Lov om behandling af personoplysninger ved driften af den statslige varslingstjeneste for internettrusler m.v.

VI MARGRETHE DEN ANDEN, af Guds Nåde Danmarks Dronning, gør vitterligt:

Folketinget har vedtaget og Vi ved Vort samtykke stadfæstet følgende lov:

Loven finder anvendelse på IT- og Telestyrelsens behandling af personoplysninger, som er indeholdt i pakke- og trafikdata, ved driften af den statslige varslingstjeneste for internettrusler.

Kommuner og regioner samt private virksomheder, som er beskæftiget med kritisk infrastruktur, kan efter anmodning blive tilsluttet den statslige varslingstjeneste for internettrusler.

Stk. 2. Ministeren for videnskab, teknologi og udvikling kan fastsætte nærmere regler for de i stk. 1 nævnte myndigheders og private virksomheders tilslutning til den statslige varslingstjeneste for internettrusler, herunder regler om betaling af gebyr.

I denne lov forstås ved:

1. Pakkedata: Indholdet af internetbaseret kommunikation.

2. Trafikdata: Data, som behandles med henblik på overførsel af pakkedata.

3. Sikkerhedshændelse: Hændelse, der påvirker tilgængelighed, integritet eller fortrolighed af information eller tjenester på internettet.

Som led i driften af den statslige varslingstjeneste for internettrusler behandler, herunder indsamler, registrerer, analyserer og opbevarer, IT- og Telestyrelsen uden retskendelse tilsluttede myndigheders og private virksomheders ind- og udgående pakke- og trafikdata. Pakkedata må dog kun analyseres ved begrundet mistanke om en stedfunden eller forventet sikkerhedshændelse, og kun i det omfang det er nødvendigt for at gennemføre den pågældende analyse.

Stk. 2. Registrerede pakke- og trafikdata som nævnt i stk. 1 slettes, når formålet med behandlingen er opfyldt.

Stk. 3. Uanset at formålet med behandlingen ikke er opfyldt, kan

1. pakke- og trafikdata, der knytter sig til en sikkerhedshændelse, højst opbevares i 3 år,

2. pakkedata, der ikke knytter sig til en sikkerhedshændelse, højst opbevares i 14 dage og

3. trafikdata, der ikke knytter sig til en sikkerhedshændelse, højst opbevares i 12 måneder.

Stk. 4. Fristerne i stk. 3, nr. 1-3, regnes fra tidspunktet for registreringen af de pågældende data i den statslige varslingstjeneste.

Stk. 5. Ministeren for videnskab, teknologi og udvikling kan fastsætte nærmere regler for den i stk. 1 nævnte behandling af pakke- og trafikdata.

§ 35 i lov om behandling af personoplysninger finder ikke anvendelse på den statslige varslingstjeneste for internettruslers behandling af personoplysninger.

Stk. 2. Personer, der virker inden for den statslige varslingstjeneste for internettrusler, har tavshedspligt, jf. straffelovens § 152, jf. § 152 a-e, med hensyn til oplysninger, som de gennem deres virksomhed i varslingstjenesten får kendskab til, jf. dog § 6.

Data, der behandles som led i den statslige varslingstjenestes aktiviteter, kan kun videregives i følgende tilfælde:

1. Pakke- og trafikdata, der knytter sig til en sikkerhedshændelse, kan videregives til politiet.

2. Pakkedata, der knytter sig til en sikkerhedshændelse, kan videregives til Forsvarets Efterretningstjenestes militære CERT, hvor IT- og Telestyrelsen skønner det nødvendigt for at beskytte nationale digitale infrastrukturer mod sikkerhedsmæssige trusler. Forsvarets Efterretningstjeneste behandler, herunder sletter og opbevarer, disse data i overensstemmelse med bestemmelserne i § 4.

3. Trafikdata kan, hvor dette er nødvendigt i henhold til varslingstjenestens formål og aktiviteter, videregives til danske myndigheder, tilsluttede private virksomheder og tilsvarende varslingstjenester i andre lande.

Ministeren for videnskab, teknologi og udvikling nedsætter et uafhængigt tilsyn, der følger den statslige varslingstjeneste for internettruslers virksomhed.

Stk. 2. Tilsynet består af en jurist som formand og 4 sagkyndige medlemmer. Formanden og medlemmerne beskikkes af ministeren for videnskab, teknologi og udvikling. Ministeren for videnskab, teknologi og udvikling skal ved beskikkelsen af medlemmerne lægge vægt på, at tilsynet samlet repræsenterer juridisk, it-revisionsmæssig og sikkerhedsmæssig sagkundskab.

Stk. 3. Formanden og medlemmerne beskikkes for 4 år ad gangen og kan genbeskikkes.

Stk. 4. Ministeren for videnskab, teknologi og udvikling fastsætter nærmere regler for tilsynets virksomhed. Ministeren for videnskab, teknologi og udvikling kan herunder beslutte, at tilsynet skal udarbejde en årsberetning om den statslige varslingstjeneste for internettruslers virksomhed.

Stk. 5. IT- og Telestyrelsen stiller sekretariatsbistand til rådighed for tilsynet.

Stk. 6. Staten afholder alle udgifter ved tilsynets virksomhed.

Ministeren for videnskab, teknologi og udvikling kan bemyndige en under ministeriet oprettet statslig myndighed eller efter forhandling med vedkommende minister andre statslige myndigheder til at udøve de beføjelser, der i denne lov er tillagt ministeren for videnskab, teknologi og udvikling.

Stk. 2. Ministeren for videnskab, teknologi og udvikling kan fastsætte regler om adgangen til at påklage afgørelser, der er truffet i henhold til bemyndigelse efter stk. 1, herunder om, at afgørelserne ikke skal kunne påklages.

Stk. 3. Ministeren for videnskab, teknologi og udvikling kan fastsætte regler om udøvelsen af de beføjelser, som en anden statslig myndighed efter forhandling med vedkommende minister bliver bemyndiget til at udøve efter stk. 1.

Ministeren for videnskab, teknologi og udvikling skal senest 3 år efter denne lovs ikrafttræden give Folketinget en skriftlig redegørelse på baggrund af en evaluering af den statslige varslingstjeneste for internettrusler og dens virksomhed.

Loven træder i kraft den 1. juli 2011.

Loven gælder ikke for Færøerne og Grønland.

Givet på Christiansborg Slot, den 14. juni 2011

Under Vor Kongelige Hånd og Segl

MARGRETHE R.

/ Charlotte Sahl-Madsen