Dataudtræk: To huller i ny offentlighedslov

Persondataloven kan blokere for data – uklarhed om udliciterede databaser

Af Kaj Larsen, afdelingschef hos Folketingets Ombudsmand

På Åbenhedstingets konference den 16. november 2009 i anledning af offentlighedskommissionens betænkning pegede Kaj Larsen, afdelingschef hos Folketingets Ombudsmand, på to uafklarede problemer i det nye forslag til offentlighedslov.

Mit oplæg indgår under emnet dataudtræk. Jeg er blevet spurgt, om jeg på grundlag af de seneste års ombudsmandssager kan pege på praktiske, retlige problemer med de nuværende regler, også med henblik på forebyggelse af lignende problemer efter en eventuel lovændring.

I den anledning har jeg gennemgået et antal ombudsmandssager med relation til emnet og samtidig gennemgået kommissionens bemærkninger herom.

Gennemgangen har vist, at langt de fleste retlige spørgsmål, som ombudsmandens sager har givet anledning til, er blevet behandlet af kommissionen. Faktisk har jeg kun kunnet finde to spørgsmål, som kommissionen så vidt ses ikke eller kun delvist har forholdt sig til.

Persondataloven

Det første spørgsmål angår overordnet forholdet mellem offentlighedsloven, OFL, og persondataloven, PDL. Mere specifikt drejer det sig om en bestemt paragraf i PDL, § 10, og spørgsmålet har jeg formuleret sådan:

Er mulighederne for dataudtræk til enhver begrænset af bestemmelserne i persondatalovens § 10?

PDLs formål er bl.a. at beskytte enkeltpersoner mod, at der uden samtykke eller anden saglig grund behandles oplysninger om dem ved hjælp af edb. Loven beskytter i vidt omfang mod, at der gives indsigt i personoplysninger til andre end personen selv.

Det som loven regulerer – personoplysninger – skal efter loven forstås i meget vid betydning. Det omfatter selv anonymiserede oplysninger. Loven kan derfor føre til at offentligheden ikke kan få indsigt i oplysninger omfattet af PDL, selv om der er foretaget en anonymisering.

Står offentlighedsloven over

Det grundlæggende retlige spørgsmål er imidlertid om PDL overhovedet skal respekteres, hvis en anmodning om aktindsigt skal afgøres efter OFL.

Spørgsmålet skal besvares med både ja og nej. Det er fast antaget i praksis. Ja, hvis aktindsigt skal afgøres efter meroffentlighedsprincippet, og nej, hvis der foreligger et retskrav på indsigt. I relation til dataudtræk kan det illustreres sådan:

PDL skal respekteres ved meraktindsigt, men ikke ved retskrav på indsigt. Det betyder, at PDL er uaktuel, når der er et retskrav på dataudtræk, men at PDL gælder, når der ikke er et retskrav.

Intet retskrav på udtræk

Efter den gældende OFL er der ikke ret til dataudtræk – bortset fra retten til en få en liste over en sags akter. Der foreligger ikke noget retskrav. Anmodninger om dataudtræk skal afgøres efter de almindelige principper om meroffentlighed. Og når det er tilfældet, skal PDL respekteres, hvilket betyder, at der ikke er krav på et udtræk.

Ved gennemførelse af § 11 i kommissionens lovforslag vil der være en ret til dataudtræk, dvs. et retskrav, og for så vidt vil PDL være uden betydning.

Retskravet vil dog kun komme til at gælde i et nærmere bestemt omfang, og falder en anmodning om dataudtræk uden for området for retskravet, skal den afgøres efter meroffentlighedsprincippet. Det vil være relevant, når dataudtræk kræver mere end enkle kommandoer.

Når anmodninger om f.eks. dataudtræk skal afgøres efter meroffentlighedsprincippet, skal PDL respekteres. Af særlig interesse er her bestemmelsen i PDL § 10, der regulerer behandling af personoplysninger med henblik på at udføre statistik eller videnskab.

Tvang i psykiatrien

Mange databaser med personoplysninger er oprettet med henblik på udarbejdelse af statistik eller forskning, f.eks. inden for sundhedsområdet. For sådanne databaser indebærer bestemmelserne i § 10 et fuldstændigt forbud mod at oplysningerne bruges til andet formål. Dataudtræk til andet end statistik eller videnskab – f.eks. til offentligheden – er udelukket. Det gælder også selv om oplysningerne anonymiseres.

Det vil sige, at PDLs § 10 afskærer dataudtræk fra videnskabelige og statistiske databaser med personoplysninger, med mindre ansøgeren har retskrav på udtrækket.

Det var også resultatet i en konkret sag, som er gengivet i Datatilsynets årsberetning for 2002, s. 36 f. Datatilsynet udtalte, at det ikke kunne give tilladelse til nogen form for udtræk fra et register over tvang i psykiatrien, idet oplysningerne hos modtageren ikke alene skulle anvendes med henblik på videnskabelige eller statistiske undersøgelser, men også i journalistisk øjemed.

