Journalnummer: 2006-329-0024
Ved e-post af 15. august 2006 har Beskæftigelsesministeriet anmodet om Datatilsynets eventuelle bemærkninger til ministeriets notat om juridiske aspekter i forbindelse med indhentning af oplysninger til brug for kontrol med udbetaling af kontanthjælp m.v. Ministeriet har desuden spurgt, om Datatilsynet har bemærkninger til et notat om hjemmel til indhentning af oplysninger fra andre myndigheder om ind- og udrejse til brug for kontrol med udbetaling af dagpenge m.v., herunder hjemmel til registersamkøring.
1. Af § 11 a, stk. 2, i lov om retssikkerhed og administration på det sociale område fremgår, at kommunerne uden samtykke til brug for en enkelt sag eller til brug for generel kontrol kan kræve oplysninger fra andre offentlige myndigheder og arbejdsløshedskasser om økonomiske forhold om den, der ansøger om hjælp.
Datatilsynet er enig med Beskæftigelsesministeriet i, at kommunerne i medfør af § 11 a, stk. 2, i lov om retssikkerhed og administration på det sociale område alene har hjemmel til at foretage registersamkøring i kontroløjemed for så vidt angår oplysninger om økonomiske forhold.
§ 11 a, stk. 2, i lov om retssikkerhed og administration på det sociale område giver således efter Datatilsynets opfattelse ikke hjemmel til kontrolsamkøring med oplysninger om andre forhold – f.eks. oplysninger om ophold i udlandet.
2. Af lov om arbejdsløshedsforsikring § 91, stk. 9, fremgår at
”Direktøren for Arbejdsdirektoratet kan til brug ved administrationen af denne lov indhente oplysninger fra andre offentlige myndigheder og arbejdsløshedskasser, herunder oplysninger om enkeltpersoners indkomstforhold i elektronisk form, bl.a. med henblik på registersamkøring i kontroløjemed. Oplysningerne kan videregives til en arbejdsløshedskasse for så vidt angår vedkommende arbejdsløshedskasses egne medlemmer. Beskæftigelsesministeren fastsætter nærmere regler om, hvilke oplysninger der kan videregives. Oplysningerne er undergivet tavshedspligt i arbejdsløshedskasserne. Straffelovens § 152 og §§ 152 c-f finder anvendelse.”
I det notat, som Beskæftigelsesministeriet har fremsendt, konkluderes det, at der efter bestemmelsens ordlyd og bemærkningerne hertil, både i lov 387 af 13. juni 1990 og lov 372 af 22. maj 1996, vil være hjemmel til at samkøre oplysninger fra en anden offentlig myndighed om f.eks. personers ind- og udrejse med henblik på generel kontrol af, om dagpenge er udbetalt med rette. Det er i den forbindelse anført, at oplysninger om manglende ophold i Danmark er en relevant oplysning til brug for kontrollen af, om en person har ret til dagpenge m.v., idet det er en betingelse for dagpengeret, at den pågældende står til rådighed og har bopæl og opholder sig i Danmark.
Datatilsynet er enig i Beskæftigelsesministeriets vurdering af, at § 91, stk. 9, i lov om arbejdsløshedsforsikring mv. giver mulighed for at samkøre med oplysninger fra en anden offentlig myndighed om f.eks. personers ind- og udrejse med henblik på generel kontrol af, om dagpenge er udbetalt med rette.
Datatilsynet forudsætter, at Arbejdsdirektoratets behandlinger i forbindelse med en eventuel samkøring sker under iagttagelse af persondataloven. Der henvises i den forbindelse til det nedenfor anførte.
3. Persondataloven skal iagttages af de myndigheder, som modtager oplysninger med henblik på kontrolsamkøring.
Myndighedernes behandling af de modtagne oplysninger skal således bl.a. ske under iagttagelse af de grundlæggende krav i persondataloven, reglerne om datasikkerhed og reglerne om de registrerede personers rettigheder.
Af persondatalovens § 5, stk. 2, følger, at indsamling af oplysninger skal ske til udtrykkeligt angivne og saglige formål, og at senere behandling ikke må være uforenelig med disse formål (finalité-princippet).
Det følger endvidere af § 5, stk. 3, at oplysninger, som behandles, skal være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles.
Samtidig skal reglerne om datasikkerhed i persondatalovens § 41, stk. 3, og sikkerhedsbekendtgørelsen iagttages.
En udmøntning af princippet i § 41, stk. 3, er bl.a. sket i sikkerhedsbekendtgørelsens § 11, stk. 1, hvoraf det følger, at kun de personer, som autoriseres hertil, må have adgang til de personoplysninger, der behandles. Af § 11, stk. 2, følger endvidere, at der kun må autoriseres personer, der er beskæftiget med de formål, hvortil personoplysningerne behandles. De enkelte brugere må ikke autoriseres til anvendelser, som de ikke har behov for.
De nævnte regler medfører efter Datatilsynets opfattelse, at myndighederne må tilrettelægge databehandlingen således, at de ansatte ikke har adgang til oplysninger, der principielt ikke er brug for.
Efter en eventuel samkøring mellem et register modtaget fra en anden myndighed og myndighedens egne oplysninger bør de ansatte hos den modtagende myndighed efter Datatilsynets opfattelse alene have adgang til oplysninger om de personer fra den anden myndigheds register, som er omfattet af den kontrollerende myndigheds sagsområde. Dette kan f.eks. ske ved, at myndigheden lader samkøringen ske hos en databehandler, der sørger for, at kun oplysninger om de personer, som der er en sag på hos den kontrollerende myndighed, er tilgængelige for dennes medarbejdere.
Det er endvidere Datatilsynets opfattelse, at antallet af medarbejdere, der har adgang til resultatet af samkøringen, skal begrænses mest muligt.
Datatilsynet kan herved endvidere henvise til tilsynets principielle stillingtagen til den praktiske tilrettelæggelse af kommunernes kontrolsamkøringer. Kopi af omtalen af sagen i Registertilsynets årsberetning 1990 vedlægges til orientering. Registertilsynet lagde bl.a. vægt på, at der blev udviklet et nyt skærmbillede til det såkaldte Sagshenvisnings- og Advissystem, hvortil kun sagsbehandlere på de områder, der var opfattet af samkøringshjemlen, ville få autorisation, ligesom det var en forudsætning for, at der var adgang til skærmbilledet, at der var oprettet en sag på den pågældende borger i kommunen.
4. Datatilsynet har i brev af dags dato besvaret en forespørgsel fra Udenrigsministeriet om mulighederne for at videregive oplysninger om evakuerede danskere fra Libanon til andre myndigheder. Kopi af Datatilsynets svar vedlægges til Beskæftigelsesministeriets orientering.
Det tilføjes, at Datatilsynets udtalelse er af vejledende karakter, og at tilsynet må forbeholde sig sin stillingtagen i tilfælde af en eventuel klage.
Datatilsynet forventer i løbet af kort tid at offentliggøre dette brev på sin hjemmeside.