Specifik information om persondataloven

Transkript

1 Specifik information om persondataloven Lovens område Med persondataloven er der fastsat generelle regler om behandling af personoplysninger for offentlige myndigheder og den private sektor. Loven omfatter både elektronisk databehandling og ikkeelektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register. Hvad forstår man ved personoplysninger? Ved personoplysninger forstås enhver form for information om en identificeret eller identificerbar fysisk person. Oplysninger om enkeltmandsejede virksomheder er også omfattet af definitionen. Oplysninger om juridiske personer er ikke omfattet. Formål, saglighed og behandling Indsamling og behandling af personoplysninger må kun ske til udtrykkeligt angivne formål og ud fra saglige og proportionale kriterier. Der må derfor kun ske behandling af oplysninger, der er relevante for opgaveløsningen, ligesom oplysningerne kun må benyttes til formål, der ligger inden for SKATs myndighedsopgave, jf. persondatalovens 5, stk. 2 og 3. Behandling omfatter enhver form for håndtering af oplysninger, herunder indsamling, registrering, opbevaring, videregivelse, sammenstilling, samkøring eller anvendelse i et it-system. Der må kun ske sammenstilling eller samkøring af personoplysninger til kontrolformål såfremt der findes en udtrykkelig lovhjemmel hertil. Der må ikke behandles oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold og oplysninger om helbredsmæssige og seksuelle forhold, med mindre den registrerede har givet samtykke eller i visse andre situationer. Der må heller ikke behandles oplysninger om strafbare forhold, væsentlige sociale problemer og andre rent private forhold, medmindre det er nødvendigt for varetagelsen af myndighedens opgaver. Disse oplysninger må ikke videregives medmindre: den registrerede har givet samtykke til videregivelsen. videregivelsen sker til varetagelse af private eller offentlige interesser, der klart overstiger hensynet til den, oplysningen angår. videregivelsen er nødvendig for udførelsen af en myndigheds virksomhed. videregivelsen er nødvendig for udførelsen af en persons eller virksomheds opgaver for det offentlige. Persondataloven Side 1 af 6

2 Som eksempler kan nævnes følgende: 1. En kommune beder om indkomstoplysninger for en konkret borger i forbindelse med en konkret sag om sociale ydelser, der er indkomstafhængige. En skattemedarbejder kan videregive disse oplysninger, da kommunen har en myndighedsopgave at udføre, og oplysningerne er nødvendige for opgaven. Det skal registres hvilke oplysninger, der er videregivet, til hvilket formål og til hvem. Desuden skal der foretages kontrolopkald, såfremt videregivelsen sker pr. telefon. Kommunen bliver dataansvarlig for de videregivne oplysninger og har oplysningspligten over for borgeren og anmeldelsespligten til Datatilsynet. 2. Politiet beder om kontooplysninger for en konkret borger i forbindelse med en efterforskning af en lovovertrædelse. En skattemedarbejder må ikke videregive disse oplysninger, da politiet ved efterforskning skal have en retskendelse og skal gå til kilden. I dette tilfælde er det bankerne, der er kilden. Adgang til samt opbevaring og afsendelse af oplysninger Adgang til oplysninger Medarbejdere må kun have adgang til personoplysninger, hvis de har behov for dem til en arbejdsrelateret opgave. Uvedkommende må ikke få adgang til personoplysningerne. Det gælder også kollegaer, der ikke har en relevant arbejdsopgave, der kræver adgang til personoplysningerne. Opbevaring af oplysninger Personoplysninger må kun opbevares i godkendte it-systemer, der opfylder krav fastsat i medfør af persondataloven. Godkendte systemer i SKAT er f. eks. journaliseringssystemerne Captia og SKAT-Ligning. Igangværende dokumenter og mails med personoplysninger må opbevares i andre it-systemer, der ikke opfylder krav til logning, i op til 30 dage efter færdiggørelsen eller færdigbehandlingen. Her tænkes bl. a. på Outlook og G-drev. Lukkede SharePoint kan også benyttes. Som eksempel kan nævnes: En medarbejder er ved at foretage en række beregninger af skatteforholdene for en række enkeltmandsfirmaer. Der er tale om personoplysninger, når det er enkeltmandsfirmaer. Beregningerne fortages i Excel. Dokumentet kan gemmes på eget G-drev i op til 30 dage efter færdiggørelsen. Hvis det er en del af et indsatsprojekt, kan det gemmes på et lukket SharePoint, hvor der er godkendt logfunktion. Regnearket skal gemmes i Captia eller i SKAT-Ligning når det er færdigt og slettes andre steder. Det må ikke gemmes på H-drevet. Persondataloven Side 2 af 6

