Bekendtgørelse om behandling af oplysninger om elektronisk registrerede kontakter med henblik på at forebygge og inddæmme udbredelsen af Coronavirussygdom 2019 (COVID-19)

Styrelsen for Patientsikkerhed er ansvarlig for at stille en digital løsning til rådighed for de borgere, der har downloadet den digitale løsning ”Smittestop” samt formidle oplysninger om, at en bruger af løsningen har været i elektronisk kontakt med andre brugere af kontaktopsporings- og advarselsmobilapplikationer, som nævnt i § 3, nr. 5, der har fået bekræftet, at de har Coronavirussygdom 2019 (COVID-19). Styrelsen for Patientsikkerhed er dataansvarlig for den behandling af personoplysninger, der er omfattet af denne bekendtgørelse, jf. § 2, stk. 2. Styrelsen for Patientsikkerhed udarbejder forud for denne behandling af personoplysninger en konsekvensanalyse i overensstemmelse med artikel 35 i Europa-Parlamentets og Rådets forordning nr. 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesforordningen) og fastsætter i forlængelse heraf foranstaltninger for at imødegå de identificerede risici.

Styrelsen for Patientsikkerhed tilslutter sig i overensstemmelse med artikel 7a, stk. 4, i Kommissionens gennemførelsesafgørelse (EU) 2019/1765 en fælleseuropæisk gateway-facilitet.

I denne bekendtgørelse forstås ved:

• 1) Elektronisk kontakt: Registreret kontakt på baggrund af radiokontakt (bluetooth) mellem to telefoner, hvor en kontaktopsporings- og advarselsmobilapplikation er installeret. Kontakten registreres, når der er uafbrudt radiokontakt mellem to telefoner, hvor løsningen er installeret. Kontaktregistreringen indeholder oplysning om kontaktens skiftende systemgenererede elektroniske nøgle, signalstyrke, tidspunkt og varighed af kontakten.

• 2) Smittenotifikation: Besked til en bruger om, at vedkommende har været i elektronisk kontakt med en bruger af en kontaktopsporings- og advarselsmobilapplikation, der er bekræftet smittet med Coronavirussygdom 2019 (COVID-19). Besked efter 1. pkt. gives alene, hvis der på grundlag af varigheden af kontakten, signalstyrke og den tidsmæssige afstand mellem kontakten og smittedebut sandsynligvis ud fra en epidemiologisk vurdering er en kvalificeret risiko for, at vedkommende kan være blevet smittet med Coronavirussygdom 2019 (COVID-19).

• 3) Smitteverifikation: Kontrol af, at en bruger, der ønsker at notificere sine elektroniske kontakter, er bekræftet smittet med Coronavirussygdom 2019 (COVID-19).

• 4) Fælleseuropæisk gateway-facilitet: En elektronisk opbevarings- og oplysningsudvekslingsfacilitet, der drives af EU-Kommissionen via et sikkert IT-værktøj, og som modtager, lagrer og giver adgang til personoplysninger i medlemsstaternes backend-servere med henblik på at sikre interoperabilitet mellem nationale kontaktopsporings- og advarselsmobilapplikationer.

• 5) Kontaktopsporings- og advarselsmobilapplikation: En softwareapplikation godkendt på nationalt plan, som kører på intelligente enheder, navnlig smartphones, og som sædvanligvis er udviklet til omfattende og målrettet samspil med webressourcer og behandler nærhedsdata og andre kontekstafhængige oplysninger, der indsamles af flere sensorer i de intelligente enheder med det formål at opspore personkontakter, der er smittet med Coronavirussygdom 2019 (COVID-19), og advare personer, der kan være blevet eksponeret for Coronavirussygdom 2019 (COVID-19). Disse mobilapplikationer er i stand til at opdage andre enheder i nærheden, der anvender Bluetooth, og udveksle oplysninger med backend-servere over internettet.

Følgende kategorier af personoplysninger behandles på den telefon, som den enkelte bruger har installeret løsningen på:

• 1) Antal elektroniske kontakter, som den enkelte bruger har haft i de forgangne 14 døgn.

• 2) Smittenotifikationer modtaget de forgangne 14 døgn.

• 3) Beregning af om brugeren på grundlag af varigheden af kontakten, signalstyrke, den tidsmæssige afstand mellem kontakten og smittedebut sandsynligvis ud fra en epidemiologisk vurdering er i kvalificeret risiko for at kunne være smittet med Coronavirussygdom 2019 (COVID-19).

Følgende kategorier af personoplysninger behandles, i det omfang det er nødvendigt for at sikre driften af løsningen:

• 1) Brugerens NemID-oplysninger i forbindelse med verifikation af, om brugeren har Coronavirussygdom 2019 (COVID-19).

• 2) Oplysning om hvor mange smittestatusverifikationer der er udstedt for en given bruger inden for de seneste 24 timer.

• 3) Oplysning om brugere, der har Coronavirussygdom 2019 (COVID-19), til brug for smitteverifikation og -notifikation:

  • a) CPR-nummer.

  • b) Smittestatus.

  • c) Tidspunkt for test.

  • d) Tidspunkt for symptomdebut (oplyst af brugeren eller beregnet af løsningen).

  • e) Oplysninger om, hvilke lande brugeren har opholdt sig i de seneste 14 dage, hvis dette er angivet af brugeren.

• 4) Oplysning om, hvilke systemgenererede nøgler der er anvendt af brugere, der har gennemført positiv smitteverifikation.

Oplysninger, der er registreret hos Styrelsen for Patientsikkerhed, slettes automatisk på følgende måde:

• 1) Brugerens NemID-oplysninger slettes senest 24 timer efter, at Styrelsen for Patientsikkerhed har foretaget verifikation af, om en bruger har Coronavirussygdom 2019 (COVID-19).

• 2) Oplysning om hvor mange smittestatusverifikationer der er udstedt for en given bruger, slettes efter 24 timer.

• 3) Oplysning om borgere der er bekræftet smittet med Coronavirussygdom 2019 (COVID-19), som Styrelsen for Patientsikkerhed har modtaget fra Statens Serum Institut i medfør af § 4, stk. 2, slettes løbende i takt med, at Statens Serum Institut vurderer, at smittestatus ikke længere er relevant.

• 4) Oplysning om hvilke systemgenererede nøgler der er anvendt af brugere, der har gennemført positiv smitteverifikation, slettes automatisk efter 14 dage.

Følgende kategorier af personoplysninger behandles i den fælleseuropæiske gateway-facilitet i pseudonymiseret format:

• 1) De systemgenerede nøgler der er anvendt af brugere, der har gennemført positiv smitteverifikation, som de nationale kontaktopsporings- og advarselsmobilapplikationer har sendt, op til 14 dage før nøglerne blev uploadet.

• 2) Logdata i tilknytning til nøglerne i overensstemmelse med den protokol for tekniske specifikationer, der anvendes i nøglernes oprindelsesland.

• 3) Typen af smitteverifikation (laboratorieverificeret).

• 4) De berørte lande og nøglernes oprindelsesland.

Oplysninger, der er overført til den fælleseuropæiske gateway-facilitet, slettes automatisk 14 dage efter, de er registreret i gateway-faciliteten.

Bekendtgørelsen træder i kraft den 26. oktober 2021.