Bekendtgørelse om persondatasikkerhed i forbindelse med udbud af offentlige elektroniske kommunikationstjenester og nummeruafhængige interpersonelle kommunikationstjenester

§ 1. Bekendtgørelsen finder anvendelse på følgende:

1. Styring af risici for persondatasikkerhed og underretning om brud på persondatasikkerhed i forbindelse med udbud af offentlige elektroniske kommunikationstjenester og nummeruafhængige interpersonelle kommunikationstjenester,
2. A-nummervisning,
3. Opbevaring og behandling af trafik- og lokaliseringsdata i forbindelse med elektronisk kommunikation. Stk. 2. Udbud af elektroniske kommunikationstjenester, der alene udbydes ved hjælp af forudbetalte kort, eller elektroniske kommunikationstjenester, der kan sidestilles hermed, er ikke omfattet af §§ 7-8. Stk. 3. Bestemmelserne i §§ 7-8 kan efter forudgående aftale mellem slutbruger og en erhvervsmæssig udbyder af offentlige elektroniske kommunikationsnet og -tjenester samt nummeruafhængig interpersonelle kommunikationstjenester fraviges i aftaler, hvor der er tale om kundeforhold, der ikke er omfattet af aftalelovens § 38 a om forbrugeraftaler.

Definitioner

§ 2. I denne bekendtgørelse forstås ved:

1. Brud på persondatasikkerheden : Sikkerhedsbrud, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, ubeføjet videregivelse af eller adgang til persondata, der sendes, lagres eller på anden måde behandles i forbindelse med udbuddet af en offentlig elektronisk kommunikationstjeneste samt en nummeruafhængig interpersonel kommunikationstjeneste.
2. Forudbetalte elektroniske kommunikationstjenester : Udbud af tjenester, hvor slutbrugeren via køb af et kort eller elektroniske kommunikationstjenester, der kan sidestilles hermed, forudbetaler den samlede tjeneste, inklusive løbende forbrug.
3. A-nummer : Den kaldende abonnents nummer.
4. A-nummeroverførsel : Overførsel af A-nummer til den kaldte abonnent med henblik på visning hos denne.
5. Tilsluttet nummer : Den kaldte brugers nummer, uanset om dette er forskelligt fra det nummer, den kaldende bruger har kaldt.
6. Trafikdata : Data, som behandles med henblik på overførsel af kommunikation i et elektronisk kommunikationsnet eller debitering heraf.
7. Lokaliseringsdata : Data, som behandles i et elektronisk kommunikationsnet, og som angiver den geografiske placering af det terminaludstyr, som brugeren af en offentlig elektronisk kommunikationstjeneste anvender.
8. Tillægstjeneste : Enhver form for tjeneste, der kræver behandling af trafik eller lokaliseringsdata, som ikke er trafikdata, ud over hvad der er nødvendigt for overførsel af kommunikation eller debitering heraf.
9. Bruger : En fysisk person, som anvender en offentligt tilgængelig elektronisk kommunikationstjeneste i privat eller forretningsmæssig øjemed uden nødvendigvis at abonnere på den pågældende tjeneste.

Risikostyring

§ 3. Udbydere af offentlige elektroniske kommunikationstjenester og nummeruafhængige interpersonelle kommunikationstjenester skal løbende træffe passende tekniske og organisatoriske foranstaltninger med henblik på at styre risici for persondatasikkerheden i forbindelse med udbud af elektroniske kommunikationstjenester og nummeruafhængige interpersonelle kommunikationstjenester. Udbyderne skal gennem disse foranstaltninger sikre et sikkerhedsniveau, der, under hensyn til teknologiens aktuelle stade og omkostningerne i forbindelse med gennemførelsen af foranstaltningerne, står i forhold til risici. Stk. 2. De foranstaltninger, der er nævnt i stk. 1, skal som minimum

1. sikre, at kun autoriserede personer får adgang til persondata til lovlige formål,
2. beskytte lagrede eller sendte persondata mod hændelig eller ulovlig tilintetgørelse, hændeligt tab eller ændring og ubeføjet eller ulovlig lagring, behandling, adgang eller videregivelse, og
3. gennemføre en sikkerhedspolitik for persondatasikkerheden i forbindelse med udbud af elektroniske kommunikationstjenester og nummeruafhængige interpersonelle kommunikationstjenester.

