sou · H4B365 · 2016-10-05 00:00:00 — Utöver tillsynen över Säkerhetspolisens personuppgiftsbehandling kommer SIN även i fortsättningen dessutom att utöva tillsyn över de brottsbekämpande myndigheternas användning av hemliga tvångsmedel och kvalificerade skyddsidentiteter och därmed sammanhängande verksamhet, samt på begäran av en enskild kontrollera om han eller hon i strid med lag har utsatts för hemliga tvångsmedel eller varit föremål för Säkerhetspolisens personuppgiftsbehandling. SIN:s verksamhet består dessutom av de uppdrag som de två särskilda organen Registerkontrolldelegationen och Skyddsregistreringsdelegationen har. Några ytterligare myndigheters tillsyn Vi har kunnat konstatera att Datainspektionen och inte är helt överens om var gränsen går mellan de båda myndigheternas tillsynsansvar när det gäller forskning som innefattar behandling av personuppgifter. Vi har övervägt om oklarheterna bör åtgärdas genom en lagändring. Vi menar emellertid att ansvarsfördelningen framgår av den nuvarande lagstiftningen och dess förarbeten och att det därför saknas behov av någon ytterligare reglering. Datainspektionen ska utöva tillsyn över om den personuppgiftsbehandling som utförs inom ramen för viss forskning är förenlig med personuppgiftslagen, medan ska granska om forskning bedrivs i enlighet med etikprövningslagen. Det senare gäller även om forskningen innefattar behandling av personuppgifter. Datainspektionen och har ett delvis överlappande tillsynsansvar, men myndigheterna har i grunden helt olika uppdrag. För att tillgodose skyddet av den personliga integriteten vid behandling av personuppgifter i de verksamheter som omfattas av IVO:s tillsynsansvar är det viktigt att sådana frågor prövas av Datainspektionen. Det är därför angeläget att samråder med Datainspektionen så snart det i IVO:s verksamhet uppkommer frågor om en viss personuppgiftsbehandlings lagenlighet. rådsskyldighet är redan författningsreglerad men vi konstaterar att det finns behov av att den upprätthålls och utvecklas. Den rättsliga regleringen är som vi kunnat konstatera i vissa fall utformad så att den ger sken av att några ytterligare myndigheter ska utöva tillsyn även över behandling av personuppgifter trots att detta sannolikt inte medvetet varit avsikten. Myndigheterna ifråga utför inte heller i realiteten någon sådan tillsyn. Detta innebär emellertid inte att det uppkommer några brister i tillsynen över behandling av personuppgifter eller för skyddet av den personliga integriteten, eftersom tillsyn utförs av Datainspektionen även i dessa fall. Slutligen konstaterar vi att det finns anledning att se över Datainspektionens tillsynsansvar enligt inkassolagen, i syfte att renodla och stärka Datainspektionens roll som central tillsynsmyndighet på området för integritetsskydd vid behandling av personuppgifter. Frågan om ett integritetsskyddsråd I vårt uppdrag har ingått att lämna förslag som innebär att den myndighet som ska ha det huvudsakliga ansvaret för tillsynen över behandling av personuppgifter är förberedd för att kunna fullgöra de uppgifter som (Ju 2014:09)kan komma att föreslå att ett integritetsskyddsråd ska ha. redovisade i ett delbetänkande (SOU 2016:41) sina överväganden bland annat i frågan om ett integritetsskyddsråd (bet s. 646 f.). Kommittén anser att det inte bör inrättas något integritetsskyddsråd med huvuduppgift att verka för en säkrare avvägning av motstående intressen i lagstiftningen. Kommittén konstaterar att Datainspektionen har ett övergripande ansvar för skyddet av personuppgifter, vilket bland annat innebär att myndigheten regelmässigt är remissinstans (både när det gäller formella remisser och delningar från departementen) och ofta finns representerad i utredningar som gäller sådana frågor. Det finns enligt kommittén dessutom ett flertal andra myndigheter och organisationer, såsom Justitiekanslern, ombudsmän, för samhällsskydd och beredskap, PTS, SIN