sou · H3B339 · 2015-04-08 00:00:00 — väcker frågor om hur myndigheterna kan skydda sin information från att användas av biträden samt dessas medarbetare, samarbets- partners eller underbiträden för egna syften som faller utanför biträdesuppdraget. Exempelvis har flera kommuners användning av molntjänster i skolan fått kritik av Datainspektionen för brister i avtalen med molntjänstleverantörer. De påtalade bristerna har t.ex. handlat om bristande instruktioner vad avser för vilka ändamål biträdet får behandla personuppgifter, dvs. inte för egna syften, och vad som ska gälla vid avtalets upphörande. En annan brist är att det inte ställts krav på information om vilka underbiträden som anlitas och var dessa är lokaliserade samt vilka behandlingar de utför. Visserligen kan överlämnandet av den faktiska personuppgifts- behandlingen till ett personuppgiftsbiträde ge ett jämförelsevis bättre skydd genom de kunskapsmässiga, tekniska och administrativa resurser samt kvalificerade infrastruktur som ett sådant biträde inte sällan förfogar över. Enligt vår uppfattning är det emellertid angeläget för förtroendet för myndigheternas infor- mationshantering att anlitandet av personuppgiftsbiträden sker på ett sätt som så långt möjligt eliminerar de risker som kan vara förknippade med att en myndighet avhänder sig den faktiska kon- trollen över personuppgifterna. De bestämmelser som finns i 30 § första stycket och 31 § andra stycket PuL syftar till att ge garantier för att överlämnandet av den faktiska personuppgiftsbehandlingen till ett biträde inte inkräktar på de krav i olika avseenden som personuppgiftslagens hanterings- regler och reglerna om den registrerades rättigheter uppställer. Enligt vår mening bör alltså motsvarande krav gälla även enligt den nya lagen. Detta innebär att den personuppgiftsansvariga myndig- hetens instruktioner till biträdet måste vara så utformade att det klargörs vad som ska gälla för biträdets hantering. Några närmare bestämmelser om vad instruktionerna ska innehålla ser vi inte något behov av. Förhållandena i det enskilda fallet är här styrande och varierar stort liksom detaljeringsnivån. Instruktioner kan t.ex. gälla hur tillgången till personuppgifter hos biträdets anställda ska mini- meras, huruvida och i så fall hur biträdet ska använda krypterings- metoder vid kommunikation osv. Däremot anser vi att det kravet borde ställas att en person- uppgiftsansvarig myndighets instruktioner till ett personuppgifts- biträde ska dokumenteras i parternas avtal. från bevis- och kontrollsynpunkt som ett krav på dokumenterade instruktioner skulle innebära, är det vår uppfattning att det skulle främja utformandet av tydliga och genomtänkta instruktioner som omfattar helheten i den behandling som biträdesavtalet avser. Inte minst det sistnämnda är av stor vikt från dataskyddssynpunkt. Vi före- slår därför att det införs ett krav på att avtalet ska innehålla doku- mentation av den personuppgiftsansvariga myndighetens instruk- tioner. Enligt vår uppfattning är det vidare inte tillfredsställande att det saknas ett uttryckligt krav på att en personuppgiftsansvarig myn- dighet måste förvissa sig om att ett personuppgiftsbiträde inte i sin tur överlämnar hela eller delar av personuppgiftsbehandlingen till någon annan utan att myndigheten först informerats, haft tillfälle att överväga frågan och sedan godkänt detta. Indirekt torde ett så- dant krav förvisso redan gälla. Att myndigheter i detta avseende bevarar kontrollen över vad som faktiskt sker med personupp- gifterna är emellertid av så fundamental betydelse för skyddet av personuppgifterna att det är befogat med ett klargörande i lag. Vi föreslår därför en sådan bestämmelse. För att skapa en samlad och tydlig reglering föreslår vi ingen hänvisning till bestämmelserna om personuppgiftsbiträden i 30 och 31 §§ PuL utan motsvarande regler angående anlitande av person- uppgiftsbiträden bör tas in som bestämmelser i den nya lagen. 