sou · H3B333 · 2015-03-30 00:00:00 — Det innebär att man måste beakta personuppgiftslagens syfte och definitioner samt bestämmelser om bland annat förbud mot behandling av känsliga personuppgifter, särskilda regler för behandling av uppgifter om lagöverträdelser m.m. och personnummer, krav på information till den registrerade, säkerhet vid behandling och över- föring av personuppgifter till tredje land, rätten till rättelse, skadestånd och straff. Det är brukligt att den så kallade registerutdragsrätten (26 §) och rätten till rättelse (28 §) framgår även i en register- författning för att framhålla och tydliggöra den registrerades rättig- heter (upplysningsbestämmelser). För att personuppgiftslagens sanktionsbestämmelser om skadestånd (48 §) och straff (49 §) ska gälla i en registerförfattning måste dessa bestämmelser föreskrivas särskilt6 eftersom bestämmelserna är utformade så att de endast avser brott mot personuppgiftslagen. Personuppgiftsansvarig är ett centralt begrepp vid bedömningar av tillåten personuppgiftsbehandling. I Uppgiftslämnarservice kommer personuppgifter att flöda genom en it-infrastruktur som omfattar flera aktörer. Frågan om vem som är personuppgiftsansvarig och i vilka 6 Exempel från 23 § lagen (2001:99) om den officiella statistiken: ”Om personuppgifter behandlas i strid med denna lag eller föreskrifter som meddelats med stöd av lagen tillämpas bestämmelserna om rättelse och skadestånd i personuppgiftslagen (1998:204).” situationer personuppgiftsansvaret aktualiseras är därför en viktig utgångspunkt i bedömningen av vad som krävs för att behandlingen av personuppgifter ska vara tillåten både utifrån personuppgiftslagen och relevanta registerförfattningar. Olika myndigheter kommer utifrån personuppgiftslagens definition att vara personuppgiftsansvariga för behandlingen av personuppgifter inom ramen för Uppgiftslämnarservice. I komplexa system med många aktörer kan det finnas anledning att särreglera personuppgiftsansvaret för att tydliggöra bedömningen av ansvars- frågan. Om flera aktörer agerar tillsammans måste var och en ha rätt till den sammanlagda behandlingen om den sker gemensamt. Annars måste man skilja ansvaret mellan de olika aktörerna. Uppgiftslämnar- service kommer att omfatta många aktörer och det kan finnas anledning att se över behovet av att särskilt reglera vem som ansvarar för behandlingen av personuppgifter i systemets olika delar. Det kan även vara motiverat att överväga om personuppgiftsansvaret ska regleras särskilt, främst för , Sammansatta bas- tjänsten och Slutanvändarfunktionaliteter. Utöver att identifiera personuppgiftsansvaret behöver eventuella biträdessituationer bedömas och beaktas. Det är även nödvändigt att säkerställa att kraven på informationssäkerhet kommer att uppfyllas. Förutsättningarna när den personuppgiftsansvarige väljer att anlita en extern utförare för uppdrag som omfattar behandling av person- uppgifter framgår främst i 30–31 §§ personuppgiftslagen. I 30 § andra stycket framgår bland annat att personuppgiftsbiträdet endast får behandla personuppgifter utifrån instruktioner från den personuppgiftsansvarige och att sådana instruktioner ska framgå i ett skriftligt avtal. Bestämmelsen tydliggör även att personuppgifts- behandlingen sker för den personuppgiftsansvariges räkning, vilket innebär att personuppgiftsansvaret aldrig övergår till personupp- giftsbiträdet för den aktuella behandlingen. Det innebär också att ett personuppgiftsbiträde aldrig kan behandla fler uppgifter eller behandla uppgifterna på annat sätt än den personuppgiftsansvarige. Personuppgiftsbiträdet måste kunna uppfylla de säkerhetsåtgärder som föreskrivs i 31 § första stycket och enligt tredje stycket fram- går att det åligger den personuppgiftsansvarige att förvissa sig om att personuppgiftsbiträdet kan genomföra nödvändiga säkerhets- åtgärder och dessutom se till att personuppgiftsbiträdet faktiskt vidtar åtgärderna. Inom ramen för