Høringssvar: Samspilsudfordring

Høringssvar om udfordringer i samspillet mellem databeskyttelsesreglerne, forvaltningsretlige regler, den sociale retssikkerhedslov og sundheds-, social- og beskæftigelseslovgivningen.

31. okt. 2022

Ældre end 12 mdr.

Baggrund

Justitsministeriet har i en supplerende høring af 4. oktober 2022 bedt KL,

oplyse om den samspilsudfordring, jf. overskriften, som KL har peget på i forbindelse med den nationale evaluering, fortsat er aktuel, og om KL har identificeret yderligere samspilsudfordringer. KL bedes derudover
eskrive, i hvilke situationer de aktuelle samspilsudfordringer opstår ved brug af konkrete eksempler. KL bedes endvidere
oplyse, hvilke overvejelser KL selv har gjort sig i forhold til løsning af de pågældende udfordringer, og hvordan kommunerne løser udfordringerne i dag.

Indledning

Den kommunale opgavevaretagelse er uløseligt forbundet med udveksling af personoplysninger. Det gælder både i forbindelse med afgørelsesvirksomhed og faktisk forvaltningsvirksomhed, hvor medarbejdere ofte oplever, at de skal balancere mellem sagsoplysningspligten og en strafbelagt tavshedspligt.

Det forsinker opgavevaretagelsen i betydelig grad, når der er tvivl om, hvorvidt personoplysninger må udleveres til den rekvirerende kollega, hvad enten det er fra egen forvaltning, en anden forvaltning eller en anden myndighed, eller der videregives eller indhentes personoplysninger henholdsvis til og fra private.

Nødløsningen bliver at fx den part, der anmodes om at udlevere personoplysninger for at være sikker på at undgå at blive strafansvarlig for brud på tavshedspligten stiller krav om, at den rekvirerende kommunale medarbejder har samtykke fra den, som personoplysningerne angår (delsvar på spørgsmål 3), sådan at videregivelsen bliver berettiget, hvilket forsinker sagsbehandlingen, i de situationer, hvor samtykke ikke er nødvendigt.

Det er derfor af stor praktisk og ressourcemæssig betydning, at der er vejledning, der kan bidrage til en sikker navigering mellem de regelsæt, der regulerer informationsudvekslingen.

KL har ikke inden for den frist, der er sat for besvarelse af den supplerende høring haft mulighed for at foretage en supplerende høring af kommunerne. Nedenstående besvarelse er baseret på spørgsmål, som KL har modtaget løbende. KL vil gerne have mulighed for eventuelt at indsende nogle supplerende spørgsmål, der kan indgå i den kommende vejledning, i forlængelse af juridiske netværksmøder for kommunale jurister i hele landet, der finder sted i løbet af november måned. KL vil ultimo november kunne give en status på, om det er relevant at indsende yderligere eksempler. I givet fald vil KL kunne indsende yderligere eksempler senest medio december.

KL stiller sig til rådighed for spørgsmål, som dette høringssvar måtte give anledning til. KL vil gerne afgive bemærkninger til en ny vejledningstekst før den foreligger i endelig form.

Ad 1) Er samspilsudfordringen stadig aktuel og har KL identificeret yderligere samspilsudfordringer?

Det korte svar er ja til begge spørgsmål.

Datatilsynet har på et generelt plan i Delrapport II i forbindelse med den nationale evaluering af GDPR s. 29 f1 bidraget til afklaring af forståelsen af nødvendighedskravet i art. 6, stk. 1, litra a og princippet om dataminimering i art. 5, stk. 1, litra c samt afklaring af forskellen mellem samtykke som behandlingsgrundlag og samtykke som national forskrift i forbindelse med sagsbehandlingen. Om forståelsen af nødvendighedskravet anfører Datatilsynet bl.a. ”Det er i den forbindelse vigtigt at understrege, at databeskyttelsesreglerne ikke har til formål at stå i vejen for eller besværliggøre offentlige myndigheders opgavevaretagelse. Databeskyttelsesreglerne, herunder kravet om nødvendighed, indebærer således ikke, at offentlige myndigheder for enhver pris skal tilrettelægge deres opgavevaretagelse på en sådan måde, at der behandles færrest muligt personoplysninger, hvis dette vil afskære myndigheden fra at løse sine opgaver på den i lovgivningen tiltænkte måde”.

