Lovgivning

Dataansvar

I forbindelse med drift, vedligeholdelse og forvaltning af Digital Post er Digitaliseringsstyrelsen dataansvarlig for behandling af borgeres og virksomheders oplysninger, som fx personnumre, CVR-numre, e-mails og telefonnumre.

Læs mere om behandling af personoplysninger for borgere og virksomheder: 

Dataansvarskonstruktion i Digital Post

Digitaliseringsstyrelsen er dataansvarlig for Digital Post-løsningen, idet Digitaliseringsstyrelsen bestemmer formål og afgør med hvilke hjælpemidler, der må foretages behandling af personoplysninger i postløsningen. Det gælder både i forhold til udvikling, drift, vedligeholdelse og forvaltning af Digital Post-løsningen, herunder i forhold til fastlæggelsen af løsningens tekniske og organisatoriske sikkerhedsforanstaltninger.

Digitaliseringsstyrelsen er dataansvarlig for behandlingen af personoplysninger i form af personnumre, CVR-numre, e-mail og telefonnumre eller lignende i forbindelse med drift, vedligeholdelse og forvaltning af postløsningen, jf. § 2 a, stk. 1, i lovbekendtgørelse nr. 686 af 15. april 2021 om Digital Post fra offentlige afsendere med senere ændringer (herefter Digital Post-loven).

Offentlige afsendere som dataansvarlig – og Digitaliseringsstyrelsen som databehandler

For så vidt angår indholdet af de digitale postmeddelelser, fastslås det i Digital Post-lovens § 2 a, stk. 3, at de offentlige afsendere er dataansvarlige for indholdet af de meddelelser, de sender via postløsningen, og Digitaliseringsstyrelsen er databehandler for forsendelsen af meddelelser.

Digitaliseringsstyrelsens rolle som databehandler for offentlige afsenderes forsendelse af meddelelserne indebærer, at styrelsen alene behandler personoplysninger indeholdt i postmeddelelserne via instruks fra denne. Digitaliseringsstyrelsen har derfor hverken indflydelse på, hvornår meddelelser er afsendt eller på indholdet af meddelelserne.

I Digital Post-løsningen vil offentlige afsendere blive pålagt at have et modtagesystem. Modtagesystemer indebærer, at opbevaringen af meddelelser alene sker hos den offentlige afsender. Digitaliseringsstyrelsen bliver derfor ikke databehandler for opbevaringen.

Virksomheder som dataansvarlig – og Digitaliseringsstyrelsen som databehandler

I § 2 a, stk. 4, fremgår det, at virksomheder er dataansvarlige for indholdet af de meddelelser, de sender via og opbevarer i Digital Post. Digitaliseringsstyrelsen er databehandler for virksomheders forsendelse og opbevaring af meddelelser i postløsningen. Opbevaringen vil ske i virksomhedens digitale postkasse, der udgør en del af Digital Post-løsningen.

Efter modtagelse af digitale postmeddelelser vil borgere og virksomheder være de eneste med råde- og ejendomsret over egen Digital Post. Digitaliseringsstyrelsen bliver derfor ikke databehandler for opbevaring af posten i borgerens egen digitale postkasse.

Virksomheder, som modtager Digital Post indeholdende oplysninger om f.eks. virksomhedens kunder eller medarbejdere, er derimod dataansvarlige for de personoplysninger, der opbevares i virksomhedens digitale postkasse. Opbevaringen varetages af Digitaliseringsstyrelsen som databehandler.

Borgere har råde- og ejendomsret

En borger er som udgangspunkt ikke omfattet af anvendelsesområdet for Databeskyttelsesforordningen eller Retshåndhævelsesloven, jf. hhv. artikel 2, stk. 2, litra c, i databeskyttelsesforordningen og § 1, stk. 1, i Retshåndhævelsesloven. Borgeren er dermed ikke i databeskyttelsesretlig forstand dataansvarlig for den digitale post i dennes egen digitale postkasse, uanset om denne post eventuelt måtte indeholde personoplysninger om tredjeparter.

Visningsklienter som dataansvarlig

Visningsklienter – såvel offentlige som kommercielle – er selvstændigt dataansvarlige for deres behandling af borgere og virksomheders personoplysninger.

Når Digitaliseringsstyrelsen indgår en tilslutningsaftale med en privat virksomhed om at udbyde en såkaldt kommerciel visningsklient, eller en offentlig myndighed om at udbyde en såkaldt offentlig visningsklient, vil den pågældende visningsklientudbyder behandle en række personoplysninger, når borgere og virksomheder vælger at læse deres digitale postmeddelelser via en visningsklient.

En visningsklientudbyder er selvstændigt dataansvarlig for den behandling af personoplysninger, som er nødvendig for at en borger eller virksomhed kan få vist sin post. Det er den pågældende visningsklientudbyder, der vurderer, hvilke personoplysninger, som udbyderen finder det nødvendigt at behandle for driften, vedligeholdelsen og administrationen af deres visningsklienten (fx kontaktoplysninger i form af navn, e-mails og telefonnumre mv.). Visningsklientudbyderen er ikke dataansvarlig for personoplysninger indeholdt i meddelelserne, der er sendt fra offentlige afsendere.

Om tilgængelige postmeddelelser i Digital Post

Postmeddelelser i Digital Post skal fra den 1. juli 2023 være tilgængelige i overensstemmelse med de krav, der følger af webtilgængelighedsloven. I henhold til bekendtgørelse nr. 2180 af 26. november 2021 om fastsættelse af standard for tilgængelighed af offentlige organers websteder og mobilapplikationer, anses myndigheders og offentligretlige organers websteder og mobilapplikationer for at være i overensstemmelse med kravet om tilgængelighed i webtilgængelighedslovens § 3, stk. 1, hvis de opfylder den harmoniserede europæiske standard EN 301 549 V 3.2.1 (2021-03).

Standardens bilag A beskriver, hvordan standarden relaterer sig til det europæiske webtilgængelighedsdirektiv og derfor også den danske webtilgængelighedslov. Kapitel 10 indeholder kravene til dokumenter (non-web documents) og har direkte referencer til WCAG 2.1.

Når man som myndighed har behov for at kravsætte, at en løsning skal opfylde webtilgængelighedslovens krav, så kan man med fordel være opmærksom på:

• At kravspecifikationen henviser direkte til standarden EN 301 549 i den version, der fremgår af den til enhver tid gældende bekendtgørelse om fastsættelse af standard for tilgængelighed af offentlige organers websteder og mobilapplikationer.
• At der er er taget stilling til, hvorvidt og eventuelt hvordan leverandøren skal dokumentere, at tilgængelighedskravene er opfyldt. Det kan i den forbindelse overvejes, om der skal stilles krav om test fra tredjepart, fx ved en manuel evaluering.

Opmærksomhedspunkterne kan ikke erstatte en vurdering af egne forhold.

Læs mere om webtilgængelighed her: Om webtilgængelighed (digst.dk)