sou · H3B339 · 2015-04-08 00:00:00 — Genom det ändrade beslutet kan en personuppgift, som tidigare ansetts riktig, nu anses felaktig. En felaktig personuppgift har alltså behandlats, vilket beroende på om- ständigheterna kan ha ställt till med både ekonomisk skada och lidande för den enskilde. Myndigheten kan då i egenskap av per- sonuppgiftsansvarig bli skadeståndsskyldig för att den, som det sedermera visat sig, har behandlat en felaktig personuppgift (se t.ex. JK:s beslut , dnr 8156-09-40). Sammanfattningsvis kan det konstateras att det, vid sidan av vad som sägs i 9 § PuL, finns regler som ställer krav på vilken kvalitet som personuppgifter ska hålla som behandlas i myndigheters och domstolars beslut. Det finns också ett förvaltningsrättsligt och processrättsligt regelverk som i princip uttömmande reglerar i vilken utsträckning ett beslut av en myndighet eller domstol kan ändras. Detta regelverk har utformats med avseende på att både ta hänsyn till parters intresse av att kunna få beslut ändrade och in- tresset av att man ska kunna utgå från att ett beslut, varigenom ett ärende eller mål har avgjorts, står fast och inte utan vidare kan ändras. Det finns också inom ramen för den ordning som beskrivits ovan möjlighet att få prövat om utformningen av ett avgörande från en myndighet eller domstol inte uppfyller de krav som ställs. Det är vidare möjligt att göra anspråk på rätt till skadestånd. Enligt vår uppfattning saknas det mot denna bakgrund ett behov av att i den nya lagen tillhandahålla ytterligare en möjlighet för den registrerade att föra talan om att ett beslut av en myndighet eller en domstol inte har utformats på ett sätt som motsvarar de krav som gäller för beslutsfattandet. Vi anser också att det från prin- cipiella utgångspunkter framstår som tveksamt att tillhandahålla en sådan rätt vid sidan av den ordning som finns att tillgå genom andra regelverk, vilka har funnits och har sin grund i de allmänna rättsgrundsatser som bär upp de förvaltningsrättsliga och processrättsliga regelverken. Ett sådant ställningstagande är enligt vår uppfattning väl förenligt med de möjligheter till undantag från skyldigheterna i artikel 12 b i dataskyddsdirektivet som föreskrivs i artikel 13.1 beträffande skyddet för andras fri- och rättigheter. Det- samma gäller undantagen i förslaget i uppgiftsskyddsförordningen från skyldigheten att radera, jfr artikel 17.3 d. Skyldighet att vidta åtgärder då personuppgifter är oriktiga eller behandlas otillåtet Rätten att begära korrigering i form av avskiljande från fortsatt behandling och hinder mot spridning eller genom utplåning av en personuppgift ska alltså inte gälla uppgifter i en myndighets beslut. Däremot har den registrerade rätt att enligt den bestämmelse om rättelse som vi föreslagit ovan begära att ett beslut rättas om det innehåller en personuppgift som är felaktig eller ofullständig. Skyldighet att underrätta tredje man Vi har ovan redovisat vår uppfattning att det inte behöver införas någon särskild skyldighet att underrätta tredje man om att en rätt- else skett i pågående ärenden eller mål, eftersom det är tillräckligt med den skyldighet att kommunicera som redan åligger myndig- heter och domstolar. När det gäller skyldigheten att korrigera en otillåten behandling, som enligt vårt förslag enbart gäller behand- lingar som inte har samband med utformning av ett beslut, gör vi samma bedömning. När en personuppgift avskiljs från fortsatt behandling eller undantagsvis utplånas bedömer vi alltså att det är tillräckligt med en myndighets skyldighet att kommunicera som redan finns enligt andra regelverk för att uppfylla direktivets krav i detta hänseende. 