sou · H4B365 · 2016-10-05 00:00:00 — Det skulle kunna hävdas att en annan fördel med att samla tillsynen vore att detta kunde ge ännu bättre förutsättningar att skapa en helhetsbild av det flöde av personuppgifter som utbytet av uppgifter mellan olika myndigheter innebär, både inom och på internationell nivå, i synnerhet inom EU. Säkerhets- och integritetsskyddsnämndens ärende med dnr 173-2013, uttalande den Datainspektionens ärende med dnr 2790-2014, beslut . Våra iakttagelser och slutsatser ett ökat gränöverskridande utbyte av personuppgifter. Det behov av samordning och samarbete med tillsynsmyndigheter i andra medlemsstater i EU som redan är stort kommer att öka ytterligare i betydelse när de nya EU-rättsakterna på dataskyddsområdet börjar tillämpas. Detta gäller både för hanteringen av enskilda tillsynsärenden och inom ramen för det arbete som ska bedrivas i dataskyddsstyrelsen (, EDPB). Endast en myndighet kan vara representerad i dataskyddsstyrelsen, och om denna myndighet har det fullständiga tillsynsansvaret även på hemmaplan skulle det kanske kunna bidra till att arbetet i och kommunikationen med styrelsen underlättas. Enligt vår bedömning är detta dock inte något vägande skäl. är det bara Datainspektionen som är representerad i Artikel 29-gruppen, men när en fråga om personuppgiftsbehandling är föremål för gruppens arbete kan det i i stället vara PTS som är ansvarig tillsynsmyndighet. I sådana situationer samråder myndigheterna med varandra, en ordning som enligt myndigheterna fungerar väl. De eventuella utmaningarna med dagens ordning och därmed tänkbara fördelar med ett ännu mer samlat tillsynsansvar ska således inte överdrivas. Vår bedömning är att i den mån gränsdragningen mellan två myndigheters tillsynsansvar i ett visst fall inte är helt klar kan en relativt enkel kommunikation och samverkan mellan myndigheterna i de allra flesta fall lösa problemet. Den absoluta merparten av all personuppgiftsbehandling står vidare redan under en enda myndighets tillsyn. Och det finns klara fördelar med ett härutöver delvis delat tillsynsansvar. Den kartläggning vi har gjort av dagens tillsyn tydliggör att behandling av personuppgifter förekommer i en mycket stor omfattning och i mycket varierande typer av verksamheter. Det är när det gäller viss sådan verksamhet värdefullt och rent av nödvändigt att tillsynen bedrivs av en myndighet som har särskilda expertkunskaper på det område där behandlingen äger rum. Att uppdra åt en och samma myndighet att utöva tillsyn över all personuppgiftsbehandling, oavsett i vilket sammanhang och i vilken verksamhet den förekommer, skulle enligt vår bedömning inte ge ett bättre skydd för enskildas personliga integritet. Man skulle i stället gå miste om fördelarna med att inom vissa för den personliga integriteten särskilt viktiga områden kunna utnyttja expertmyndigheternas särskilda kunskap om de granskade verksamheterna. Våra iakttagelser och slutsatser Ett lite speciellt men praktiskt exempel kan återigen vara den tillsyn, i vid mening, som blev följden av Dagens nyheters publicering rörande det s.k. kringresanderegistret. Denna uppgiftssamling prövades, ur olika infallsvinklar, av SIN, , Justitiekanslern, ombudsmän, och polisen som alla genomförde någon form av tillsyn som på olika sätt hade fokus bland annat på frågan om enskildas personliga integritet. I media liksom i den allmänna debatten framfördes av vissa uppfattningen att det var förvirrande och innebar en brist att flera myndigheter i detta fall kom att utöva tillsyn. Det är naturligtvis olyckligt om myndigheterna inte lyckades förklara sina olika uppdrag. Enligt vår bedömning innebar dock dessa olika tillsynsinsatser att de frågor som uppgiftssamlingen väckte kom att utredas på ett bättre och mera allsidigt sätt än vad som hade blivit fallet om endast en myndighet hade varit behörig att utöva tillsyn. Att flera myndigheter utövar tillsyn med olika utgångspunkter kan i vissa fall bidra till att tillsynen blir så fullständig