Datatilsynets praksis

Datatilsynet har dog senere i praksis accepteret, at der ved fornøden anonymisering kan ses bort fra dette fuldstændige forbud i PDL § 10. Datatilsynet tillader i praksis, at oplysninger omfattet af persondatalovens § 10, stk. 1 og 2, kan videregives til enhver, hvis oplysningerne videregives i en form, der ikke er umiddelbar personhenførbar for modtageren.

Datatilsynets seneste udtalelse blev afgivet til ombudsmanden i en konkret sag, hvor Lægemiddelstyrelsen og Ministeriet for Sundhed og Forebyggelse havde afslået at give en journalist aktindsigt i fortegnelser over bivirkninger af et lægemiddel. Fortegnelserne indeholdt bl.a. en gennemgang af udvalgte patienters sygehistorier. Patienternes navne fremgik ikke af historierne, og patienterne kunne derfor ikke umiddelbart identificeres.

Myndighederne gav dog meraktindsigt i materialet, men havde forinden foretaget en yderligere anonymisering og havde fjernet henvisninger til alder, køn, land og identifikationskode.

Journalisten var utilfreds med den stærke grad af anonymisering og klagede til ombudsmanden. Ombudsmanden kritiserede ikke myndighederne, idet de havde afgjort sagen i overensstemmelse med udtalelser fra Datatilsynet.

Brev til Justitsministeriet

I forlængelse af den konkrete sag rejste ombudsmanden på eget initiativ en generel sag over for Datatilsynet om forståelsen af bestemmelsen i PDL § 10. Denne sag endte med, at Ombudsmanden i et brev af 27. juli 2009 bad Justitsministeriet søge PDL § 10 ændret.

Sagen er nærmere omtalt på ombudsmandens hjemmeside .

Justitsministeriet har fortsat ombudsmandens brev under behandling. Følges ombudsmandens henstilling vil en væsentlig og vigtig hindring for meraktindsigt i bl.a. databaser være væk.

Danmarks Højdemodel

Det andet spørgsmål jeg vil nævne, angår afgrænsningen af i hvilke databaser den foreslåede ret til dataudtræk skal gælde. Spørgsmålet er inspireret af ombudsmandens sag om indsigt i Danmarks Højdemodel. De enkelte myndigheders dataudtræk foretages her på grundlag af en nærmere aftalt brugsret til databasen.

Kommer retten til dataudtræk i forslaget til den nye offentlighedslovs § 11 også til at gælde i de tilfælde hvor myndigheden har indgået kontrakt om brugsret til dataudtræk fra en database hos en privat virksomhed, dvs. hvor databasen ikke drives af myndigheden og heller ikke af en privat virksomhed for myndigheden?

I forslaget til § 11 er det anført, at retten skal gælde ”myndighedens databaser”. Indebærer det, at retten kun skal gælde for databaser, som en bestemt myndighed selv driver, eller vil retten f.eks. også gælde i det omfang, en myndighed kan trække på databaser, som drives af andre end myndigheden selv, f.eks. en anden myndighed, flere myndigheder i fællesskab, en privat virksomhed eller f.eks. et konsortium bestående af både private virksomheder og offentlige myndigheder?

Alene en brugsret

Det fremgår af betænkningen, at ”myndighedens databaser” ikke kun omfatter databaser, som drives af myndigheden selv, men også databaser som drives for myndigheden, f.eks. efter udlicitering til en privat virksomhed. (s. 934).

Men databaser, som ikke drives af eller for myndigheden, men hvor myndigheden alene har en brugsret, vil formentlig ikke være undergivet den foreslåede ret til dataudtræk. I sådanne tilfælde vil ansøgeren således ikke have et retskrav på dataudtræk, kravet vil skulle afgøres efter meroffentlighedsprincippet. Spørgsmålet ses dog ikke at være nærmere behandlet i betænkningen.

Bede om dataudtræk

Konklusionen på spørgsmålet kan herefter udformes sådan:
Nej, retten omfatter kun databaser, som drives af eller for myndigheden. Men efter meroffentlighedsprincippet kan man anmode om, at myndigheden benytter sin brugsret til at foretage et dataudtræk, som man så kan få.

Fastlæggelse af omfanget af retten til dataudtræk er et retspolitisk spørgsmål, som må afklares under den videre proces. Af administrative og retssikkerhedsmæssige grunde er det imidlertid vigtigt at spørgsmålet bliver nærmere beskrevet og præciseret i forbindelse med den kommende lovgivning.

Hvis ikke det sker, må praksis fastlægges konkret, men det er bedre med en fastlæggelse på forhånd.