16Anmälan till tillsynsmyndigheten m.m. Direktivet bygger på huvudregeln att all helt eller delvis automati- serad behandling av personuppgifter ska anmälas till tillsynsmyndig- heter, artikel 18.1. Denna huvudregel om anmälningsplikt måste medlemsstaterna föreskriva. I punkten 48 i ingressen till direktivet anges att anmälningsförfarandet är avsett att göra behandlingens ändamål och viktigaste egenskaper allmänt kända för att säkerställa att behandlingen sker i enlighet med de nationella åtgärder som vid- tas för att genomföra direktivet. Medlemsstaterna ska, enligt artikel 19.1, precisera vilka uppgifter som anmälan ska innehålla, dock ska den innehålla åtminstone föl- jande uppgifter. a)Den registeransvariges eller dennes eventuella företrädares namn och adress. b)Ändamålen med behandlingen. c)En beskrivning av den eller de kategorier av registrerade som be- rörs och av de uppgifter eller kategorier av uppgifter som hänför sig till berörda registrerade. d)Mottagarna eller de kategorier av mottagare till vilka uppgifter- na kan komma att lämnas ut. e)Föreslagna överföringar av uppgifter till tredjeland. Anmälan till tillsynsmyndigheten m.m f)En allmän beskrivning som gör det möjligt att preliminärt bedöma lämpligheten av vidtagna säkerhetsåtgärder enligt artikel 17. Medlemsstaterna ska vidare, enligt artikel 21.2, föreskriva att tillsyns- myndigheten ska föra ett allmänt tillgängligt register över anmälda behandlingar. Registret ska åtminstone innehålla de uppgifter som anges i artikel 19.1 a–e och vara allmänt tillgängligt. Anmälningsplikten enligt artikel 18.1 är en huvudregel som med- lemsstaterna inom vissa gränser får föreskriva undantag från. Möjliga undantag anges i artikel 18.2–4. Alternativt kan medlemsstaterna meddela föreskrifter om ett förenklat anmälningsförfarande. Av intresse för myndigheters behandlingar av personuppgifter är till en början artikel 18.2 som anger två undantagsmöjligheter. Den första gäller de typer av behandlingar i samband med vilka det med hänsyn till de behandlade uppgifterna inte är sannolikt att de registrerades fri- och rättigheter kränks. För att undantag ska få göras krävs dock att det för dessa typer av behandling anges behand- lingens ändamål, vilka uppgifter eller kategorier av uppgifter som be- handlas, vilka registrerade eller kategorier av registrerade som avses, till vilka mottagare eller kategorier av mottagare uppgifterna lämnas ut och hur länge uppgifterna ska bevaras. Den andra möjligheten till undantag gäller när den registeransva- rige, i enlighet med den nationella lagstiftning som gäller för honom eller henne, har utsett ett uppgiftsskyddsombud. Uppgiftsskydds- ombudet ska ha till uppgift att dels på ett oberoende sätt säkerställa den interna tillämpningen av de nationella bestämmelser som har an- tagits till följd av direktivet, dels föra ett register över de behand- lingar som utförs av den registeransvarige. Registret ska innehålla de obligatoriska uppgifter som en anmälan skulle ha innehållit med undantag för beskrivning av de säkerhetsåtgärder som har vidtagits, dvs. registret ska innehålla de uppgifter som anges i artikel 19.1 a–e. Uppgiftsskyddsombudet ska på detta sätt säkerställa att de registre- rades fri- och rättigheter sannolikt inte kommer att kränkas som en följd av behandlingarna. Ombudet ska vidare rådfråga tillsynsmyn- digheten i tveksamma fall rörande huruvida det krävs en förhands- Anmälan till tillsynsmyndigheten m.m kontroll av särskilt riskfyllda behandlingar (artikel 20.2). I punkt 49 i ingressen betonas att den person som utses till uppgiftsskydds- ombud måste – vare sig han eller hon är anställd av den register- ansvarige eller inte – ha möjlighet att utöva sin verksamhet på ett fullständigt oberoende sätt. I artikel 18.3 ges en tredje möjlighet för medlemsstaterna att före- skriva undantag, nämligen för behandling i författningsreglerade register vars enda syfte är att förse allmänheten med information och som är tillgängliga antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse. Enligt artikel 20 måste vissa särskilt riskfyllda behandlingar anmälas och kontrolleras innan de påbörjas. Till