Journalnummer: 2004-122-0104
Brev af 27. februar 2004:
Datatilsynet har modtaget Erhvervs- og Boligstyrelsens brev af 2. februar 2004 med bilag, hvori Erhvervs- og Boligstyrelsen anmoder Datatilsynet om eventuelle bemærkninger til ovennævnte udkast.
Der er indhentet yderligere oplysninger telefonisk.
Det fremgår af udkastet til ændringsbekendtgørelsen, at videregivelsesreglerne for de i bekendtgørelsen omfattede registre ønskes ændret. Ændringen skal betyde en lettere adgang til at indhente og bruge oplysninger som ikke er omfattet af persondataloven.
Datatilsynet skal bemærke følgende:
1. Det fremgår af Erhvervs- og Boligstyrelsens høringsbrev, at pligten for rekvirenten til at indgå en kontrakt med datadistributøren er begrundet med, at Erhvervs-og Boligstyrelsen som dataansvarlig skal kunne påse, at datadistributørerne, som er databehandlere, ikke videregiver data i strid med persondataloven.
I brev af 12. oktober 2000 til By- og Boligministeriet udtalte Datatilsynet i forbindelse med høring af udkast til lov om ændring af lov om bygnings- og boligregistret, lov om offentlige veje og lov om private fællesveje, at for så vidt angår udformningen af den nye videregivelsesordning, var det tilsynets opfattelse, at de pågældende datadistributører ville have en karakter af adresserings- og kuverteringsbureau. Datatilsynet fandt således, at distributørerne måtte være at anse for selvstændige dataansvarlige, da de tilpasser, sælger og videregiver oplysninger, og da de er private virksomheder eller eventuelt offentlige institutioner. Kopi af høringssvaret vedlægges.
Adresserings- og kuverteringsbureauer er særligt reguleret i persondatalovens § 12. Det fremgår af bestemmelsen, at adresserings- og kuverteringsbureauer kun må behandle visse typer oplysninger. Blandt andet nævnes behandling af 2 oplysninger, der indgår i erhvervsregistre, som i henhold til lov eller bestemmelser fastsat i henhold til lov er beregnet til at informere offentligheden.
Bestemmelsen i § 12 omfatter også offentlige myndigheder, og Datatilsynet fandt i udtalelsen af 12. oktober 2000, at By- og Boligministeriet ved at sælge adresser over grupper af forbrugere til private virksomheder, som vil anvende oplysningerne i markedsføringsøjemed, vil udøve virksomhed, som vil få karakter af adresserings- og kuverteringsbureausvirksomhed.
I bemærkningerne til persondatalovens § 12 anføres det blandt andet, at den registrerede altid vil kunne fremsætte indsigelse mod, at et dataansvarligt adresserings- og kuverteringsbureau behandler oplysninger om den pågældende med henblik på markedsføring, herunder salg, kuvertering eller udsendelse, jf. § 36, stk. 1, ligesom adresserings- og kuverteringsbureauet skal følge proceduren i § 36.
Erhvervs- og Boligstyrelsens rolle
I det omfang datadistributørerne - som det nu er anført - skal anses for databehandlere for Erhvervs- og Boligstyrelsen, vil den enkelte datadistributør ved videregivelse af oplysninger være at betragte som handlende på vegne af styrelsen.
De særlige markedsføringsregler i persondatalovens § 6, stk. 2-4, og § 36 gælder for virksomheder, og offentlige myndigheder er som udgangspunkt ikke omfattet af disse regler. Dog vil en offentlig erhvervsdrivende virksomhed være omfattet af reglerne, jf. Datatilsynets afgørelse af 5. maj 2003 om Københavns Energi. Kopi vedlægges til orientering.
Imidlertid må Erhvervs- og Boligstyrelsen anses for forpligtet til at iagttage persondatalovens § 12 og § 36, jf. det ovenfor anførte angående adresserings- og kuverteringsbureauer.
