sou · H3B339 · 2015-04-08 00:00:00 — har i sin resolution med förslag till ändringar i uppgiftsskyddsförordningen föreslagit ett tillägg i artikel 24 om att arrangemanget ska återspegla de gemensamma registeransvarigas respektive roller och förhållanden gentemot den registrerade. Det väsentliga innehållet i arrangemanget ska göras tillgängligt för den registrerade. I fall av oklar ansvarsfördelning ska var och en av de registeransvariga vara solidariskt ansvariga. Genom artikel 26 anges registerförares (dvs. personuppgift- biträdens) ställning och skyldigheter. Bestämmelserna innebär bl.a. att en registerförare som behandlar andra personuppgifter än de som anges i den registeransvariges instruktioner ska anses som en gemensam registeransvarig. Vidare ska i avtalet mellan den register- ansvarige och registerföraren föreskrivas att en registerförare får engagera en annan registerförare bara om den registeransvarige först har godkänt det, att registerföraren ska lämna alla resultat till den registeransvariga vid behandlingens slut och inte behandla person- uppgifterna på annat sätt och att både den registeransvarige och tillsynsmyndigheten ska ges tillgång till all information som krävs för att kontrollera registerförarens skyldigheter enligt artikel 26. En nyhet är också att den registeransvarige och registerföraren skrift- ligen ska dokumentera den registeransvariges instruktioner till regi- sterföraren. 10.1.2Allmänt om personuppgiftsansvar och om personuppgiftsbiträden Personuppgiftsansvaret innebär bl.a. en skyldighet att se till att de i 9 § PuL angivna grundläggande kraven på behandling av person- uppgifter iakttas. Vidare innebär personuppgiftsansvaret en skyl- dighet att självmant och på särskild begäran lämna information till den registrerade (23–27 §§), att på den registrerades begäran rätta, blockera eller utplåna personuppgifter som inte behandlats i enlig- het med personuppgiftslagen (28 §), att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som be- handlas (31 §), att – enligt huvudregeln – anmäla all automatiserad behandling av personuppgifter till tillsynsmyndigheten, dvs. Data- inspektionen (36 §) samt att ersätta den registrerade för den skada en lagstridig behandling av personuppgifter för med sig (48 §). Den personuppgiftsansvarige kan anlita ett personuppgiftsbiträde för att behandla personuppgifter för den ansvariges räkning. Ett personuppgiftsbiträde ska finnas utanför den egna organisationen och kan vara en juridisk eller fysisk person som i sin tur kan ha anställda medhjälpare vilka i praktiken är de som ombesörjer person- uppgiftsbehandlingen under personuppgiftsbiträdets direkta ansvar. Ett personuppgiftsbiträde och dennes medhjälpare anses inte vara tredje man i personuppgiftslagens mening (3 §). De kan därför utan hinder av de bestämmelser i personuppgiftslagen som gäller utläm- nande till tredje man få del av de personuppgifter som ska behand- las för den ansvariges räkning. Personuppgiftsbiträden kan i sin tur anlita ”underbiträden”. Data- inspektionen har för situationer där ett huvudbiträde anlitar ett eller flera underbiträden ansett att kravet på personuppgiftsbiträdes- avtal kan uppfyllas genom att den personuppgiftsansvarige ger ett huvudbiträde mandat att ingå avtal med underbiträden. Av ett sådant avtal måste framgå att varje underbiträde har samma skyldigheter som huvudbiträdet. Den personuppgiftsansvarige ska alltid ha kännedom om vilka personuppgiftsbiträden som behandlar person- uppgifter för dennes räkning. I annat fall kan den personuppgifts- ansvarige inte uppfylla säkerhetskraven och kraven på kontroll av personuppgiftsbiträden (Datainspektionens webbplats, samråds- yttrande , dnr 1421-2011). Ett personuppgiftsbiträde (inklusive dennes eventuella medhjälp- are) får behandla personuppgifter bara i enlighet med instruktioner från den personuppgiftsansvarige (30 §). Ett skriftligt avtal med detta villkor måste upprättas mellan den personuppgiftsansvarige