skillnad från den ordinarie anmälningsskyldigheten enligt artikel 18.1 ska alltså tillsynsmyndig- heten göra en kontroll i det särskilda fallet. Det är dock medlems- staterna som ska bestämma vilka behandlingar som kan innebära särskilda risker för den registrerades fri- och rättigheter och därför kräver förhandskontroll (artikel 20.1). I punkt 53 i ingressen anförs att vissa typer av behandling på grund av sin natur, sin omfattning eller sitt ändamål kan innebära särskilda risker för att de registrerades fri- och rättigheter kränks. Som exempel anges behandling som har till ändamål att utesluta den berörde från möjligheten att utöva en rättighet, ta emot en förmån eller ingå ett avtal och sådan behand- ling som innebär användning av ny teknik. Förhandskontroller ska utföras av tillsynsmyndigheten efter anmälan (artikel 20.2). Kon- trollen kan alternativt ske som ett led i det nationella parlamentets förberedande arbete med en åtgärd eller som ett led i arbetet med en åtgärd som grundas på en sådan lagstiftande åtgärd som definierar behandlingens art och anger lämpliga skyddsåtgärder (artikel 20.3). Från bestämmelserna i artikel 20 om förhandskontroll föreskrivs inga särskilda undantag. Anmälan till tillsynsmyndigheten m.m Även för de fall där medlemsstaterna utnyttjat möjligheten att före- skriva om undantag från huvudregeln om anmälningsplikt, har medlemsstaterna ett fortsatt ansvar för att se till att behandlingarna görs offentligt tillgängliga. Den som vill ska kunna få uppgifter om en behandling även om den inte har anmälts till tillsynsmyndig- heten. Detta följer av artikel 21.1 och 3. Medlemsstaterna får dock föreskriva att detta inte ska gälla för sådana författningsreglerade register som undantagits från anmälningsplikt enligt artikel 18.3. Härutöver gäller att medlemsstaterna får föreskriva begräns- ningar i kraven i artikel 21 på behandlingars offentlighet med stöd av artikel 13.1, dvs. då en begränsning är en nödvändig åtgärd med hänsyn till något av de skäl som anges i punkt a–g, t.ex. med hän- visning till skyddet av den registrerades eller andras fri- och rättig- heter. Begränsningar kan alltså komma i fråga för såväl tillsynsmyn- dighetens register över anmälda behandlingar som registeransvarigas ansvar att tillhandahålla allmänheten information. Dataskyddsdirektivets bestämmelser om anmälan till tillsynsmyn- digheten m.m. har genomförts i genom 36–42 §§ PuL och kompletterande bestämmelser i personuppgiftsförordningen samt Datainspektionens föreskrifter. I personuppgiftslagens förarbeten uttalades att det på grund av artikel 18.1 i direktivet var nödvändigt att föreskriva att alla automatiserade behandlingar ska anmälas till tillsynsmyndigheten. Dock ansågs att tillsynsmyndighetens verksam- het, dvs. Datainspektionens, borde koncentreras till att ge råd och sprida kunskap om de materiella reglerna och att utöva tillsyn över att reglerna följs. Det var därför viktigt att fullt ut utnyttja de möj- ligheter till undantag från anmälningsskyldigheten som direktivet medger. På det sättet borde anmälningsskyldigheten kunna begränsas till ett minimum (prop. 1997/98:44 s. 98). Anmälan till tillsynsmyndigheten m.m Huvudregeln om anmälningsskyldighet för helt eller delvis automa- tiserad behandling slås fast i 36 § första stycket PuL. Anmälan till tillsynsmyndigheten ska göras av den personuppgiftsansvarige innan behandlingen eller en serie av sådana behandlingar med samma ända- mål genomförs. gör ingen prövning av behand- lingens lagenlighet eller liknande med anledning av en anmälan utan för in uppgifter om behandlingen i ett automatiserat register över anmälda personuppgiftsbehandlingar som inspektionen för enligt 7 § PuF. Vidare ska personuppgiftsansvariga som utser eller ent- ledigar ett personuppgiftsombud anmäla detta till tillsynsmyndig- heten (36 § andra stycket PuL). Genom 16 § 6 PuF har Datainspektionen bemyndigats