sou · H3B339 · 2015-04-08 00:00:00 — De egentliga materiella förändringarna är som redan sagts begrän- sade och utgör i hög grad tydliggöranden av vad gällande rätt som vi ser det redan kräver av myndigheter när de behandlar person- uppgifter sedda i ljuset av andra krav på myndigheters informa- tionshantering som också ska följas. Så är t.ex. fallet, menar vi, med de föreslagna kraven på att myndigheters säkerhetsarbete ska vara processorienterat och omfatta såväl förebyggande som uppföljande åtgärder samt att det ska ske med beaktande av parallella krav på informationssäkerhetsarbete som myndigheterna också måste följa. Andra exempel är kraven på risk- och sårbarhetsanalyser och över- enskommelser vid direktåtkomst samt att anställdas tillgång till personuppgifter ska vara behovsanpassad. Den nya regleringen av korrigering av felaktiga personuppgifter respektive annars otillåten behandling hör också till denna kategori. I övrigt är de materiella förändringarna, tillsammans med att reg- leringen samlas i en generell lag, ägnade att skapa ett tydligare och mer enhetligt integritetsskydd inom den offentliga verksamheten. Det är alltså vår uppfattning att den samlade effekten bidrar till såväl ett förbättrat integritetsskydd hos myndigheterna som förut- sättningar för en bättre servicenivå gentemot medborgarna. Det är vår bedömning att våra förslag inte medför några för- ändringar i förutsättningarna för myndigheternas verksamhet som får sådana kostnadsmässiga konsekvenser som avses i 14 § kom- mittéförordningen och som inte ryms inom myndigheternas ordinarie budgetramar. Inte heller har förslagen några sådana konsekvenser som avses i 15 § eller ska redovisas enligt 15 a § kommittéförord- ningen. Förslag: Den nya lagen liksom lagen om ändring i offentlighets- och sekretesslagen ska träda i kraft . Om ett avtal om uppdrag som personuppgiftsbiträde har in- gåtts före ikraftträdandet gäller 30 § PuL för uppdraget i stället för de nya bestämmelserna från ikraftträdandet. I fråga om en begäran om korrigering av en felaktig person- uppgift eller en otillåten behandling ska 28 § PuL tillämpas i stället för de nya bestämmelserna om begäran har gjorts före ikraftträdandet. Den nya generella lagen för myndigheters behandling av person- uppgifter kommer från och med den tidpunkt då lagen träder i kraft att gälla fullt ut för de myndigheter som då behandlar personupp- gifter enbart med stöd av personuppgiftslagen. Dessa myndigheter kommer alltså härefter att behandla personuppgifter enbart med stöd av den nya lagen, utom i de fall lagen föreskriver att vissa bestäm- melser i personuppgiftslagen ska tillämpas på motsvarande sätt. De frågor som den nya lagen reglerar är väl bekanta för myndigheterna och har i flera avseenden motsvarigheter i personuppgiftslagen. Vad gäller vissa frågor behöver myndigheterna emellertid nödvändig tid för att förbereda sig för den nya lagen. För att möjliggöra nöd- vändig anpassning och därmed undvika omfattande och detaljerade övergångsbestämmelser föreslår vi att tidpunkten för ikraftträdandet läggs relativt långt fram i tiden. Vi bedömer därvid att från lagens beslutande till dess ikraftträdande ger myndigheterna en rimlig förberedelseperiod. Med den förutsättningen att beslutar lagen före sommaruppehållet 2016 bör lagen därför träda i kraft först . För de myndigheter som vid ikraftträdandet helt eller delvis be- handlar personuppgifter med stöd av en eller flera registerförfatt- ningar kommer den nya lagen inte att vara tillämplig i den register- författningsreglerade verksamheten. Det beror på att 4 § föreskriver att avvikande bestämmelser i annan lag än personuppgiftslagen eller förordning ska tillämpas i stället för den nya lagen. I den mån sådana registerförfattningar föreskriver att vissa bestämmelser i person- uppgiftslagen ska tillämpas vid behandling av personuppgifter enligt registerförfattningen i fråga, ska