Høringsnotat om lovforslag vedr. Udbetaling Danmark

Indledning

Dette høringsnotat vedrører Datatilsynets opfølgende høringssvar af 9. februar2012 til de reviderede udgaver afForslag til L 86, lov om sagsbehandling og administration i UdbetalingDanmark (Udbetaling Danmark-loven) ogForslag til L 87, lov om ændring af forskellige love som følge af etable-ringen af Udbetaling Danmark og om ophævelse af lov om ændring afregler for statens udbetaling af refusion af kommunernes udgifter i hen-hold til den sociale pensions- og bistandslovgivning m.v. (Fordeling afmyndighedsansvaret mellem kommunerne og Udbetaling Danmark m.v.)

Lovforslagene har været sendt i ekstern høring fra den 15. november 2011 til den12. december 2011.Datatilsynets bemærkninger til lovforslagene af henholdsvis den 12. og 14. de-cember 2011 er indarbejdet i de udgaver, der er fremsat for Folketinget den 9.februar 2012. Der henvises til høringsnotat af 9. februar 2011 til lovforslagene.I det følgende gennemgås bemærkningerne til Datatilsynets seneste høringssvar.

A) Resumé og kommentarer på høringssvar vedrørende forslag til L 86, lov

om sagsbehandling og administration i Udbetaling Danmark (Udbetaling

Danmark-loven)

Datatilsynet har noteret sig, at Social- og Integrationsministeriet har forholdt sigtil de bemærkninger, der er fremsendt af Datatilsynet ved brev af 14. december2011 til det oprindelige udkast til lovforslaget, og at der efterfølgende er foretagetvæsentlige ændringer i lovudkastet.Datatilsynet har dog fortsat enkelte spørgsmål, som tilsynet henstiller til, bliverafklaret i det videre forløb.Det fremgår af høringssvarets afsnit 2.1.2, at det efter Datatilsynets vurdering eruhensigtsmæssigt med et delt dataansvar i forhold til de fælles it-systemer, der eradgang til, efter forslaget til § 8. Efter lovforslaget er det den myndighed, derlægger oplysninger ind i systemet, der er dataansvarlig for myndighedens egneSide1af4Dokument: c:\docume~1\webudv~1\locals~1\temp\bcl technologies\easypdf 5\@bcl@880292c8\@[email protected]

oplysninger. Efter Datatilsynets opfattelse vil det være svært for de registrerede atgennemskue hvilken myndighed der er dataansvarlig for hvilke oplysninger.Efter høringssvarets afsnit 2.2.2. står det ikke Datatilsynet klart, hvorfor kommu-nen skal betragtes som dataansvarlig, når kommunen efter forslaget til § 11 fore-står sagsoplysningen på Udbetaling Danmark sagsområde. Det står endvidereikke tilsynet klart, hvad der menes med, at kommunen kan anvende oplysningerindhentet efter forslaget til § 11 ”til kommunens egne sager i overensstemmelsemed persondatalovens regler”. Tilsynet vurderer, at de omhandlede oplysningerindhentes til et specifikt formål, og at oplysningerne ikke vil kunne anvendes i enanden - udefineret – sammenhæng. Der henvises herudover til afsnit 4.2.2. i hø-ringssvar af 14. december 2011.Kommentar:Social- og Integrationsministeriet har taget Datatilsynets henstillinger til efter-retning og er ved at afklare spørgsmålene om datasvaret for de it-systemer, derer beskrevet i lovforslagets § 8.For så vidt angår spørgsmålet om, hvorfor kommunen skal betragtes som dataan-svarlig, når kommunen indhenter oplysninger efter lovforslagets § 11 (tidligere §10, stk. 2) skal det bemærkes, at bestemmelsen er blevet ændret, således at kom-munerne har frihed til selv at bestemme, hvordan en sag skal oplyses. Kommunenskal således oplyse sagen for Udbetaling Danmark, men ikke under instruktion afUdbetaling Danmark. Efter Social- og Integrationsministeriets opfattelse er detderfor umiddelbart mest korrekt, at dataansvaret følger ansvaret for sag-soplysningen.Da kommunen i nogle tilfælde vil skulle undersøge og indhente de samme data iforhold til både egne sager og sager for Udbetaling Danmark, vurderes det umi-delbart at være mest hensigtsmæssigt, at kommunen i forbindelse med sag-soplysningen er dataansvarlig for de oplysninger, som indsamles af kommunen,men at Udbetaling Danmark tillige bliver dataansvarlig, når oplysningerne frakommunen efterfølgende indgår i Udbetaling Danmarks sag.Kommunen vil alene kunne anvende oplysninger, der er indhentet i medføraf § 11 i overensstemmelse med § 5 i persondataloven. Det medførerblandt andet, at oplysningerne kun indsamles til udtrykkeligt angivne ogsaglige formål, og senere behandling af oplysningerne må ikke være i stridmed disse formål (finalité-princippet).Problematikkerne om dataansvaret vil i nærmeste tid blive analyseret nærmere,således at der findes en hensigtsmæssig løsning. Datatilsynet vil blive inddraget idet nødvendige omfang.Der vil på den baggrund muligvis ske en ændring af dataansvaret i forhold til denbeskrivelser, der fremgår af lovbemærkningerne til L 86.

