Lov om ændring af lov om retshåndhævende myndigheders behandling af personoplysninger, lov om massemediers informationsdatabaser og forskellige andre love (Konsekvensændringer som følge af databeskyttelsesloven og databeskyttelsesforordningen samt medieansvarslovens anvendelse på offentligt tilgængelige informationsdatabaser m.v.) § 25

Forarbejder til Lov om ændring af lov om retshåndhævende myndigheders behandling af personoplysninger, lov om massemediers informationsdatabaser og forskellige andre love (Konsekvensændringer som følge af databeskyttelsesloven og databeskyttelsesforordningen samt medieansvarslovens anvendelse på offentligt tilgængelige informationsdatabaser m.v.) § 25

Til nr. 1

Det følger af CPR-lovens § 4, stk. 2, 1. pkt., at en anmodning fra en person over 15 år om indsigt i oplysninger i CPR om vedkommende selv, jf. § 31, stk. 1, i lov om behandling af personoplysninger, skal fremsættes ved anvendelse af den digitale selvbetjeningsløsning, som Økonomi- og Indenrigsministeriet stiller til rådighed (digital selvbetjening).

Indsigtsretten følger af den nugældende persondatalovs § 31, stk. 1, mens reglerne om anmodning om registerindsigt i CPR, der er underlagt obligatorisk digital selvbetjening, findes i CPR-loven.

Det foreslås, at henvisningen i CPR-lovens § 4, stk. 2, 1. pkt., til reglen om indsigtsretten i den nugældende persondatalovs § 31, stk. 1, ændres til en henvisning til databeskyttelsesforordningens artikel 15, stk. 1, som bliver det fremtidige hjemmelsgrundlag.

Forslaget er en konsekvens af databeskyttelsesforordningens ikrafttræden og ophævelsen af den nugældende persondatalovs § 31, stk. 1.

Det er vurderet, at det inden for rammerne af databeskyttelsesforordningens artikel 15, stk. 3, der vedrører den dataansvarliges meddelelse af indsigten, herunder meddelelse i elektronisk form, er muligt at bevare den gældende ordning i CPR-lovens § 4, stk. 3, hvorefter en anmodning om registerindsigt alene besvares via den digitale selvbetjeningsløsning.

Til nr. 2

Det fremgår af CPR-lovens § 29, stk. 2, 1. pkt., at enhver ved henvendelse til sin bopælskommune har ret til at få indsat en markering i CPR om, at den pågældende frabeder sig henvendelser, der sker i markedsføringsøjemed.

Efter CPR-lovens § 29, stk. 2, 2. pkt., giver en sådan markering dels den beskyttelse mod markedsføring, der er fastsat i markedsføringslovens § 6 sammenholdt med CPR-lovens § 40, stk. 4 og 5, dels den beskyttelse mod videregivelse mv. til brug ved anden virksomheds markedsføring, der er fastsat i § 36 i lov om behandling af personoplysninger.

Bestemmelsen i CPR-lovens § 29, stk. 2, er en del af ordningen vedrørende markedsføringsbeskyttelse for forbrugere, der er reguleret i henholdsvis markedsføringsloven og i den nugældende persondatalov.

Det foreslås, at henvisningen i CPR-lovens § 29, stk. 2, 2. pkt., til markedsføringslovens § 6 ændres til en henvisning til markedsføringslovens § 10.

Ved lov nr. 426 af 3. maj 2017 om markedsføring blev reguleringen af den beskyttelse mod markedsføring som tidligere var fastsat i markedsføringslovens § 6 videreført med få justeringer ved lovens § 10. Der henvises herom til bemærkningerne til forslaget til denne lov, jf. Folketingstidende 2016-17, A, L 40 som fremsat, side 59.

Der blev ikke i den forbindelse foretaget de nødvendige konsekvensændringer i CPR-lovens § 29, stk. 2, 2. pkt.

Ved forslaget sikres henvisning til den rette bestemmelse i markedsføringsloven.

Den foreslåede ændring er af redaktionel karakter, og vedrører alene henvisningerne i CPR-lovens § 29, stk. 2, 2. pkt., til de ovennævnte regler i anden lovgivning, hvori selve beskyttelsen også fremover vil være reguleret.

Det foreslås endvidere, at henvisningen i CPR-lovens § 29, stk. 2, 2. pkt., til reglen i den nugældende persondatalovs § 36 om den registreredes ret til at gøre indsigelse mod, at en virksomhed videregiver oplysninger om den pågældende til andre virksomheder med henblik på markedsføring mv., ændres til artikel 21 i databeskyttelsesforordningen og § 13, stk. 4, i forslag til databeskyttelsesloven.

Ændringen er en konsekvens af databeskyttelsesforordningen og forslag til databeskyttelsesloven, og der foreslås ikke yderligere ændringer.