Dog finder KL umiddelbart på baggrund af enkelte henvendelser fra kommuner at nødvendighedskravet af Datatilsynet i praksis fortolkes mere restriktivt og altså mindre fleksibelt end afklaringen i delrapporten lægger op til. KL har sammen med en enkelt kommune taget bilateral kontakt til Datatilsynet herom.

Det bemærkes, at der nu er en høj grad af bevidsthed i kommunerne om, at samtykkekrav i sektorlovgivningen ikke er udtryk for, at behandlingsgrundlaget er samtykke, men er et proceskrav i sektorlovgivningen, der skal sikre den registreredes indforståelse/indvilligelse og at informationsindsamlingen ikke kan gennemføres lovligt uden denne indforståelse. Dette spørgsmål giver i mindre grad end tidligere anledning til samspilsudfordringer.

Sondringen kan dog med fordel inddrages i det nye vejledningsmateriale, så budskabet når endnu længere ud.

For så vidt angår identifikation af yderligere samspilsudfordringer måske er der snarere tale om en uddybning af de allerede nævnte udfordringer er det navnlig spørgsmålet om videreanvendelse af personoplysninger, når videreanvendelsen ikke er direkte reguleret af national lovgivning, men alene af officialmaksimen. Hvordan er samspillet i den forbindelse mellem officialmaksimen, forvaltningslovens § 31, forordningens art. 5, stk. 1, litra b og art. 6, stk. 4, og de relevante sektorlovgivninger?

_____

1 EUU Alm.del - Bilag 685: Bilag til delrapport II (bidrag fra Datatilsynet) (ft.dk)

_____

Ad 2) Eksempler på aktuelle samspilsudfordringer

Nedenfor er anført nogle eksempler på, hvilke spørgsmål, der kan indgå i en ny vejledning med fokus på samspillet mellem GDPR, herunder regler om videreanvendelse i art. 5, stk. 1, litra b og art. 6, stk. 4 samt oplysningspligten i art. 13 og 14, forvaltningsretten, herunder officialmaksimen og de relevante regler både om informationsindsamlingens genstand (hvad må indsamles) og om processen for informationsindsamlingen (hvordan må der indsamles) i sektorlovgivningen (servicelov, beskæftigelsesindsatslov, loven om kommunal ungeindsats, sundhedslov o.s.v.).

Der er alene tale om eksempler. Der er et større behov for en juridisk metodisk vejledning, der sætter medarbejderne i kommunerne i stand til selv at navigere i regelkomplekset end at få korte svar på konkrete problemstillinger, som nok giver svar på de konkrete spørgsmål, men kan være svære at drage generel læring af. Det er derfor vigtigt, at en kommende vejledning ud over svar på de konkrete spørgsmål redegør udførligt for, hvordan man når frem til svaret, herunder ved inddragelse både af de materielle regler, der handler om hvilke oplysninger, der må indsamles, og de processuelle regler, der regulerer hvordan oplysningerne må indsamles, herunder betydningen af upræcise formuleringer i lovgivningen, som fx at en sag skal oplyses i et samarbejde med borgeren. Det er også vigtigt, at det i vejledningen i forhold til de enkelte eksempler er tydeligt, hvornår en vurdering er af juridisk karakter, og hvornår en vurdering er af fx socialfaglig karakter.

Indledningsvis forsøges givet en forståelsesramme for, hvor samspilsspørgsmålene opstår og ikke opstår.

Specifikt og entydigt retligt grundlag for Indsamling og videregivelse af personoplysninger. Ingen samspilsudfordringer

Hvis indsamling og videregivelse (herunder overdragelse/overladelse) er specifikt og entydigt (uden regelsammenstød) reguleret som klare forpligtelser, opstår der ikke samspilsudfordringer.

Behandlingsgrundlaget i art. 6, stk. 1, litra e, om myndighedsudøvelse vil blot pege på den nationale regulering, der fastslår pligten til hhv. indsamling og videregivelse, og formålsbestemthedsprincippet i art. 5, stk. 1, litra b, vil automatisk være opfyldt; spørgsmål om videreanvendelse efter en konkret vurdering i medfør af art. 6, stk. 4, litra a-e, vil ikke opstå, og dataminimeringsprincippet i art. 5, stk. 1, litra c, vil også automatisk være opfyldt.

