sou · H4B365 · 2016-10-05 00:00:00 — Varje medlemsstat får enligt artikel 58.6 i lag ge sin tillsynsmyndighet ytterligare befogenheter, så länge sådana inte påverkar effektiviteten i samverkan mellan tillsynsmyndigheterna i de olika medlemsstaterna. Det nuvarande dataskyddsdirektivets motsvarighet till uppräkningen av tillsynsmyndigheternas befogenheter är den mera begränsade regleringen i artikel 28, där det anges att en oberoende tillsynsmyndighet ska ha undersökningsbefogenheter, effektiva befogenheter att ingripa och befogenhet att inleda rättsliga förfaranden om överträdelser av direktivet eller att uppmärksamma de rättsliga myndigheterna på sådana överträdelser. De olika typerna av befogenheter exemplifieras i artikeln. Vissa av de krav som ställs Anpassningar med anledning av EU:s dataskyddsreform upp i det nuvarande direktivet regleras i personuppgiftslagen. Det gäller bestämmelser om tillsynsmyndighetens tillgång till såväl personuppgifter och upplysningar som tillträde till lokaler (43 §), tillsynsmyndighetens möjligheter att under vissa förutsättningar döma ut vite (44–46 §§) samt rätten för tillsynsmyndigheten att efter bemyndigande från regeringen besluta om undantag från förbudet mot överföring av personuppgifter till tredje land. Resten har ansetts vara uppfyllda genom annan lagstiftning eller bedömts kunna genomföras i annan form än lag. Personuppgiftsförordningen och förordningen med instruktion för Datainspektionen är exempel på det sistnämnda. Förordningens uppräkning av vilka befogenheter en tillsynsmyndighet ska ha är omfattande och såvitt vi kan bedöma tillräckliga för att myndigheten ska kunna fullgöra sina uppgifter. På grundval av det vi känner till och kan överblicka saknas det därmed behov av att på nationell nivå föreskriva att Datainspektionen ska ha ytterligare befogenheter utöver dem som följer av förordningen. 9.3.5Behövs det en kompletterande reglering av tillsynsmyndighetens uppgifter i myndighetsinstruktionen? Bedömning: Det finns inget utrymme eller behov av en kompletterande reglering av Datainspektionens uppgifter i myndighetens instruktion. Förslag: Datainspektionens instruktion ska inte längre ange att myndighetens verksamhet särskilt ska inriktas på att informera om gällande regler samt ge råd och hjälp åt personuppgiftsombud. Anpassningar med anledning av EU:s dataskyddsreform I dataskyddsförordningens artikel 57 anges vilka uppgifter de nationella tillsynsmyndigheterna ska ha. I vårt uppdrag ingår att analysera vilket utrymme och behov det finns av regler om myndighetens uppgifter i instruktionen till myndigheten. Vi har inte fått motsvarande uppdrag när det gäller det nya dataskyddsdirektivet. En tillsynsmyndighet ska enligt dataskyddsförordningen –övervaka och verkställa tillämpningen av förordningen, –öka allmänhetens medvetenhet om och förståelse för risker, regler, skyddsåtgärder och rättigheter i fråga om behandling. Särskild uppmärksamhet ska ägnas åt insatser som riktar sig till barn, –i enlighet med nationell lagstiftning ge rådgivning åt det nationella parlamentet, regeringen och andra institutioner och organ om lagstiftningsåtgärder och administrativa åtgärder rörande skyddet av fysiska personers rättigheter och friheter när det gäller behandling, –öka personuppgiftsansvarigas och personuppgiftsbiträdens medvetenhet om sina skyldigheter enligt förordningen, –på begäran tillhandahålla information till registrerade om hur de ska utöva sina rättigheter enligt förordningen, och om så krävs samarbeta med tillsynsmyndigheterna i andra medlemsstater för detta ändamål, –behandla klagomål från en registrerad eller från ett organ, en organisation eller en sammanslutning, och där så är lämpligt undersöka den sakfråga som klagomålet gäller och inom rimlig tid underrätta den enskilde om hur undersökningen fortskrider och om resultatet, i synnerhet om det krävs ytterligare undersökningar eller samordning med en annan tillsynsmyndighet,19 –samarbeta, inbegripet