sou · H4B365 · 2016-10-05 00:00:00 — Konsekvensen av detta har blivit att någon tillsyn inte har utförts. Myndigheten för samhällsskydd och beredskap – Datainspektionen Myndigheten för samhällsskydd och beredskap (MSB) har vissa uppgifter som tangerar Datainspektionens, på området för informationssäkerhet. Frågor om informationssäkerhet är en naturlig del av MSB:s uppdrag, men är också en fråga för Datainspektionen eftersom personuppgiftslagen innehåller bestämmelser om säkerheten vid behandling av personuppgifter. MSB är inte en tillsynsmyndighet,10 och dess uppdrag och verksamhet omfattas därför inte av vårt utredningsuppdrag. Vi anser trots detta att det finns skäl att här påpeka att det finns ett visst mått av överlappande ansvar inom området för informationssäkerhet. Detta gäller inte minst när EU:s nya dataskyddsförordning, som bland annat innehåller bestämmelser om rapportering av s.k. personuppgifts- 10 Utredningen 2014 har i betänkandet Informations- och cybersäkerhet i – strategi och åtgärder för säker information i staten (SOU 2015:23) föreslagit att MSB ska få i uppdrag att bedriva tillsyn över statliga myndigheters arbete med informationssäkerhet. Våra iakttagelser och slutsatser incidenter,11 ska börja tillämpas. Det kan finnas anledning att i ett annat sammahang se över ordningen för rapporteringen och andra frågor som gäller relationen mellan MSB och Datainspektionen. Myndigheter som har ett tillsynsuppdrag som till synes omfattar även personuppgiftsbehandling Vår kartläggning har slutligen visat att lagstiftningen i flera fall är utformad på ett sådant sätt att några myndigheter, som har i uppdrag att utöva tillsyn över efterlevnaden av en lag, därigenom också ges ett i vart fall teoretiskt uppdrag att utöva tillsyn även över behandlingen av personuppgifter. Såvitt vi har kunnat klargöra är de aktuella myndigheterna ofta inte ens medvetna om att lagstiftningen kan tolkas på ett sådant sätt, och de tillsynsinsatser som faktiskt utförs avser uteslutande andra frågor. Det är här fråga om lagar som innehåller bestämmelser om personuppgiftsbehandling som ska ersätta eller komplettera bestämmelser i personuppgiftslagen, och som slår fast att en viss myndighet ska utöva tillsyn över att lagens bestämmelser följs. Som exempel kan nämnas tillsynsansvar enligt lagen (2004:1199) om utsläppsrätter och tillsynsansvar enligt lagen (2005:405) om försäkringsförmedling och lagen (2010:751) om betaltjänster. Det finns också föreskrifter som innebär att en myndighet pekas ut både som tillsynsmyndighet och som personuppgiftsansvarig för samma behandling. Detta gäller exempelvis i förordningen (2011:1480) om elcertifikat och i skogsvårdslagen (1979:429. 11 S.k. personuppgiftsincidenter (säkerhetsincidenter som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats) ska enligt artikel 33 i förordningen utan onödigt dröjsmål anmälas till tillsynsmyndigheten. 9Anpassningar med anledning av EU:s dataskyddsreform I utredningens direktiv anges att vi ska förhålla oss till den pågående översynen av EU:s dataskyddsreglering och så långt som möjligt lämna de förslag som behövs för att en svensk tillsynsmyndighet ska kunna fullgöra de uppgifter som kan bli resultatet av den översynen. Sedan direktiven beslutades har reformarbetet fortsatt och både den nya allmänna dataskyddsförordningen1 och ett nytt direktiv om skydd för personuppgifter på det brottsbekämpande området2 har antagits av och rådet. Förordningen ska börja tillämpas och direktivet ska vara implementerat . Både förordningen och direktivet innehåller nya och utvidgade regleringar som gäller de nationella tillsynsmyndigheterna. Regeringen beslutade och om två utredningsdirektiv med anledning av de nya rättsakterna. En särskild utredare har fått i uppdrag att föreslå de anpassningar och kompletterande författningsbestämmelser på generell nivå som förordningen ger anledning till (dir. 2016:15, Ju 2016:04). Utredaren ska bland annat lämna förslag till upphävande av personuppgiftsregleringen och till författningsbestämmelser som kompletterar dataskyddsförordningen, utreda om det finns behov av 1Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (i detta betänkande kallat dataskyddsförordningen). 2Europaparlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter (i detta betänkande kallat [det nya] dataskyddsdirektivet). Anpassningar med anledning av EU:s dataskyddsreform generella bestämmelser för personuppgiftsbehandling utanför EU- rättens tillämpningsområde samt analysera vilka bestämmelser som behövs om bland annat administrativa sanktionsavgifter och behandling av känsliga personuppgifter. Vissa delar av uppdraget rör anpassningar med anledning av förordningens bestämmelser om tillsynsmyndigheter. Utredningen, som har antagit namnet , ska redovisa sitt uppdrag . Vidare har en särskild utredare fått i uppdrag att föreslå hur det nya dataskyddsdirektivet ska genomföras i svensk rätt (dir. 2016:21, Ju 2016:06). Utredaren ska bland annat analysera hur svensk rätt förhåller sig till direktivet och lämna förslag till en ny ramlagstiftning med bestämmelser om skydd för personuppgifter inom direktivets tillämpningsområde. En allmän utgångspunkt för utredaren är att sträva efter lösningar som ansluter till nuvarande principer och systematik i bland annat polisdatalagen (2010:361), åklagardatalagen (2015:433) och domstolsdatalagen (2015:728). Utredaren har också vissa uppgifter som rör direktivets reglering av de nationella tillsynsmyndigheterna. Utredningen, som har antagit namnet Utredningen om 2016 års dataskyddsdirektiv, ska genom ett delbetänkande redovisa bland annat den del av uppdraget som rör tillsyn. Uppdraget ska slutredovisas . När det gäller frågor som rör den eller de tillsynsmyndigheter som liksom alla andra medlemsstater måste ha för att övervaka tillämpningen av förordningen respektive direktivet finns det beröringspunkter mellan vår utredning och de två nya utredningarna. Regeringen har i direktiven till dessa utredningar preciserat ansvarsfördelningen så att vi ska ansvara för sådana anpassningsfrågor som rör vilken myndighet som ska utses till nationell tillsynsmyndighet enligt rättsakterna och representera övriga svenska tillsynsmyndigheter i Europeiska dataskyddsstyrelsen (, EDPB), den nationella tillsynsmyndighetens organisation och utnämningen respektive avsättandet av ledamöter i myndigheten, samt myndighetens resurser och därtill anknytande frågor. Vi ska även överväga om den nationella tillsynsmyndigheten bör ges ytterligare befogenheter utöver de som följer av dataskyddsförordningens artikel 58 samt analysera vilket utrymme och behov det finns av regler om exempelvis myndighetens uppgifter i dess instruktion. Anpassningar med anledning av EU:s dataskyddsreform Våra överväganden i de nu angivna frågorna bygger på den kunskap och de förhållanden som är kända . De två nämnda utredningarna kan ha anledning att på nytt överväga de frågor som omfattas av vårt uppdrag om det visar sig finnas behov härav, som ett resultat av de ställningstaganden de gör när det gäller vilka anpassningar som är nödvändiga med anledning av förordningen och direktivet. Den allmänna regleringen om behandling av personuppgifter inom EU finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, samt att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Dataskyddsdirektivet gäller inte för behandling av personuppgifter på områden som faller utanför gemenskapsrätten, t.ex. allmän säkerhet, försvar och nationell säkerhet. Dataskyddsdirektivet