alltså personuppgiftslagen tillämpas också fortsättningsvis och inte den nya lagen. Detsamma gäller det mera vanliga fallet att registerförfattningen i fråga gäller utöver per- sonuppgiftslagen, vilket brukar anges i registerförfattningen. I vilken utsträckning sådana myndigheter som behandlar personuppgifter med stöd av en registerförfattning ska behandla person- uppgifter med stöd av den nya lagen beror på om regelverket för respektive myndighet anpassas till den nya lagen och förutsätter att registerförfattningen i fråga i så fall upphävs eller i vart fall ändras. Vissa registerförfattningar av den typ vi har kallat renodlade re- gisterförfattningar, som t.ex. reglerar ett visst specifikt register, inne- håller inte bestämmelser som hänvisar till personuppgiftslagen. I den mån en sådan författning inte reglerar frågor om exempelvis infor- mation till den registrerade, rättelse och tillsynsmyndighetens be- fogenheter, och inte heller bestämmelser i någon annan registerför- fattning är tillämpliga, gäller personuppgiftslagen. Sådana frågor kommer således efter den nya lagens ikraftträdande att omfattas av den nya lagens tillämpningsområde. Det kan konstateras att den nya lagen i stor utsträckning innebär en mer ändamålsenlig reglering av myndigheters behandling av person- uppgifter och i allmänhet inte begränsar myndigheters möjlighet att behandla personuppgifter i förhållande till personuppgiftslagen. Något generellt behov av att anpassa myndigheternas tekniska system till de förutsättningar som kommer att gälla enligt den nya lagen finns inte. Lagen är genomgående teknikneutral. Även den föreslagna be- stämmelsen som förbjuder att känsliga personuppgifter används som sökbegrepp syftar till att sätta upp rättsliga gränser för personupp- giftsbehandlingen. De åtgärder som eventuellt kan behöva vidtas från myndigheternas sida med anledning av den bestämmelsen hand- lar om praktiska anpassningar genom exempelvis åtkomstbegräns- ningar, som alltså inte behöver vara av tekniskt slag utan kan bestå i någon form av rättsliga hinder, och att eventuellt rensa vissa in- formationssamlingar från överflödig information. I några avseenden innehåller lagen bestämmelser som syftar till att förtydliga vad som ska gälla i jämförelse med reglerna i person- uppgiftslagen. Det gäller t.ex. bestämmelserna som rör direktåtkomst. I det sammanhanget föreslås en bestämmelse som klargör att direkt- åtkomst till sekretessreglerade personuppgifter som huvudregel kräver stöd i lag eller förordning. Det torde höra till undantagsfallen att en myndighet har medgett direktåtkomst till sekretessreglerade personuppgifter utan att det finns bestämmelser om sådan åtkomst i en tillämplig författning. I den mån sådan behandling genom oreg- lerad direktåtkomst förekommer, och som alltså i det enskilda fallet kan antas fylla ett angeläget verksamhetsbehov, torde det inte vara fråga om några mer omfattande sådana åtkomster och nödvändigt författningsstöd bör kunna ges i form av en bestämmelse i förord- ning. Behovet av anpassning kan därför tillgodoses inom förbere- delseperioden fram till lagens ikraftträdande. Även i andra fall kan myndigheterna antas behöva för att anpassa sig till den nya regleringen. Det gäller bl.a. kravet på att per- sonalens tillgång till personuppgifter ska vara behovsanpassad samt de skärpta förutsättningarna för att återge personnummer i beslut. Också i dessa avseenden finns enligt vår bedömning emellertid till- räckligt utrymme för att förbereda sig fram till det föreslagna ikraft- trädandet. De föranleder alltså inte något behov av någon ytterligare övergångsperiod. Den nya lagens uttryckliga krav på att det bl.a. ska göras en risk- och sårbarhetsanalys innan en myndighet medger direktåtkomst till personuppgifter eller ett integrerat informationssystem tas i bruk föranleder inte heller något behov av en ytterligare övergångsperiod. Detsamma kan