Denne tjekliste vedrører muligheden for at fastsætte regler for lovlig behandling i overensstemmelse med databeskyttelsesforordningens artikel 9, der vedrører følsomme personoplysninger. Særregler for behandling af følsomme personoplysninger skal have hjemmel i både databeskyttelsesforordningens artikel 6 og 9. Tjeklisten medtager ikke de andre og mere specifikke krav, som den nationale lovgiver skal være opmærksom på, som eksempelvis den registreredes rettigheder og begrænsninger heraf, jf. artikel 23 om begrænsninger, artikel 26 om fælles dataansvarlige og artikel 28 om databehandler.
Når offentlige myndigheder overvejer at udarbejde nationale særregler efter det nationale råderum, som databeskyttelsesforordningen efterlader i artikel 9, stk. 2, litra b og g-j, anbefales følgende punkter iagttaget ved vurderingen af, om der er hjemmel til behandlingen:
- Det kan indledningsvis overvejes, om der ønskes fastsat en national regel, eller om behandling fremover skal ske alene efter behandlingsreglerne i databeskyttelsesforordningen, eksempelvis forordningens artikel 9, stk. 2, litra f, om behandling, der er nødvendig, for at retskrav kan fastlægges, der kan anvendes direkte som behandlingshjemmel. I den forbindelse kan det indgå i vurderingen, om retsområdet kan administreres alene og direkte på grundlag af behandlingsreglerne i forordningen, hvilket er tilfældet med artikel 9, stk. 2, litra a og c-f, hvorimod artikel 9, stk. 2, litra b og g-j, kræver udfyldning i særlovgivningen. I det omfang, det foreslås at indføre nationale særregler, der har erhvervsøkonomiske konsekvenser for danske virksomheder, skal der tages stilling til, om principperne for implementering af erhvervsrettet EU-regulering i Danmark efterleves. Hvis principperne ikke efterleves, skal der forelægges en sag til godkendelse for erhvervsministeren, hvis der er tale om overimplementering uden væsentlige negative erhvervsøkonomiske konsekvenser, og for regeringens økonomiudvalg, hvis der er tale om overimplementering med væsentlige negative erhvervsøkonomiske konsekvenser. Der henvises om principperne for implementering af erhvervsrettet EU-regulering i øvrigt til pkt. 7.4.2 og om forelæggelse for Erhvervsministeriet til pkt. 8.1.2.
- Dernæst bør det vurderes, hvorvidt hjemlen til reglen kan findes i forordningens artikel 9, stk. 2, litra b og g-j. Det bemærkes, at forordningens artikel 9, stk. 4, endvidere giver medlemsstaterne mulighed for at opretholde eller indføre yderligere betingelser, herunder begrænsninger, for behandling af genetiske data, biometriske data eller helbredsoplysninger.
- Endvidere skal det iagttages, at reglen overholder de øvrige krav, som følger af artikel 9, stk. 2 og 3, eksempelvis at der fastsættes passende og i visse tilfælde specifikke foranstaltninger samt i nogle tilfælde et særligt krav om, at særreglen er proportional (eksempelvis litra g »står i rimeligt forhold til det mål, der forfølges«), herunder også reglerne i forordningens artikel 88 og 89. Samtidig skal reglen overholde principperne for behandling i forordningens artikel 5, hvilket eksempelvis betyder, at lovgivningen ikke må medføre, at der sker en ophobning af data i strid med artikel 5, stk. 1, litra e.
- Endelig skal det sikres, at der er den rette balance i forhold til den fri bevægelighed for personoplysninger og fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger, jf. forordningens artikel 1.
Som eksempel på et lovforslag, hvor tjeklisten for behandling af følsomme personoplysninger efter databeskyttelsesforordningens artikel 9, stk. 2, litra h, og stk. 3, gennemgås, kan der henvises til forslag til lov om ændring af lov om social service og lov om socialtilsyn (Styrket tilsyn på ældreområdet), jf. Folketingstidende 2017-18, tillæg A, L 210 som fremsat, side 12 og 13.
For de bestemmelser i artikel 9, stk. 2, hvor der er krav om, at der skal fastsættes passende og specifikke foranstaltninger, kan der findes inspiration hertil i bemærkningerne til lovforslaget til databeskyttelsesloven, jf. Folketingstidende 2017-18, tillæg A, L 68 som fremsat, side 130-133.