Forarbejder til Lov om Erhvervsstyrelsens behandling af data § 1

Den foreslåede § 1 har til formål at etablere et klart retligt grundlag for, at Erhvervsstyrelsen kan indsamle og behandle en række oplysninger i form af deling og samkøring af data, når det er nødvendigt af hensyn til udførelsen af Erhvervsstyrelsens opgaver.

Det er ikke hensigten med bestemmelsen at fravige tavshedspligtsbestemmelser m.v. på Erhvervsstyrelsens områder, og disse vil derfor fortsat skulle overholdes ved udnyttelse af oplysninger til deling og samkøring af data efter den foreslåede bestemmelse.

Efter det foreslåede stk. 1 kan Erhvervsstyrelsen indsamle og behandle, herunder foretage samkøring af, oplysninger fra andre offentlige myndigheder og fra offentligt tilgængelige kilder, når det er nødvendigt af hensyn til udførelsen af styrelsens opgaver. Dette omfatter både almindelige, fortrolige og følsomme oplysninger.

Oplysningerne, som indsamles og behandles efter bestemmelsen, vil i første række være oplysninger om fysiske personers indkomst og økonomiske forhold i øvrigt (indkomstregistret, skatteoplysninger (R75) og skattekontoen), oplysninger om hvorvidt fysiske eller juridiske personer har påført eller forsøgt at påføre det offentlige væsentlige tab (KINFO), oplysninger om moms eller afgifter (erhvervssystemet), oplysninger om fysiske eller juridiske personer, der er blevet nægtet registrering, fordi de ikke har stillet den krævede sikkerhed (træskoregistret), oplysninger om juridiske personers selvangivelser, omstruktureringer og underskudsregister (DIAS), og oplysninger om fysiske personer, der ved dom er frataget muligheden for at deltage i ledelsen af en erhvervsvirksomhed uden at hæfte personligt og ubegrænset for virksomhedens forpligtelser (konkurskarantæneregistret).

Der vil kunne indsamles og behandles offentligt tilgængelige oplysninger, herunder fra søgemaskiner som f.eks. Google, kortdata og adresseoplysninger m.v. Indsamlingen og behandlingen, herunder samkøringen, efter den foreslåede stk. 1 vil navnlig blive brugt til at styrke kontrol ved virksomhedsregistrering hos Erhvervsstyrelsen.

Det er Erhvervsstyrelsens vurdering, at der bør fastsættes en udtrykkelig hjemmel til at indsamle og behandle oplysninger fra offentligt tilgængelige kilder, henset til den øgede brug af oplysninger fra offentligt tilgængelige kilder sammenholdt med den øgede digitalisering og de stigende datamængder fra offentligt tilgængelige kilder. Lovforslaget indebærer ikke en udvidet adgang til at indsamle oplysninger fra offentligt tilgængelige kilder, men sikrer alene et klart hjemmelsgrundlag for Erhvervsstyrelsens indsamling og behandling af oplysninger fra offentligt tilgængelige kilder. I forbindelse med beslutningen om, hvilke offentligt tilgængelige oplysninger, som Erhvervsstyrelsen vil indsamle og behandle, vil Erhvervsstyrelsen foretage en vurdering af, hvorvidt det er sagligt og proportionalt at indsamle og behandle den pågældende type oplysning. Derved sikres det, at den pågældende type oplysning alene indsamles og behandles, såfremt det er nødvendigt og ikke går videre, end hvad formålet tilsiger.

Udtrykket »samkøring« er en fælles betegnelse for forskellige tekniske løsninger, som vedrører sammenkobling af oplysninger, der kommer fra forskellige registre. Under samkøring hører maskinelle overførsler, hvorved et register tilføres oplysninger fra et andet register, således at det modtagende register udvides med disse oplysninger. Til begrebet samkøring henregnes endvidere maskinelle sammenstillinger af oplysninger fra forskellige registre, hvorved der dannes et nyt »uddata-produkt«, f.eks. et nyt register.

Begrebet »offentligt tilgængelige kilder« skal forstås bredt og omfatter således både personoplysninger og andre oplysninger fra enhver offentligt tilgængelig kilde, herunder enhver informationskilde af både elektronisk og ikke-elektronisk karakter, som inden for rammerne af gældende ret kan tilgås i det offentlige rum. Oplysninger og kilder, der er tilgængelige på almindelige kommercielle vilkår, f.eks. gennem betaling af abonnement eller andre former for betalingstjenester, anses tillige som offentligt tilgængelige.