samt , som också granskar förslag till ny lagstiftning ur ett integritetsskyddsperspektiv. kommittén till att integritetsskyddsperspektivet lyfts fram i lagstiftningsarbetet och att bristfälliga avvägningar uppmärksammas. föreslår emellertid att Datainspektionen ska få i uppdrag att lämna en rapport till regeringen som sammanställer och analyserar den mest aktuella och betydelsefulla utvecklingen som påverkar den personliga integriteten. Regeringen ska därefter i sin tur överlämna rapporten till i form av en skrivelse som också innehåller regeringens kommentarer till rapporten. Vi har med anledning av ställningstagande i denna del ansett att det inte finns skäl för oss att lämna förslag som gäller ett integritetsskyddsråds uppgifter. Konsekvenser av våra förslag Ett omfattande arbete pågår, både inom och i ett stort antal utredningar, som på olika sätt berör den personliga integriteten och tillsyn över behandling av personuppgifter. Detta arbete avser till stora delar anpassningar till EU:s beslutade dataskyddsreform. Resultatet kan komma att få betydelse för Datainspektionens och andra myndigheters arbete och organisation. Den nya dataskyddsförordningen och det nya dataskyddsdirektivet innehåller omfattande bestämmelser om de nationella tillsynsmyndigheternas uppgifter, befogenheter och inbördes samverkan, som såvitt vi kan bedöma kommer att innebära utökade uppgifter för främst Datainspektionen. Det är mot denna bakgrund svårt att göra annat än preliminära uppskattningar av de ekonomiska konsekvenserna av våra förslag. Genomförandet av våra förslag och de förslag som kan bli resultatet av övriga utredningar måste rimligen ske samordnat. Det pågående arbetet med att även i andra utredningar analysera vilka anpassningar och författningsregleringar som är nödvändiga med anledning av EU:s dataskyddsreform, och nödvändigheten av att göra samlade överväganden om behovet och utformningen av författningsregleringar, innebär att vi nu inte lämnar något annat förslag om när våra föreslagna författningsförändringar bör träda i kraft än att framstår som en rimlig utgångspunkt. 1 §Säkerhets- och integritetsskyddsnämnden (nämnden) ska utöva tillsyn över brottsbekämpande myndigheters användning av hemliga tvångsmedel och kvalificerade skyddsidentiteter och därmed sammanhängande verksamhet.Nämnden ska även utöva till- Nämnden ska även utöva tillsyn över den behandling av syn över behandlingen av personpersonuppgifter enligt polisdata- uppgifter i Säkerhetspolisens brottslagen (2010:361) och lagen bekämpande verksamhet. Tillsynen(2010:362) om polisens allmänna ska särskilt avse sådan behandling spaningsregister som utförs av som avses i 2 kap. 10 § polis- , Säkerhetspolisen datalagen (2010:361).och . När det gäller Säkerhetspolisen ska tillsynen även avse sådan behandling enligt polisdatalagen (1998:622). Tillsynen ska särskilt avse sådan behandling som avses i 2 kap. 10 § polisdatalagen (2010:361) och 5 § polisdatalagen23 lag om ändring i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet Härigenom föreskrivs i fråga om lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet att 1 § ska ha följande lydelse. (1998:622) samt 12 § lagen om polisens allmänna spaningsregister. Denna lag träder i kraft den xxx. förordning om ändring av förordningen (2003:396) om elektronisk kommunikation Härigenom föreskrivs i fråga om förordningen (2003:396) om elektronisk kommunikation att 2 § ska ha följande lydelse. (2003:389) om tionen är dock tillsynsmyndighet 18 §§ i den lagen. ska för del fullgöra de uppgifter som den nationella tillsynmyndigheten har enligt 1.Europaparlamentets och rådets förordning (EU) nr 531/2012 av om roaming i allmänna mobilnät i unionen, och 2.Europaparlamentets och rådets förordning (EU) nr 2015/2120 av om åtgärder rörande en öppen internetanslutning och om ändring av direktiv /22/EG om samhällsomfattande tjänster och användares rättigheter avseende