sou · GLB3101 · 1998-01-01 00:00:00 — lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behand- las. Åtgärderna skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av a)de tekniska möjligheter som finns, b)vad det skulle kosta att genomföra åtgärderna, c)de särskilda risker som finns med behandlingen av personuppgifterna och d)hur pass känsliga de behandlade personuppgifterna är. får enligt 32 § besluta om vilka skyddsåtgärder som den persondata- ansvarige skall vidta. beslut kan förenas med vite (47 § persondatalagen). Överväganden: behandlar en stor mängd personuppgifter, i betydande delar av känslig karaktär. Kraven på skydd för uppgifterna måste därför ställas högt. Personliga kort med tillhörande koder för varje befattningshavare, som ger åtkomst endast till de uppgifter som han eller hon får behandla och logg-in system där användaren kan spåras, jämte skydd mot intrång utifrån genom kryptering vid överföring av uppgifter mellan regionkontoren, är exempel på sådana åtgärder som framstår som absolut nödvändiga. Den kunskap som krävs för att avgöra vad som är en rimlig skyddsnivå med hänsyn till befintlig teknik och kostnader finns hos Datainspektionen. Den lösning som anvisas i förslaget till persondatalag är därför enligt vår uppfattning den lämpligaste också när det gäller verksamhet. Härtill kommer att den snabba tekniska utvecklingen medför att det framstår som olämpligt att i lag eller förordning binda vid en viss metod. Vi föreslår sålunda inga avvikelser från persondatalagen i denna del. Vi har vid detta ställningstagande förutsatt att Datainspektionen utnyttjar sina möjligheter och ger säkerhets- föreskrifter för behandling av personuppgifter om totalförsvarspliktiga. 11.5 Information till den registrerade och rättelse av felaktigt behandlade uppgifter Bedömning: Den föreslagna persondatalagens bestämmelser om den persondataansvariges informationsplikt är tillräckliga. Några ytterligare föreskrifter för behandling av personuppgifter om totalförsvarspliktiga behövs inte i detta avseende. Förslag: Persondatalagens bestämmelser om den persondataansvariges skyldighet att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter och att underrätta tredje man till vilken uppgifterna har lämnats ut om sådana åtgärder, skall gälla även då person- uppgifter behandlats i strid med lagen om behandling av personuppgifter om totalförsvar- spliktiga eller föreskrifter som utfärdats med stöd av den lagen. Bakgrund: Bestämmelser om vilken information den registrerade har rätt till då person- uppgifter beträffande honom eller henne behandlas ges i 2327 §§ i förslaget till persondata- lag. När uppgifter om en person samlas in från denne själv skall den persondataansvarige alltid självmant lämna information om behandlingen. Om personuppgifter samlas in från någon annan skall information lämnas när uppgifterna antecknas eller om uppgifterna är avsedda att lämnas ut till tredje man när de lämnas ut . Om uppgifterna har samlats in från annan än den registrerade behöver dock inte information lämnas om det finns bestäm- melser om registrerandet eller om utlämnandet av uppgifterna i en lag eller någon annan för- fattning. Information behöver inte heller lämnas om det visar sig omöjligt eller skulle innebära en oproportionerligt stor ansträngning för den persondataansvarige. I de sist nämnda fallen skall information i stället lämnas senast i samband med att uppgifterna används för att vidta åtgärder beträffande den registrerade.Den information som skall lämnas till den registrerade är enligt 25 § persondatalagen a) uppgift om den persondataansvariges identitet, b)uppgift om ändamålen med behandlingen och c)all övrig information som behövs för att den registrerade skall kunna ta tillvara sina rättig- heter, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Den persondataansvarige är vidare skyldig att efter skriftlig ansökan lämna information, gratis en gång per kalenderår, om huruvida personuppgifter som rör sökanden behandlas eller Behandlas uppgifter om honom eller henne skall information också lämnas om a)vilka uppgifter som behandlas b)varifrån dessa uppgifter hämtats c)ändamålen med behandlingen och d)till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Regeringen eller myndighet som regeringen bestämmer (Datainspektionen) får enligt 51 § persondatalagen meddela närmare föreskrifter om vilken information som skall lämnas till den registrerade och hur detta skall gå till. Bestämmelser om sekretess gäller före persondatalagens föreskrifter om informations- skyldighet och kan hindra att uppgifter lämnas ut till den registrerade (27 § persondatalagen). Enligt 28 § persondatalagen är den persondataansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med lagen eller föreskrifter som utfärdats med stöd av den. (Blockering = varje åtgärd som kan vidtas för att personuppgifterna i alla sammanhang skall vara förknippade med tydlig information om att de är spärrade och om anledningen till spärren och för att personuppgifte- rna inte skall lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen se 3 § persondatalagen) Den persondataansvarige skall vidare, under vissa förutsättningar, också underrätta dem till vilka uppgifterna har lämnats ut om åtgärden. Överväganden: För del innebär reglerna om information till den registrerade bl.a. att sådan självmant skall lämnas vid mönstringen och vid motsvarande utredningar, där den totalförsvarspliktige själv lämnar uppgifterna till . Det torde inte vara förenat med några större svårigheter eller orimliga ansträngningar att t.ex. ordna det så att den mönstrande inför mönstringsförrättningen får den i förslaget till persondatalag föreskrivna informationen. Det torde inte vara tillräckligt att information lämnas först i samband med beslutet om inskrivning, dvs. efter det att uppgifterna samlats in och redan behandlats till viss del. Det kan vara lämpligt att Datainspektionen ger närmare föreskrifter om hur skall uppfylla sin informationsskyldighet. Information om behandling av personuppgifter som hämtat från annan myn- dighet eller annat organ behöver inte ges till den registrerade om det framgår av lag eller förordning att dessa uppgifter skall lämnas ut till . Detta undantag från informations- skyldigheten följer av 24 § andra stycket i förslaget till persondatalag, som i sin tur grundar sig på artikel 11 p. 2 i EG-direktivet, där det också anges att medlemsstaterna skall föreskriva lämpliga skyddsåtgärder, bl.a. när denna undantagsregel är tillämplig. har uttalat (, avsnitt 12.7.2.4) att när det finns bestämmelser om registrering eller utlämnande i en författning, torde det också finnas mekanismer eller föreskrifter som förhindrar missbruk och som får anses vara tillräckliga för att uppfylla direktivets krav på lämpliga skyddsåtgärder. Enligt vår bedömning innebär de föreskrifter som finns om utläm- nande av uppgifter till , tillsammans med vad som följer av vårt förslag om de ändamål för vilka dessa uppgifter får behandlas, ett tillräckligt skydd mot missbruk. Sammantaget anser vi att det saknas skäl att göra undantag, vare sig genom utvidgning eller genom inskränkning, från den informationsskyldighet gentemot den registrerade som föreskrivs i persondatalagen. Reglerna i persondatalagen om rätt för den registrerade att få personuppgifter rättade, blockerade eller utplånade gäller enligt 28 § endast uppgifter som inte behandlats i enlighet med persondatalagen eller föreskrifter som meddelats med stöd av den lagen. Uppgifter som behandlats i strid mot föreskrifter i särskilda registerförfattningar omfattas sålunda inte om inte behandlingen också strider mot persondatalagen eller mot föreskrifter som meddelats med stöd av denna. Enligt vår uppfattning saknas skäl till att göra någon skillnad härvidlag. Den registrerade bör ha samma möjlighet att få personuppgifter rättade eller korrigerade på annat sätt om behandlingen strider mot bestämmelserna i en särskild registerförfattning som i andra fall. För att detta skall uppnås krävs, att det i lagen om behandling av personuppgifter om totalförsvarspliktiga tas in en bestämmelse om att persondatalagens regler i denna del gäller även då uppgifterna har behandlats i strid med förstnämnda lag eller föreskrifter som utfärdats med stöd av den lagen. Det skall anmärkas att den persondataansvarige torde ha rätt att välja lämplig korrigerings- metod (, avsnitt 12.8.2.3). Enligt Datalagskommitténs tolkning av EG- direktivet bör den persondataansvarige också kunna välja andra åtgärder för att läka brott mot vissa föreskrifter (, avsnitt 12.8.2.1). Har personuppgifter behandlats utan att en nödvändig anmälan till tillsynsmyndigheten gjorts (se nedan, avsnitt 11.7.1), bör den persondataansvarige kunna undvika rättelse, utplånande eller blockering av uppgif- terna genom att skyndsamt lämna in en anmälan. På motsvarande sätt bör man, enligt , kunna resonera när personuppgifter har behandlats i strid med de bestämmelser som finns om en lämplig säkerhetsnivå vid behandlingen eller om den information om behand- lingen som skall lämnas till den registrerade. Det bör i sammanhanget uppmärksammas att den persondataansvarige har ett eget ansvar enligt persondatalagen (9 § första stycket h), att tillse att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana uppgifter som är felaktiga, missvisande eller ofullständiga med hänsyn till ändamålen med behandlingen. 