sou · H4B365 · 2016-10-05 00:00:00 — Det förekommer i endast mycket begränsad omfattning att operatörerna själva bedriver abonnentupplysningsverksamhet. Bestämmelserna i 6 kap. 15 och 16 §§ gäller endast abonnenter som är fysiska personer. Abonnentuppgifterna utgör därmed alltid Förstärkning av skyddet för den personliga integriteten... Bestämmelserna gäller vidare endast förteckningar och är därmed inte, som många andra bestämmelser i , tillämpliga på uppgifter under överföring eller uppgifter som t.ex. beskriver när var och med vem en abonnent har kommunicerat. Enligt 6 kap. 18 § LEK får uppgifter lagras i eller hämtas från en abonnents eller användares terminalutrustning endast om abonnenten eller användaren får tillgång till information om ändamålet med behandlingen och samtycker till den. Undantag görs för sådan lagring eller åtkomst som behövs för att överföra ett elektroniskt meddelande via ett elektroniskt kommunikationsnät eller som är nödvändig för att tillhandahålla en tjänst som abonnenten eller användaren uttryckligen har begärt. Bestämmelsen reglerar s.k. cookies (kakor) och kallas därför ofta cookie-bestämmelsen. En cookie är en liten textfil som en webbplats kan begära att få spara i webbläsaren på besökarens dator. Textfilen används för att ge besökaren tillgång till olika funktioner på webbplatsen men också för att följa hur besökaren har använt webbplatsen, för att t.ex. anpassa de annonser som visas efter varje besökares intressen. Bestämmelsen omfattar därmed alla som har en webbplats som använder cookies liksom alla som på något sätt lagrar eller hämtar redan lagrade uppgifter i en terminal, såsom en dator eller en mobiltelefon. Det rör sig därmed om en mycket vid krets tillsynsobjekt varav operatörer utgör endast en mycket liten del. Undantaget från informations- och samtyckeskravet för sådan lagring och åtkomst som behövs för att överföra ett elektroniskt meddelande via ett elektroniskt kommunikationsnät innebär dessutom att bestämmelsen i princip inte träffar den verksamhet som merparten av övriga bestämmelser i 6 kap. LEK avser att reglera, dvs. tillhandahållandet av elektronisk kommunikation och kommunikationsnät. Den tillsyn som PTS har bedrivit mot innehavare av webbplatser har visat att den företeelse som bestämmelsen reglerar, själva överföringen av en cookie till eller från en besökares webbläsare, i många fall utgör endast en mindre del av en omfattande hantering Förstärkning av skyddet för den personliga integriteten... av uppgifter som syftar till att kartlägga besökarens personlighet eller intressen. Huvuddelen av en sådan kartläggning består i stället i den behandling av personuppgifter som utförs av t.ex. företag som förmedlar annonser till webbplatser, såsom samkörning av uppgifter om vilka webbplatser en besökare har varit inne på och vad han eller hon där har klickat på. Användningen av cookies är en förutsättning för att en sådan behandling ska kunna ske, men behandlingen utgör inte i sig den hantering av uppgifter som faller inom ramen för 6 kap. 18 § LEK. Denna bestämmelse reglerar med andra ord bara lagringen och inhämtandet av uppgifter, inte vad uppgifterna sedan används till. Därmed faller den efterföljande behandlingen utanför PTS:s tillsynsmandat och är i stället en fråga för Datainspektionens tillsyn. Tillsyn över bestämmelserna om abonnentförteckningar och cookies bör utföras av Datainspektionen De bestämmelser som har beskrivits här intar något av en särställning bland övriga bestämmelser i som reglerar behandling av personuppgifter och integritetsskydd. De tar sikte på personuppgiftsbehandling som i huvudsak utförs av andra än operatörer, och de saknar även på andra sätt den nära koppling till sektorn elektronisk kommunikation som annars utmärker LEK. De avser i stället mer allmänna dataskyddsrättsliga förutsättningar för behandling av personuppgifter eller tar sikte på en mycket begränsad del av ett förlopp som i övrigt regleras i personuppgiftslagen. Bestämmelserna