Bekendtgørelse om behandling af personoplysninger i den digitale løsning Coronapas

Bekendtgørelse om behandling af personoplysninger i den digitale løsning Coronapas Bekendtgørelse om behandling af personoplysninger i den digitale løsning Coronapas I medfør af § 53 i epidemiloven, lov nr. 285 af 27. februar 2021, og efter forelæggelse for Epidemiudvalget i henhold til § 9, stk. 1, i epidemiloven, fastsættes: Formål og anvendelsesområde Statens Serum Institut er ansvarlig for at stille en digital løsning til rådighed for de borgere, der har downloadet den digitale løsning ”Coronapas”, samt at formidle oplysninger om en brugers vaccine-, test- og restitutionsstatus m.v., herunder om en bruger af løsningen har opnået et gyldigt Coronapas, jf.

§ 3. Løsningens overordnede formål er at forebygge og hindre udbredelse og smitte af Coronavirussygdom 2019 (COVID-19). Løsningen har i den forbindelse til formål at bidrage til at sikre epidemikontrol ved, at brugere af løsningen kan fremvise pålidelige digitale beviser for en brugers vaccine-, test- og restitutionsstatus med henblik på, at brugere via kontrol af passets gyldighed kan få adgang til bestemte lokaliteter eller rejse til andre lande på en måde, hvor risikoen for smitte forbundet hermed minimeres. En kontrollør kan få verificeret, at de fremviste oplysninger er korrekte ved at scanne en QR-kode, der er dannet på baggrund af data, som er digitalt signeret med en signatur, der er ejet af myndighederne. Statens Serum Institut sikrer, at brugere af løsningen har adgang til detaljerede oplysninger om deres vaccine-, test- og restitutionsstatus m.v. via løsningen. I tillæg til egne oplysninger kan forældremyndighedsindehavere, i det omfang relationen er registreret i det centrale personregister, tilgå test- og vaccinationsoplysninger om børn under 15 år i den digitale løsning, medmindre barnet har fået registreret navne- og adressebeskyttelse i det centrale personregister. Statens Serum Institut har adgang til oplysninger i Det Danske Vaccinationsregister, når det er nødvendigt med henblik på at formidle oplysninger som nævnt i § 1, stk. 1. Definitioner Ved et gyldigt Coronapas i denne bekendtgørelse forstås dokumentation for, at en bruger af løsningen har opnået: et negativt resultat af en PCR-test, jf. stk. 3, der er højst 72 timer gammel regnet fra tidspunktet, hvor testen er foretaget, et negativt resultat af en antigentest, jf. stk. 4, der er højst 48 timer gammel regnet fra tidspunktet, hvor testen er foretaget, et positivt resultat af en PCR-test, jf. stk. 3, der er mindst 11 dage og højst 5 måneder gammel regnet fra tidspunktet, hvor testen blev foretaget, et påbegyndt vaccinationsforløb mod covid-19, jf. stk. 5, et gennemført primært vaccinationsforløb mod covid-19, jf. stk. 6, som er givet til en person, der er under 18 år, et gennemført primært vaccinationsforløb mod covid-19, jf. stk. 6, som er givet til en person, der er 18 år eller derover, og hvor det højst er 5 måneder siden, at den afsluttende dosis blev givet, eller et gennemført primært vaccinationsforløb mod covid-19, jf. stk. 6, samt en revaccination, som er givet til en person, der er 18 år eller derover, jf. stk. 7. Ved en covid-19-test forstås en test, der er foretaget som en PCR-test, jf. stk. 3, eller en antigentest, jf. stk. 4, og hvor offentlige og private behandlingssteder, regionsråd, kommunalbestyrelser samt offentlige og private skoler og uddannelsesinstitutioner forestår eller foretager testen og er omfattet af anmeldepligten til Statens Serum Institut, jf. bekendtgørelse om anmeldelse af covid-19. Ved en PCR-test forstås en polymerase chain reaction-test. Ved en antigentest forstås en test, der på kort tid viser, om der er immunkemisk påvisning af virusproteiner (antigener). Et vaccinationsforløb mod covid-19 anses for påbegyndt mindst 14 dage og højst 42 dage efter den første dosis. Kræver et vaccinationsforløb mod covid-19 to doser, anses det primære vaccinationsforløb for gennemført umiddelbart efter den afsluttende dosis. Kræver et vaccinationsforløb mod covid-19 alene én dosis, anses det for gennemført 14 dage efter denne ene dosis. Ved revaccination forstås en anden eller tredje dosis efter et gennemført primært vaccinationsforløb, jf. stk. 6. Behandling herunder sletning af personoplysninger Statens Serum Institut er dataansvarlig for den behandling af personoplysninger, der er omfattet af denne bekendtgørelse. Statens Serum Institut udarbejder forud for denne behandling af personoplysninger en konsekvensanalyse i overensstemmelse med artikel 35 i Europa-Parlamentets og Rådets forordning nr. 