3 Vær opmærksom på, at indsamling af nye oplysninger eventuelt kan medføre behov for ajourføring af anmeldelser til Datatilsynet, og der skal derfor ske henvendelse til SKATs sikkerhedskontor. Det gælder også, hvis f. eks. en enhed i statistisk øjemed ønsker at bruge oplysninger i SKATs systemer til andre formål end skattekontrol, -opkrævning og inddrivelse. Afsendelse af oplysninger Mails med personoplysninger skal sendes således, at uvedkommende ikke kan få adgang til personoplysningerne. Det vil sige at de skal sendes krypteret, via Skattemappen, Digital Post eller som brevpost. Som eksempel kan nævnes: En borger har sendt en mail til en SKAT medarbejder, som han tidligere har været i kontakt med vedrørende sin pensionsskat. Personen har bl.a. fremsendt sit CPR-nummer. Medarbejderen kan sende svaret på ukrypteret mail, hvis der er tale om generelle oplysninger i svaret, og kun såfremt CPR-nummer og andre personhenførbare oplysninger slettes. Medarbejderen skal sende svaret på krypteret mail, hvis der er tale om konkrete oplysninger om den pågældende borgers økonomiske forhold. Hvis borgeren ikke kan modtage krypteret post, skal der sendes et svar med postvæsenet. Rettigheder for den registrerede 1. Ret til indsigt i de oplysninger, der behandles om den registrerede (indsigtsret) 2. Ret til at få information om, at der indsamles oplysninger om den registrerede (oplysningspligt) 3. Ret til at få slettet eller rettet urigtige oplysninger 1. Indsigtsretten Persondataloven eller forvaltningsloven? Regler om behandling af personoplysninger i anden lovgivning, som giver den registrerede en bedre retsstilling, går forud for reglerne i persondataloven, jf. persondatalovens 2, stk. 1. Der skal derfor først tages stilling til, om en anmodning om indsigt skal afgøres efter reglerne om den registreredes indsigtsret i persondataloven eller efter reglerne om partsaktindsigt i forvaltningsloven. Persondataloven Side 3 af 6

4 En registreret person vil kunne opnå indsigt efter reglerne i såvel persondataloven som forvaltningsloven, hvis der er tale om oplysninger vedrørende den registrerede selv i dokumenter, der indgår i en afgørelsessag, som den pågældende er part i. Persondataloven omfatter regler om den registreredes ret til at se oplysninger om sig selv. Forvaltningslovens regler om partsaktindsigt giver ikke alene adgang til oplysninger om parten selv, men også oplysninger om andre, herunder andre parter. Reglerne om skattemyndighedernes særlige tavshedspligt har ikke betydning for partens ret til aktindsigt, mens den registreredes ret til indsigt efter persondataloven er begrænset af særlige regler om tavshedspligt. Hvem er omfattet af persondatalovens indsigtsret? Retten til at begære indsigt gælder for enhver person. Krav til anmodningen Der er ingen særlige formkrav til anmodningen. En anmodning om indsigt kan derfor fremsættes både mundtligt, skriftligt og gennem e-post. Den dataansvarlige (SKAT) skal sikre sig, at den, der meddeles oplysninger til, er den rette person, så oplysningerne om den registrerede ikke kommer uvedkommende til kendskab. Hvilke sagsområder er omfattet af indsigtsretten? Sager, der er undergivet behandling i SKAT, er både afgørelsessager, faktisk forvaltningsvirksomhed og anden administrativ virksomhed. Sager inden for strafferetsplejen, lovgivningssager og personalesager er dog undtaget fra retten til indsigt. Omfanget af indsigtsretten Enhver, der fremsætter anmodning om indsigt, skal have meddelelse om, hvorvidt der behandles oplysninger om vedkommende. Hvis dette er tilfældet, har den registrerede som udgangspunkt ret til indsigt i, jf. persondatalovens 31, stk. 1: hvilke oplysninger der behandles behandlingens formål kategorierne af modtagere af oplysningerne tilgængelig information om, hvorfra disse oplysninger stammer. Persondataloven Side 4 af 6