om abonnentförteckningar utgör, till skillnad från huvuddelen av den övriga regleringen i 6 kap. LEK, snarare en renodlad registerbestämmelse som, specifikt för behandling av personuppgifter i abonnentupplysningsändamål, gäller i stället för bland annat bestämmelsen i 10 § personuppgiftslagen om när behandling av personuppgifter är tillåten. Tillsynen över bestämmelserna förutsätter överväganden om bland annat krav på samtycke och information om ändamålen med en personuppgiftsbehandling. Denna typ av överväganden utgör en stor och självklar del av Datainspektionens tillsynsverksamhet. Tillsynen över bestämmelserna i 6 kap. 15 och 16 §§ LEK bör därför omfattas av Datainspektionens tillsynsmandat. Vi föreslår därför en sådan överföring av tillsynsansvar i denna del. Förstärkning av skyddet för den personliga integriteten... När det gäller den s.k. cookie-bestämmelsen finns dessutom en mycket nära koppling mellan själva användningen av cookies och den efterföljande behandlingen av de uppgifter som har samlats in med hjälp av cookies, men tillsynen utövas av två olika myndigheter. Det är bara det första ledet i denna hantering – lagringen eller inhämtandet av uppgifter – som träffas av regleringen i 6 kap. 18 § LEK. Detta led utgör en mindre del av den omfattande hantering av uppgifter som syftar till att kartlägga besökarnas personligheter eller intressen. Resten av hanteringen utgörs av en behandling av de personuppgifter som har samlats in med hjälp av cookies och som omfattas av Datainspektionens tillsyn. Tillsynen över användningen av cookies skulle enligt vår uppfattning bli mer effektiv och ändamålsenlig om en och samma myndighet kunde utöva tillsyn över hela det förlopp som börjar med användningen av cookies och övergår till en behandling av insamlade uppgifter. Vi föreslår därför att tillsynsansvaret också för bestämmelsen i 6 kap. 18 § LEK överförs till Datainspektionen. Med de överföringar av tillsynsuppgifter till Datainspektionen som vi föreslår blir tillsynsansvaret mer ändamålsenligt fördelat. Det finns skäl att utgå ifrån att detta innebär ett stärkt skydd för den enskildes personliga integritet. Frågor som har en tydligare koppling till mer allmänna dataskyddsrättsliga principer samlas hos Datainspektionen som därigenom får en stärkt och tydliggjord roll som central tillsynsmyndighet med det övergripande ansvaret för tillsyn över personuppgiftsbehandling och som tillsynsmyndighet enligt den nya dataskyddsförordningen. skapas bättre förutsättningar för PTS att renodla sin tillsynsverksamhet till de bestämmelser som har den tydliga och nära kopplingen till sektorn elektronisk kommunikation. Vårt förslag föranleder ändringar i förordningen (2003:396) om elektronisk kommunikation och i Datainspektionens myndighetsinstruktion. Vi lämnar förslag på sådana ändringar. De befogenheter som följer av LEK är inte identiska med de som gäller när tillsyn utövas med stöd av personuppgiftslagen. Det förefaller naturligt och vore också mest praktiskt att Datainspektionen vid tillsyn över de nämnda bestämmelserna i kan ha tillgång till samma befogenheter som myndigheten har vid utövandet av annan tillsyn, dvs. de befogenheter som följer av personuppgiftslagen. En sådan ordning skulle kunna åstadkommas Förstärkning av skyddet för den personliga integriteten... genom att i lagen eller förordningen om elektronisk kommunikation hänvisa till personuppgiftslagen. Mot bakgrund av det pågående arbetet med att anpassa svensk lagstiftning till den nya dataskyddsförordningen, vilket bland annat innebär att personuppgiftslagen kommer att upphävas, avstår vi emellertid från att nu lämna något sådant författningsförslag. I det lagstiftningsarbete som blir följden av den kommande översynen av e-privacy- direktivet kan det också finnas anledning att återkomma till frågan om regleringen av tillsynsmyndigheternas befogenheter enligt LEK. Tills vidare anser vi att Datainspektionen, vid tillsyn av de bestämmelser i som omfattas av våra förslag, ska ha samma befogenheter som PTS har , det vill säga de som följer av LEK. Såvitt vi kan bedöma kommer detta inte att innebära några problem för tillsynsverksamheten. 