22. august 2017 KIH DI-2017-10345 Justitsministeriet Databeskyttelseskontoret Slotsholmsgade 10 1216 København K Høring over udkast til databeskyttelsesloven Justitsministeriet har ved e-mail af 7. juli 2017 anmodet om DI s eventuelle bemærkninger til udkast til forslag til databeskyttelsesloven. Som følge af at databeskyttelsesforordningen har direkte virkning i Danmark, vil det pågældende lovforslag supplere de vedtagne regler i databeskyttelsesforordningen og ophæve den nugældende danske persondatalov. Det skal indledningsvis bemærkes, at DI s bemærkninger til lovforslagets bestemmelser af ansættelsesretlig karakter indgår samlet i DA s høringssvar, hvortil der henvises. Det er DI s generelle holdning, at der bør være så få danske særregler som muligt på persondataområdet. Dette skyldes først og fremmest, at hensynet til en ensartet europæisk harmonisering på området er vigtigt af hensyn til virksomhedernes arbejde med og overholdelse af reglerne. Der er ikke tvivl om, at danske virksomheder både i dag og fremover vil bruge meget store økonomiske ressourcer på at sikre compliance med databeskyttelsesreglerne. I den forbindelse vil nationale særregler på tværs af EU, herunder i Danmark, gøre det mere besværligt og dermed økonomisk ressourcetungt, uden at det positivt bidrager til virksomhederne konkurrencemæssige situation. Man bør derfor vælge en så indskrænket fortolkning af reglerne ved den danske databeskyttelseslov, og i de få tilfælde, hvor danske særregler gennemføres, opveje dem over for hensynet til konsekvenserne for dansk erhvervsliv og herunder fornødne proportionalitetshensyn. Ovennævnte gælder ligeledes i relation til de mange bestemmelser, hvor lovforslaget overlader en kompetence til vedkommende ansvarlige minister for nærmere at udfylde lovgivningen på området. Lovforslaget fastslår i kapitel 10 i forlængelse af Databeskyttelsesforordningen, at det er Datatilsynet, der i Danmark fører tilsyn med behandling af personoplysninger. Foruden tilsynsopgaven lægger DI vægt på, at Datatilsynet prioriterer sin vejledningsopgave over for virksomhederne og sine internationale opgaver i regi af Databeskyttelsesforordningen. *SAG* *SAGDI-2017-10345*
Konkret betyder det, at Datatilsynets løbende skal bruge ressourcer på udarbejdelse og vedligeholdelse af konkret vejledning til virksomhedernes efterlevelse af Databeskyttelsesforordningen. Der er på nuværende tidspunkt en lang række uklarheder om den konkrete forståelse og håndhævelse af en række af Databeskyttelsesforordningens områder. DI imødeser første skridt til afklaring heraf i form af de af Justitsministeriet bebudede 13 første vejledninger, der er annonceret til at blive udgivet fra september 2017 til januar 2018. Det er dog væsentlig at understrege, at Datatilsynets vejledningsopgave ikke er opfyldt med de 13 vejledninger. Behovet for vejledning af virksomhederne i overholdelse af Databeskyttelsesforordningen er stort. En klar vejledning er særlig vigtigt, når niveauet for bøder og fængsel, der kan udstedes for ikke at overholde Databeskyttelsesforordningen, har det omfang, som det er tilfældet. Samtidig opfordrer DI til at inddrage virksomhedernes erfaringer i vejledningsarbejdet samt til, at tidsplanen for udgivelse af de første 13 vejledninger overholdes, så vejledningen til virksomhederne ikke udsættes yderligere, da virksomhederne allerede ved overholdelse af tidsplanen gives utilfredsstillende kort tid til at indrette sig på indholdet af vejledningerne. På samme måde er Datatilsynets internationale opgavevaretagelse på persondataområdet ikke afsluttet med Artikel 29-arbejdsgruppen. Når Artikel 29-arbejdsgruppen konverteres til Det Europæiske Databeskyttelsesråd, ligger der en væsentlig opgave i varetagelsen af blandt andet danske virksomheders interesser i Databeskyttelsesrådet, der får en række beslutningskompetencer, der har direkte virkning i medlemsstaterne, herunder Danmark. En opgave, der bliver større end arbejdet i Artikel 29-arbejdsgruppen, som Datatilsynet i forvejen ikke har haft ressourcer til at dække alle