PETER BLUME DATA BESKYTTELSES RET 4. U D G AV E J U R I S T- O G Ø K O N O M F O R B U N D E T S F O R L A G
Databeskyttelsesret
Peter Blume Databeskyttelsesret 4. udgave Jurist- og Økonomforbundets Forlag 2013
Peter Blume Databeskyttelsesret 4. udgave, 1. oplag 2013 by Jurist- og Økonomforbundets Forlag Alle rettigheder forbeholdes. Mekanisk, elektronisk, fotografisk eller anden gengivelse af eller kopiering fra denne bog eller dele heraf er ifølge gældende dansk lov om ophavsret ikke tilladt uden forlagets skriftlige samtykke eller aftale med Copy-Dan. Omslag: Bo Helsted Tryk: Narayana Press, Gylling Indbinding: Jysk Bogbind, Holstebro Printed in Denmark 2013 ISBN 978-87-574-1919-1 Jurist- og Økonomforbundets Forlag Gothersgade 137 1123 København K Telefon: 39 13 55 00 Telefax: 39 13 55 55 e-mail: forlag@djoef.dk www.djoef-forlag.dk
Indholdsfortegnelse Indholdsfortegnelse Indholdsfortegnelse Forord... 11 Introduktion... 13 Kapitel 1. Personen og det private... 25 1. Privatliv og databeskyttelse... 27 2. Personen... 29 2.1. Juridiske personer mm.... 29 2.2. Fysiske personer... 31 2.3. Beskyttelsesværdige oplysninger... 35 3. Informationelt privatliv... 38 3.1. Historisk kontekst... 39 3.2. Nogle afgrænsninger eller definitioner... 41 3.3. Mål og meningsfuldhed... 44 3.4. To be let alone... 45 3.5. Selvbestemmelse... 48 3.6. Privatlivstilstande... 52 3.7. Rettighed eller krav... 53 3.8. En interesse... 57 3.9. Individet og det kollektive... 58 3.10. Endnu en definition... 60 4. Ejendomsret til personoplysninger... 61 5. Databeskyttelse og databeskyttelsesret... 64 6. Perspektiv... 65 7. Forordningsforslag 2012... 66 Kapitel 2. Teknologisk og retligt miljø... 67 1. Det teknologiske miljø... 67 2. Edb-teknologi... 70 2.1. Teknologiske forandringer... 74 3. Teknologiens betydning for lovgivningen... 77 4. Internettet... 81 5. Det retlige miljø... 84 5
Indholdsfortegnelse 6. Reguleringsmetodik... 85 6.1. Standarder... 86 6.2. Sektororienteret regulering... 89 6.3. Anden ret... 91 6.4. Accept... 92 7. Overordnede regler... 93 7.1. Straffeloven... 97 8. Direktiv 95/46 EF... 98 9. Persondataloven... 103 10. Informationsdatabaseloven... 109 11. Sundhedsloven... 114 12. Helbredsoplysningsloven... 119 13. Dna-profilloven... 121 14. Betalingstjenesteloven... 125 15. Finansielvirksomhedsloven... 128 16. Arkivloven... 131 17. Sammenfatning... 133 18. Forordningsforslag 2012... 135 Kapitel 3. Databeskyttelsesrettens grundtræk... 137 1. Principper... 138 1.1. God databehandlingsskik... 139 1.2. Principper for indsamlingen... 140 1.3. Formålsbestemthed... 142 1.4. Relevans og proportionalitet... 144 1.5. Datakvalitet... 146 1.6. Tidsbegrænsning... 149 1.7. Sikkerhed... 150 1.8. Hjemmel... 153 2. Oplysningstyper... 154 2.1. Følsomme oplysninger... 157 3. Behandlingsbetingelser... 161 3.1. Behandling... 162 3.2. Samtykke... 164 3.3. Brede standarder... 170 3.4. Følsomme oplysninger... 173 3.5. Vurdering... 175 4. Tilsyn og kontrol... 177 4.1. Tilsynssekretariatet... 178 4.2. Placering... 179 6
Indholdsfortegnelse 4.3. Den bureaukratiske regulering... 181 4.4. Inspektioner... 181 4.5. Generelle kompetencer... 183 4.6. Ressourcer... 184 4.7. Sanktionsniveau... 185 4.8. Tilsynets betydning... 186 5. Forordningsforslag 2012... 187 Kapitel 4. Privatliv vs. Informationsfrihed... 191 1. Informationsfrihedens omfang og grænser... 193 2. Overordnede regler... 201 3. Det strafferetlige værn... 202 4. Databeskyttelsesretten... 203 5. Offentlighed... 208 6. Konklusion... 212 7. Forordningsforslag 2012... 213 Kapitel 5. Den offentlige sektor... 215 1. Reguleringsomfanget... 216 2. Databeskyttelse i forvaltningen... 218 3. Digital forvaltning... 226 4. Samkøring og videndeling... 228 5. Kommercialisering... 240 6. Afsluttende overvejelser... 246 7. Forordningsforslag 2012... 247 Kapitel 6. Den private sektor... 249 1. Reguleringsbehovet... 249 2. Markedsføring... 254 3. Koncerner... 266 4. Arbejdspladser... 271 4.1. Whisleblower-ordningen... 275 5. Personnumre... 276 6. Adfærdskodekser... 284 7. Forordningsforslag 2012... 286 Kapitel 7. Rettigheder... 289 1. Rettighedstyper... 291 2. Retten til information... 293 3. Indsigt... 299 7
