sou · H4B365 · 2016-10-05 00:00:00 — Det innebär att kartläggningen omfattar inte bara myndigheter som exempelvis Datainspektionen och (), som helt eller till stor del ägnar sig åt tillsyn över personuppgiftsbehandling. Några av de myndigheter som ingår i redovisningen har ett huvudsakligt tillsynsuppdrag inom helt andra områden än dataskydd och skyddet för den personliga integriteten. Ytterligare några är inte huvudsakligen tillsynsmyndigheter utan har tilldelats ett visst tillsynsansvar utöver sina andra uppgifter. Vi har för kartläggningen ”dammsugit” lagar och förordningar som innehåller bestämmelser om personuppgiftsbehandling, för att identifiera vilken myndighet som i varje enskilt fall ansvarar för tillsynen över denna behandling, och om det förekommer regleringar som innebär att fler än en myndighet har ett tillsynsansvar över samma personuppgiftsbehandling. Utgångspunkten för kartläggningsarbetet har varit tanken att den dataskyddsreglering som följer av det nuvarande dataskyddsdirektivet och av personuppgiftslagen (1998:204) utgör en kärna i den rättsliga regleringen av den personliga integriteten vid behandlingen av personuppgifter. Datainspektionen är tillsynsmyndighet enligt direktivet och personuppgiftslagen. Härutöver finns bestämmelser om personuppgifts- Kartläggning av dagens tillsyn över personuppgiftsbehandling behandling i många andra författningar, och i vissa av dessa pekas alternativa eller parallella tillsynsmyndigheter ut. I urvalet av dessa övriga författningar har vi sökt efter regleringar av dataskyddsrättslig natur som på något sätt avviker från eller kompletterar personuppgiftslagens regleringar. Vi har gjort sökningar i rättsdatabaser genom att använda sökord som exempelvis ”personuppgift”, ”register” och ”tillsyn”. Ett stort antal av sökresultatet utgörs av författningar som antingen bara hänvisar till att bestämmelser om behandlingen av personuppgifter finns i personuppgiftslagen eller som innehåller en eller flera särregleringar men ingenting om tillsyn. Som exempel på sådana författningar kan nämnas aktiebolagslagen (2005:551), lagen (2001:617) om behandling av personuppgifter inom kriminalvården och studiestödsdatalagen (2009:287). Men som redovisningen visar finns också ett antal regleringar som innebär att andra myndigheter har ett tillsynsansvar som mer eller mindre uttryckligt omfattar även behandlingen av personuppgifter. Dessa presenteras nedan, med kommentarer om i vilken mån tillsynsverksamheten i praktiken omfattar även personuppgiftsbehandling. En svårighet med den sökmetod vi har använt är den begränsning som följer av ett nödvändigt val av sökord. Det finns åtminstone en bestämmelse som reglerar behandling av personuppgifter utan att innehålla något av de sökord som normalt kan förknippas med sådan behandling. Av 19 § marknadsföringslagen (2008:486) följer ett förbud mot s.k. obeställd reklam till fysiska personer via exempelvis e-post, ofta kallad spam. Sådana utskick av marknadsföring innebär en behandling av personuppgifter (som omfattas av tillsyn, vilket berörs ytterligare nedan) men för att just den bestämmelsen, som inte innehåller något av de ord man normalt förknippar med behandling av personuppgifter, skulle omfattas av en databassökning skulle sökorden behöva vara så oprecisa och allmänt hållna att sökresultatet skulle bli svårt eller rent av omöjligt att hantera. Vetskapen om denna bestämmelse och dess utformning gör att vi inte kan utesluta att det finns ytterligare bestämmelser som reglerar personuppgiftsbehandling och som inte har träffats av våra sökningar. Kartläggningen tydliggör att området för behandling av personuppgifter är mycket stort. Sådan behandling förekommer i stort sett överallt i samhället, i både privat och offentlig verksam- Kartläggning av dagens tillsyn över personuppgiftsbehandling Förutsättningarna för personuppgiftsbehandlingen, både de faktiska och de