sou · H4B365 · 2016-10-05 00:00:00 — utövar också tillsyn över att etikprövningslagen följs, vilket inkluderar behandlingen av personuppgifter inom sådan forskning som omfattas av lagen. Tillsynsansvaret är dock negativt formulerat, så att nämnden ska utöva tillsyn endast i den mån tillsynen inte faller inom en annan myndighets tillsynsområde. I förarbetena anges att sådana myndigheter är (vars uppgifter i detta avseende har övertagits av ), och Datainspek- Kartläggning av dagens tillsyn över personuppgiftsbehandling tionen.22 Viss oklarhet råder om ansvarsfördelningen mellan och Datainspektionen, vilket vi berör ytterligare i kapitel 8 och 10. Det har förekommit att ärenden har överlämnats av till Datainspektionen, som emellertid inte heller har ansett sig vara rätt myndighet att utöva tillsyn. Resultatet av denna oenighet är att inte någon myndighet har utövat tillsyn över dessa ärenden. uppskattar att knappt hälften av de tillsynsärenden som kommer in till nämnden rör behandling av personuppgifter, vilket inte motsvarar mer än en handfull ärenden . Nämndens uppfattning är emellertid i de allra flesta av dessa fall att den inte är behörig att utöva tillsyn. Om behandlingen gäller s.k. känsliga personuppgifter överlämnas ärendet alltid till Datainspektionen. Centrala etikprövningsnämndens arbete med tillsyn över behandling av personuppgifter är därmed mycket begränsad och uppskattas av nämndens kansli motsvara av en årsarbetskraft. En särskild utredare har fått i uppdrag att se över etikprövningslagen (U 2016:02, dir. 2016:45). I uppdraget ingår bland annat att bedöma om regleringen av tillsynen över lagen och föreskrifter som meddelats med stöd av lagen behöver ändras. I direktiven till utredningen konstateras emellertid att frågor om tillsyn över behandling av personuppgifter omfattas av vår utredning. Behandling av personuppgifter vid s.k. spam tillsyn över spambestämmelsen i marknadsföringslagen Av 19 § marknadsföringslagen (2008:486) följer ett förbud mot s.k. obeställd reklam till fysiska personer via exempelvis e-post. Förbudet innebär att reklamutskick får skickas till en fysisk person endast om denne har samtyckt till det på förhand eller i vart fall, i samband med ett tidigare köp, inte har motsatt sig att e-post- adressen används för marknadsföring. Sådana utskick av marknadsföring, som ofta kallas spam, innebär en behandling av personuppgifter. 2002/03:50 s. 163 f. Kartläggning av dagens tillsyn över personuppgiftsbehandling Förbudet mot obeställd reklam, liksom marknadsföringslagen i övrigt, gäller näringsidkare som marknadsför sina produkter. Tillsynen i denna del riktar sig därmed mot privata aktörer. utövar tillsyn över att marknadsföringslagen, inklusive bestämmelsen om förbudet mot obeställd reklam, följs. Av i genomsnitt cirka 600 tillsynsärenden avser en handfull23 ärenden spam via e-post. Ytterligare ett fåtal avser spam via sms. Tillsynsärendena grundar sig på anmälningar från privatpersoner, och avser ofta bolag som har varit föremål för många anmälningar. gjordes drygt 2 500 anmälningar (av 850 personer) om spam via e-post. Ett av de tillsynsärenden som inleddes avsåg ett bolag som hade varit föremål för närmare 100 anmälningar. Behandling av personuppgifter vid åtgärder mot penningtvätt och finansiering av terrorism Penningtvättslagen – ett delat tillsynsansvar Lagen (2009:62) om åtgärder mot penningtvätt och finansiering av terrorism (penningtvättslagen) syftar till att förhindra att finansiell verksamhet och annan näringsverksamhet utnyttjas för penningtvätt och finansiering av terrorism. Lagen gäller för fysiska och juridiska personer som driver rörelser som avser bland annat bank- och finansiering, fastighetsmäklarverksamhet, bokföring eller revision, advokatverksamhet och yrkesmässig handel med varor mot kontant betalning. Lagen, och det penningtvättsdirektiv som lagen bygger på, ställer krav på att verksamhetsutövare ska vidta åtgärder för att kontrollera sina kunder. Misstänkta transaktioner ska anmälas till Finanspolisen. antog och rådet det fjärde penningtvättsdirektivet. Bestämmelserna i det nya direktivet ska vara införlivade i nationell rätt . Kontrollerna enligt penningtvättslagen innebär normalt en automatiserad behandling av personuppgifter. I lagen finns vissa bestämmelser om verksamhetsutövares behandling av personuppgifter, som till viss del ersätter personuppgiftslagen. 