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesforordningen) og implementerer i forlængelse heraf foranstaltninger for at imødegå de identificerede risici. Statens Serum Institut og eventuelle databehandlere, der på instituttets vegne varetager driften af løsningen kan, når det nødvendigt med henblik at formidle oplysninger som nævnt i § 1, stk. 1, træffe afgørelser omfattet af artikel 22 i Europa-Parlamentets og Rådets forordning nr. 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesforordningen) over for alle brugere af løsningen, herunder unge mellem 15 og 18 år, der har installeret løsningen. Lagring af og adgang til oplysninger på brugerens telefon er efter artikel 5, stk. 3 i Europa-Parlamentets og Rådets direktiv nr. 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation), betinget af, at brugeren har afgivet samtykke i overensstemmelse med artikel 4, nr. 11, og artikel 7, jf. artikel 94-95, i Europa-Parlamentets og Rådets forordning nr. 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesforordningen), efter at have modtaget fyldestgørende information om lagringen af oplysninger på brugerens terminaludstyr. Øvrig behandling af personoplysninger, der foretages i forbindelse med drift og anvendelse af løsningen, er reguleret af denne bekendtgørelse. Der lagres følgende oplysninger på den telefon eller mobile enhed, som den enkelte bruger har installeret løsningen på: AccessToken: Kortlevende adgangsbillet, der kan veksles til et ID-token, og som angiver brugerens identitet og cpr-nummer. NemID token: Et token fra NemId, der repræsenterer brugerens identitet via en PID. RefreshToken: Langlevende token, der kan veksles til et AccessToken. Denne gemmes på brugerens mobile enhed, indtil den udløber, men slettes først, når brugeren åbner løsningen. Coronapas: En række signerede tokens, der indeholder information om brugerens test- og vaccinestatus. Offentlig nøgle. JobID: Et unikt ID, der modtages fra webservicen, såfremt data ikke er klar til at blive hentet, samt fra NAS (National Adviserings Service), når data efterfølgende bliver klar til at blive hentet fra webservicen. Dette sendes til løsningen, således at denne kan spørge, om data er klar. Denne slettes senest efter 24 timer, når brugeren åbner løsningen næste gang. Oplysninger, der er lagret på den telefon eller mobile enhed, som den enkelte bruger har installeret løsningen på, slettes på følgende måde: Når brugeren sletter løsningen fra enheden, eller trækker sit samtykke som nævnt i stk. 1 tilbage. Ved indrullering på tredje device. Når brugeren logger ud. Hvis brugeren har glemt sin pinkode og derfor logger ud. Efter at brugeren logger ind næste gang, efter at refresh token, som nævnt i stk. 2, nr. 3, er udløbet. Følgende kategorier af personoplysninger behandles i løsningen: Navn og fødselsdato. CPR-nummer. Oplysninger om gyldighed som nævnt i § 3, stk. 1. Oplysninger om gennemført vaccination, herunder oplysninger om vaccinelægemiddel, vaccineproducent, dato for vaccination, målsygdom, medlemsstat, hvor vaccinen er givet m.v. Oplysninger om udført test, herunder oplysninger om testtype, testresultat, testnavn, testproducent, målsygdom, dato og klokkeslæt for prøveudtagning, testcenter eller –facilitet, medlemsstat, hvor testen er taget m.v. Oplysninger om restitution, herunder oplysninger om sygdom, som brugeren er kommet sig over, dato for første positive testresultat, medlemsstat, hvor testen er taget m.v. Statens Serum Institut og eventuelle databehandlere, der på instituttets vegne varetager driften af løsningen, behandler de i stk. 1 nævnte oplysninger i løsningen, når det nødvendigt med henblik på at varetage de formål, der er omfattet af denne bekendtgørelse, jf. § 1, stk. 1-3, og når det er påkrævet af driftstekniske grunde eller følger af Statens Serum Instituts forpligtelser som dataansvarlig. Ikrafttræden Bekendtgørelsen træder i kraft den 16. januar 2022. Bekendtgørelsen ophæves den 31. marts 2022. Bekendtgørelse nr. 2130 af 25. november 2021 om behandling af personoplysninger i den digitale løsning Coronapas ophæves.