som möjligt. Ett annat skäl till varför det knappast är möjligt att överlåta all tillsyn till en enda myndighet är att personuppgiftsbehandlingen ibland har en sådan koppling till annat som en tillsynsmyndighet också utövar tillsyn över att det kan vara i det närmaste omöjligt att särskilja den. Som exempel kan här nämnas att en av huvuduppgifterna för PTS är att utöva tillsyn över informationssäkerheten i elektronisk kommunikation, med andra ord att exempelvis se till att meddelanden når mottagaren utan att obehöriga får tillgång till uppgifterna i meddelandet. Vissa sådana meddelanden innehåller personuppgifter medan andra inte gör det. Om all tillsyn över behandling av personuppgifter skulle utföra av endast en myndighet, skulle sådana meddelanden som innebär att personuppgifter behandlas behöva särskiljas från sådana som inte gör det. En sådan åtskillnad av olika meddelanden framstår för det första inte som möjlig att göra och skulle för det andra förutsätta att själva innehållet i meddelandena analyserades, vilket skulle innebära allvarliga betänkligheter ur ett integritetsperspektiv. Vår utgångspunkt är mot den här bakgrunden att det finns en myndighet, Datainspektionen, som har det övergripande och i realiteten också till stor del det faktiska tillsynsansvaret när det gäller behandling av personuppgifter. Härutöver finns några myndigheter som har ett begränsat tillsynsansvar över viss person- Våra iakttagelser och slutsatser uppgiftsbehandling, ibland i stället för Datainspektionen och ibland parallellt med Datainspektionen, ofta eftersom behandlingen har en stark koppling till den verksamhet som är den andra myndighetens huvuduppgift, och där personuppgiftsbehandlingen dessutom svårligen i ett enskilt tillsynsärende kan särskiljas från annat som där är föremål för tillsyn. Mot bakgrund av det mycket omfattande tillsynsområdet och de särskilda skäl som ligger bakom den fördelning av ansvar som till viss del förekommer anser vi därför att det inte är möjligt eller ens lämpligt att samla all tillsyn över behandlingen av personuppgifter hos en enda myndighet. Med detta sagt finns det emellertid skäl att överväga om ett delvis mer samlat tillsynsansvar skulle stärka skyddet för den enskildes personliga integritet. Att flytta över vissa tillsynsuppgifter från någon av de andra myndigheterna till Datainspektionen, för att därigenom exempelvis tydliggöra ansvarsfördelningen mellan myndigheterna, undvika risker för överlappande tillsynsinsatser eller åstadkomma en ansvarsfördelning som är bättre anpassad efter de olika myndigheternas uppdrag och verksamhet, skulle kunna vara ett sätt att åstadkomma ett ännu starkare skydd för enskildas personliga integritet. När vi i vårt arbete har funnit att det finns vissa oklarheter eller andra brister i hur ansvaret för tillsynen är fördelat har vi därför övervägt i vilken utsträckning detta kan avhjälpas på andra sätt än genom att samla all tillsyn i en myndighet. Sådana överväganden tar sikte på de eventuella fördelarna både med att låta Datainspektionen få överta ansvaret för en tillsynsuppgift som myndigheten inte har haft och att låta Datainspektionen ensam utöva sådan tillsyn som varit föremål även för en annan myndighets tillsynsinsatser. Vi har också ansett oss oförhindrade att överväga om tillsynen kan förbättras även på andra sätt, exempelvis genom en ökad samverkan mellan tillsynsmyndigheter. I det följande redovisar vi var vi har funnit att det finns gränsdragningsproblem eller andra brister i hur ansvaret för tillsynen är fördelat som skulle kunna påverka skyddet av den personliga integriteten negativt. I ett kommande kapitel (kapitel 10) lämnar vi förslag på hur sådana brister bör avhjälpas, som de krav som ställs i EU:s nya dataskyddsförordning och dataskyddsdirektiv beaktas. Våra iakttagelser och slutsatser 8.4Vi har funnit vissa brister i dagens ordning Bedömning: Vi har funnit vissa brister i gränsdragningen mellan Datainspektionen å ena sidan och , , Inspektionen