23 2015 inleddes tre ärenden, 2014 tio ärenden och 2013 ett ärende. Kartläggning av dagens tillsyn över personuppgiftsbehandling Det finns också bestämmelser om tillsyn för viss verksamhet som omfattas av lagen. För tillsyn av annan verksamhet hänvisas till bestämmelser i andra lagar. Genom tillsynen ska kontrolleras att verksamheten bedrivs i enlighet med penningtvättslagen och föreskrifter som har meddelats med stöd av lagen (6 kap. 2 §). Förarbetena anger att tillsynen bland annat ska innebära en kontroll av att de som står under tillsyn har rutiner för att kontrollera identiteten hos personer som vill inleda en sådan affärsförbindelse som omfattas av lagen.24 Länsstyrelserna i , och län ska utöva tillsyn över viss verksamhet som omfattas av penningtvättslagen (16 § förordningen [2009:92] om åtgärder mot penningtvätt och finansiering av terrorism). Den verksamhet som omfattas av länsstyrelsernas tillsyn är den som utförs av redovisningskonsulter, skatterådgivare, vissa oberoende jurister, bolagsmäklare, och verksamhetsutövare som säljer varor mot kontant betalning överstigande . (1 kap. 2 § 11, 12 och 14–16 penningtvättslagen). Härutöver utövas tillsyn över verksamheter som omfattas av penningtvättslagen av olika tillsynsorgan. –Fastighetsmäklare granskas av Fastighetsmäklarinspektionen. –Spelmarknaden står under tillsyn av Lotteriinspektionen. Ett kasinoföretag, Casino Cosmopol, är den enda aktör som omfattas av penningtvättslagen och inspektionens tillsyn i de delarna. –Revisorer och revisionsbolag granskas av . –Advokater och biträdande jurister vid advokatbyråer kontrolleras av . –utövar tillsyn över finansiella aktörer såsom banker och finansieringsrörelser, fondverksamhet m.m. Härutöver har i uppdrag att samordna tillsynen enligt penningtvättslagen. Vid myndigheten finns ett samordningsorgan, där övriga tillsynsmyndigheter och finns representerade. 2008/09:70 s. 160. Kartläggning av dagens tillsyn över personuppgiftsbehandling Behandling av personuppgifter i kasinoverksamhet Lotteriinspektionens tillsyn över kasinolagen Av kasinolagen (1999:355) följer bland annat att den som anordnar kasinospel ska föra ett register över kasinots besökare. Registret får föras med hjälp av automatiserad behandling och ska innehålla uppgifter om besökarnas namn, personnummer och adress, samt ett fotografi av besökaren och uppgift om tidpunkten för besöket. Casino Cosmopol, som är den enda aktör på den svenska spelmarknaden som omfattas av kasinolagen, registrerar uppgifterna i ett särskilt besöksregister som kallas CMS. Registret motsvarar också den nämnda penningtvättslagens krav på kundkännedom. innebär att personuppgifter behandlas och att behandlingen kan vara automatiserad. Härutöver kan gästerna i ett kasino kameraövervakas, vilket i sig innebär att personuppgifter behandlas. Slutligen registreras vissa kunduppgifter i kasinots s.k. händelserapporteringssystem iTrak. Uppgifterna används exempelvis för att registrera personer som är avstängda från spel på grund av spelöverträdelser och för att hantera ekonomiska förhållanden mellan ett kasino och dess besökare. Lotteriinspektionen ansvarar för tillsynen över att lagen (1982:636) om anordnande av visst automatspel, lotterilagen och kasinolagen följs. Tillsyn av den personuppgiftsbehandling som sker med stöd av kasinolagen har genomförts av Lotteriinspektionen. Händelserapporteringssystemet iTrak omfattas inte av kasinolagen och därmed inte av Lotteriinspektionens tillsyn. När det gäller detta register är därför Datainspektionen den ansvariga tillsynsmyndigheten. ansvarar för