rättsliga, kan variera, bland annat beroende på om behandlingen utförs av enskilda eller av myndigheter och om särskilda krav ställs på skyddet av den enskildes personliga integritet i en viss verksamhet. Dessa varierande förutsättningar påverkar också hur tillsynen är organiserad. Med utgångspunkten att den huvudsakliga, grundläggande regleringen av personuppgiftsbehandling utgörs av dataskyddsdirektivet och personuppgiftslagen, med Datainspektionen som tillsynsmyndighet, kan den samlade regleringen av behandling av personuppgifter ses som en modell med personuppgiftslagen och Datainspektionen som en kärna och ett antal cirklar utanför denna, med författningar som i olika grad reglerar tillsynen över den reglerade personuppgiftsbehandlingen. I det följande presenteras resultatet av kartläggningen, med Datainspektionens tillsyn först (avsnitt 6.2.2). I den kategori författningar och tillsynsmyndigheter som vi placerar närmast utanför modellens mitt återfinns lagar som innehåller uttryckliga bestämmelser om personuppgiftsbehandling och där det enligt vår mening inte råder någon tvekan om att ett tillsynsansvar även över personuppgiftsbehandlingen vilar på en viss utpekad, annan myndighet (avsnitt 6.2.3). Som kontakter med myndigheterna har tydliggjort är det dock inte alltid tillsynen i praktiken omfattar den behandling av personuppgifter som förekommer i den granskade verksamheten. I nästa kategori i modellen återfinns tillsynsmyndigheter som har ett mer allmänt utformat tillsynsuppdrag eller där ett tillsynsansvar för personuppgiftsbehandling visserligen ser ut följa av lag men kan sägas vara teoretiskt(avsnitt 6.2.4). Vid sidan av de ordinarie tillsynsmyndigheterna utförs även extraordinär tillsyn av ombudsmän och Justitiekanslern (avsnitt 6.2.5). I detta sammanhang kan även personuppgiftsombudens arbete nämnas. En personuppgiftsansvarig kan utse ett personuppgiftsombud och anmäla detta till Datainspektionen. Ombudet har till uppgift att självständigt, men inom den aktuella verksamheten, se Kartläggning av dagens tillsyn över personuppgiftsbehandling till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och påpeka eventuella brister för honom eller henne. Om rättelse då inte sker av den personuppgiftsansvarige ska ombudet anmäla förhållandet till Datainspektionen. En personuppgiftsansvarig som har utsett och anmält ett personuppgiftsombud undantas från den anmälningsplikt som annars som huvudregel råder för personuppgiftsbehandling. Ett personuppgiftsombuds uppgifter utgör inte tillsyn, men kan sägas komplettera och förstärka tillsynsmyndigheternas arbete genom att öka regelefterlevnaden i de verksamheter som omfattas av tillsyn. De olika kategorierna och tillsynsmyndigheterna beskrivs, med utgångspunkt i de olika verksamheter och rättsliga regleringar där de aktualiseras, i de följande avsnitten. 6.2.2Dataskyddsdirektivet, personuppgiftslagen och Datainspektionen Den grundläggande dataskyddsrättsliga regleringen, dvs. de bestämmelser som avser att skydda den enskildas personliga integritet vid personuppgiftsbehandling, utgörs i av personuppgiftslagen. Lagen grundar sig på EU:s dataskyddsdirektiv (och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter). Ett omfattande reformarbete inom EU har resulterat i en ny dataskyddsreglering, där och rådet antog en allmän dataskyddsförordning och ett dataskyddsdirektiv för det brottsbekämpande området. Förordningen ska börja tillämpas och direktivet ska vara implementerat i nationell rätt . Vilka anpassningar och kompletterande författningsregleringar som krävs för svensk del med anledning av de nya rättsakterna är föremål för pågående utredningsarbeten, som beräknas vara slutförda respektive september 2017.1 Även vi har haft i uppdrag att lämna vissa förslag som behövs för att en svensk tillsynsmyndighet ska kunna fullgöra de uppgifter som 1 (Ju 2016:04, dir. 2016:15) respektive Utredningen