Særlig risiko for brud på persondatasikkerheden

§ 4. Udbydere af offentlige elektroniske kommunikationstjenester og nummeruafhængige interpersonelle kommunikationstjenester skal informere deres slutbrugere, hvis der er særlig risiko for brud på persondatasikkerheden. Hvis risikoen ligger uden for de foranstaltninger, der skal træffes af udbyderen efter denne bekendtgørelse, skal udbyderen tillige informere slutbrugerne om, hvordan hændelsen i givet fald kan forebygges. Udbyderen skal herunder angive de omkostninger, der sandsynligvis vil være forbundet hermed.

Underretning om brud

§ 5. Underretning om brud på persondatasikkerheden efter artikel 2 i Kommissionens forordning (EU) nr. 611/2013 af 24. juni 2013 om de foranstaltninger, der skal anvendes ved underretningen om brud på persondatasikkerheden, skal ske til Erhvervsstyrelsen. Stk. 2. Uden at det berører en udbyder af offentlige elektroniske kommunikationstjenesters eller nummeruafhængige interpersonelle kommunikationstjenesters pligt til underretning efter den i stk. 1 nævnte forordning, kan Erhvervsstyrelsen, i tilfælde hvor underretning ikke allerede er sket og efter at have vurderet bruddets sandsynlige negative virkninger, kræve, at udbyderen underretter slutbrugeren eller evt. berørte fysiske personer om sikkerhedsbruddet.

Optegnelser over brud på persondatasikkerheden

§ 6. Udbydere af offentlige elektroniske kommunikationstjenester og nummeruafhængige interpersonelle kommunikationstjenester skal føre optegnelser over brud på persondatasikkerheden. Optegnelserne skal indeholde oplysninger om omstændighederne vedrørende bruddene, deres virkninger og de afhjælpende foranstaltninger, der er truffet. Optegnelserne skal være tilstrækkeligt detaljerede til, at Erhvervsstyrelsen kan føre kontrol med overholdelsen af Kommissionens forordning (EU) nr. 611/2013 af 24. juni 2013, jf. § 13. Optegnelserne skal kun indeholde de oplysninger, der er nødvendige til dette formål.

Hemmeligholdelse og oplysningspligt

§ 7. Udbydere af offentlige elektroniske kommunikationsnet eller -tjenester, som udbyder A-nummervisning, jf. § 2, stk. 1, nr. 3, skal give mulighed for, at den kaldende abonnent gratis kan forhindre A-nummeroverførsel, jf. § 2, stk. 1, nr. 4. Denne mulighed skal den kaldende abonnent have for hvert enkelt opkald og for hver enkelt forbindelse. Stk. 2. Udbydere, som nævnt i stk. 1, skal give mulighed for, at den kaldte abonnent gratis kan

1. forhindre visning af A-nummeret ved ankommende opkald, og
2. afvise ankommende opkald, når den kaldende bruger eller abonnent har blokeret visning af A-nummeret. Dette forudsætter, at A-nummeret kan vises, inden opkaldet besvares. Stk. 3. Stk. 1 finder også anvendelse på opkald til udlandet samt Færøerne og Grønland. Stk. 2 finder også anvendelse på ankommende opkald fra udlandet samt Færøerne og Grønland.