och personuppgiftsbiträdet. Varken av lagen eller av dataskydds- direktivet framgår hur utförliga instruktioner som den personupp- giftsansvarige måste lämna sina medhjälpare. framhöll att den personuppgiftsansvarige i princip bär ansvaret för att instruktionerna är så tydliga att otillåten behandling inte kom- mer att utföras (SOU 1997:39 s. 408). Dessutom måste det före- skrivas i avtalet att personuppgiftsbiträdet är skyldigt att vidta de tekniska och organisatoriska säkerhetsåtgärder som avses i 31 § för att skydda de behandlade personuppgifterna. Det är den person- uppgiftsansvarige som ansvarar för att personuppgiftsbiträdesavtal finns. Såvitt avser behandling som sker i det allmännas verksamhet har bestämmelser i författning företräde framför instruktioner (jfr 2 § och 30 § tredje stycket PuL). Datainspektionen brukar framhålla att instruktionerna till ett personuppgiftsbiträde ska vara så tydliga att otillåten behandling inte kommer att utföras. Instruktionerna kan exempelvis gälla ända- målen med behandlingen, tredjelandsöverföring och utlämnande till tredje man. Vad gäller kravet på säkerhet ska den personuppgifts- ansvarige kunna förvissa sig om att personuppgiftsbiträdet kan genomföra de säkerhetsåtgärder som måste vidtas och se till att personuppgiftsbiträdet verkligen vidtar åtgärderna (31 § andra stycket PuL). Den personuppgiftsansvarige har alltså ansvar för att kon- trollera att biträdet både kan utföra och också faktiskt vidtar lämp- liga säkerhetsåtgärder. Den personuppgiftsansvarige har i förhållande till den registre- rade ett fortsatt skadeståndssanktionerat ansvar för att personupp- giftslagen följs vid personuppgiftsbehandlingen hos personuppgifts- biträdet. Den personuppgiftsansvarige kan således uppdra den faktiska behandlingen av personuppgifterna till biträdet, men aldrig avsäga sig personuppgiftsansvaret. Det är ytterst den personuppgifts- ansvarige som ansvarar för att personuppgiftsbehandlingen sker lagenligt och som därför kan bli skadeståndsskyldig gentemot en enskild vid biträdets felaktiga hantering. I förhållande till den regi- strerade har personuppgiftsbiträdet inget direkt ansvar för person- uppgiftsbehandlingens lagenlighet. Det är en annan sak att biträdet kan bli skadeståndsskyldigt gentemot den personuppgiftsansvarige för eventuella brott mot dennes instruktioner, men då på kon- traktsrättslig grund och alltså inte i enlighet med personuppgifts- lagens skadeståndsregel. Ett personuppgiftsbiträdesavtal innebär inte med nödvändighet att det angivna biträdet vid en rättslig prövning verkligen befinns vara personuppgiftsbiträde i personuppgiftslagens mening. Det krävs att det faktiskt förhåller sig på det viset, dvs. att biträdet behandlar uppgifter bara i enlighet med instruktioner från den personupp- giftsansvarige. Kammarrätten i har i ett avgörande under- känt ett personuppgiftsbiträdesavtal eftersom den personuppgifts- ansvarige och biträdet rent faktiskt inte behandlade personuppgif- ter för samma ändamål. ”Biträdets” behandling kunde därför inte anses ske för den personuppgiftsansvariges räkning (dom 2013-10- 29, mål nr 2757-13). Personuppgiftsansvar inom det allmänna I personuppgiftslagens definition anges alltså inte på motsvarande sätt som i dataskyddsdirektivet vad för slags aktör som kan vara personuppgiftsansvarig. Det förhållandet att personuppgiftsansvaret är skadeståndssanktionerat torde emellertid innebära att ansvaret ytterst måste bäras av ett rättssubjekt, dvs. en fysisk eller juridisk person som kan svara vid domstol och ikläda sig eller åläggas en rättslig skyldighet, t.ex. den att utge skadestånd. I det allmännas verksamhet anses det dock normalt vara en statlig eller myndighet som är personuppgiftsansvarig för personuppgiftsbehandlingen snarare än den juridiska personen – staten, eller kommunen – i vart fall under förutsätt- ning att myndigheten är så självständig att den är en förvaltnings- myndighet. I flertalet