har i genomförts huvudsakligen genom personuppgiftslagen (1998:204). Personuppgiftslagen följer i princip dataskyddsdirektivets struktur och innehåller liksom direktivet bestämmelser om bland annat personuppgiftsansvar, grundläggande krav för behandling av personuppgifter, information till den registrerade, skadestånd och straff. Personuppgiftslagen är tillämplig även utanför område och gäller både för myndigheter och enskilda som behandlar personuppgifter. Härutöver finns en stor mängd övriga bestämmelser i svensk rätt som reglerar behandlingen av personuppgifter, framför allt i olika typer av myndighetsspecifik lagstiftning. Personuppgiftslagen kompletteras vidare av bestämmelser i personuppgiftsförordningen (1998:1191), som pekar ut Datainspektionen som nationella tillsynsmyndighet enligt bland annat direktivet. Anpassningar med anledning av EU:s dataskyddsreform Direktivet och den svenska lagstiftning som rör behandling av personuppgifter har närmare beskrivits i kapitel 3. Dataskyddsdirektivets allmänna reglering om behandling av personuppgifter gäller inte på området för polissamarbete och straffrättsligt samarbete inom EU. Rådets rambeslut /977/RIF av om skydd för personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (dataskyddsrambeslutet) är tillämpligt på uppgifter som överförs eller görs tillgängliga mellan medlemsstater och EU-organ och vissa informationssystem. Rambeslutet gäller däremot inte för rent nationell personuppgiftsbehandling. I påverkas främst , , , och av rambeslutet. Vid genomförandet av dataskyddsrambeslutet i bedömdes de flesta av rambeslutets artiklar redan motsvaras av bestämmelser i svensk rätt. De kompletterande bestämmelser som krävdes är genomförda i en särskild lag, lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen. och rådet antog en ny allmän dataskyddsförordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsförordningen). antogs ett nytt direktiv om personuppgiftsbehandling i brottsbekämpande verksamhet (det nya dataskyddsdirektivet). Dataskyddsförordningen utgör en ny generell reglering för personuppgiftsbehandling inom EU och kommer att ersätta det nuvarande dataskyddsdirektivet. Förordningen är direkt tillämplig i medlemsstaterna men både förutsätter och möjliggör vissa kompletterande nationella bestämmelser. I innebär detta bland annat att personuppgiftslagen måste upphävas och att en kompletterande generell reglering till förordningen behöver tas fram. Anpassningar med anledning av EU:s dataskyddsreform huvudsakliga syftet med förordningen är att ytterligare harmonisera och effektivisera skyddet för personuppgifter för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. Förordningen ska börja tillämpas . Från dataskyddsförordningens tillämpningsområde undantas enligt artikel 2 behandling av personuppgifter som –utgör ett led i en verksamhet som inte omfattas av unionsrätten, –medlemsstaterna utför när de bedriver verksamhet som omfattas av den gemensamma utrikes- och säkerhetspolitiken, –en fysisk person utför som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll, eller –behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Härutöver finns i förordningen bestämmelser om ytterligare undantag, t.ex. för registerföring i små och medelstora företag och för personuppgiftsbehandling för forsknings- och arkivändamål. När det gäller personuppgiftsbehandling i brottsbekämpande verksamhet ska i stället det nya dataskyddsdirektivet tillämpas. Direktivet, som ska vara implementerat , innehåller många förpliktelser för medlemsstaterna som är av samma slag som de som följer av det nuvarande rambeslutet. Det innehåller emellertid också några nyheter, såsom en delvis ny och mer detaljerad reglering om rättigheter för enskilda och om