Indholdsfortegnelse 3.1. Begrænsninger... 301 3.2. Tvungen indsigt... 303 3.3. Automatisk indsigt... 307 3.4. Den personlige hjemmeside... 307 4. Korrektion... 308 5. Indsigelsesret... 311 6. Automatiserede afgørelser... 312 7. Forordningsforslag 2012... 315 Kapitel 8. Internationale dataoverførsler... 317 1. Udgangspunktet... 319 2. Tilstrækkeligt beskyttelsesniveau... 324 3. Inden for EU... 328 4. Tredjelande... 332 4.1. Utilstrækkelige lande... 336 4.1.1. Singulære betingelser... 338 4.1.2. Generelle ordninger... 340 4.2. USA... 345 4.3. Safe harbor... 347 4.4. En global ordning... 351 5. Forordningsforslag 2012... 353 Kapitel 9. Internettet... 355 1. Det kommunikative rum... 355 2. Retligt udgangspunkt... 360 3. Anonymitet... 363 3.1. Administration af ophavsrettigheder... 366 4. Informationsfrihed... 368 5. Offentliggørelse... 371 6. Sociale netværk... 376 7. Links... 380 8. Elektronisk handel... 383 9. Arbejdspladser... 390 10. Teknologier mm.... 398 11. Den usikre fremtid... 404 12. Forordningsforslag 2012... 406 Kapitel 10. Overvågning... 407 1. Overvågning... 407 2. Tv-overvågning... 411 8
Indholdsfortegnelse 2.1. Anden filmisk overvågning... 421 2.2. Overvågningens data... 422 2.3. Overvågning af lyd... 426 3. Trafikovervågning... 427 4. Intelligente ting... 432 4.1. RFID... 433 4.2. Intelligent energi... 434 5. Biometri... 435 6. Selvovervågning... 438 7. Det civile overvågningssamfund... 440 8. Forordningsforslag 2012... 442 Kapitel 11. Databeskyttelse og terror... 443 1. I terrorens skygge... 443 2. Det offentliges informationsmasse... 446 3. Datalogning... 448 4. International dimension... 454 4.1. Passagerdata... 455 4.2. Betalingstransaktioner... 459 4.3. Andre tiltag... 460 5. Schengen og Europol... 462 5.1. Tilgængelighedsprincippet... 463 6. Quo vadis?... 465 7. Direktivforslag 2012... 467 Kapitel 12. Databeskyttelsens fremtid... 469 Litteratur... 485 Domsregister... 499 Stikordsregister... 501 9
Forord Forord Forord Siden 3. udgave af denne bog udkom i 2008, har der fortsat været en dynamisk udvikling inden for databeskyttelsesretten. Især informationsteknologien bliver anvendt på stadig nye måder, hvilket eksempelvis cloud computing illustrerer, og et fænomen som sociale netværk har bredt sig som kraftige bølger i havet. Persondataloven har fået et endnu sikrere fodfæste, bl.a. som følge af forvaltningens digitalisering og hertil kommer, at antallet af databeskyttelsesretlige regler i anden lovgivning er øget væsentligt. Uden for Danmark, især i EU, er der udstedt nye retsakter og databeskyttelsen har fået et sikrere fundament på traktatniveau. Kampen imod terror og anden alvorlig kriminalitet sætter ligeledes sit tydelige præg på den retlige regulering. Selvom bogen på samme måde som i de tidligere udgaver er koncentreret om databeskyttelsens almene spørgsmål, idet behovet for en forståelse af de almindelige hensyn og afvejninger, der har betydning for det informationelle privatliv, fortsat består, er det fundet påkrævet at indarbejde de senere års udvikling. Databeskyttelsesretten er i stadig bevægelse og vil sikkert altid være det. Mest markant er det forhold, at der januar 2012 blev fremsat forslag til en ny EU-retlig regulering, som på væsentlige punkter vil ændre gældende ret. Det er forventeligt, at der vil gå nogen tid, inden disse forslag vedtages, og deres endelige indhold vil i hvert fald på nogle punkter være ændrede i forhold til forslaget. Der er indarbejdet en omtale af forslaget primært som afslutning af de enkelte kapitler, men da der forventeligt vil gå en del år, inden det nye retsgrundlag træder i kraft, er det ikke hensigtsmæssigt at lade det blokere for en opdateret udgave af bogen. Det er mit håb, at bogen vil gøre nytte og bidrage til en god forståelse af databeskyttelsesretten og de hensyn, der begrunder den. Frederiksberg oktober 2012 Peter Blume 11