utbyta information, med och ge ömsesidigt bistånd till andra tillsynsmyndigheter för att se till att förordningen tillämpas och verkställs på ett enhetligt sätt, 19 Av artikel 78.2 i förordningen följer att tillsynsmyndigheten ska informera den registrerade om hur handläggningen av ett klagomål fortskrider eller vilket beslut som har fattats med anledning av klagomålet. Anpassningar med anledning av EU:s dataskyddsreform –utföra undersökningar om tillämpningen av förordningen, inbegripet på grundval av information som erhålls från en annan tillsynsmyndighet eller annan myndighet, –följa sådan utveckling som påverkar skyddet av personuppgifter, bland annat inom informations- och kommunikationsteknik och affärspraxis, –anta sådana standardavtalsklausuler som avses i artiklarna 28.8 och 46.2 d, –upprätta och föra en förteckning när det gäller kravet på en konsekvensbedömning avseende dataskydd enligt artikel 35.4, –ge råd om behandling av personuppgifter enligt artikel 36.2, –främja framtagande av uppförandekoder enligt artikel 40.1 samt yttra sig över och godkänna sådana uppförandekoder som tillhandahåller tillräckliga garantier, i enlighet med artikel 40.5, –uppmuntra till inrättandet av certifieringsmekanismer för dataskydd och av sigill och märkningar för dataskydd i enlighet med artikel 42.1 samt godkänna certifieringskriterierna i enlighet med artikel 42.5, –i tillämpliga fall genomföra en periodisk översyn av certifieringar som utfärdats i enlighet med artikel 42.7, –utarbeta och offentliggöra kriterier för ackreditering av ett organ för övervakning av uppförandekoder enligt artikel 41 och ett certifieringsorgan enligt artikel 43, samt ackreditera sådana organ, –godkänna sådana avtalsklausuler och bestämmelser som avses i artikel 46.3, –godkänna sådana bindande företagsbestämmelser som avses i artikel 47, –bidra till dataskyddsstyrelsens verksamhet, –hålla arkiv över överträdelser av förordningen och åtgärder som vidtagits i enlighet med artikel 58.2, samt –utföra eventuella andra uppgifter som rör skyddet av personuppgifter. Anpassningar med anledning av EU:s dataskyddsreform Tillsynsmyndigheterna ska vidare underlätta inlämningen av klagomål, exempelvis genom framtagande av ett särskilt elektroniskt formulär. Utförandet av myndighetens uppgifter ska vara kostnadsfritt för den registrerade och för det eventuella dataskyddsombudet. Om en begäran är uppenbart ogrundad eller orimlig får dock tillsynsmyndigheten utkräva en rimlig avgift eller vägra att tillmötesgå begäran. Dagens reglering i instruktionen för Datainspektionen Av förordningen (2007:975) med instruktion för Datainspektionen följer att Datainspektionens uppgift är att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter. Myndigheten ska särskilt inrikta sin verksamhet på att informera om gällande regler samt ge råd och hjälp åt personuppgiftsombud. Myndigheten ska också följa och beskriva utvecklingen på IT-området när det gäller frågor som rör integritet och ny teknik. Datainspektionen ska enligt sin instruktion också fullfölja förpliktelser och uppgifter som följer av vissa internationella dokument. Dataskyddsförordningen är direkt tillämplig i medlemsstaterna och Datainspektionen ska därför direkt på grundval av förordningen ha de uppgifter som följer av denna reglering. Det saknas därför behov av att härutöver reglera dessa uppgifter i myndighetsinstruktionen. Vi ser heller inte något behov av att av andra skäl föreslå några kompletterande bestämmelser i instruktionen om Datainspektionens uppgifter. Härtill torde förordningens tydliga krav på tillsynsmyndigheternas oberoende göra att utrymmet för regeringen att styra Datainspektionen genom regleringar i myndighetsinstruktionen generellt är begränsat. Kravet att tillsynsmyndigheterna ska vara oberoende gör vidare enligt vår mening att regeringens instruktion till Datainspektionen inte bör innehålla en bestämmelse med innebörden att vissa av de uppgifter som följer av