skyldigheter för personuppgiftsansvariga eller biträden avseende exempelvis datasäkerhet, dokumentation och loggning, konsekvensanalyser och förhandssamråd med tillsynsmyndigheten samt regler om underrättelser vid s.k. personuppgiftsincidenter. Både förordningen och direktivet innehåller också mer detaljerade bestämmelser om de nationella tillsynsmyndigheterna än den nuvarande regleringen. De bestämmelser som omfattas av vårt uppdrag behandlas i de följande avsnitten i detta kapitel. Anpassningar med anledning av EU:s dataskyddsreform 9.3Dataskyddsförordningens och det nya dataskyddsdirektivets regleringar om de nationella tillsynsmyndigheterna Dataskyddsförordningen baseras till stor del på det nuvarande dataskyddsdirektivets struktur och innehåll men innebär även en rad nyheter, såsom en utökad informationsskyldighet, administrativa sanktionsavgifter och inrättandet av Europeiska dataskyddsstyrelsen (, EDPB). Ett flertal av nyheterna avser vidare regleringen av de nationella tillsynsmyndigheterna. Dataskyddsförordningens och det nya dataskyddsdirektivets reglering av tillsynsmyndigheternas roll, organisation och uppgifter är mer detaljerad än motsvarande reglering i det nuvarande dataskyddsdirektivet och dataskyddsrambeslutet. Dataskyddsförordningen förpliktar de nationella tillsynsmyndigheterna i medlemsstaterna att samarbeta med och bistå varandra. Detta innebär bland annat skyldigheter att samråda och utbyta information. Vidare möjliggör, och ibland förutsätter, förordningen gemensamma insatser och utredningar där personal från olika medlemsstaters tillsynsmyndigheter deltar, liksom en överföring av befogenheter från en tillsynsmyndighet i en medlemsstat till tillsynsmyndigheter i andra medlemsstater som är involverade i samma insats. En förordnings bestämmelser gäller direkt i medlemsstaterna utan krav på nationella lagstiftningsåtgärder. Vissa frågor kan dock i och för sig vara reglerade genom en förordning men kan härutöver tillåta viss ytterligare nationell reglering. Detta gäller för dataskyddsförordningens reglering om bland annat tillsynsmyndighetens befogenheter i artikel 58.3 Det förekommer också att dataskyddsförordningen inte bara möjliggör utan förutsätter viss nationell lagstiftning. Förordningens artikel 54 anger att medlemsstaterna i lag ska reglera bland annat tillsynsmyndighetens 3 Av artikel 58.6 i förordningen följer att medlemsstaterna i sin nationella lagstiftning får föreskriva att deras tillsynsmyndigheter ska ha ytterligare befogenheter utöver dem som räknas upp i förordningen. Utövandet av dessa befogenheter får dock inte påverka den effektiva tillämpningen av förordningens föreskrifter om tillsynsmyndigheternas samarbete och den enhetliga tillämpningen av förordningen. Anpassningar med anledning av EU:s dataskyddsreform inrättande, de kvalifikationer som krävs för att någon ska utnämnas till ledamot av tillsynsmyndigheten och förfarandet för utnämning av tillsynsmyndigheternas ledamöter. Av förordningens preambel följer emellertid att när det i förordningen hänvisas till en rättslig grund eller lagstiftningsåtgärd, inte nödvändigtvis avses en lagstiftningsakt antagen av ett parlament. En rättslig grund eller lagstiftningsåtgärd bör dock vara tydlig och precis och dess tillämpning bör vara förutsägbar för personer som omfattas av den.4 Förordningen och direktivet medger enligt vår mening därmed reglering både i lag beslutad av och i förordning beslutad av regeringen. Även det nya dataskyddsdirektivet innehåller motsvarande detaljerade bestämmelser om de nationella tillsynsmyndigheterna, som till stor del är identiska med förordningens. Ett EU-direktiv är emellertid inte direkt tillämpligt i medlemsstaterna utan förutsätter att medlemsstaterna genomför regleringen