10.2Säkerhet vid behandling av personuppgifter I dataskyddsdirektivet finns regler om sekretess (artikel 16) och säkerhet (artikel 17) vid behandling av personuppgifter. I artikel 16 föreskrivs att den som utför arbete under den register- ansvarige (personuppgiftsansvarige) eller registerföraren (person- uppgiftsbiträdet), liksom registerföraren själv, och som får tillgång till personuppgifter, får behandla dem endast enligt instruktion från den registeransvarige, om han inte är skyldig att göra det enligt lag. Genom artikel 17.1 åläggs medlemsstaterna att föreskriva att den registeransvarige ska genomföra lämpliga tekniska och organisa- toriska åtgärder för att skydda personuppgifter från förstöring genom olyckshändelse eller otillåtna handlingar eller förlust genom olyckshändelse samt mot ändringar, otillåten spridning av eller otillåten tillgång till uppgifterna, särskilt om behandlingen inne- fattar överföring av uppgifter i ett nätverk, och mot varje annat slag av otillåten behandling. Dessa åtgärder ska ”med beaktande av den nuvarande tekniska nivån och de kostnader som är förenade med åtgärdernas genomförande” åstadkomma en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen och arten av de uppgifter som ska skyddas. Enligt artikel 17.2 ska medlemsstaterna föreskriva att den register- ansvarige, som anlitar registerförare för att utföra behandling för dennes räkning, ska dels välja en registerförare som kan ge till- räckliga garantier vad gäller de tekniska säkerhetsåtgärder och de organisatoriska åtgärder som måste vidtas, dels se till att dessa åt- gärder genomförs. Som har framgått av avsnitt 10.1.2 uppställs också krav på att det träffas en bindande överenskommelse (artikel 17.3). Dataskyddsdirektivet innehåller inga regler om möjligheter att föreskriva om undantag från bestämmelserna i artiklarna 16 och 17. Artikel 16 och 17 i dataskyddsdirektivet har införlivats i genom 30 och 31 §§ PuL under rubriken vid behand- ling. Dessa bestämmelser är avsedda att ha samma innebörd som de nämnda artiklarna (prop. 1997/98:44 s. 136). Både 30 och 31 §§ gäller utan undantag vid all slags behandling som omfattas av per- sonuppgiftslagens tillämpningsområde. Varken 30 eller 31 § finns således med i uppräkningen i den s.k. missbruksregeln av sådana bestämmelser i personuppgiftslagen som inte behöver tillämpas vid behandling av personuppgifter i s.k. ostrukturerat material (5 a § PuL). Enligt 30 § första stycket får den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning behandla personuppgifter bara i enlighet med instruktioner från den person- uppgiftsansvarige. Varken av personuppgiftslagen eller av direktivet framgår emellertid hur utförliga instruktioner den personuppgifts- ansvarige måste lämna sina medhjälpare. fram- höll att den personuppgiftsansvarige i princip bär ansvaret för att instruktionerna är så tydliga att otillåten behandling inte kommer att utföras (SOU 1997:39 s. 408). Om det i lag eller annan författning finns särskilda bestäm- melser om behandling av personuppgifter i det allmännas verksam- het, ska dessa gälla i stället för den personuppgiftsansvariges instruktioner (30 § tredje stycket PuL). Enligt personuppgifts- lagens förarbeten avses särskilt bestämmelser om tystnadsplikt och sekretess (prop. 1997/98:44 s. 136). Enligt 31 § första stycket ska den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möj- ligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personupp- gifterna och hur pass känsliga de behandlade personuppgifterna är. I förarbetena sägs att paragrafen ska ha samma innebörd som arti- kel 17.1 och 17.2 i dataskyddsdirektivet (prop. 1997/98:44 s. 136). Vi har i avsnitt 10.1.1. redan behandlat kravet enligt 30 § andra stycket PuL på skriftligt avtal om ett personuppgiftsbiträdes be- handling av personuppgifter för den personuppgiftsansvariges räkning samt kravet i 31 § andra stycket på säkerhetsåtgärder hos personuppgiftsbiträdet m.m. Enligt 50 § PuL får regeringen eller den myndighet som rege- ringen bestämmer meddela närmare föreskrifter om vilka krav som ställs på den personuppgiftsansvarige vid behandling av person- uppgifter. Regeringen har i 16 § PuF bemyndigat Datainspektionen att meddela sådana föreskrifter. har det inte meddelats några föreskrifter rörande säkerhetsfrågor. Däremot har Datainspektionen publicerat allmänna råd om säkerhet för personuppgifter. I förslaget till en allmän uppgiftsskyddsförordning finns ett flertal nyheter i förhållande till dataskyddsdirektivet som har relevans för kraven på säkerhet vid personuppgiftsbehandling. De mera centrala nyheterna redovisas i det följande. I artikel 22 beskrivs detaljerat den registeransvariges ansvar för att följa förordningen bl.a. genom att anta interna policyer och åtgärder för att säkerställa att behandling utförs i enlighet med för- ordningen. I det ingår att förordningens krav på åtgärder för data- säkerhet ska genomföras. Kontroll av hur verkningsfulla åtgärderna är ska också göras. I artikel 23 fastställs den registeransvariges skyldigheter som följer av principerna om inbyggt uppgiftsskydd (data protection by design) och uppgiftsskydd som standard (data protection by default). Bland annat föreskrivs att de tekniska och organisatoriska åtgärderna ska vidtas både för fastställandet av be- handlingsmetoden och för själva behandlingen. Det ska finnas rutiner som säkerställer att personuppgifter i standard- fallet inte görs tillgängliga för ett obegränsat antal enskilda. När det gäller avtal med registerförare krävs enligt artikel 26 att avtalet, utöver vad som redan följer av dataskyddsdirektivet, ska innehålla föreskrifter om att registerföraren bara får anställa perso- nal som har åtagit sig att iaktta sekretess eller som omfattas av lag- stadgad sekretessförpliktelse. Vidare får registerföraren engagera en annan registerförare bara om den registeransvarige först har god- känt det. Genom artikel 30 åläggs den registeransvarige och registerföraren att vidta lämpliga åtgärder för säkerheten vid behandling. Bestäm- melserna motsvarar i princip artikel 17.1 och 2 i dataskyddsdirek- tivet. En nyhet i förhållande till direktivet är att även register- föraren får en direkt skyldighet att vidta åtgärder. Vidare anges att den registeransvarige och registerföraren först ska göra en bedöm- ning av riskerna varefter säkerhetsåtgärder ska vidtas för att skydda personuppgifterna. Kommissionen föreslås få befogenhet att anta delegerade akter enligt artikel 86 i syfte att närmare precisera kri- terierna och villkoren för de tekniska och organisatoriska åtgärder som avses i artikel 30, för specifika sektorer och i specifika situa- tioner vid behandlingen av personuppgifter, med särskild hänsyn till den tekniska utvecklingen och utvecklingen i fråga om lösningar för inbyggt integritetsskydd och uppgiftsskydd som standard. När så är nödvändigt får kommissionen även anta genomförandeakter för att specificera kraven för olika situationer. Enligt artikel 31 ska den personuppgiftsansvarige vara skyldig att utan dröjsmål anmäla ett inträffat ”personuppgiftsbrott” till tillsyns- myndigheten. Även berörda registrerade ska, under vissa förutsätt- ningar, informeras om ett inträffat sådant brott, se artikel 32. Med personuppgiftsbrott avses ett säkerhetsbrott som leder till för- störing, förlust eller ändringar genom olyckshändelse eller otillåtna handlingar eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på något annat sätt behandlats (artikel 4.9). I resolution med förslag till ändringar i förord- ningen föreslås ett tillägg i artikel 5 (Principer av behandling av personuppgifter) om att personuppgifter ska behandlas på ett sätt som medför ett skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse med hjälp av lämpliga tekniska eller organisatoriska åtgärder (integritet). Beträffande artikel 23 om inbyggt uppgiftsskydd och uppgifts- skydd som standard föreslås bl.a. att hela livscykeln i hanteringen av personuppgifter ska beaktas – från insamling och behandling till radering – med systematisk inriktning på omfattande rättssäker- hetsgarantier för korrekthet, konfidentialitet, integritet, fysisk säker- het och radering av personuppgifter. Om den registeransvarige har utfört en konsekvensbedömning avseende uppgiftsskydd enligt artikel 33, ska resultaten av bedömningen beaktas i utarbetandet av skyddet (se avsnitt 16.1 angående artikel 33). I fråga om artikel 30 – säkerhet i samband med behandling av personuppgifter – föreslås ett flertal tillägg som bl.a. innebär närmare preciseringar av säkerhetsåtgärder som ska vidtas i olika fall. För de artiklar som berörts ovan har parlamentet förordat – i lik- het med motsvarande ställningstagande på andra områden – att de bestämmelser som ger kommissionen befogenheter att anta delege- rade akter eller genomförandeakter ska utgå. Den föreslagna uppgiftsskyddsförordningen innehåller som synes ett flertal krav som innebär både nyheter och förtydliganden i för- hållande till vad som gäller enligt dataskyddsdirektivet och person- uppgiftslagen. I dataskyddsdirektivet är bestämmelserna om sekre- tess och säkerhet samlade i två artiklar, 16 och 17, som är mycket allmänt hållna vad avser vilken slags inriktning på tekniska eller organisatoriska åtgärder som behövs för att uppnå en lämplig säker- hetsnivå. I förordningen finns bestämmelser av betydelse för säker- heten uppdelade på ett större antal artiklar och de berör fler aspek- ter på skyddsbehovet än direktivet. De föreslagna bestämmelserna torde delvis innebära klargöran- den av vad som redan anses följa av direktivet men innebär trots allt en betydande ökning av mängden preciserade och ovill- korliga krav på säkerhetsåtgärder jämfört med vad som följer av direktivet. Regleringen i förordningen ställer också mycket tydliga krav på förberedande analyser, åtgärder och överenskommelser samt doku- mentation över detta jämfört med vad som gäller . En av de mera grundläggande skillnaderna i förhållande till direk- tivet är det medansvar för skyddet av personuppgifterna som läggs på ett personuppgiftsbiträde. I sammanhanget kan nämnas att per- sonuppgiftsbiträdets ansvar föreslås vara skadeståndssanktionerat till skillnad från vad som gäller enligt direktivet och personupp- giftslagen (artikel 77 i förordningen). 10.2.2Innebörden av kraven på säkerhetsåtgärder m.m. vid personuppgiftsbehandling Personuppgiftslagen innehåller alltså inga föreskrifter om vilka konkreta säkerhetsåtgärder som ska eller bör vidtas utan lagen ger en kortfattad och allmänt hållen uppräkning av de faktorer som ska beaktas av den personuppgiftsansvarige när en lämplig säkerhets- nivå ska utformas. Vid tolkningen av vad för slags åtgärder som krävs ger dock punkten 46 i ingressen till dataskyddsdirektivet viss vägledning. I denna punkt anges att skyddet för de registrerades fri- och rättigheter förutsätter såvitt avser behandling av person- uppgifter att lämpliga tekniska och organisatoriska åtgärder vidtas både när systemet för behandlingen utformas och när själva be- handlingen sker, särskilt för att garantera säkerheten och för att på så sätt hindra all otillåten behandling. Det måste alltså finnas säker- hetsåtgärder som är förebyggande. Det räcker inte att den person- uppgiftsansvarige vidtar reaktiva åtgärder för att ingripa mot pågå- ende behandling som inte uppfyller personuppgiftslagens säker- hetskrav. I förarbetena till personuppgiftslagen framhöll regeringen att de allmänt hållna reglerna på ett kortfattat och bra sätt beskriver de överväganden som måste göras i fråga om säkerhetsåtgärder. Sam- tidigt konstaterades att reglerna som regel inte ger tillräcklig väg- ledning för den personuppgiftsansvarige för att avgöra vilka