dataskyddsförordningen pekas ut som mer angelägna än andra. Vi föreslår därför att den bestämmelse som säger att Datainspektionen särskilt ska inrikta sin verksamhet på att Anpassningar med anledning av EU:s dataskyddsreform informera om gällande regler samt ge råd och hjälp åt personuppgiftsombud enligt personuppgiftslagen tas bort från myndighetsinstruktionen. Våra överväganden om behovet av och utrymmet för att reglera Datainspektionens uppgifter gäller i förhållande till dataskyddsförordningen. I den utsträckning som Datainspektionen har uppgifter som faller utanför förordningens tillämpningsområde är regeringen fri att reglera myndighetens verksamhet. 9.3.6Tillsynsmyndighetens resurser och anknytande frågor Bedömning: Datainspektionen kommer att få nya och utvidgade uppgifter när de nya EU-rättsakterna ska tillämpas och vara implementerade i . Härutöver krävs ett omfattande förberedelsearbete. Detta förutsätter ökade resurser till Datainspektionen, främst i form av rekrytering av jurister och it-säkerhetspersonal. Det går inte mera exakt uppskatta storleken av resursbehovet. Ett säkrare underlag kan fås först när det genom det fortsatta arbetet med att anpassa svensk rätt och utformningen av tillsynen kan bedömas vad dataskyddsförordningen och det nya dataskyddsdirektivets kräver. Förslag: De uppskattningar Datainspektionen har gjort bör ligga till grund för det fortsatta arbetet med att bedöma myndighetens resursbehov. Av artikel 52.4 i förordningen och artikel 42.4 i direktivet följer att medlemsstaterna ska säkerställa att varje tillsynsmyndighet förfogar över de personella, tekniska och finansiella resurser samt de lokaler och den infrastruktur som behövs för att myndigheten ska kunna utföra sina uppgifter och utöva sina befogenheter, inklusive inom ramen för det ömsesidiga biståndet, samarbetet och deltagandet i dataskyddsstyrelsens verksamhet. Anpassningar med anledning av EU:s dataskyddsreform SOU 2016:65 Datainspektionens bedömning av behovet av resurser Datainspektionen har i budgetunderlaget för perioden –2019 till regeringen anfört att få myndigheter har sett sitt arbetsområde förändras så radikalt som Datainspektionen gjort under de senaste 10–15 åren, med en kraftig ökning av digital behandling av personuppgifter inom både offentlig och privat verksamhet och en rasande snabb teknisk utveckling. Till detta kommer den kommande dataskyddsreformen inom EU, som enligt Datainspektionen innebär nya och förändrade uppgifter för myndigheten, men också ställer högre krav på myndigheter och företag som behandlar personuppgifter, vilket ökar behovet både av information och vägledning från Datainspektionen och av en effektiv tillsynsverksamhet. Mot bakgrund av det omfattande arbete som krävs för att anpassa myndighetens organisation, arbetssätt, informationsmaterial m.m. efter förordningens och direktivets krav, men också för att i ett så tidigt skede som möjligt ge stöd och anvisningar till myndigheter och företag för att förbereda även dessa på reformen och därigenom öka förutsättningarna för ett gott integritetsskydd, anser Datainspektionen att myndighetens resurser behöver förstärkas med ytterligare anslagsmedel. Medlen ska enligt underlaget användas för att rekrytera ytterligare personal, i första hand jurister och itsäkerhetsspecialister. Datainspektionen räknar härutöver med ökade kostnader för bland annat lokaler, it-stöd och arbetsplatsutrustning. Det som här redovisats om vad Datainspektionen anfört om resursbehovet är baserat på den bedömning Datainspektionen gjorde för budgetunderlaget. Arbetet med att bedöma behovet av resursförstärkningar med anledning av EU:s nya dataskyddsrättsakter fortsätter inom Datainspektionen. De nationella tillsynsmyndigheterna får genom dataskyddsförordningen och det nya dataskyddsdirektivet omfattande och preciserade uppgifter inte minst när det gäller gränsöverskridande sam- Anpassningar med anledning av EU:s dataskyddsreform arbete och tillsynsåtgärder. Vi