om 2016 års dataskyddsdirektiv (Ju 2016:06, dir. 2016:21). Kartläggning av dagens tillsyn över personuppgiftsbehandling följer av förordningen och direktivet. Våra överväganden i dessa delar redovisas i kapitel 9. Det nu gällande dataskyddsdirektivet föreskriver att varje medlemsstat ska ha en eller flera tillsynsmyndigheter som ska övervaka tillämpningen av de nationella bestämmelser som antagits till följd av direktivet. ska ha vissa angivna uppgifter och befogenheter. I är Datainspektionen denna myndighet.2 Datainspektionen har det övergripande, generella ansvaret för tillsynen över behandling av personuppgifter. Tillsynsuppdraget är brett och Datainspektionen är behörig att utöva tillsyn över all personuppgiftsbehandling.3 Tillsynen avser både sådan behandling som regleras av personuppgiftslagen och sådan som omfattas av särskilda registerlagar med avvikande eller kompletterande bestämmelser. Utformningen av Datainspektionens behörighet innebär att det inte finns några ”luckor” i tillsynen över behandlingen av personuppgifter. Det finns med andra ord inte någon personuppgiftsbehandling som inte omfattas av någon myndighets tillsynsbefogenhet; om inte någon annan myndighet utövar tillsyn kan Datainspektionen alltid göra det. Beskrivningen i detta avsnitt av Datainspektionens uppgifter och befogenheter tar i huvudsak sikte på vad som gäller , innan de nya rättsakterna har börjat tillämpas eller implementerats. EU:s dataskyddsreform innebär dock nyheter inte minst för de nationella tillsynsmyndigheterna. En närmare beskrivning av vad dessa nyheter innebär och vilka konsekvenser de får för en svensk tillsynsmyndighet ges, så långt det är möjligt och till den del det har ansetts falla inom vårt uppdrag, i kapitel 9. Datainspektionens uppgift är enligt sin myndighetsinstruktion att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter. Verksamheten ska särskilt inriktas på att informera om gällande regler samt ge råd och hjälp åt personuppgiftsombud. Det åligger också myndigheten att följa och beskriva utvecklingen på IT-området när det 22 a § förordningen [2007:975] med instruktion för Datainspektionen. 3Härutöver har några ytterligare myndigheter i uppdrag att utöva tillsyn över behandling av personuppgifter inom vissa särskilt angivna områden, vilket beskrivs nedan. Har en annan myndighet behörighet att utöva tillsyn avstår Datainspektionen normalt från tillsynsinsatser på detta område. Kartläggning av dagens tillsyn över personuppgiftsbehandling gäller frågor om integritet och ny teknik. Av Datainspektionens regleringsbrev följer vidare att myndigheten ska upptäcka och förebygga hot mot den personliga integriteten och att verksamheten främst ska inriktas på områden som bedöms vara särskilt känsliga ur ett integritetsperspektiv, nya företeelser och användningsområden av teknik samt områden där risk för missbruk eller felaktig användning bedöms vara särskilt stor. Myndighetens verksamhet styrs i huvudsak av personuppgiftslagen, personuppgiftsförordningen och förordningen med myndighetens instruktion. Dessutom innehåller en mängd internationella dokument, exempelvis dataskyddskonvention,4 ,5 Prümrådsbeslutet6 och VIS-förord- ningen7 bestämmelser om nationella tillsynsmyndigheter. Det är Datainspektionen som är nationella tillsynsmyndighet även enligt dessa dokument. Datainspektionen ingår också i den s.k. Artikel 29-gruppen, den arbetsgrupp som inrättats med stöd av artikel 29 i det nuvarande dataskyddsdirektivet och som har till uppgift att se till att direktivet tillämpas enhetligt i medlemsstaterna. Gruppen ska också bland annat ge råd till kommissionen om förslag till ändringar i direktivet. När den nya dataskyddsförordningen träder i kraft kommer denna grupp att ersättas av den s.k. dataskyddsstyrelsen, (). Datainspektionen är också tillstånds- och tillsynsmyndighet enligt kreditupplysningslagen (1973:1173) och inkassolagen (1974:182) och ska i denna verksamhet verka för att god sed iakttas i de verksamheter som omfattas av dessa lagar. Kreditupplysningslagen ska i första hand skydda de registrerades personliga integritet, men lagen ska också bidra till en effektiv kreditupplysningsverksamhet. Inkassolagen har bestämmelser om god inkassosed, vilket bland annat innebär att den som inkassoåtgärderna riktas mot inte får 4Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter (artikel 13). 