§ 9. Udbydere af offentlige elektroniske kommunikationsnet eller -tjenester skal ved udbud af faciliteter som nævnt i §§ 7 og 8 sikre, at en blokering af visning af A-nummer eller tilsluttet nummer suspenderes

1. ved indgreb i meddelelseshemmeligheden, jf. retsplejelovens kap. 71 og
2. ved opkald til den offentlige alarmtjeneste (112). Stk. 2. Udbydere, som nævnt i stk. 1, skal sikre, at der i de i stk. 1, nr. 2, nævnte tilfælde ses bort fra, at en abonnent eller bruger ikke har givet samtykke til, at lokaliseringsdata behandles, jf. § 11.

Behandling af trafik- og lokaliseringsdata

§ 10. Udbydere af offentlige elektroniske kommunikationsnet eller -tjenester samt udbydere af nummeruafhængige interpersonelle kommunikationstjenester skal sikre, at trafikdata, jf. § 2, stk. 1, nr. 6, vedrørende abonnenter eller brugere slettes eller anonymiseres, når de ikke længere er nødvendige for fremføringen af kommunikationen, jf. dog stk. 2-5 og retsplejelovens § 786, stk. 4, eller regler udstedt i medfør heraf. Stk. 2. Uanset stk. 1 må en udbyder, som nævnt i stk. 1, behandle og opbevare trafikdata med henblik på debitering af abonnenter og afregning for samtrafik. En sådan behandling og opbevaring af data er tilladt indtil udløbet af den lovhjemlede forældelsesfrist for de omhandlede gældsforpligtelser og afregninger. Stk. 3. Uanset stk. 1 må en udbyder, som nævnt i stk. 1, behandle trafikdata, jf. § 2, stk. 1, nr. 6, vedrørende abonnenter eller brugere med henblik på markedsføring af elektroniske kommunikationstjenester samt nummeruafhængig interpersonelle kommunikationstjenester eller levering af tillægstjenester, jf. § 2, stk. 1, nr. 8, forudsat at abonnenten eller brugeren forud for behandlingen har givet sit samtykke hertil. Behandlingen er kun tilladt i det omfang og tidsrum, som tjenesten eller markedsføringen kræver. Abonnenten eller brugeren skal på et hvilket som helst tidspunkt have mulighed for at trække sit samtykke tilbage. Stk. 4. Udbydere, som nævnt i stk. 1, skal underrette abonnenten eller brugeren om, hvilke typer af trafikdata der behandles med henblik på de i stk. 2 og 3 omhandlede formål og om behandlingens varighed. Ved behandling med henblik på de i stk. 3 omhandlede formål skal underretning ske, inden samtykke indhentes. Stk. 5. Udbydere, som nævnt i stk. 1, skal sikre, at behandling af trafikdata som nævnt i stk. 1-4 kun foretages af personer, som er ansat hos eller handler efter bemyndigelse fra udbydere af offentlige elektroniske kommunikationsnet eller -tjenester eller udbydere af nummeruafhængige interpersonelle kommunikationstjenester, og som er beskæftiget med debitering eller trafikstyring, behandling af klager eller andre henvendelser fra abonnenter, opsporing af svig eller med markedsføring af udbyderens egne tjenester eller levering af tillægstjenester. I forbindelse med behandlingen af sådanne konkrete sager skal behandlingen af trafikdata begrænses til alene at vedrøre det, der er nødvendigt for behandlingen af sagen. Stk. 6. § 10, stk. 1-5 indskrænker ikke Erhvervsstyrelsens, Teleklagenævnets eller Teleankenævnets mulighed for at indhente oplysninger om trafikdata i forbindelse med behandlingen af konkrete sager.