dele af. DI vil i forlængelse heraf understrege, at det er svært at forestille sig, at Datatilsynet skal kunne varetage disse opgaveområder på tilfredsstillende vis, hvis tilsynet ikke tilføres væsentlige nye ressourcer til de nye opgaver på samme måde, som det allerede er sket i en række af de øvrige medlemsstaters datatilsyn. DI opfordrer derfor til at finde de nødvendige ressourcer dedikeret til hver af disse to opgaver; vejledning og international indsats. DI s bemærkninger til de specifikke lovbestemmelser 3 lovens materielle anvendelsesområde DI støtter, at der i lovforslagets 3, stk. 9 kun undtagelsesvis gives mulighed for en begrænsning af databehandling på tværs af det indre marked, herunder at visse offentlige itsystemer skal opbevares i Danmark. Grundlæggende er DI imod denne undtagelse fra den frie konkurrencesituation i det indre marked og så gerne, at 3, stk. 9 udgik af lovforslaget. Herudover er det DI s opfattelse, at der ikke er belæg for, at en bestemt geografisk placering af data giver større sikkerhed og beslutningskraft over data. Selvom data er fysisk opbevaret i Danmark, er data ikke skærmet fra fremmede landes aktører. DI vil derfor opfodre til, at sikringen af data sker
gennem de allerede eksisterende værktøjer som databehandleraftale og it-sikkerhedstiltag. Såfremt lovforslagets 3, stk. 9 alligevel fastholdes som en del af lovforslaget, er det væsentlig, at omfanget af disse data begrænses i lovforslaget, og at der sker en indsnævring af de meget generelle bemærkninger om data, der potentielt alene må opbevares i Danmark. DI er endvidere opmærksom på, at lovforslaget udvider Databeskyttelsesforordningens område til også af omfatte afdøde (i 10 år). I Databeskyttelsesforordningen fremgår det flere steder, at forordningen ikke bør finde sted på afdøde personer eksempelvis i præambel 158. Udover det kort beskrevne formål om bevarelse af afdødes eftermæle, fremstår det uklart, hvorfor hele loven og forordningen skal finde anvendelse på afdøde i op til 10 år. DI skal derfor opfordre til, at bestemmelsen udgår af lovforslaget. 4 lovens geografiske område Det fremgår af lovforslaget, at det geografiske område for forordningen og loven er sammenfaldende. Der er imidlertid en række virksomheder, herunder danske hosting- og cloudserviceleverandører, som i dag er usikre på den gældende persondataretlige regulerings territoriale udstrækning. Dette gælder særlig i den situation, hvor en dataansvarlig i et tredjeland ønsker at benytte en dansk databehandler til behandling af oplysninger om datasubjekter i det pågældende tredjeland, og den danske databehandler benytter hjælpemidler placeret i Danmark. I det omfang den nugældende danske persondatalov finder anvendelse i sådanne situationer, medfører det en stor ulempe for danske virksomheder, som ønsker kommercielt at udbyde databehandler-ydelser til dataansvarlige i tredjelande. Det fremkommer DI uklart, i hvilket omfang lovforslaget adresserer eller ændrer denne problemstilling, og ønsker derfor klarhed herom. Det fremkommer endvidere DI uklart, hvorvidt at loven og dens regler som følge af 4 skal gælde for situationer, hvor danske borgere befinder i udlandet, og hvor behandlingen af personoplysninger udføres for en databehandler eller for en dataansvarlig, som ikke er etableret i DK eller EU. F.eks. ved identitetstyveri fra danske borgere, der er på ferie eller arbejder i udlandet. 5 behandling af oplysninger Det fremgår af lovforslagets 5, stk. 2, nr. 5, at kryptering og pseudonymisering er garantier, når der sker behandling af personoplysninger. DI vil gerne understrege, at der ikke kan stilles garantier, blot fordi man anvender kryptering eller pseudonymisering i sin databehandling. Kryptering og pseudonymisering er databeskyttelsesforanstaltninger og it-sikkerhedsforanstaltninger, der kan medvirke til at reducere risici for den registreredes oplysninger. DI forslår, at 5, stk. 2, nr. 5 i stedet omformuleres til: tilstedeværelse af fornødne databeskyttelsesforanstaltninger, som kan omfatte kryptering eller pseudonymisering..