säker- hetsåtgärder som bör vidtas i det enskilda fallet för att nå upp till en lämplig säkerhetsnivå och att avsikten därför var att regeringen eller den myndighet som regeringen bestämmer skulle meddela de närmare föreskrifter om säkerhetsåtgärder som behövs (prop. 1997/98:40 s. 92). Som framgått har några sådana föreskrifter dock inte meddelats. Datainspektionen har i stället valt att ge närmare väg- ledning genom allmänna råd. Datainspektionens beslut i tillsyns- ärenden som rör säkerhetsfrågor har också betydelse som vägled- ning för vilka specifika åtgärder som kan krävas i likartade fall. Datainspektionens allmänna råd Säkerhet för personuppgifter, som reviderades , riktar sig till alla som behandlar personuppgifter enligt personuppgiftslagen, alltså inte bara till myn- digheter. I de allmänna råden ges exempel på administrativa och tekniska säkerhetsåtgärder som kan vidtas. Till en början rekommenderas att verksamheter har en säker- hetspolicy, i vart fall om man hanterar personuppgifter som är känsliga eller avser en omfattande mängd. Policyn bör följas upp med kontroller av hur den följs. Arbetsrutiner m.m. i verksamheten bör utformas på sätt som underlättar att policyn följs av perso- nalen. Vidare rekommenderas att det görs risk- och sårbarhets- analyser för att bl.a. klarlägga vilken säkerhetsnivå som bör gälla för personuppgifterna och informationssystemen. nalen i säkerhetsfrågor och information om vikten av att följa kon- kreta säkerhetsrutiner lyfts också fram. När det gäller råd om mer konkreta säkerhetsåtgärder som kan behövas anges bl.a. fysisk säkerhet i fråga om it-utrustningen och rutiner för säkerhetskopiering av personuppgifterna. Vidare rekom- menderas system för tilldelning och kontroll av behörigheter för att förhindra obehörig användning eller åtkomst och för att kunna kontrollera användningen så att endast de som behöver uppgifter för sitt arbete får tillgång till åtkomstskyddade personuppgifter. Behandlingshistorik kan behövas i vissa fall beroende på känslig- heten i personuppgifterna. När det gäller kommunikation och överföring av personuppgifter via nät måste åtgärder vidtas för att skydda uppgifterna från obehörig åtkomst eller från att förstöras eller förvanskas. Ett sätt att göra detta är att uppgifterna krypteras. I inspektionens sammanfattning av de allmänna råden anges att den personuppgiftsansvariga bör tänka på följande åtgärder. –Sätta mätbara mål för säkerheten –Fastställa policy för säkerheten –Skapa en fungerande organisation för säkerheten –Skaffa den utrustning som behövs och använda den rätt –Upprätta regler och rutiner –Informera och utbilda kontinuerligt –Följa upp att regler och rutiner efterlevs och respekteras –Testa säkerheten regelbundet Underförstått ligger i de allmänna råden att de rekommenderade åtgärderna inte bara syftar till att åstadkomma ett skydd för person- uppgifterna externt, dvs. utanför den egna organisationen, utan även inom denna. I en stor mängd registerförfattningar saknas särskilda regler om säkerhet och internt integritetsskydd. I allmänhet gäller därför per- sonuppgiftslagens bestämmelser, antingen genom att det särskilt angetts att 30–32 §§ PuL ska vara tillämpliga även vid personupp- giftsbehandling enligt registerförfattningen i fråga eller därför att dessa bestämmelser ändå gäller när det handlar om en register- författning som enbart kompletterar personuppgiftslagen med de särbestämmelser som ansetts behövas. Det får antas att ett skäl till avsaknaden av särreglering torde vara att det normalt inte lämpar sig att i författning slå fast vilka tekniska och organisatoriska säkerhetsåtgärder m.m. som krävs för en god informationssäkerhet och internt integritetsskydd. Den tek- niska utvecklingen och övriga föränderliga förhållanden m.m. med- för krav på stor flexibilitet och en detaljeringsnivå som innebär klart begränsade möjligheter att på ett hållbart sätt författnings- reglera