10.2.3En ytterligare förstärkning av Datainspektionens roll som central tillsynsmyndighet genom samråd och överlämnande av frågor för beslut Också i sådana tillsynsärenden som med de förändringar vi nu föreslår även i fortsättningen ska omfattas av PTS:s tillsynsansvar uppkommer ibland frågor som kräver överväganden som har en direkt koppling till den generella personuppgiftsregleringen. Ett tydligt sådant exempel är om det i ett tillsynsärende uppkommer en fråga om innebörden av begreppet samtycke. Det handlar här om att prövningen i ett tillsynsärende förutsätter en tolkning av innebörden av ett begrepp som finns reglerat i LEK, och därför omfattas av PTS:s tillsynsansvar, men som också finns reglerat och har sin grund i personuppgiftslagen. För att ge ett så starkt skydd för den enskildes personliga integritet som möjligt är det centralt att sådana begrepp ges en både korrekt och enhetlig innebörd oavsett vilken myndighet som utövar tillsyn och oavsett vilken lag som tillämpas. Om det i ett tillsynsärende hos PTS uppkommer en fråga med sådan direkt koppling till innebörden av en generell personuppgiftsreglering, är det därför värdefullt om PTS inhämtar Datainspektionens vägledande yttrande i frågan. Det torde också i tillsynsärenden hos PTS kunna uppkomma situationer där det är lämpligare att en delfråga överlämnas till Datainspektionen för slutligt avgörande. Ett exempel kan vara om frågan om överföring Förstärkning av skyddet för den personliga integriteten... av personuppgifter till tredje land uppkommer i ett tillsynsärende. Prövningen gäller här tillämpningen av en bestämmelse i personuppgiftslagen som inte särskilt regleras i LEK.4 Prövningen bör i sådana fall göras av Datainspektionen, varför det kan vara lämpligt att PTS överlämnar frågan dit för avgörande. Ett utökat utnyttjande av möjligheten till samråd och överlämnande skulle ge Datainspektionen möjlighet att lämna stöd till PTS i tillsynsärenden där frågor uppkommer med en direkt koppling till den allmänna personuppgiftsregleringen. Härigenom stärks också Datainspektionens roll som central tillsynsmyndighet med det övergripande ansvaret för tillsyn över behandling av personuppgifter. För den enskilde skapas ett stärkt skydd för den personliga integriteten både genom att frågor om tolkningen av centrala dataskyddsregleringar avgörs med stöd av den myndighet som är expert på området och genom att det därigenom skapas ökade förutsättningar för enhetlighet i tillämpningen av aktuella bestämmelser. Sådan samverkan mellan myndigheterna är möjlig med stöd av förvaltningslagens (1986:223) bestämmelser och vi ser inte ett behov av ytterligare reglering. Ett samråd med eller överlämnande av tillsynsärenden till Datainspektionen skulle kunna förutsätta att Datainspektionen får tillgång till uppgifter som hos PTS omfattas av sekretess. Det är inte ovanligt att det i PTS:s tillsynsärenden förekommer uppgifter som omfattas av sekretess enligt i 18 kap. 8 § och 30 kap. 23 § offentlighets- och sekretesslagen (2009:400), förkortad OSL. Av 18 kap. 8 § OSL följer att sekretess gäller för uppgift som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs och åtgärden avser bland annat telekommunikation eller system för automatiserad behandling av information. Sekretess gäller vidare enligt 30 kap. 23 § OSL i statlig tillsynsverksamhet bland annat för uppgifter om enskildas affärs- eller driftsförhållanden om det kan antas att det enskilde lider skada om uppgifterna röjs. Sekretess gäller som huvudregel även mellan myndigheter. Den sekretessbrytande bestämmelsen i den s.k. generalklausulen i 10 kap. 27 § OSL torde emellertid enligt vår mening möjliggöra ett utbyte av uppgifter i de situationer av myndighetssamverkan som vi 4 Jfr prop. 2010/11:46 s 58 ff. Förstärkning av skyddet för den personliga integriteten... Ett informationsutbyte kan vara möjligt mellan myndigheter som har närbesläktade uppgifter och som båda har rättslig befogenhet att direkt fordra in uppgifterna i fråga. De nämnda primära sekretessbestämmelserna skulle vara tillämpliga även i Datainspektionen, varför uppgifterna även där skulle omfattas av sekretess.5 Sekretess torde mot denna bakgrund inte utgöra något hinder mot den typ av ökad samverkan mellan som vi föreslår. 