Journalnummer: 2006-321-0486
Ved e-post af 31. juli 2006 har Udenrigsministeriet anmodet om Datatilsynets forhåndstilkendegivelse vedrørende ministeriets eventuelle videregivelse af oplysninger om evakuerede danskere fra Libanon til andre myndigheder.
Det fremgår af Udenrigsministeriets henvendelse, at i forbindelse med evakueringen af danskere fra Libanon har politiet som led i indrejsekontrollen udarbejdet et register, hvori navn og personnummer på de evakuerede personer er opført. Som koordinerende myndighed for evakueringen har Udenrigsministeriet modtaget kopi af politiets register.
Efterfølgende har Udenrigsministeriet modtaget henvendelser fra bl.a. kommuner, der ønsker kopi af politiets register med henblik på at kontrollere, om personer opført i dette har begået socialt bedrageri.
På den baggrund anmoder Udenrigsministeriet Datatilsynet om en forhåndstilkendegivelse af, om det efter tilsynets vurdering vil være i overensstemmelse med persondataloven, at Udenrigsministeriet over for andre myndigheder enten bekræfter eller afkræfter, om en bestemt person er opført i registret, forudsat at den anmodende myndighed kan godtgøre, at den har hjemmel til at foretage den pågældende kontrol, og at der er konkret mistanke til den person, der ønskes udleveret oplysninger om. Ved denne fremgangsmåde vil registret således ikke blive udleveret til andre myndigheder.
Datatilsynet anmodes endvidere om at give en forhåndstilkendegivelse af, om det efter tilsynets vurdering vil være i overensstemmelse med persondataloven at udlevere registret til myndigheder, der anmoder om dette.
Udenrigsministeriet har oplyst, at registret opbevares elektronisk.
I den anledning skal Datatilsynet udtale følgende:
1. Efter § 1, stk. 1, gælder persondataloven bl.a. for den behandling af personoplysninger, som offentlige myndigheder foretager ved hjælp af elektronisk databehandling og for ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.
Udenrigsministeriets eventuelle videregivelse – helt eller delvist – af et edbregister med personoplysninger vil således være reguleret af persondataloven.
2. Inden for persondatalovens anvendelsesområde er den relevante regel i forhold til videregivelse af navne først og fremmest persondatalovens § 6, stk. 1, nr. 6, hvorefter behandling af ikke-følsomme personoplysninger – herunder videregivelse – må finde sted, hvis behandlingen er nødvendig af hensyn til udførelsen af en opgave, der henhører under offentlig myndighedsudøvelse, som den dataansvarlige eller en tredjemand, til hvem oplysninger videregives, har fået pålagt.
Med hensyn til personnummer er den relevante regel lovens § 11, stk. 1, hvorefter offentlige myndigheder kan behandle oplysninger om personnummer med henblik på entydig identifikation eller som journalnummer.
Herudover skal Udenrigsministeriet navnlig være opmærksom på de grundlæggende krav i persondatalovens § 5, som altid skal være opfyldt.
Ifølge persondatalovens § 5, stk. 1, skal personoplysninger behandles i overensstemmelse med god databehandlingsskik. Heri ligger ifølge lovens forarbejder, at behandlingen skal være rimelig og lovlig.
Efter Datatilsynets opfattelse følger det af kravet om god databehandlingsskik, at en dataansvarlig – aktuelt Udenrigsministeriet – ikke må udlevere personoplysninger til en modtager, hvis denne ud fra det foreliggende ikke er berettiget til at behandle oplysningerne.
3. Det skal indledningsvis bemærkes, at Datatilsynet ikke har indvendinger imod, at Udenrigsministeriet af- eller bekræfter, om en bestemt person er opført i registret, forudsat at den anmodende myndighed kan godtgøre, at den har hjemmel til at foretage en sådan kontrol af enkeltpersoner. I disse tilfælde vil Udenrigsministeriets videregivelse efter Datatilsynets umiddelbare opfattelse kunne ske inden for rammerne af persondatalovens § 6, stk. 1, nr. 6, og § 11, stk. 1.
4. For så vidt angår en eventuel videregivelse af hele registeret skal tilsynet bemærke, at det fremgår af Udenrigsministeriets henvendelse til Datatilsynet, at videregivelsen fra registret over evakuerede danskere fra Libanon til andre myndigheder sker med henblik på myndighedernes kontrol af, om de pågældende personer har begået socialt bedrageri.
Datatilsynet går i den sammenhæng ud fra, at en eventuel videregivelse vil indebære sammenstilling og samkøring af oplysningerne i kontroløjemed. Det vil sige, at listen fra Udenrigsministeriet sammenholdes med myndighedens egne registre over f.eks. personer, der modtager kontanthjælp eller dagpenge, med henblik på at identificere og kontrollere de personer, der optræder i såvel myndighedens register som på listen over evakuerede.
Datatilsynet forudsætter i sin praksis, at myndigheder i forbindelse med sammenstilling og samkøring i kontroløjemed har et klart og utvetydigt retsgrundlag at arbejde på, og at de personer, der berøres af kontrolordningen, skal have forudgående information om kontrolordningen, jf. persondatalovens § 5, stk. 1 om god databehandlingsskik.
