Peter Blume Den nye persondataret Forordning 2016/679 om persondatabeskyttelse Med en omtale af direktiv 2016/680 (politipersondataret) Jurist- og Økonomforbundets Forlag 2016
Peter Blume Den nye persondataret Forordning 2016/679 om persondatabeskyttelse Med en omtale af direktiv 2016/680 (politipersondataret) 1. udgave, 1. oplag Jurist- og Økonomforbundets Forlag 2016 Alle rettigheder forbeholdes. Mekanisk, elektronisk, fotografisk eller anden gengivelse af eller kopiering fra denne bog eller dele heraf er ifølge gældende dansk lov om ophavsret ikke tilladt uden forlagets skriftlige samtykke eller aftale med Copy-Dan. Jurist- og Økonomforbundets Forlag/Djøf Forlag er godkendt af Uddannelses- og Forskningsministeriet som pointgivende forlag i den bibliometriske forskningsindikator. For at en publikation kan opnå point, er kravet herfor, at forlaget skal benytte fagfællebedømmelse, hvilket vil sige, at en ekstern forsker har bedømt forskningens kvalitet inden værkets publicering. Publikationen er fagfællebedømt Tryk: Clemenstrykkeriet, Viborg Printed in Lithuania 2016 ISBN 978-87-574-3392-0 e-isbn 978-87-7198-019-6 Jurist- og Økonomforbundets Forlag Gothersgade 137 1123 København K Telefon: 39 13 55 00 e-mail: forlag@djoef.dk www. djoef- forlag. dk
Forord... 11 Introduktion... 13 1. Behovet for en persondataretsreform... 15 2. Fleksibilitet... 16 3. Reguleringsform... 17 4. Harmonisering... 19 5. Den offentlige sektor... 24 6. Særlige hensyn... 25 7. Bogen... 26 Kapitel 1. Persondataretten før forordningen... 29 1. Starten... 29 2. Registerlovgivningen... 30 3. International regulering... 32 4. Behovet for et nyt paradigme... 33 5. Persondatadirektivet... 34 6. Persondataloven... 35 7. Fra periferi til centrum... 41 Kapitel 2. Generel persondataforordning... 43 1. Introduktion... 43 2. Forordningens formål... 45 2.1. Fysisk person (døde)... 45 2.2. Grundrettighed... 47 2.3. Fri dataoverførsel... 48 3. Anvendelsesområde... 49 3.1. Materiel afgrænsning... 49 3.1.1. Statens sikkerhed... 50 3.1.2. Sociale netværk... 51 3.1.3. Andre undtagelser... 53 3.2. Territorial afgrænsning... 54 5
4. Hovedbegreber... 56 4.1. Personoplysning... 57 4.2. Behandling... 59 4.3. Profilering... 59 4.4. Register... 60 4.5. Den dataansvarlige... 60 4.6. Databehandleren... 61 4.7. Modtager og tredjemand... 62 4.8. Samtykke... 63 5. Børn (Habilitet)... 67 6. Principper... 69 6.1. God skik... 69 6.2. Saglighed... 70 6.3. Formålsbestemthed... 71 6.4. Relevans og proportionalitet... 72 6.5. Datakvalitet... 74 6.6. Tidsbegrænsning... 74 6.7. Sikkerhed... 76 7. Behandlingsbetingelser (almindelige persondata)... 76 7.1. Samtykke... 77 7.2. Kontrakt... 78 7.3. Retlig forpligtelse... 78 7.4. Vital interesse... 78 7.5. Samfundsinteresse, offentlig myndighedsudøvelse... 79 7.6. Interesseafvejning... 79 7.7. Særligt grundlag... 81 8. Følsomme persondata... 82 8.1. Oplysningstyper... 82 8.1.1. Genetiske data... 83 8.1.2. Biometriske data... 84 8.2. Behandlingsmuligheder... 84 8.2.1. Samtykke... 84 8.2.2. Arbejdsret m.v.... 85 8.2.3. Vital interesse... 86 8.2.4. Foreninger... 86 8.2.5. Selvoffentliggørelse... 86 8.2.6. Retskrav... 87 8.2.7. Samfundsmæssig interesse... 87 8.2.8. Sundhed... 88 6
