Journalnummer: 2005-122-0224
Told- og Skattestyrelsen har ved e-post af 9. september 2005 anmodet om Datatilsynets eventuelle bemærkninger til det fremsendte udkast til bekendtgørelse om kommunernes borgerbetjening på skatteområdet. Der er tillige fremsendt et udkast til vejledning om kommunernes borgerbetjening på skatteområdet.
Der er indhentet supplerende oplysninger telefonisk.
Datatilsynet skal herefter udtale følgende:
1. Efter bekendtgørelsesudkastets § 1, stk. 1, varetager den kommunale borgerbetjening opgaver af informationsmæssig og vejledningsmæssig karakter ved personlige henvendelser fra borgere og virksomheder vedrørende hele skatteområdet for told- og skatteforvaltningen.
Den kommunale borgerbetjening skal på vegne af told- og skatteforvaltningen modtage materiale fra borgere og virksomheder, jf. udkastets § 5, stk. 1.
I persondatalovens § 3, nr. 4, defineres "den dataansvarlige" som den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af oplysninger.
I lovens § 3, nr. 5, defineres "databehandleren" som den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der behandler oplysninger på den dataansvarliges vegne.
Det er telefonisk oplyst, at den kommunale borgerbetjening alene skal være databehandler for told- og skatteforvaltningen. Den kommunale borgerbetjening skal arbejde direkte i told- og skatteforvaltningens systemer. Der sker ikke overførsel af oplysninger til kommunens egne systemer og følgelig ikke logning i disse.
Datatilsynet har noteret sig det oplyste og skal henlede opmærksomheden på persondatalovens § 42. Når en dataansvarlig overlader en behandling af oplysninger til en databehandler, skal den dataansvarlige sikre sig, at databehandleren kan træffe de i § 41, stk. 3-5, nævnte tekniske og organisatoriske sikkerhedsforanstaltninger, og påse, at dette sker, jf. § 42, stk. 1.
Gennemførelse af en behandling ved en databehandler skal ske i henhold til en skriftlig aftale parterne imellem. Af aftalen skal det fremgå, at databehandleren alene handler efter instruks fra den dataansvarlige, og at reglerne i § 41, stk. 3-5, ligeledes gælder for behandlingen ved databehandleren, jf. § 42, stk. 2, 1. og 2. pkt.
Datatilsynet skal desuden henlede opmærksomheden på den dataansvarliges forpligtelse til at fastsætte uddybende sikkerhedsregler, jf. § 5 i sikkerhedsbekendtgørelsen. Datatilsynet går ud fra, at told- og skatteforvaltningen sørger for, at der også fastsættes uddybende sikkerhedsregler – eller en sikkerhedspolitik – for de databehandlinger, som kommunerne skal foretage på forvaltningens vegne.
Det følger endvidere af sikkerhedsbekendtgørelsens § 6, at den dataansvarlige myndighed skal give den fornødne instruktion til de medarbejdere, som behandler personoplysningerne. Medarbejderne skal herunder gøres bekendt med de regler, der er fastsat i medfør af § 5.
Datatilsynet går ligeledes ud fra, at told- og skatteforvaltningen som dataansvarlig sørger for, at de medarbejdere i kommunerne, der skal behandle personoplysninger på vegne af forvaltningen modtager instrukser som beskrevet i sikkerhedsbekendtgørelsens § 6. Datatilsynet skal foreslå, at det i den forbindelse understreges, at medarbejderne i kommunerne ikke må anvende de oplysninger, som de har adgang til i forbindelse med varetagelsen af opgaver for told- og skatteforvaltningen, til andre formål, herunder i forbindelse med varetagelse af kommunale opgaver.
2. Efter bekendtgørelsesudkastets § 7 stiller told- og skatteforvaltningen oplysninger til rådighed for de kommunale borgerbetjeningers løsning af opgaven.
Det fremgår af udkastet til vejledningen, at borgerservicecentrene både ekspederer borgere fra egen kommune og borgere fra andre kommuner.
Det er telefonisk oplyst, at det af denne grund er nødvendigt at give de kommunale borgerbetjeninger en generel og i geografisk henseende ubegrænset adgang til oplysningerne, uanset at kommunerne næppe i praksis får brug for alle oplysningerne. Kommunerne får dog kun adgang til en begrænset del af told- og skatteforvaltningens systemer, og der sker således en begrænsning i de typer af oplysninger, som kommunerne får adgang til.