Sådan er reguleringen af den kommunale opgavevaretagelse som udgangspunkt ikke.

Samspilsudfordringer indsamling ctr videregivelse af personoplysninger

Den konkrete juridiske ramme for indsamling af personoplysninger til brug for en konkret sag er som udgangspunkt mindre udfordrende end videregivelsessituationen, fordi den rekvirerende har pligt til sagsoplysning og kan anvende det relevante retsgrundlag i den konkrete sag som målestok for, hvilke oplysninger, der er saglige at indhente. Det gælder også selv om målestokken skal suppleres ved fortolkning eller fastlæggelse af lovlige kriterier. Der er med andre ord mindre tvivl om, hvad man må indsamle, end om hvad man må videregive.

Et eksempel på en indsamlingshjemmel findes i servicelovens § 50, stk. 2, hvoraf det fremgår, at det i forbindelse med børnefaglige undersøgelser er relevant at undersøge 1) udvikling og adfærd, 2) familieforhold, 3) skoleforhold, 4) sundhedsforhold, 5) fritidsforhold og venskaber og 6) andre relevante forhold.

Videregivelser efter anmodning vil typisk ske til andre formål end det formål, de oprindeligt er indsamlet til. Sådan videregivelse/videreanvendelse kan være reguleret specifikt, men er det ofte ikke.

Et eksempel på, at videregivelse efter anmodning er specifikt reguleret, findes i den sociale retssikkerhedslovs § 11 a, stk. 1. I denne bestemmelse er fastsat en videregivelsespligt – fx af oplysninger om skoleforhold fra den lokale folkeskole når der foreligger samtykke fra den, hvis sag det drejer sig om. I lovens § 11 c, stk. 1, nr. 1, er der desuden hjemmel til at forlange oplysningerne udleveret uden samtykke, hvis det er nødvendigt for sagens behandling.

Uden for de bestemmelser, der mere specifikt regulerer videregivelse af personoplysninger efter anmodning, findes den generelle bestemmelse i forvaltningslovens § 28, der regulerer videregivelse af personoplysninger til andre forvaltningsmyndigheder ved at henvise til reglerne i GDPR. Da der på de retsområder, der er genstand for denne høring, altid vil være tale om myndighedsudøvelse, vil behandlingsgrundlaget for videregivelsen skulle findes i art. 6, stk. 1, litra e, om myndighedsudøvelse, som ifølge art. 6, stk. 3, forudsætter at grundlaget for myndighedsudøvelsen fremgår af EU-retten eller national ret.

Uden for de situationer, hvor videregivelsen mellem myndigheder er specifikt reguleret, kan der peges på den generelle bestemmelse i forvaltningslovens 31, som fastslår en videregivelsespligt, når videregivelsen er berettiget. Denne bestemmelse volder i praksis besvær. For hvornår er videregivelsen berettiget? Bestemmelsen forudsætter i en GDPR-kontekst, at den rekvirerende har et sagligt formål med indsamlingen, hvilket den adspurgte myndighed kan have svært ved at vurdere2, ligesom bestemmelsen ofte forudsætter, at den adspurgte myndighed tager stilling til videreanvendelse på grundlag af formålsbegrænsningsprincippet i art. 5, stk. 1, litra b, og art. 6, stk. 4.

Forud for ændringen i 2009 af bestemmelsen i forvaltningslovens § 28, som da regulerede videregivelse af særligt fortrolige oplysninger, var der i stk. 2, en i forhold til GDPR art. 5, stk. 1, litra b og art. 6, stk. 4 mere præcis regulering af den retlige ramme for videregivelse, nemlig samtykke, særlig videregivelsespligt, interesseafvejning eller nødvendigt sagsskridt for den afgivende myndighed, eller nødvendigt for gennemførelse af kontrol- og tilsynsvirksomhed. Desuden var der i § 28, stk. 3, hjemmel til, når det gjaldt andre fortrolige oplysninger at videregive disse, hvis det måtte antages at være af væsentlig betydning for den modtagende myndigheds virksomhed eller afgørelse, som den modtagende myndighed skulle træffe. De gamle bestemmelser er blot refereret for at illustrere, at klarheden i de generelle regler for videregivelse ikke er blevet større.