elektroniska kommunikationsnät och kommunikationstjänster och förordning (EU) nr 531/2012 om roaming i allmänna mobilnät i unionen. Denna förordning träder i kraft den xxx. förordning om ändring i förordning (2007:975) med instruktion för Datainspektionen Härigenom föreskrivs i fråga om förordningen (2007:975) med instruktion för Datainspektionen att 1, 2 a, 4 och 5 §§ ska ha följande lydelse. Datainspektionens uppgift är att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter och för att god sed iakttas i kreditupplysnings- och inkassoverksamhet. Myndigheten ska särskilt inrikta sin verksamhet på att informera om gällande regler samt ge råd och hjälp åt personuppgiftsombud enligt personuppgiftslagen (1998:204). Myndigheten ska följa och beskriva utvecklingen på IT-området när det gäller frågor som rör integritet och ny teknik. Myndigheten är tillstånds- och tillsynsmyndighet enligt kreditupplysningslagen (1973:1173) och inkassolagen (1974:182). myndighet enligt artikel 28 i direktiv /46/EG av den 24 parlamentets och rådets för- ordning (EU) 2016/679 av den om skydd för fy- på behandling av personuppgifter siska personer med avseende på och om det fria flödet av sådana uppgifter, ändrat genom Europa- och om det fria flödet av sådana parlamentets och rådets förord- uppgifter och om upphävande av ning (EG) nr 1882/2003. direktiv /46/EG (allmän data- skyddsförordning), och – artikel 41.1 i Europarlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. Myndigheten ska delta i den europeiska dataskyddsstyrelsens arbete. Myndigheten är tillsynsmyndighet enligt lagen (2003:389) om elektronisk kommunikation såvitt avser 6 kap. 15, 16 och 18 §§ i den lagen. Myndigheten är nationell tillsynsmyndighet enligt –artikel 114 i konventionen om tillämpning av av (), –artikel 24 i rådets beslut /917/RIF av om användning av informationsteknik för tulländamål (TIS-rådsbeslutet), –artikel 33 i rådets beslut av om inrättande av Europeiska polisbyrån (Europol), –artikel 30.5 i rådets beslut /615/RIF av Myndigheten är nationell tillsynsmyndighet enligt –artikel 114 i konventionen om tillämpning av av (), –artikel 24 i rådets beslut /917/RIF av om användning av informationsteknik för tulländamål (TIS-rådsbeslutet), –artikel 33 i rådets beslut av om inrättande av Europeiska polisbyrån (Europol), –artikel 30.5 i rådets beslut /615/RIF av 2008 om ett fördjupat gräns- 2008 om ett fördjupat gräns- skilt för bekämpning av terro- skilt för bekämpning av terro- brottslighet (Prümrådsbeslutet), brottslighet (Prümrådsbeslutet), parlamentets och rådets förord- parlamentets och rådets förord- ning (EG) nr 767/2008 av den ning (EG) nr 767/2008 av den och utbytet mellan medlems- och utbytet mellan medlems- staterna av uppgifter om vise- staterna av uppgifter om vise- ringar för kortare vistelse (VIS- ringar för kortare vistelse (VIS- – artikel 7.1 och 7.2 i Europa- – artikel 7.1 och 7.2 i Europa- parlamentets och rådets direktiv parlamentets och rådets direktiv (EU) 2015/413 av (EU) 2015/413 av 2015 om underlättande av gräns- 2015 om underlättande av gräns- terade brott (CBE-direktivet), i terade brott (CBE-direktivet), i den ursprungliga lydelsen, den ursprungliga lydelsen, och – artikel 8.5 i – artikel 8.5 i rådets beslut 2008/633/RIF 2008/633/RIF av 2008 om åtkomst till informa- 2008 om åtkomst till informa- (VIS) för sökningar för medlems- (VIS) för sökningar för medlems- och för Europol i syfte att och för Europol i syfte att brott (VIS-rådsbeslutet), och brott (VIS-rådsbeslutet). – artikel 25.1 i rådets 2008/977/RIF (dataskyddsrambeslutet). Myndigheten leds av en genom beslut av regeringen för en ningen får förlängas. Denna förordning träder i kraft den xxx. 2Utredningens uppdrag och arbete Av våra direktiv1 framgår att det övergripande målet för vårt uppdrag har varit att stärka skyddet för den enskildes personliga integritet. Direktiven konstaterar att ansvaret för tillsyn