Videre er det oplyst, at der til sikring mod misbrug vil ske logning, og at den kommunale sagsbehandler vil skulle markere i TastSelv-systemet, at borgeren har givet ”samtykke” til opslaget i systemet. Der er dog efter det oplyste ikke tale om et egentligt samtykke, idet borgerens henvendelse med anmodning om ændringer eller lignende betragtes som et samtykke. Borgeren vil via en log i TastSelv-systemet kunne se, at nogen har haft adgang til oplysningerne.
Datatilsynet skal anbefale, at ordet ”samtykke” ikke anvendes, idet der efter det oplyste ikke er tale om et samtykke.
Når der sker sagsbehandling i KMD-systemet ”Forskud Light” sker der efter det oplyste ikke en sådan ”samtykke”-markering, ligesom der ikke er adgang til logoplysninger via selvbetjeningsløsningen.
Efter persondatalovens § 41, stk. 3, skal der træffes de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven.
Pligten til at træffe fornødne sikkerhedsforanstaltninger påhviler efter persondatalovens § 41, stk. 3, såvel den dataansvarlige som en eventuel databehandler.
En udmøntning af princippet i § 41, stk. 3, er bl.a. sket i sikkerhedsbekendtgørelsens § 11, stk. 1, hvoraf det følger, at kun de personer, som autoriseres hertil, må have adgang til de personoplysninger, der behandles. Af § 11, stk. 2, følger endvidere, at der kun må autoriseres personer, der er beskæftiget med de formål, hvortil personoplysningerne behandles. De enkelte brugere må ikke autoriseres til anvendelser, som de ikke har behov for.
Af persondatalovens § 5, stk. 1, fremgår det, at oplysninger skal behandles i overensstemmelse med god databehandlingsskik.
Datatilsynet skal henlede opmærksomheden på, at den landsdækkende adgang til skatteoplysninger for medarbejdere i de kommunale borgerservicecentre medfører, at disse får adgang til meget store mængder data. En stor del af disse data vil der kun sjældent eller aldrig være behov for. Efter det oplyste har kommunerne i dag ikke landsdækkende adgang til skatteoplysninger.
Datatilsynet forudsætter, at told- og skatteforvaltningen tilrettelægger brugeradgangen til myndighedens system under iagttagelse af persondataloven og sikkerhedsbekendtgørelsen. Dette medfører efter Datatilsynets opfattelse, at der ved tildeling af brugerrettigheder skal tages geografiske, tidsmæssige og opgavemæssige hensyn i betragtning. Der henvises til Datatilsynets udtalelse om datasikkerhed og brugerstyring i borgerservicecentre.
En eventuel landsdækkende adgang for kommunernes borgerservicecentre vil efter Datatilsynets opfattelse aktualisere behovet for supplerende sikkerhedsforanstaltninger. Datatilsynet skal pege på, at det som anført i den nævnte udtalelse kan overvejes, om adgangen til oplysninger om en borger kan tilrettelægges således, at et kort, som borgeren har i sin besiddelse, skal aflæses, førend medarbejderen hos myndigheden får adgang til oplysninger om borgeren.
Herudover kan det overvejes at gøre oplysninger om, hvem der har set oplysninger om en borger, tilgængelige for borgeren i en elektronisk selvbetjeningsløsning, som det kendes fra f.eks. den medicinprofil, som Lægemiddelstyrelsen er dataansvarlig for.
Dette er efter det oplyste under etablering for så vidt angår TastSelv-systemet, men bør efter Datatilsynets opfattelse overvejes også for de øvrige systemer.
Der henvises endvidere til tilsynets høringssvar af 3. november 2004 over forslag til skatteforvaltningsloven og ændringer som følge af denne. Datatilsynets brev vedlægges.
Udover at log-oplysninger bliver tilgængelige via TastSelv-systemet, går Datatilsynet ud fra, at en markering i systemet af borgerens ”samtykke” er en registrering, som borgeren kan få indsigt i, jf. persondatalovens § 31.
Datatilsynet skal endvidere henvise til tilsynets høringssvar af 7. januar 2005 over forslag til lov om kommunale borgerservicecentre, som ligeledes vedlægges.
Det skal afslutningsvis oplyses, at Datatilsynet forventer at offentliggøre denne udtalelse på sin hjemmeside.