sägas om skyldigheten att föra en förteckning över personuppgiftsbehandlingar. Den nya lagen innebär att undantagsbestämmelsen i 5 a § PuL om att vissa bestämmelser i lagen inte behöver tillämpas på person- uppgifter som ingår i ostrukturerade uppgiftssamlingar inte gäller för myndigheter. Som vårt förslag har utformats gör vi bedömningen att bestämmelsen inte i något fall behövs för att tillåta en behand- ling av personuppgifter (se avsnitt 8.3.2.). Någon övergångsperiod på grund av att 5 a § PuL inte längre ska gälla för myndigheter be- hövs därför inte. Enligt vår bedömning behövs särskilda övergångsbestämmelser endast för två fall. Det första fallet gäller de krav som enligt lagen ställs på en myndighet som anlitar ett personuppgiftsbiträde om vad ett skriftligt avtal om uppdrag som personuppgiftsbiträde ska innehålla. Den regleringen bör endast gälla för sådana avtal som ingås efter det att lagen har trätt i kraft. Det är dock enligt vår mening rimligt att omförhandling av långvariga uppdrag ska ha skett senast från lagens ikraftträdande. För ett avtal om uppdrag som personuppgiftsbiträde som redan har träffats vid lagens ikraftträdande bör alltså personuppgiftslagens bestämmelser gälla i stället fram till och med . Vidare bör i fråga om en begäran om korrigering av en felaktig eller otillåten behand- ling av personuppgifter som gjorts före ikraftträdandet 28 § PuL tillämpas i stället för 24 och 25 §§, eftersom bestämmelserna i den nya lagen innebär vissa begränsningar i den registrerades rätt i för- hållande till vad som gäller enligt personuppgiftslagen. 20.2Lagen om ändring i offentlighets- och sekretesslagen Den nya bestämmelsen som föreslås införas i 10 kap. 28 § OSL, som innebär att bestämmelser om direktåtkomst i lag eller förordning i sig är sekretessbrytande, bör träda i kraft som den nya lagen, dvs. Ändringen påverkar inte sekretessbrytande bestämmelser som redan meddelats för att möjlig- göra en viss direktåtkomst. Däremot innebär ändringen att det för framtida bestämmelser om tillåten direktåtkomst ställs krav på att bestämmelserna har en sådan konkretion att det går att läsa ut vilka personuppgifter som kan lämnas ut genom åtkomsten utan hinder av sekretess. Lagens syfte och tillämpningsområde 1 § Syftet med denna lag är att ge myndigheter möjligheter att be- handla personuppgifter på ett ändamålsenligt sätt i deras verksamheter och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. I paragrafen anges lagens övergripande syfte. Frågan behandlas i av- snitt 8.1.2. Syftet med lagen är tudelat. Lagen ska både ge myndigheter möjlig- heter att behandla personuppgifter på ett ändamålsenligt sätt och skydda människor mot att deras personliga integritet kränks vid så- dan behandling. Därmed tydliggörs bl.a. att personuppgiftsbehand- ling som kan anses utgöra intrång i enskildas personliga sfär alltid måste stå i rimlig proportion till samhällets behov. Paragrafen är en portalbestämmelse som i första hand har en informativ och pedago- gisk betydelse då den klargör den övergripande målsättningen med regleringen, vilken är att reglera informationshanteringen i förhål- lande till det behov av dataskydd som myndigheters personuppgifts- behandling påkallar. Paragrafen är även avsedd att kunna ge vägled- ning för hur materiella bestämmelser i lagen bör tolkas i tveksamma fall. 2 § Denna lag gäller vid myndigheters behandling av personuppgifter. Lagen gäller om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sam- manställning enligt särskilda kriterier. Paragrafen anger lagens tillämpningsområde. Frågan behandlas i av- snitt 8.2.1 (första stycket) och 8.2.4 (andra stycket). I första stycket anges att lagen gäller myndigheters behandling av personuppgifter. Med myndigheter avses detsamma som i regerings- formen, dvs. alla statliga och kommunala organ utom och de beslutande kommunala församlingarna. Det betyder att lagen som