frågor av det slaget. Emellertid förekommer det i en del registerförfattningar bestäm- melser som i vissa hänseenden preciserar de allmänna kraven i personuppgiftslagen på att vidta lämpliga säkerhetsåtgärder till skydd för de personuppgifter som behandlas. Det handlar då främst om regler som syftar till att motverka sådana risker för otillbörliga integritetsintrång som kan bli konsekvensen av att stora mängder eller särskilt integritetskänsliga personuppgifter blir tillgängliga för många anställda som hanterar personuppgifter i sin dagliga verk- samhet inom en myndighet. Särskilda krav på behörighetsstyrning, spårbarhet och efterhandskontroll har t.ex. i detta syfte införts i vissa fall. Ett exempel på en bestämmelse som syftar till att begränsa tillgängligheten till personuppgifter är 2 kap. 11 § polisdatalagen (2010:361) där det föreskrivs att tillgången ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsupp- gifter. Bestämmelsen kompletteras med närmare föreskrifter i 3 och 4 §§ polisdataförordningen (2010:1155) om att det vid tilldel- ning av behörighet för åtkomst till personuppgifter särskilt ska beaktas att det utöver tjänstemannens arbetsrelaterade behov dessutom ställs krav på utbildning och erfarenhet. Vidare ges Polis- myndigheten och Säkerhetspolisen ett ansvar för att ha rutiner inom den egna myndigheten för tilldelning, förändring, borttag- ning och regelbunden uppföljning av behörigheter. Det ställs så- ledes krav på en aktiv behörighetsstyrning som är flexibel och anpass- ningsbar till den tekniska tillgång till personuppgifter som olika tjänstemän eller personalkategorier har behov av i sin aktuella be- fattning. Det förekommer inte bara bestämmelser om att behörighets- tilldelningen ska styras utan också krav på att den faktiska till- gången och användningen ska kontrolleras. Ett exempel är 4 kap. 3 § patientdatalagen som ålägger den personuppgiftsansvarige att dokumentera den interna åtkomsten i behandlingshistorik för att möjliggöra efterhandskontroll. Dessutom åläggs den personuppgifts- ansvarige att göra systematiska och återkommande kontroller av om någon obehörig kommit åt patientuppgifter. Samma krav gäller vid direktåtkomst till uppgifter vid sammanhållen journalföring över vårdgivargränser, 6 kap. 7 § patientdatalagen. Deltagande vård- givare ansvarar var för sig för behörighetstilldelning och åtkomst- kontroll avseende sin personal (prop. 2007/08:126 s. 148 f.). Enligt en särskild bestämmelse som riktar sig till var och en som arbetar inom hälso- och sjukvården får han eller hon ta del av dokumen- terade patientuppgifter bara om han eller hon deltar i vården av patienten eller av annat skäl behöver uppgifterna för sitt arbete inom hälso- och sjukvården, 4 kap. 1 § patientdatalagen. Bestäm- melsen är straffsanktionerad genom 4 kap. 9 c § BrB om dataintrång. När en myndighet har personuppgiftsansvaret även för andras användning av ett register förekommer det att den personuppgifts- ansvariga myndigheten bemyndigas meddela föreskrifter i frågor som rör informationssäkerhet. Av exempelvis 9 § lagen (2009:619) om djurskyddskontrollregister följer att kan med- dela föreskrifter rörande krav på säkerhetsåtgärder som ska gälla vid t.ex. länsstyrelsers direktåtkomst till registret. Det förekommer även bestämmelser som villkorar ett utläm- nande via direktåtkomst genom krav på att den utlämnande myn- digheten först försäkrar sig om att handläggare hos den mottag- ande myndigheten bara kan ta del av uppgifter om personer som är aktuella i ärenden hos myndigheten, se t.ex. 114 kap. 22 och 23 §§ SFB och 13 § studiestödsdataförordningen (2009:321). 10.2.4Informationssäkerhet i ett vidare perspektiv Myndigheters personuppgiftsansvar och det däri ingående ansvaret för att se till att lämpliga tekniska och organisatoriska säkerhets- åtgärder vidtas har ett nära samband med ansvaret för informa- tionssäkerheten i verksamheten.