registerförfattningar som reglerar personupp- giftsansvaret är det vidare myndigheter som pekats ut som person- uppgiftsansvariga trots att de alltså inte utgör egna rättssubjekt i rättslig mening. Det förhållandet att statliga och kommunala myndigheter inte utgör juridiska personer innebär bl.a. att skadeståndstalan på grund av en myndighets behandling i strid med personuppgiftslagen måste väckas gentemot den juridiska personen, dvs. staten, lands- tinget eller kommunen. I ett avgörande av JK rörande krav på skadestånd enligt 48 § PuL på grund av att en länsstyrelse hade registrerat en felaktig upp- gift om körkortsspärr i vägtrafikregistret, uppkom fråga om vilken av de inblandade statliga myndigheterna som skulle betala skade- ståndet, i egenskap av personuppgiftsansvarig för registret eller såsom den myndighet som hade gjort den fel- aktiga inmatningen. JK konstaterade att det är staten som är ersätt- ningsskyldig samt att om flera enheter inom staten är berörda, bör fördelningen av ansvaret myndigheterna emellan bli en fråga för staten själv. Därvid tillämpade JK den principen att ersättningen skulle utges av den enhet som bar huvudansvaret för felet, i det aktuella fallet (JK , dnr ). Personuppgiftsbiträden inom det allmänna Det är inte ovanligt att myndigheter anlitar personuppgiftsbiträden, t.ex. en servicebyrå eller en konsult, för att utföra personuppgifts- behandlingar för myndighetens räkning (se t.ex. JO 2012/13 s. 362 om personuppgiftsbiträdesavtal med Demo- skop). har användning av s.k. molntjänster blivit van- ligare, inte minst i , vilket innebär att det måste träffas personuppgiftsbiträdesavtal med leverantören av tjänsten. Vad särskilt gäller molntjänster har Datainspektionen i ett infor- mationsblad närmare behandlat vad beställare av en molntjänst måste klargöra i avtalet med ett personuppgiftsbiträde. Utöver vad som direkt framgår av personuppgiftslagen och vad som nämnts ovan om underbiträden framhålls bl.a. att det ska finnas tekniska och praktiska förutsättningar att utreda misstankar om att någon hos personuppgiftsbiträdet haft obehörig åtkomst till personupp- gifterna och att parterna vet vilka åtgärder som ska vidtas vid av- talets upphörande så att personuppgiftsbiträdet inte har åtkomst till personuppgifterna därefter. Det förekommer också att myndigheter behandlar personupp- gifter som personuppgiftsbiträden åt andra myndigheter. Inte sällan handlar det då om utkontraktering av it-drift från en myndighet till annan myndighet som tillhandahåller it-baserade funktioner. Vidare förekommer det att myndigheter är personuppgiftsbiträde åt en- skilda. Inom hälso- och sjukvårdens olika system för sammanhållen journalföring m.m. synes det vara särskilt vanligt med personupp- giftsbiträdesavtal där en myndighet uppträder som personuppgifts- biträde i ganska komplicerade konstellationer på olika nivåer och med t.ex. underbiträden till personuppgiftsbiträden på sätt som på- minner om stora entreprenadförhållanden (SOU 2014:23 s. 212). Kommuner och Landsting har utformat en mall för personuppgiftsbiträdesavtal i samband med sammanhållen journal- föring där personuppgiftsansvariga (t.ex. privata vårdgivare som har avtal om skattefinansierad vård med ett landsting) ger fullmakt för biträdet () att träffa avtal med underbiträden (t.ex. it- leverantörer). synes vara utformad utifrån Datainspektio- nens vägledande uttalande. Kommuner och Landsting har vidare i en vägledning om molntjänster i skolan utformat rekom- mendationer om vad personuppgiftsbiträdesavtal med molnleveran- törer minst ska innehålla. Innebär molntjänster att personuppgifter lagras i tredjeland, dvs. utanför EU och EES, måste det, med vissa undantag, också finnas ett kontrakt med sådana standardavtals- klausuler som utformat för överföring av person- uppgifter till ett personuppgiftsbiträde i tredjeland (jfr 13 § PuF). Som framgått ovan är det den personuppgiftsansvarige och inte personuppgiftsbiträdet som gentemot registrerade