sou · H3B339 · 2015-04-08 00:00:00 — Frånsett undantaget i 37 § PuL om att ut- seendet av ett personuppgiftsombud medför att anmälan enligt 36 § inte behöver göras, bygger bestämmelserna på bedömningen att undantagen avser sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörliga intrång i den personliga integri- teten eller att de registrerades fri och rättigheter kränks (jfr 36 § tredje stycket PuL och artikel 18.2 första strecksatsen i direktivet). Personuppgiftsbehandling är en integrerad del i myndigheternas utförande av sina författningsreglerade uppgifter och befogenheter. Rent generellt anser vi att det måste vara en utgångspunkt att myn- digheters behandling av personuppgifter normalt sett inte innebär kränkning av de registrerades fri- och rättigheter. Det är vidare vår bedömning att anmälningsskyldigheten i sig inte bidrar till ett för- bättrat integritetsskydd, i vart fall inte på myndigheternas område, utan snarare framstår som en tämligen udda företeelse i det sam- manhanget. Stora delar av personuppgiftsbehandlingen är särskilt reglerad genom uttryckliga bestämmelser om registrering, informa- tionsutbyte m.m. Detta gäller regelmässigt beträffande sådan behand- ling som är särskilt känslig från integritetssynpunkt. Även i anslut- ning till den nya lagen kommer det att finnas särbestämmelser som klargör vad som gäller på vissa specifika områden. Mot den bak- grunden anser vi att det är motiverat att generellt undanta all person- uppgiftsbehandling hos myndigheter från anmälningsskyldighet. Dataskyddsdirektivet kan emellertid förefalla kräva, för att undantag från anmälningsskyldighet ska kunna föreskrivas, att med- lemsstaterna i sin nationella lagstiftning också slår fast behandlings- typens ändamål, vilka uppgiftskategorier som behandlas och vilka kategorier registrerade som avses m.m. (artikel 18.2 första streck- Anmälan till tillsynsmyndigheten m.m Sådana preciserade bestämmelser kommer den nya lagen inte att innehålla. Vi menar dock att bestämmelsen i direktivet måste läsas i ljuset av det bakomliggande syftet med anmälningsförfaran- det. Av punkt 48 i ingressen framgår att meningen är att göra behandlingens syfte och viktigaste egenskaper allmänt kända, vilket i sin tur ska säkerställa att behandlingen sker i enlighet med person- dataskyddsregleringen. Det huvudsakliga syftet kan alltså antas vara att skapa offentlighet åt anmälda behandlingar. Det är t.ex. därför tillsynsmyndigheter ska föra ett allmänt tillgängligt register över an- mälda behandlingar (artikel 21.2 och 7 § PuF). Någon kontroll eller prövning av anmälda behandlingars laglighet eller liknande ska där- emot inte göras. Förutsatt att det i den nationella rätten finns garantier för att behandlingens syfte och viktigare egenskaper blir allmänt kända, är det alltså vår uppfattning att det inte strider mot direktivet att generellt undanta myndigheters behandling av personuppgifter från kravet på anmälningsskyldighet då utgångspunkten får anses vara att dessa behandlingar, normalt sett, inte medför kränkningar av de registrerades fri- och rättigheter. För att uppnå samma syfte som med anmälningsförfarandet, dvs. att göra information om behandlingarna offentligt tillgänglig, bör varje myndighet i stället åläggas att sammanställa information om sina personuppgiftsbehandlingar i en förteckning som regelbundet uppdateras. Utgångspunkten bör därmed vara att förteckningen ska innehålla i vart fall samma information som en anmälan till tillsyns- myndigheten skulle ha innehållit enligt artikel 19 i direktivet. Vidare bör information kunna lämnas om t.ex. personuppgiftsombudets kontaktuppgifter och myndigheters rätt att sälja personuppgifter. Vad gäller det sistnämnda har vi tidigare anfört att bestämmelsen i 4 kap. 2 § 7 OSL om att myndigheters information om allmänna handlingar ska innehålla uppgift om myndighetens rätt att försälja personuppgifter systematiskt sett skulle passa bättre i en reglering av