i nationell rätt. Den nämnda pågående Utredningen om 2016 års dataskyddsdirektiv har i uppdrag att överväga hur direktivet ska genomföras i svensk rätt. I den utredningens uppdrag ingår bland annat att överväga hur direktivets förpliktelser ska genomföras när det gäller bestämmelserna om tillsyn, med undantag för de frågor om organisation, utnämning respektive avsättande av ledamöter samt resurser och anknytande frågor som tas om hand av vår utredning. I det följande presenteras våra överväganden med anledning av de regleringar som omfattas av vårt uppdrag. 4 Beaktandesats (41) i dataskyddsförordningens preambel. Motsvarande beaktandesats finns i direktivet (33). Anpassningar med anledning av EU:s dataskyddsreform 9.3.2Ansvarig tillsynsmyndighet och representation i dataskyddsstyrelsen Bedömning: Svensk rätt uppfyller dataskyddsförordningens och det nya dataskyddsdirektivets krav på att tillsynsmyndigheten ska vara fullständigt oberoende. bör inrättas genom en bestämmelse i en förordning beslutad av regeringen. Förslag: Datainspektionen ska utses till svensk tillsynsmyndighet enligt dataskyddsförordningen och det nya dataskyddsdirektivet. Detta, och myndighetens deltagande i dataskyddsstyrelsens arbete, ska regleras i Datainspektionens myndighetsinstruktion. Av artikel 28 i det nuvarande dataskyddsdirektivet följer att medlemsstaterna ska utse en eller flera myndigheter som har till uppgift att inom medlemsstatens territorium övervaka tillämpningen av de bestämmelser som följer av direktivet. har genom 2 § personppgiftsförordningen (1998:1191) slagit fast att det är Datainspektionen som är tillsynsmyndighet enligt personuppgiftslagen, som är den lag som till största delen införlivar det nuvarande dataskyddsdirektivet i svensk rätt. Av både dataskyddsförordningen och det nya dataskyddsdirektivet följer att varje medlemsstat ska utse en eller flera myndigheter att ansvara för tillsynen över tillämpningen av förordningen respektive direktivet, i syfte att skydda enskildas rättigheter vid behandlingen av personuppgifter och för att möjliggöra det fria flödet av sådana uppgifter (artikel 51.1 i förordningen och artikel 41.1 i direktivet). Detta motsvarar alltså vad som gäller enligt det nuvarande direktivet. En tillsynsmyndighet ska enligt båda rättsakterna vara fullständigt oberoende i utförandet av de uppgifter och utövandet av de befogenheter som den anförtrotts i rättsakterna. Dess ledamöter ska stå fria från utomstående påverkan och varken begära eller ta emot instruktioner av någon. Ledamöterna ska vidare avstå från alla Anpassningar med anledning av EU:s dataskyddsreform handlingar och all annan yrkesverksamhet som står i strid med tjänsteutövningen. Medlemsstaterna ska se till att varje tillsynsmyndighet har sådana resurser, lokaler och infrastruktur som behövs för att den ska kunna utföra sina uppgifter och utöva sina befogenheter. Myndigheterna ska vidare välja och förfoga över sin egen personal, som bara ska ta instruktioner från myndighetsledningen, och myndigheterna ska vara föremål för finansiell kontroll utan att detta påverkar myndighetens oberoende. Myndigheterna ska förfoga över en egen, offentlig årsbudget. Den nationella tillsynsmyndighet som utses ska vidare ha angivna uppgifter och befogenheter och dess ledamöter ska utnämnas och får avsättas på ett sätt som överensstämmer med rättsakterna. För att säkerställa och underlätta ett samarbete mellan medlemsstaternas tillsynsmyndigheter, och för att garantera en konsekvent tillämpning av dataskyddsförordningen i EU ska en europeisk dataskyddsstyrelse inrättas (, EDPB). Styrelsen ska ersätta Arbetsgruppen för uppgiftsskydd, den s.k. Artikel 29-gruppen, och ges en mer central roll. De nationella tillsynsmyndigheterna ska bland