Vedrørende spørgsmålet om dataansvar for behandlingen af oplysninger

efter lovforslagets (L87) § 27

I forlængelse af Datatilsynets høringssvar af 12. december 2011 og 9. februar2012 over Udbetaling Danmark lovforslaget (L 87) har Social- og Integrati-onsministeriet i senere e-mails orienteret tilsynet om, at ministeriet nu har fåetafklaret med Rigsarkivet, at de arkivalier, der omtales i lovforslagets § 27,ikke er omfattet af arkivlovens § 7. Efter Social- og Integrationsministerietsvurdering skal udlevering af de sagsakter til Udbetaling Danmark, som kom-munerne opbevarer for Udbetaling Danmark efter lovforslagets § 27, ske ioverensstemmelse med persondataloven.Efterfølgende har der været mailkorrespondance mellem ministeriet og tilsy-net om, hvorledes kommunerne skal håndtere de oplysninger, som de behand-ler i medfør af § 27, og de oplysninger, som de i øvrigt behandler.I den anledning skal Datatilsynet bemærke følgende:1. Persondataloven finder anvendelse på kommunernes registreringer iESDH-systemer mv. Når kommunerne ved bestemmelserne i § 27, stk.1, nr. 1og 2, tillægges ansvaret for opbevaring af arkivalier, er kom-munerne efter Datatilsynets umiddelbare opfattelse

dataansvarlige

forde registreringer i kommunernes it-systemer, som vedrører de nævntearkivalier.2. Persondataloven finder også anvendelse på kommunernes eventuelleindscanning af manuelle sagsakter til brug for elektronisk fremsendel-se til Udbetaling Danmark. Det er Datatilsynets umiddelbare vurde-ring, at kommunerne er

dataansvarlige

for såvel indscanningen somfremsendelsen.3. Efter Datatilsynets opfattelse vil kommunerne således fortsat have an-svaret for, at persondataloven og sikkerhedsbekendtgørelsen i det heleiagttages for de eksisterende registreringer i kommunens it-systemer,og for kommunens eventuelle senere behandling af de registreredepersonoplysninger, herunder i forbindelse med fremsendelse til Udbe-taling Danmark.4. Efter tilsynets umiddelbare vurdering vil kommunerne inden for ram-merne af persondataloven kunne videregive elektroniske kopier af de

registrerede oplysninger til Udbetaling Danmark, når UdbetalingDanmark skal bruge oplysningerne i deres opgaveløsning.5. Det står fortsat ikke tilsynet klart1, hvad der menes med, at kommunenvil være databehandler for Udbetaling Danmark, når kommunen mod-tager en anmodning fra Udbetaling Danmark om at sende en sag, somkommunen opbevarer for Udbetaling Danmark. Når kommunerne sombeskrevet ovenfor må anses for dataansvarlige, kan de efter tilsynetsopfattelse ikke samtidigt betragtes som databehandlere i persondatalo-vens forstand ved denne videregivelse.