sou · H4B365 · 2016-10-05 00:00:00 — I vårt uppdrag har ingått att lämna förslag som innebär att den myndighet som ska ha det huvudsakliga ansvaret för tillsynen över behandling av personuppgifter är förberedd för att kunna fullgöra de uppgifter som (Ju 2014:09)kan komma att föreslå att ett integritetsskyddsråd ska ha. redovisade i delbetänkandet Hur står det till med den personliga integriteten? – en kartläggning av (SOU 2016:41) sina överväganden bland annat i frågan om ett integritetsskyddsråd (s. 646 f.). Kommittén anser att det inte bör inrättas något integritetsskyddsråd med huvuduppgift att verka för en säkrare avvägning av motstående intressen i lagstiftningen. Kommittén konstaterar att Datainspektionen har ett övergripande ansvar för skyddet av personuppgifter, vilket bland annat innebär att myndigheten regelmässigt är remissinstans (både när det gäller formella remisser och delningar från departementen) och ofta finns representerad i utredningar som gäller sådana frågor. Det finns dessutom ett flertal andra myndigheter och organisationer, såsom Justitiekanslern, ombudsmän, för samhällsskydd och beredskap, PTS, SIN samt , som också granskar förslag till ny lagstiftning ur ett integritetsskyddsperspektiv. Dessa bidrar enligt kommittén till att integritetsskyddsperspektivet lyfts fram i lagstiftningsarbetet och att bristfälliga avvägningar uppmärksammas. Både och regeringen har emellertid enligt kommittén behov av kunskap för att kunna följa den snabba utvecklingen på området, liksom kunskap om hur övervakning och kartläggning kan gå till och faktiskt förekommer. Kunskap behövs också om hur de legala förutsättningarna löpande förändras, vilka trender som kommer att vara av betydelse och om hur stort det sammanlagda trycket blir på den enskilda individens privata sfär. Sådan kunskap behövs för att på olika sätt kunna påverka utvecklingen i önskvärd riktning, genom exempelvis ny lagstiftning, och för att bedöma effekterna av befintlig lagstiftning och andra åtgärder som innebär att enskilda registreras eller kartläggs. Också företag, myndigheter och enskilda personer kan enligt kommittén ha nytta av större kunskap och överblick. Förstärkning av skyddet för den personliga integriteten... konstaterar att det finns flera statliga myndigheter som arbetar med tillsyn av integritetsskydd men att tillsynen rör hur uppgifter hanteras i enskilda fall. Tillsynsverksamheterna innebär att tillsynsmyndigheterna får goda kunskaper om sina respektive ansvarsområden, men leder inte med nödvändighet till att tillsynsmyndigheterna kan skapa sig en övergripande och sammanlagd bild av hur omfattande kartläggningen och övervakningen av enskilda faktiskt är och hur den går till i praktiken. Det finns därmed enligt kommittén ett behov av att säkerställa att någon myndighet följer utvecklingen på ett mer övergripande plan och sammanfattar och analyserar nya trender, tekniker och användningsområden samt även hur de legala förutsättningarna löpande förändras. Kommittén föreslår att detta behov av överblick ska tillgodoses genom att Datainspektionen regelbundet tar fram och offentliggör en sammanfattning och analys av den mest aktuella och betydelsefulla utvecklingen som påverkar den personliga integriteten. En sådan sammanställning och analys skulle t.ex. kunna innehålla redogörelser för ny teknik som ännu inte kommit till användning men är under utveckling, nya företeelser och tillämpningar i , intressanta händelser i andra länder, ny lagstiftning och förslag till lagstiftning, lagförslag som blivit liggande men som är önskvärda för att stärka integriteten samt även redogörelser för områden där det finns intressekonflikter mellan den operativa verksamheten och företrädare för integritetsintresset. Det vore vidare enligt kommittén önskvärt med en analys av den sammantagna effekten som utvecklingen har eller kan få för enskildas personliga integritet och för samhällsutvecklingen i stort. Datainspektionen bör ges möjlighet att närmare bestämma rapportens innehåll; exempelvis är det troligen mer meningsfullt att koncentrera rapporten till några områden eller företeelser som förtjänar särskild uppmärksamhet, snarare än att eftersträva att den ska behandla all verksamhet i samhället där personuppgifter hanteras. Arbetet med att ta fram rapporten skulle vidare ge Datainspektionen erfarenheter och kunskaper som kan komma till nytta i myndighetens