§ 11. Udbydere af offentlige elektroniske kommunikationsnet eller -tjenester eller udbydere af nummeruafhængige interpersonelle kommunikationstjenester må kun behandle lokaliseringsdata, jf. § 2, stk. 1, nr. 7, bortset fra trafikdata, i følgende tilfælde, jf. dog retsplejelovens § 791 a, stk. 5 og 6

1. når data er anonymiseret, eller
2. når abonnenten eller brugeren har givet samtykke til behandlingen, og da kun i det omfang og i det tidsrum, som er nødvendigt for levering af en tillægstjeneste, jf. § 2, stk. 1, nr. 8. Stk. 2. Udbydere, der foretager behandling af lokaliseringsdata som nævnt i stk. 1, nr. 2, skal, inden abonnentens eller brugerens samtykke indhentes, underrette abonnenten eller brugeren om, hvilken type lokaliseringsdata, bortset fra trafikdata, der behandles. Udbydere skal tillige oplyse, hvorfor og hvor længe data behandles, og om data videregives til tredjemand med henblik på levering af en tillægstjeneste. Stk. 3. Hvis abonnenten eller brugeren efter stk. 1, nr. 2, har givet sit samtykke til behandling af lokaliseringsdata, bortset fra trafikdata, skal abonnenten eller brugeren fortsat have mulighed for gratis og på en enkel måde midlertidigt at forhindre behandling af sådanne data ved hvert enkelt opkald til nettet eller ved hver enkelt fremføring af kommunikation. Abonnenten eller brugeren skal på et hvilket som helst tidspunkt have mulighed for at trække sit samtykke tilbage. Stk. 4. Udbydere, som nævnt i stk. 1, skal sikre, at behandling af lokaliseringsdata, bortset fra trafikdata, i henhold til stk. 1-3 kun foretages af personer, som er ansat hos eller handler efter bemyndigelse fra udbyderen af nettet eller tjenesten eller fra den tredjemand, som leverer tillægstjenesten. Behandling som nævnt i stk. 1, nr. 2, skal begrænses til det, der er nødvendigt for levering af tillægstjenesten.

Tilsyn med foranstaltninger til styring af risici for persondatasikkerheden, hemmeligholdelse og oplysningspligt samt behandling af trafik- og lokaliseringsdata.

§ 12. Erhvervsstyrelsen fører tilsyn med de foranstaltninger, som udbydere af offentlige elektroniske kommunikationstjenester og nummeruafhængige interpersonelle kommunikationstjenester skal træffe efter § 3. Erhvervsstyrelsen fører ligeledes tilsyn med udbydere af offentlige elektroniske kommunikationstjenesters og nummeruafhængige interpersonelle kommunikationstjenesters efterlevelse af §§ 7-11. Stk. 2. Erhvervsstyrelsen kan i forbindelse med tilsyn efter stk. 1 påbyde udbydere af offentlige elektroniske kommunikationstjenester og nummeruafhængige interpersonelle kommunikationstjenester at gennemføre de tiltag, som, Erhvervsstyrelsen vurderer, er nødvendige for at sikre, at kravene i § 3 og §§ 7-11 er overholdt. Stk. 3. Ved manglende efterlevelse af stk. 2, kan Erhvervsstyrelsen træffe beslutning om at give tvangsbøder efter telelovens § 79.

Tilsyn med Kommissionens forordning om foranstaltninger til underretning om brud på persondatasikkerheden

§ 13. Erhvervsstyrelsen fører tilsyn med og træffer afgørelser om udbydere af offentlige elektroniske kommunikationstjenesters samt nummeruafhængige interpersonelle kommunikationstjenesters overholdelse af bestemmelser i Kommissionens forordning (EU) nr. 611/2013 af 24. juni 2013 om de foranstaltninger, der skal anvendes ved underretningen om brud på persondatasikkerheden. Stk. 2. I forbindelse med afgørelser efter stk. 1 kan Erhvervsstyrelsen meddele påbud om overholdelse af bestemmelser i den i stk. 1 nævnte forordning. Stk. 3. Erhvervsstyrelsen kan pålægge udbydere af offentlige elektroniske kommunikationstjenester og nummeruafhængige interpersonelle kommunikationstjenester, som et påbud retter sig imod, tvangsbøder med henblik på at gennemtvinge, at påbuddet efterkommes, hvis parten ikke efterkommer påbuddet.

Klageadgang og straf