bär det skade- ståndssanktionerade ansvaret för lagenligheten i behandlingen. Detta gäller alldeles oavsett om det är en myndighet som är person- uppgiftsbiträde. Däremot har en myndighet som behandlar person- uppgifter i egenskap av personuppgiftsbiträde ett direkt ansvar att följa andra i sammanhanget relevanta författningsbestämmelser, exempelvis regleringen i 2 kap. TF, offentlighets- och sekretess- lagen, arkivlagen, förvaltningslagen m.m. Det ansvaret torde inte i sig påverkas av huruvida myndighetens personuppgiftsbehandling sker i rollen som personuppgiftsbiträde eller som personuppgifts- ansvarig och det är inte heller ett ansvar som kan bli föremål för avtalskonstruktioner av något slag. När en myndighet anlitar personuppgiftsbiträden för att behandla personuppgifter måste myndigheten, för det fall personuppgifterna omfattas av sekretess, göra en noggrann bedömning av om sekre- tessen utgör ett hinder för ett sådant arrangemang. JO har belyst denna fråga i ett beslut i vilket allvarlig kritik riktades mot vård- givare för att i strid mot hälso- och sjukvårdssekretessen ha lämnat ut patientuppgifter till anställda vid ett företag med vilket man ingått personuppgiftsbiträdesavtal om utförande av läkarsekreterar- tjänster för journalföring (beslut , dnr 3032-2011). E-delegationen har i delbetänkandet Så enkelt som möjligt för så många som möjligt – Bättre juridiska förutsättningar för samverkan och service (SOU 2014:39) behandlat sekretessfrågor i samband med att en myndighet tillhandahåller it-drift åt en annan myn- dighet. Vidare behandlas vad som gäller i sekretesshänseende när en myndighet tillhandahåller e-tjänster i form av s.k. elektroniska för- var – t.ex. e-tjänsten Mina meddelanden – åt enskilda eller s.k. pre- sentationstjänster som sammanställer uppgifter från den egna myn- digheten eller annan för visning för en enskild. Närmare om personuppgiftsansvarets räckvidd Vem som är personuppgiftsansvarig för en viss behandling av per- sonuppgifter är en fråga som ibland kan vara svår att besvara. Det som ska bedömas är vem som bestämmer över ändamålen och medlen för personuppgiftsbehandlingen och det är de faktiska om- ständigheterna i det enskilda fallet som är avgörande. Olika avtalskonstruktioner där personuppgiftsansvaret preciseras kan be- aktas i bedömningen men avgörande är alltid vem (eller vilka) som faktiskt har bestämt över personuppgiftsbehandlingen (/ , s. 93). Det finns exempel i praxis på att domstol, efter en bedömning av hur det faktiskt förhållit sig med bestämmanderätten över ända- mål och medel, bortsett från ett upprättat personuppgiftsbiträdes- avtal mellan myndigheter. Förvaltningsrätten i prövade om ett universitet var personuppgiftsansvarig eller personuppgifts- biträde avseende en viss datatjänst, Svensk nationell datatjänst, SND. I SND hanterades forskningsdata vari ingick bl.a. person- uppgifter som kom från andra forskningshuvudmän än . Ett personuppgiftsbiträdesavtal fanns enligt vilket var personuppgiftsbiträde till de olika forskningshuvudmännen när det gällde personuppgifterna i SND. Förvaltningsrätten fann dock, efter en bedömning av omständigheterna, att inte hanterade uppgifterna efter instruktioner från forskningshuvud- männen utan i själva verket bestämde över ändamålen med och medlen för behandlingen. Universitet befanns därför vara person- uppgiftsansvarigt trots personuppgiftsbiträdesavtalet (dom 2013- 10-14, mål nr 9987-12). Att identifiera vem eller vilka bland flera möjliga aktörer som är personuppgiftsansvarig kan alltså ibland vara komplicerat. En annan dimension på ansvarsfrågan som kan vålla svårigheter är att slå fast vad personuppgiftsansvaret i olika delar omfattar. Övergripande frågor såsom anordnande och administration av tekniska informations- system och liknande kan t.ex. vara relevanta för bedömningen av vem som bestämmer över medlen för personuppgiftsbehandlingen. Detta i sin tur kan alltså leda till svårigheter att