Justitsministeriet Databeskyttelseskontoret databeskyttelse@jm.dk Høringssvar om udkast til forslag til en ny databeskyttelseslov For DA er det afgørende, at en ny databeskyttelseslov etablerer et klart og entydigt grundlag for virksomhedernes indsamling, opbevaring, behandling og videregivelse af persondata. På arbejdsmarkedsområdet håndterer danske virksomheder løbende store mængder af personoplysninger. Det sker bl.a. som led i den almindelige personaleadministration ved ansættelse af medarbejdere, i forbindelse med f.eks. løn, sygdom, ferie, trivsel, arbejdsretlige kontrolforanstaltninger, målinger og performance samt i forbindelse med fratrædelse. Hele overenskomstsystemet og adgangen til at håndtere sager i det fagretlige system, som er fundamentet i den danske aftalemodel, er afhængig af, at der kan ske en fleksibel, sikker og ubureaukratisk udveksling af personoplysninger mellem aktørerne. Forslaget til ny databeskyttelseslov viderefører i vidt omfang de eksisterende regler og praksis for udveksling af personoplysninger på arbejdsmarkedsområdet. Forslaget indeholder desuden en ny supplerende hjemmel for håndtering af personoplysninger i det fagretlige system. DA kan derfor grundlæggende støtte forslaget til en ny databeskyttelseslov. DA vil i den forbindelse kvittere for den dialog, der har været mellem Justitsministeriet og Beskæftigelsesministeriet og arbejdsmarkedets parter om særlig de overenskomst- og arbejdsretlige problemstillinger i forbindelse med udformning af dels betænkningen om persondataforordningen og forslaget til databeskyttelseslov. På statistikområdet mener DA, som bl.a. indsamler og udarbejder løn-, ulykkes- og fraværsstatistik for de mere end 24.000 virksomheder, der er medlem af DA s medlemsorganisationer, at forslaget til databeskyttelseslov bør udnytte alle undtagelsesmulighederne i databeskyttelsesforordningen. Forslaget til ny databeskyttelseslov bygger efter DA s opfattelse på en for snæver opfattelse af, hvilke data der indgår i grundlaget for en statistisk bearbejdning. Der henvises til de mere specifikke bemærkninger nedenfor. Forslaget til en ny databeskyttelseslov bygger på en EU-forordning. Lovforslaget supplerer på en række områder bestemmelserne i forordningen. Nogle gange henviser man i lovforslaget til bestemmelser direkte i forordningen. Det betyder, at loven umiddelbart bliver svær at håndtere for de medarbejdere, 22. august 2017 AMJ Dok ID: 107191 DANSK ARBEJDSGIVERFORENING Vester Voldgade 113 Tlf. 33 38 90 00 CVR 16834017 DK-1790 København V www.da.dk E-mail da@da.dk
Side 2 som skal anvende reglerne i praksis på virksomhedsniveau. DA vil derfor understrege, at der er behov for, at Datatilsynet eller en anden ansvarlig myndighed udarbejder konkrete handlingsorienterede vejledninger, som er særligt møntet på virksomhedernes behandling af personaleoplysninger. Konkrete vejledninger med eksempler vil være med til at understøtte virksomheders mulighed for at overholde de komplicerede regler og forebygge utilsigtede overtrædelser. Da vejledningerne skal understøtte virksomhedernes mulighed for at forstå og indrette sig på forordningen og de supplerende lovbestemmelser, og da virksomheder forud for, at forordningen træder i kraft, kan have behov for at opdatere eller ændre deres systemer, er det afgørende, at vejledningerne udarbejdes snarest muligt og senest inden udgangen af 2017. DA noterer sig, at regulering af kravene og rammerne for den nye databeskyttelsesrådgiver baserer sig direkte på forordningens regler. På den måde undgår man, at der kan opstå retsusikkerhed om forholdet mellem forordningens bestemmelser og eventuelt danske gennemførelsesregler. DA støtter derfor den af Justitsministeriet valgte model for den særlige databeskyttelsesrådgiver. Lovforslaget bygger på en EU-forordning og den fremtidige fortolkning af forordningen vil blive foretaget af det særlige Databeskyttelsesråd og i sidste instans af EU-Domstolen. DA skal derfor opfordre til, at de danske myndigheder prioriterer ressourcer til at påvirke den løbende fortolkning på EU-plan og inddrager arbejdsmarkedets parter, når det drejer sig om fortolkning på det arbejds- og ansættelsesretlige område. Det gælder særlig i relation til arbejdet i Det Europæiske Databeskyttelsesråd. Konkrete