Lovgivning

Dataansvar

I forbindelse med drift, vedligeholdelse og forvaltning af Digital Post-løsningen er Digitaliseringsstyrelsen dataansvarlig for behandling af borgeres og virksomheders oplysninger, som fx personnumre, CVR-numre, e-mails og telefonnumre.

Læs mere om Digitaliseringsstyrelsens behandling af personoplysninger for hhv. borgere og virksomheder på følgende sider: 

Behandling af personoplysninger for borgere

Behandling af personoplysninger for virksomheder

Dataansvarskonstruktion i Digital Post

Digitaliseringsstyrelsen er dataansvarlig for Digital Post-løsningen, idet Digitaliseringsstyrelsen bestemmer formål og afgør med hvilke hjælpemidler, der må foretages behandling af personoplysninger i Digital Post-løsningen. Det gælder både i forhold til udvikling, drift, vedligeholdelse og forvaltning af Digital Post-løsningen, herunder i forhold til fastlæggelse af løsningens tekniske og organisatoriske sikkerhedsforanstaltninger.

Digitaliseringsstyrelsen er dataansvarlig for behandlingen af personoplysninger i form af personnumre, CVR-numre, e-mail og telefonnumre eller lignende i forbindelse med drift, vedligeholdelse og forvaltning af Digital Post-løsningen, jf. § 2 a, stk. 1, i lovbekendtgørelse nr. 686 af 15. april 2021 om Digital Post fra offentlige afsendere med senere ændringer (herefter lov om Digital Post).

Offentlige afsendere som dataansvarlig – og Digitaliseringsstyrelsen som databehandler

For så vidt angår indholdet af de digitale meddelelser er de offentlige afsendere dataansvarlige for indholdet af de meddelelser, de sender via Digital Post, mens Digitaliseringsstyrelsen er databehandler for forsendelsen af meddelelser, jf. § 2 a, stk. 3 i lov om Digital Post.

Digitaliseringsstyrelsens rolle som databehandler for offentlige afsenderes forsendelse af meddelelserne indebærer, at styrelsen alene behandler personoplysninger indeholdt i meddelelserne på instruks fra den offentlige afsender. Digitaliseringsstyrelsen har derfor hverken indflydelse på, hvornår meddelelser er afsendt, eller indholdet af meddelelserne.

I Digital Post-løsningen er offentlige afsendere pålagt at have et modtagersystem. Modtagersystemer sikrer, at opbevaringen af meddelelser alene sker hos den offentlige afsender. Digitaliseringsstyrelsens behandling af data ophører derfor ved levering i den offentlige afsenders postkasse, eftersom Digitaliseringsstyrelsen ikke er databehandler for opbevaring af meddelelser, hvis de offentlige afsendere har et modtagesystem, som vi kan levere til.

Virksomheder som dataansvarlig – og Digitaliseringsstyrelsen som databehandler

Af § 2 a, stk. 4 i lov om Digital Post fremgår det, at virksomheder er dataansvarlige for indholdet af de meddelelser, de sender og opbevarer i Digital Post. Digitaliseringsstyrelsen er derimod databehandler for virksomheders forsendelse og opbevaring af meddelelser i Digital Post-løsningen. Opbevaringen vil ske i virksomhedens digitale postkasse, som er tilgængelig for virksomheden på virk.dk.

Efter modtagelse af digitale meddelelser vil virksomheder være de eneste med råde- og ejendomsret over egne meddelelser i Digital Post.

Virksomheder, som modtager Digital Post, der indeholder oplysninger om f.eks. virksomhedens kunder eller medarbejdere, er derimod dataansvarlige for de personoplysninger, der opbevares i virksomhedens digitale postkasse. Opbevaringen varetages af Digitaliseringsstyrelsen som databehandler.