kan dessutom konstatera att dataskyddsförordningen är ett betydligt mer komplext regelverk än det nuvarande dataskyddsdirektivet och personuppgiftslagen och att det innehåller direktverkande EU-regler där förarbetsuttalanden och andra vägledande förarbeten saknas. Det nya dataskyddsdirektivet kommer också att innebära en detaljerad reglering av ett område som inte på EU-nivå har reglerats genom direktiv. Även inom EU, ibland annat i den nuvarande Artikel 29-gruppen där Datainspektionen medverkar, kommer det att krävas ett ökat förberedelsearbete för att omvandla gruppen till den dataskyddsstyrelse som föreskrivs av förordningen och direktivet. Detta arbete kommer att kräva ett omfattande förberedelsearbete även på hemmaplan. Härutöver kan de nya rättsakterna förväntas medföra att klagomålshanteringen tar mer resurser i anspråk, som en följd både av tillsynsmyndigheternas skyldighet att behandla varje klagomål, de ökade mängder klagomål som kan förväntas bli en följd av e-tillgänglighetskravet och kravet att en klagande ska ha rätt att kräva biträde av Datainspektionen för kontakter med tillsynsmyndigheter i andra medlemsländer. Till detta kommer bestämmelser om bland annat gränsöverskridande personuppgiftsbehandling, godkännande av standardavtalsklausuler och förhandskontroller som också innebär ett ökat resursbehov för Datainspektionen. Allt detta förutsätter, både före och efter rättsakternas ikraftträdande, att Datainspektionen tillförs resurser. Myndigheten behöver i första hand ytterligare personal, främst jurister och itsäkerhetspersonal. Det är för tidigt att mera exakt uppskatta storleken av resursbehovet. Det pågår ett arbete, både inom Datainspektionen och på annat håll, med att utreda och överväga vilka konsekvenser de nya rättsakterna får för hur tillsynen ska vara utformad . Detta gäller inte minst de pågående utredningarna om anpassningar med anledning av dataskyddsförordningen och det nya dataskyddsdirektivet20 som ska redovisa sina överväganden . Mot bakgrund av de uppskattningar som går att göra anser vi att Datainspektionens beräkningar bör ligga till grund för det fortsatta arbetet med att bedöma myndighetens resursbehov. 20 Dir. 2016:15 och 2016:21. Anpassningar med anledning av EU:s dataskyddsreform I kapitel 11 återkommer vi till frågan om de ekonomiska konsekvenserna i övrigt av våra förslag om vissa förändringar av tillsynsansvaret. 10Förstärkning av skyddet för den personliga integriteten genom vissa förändringar av tillsynsansvaret Vi har i kapitel 8 redovisat vår uppfattning att all tillsyn över behandling av personuppgifter varken kan eller bör samlas hos en enda myndighet. Dagens ordning bygger på att en central tillsynsmyndighet, Datainspektionen, har det centrala och mest omfattande tillsynsansvaret med ett mycket brett tillsynsområde. Att några myndigheter härutöver också har ett till vissa särskilda frågor begränsat tillsynsansvar är både nödvändigt och motiverat. Tillsynen skulle enligt vår uppfattning inte bli bättre eller effektivare, och skyddet för den personliga integriteten skulle därmed inte stärkas, om all tillsyn samlades hos en myndighet. Tvärtom skulle en sådan ordning innebära ett försämrat skydd för den enskildes integritet. Vi har emellertid kunnat konstatera att det inom några områden finns förutsättningar att förbättra tillsynen ytterligare genom att på vissa punkter justera fördelningen av tillsynsansvaret och tydliggöra ansvarsfördelningen mellan olika myndigheter. Vi lämnar i det följande förslag på några sådana justeringar, som innebär en viss överföring av tillsynsansvar från andra myndigheter till Datainspektionen. Vår uppfattning är att dessa förslag stärker skyddet för den enskildes personliga integritet och bidrar till att tillsynsansvaret blir mer ändamålsenligt. Härtill kommer att dataskyddsreformen inom ställer vissa ytterligare krav på hur medlemsstaterna utformar sin tillsyn. Våra förslag är, så långt det i Förstärkning av skyddet för den personliga integriteten... nuläget är möjligt, anpassade efter dessa krav. Vi kan dock redan nu konstatera att de pågående utredningar som har i uppdrag att föreslå nödvändiga anpassningar av svensk rätt med anledning av EU:s dataskyddsreform1 kan ha anledning att på nytt överväga vissa av de frågor som omfattas av vårt uppdrag. 