Journalnummer: 2006-111-0029
Ved e-post af 1. marts 2006 har Justitsministeriet anmodet om Datatilsynets bemærkninger til forslag til lov om ændring af retsplejeloven, lov om forbud mod tv-overvågning m.v. og lov om luftfart (Styrkelse af indsatsen for at bekæmpe terrorisme).
Datatilsynet skal – efter at sagen har været behandlet på et møde i Datarådet – udtale følgende:
1. Lovforslagets § 1, nr. 1
1.1. I lovforslagets § 1, nr. 1, foreslås der indsat en ny § 110a i retsplejeloven om videregivelse af oplysninger fra Politiets Efterretningstjeneste (PET) til Forsvarets Efterretningstjeneste og om videregivelse af oplysninger fra andre forvaltningsmyndigheder til PET i det omfang, oplysningerne kan have betydning for varetagelse af PETs opgaver vedrørende forebyggelse og efterforskning af overtrædelser af straffelovens kapitel 12 og 13.
Persondataloven gælder ikke for behandlinger, der udføres for politiets og forsvarets efterretningstjenester, jf. persondatalovens § 2, stk. 11. Datatilsynet har derfor ikke bemærkninger til den foreslåede § 110a, stk. 1.
1.2. § 110 a, stk. 2, indebærer en lempelse af betingelserne for videregivelse af oplysninger omfattet af persondataloven, herunder lovens §§ 7 og 8 om behandling af følsomme oplysninger, navnlig derved at det ikke længere vil være nødvendigt for de myndigheder, der skal videregive oplysninger til PET, at foretage hverken en konkret vurdering af hver enkelt oplysning for sig eller en konkret vurdering af den samlede videregivelse.
Betingelsen om, at oplysningerne ”kan have betydning” for PETs opgaver vedrørende forebyggelse og efterforskning af overtrædelser af straffelovens kapitel 12 og 13, må efter Datatilsynets opfattelse give anledning til betænkeligheder. Enhver oplysning kan efter omstændighederne have betydning for PETs opgaver efter straffelovens kapitel 12 og 13.
Tilsvarende bør det efter Datatilsynets opfattelse give anledning til betænkeligheder, at der efter bestemmelsen vil kunne videregives oplysninger om en ikke nærmere afgrænset kreds af personer, idet der – som Datatilsynet har forstået lovforslaget – også vil kunne videregives oplysninger om personer, der ikke i sig selv har betydning for PETs opgaver efter straffelovens kapitel 12 og 13.
Datatilsynet har endvidere forstået bemærkningerne til lovforslaget således, at forvaltningslovens § 32 finder anvendelse i forbindelse med PETs indsamling af oplysninger efter den foreslåede § 110a, stk. 2. Datatilsynet skal derfor anbefale, at der bringes overensstemmelse mellem forvaltningslovens § 32, hvorefter den, der virker inden for den offentlige forvaltning, ikke må skaffe sig oplysninger, som ikke er af betydning for udførelsen af den pågældendes opgaver, og indikationskravet i § 110a, stk. 2.
Efter Datatilsynets opfattelse bør det derfor overvejes at præcisere de foreslåede videregivelsesbetingelser, f.eks. således at videregivelse betinges af, at videregivelsen har betydning eller i hvert fald må antages at have betydning for PETs opgaver vedrørende forebyggelse og efterforskning af overtrædelser af straffelovens kapitel 12 og 13.
1.3. Datatilsynet må samtidig henvise til, at det er et politisk spørgsmål om og i givet fald, hvor meget videregivelsesbestemmelserne på dette område skal lempes i forhold til persondatalovens regler. En lempelse af persondatalovens regler forudsætter imidlertid, at fravigelsen ikke er i strid med internationale forpligtelser, herunder databeskyttelsesdirektivet.
Det følger således af persondatalovens § 2, stk. 1, at regler om behandling af personoplysninger i anden lovgivning, som giver den registrerede en bedre retsstilling, går forud for reglerne i denne lov.
Af bemærkningerne til bestemmelsen fremgår, at persondataloven finder anvendelse, hvis regler om behandling af personoplysninger i anden lovgivning giver den registrerede en dårligere retsstilling. Dette gælder dog ikke, hvis den dårligere retsstilling har været tilsigtet og i øvrigt ikke strider mod databeskyttelsesdirektivet.
Datatilsynet skal på denne baggrund anbefale, at Justitsministeriet i lovforslagets bemærkninger – på samme måde som det på flere punkter er sket i forhold til menneskerettighedskonventionen – nærmere beskriver forholdet til databeskyttelsesdirektivet.