8.2.9. Forskning m.v.... 88 8.2.10. Andre betingelser... 88 9. Straffedomme m.m.... 89 10. Den registreredes rettigheder... 90 10.1. Fremgangsmåden... 90 10.2. Oplysningspligt... 92 10.2.1. Direkte indsamling... 93 10.2.2. Indirekte indsamling... 95 10.3. Ret til indsigt... 96 10.4. Ret til berigtigelse... 99 10.5. Ret til at blive glemt... 99 10.6. Begrænsning... 104 10.7. Ret til portabilitet... 104 10.8. Ret til indsigelse... 105 10.9. Foranstaltninger baseret på profilering... 107 11. Begrænsninger... 109 12. Den dataansvarlige og databehandleren... 110 12.1. Generelle forpligtelser... 110 12.2. Design og Default... 111 12.3. Fælles dataansvarlige... 113 12.4. Repræsentant... 113 12.5. Databehandler... 114 12.6. Dokumentation... 116 12.7. Forholdet til Datatilsynet... 118 13. Datasikkerhed... 118 14. Meddelelsespligt... 121 14.1. Meddelelse til Datatilsynet... 122 14.2. Meddelelse til de registrerede... 123 15. Konsekvensanalyse... 124 15.1. Forudgående høring... 127 16. Databeskyttelsesrådgiver... 128 17. Frivillige virkemidler... 131 17.1. Adfærdskodekser... 132 17.2. Certificering... 133 18. Dataoverførsel... 134 18.1. Overførselssted... 136 18.2. Tilstrækkeligt beskyttelsesniveau... 137 18.3. Utilstrækkeligt niveau... 139 18.4. Bindende virksomhedsregler... 140 18.5. Udenlandske sager... 141 7
18.6. Singulære overførsler... 142 18.7. Privacy Shield, m.v.... 143 19. Tilsynsmyndigheden... 145 19.1. Uafhængighed... 146 19.2. Ledende tilsyn... 148 19.3. Opgaver... 150 19.4. Kompetence... 151 20. Samarbejde... 153 20.1. Sammenhæng... 155 21. Det Europæiske Databeskyttelsesråd... 156 22. Retsmidler... 159 22.1. Sagsprocessen... 159 22.2. Erstatning... 161 22.3. Administrativ bøde, m.m.... 162 23. Særlige situationer... 165 23.1. Ytringsfrihed... 166 23.2. Offentlighed... 167 23.3. Personnummeret... 167 23.4. Ansættelsesforhold... 168 23.5. Arkivering, statistik, forskning... 168 23.6. Tavshedspligt... 169 23.7. Kirker og religiøse sammenslutninger... 170 24. Kommissionens beføjelser og afsluttende regler... 170 24.1. Delegerede retsakter... 170 24.2. Gennemførelsesretsakter... 171 24.3. Artikel 93-udvalget... 171 24.4. Direktiv 95/46 EF... 171 24.5. E-privacy, m.v.... 172 24.6. Virkningstidspunkt... 172 25. Balance... 173 Kapitel 3. Forordningens betydning for dansk ret... 175 1. Forordning og ikke direktiv... 175 1.1. Grundrettighed... 176 2. Frem mod 2018... 178 2.1. Overgangsperioden... 179 3. Offentlig og privat sektor.... 183 4. Persondataloven... 186 5. Sektorlovgivningen... 188 6. Registerforskning... 190 8
7. Tilsyn... 192 7.1. Ressourcer... 192 7.2. Organisation... 193 Kapitel 4. Fra 2018 og fremover... 195 1. Introduktion... 195 2. Reguleringsaspiration... 197 3. Udfyldning... 198 4. Databeskyttelsesrådet... 199 5. Harmonisering?... 201 6. Fremtider... 202 6.1. Generelle fænomener... 203 6.2. Sikkerhed... 206 6.3. Risiko... 207 6.4. Bredde... 208 6.5. Den enkeltes situation... 209 7. Det foreløbigt sidste ord... 209 APPENDIKS Politipersondatadirektivet... 213 1. Introduktion... 213 2. Forholdet til forordningen... 216 3. Direktivets område... 216 4. De registrerede... 217 5. Personoplysninger... 217 6. Samtykke... 219 7. Principper... 219 8. Profilering... 220 9. Rettigheder... 221 10. Sikkerhed m.v.... 222 11. Konsekvensanalyse, høring... 223 12. Dokumentation... 224 13. Rådgiver... 224 14. Dataoverførsel... 224 15. Datatilsyn... 226 16. Afsluttende vurdering... 227 9