5 Hvornår kan SKAT undlade at give den registrerede indsigt? Den dataansvarlige, dvs. SKAT, kan undlade at give den registrerede indsigt, hvis den registreredes interesse i at få kendskab til oplysninger findes at burde vige for afgørende hensyn til private og/eller offentlige interesser, herunder hensynet til den registrerede selv, jf. persondatalovens 32, som henviser til 30, stk. 1 og 2. Indsigt kan kun nægtes, hvis der er nærliggende og sandsynliggjort fare for, at private eller offentlige interesser vil lide skade af væsentlig betydning. Afvejning af de modstående interesser skal foretages for hver enkelt oplysning for sig. Særligt om anmeldelser Hvis en anmelder ønsker at være anonym, men oplyser navn og andre identifikationsoplysninger i anmeldelsen, skal SKAT efter forvaltningslovens regler om notatpligt registrere disse oplysninger. Dermed er oplysningerne omfattet af persondatalovens regler om indsigtsret (og forvaltningslovens regler om partsaktindsigt). Se styresignalet SKM SKAT. Oplysninger omfattet af tavshedspligten kan dog efter en konkret afvejning af hensynet til anmelder over for hensynet til den anmeldte undtages fra aktindsigt efter forvaltningslovens regler. SKAT kan derfor med hjemmel i forvaltningsloven undtage anmelders navn mv. fra indsigtsret, hvis der foreligger en konkret begrundet formodning om, at anmelder vil blive udsat for repressalier eller lignende fra anmeldte. Endvidere skal SKAT altid, i tilfælde hvor anmelder har forsynet anmeldelsen med sit CPR-nr., undtage de fire sidste cifre fra aktindsigt. 2. Oplysningspligten Hovedregel om oplysningspligten Den dataansvarlige (SKAT) skal af egen drift give den registrerede meddelelse om en række forhold ved indsamling af oplysninger om den pågældende, jf. persondatalovens 28, stk. 1 og 29, stk. 1. Oplysningspligten skal opfyldes, uanset om SKAT har været aktiv eller passiv i forbindelse med indsamlingen. Derfor skal oplysningspligten også opfyldes, selv om SKAT ikke har anmodet om oplysningerne. Hvilke informationer skal meddeles efter oplysningspligten? den dataansvarliges identitet - her SKAT Persondataloven Side 5 af 6

6 formålet med behandlingen - hvad de indsamlede oplysninger skal bruges til på indsamlingstidspunktet andre nødvendige oplysninger der skal foretages en konkret vurdering af, om der er andre oplysninger, som den registrerede skal oplyses om. På hvilket tidspunkt skal borgeren informeres? Hvis der indsamles oplysninger hos den registrerede, skal oplysningspligten opfyldes samtidig med indsamlingen. I tilfælde hvor oplysningen er indsamlet hos andre end den registrerede, skal oplysningspligten opfyldes ved registreringen dvs. snarest muligt eller senest inden 10 dage efter registreringen. Hvis de indsamlede oplysninger er beregnet til videregivelse så senest, når videregivelse finder sted. Undtagelser fra oplysningspligten Hovedreglen om den dataansvarliges oplysningspligt gælder ikke, når en af disse betingelser er opfyldt, jf. persondatalovens 29, stk. 2-3 og 30: Den registrerede kender allerede den dataansvarliges identitet, formålet med behandlingen mv. Registreringen eller videregivelsen er udtrykkeligt fastsat ved lov. Underretning af den registrerede er umulig eller uforholdsmæssig vanskelig. Der foreligger afgørende hensyn til private eller offentlige interesser. Særligt om anmeldelser Oplysningspligten kan fraviges med hjemmel i persondatalovens 30, stk. 2, nr. 6, hvis der foreligger afgørende modhensyn af en sådan karakter, at der efter en konkret vurdering er nærliggende og sandsynliggjort fare for, at kontrolhensyn vil lide skade af væsentlig betydning. På baggrund af en udtalelse fra Datatilsynet gælder det, at når 3. mand anmelder en skatteyder for skatteunddragelse, skal den anmeldte straks underrettes herom, dvs. inden for 10 arbejdsdage. Underretningen kan dog udskydes, hvis det vurderes, at opklaringsmuligheden vil lide væsentlig skade, hvis underretningen gives straks. Der skal i så fald udarbejdes et internt notat med begrundelse for udskydelse af underretningen. Det forhold at kontrolprocessen bliver vanskeligere, er ikke i sig selv nok til at udskyde underretning. Datatilsynets udtalelse er offentliggjort bl.a. i SKM SKAT. 3. Ret til at få slettet eller berigtiget urigtige oplysninger Den registrerede har ret til efter anmodning at få berigtiget, slettet eller blokeret oplysninger, der viser sig urigtige eller vildledende, jf. persondatalovens 37. Persondataloven Side 6 af 6