för vård och omsorg samt å den andra. Vi har konstaterat att de oklarheter som kan uppstå när fler än en myndighet ansvarar för tillsynen över en viss fråga kan bestå i att ansvaret är parallellt eller att ansvaret visserligen är uppdelat men att det i praktiken är svårt att dra gränsen mellan respektive ansvarsområde. Sådana oklarheter i ansvarsfördelningen mellan myndigheter kan orsaka praktiska bekymmer för de berörda tillsynsmyndigheterna men kan också skapa osäkerhet hos enskilda och hos andra myndigheter om vem som bär ansvaret. Särskilt hos enskilda kan oklara ansvarsförhållanden och otydliga gränser bidra till en negativ bild av hur effektiv tillsynen är och skapa ett bristande förtroende för hur statsapparaten i stort fungerar. Härutöver kan ett dubbelt tillsynsansvar vara betungande för tillsynsobjekten, som kan behöva medverka – genom att exempelvis ta fram material, ställa personal till förfogande, skapa tillträde till vissa lokaler m.m. – vid flera olika tillsynsinsatser. När det är fråga om parallella tillsynsuppdrag, dvs. där fler än en myndighet kan utöva tillsyn över samma företeelse, finns dessutom en risk för att olika tillsynsinsatser resulterar i olika bedömningar. Det blir då, både för tillsynsobjektet och för andra som läser besluten, oklart vad som ska anses gälla. En särskilt komplicerande fråga är om myndigheter med parallella tillsynsuppdrag har olika befogenheter och olika överklagandebestämmelser. Samtliga de myndigheter som har ett tillsynsansvar över personuppgiftsbehandling som ersätter eller är parallellt med Datainspektionens har även andra uppgifter. Några myndigheter är renodlade tillsynsmyndigheter, med tillsyn även över annat än personuppgiftsbehandling, hos andra är tillsyn bara en del av många uppgifter. I vissa fall har den tillsynsuppgift som avser personuppgiftsbehandling en nära koppling till myndighetens huvudsakliga uppgifter Våra iakttagelser och slutsatser och i andra saknas en sådan nära koppling. Som exempel på de senare kan nämnas och (se redovisningen av kartläggningen i kapitel 6). I detta sammanhang finns anledning att nämna ytterligare en fråga som rör Datainspektionens verksamhet. Datainspektionen är tillstånds- och tillsynsmyndighet även enligt inkassolagen (1974:182). Tillsynsverksamheten är här i huvudsak inriktad på andra frågor än behandlingen av personuppgifter, nämligen inkassoföretagens iakttagande av god inkassosed. Datainspektionens tillsyn omfattar enligt 13 § inkassolagen dock inte verksamhet som står under tillsyn. Detta gäller inkassoföretag som också ägnar sig åt exempelvis kreditgivning. För enskilda gäldenärer kan det vara svårt att veta vilken myndighet man ska vända sig till för att påtala brister i en inkassoverksamhet och den parallella tillsynen kan medföra risker för olika bedömningar och praxis på inkassoområdet. Dessutom innebär Datainspektionens tillsynsansvar på inkassoområdet, som tar sikte på andra frågor än de som Datainspektionen annars ägnar sig åt, att myndighetens resurser i mindre utsträckning kan ägnas åt integritetsskydd vid behandling av personuppgifter. 8.4.2Några gränsdragningsfrågor mellan olika tillsynsmyndigheter Vi har inom ramen för kartläggningen av dagens tillsyn konstaterat att det i några fall förekommer en viss överlappning eller andra typer av oklarheter när det gäller olika myndigheters tillsynsuppdrag såvitt gäller personuppgiftsbehandling. Några ”vita fläckar” i regleringen av tillsynen – i den meningen att det skulle finnas personuppgiftsbehandling som inte omfattas av någon myndighets tillsynsbehörighet – förekommer inte, eftersom Datainspektionen alltid kan utöva tillsyn om inte någon annan myndighet gör det i stället. Som vi har sett förekommer det dock att två myndigheters olika tolkningar av en lagreglering har lett till att ingen av dem har utfört tillsynsinsatser, trots att frågan om behovet av sådana har väckts. I det följande beskrivs de situationer vi identifierat, tänkbara eller faktiska, där det kan