myndigheters behandling av personuppgifter. Den nya lag vi före- slår omfattar emellertid inte samtliga statliga och kommunala myn- digheter. Redan av det skälet ser vi ingen anledning att föreslå en flytt av bestämmelsen från offentlighets- och sekretesslagen till den nya lagen. Det utesluter givetvis inte att en sådan förteckning som vi föreslår ändå innehåller motsvarande information. Anmälan till tillsynsmyndigheten m.m Närmare föreskrifter om förteckningens innehåll bör inte ges i lag utan i förordning eller genom myndighetsföreskrifter. Det är dock väsentligt att framhålla att skyldigheten att föra en förteckning inte är avsedd att medföra någon egentlig meradministration för myn- digheterna, vilket får beaktas i utformningen av föreskrifterna om vad förteckningarna ska innehålla. I det sammanhanget kan vidare konstateras att det i praktiken redan torde gälla att myndigheter måste ha något slags förteckning av de avsedda uppgifterna med tanke på vad som föreskrivs i 42 § PuL om upplysningar till allmän- heten om behandlingar som inte anmälts. Ansvaret för att det förs en korrekt förteckning över myndig- hetens personuppgiftsbehandlingar bör ligga hos myndigheten. Efter- som det enligt personuppgiftslagen är personuppgiftsombudet, inte den personuppgiftsansvariga myndigheten, som ska föra motsvaran- de förteckning kan, i vart fall hypotetiskt, annars den situationen tänkas uppstå att, om en myndighet har anlitat en extern uppdrags- tagare att vara personuppgiftsombud, förteckningen inte blir allmän handling hos myndigheten. Att myndigheten själv ansvarar för för- teckningen har vidare den fördelen att förteckningen, och arbetet med den, kan samordnas med de beskrivningar av myndighetens allmänna handlingar och arkiv som ändå ska finnas enligt offent- lighets- och sekretesslagen respektive arkivlagen. Det torde öka informationsvärdet för enskilda och underlätta rent arbetsmässigt för myndigheterna med ett samordnat framställande av dokumen- ten. En förteckning som myndigheten själv för kan vidare enkelt publiceras på myndighetens webbplats. Sammanfattningsvis anser vi alltså att myndigheters behandling av personuppgifter enligt den nya lagen inte ska omfattas av anmäl- ningsskyldighet till tillsynsmyndigheten. Vi föreslår i stället att det införs en bestämmelse av vilken det framgår att myndigheter åläggs att föra en förteckning över de behandlingar som utförs med stöd av lagen. Förteckningen avses innehålla motsvarande uppgifter som en anmälan till tillsynsmyndigheten enligt 36 § PuL skulle ha inne- hållit. Det kan emellertid för särskilda fall finnas behov av särreglering innebärande krav på förhandskontroll. Som kommer att framgå av det följande föreslår vi relativt generella bemyndiganden för rege- ringen – med möjlighet till vidaredelegation – att meddela före- skrifter i olika frågor, se avsnitt 18.2. Redan här kan därvid sägas att Anmälan till tillsynsmyndigheten m.m föreskrifter om förhandskontroll av behandlingar av särskilt inte- gritetskänsliga behandlingar ryms inom de föreslagna generella be- myndigandena. Någon hänvisning till 41 § PuL behövs därför inte. Förslag och bedömning: Det bör inte införas någon generell skyldighet för myndigheter att utse personuppgiftsombud. Med undantag för föreskrifterna om ett personuppgiftsombuds upp- gift att föra en särskild förteckning över myndighetens behand- lingar, ska personuppgiftslagens bestämmelser om personuppgifts- ombudets uppgifter gälla även enligt den nya lagen. Detta bör framgå genom hänvisningar till 38 och 40 §§ PuL. Personuppgiftsombudet fyller en viktig funktion för integritetsskyd- det vid behandling av personuppgifter. Dels bidrar ombudet genom den kontroll över myndighetens behandling som denne utför enligt 38 § PuL. Dels har ombudet en viktig roll gentemot den registre- rade som kan få hjälp av ombudet då det är aktuellt med rättelse, se 40 § PuL. Till detta kommer att personuppgiftsombudet har en vidare betydelse