Mulighederne for at foretage sammenstilling og samkøring i kontroløjemed i den offentlige forvaltning svarer således til den praksis, som var gældende før persondatalovens ikrafttræden, og som er kommet til udtryk ved en tilkendegivelse fra flertallet i Retsudvalget i betænkning af 16. maj 1991 over forslag til lov om ændring af lov om offentlige myndigheders registre (L 50).
Det er her forudsat, at myndighederne i forbindelse med samkøring i kontroløjemed har et klart og utvetydigt retsgrundlag at arbejde på, og at myndighederne kun lader kontrolordningen tage sigte på fremtidige forhold, medmindre særlige forhold gør sig gældende. Flertallet lagde vægt på, at de borgere, som berøres af en kontrolordning, i almindelighed gøres opmærksom på myndighedernes adgang til at foretage samkøring i kontroløjemed, inden kontrollen iværksættes, og at samkøringen så vidt muligt kun finder sted, hvis de personer, der omfattes af kontrollen, har fået meddelelse om kontrolordningen, inden de afgiver oplysninger til myndigheden.
5. Udenrigsministeriet vil således inden for rammerne af persondataloven kunne videregive registret til andre myndigheder at den modtagende myndighed opfylder betingelserne for at kunne sammenstille og samkøre personoplysninger i kontroløjemed. Den modtagende myndighed skal have et klart og utvetydigt retsgrundlag, som giver lovhjemmel til at foretage sammenstilling eller samkøring i kontroløjemed.
Den modtagende myndighed skal desuden forudgående have informeret de persongrupper, der berøres af kontrollen, om muligheden for at foretage en generel kontrol. En sådan information kan f.eks. være givet i blanketter e.l. i forbindelse med, at en person har søgt og modtaget økonomiske ydelser fra det offentlige.
Datatilsynet er bekendt med, at der på en række områder er etableret de fornødne lovhjemler, således at myndighederne kan udveksle, samkøre og sammenstille personoplysninger i kontroløjemed. Vurderingen af, hvorvidt de gældende bestemmelser i anden lovgivning også åbner mulighed for kontrol ved anvendelse af oplysninger som de foreliggende, må efter Datatilsynets opfattelse i første omgang foretages af de myndigheder, som administrerer de respektive love, og de myndigheder, der måtte ønske at foretage kontrol ved brug af registret.
Datatilsynet vil som tilsynsmyndighed efter persondataloven kunne få forelagt myndighedernes vurdering enten i forbindelse med en forespørgsel fra disse, eller hvis en berørt person efter en eventuel kontrol klager til Datatilsynet over myndighedernes behandling af personoplysninger om den pågældende.
6. Datatilsynet kan i forlængelse heraf oplyse, at tilsynet fra Beskæftigelsesministeriet har fået forelagt et notat om de juridiske aspekter i forbindelse med indhentning af oplysninger til brug for kontrol med udbetaling af kontanthjælp m.v.
Datatilsynet har i dag tilkendegivet over for Beskæftigelsesministeriet, at tilsynet er enig i, at kommunerne i medfør af § 11 a, stk. 2, i lov om retssikkerhed og administration på det sociale område alene har hjemmel til at foretage registersamkøring i kontroløjemed for så vidt angår oplysninger om økonomiske forhold. Kopi af Datatilsynets brev af dags dato til Beskæftigelsesministeriet vedlægges til orientering.
§ 11 a, stk. 2, i lov om retssikkerhed og administration på det sociale område giver således efter Datatilsynets opfattelse ikke hjemmel til kontrolsamkøring med oplysninger om andre forhold – f.eks. oplysninger om ophold i udlandet.
7. Beskæftigelsesministeriet har desuden spurgt, om Datatilsynet har bemærkninger til et notat om hjemmel til indhentning af oplysninger fra andre myndigheder om ind- og udrejse til brug for kontrol med udbetaling af dagpenge m.v., herunder hjemmel til registersamkøring.
Datatilsynet har tilkendegivet, at tilsynet er enig i Beskæftigelsesministeriets vurdering af, at § 91, stk. 9, i lov om arbejdsløshedsforsikring mv. giver mulighed for at samkøre med oplysninger fra en anden offentlig myndighed om f.eks. personers ind- og udrejse med henblik på generel kontrol af, om dagpenge er udbetalt med rette.
Datatilsynet har samtidig meddelt, at tilsynet forudsætter, at Arbejdsdirektoratets behandlinger i forbindelse med en eventuel samkøring sker under iagttagelse af persondataloven. Der henvises til punkt 3 i Datatilsynets brev af dags dato til Beskæftigelsesministeriet.
8. Det tilføjes, at Datatilsynets udtalelse er af vejledende karakter, og tilsynet må forbeholde sig sin stillingtagen i tilfælde af en eventuel klage.
Datatilsynet forventer i løbet af kort tid at offentliggøre dette brev på sin hjemmeside.