Databeskyttelsesforordningen og forslaget til den nye databeskyttelseslov

Betænkning nr. 1565 Offentliggjort den 24. maj 2017 Formål: Sikre korrekt gennemførelse i dansk ret Analysere rammerne for både indførelse og opretholdelse af nationale særregler Danne grundlag for ny version af persondatalov Centralt fortolkningsbidrag til dette arbejde Det retlige grundlag for udarbejdelse af praktisk anvendelige vejledninger

Betænkningen ansættelsesforhold Forordningens artikel 6 fastsætter de generelle betingelser for, hvornår behandling er lovlig. Det er samtidig en forudsætning for lovlig behandling af personoplysninger, at principperne i forordningens artikel 5 overholdes. Forordningens ses at have samme systematik som persondataloven og databeskyttelsesdirektivet, hvorefter hjemlen til behandling af oplysninger skal findes i artikel 6, såfremt oplysningerne ikke er omfattet af særlige bestemmelser i forordningen, eksempelvis artikel 9 om følsomme oplysninger. Behandling af personoplysninger omfattet af forordningens artikel 6 er kun lovlig, hvis og i det omfang mindst ét af forholdene i artikel 6, stk. 1, litra a-f, gør sig gældende.

Betænkningen ansættelsesforhold Artikel 6 hjemler: Samtykke (litra a) Opfyldelse af kontrakt (litra b) Se også betænkningen side 128-129 Overholdelse af en retlig forpligtelse (litra c) I hvert fald ikke udelukkes. Se også betænkningen side 130 Udførelse af opgave i samfundets interesse eller offentlig myndighedsudøvelse (litra e) Interesseafvejningsregel (litra f)

Betænkningen ansættelsesforhold Artikel 6, stk. 1, litra f, i dag § 6, stk. 1, nr. 7, i persondataloven Hyppigt anvendt i ansættelsesforhold fx: Offentliggørelse af medarbejderoplysninger Videregivelse af medarbejderoplysninger til fagforeninger Arbejdsgiveres videregivelse af oplysninger om ansattes løn Videregivelse af oplysninger om, at en person har søgt om ansættelse Kontrol af medarbejderes brug af hjemmesider og e-post Se betænkningen side 970-976 Begrænsning nu i forordningens fsva. offentlige myndigheder, dvs. bestemmelsen gælder ikke for behandling som offentlige myndigheder foretager som led i udførelsen af deres opgaver Løsning findes i litra e, dvs. opgave i samfundets interesse, se betænkningen side 136-140

Betænkningen ansættelsesforhold Følsomme oplysninger artikel 9, stk. 2, b, (i dag § 7, stk. 3) Denne aktiveret ved lovforslagets § 7, stk. 2. (kræver aktivering) Udtrykket arbejdsretlige forpligtelser eller specifikke rettigheder skal forstås i bred forstand. Omfattet af udtrykket er alle former for forpligtelser og rettigheder, som hviler på et arbejdsretligt grundlag. Dette gælder, uanset om grundlaget er lovgivning eller aftale. Også behandling af oplysninger, som sker til overholdelse af forpligtelser eller rettigheder, som følger af kollektive overenskomster mellem arbejdsmarkedets parter eller af individuelle ansættelseskontrakter, er dermed omfattet af bestemmelsen.

Betænkningen ansættelsesforhold Følsomme oplysninger artikel 9, stk. 2, d, (i dag § 7, stk. 4) Kan anvendes direkte En fagforening vil også være omfattet af bestemmelsen i persondatalovens § 7, stk. 4, se hertil bl.a. en sag fra Datatilsynet vedrørende spørgsmål om videregivelse af medlemsoplysninger, hvor tilsynet udtalte, at ifølge § 7, stk. 4, kan en fagforening inden for rammerne af sin virksomhed behandle oplysninger om bl.a. medlemmernes fagforeningsmæssige tilhørsforhold Forordningen nu også tidligere medlemmer

Betænkningen ansættelsesforhold Følsomme oplysninger artikel 9, stk. 2, e, (i dag § 7, stk. 2, nr. 4) Kan anvendes direkte - retskrav Det fremgår af bemærkningerne til persondataloven, at bestemmelsen omhandler såvel behandling, der sker i den dataansvarliges interesse, som behandling, der sker i den registreredes interesse. Også behandling af oplysninger, der er nødvendig for, at en tredjemands retskrav kan fastlægges mv., vil kunne ske i henhold til bestemmelsen U.2017.1294H, udtalte Højesteret sig bl.a. om, hvorvidt en videregivelse af en persons helbredsoplysninger til dennes arbejdsgiver var berettiget efter persondataloven. Kommunen videregav i den forbindelse en statusattest om vedkommendes sygdomsforløb til vedkommendes arbejdsgiver. Højesteret fandt, at videregivelsen af oplysninger om vedkommendes helbredsforhold havde været nødvendig for at fastslå, om arbejdsgiveren havde krav på dagpengerefusion, og videregivelsen havde derfor været berettiget efter persondatalovens § 7, stk. 2, nr. 4.

