Databeskyttelseslov

Til Justitsministeriet

Dansk Vand- og Spildevandsforening, DANVA, er blevet opmærksom på den aktuelle høring af udkast til databeskyttelsesloven, der implementerer EU forordning 679/2016. Vi har følgende kommentarer:

Lovens anvendelsesområde

Loven og forordningen angår ”al behandling af personoplysninger”; det vil sige al behandling såvel hos det offentlige som hos private aktører, hvilket også er kendt fra den aktuelle persondatalov i Danmark.

Der er dog behov for et lovteknisk, højt rangerende formelt fortolkningsbidrag i forhold til begrebet ”private” (aktører), hvilket er et begreb, der anvendes talrige gange i lovudkastet (eksempelvis §§ 8.3 og 11.2). Den efterlyste definition kunne ske i lovbemærkningerne til § 1.2. Klarheden omkring begrebet ”private” vil endvidere være afgørende for vandsektorens tilgang til DPO-kravet (databeskyttelsesrådgiver) i forordningen.

DANVA anser i øvrigt offentligt ejede vandselskaber organiseret som kapitalselskab – typisk aktieselskab – som private aktører, se bilag 1 (nederst på siden).

Viderebehandling til andre formål

Forslaget om bemyndigelsen til at udstede bekendtgørelser, der tillader offentlige myndigheders viderebehandling af persondata til andre formål, end de oprindeligt var indsamlet til (§ 5.3), ønsker DANVA også skal gælde forsyningsaktører og andre private, der udfører offentlige opgaver. Forsyninger varetager vitale samfundsmæssige opgaver efter bemyndigelse fra offentlige. Denne udvidelse af bemyndigelsesbestemmelsen synes at være indenfor rammerne af art. 23, der omtaler generelle samfundsinteresser, især økonomiske interesser herunder folkesundhed. Ved en imødekommelse af ønsket er der behov for konsekvensrettelse i § 23.

Alternativet er særregler på lovniveau, der bl.a. kræver en lang demokratisk proces.

Baggrunden er, at den tekniske udvikling går hurtigt, så viden hidhørende fra f.eks. målerdata (forbrugsdata) i dag ikke alene anvendes til afregning med kunden – men også til optimering af driften, hvilket har en positiv effekt i forhold til samfundsøkonomien, kundens privatøkonomi, miljøbeskyttelse og forbrugerservice.

Forsyningers behandling af personnumre

DANVA efterlyser lovbemærkninger i relation til vendingen ”videregivelsen er et naturligt led i den normale drift af virksomheder m.v. af den pågældende art” i § 11 stk. 2 nr. 3. Præciser gerne hvad der menes med ordene ”videregivelse” og ”normal drift af virksomhed”?

De offentligt ejede forsyninger har stor interesse i kunders personnumre, da de er tætforbundet med inddrivelse, der ifølge inddrivelsesloven skal ske via SKAT, der igen ønsker personnumre for at optimere inddrivelsen. Hvis kunden ikke samtykker i at aflevere personnummeret, er der hjemmel til, at kommunalbestyrelsen servicerer forsyningen med dette, se inddrivelseslov § 2 stk. 5 og 6.

Efter anmodning fra kommunen og/eller en privat person skal de kommunale forsyninger indgå aftale med kunder om emner som lån i forbindelse med tilslutning af ejendommen til forsyningen, drift af ledninger på privat grund og forsyningers tvungne etableringer af decentral løsning på privat grund. For at optimere forsyningens arbejde med at sikre inddrivelse vil det være hensigtsmæssigt, at kunden videregiver sit personnummer allerede i forbindelse med indgåelsen af de konkrete aftaler med forsyningen. Forsyningen ville da ikke være afhængig af et samtykke, som kunden kan tilbagekalde, ligesom forsyningen og kommunalbestyrelsen ikke skal bruge ressource på at korrespondere om emnet. På disse kontraktområder ville det m.a.o. være hensigtsmæssigt, om de danske vand- og spildevandsforsyningsselskaber er omfattet af § 11 stk. 2 nr. 3.