11.6 Ansvaret för behandlingen Förslag: skall vara persondataansvarigt för de behandlingar av personuppgifter om totalförsvarspliktiga som verket utför. skall inte ansvara för behandling som annan utför innan mottagit uppgifterna eller sedan uppgifterna lämnats ut. Bakgrund: Persondataansvarig är enligt den definition som ges i förslaget till persondata- lag den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandling av personuppgifter (3 §). Av definitionen följer att fler än en person kan vara an- svarig för en behandlingsåtgärd. Skyldighet för den persondataansvarige att se till (9 § första stycket): a)att personuppgifter bara behandlas när det är lagligt, särskilt att samtycke inhämtas när så krävs, b)att personuppgifter alltid behandlas på ett korrekt sätt, c)att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ända- d)att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, e)att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, f)att inte flera personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen, g)att de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella, h)att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga, missvisande eller ofullständiga med hänsyn till ändamålen med behandlingen, och i)att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. 2.Den persondataansvarige skall lämna information till den registrerade om behandlingen (2327 §§). (Se ovan, avsnitt 11.5.) 3.Den persondataansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter som inte behandlats i enlighet med persondatalagen (28 §). (Se ovan, avsnitt 11.5.) 4.Den persondataansvarige skall vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas (31 §). (Se ovan, avsnitt 11.4.) 5.Den persondataansvarige skall enligt huvudregeln anmäla all automatisk behandling av personuppgifter till Datainspektionen (36 §). (Se nedan, avsnitt 11.7.1.) 6.Den persondataansvarige skall ersätta den registrerade för den skada en lagstridig behand- ling av personuppgifter fört med sig (43 §). (Se nedan, avsnitt 15.1.) Enligt (, avsnitt 12.2.6) bör huvudregeln vara att en- dast fysiska personer, juridiska personer, utländska filialer eller myndigheter i skall kunna betraktas som persondataansvariga, inte några andra organ som saknar rättskapacitet. Den persondataansvarige kan anlita någon som utför behandlingen av personuppgifter för hans eller hennes räkning. Denne är då att betrakta som persondatabiträde (3 § persondata- lagen). I dessa situationer skall det, enligt 30 § andra stycket persondatalagen, upprättas ett skriftligt avtal om persondatabiträdets behandling av personuppgifter för den persondataansvari- ges räkning. I avtalet skall det särskilt föreskrivas att persondatabiträdet får behandla personupp- gifterna bara i enlighet med instruktioner från den persondataansvarige och att persondata- biträdet är skyldigt att vidta de skyddsåtgärder som följer av persondatalagen (se ovan, avsnitt 11.4). En persondataansvarig som anlitar ett persondatabiträde skall förvissa sig om att biträ- det kan genomföra de säkerhetsåtgärder som måste vidtas och också se till att denne verkligen vidtar åtgärderna (31 § persondatalagen). Överväganden: Ändamålen med behandling av personuppgifter bestäms en- ligt vårt förslag i en särskild lag om behandling av personuppgifter om totalförsvarspliktiga. I de fall behandling av personuppgifter inom viss verksamhet regleras i en särskild författning, bör också den persondataansvarige pekas ut där. Definitionen i förslaget till persondatalag av vem som är ansvarig den som bestämmer ändamålen och medlen kan annars leda tanken fel. EG-direktivet tillåter att den persondataansvarige anges i en nationell författning när ända- mål och medel för behandling av personuppgifter också bestäms på det sättet (artikel 2 d). Vid behandling av personuppgifter i verksamhet är det självklart som skall bära persondataansvaret. Någon annan som kan fullgöra de skyldigheter som följer med detta ansvar finns inte. Ansvaret kan emellertid endast omfatta egen behand- ling av personuppgifter. De myndigheter och andra som lämnar uppgifter till an- svarar för behandlingen till dess att uppgiften är överlämnad. På samma sätt är de organ inom totalförsvaret som erhåller uppgifter från ansvariga för sin behandling från det att de tagit emot uppgiften. I lagen bör därför anges att är persondataansvarigt för den behandling av personuppgifter om totalförsvarspliktigasom verket utför. skall alltså inte anses