sou · H4B365 · 2016-10-05 00:00:00 — Myndigheten ska främja god informationshantering och ska genom anvisningar och rådgivning verka för att den finska personuppgiftslagen följs och kränkningar av den personliga integriteten undviks. Personuppgiftsbehandling ska anmälas till ombudsmannen och enskilda som har registrerats kan genom klagomål kräva prövning av om en personuppgiftsbehandling är laglig. är skyldig att pröva sådana klagomål. Ombudsmannens kan efter genomförd tillsyn emellertid endast ge råd och anvisningar om den fortsatta personuppgiftsbehandlingen; besluten är, annat än i undantagsfall, inte bindande. En stor del av arbete ägnas åt förebyggande arbete, med information om lagstiftningen som rör behandlingen av personuppgifter och skyddet av den personliga integriteten. Vid all ny lagstiftning som rör den personliga integriteten ska vidare medverka under beredningen och vid behov skriva ett utlåtande. Innan en åklagare väcker åtal för personuppgiftsbrott ska ombudsmannen höras, och domstolen ska bereda ombudsmanen tillfälle att yttra sig innan sådana mål avgörs. medverkar dessutom vid utarbetandet av s.k. uppförandekodexar i olika branscher och har tagit fram ett ”gör- det-själv-test” som innebär att registeransvariga på egen hand kan kontrollera om deras behandling av personuppgifter är lagenlig. 2Europaparlamentets och rådets direktiv /58/EG om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation. 3Erhversstyrelsen motsvaras i av . Tillsyn över bland annat sådan behandling av personuppgifter som regleras i e-privacydirektivet utövas i dock av . Tillsynen över personuppgiftsbehandlingen i några andra länder genomför inspektioner, både på plats i den registeransvariges lokaler och genom skriftväxling, och har rätt att få tillgång till de registrerade uppgifterna och till all annan information som behövs för att utöva tillsynen. anlitas särskilda sakkunniga för genomförande av tillsynsverksamheten. kan hänskjuta ärenden som bedöms vara principiellt viktiga till . Nämnden har i dessa ärenden samma rätt att få information och uppgifter som . Nämnden består av en ordförande, en vice ordförande och fem ytterligare ledamöter som förordnas av regeringen i taget. Alla ledamöter ska ha erfarenhet av registerverksamhet. Härutöver ska ordföranden, vice ordföranden och minst en ledamot vara jurister. Den egentliga beslutanderätten i ärenden om felaktig personuppgiftsbehandling ligger i nämnden. Ombudsmannen kan dock själv fatta beslut om rätt för den registrerade att få insyn i de behandlade uppgifterna och om rättelse. har också till uppgift att utfärda föreskrifter om behandlingen av personuppgifter och att följa utvecklingen på området för behandling av personuppgifter och integritetsskydd, och att bedöma behovet av exempelvis lagstiftningsåtgärder. Den senare uppgiften har även . kan förbjuda fortsatt behandling av personuppgifter som anses strida mot personuppgiftslagen eller andra föreskrifter, besluta om rättelse och om återkallelse av tillstånd. Utöver den tillsyn som utförs av och utövar myndigheten tillsyn över den personuppgiftsbehandling som omfattas av e-privacydirektivet. Detta omfattar också bestämmelser om tillåtligheten av s.k. cookies. Det finns i inga särskilda tillsynsmyndigheter med ansvar för personuppgiftsbehandling inom polisens eller försvars- och underrättelsemyndigheternas verksamhet. 