Med »nødvendigt af hensyn til udførelsen af styrelsens opgaver« sigtes til, at der ikke ændres på det grundlæggende kriterium om, at anvendelse af oplysninger, herunder personoplysninger, kræver et sagligt formål, og at behandlingen ikke må være mere omfattende, end forholdet tilsiger. Der er ikke tilsigtet nogen fravigelse af databeskyttelsesforordningen eller databeskyttelseslovens regler i den forbindelse.

Erhvervsstyrelsens indsamling og behandling af oplysninger fra andre offentlige myndigheder og offentligt tilgængelig kilder vil omfatte oplysninger, som er offentliggjort, eller som andre myndigheder er i besiddelse af forud for ikrafttræden. Oplysningerne vil således kunne vedrøre forhold fra tidligere end nærværende lovs ikrafttræden.

Efter det foreslåede stk. 2 kan Erhvervsstyrelsen behandle, herunder samkøre, oplysninger, som styrelsen ud over de tilfælde, der er nævnt i lovforslagets § 1, stk. 1, er i besiddelse af, når det er nødvendigt af hensyn til udførelsen af styrelsens kontrol- og tilsynsopgaver. Den foreslåede bestemmelse omfatter dermed alle øvrige oplysninger, som styrelsen er i besiddelse af. Det kan eksempelvis være oplysninger, som virksomheder har indberettet til Erhvervsstyrelsen, som følge af deres indberetningspligter i selskabslovgivningen, eller det kan være kontrolsager, hvor Erhvervsstyrelsen har indsamlet oplysninger fra virksomhederne. Reglen vil blive anvendt til at udnytte Erhvervsstyrelsens eksisterende oplysninger til at styrke Erhvervsstyrelsens kontrol- og tilsynsområder også på tværs af styrelsens områder. Det vurderes primært at være nødvendigt, at anvende oplysningerne inden for styrelsens kontrol- og tilsynsområder, hvorfor bestemmelsen er begrænset hertil.

Det foreslåede stk. 2 fraviger inden for bestemmelsens anvendelsesområde fremgangsmådelovens § 4, stk. 2, jf. pkt. 3.1.1.1, som foreskriver, at fortrolige og følsomme oplysninger samt oplysninger om andre rent private forhold udelukkende kan anvendes inden for samme kompetenceområder, som oplysningerne er indhentet til brug for. Hvor den foreslåede stk. 2 ikke finder anvendelse, herunder ved behandling af oplysninger til andre formål end Erhvervsstyrelsens kontrol- og tilsynsopgaver, vil fremgangsmådelovens § 4, stk. 2, fortsat i givet fald skulle overholdes.

Det foreslås i bestemmelsens stk. 3, at Erhvervsstyrelsen til brug for udførelsen af styrelsens opgaver kan få terminaladgang til alle nødvendige oplysninger om fysiske eller juridiske personers økonomiske eller erhvervsmæssige forhold i indkomstregistret, jf. § 7 i lov om et indkomstregister. Ved »terminaladgang« menes en direkte elektronisk adgang til at indsamle oplysninger fra det pågældende register. Der er alene adgang til oplysninger i indkomstregisteret i det omfang, det efter en konkret vurdering er nødvendigt og sagligt. Det foreslåede stk. 3 har til formål at tilvejebringe klar hjemmel til at anvende registret til sammenstilling og samkøring af oplysninger.

Oplysninger, som er indsamlet efter lovforslagets § 1, stk. 3, kan alene behandles, såfremt der er udtrykkelig lovhjemmel hertil, jf. § 7 i lov om et indkomstregister, og kan derfor kun videregives til andre offentlige myndigheder, som også har udtrykkelig hjemmel i lov til at anvende disse oplysninger.

Det foreslås i bestemmelsens stk. 4, at Erhvervsstyrelsen kan indsamle og behandle oplysninger, som omfattes af stk. 1-3, samt videregive disse oplysninger til andre offentlige myndigheder, når det er nødvendigt for deres myndighedsudøvelse i kontrol- og tilsynsøjemed.