Introduktion Introduktion Introduktion»The link between communications and character is complex, but unbreakable. We cannot transform all our media of communication and expect to remain unchanged as a people. A revolution in the media must mean a revolution in the psyche.«(alvin Toffler p. 399) Ved udarbejdelse af en bog om persondatabeskyttelse står man over for en række valgmuligheder. En nærliggende mulighed er en retsdogmatisk fremstilling af gældende dansk ret. Denne bog vil utvivlsomt være nyttig, bl.a. fordi mange oplever usikkerhed med hensyn til hvad der gælder på dette område, men den vil have kort levetid, fordi retsudviklingen er meget dynamisk og er præget af en konstant strøm af nye retsforskrifter med tilhørende praksis spredt drypvis over alle samfundssektorer. Hverken nationalt eller internationalt står databeskyttelsesretten stille, og den vil næppe nogen sinde gøre det. Sådan en bog egner sig til at blive udgivet elektronisk, således at den konstant kan opdateres, hvilket selvsagt vil være meget forpligtende for dens forfatter. Den elektroniske bog findes, men på det juridiske område er tiden endnu ikke blevet moden til den rent digitale fremstilling, når bortses fra egentlige opslagsværker. Adressatkredsen vil blive for indsnævret, og i det hele taget har især jurister endnu ikke for alvor taget denne publiceringsform til sig. En anden mulighed er at koncentrere bogen om en del af den databeskyttelsesretlige regulering, hvilket mest nærliggende kan være hovedloven i dansk ret, lov om behandling af personoplysninger. En sådan bog, der i hvert fald til en vis udstrækning vil have karakter af en lovkommentar, vil til dels lide af de samme svagheder, men vil dog være knap så udsat for forældelse. Lovkommentarer kan tjene et fornuftigt formål og er brugbare især for de adressater, der i praksis konfronteres med databeskyttelsesretlige spørgsmål. Der henvises herved til Peter Blume: Personoplysningsloven (København 2000) og Henrik Waaben, Kristian Korfits Nielsen: Lov om behandling af personoplysninger (København, 2. udg. 2008). Lovkommentaren er dog nor- 13
Introduktion malt bundet til en forholdsvis snæver form og bidrager dermed ikke altid til en tilstrækkelig udbygget og nuanceret forståelse af retsområdet, herunder de hensyn og afvejninger, der tillægges betydning. Der diskuteres ikke så meget i den traditionelle lovkommentar. Dennes form kan ganske vist brydes til en vis udstrækning, jf. herved Peter Blume: Behandling af persondata (København 2003), men uanset at den retspolitiske dimension kan forstærkes som i den nævnte bog, foreligger der alligevel ikke muligheder for mere dybtgående analyser. Den tredje mulighed er den almene fremstilling, hvis intention er at beskrive og analysere databeskyttelsesrettens baggrund, begreber og generelle problemstillinger. Denne bog søger at honorere denne intention. Den er dermed ikke nogen retsdogmatisk fremstilling i traditionel forstand, selvom den indeholder enkelte retsdogmatiske analyser. Målsætningen er først og fremmest at tilvejebringe en forståelse af de hensyn og værdier, der har betydning for databeskyttelsen. Er dette opnået, kan bogen danne grundlag for en vurdering af konkrete retsdogmatiske og retspolitiske