Opmærksomheden henledes særligt på databeskyttelsesdirektivets artikel 13, stk. 1, hvorefter medlemsstaterne kan træffe lovmæssige foranstaltninger med henblik på at begrænse rækkevidden af de forpligtelser og rettigheder, der bl.a. er behandlet i direktivets artikel 6, hvis hensynet til bl.a. statens sikkerhed, den offentlige sikkerhed eller forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager nødvendiggør det.
For så vidt angår behandlingen af følsomme oplysninger omfattet af direktivets artikel 8, følger det af artikel 8, stk. 4, at med forbehold af, at der gives tilstrækkelige garantier, kan medlemsstaterne af grunde, der vedrører hensynet til vigtige samfundsmæssige interesser fastsætte andre undtagelser end dem, der er nævnt i stk. 2.
2. Lovforslaget § 2, nr. 1
2.1. I lovforslagets § 2, nr. 1, foreslås indsat to nye bestemmelser i lov om forbud mod tv-overvågning, hvorefter politiet dels kan henstille, at offentlige myndigheder eller private foretager tv-overvågning i overensstemmelse med gældende lovgivning, dels kan meddele pålæg om kvaliteten og opbevaringen af sådanne optagelser.
Som omtalt i bemærkningerne til lovforslaget har Justitsministeriet bl.a. på baggrund af en henvendelse fra Datatilsynet nedsat et udvalg om tv-overvågning, der overvejer spørgsmålet om en udvidelse af adgangen til tv-overvågning og i givet fald, hvilke rammer der bør gælde for en sådan udvidelse, ligesom udvalget skal overveje samspillet mellem tv-overvågnings-loven og persondataloven. Udvalgets samlede betænkning afgives inden den 1. september 2006.
På baggrund heraf er det Datatilsynets generelle opfattelse, at det meget nøje bør overvejes, om det ikke må anses for mest hensigtsmæssigt at afvente resultatet af tv-overvågningsudvalgets arbejde, før der foreslås ændringer af tvovervågningsloven.
2.2. Efter de gældende regler i tv-overvågningsloven har private som hovedregel forbud mod at foretage tv-overvågning af områder, hvor der er almindelig færdsel.
I forhold til offentlige myndigheder har Datatilsynet i sin praksis i sager om tvovervågning med henvisning til proportionalitetsprincippet i persondatalovens § 5 udtalt, at offentlige myndigheder i samme omfang som private skal undlade at foretage tv-overvågning af områder, hvor der er almindelig færdsel, jf. forbuddet i tv-overvågningslovens § 1, stk. 1.
Hertil kommer, at persondataloven efter Datatilsynets opfattelse generelt fører til, at dataansvarlige kun må behandle, herunder indsamle og registrere, oplysninger, som de selv har et aktuelt behov for af hensyn til varetagelse af deres egne formål. Dataansvarlige må også kun opbevare oplysningerne, så længe de selv har behov for dem af hensyn til varetagelse af deres egne formål, jf. persondatalovens § 5, stk. 5.
I forhold til den foreslåede bestemmelse i § 4a har Datatilsynet noteret sig, at det fremgår af bemærkningerne, at der ikke med den foreslåede bestemmelse er tilsigtet nogen udvidelse af området for, hvornår offentlige myndigheder og private kan foretage tv-overvågning.
Private og andre offentlige myndigheder end politiet kan således ikke i henhold til persondatalovens regler registrere og opbevare oplysninger alene med henblik på politiets retshåndhævelse, dvs. med den begrundelse, at politiet i efterforskningsmæssig sammenhæng kan få behov for dem.
Datatilsynet kan herved henvise til, at persondatalovens § 5 indeholder en række grundlæggende databeskyttelsesretlige principper for den dataansvarliges behandling af oplysninger, som altid skal iagttages, selv om der i øvrigt måtte være hjemmel i persondatalovens øvrige behandlingsregler til behandlingen. Persondatalovens § 5 er baseret på databeskyttelsesdirektivets artikel 6.
Persondatalovens § 5, stk. 2, indeholder bl.a. et krav om, at indsamling af oplysninger skal ske til udtrykkeligt angivne og saglige formål. Lovens § 5, stk. 3, indeholder et krav om, at oplysninger, der behandles, skal være relevante og tilstrækkelige og ikke må omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles.