Betænkningen ansættelsesforhold Artikel 88 Forordningens artikel 88 angiver – som noget nyt – en mulighed for at fastsætte nationale supplerende særregler om behandling af arbejdstageres personoplysninger i forbindelse med ansættelsesforhold. I medfør af artikel 88, stk. 1, kan medlemsstaterne ved lov eller i medfør af kollektive overenskomster fastsætte mere specifikke bestemmelser for at sikre beskyttelse af rettighederne og frihedsrettighederne i forbindelse med behandling af arbejdstagernes personoplysninger i ansættelsesforhold, navnlig med henblik på ansættelse, ansættelseskontrakter, herunder opfyldelse af forpligtelser fastsat ved lov eller i kollektive overenskomster, ledelse, planlægning og tilrettelæggelse af arbejdet, ligestilling og mangfoldighed på arbejdspladsen, arbejdsmiljø samt beskyttelse af arbejdsgiveres eller kunders ejendom og med henblik på individuel eller kollektiv udøvelse og nydelse af rettigheder og fordele i forbindelse med ansættelse samt med henblik på ophør af ansættelsesforhold.

Betænkningen ansættelsesforhold Artikel 88 Artikel 88 omfatter alle typer af personoplysninger, nemlig de særlige kategorier af personoplysninger omfattet af artikel 9, stk. 1, og residual-mængden af oplysninger, dvs. personoplysninger omfattet af artikel 6. Denne opdeling af, hvad er der er ”almindelige” personoplysninger og følsomme oplysninger, kan ikke ophæves ved brug af artikel 88, ligesom artikel 88 ikke ændrer på, at al behandling af personoplysninger skal være i overensstemmelse med de grundlæggende principper i forordningens artikel 5.

Betænkningen ansættelsesforhold Artikel 88 I forhold til mulighederne i artikel 6 og 9 for nationale lovregler og kollektive overenskomster om behandling af personoplysninger, må artikel 88 forstås som et hjemmelsmæssigt supplement, der sikrer, at der i hvert fald ikke er tvivl om, at der kan fastsættes nationale behandlingsregler i love og kollektive overenskomster på ansættelsesområdet for så vidt angår behandling af alle typer af personoplysninger – under overholdelse af kravene til sådan national lovgivning i f.eks. artikel 9, stk. 2, litra b, og artikel 88, stk. 2.

Betænkningen ansættelsesforhold Artikel 88 Det fremgår af forordningens præambelbetragtning nr. 155, at medlemsstaternes nationale ret eller kollektive overenskomster, herunder lokalaftaler, kan fastsætte specifikke bestemmelser om behandling af arbejdstageres personoplysninger i ansættelsesforhold, navnlig betingelserne for, hvorledes personoplysninger i ansættelsesforhold kan behandles på grundlag af arbejdstagerens samtykke… Det må på denne baggrund antages, at forordningen efterlader rum for, at arbejdsgiveres behandling af personoplysninger i ansættelsesforhold, herunder i rekrutteringsfasen, fortsat kan ske på grundlag af samtykke, jf. særligt artikel 6, stk. 1, litra a, og artikel 9, stk. 2, litra a. Se betænkningen side 976-980

Lovforslag

Men må man overhovedet have en national lov ved siden af en EU-forordning? (1) Instinktivt er svaret vel nej En forordning gælder jo umiddelbart i DK – som en lov eller bekendtgørelse Men en gennemgang af databeskyttelsesforordningen afslører et helt andet billede på dette område

Men må man overhovedet have en national lov ved siden af en EU-forordning? (2) Fire kasser Bestemmelser, fx art. 6, stk. 2 og 3, art. 9, stk. 2-4, og art 88 og 90, der giver medlemsstaterne mulighed for at udfylde med egne behandlingsregler Bestemmelser, fx art. 8, stk. 1, og art. 37, der giver medlemsstaterne eksplicitte muligheder for at foretage nogle valg Bestemmelserne, art 23 og artikel 89, stk. 2 og 3, hvorefter medlemsstaterne kan fastsætte regler om begrænsninger og undtagelser til en række forpligtelser og rettigheder Bestemmelser, fx art 51, stk. 1 og 3, hvorefter medlemsstaterne skal gennemføres ved lov af medlemsstaterne.