5Konventionen om tillämpning av av (artikel 114). 6Rådets beslut /615/RIF av om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet (artikel 30.5). 7Europaparlamentets och rådets förordning (EG) nr 767/2008 av om informationssystemet för visering (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (artikel 41). Kartläggning av dagens tillsyn över personuppgiftsbehandling utsättas för onödiga kostnader. Datainspektionens tillsyn omfattar inte inkassoverksamheter som står under tillsyn. Detta är fallet med inkassoföretag som också ägnar sig åt exempelvis kreditgivning. Datainspektionen avgör själv när det finns anledning att inleda ett tillsynsärende. Beslutet kan grunda sig på exempelvis iakttagelser vid ett annat tillsynsärende, en beslutad tillsynsplan, ett tips från massmedia eller andra myndigheter och klagomål från enskilda. Tillsyn kan också initieras efter en anmälan från ett personuppgiftsombud. Datainspektionen tar emot klagomål från enskilda som anser att de har varit föremål för en felaktig personuppgiftsbehandling men är inte skyldig att inleda ett tillsynsärende på grund av en gjord anmälan. Alla som klagar får dock ett besked i någon form från Datainspektionen. Av de nya EU-rättsakterna kommer att följa en i viss mån ökad skyldighet att agera med anledning av ett klagomål. Tillsynsmyndigheterna ska enligt dataskyddsförordningen och det nya dataskyddsdirektivet där så är lämpligt undersöka den sakfråga som klagomålet gäller och inom rimlig tid underrätta den klagande om hur undersökningen fortskrider och om resultatet, i synnerhet om det krävs ytterligare undersökningar eller samordning med en annan tillsynsmyndighet (artikel 57.1 f i förordningen och artikel 46.1 f i direktivet). Om tillsynsmyndigheten underlåter att behandla ett klagomål eller att informera den klagande om hur ärendet fortskrider ska den registrerade ha rätt till ett effektivt rättsmedel (artikel 78.2 respektive 53.2). Tillsyn bör enligt Datainspektionens tillsynspolicy8 inledas i bland annat följande fall: •vid allvarliga brister i hanteringen av personuppgifter, •om behandlingen har utförts av en myndighet, ett stort företag eller en stor förening, •om den enskilde befinner sig i en beroendeställning till den personuppgiftsansvarige, 8 Datainspektionens styrdokument, Tillsynspolicy avseende PUL, . Kartläggning av dagens tillsyn över personuppgiftsbehandling •om det är fråga om en integritetskänslig behandling, stora uppgiftsmängder om en person eller behandlingar om många människor, eller •om det är fråga om nya företeelser där det kan finnas risk för integritetsintrång och betydande brister i säkerheten för personuppgifterna. För att kunna genomföra ett tillsynsärende har Datainspektionen rätt att få tillgång till de personuppgifter som har behandlats. Myndigheten har också rätt att få upplysningar om och dokumentation av behandlingen av personuppgifter och säkerheten vid denna behandling, och har dessutom rätt att få tillträde till lokaler som har anknytning till den aktuella personuppgiftsbehandlingen. Inspektioner kan ske genom fältinspektion, enkätinspektion, skrivbordsinspektion eller genom s.k. förenklad tillsyn. Det är möjligt att genomföra oanmälda inspektioner, men sådana är ovanliga. Om Datainspektionen trots en begäran inte har fått tillräckligt underlag för att konstatera att behandlingen av personuppgifter är laglig, får inspektionen förbjuda vidare behandling på annat sätt än genom