6 informationssamfundstjenester Det forslås i bestemmelsen, at behandling af personoplysninger om et barn i forbindelse med udbud af informationssamfundstjenester direkte til børn kun er lovlig, hvis barnet er mindst 13 år. DI støtter denne implementering af retsakten, som balancerer det åbenbare hensyn til barnets mulige deltagelse i denne form for informationstjenester. 10 statistiske og videnskabelige undersøgelser Det forslås i bestemmelsen at videreføre muligheden for behandling af følsomme personoplysninger, hvis dette alene sker med henblik på at udføre statistiske eller videnskabelige undersøgelser af væsentlig samfundsmæssig betydning, og behandlingen er nødvendig af hensyn til udførelsen af undersøgelserne. DI støtter videreførelsen af denne mulighed for behandling af personoplysninger med henblik på statistiske og videnskabelige undersøgelser, som har stor betydning for mange danske virksomheders udvikling og forretningsmuligheder. DI støtter desuden den nye foreslåede 10 stk. 4, hvorefter oplysninger, som er behandlet med henblik på at udføre sundhedsvidenskabelig forskning, senere kan behandles i andet end statistisk eller videnskabelig øjemed, hvis behandlingen er nødvendig af hensyn til varetagelsen af den registreredes vitale interesser. DI skal i den forbindelse særligt henlede opmærksomheden på, at markedsanalyse- og meningsmålingsinstitutterne er særligt afhængige af adgangen til fortsat at behandle personoplysninger, da deres kerneforretning er at udarbejde undersøgelser og statistikker til deres kunder. Som følge af at der justeres i anmeldelsespligten, samtykkereglerne m.m., er der særligt behov for, at der i det kommende vejledningsarbejde indtænkes, hvordan markedsanalyse- og meningsmålingsinstitutterne arbejder, så de fremtidige rammer for deres forretning i forhold til håndtering af data udformes på en sådan måde, at markedsanalyse- og meningsmålingsinstitutternes konkurrenceevne ikke forringes. 11 cpr-numre DI støtter forslaget om, at private fremover bør have adgang til at behandle oplysninger om personnumre, når betingelserne i lovforslaget for behandling af følsomme oplysninger er opfyldt. Det bemærkes i forlængelse heraf, at det ligeledes er positivt, at lovforslaget alene opererer med to kategorier af personoplysninger - almindelige personoplysninger og følsomme personoplysninger - og ikke viderefører de tre kategorier af personoplysninger fra persondataloven.