Det vurderes primært at være nødvendigt at behandle, herunder indsamle og videregive oplysningerne til andre offentlige myndigheder, når dette sker til brug for deres kontrol- og tilsynsområder, hvorfor bestemmelsen er begrænset hertil.

Kontrol- og tilsynsopgaver i bestemmelsens forstand omfatter også politiets opgaver i forbindelse med forebyggelse, efterforskning og forfølgning mv. af strafbare forhold. Det bemærkes, at Erhvervsstyrelsens videregivelse af oplysninger til politiet med henblik på at oplysningerne danner grundlag for, eller inddrages i, en verserende efterforskning af et strafbart forhold, efter gældende ret kan finde sted, selv når der alene er tale om antagelser eller mistanker og uanset det konkrete strafbare forholds strafværdighed.

De kontrolresultater, som andre offentlige myndigheder, herunder skattevæsenet, opnår som følge af de oplysninger, der videregives fra Erhvervsstyrelsen i medfør af lovforslagets stk. 4, kan have betydning for Erhvervsstyrelsens fremadrettede vurdering af risikoen for, om virksomheder m.v. vil begå svig og anden økonomisk kriminalitet omfattet af andre offentlige myndigheders lovgivning, herunder skatte- og afgiftslovgivningen. Adgangen til at indsamle og behandle oplysninger efter lovforslagets stk. 1 og 4 omfatter derfor også andre offentlige myndigheders, herunder skattevæsenets, kontrolresultater, som er dannet på grundlag af Erhvervsstyrelsens videregivelse af oplysninger til disse andre offentlige myndigheder. Det vil i bekendtgørelse udstedt i medfør af lovforslagets § 1, stk. 5, blive fastsat, til hvilke andre offentlige myndigheder Erhvervsstyrelsen kan videregive oplysninger.

Det foreslåede stk. 4 har til formål at give Erhvervsstyrelsen et klart retsgrundlag for, at styrelsen af egen drift kan videregive oplysninger til andre offentlige myndigheder, som ved brug af machine learning vurderes at være af væsentlig betydning for disse myndigheders kontrol- og tilsynsopgaver. Vurderingen af, hvilke oplysninger som vil være af væsentlig betydning for andre offentlige myndigheders kontrol- og tilsynsopgaver, foretages på grundlag af på forhånd fastsatte kriterier. Dette kan f.eks. i relation til videregivelse til skattevæsenet være tilfælde, hvor machine learning-modellen vurderer, at der er høj risiko for, at en virksomhed vil begå svig eller anden økonomisk kriminalitet. Erhvervsstyrelsen tager stilling til, om kriterierne er opfyldte, således at de dels sikrer, at videregivelse af oplysninger tjener et sagligt formål, og dels at oplysningerne er begrænsede til, hvad der er nødvendigt i forhold til den modtagende myndigheds kontrol- og tilsynsopgaver.

Det bemærkes, at der med den foreslåede bestemmelse ikke er tilsigtet nogen ændring af andre offentlige myndigheders adgang til efter anmodning at få udleveret de oplysninger, som styrelsen er kommet i besiddelse af, herunder oplysninger indsamlet i medfør af lovforslagets stk. 1-3. Der er med den foreslåede bestemmelse endvidere ikke tilsigtet nogen ændring af, i hvilket omfang styrelsen på baggrund af en konkret vurdering kan videregive oplysninger til andre offentlige myndigheder. Disse spørgsmål afgøres efter de almindelige regler om videregivelse af oplysninger mellem offentlige myndigheder, herunder de regler, som er fastlagt i databeskyttelsesloven, databeskyttelsesforordningen og forvaltningsloven. Derudover kan oplysninger i medfør af lovforslagets § 1, stk. 4, alene videregives til andre offentlige myndigheder, som har hjemmel til at anvende disse. Dette medfører ikke et krav om eksplicit lovhjemmel i alle tilfælde, men kan konkret gøre det i forhold til bestemte oplysninger f.eks. oplysninger om konkurskarantæne, hvor der er krav om hjemmel i lov eller bekendtgørelse.