Evaluering af persondatalovgivningen og implementeringsråd

Senest 25.05.2020 skal EU Kommission udarbejde den første evalueringsrapport af forordningen. Vi antager, at Danmark bidrager til denne rapport – og i den forbindelse vil vi opfordre til, at det danske evalueringsarbejde også angår den danske implementeringslov. Der skal lyde en kraftig opfordring til, at der i såvel den danske som den europæiske evaluering lægges vægt på proportionalitetsbetragtninger; persondatasikkerheden overfor den administrative byrde som pålægges alle persondataansvarlige uanset størrelse. Uanset om en forsyning har mere end 1.200 ansatte eller har 1½ ansat, skal de samme retningslinjer generelt overholdes ifølge persondatalovgivningen.

Der er et fravær af differentieringsmuligheder i reguleringen, hvilket kan undre, når der bl.a. i EU reguleringen omhandlende drikkevandskvalitet er rum for en differentiering i eksempelvis kontrolmålinger afhængig af forsyningens størrelse.

DANVA foreslår, at Justitsministeren nedsætter et råd, der kan bidrage med implementeringserfaringer, rådgive såvel ministeren som embedsværket samt være aktive part-ner i forhold til ministeriet og tilsynet mhp. at sikre vidensformidling.

Forsyningsorganisationer på høringslisten

Det lader til, at ingen af brancheorganisationerne med medlemmer, der forsyner langt den største del af Danmarks borgere og dermed tilsammen har personoplysninger om millioner af kunder, er på høringslisten. Dette synes ikke hensigtsmæssigt. Konkret anmoder DANVA således om at være på ministeriets høringsliste, når emnet har relation til persondataregulering.

Med venlig hilsen

Carl-Emil Larsen Susanne Vangsgård

BILAG 1

Angående anvendelsesområdet

I Danmark er der tusindvis af forsyninger (fjernvarme, el, affald, gas, el, vand og spildevand), hvoraf langt de fleste uomtvisteligt hører til gruppen af private aktører – i og med at de er organiseret som andelsselskaber.
Som vi forstår det; skriver forordningen sig ind i den nationale forståelse af begreberne ”det offentlige” og ”private”. I Danmark er det dog således, at de hundredevis af kommunalt ejede vand- og spildevandsforsyninger (kapitalselskaber – primært aktieselskaber) skifter status afhængig af retsområde (eksempelvis inddrivelsesområde contra vejlov).

DANVA vurderer, at offentligt ejede vand- og spildevandsforsynings-selskaber organiseret som kapitalselskab – typisk aktieselskab – er private aktører i persondatalovens regi. Det er vores holdning, at dette også er gældende efter maj 2018, hvilket vi ønsker præciseret i højt rangerende formelt fortolkningsbidrag

Vores hidtidige betragtning har været:
Det følger af den kommenterede persondatalov, at når det skal klarlægges, om et organ eller en institution skal anses for privat eller offentligt, så skal der lægges vægt på den organisatoriske placering. Hvis der er tvivl, kan der lægges vægt på de funktioner, som organet udfører.

For så vidt angår vandselskaber (vand- og spildevandforsyningsselskaber) er de organisatorisk placeret uden for kommunens organisation, idet de er udskilt og selskabsgjort. Derudover afgrænses den offentlige forvaltning efter persondataloven på samme måde som afgræsningen finder sted efter offentlighedslovens § 2. Afgræsningen er herefter således: ”Loven finder anvendelse på al virksomhed, der udøves af myndig-heder inden for den offentlige forvaltning”. Da vandselskaber ikke er en del af den offentlige forvaltning, er de dermed ikke omfattet af persondataloven efter afgrænsningen i offentlighedsloven. Dette understøttes af beskrivelsen i den kommenterede persondatalov, hvorefter organer/institutioner, der er organiseret i selskabsform, herunder fx aktieselskaber, er at betragte som private efter persondataloven. Dette gælder uanset, at vandsektorlovens § 14 fastslår at vandselskaber, der er omfattet af vand-sektorlovens § 2, nr. 2, i øvrigt er omfattet af offentlighedsloven.