problemstillinger, der aktualiseres i persondataretten, og som til stadighed udfordrer og stiller spørgsmålstegn ved de grundlæggende værdier og hensyn. På denne måde understøtter bogen bl.a. hard core-retsdogmatikken. I denne 4. udgave er den retsdogmatiske dimension dog blevet yderligere udbygget, hvilket beror på erfaringer indhøstet i relation til bogens brug i forbindelse med undervisning. Det er en erfaring, at de studerende ofte finder det svært at anvende en fremstilling, der ikke hovedsageligt fokuserer på gældende ret. Der opstår usikkerhed med hensyn til, hvilke mål og kompetencer der efterstræbes i undervisningen, selvom dennes fokus bør være de almene tankemønstre, der typisk er mere langtidsholdbare end gældende ret. Uden at bogens tilgang er ændret fundamentalt i forhold til den forrige udgave af bogen, er gengivelsen af gældende dansk ret bl.a. af denne grund givet et lidt større omfang, idet denne del af fremstillingen har til formål at præcisere det foreliggende retlige udgangspunkt for de almene overvejelser inden for de enkelte områder. Siden 3. udgaven er persondataloven blevet anvendt i forhold til mange nye praktiske problemstillinger med heraf følgende konkrete afgørelser, og der kan derfor nu med større sikkerhed angives et udgangspunkt i gældende ret, uanset at databeskyttelsesretten præges af mange, åbne og fleksible, retlige standarder og som nævnt er i konstant bevægelse. Det er kun et øjebliksbillede, der kan tegnes, når fokus er på gældende ret. Den aktuelt foreliggende retstilstand kan derfor fortsat alene være et udgangspunkt, eftersom det er den almene forståelse af databeskyttelsesretten, der bibringer mulighed for at tage stilling til fremtidens konkrete situationer. 14
Introduktion De tidligere udgaver af bogen har foranlediget, at den af mange er blevet opfattet som retspolitisk, hvilket kan være naturligt, da en fremstilling, som ikke entydigt er retsdogmatisk, vel må være dette. Intentionen er dog ikke primært retspolitisk, i hvert fald ikke i ordets sædvanlige håndfaste betydning, selvom der i en række kapitler er medtaget retspolitisk argumentation. Kun i begrænset omfang argumenteres der for egentlige ændringer af gældende ret. Som nævnt er intentionen snarere at formidle en almindelig forståelse af de hensyn og værdier, der har betydning både ved tilrettelæggelsen af en databeskyttelsesretlig regulering og ved en stillingtagen til de mange nye spørgsmål, som til stadighed konfronterer retssystemet på dette reguleringsområde. Med andre ord er fokus på, hvorledes databeskyttelsesret tænkes. Såvel de retsdogmatiske som de retspolitiske dele af fremstillingen er medtaget med henblik på at opfylde denne intention. Det databeskyttelsesretlige retskildebillede er fyldt med mange farver og mønstre. Der er både traditionelle og knap så traditionelle retskilder. I almindelighed har gældende ret tre dimensioner. Disse er den nationale, den EUorienterede og den internationale. Disse tre dimensioner yder alle et bidrag til dansk ret og omfatter retskilder af betydning, når der skal tages stilling til, hvad der er gældende ret på et givet tidspunkt. Udgangspunktet er national ret, der indeholder et betydeligt antal love med databeskyttelsesretlige regler. Til disse love er der ofte udstedt administrative retsforskrifter, bekendtgørelser og cirkulærer. Persondataloven er i centrum, men periferien er i forhold til mange problemstillinger tit lige så vigtig. De tilhørende lovforarbejder har også betydning, ikke mindst fordi der i databeskyttelsesretlig praksis er en tendens til at tillægge disse stor vægt og nok større end inden for en del andre retsområder. En central retskilde er Datatilsynets afgørelser, der på persondatalovens område i praksis er endeligt normerende. Dette