Bekendtgørelse om behandling af oplysninger om elektronisk registrerede kontakter med henblik på at forebygge og inddæmme udbredelsen af Coronavirussygdom 2019 (COVID-19)

Bekendtgørelse om behandling af oplysninger om elektronisk registrerede kontakter med henblik på at forebygge og inddæmme udbredelsen af Coronavirussygdom 2019 (COVID-19) Bekendtgørelse om behandling af oplysninger om elektronisk registrerede kontakter med henblik på at forebygge og inddæmme udbredelsen af Coronavirussygdom 2019 (COVID-19) I medfør af § 21 b i lov om foranstaltninger mod smitsomme og andre overførbare sygdomme, jf. lovbekendtgørelse nr. 1026 af 1. oktober 2019, som ændret ved lov nr. 208 af 17. marts 2020, fastsættes: Formål og anvendelsesområde Styrelsen for Patientsikkerhed er ansvarlig for at stille en digital løsning til rådighed for de borgere, der har downloadet den digitale løsning ”Smittestop” samt formidle oplysninger om, at en bruger af løsningen har været i elektronisk kontakt med andre brugere af løsningen, som har fået bekræftet, at de har Coronavirussygdom 2019 (COVID-19). Styrelsen for Patientsikkerhed er dataansvarlig for den behandling af personoplysninger, der er omfattet af denne bekendtgørelse. Styrelsen for Patientsikkerhed udarbejder forud for denne behandling af personoplysninger en konsekvensanalyse i overensstemmelse med artikel 35 i Europa-Parlamentets og Rådets forordning nr. 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesforordningen) og fastsætter i forlængelse heraf foranstaltninger for at imødegå de identificerede risici. Løsningens overordnede formål er at forebygge og hindre udbredelse og smitte af Coronavirussygdom 2019 (COVID-19). Løsningen har i den forbindelse til formål at bidrage til at bryde smittekæder ved at give mulighed for, at brugere af løsningen kan få elektronisk meddelelse om, at de har været i elektronisk kontakt med andre brugere af løsningen, der er bekræftet smittet med Coronavirussygdom 2019 (COVID-19), og dermed er i risiko for at være blevet smittet med Coronavirussygdom 2019 (COVID-19). Lagring af og adgang til oplysninger på brugerens telefon er efter bekendtgørelse nr. 1148 af 9. december 2011 om krav til information og samtykke ved lagring af eller adgang til oplysninger i slutbrugeres terminaludstyr (cookiebekendtgørelsen) betinget af, at brugeren har afgivet samtykke i overensstemmelse med artikel 4, nr. 11, og artikel 7 i databeskyttelsesforordningen, efter at have modtaget fyldestgørende information om lagringen af oplysninger på brugerens terminaludstyr. Øvrig behandling af personoplysninger, der foretages i forbindelse med drift og anvendelse af løsningen, er reguleret af denne bekendtgørelse. Styrelsen for Patientsikkerhed må ikke behandle de personoplysninger, der behandles i medfør af denne bekendtgørelse til andre formål, end de formål der er nævnt i stk. 2, medmindre personoplysningerne er aggregerede og anonymiserede, og behandlingen alene sker til videnskabelige eller statistiske formål, eller behandlingen af personoply‌sningerne følger af reglerne i arkivloven. Styrelsen for Patientsikkerhed må alene behandle personoplysninger nævnt i 1. pkt. i det omfang, det er nødvendigt for at varetage de formål, der er nævnt i 1. pkt. eller i stk. 2. Styrelsen for Patientsikkerheds behandling af personoplysninger er herudover underlagt de begrænsninger, der følger af

§ 4. Definitioner I denne bekendtgørelse forstås ved: Elektronisk kontakt: Registreret kontakt på baggrund af radiokontakt (bluetooth) mellem to telefoner, hvor løsningen er installeret. Kontakten registreres, når der er uafbrudt radiokontakt mellem to telefoner, hvor løsningen er installeret. Kontaktregistreringen indeholder oplysning om kontaktens skiftende systemgenererede elektroniske nøgle, signalstyrke, tidspunkt og varighed af kontakten. Smittenotifikation: Besked til en bruger om, at vedkommende har været i elektronisk kontakt med en bruger af løsningen, der er bekræftet smittet med Coronavirussygdom 2019 (COVID-19). Besked efter 1. pkt. gives alene, hvis der på grundlag af varigheden af kontakten, signalstyrke og den tidsmæssige afstand mellem kontakten og smittedebut sandsynligvis ud fra en epidemiologisk vurdering er en kvalificeret risiko for, at vedkommende kan være blevet smittet med Coronavirussygdom 2019 (COVID-19). Smitteverifikation: Kontrol af, at en bruger, der ønsker at notificere sine elektroniske kontakter, er bekræftet smittet med Coronavirussygdom 2019 (COVID-19). Behandling, herunder sletning, af personoplysninger på brugerens telefon Følgende kategorier af personoplysninger behandles på den telefon, som