Hertil kommer, at det i § 6, stk. 1, i lov om bygnings- og boligregistrering er anført, at oplysninger fra bygnings- og boligregistret kan anvendes med henblik på markedsføring under iagttagelse af reglerne herom i lov om behandling af personoplysninger og lov om markedsføring. I forarbejderne til bestemmelsen er det en ufravigelig betingelse, at anvendelsen af oplysningerne i BBR til opdyrkning af nye kundeforhold sker i overensstemmelse med bestemmelserne om anvendelse af data til markedsføringsformål i lov om behandling af personoplysninger og lov om markedsføring. I øvrigt gennemgås persondatalovens regler, herunder den indsigelsesprocedure, som fremgår af persondatalovens § 36.
Det er således Datatilsynets opfattelse, at datadistributørerne på Erhvervs- og Boligstyrelsens vegne vil have pligt til at iagttage indsigelsesproceduren i persondatalovens § 36.
Tilsynet skal dog bemærke, at en datadistributørs eventuelle tilsidesættelse af reglerne i persondataloven ikke er strafsanktioneret, hvis behandlingen sker på vegne af Erhvervs- og Boligstyrelsen. Derimod vil påtale af en eventuel tilsidesættelse ske overfor den dataansvarlige, det vil sige Erhvervs- og Boligstyrelsen.
For det tilfælde, at datadistributørerne alligevel ikke skal anses for databehandlere for Erhvervs- og Boligstyrelsen, kan det oplyses, at de skal iagttage persondatalovens § 6, stk. 2-4, og § 36 i de tilfælde, hvor videregivelsen sker til brug for markedsføring. Hvis videregivelsen sker til andre formål, vil videregivelsen være reguleret af de almindelige regler i persondatalovens § 6, stk. 1. Se nærmere nedenfor.
I øvrigt vil distributørerne være omfattet af persondatalovens § 12, jf. Datatilsynets høringssvar af 12. oktober 2000. Dette betyder som nævnt, at distributørerne under alle omstændigheder skal iagttage indsigelsesreglen i persondatalovens § 36, hvis de sælger oplysninger om grupper af personer eller for tredjemand foretager adressering eller videresendelse af meddelelser til sådanne grupper.
Såfremt datadistributøren anvender BBR-oplysninger til egne formål
Hvis en datadistributør bruger BBR-oplysninger til egne formål, f.eks. til egen markedsføring, vil datadistributøren efter Datatilsynets opfattelse være at betragte som dataansvarlig for denne behandling.
Erhvervs- og Boligstyrelsens videregivelse til distributørerne skal i denne situation opfylde de samme krav som nævnt ovenfor.
Offentliggørelse af oplysninger
Datatilsynet har i brev af 9. maj 2001 til By- og Boligministeriet oplyst, at det i forhold til persondataloven ikke kan udelukkes, at der kan ske offentliggørelse på internettet af visse BBR-oplysninger, som er omfattet af persondataloven. Kopi af Datatilsynets brev af 9. maj 2001 og referat af møde med repræsentanter for ministeriet den 29. juni 2001 vedlægges.
Datatilsynets bemærkninger til selve ændringsbekendtgørelsen
Erhvervs- og Boligstyrelsen har vedlagt et påtænkt nyt bilag 10, som skal indgå som en del af OIS-datadistributørkontrakten. Bilaget indeholder en udtømmende liste over de udtræk og dataelementer i de omhandlede registre, som ikke er omfattet af lov om behandling af personoplysninger og dermed kan videregives og anvendes i videre omfang efter de foreslåede regler.
Det er Datatilsynets vurdering, at de udtræk og dataelementer, som fremgår af bilag 10, kan indeholde oplysninger, som ikke generelt er at betragte som uden for persondatalovens anvendelsesområde.
En stor del af de i bilag 10 opremsede udtræk og dataelementer er identifikationsoplysninger for ejendomme, såsom matrikelnummer, bygningsnummer og lignende. Bilaget indeholder også en del teknisk styredata, som kun vedrører selve det omhandlede register og dets koder.
Bilag 10 indeholder imidlertid også konkrete oplysninger om ejendomme og den mulige anvendelse af disse.