på integritetsområdet ligger på flera myndigheter. I syfte att stärka skyddet för den personliga integriteten har vi haft i uppdrag att överväga hur ett i högre grad samlat integritetsskydd kan fungera inom en och samma myndighetsstruktur genom att tillsynen över behandling av personuppgifter samlas hos en myndighet. I detta uppdrag har ingått att kartlägga den tillsyn som bedrivs av flera myndigheter och att analysera fördelar och nackdelar med att samla detta tillsynsansvar i en myndighet. Härutöver har vi haft i uppdrag att lämna förslag som innebär att en tillsynsmyndighet är förberedd för att kunna fullgöra de uppgifter som (Ju 2014:09) kan komma att föreslå att ett integritetsskyddsråd ska ha. Våra förslag ska så långt som möjligt vara anpassade efter resultatet av EU:s pågående reform på dataskyddsområdet. Denna senare del av uppdraget har under arbetets gång preciserats och utvidgats genom att det i direktiven till två andra utredningar2 har angetts vilka frågor om anpassningar till de nya rättsakternas bestämmelser om de nationella tillsynsmyndigheterna som ska anses falla inom vårt uppdrag. 1 Direktiven (dir. 2014:164) beslutades . I tilläggsdirektiv (dir. 2015:139) beslutade regeringen om förlängd utredningstid. De båda direktiven bifogas i bilaga 1 och 2. 2 Dir. 2016:15 med direktiv till och dir. 2016:21 med direktiv till Utredningen om 2016 års dataskyddsdirektiv. Utredningens uppdrag och arbete Utredningen har haft åtta sammanträden med experterna, varav ett internatsammanträde. Dessutom har vi haft många underhandskontakter. Vi har haft kontakt och samråd med andra kommittéer och utredningar, främst (Ju 2014:09), Utredningen om ett modernt och starkt straffrättsligt skydd för den personliga integriteten (Ju 2014:10), (Ju 2016:04), Utredningen om 2016 års dataskyddsdirektiv (Ju 2016:06) samt Utredningen om kameraövervakning – brottsbekämpning och integritetsskydd (Ju 2015:14). Vi har också varit i kontakt med många av de svenska myndigheter som har sådana tillsynsuppgifter som omfattas av vårt uppdrag, liksom med dataskyddsmyndigheterna i , och . Organisationen har skrivit till utredningen. 3Behandling av personuppgifter och skyddet av den personliga integriteten I vårt moderna och teknikutvecklade samhälle behandlas personuppgifter i en mycket stor omfattning, av både privatpersoner, företag och myndigheter. Sådan behandling utförs ofta som ett led i en verksamhet som ses som någonting positivt och är nödvändig för att verksamheter ska fungera ändamålsenligt och effektivt. All personuppgiftsbehandling medför dock risker för intrång i den enskildes personliga integritet. Uppgifter som av den enskilde kan uppfattas som känsliga och integritetskränkande kan t.ex. behandlas i olika former av register, uppkomma genom kameraövervakning eller publiceras i inlägg på internet. För att skydda enskildas integritet finns därför ett behov av bestämmelser som bland annat begränsar vilka personuppgifter som får behandlas och för vilka ändamål och som föreskriver att en otillåten behandling ska rättas eller upphöra. I det följande beskrivs vad som menas med personlig integritet och behandling av personuppgifter, samt de bestämmelser i svensk och internationell rätt som syftar till att skydda den enskildes personliga integritet. Behandling av personuppgifter och skyddet av den personliga integriteten 3.2Skyddet av den personliga integriteten Den omfattande behandling av personuppgifter som försiggår omkring oss innebär risker för intrång i vad den enskilde kan uppfatta som privat och känsligt. Man brukar här tala om ett behov av skydd av den personliga integriteten. Ett sådant behov finns naturligtvis även när det inte är fråga om personuppgiftsbehandling utan om annan verksamhet som på något sätt kan upplevas som känslig för den enskilde. Det finns inte i vare sig svensk eller internationell rätt någon enhetlig definition av begreppet personlig