den enkelte bruger har installeret løsningen på: Registrering af antal elektroniske kontakter, som den enkelte bruger har haft i de forgangne 14 døgn. Registrering af smittenotifikationer modtaget de forgangne 14 døgn. Beregning af om brugeren på grundlag af varigheden af kontakten, signalstyrke, den tidsmæssige afstand mellem kontakten og smittedebut sandsynligvis ud fra en epidemiologisk vurdering er i kvalificeret risiko for at kunne være smittet med Coronavirussygdom 2019 (COVID-19). Oplysninger lagret på brugerens telefon efter stk. 1 slettes automatisk på følgende måde: Elektroniske kontakter registreret på brugerens telefon slettes automatisk 14 dage efter registreringen på telefonen. Oplysning om hvilke systemgenererede nøgler der er knyttet til en bruger, der har Coronavirussygdom 2019 (COVID-19), slettes automatisk efter 14 dage. Oplysning om at brugeren på grundlag af varighed af kontakten, signalstyrke, den tidsmæssige afstand mellem kontakten og smittedebut sandsynligvis ud fra en epidemiologisk vurdering er i kvalificeret risiko for at kunne være smittet med Coronavirussygdom 2019 (COVID-19), slettes automatisk 14 dage efter, at brugeren har modtaget notifikationen på telefonen. Alle oplysninger registreret i løsningen slettes, når brugeren afinstallerer løsningen. Behandling, herunder sletning, af personoplysninger hos sundhedsmyndighederne Følgende kategorier af personoplysninger behandles, i det omfang det er nødvendigt for at sikre driften af løsningen: Brugerens NemID-oplysninger i forbindelse med verifikation af, om brugeren har Coronavirussygdom 2019 (COVID-19). Oplysning om hvor mange smittestatusverifikationer der er udstedt for en given bruger inden for de seneste 24 timer. Oplysning om brugere, der har Coronavirussygdom 2019 (COVID-19), til brug for smitteverifikation og -notifikation: CPR-nummer. Smittestatus. Tidspunkt for test. Tidspunkt for symptomdebut (oplyst af brugeren eller beregnet af løsningen). Oplysning om, hvilke systemgenererede nøgler der er anvendt af brugere, der har gennemført positiv smitteverifikation. Statens Serum Institut videregiver oplysninger om personnummer, smittestatus, tidspunkt for test og beregnet tidspunkt for symptomdebut til Styrelsen for Patientsikkerhed om personer, der aktuelt er bekræftet smittet med Coronavirussygdom 2019 (COVID-19) til brug for verifikation af, om en bruger af løsningen, der ønsker at foretage smittenotifikation, er bekræftet smittet med Coronavirussygdom 2019 (COVID-19). Styrelsen for Patientsikkerhed og en eventuel databehandler, der på styrelsens vegne varetager driften af registrerede kontakter, har adgang til de i stk. 2 nævnte oplysninger, når det er påkrævet af driftstekniske grunde eller følger af Styrelsen for Patientsikkerheds forpligtelser som dataansvarlig. Styrelsen for Patientsikkerheds behandling af personoplysninger er herudover underlagt følgende begrænsninger: Oplysninger om brugerens NemID-oplysninger må alene anvendes af styrelsen i forbindelse med verifikation af, om brugeren har Coronavirussygdom 2019 (COVID-19). Oplysninger om antallet af udsendte smittestatusverifikationer må alene anvendes af styrelsen til at begrænse brugerens udsendelser af smittenotifikationer. Oplysninger om borgere der har Coronavirussygdom 2019 (COVID-19), som Styrelsen for Patientsikkerhed har modtaget fra Statens Serum Institut i medfør af stk. 2, må alene anvendes af styrelsen til smittenotifikation- og verifikation gennem løsningen. Oplysninger om hvilke systemgenerede nøgler der er anvendt af brugere, der har gennemført positiv smitteverifikation, må alene anvendes af styrelsen til smittenotifikation gennem løsningen. Oplysninger, der er registreret hos Styrelsen for Patientsikkerhed, slettes automatisk på følgende måde: Brugerens NemID-oplysninger slettes senest 24 timer efter, at Styrelsen for Patientsikkerhed har foretaget verifikation af, om en bruger har Coronavirussygdom 2019 (COVID-19). Oplysning om hvor mange smittestatusverifikationer der er udstedt for en given bruger, slettes efter 24 timer. Oplysning om borgere der er bekræftet smittet med Coronavirussygdom 2019 (COVID-19), som Styrelsen for Patientsikkerhed har modtaget fra Statens Serum Institut i medfør af § 4, stk. 2, slettes løbende i takt med, at Statens Serum Institut vurderer, at smittestatus ikke længere er relevant. Oplysning om hvilke systemgenererede nøgler der er anvendt af brugere, der har gennemført positiv smitteverifikation, slettes automatisk efter 14 dage. Ikrafttræden Bekendtgørelsen træder i kraft ved bekendtgørelse i Lovtidende. Bekendtgørelsen ophæves den 31. oktober 2020.