Uppgiftslämnarservice kommer det troligen att uppstå situationer där den personuppgiftsansvarige väljer att ge någon annan i uppdrag att behandla personuppgifterna eller att person- uppgifter behandlas på sådant sätt att en biträdessituation aktualiseras. Vi bedömer att gällande regler för biträdessituationer är tillräckliga och ska tillämpas av respektive personuppgiftsansvarig vid behov. I 31 § personuppgiftslagen finns bestämmelser med krav på säker- hetsåtgärder vid behandling av personuppgifter. Enligt bestäm- melsen ska den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av a)de tekniska möjligheter som finns, b)vad det skulle kosta att genomföra åtgärderna, c)de särskilda risker som finns med behandlingen av person- uppgifterna, och d)hur pass känsliga de behandlade personuppgifterna är. Det bör framhållas att kraven på säkerhetsåtgärder vid behandling av personuppgifter ställer höga krav på personuppgiftsansvariga och därmed också på personuppgiftsbiträden. Informationssäkerhets- kraven beskrivs närmare i avsnittet om informationssäkerhet (se avsnitt 6.1.3.6.) samt i avsnitten om behandling av personuppgifter i de olika delarna av Uppgiftslämnarservice (se avsnitten 6.2.6, 6.3.9 och 6.4.4). Personuppgiftslagens bestämmelser om krav på säkerhets- åtgärder bedöms vara tillräckliga för att skydda de personuppgifter som behandlas inom ramen för Uppgiftslämnarservice. I arkivlagen (1990:782) finns bestämmelser om myndigheternas arkiv. Lagen kompletteras av en arkivförordning (1991:446) som i betydande utsträckning ger rätt att meddela före- skrifter för statliga myndigheters arkiv (RA-FS7 och RA-MS8). En myndighets arkiv bildas av de allmänna handlingarna från myndig- hetens verksamhet och sådana handlingar som avses i 2 kap. 9 § tryckfrihetsförordningen och som myndigheter beslutar ska tas om hand för arkivering. Förutom skyldigheten att organisera arkivet för att underlätta rätten att ta del av allmänna handlingar innebär den så kallade arkivvården att en myndighet ska avgränsa arkivet genom att fastställa vilka handlingar som ska vara arkivhandlingar och genomföra gallring. Gallring innebär att allmänna handlingar sorteras ut och förstörs. Definitionen har utvidgats och definierats särskilt i förhållande till handlingar i digitala miljöer. Begreppet rensning avser att avskilja handlingar som inte är allmänna och som inte ska arkiveras. Båda begreppen definieras i föreskrifter om arkiv hos statliga myndigheter (RA-FS 1991:1). Enligt 14 § arkivförordningen får statliga myndigheter gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av om inte särskilda gallringsföre- skrifter finns i lag eller förordning. Allmänna handlingar ska enligt föreskrifter gallras om de är av tillfällig eller ringa betydelse (7 § RA-FS 1997:6). Gallring får endast ske under förutsätt- ning att allmänhetens rätt till insyn inte åsidosätts och att handling- arna bedöms sakna värde för rättsskipning, förvaltning och forskning. Arkivering och gallring ska i enlighet med gällande rätt tas om hand av den myndighet där allmänna handlingar uppstår. Bestäm- melser om arkivering och gallring finns företrädesvis i offentlighets- och sekretesslagen (2009:400), arkivlagen (1990:782), arkivförord- ningen (1991:446) och i föreskrifter och allmänna råd. Författningarna omfattar bestämmelser om hur handlingar ska framställas, organiseras, redovisas, gallras, förvaras, skyddas och överlämnas. Bestämmelser om bevarande finns i personuppgiftslagen (1998:204) och om gallring även i så kallade registerförfattningar. 