bedöma hur per- sonuppgiftsansvaret allmänt sett ska avgränsas eller vilken räckvidd personuppgiftsansvaret ska anses ha i ett enskilt fall. har i mål C-131/12 Google bedömt bl.a. frågan om personuppgiftsansvar såvitt avser publicering av person- uppgifter på webbplatser och sökmotorleverantörers verksamhet. En spansk tidning hade publicerat vissa personuppgifter om en person i upplagor som sedermera kommit att återpubliceras elektroniskt på internet. Den registrerade ansåg att uppgifterna inte längre borde finnas med i resultaten från en sökning med Googles sökmotor på hans namn. konstaterade att sökmotorer spelade en avgöran- de roll vid den totala spridningen av uppgifterna genom att göra dem tillgängliga för varje internetanvändare som gör en sökning på en persons namn. Enligt domstolen kan den organisering och aggregation av information publicerad på internet som görs av sökmotorerna i syfte att göra det enklare för användarna att få till- gång till informationen – när sökningen efter informationen görs utifrån namnet på en fysisk person – leda till att användarna genom förteckningen över sökresultaten erhåller en strukturerad översikt av information på internet rörande denna person, vilken gör det möjligt för dem att bilda sig en mer eller mindre detaljerad upp- fattning av den berörda personen. En sökmotorleverantörs verk- samhet kan således på ett betydande sätt, och utöver vad som redan skett genom webbplatsutgivarnas verksamhet, påverka grundlägg- ande rättigheter avseende privatlivet och skyddet för personupp- gifter. Därför måste sökmotorleverantören, i egenskap av person som bestämmer ändamålen och medlen för behandlingen av per- sonuppgifter, inom ramen för sitt ansvar, sin behörighet och sina möjligheter säkerställa att verksamheten uppfyller kraven i direktiv /46 för att de garantier som föreskrivs i direktivet ska få full verkan och för att ett effektivt och fullständigt skydd för de be- rörda personerna ska kunna förverkligas, bland annat när det gäller deras rätt till respekt för privatlivet. Enligt skulle därför artikel 2 b och 2 d i dataskyddsdirektivet tolkas dels så, att en sökmotors verksamhet – som består i att lokalisera information som har publicerats eller lagts ut på internet av tredje män, indexera den på automatisk väg, lagra den tillfälligt och slutligen ställa den till förfogande för internetanvändare enligt en viss prioriterings- ordning – ska anses utgöra ”behandling av personuppgifter” i den mening som avses i artikel 2 b, när informationen innehåller personuppgifter, dels så, att sökmotorleverantören ska anses vara ”registeransvarig”, dvs. personuppgiftsansvarig, för nämnda behand- ling av personuppgifter i den mening som avses i artikel 2 d (punk- terna 37–41). Ytterligare en fråga som kan ställas är när i informations- hanteringsprocessen personuppgiftsansvaret inträder. Den frågan aktualiserades i rättsfallet HFD 2012 ref. 21. Målet rörde Försäk- ringskassans elektroniska självbetjäningstjänster via dels en SMS- tjänst för anmälan av tillfällig föräldrapenning, dels en tjänst för arbetsgivares anmälan av anställdas sjukdomsfall, en s.k. Infra- tjänst. I båda fallen lämnades uppgifter genom elektroniska kom- munikationskanaler via olika operatörer och uppgifterna var inte tillgängliga för förrän det att de nådde kassans elektroniska mottagningsställe. Frågan i målet gällde om Försäkrings- kassan skulle betraktas som personuppgiftsansvarig redan innan uppgifterna blev tillgängliga för myndigheten och att myndigheten därför var skyldig att göra en risk- och sårbarhetsanalys avseende de aktuella självbetjäningstjänsterna. Utan att närmare beröra reg- leringen av personuppgiftsansvaret i tillämplig registerförfattning (dåvarande 6 § lagen [2003:763] om behandling av personuppgifter inom socialförsäkringens administration, numera 114 kap. 6 § SFB) utgick från regleringen i person- uppgiftslagen. Domstolen fann att det var som hade bestämt såväl ändamålen med