annat vara skyldiga att samråda med dataskyddsstyrelsen innan de vidtar åtgärder som kan få konsekvenser i andra medlemsstater. Om det i en medlemsstat finns fler än en tillsynsmyndighet ska en av dem utses att representera de andra i dataskyddsstyrelsen (artikel 51.3 i förordningen och artikel 41.4 i direktivet). Vårt förslag i frågan om det bör inrättas en ny myndighet med ett samlat ansvar för tillsynen över behandling av personuppgifter Vi har i kapitel 8 redovisat våra överväganden i frågan om det bör inrättas en ny myndighet med ett samlat ansvar för tillsynen över personuppgiftsbehandling. Vi har funnit att den nuvarande ordningen, som innebär att Datainspektionen är central tillsynsmyndighet med det huvudsakliga ansvaret för tillsynen över behandling av personuppgifter och att några ytterligare myndigheter har begränsade tillsynsuppgifter för vissa särskilda sakområden, är den ordning som bäst kan skydda enskildas integritet och att den inte bör och inte heller kan ersättas med en ordning där all tillsyn utövas av en myndighet. Anpassningar med anledning av EU:s dataskyddsreform Detta innebär att Datainspektionen med våra förslag ska finnas kvar som central tillsynsmyndighet, med i allt väsentligt samma uppgifter som . Vid sidan av Datainspektionens tillsyn ska viss tillsyn även i fortsättningen bedrivas av några andra myndigheter. Vi återkommer i kapitel 10 till frågan om det finns anledning att inom ramen för denna tillsynsstruktur, och med beaktande av kraven i de nya EU-rättsakterna, på nationell nivå göra några ändringar i tillsynsansvaret för olika myndigheter, i syfte att ytterligare tydliggöra gränsdragningen mellan olika myndigheters tillsynsuppdrag, skapa en mer ändamålsenlig tillsyn och stärka skyddet för den personliga integriteten. Gällande svensk ordning för en oberoende förvaltning Den eller de myndigheter som utses att övervaka tillämpningen av dataskyddsförordningen och det nya dataskyddsdirektivet måste vara fullständigt oberoende i utförandet av de uppgifter och utövandet av de befogenheter som den anförtrotts i rättsakterna. I kravet på att en tillsynsmyndighet ska vara ”fullständigt” oberoende ligger både att den ska vara fristående och självständig i förhållande till den verksamhet den är satt att övervaka och att det inte heller får förekomma någon påverkan, direkt eller indirekt, från något annat håll, såsom från staten.5 Den svenska förvaltningsorganisationen, med ett relativt litet regeringskansli och med förvaltningsmyndigheter som är fristående i förhållande till regeringen och , skiljer sig från sina motsvarigheter i de flesta andra europeiska länder, där förvaltningen i stället ofta är en del av regeringens kansli och där den ansvariga ministern kan utöva ett direkt bestämmande över myndigheterna. De svenska förvaltningsmyndigheternas självständiga ställning och oberoende i beslutsfattandet garanteras i regeringsformen. Att förvaltningsmyndigheterna lyder under regeringen (12 kap. 1 §) innebär att föreskrifter från regeringen ska riktas till myndigheten, inte till enskilda tjänstemän.6 Regeringens styrning av myndighe- 5Se t.ex. dom i mål C‑518/07. 6SOU 1972:15 s. 195 och SOU 2008:125 s. 351. Se också m.fl., Grundlagarna (3 uppl. 2012), s. 556. Anpassningar med anledning av EU:s dataskyddsreform terna är vidare begränsad, främst genom bestämmelsen i 12 kap. 2 § som slår fast att ingen myndighet, inte heller eller en kommuns beslutande organ, får bestämma hur en förvaltningsmyndighet i ett särskilt fall ska besluta i ett ärende som rör myndighetsutövning mot en enskild eller mot en kommun eller som rör tillämpningen av lag. får heller inte fullgöra förvaltningsuppgifter i vidare mån än vad som följer av grundlag eller riksdagsordningen (12 kap. 3 §).