13 - markedsføring DI vil som udgangspunkt stille spørgsmålstegn ved, om forordningen giver mulighed for den foreslåede regulering på området for markedsføring, og vil derfor opfordre Justitsministeriet til at afklare dette nærmere med Kommissionens juridiske tjeneste. For så vidt angår den foreslåede regulering støtter DI så klare og udtømmende regler for videregivelse af oplysninger til brug for markedsføring som muligt. Det er vigtigt i forhold til virksomhedernes overholdelse af loven, at lovens bestemmelser, forarbejder og vejledninger angiver de præcise rammer, som virksomhederne skal agere indenfor. Det er herudover ikke DI s opfattelse, at det bør være et selvstændigt mål, som anført i bemærkningerne, at rammerne for videregivelse til brug for markedsføring skal være så snævre som muligt. DI finder det på denne baggrund derfor problematisk, at justitsministeren i lovforslaget gives en hjemmel til at fastsætte yderligere ikke definerede begrænsninger i adgangen til videregivelse til brug for markedsføring. DI forslår derfor, at denne mulighed udgår af bestemmelsen. 25 akkreditering af certificeringsorganer DI støtter forslaget om, at Justitsministeriet fremover har mulighed for at akkreditere certificeringsorganisationer og afventer den nærmere praktiske implementering af bestemmelsen. 26 advarselsregistre Det forslås i bestemmelsen at opretholde en forudgående tilladelse fra Datatilsynet inden iværksættelse af advarselsregistre, på trods af at forordningen ikke kræver en sådan tilladelse. Der vil på flere områder i dag være et behov for, at virksomheder kan advare hinanden mod svindel mv. i forhold til f.eks. låne- og ansættelsesforhold. Denne mulighed bør ikke unødigt besværliggøres ved at afvente tilladelse fra Datatilsynet. Det er det klare udgangspunkt i forordningen, at det er de involverede virksomheders ansvar at forordningen overholdes, hvilket ligeledes er begrundelsen for at anmeldelsessystemet ikke er en del af kravene i forordningen. DI kan derfor ikke støtte, at der skal indhentes en forudgående tilladelse til behandling i forbindelse med advarselsregistre. 29 Datatilsynets adgang til virksomheder Det forslås i bestemmelsen, at Datatilsynet fremover skal have adgang til alle lokaler, hvorfra en behandling af personoplysninger foretages, uden at skulle fremskaffe en retskendelse. I den nuværende udformning af loven har tilsynet kun adgang til lokaliteter uden retskendelse, hvor der behandles oplysninger for den offentlige forvaltning, eller hvor behandlingen kræver forudgående anmeldelse og tilladelse fra Datatilsynet. Denne
markante udvidelse af området, hvor der ikke længere kræves retskendelse, fra særlige begrundede lokaliteter til nu reelt alle danske virksomheder, virker retssikkerhedsmæssigt krænkende. Lovforslagets bemærkninger begrunder denne udvidelse med henvisning til forordningens artikel 58 litra f), hvorefter tilsynet skal have adgang til alle lokaler i overensstemmelse med retsplejeregler i EU-retten eller medlemsstaternes nationale ret. Forordningen giver således styrelsen hjemmel til en adgang til alle lokaliteter, men lader det stå åbent, på hvilket grundlag de nationale myndigheder har denne adgang med en henvisning til nationale retsplejeregler. Det klare udgangspunkt i dansk retspleje er, at myndighedsundersøgelser af privates lokaliteter kun kan ske ved indhentelse af retskendelse. Det er ligeledes tilfældet i meget særlovgivning, herunder konkurrencelovens regler, hvor myndighedernes kontrolundersøgelser for konkurrenceovertrædelser kun kan foretages mod behørig retskendelse. På den baggrund og under hensyntagen til de foreslåede generelle strafskærpelser i lovforslaget, bør tilsynet ikke tildeles denne udvidede adgang til alle danske private lokaliteter uden nogen form for retskendelse. 36 gebyr for ansøgninger Ifølge lovforslaget gives justitsministeren nu hjemmel til frit at fastsætte regler om betaling af gebyr for indgivelse af ansøgning om tilladelser i henhold til loven og gebyret størrelse. I den nuværende lov er området og niveauet for betaling af gebyr helt klart fastlagt. DI kan ikke støtte en ændring, hvor det frit overlades til ministeren at fastsætte gebyrområder og gebyrstørrelser for alle danske virksomheder, og skal derfor opfordre til, at den nuværende bestemmelse herom i persondataloven fastholdes. 41 fængsel Det forslås i lovforslaget, at man kan straffes med bøde eller fængsel indtil 6 måneder for overtrædelse af en række af lovforslagets bestemmelser. Der henvises som begrundelse for indførsel af en 6 måneders fængselsstraf til straffelovens 264 d. I lov om retshåndhævende myndigheders behandling af personoplysninger, lov nr. 410 af 27/4 2017, fremgår det af lovens 50, at en privat databehandler, der udfører en behandling for en offentlig myndighed, og som overtræder loven, kan straffes med fængsel i indtil 4 måneder. Efter DI s opfattelse virker det naturligt, at en sanktionsbestemmelse i dette lovforslag harmonerer med strafbestemmelsen i lov nr. 410, og forslår derfor indførsel af en straframme på 4 måneder i stedet. Herudover savnes mere detaljerede bemærkninger om de enkelte strafsubjekter i den enkelte organisation, herunder også i det offentlige jf. lovforslagets 41 stk. 5. Endelig udestår en mere detaljeret beskrivelse af sammenhængen mellem fængselsstraf og bødeniveauet.