utgångspunkt omfattar regeringen, domstolarna och alla statliga eller kommunala förvaltningsmyndigheter (jfr 1 kap. 8 § RF). Kommu- nala bolag m.m. som avses i 2 kap. 3 § OSL omfattas inte. Tillämp- ningsområdet begränsas dock genom dels föreskrivna undantag för vissa verksamheter hos myndigheterna, dels det förhållandet att lagen är subsidiär till annan reglering. Begreppen behandling respektive personuppgift används med samma innebörd som i 3 § PuL. Med behandling avses således varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter. Insamling, registrering, organisering, lag- ring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhanda- hållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring är behandling. Sådana åtgärder beträffan- de personuppgifter som regleras i lagen, exempelvis avskiljande, är ytterligare exempel på behandling. Begreppet personuppgift omfattar all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Behandling av uppgifter om avlidna omfattas således inte av lagen. Detsamma gäller uppgifter om juridiska personer. Om bestämmelser om behandling av personuppgifter på något visst område bör vara tillämpliga även beträffande uppgifter om avlidna eller juridiska personer får detta föreskrivas särskilt. Genom andra stycket klargörs att inte all slags behandling av personuppgifter omfattas av lagens tillämpningsområde. Det krävs att behandlingen är helt eller delvis automatiserad eller att person- uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier. Rekvisiten är desamma som i artikel 2 c och 3.1 i dataskyddsdirektivet respektive 5 § PuL och ska ha motsvarande innebörd. Helt behandling av personupp- gifter som inte ingår i ett register eller annan samling som är till- gänglig för sökning faller därmed utanför lagens tillämpningsområde. I praktiken torde dock endast en ytterst liten del av personupp- giftsbehandlingen inom den offentliga sektorn vara helt . 3 § Lagen ska inte tillämpas vid behandling av personuppgifter i 1.en myndighets administrativa verksamhet, 2.en myndighets verksamhet som personuppgiftsbiträde, eller 3.den verksamhet som bedrivs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller verkställa straffrättsliga påföljder. I paragrafen anges tre uttryckliga undantag från lagens tillämpnings- område. Undantagen är knutna till vissa slags verksamheter hos myn- digheter. Frågan behandlas i avsnitt 8.2.2. Punkten 1 kan sägas beröra alla myndigheter som i övrigt tilläm- par lagen. Det undantagna området enligt denna punkt avser myndig- heters administrativa verksamhet. Med den verksamheten förstås sådana från myndigheternas sakområden åtskilda aktiviteter som att anställa och avlöna personal, införskaffa kontorsmaterial, lokalfrågor, fakturahantering och liknande renodlade ekonomi- eller personal- administrativa göromål inom en myndighet. Den personuppgifts- behandling som sker i sådan administration av internt slag omfattas inte av lagens tillämpningsområde utan regleras av personuppgifts- lagen. Undantaget omfattar dock inte sådan mer övergripande plane- ring, uppföljning och kontroll och annan administration som är direkt kopplad till en myndighets sakverksamhet. Uppkommer be- hov av behandling av personuppgifter som samlats in i sakverksam- heten, exempelvis för att få fram viss statistik som behövs i den egna verksamhetsplaneringen eller kvalitetssäkringen, omfattas alltså även den behandlingen av lagen. Enligt punkten 2 är lagen inte tillämplig vid behandling av person- uppgifter som en myndighet utför i egenskap av personuppgifts- biträde åt en annan myndighet eller en enskild som är personuppgifts- ansvarig. Med begreppen personuppgiftsbiträde och personupp- giftsansvarig avses detsamma som i personuppgiftslagen (3 § PuL). Lagen omfattar alltså bara myndigheter när de är personuppgifts- ansvariga. Vad som gäller för en behandling som en myndighet genomför som personuppgiftsbiträde beror