I den kodegruppe som hedder C14000TType “Kommuneplan”, fremgår der forskellige konkrete oplysninger om den pågældende ejendom, herunder ejendommens maksimal bebyggelsesprocent, maksimal bygnings højde, zonestatus og oplysninger om eventuelle bygningsbevaringsbestemmelser for ejendommen. Under kodegruppe CO12500TType “Matrikelgrund” fremgår oplysninger om eventuelle noteringer om fredning på ejendommen, såsom fredsskovsareal, klitfredning og strandbeskyttelse.
Det fremgår også, om der har været anlagt en skelforretning. Det fremgår også, om ejendommen har en rentenotering, og ejeren dermed skal betale et årligt beløb til staten. Endvidere indeholder bilag 10 under kode CO12700TType “Matrikelsag”, oplysninger om, hvorvidt der har været en matrikelsag angående ejendommen, og i så fald afslutningsårsagen for matrikelsagen.
Det er Datatilsynets vurdering, at flere af disse udtræk og dataelementer vil indeholde oplysninger, som vil være omfattet af persondataloven, idet oplysningerne kan medføre indskrænkninger i anvendelsen af arealet, og derfor kan være af betydning for ejendommens ejer. For så vidt angår udtræk og dataelementer angående rentenotering, skelforretning og afslutningsårsagen for en eventuel matrikelsag, er det Datatilsynets vurdering, at disse oplysninger altid vil være omfattet af persondataloven.
Datatilsynet skal henstille, at Erhvervs- og Boligstyrelsen tager bilag 10 op til fornyet vurdering, idet visse af de dataelementer og udtræk, som fremgår af bilaget, er at betragte som omfattet af persondataloven og dermed underlagt dets bestemmelser.
Datatilsynet skal i den forbindelse bemærke, at bekendtgørelsen kan give datadistributører og senere rekvirenter den opfattelse, at alle oplysninger i bilag 10 kan behandles uden iagttagelse af persondataloven, hvilket ikke er korrekt.
Datatilsynet har ikke yderligere bemærkninger til det fremsendte materiale.
Brev af 9. juli 2004:
I brev af 2. februar 2004 med bilag, anmodede Erhvervs- og Boligstyrelsen Datatilsynet om eventuelle bemærkninger til ovennævnte udkast.
I brev af 27. februar 2004 afgav Datatilsynet sine bemærkninger til udkastet. Endvidere blev der den 4. april 2004 afholdt et møde mellem Datatilsynet og Erhvervs- og Boligstyrelsen.
I brev af 17. juni 2004 har Erhvervs- og Boligstyrelsen anmodet om Datatilsynets stillingtagen til, om tilsynet er enig i styrelsens vurdering af følgende punkter vedrørende udkastet:
- At OIS-datadistributører er at anse som selvstændige dataansvarlige for så vidt angår deres behandling af data, med dertil hørende forpligtelser i persondataloven.
- At bestemmelsen i persondatalovens § 12 i mange tilfælde slet ikke vil finde anvendelse på Erhvervs- og Boligstyrelsen eller datadistributørernes behandlinger. Såfremt bestemmelsen dog finder anvendelse i et konkret tilfælde, vil registrene i OIS (BBR, ESR, SVUR, MATR, PLAN og KKR være omfattet af retten i § 12, stk. 1, nr. 2, til at behandle oplysninger, der indgår i erhvervsregistre, som er beregnet til at informere offentligheden.
- At bilag 10-oplysninger på baggrund af det i Erhvervs- og Boligstyrelsens brev anførte ikke er egnet til markedsføring. Da oplysningerne desuden i forvejen er offentligt tilgængelige, kan de videregives frit af datadistributørerne og af deres kunder, med hjemmel i persondatalovens § 6, stk. 1.
Derudover har Erhvervs- og Boligstyrelsen anmodet om Datatilsynets bemærkninger til de foreslåede ændringer i hhv. udkast til bilag 10 samt udkast til ændringsbekendtgørelse.