7Riksarkivets generella föreskrifter och allmänna råd. 8Riksarkivets myndighetsspecifika föreskrifter om gallring och annan arkivhantering. har vid samråd9 betonat vikten av att ta hand om bevarandefrågor på ett tidigt stadium i projekt och processer, exempelvis att klassificera data samt identifiera och hantera behov av åtgärder för att kunna gallra och rensa. Ett gammalt sätt att redovisa arkiv håller på att ersättas av ett nytt. föreskrifter för en verksamhets- baserad arkivredovisning (RA-FS 2008:4) trädde i kraft och innebär att statliga myndigheters handlingar ska klassificeras och förtecknas efter processerna i myndigheternas egna verksamheter. Bestämmelser och detaljer kring verksamhetsbaserad arkivredovisning behandlas inte i betänkandet, men ska beaktas och hanteras av de aktörer som omfattas av bestämmelserna för de allmänna handlingar som uppkommer inom ramen för Uppgiftslämnarservice. Det kan i sammanhanget även nämnas att Statens servicecenter fick ett regeringsuppdrag att tillsammans med bland annat utveckla och använda en förvaltningsgemensam tjänst för e-arkiv (dnr N2014/3415/ITP, N2014/2701/ITP). Regeringen har utsett sju pilotmyndigheter10 som kommer att vara delaktiga i kravställningen av den nya tjänsten. Uppdraget har delredovisats . Efter beslut fattas om Statens servicecenter kan inleda upphandling av en systemlösning. Åttonde paragrafen andra stycket personuppgiftslagen reglerar lagens förhållande till myndigheters arkivering. Av bestämmelsen framgår att en myndighet utan hinder av lagen får arkivera och bevara allmänna handlingar. Detsamma gäller en arkivmyndighet som ska kunna ta hand om arkivmaterial. Första meningen omfattar bara sådana bestämmelser i personuppgiftslagen som hindrar myndigheter och arkivmyndigheter att arkivera och bevara allmänna handlingar respektive omhänderta arkivmaterial. Andra bestämmelser i person- uppgiftslagen ska tillämpas vid arkivering och omhändertagande av arkivmaterial. Vi behandlar arkivering och gallring närmare i avsnitten om Sammansatta bastjänsten (se avsnitt 6.2.8), Uppgiftskravstjänsten (se avsnitt 6.3.11) och Slutanvändarfunktionaliteter i (se avsnitt 6.4.6). 9Samrådsmöten med och . 10Bolagsverket, , , i , i , och . När i handläggningsprocessen krävs de grundläggande uppgifterna från företaget I förvaltningslagen (1986:223) finns grundläggande bestämmelser för hur myndigheter ska sköta sina kontakter med varandra liksom gentemot allmänheten samt hur ärenden ska hanteras. Vissa regler i förvaltningslagen gäller all verksamhet hos myndigheten, alltså inte bara handläggning av ärenden utan även det som brukar beskrivas som faktiskt handlande, exempelvis att dirigera trafik, släcka bränder och kontrollera biljetter. I lagen anges inte närmare hur gränsen mellan ärendehandläggning och faktiskt handlande ska dras men man kan få ledning från olika specialförfattningar. Vi konstaterar att när ett uppgiftslämnande följer av lag, förordning eller annan föreskrift är det i majoriteten av fallen fråga om ärende- handläggning hos myndigheterna. Handläggningen kan delas in i tre faser: ärendets beredning, och Ett ärende kan väckas genom en ansökan, anmälan eller annat initiativ från en enskild, s.k. privat anhängiggörande. Ärenden kan även väckas genom att en myndighet gör en ansökan hos en annan myndighet eller att myndigheten självmant tar upp en fråga (ex officio). I detta sammanhang är det dock den förstnämnda situationen som avses. När ett företag har anhängiggjort ett ärende måste myndigheten skilja sig från ärendet genom någon form av beslut. Med ärendets beredning avses den fas då myndigheten hand- lägger ärendet genom att exempelvis tillföra ärendet egna uppgifter, kommunicera dessa eller remittera ärendet. Myndigheten färdig- ställer ärendet så att det finns ett tillräckligt underlag för det kommande beslutet. I de flesta uppgiftskrav strävar myndigheterna efter att direkt få in en så komplett ansökan som möjligt eftersom det underlättar den fortsatta handläggningen om myndigheten kan undvika att behöva kontakta företaget med krav på kompletteringar. Myndig- heterna har i regel blanketter och e-tjänster som en service till den som fullgör uppgiftskravet och för att underlätta och snabba på den egna handläggningen. Ett ärende kan avslutas på flera sätt. Myndigheten kan sakpröva ärendet varvid beslutet kan utmynna i bifall