alltså på vilken reglering som gäller för den personuppgiftsansvarige. Lagen kan således bli indirekt tillämplig hos en myndighet som är personuppgiftsbiträde, nämligen om den personuppgiftsansvarige uppdragsgivaren är en myndighet vars behandling regleras av lagen. I ett sådant fall är det dock alltid den personuppgiftsansvariga myndigheten som bär an- svaret för att behandlingen hos biträdesmyndigheten sker enligt lagen. Det ska observeras att undantaget inte omfattar myndigheter som utan att vara personuppgiftsbiträde behandlar personuppgifter för sådan teknisk lagring eller bearbetning som avses i 2 kap. 10 § första stycket TF. Det krävs alltså att det finns ett giltigt personuppgifts- biträdesavtal för att undantaget ska gälla. I punkten 3 undantas den s.k. brottsbekämpande verksamheten från lagens tillämpningsområde. Med brottsbekämpande verksamhet avses verksamhet för att förebygga, förhindra eller upptäcka brotts- lig verksamhet, utreda eller beivra brott eller verkställa straffrättsliga påföljder. Denna beskrivning överensstämmer i sak med motsvarande undantag i dataskyddsdirektivet och i kommissionens förslag till uppgiftsskyddsförordning. Undantaget omfattar enbart verksamhet hos myndigheter som har till särskild uppgift att bedriva verksamhet av nämnt slag. Vilka myndigheter som har sådana uppgifter framgår framför allt av myndighetsinstruktioner, verksamhetsreglering eller av särskilda regeringsuppdrag. Undantaget torde bara träffa statliga myndigheter, varav flertalet omfattas av gällande eller föreslagna informationshanteringsförfattningar. , Ekobrotts- myndigheten, och Kriminalvården är uppenbara exempel på myndigheter med behörighet att bedriva verksamhet som omfattas av undantaget i punkten 3. De allmänna domstolarna, , och har också uppgifter inom sådan verksamhet. För flertalet av de nämnda myndigheterna gäller att undantaget inte träffar alla delar av myndighetens verksam- het. Exempelvis har en rad ytterligare uppgifter vid sidan om brottsbekämpningen. Om dessa andra delar regleras av lagen eller inte beror på i vilken utsträckning det finns särreglering som i så fall gäller framför lagen eftersom den är subsidiär till annan reglering i lag eller förordning, se 4 §. Det finns ytterligare myn- digheter än de nämnda som har tämligen avgränsade uppgifter inom brottsbekämpningen vilken torde medföra viss personupp- giftsbehandling som omfattas av undantaget, exempelvis den verk- samhet hos och som följer av lagen (2009:62) om åtgärder mot penningtvätt och finansiering av terrorism med anknytande förordning eller verksamhet hos enligt lagen (1998:603) om verkställighet av sluten ungdomsvård som är en straffrättslig påföljd. Däremot träffar undantaget inte sådan personuppgiftsbehandling som kan äga rum hos en stor mängd myndigheter på grund av en författningsreglerad skyldighet att anmäla brott till eller att annars lämna uppgifter till brottsbekämpande myndigheter. Sådana före- skrifter om uppgiftslämnande innebär inte en behörighet, dvs. en särskild uppgift, att bedriva brottsbekämpande verksamhet, vilket är en förutsättning för att undantaget ska vara tillämpligt. Förhållandet till annan författning 4 § Om det i en annan lag eller förordning än som avses i 5 § finns bestämmelser som avviker från denna lag, ska de bestämmelserna gälla. Paragrafen reglerar lagens förhållande till bestämmelser i annan för- fattning som avviker från innehållet i lagen. Frågan behandlas i avsnitt 8.2.3. Av paragrafen följer att lagen är subsidiär till avvikande reglering i annan lag eller förordning som rör verksamheter som inte redan undantagits från lagens tillämpningsområde. Sådana avvikande be- stämmelser finns framför allt i s.k. registerförfattningar som reglerar inrättandet och förandet av viktigare register på det offentliga om- rådet eller annars innehåller bestämmelser om behandling av person- uppgifter som myndigheter ska eller