41 stk. 5. bøder til offentlige myndigheder Det fremgår af lovforslaget, at stillingtagen til sanktionsspørgsmålet i forhold til offentlige myndigheder udestår. Dette på trods af, at offentlige myndigheder på tilsvarende måde som private virksomheder er omfattet af lovens forpligtigelser, og på mange områder i dag udøver erhvervsmæssige aktiviteter i konkurrence med private aktører. DI er derfor af den opfattelse, at offentlige myndigheder på tilsvarende måde som f.eks. i konkurrenceloven, bør ligestilles med private virksomheder ved bødesanktionering i forbindelse med udøvelse af erhvervsmæssig aktivitet. Dette vil både sende et tydeligt signal til offentlige myndigheder om vigtigheden i overholdelsen, og helt grundlæggende ligestille offentlige myndigheder og private virksomheder. Samtidig bør der ligeledes være passende sanktioner, når offentlige myndigheder i deres øvrige myndighedsudøvelse ikke overholder Databeskyttelsesforordningen. Offentlige myndigheder behandler personoplysninger i et meget stort omfang, og der har i offentligheden været flere eksempler på, at offentlige myndigheder ikke har været foretaget de nødvendige foranstaltninger til beskyttelse af personoplysninger, som de vil være forpligtet til med Databeskyttelsesforordningen. Det er derfor svært at se forordningens hensigt om at beskytte de registreredes grundlæggende rettigheder blive understøttet, såfremt der ikke også sker en sanktionering af offentlige myndigheders overtrædelser af forordningen. 42 bødeforlæg Det forslås i lovforslaget at udstede bødeforlæg i tilfælde, hvor den som har begået overtrædelsen har erklæret sig skyldig i overtrædelsen. Det fremgår af lovforslagets bemærkninger, at kompetencen er begrænset til tilfælde, hvor sagen er egnet hertil, dvs. i ukomplicerede sager, hvor der ikke er bevismæssige tvivlsspørgsmål. DI er grundlæggende skeptisk over for indførsel af muligheden for administrative myndigheder til at udstede bødeforlæg som sanktionsmulighed. Dette skyldes primært, at det i praksis har vist sig svært at sætte grænser for hvilke sager, der kan kategoriseres som ukomplicerede og ikke indeholdende retlige tvivlsspørgsmål. Denne vurdering bør derfor tages af domstolene og ikke af administrative myndigheder som Datatilsynet. Såfremt bødeforlæg alligevel fastholdes på dette område, bør muligheden i bemærkningerne indsnævres til de situationer, hvor anklagemyndigheden først har vurderet sagen, og der er etableret en helt fast retspraksis, som det f.eks. er tilfældet i konkurrencelovens anvendelse af bødeforlæg. Med venlig hilsen Kim Haggren Underdirektør Adam Lebech Branchedirektør