tillsynen över att kameraövervakningen bedrivs lagenligt (se ovan). Tillsynen avser bara verksamhet som bedrivs av privata aktörer. Tillsyn över den behandling av personuppgifter som följer av kasinolagen utgör enligt Lotteriinspektionen en begränsad del av inspektionens tillsynsverksamhet. Kartläggning av dagens tillsyn över personuppgiftsbehandling Härutöver finns ytterligare en kategori författningar och tillsynsmyndigheter som vi anser bör redovisas i detta sammanhang. I den placerar vi föreskrifter som liksom de som nämnts i tidigare avsnitt innehåller bestämmelser om både personuppgiftsbehandling och tillsyn, men där vi bedömer att personuppgiftsbehandlingen är av begränsad omfattning och där vi utgår ifrån att den tillsyn som bedrivs av en utpekad tillsynsmyndighet i praktiken inte omfattar dessa frågor. Tillsynsansvaret kan i flertalet av dessa fall snarare betecknas som teoretiskt – regleringen om tillsyn är formulerat på ett sådant sätt att det omfattar även behandling av personuppgifter, men avsikten har sannolikt inte varit att sådana frågor faktiskt ska omfattas av myndighetens tillsyn. Vi återkommer i kapitel 10 till frågan om behovet av översyn av sådana bestämmelser. Här finns också föreskrifter som innebär att en myndighet pekas ut som tillsynsmyndighet med uppdrag att utöva tillsyn över efterlevnaden av en lag som innehåller en eller flera uttryckliga bestämmelser om personuppgiftsbehandling, men där samma myndighet dessutom anges som personuppgiftsansvarig för samma behandling. Eftersom en och samma myndighet inte bör både vara personuppgiftsansvarig och utöva tillsyn över personuppgiftsbehandlingen, torde tillsynsuppgifterna i de aktuella fallen trots föreskrifternas formulering i själva verket inte omfatta personuppgiftsbehandlingen. Som exempel på dessa typer av regleringar kan följande föreskrifter nämnas. I lagen (2004:1199) om handel med utsläppsrätter regleras förutsättningar för handel med rätt att släppa ut växthusgaser. ska föra ett register över svenska utsläppsrätter. Lagen innehåller vissa bestämmelser om behandlingen av personuppgifter i ett sådant register, i övrigt hänvisas till personuppgiftslagen. Av den tillhörande förordningen (2004:1205) följer att är den tillsynsmyndighet som ska utöva tillsyn över att lagen följs.25 25 har uppgett att frågor om personuppgiftsbehandling inte har varit del av myndighetens tillsyn och att man inte hade uppfattat att lagen ger dem ett sådant tillsynsuppdrag. Kartläggning av dagens tillsyn över personuppgiftsbehandling Försäkringsförmedlare (dvs. juridiska eller fysiska personer som yrkesmässigt för någon annans räkning bland annat förmedlar och ingår försäkringsavtal) torde i sin verksamhet behandla personuppgifter. Förmedlarna står enligt lagen (2005:405) om försäkringsförmedling under tillsyn av . Tillsynen ska avse att den som utövar försäkringsförmedling följer försäkringsförmedlingslagen, föreskrifter som har meddelats med stöd av den lagen och andra författningar som reglerar försäkringsförmedlarens verksamhet. Förordningen (2005:411) om försäkringsförmedling innehåller bestämmelser om behandling av personuppgifter. Lagen (2010:751) om betaltjänster reglerar tillhandahållandet av betaltjänster, dvs. tjänster som gör det möjligt att t.ex. genomföra betalningstransaktioner via autogiro och kontokort. Lagen innehåller bestämmelser om sådan behandling av personuppgifter som en betaltjänstleverantör kan genomföra som ett led i granskningen av transaktioner i syfte att avslöja bedrägerier. Av lagen följer också att ska utöva tillsyn över att bestämmelserna i lagen följs.26 I lagen (2011:725) om behörighet för lokförare finns bland annat bestämmelser om register över förarbevis m.m. för lokförare och om behandlingen av personuppgifter i sådana register. Transportstyrelsen utövar enligt förordningen (2011:728) om behörighet för lokförare tillsyn över att lagen följs. anges i lagen att det är tillsynsmyndigheten som för och är personuppgiftsansvarig