att med- dela föreskrifter om vad en anmälan ska innehålla. Enligt 6 § 2013:1 ska anmälan innehålla motsvarande uppgifter som anges i artikel 19.1 i direktivet. Ändringar av något förhållande ska också anmälas. Från huvudregeln om anmälningsskyldighet finns flera undantag. Enligt 36 § tredje stycket PuL får regeringen, eller den myndig- het som regeringen bestämmer, meddela föreskrifter om undantag från anmälningsskyldigheten enligt första stycket för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten (jfr artikel 18.2 första streck- satsen). Så har skett genom 3–5 §§ PuF samt 3–5 §§ 2013:1 (se även 6 § PuF med bemyndigande för Datainspektionen att med- dela undantag för behandlingar som avses i 36 § tredje stycket PuL). Enligt dessa gäller följande undantag från anmälningsskyldigheten såvitt är av intresse . • Behandling av personuppgifter som utförs till följd av en myndig- hets skyldighet enligt 2 kap. TF att lämna ut allmän handling (3 § 1 PuF). •Behandling av personuppgifter som till följd av arkivlagen (1990:782) eller arkivförordningen (1991:446) utförs av arkiv- myndighet (3 § 2 PuF). Anmälan till tillsynsmyndigheten m.m •Behandling av personuppgifter som regleras genom särskilda föreskrifter i lag eller förordning i andra fall än enligt 2 kap. TF eller arkivlagstiftningen (3 § 3 PuF). •Behandling av personuppgifter i löpande text eller sådant ostrukturerat material som avses i 5 a § PuL (4 § PuF). •Behandling av personuppgifter som sker efter samtycke från den registrerade (4 § 2013:1). •Behandling av personuppgifter som har samlats in från den re- gistrerade om behandlingen är nödvändig för att uppfylla bestämmelser i lag eller förordning under villkor att den personuppgiftsansvarige själv för en förteckning över behand- lingarna med de uppgifter som annars skulle ha anmälts (5 § d 2013:1). •Behandling av personuppgifter som får behandlas på hälso- och sjukvårdsområdet enligt 18 § PuL (känsliga personuppgifter) under villkor att den personuppgiftsansvarige själv för en för- teckning över behandlingarna med de uppgifter som annars skulle ha anmälts (5 § e 2013:1). Ett ytterligare undantag från anmälningsskyldigheten anges i 37 § PuL. Enligt den bestämmelsen behöver en anmälan enligt 36 § första stycket inte göras om den personuppgiftsansvarige har anmält till tillsynsmyndigheten att ett personuppgiftsombud utsetts och vem det är (jfr artikel 18.2 andra strecksatsen). Detta i praktiken bety- delsefulla undantag är, till skillnad från sådana undantag som avses i 36 § tredje stycket, inte villkorat av att det ska handla om en behand- lingstyp som sannolikt inte leder till otillbörligt intrång i den per- sonliga integriteten. Systemet med personuppgiftsombud är frivilligt för myndigheter liksom för andra personuppgiftsansvariga. I 3 § PuL definieras personuppgiftsombud som den fysiska person som, efter förordnande av den personuppgiftsansvarige, självständigt ska se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Med självständighetsrekvisitet avses detsamma som anges i direktivet om att ombudet ”på ett oberoende sätt” ska kunna säkra Anmälan till tillsynsmyndigheten m.m den interna tillämpningen. Är ombudet anställd hos den person- uppgiftsansvarige, får han eller hon inte ha en alltför underordnad ställning (prop. 1997/98:44 s. 140). Den personuppgiftsansvarige kan också anlita någon utanför den egna organisationen att vara per- sonuppgiftsombud. Denne anses då inte vara tredje man i person- uppgiftslagens mening (3 § PuL). Det finns inget som hindrar att den personuppgiftsansvarige utser flera personuppgiftsombud eller att flera personuppgiftsansvariga utser en och samma person till personuppgiftsombud (a. prop. s. 139). Datainspektionen framhåller i sin informationsbroschyr om personuppgiftsombud att det, för det fall det finns flera ombud, är bra om man beskriver ombudens inbördes arbetsfördelning och roller. Om den