10.2Datainspektionens tillsynsansvar på området för elektronisk kommunikation Förslag: Tillsynen över bestämmelserna i lagen om elektronisk kommunikation om abonnentförteckningar och s.k. cookies ska utföras av Datainspektionen i stället för av . Kopplingen till sektorn elektronisk kommunikation är här svagare och prövningen tar sikte på mer allmänna dataskyddsrättsliga överväganden. Datainspektionen får härigenom ett mer samlat tillsynsansvar över behandling av personuppgifter. Bedömning: För att utnyttja Datainspektionens expertkunskaper på området för integritetsskydd vid personuppgiftsbehandling och stärka Datainspektionens roll som central tillsynsmyndighet på området är det av värde om samråder med Datainspektionen när frågor om innebörden av centrala dataskyddsrättsliga begrepp uppkommer i tillsynen. Det kan också bli aktuellt att hänskjuta frågor till Datainspektionen för avgörande. Möjligheterna till samråd och hänskjutande följer redan av lagstiftningen och kräver ingen ytterligare reglering. Även uppgifter som omfattas av sekretess torde kunna lämnas över. 1 Främst och Utredningen om 2016 års dataskyddsdirektiov (dir. 2016:15 och 2016:21). Förstärkning av skyddet för den personliga integriteten... 10.2.1Bestämmelserna om integritetsskydd i lagen om elektronisk kommunikation () är en av de myndigheter som vid sidan av Datainspektionen ska utöva tillsyn över behandling av personuppgifter. I förhållande till andra sådana myndigheter är PTS:s tillsynsområde på detta område relativt stort. PTS är tillsynsmyndighet enligt lagen (2003:389) om elektronisk kommunikation (LEK), som i 6 kap. har bestämmelser om behandling av trafikuppgifter och integritetsskydd. Lagen, som till stor del bygger på det s.k. e-privacydirektivet,2 är avsedd att skydda både den personliga integriteten och den mer omfattande rätten till förtrolig kommunikation. Rätten till förtrolig kommunikation innebär att såväl innehållet i en kommunikation som uppgifter som beskriver kommunikationen ska skyddas, oavsett om uppgifterna utgör personuppgifter eller inte. Huvuddelen av bestämmelserna i 6 kap. LEK har ett nära samband med tillhandahållandet av elektroniska kommunikationstjänster eller elektroniska kommunikationsnät, och kan bara tillämpas mot den som tillhandahåller sådana tjänster och nät, s.k. operatörer. Bestämmelserna reglerar operatörernas hantering av uppgifter som förekommer just i samband med elektronisk kommunikation. Detta gäller t.ex. bestämmelser om behandling av trafikuppgifter, rätt för abonnenter att förhindra nummerpresentation och förbud mot avlyssning. Typiskt för dessa bestämmelser är därmed att de riktar sig främst mot operatörer och att de inte bara avser behandling av uppgifter som kan hänföras till en fysisk person (personuppgifter) utan också omfattar andra uppgifter som kommuniceras elektroniskt eller som beskriver kommunikationen. De uppgifter som omfattas av 6 kap. LEK är också sådana som typiskt sett är under överföring i ett elektroniskt kommunikationsnät, snarare än statiskt lagrade i t.ex. en databas. Uppgifterna är också ostrukturerade, till skillnad från uppgifter som återfinns i olika typer av register. Som vi redan har konstaterat är det inte möjligt – och vore inte lämpligt, eftersom detta skulle förutsätta en granskning av inne- 2 och rådets direktiv /58/EG av om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation). Förstärkning av skyddet för den personliga integriteten... hållet i ett meddelande vilket i sig skulle vara tveksamt ur ett integritetsperspektiv – att för tillsynsändamål särskilja de meddelanden som innehåller personuppgifter