ansvarigt för sådan behandling av personuppgifterna som utförs av någon annan. Vare sig de som lämnar uppgifter till eller de som får uppgifter därifrån intar ställ- ning som uppdragstagare (persondatabiträden) till . Det är inte som fastställer ändamål och medel för dessa myndigheters och andra organs behandling av uppgif- terna. Vi får i avsnitt 12.3 anledning att ta upp frågan om vissa organ skall ges möjlighet att lämna personuppgifter till genom att lägga in dem direkt i register över totalförsvarspliktiga. Den som förfar på detta sätt har självfallet ett ansvar för att uppgiften är korrekt. När uppgiften är införd i registret behandlar uppgiften genom att lagra den och har då också i enlighet med den bestämmelse vi föreslagit ett persondata- ansvar vid den behandlingen. Detta förefaller rimligt eftersom har de praktiska möjligheterna att korrigera uppgiften, bevaka att den inte bevaras längre än nödvändigt, lämna information till den registrerade på begäran m.m. ansvar i denna situation fråntar emellertid inte uppgiftslämnaren dennes ansvar. Denne har alltjämt en skyldighet att t.ex. skydda uppgifterna vid behandlingen vid sin egen terminal, vidta åtgärder för att rätta dem om det framkommer att de är felaktiga m.m. Detta behöver emellertid inte uttryckas särskilt i lag- texten. Bestämmelsen om att bär persondataansvaret för sina behandlingsåtgärder, syftar till att klarlägga att ingen annan ansvarar för vad gör med uppgifterna och att en registrerad alltid skall kunna vända sig till för att få information och för att få felaktigheter rättade m.m., såvitt avser uppgifter som behandlar. Bestämmelsen utesluter emellertid inte att annan bär ett ansvar för sin behandling av samma uppgift. 11.7 Anmälan och tillsyn Förslag: behandling av personuppgifter om totalförsvarspliktiga skall vara under- kastad tillsyn. Datainspektionen får dock inte förbjuda att be- handla personuppgifter om totalförsvarspliktiga. 11.7.1 Anmälan till Datainspektionen Bakgrund: Införandet av EG-direktivet i svensk rätt innebär bl.a. att nuvarande system med obligatoriska licenser och tillstånd för ADB-baserade personregister ersätts med en ordning där behandling av personuppgifter inte kräver annat än en anmälan till Datainspektionen. Den persondataansvarige måste givetvis följa de föreskrifter om behandling av personuppgifter som ges i lagar och förordningar samt av Datainspektionen, men något formellt tillstånd för verksamheten behövs inte. EG-direktivet föreskriver skyldighet för den persondataansvarige att före genomförandet av en behandling, eller en serie behandlingar, som helt eller delvis företas på automatisk väg och som har samma eller flera närbesläktade ändamål underrätta tillsynsmyndigheten, dvs. för svenskt vidkommande Datainspektionen (artikel 18). Direktivet ger dock medlemssta- terna vissa möjligheter att föreskriva undantag från anmälningsplikten. , som i sitt betänkande argumenterar för att skyldigheten att anmäla behandlingar till Datain- spektionen skall begränsas till ett minimum (, avsnitt 12.12), ger i sitt för- slag till persondatalag stort utrymme för sådana undantag. om anmälningsskyldighet återfinns i 3642 §§. Här föreskrivs som huvudregel att behand- ling av personuppgifter som är helt eller delvis automatisk skall anmälas skriftligen till tillsyns- myndigheten (fortsättningsvis Datainspektionen). Icke automatisk behandling av person- uppgifter skall inte anmälas. Den persondataansvarige kan undgå anmälningsskyldighet även för automatiska behandlingar om han utser ett persondataombud och offentliggör vem det är. Persondataombudet skall se till att den persondataansvarige behandlar personuppgifter på ett korrekt och lagligt sätt och påpeka eventuella brister för denne. Har persondataombudet an- ledning att misstänka att den persondataansvarige bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och vidtas inte rättelse så snart det kan ske efter påpekande, skall persondataombudet anmäla förhållandet till Datainspektionen. Persondataombudet skall även i övrigt samråda med Datainspektionen vid tveksamhet om hur de bestämmelser som gäller för behandlingen av personuppgifter skall tillämpas samt hjälpa registrerade personer att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. Regeringen eller Datainspektionen (efter regeringens bemyndigande) får föreskriva ytterli- gare undantag från anmälningsskyldigheten, bl.a. för sådana typer av behandlingar som san- nolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten. anger som exempel på vad som bör kunna undantas från anmälningsskyldighet genom föreskrifter som meddelas med stöd av denna