10.3Datainspektionens och Säkerhets- och integritetsskyddsnämndens parallella tillsynsuppdrag Bedömning: Tillsynen över Säkerhetspolisens personuppgiftsbehandling bör utföras av både Datainspektionen och . Tillsynen över den öppna polisens personuppgiftsbehandling bör utföras av Datainspektionen. Det nya dataskyddsdirektivet kommer att medföra vissa skyldigheter för tillsynsmyndigheten att på begäran av enskilda kontrollera lagenligheten av personuppgiftsbehandlingar även hos andra myndigheter än . Överväganden om den närmare utformningen av Datainspektionens skyldighet att på begäran av en enskild kontrollera om han eller hon har varit föremål för behandling av personuppgifter inom den öppna polisens brottsbekämpande verksamhet bör därför göras av den utredning som har i uppdrag att genomföra direktivet i svensk rätt. Säkerhets- och integritetsskyddsnämndens anmälningsskyldighet till Datainspektionen bör gälla bara om det finns ett behov av ett rättsligt bindande och överklagbart beslut om exempelvis rättelse eller förbud mot fortsatt behandling. Detta bör anses vara fallet om Säkerhetspolisen inte vidtar nödvändiga åtgärder med anledning av nämndens uttalande om en otillåten personuppgiftsbehandling. 5 Se också kommentaren till 10 kap. 27 § OSL i Offentlighets- och sekretesslagen, en kommentar, av m.fl. Förstärkning av skyddet för den personliga integriteten... Förslag: Tillsynen över den öppna polisens personuppgiftsbehandling bör inte längre ingå i Säkerhets- och integritetsskyddsnämndens uppdrag utan i fortsättningen endast utföras av Datainspektionen. Säkerhets- och integritetsskyddsnämndens tillsynsuppdrag ska omfatta all behandling av personuppgifter i Säkerhetspolisens brottsbekämpande verksamhet. Vår kartläggning har tydliggjort att den nuvarande ordningen, där både Datainspektionen och () har ett ansvar för tillsynen över polisens behandling av personuppgifter i den brottsbekämpande verksamheten, innebär att två myndigheter är behöriga men också faktiskt kommit att utöva tillsyn över samma personuppgiftsbehandling. I praktiken har den parallella tillsynen endast varit aktuell när det gäller (dvs. vad som ofta, och även i detta betänkande, kallas den öppna polisen, vilket därmed inte inkluderar Säkerhetspolisen) personuppgiftsbehandling6 eftersom Datainspektionen i princip inte har utövat någon inspektionsverksamhet som gäller Säkerhetspolisen.7 Att två myndigheter utövar tillsyn över samma verksamhet utan att det i det enskilda fallet är tydligt hur ansvaret för tillsynen ska fördelas kan innebära nackdelar. Vid sidan av de samhällsekonomiska invändningar som kan göras mot att ordningen innebär risker för dubbelarbete och ett ökat samordningsbehov, kan anföras att en oklar ansvarsfördelning är förvirrande både för den enskilde, som inte vet vart han eller hon ska vända sig, och för de berörda myndigheterna. När det gäller Datainspektionen och SIN har de två myndigheterna inte heller samma befogenheter: Datainspektionen kan till skillnad från SIN i rättsligt bindande beslut 6SIN:s tillsynsansvar omfattar även personuppgiftsbehandling enligt polisdatalagen (2010:361) och lagen (2010:362) om polisens allmänna spaningsregister som utförs av . Det är dock som är personuppgiftsansvarig för sådan behandling. 