personuppgiftsansva- rige utser ett ombud utanför sin egen organisation är det vidare lämpligt att ett avtal upprättas mellan den personuppgiftsansvarige och ombudet. Av avtalet bör framgå vilket uppdrag ombudet har och vilka arbetsuppgifter denne ska utföra. Personuppgiftsombudets uppgifter anges i 38–40 §§ PuL. Enligt 38 § första stycket ska personuppgiftsombudet självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed. Personuppgifts- ombudet ska också påpeka eventuella brister för den personuppgifts- ansvarige. Har personuppgiftsombudet anledning att misstänka att den personuppgiftsansvarige bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och vidtas inte rättelse så snart det kan ske efter påpekande, ska personuppgiftsombudet anmäla för- hållandet till tillsynsmyndigheten (38 § andra stycket). Personupp- giftsombudet ska även i övrigt samråda med tillsynsmyndigheten vid tveksamhet om hur de bestämmelser som gäller för behandlingen av personuppgifter ska tillämpas (tredje stycket). I 39 § PuL föreskrivs att personuppgiftsombudet ska föra en förteckning över de behandlingar som den personuppgiftsansvarige genomför och som skulle ha omfattats av anmälningsskyldighet om ombudet inte hade funnits. Förteckningen ska omfatta åtminstone de uppgifter som en anmälan enligt 36 § skulle ha innehållit (se 6 § 2013:1). Enligt 40 § PuL ska personuppgiftsombudet hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. Anmälan till tillsynsmyndigheten m.m har ingen motsvarighet i direktivet utan är en inhemsk reglering med rötter datalag. Enligt 8 § fjärde stycket datalagen (1973:289) skulle en registeransvarig utse en eller flera personer som skulle bistå de registrerade vid misstanke om oriktig eller missvisande per- sonuppgift. Sådana uppgifter skulle, enligt första stycket samma paragraf, under vissa förutsättningar rättas, ändras eller uteslutas. Enligt bestämmelsen i datalagen var det också denne person som skulle lämna underrättelse om vidtagen rättelse m.m. till en tidigare mottagare av personuppgiften i fråga, om den registrerade begärde det eller om det förelåg risk för otillbörligt intrång i personlig inte- gritet. I 41 § PuL bemyndigas regeringen att meddela föreskrifter om att sådana behandlingar av personuppgifter som innebär särskilda risker för otillbörligt intrång i den personliga integriteten ska för förhands- kontroll anmälas till tillsynsmyndigheten enligt 36 § i förväg. Om regeringen har meddelat sådana föreskrifter, gäller inte undantaget från anmälningsskyldigheten enligt 37 §. Det innebär att anmälan för förhandskontroll måste göras även om den personupp- giftsansvarige har ett personuppgiftsombud. Paragrafen har införts mot bakgrund av artikel 20.1 i direktivet (prop. 1997/98:44 s. 141). Det finns numera inga gällande allmänna bestämmelser som före- skriver en sådan förhandskontroll som avses i 41 § PuL. upphävdes dåvarande 10 § PuF som föreskrev anmälningsplikt och förhandskontroll för personuppgifter om genetiska anlag som framkommit efter genetisk undersökning. Sådan personuppgifts- behandling förekommer hos myndigheter som bedriver hälso- och sjukvård eller medicinsk forskning. Däremot finns en särbestämmel- se om att behandling hos rörande personuppgifter om brottsmisstankar ska anmälas för förhandskontroll (2 § förordning- en [1999:105] om behandling av personuppgifter vid medverkan i brottsutredningar). Enligt kan sådan förhandskontroll som avses i artikel 20 i direktivet av särskilt känsliga personuppgiftsbehand- lingar sägas ske i samband med att registerförfattningar tas fram och beslutas av riksdag eller regering (SOU 1997:37 s. 427). Anmälan till tillsynsmyndigheten m.m Upplysningar till allmänheten om behandlingar som inte anmälts I 42 § PuL finns bestämmelser om upplysningar till allmänheten om behandlingar som inte anmälts till tillsynsmyndigheten. Den per- sonuppgiftsansvarige ska till var och en som