för de s.k. förarbevisregistren. Ett av registren, ett s.k. intygsregister, med uppgifter om kompletterande intyg ska dock föras av järnvägsföretag och infrastrukturförvaltare, som då är personuppgiftsansvariga för registret. Regleringen innebär att Transportstyrelsens tillsynsansvar kan sägas omfatta intygsregistret, medan Datainspektionen ansvarar för tillsyn över de register som Transportstyrelsen är personuppgiftsansvarigt för. Lagen (2011:1200) om elcertifikat innehåller bestämmelser om bland annat tilldelning av och handel med s.k. elcertifikat, som utfärdas för produktion av förnybar el. Ett elektroniskt register ska föras av den s.k. kontoföringsmyndigheten över tilldelade elcertifikat, och lagen innehåller vissa bestämmelser om behandlingen av 26 har uppgett att frågor om personuppgiftsbehandling inte har varit föremål för inspektionens tillsyn enligt de nämnda lagarna. Kartläggning av dagens tillsyn över personuppgiftsbehandling personuppgifter i sådana register. Av förordningen (2011:1480) om elcertifikat följer att är både kontoföringsmyndighet och tillsynsmyndighet. I skogsvårdslagen (1979:429) regleras bland annat anläggning, skötsel och avverkning av skog. Lagen innehåller bestämmelser om det automatiserade register som ska föras över fysiska och juridiska personer som yrkesmässigt bedriver produktion av och handel med skogsodlingsmaterial, och behandling av personuppgifter i ett sådant register. I lagen anges att ska utöva tillsyn över efterlevnaden av lagen. Samma myndighet är dock även personuppgiftsansvarig för registret. Här finns slutligen exempel på tillsynsmyndigheter som ska granska att en verksamhet bedrivs lagenligt i största allmänhet, vilket åtminstone teoretiskt kan sägas omfatta även personuppgiftsbehandlingen i den granskade verksamheten. Som ett exempel kan nämnas att Myndigheten för familjerätt och föräldraskapsstöd ska utöva tillsyn över att de auktoriserade adoptionssammanslutningarnas arbete sker i enlighet med lag. är tillsynsmyndighet enligt konkurslagen (1987:672) och ska på motsvarande sätt övervaka att konkursförvaltningar bedrivs lagenligt. och Justitiekanslerns tillsyn över den offentliga förvaltningen Vid sidan av de ordinära tillsynsmyndigheterna utövas tillsyn över hur lagar och andra föreskrifter tillämpas i offentlig verksamhet av ombudsmän (, JO) och Justitiekanslern (). Denna tillsyn inbegriper givetvis behandlingen av personuppgifter och skyddet av enskildas personliga integritet vid sådan behandling. Som nämnts i kapitel 4 utgör både och Justitiekanslerns tillsynsverksamhet s.k. extraordinär tillsyn. Detta innebär bland annat att de inte kan ompröva beslut som har fattats av andra myndigheter och inte ändra dessa beslut. Ett tillsynsärende kan resultera i ett beslut som kan innehålla kritik, vägledande uttalanden och liknande men inte i rättsligt bindande beslut om exempelvis rättelse. Besluten är allmänt tillgängliga på respektive myndighet. De beslut som anses Kartläggning av dagens tillsyn över personuppgiftsbehandling vara av särskilt intresse, t.ex. på grund av sin vägledande funktion, publiceras dessutom på de båda myndigheternas webbplatser. verksamhet regleras i regeringsformen, riksdagsordningen och lagen (1986:765) med instruktion för ombudsmän. Justitiekanslerns verksamhet regleras, utöver i tryckfrihetsförordningen och yttrandefrihetsgrundlagen, främst i lagen (1975:1339) om Justitiekanslerns tillsyn, förordningen (1975:1345) med instruktion för Justitiekanslern och förordningen (1995:1301) om handläggning av skadeståndsanspråk mot staten. De som står under de två tillsynsmyndigheternas tillsyn ska på begäran lämna upplysningar och yttranden, samt ge tillgång till handlingar och protokoll. Ett granskningsärende kan inledas både efter ett klagomål av en enskild och på myndighetens eget initiativ. Både och Justitiekanslern kan genomföra inspektioner som ett led i granskningen. Om en befattningshavare har begått sådana fel att det kan utgöra en brottslig