Kilde

Til nr. 1

I databeskyttelseslovens § 6, stk. 1-3, er der fastsat nærmere betingelser for, hvornår behandling af personoplysninger må finde sted.

Den gældende bestemmelse i databeskyttelseslovens § 6, stk. 2, medfører, at i det omfang samtykkereglen i databeskyttelsesforordningens artikel 6, stk. 1, litra a, finder anvendelse i forbindelse med udbud af informationssamfundstjenester direkte til børn, er behandling af personoplysninger om et barn lovlig, hvis barnet er mindst 13 år.

Den gældende bestemmelse i databeskyttelseslovens § 6, stk. 3, medfører, at hvis barnet er under 13 år, er behandling af personoplysninger om barnet kun lovlig, hvis og i det omfang samtykke gives eller godkendes af indehaveren af forældremyndigheden over barnet.

For en nærmere beskrivelse af gældende ret henvises til pkt. 2.1.1 i lovforslagets almindelige bemærkninger.

Det foreslås i § 6, stk. 2 og 3, at ændre »13 år« til: »15 år«.

Den foreslåede ændring vil medføre, at aldersgrænsen for, hvornår man kan give samtykke til behandling af personoplysninger i forbindelse med udbud af informationssamfundstjenester, vil blive hævet fra 13 år til 15 år. Ændringen vil medføre, at hvis et barn er under 15 år, er behandling af personoplysninger om barnet kun lovlig, hvis og i det omfang samtykke gives eller godkendes af indehaveren af forældremyndigheden over barnet.

For en nærmere beskrivelse af formålet med at hæve aldersgrænsen i databeskyttelseslovens § 6, stk. 2 og 3, henvises til pkt. 2.1.3 i lovforslagets almindelige bemærkninger.

Til nr. 2 og 3

I databeskyttelseslovens § 13, stk. 1-3, er der fastsat nærmere betingelser for behandling af personoplysninger i forbindelse med markedsføring. I databeskyttelseslovens § 13, stk. 5-7, er der endvidere fastsat markedsføringsregler vedrørende adressering- og kuverteringsbureauer. I databeskyttelseslovens § 13, stk. 8 og 9, bemyndiges justitsministeren til at fastsætte yderligere begrænsninger ved behandling af oplysninger til brug ved markedsføring. For en nærmere beskrivelse af gældende ret henvises til pkt. 2.2.1 i de almindelige bemærkninger til lovforslaget.

Det foreslås at ophæve § 13, stk. 1-3 og stk. 5-9 .

Det foreslåede vil indebære, at man sikrer, at databeskyttelsesloven er i overensstemmelse med det nationale råderum i databeskyttelsesforordningen.

Den foreslåede ordning, hvorefter databeskyttelseslovens § 13, stk. 1, ophæves, vil medføre, at der ikke længere stilles krav om forbrugerens udtrykkelige samtykke, når en virksomhed ønsker at videregive oplysninger om en forbruger til en anden virksomhed ved direkte markedsføring eller anvende oplysningerne på vegne af en anden virksomhed i dette øjemed.

Den foreslåede ordning, hvorefter databeskyttelseslovens § 13, stk. 2, ophæves, vil medføre, at virksomheder ikke længere vil kunne basere en behandling af personoplysninger på databeskyttelseslovens § 13, stk. 2, hvorefter videregivelse og anvendelse som nævnt i stk. 1 kan ske uden samtykke, hvis der er tale om generelle kundeoplysninger, der danner grundlag for inddeling i kundekategorier, og hvis betingelserne i databeskyttelsesforordningens artikel 6, stk. 1, litra f, er opfyldt. Den foreslåede ordning vil indebære, at hvis en virksomhed fremadrettet ønsker at videregive oplysninger om en forbruger til en anden virksomhed ved direkte markedsføring eller anvende oplysningerne på vegne af en anden virksomhed i dette øjemed, vil virksomheden skulle vurdere, om behandlingen kan ske på baggrund af et af behandlingsgrundlagene i databeskyttelsesforordningens artikel 6, stk. 1, litra a-f.