för att skapa ett allsidigt personuppgiftsskydd än vad som direkt framgår av de nämnda bestämmelserna. Ett personuppgifts- ombud kan antas få särskilda kunskaper om personuppgiftsfrågor och kan därför ge god service åt enskilda som behöver hjälp för att kunna ta tillvara sina rättigheter. Personuppgiftsombudet kan också bidra till kunskapsspridning inom den egna myndigheten och vara ett stöd för andra medarbetare (se Ds 2013:10 s. 162). Det ter sig naturligt att myndigheter som behandlar personupp- gifter i en inte obetydlig omfattning bör ha ett personuppgiftsom- bud. När myndigheter samarbetar i informationssystem som är gemensamma för flera myndigheter eller samarbetar för att tillhanda- hålla enskilda sammanhållna e-tjänster, kan det vidare finnas behov av ett personuppgiftsombud som kan se till helheten och hjälpa en- skilda registrerade i förhållande till samtliga inblandade myndigheter. Som vi ser det finns det inget hinder mot att myndigheter t.ex. i ett avgränsat e-förvaltningssamarbete ”delar” ett personuppgiftsombud med uppdraget koncentrerat till personuppgiftsbehandlingen rörande detta avgränsade samarbete. Anmälan till tillsynsmyndigheten m.m Detta skulle kunna tala för att det på myndighetsområdet inte borde vara frivilligt att utse ett personuppgiftsombud utan att huvud- regeln skulle vara ett krav på att så ska ske. finns det myndigheter vars storlek knappast motiverar ett krav av det slaget. Det finns också myndigheter som inte hanterar personuppgifter om enskilda annat än i ringa utsträckning eller där uppgifterna i vart fall inte är av integritetskänslig art. Även sådana myndigheter kommer att omfattas av den nya lagens tillämpningsområde. Det har i vårt arbete inte kommit fram några konkreta uppgifter om att den nuvarande frivilligheten i fråga om personuppgiftsombud med- för negativa konsekvenser för personuppgiftsskyddet eller i något annat avseende. Vi anser mot denna bakgrund att det inte är påkallat att införa ett generellt krav på att myndigheter ska ha ett eller flera personuppgiftsombud. Det hindrar naturligtvis inte att det på sär- skilda områden eller inom särskilda sektorer måhända kan visa sig vara påkallat att uppställa ett sådant krav. Enligt vår bedömning bör således den nuvarande möjligheten att utse personuppgiftsombud gälla även vid myndigheters behandling av personuppgifter enligt den nya lagen. Personuppgiftsombudets arbetsuppgifter och skyldigheter bör vara desamma som vad som gäller enligt personuppgiftslagen, dock med undantag för skyldig- heten att föra en förteckning. Att ombudet själv för en förteckning kan visserligen ofta vara befogat med hänsyn till ombudets upp- gifter. Vi ser dock ingen anledning att i lag slå fast en skyldighet för ett eventuellt personuppgiftsombud att föra en separat förteckning utöver den förteckning som vi ovan föreslagit att den personupp- giftsansvariga myndigheten ska ansvara för. Vad som ska gälla i här berörda avseenden bör framgå genom hänvisningar till 38 och 40 §§ PuL. Det föreslagna generella undantaget från anmälningsskyldigheten är inte är kopplat till frågan om det finns ett personuppgiftsombud eller inte. Det är därmed inte längre givet att utseende och entledi- gande av personuppgiftsombud ska anmälas till tillsynsmyndigheten (jfr 36 § andra stycket PuL). Visserligen är den nuvarande ordningen med anmälan till Datainspektionen av personuppgiftsombud till stor nytta för såväl ombuden som myndigheterna eftersom det etablerar en kontakt med inspektionen som personuppgiftsombudet har behov av i sitt uppdrag, t.ex. då det blir aktuellt att samråda vid tveksam- heter (38 § tredje stycket PuL). Anmälan till tillsynsmyndigheten m.m kurser och liknande för personuppgiftsombud vilka bjuds in genom riktade utskick. Även information distribueras direkt till anmälda personuppgiftsombud. Vi menar dock att detta inte motiverar att anmälningar ska vara ett lagkrav. De behov av kontakt som här nämnts torde kunna