LBK nr 395 af 12/04/2024
Beskæftigelsesministeriet
Bekendtgørelse af lov om digital løsning til brug for anmeldelse af sygefravær og anmodning om refusion og tilskud m.v. (Nemrefusion) § 8
Kommunerne er dataansvarlig for de opgaver, der løses i Selskabet.
Stk. 2. Kommunerne overlader opgaverne, jf. §§ 6 og 7, til behandling hos Selskabet, som er databehandler for kommunerne.
Stk. 3. Selskabet handler alene efter dokumenteret instruks fra kommunerne. Selskabet skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, og mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med Europa-Parlamentets og Rådets forordning nr. 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og databeskyttelsesloven. Selskabet skal på kommunernes anmodning give kommunerne tilstrækkelige oplysninger til, at kommunerne kan påse, at de nævnte tekniske og organisatoriske sikkerhedsforanstaltninger er truffet.
Forarbejder til Bekendtgørelse af lov om digital løsning til brug for anmeldelse af sygefravær og anmodning om refusion og tilskud m.v. (Nemrefusion) § 8
Selskabets opgaver løses indenfor de rammer, som fremgår af persondatalovens § 42, der handler om den dataansvarliges mulighed for at overlade opgaver til en databehandler.
Som en undtagelse fra § 42, stk. 2, skal der dog ikke indgås en skriftlig aftale mellem den dataansvarlige og databehandleren. Det skyldes, at Selskabet handler på vegne af samtlige kommuner, hvor alle 98 kommuner ellers ville skulle indgå den enslydende databehandleraftale, for SDPI-løsningen. Forholdet mellem kommunerne som dataansvarlige og Selskabet som databehandler fremgår af lovforslagets § 8, stk. 3.