skyldes, at der ikke er nogen tradition for at indbringe disse afgørelser for domstolene. Siden de oprindelige registerlove trådte i kraft i 1979, er der kun afsagt ganske få retsafgørelser, og især kan anmærkes, at der endnu kun er en højesteretsdom, som tager stilling til forståelsen af basale databeskyttelsesretlige regler, jf. især i kapitel 2 og 6. Denne dejudicialisering på nationalt niveau kan føre traditionelle jurister til den opfattelse, at retsområdet ikke er væsentligt, men en sådan tankegang beror i givet fald på et uopdateret retskildebillede. Domstolene er ikke altid fikspunktet og er i det hele afhængige af, at de får forelagt sager. I takt med at databeskyttelsen ikke længere er et kuriøst retsområde, men derimod har fået stor praktisk betydning, er denne risiko i øvrigt ikke så stor længere. På eksempelvis mange advokatkontorer er det blevet nødvendigt at være i besiddelse af databeskyttelsesretlig ekspertise for at kunne opfylde de efterspurgte 15
Introduktion rådgivningsbehov. I forhold til den offentlige forvaltning kan det fremhæves, at Folketingets Ombudsmand i sine udtalelser stadig hyppigere tager stilling til databeskyttelsesretlige spørgsmål og på denne måde til en vis udstrækning supplerer Datatilsynet. I dansk ret er retskildestrukturen trods alt forholdsvis enkel og overskuelig, men en række yderligere facetter tilføjes ved de øvrige retskildedimensioner. EU-retten er central. Væsentligst blandt de EU-retlige kilder er direktiv 95/46 EF, der fastsætter den almindelige fællesskabsretlige regulering af databeskyttelse og dermed er retsområdets»grundlov«. Direktivet dannede baggrunden for, at der i Det Europæiske Charter (1999) artikel 8 er indsat en bestemmelse om databeskyttelse, hvilket understreger den betydning, denne beskyttelse tillægges i EU. Charteret er placeret på traktatniveau, jf. TEU artikel 6(1). Det må betragtes som særdeles væsentligt, at databeskyttelse herved er gjort til en selvstændig grundrettighed, jf. herved også TEUF artikel 16. Inden for særlige områder spiller også andre direktiver en rolle, især direktiv 2002/58 EF, der dels er suppleret, dels ændret af direktiv 2006/24 og 2009/136. Databeskyttelsesdirektivet udgør endvidere grundlaget for andre retskilder af væsentlig betydning. Først og fremmest må fremhæves de anbefalinger og udtalelser, der fremsættes af den arbejdsgruppe, der er etableret i medfør af direktivets artikel 29. 1 Arbejdsgruppen består af repræsentanter for tilsynsmyndighederne i medlemsstaterne, idet Kommissionen ligeledes medvirker. Anbefalingerne m.m. er ikke juridisk bindende, men er i praksis indflydelsesrig institutionaliseret soft law, idet en række af disse anbefalinger angår principielle databeskyttelsesretlige spørgsmål. Større formel juridisk betydning har beslutninger truffet i artikel 31-udvalget, der består af repræsentanter for medlemsstaterne samt Kommissionen. Disse beslutninger vedrører hovedsageligt forholdet mellem EU og den øvrige verden, og artikel 31 udvalget har ikke i andre henseender betydning for den almindelige databeskyttelsesret. Aftaler indgået af EU med tredjelande kan have generel interesse, hvilket bl.a. er tilfældet for den såkaldte safe harbor-aftale, der omtales nærmere i kapitel 8. Denne aftale illustrerer, at særlige former for retskilder undertiden benyttes, idet aftalen er understøttet af en række FAQ (Frequently Asked Questions), der har betydning for aftalens forståelse, men som er svære at indpasse i et traditionelt retskildeunivers, idet de dog er ved at vinde fodfæste i dele af dansk ret. Det bør endvidere fremhæves, at databeskyttelse i EU-institutionerne er reguleret ved forordning 45/2001 og at der som konsekvens 1. I bogen refereres til disse udtalelser som WP (Working paper). 16