vara oklart vilken av två myndigheter som har ansvaret för tillsynen över personuppgiftsbehandling. Våra iakttagelser och slutsatser berörs det faktum att lagstiftningen i vissa fall är utformad så att vissa myndigheter ser ut att ha ett tillsynsansvar som också omfattar personuppgiftsbehandling, trots att detta sannolikt inte varit avsikten. Som ett tydligt exempel på att olika myndigheter kan ha behörighet att utöva tillsyn över olika delar av en och samma verksamhet som innefattar personuppgiftsbehandling, och att gränsen mellan dessa olika delar inte alltid är klar, kan tillsynen över personuppgiftsbehandling vid elektronisk kommunikation nämnas. Som framgår i redovisningen av kartläggningsarbetet är PTS tillsynsmyndighet för bland annat lagen (2003:389) om elektronisk kommunikation (LEK). I den mån denna lag innehåller särskilda bestämmelser om behandling av personuppgifter som avviker från personuppgiftslagen, är LEK tillämplig och PTS är tillsynsmyndighet. Om en viss fråga som rör behandling av personuppgifter vid elektronisk kommunikation inte är särskilt reglerad gäller däremot personuppgiftslagen, för vilken Datainspektionen är tillsynsmyndighet. LEK innehåller exempelvis vissa behandlingsregler, såsom vem som får behandla en personuppgift och för vilket ändamål, men saknar vissa andra, generella behandlingsregler, såsom insynsregler. Sådana finns i stället i personuppgiftslagen, för vilken PTS inte är tillsynsmyndighet. En bestämmelse i LEK om behandling av personuppgifter kan också innehålla begrepp som är centrala i dataskyddslagstiftningen och som också regleras i personuppgiftslagen, såsom begreppet samtycke. Det kan i ett enskilt tillsynsärende i PTS därför ibland uppstå ett behov av samråd med och vägledning av Datainspektionen. Några av de frågor som regleras i LEK och som därmed faller under PTS tillsynsansvar har inte några tydliga kopplingar till området för elektronisk kommunikation eller utgör en mycket begränsad del av ett förfarande som i övrigt regleras i personuppgiftslagen och som skulle kunna tjäna på att bedömas i ett sammanhang. Utgångspunkten för tillsynen tar här mer renodlat sikte på allmänna dataskyddsrättsliga aspekter än på frågeställningar som är kopplade till området för elektronisk kommunikation. Det gäller bestämmelserna om abonnentförteckningar i 6 kap. 15 och 16 §§ Våra iakttagelser och slutsatser LEK samt den s.k. cookiebestämmelsen i 6 kap. 18 § LEK. Vi återkommer i kapitel 10 till överväganden om vilken myndighet som lämpligast bör ansvara för tillsynen över dessa bestämmelser. När det gäller relationen och gränsdragningen mellan Datainspektionen och PTS bör i detta sammanhang noteras att grunden för integritetsregleringen i LEK, och därmed också PTS:s yttersta fokus, är vikten av säker kommunikation. Att arbeta med informationssäkerhetsfrågor är också en av PTS:s centrala uppgifter. Att enskildas personliga integritet inte ska kränkas vid behandling av personuppgifter vid sådan kommunikation är bara ett av flera syften med lagen och kraven på säker kommunikation gäller även om inte kommunikationen innehåller personuppgifter. Personuppgiftslagen, inklusive dess krav på säkerhetsåtgärder, gäller å andra sidan just vid behandling av personuppgifter. Uppdelningen av tillsynsansvar mellan PTS och Datainspektionen medför ibland också utmaningar i arbetet i den s.k. Artikel 29- gruppen, dvs. den grupp av representanter för EU:s medlemsstaters tillsynsmyndigheter som, med stöd av artikel 29 i det nuvarande dataskyddsdirektivet, har inrättats för att öka förutsättningarna för en enhetlig tillämpning av direktivet. avhandlas där frågor som omfattas av PTS uppdrag men som i vissa andra länder handhas av den centrala tillsynsmyndigheten. PTS finns dock inte representerad i Artikel 29-gruppen, det gör bara Datainspektionen. De två myndigheterna får i sådana situationer samråda med varandra. Samma situation gäller också för andra medlemsstater där tillsynen över personuppgiftsbehandling