CPR i nummeroplysningen: Kan stadig supporteres fra tredjelande
I september sidste år sendte justitsminister, Nick Hækkerup, et lovforslag i høring. Regeringen vil nemlig revidere de danske logningsregler, og et af forslagene lyder på, at danske borgere fremover skal registreres med cpr i nummeroplysningen – også kaldet 118-databasen:
»Formålet er at sikre en entydig identifikation af relevante personer og effektivt understøtte målrettet personbestemt logning. I perioder, hvor der foretages målrettet logning, vil det være afgørende, at de rette personer logges,« skriver Justitsministeriet i pressemeddelelsen fra september.
For nylig har Folketingets retsudvalg undret sig over, hvad det kan betyde for databasens placering og muligheder for support. Et cpr-nummer er nemlig en fortrolig personoplysning, og derfor skal de ydes en ekstra beskyttelse, kræver GDPR.
Forrige år blev mulighederne for at beskytte oplysninger uden for EU skærpet med den såkaldte Schrems II-dom, der underkendte overførselsgrundlaget Privacy Shield, og det har gjort tredjelandsoverførsler til USA meget besværligt.
I et spørgsmål til justitsministeren, skriver retsudvalget:
»Vil ministeren be- eller afkræfte, om det følger af EU-domstolens afgørelse i Schrems II-sagen, at databaser, som indeholder CPR-numre, ikke må placeres i og/eller it-supporteres fra tredjelande udenfor EU, og om Schrems II-dommen derfor indebærer, at 118-databasen kun må placeres og/eller it-supporteres fra EU-lande, hvis telebranchen bliver forpligtet til at indberette CPR-numre til registrering i 118- databasen?«
I svaret til retsudvalget skriver justitsministeren også, at man ikke længere kan overføre persondataen ved hjælp af Privacy Shield, men pointerer dog, at EU-Domstolen samtidig fandt, »at Kommissionens vedtagne standardbestemmelser om overførsel af personoplysninger til tredjelande fortsat – efter omstændighederne – vil kunne anvendes til overførsler.«
Derfor kan man stadig sende oplysningerne ud af EU, vurderer han og henviser til, at man kan bruge EUs standardkontrakter. Men ingen steder står der noget om de supplerende foranstaltninger, Domstolen kræver, dataansvarlige skal tilføje dataoverførsler, hvis man eksempelvis vil sende data til USA.
Lige nu sender 118-databasen dog ikke persondata uden for EU, skriver man på hjemmesiden.
Rettelsen den 10/2 2022 klokken 11.12: Tidligere fremgik det af artiklen, at et cpr-nummer er en følsom personoplysning. Det er nu rettet til at være en fortrolig personoplysning.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