2.3. For så vidt angår den foreslåede § 4b, hvorefter politiet kan meddele pålæg om opbevaring af optagelser, fremgår det af bemærkningerne, at et pålæg om f.eks. opbevaring af tv-optagelser skal være i overensstemmelse med reglerne i persondataloven.
Det følger af persondatalovens § 5, stk. 5, at indsamlede oplysninger ikke må opbevares på en måde, der giver mulighed for at identificere den registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles.
Datatilsynet forudsætter på den baggrund, at der som udgangspunkt ikke meddeles pålæg om opbevaring af optagelser ud over den periode, i hvilken den dataansvarlige har brug for dem af hensyn til de formål, hvortil oplysningerne er indsamlet. Datatilsynet har i sin praksis givet udtryk for, at opbevaringsperioden bør være så kort som muligt og normalt ikke bør overstige 7 dage. Datatilsynet har dog i visse tilfælde accepteret en opbevaringstid på op til 30 dage.
3. Lovforslagets § 3, nr. 1
I lovforslagets § 3, nr. 1, foreslås der indsat en ny § 148a i lov om luftfart om luftfartsselskabers pligt til at registrere, opbevare og udlevere oplysninger til PET om passagerer og besætningsmedlemmer.
3.1. Det følger af § 148a, stk. 1, at luftfartsselskaber skal foretage registrering og opbevaring i 1 år af oplysninger om passagerer og besætningsmedlemmer, der ankommer til eller afgår fra Danmark.
Persondatalovens § 5, stk. 2 og 3, fører som nævnt under punkt 2.2. efter Datatilsynets opfattelse til, at luftfartsselskaber kun må behandle, herunder indsamle og registrere, oplysninger, som de selv har et aktuelt behov for af hensyn til varetagelse af deres egne formål. Selskaberne må også kun opbevare oplysningerne så længe de selv har behov for dem af hensyn til varetagelse af deres egne formål, jf. persondatalovens § 5, stk. 5.
Luftfartselskaber kan således ikke i henhold til persondatalovens regler registrere og opbevare oplysninger alene med henblik på politiets retshåndhævelse, dvs. med den begrundelse, at politiet i efterforskningsmæssig sammenhæng kan få behov for dem.
Det følger som ovenfor nævnt af bemærkningerne til persondatalovens § 2, stk. 1, at persondataloven finder anvendelse, hvis regler om behandling af personoplysninger i anden lovgivning giver den registrerede en dårligere retsstilling. Dette gælder dog ikke, hvis den dårligere retsstilling har været tilsigtet og i øvrigt ikke strider mod databeskyttelsesdirektivet.
Det er Datatilsynets opfattelse, at en særskilt hjemmel til registrering og opbevaring af oplysninger, end hvad der følger af persondataloven, kun bør tilvejebringes, hvis vægtige samfundsmæssige hensyn taler herfor. Datatilsynet finder ikke at burde udtale sig om, hvorvidt dette er tilfældet.
Datatilsynet skal anbefale, at Justitsministeriet i lovforslagets bemærkninger nærmere beskriver forholdet til databeskyttelsesdirektivet i forbindelse med den påtænkte fravigelse af persondatalovens regler.
Opmærksomheden henledes særligt på databeskyttelsesdirektivets artikel 13, stk. 1.
3.2. Det følger af § 148a, stk. 2, at luftfartsselskaber på begæring af PET skal udlevere de i stk. 1 nævnte oplysninger til brug for forebyggelse og efterforskning af overtrædelse af straffelovens kapitel 12 og 13.
Det fremgår af lovforslagets bemærkninger, at PET med den foreslåede bestemmelse får adgang til såvel luftfartsselskabernes aktuelle og historiske passageroplysninger samt adgang til løbende at indhente passagerlister mv. på særligt udvalgte ruter.
Forslaget til § 148a, stk. 3, indeholder en bemyndigelsesbestemmelse til at fastsætte nærmere regler om luftfartsselskabernes registrering og opbevaring i medfør af stk. 1 og om luftfartsselskabernes praktiske bistand i medfør af stk. 2.
Datatilsynet har noteret sig, at det fremgår af bemærkningerne, at de regler, der fastsættes i medfør af § 148 a, stk. 3, skal ligge inden for rammerne af persondataloven, og at den nærmere udmøntning af bestemmelsen vil blive drøftet med Datatilsynet.
Henset til at forslaget til § 148a, stk. 1 og 2, indebærer en fravigelse af persondataloven, der forudsætter en særskilt hjemmel, er det efter Datatilsynets opfattelse uklart, hvad der menes med, at de regler, der fastsættes i medfør af stk. 3, skal ligge inden for rammerne af persondataloven.