eller avslag (materiell prövning). Ansökan kan resultera i avvisning p.g.a. att framställ- ningen gjorts till fel myndighet eller att ärendet aktualiserats . Utan att förlora sin karaktär av beslut kan uttalandet som avslutar ärendet vara formlöst eller formbundet, internt eller externt, individuellt eller generellt, betungande eller gynnande, slutligt eller interimistiskt. Det kan innefatta ett avgörande i sak eller vara av processuell natur. Det kan anvisa ett direkt handlings- mönster eller fungera indirekt genom att ligga till grund för andra beslut, som anger ett konkret handlande. Förvaltningslagen anger inga närmare krav på hur ett uppgifts- lämnande ska gå till. Lagen saknar t.ex. helt bestämmelser om vilka uppgifter som en ansökan ska innehålla, på vilket sätt den får göras eller vad den ska innehålla i sak. Ofta finns det bestämmelser om hur ett ärende väcks eller en uppgiftsskyldighet ska fullgöras i specialförfattningar. Dessa kan ställa vitt skilda krav på hur uppgiftslämnandet ska gå till, t.ex. på en särskild blankett som ska undertecknas. I vissa fall ställs det även uttryckliga formkrav på att uppgiftslämnande ska ske genom e-tjänster. Saknas det regler i specialförfattningar får förvaltnings- lagens generella reglering fyllas ut genom praxis och analogier från annan lagstiftning, främst förvaltningsprocesslagen (1971:291). När ett uppgiftskrav fullgörs är det naturligt att kräva att näringsidkaren eller dess företrädare anger vem som lämnat upp- giften och hur myndigheten kan nå denna. Av uppgiftslämnandet behöver framgå vad framställningen gäller och vad företaget vill att myndigheten ska göra med uppgiften. Om det är fråga om en ansökan bör även framgå de omständigheter som ligger till grund för företagets begäran. Förvaltningslagen kan mot denna bakgrund sägas ställa som krav att dessa tre typer av uppgifter lämnas i ett ärende. Uppgifter för identifikation, Vad för slags konkreta uppgifter eller kombinationer av uppgifter som är att betrakta som tillräckliga uppgifter för identifikation kan naturligtvis variera. I detta sammanhang finns anledning att peka på att det finns ett antal olika uppgifter som är unika för företagen. Organisationsnummer eller personnummer anger entydigt vilket företag som myndigheten har att göra med. Även ett registrerat firmanamn är ofta i sitt sammanhang unikt. Om företaget anger någon av dessa uppgifter är detta tillräckligt för att identifiera företaget i fråga. Därutöver kan tänkas en uppsjö av olika kombinationer av uppgifter som eventuellt är tillräckliga för att identifiera företaget beroende på vilka uppgifter som lämnas. Kontaktuppgifter är de uppgifter som krävs för att myndigheten ska kunna kontakta företaget. Det kan vara fråga om postadress, telefonnummer, e-postadress osv. Ärendespecifika uppgifter är uppgifter som krävs för att ett företag ska ansetts ha fullgjort en specifik uppgiftsskyldighet. Vad som är ärendespecifika uppgifter styrs inte av förvaltningslagen utan framgår mer eller mindre tydligt av respektive specialförfatt- ning(ar) eller praxis. Att en uppgift är ärendespecifik utesluter inte att den kan avkrävas ett företag vid flera olika uppgiftsinlämningar av en och samma myndighet eller av flera olika myndigheter. Det faktum att myndigheterna har blanketter och e-tjänster kopplade till nästan alla uppgiftskrav medför också att ovanstående uppdelning för den enskilda uppgiftslämnaren vid ett uppgifts- lämnande inte framstår som meningsfull. Lämnas uppgifter på en blankett eller i en e-tjänst antas att användaren troget fyller i alla uppgifter, även adressfält, telefonnummer och andra efterfrågade kontaktuppgifter utan att reflektera om myndigheten verkligen behöver uppgifterna för sin handläggning. För att skydda värdefull information i samhället finns regler för hur statliga myndigheter ska arbeta med informationssäkerhet. Reglerna avser att skapa ett skydd för data utifrån krav på konfidentialitet, riktighet, tillgänglighet