bemærkninger til lovforslaget De generelle behandlingsregler i 6-8 Behandling af almindelige oplysninger i 6 For at skabe klarhed om, at der fortsat kan ske behandling af persondata på det ansættelses- og arbejdsretlige område med hjemmel i de almindelige behandlingsregler i 6, anbefaler DA, at man via eksempler eller med henvisning til betænkningen præciserer i bemærkningerne til 6, at virksomheder fortsat kan støtte direkte ret på denne behandlingshjemmel, når de behandler oplysninger i forbindelse med ansættelsesforhold og som led i den almindelige personaleadministration. Det gælder også den praksis, der allerede foreligger fra Datatilsynet. Det bør af samme grund fremgå af bemærkningerne, særligt til 6, at lovforslagets 12 indeholder en supplerende hjemmel. Derfor vil der i ansættelsesforhold også kunne behandles personoplysninger inden for rammerne af lovforslagets øvrige behandlingsregler, herunder 6-8, og forordningens behandlingsregler i artikel 6, 9 og 10. Behandling af følsomme oplysninger i 7 DA har noteret, at lovforslagets 7 indeholder en udtømmende liste over personfølsomme oplysninger, og at oplysninger om væsentlige sociale problemer og andre rent private forhold ikke er medtaget i bestemmelsen, da disse oplysninger alene reguleres af databeskyttelsesforordningens artikel 6.
Side 3 DA finder det positivt, at Justitsministeriet med lovforslagets 7, stk. 2, sikrer, at det er muligt at behandle følsomme oplysninger i samme omfang som i dag ved at udnytte muligheden for at fastsætte en national regel (i henhold til forordningens artikel 9, stk. 2, litra b), som gør det muligt at behandle følsomme personoplysninger, hvis det er nødvendigt for at overholde den pågældendendes arbejdsretlige forpligtelser. Strafbare forhold i 8 DA noterer, at den danske bestemmelse udspringer af persondataforordningens artikel 10, 1. pkt, hvorefter private alene kan behandle oplysninger om strafbare forhold, hvis behandlingen har hjemmel i EU-retten eller national ret. DA støtter, at den danske særregel i den nuværende persondatalovs 8 bliver opretholdt i forslag til databeskyttelseslovens 8, og dermed sikrer en klar hjemmel til at videreføre virksomhedernes muligheder for at indhente og behandle straffeattester og oplysninger om strafbare forhold på samme måde som i dag. DA noterer, at behandling af f.eks. straffeattester, i lighed med i dag, kan ske uden samtykke, hvis det er nødvendigt for at varetage en berettiget interesse, som klart overstiger hensynet til den registrerede. DA forslår, at der i bemærkningerne til lovforslagets 8, 2. pkt, tilføjes som eksempel, at det kan være nødvendigt for virksomheder at indhente straffeattester, hvis det er en forudsætning for at varetage det konkrete job. Behandlingsregler i 12 om arbejds- og ansættelsesret Lovforslagets 12, stk. 1, fastlægger et supplerende behandlingsgrundlag til de generelle behandlingsregler i 6-8, hvorefter både almindelige og følsomme personoplysninger må behandles i forbindelse med ansættelsesforhold, hvis nødvendigt for at overholde arbejdsretlige forpligtelser og rettigheder fastsat i anden lovgivning eller kollektive overenskomster. Desuden kan der ske behandling, hvis den er legitim efter en konkret "interesseafvejning i 12, stk. 2. Det fremgår af bemærkningerne til bestemmelsen, at 12 har baggrund i forordningens artikel 88, som giver mulighed for at fastsætte nationale behandlingsregler i love og kollektive overenskomster for behandling af både almindelige og følsomme personoplysninger. DA foreslår, at der i bemærkningerne til lovforslagets 12, stk. 1, under henvisning til kollektive overenskomster også henvises til DA/LO-aftalen om kontrolforanstaltninger. I forlængelse af ovenstående bemærkninger angående lovforslagets 6 finder DA, at det bør fremgå direkte af lovbestemmelsen, at der er tale om en supplerende bestemmelse. Hermed præciseres det, at almindelige behandlinger i forbindelse med personaleadministration, som ikke nødvendigvis udspringer af en arbejdsretlig forpligtelse eller rettighed, som fastlagt i anden lovgivning eller kollektive overenskomster fortsat kan finde sted, så længe behandlingen har hjemmel i 6-8. DA vil endvidere foreslå, at der gives eksempler i lovbemærkningerne på behandlinger, som ikke er fastlagt i eller udspringer af anden lovgivning eller kollektive overenskomster, men som udspringer af praksis eller ledelsesretten generelt, som for eksempel brug af medarbejderfotos på intranettet eller brug af en medarbejders e-mailadresse i en vis periode efter medarbejderens fra-