I artikel 21, stk. 2 og 3, i databeskyttelsesforordningen er der fastsat regler om den registreredes indsigelsesret i forbindelse med direkte markedsføring.

Databeskyttelsesforordningens artikel 21, stk. 2 og 3, er overordnet en videreførelse af gældende ret, men det bemærkes dog, at efter artikel 21, stk. 2 og 3, kan der kun gøres indsigelse i forbindelse med de situationer, hvor der er tale om direkte markedsføring. For nærmere herom se betænkning nr. 1565/2017 om databeskyttelsesforordningen, side 355-370.

I persondatalovens § 36, stk. 2, 1. pkt., er fastsat regler om virksomheders pligtmæssige undersøgelse i CPR af, om en forbruger frabeder sig henvendelser i markedsføringsøjemed forinden videregivelse eller anvendelse af oplysningerne i markedsføringsøjemed.

I forslag til databeskyttelseslovens § 13, stk. 4, videreføres reglen om, at en virksomhed – hver gang den ønsker at videregive oplysninger om en forbruger til andre virksomheder til brug ved direkte markedsføring mv. – skal tjekke i CPR, om forbrugeren har frabedt sig henvendelser i markedsføringsøjemed. I bekræftende fald må oplysningerne ikke videregives til dette formål, jf. databeskyttelsesforordningens artikel 21, stk. 3.

For så vidt angår den forbruger, der ikke i CPR har frabedt sig henvendelser i markedsføringsøjemed, skal virksomheden endvidere – senest på tidspunktet for den første kommunikation med forbrugeren (den registrerede) – efter databeskyttelsesforordningens artikel 21, stk. 4, udtrykkeligt gøre den registrerede opmærksom på retten til at gøre indsigelse efter forordningens artikel 21, stk. 2, mod behandling af personoplysninger til direkte markedsføring.

Reglerne gælder også i den situation, hvor oplysningerne anvendes på vegne af en anden virksomhed med henblik på direkte markedsføring.

Forslag til databeskyttelseslovens § 13, stk. 4, beskriver således den fremgangsmåde, som den dataansvarlige virksomhed skal følge for at sikre sig, at forbrugeren ikke har gjort indsigelse imod, at generelle kundeoplysninger om den pågældende videregives til en anden virksomhed med henblik på direkte markedsføring.

Fremgangsmåden skal også følges i tilfælde, hvor den dataansvarlige virksomhed ikke ønsker at videregive oplysningerne til en anden virksomhed, men derimod selv ønsker at anvende oplysningerne på vegne af en anden virksomhed med henblik på direkte markedsføring.

Til nr. 3

Der er i CPR-lovens § 31, § 35, 2. pkt., § 36, 2. pkt., § 37, 2. pkt., og § 38, stk. 6, ved enslydende formuleringer fastsat som betingelse for den af disse bestemmelser fastsatte videregivelse af oplysninger fra CPR henholdsvis ældre folkeregistreringsmateriale i kommunen, at modtageren af oplysningerne er berettiget til at behandle disse oplysninger efter den nugældende persondatalov.

Det fremgår således af CPR-lovens § 31, at oplysninger i CPR og ældre folkeregistermateriale kan videregives til anden offentlig myndighed efter reglerne i lov om behandling af personoplysninger.

Bestemmelserne i CPR-lovens § 35, 2. pkt., § 36, 2. pkt., og § 37, 2. pkt., fastsætter samme betingelse for så vidt angår Økonomi- og Indenrigsministeriets videregivelse af oplysninger i CPR til brug i statistisk eller videnskabeligt øjemed samt kommunernes videregivelse til samme formål af oplysninger, der ikke er registreret i CPR, men som findes i ældre folkeregistermateriale i kommunen.

Efter CPR-lovens § 38, stk. 6, er det en betingelse for Økonomi- og Indenrigsministeriets levering af oplysninger efter stk. 1-4, at modtageren efter lov om behandling af personoplysninger er berettiget til at behandle oplysningerne.

Det fremgår af CPR-lovens § 52, stk. 1, at hvis en offentlig myndighed i overensstemmelse med lov om behandling af personoplysninger anvender personnummer som identifikation eller journalnummer, skal det være personnummeret for den person, sagen vedrører.

Det foreslås, at henvisningen til den nugældende persondatalov i ovennævnte bestemmelser i CPR-loven ændres til en henvisning til databeskyttelsesforordningen og forslag til databeskyttelsesloven, som bliver det fremtidige hjemmelsgrundlag.

Formålet med den foreslåede ændring er at foretage de nødvendige konsekvensændringer som følge af databeskyttelsesforordningens ikrafttræden og det samtidigt hermed fremsatte forslag til databeskyttelsesloven.