lagring. Ett sådant förbud kan förenas med vite.9 Dessutom gäller att den som uppsåtligen eller av grov oaktsamhet lämnar osanna uppgifter till Datainspektionen, liksom den som i övrigt bryter mot vissa andra angivna bestämmelser i personuppgiftslagen, kan dömas till böter eller fängelse (49 §). Datainspektionen kan efter en avslutad utredning genom antingen ett föreläggande eller en rekommendation ange vilka åtgärder den personuppgiftsansvarige ska eller bör vidta för att komma tillrätta med eventuella felaktigheter i personuppgiftsbehandlingen. Om rättelse inte sker kan inspektionen förbjuda den personuppgiftsansvarige att fortsätta med behandlingen. Datainspektionen har också rätt att besluta om vilka säkerhetsåtgärder som måste vidtas. 9 Staten anses dock inte utan särskild reglering kunna bli föremål för ett vitesföreläggande, varför ett sådant beslut ofta inte kan meddelas mot andra statliga myndigheter. Se t.ex. prop. 1984/85:96 s. 24 och prop. 2012/13:143 s. 66 f. I vissa författningar är det också särskilt reglerat att ett förbud inte kan förenas med vite, t.ex. 2 kap. 2 § fjärde stycket polisdatalagen (2010:361) och 9 kap. 8 § andra stycket . Frågan om en tillsynsmyndighets möjligheter att döma ut administrativa sanktionsavgifter mot myndigheter och offentliga organ med stöd av den nya dataskyddsförordningen är föremål för utredning i (Ju 2016:04, dir. 2016:15). Kartläggning av dagens tillsyn över personuppgiftsbehandling Vid sidan av Datainspektionen arbetar som nämnts personuppgiftsombud för att behandlingen av personuppgifter inom den egna organisationen ska vara korrekt. Om ombudet anser att det har förekommit en felaktig behandling, och om den personuppgiftsansvarige inte vidtar rättelse, ska ombudet anmäla detta till Datainspektionen, som då kan inleda ett tillsynsärende och vid behov kräva åtgärder. Ett personuppgiftsombud kan begära samråd med Datainspektionen om tolkning av personuppgiftslagstiftningen. En stor del av Datainspektionens arbete ägnas åt förebyggande arbete i form av information och vägledning till bland annat personuppgiftsansvariga och personuppgiftsombud. Myndighetens webbplats spelar här en stor roll, och ett omfattande informationsmaterial publiceras där. Vid myndigheten finns också en särskild s.k. upplysningstjänst som via telefon och e-post besvarar frågor om bland annat personuppgiftsbehandling. inkommer närmare 10 000 frågor till upplysningstjänsten. Det omfattande förebyggande och utåtriktade arbetet syftar till att personuppgiftsbehandlingen ska bli rätt från början så att behovet av ingripande åtgärder vid felaktig behandling ska minska. Datainspektionen yttrar sig vidare över bland annat lagförslag och branschöverenskommelser, och deltar i konferenser. Företrädare för myndigheten medverkar ofta som experter i statliga utredningar. Datainspektionen samverkar också med andra myndigheter och organisationer, i syfte att åstadkomma samsyn i integritetsfrågor och sprida kunskap om integritetsrisker, utbyta information samt att klargöra gränser mellan olika myndigheters tillsynsansvar. Datainspektionen har även tillsynsuppgifter enligt kameraövervakningslagen, vilket beskrivs nedan. Datainspektionens tillsyn avser personuppgiftsbehandling som utförs i både enskild och offentlig verksamhet. Myndighetens beslut kan överklagas till allmän förvaltningsdomstol. Tillsynsverksamheten vid Datainspektionen är omfattande. Tillsyn enligt personuppgiftslagen är den största ärendekategorin, vid sidan av främst ärenden enligt kreditupplysnings- och inkassolagarna. Av totalt 139 avgjorda tillsynsärenden avsåg 82 () tillsyn enligt personuppgiftslagen. Av totalt 417 inkomna klagomål från enskilda 2015 avsåg 252 () klagomål enligt personuppgiftslagen. Härutöver avser enskildas klagomål kreditupplys- nings-, inkasso- och kameraövervakningsärenden. Kartläggning av dagens tillsyn över personuppgiftsbehandling avgjordes 1032 ärenden med koppling till kameraövervakningslagen. Bland dessa återfinns bland annat granskningar av länsstyrelsernas beslut i tillstånds- och tillsynsärenden, överklagande av länsstyrelsers beslut om kameraövervakning samt besvarande av frågor om kameraövervakning från allmänheten och tillverkare av kamerautrustning. 