behandlingen av personupp- gifterna (att göra vissa anmälningar) som medlen för behandlingen (anvisandet av de särskilda kommunikationsvägarna). Enligt dom- stolen förutsätter personuppgiftsansvar att den som bestämt ända- mål och medel för behandlingen också utför behandlingen, dvs. vidtar åtgärder som innefattar behandling enligt 3 § PuL eller att sådana åtgärder utförs för dennes räkning. Även om Försäkrings- kassan saknade möjligheter att påverka hur uppgifterna hanterades innan de blev tillgängliga för kassan var de åtgärder med person- uppgifterna som vidtogs innan de blev tillgängliga att betrakta som ett led i behandling av uppgifter i enskilda ärenden. Den omständigheten att saknade fak- tisk möjlighet att påverka hur uppgifterna hanteras innan de blir tillgängliga för myndigheten kunde visserligen innebära svårigheter vid bedömningen av de skyldigheter och sanktionsmöjligheter som föreskrivs i personuppgiftslagen men detta hindrade inte att kassan hade ansvar för att göra en risk- och sårbarhetsanalys för den aktu- ella sms-tjänsten. personuppgiftsansvar ansågs alltså inträda på ett tidigare stadium än vad som motsvarade För- säkringskassans faktiska kontroll över personuppgifterna. När flera aktörer är involverade i processer eller informations- system där personuppgifter behandlas – t.ex. vid interaktiva tjänster på nätet eller i myndighetsövergripande samarbeten – kan det upp- komma frågor kring vem eller vilka som är personuppgiftsansvariga för de olika momenten i hanteringen. Varken dataskyddsdirektivet eller personuppgiftslagen innehåller några bestämmelser till ledning för hur den frågan ska bedömas. I punkt 47 i ingressen till direk- tivet anges dock att när ett meddelande som innehåller personupp- gifter översänds genom förmedling av en organisation för telekom- munikation eller elektronisk post, vars enda ändamål är att över- sända sådana meddelanden, blir det normalt den från vilken med- delandet härrör och inte den som erbjuder den nämnda tjänsten som anses ansvara för behandlingen av personuppgifterna. De som erbjuder sådana tjänster kommer dock normalt att anses som an- svariga för behandlingen av de ytterligare personuppgifter som fordras för att tjänsten ska kunna användas. Det brukar framhållas att – när flera aktörer är involverade – det är av stor vikt att berörda parter redan innan en tilltänkt person- uppgiftsbehandling påbörjas sinsemellan analyserar och klargör hur det förhåller sig med personuppgiftsansvaret för olika moment eller situationer och överväger eventuella personuppgiftsbiträdesfunk- tioner m.m. (se t.ex. Datainspektionens vägledning för kommuner: Personuppgifter och e-förvaltning, s. 45 f. och SOU 2006:82 s. 342). I sammanhanget kan vidare nämnas att det är ett krav enligt 23–25 §§ PuL att den registrerade får information om vem som är person- uppgiftsansvarig för behandlingen av personuppgifter om honom eller henne. Utgångspunkten är alltså att det inte ska förekomma någon personuppgiftsbehandling utan att det är tydligt för den en- skilde registrerade vem som är ansvarig. I den mån flera person- uppgiftsansvariga är involverade i en och samma personuppgifts- behandling torde därigenom gälla ett krav på att den enskilde regi- strerade informeras om hur personuppgiftsansvaret fördelas mellan aktörerna. Artikel 29-gruppen har behandlat frågor om personuppgifts- ansvarets räckvidd och fördelning mellan olika aktörer m.m. i en rapport (opinion 1/2010 in the concept of ”controller” and ”processor”, 00264/10/EN WP 169). När det gäller person- uppgiftsansvarets fördelning i komplexa situationer med flera in- blandade aktörer har gruppen intagit ett ganska flexibelt betrakt- elsesätt på frågan om personuppgiftsansvar är gemensamt eller uppdelat. I rapporten framhålls att registeransvaret är ett funk- tionellt begrepp som är avsett att lägga ansvaret där det faktiska inflytandet ligger. Det är de faktiska omständigheterna som ska vara avgörande vid bedömningen.