Det beror på en konkret vurdering, om en virksomhed kan videregive eller anvende personoplysninger til brug for direkte markedsføring på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra f (interesseafvejning). Der kan bl.a. findes fortolkningsbidrag i forordningens præambelbetragtning nr. 47 og Datatilsynets praksis. Datatilsynet har bl.a. udtalt, at oplysninger indhentet i forbindelse med en konkurrence, hvor der bl.a. spørges til konkurrencedeltagerens specifikke mobiludbyder og TV-udbyder, hvilke specifikke streaming-tjenester konkurrencedeltageren benytter, hvilken el-leverandør konkurrencedeltageren har, hvilket realkreditinstitut konkurrencedeltageren er kunde hos, samt hvilken timeantalsmæssig tilknytning konkurrencedeltageren har til arbejdsmarkedet, er for detaljerede til med henblik på direkte markedsføring at kunne videregives inden for rammerne af forordningens artikel 6, stk. 1, litra f.

Den foreslåede ordning, hvorefter databeskyttelseslovens § 13, stk. 1 og 6, ophæves, vil desuden medføre, at der ikke længere stilles krav om, at et samtykke til behandling af personoplysninger i forbindelse med markedsføring skal indhentes i overensstemmelse med markedsføringslovens § 10, der indeholder et forbud mod at sende direkte markedsføring til nogen ved brug af elektronisk post, et automatiseret opkaldssystem eller telefax, medmindre den pågældende har givet sit forudgående samtykke (det såkaldte spamforbud), som virksomhederne forsat vil skulle overholde.

Den foreslåede ophævelse af databeskyttelseslovens § 13, stk. 3, hvorefter der efter stk. 2 ikke kan videregives eller anvendes følsomme oplysninger eller oplysninger om strafbare forhold, vurderes ikke at ville have konsekvenser for retstilstanden, da behandling af følsomme personoplysninger og oplysninger om strafbare forhold også er begrænset i databeskyttelsesforordningens artikel 9 og databeskyttelseslovens § 8.

Den foreslåede ordning, hvorefter databeskyttelseslovens § 13, stk. 5, ophæves, vil medføre, at dataansvarlige adresserings- og kuverteringsbureauer kan behandle yderligere oplysninger end de nævnte i databeskyttelseslovens § 13, stk. 5, nr. 1 og 2, hvis der kan identificeres et behandlingsgrundlag i databeskyttelsesforordningens artikel 6.

Den foreslåede ordning vil endvidere medføre, at der ikke længere vil gælde et forbud i databeskyttelseslovens § 13, stk. 7, mod dataansvarlige adresserings- og kuverteringsbureauers behandling af særlige kategorier af personoplysninger efter databeskyttelsesforordningens artikel 9 (følsomme oplysninger) og oplysninger om strafbare forhold efter databeskyttelseslovens § 8 med henblik på direkte markedsføring, uanset om der er givet samtykke dertil. Det bemærkes, at følsomme personoplysninger efter databeskyttelsesforordningens artikel 9, stk. 1, ikke må behandles, medmindre en af undtagelserne i artikel 9, stk. 2, eller bestemmelser, der gennemfører artikel 9, gør sig gældende, og der samtidig foreligger et lovligt grundlag for behandling i forordningens artikel 6.

Herudover bemærkes, at reglerne i databeskyttelsesforordningens artikel 21, stk. 2-4, om den registreredes indsigelsesret over for behandling af oplysninger med henblik på direkte markedsføring og den dataansvarliges pligt til at meddele den registrerede om muligheden til at gøre indsigelse, fortsat gælder. For nærmere om forordningens artikel 21 henvises til pkt. 2.2.1 i lovforslagets almindelige bemærkninger.

Den foreslåede ophævelse af databeskyttelseslovens § 13, stk. 8 og 9, vil medføre, at justitsministeren ikke ved bekendtgørelse vil kunne begrænse adgangen for behandling af bestemte typer af oplysninger med henblik på direkte markedsføring i medfør af denne bestemmelse.

Kravene til behandling af personoplysninger i markedsføringsøjemed vil således som følge af forslaget følge direkte af databeskyttelsesforordningen.

Der henvises i øvrigt til pkt. 2.2 i lovforslagets almindelige bemærkninger.