tillgodoses utan en sådan reglering. Bedömning: Det behövs inte någon särskild bestämmelse om att upplysningar om behandlingar ska ges till var och en som begär det. Rätten att med stöd av 2 kap. TF få ta del av den förteckning över personuppgiftsbehandlingar som varje personuppgiftsansva- rig myndighet ska upprätta tillgodoser dataskyddsdirektivets krav i detta hänseende. Som har framgått följer av artikel 21.3 i dataskyddsdirektivet att medlemsstaterna ska föreskriva att registeransvariga på lämpligt sätt tillhandahåller var och en som begär det information om upp- gifter som undantagits från anmälningsskyldighet. Informationen ska omfatta det som en anmälan till tillsynsmyndigheten skulle ha omfattat, dock inte allmänna uppgifter om säkerhetsåtgärder. Som vi ser det ger emellertid redan rätten att ta del av allmänna handlingar enligt 2 kap. TF i kombination med bestämmelserna om beskrivningar av allmänna handlingar i offentlighets- och sekretess- lagen samt arkivlagen goda förutsättningar för insyn i myndigheter- nas personuppgiftsbehandlingar. Till det kommer den förteckning över personuppgiftsbehandlingar som vi föreslår att varje myndig- het ska föra. Genom att den förteckningen blir allmän handling tillgodoses, menar vi, direktivets krav i detta hänseende. Vårt förslag om myndigheters skyldighet att upprätta en förteckning över sina personuppgiftsbehandlingar ska således ses som en sådan föreskrift som avses i artikel 21.3. Att själva utlämnandet till ”var och en” sker till följd av en grundlagsstadgad rättighet för enskilda kan knappast anses innebära att direktivets syfte inte uppnås. Vi föreslår därför inte någon hänvisning till 42 § PuL eller någon motsvarande bestämmelse om upplysningar till allmänheten. 17Tillsynsmyndighetens befogenheter i förhållande till myndigheter I artikel 28:1–7 dataskyddsdirektivet finns bestämmelser om tillsyns- myndighet som ska finnas i respektive medlemsstat. Nedan redogörs för de bestämmelser som har betydelse för tillsynen av myndig- heters behandling av personuppgifter. Enligt artikel 28.1 ska varje medlemsstat se till att det utses en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de bestämmelser som medlemsstaterna antar till följd av direktivet. Dessa myndigheter ska fullständigt obe- roende utöva de uppgifter som åläggs dem. I artikel 28.3 föreskrivs att varje tillsynsmyndighet ska ha under- sökningsbefogenheter. Som exempel på sådan befogenhet nämns att få tillgång till uppgifter som blir föremål för behandling och be- fogenhet att inhämta alla uppgifter som är nödvändiga för att sköta tillsynen. Myndigheten ska enligt samma artikel också ha effektiva befogen- heter att ingripa. Exempel på sådana befogenheter är enligt direk- tivet att kunna avge yttranden om behandlingar som bör kräva för- handskontroll enligt artikel 20, att kunna besluta om blockering, utplåning eller förstöring av uppgifter, att kunna besluta om tillfälligt eller slutligt förbud mot behandling, att kunna ge den register- ansvarige varning eller tillrättavisning eller att kunna hänvisa saken till nationella parlament eller till andra politiska institutioner. befogenheter i förhållande till myndigheter Vidare sägs i artikel 28:3 att sådana beslut av tillsynsmyndig- heten som går en part emot kan överklagas till domstol. I artikel 28.4 finns bestämmelser om var och ens rätt att hos till- synsmyndigheten begära dels skydd för sina personuppgifter, dels att en kontroll görs av om en behandling är tillåten. I båda fallen finns också en rätt att få besked om vilka följder en begäran har fått. Enligt artikel 28.6 har en nationell tillsynsmyndighet, oavsett vilken nationell lagstiftning som gäller för den aktuella behandlingen, behörighet att inom sin egen medlemsstats territorium utöva de be- fogenheter som i enlighet med punkt 3 åligger den. Varje myndighet kan av en myndighet i en annan medlemsstat anmodas att utöva sina befogenheter. Tillsynsmyndigheternas ledamöter