6.2.3Andra myndigheter med ett uttryckligt tillsynsansvar över personuppgiftsbehandling Vid sidan av dataskyddsdirektivet och personuppgiftslagen finns ett stort antal lagar och förordningar som i varierande omfattning reglerar behandling av personuppgifter. Sådana bestämmelser förekommer i föreskrifter av vitt skilda slag, både sådana vars huvudsakliga syfte är att reglera just register- och personuppgiftsfrågor och sådana som främst reglerar helt andra frågor men som också innehåller vissa bestämmelser om personuppgiftsbehandling. Exempel på den första kategorin är ett stort antal lagar om behandling av personuppgifter i olika typer av verksamhet, såsom åklagardatalagen (2015:433), apoteksdatalagen (2009:367) och lagen (2001:617) om behandling av personuppgifter inom kriminalvården. Exempel på den andra kategorin är marknadsföringslagen (2008:486) och kasinolagen (1999:355). Gemensamt för alla dessa föreskrifter är att de innehåller en eller flera bestämmelser om personuppgiftsbehandling som kompletterar eller ersätter bestämmelser i personuppgiftslagen. I allra flesta av dessa föreskrifter finns ingen specialreglering om tillsyn. Bestämmelserna om behandling av personuppgifter är enbart avsedda att komplettera eller ersätta personuppgiftslagen i något avseende, eftersom den reglerade verksamheten har ansetts behöva exempelvis en reglering som ytterligare stärker den registrerades integritetsskydd eller av andra skäl behöver en reglering utöver den som följer av personuppgiftslagen. Sägs här inget särskilt om tillsynsansvaret är det bara Datainspektionen som är tillsynsmyndighet. I några av föreskrifterna förekommer däremot särregleringar om ansvaret för tillsyn. Vid sidan av Datainspektionen finns nämligen ett antal myndigheter med ett författningsreglerat uppdrag att utöva tillsyn över bland annat behandling av personuppgifter. I det följande beskrivs de föreskrifter som innehåller bestämmelser om behandling av personuppgifter och som dessutom har en reglering Kartläggning av dagens tillsyn över personuppgiftsbehandling som innebär att en annan myndighet än Datainspektionen har i uppdrag att utöva tillsyn över denna personuppgiftsbehandling. En särskild fråga är hur ansvaret för tillsynen ska fördelas när en annan myndighet än Datainspektionen utövar tillsyn över en viss lag och denna, vilket normalt är fallet, endast innehåller några enstaka bestämmelser om personuppgiftsbehandling. För de frågor som inte är särreglerade i lagen gäller i sådana fall personuppgiftslagen när personuppgifter behandlas. Datainspektionen är tillsynsmyndighet enligt personuppgiftslagen. Behandlingen av personuppgifter inom exempelvis ett register kan därmed ske med stöd av olika lagar och med olika behöriga tillsynsmyndigheter. Vi återkommer i kapitel 8 till frågan om och när en sådan fördelning av tillsynsansvar riskerar att skapa gränsdragningsproblem. Som vår kartläggning visar ingår frågor om den granskade verksamhetens behandling av personuppgifter inte alltid i den tillsyn som faktiskt utförs av dessa myndigheter. Som framgår ovan har vi valt att tolka uppdraget så att regleringarna och myndigheterna ändå redovisas i detta sammanhang, så att bilden av dagens tillsyn över personuppgiftsbehandling ska bli så heltäckande som möjligt. Behandling av personuppgifter i viss brottsbekämpande verksamhet Säkerhets- och integritetsskyddsnämndens tillsyn över bland annat polisdatalagen Polisdatalagen (2010:361) gäller vid behandling av personuppgifter i den brottsbekämpande verksamheten inom och Säkerhetspolisen, samt vid polisiärt arbete vid .