i elektronisk kommunikation utförs av en annan myndighet än den centrala tillsynsmyndigheten. Det gränsöverskridande samarbetet mellan medlemsstaternas tillsynsmyndigheter kommer att öka när EU:s dataskyddsförordning börjar tillämpas. Artikel 29-gruppen kommer då att ersättas av den europeiska dataskyddsstyrelsen. Endast en myndighet per medlemsstat kommer att vara representerad även i denna. Våra iakttagelser och slutsatser Ett tydligt fall av parallella tillsynsuppdrag är tillsynen över behandling av personuppgifter inom polisens brottsbekämpande verksamhet, där både Datainspektionen och SIN har befogenhet att utöva tillsyn. Att de båda myndigheternas tillsynsuppdrag är parallella innebär att de kan utöva tillsyn över samma personuppgiftsbehandling och pröva den mot samma lagstiftning. De två myndigheterna uppger att de brukar samråda och bland annat delge varandra sina tillsynsplaner för att undvika likartade tillsynsinsatser. När något oförutsett förhållande uppmärksammas, såsom exempelvis det s.k. kringresanderegistret hos polisen som uppmärksammades i media,5 har myndigheterna kontakt om var ett tillsynsärende ska inledas. Vilken av myndigheterna som inleder ett tillsynsärende kan i sådana situationer dock närmast te sig bero på slumpen. Överlappningarna mellan Datainspektionens och SIN:s tillsynsuppdrag gäller i praktiken främst den öppna polisens personuppgiftsbehandling i brottsbekämpande verksamhet. Formellt finns överlappningen av tillsynsansvar även beträffande Säkerhetspolisens personuppgiftsbehandling, men har där ingen praktisk betydelse eftersom Datainspektionen i realiteten inte utövar tillsyn över Säkerhetspolisen.6 Den parallella tillsynen förekommer bara i fråga om behandling av personuppgifter i polisens brottsbekämpande verksamhet och bara när det gäller sådan behandling som regleras i polisdatalagen (2010:361)7 och lagen (2010:362) om polisens allmänna spaningsregister. Personuppgiftsbehandling kan förekomma även i annan verksamhet hos polisen, t.ex. i myndighetens personaladministration. Sådan behandling regleras av personuppgiftslagen och om- 5Efter uppgifter i media där det angavs att dåvarande i hade upprättat ett register över flera tusen personer, de flesta romer, granskades saken av SIN. Granskningarna visade att det fanns allvarliga brister vid personuppgiftsbehandlingen i uppgiftssamlingar inom polisens kriminalunderrättelseverksamhet. SIN:s uttalande med anledning av tillsynen finns tillgängligt på SIN:s webbplats på följande adress: 6Säkerhetspolisen samråder dock även med Datainspektionen enligt 2 § polisdataförordningen (2010:1155) när myndigheten ska införa eller ändra i it-system av större omfattning eller med särskilda risker för intrång i den personliga integriteten. 7När det gäller Säkerhetspolisen ska SIN:s tillsyn också avse behandling enligt den förra polisdatalagen (1998:622). Våra iakttagelser och slutsatser fattas bara av Datainspektionens tillsyn. Detsamma gäller behandling av personuppgifter enligt exempelvis lagarna om belastnings- och misstankeregister. SIN saknar flera av de befogenheter som Datainspektionen har. SIN har rätt att på begäran få del av uppgifter och att få biträde av de myndigheter som omfattas av tillsynen8 men kan inte med bindande verkan besluta om rättelse av eller förbud att fortsätta med en felaktig personuppgiftsbehandling. I stället ska SIN anmäla felaktigheter till andra myndigheter, bland annat till Datainspektionen. Nämndens beslut kan inte heller överklagas. Det innebär exempelvis att om Datainspektionen och SIN i varsitt ärende skulle göra samma bedömning beträffande en viss typ av personuppgiftsbehandling, men Datainspektionens beslut efter ett överklagande ändras av domstol, så uppkommer frågan hur man ska se på SIN:s uttalande. Inspektionen för vård och omsorg – Datainspektionen Inspektionen för vård och omsorg () utövar tillsyn över vård och omsorg och har patientsäkerhet som sitt huvudsakliga fokus. Både och kan utöva tillsyn över att