och personal ska enligt arti- kel 28.7 ha tystnadsplikt med avseende på förtrolig information som de har tillgång till. Bestämmelserna i artikel 28.3 har genomförts i svensk lagstiftning genom 43 § PuL enligt vilken tillsynsmyndigheten har rätt att för sin tillsyn på begäran få a)tillgång till de personuppgifter som behandlas, b)upplysningar om och dokumentation av behandlingen av person- uppgifter och säkerheten vid denna, c)tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. I 44–47 §§ PuL finns bestämmelser som syftar till att genomföra direktivets krav i artikel 28.3 på att tillsynsmyndigheten ska ha effek- tiva befogenheter att ingripa. Enligt 44 § PuL får tillsynsmyndigheten vid vite förbjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än genom att lagra dem, om myndigheten inte efter en begäran enligt 43 § kan få tillräckligt underlag för att konstatera att behand- lingen av personuppgifter är laglig. befogenheter i förhållande till myndigheter Vidare följer av 45 § första stycket PuL att tillsynsmyndigheten genom påpekanden eller liknande förfaranden ska försöka åstad- komma rättelse, om myndigheten konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt. Går det inte att få rättelse på något annat sätt eller är saken brådskande får myndigheten vid vite förbjuda den personuppgiftsansvarige att fortsätta att behandla personuppgifterna på något annat sätt än genom att lagra dem. I andra stycket föreskrivs att myndigheten också har befogenhet att föreskriva vite om den personuppgifts- ansvarige inte frivilligt följer ett beslut om säkerhetsåtgärder enligt 32 § som vunnit laga kraft. I 46 § PuL föreskrivs som huvudregel att den personuppgifts- ansvarige ska ha fått tillfälle att yttra sig innan tillsynsmyndigheten beslutar om vite enligt 44 och 45 §§. Om saken är brådskande, får myndigheten dock i avvaktan på yttrandet meddela ett tillfälligt beslut om vite. Det tillfälliga beslutet ska omprövas, när yttrande- tiden har gått ut. Enligt 47 § PuL får tillsynsmyndigheten hos förvaltningsrätten inom vars domkrets tillsynsmyndigheten är belägen ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt ska utplånas. Av 51 § PuL följer att tillsynsmyndighetens beslut enligt denna lag om annat än föreskrifter får överklagas hos allmän förvaltnings- domstol. får bestämma att dess beslut ska gälla även om det överklagas. Enligt 2 § PuF, är Datainspektionen tillsynsmyndighet enligt personuppgiftslagen. Enligt 1 § förordningen (2007:975) med instruktion för Data- inspektionen är inspektionens uppgift att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter och för att god sed iakttas i kreditupplysnings- och inkassoverksamhet. Myndigheten ska särskilt inrikta sin verk- samhet på att informera om gällande regler samt ge råd och hjälp åt personuppgiftsombud enligt personuppgiftslagen. Vidare hänvisas i 2 § till att det i 2 § PuF finns bestämmelser om Datainspektionens uppgifter enligt personuppgiftslagen Av 32 kap. 1 § OSL följer att sekretess gäller hos Datainspek- tionen i ärende om tillstånd eller tillsyn som enligt lag eller annan författning ska handläggas av inspektionen för uppgift om enskilds befogenheter i förhållande till myndigheter personliga eller ekonomiska förhållanden, om det kan antas att den enskilde eller någon närstående till denne lider skada eller men om uppgiften röjs. Enligt 2 § gäller motsvarande sekretess hos Justitie- kanslern, om den myndigheten får en uppgift som är sekretessregle- rad enligt 1 §. Närmare om Datainspektionens befogenheter I förarbetena till bestämmelserna i personuppgiftslagen om tillsyns- myndighetens uppgifter och befogenheter anförde regeringen att föreskrifter i dessa ämnen kan i flera fall ges i förordning och att rege- ringen avsåg att senare meddela sådana (prop. 1997/98: 44 s. 101 f.). Förslaget i propositionen omfattade befogenheter som tillsynsmyn- digheten bör ha och som enligt regeringen måste eller bör meddelas i lag. Regeringen