Datatilsynet skal på den baggrund bemærke følgende:
1. I brev af 12. oktober 2000 til By- og Boligministeriet udtalte Datatilsynet i forbindelse med høring af udkast til lov om ændring af lov om bygnings- og boligregistret, lov om offentlige veje og lov om private fællesveje, at for så vidt angår udformningen af den nye videregivelsesordning, var det tilsynets opfattelse, at de pågældende datadistributører ville have en karakter af adresserings- og kuverteringsbureau. Datatilsynet fandt således, at distributørerne måtte være at anse for selvstændige dataansvarlige, da de tilpasser, sælger og videregiver oplysninger, og da de er private virksomheder eller eventuelt offentlige institutioner.
Datatilsynet har på den baggrund ingen bemærkninger til, at Erhvervs- og Boligstyrelsen betragter OIS-datadistributører som selvstændige dataansvarlige for så vidt angår deres behandling af data.
2. Det fremgår af persondatalovens § 12, stk. 1, at dataansvarlige, der med henblik på markedsføring sælger fortegnelser over grupper af personer, eller som for tredjemand foretager adressering eller udsendelse af meddelelser til sådanne grupper kun må behandle visse typer af oplysninger.
Datatilsynet er, som tilkendegivet på mødet den 2. april 2004, enig i, at kun såfremt oplysningerne videregives med henblik på markedsføring, vil behandlingen være omfattet af persondatalovens § 12. Datatilsynet har i den forbindelse 6 noteret sig, at Erhvervs- og Boligstyrelsen vil forbyde datadistributørerne at anvende OIS-data til brug for egen markedsføring.
For så vidt angår Erhvervs- og Boligstyrelsens spørgsmål om alle OIS oplysninger fra de forskellige registre kan videregives i henhold til § 12, stk. 1, nr. 2, afhænger dette af, hvilken regulering de forskellige registre er underlagt. Datatilsynet kan ikke på det foreliggende grundlag generelt træffe afgørelse om, at alle OIS oplysninger vil kunne videregives efter § 12, stk. 1, nr. 2. Tilsynet er indstillet på at drøfte spørgsmålet nærmere, eventuelt på et møde mellem tilsynet og Erhvervs- og Boligstyrelsen.
3. Angående spørgsmålet om bilag 10-oplysninger er egnet til markedsføring eller ej, kan Datatilsynet ikke gå ind i en vurdering af dette. Datatilsynet skal gøre opmærksom på, at det afgørende er om oplysningerne videregives til brug for markedsføring. Såfremt dette er tilfældet, skal persondatalovens regler om markedsføring overholdes. Datatilsynet skal i den forbindelse henvise til tilsynets brev af 27. februar 2004.
Datatilsynet har i den forbindelse noteret sig, at det fremgår af bilag 10 til OISdatadistributørkontrakten, at oplysningerne kan anvendes frit og uden begrænsninger, men at dette dog ikke gælder ved brug til markedsføring eller videregivelse med henblik på markedsføring.
Erhvervs- og Boligstyrelsen har endvidere anført, at da oplysninger i forvejen er offentligt tilgængelige, kan de videregives frit af datadistributørerne og deres kunder, med hjemmel i persondataloven § 6, stk. 1. Datatilsynet er enig i, at under hensyntagen til hvilke oplysninger der er tale om, vil disse oplysninger ofte kunne videregives i henhold til persondatalovens § 6, stk. 1, nr. 7.
Videregivelse efter bestemmelsen forudsætter dog, at den dataansvarlige har foretaget en vurdering af, hvorvidt hensynet til den registreredes interesser overstiger hensynet til de interesser, der ønskes forfulgt med behandlingen, og at denne vurdering falder ud til fordel for de interesser, der ønskes forfulgt.
For så vidt angår ændringerne i henholdsvis bilag 10 samt ændringsbekendtgørelsen, har Datatilsynet ingen bemærkninger til disse.
Afslutningsvis kan Datatilsynet oplyse, at tilsynet desværre endnu ikke har haft lejlighed til at vurdere de eventuelle persondatabeskyttelsesretlige aspekter af de oplysninger i bilag 10, som stammer fra Planregistreret.
Datatilsynet har ikke yderligere bemærkninger til det fremsendte materiale. Tilsynet stiller sig som nævnt gerne til disposition for nærmere drøftelser med Erhvervs-og Boligstyrelsen.