Der foreslås i bestemmelsens stk. 5 indsat hjemmel for erhvervsministeren til at fastsætte nærmere regler for Erhvervsstyrelsens indsamling, behandling og videregivelse af oplysninger, herunder om hvornår og til hvilke formål oplysninger kan indsamles og behandles, hvornår sletning af oplysninger skal finde sted, hvilke myndigheder Erhvervsstyrelsen kan videregive oplysninger til og om de tekniske og organisatoriske foranstaltninger, der skal iagttages ved behandlingen. Ved fastsættelsen af disse regler vil de involverede offentlige myndigheder blive inddraget.

Adgangen til at fastsætte regler skal ske inden for rammerne af arkivlovens regler om bevaring og kassation af offentlige arkivalier m.v., samt anden lovgivning, som indeholder krav til opbevaring og sletning. Ved sletning forstås i overensstemmelse hermed arkivering og kassation af de omfattede oplysninger.

Bestemmelsen indebærer herudover, at erhvervsministeren skal fastsætte regler, som sikrer et passende beskyttelsesniveau i forbindelse med Erhvervsstyrelsens gennemførelse af behandling i tillæg til de almindelige regler i databeskyttelsesforordningen.

Som nævnt i pkt. 3.1.2 og 3.1.2.3 i de almindelige bemærkninger vil erhvervsministeren i medfør af lovforslagets stk. 5 og inden for rammerne af databeskyttelsesforordningens artikel 23 fastsætte nærmere regler om, at Erhvervsstyrelsen må viderebehandle personoplysninger til andre formål, end de oprindeligt var indsamlet til, uafhængigt af formålenes forenelighed (formålsbestemthedsprincippet).

Ved udnyttelsen af bemyndigelsen skal kravene i forordningens artikel 23, stk. 2, være opfyldt, hvilket medfører, at der ved Erhvervsstyrelsens udstedelse af en bekendtgørelse, der begrænser bl.a. formålsbestemthedsprincippet, som minimum, hvor det er relevant, navnlig skal indeholde specifikke bestemmelser vedrørende de i artikel 23, stk. 2, påkrævede bestemmelser.

Begrænsningen af formålsbestemthedsprincippet indebærer konkret, at Erhvervsstyrelsen får adgang til at foretage test med de data, som omfattes af de foreslåede bestemmelser i stk. 1-4. Det fremgår af Justitsministeriets betænkning nr. 1565/2017 om databeskyttelsesforordningen, side 158, at en sådan fremgangsmåde, hvorefter der i lovgivningen foretages fravigelser af forordningen, er i overensstemmelse med databeskyttelsesforordningen, såfremt fravigelsen opfylder de krav, som er fastlagt i forordningens artikel 23.

Begrænsningen af formålsbestemthedsprincippet vurderes at være en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund af hensyn til Erhvervsstyrelsen og andre offentlige myndigheders, herunder skattevæsenets, kontrol-, tilsyns- og reguleringsfunktioner, der udgør offentlig myndighedsudøvelse.

Formålet er bl.a. at sikre det lovgivningsmæssige grundlag for, at der i læringsøjemed kan udvikles modeller m.v., der kan genkende mønstre og tegn på svig på tværs af data. Det bemærkes, at de almindelige krav om proportionalitet og dataminimering fortsat gælder ved anvendelse af data. Det forudsættes derfor at adgangen til at fastsætte regler om, at der kan anvendes oplysninger til læringsformål for modeludviklingen ikke benyttes i et videre omfang, end hvad der er nødvendigt for at sikre, at den efter lovforslaget tilsigtede model vedrørende samkøring af data er operationel og virker efter hensigten.

Den foreslåede bestemmelse i stk. 5 kan alene anvendes til at fravige formålsbestemthedsprincippet i relation til behandling af oplysninger i henhold til stk. 1-4. Det skal vurderes konkret, om fravigelser, der fastsættes i medfør af bestemmelsen, lever op til databeskyttelsesforordningens artikel 23.

Der foretages ikke i øvrigt fravigelse af reglerne i databeskyttelsesforordningen, herunder de registreredes rettigheder. Spørgsmålet om underretning og indsigt i data m.v., som behandles i medfør af stk. 1-4, skal derfor afgøres efter de almindelige regler i databeskyttelsesforordningen og databeskyttelsesloven.

Der henvises i øvrigt til pkt. 3.1.2 og 3.1.2.3 i lovforslagets almindelige bemærkninger.