7.5Några andra länder i och övriga världen Alla länder som är medlemmar i den Europeiska unionen har, i enlighet med artikel 28 i det nuvarande dataskyddsdirektivet, åtminstone en tillsynsmyndighet med uppgiften att utöva tillsyn Tillsynen över personuppgiftsbehandlingen i några andra länder över direktivets tillämpning och efterlevnad. En motsvarande skyldighet följer av den nya dataskyddsförordningen, som ska börja tillämpas . Den centrala tillsynsmyndigheten har ofta, men inte alltid, också ett tillsynsansvar över frågor som inom EU regleras på annat sätt än genom dataskyddsdirektivet eller som inte alls regleras av EU. I vilken utsträckning det härutöver förekommer andra tillsynsmyndigheter på området med tillsynsansvar för särskilda frågor varierar. Jämförelser är här svåra och vanskliga att göra, eftersom EU-länderna tillhör delvis olika rättskulturer och den statliga förvaltningsstrukturen kan variera beroende bland annat på om en stat är en förbundsstat eller en enhetsstat. Vissa iakttagelser kan dock göras. Inte i något land ansvarar en enda central dataskyddsmyndighet för tillsynen över all personuppgiftsbehandling. Särskilda organ för tillsyn över sådan personuppgiftsbehandling som förekommer i säkerhets- och underrättelseverksamhet finns i många medlemsländer, exempelvis i , , och . Sådana myndigheters befogenheter och uppgifter, och deras gränsdragning mot den centrala dataskyddsmyndigheten, varierar. I finns olika ”inspectors” som utövar tillsyn över säkerhets- och underrättelsetjänsterna. Det finns i många länders parlament också ett särskilt utskott som granskar säkerhets- och underrättelsetjänsternas verksamhet. Det finns vidare i flera länder särskilda tillsynsmyndigheter för dataskydd inom exempelvis vård och omsorg och inom forskning på människor. Tillsyn över personuppgiftsbehandling inom post- och telekommunikation är ofta en uppgift för den centrala tillsynsmyndigheten. Så är det exempelvis i , , , och i de baltiska länderna. Det förekommer emellertid också, t.ex. i , och , att tillsynen inom detta område på samma sätt som i utförs av en särskild myndighet, liksom att tillsynsansvaret är delat mellan den centrala tillsynsmyndigheten och en annan, särskild myndighet (så är det t.ex. i , och ). I länder med ett federalt styre eller annars med starkt regionalt självstyre, såsom och , finns ofta en central tillsynsmyndighet på nationell nivå och tillsynsmyndigheter på regional nivå eller delstatsnivå. I har inte alla delstater organiserat tillsynen på samma sätt; i några delstater utövar den regionala Tillsynen över personuppgiftsbehandlingen i några andra länder myndigheten tillsyn bara över privat verksamhet och i andra över både privat och offentlig. I t.ex. , och finns särskilda tillsynsorgan för säkerhets- och underrättelsetjänsterna. I finns härutöver en central tillsynsmyndighet (Office of the Australian Information Commissioner) som på federal nivå utövar tillsyn över privata aktörers och de flesta federala myndigheters personuppgiftsbehandling. På delstatsnivå finns tillsynsmyndigheter som bland annat utövar tillsyn över personuppgiftsbehandling utförd i delstatsmyndigheter. I finns flera s.k. Inspectors General för de olika underrättelsetjänsterna, som dock ofta är anställda vid den granskade myndigheten och därför inte utgör samma oberoende och fristående tillsyn som tillsynsmyndigheterna i de europeiska länderna. 8 Våra iakttagelser och slutsatser Vi har i det föregående redovisat vår kartläggning av dagens tillsyn över behandlingen av personuppgifter. Kartläggningen visar att ett antal myndigheter har tillsynsansvar som avser personuppgiftsbehandling inom mycket varierande verksamheter, i både privat och offentlig regi. Den centrala tillsynsmyndigheten har ett brett och omfattande tillsynsområde med befogenhet att utöva tillsyn över all personuppgiftsbehandling. Härutöver har en handfull andra myndigheter behörighet att utöva tillsyn över sådan personuppgiftsbehandling som förekommer i vissa särskilda verksamheter. Tillsynen kompletterar eller ersätter här Datainspektionens tillsyn. I vissa av dessa myndigheter utgör sådan tillsyn en stor del av myndighetens verksamhet. Detta är fallet med den tillsyn som utförs av () och (). I andra myndigheter, såsom exempelvis , Inspektionen för vård och omsorg () och länsstyrelserna är tillsynen över personuppgiftsbehandling en mer begränsad del av den totala verksamheten. I ett fåtal fall är lagstiftningen utformad på ett sådant sätt att ytterligare några myndigheter rent formellt har ett