Til nr. 4

Til stk. 7

Procesbevillingsnævnet er i dag omfattet af oplysningspligten i databeskyttelsesforordningens artikel 13-14 og indsigtsretten efter forordningens artikel 15.

For en nærmere beskrivelse af gældende ret henvises til pkt. 2.3.1 i lovforslagets almindelige bemærkninger.

Det foreslås i § 22, stk. 7, at databeskyttelsesforordningens artikel 13-15 ikke finder anvendelse på behandling af personoplysninger, der foretages af Procesbevillingsnævnet i henhold til retsplejelovens § 22, stk. 1.

Det foreslåede vil medføre, at Procesbevillingsnævnets behandling af personoplysninger i nævnets afdeling for appeltilladelser og afdelingen for appeltilladelser til landsretten vedrørende familierettens afgørelser vil være undtaget fra databeskyttelsesforordningens regler om oplysningspligt i artikel 13 og 14 og indsigtsret i artikel 15.

Oplysningspligten og indsigtsretten efter databeskyttelsesforordningens artikel 13-15 vil fortsat i det hele omfatte Procesbevillingsnævnets behandling af personoplysninger i forbindelse med sager vedrørende fri proces og retshjælp i henhold til retsplejelovens § 22, stk. 2, og alle nævnets administrative forhold. Dette indebærer bl.a., at administrativ sagsbehandling vil være omfattet af oplysningspligten og indsigtsretten efter databeskyttelsesforordningen.

Herudover vil den registrerede fortsat kunne gøre sine øvrige rettigheder efter databeskyttelsesforordningen gældende over for Procesbevillingsnævnet.

Undtagelsen vil finde anvendelse efter den 1. januar 2024, som er det foreslåede tidspunkt for lovens ikrafttræden.

Der henvises i øvrigt til afsnit 2.3 i lovforslagets almindelige bemærkninger.

Til stk. 8

Hvis en anmodning om indsigt i sagsakter fra en myndighed m.v. helt eller delvist vedrører personoplysninger, der er omfattet af indsigtsretten efter databeskyttelsesforordningen, vil Folketingets Ombudsmand i dag selv tage stilling til den del af anmodningen, der vedrører indsigt efter databeskyttelsesforordningen, eventuelt efter at have indhentet en udtalelse fra myndigheden m.v. For en nærmere beskrivelse af gældende ret henvises til pkt. 2.4.1 i lovforslagets almindelige bemærkninger.

Det foreslås i § 22, stk. 8, 1. pkt., at databeskyttelsesforordningens artikel 15 ikke finder anvendelse på Folketingets Ombudsmands behandling af personoplysninger i sagsakter fra myndigheder m.v., der er sendt til ombudsmanden som led i behandlingen af en sag. Det foreslås endvidere i § 22, stk. 8, 2. pkt., at Folketingets Ombudsmand videresender sådanne indsigtsanmodninger efter artikel 15 til de relevante myndigheder m.v.

Det foreslåede vil indebære en ændring af afgørelseskompetencen for så vidt angår den registreredes ret til indsigt i personoplysninger i sagsakter fra myndigheder m.v., der er sendt til Folketingets Ombudsmand.

Der henvises til pkt. 2.4.2 i lovforslagets almindelige bemærkninger.

Sagsakterne kan være sendt til ombudsmanden af vedkommende myndighed m.v., af klageren eller af andre, f.eks. som bilag til en henvendelse. Det er uden betydning, om sagsakterne er sendt til ombudsmanden i forbindelse med en klagesag, en egen drift-undersøgelse eller en tilsynssag, og om det er sket på ombudsmandens eller afsenderens foranledning.

Med »myndigheder m.v.« i den foreslåede bestemmelse forstås de myndigheder og private institutioner m.v., som er omfattet af Folketingets Ombudsmands virksomhed efter § 7, stk. 1, i lov om Folketingets Ombudsmand (ombudsmandsloven). Med »myndigheder m.v.« forstås endvidere selskaber, institutioner, foreninger m.v., som helt eller delvist er inddraget under de regler og principper, der gælder for den offentlige forvaltning, og som ombudsmanden har besluttet at inddrage under sin virksomhed efter § 7, stk. 4, i ombudsmandsloven.