integritet. I flera sammanhang har försök att formulera en sådan definition övergetts med motiveringen att det inte låter sig göras, bland annat eftersom begreppets innebörd uppfattas så olika av olika personer och dessutom kan förändras med tiden, både som en följd av förändrade förutsättningar och förändrade attityder.1 Dagens snabba teknikutveckling, med exempelvis s.k. smarta biljetter och övervakningskameror, torde dessutom kunna både öka den enskildes önskan och behov av att freda sig från intrång och, å andra sidan, göra att fler företeelser, som förr skulle ha uppfattats som oacceptabla intrång i den personliga integriteten, nu upplevs som normala och kanske till och med önskvärda. Ett exempel på detta är olika former av kameraövervakning, som i vissa situationer alltmer har kommit att uppfattas snarare som en trygghetsskapande säkerhetsåtgärd än som en integritetskränkning. Det har emellertid inte ansetts nödvändigt att formulera en allmängiltig definition av begreppet personlig integritet för att kunna bedöma vilka intressen som har ett sådant skyddsvärde att de bör omfattas av ett särskilt skydd mot omotiverade ingrepp (prop. 2009/10:80 s. 175). Den svenska lagstiftningen tar i stället i hög grad sikte på att identifiera vilka gärningar eller företeelser som, efter att i en intresseavvägning ha ställts mot andra intressen, ska förbjudas eller begränsas eftersom de bedöms innebära en alltför stor kränkning av den personliga integriteten. 1 Se exempelvis i SOU 2002:18 s. 52 f., i 1971 s. 675 och i SOU 2007:22 s. 53 f. Behandling av personuppgifter och skyddet av den personliga integriteten finns bestämmelser om vilka åtgärder som ska vidtas för att minimera risken för sådana kränkningar. Det finns emellertid vissa beskrivningar av begreppet personlig integritet som de flesta kan enas om. Man talar således om en personlig sfär som den enskilde har rätt till och där ett ingrepp bör kunna avvisas.2 Det talas också i olika sammanhang om ”privatlivets fred”,3 och om rätten till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens (). I EU:s stadga om de grundläggande rättigheterna föreskrivs bland annat en rätt till skydd för fysisk och mental integritet för sitt privatliv och familjeliv, sin bostad, sina kommunikationer och för sina personuppgifter, och i grundlag talas om rätten till skydd för privatliv, heder och . anordnade 1967 en nordisk konferens om privatlivets rättsskydd, som i en resolution slog fast att rätten till privatliv i allmänhet innebär en rätt för individen att leva sitt eget liv med ett minimum av inblandning från myndigheter, allmänhet och andra individer. Den personliga sfär som avses när man pratar om personlig integritet kan vara fysisk och rumslig och då ge dels en rätt till skydd mot kränkningar av exempelvis den egna kroppen och bostaden, dels en rätt till rörelsefrihet. Den kan också avse materiell integritet i form av egendomsskydd. Härutöver kan man tala om personlig integritet i en mera ideell mening. Bestämmelser som ger ett skydd mot exempelvis insamling och registrering av uppgifter om en persons privata förhållanden, såsom politiska åsikter, ekonomi och var han eller hon har befunnit sig, tar sikte på den aspekten av den personliga integriteten. I linje med denna distinktion har också talats om fysisk respektive psykisk eller mental integritet.4 När det särskilt gäller personlig integritet vid automatiserad behandling av personuppgifter kan begreppet sägas ha fått en vidare innebörd i och med att också datakvalitets- eller datasäkerhetskrav bör tillgodoses. De uppgifter som behandlas ska med andra ord 2 Se t.ex. i betänkandet Personlig integritet i arbetslivet (SOU 2002:18 s. 52 f.), i delbetänkandet Skyddet för den personliga integriteten – kartläggning och analys (SOU 2007:22 s. 65) och prop. 2009/10:80 s. 175. 3Se exempelvis betänkande Skydd mot avlyssning, (SOU 1970:47). 