i vart fall teoretiskt tillsynsansvar även över behandling av personuppgifter. Detta innebär att tillsynsansvaret till stor del är samlat i en myndighet. Den kompletterande tillsyn som utförs av andra myndigheter än Datainspektionen avser i de flesta fall klart avgränsade områden som inte ger upphov till några gränsdragningsfrågor. I några fall kan emellertid konstateras att tillsynsansvaret antingen är parallellt, dvs. två myndigheter har behörighet att utöva tillsyn över samma personuppgiftsbehandling, eller att gränsdragningen mellan de olika myndigheternas befogenheter i Våra iakttagelser och slutsatser några avseenden är oklar. De flesta sådana gränsdragningsproblem är mest teoretiska, dvs. man kan konstatera att ansvarsfördelningen skulle kunna vara oklar i en viss typ av ärenden men frågan har såvitt vi har kunnat finna aldrig uppkommit i praktiken, eller är inte mer komplicerad än att man kunnat lösa den med ett telefonsamtal. Även om myndigheterna löser arbetsfördelningen mellan sig kan ett parallellt tillsynsansvar eller oklarheter när det gäller gränsdragningen dock ibland göra att tillsynen ur allmänhetens perspektiv uppfattas som mindre effektiv och det vara svårt för den enskilde att förstå vart han eller hon ska vända sig med frågor eller klagomål. Om de berörda myndigheterna dessutom inte har samma befogenheter och deras beslut inte har samma rättsföljd eller inte får överklagas på samma sätt, kan också principiella invändningar riktas mot oklarheterna i ansvarsfördelningen. I endast ett fall visar kartläggningen att olika uppfattningar om vem som har ansvaret för tillsynen i praktiken har lett till att tillsyn inte har utförts av någon myndighet. Behandling av personuppgifter förekommer inom alla delar av samhället, hos myndigheter, företag och privatpersoner. I takt med den tekniska utvecklingen blir digitala tjänster vanligare, vilket ofta innefattar personuppgiftsbehandling. I tider med ökat fokus på säkerhet och brottsbekämpning ökar också behovet av och kraven på bland annat övervakning som kan innebära att personuppgifter behandlas. Varje enskild individs personuppgifter behandlas i ett mycket stort antal olika situationer i det dagliga livet. Det gäller t.ex. kund- och medlemsuppgifter, uppgifter om när en bil har passerat en betalstation för trängselskatt, upptagningar från övervakningskameror, betalning av parkeringsplatser via mobiltelefonen, inlägg på sociala medier, reklamutskick via e-post och uppgifter i patientjournaler. Till detta kommer myndigheters behandling av bland annat adress- och inkomstuppgifter för exempelvis utbetalning av ekonomiskt stöd eller beräkning av skattskyldighet. En särskilt känslig behandling gäller de brottsbekämpande myndigheternas användning av register, övervakning och andra metoder som innebär att olika personuppgifter behandlas. Våra iakttagelser och slutsatser har gjort en kartläggning över de risker för den personliga integriteten som följer av det moderna informationssamhället.1 Som en del i redovisningen av denna kartläggning beskriver kommittén en fiktiv familjs dygn och vilka elektroniska spår familjemedlemmarna lämnar efter sig genom bland annat informationsinhämtning på internet, mobiltelefonsamtal, inlägg på sociala medier och arbetsgivares användning av olika former av övervakning av arbetstagarnas aktiviteter. Aktiviteter som är mer eller mindre vanliga i ett modernt informationssamhälle medför enligt kommittén risker för den personliga integriteten genom användning av bland annat s.k. cookies, e-legitimation, sammanhållen journalföring, övervakningskameror, bristfälliga integritetsinställningar och överföring av okrypterad information. Också på en internationell nivå, inte minst inom EU, pågår en utveckling mot ett ökat gränsöverskridande utbyte av personuppgifter, också här inom både privat och offentlig verksamhet. Frågor om skyddet för den personliga integriteten vid personuppgiftsbehandling är föremål för ett