Borgere har råde- og ejendomsret

En borger er som udgangspunkt ikke omfattet af anvendelsesområdet for databeskyttelsesforordningen, jf. hhv. artikel 2, stk. 2, litra c, i databeskyttelsesforordningen. Borgeren er dermed ikke i databeskyttelsesretlig forstand dataansvarlig for meddelelserne i dennes egen digitale postkasse, uanset om meddelelserne eventuelt måtte indeholde personoplysninger om tredjeparter.

Meddelelser modtaget i Digital Post er omfattet af brevhemmeligheden, som er nærmere reguleret i grundloven og straffeloven. Det er derfor borgeren, der har råde- og ejendomsret over sin digitale postkasse og meddelelserne heri. Det betyder fx, at hvis der er sendt en meddelelse til en forkert modtager, kan en sletning af meddelelsen hos den forkerte modtager udelukkende ske på baggrund af retskendelse eller særhjemmel, da meddelelser i Digital Post er beskyttet af grundlovens § 72.

Visningsklienter som dataansvarlig

Visningsklienter/platforme – såvel offentlige som kommercielle – er selvstændigt dataansvarlige for deres behandling af borgere og virksomheders personoplysninger.

Når Digitaliseringsstyrelsen indgår en tilslutningsaftale med en privat virksomhed om at udbyde en såkaldt kommerciel visningsklient, eller en offentlig myndighed om at udbyde en såkaldt offentlig visningsklient, vil den pågældende visningsklientudbyder behandle en række personoplysninger, når borgere og virksomheder vælger at læse deres digitale meddelelser i en visningsklient.

En visningsklientudbyder er selvstændig dataansvarlig for den behandling af personoplysninger, som foretages i forbindelse med, at en borger eller virksomhed kan få vist sine meddelelser. Det er den pågældende visningsklientudbyder, der vurderer, hvilke personoplysninger, som udbyderen finder nødvendig at behandle i forbindelse med drift, vedligeholdelse og administration af deres visningsklient (fx kontaktoplysninger i form af navn, e-mails og telefonnumre mv.). Visningsklientudbyderen er ikke dataansvarlig for personoplysninger indeholdt i meddelelserne, der er sendt fra offentlige afsendere.

Om tilgængelige postmeddelelser i Digital Post

Meddelelser i Digital Post skal fra den 1. juli 2023 være tilgængelige i overensstemmelse med de krav, der følger af lov nr. 692 af 8. juni 2018 om tilgængelighed af offentlige organers websteder og mobilapplikationer (herefter webtilgængelighedsloven). I henhold til bekendtgørelse nr. 2180 af 26. november 2021 om fastsættelse af standard for tilgængelighed af offentlige organers websteder og mobilapplikationer, anses myndigheders og offentligretlige organers websteder og mobilapplikationer for at være i overensstemmelse med kravet om tilgængelighed i webtilgængelighedslovens § 3, stk. 1, hvis de opfylder den harmoniserede europæiske standard EN 301 549 V 3.2.1 (2021-03).

Standardens bilag A beskriver, hvordan standarden relaterer sig til det europæiske webtilgængelighedsdirektiv og derfor også den danske webtilgængelighedslov. Standardens kapitel 10 indeholder kravene til dokumenter (non-web documents) og har direkte referencer til WCAG 2.1. Læs mere om den tekniske standard her: Forstå den tekniske standard (digst.dk).

Når man som myndighed har behov for at kravsætte, at en løsning skal opfylde webtilgængelighedslovens krav, så kan man med fordel være opmærksom på:

•       At kravspecifikationen henviser direkte til standarden EN 301 549 i den version, der fremgår af den til enhver tid gældende bekendtgørelse om fastsættelse af standard for tilgængelighed af offentlige organers websteder og mobilapplikationer.
•       At der er er taget stilling til, hvorvidt og eventuelt hvordan leverandøren skal dokumentere, at tilgængelighedskravene er opfyldt. Det kan i den forbindelse overvejes, om der skal stilles krav om test fra tredjepart fx ved en manuel evaluering.

Opmærksomhedspunkterne kan ikke erstatte en vurdering af egne forhold.

Læs mere om webtilgængelighed her: Om webtilgængelighed (digst.dk)