Lovforslaget til en ny databeskyttelseslov Justitsministeriet har vurderet, at det er nødvendigt, at der fastsættes en generel lov, som supplerer reglerne i databeskyttelsesforordningen. Formålet er derfor at supplere reglerne i forordningen (forordningen er bilag til lovforslaget) Bl.a. nødvendigt for: at den gældende retstilstand så vidt muligt kan opretholdes, eksempelvis muligheden for at undtage oplysninger fra oplysningspligten og indsigtsretten (aktivering af artikel 23) samt muligheden for efter en række nærmere betingelser at behandle følsomme oplysninger

Lovforslaget til en ny databeskyttelseslov § 12. Behandling af personoplysninger i forbindelse med ansættelsesforhold omfattet af artikel 6, stk. 1, og artikel 9, stk. 1, i databeskyttelsesforordningen kan finde sted, hvis behandlingen er nødvendig for at overholde den dataansvarliges eller den registreredes arbejdsretlige forpligtelser eller rettigheder, som fastlagt i anden lovgivning eller kollektive overenskomster. Stk. 2. Behandling af oplysninger som nævnt i stk. 1 må også finde sted, hvis behandlingen er nødvendig for, at den dataansvarlige kan forfølge en legitim interesse som udspringer af anden lovgivning eller kollektive overenskomster, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, går forud herfor. Stk. 3. Behandling af personoplysninger i ansættelsesforhold kan finde sted på baggrund af den registreredes samtykke i overensstemmelse med artikel 7 i databeskyttelsesforordningen.

Lovforslaget til en ny databeskyttelseslov Med lovforslagets § 12 er det hensigten at bringe fuldstændig sikkerhed for, at der på det offentlige og private arbejdsmarked lovligt kan behandles personoplysninger før, under og efter ansættelsesforholdet i samme omfang som hidtil. Lovforslagets § 12 er tiltænkt som en supplerende hjemmelsbestemmelse, hvorefter der i ansættelsesforhold også kan behandles personoplysninger. Der kan således fortsat behandles personoplysninger i ansættelsesforhold indenfor rammerne af lovforslagets øvrige behandlingsregler, herunder §§ 6-8, og forordningens behandlingsregler i artikel 6, 9 og 10.

Lovforslaget til en ny databeskyttelseslov Med forslaget til stk. 1 foreslås det, at behandling af personoplysninger omfattet af artikel 6, stk. 1, og artikel 9, stk. 1, i databeskyttelsesforordningen kan finde sted, hvis behandlingen er nødvendig for at overholde den dataansvarliges eller den registreredes arbejdsretlige forpligtelser eller rettigheder, som fastlagt i anden lovgivning eller kollektive overenskomster. Med forslaget til stk. 2 foreslås det, at behandling af oplysninger som nævnt i stk. 1 også må finde sted, hvis behandlingen er nødvendig for, at den dataansvarlige kan forfølge en legitim interesse, som udspringer af anden lovgivning eller kollektive overenskomster, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, går forud herfor.

Lovforslaget til en ny databeskyttelseslov Der foregår i dag ofte behandling af personoplysninger i ansættelsesforhold lovligt på baggrund af interesseafvejningsreglen i persondatalovens § 6, stk. 1, nr. 7, selvom behandlingen ikke nødvendiggjort af en arbejdsretlig forpligtelse, men som på anden vis har sin baggrund i f.eks. en kollektiv overenskomst. Sådan behandling kan forsætte på baggrund af denne foreslåede interesseafvejningsregel i stk. 2, der svarer reglen i forordningens artikel 6, stk. 1, litra f. Med den foreslåede bestemmelse sikres der i øvrigt, at en sådan afvejningsregel kan anvendes også i forbindelse med ansættelsesforhold i det offentlige, selvom det af forordningens artikel 6, stk. 1, litra f, 2. afsnit, fremgår, at interesseafvejningsreglen ikke gælder for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver. Med forslaget til stk. 3 er det hensigten, at slå helt fast, at samtykke også kan anvendes som behandlingsgrundlag før, under og efter ansættelse.

Fremover Lovforslaget til den nye databeskyttelseslov blev sendt i høring 7. juli – høringsfrist 22. august Modtaget ca. 80 høringssvar Konsekvensændringsforslaget sendt i høring 21. august – høringsfrist 18. september Fremsættelse for Folketinget til efteråret