehandlingsloven. Retten til at gøre indsigelse mod afgørelser, der alene er truffet på baggrund af elektronisk databehandling af oplysninger er en nyskabelse. Denne ret er dog ledsaget af undtagelsesregler. Den dataansvarliges pligt til at berigtige, slette eller blokere personoplysninger kunne ligeledes udledes af registerlovens krav om, at der ikke må registreres forkerte eller vildledende oplysninger; men det er nu tydeliggjort, at der er tale om rettigheder for borgerne, og dermed kan det forventes, at reglerne får større betydning. Begrebet er nyt. Begrebet indebærer, at data kan opbevares, f.eks. som dokumentation, selvom oplysningerne har vist sig at være fejlbehæftede. Den registreredes ret til at klage til Datatilsynet svarer til registerlovens bestemmelser om, at den registrerede kan klage til Registertilsynet.