Journalnummer: 2005-321-0431
Ved e-post af 22. november 2005 anmodede Datatilsynet Økonomistyrelsen om en udtalelse om grundlaget for styrelsens videregivelse af oplysninger, herunder personnummer, til e-Boks A/S, og den efterfølgende registrering af oplysningerne hos virksomheden.
Økonomistyrelsen har ved e-post af 23. november 2005 fremsendt en udtalelse fra Kammeradvokaten.
Baggrunden for Datatilsynets brev var, at tilsynet ved opslag på Økonomistyrelsens hjemmeside var blevet opmærksom på, at indførelsen af digitale lønsedler i staten angiveligt indebærer, at Økonomistyrelsen sender oplysninger om statsansatte til e-Boks A/S, uanset om disse i forvejen har oprettet en såkaldt e-Boks.
Datatilsynet havde endvidere i forbindelse med telefonsamtaler med Økonomistyrelsen den 21. november 2005 forstået, at det er hensigten, at e-Boks A/S skal oprette e-Bokse til de ansatte, der ikke selv har oprettet en sådan.
Det fremgår af Kammeradvokatens udtalelse, at Økonomistyrelsen har indhentet en kort redegørelse fra e-Boks A/S, der har tilkendegivet, at lønsedlerne faktisk ikke bliver lagt i e-Boks, før lønmodtageren selv har oprettet en e-Boks, herunder accepteret videregivelse af bl.a. cpr.nr. mv. til brugerens e-Boks. Indtil e-Boksen er oprettet, ligger lønsedlerne i et venteregister.
Datatilsynet skal herefter udtale følgende:
Persondataloven opererer med begreberne dataansvarlig og databehandler.
Datatilsynet betragter e-Boks A/S som databehandler for staten i forbindelse med levering af lønsedler. E-Boks A/S handler således i denne henseende på vegne af de statslige myndigheder, der er ansvarlige for udbetaling af løn til medarbejderne.
Fra det tidspunkt, hvor en lønseddel er afleveret i en borgers e-Boks, må e-Boks A/S’ behandling af lønsedlen antages at ske på vegne af den enkelte borger. Det er i denne forbindelse e-Boks A/S’ aftale med borgeren, der fastlægger rammerne for behandlingen.
Med hensyn til administrationen af e-Boks-ordningen må e-Boks A/S anses for selvstændig dataansvarlig. Dette har Datatilsynet allerede tilkendegivet over for virksomheden i brev af 7. februar 2001. Datatilsynet forudsætter, at virksomheden iagttager persondatalovens regler.
I forbindelse med administrationen af e-Boks-ordningen kan e-Boks A/S med den registreredes udtrykkelige samtykke behandle oplysninger om brugernes navn, e-postadresse, tilmeldinger og personnummer. Dette følger af persondatalovens § 6, stk. 1, nr. 1, (almindelige oplysninger), § 7, stk. 2, nr. 1, (følsomme oplysninger om f.eks. medlemskab af en fagforening) og § 11, stk. 2, nr. 2, (personnummer).
Herudover kan almindelige oplysninger (ikke personnumre og følsomme oplysninger) behandles i forbindelse med administrationen af e-Boks, hvis det er nødvendigt af hensyn til opfyldelsen af e-Boks A/S’ aftale med en bruger, jf. persondatalovens § 6, stk. 1, nr. 2.
Da oprettelse af en e-Boks indebærer registrering i e-Boks A/S af brugerens personnummer, kan en sådan oprettelse efter Datatilsynets opfattelse ikke foretages uden den registreredes udtrykkelige samtykke.
Datatilsynet har forstået Kammeradvokatens brev og Økonomistyrelsens følgebrev således, at der i forbindelse med indførelsen af digitale lønsedler ikke oprettes e-Bokse for lønmodtagere, der ikke selv har oprettet en sådan. Tilsynet har noteret sig dette.
Datatilsynet skal i den forbindelse henlede opmærksomheden på, at informationerne på Økonomistyrelsens hjemmeside kan give et andet indtryk.
To af de tre brevskabeloner, der er udarbejdet til myndighedernes brug (til medarbejderne, samarbejdsudvalget og intranet), kan forstås således, at medarbejderne ikke behøver at tilmelde sig e-Boks for at modtage lønsedler i e-Boks, idet dette vil ske automatisk.
I Kammeradvokatens redegørelse er det desuden oplyst, at lønsedler for medarbejdere, der ikke har oprettet en e-Boks, bliver placeret i et venteregister, indtil medarbejderen måtte oprette en e-Boks.
Datatilsynet går ud fra, at de statslige myndigheder er dataansvarlige for oplysninger om hver deres ansatte i dette register, og at e-Boks A/S alene er databehandler. Tilsynet går endvidere ud fra, at persondataloven iagttages i forbindelse med behandlingen af personoplysninger i dette venteregister.
Til orientering kan det oplyses, at Datatilsynet eventuelt vil offentliggøre Økonomistyrelsens svar til Datatilsynet samt denne udtalelse på sin hjemmeside.