4Kommittén om genetisk integritet i betänkandet Genetik, integritet och etik (SOU 2004:20). Behandling av personuppgifter och skyddet av den personliga integriteten vara korrekta, och de får bara behandlas i rätt sammanhang och för berättigade ändamål.5 Också hur personuppgifter t.ex. sparas och sprids kan ha, eller upplevas ha, negativa konsekvenser för den enskilde. En allmänt tillgänglig och sökbar samling med i och för sig relativt harmlösa personuppgifter kan upplevas som känslig av den enskilde, exempelvis för att den kan ge en bild av hur den enskilde lever sitt liv eller vad han eller hon har för intressen. 3.2.2Behovet av skydd för den personliga integriteten vid behandling av personuppgifter I dagens samhälle är det nödvändigt att personuppgifter får behandlas. Uppgifter om adresser, personnummer, beställda varor, begångna brott och mottagen socialhjälp är exempel på information som myndigheter och företag kan behöva behandla för att kunna fullgöra sina uppgifter och driva sin verksamhet. Tekniska hjälpmedel som t.ex. olika former av datoriserade register kan ge ökad effektivitet och säkrare beslutsunderlag. För den enskilde kan det emellertid kännas både oroligt och olustigt att uppgifter om personliga förhållanden finns sparade och ibland kan vara tillgängliga för många. Och i fel händer kan känsliga personuppgifter användas på ett sätt som orsakar allvarlig skada. Det finns därför ett behov av bestämmelser som skyddar den personliga integriteten vid behandling av personuppgifter. Ett sådant skydd kan exempelvis innebära begränsningar i vilka uppgifter som får behandlas och för vilka ändamål, vem som ska ha rätt att ta del av uppgifterna – både genom begränsningar i behörigheten inom exempelvis en myndighet att behandla uppgifterna, och genom bestämmelser om sekretess eller informations-säkerhet – samt hur länge uppgifterna ska få sparas och hur överträdelser av reglerna ska sanktioneras. Det är en grundläggande dataskyddsrättslig regel att bara den som behöver en uppgift för att utföra en arbetsuppgift – den läkare som ska bedöma lämplig vård för en patient eller den tjänsteman vid som ska fatta beslut i ett ärende om en förmån – har behörighet att behandla de personuppgifter som är relevanta i det enskilda fallet. 5 i betänkandet Översyn av personuppgiftslagen (SOU 2004:6 s. 30 f.). Behandling av personuppgifter och skyddet av den personliga integriteten eller tjänstemän på samma arbetsplats kan därmed sakna rätten att behandla personuppgifterna trots att de rent faktiskt har tillgång till dem, om de inte behöver dem för att utföra en arbetsuppgift. Dessutom finns krav på att de personuppgifter som behandlas ska skyddas genom lämpliga tekniska och organisatoriska säkerhetsåtgärder. Behovet av skydd för den personliga integriteten måste å andra sidan vägas mot andra intressen i samhället. Av särskild betydelse är integritetsskyddets förhållande till värdet av tryck- och yttrandefrihet, särskilt när det gäller uppgifter som inhämtas för att spridas i grundlagsskyddade medier. Möjligheterna för det allmänna att ingripa på grund av innehållet i sådana medier är mycket begränsade och förutsätter att framställningen innebär ett missbruk av tryck- eller yttrandefriheten. När det gäller skyddet för den personliga integriteten utgör förtal, förolämpning och vissa hatbrott tryckfrihets- och yttrandefrihetsbrott. Utredningen om ett modernt och starkt straffrättsligt skydd för den personliga integriteten har föreslagit justeringar när det gäller vissa av dessa brott för att bättre anpassa dem till de nya typer av hot som har kommit att följa på den tekniska utvecklingen och framväxten av bland annat sociala medier (SOU 2016:7 s. 473 f.). I detta sammanhang kan också nämnas de frivilliga pressetiska regler som antagits av ett stort antal svenska medier och som bland annat uppmanar till respekt för privatlivets helgd och försiktighet när det exempelvis gäller publicering av namn och bild.