BILAG BILAG 1. EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2016/679... 230 BILAG 2. EUROPA-PARLAMENTETS OG RÅDETS DIREKTIV (EU) 2016/680... 344 Stikordsregister... 403 10
Forord Denne bog er en invitation til en rejse i det nye persondataretlige landskab, der er skabt af forordning 2016/679, som erstatter direktiv 95/46 og hovedparten af persondataloven. Landskabet er nyt, selvom en del af terrænet er gammelt. Der skal bruges nye kort til at orientere sig og finde frem til de rette steder og til at forstå, hvorledes de er indrettet. Bogen tilstræber at være en sådan vejviser. Introduktionen opridser baggrunden for det nye, og kapitel 1 giver en oversigt over persondatarettens historie, der som nævnt er baggrunden for det terræn, som nu er tilvejebragt. Kapitel 2, bogens hovedkapitel, gennemgår forordningen. Den er lidt af en mastodont med et nærmest uendeligt antal ord, og forordningen er det komplekse landskab, som man må kunne orientere sig i. I kapitel 3 sættes fokus på den kommende danske udfyldning af de forordningsregler, som giver muligheder for dette. Forordningens mål er harmonisering i EU, men det er harmonisering med måde. Lidt polemisk vil vi om nogle år have»den danske forordning«. Kapitel 4 reflekterer over situationen efter maj 2018. Forordningen vil blive fortolket og udfyldt. Forordningen er nu et sidste ord, men den er ikke det sidste ord. Informationsteknologien er innovativ, nye behov opstår, terrænet skifter. Fremtiden er ukendt, men den er åben for refleksion. Forordningen er den ene del af persondataretsreformen. Den anden del er direktiv 2016/680, politipersondatadirektivet. I bogens appendiks omtales og gennemgås de centrale dele af dette direktiv. Det er nødvendigt for myndigheder og virksomheder at forberede sig, således at de kan opfylde forordningen fra den dag den får virkninger, 25.maj 2018. Det kan der synes lang tid til, men for mange er det ikke tilfældet. Efter at forordningen blev vedtaget, har persondataretten påkaldt sig betydelig interesse. Den er blevet»hot«. En mængde kurser og konferencer er blevet afholdt, og der skal sikkert komme flere til. Hvis man er naiv, vil man tro, at dette er udtryk for en øget interesse eller ligefrem omsorg for borgernes databeskyttelse. Mere realistisk er nok, at interessen skyldes de væsentligt forøgede sanktioner i form af administrative bøder, som forordningen medfører. Det er blevet nødvendigt at tage persondataret alvorligt. 11
Forord Tak til stud.jur. Emma Marie Borup for udarbejdelse af stikordsregisteret. Det er mit håb, at bogen vil gøre nytte og medføre, at de nye regler bliver mere forståelige, end de umiddelbart fremstår. Frederiksberg, august 2016 Peter Blume 12