B) Resumé og kommentarer på høringssvar vedrørende forslag til L 87,

lov om ændring af forskellige love som følge af etableringen af Udbetaling

Danmark og om ophævelse af lov om ændring af regler for statens udbeta-

ling af refusion af kommunernes udgifter i henhold til den sociale pensi-

ons- og bistandslovgivning m.v. (Fordeling af myndighedsansvaret mellem

kommunerne og Udbetaling Danmark m.v.)

Datatilsynet har noteret sig, at Social- og Integrationsministeriet har forholdtsig til de bemærkninger, der er fremsendt af Datatilsynet ved brev af 12. de-cember 2011 til det oprindelige udkast til lovforslaget. Datatilsynet finder dog,at forslaget indeholder uklare forhold vedrørende lovforslagets § 27. § 27 er enovergangsbestemmelse, der handler om, at kommunerne skal opbevare sager påarkiv, hvor myndighedsansvaret overgår til Udbetaling Danmark for Udbeta-ling Danmark.I afsnit 2.2. ønsker Datatilsynet tydeliggjort, hvorfor kommunernes udleveringaf arkivalier efter forslaget til § 27 ikke er omfattet af arkivlovens regler. I af-snit 2.3. i høringssvaret ønsker Datatilsynet belyst, hvad der menes med, atkommunen vil være databehandler, når kommunen efter anmodning fra Udbe-taling Danmark sender en sag på Udbetaling Danmarks sagsområde til Udbeta-ling Danmark.Kommentar:Social- og Integrationsministeriet har fået Rigsarkivet til at bekræfte, at dearkivalier, der skal udleveres efter lovforslagets § 27, ikke er arkivalier, der erafleveret til en kommunal arkivinstitution, som dette er defineret i arkivlovens §7.Når der efter forslagets § 27 skal fremsendes kopier af akter i sager, der opbe-vares i kommunen, skal det forstås som akter, der findes i kommunens admini-strative nærarkiv eller i et af kommunens it-systemer.Som følge heraf skal udleveringen af kopier af sagsakterne efter lovforslagets §27 ske i overensstemmelse med Persondataloven. Da det er Udbetaling Dan-mark, som har dataansvaret for sine egne sager, som de rekvirerer fra kommu-nen efter lovforslagets § 27, skal kommunerne efter Social- og Integrationsmi-nisteriets opfattelse i relation til lovforslagets § 27 betragtes som databehand-ler i persondatalovens forstand.Arkivlovens §§ 32 og 34 vil alene finde anvendelse i de tilfælde, hvor Udbeta-ling Danmark ønsker at rekvirere en sag, som er overført til et offentligt arkivefter bestemmelserne i arkivlovens § 21, stk. 1, og derefter er blevet slettet hoskommunen, fordi sagen har nået en sletningsfrist.Datatilsynet har efterfølgende taget dette til efterretning.Der pågår fortsat drøftelser om andre uklarheder om § 27 med Datatilsynet,herunder om placering af dataansvaret. Der vil på den baggrund muligvis ske