från dem som inte gör det. Vidare är bestämmelserna om personlig integritet vid elektronisk kommunikation ofta systematiskt integrerade och starkt knutna till andra bestämmelser som reglerar sådan kommunikation. PTS är den myndighet som har den särskilda kompetensen på området för elektronisk kommunikation, och som är bäst lämpad att även inom ramen för tillsyn över integritetsskyddsbestämmelserna göra de överväganden som är specifika för detta område. Tillsynsansvaret för den absoluta huvuddelen av bestämmelserna i 6 kap. LEK ska därför ligga kvar hos PTS. Vi har emellertid identifierat tre bestämmelser i som avviker något från de övriga i 6 kap. och där det bör övervägas om tillsynsansvaret i stället bör ligga hos Datainspektionen. Det gemensamma för dessa bestämmelser är att kretsen av tillsynsobjekt typiskt sett är en annan, dvs. bestämmelserna riktar sig inte, eller endast till mycket liten del, till operatörer, och att kopplingen till den sektorsspecifika verksamheten inom elektronisk kommunikation är svagare. Vi beskriver i de följande dessa bestämmelser och redovisar våra överväganden om tillsynsansvaret för dem. Vidare konstaterar vi att Datainspektionens roll som central tillsynsmyndighet med det övergripande ansvaret för tillsynen över behandling av personuppgifter skulle stärkas ytterligare om PTS under vissa förhållanden i ökad utsträckning samråder med Datainspektionen i frågor om personuppgiftsbehandling och i vissa fall till och med hänskjuter frågor till Datainspektionen för prövning. Vid överväganden av dessa frågor bör den pågående översynen av e-privacydirektivet beaktas. antog sin strategi för en digital inre marknad3 som bland annat syftar till att förbättra tillgången till digitala varor och tjänster för konsumenter och företag. I strategin ingår att genomföra en översyn av direktivet, enligt kommissionens meddelande för att stärka förtroendet och skärpa säkerheten för digitala tjänster och 3 KOM (2015) 192 Meddelande från kommissionen till , rådet, Europeiska och sociala kommittén samt ”En strategi för en inre digital marknad i ”. Förstärkning av skyddet för den personliga integriteten... hantering av personuppgifter. Kommissionens förslag till en ny reglering väntas . Det är inte möjligt att bedöma omfattningen av översynen eller vilka bestämmelser som kan komma att omfattas av ett förslag till en ny reglering. Förändringarna kan komma att röra både det materiella innehållet i enskilda bestämmelser och mer övergripande frågor som vilka aktörer som ska omfattas av direktivet. Eftersom LEK till stora delar genomför direktivet, kan mer eller mindre omfattande förändringar av lagen behöva göras som ett resultat av översynen. Denna osäkerhet innebär att de förslag till författningsändringar som vi lägger fram kan komma att behöva revideras. 10.2.2En överföring av visst tillsynsansvar till Datainspektionen Av 6 kap. 15 och 16 §§ LEK följer att en abonnent som är en fysisk person kostnadsfritt ska få information om ändamålen med en allmänt tillgänglig abonnentförteckning eller en förteckning ur vilken uppgifter kan erhållas genom abonnentupplysning, innan personuppgifter om abonnenten tas in i den. Om förteckningen ska finnas i elektronisk form ska abonnenten också informeras om de sökfunktioner som en sådan tjänst möjliggör. För att behandla personuppgifter om en abonnent som är en fysisk person i en abonnentförteckning krävs abonnentens samtycke. Abonnenten ska vidare ha möjlighet att utan kostnad kontrollera uppgifterna och få felaktiga uppgifter rättade samt att få uppgifter borttagna ur förteckningen så snart det är möjligt. Bestämmelserna avser en verksamhet som bedrivs nästan uteslutande av företag som specialiserat sig på att sammanställa och förmedla bland annat person- och kreditinformation. Uppgifter om abonnenter, dvs. personer som har ingått avtal om elektroniska kommunikationstjänster, kan med stöd av 5 kap. 7 § första stycket 3 LEK inhämtas från operatörerna.