ökat intresse i många delar av världen, och inom EU har ett omfattande reformarbete genomförts på dataskyddsområdet. Med en så omfattande personuppgiftsbehandling som dagens samhälle kräver är det givetvis viktigt att de personuppgiftsansvariga har tillräcklig kunskap om gällande bestämmelser kring sådan behandling och att det finns en fungerande ordning som verkar för att bestämmelserna följs. Detta behov kan delvis tillgodoses genom en väl fungerande tillsyn, som därmed bidrar till att skyddet för den enskildes personliga integritet stärks. I de fall personuppgifter har behandlats på ett otillåtet sätt kan tillsynen vidare innebära t.ex. att den enskilde får felaktiga uppgifter rättade och tillerkänns kompensation i form av skadestånd, eller att den personuppgiftsansvarige föreläggs att upphöra med en felaktig behandling. Datainspektionen är i den myndighet som har det övergripande ansvaret för tillsynen över behandlingen av personuppgifter. Härutöver är myndighetens arbete till stor del inriktad på förebyggande insatser, såsom informationskampanjer, en webbsida med omfattande information om dataskyddsfrågor, kurser för per- 1 Kartläggningen redovisas i delbetänkandet Hur står det till med den personliga integriteten? – En kartläggning av (SOU 2016:41). Våra iakttagelser och slutsatser sonuppgiftsombud och personuppgiftsansvariga samt en upplysningstjänst för besvarande av frågor via telefon. Inom Datainspektionen finns en bred kompetens och erfarenhet inom området för personuppgiftsbehandling och integritetsskydd och det övergripande tillsynsansvaret ger goda förutsättningar för överblick och helhetssyn. Datainspektionens uppgift som nationell tillsynsmyndighet enligt det nuvarande dataskyddsdirektivet och myndighetens medverkan i det internationella samarbetet kring personuppgiftsbehandling och skyddet för den personliga integriteten innebär också att det inom myndigheten finns en stor kunskap om och andra internationella rättsliga regleringar kring dataskydd. De övriga myndigheter som utövar tillsyn över personuppgiftsbehandling gör detta inom avgränsade sakområden. Ett sådant, inom vissa områden, särskilt utpekat tillsynsansvar har ofta motiverats med att den personuppgiftsbehandling som där är föremål för tillsyn utgör en del av och har en naturlig och nära koppling till den verksamhet som i övrigt är föremål för myndighetens ansvarsområde och tillsyn. Detta gäller exempelvis för den tillsyn som utförs av PTS och . Den personuppgiftsbehandling som är föremål för särskild tillsyn kan vidare avse en verksamhet där det har ansetts att det krävs särskild insikt i och erfarenhet av den granskade verksamheten. Tillsynen är där inriktad på områden som kan ge upphov till särskilda risker från integritetssynpunkt. Detta gäller t.ex. för den tillsyn som utförs av SIN. Till detta kommer att det kan vara omöjligt att särskilja de åtgärder som innebär att en personuppgift har behandlats från andra åtgärder som också är föremål för en viss myndighets tillsyn. De behandlingsregler i lagen om elektronisk kommunikation som är föremål för tillsyn av PTS avser exempelvis kommunikation som kan, men inte behöver, innehålla personuppgifter som går att koppla till en fysisk person. Våra iakttagelser och slutsatser 8.3Är det möjligt att samla all tillsyn över behandling av personuppgifter hos en myndighet? Bedömning: Det är inte möjligt och vore inte heller lämpligt att samla all tillsyn över behandling av personuppgifter hos en myndighet. Det skulle heller inte stärka skyddet för enskildas personliga integritet. Tillsynen över behandling av personuppgifter är till stor del samlad hos en myndighet, Datainspektionen. Datainspektionen bör även i fortsättningen vara den centrala myndigheten när det gäller personuppgiftsbehandling. Vi anser att myndigheten även efter genomförandet av EU:s dataskyddsreform bör behålla sitt nuvarande namn. För att tillsynen ska bli ännu mera ändamålsenligt utformad och skyddet