patientdatalagen, som innehåller bestämmelser om personuppgiftsbehandling, följs. Kartläggningen har visat att det finns en risk för att de båda myndigheterna utövar tillsyn över samma frågor, och att de därvid kan fatta beslut med olika innebörd. Datainspektionen och , som innan bildades var den myndighet som hade motsvarande tillsynsansvar, hade tidigare en överenskommelse som innebar att , om den i sin tillsyn stötte på frågeställningar om behandling av personuppgifter, skulle överlämna frågan till Datainspektionen. Någon sådan överenskommelse finns och myndigheterna har, enligt vad som framkommit vid våra kontakter med dem, olika uppfattning i frågan om huruvida det föreligger gränsdragningssvårigheter. Datainspektionen anser att de båda myndigheternas tillsynsbefogenheter på området för dataskydd inom vård och omsorg, såsom de har 8 Också myndigheter som inte omfattas av tillsynen är skyldiga att på begäran lämna upplysningar till SIN, 4 § lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet. Våra iakttagelser och slutsatser kommit att formuleras, i viss mån är överlappande, och att det heller inte är möjligt att dra en skarp gräns mellan dem. För att undvika negativa konsekvenser av dessa oklarheter menar Datainspektionen med hänvisning till de båda myndigheternas olika kompetensområden att , vars tillsyn ska avse hur vård och omsorg bedrivs, bör samråda med eller överlämna ärenden till Datainspektionen när i tillsynsverksamheten uppmärksammar förhållanden som kan innebära att personuppgifter har behandlats på ett otillåtet sätt. Datainspektionen menar att inte har tillräcklig erfarenhet på dataskyddsområdet och att det finns en risk för felaktiga bedömningar och beslut, samt för att och på varsitt håll meddelar beslut med motstridig innebörd. menar å sin sida att det inte föreligger något gränsdragningsproblem eller överlappande tillsynsansvar eftersom de båda myndigheterna har olika fokus, patientsäkerhet respektive integritet. Därmed finns det enligt inget behov av samråd, överlämnande av ärenden eller överenskommelser. När det gäller sådan behandling av personuppgifter som förekommer i forskning och som omfattas av lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen) råder det viss oenighet om vilken myndighet som i olika fall ska utöva tillsyn, eller Datainspektionen. De två myndigheterna har gjort olika tolkningar av lagens reglering av att nämnden ska utöva tillsyn endast i den mån tillsynen inte faller inom en annan myndighets tillsynsområde. Förarbetena hänvisar i detta sammanhang till bland annat Datainspektionen.9 menar att lagtexten och dess förarbeten innebär att nämnden inte kan utöva någon tillsyn över personuppgiftsbehandling inom den forskning som omfattas av etikprövningslagen, eftersom förarbetena till etikprövningslagen hänvisar till att det är Datainspektionen som har befogenhet att utöva sådan tillsyn. Datainspektionen å sin sida menar att detta är en alltför långtgående tolkning av förarbetsuttalandena. 2002/03:50 s. 163 f. Våra iakttagelser och slutsatser enligt Datainspektionen ankomma på att utöva tillsyn över frågor som rör forskningen ifråga, såsom att granska om forskningen är etikprövad och om den i så fall bedrivs i enlighet med etikprövningsbeslutet. Sådan granskning tar sikte på forskningens men också på personuppgiftsbehandlingens förenlighet med etikprövningslagen. Det innebär att behandling av personuppgifter enligt Datainspektionen kan ingå som en del av nämndens tillsyn. Om det däremot gäller att granska om den utförda personuppgiftsbehandlingen är förenlig med personuppgiftslagen anser sig Datainspektionen vara den myndighet som bör utöva tillsyn. Oklarheterna har i fråga om personuppgiftsbehandlingen inom sådan forskning som omfattas av etikprövningslagen i några fall inneburit att ingen av myndigheterna har ansett sig kunna utföra tillsyn. har överlämnat ärenden till Datainspektionen, som i sin tur inte heller har ansett sig vara rätt myndighet att utöva tillsyn.