anförde vidare att syftet med myndighetens tillsyn och rättigheter i samband med den är ytterst att myndigheten ska kunna konstatera om den behandling av personuppgifter som utförs är laglig. Kan myndigheten inte på begäran få tillgång till ett till- räckligt underlag för att konstatera att en behandling är laglig, bör myndigheten kunna vid vite förbjuda den personuppgiftsansvarige att fortsätta behandla personuppgifter på annat sätt än genom att lagra dem. Den som obstruerar riskerar således att bli förbjuden att i fortsättningen behandla personuppgifter. Om tillsynsmyndigheten får reda på att personuppgifter behandlas på ett olagligt sätt, bör enligt regeringen myndigheten i första hand försöka att åstadkomma rättelse genom påpekanden eller liknande förfaranden. Myndigheten bör dock kunna vid vite förbjuda den personuppgiftsansvarige att fortsätta att behandla personuppgifter på annat sätt än genom att lagra dem, om det inte går att få rättelse på annat sätt. Om saken är brådskande, bör myndigheten genast kunna gripa in på detta sätt. När det gällde myndighetens föreslagna befogenhet att få fatta ett tillfälligt beslut om vite, dvs. innan den personuppgiftsansvarige hade fått yttra sig, anförde regeringen att denna möjlighet endast borde utnyttjas när saken är klar och så brådskande att yttrandet inte kan avvaktas. I fråga om myndighetens möjlighet att hos förvaltningsrätt ansöka om utplånade av personuppgifter låg det enligt regeringen i sakens natur att möjligheten endast borde användas i sådana fall då befogenheter i förhållande till myndigheter det inte genom andra åtgärder är möjligt att förena behandlingen av uppgifterna med de regler som gäller. I likhet med dataskyddsdirektivet innehåller kommissionens förslag till uppgiftsskyddsförordning ett krav på varje medlemsstat att utse en eller flera offentliga myndigheter som ska vara ansvariga för att övervaka tillämpningen av förordningen (artikel 46.1). Om det finns flera tillsynsmyndigheter ska medlemsstaten utse den tillsynsmyn- dighet som ska fungera som enda kontaktpunkt så att myndigheten i fråga kan effektivt delta i Europeiska dataskyddsstyrelsens arbete (artikel 46.2). I artikel 47.1 föreskrivs att tillsynsmyndigheten ska vara fullstän- digt oberoende i utövandet av det uppdrag och de befogenheter som den anförtrotts. Vidare ställs i artiklarna 47.2–42.7 ytterligare krav på medlemsstaterna som syftar till att säkerställa oberoendet hos tillsynsmyndighetens ledamöter och att myndigheten förfogar över egna resurser i form av bl.a. lokaler, personal och egen budget. Enligt artikel 48.1 ska varje medlemsstat fastställa att tillsynsmyn- dighetens ledamöter ska utses antingen av medlemsstatens parlament eller av dess regering. I artiklarna 48.2–48.5 finns bestämmelser om villkor som gäller för ledamöternas uppdrag. I artikel 49 finns regler för inrättandet av en tillsynsmyndighet, bl.a. att en sådan ska inrättas och att det ska fastställas vilka krav i fråga om kompetens, erfarenhet och sakkunskap som krävs för att utföra uppdraget som ledamot vid myndigheten. I likhet med dataskyddsdirektivet finns krav på att tillsynsmyn- dighetens ledamöter och personal ska omfattas av tystnadsplikt (artikel 50). Bestämmelser om tillsynsmyndighetens behörighet finns i arti- kel 51. Där sägs i 51.1 att varje myndighet ska inom sin medlems- stats territorium utöva de befogenheter som den tilldelas enligt för- ordningen. Enligt 51.2 ska i de fall en registeransvarig eller register- förare är etablerad i fler än en medlemsstat den tillsynsmyndighet, som är behörig på dess huvudsakliga verksamhetsställe, vara behörig att utöva tillsyn över all personuppgiftsbehandling som utförs av befogenheter i förhållande till myndigheter denne registeransvarige i alla medlemsstater. Vidare sägs i artikel 51.3 att tillsynsmyndigheten inte ska vara behörig att utöva tillsyn över domstolar som behandlar personuppgifter som en del av sin dömande verksamhet.