BEK 2019/2021 Art. 4

Digitaliseringsstyrelsen handler efter instruks fra den dataansvarlige offentlige afsender. Digitaliseringsstyrelsen instrueres som databehandler i at sende meddelelser for offentlige afsendere til de af de offentlige afsendere anførte modtageres digitale postkasser. Den dataansvarlige offentlige afsender kan give supplerende instruks, mens der sker behandling af personoplysninger, men instruksen skal altid være dokumenteret og opbevares skriftligt, herunder elektronisk.

Stk. 2. Databehandleren underretter omgående den dataansvarlige offentlige afsender, hvis en instruks efter vedkommendes mening er i strid med databeskyttelsesforordningen eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret. Instruksen vil fortsat have virkning indtil lovligheden af instruksen afklares af Digitaliseringsstyrelsen, bistået af den dataansvarlige offentlige afsender. Den dataansvarlige offentlige afsender forbliver ansvarlig for databehandlerens fortsatte behandling af personoplysninger.

Stk. 3. Denne bestemmelse udgør den databeskyttelsesretlige instruks i henhold til stk. 1. Nærmere oplysninger om selve behandlingen af personoplysninger fremgår af stk. 4 og henvisningerne i stk. 5. Omfanget af instruksen fremgår af henvisningerne i stk. 6.

Stk. 4. Digitaliseringsstyrelsens behandling af personoplysninger består i transmission og levering af meddelelser med tilknyttede metadata sendt via Digital Post til de af de offentlige afsendere anførte modtagere, samt ved advisering af modtagerne via sms og e-mail ved levering af nye meddelelser og ved fremsendelse af servicebeskeder fra offentlige afsendere via NemSMS. Digitaliseringsstyrelsens behandling af personoplysninger på vegne af de offentlige afsendere ophører således ved leveringen af meddelelserne til de af de offentlige afsendere anførte modtageres digitale postkasser samt ved leveringen af sms- og e-mail-advisering og ved fremsendelse af servicebeskeder fra offentlige afsendere via NemSMS.

Stk. 5. Oplysninger om behandlingen af personoplysninger omfatter: 1) Formålet med behandlingen af personoplysninger, der fremgår af § 2, stk. 2. 2) Databehandlerens behandling af personoplysninger på vegne af de dataansvarlige offentlige afsendere drejer sig om transmission og levering af meddelelser sendt via Digital Post, der fremgår af stk. 4. 3) Behandlingen omfatter følgende typer af personoplysninger om de registrerede, der fremgår af § 3, stk. 1. 4) Behandlingen omfatter følgende kategorier af registrerede, der fremgår af § 3, stk. 2. 5) Databehandlerens behandling af personoplysninger på vegne af de dataansvarlige offentlige afsendere kan påbegyndes efter denne bekendtgørelses ikrafttræden. Behandlingen varer indtil bekendtgørelsen ophæves, jf. stk. 7.

Stk. 6. Den offentlige afsender instruerer Digitaliseringsstyrelsen som databehandler vedrørende behandlingen af personoplysninger. Instruksen omfatter: 1) Behandlingens genstand/instruks, der fremgår af stk. 1 og 3. 2) Behandlingssikkerhed, der fremgår af § 6. 3) Bistand til den dataansvarlige, der fremgår af § 10. 4) Opbevaring og sletning, der fremgår af § 12. 5) Lokalitet for behandlingen, der fremgår af stk. 8. 6) Instruks vedrørende overførsel af personoplysninger til tredjelande eller internationale organisationer, der fremgår af § 9. 7) Procedure for den dataansvarlige offentlige afsenders revisioner, herunder inspektioner, med behandlingen af personoplysninger, som er overladt til databehandlere, der fremgår af § 13. 8) Procedure for den dataansvarlige offentlige afsenders revisioner, herunder inspektioner, med behandlingen af personoplysninger, som er overladt til underdatabehandlere, der fremgår af § 8, stk. 6.

Stk. 7. Digitaliseringsstyrelsens behandling af personoplysninger i Digital Post på vegne af de dataansvarlige offentlige afsendere er ikke tidsbegrænset, men varer indtil bekendtgørelsen ophæves.

Stk. 8. Digital Post-løsningen er omfattet af lokationskravet i databeskyttelseslovens § 3, stk. 9, og bestemmelser udstedt i medfør heraf, hvorefter personoplysninger, der behandles i nærmere bestemte it-systemer, og som føres for den offentlige forvaltning, helt eller delvis alene må opbevares her i landet. Behandlingen og opbevaringen af personoplysninger skal ske i Danmark på baggrund af 1. pkt.