för den personliga integriteten därmed starkare, kan en viss överföring av tillsynsuppgifter från en tillsynsmyndighet till en annan behöva genomföras. Berörda myndigheter kan också behöva samråda i ökad omfattning. Vi återkommer i kapitel 10 till överväganden om var det finns ett sådant behov. Våra utredningsdirektiv anger att det i uppdraget ingår att analysera fördelar och nackdelar med att i högre grad än samla tillsynen över behandlingen av personuppgifter hos en myndighet. Det kan synas rimligt att anta att ett ännu mera samlat tillsynsansvar skulle kunna vara en fördel när det gäller effektivitet, resursutnyttjande och enhetlighet i tillsynsarbetet. Om det bara fanns en myndighet med ansvar för tillsynen av den personliga integriteten skulle det onekligen vara tydligt vilken myndighet som bär ansvaret. Det skulle också kunna ses som en fördel för tillsynsobjekten om en mera samlad tillsyn innebar att de skulle slippa bli föremål för tillsyn från olika håll. Att vara föremål för tillsyn tar resurser i anspråk i en granskad verksamhet; uppgifter och material kan behöva tas fram och personal avsättas för att bland annat ta emot tillsynsmyndigheternas representanter. Som bland annat Statskontoret har betonat är det viktigt att gränssnittet mellan tillsynsmyndigheter med liknande uppgifter blir Våra iakttagelser och slutsatser tydligt, så att det inte uppkommer otydlighet och överlappande ansvar mellan olika myndigheter.2 Enbart utmaningen att formulera tydliga gränssnitt mellan myndigheter med liknande uppgifter utgör dock inte ett tillräckligt skäl för att samla all tillsyn över behandlingen av personuppgifter hos en myndighet. Det är naturligtvis alltid nödvändigt att en myndighets uppgifter är noga preciserade så att det inte råder någon osäkerhet om vad myndigheten har att göra och vilka befogenheter den har. Om man väljer att dela ansvaret för en uppgift mellan olika myndigheter ställs det, mot bakgrund av risken för gränsdragningsproblem, särskilda krav på att det klargörs vilken myndighet som ska göra vad. är givetvis den viktigaste frågan hur tillsynen ska organiseras för att bäst skydda enskildas integritet. En vanlig frågeställning när det gäller organiseringen av den statliga tillsynen är i vilken utsträckning det bör inrättas en särskild fristående myndighet med uppdraget att utöva tillsyn över en eller flera andra myndigheter. En sådan diskussion tar ofta sin utgångspunkt i distinktionen mellan intern och extern tillsyn, och i viss mån även mellan ordinär och extraordinär tillsyn. Frågan kan då ställas om den tillsyn som redan utförs av exempelvis de extraordinära tillsynsmyndigheterna ombudsmän och Justitiekanslern är tillräcklig, om den granskning som en fristående myndighet utför kan sägas vara mer självständig och oberoende än den som utförs inom den aktuella verksamheten, samt om en ordinär men fristående tillsynsmyndighet kan förväntas bidra till ett ökat förtroende för myndighetens och det allmännas verksamhet. Förutsättningarna inom det område som är föremål för denna utrednings överväganden är emellertid helt andra. Inom det tillsynsområde som gäller behandling av personuppgifter och skyddet av den personliga integriteten vid sådan behandling finns redan ett antal statliga myndigheter med uppgift att utöva tillsyn. Frågan vi har att ta ställning till är därför vilka fördelar och nackdelar det finns med att samla dessa myndigheters tillsynsuppgifter hos en enda myndighet. Denna fråga inbegriper både mer allmänna överväganden om eventuella fördelar med ett mera samlat tillsynsansvar i allmänhet och, mer specifikt, om det finns några för- 2 Tänk till om tillsynen – om utformningen av statlig tillsyn, Statskontoret 2012. Våra iakttagelser och slutsatser delar med att samla de uppgifter som utförs av dagens tillsynsmyndigheter hos en myndighet. Sådana fördelar ska för att vara relevanta i detta sammanhang, i enlighet med våra direktiv, stärka skyddet för den enskildes