bestämmelse sådana behandlingar som endast omfattas av Datainspektionens generella föreskrifter eller föreskrifter om ett för- enklat ansökningsförfarande (, avsnitt 12.12.2.3). I de fall anmälan till Datainspektionen skall ske, ankommer det enligt 51 § f persondata- lagen på regeringen eller myndighet som regeringen bestämmer (Datainspektionen) att med- dela närmare föreskrifter om anmälan och om förfarandet när anmälda uppgifter ändras. Enligt EG-direktivet (artikel 19) skall en anmälan till en tillsynsmyndighet åtminstone innehålla a)den persondataansvariges (registeransvariges) och dennes eventuella företrädares namn och adress, b)ändamålen med behandlingen, c)en beskrivning av den eller de kategorier av registrerade som berörs och de uppgifter eller kategorier av uppgifter som hänför sig till dem, d)mottagarna eller de kategorier av mottagare till vilka uppgifterna kan komma att lämnas ut, e)föreslagna överföringar av uppgifter till tredje land, f)en allmän beskrivning som gör det möjligt att preliminärt bedöma lämpligheten av de åtgär- der som vidtagits för att trygga säkerheten i behandlingen. Överväganden: Att behandlingen av personuppgifter om totalförsvarspliktiga, enligt vårt förslag, regleras i en särskild lag kan användas som ett argument för att skall befrias från skyldigheten att anmäla automatiska behandlingar till Datainspektionen. I denna lag regleras behandlingen av personuppgifterna relativt noggrant och eftersom verksamheten inte omfattas av EG-direktivet finns det möjlighet att föreskriva undantag från anmälnings- skyldigheten oavsett hur bestämmelserna i persondatalagen tolkas. En anmälan av behandlingsåtgärder till Datainspektionen kan tjäna det syftet att vissa uppgifter om verksam- heten, som inte framgår av lagen om behandling av personuppgifter om totalförsvarspliktiga, görs tillgängliga för såväl Datainspektionen som för allmänheten. Det gäller (enligt vad som följer av EG-direktivet om vad en anmälan skall innehålla) adressen till den persondataansvarige, uppgifter om kategorier av mottagare av personuppgifterna och en allmän beskrivning av de säkerhetsåtgärder som vidtagits. (Härutöver kan regeringen eller Datainspektionen utfärda generella föreskrifter om att en anmälan skall innehålla ytterligare uppgifter). intresse av information tillgodoses emellertid även om behandling undantas från anmälningsskyldighet. Enligt 42 § i förslaget till persondatalag skall nämligen den persondata- ansvarige, till var och en som begär det, skyndsamt och på lämpligt sätt lämna upplysningar om sådana automatiska eller andra behandlingar av personuppgifter som inte anmälts till Datainspektionen. Upplysningarna skall omfatta det som en anmälan annars skulle ha omfat- tat. Fördelarna med att lämnar in en anmälan till Datainspektionen synes därmed små. Ett sådant konstaterande utgör dock inte tillräckligt skäl för att persondatalagens huvud- regel om anmälningsskyldighet skall frångås. Förutom den fördelen att Datainspektionen utan anmaning därom får uppgifter om behandling av personuppgifter, torde en anmälningsskyldighet innebära ett incitament för att utse ett persondataombud. Om väljer att utse ett persondataombud bortfaller anmälningsskyldigheten, men persondataombudet skall föra en förteckning över de behandlingar som den persondataansvarige genomför och som skulle omfattats av anmälningsskyldighet om ombudet inte funnits. För- teckningen skall omfatta åtminstone de uppgifter som en anmälan skulle ha innehållit (39 § persondatalagen). Persondataombudet får i enlighet med vad som beskrivits ovan ställ- ning som länk mellan Datainspektionen och och även mellan och de registrerade, vilket framstår som ett lämpligt sätt att samla kompetens i frågor som rör Plikt- verkets behandling av personuppgifter om totalförsvarspliktiga. Enligt EG-direktivet skall ett persondataombud på ett oberoende sätt kunna kontrollera den persondataansvarige. Enligt (, avsnitt 12.12.2.4) kan persondataombudet vara anställd hos den persondataansvarige men får inte inneha en alltför underordnad ställning med hänsyn till de krav på självständighet som måste ställas. Det ankommer på att avgöra om persondataombud skall utses eller inte. En sådan ordning framstår emellertid som fördelaktig såväl för som för de registre- rade. 11.7.2 Datainspektionens tillsyn och befogenheter Bakgrund: Artikel 28 i EG-direktivet föreskriver att det skall finnas en eller flera nationella tillsynsmyndigheter som har till uppgift att inom varje medlemsstats territorium övervaka de bestämmelser som medlemsstaterna antar till följd av direktivet. Regeringen har genom beslut (Dnr.