handling, får en justitieombudsman eller justitiekanslern som särskild åklagare väcka åtal mot befattningshavaren. Befattningshavaren kan dessutom anmälas för disciplinpåföljd eller avskedande. Gäller misstankarna ett tryck- eller yttrandefrihetsbrott är det bara justitiekanslern som kan väcka sådant åtal. Justitiekanslern hade tidigare möjlighet att för att ta tillvara allmänna intressen överklaga länsstyrelsernas beslut om kameraövervakning på platser dit allmänheten har tillträde. Sedan den nya kameraövervakningslagen trädde i kraft har denna uppgift övertagits av Datainspektionen (47 §). Justitiekanslern kan dock fortfarande överklaga beslut enligt den tidigare lagen (1998:150) om allmän kameraövervakning. Som nämnts ska SIN anmäla till Justitiekanslern om nämnden i sin tillsyn har konstaterat brister i behandlingen av personuppgifter som kan medföra skadeståndsansvar för staten. Även i andra fall kan statens skadeståndsansvar för felaktig personuppgiftsbehandling aktualiseras, och det är även då Justitiekanslern som handlägger ärendena och som företräder staten (48 § personuppgiftslagen och 3 § förordningen [1995:1301] om handläggning av skadeståndsanspråk mot staten). Myndigheters behandling av personuppgifter kan därmed bli föremål för tillsyn både av ett ordinarie tillsynsorgan, i de flesta fall Datainspektionen, och av de extraordinära. Kartläggning av dagens tillsyn över personuppgiftsbehandling tionens tillsyn riktar sig enbart mot en myndighet som sådan i egenskap av personuppgiftsansvarig, kan och Justitiekanslerns tillsyn dessutom avse enskilda tjänstemän. Ett uttalande av de två senare tillsynsorganen kan därmed gälla både i vilken utsträckning en myndighet har fullgjort sin uppgift som personuppgiftsansvarig och om en enskild tjänsteman har behandlat personuppgifter på ett korrekt sätt. 7Tillsynen över personuppgiftsbehandlingen i några andra länder I detta avsnitt beskrivs översiktligt hur den statliga tillsynen över behandlingen av personuppgifter är organiserad i , och . En sammanfattande beskrivning av hur tillsynen ser ut i övriga och världen lämnas också. Beskrivningarna tar sikte på i vilken utsträckning ansvaret för tillsynen i andra länder är koncentrerat till en tillsynsmyndighet eller delat mellan flera. Den centrala myndigheten för tillsyn över personuppgiftsbehandling i är Datatilsynet. Det är en myndighet under regeringen som har uppgifter som till stor del motsvarar den svenska Datainspektionens. Tillsynen genomförs både genom tillsyn på eget initiativ och genom prövning av klagomål från allmänheten. Datatilsynet har ingen skyldighet att pröva klagomål, utan avgör självständigt vilka granskningsärenden de vill inleda med anledning av ett klagomål. Tillsynsinsatserna planeras ofta så att de exempelvis koncentreras på en viss verksamhet som bedöms innebära särskilda integritetsrisker eller på sådana verksamheter som kan anses vara representativa för en större verksamhetssektor. Inspektioner kan genomföras både på plats och genom skriftlig kommunikation med den granskade verksamheten. Datatilsynet jobbar aktivt för att skapa uppmärksamhet och öka medvetenheten kring integritetsfrågor, både hos allmänheten, lag- Tillsynen över personuppgiftsbehandlingen i några andra länder stiftaren och bland dem som bedriver verksamhet som riskerar att påverka den personliga integriteten. Detta sker exempelvis genom informations- och rådgivningsverksamhet och genom att myndigheten deltar bland annat i den allmänna debatten och hålla föredrag vid konferenser och andra sammankomster. Myndigheten genomför också enkätundersökningar, kartläggningar om norrmännens inställning och förväntningar när det gäller integritetsfrågor och skyddet för den personliga integriteten. Härutöver utövar det s.k. EOS-utvalget1 tillsyn av underrättelse- och övervakningsverksamhet som avser rikets säkerhet vid de s.k. EOS-myndigheterna, dvs. främst säkerhetspolisen, den nationella säkerhetsmyndigheten och säkerhetsavdelningen inom