personliga integritet. Vi har funnit att Datainspektionen, som har ett övergripande och i sak det mest omfattande tillsynsansvaret över personuppgiftsbehandling i både privat och offentlig verksamhet, har en samlad och väl upparbetad erfarenhet och kompetens när det gäller personuppgifts- och integritetsfrågor. Detta ger fördelar i form av effektivitet och kvalitet. Det finns enligt vår bedömning förutsättningar för Datainspektionen att upprätthålla en god överblick över den personuppgiftsbehandling som förekommer i samhället , liksom över utvecklingen inom området för dataskydd och integritet. Vår slutsats är mot den bakgrunden att Datainspektionen, som har en tydlig position som den myndighet som har ett övergripande ansvar när det gäller tillsynen över den personliga integriteten, även efter genomförandet av EU:s dataskyddsreform, bör behålla uppgiften att vara den centrala tillsynsmyndigheten när det gäller tillsynen över den personliga integriteten vid behandling av personuppgifter. Vi har övervägt om det, för att tydliggöra Datainspektionens roll som den centrala tillsynsmyndigheten när det gäller den personliga integriteten, finns skäl att ge myndigheten ett nytt namn. Myndigheten har haft sitt nuvarande namn sedan den inrättades, i samband med att datalagen (1973:289) trädde i kraft. Datalagen ersattes senare av personuppgiftslagen. Det kan möjligen hävdas att namnet är ålderdomligt och inte fullt ut beskriver vad myndigheten gör. Ett tänkbart nytt namn skulle kunna vara , eller . Det nuvarande namnet är å andra sidan mycket välkänt och väl inarbetat, både i och internationellt. Det viktigaste skälet för ett namnbyte skulle enligt vår bedömning vara om detta kan antas ha betydelse för att enskilda ska veta vilken myndighet man kan vända sig till med frågor och klagomål som gäller personlig integritet. Enligt vår bedömning skulle emellertid ett namnbyte snarare skapa osäkerhet hos allmänheten. Datainspektionen är även ett namn som stämmer väl överens med det namn som motsvarande myndigheter har i flera andra europeiska länder. Namnet speglar även den omständigheten att tillsynsom- Våra iakttagelser och slutsatser rådet rör behandling av personuppgifter och inte alla former av integritetsskydd. Myndighetens uppdrag omfattar också frågor som inte direkt tar sikte på enskildas integritetsskydd. Till detta kan läggas praktiska och ekonomiska konsekvenser som skulle följa med ett namnbyte. Vi anser mot den här bakgrunden att det saknas bärande skäl för att byta ut det väl kända och tydliga namnet Datainspektionen. Frågan är då om tillsynen skulle bli bättre och skyddet för den enskildes personliga integritet starkare om Datainspektionens tillsyn omfattade all, och inte bara merparten av, den personuppgiftsbehandling som förekommer. En fördel kunde som redan sagts antas vara att det i alla situationer skulle vara alldeles klart var tillsynsansvaret ligger. Ett exempel på ett tillsynsområde där oklarheter skulle kunna uppkomma är den personuppgiftsbehandling som utförs med stöd av polisdatalagen, både inom den öppna polisen och inom . Tillsynen är här parallell, dvs. både Datainspektionen och SIN kan utföra tillsyn. Det kan i ett enskilt fall råda osäkerhet om vilken av dessa myndigheter som ska genomföra tillsynsåtgärderna, och det kan vara svårt för en utomstående att förstå varför ansvarsfördelningen i ett enskilt fall blir som den blir. Så utfördes t.ex. tillsynen över det s.k. kringresanderegistret av SIN,3 medan Datainspektionen inledde ett tillsynsärende om det s.k. kvinnoregistret.4 I båda fallen rörde det sig om behandling av personuppgifter i den öppna polisens brottsbekämpande verksamhet. De två myndigheterna har också delvis olika befogenheter och det finns olika möjligheter för den som vill överklaga ett beslut beroende på vilken myndighet som har utfört tillsynen. Den parallella tillsynen kan därmed få även andra konsekvenser än att det är otydligt var ansvaret ligger.