7Säkerhetspolisen samråder dock med Datainspektionen enligt 2 § polisdataförordningen (2010:1155) när myndigheten ska införa eller ändra i it-system av större omfattning eller med särskilda risker för intrång i den personliga integriteten. Förstärkning av skyddet för den personliga integriteten... förelägga en personuppgiftsansvarig att t.ex. rätta en felaktig uppgift eller upphöra med en felaktig behandling. Å andra sidan var just den parallella tillsynen en omständighet som framhölls som en fördel när SIN fick sitt tillsynsuppdrag. Syftet var att därigenom skapa en stärkt och mera allsidig tillsyn, där två tillsynsmyndigheter med delvis olika fokus och uppdrag kunde komplettera varandra. SIN:s särskilda beslutsform, med en parlamentariskt förankrad nämnd, ansågs också vara en styrka och särskilt viktig för att tillgodose allmänhetens insyn. Man ville därigenom skapa förtroende för en verksamhet som innefattar särskilt integritetskänslig personuppgiftsbehandling och som omfattas av betydande sekretess. Till detta kom de krav på tillsynen som följde av en dom mot i Europadomstolen.8 Vi redovisar i det följande våra överväganden om för- och nackdelar med parallella tillsynsuppdrag när det gäller polisens personuppgiftsbehandling, liksom våra slutsatser i frågan om hur tillsynen bör vara utformad för att på bästa sätt bidra till ett starkt skydd för den enskildes integritet. Vi har funnit att en åtskillnad kan behöva göras mellan tillsynen över å ena sidan Säkerhetspolisens behandling av personuppgifter och å andra sidan den behandling som utförs av den öppna polisen. 10.3.2Inrättandet av SIN och utvidgningen av myndighetens uppdrag Bakgrunden till inrättandet av SIN var som nämnts att hade funnit att saknade effektiva rättsmedel enligt artikel 13 i . Talan hade väckts av ett antal personer som hade registrerats hos , men som helt saknade möjlighet att få ta del av de uppgifter som fanns registrerade. konstaterade att artikel 13 i ställer upp ett krav på att enskilda ska ha tillgång till ett inhemskt rättsmedel för att kunna tillgodose sina rättigheter enligt konventionen. Rättsmedlet ska innebära att den behöriga nationella myndigheten både prövar ett klagomål i sak och har möjlighet att 8 Dom i mål m.fl. mot (ansökan nr 62332/00, dom ). Domen och dess konsekvenser beskrivs i nästa avsnitt. Förstärkning av skyddet för den personliga integriteten... besluta om lämplig gottgörelse. Rättsmedlet måste dessutom vara både praktiskt och rättsligt effektivt. Det krävs inte att varje enskilt rättsmedel anses effektivt, det kan räcka att de sammantaget uppfyller kraven på att erbjuda den enskilde ett effektivt rättsmedel. Domstolen noterade att både och Justitiekanslern är behöriga att ta emot och pröva klagomål från enskilda men att dessa myndigheter saknar befogenhet att fatta lagligt bindande beslut. Dessutom utövar de en allmän tillsyn och de har inget särskilt ansvar för att utreda hemlig övervakning eller lagring av uppgifter i Säkerhetspolisens register. Domstolen konstaterade vidare att den dåvarande inte hade någon befogenhet att besluta om att akter skulle förstöras eller uppgifter raderas alternativt rättas. Datainspektionen, som kan pröva klagomål från enskilda, har visserligen vidare befogenheter, men det hade enligt domstolen inte framkommit något som visade att Datainspektionen var effektiv i praktiken. De tillgängliga rättsmedlen kunde enligt domstolen därmed varken var för sig eller tillsammans uppfylla kraven enligt artikel 13. Bland annat för att råda bot på denna brist inrättades SIN. Den nya myndighetens tillsynsområde omfattade ursprungligen brottsbekämpande myndigheters användning av hemliga tvångsmedel och kvalificerade skyddsidentiteter samt därmed sammanhängande verksamhet, liksom Säkerhetspolisens personuppgiftsbehandling. Nämnden skulle också på begäran av en enskild kontrollera bland annat om han eller hon varit föremål för sådan personuppgiftsbehandling i strid med lag eller annan författning. Syftet var att inrätta ett organ för löpande, rättslig kontroll av dessa verksamheter, som dessutom skulle stärka enskildas tillgång till ett nationellt effektivt rättsmedel. Nämndens parlamentariska anknytning, i form av ledamöter nominerade av partigrupper, motiverades med att ett organ av detta särskilda slag bör vara utformat så att dess ledamöter kan sägas representera allmänheten och garantera medborgerlig insyn i verksamheten.9 I propositionen betonades att SIN inte ska överlappa utan komplettera andra tillsynsorgan och myndigheter. SIN gavs inte några befogenheter att på egen hand genom bindande beslut föreskriva t.ex. rättelse eller att en behandling ska upphöra. 