Side 4 træden. DA kan tilslutte sig lovforslagets 12, stk. 3, hvorefter virksomheder kan anvende samtykke som behandlingsgrundlag ved behandling af persondata i forbindelse med personaleadministration, jf. artikel 7. Det valg er ligeledes foretaget i forbindelse med anvendelse af straffeattester efter lovforslagets 8. Bestemmelsen fastlægger, at samtykke vil udgøre en behandlingshjemmel i ansættelsesretlige forhold, men at det er op til virksomheden at dokumentere, at samtykket er sket udtrykkeligt og frivilligt. DA har noteret, at den såkaldte artikel 29-gruppe i deres udtalelse om databehandling på arbejdspladsen af 8. juni 2017 har anlagt en fortolkning af mulighederne for at anvende samtykke som behandlingsgrundlag, som er mere snæver i sit anvendelsesområde end lovforslaget. For at sikre en højere grad af klarhed foreslår DA, at man i lovforslagets bemærkninger til 12 og særligt stk. 3 henviser til grundlaget i forordningens betragtning (155), hvoraf det fremgår at: Medlemsstaternes nationale ret eller kollektive overenskomster, herunder»lokalaftaler«, kan fastsætte specifikke bestemmelser om behandling af arbejdstageres personoplysninger i ansættelsesforhold, navnlig betingelserne for, hvorledes personoplysninger i ansættelsesforhold kan behandles på grundlag af arbejdstagerens samtykke, og i forbindelse med ansættelse, ansættelseskontrakter, herunder godtgørelse for forpligtelser fastlagt ved lov eller kollektive overenskomster, ledelse, planlægning og tilrettelæggelse af arbejdet, ligestilling og mangfoldighed på arbejdspladsen, sikkerhed og sundhed på arbejdspladsen, individuel eller kollektiv udøvelse og nydelse af rettigheder og fordele i forbindelse med ansættelse samt ophør af ansættelsesforhold. Samtidigt foreslår DA, at de danske myndigheder arbejder for at påvirke artikel 29-gruppen til at nuancere deres opfattelse af brugen af samtykke i ansættelsesforhold gerne med specifik henvisning til det danske lovforslag. DA finder, at det er med til at præcisere retsstillingen, når det fremgår af lovforslagets bemærkninger, at medarbejdere har ret til at trække sit samtykke tilbage, men at oplysningerne fortsat kan behandles, hvis brugen af persondata foregår på et andet juridisk grundlag, herunder f.eks. via lovforslagets 6. DA skal i den sammenhæng henvise til vores generelle bemærkninger oven for og understrege behovet for, at man hurtigst muligt udarbejder en konkret vejledning til virksomheder om, hvilke vilkår der skal være opfyldt, før de kan anvende samtykke som grundlag for behandling af persondata i et ansættelsesforhold. Gerne med eksempler på, hvornår det kan være gyldigt at behandle oplysninger efter et andet hjemmelsgrundlag ved medarbejderens tilbagetrækning af samtykke. Behandlingsregler i 10 om statistik Lovforslaget indebærer, at der er usikkerhed om den fortsatte mulighed for at anvende personoplysninger i forbindelse med udarbejdelse af statstik. På den baggrund finder DA, at man i den nye danske persondatalov bør udnytte hjemmelen i artikel 89 med henblik på at skabe større sikkerhed for, at personoplysninger kan anvendes til statistiske formål. Lovforslagets 22, stk. 5, bør derfor ændres til følgende: Databeskyttelsesforordningens artikel 15, 16, 18 og 21 finder ikke anvendelse,
Side 5 hvis oplysningerne udelukkende behandles i videnskabeligt øjemed eller til at udarbejde statistikker. DA s formulering indebærer, at den passage i lovforslaget, hvorefter virksomheder alene kan anvende persondata til statistikformål i det tidsrum, som kræves for at udarbejde statistikkerne", udgår. Efter DA s opfattelse vil en sådan begrænsning som foreslået gøre det yderst vanskeligt at anvende data til statistikformål. Den tekniske udvikling har betydet, at statistikproducenterne kan stille services til rådighed for brugerne også efter selve udarbejdelsen, hvor de kan søge i statistikkens datagrundlag og danne statistiske resultater, der afspejler konkrete behov baseret på egne specifikationer for afgrænsning af statistikken. Det