får utföra. Även bestämmelser som föreskriver att myndigheter får eller ska lämna ut uppgifter avses i paragrafen. Frågan om en viss bestämmelse innefattar en avvikelse från vad som ska gälla enligt lagen får avgöras med tillämpning av sed- vanliga metoder för tolkning av författningar (jfr prop. 1997/98:44 s. 116). I den utsträckning en lag eller förordning med i övrigt avvikande bestämmelser inte innehåller bestämmelser i en fråga som regleras i denna lag, ska denna lags bestämmelser tillämpas, om det inte klart framgår av den särskilda lagen eller förordningen att det är personuppgiftslagens bestämmelser som ska tillämpas i ett sådant fall. Så kan vara fallet om det i den särskilda lagen anges att det är per- sonuppgiftslagen som ska tillämpas, om inte annat följer av register- författningen i fråga (se t.ex. 2 § lagen [2002:546] om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten och 114 kap. 6 § SFB). Lagens subsidiaritet gäller dock inte i förhållande till personuppgiftslagen eller personuppgiftsförordningen. Detta följer av hänvisningen till 5 §. 5 § Om inte annat anges i 6 § gäller denna lag i stället för person- uppgiftslagen (1998:204) eller föreskrifter som meddelats i anslutning till den lagen. I paragrafen regleras lagens förhållande till personuppgiftslagen. Frågan behandlas i avsnitt 8.3.2. Av paragrafen följer att lagen ersätter personuppgiftslagen och föreskrifter som har meddelats i anslutning till personuppgiftslagen, dvs. personuppgiftsförordningen samt tillsynsmyndighetens före- skrifter som meddelats med stöd av den förordningen. Vid behandling av personuppgifter enligt lagen ska personuppgiftslagen och före- skrifter som meddelats i anslutning till personuppgiftslagen tillämpas endast i den utsträckning som det särskilt anges i lagen. I 6 § finns bestämmelser som hänvisar till bestämmelser i personuppgiftslagen som ska vara tillämpliga även vid personuppgiftsbehandling enligt lagen. 6 § Följande bestämmelser i personuppgiftslagen (1998:204) ska tilläm- pas på motsvarande sätt när personuppgifter behandlas enligt denna lag eller föreskrifter som meddelats med stöd av den: 1.3 § om definitioner, 2.8 § om förhållandet till offentlighetsprincipen m.m., 3.9 § om grundläggande krav på behandlingen, 4.13, 15, 16, 18 och 19 §§ om känsliga personuppgifter, 5.23 och 25 §§ om information till den registrerade som ska läm- nas självmant, 6.26 § om information till den registrerade som ska lämnas efter ansökan, 7.33–35 §§ om överföring av personuppgifter till tredjeland, 8.38 och 40 §§ om personuppgiftsombud, och 9.48 § om skadestånd. I 23 § finns bestämmelser om undantag från informationsskyldig- heten enligt första stycket 5 och 6. I paragrafen hänvisas till bestämmelser i personuppgiftslagen som ska tillämpas på motsvarande sätt vid behandling av personuppgifter enligt lagen. Frågorna behandlas dels översiktligt i avsnitt 8.3.2, dels specifikt beträffande de särskilda hänvisningarna i det nämnda av- snittet (3 § och 8 § första stycket PuL), i avsnitt 9.2.4 (9 § PuL), avsnitt 9.3.1 (13, 15, 16, 18 och 19 §§ PuL), avsnitt 12.5 (33–35 §§ PuL), avsnitt 13.4 (23, 25 och 26 §§ PuL), avsnitt 14.4.2 (8 § andra stycket PuL), avsnitt 16.4.2 (38 och 40 §§ PuL) samt avsnitt 18.1.5 (48 § PuL). I första stycket anges i nio punkter vilka bestämmelser i person- uppgiftslagen som ska tillämpas vid behandling enligt den nya lagen som, enligt vad som föreskrivs i 5 §, i övrigt ersätter personupp- giftslagen. Uppräkningen är uttömmande. I bestämmelsen anges att tillämpningen av hänvisade bestämmelser ska ske ”på motsvarande sätt”. Härmed tydliggörs att de uppräknade bestämmelserna i person- uppgiftslagen inte tillämpas direkt. Innebörden av hänvisningen är att vad som föreskrivs i de hänvisade bestämmelserna i personupp- giftslagen ska tillämpas som om motsvarande bestämmelser fanns i den nya lagen. Se nedan angående punkterna 2 och 9.