Vedkommende myndighed m.v. vil således skulle behandle og besvare indsigtsanmodningen for så vidt angår sagsakter fra myndigheden m.v. Folketingets Ombudsmand vil underrette den registrerede om, at ombudsmanden har sendt indsigtsanmodningen til vedkommende myndighed m.v. til videre foranstaltning.

I de tilfælde, hvor vedkommende myndighed m.v. har fået videresendt en anmodning fra ombudsmanden, og hvor der er tvivl om, hvorvidt der er tale om en anmodning om indsigt efter forvaltningsrettens regler eller databeskyttelsesreglerne, vil myndigheden m.v. – ligesom det er tilfældet i dag, hvis en anmodning sendes direkte til myndigheden m.v. – skulle håndtere borgerens anmodning efter det mest gunstige regelsæt.

Den foreslåede bestemmelse vil alene regulere adgangen til indsigt efter artikel 15 i databeskyttelsesforordningen i sagsakter fra myndigheder m.v., der er sendt til Folketingets Ombudsmand som led i behandlingen af en sag.

Folketingets Ombudsmand vil således fortsat skulle behandle indsigtsanmodninger i andre personoplysninger, der behandles af ombudsmanden. Det gælder f.eks. oplysninger i ombudsmandens brevveksling med klagere eller myndigheder m.v., dvs. oplysninger i ombudsmandens egne ind- og udgående sagsakter, herunder breve fra eller til klagere og ombudsmandens breve til myndigheder m.v. samt disses høringssvar. Eventuelle vedlagte sagsakter fra myndighederne m.v. vil derimod skulle behandles efter den foreslåede nye bestemmelse i § 22, stk. 8. Bestemmelsen vil ikke indebære en begrænsning af den registreredes øvrige rettigheder i databeskyttelsesforordningen. Således vil Folketingets Ombudsmand eksempelvis fortsat skulle behandle anmodninger om berigtigelse af personoplysninger eller anmodninger om sletning af personoplysninger m.v. i medfør af databeskyttelsesforordningen i sagsakter fra myndigheder m.v., der er sendt til ombudsmanden.

Undtagelsen vil finde anvendelse efter den 1. januar 2024, som er det foreslåede tidspunkt for lovens ikrafttræden.

Der henvises i øvrigt til afsnit 2.4 i lovforslagets almindelige bemærkninger.

Kilde

Det foreslås i lov om Det Centrale Personregister § 29, stk. 2, 2. pkt., at ændre »§ 13, stk. 4, i databeskyttelsesloven« til: »§ 13 i databeskyttelsesloven«.

Den foreslåede bestemmelse vil udgøre en konsekvensændring som følge af den foreslåede ændring af databeskyttelseslovens § 13.

Kilde

Det foreslås i stk. 1, at loven skal træde i kraft den 1. januar 2024.

Det foreslås i stk. 2, at lovens § 1, nr. 1, ikke finder anvendelse på et samtykke afgivet før lovens ikrafttræden. For et sådant samtykke finder de hidtil gældende regler anvendelse.

Den foreslåede ordning vil indebære, at kravet om, at man skal være 15 år, før man kan give samtykke til behandling af personoplysninger i forbindelse med udbud af informationssamfundstjenester, vil finde anvendelse i forhold til et samtykke afgivet efter lovens ikrafttræden. Hvis et barn på 13 eller 14 år for eksempel har afgivet et samtykke før lovens ikrafttræden, vil samtykket således fortsat være gyldigt efter lovens ikrafttræden. Skal samtykket fornys, evt. som følge af opdateringer hos informationssamfundstjenesten, eller bortfalder det af anden grund efter lovens ikrafttræden, vil et nyt samtykke være omfattet af de nye regler, hvorefter barnet skal være fyldt 15 år for at kunne give et gyldigt samtykke. Hvis barnet på dette tidspunkt endnu ikke er fyldt 15 år, er behandling af barnets personoplysninger i forbindelse med udbud af informationssamfundstjenester kun lovlig, hvis og i det omfang samtykke gives eller godkendes af forældremyndighedsindehaveren.

Det foreslåede vil ikke gælde for Færøerne og Grønland, da databeskyttelsesloven ikke gælder for Færøerne og Grønland, ligesom loven ikke indeholder en anordningshjemmel, jf. lovens § 48.