Databeskyttelsesloven § 26

Bestemmelsen i stk. 1 foreskriver et krav om, at der skal indhentes en tilladelse fra Datatilsynet inden iværksættelsen af visse typer af behandlinger for private dataansvarlige.

Bestemmelsen svarer – for så vidt angår advarselsregistervirksomhed og kreditoplysningsbureauvirksomhed samt behandling, som udelukkende finder sted med henblik på at føre retsinformationssystemer – til reglerne i persondatalovens § 50, stk. 1, nr. 2, 3 og 5.

Der skal efter bestemmelsen ske forelæggelse for Datatilsynet, før iværksættelse af sådan virksomhed.

Det overlades til Datatilsynet i hvert enkelt tilfælde at afgøre, om oprettelsen af sådanne registre tjener anerkendelsesværdige interesser, og i bekræftende fald at give individuelle forskrifter med hensyn til registrerets brug.

I Datatilsynets bedømmelse af, om en ansøgning bør imødekommes, må navnlig indgå en vurdering af registrets formål i forhold til den risiko for krænkelser af privatlivets fred, som oprettelse og brugen af registret kan medføre. Der kan eksempelvis fastsættes særlige sikkerhedsforanstaltninger og stilles sådanne andre vilkår, som i hvert enkelt tilfælde skønnes nødvendige. Det vil f.eks. kunne være, at registret skal slettes efter en vis tid, eller at bestemte oplysninger skal slettes efter en vis periode.

Det afgørende for, om et register er omfattet at bestemmelsen i stk. 1, nr. 1, om et advarselsregister, er, at registret er oprettet med henblik på videregivelse. At der jævnligt sker videregivelse af oplysninger fra et register, der primært er oprettet med et andet formål, medfører ikke, at registret bliver omfattet af bestemmelsen. Omfattet af bestemmelsen vil derimod f.eks. typisk være et register, der er oprettet af en forening eller en brancheorganisation med henblik på at videregive oplysninger til foreningens eller brancheorganisations medlemmer om medlemmernes forretningsforbindelse og disses betalingsevne. Sådanne advarselsregistre kan eksempelvis være Teleindustriens advarselsregister over personer og/eller virksomheder, som kun kan tegne abonnement efter en særlig vurdering, eller et advarselsregister over lejere, der har misligholdt deres lejemål eller lejeaftale.

For de behandlinger der udelukkende finder sted med henblik på at føre retsinformationssystemer sigtes til retsinformationssystemer, der er omfattet af lovforslagets § 9.

For nærmere om kreditoplysningsområdet se afsnit 2.3.11. i de almindelige bemærkninger og de specielle bemærkninger til §§ 15-21.

I stk. 2 er indsat en bemyndigelsesbestemmelse, hvorefter justitsministeren kan undtage behandlinger, der er omfattet af stk. 1 fra tilladelseskravet. Der vil eksempelvis kunne fastsættes regler om, at Datatilsynets tilladelse ikke skal indhentes til bestemte former for advarselsregistre, eksempelvis registre over lejere, der har misligholdt deres lejemål.

Bestemmelsen i stk. 2 svarer til persondatalovens § 50, stk. 3.

I henhold til stk. 3 kan justitsministeren fastsætte regler om, at der forinden iværksættelsen af andre behandlinger end de i stk. 1 nævnte skal indhentes en tilladelse fra Datatilsynet, herunder for behandlinger både for offentlige og private dataansvarlige. Der kan f.eks. lægges vægt på, om der er tale om en behandling, som har til formål at udelukke den registrerede fra at udøve en ret, modtage en ydelse eller opnå en kontrakt, eller som indebærer anvendelse af ny teknologi, der indebærer særlige risici for registrerede personer.

Når bemyndigelsen til at fastsætte regler om indhentning af tilladelse fra Datatilsynet i stk. 3 udnyttes, er det efter forordningens artikel 36, stk. 5, tillige et krav, at der skal være tale om en behandling under udførelsen af en opgave i samfundets interesse.

Af bestemmelsens stk. 4 følger det, at Datatilsynet kan fastsætte nærmere vilkår for udførelsen af behandlinger, som skal tillades efter stk. 1 eller 3. Ved fastsættelsen af vilkår for behandlinger af oplysninger forudsættes det, at der tages udgangspunkt i de vilkår, som i dag stilles i henhold til persondataloven. Herudover kan vilkårene for de nævnte erhvervsmæssige aktiviteter udformes som en nærmere beskrivelse af lovens krav samt indskærpelse af kravene til sikkerhedsforanstaltninger.

Bestemmelsen svarer til persondatalovens § 50, stk. 5.

Af bestemmelsens stk. 5 følger det, at Datatilsynets tilladelse skal indhentes på ny, hvis der er tale om væsentlige ændringer i de i stk. 1 eller 3 nævnte behandlinger. Tilsynets tilladelse til ændringen skal indhentes inden iværksættelsen, idet der dog ikke skal indhentes tilladelse, såfremt der er tale om ændringer af mindre væsentlig betydning.

Når lovforslaget træder i kraft, vil det ikke være nødvendigt at indhente en ny tilladelse til en fortsat behandling, som Datatilsynet har givet tilladelse til efter persondatalovens § 50, stk. 1, nr. 2 og 3, men Datatilsynets tilladelse skal dog også fremover indhentes på ny, hvis der er tale om væsentlige ændringer. For nærmere herom henvises til lovforslagets § 47 og bemærkningerne hertil.

Bestemmelsen svarer delvist til persondatalovens § 51, stk. 2.

Der henvises i øvrigt til afsnit 2.6.3. i lovforslagets almindelige bemærkninger.