2006/07:133, s. 64 f. Förstärkning av skyddet för den personliga integriteten... anfördes att nämnden bör anmäla sina iakttagelser och överlämna relevanta delar av det som har framkommit i tillsyns- eller kontrollärendet till den myndighet som ansvarar för den fråga som är aktuell.10 Anmälningsskyldigheten i förhållande till , Justitiekanslern och Datainspektionen framgår av 20 § förordningen (2007:1141) med instruktion för . Vid införandet av den nya polisdatalagen (2010:361) utvidgades SIN:s tillsynsansvar till att även omfatta den öppna polisens personuppgiftsbehandling.11 Alternativet att i stället anförtro tillsynen i dess helhet enbart åt Datainspektionen diskuterades i propositionen. Där anfördes att detta skulle innebära en begränsning vad gäller tillsynen över Säkerhetspolisens personuppgiftsbehandling. Det fanns enligt regeringen skäl som talade för att all tillsyn borde ligga på en enda myndighet men man ansåg att övervägande skäl talade för att tillsynen bäst utfördes av två olika myndigheter, var och en med utgångspunkt i sitt uppdrag. Därmed skulle SIN utöva en tillsyn som kompletterade Datainspektionens tillsyn. SIN hade enligt regeringen en sådan insikt i och erfarenhet av den granskade verksamheten som ökar förutsättningarna för en tillsyn som inriktas på de områden som kan ge upphov till särskilda risker från integritetssynpunkt. Datainspektionens tillsyn gav å sin sida goda förutsättningar att framför allt kontrollera att allmänna principer för behandling av personuppgifter tillämpas också inom den brottsbekämpande verksamheten. Det konstaterades vidare att en sådan ”dubbel” tillsyn redan förekom när det gällde Säkerhetspolisens personuppgiftsbehandling. Det anfördes i detta sammanhang inget om att SIN:s särskilda beslutsmodell och sammansättning med parlamentariskt deltagande skulle vara av särskilt värde när det gällde tillsynen över den öppna polisens personuppgiftsbehandling. Inte heller anfördes något om nödvändigheten av att på begäran av enskilda utföra kontroller av om de varit föremål för personuppgiftsbehandling av den öppna polisen. 2009/10:85, s. 273 f. Förstärkning av skyddet för den personliga integriteten... Den nya allmänna dataskyddsförordningen och det nya dataskyddsdirektivet på det brottsbekämpande området antogs av rådet och parlamentet . Förordningen ska börja tillämpas och direktivet ska vara implementerat . I kapitel 9 redovisar vi vårt förslag att Datainspektionen ska utses till nationell tillsynsmyndighet enligt de två rättsakterna. Det nya dataskyddsdirektivet innehåller mera detaljerade bestämmelser om vilka krav som ställs på de nationella tillsynsmyndigheterna än det nuvarande rambeslutet. Den eller de myndigheter som ska vara ansvariga för att övervaka tillämpningen av direktivet ska vara oberoende i utförandet av sina uppgifter och utövandet av sina befogenheter. En nationell tillsynsmyndighet måste vidare ha en mängd behörigheter, uppgifter och befogenheter som preciseras i direktivet. Här kan nämnas att tillsynsmyndigheten bland annat ska kunna utfärda varningar om att en planerad personuppgiftsbehandling sannolikt kommer att strida mot direktivet, förelägga om rättelse och förbjuda fortsatt behandling. Bindande beslut meddelade av en tillsynsmyndighet ska kunna överklagas för att garantera enskilda effektiva rättsmedel. Den närmare innebörden av vissa av de krav som ställs upp i direktivet och vilka anpassningar som i några avseenden krävs när det gäller den svenska tillsynen har beskrivits i kapitel 9.