giver brugeren en langt større nytte af materialet, end det praktisk er muligt at tilvejebringe ved at danne faste tabeller med aggregerede tal ud fra foruddefinerede afgrænsninger, som klassisk eller traditionel papirbaseret statistik typisk har omfattet. Det er vigtigt at betragte individoplysningerne, der ligger til grund for statistikken, som en del af statistikken. Hvis ikke statistikbegrebet udvides i forhold til det begreb, som anlægges i teksten til lovforslaget, vil det betyde, at en betydelig del af det, som i dag opfattes som statistik, ikke længere vil kunne videreføres, eller kvaliteten og statistikformålene vil kunne komme i fare på grund af registerrettighederne. Samtidig bør der i bemærkningerne ske en præcisering/udvidelse af statistikbegrebet. Det er vigtigt at betragte individoplysningerne, der ligger til grund for statistikken, som en del af statistikken. Hvis ikke statistikbegrebet udvides i forhold til det begreb, som anlægges i teksten til lovforslaget, vil det medføre, at en betydelig del af det, som i dag opfattes som statistik, ikke vil kunne videreføres på samme måde som i dag. DA s forslag gælder generelt for fremtidig udarbejdelse af statistik i Danmark og omfatter dermed både de statistikker, som udformes af offentlige myndigheder og private aktører som eksempelvis DA. Efter DA s opfattelse vil en manglende udnyttelse af hjemmelsadgangen efter artikel 89 i forordningen indebære, at nogle af de offentlige statistikker, som DA s oplysninger føder ind til, ikke vil kunne udarbejdes. Indsigtsret og oplysningspligt DA er enig med Justitsministeriet i, at det vil være uhensigtsmæssigt at give den registrerede en ubetinget oplysnings- og indsigtsret. Ligeledes støtter DA, at Justitsministeriet har valgt at udnytte muligheden for at undtage oplysninger fra oplysnings- og indsigtsretten i 22. En vid adgang til indsigt og oplysning vil skabe mulighed for misbrug og medføre uforholdsmæssigt store byrder for virksomhederne. Tilladelse til behandling DA ønsker at kvittere for, at den generelle anmeldelsespligt i persondatalovens 43 bliver ophævet. I henhold til 26 skal der fremover indhentes tilladelse fra Datatilsynet bla., hvis behandlingen af oplysningerne sker med henblik på at advare andre mod forretningsforbindelser med eller ansættelsesforhold til en registreret. Det følger af bemærkningerne, at bestemmelsen tager sigte på, at der skal indhentes tilladelse, før der iværksættes advarselsregistervirksomhed. Det
Side 6 fremgår dog ikke nærmere, hvad der menes med denne type virksomhed. Grundlæggende bygger forordningen på et opgør med et tilladelsessystem mod fokus på eget ansvar for at overholde reglerne i egen virksomhed. DA mener på den baggrund, at man bør være tilbageholdende med at indføre adgange til at fastsætte yderligere regler som eksmeplvis i 26, stk. 3 om, at der forinden iværksættelses af andre behandlinger end de nævnte i 26, stk. 1, skal indhentes tilladelse fra Datatilsynet. Kapitel 12 om håndhævelse Det fremgår af lovforslaget, at de nuværende bødestørrelser vil blive væsentligt forhøjet som følge af den kommende dataforordning. DA noterer i den forbindelse, at strafudmålingen i Danmark fortsat vil bero på domstolenes konkrete vurdering i det enkelte tilfælde af samtlige omstændigheder i sagen, og at det angivne strafniveau derfor vil kunne fraviges i op- eller nedadgående retning, hvis der i den konkrete sag foreligger skærpende eller formildende omstændigheder i henhold til de almindelige regler om straffens fastsættelse i straffelovens kapitel 10. DA noterer samtidig, at Datatilsynet efter forslagets 42 vil blive bemyndiget efter 42 til at udstede administrative bødeforelæg i ukomplicerede sager uden bevismæssige tvivlsspørgsmål. Med den store fokus der har været på de nye forhøjede bødeniveauer, er det efter DA s opfattelse afgørende, at der udarbejdes vejledning med konkrete retningslinjer gerne suppleret med eventuelle bagatelgrænser og konkrete eksempler. På den måde vil virksomheder kunne blive vejledt om deres retsstilling i forbindelse med eventuelle bødeforlæg. Såfremt vores bemærkninger giver anledning til spørgsmål, står vi naturligvis til rådighed for uddybning. Med venlig hilsen DANSK ARBEJDSGIVERFORENING Sign. Ann Marie Willemoes Jørgensen