och spårbarhet. Informationssäkerhet omfattar både administrativa rutiner och tekniskt skydd. Skyldigheter för statliga myndigheter att se till att informations- hantering uppfyller kraven på säkerhet finns i förordningen (2006:942) om krisberedskap och höjd beredskap. Myndigheten för samhällsskydd och beredskap (MSB) föreskriver dessutom att myndigheterna ska införa ett ledningssystem för informationssäkerhet och därvid följa de internationella standarderna ISO/IEC 27001 och ISO/IEC 27002 (MSBFS 2009:10). För att förtydliga och underlätta arbetet med informationssäkerhet har MSB tagit fram vägledningar11 inom ett antal områden. Kraven för statliga myndigheters informationssäkerhet omfattar bland annat informationsklassificering och risk- och sårbarhetsanalyser. Varje statlig myndighet som med- verkar i Uppgiftslämnarservice ska arbeta med informationssäkerhet så att datahanteringen uppfyller författningskraven. Vid behandling av personuppgifter finns särskilda bestämmelser om informationssäkerhet. Enligt 31 § personuppgiftslagen (1998:204) ska den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Lämpliga tekniska och organisatoriska åtgärder ska skydda personuppgifter från förstöring genom olyckshändelse eller otillåtna handlingar eller förlust genom olyckshändelse samt mot ändringar, otillåten spridning av eller otillåten tillgång till uppgifterna, särskilt om behandlingen innefattar överföring av uppgifter i ett nätverk, och mot varje annat slag av otillåten behandling. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig utifrån tekniska möjligheter, kostnader, särskilda risker med behandlingen och hur känsliga person- uppgifterna är. Exempel på tekniska åtgärder är bland annat fysiska och logiska säkerhetshjälpmedel samt funktioner för behörighetskontroll, logg- ning och kryptering. Organisatoriska åtgärder för att personalen ska arbeta och tänka säkerhetsmedvetet är exempelvis säkerhetspolicyer, arbetsrutiner, kontroller och avstämningar. Andra säkerhetsåtgärder är fysisk säkerhet, tillträdeskontroll, system för behörighetskontroll, behandlingshistorik (loggar) och skyddet vid kommunikation. Datainspektionen har tagit fram både allmänna råd och särskild information för att ytterligare tydliggöra informationssäkerhets- åtgärder som behövs för att uppfylla personuppgiftslagens krav. Sådana riktlinjer finns bland annat i Säkerhet för personuppgifter (Datainspektionens allmänna råd, 2008) samt i informations- skrifterna it-säkerhet och myndigheters e-tjänster (2008), Inbyggd integritet – Privacy by design – Inbyggda mekanismer i it-system för skydd av den personliga integriteten (2012) och Molntjänster och personuppgiftslagen (2011). Vid behandling av känsliga personuppgifter (13 § personupp- giftslagen) krävs ofta särskilda åtgärder. Även andra personuppgifter, exempelvis stora mängder personuppgifter, uppgifter om lagöver- trädelser m.m. samt personnummer, kan vara integritetskänsliga och bör skyddas särskilt, exempelvis genom säker autentisering. Att en personuppgift omfattas av sekretess kan också indikera att uppgiften ska bedömas som känslig när det gäller krav på säkerhet (se Data- inspektionens uttalande i it-säkerhet och myndigheters e-tjänster). När den personuppgiftsansvarige anlitar ett personuppgifts- biträde ska den personuppgiftsansvarige förvissa sig om att biträdet kan genomföra nödvändiga säkerhetsåtgärder och att åtgärderna faktiskt genomförs (31 § andra stycket personuppgiftslagen). har frågor om möjligheten för en personuppgifts- ansvarig att säkerställa informationssäkerhetskraven hos ett biträde aktualiserats bland annat när ett personuppgiftsbiträde behandlar personuppgifterna i det s.k. molnet.12 Inom ramen för Uppgiftslämnarservice kommer personuppgifter att behandlas, bland annat i samband med hanteringen av grund- läggande uppgifter, vid inloggning och behörighet samt i samman- ställningar och aviseringar. Den personuppgiftsansvarige