Når det gælder videregivelse internt inden for den kommunale enhedsforvaltning er den som udgangspunkt kun reguleret af GDPR. Dog er fx en sundhedsplejerske som sundhedsperson omfattet af videregivelsesreglerne i sundhedsloven, hvorfor der i den situation er et konkret nationalt retsgrundlag, som GDPR kan pege hen på, således at anvendelsen af kriterierne i art. 6, stk. 4, litraae, eventuelt bliver irrelevante. Forvaltningslovens § 32 sætter en ramme for intern udnyttelse af personoplysninger, men primært for indsamlingssiden. Forvaltningslovens § 29 regulerer også indsamlingssiden, men er dog udtryk for en generel undtagelse til officialmaksimen3. Spørgsmålet om, hvornår en sag er en ansøgningssag opleves i øvrigt svær at besvare i praksis. Dette kunne en ny vejledning med fordel adressere.

_____

2 Vejledningen om udveksling af personoplysninger med politiet er et eksempel på en retskilde, der eliminerer behovet for vurdering. Vejledning om udveksling af oplysninger med politiet (datatilsynet.dk)

3 1985 LSF 4 FORSLAG TIL FORVALTNINGSLOV (retsinformation.dk), alm. bemærkninger pkt. 8 g. Tavshedspligt m.v.

_____

Det antages generelt, at der er en vid adgang til intern videregivelse, men medarbejderen i kommunen, kan være usikker på, om det så også gælder i lige den aktuelle udvekslingssituation, som vedkommende nu konkret skal forholde sig til. Og antagelsen yder som generelt udsagn ingen vejledning til, hvordan man i forbindelse med en konkret intern videregivelsesproblematik metodisk skal anvende GDPR’s videreanvendelsesregler, når spørgsmålet ikke er specifikt reguleret i national lovgivning.

Der mangler i det hele taget generelt vejledning til kommunerne om, hvordan man helt konkret/metodisk skal arbejde med de ærligt for art. 6, stk. 4’s vedkommende - nye regler om videreanvendelse i GDPR i forbindelse med videregivelse af personoplysninger.
Hvornår kan der siges at foreligge en situation, hvor behandling sker til samme formål og hvornår vil der foreligge en situation, hvor ”behandling til et andet formål end det, som personoplysningerne er indsamlet til, … er baseret på … EU-retten eller medlemsstaternes nationale ret, som udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund af hensyn til de mål, der er omhandlet i artikel 23, stk. 1”, således at en stillingtagen efter art. 6, stk. 4, litra a-e ikke er relevant?

De sektorområder, som kommunerne i det oprindelige høringssvar har udpeget som særligt udfordrende at arbejde med, når det gælder samspillet mellem GDPR, forvaltningsret og sektorlovgivning, er karakteriseret ved at have særlig betydning for borgernes hverdag og ved at angå følsomme oplysninger om deres privatliv. God metodisk vejledning om informationsindsamlingen har betydning for, at borgernes sager kan behandles effektivt, hurtigt og korrekt også når det handler om andre spørgsmål end det begrænsede antal spørgsmål, der kan medtages i en vejledning.

Konkrete eksempler, der kan indgå i en vejledning (i vilkårlig rækkefølge)

For alle spørgsmål vil det være værdifuldt, at det beskrives, hvordan forvaltningslovens kapitel 8, GDPR og sektorlovgivningen spiller sammen.

Spørgsmål: Sagsbehandlerne på Jobcentrene er udfordrede af, at de bliver bedt om samtykke fra borger, når de henvender sig til Socialforvaltningen om oplysninger, fx i en sag, hvor borgeren har søgt om fleksjob, det kunne fx være et ønske om at få udleveret funktionsevnevurdering, afgørelser om hjemmevejledning, afgørelse om botilbud eller afgørelse om hjælpemidler.

Skal Jobcentrene have samtykke til indsamlingen til alle, nogen eller ingen af oplysningerne for at socialforvaltningen må videregive?