begär det skyndsamt och på lämpligt sätt lämna upplysningar om sådana automatiserade eller andra behandlingar av personuppgifter som inte har anmälts till tillsynsmyndigheten. Upplysningarna ska omfatta det som en an- mälan enligt 36 § första stycket skulle ha omfattat. Den person- uppgiftsansvarige är dock inte skyldig att lämna ut sekretessbelagda uppgifter eller uppgifter om vilka säkerhetsåtgärder som har vidtagits. Paragrafen är avsedd att ha samma innebörd som artikel 21.3 första stycket i direktivet (prop. 1997/98:44 s. 142). På samma sätt som enligt direktivet omfattar bestämmelsen inte bara helt eller delvis automatiserad behandling utan även behandling i register. Det finns inget krav på att upplysningar ska lämnas skriftligen. I för- arbetena angavs att bestämmelserna i 42 § PuL förmodligen skulle leda till att de personuppgiftsansvariga upprättar och håller aktuell någon form av förteckning över aktuella behandlingar (a. prop. s. 100). Som framgått ovan har vidare ett av undantagen från anmälnings- skyldigheten enligt 36 § första stycket för viss behandling gjorts beroende av att den personuppgiftsansvarige själv för en förteckning med de uppgifter som annars skulle ha anmälts (5 § d 2013:1). En myndighets beslut om upplysningar enligt 42 § PuL är över- klagbart enligt 52 § PuL då ett sådant beslut ansetts direkt beröra den enskilde (prop. 2005/06:173 s. 51 f.). Se vidare angående frågor om överklagande avsnitt 18.3. Bestämmelserna i 42 § PuL om upplysningar till allmänheten på begäran från en enskild behöver inte tillämpas i fråga om behand- ling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter. Detta följer av den s.k. missbruksregeln i 5 a § PUL. Enligt för- arbetena till missbruksregeln kan skyldigheten att på begäran lämna upplysningar till allmänheten om behandlingar inte anses bidra till integritetsskyddet i någon nämnvärd omfattning eller ha en sådan praktisk betydelse för de registrerade att det uppväger besväret för den personuppgiftsansvarige att lämna upplysningarna. Anmälan till tillsynsmyndigheten m.m beträffande 42 § PUL för personuppgifter i ostrukturerat material ansågs därför vara motiverat (prop. 2005/06:173 s. 40). I förslaget till uppgiftsskyddsförordning finns en hel del nyheter och förändringar i förhållande till dataskyddsdirektivet såvitt avser anmälningsskyldighet m.m. Bland annat slopas huvudregeln om anmälningsskyldighet till tillsynsmyndigheten. I stället ska person- uppgiftsansvariga bevara dokumentation om behandlingar samt göra konsekvensbedömningar av planerade behandlingar som medför särskilda risker. I vissa fall krävs dock förhandstillstånd från eller samråd med tillsynsmyndigheten. Vidare införs krav på att ett uppgiftsskyddsombud utses i vissa fall samt en tydligare reglering av dennes uppgifter och ställning. Det ska observeras att den före- slagna regleringen delvis är tämligen omfattande och redogörelsen nedan är inte heltäckande. Det ska också observeras att Europaparla- mentets ändringsförslag i lagstiftningsresolutionen av behandlas i anslutning till redogörelsen under respektive underrubrik. Enligt artikel 28 ska registeransvariga och registerförare bevara doku- mentation om all behandling som de ansvarar för. Dokumentationen ska innehålla i princip motsvarande uppgifter som en anmälan till tillsynsmyndigheten enligt direktivet ska innehålla (artikel 19.1 i direktivet). Dessutom ska dokumentationen innehålla bl.a. kontakt- uppgifter till eventuella registerförare, gemensamma registeransvariga eller uppgiftsskyddsombudet. En allmän anvisning om tidsfristerna för radering av de olika kategorierna av uppgifter ska också finnas liksom en beskrivning av de rutiner som avses i artikel 22.3, dvs. rutiner som införts för kontrollen av om antagna policyer och åt- gärder för säkerställandet m.m. av att personuppgiftsbehandlingen utförs i enlighet med förordningen är verkningsfulla.