ska vidta 12 Datormoln, även kallat molntjänster eller molnet, är IT-tjänster som tillhandahålls över internet. Det kan till exempel handla om tillämpningsprogram, serverprogram och lagring av data (). Datainspektionen anger i sin informationsskrift Molntjänster och personuppgiftslagen (2011) att molntjänster innebär att exempelvis processorkraft, lagring och funktioner tillhandahålls av leverantörer som tjänster över Internet. () arbetar med molnet-standardisering och frågan om s.k. cloud computing har se även behandlats och definierats i och i det oberoende . nödvändiga åtgärder för att uppfylla personuppgiftslagens informa- tionssäkerhetskrav och kunna säkerställa att ett anlitat personupp- giftsbiträde lever upp till de högt ställda informationssäkerhets- kraven. Det kravområde i kravspecifikationen som är relevant för Samman- satta bastjänsten är område fem som har beteckningen Företags- uppgifter. 6.2.1Allmänt om Sammansatta bastjänsten Utredningens övergripande syfte är att minska och förenkla före- tagens uppgiftslämnande. Ett sätt att förverkliga detta syfte är att säkerställa att myndigheter använder samma information i behand- lingen av ett ärende för ett visst företag. Ett alltför omfattande informationsutbyte mellan myndigheter om företag kommer emellertid att väcka berättigade frågor om sekretess, personlig integritet, informationssäkerhet m.m. De frågor som utred- ningen har att hantera har sådana implikationer. Det är mot den bakgrunden viktigt att se vilken typ av tekniska lösningar som står till buds för ett effektivt informationsutbyte på det sätt som är centralt i utredningens förslag. Vi har studerat rapporten från E-delegationen om effektiv informationsförsörjning. Man skriver så här om bas- tjänster: Enligt E-delegationens vägledning kännetecknas en bastjänst som en tjänst som kommunicerar system till system och är publicerad i en nationell tjänstekatalog. Den myndighet som tillgängliggör tjänsten bestämmer utifrån juridiska förutsättningar vad bastjänsten ska innehålla. Detta dokumenteras i tjänstekatalogen. Bastjänster som använder andra bastjänster kallas sammansatta bastjänster. Skillnaden mellan enskilda bastjänster och sammansatta bastjänster är att en sammansatt bastjänst returnerar ett s.k. nyttomeddelande med aggregerad information från en eller flera bastjänster. En enskild bastjänst returnerar endast den myndig- hetsspecifika informationen. Den information som återsänds från Sammansatta bastjänsten kan alltså innehålla information från en eller flera av de underliggande bastjänsterna beroende på hur frågan från det överliggande systemet har ställts. Resonemanget i E-delegationens vägledning utgör en utgångs- punkt för utredningens arbete med bastjänster och sammansatta bastjänster. Ett antal myndigheters databaser – om man så vill deras bastjänster – görs tillgängliga via en gemensam punkt. Denna gemensamma punkt är den så kallade Sammansatta bastjänsten. Sammansatta bastjänsten innehåller också regler för vilken av de ingående bastjänsterna som ska anses som bästa källa för en viss grundläggande uppgift.13 Figur 6.1 visar en sådan lösning. Bastjänster hos respektive myndigheter - Dataproducenter Figuren visar hur en e-tjänst hos en myndighet kan anropa Sammansatta bastjänsten, exempelvis när ett företag vill uppfylla ett myndighetskrav. En företrädare för företaget ansluter sig till en 13 Se avsnitt 6.1 för ett resonemang om hur utredningen har sett på begreppet bästa källa. sådan e-tjänst, och fyller i ett formulär där grundläggande uppgifter är förifyllda med uppgifter hämtade från Sammansatta bastjänsten. Figuren märkt API är en programmatisk beskrivning av hur ett anrop till aktuell bastjänst kan ske. Denna beskrivning är speciell för varje bastjänst. Rutan märkt Myndighet X symboliserar ytterligare myndigheter som i takt med att systemet utvecklas kan erbjuda sin information i form av en bastjänst, nåbar genom Sammansatta bastjänsten.