Forarbejder til Lov om kommunernes finansiering af visse offentlige ydelser udbetalt af kommunerne, Udbetaling Danmark og arbejdsløshedskasserne § 19
Selskabets opgaver vil skulle løses indenfor de rammer, som fremgår af persondatalovens § 42, der handler om den dataansvarliges mulighed for at overlade opgaver til en databehandler.
Det foreslås, at der som en undtagelse fra persondatalovens § 42, stk. 2, dog ikke skal indgås en skriftlig aftale mellem den dataansvarlige og databehandleren. Det skyldes, at selskabet nævnt i § 10, stk. 1, handler på vegne af samtlige kommuner, hvor alle 98 kommuner ellers ville skulle indgå enslydende databehandleraftaler for Ydelsesrefusion. Forholdet mellem kommunerne som dataansvarlige og selskabet nævnt i § 10, stk. 1, som databehandler fremgår af lovforslagets § 10, stk. 3, § 14, stk. 2, og §§ 15 og 16.
Det er Beskæftigelsesministeriets vurdering, at forslaget er i overensstemmelse med databeskyttelsesdirektivets (Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger) artikel 17, stk. 3, hvorefter der skal være tale om en kontrakt eller andet retligt bindende dokument.
Det foreslås i stk. 1, at selskabet nævnt i § 10, stk. 1, som databehandler for kommunerne varetager opgaverne med opgørelse af den enkelte kommunes refusion og medfinansiering.
Forslaget skal ses i sammenhæng med forslaget til § 14, stk. 2, hvorefter den enkelte kommune er dataansvarlig efter persondataloven for behandlingen af oplysninger, der i Ydelsesrefusion anvendes til opgørelse af refusion og medfinansiering. Der henvises til bemærkningerne til den foreslåede § 14, stk. 2.
Kommunerne overlader efter den foreslåede bestemmelse opgaverne med opgørelse af refusion og medfinansiering til behandling hos selskabet nævnt i § 10, stk. 1.
Udbetaling Danmark, andre myndigheder og arbejdsløshedskasserne, der videregiver oplysninger til selskabet nævnt i § 10, stk. 1, er selv dataansvarlige for videregivelsen, jf. bemærkningerne til forslaget til § 14. Kommunerne er efter forslaget til § 14, stk. 2 dataansvarlig for behandlingen af oplysninger i Ydelsesrefusion.
Det foreslås i stk. 2, at selskabet nævnt i § 10, stk. 1, skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med lov om behandling af personoplysninger.
Sikkerhedsreglerne fremgår af persondatalovens § 41, stk. 1-3, og er uddybet i bekendtgørelse om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning (sikkerhedsbekendtgørelsen). Selskabet nævnt i § 10, stk. 1, vil som databehandler for kommunerne skulle overholde disse regler.
Det foreslås videre, at selskabet på kommunernes anmodning skal give kommunerne tilstrækkelige oplysninger til, at kommunerne kan påse, at de nævnte tekniske og organisatoriske sikkerhedsforanstaltninger er truffet.
Den foreslåede bestemmelse skal ses i sammenhæng med ovenævnte fravigelse fra persondatalovens § 42, stk. 2.
Der henvises i øvrigt til den foreslåede § 10, stk. 3, og § 14, stk. 2, og bemærkningerne hertil.