Datatilsynet går umiddelbart ud fra, at bemyndigelsesbestemmelsen i § 148a, stk. 3, alene vil blive anvendt til at pålægge luftfartsselskaberne at registrere, opbevare og udlevere almindelige ikke-følsomme oplysninger.
Såfremt der påtænkes etableret en pligt for luftfartsselskaber til i medfør af bestemmelsen at behandle, herunder videregive, følsomme oplysninger, skal Datatilsynet anbefale, at forholdet til persondatalovens og direktivets behandlingsregler overvejes nærmere. Der henvises i den forbindelse til bemærkningerne oven for under punkt 1 om fravigelse af persondatalovens regler.
3.3. Forslaget til § 148a, stk. 4, indeholder en bemyndigelsesbestemmelse til at fastsætte nærmere regler om PETs adgang til luftfartsselskabernes bookingsystemer.
Det følger af bemærkningerne, at der i medfør af denne bestemmelse vil kunne fastsættes regler, hvorefter PET får direkte og elektronisk adgang til de standardmæssige passageroplysninger i luftfartsselskabernes bookingsystemer.
En sådan (on-line) adgang til bookingsystemerne vil kunne give Politiets Efterretningstjeneste en hurtigere og mere effektiv adgang til de relevante passageroplysninger, end hvis der først skal tages kontakt til luftfartsselskabet, som derefter skal finde de ønskede oplysninger og vende tilbage til tjenesten. Samtidig vil en sådan elektronisk adgang kunne bidrage til en ressourcemæssig aflastning af luftfartsselskaberne. Indførelse af en elektronisk adgang til bookingsystemerne vil således alene have til formål at forenkle og effektivisere den praktiske procedure, når Politiets Efterretningstjeneste har behov for – ofte inden for meget kort tid – at få udleveret sådanne oplysninger fra luftfartsselskaberne.
Det fremgår endvidere af bemærkningerne, at de regler, der fastsættes i medfør af § 148a, stk. 4, skal ligge inden for rammerne af persondataloven.
Det står ikke Datatilsynet klart, om der med bestemmelsen i § 48a, stk. 4, er tilsigtet en adgang for PET til oplysninger, som ikke vil blive omfattet af luftfartsselskabernes pligt til at registrere, opbevare og udlevere oplysninger efter § 148a, stk. 1 – 3.
Flyselskabers bookingsystemer indeholder Datatilsynet bekendt såvel følsomme som ikke-følsomme oplysninger. Det bemærkes i den forbindelse, at flyselskaber underlagt den danske persondatalov er omfattet af et krav om, at deres behandlinger af følsomme personoplysninger skal anmeldes til og tillades af Datatilsynet, jf. persondatalovens § 50, stk. 1, nr. 1. Scandinavian Airlines System (SAS) er pt. det eneste flyselskab, der har Datatilsynets tilladelse.
Datatilsynet skal derfor henstille, at Justitsministeriet nærmere overvejer, hvilke oplysninger i luftfartsselskabernes bookingsystemer PET har brug for, og hvordan man i praksis vil sikre sig, at der alene gives adgang til disse oplysninger. Såfremt det med lovforslaget forudsættes, at der gives PET on-line adgang til følsomme oplysninger, bør forholdet til persondatalovens § 7 og databeskyttelsesdirektivets artikel 8 overvejes nærmere.
3.4. Datatilsynet skal henlede opmærksomheden på, at reglerne om de registreredes rettigheder vil gælde i forbindelse med luftfartsselskabernes indsamling af oplysninger om passagerer og besætningsmedlemmer.
3.5. Den danske persondatalov finder som udgangspunkt kun anvendelse i forhold til flyselskaber, der er etableret i Danmark. I det omfang det flyselskab, der er dataansvarlig for bookingsystemet, ikke er etableret i Danmark, men i et andet EU-land, vil det være det pågældende EU-lands databeskyttelseslovgivning og ikke persondataloven, der regulerer spørgsmålet om videregivelse fra bookingsystemet til dansk politi.
Ved udnyttelse af bemyndigelsen må man således være opmærksom på databeskyttelsesregler i de andre lande. Datatilsynet har ikke et detaljeret kendskab til de andre landes databeskyttelseslovgivning på dette område, og en drøftelse mellem ministerierne og Datatilsynet (jf. det anførte i lovforslaget) kan således kun angå den danske persondatalovgivning.