försvaret. Den verksamhet som omfattas av tillsynen innebär ofta en behandling av personuppgifter. Utvalgets sju ledamöter väljs av , med möjlighet till omval, men utgör en fristående enhet i förhållande till . Stortingsledamöter kan inte vara ledamöter av utvalget. EOS-utvalgets tillsyn avser skyddet för den enskildes rättigheter i den granskade verksamheten, såsom exempelvis att underrättelse- och övervakningsåtgärderna är proportionerliga i förhållande till det behov som föranleder dem och att den övervakades integritet inte kränks i högre grad än vad som anses nödvändigt. Enskilda som anser eller misstänker att de varit föremål för felaktig personuppgiftsbehandling eller andra åtgärder kan anmäla detta till utvalget, som är skyldigt att utreda alla anmälningar. Om utvalget finner att det har förekommit felaktigheter i det granskade ärendet konstateras detta i ett skriftligt yttrande till den berörda myndigheten, som ombeds att rätta till felaktigheterna och i förekommande fall kompensera anmälaren för eventuella skador. Utvalget kan inte meddela bindande beslut om rättelser, skadestånd eller andra åtgärder. Vidare utövas i tillsyn av motsvarigheten till den svenska : Nasjonal kommunikasjonsmyndighet (Nkom), bland annat över behandlingen av personuppgifter i post- och telekommunikation. 1 kontrollutvalg for etterrettnings-, overvåkningsog sikkerhetstjeneste. Tillsynen över personuppgiftsbehandlingen i några andra länder Den centrala tillsynsmyndigheten på dataskyddsområdet heter även i Datatilsynet. Myndighetens huvudsakliga uppgift är att verka för att den danska personuppgiftslagen följs. Detta sker huvudsakligen genom förebyggande arbete såsom rådgivning och informationskampanjer, men också genom tillsyn. Tillsynsärenden kan inledas både efter anmälningar och på myndighetens eget initiativ. En person som anser sig ha blivit utsatt för felaktig personuppgiftsbehandling ska i första hand vända sig till den personuppgiftsansvarige och kräva rättelse. Om detta inte sker kan en anmälan göras till Datatilsynet, som då är skyldig att inleda ett tillsynsärende. Datatilsynet ska dessutom alltid få yttra sig över förslag till lagar och andra föreskrifter som rör skyddet för den personliga integriteten. Datatilsynet består av ett sekretariat och ett beslutande råd, , vars ledamöter utses av justitieministern. Rådets ordförande ska vara domare. I övrigt består rådet bland annat av en advokat, en professor i juridik och en direktör för en konsumentorganisation. Rådet beslutar i ärenden av principiell karaktär och i ärenden som har ett stort allmänt intresse. Sekretariatet ansvarar för myndighetens löpande arbete. Ett tillsynsärende kan resultera i ett yttrande av Datatilsynet, som också kan kräva rättelse och förbjuda ytterligare personuppgiftsbehandling. Datatilsynets beslut kan inte överklagas. Härutöver utövas i tillsyn över personuppgiftsbehandling av ytterligare några myndigheter. Domstolsstyrelsen utövar tillsyn över domstolarnas behandling av personuppgifter i den administrativa verksamheten. Tilsynet med Efterretningstjenesterne () utövar tillsyn över personuppgiftsbehandlingen i polisens och försvarsmaktens underrättelseverksamhet samt i . På begäran av enskilda ska vidare kontrollera om den enskilde har varit föremål för personuppgiftsbehandling inom underrättelseverksamheterna. Tillsyn över att bestämmelserna om s.k. cookies (dvs. en textfil som en webbplats begär att få spara i en besökares dator för att följa hur besökaren använder webbplatsen) och över övriga bestäm- Tillsynen över personuppgiftsbehandlingen i några andra länder melser som följer av det s.k. e-privacy-direktivet2 utövas i av Erhversstyrelsen.3 Den danska konsumentombudsmannen utövar tillsyn över förbudet mot s.k. spam (obeställd reklam via bland annat e-post). I är tillsynen över behandling av personuppgifter i huvudsak koncentrerad till de två s.k. datasekretessmyndigheterna och . uppgifter motsvarar i stor utsträckning den svenska Datainspektionens.