tillsynsarbete. Datainspektionen skulle i arbetet med att ta fram rapporten också kunna dra nytta av sina redan etablerade kontakter med andra myndigheter som arbetar med omvärldsbevakning av integritetsskyddsfrågor, som exempelvis Förstärkning av skyddet för den personliga integriteten... Myndigheten för samhällsskydd och beredskap och PTS. Rapporten bör tas fram och lämnas till regeringen, som i sin tur bör överlämna den till i form av en årlig skrivelse som även innehåller regeringens egna kommentarer till rapporten. Med en sådan ordning skulle få en samlad bild över vilka förslag som har lämnats och vilka åtgärder av betydelse för integritetsskyddet som har genomförts eller borde genomföras. ställningstagande i denna del innebär att det inte finns något behov för oss att lämna förslag som gäller ett integritetsskyddsråds uppgifter. 10.5Vissa ytterligare myndigheters tillsyn Bedömning: Fördelningen av tillsynsansvar mellan Datainspektionen och framgår redan av lagstiftningen och dess förarbeten och det saknas behov av ytterligare reglering. Datainspektionen ska således utöva tillsyn över om den personuppgiftsbehandling som utförs inom ramen för viss forskning är förenlig med personuppgiftslagen, medan utövar tillsyn över om forskning bedrivs i enlighet med etikprövningslagen. Det senare gäller även om forskningen innefattar behandling av personuppgifter. Datainspektionen och Inspektionen för vård och omsorg har ett delvis överlappande tillsynsansvar, men myndigheterna har i grunden helt olika uppdrag. Det är centralt för skyddet av den personliga integriteten vid behandling av personuppgifter att sådana frågor prövas av Datainspektionen. Inspektionen för vård och omsorg bör därför samråda med Datainspektionen så snart det i inspektionens verksamhet uppkommer frågor om en viss personuppgiftsbehandlings lagenlighet. En sådan samrådsskyldighet är dock redan författningsreglerad. Den rättsliga regleringen är i vissa fall utformad så att den ger sken av att några ytterligare myndigheter ska utöva tillsyn även över behandling av personuppgifter trots att detta sannolikt inte medvetet varit avsikten. Detta innebär emellertid enligt vad vi kunnat konstatera inga problem för tillsynen över behandling av personuppgifter eller för skyddet av den personliga integriteten, Förstärkning av skyddet för den personliga integriteten... eftersom tillsyn i praktiken ändå utförs av Datainspektionen även i dessa fall. Det finns anledning att se över Datainspektionens tillsynsansvar enligt inkassolagen, i syfte att renodla och stärka Datainspektionens roll som central tillsynsmyndighet på området för integritetsskydd vid behandling av personuppgifter. Ansvarsfördelningen mellan och Datainspektionen när forskning innefattar behandling av personuppgifter följer av den nuvarande lagstiftningen Kartläggningen har visat att gränsdragningen mellan Datainspektionens och Centrala etikprövningsnämndens tillsyn i viss mån har uppfattats som oklar. Det är här inte fråga om parallella tillsynsuppdrag; lagstiftningen anger tvärtom tydligt att inte ska utöva tillsyn i den mån tillsynen faller inom någon annan tillsynsmyndighets ansvarsområde.18 Förarbetena pekar här ut bland annat Datainspektionen.19 Det råder däremot olika uppfattningar mellan Datainspektionen och om tolkningen av hur långt denna inskränkning i nämndens tillsynsmandat sträcker sig, där menar att den inte är behörig att utöva någon tillsyn alls så snart den forskning som nämnden har att pröva innefattar behandling av personuppgifter. Datainspektionen å sin sida menar att om prövningen förutsätter överväganden om forskningen i sig så åligger tillsynsansvaret . Detta gäller, enligt Datainspektionen, även om forskningen inbegriper behandling av personuppgifter. Enligt vår uppfattning är den nuvarande lagstiftningen, med sina förarbeten, tydlig. Om personuppgifter behandlas inom forskning på ett sådant sätt att personuppgiftslagens bestämmelser blir tillämpliga kan och bör Datainspektionen utöva tillsyn över behandlingen. Är det exempelvis fråga om känsliga personuppgifter och behandlingen sker med stöd av 19 § personuppgiftslagen, kan Datainspektionen kontrollera om någon etikprövning har skett. 1834 § lagen (2003:460) om etikprövning av forskning som avser människor. 2002/03:50 s. 163 f. Förstärkning av skyddet för den personliga integriteten... Detta är enligt bestämmelsen en förutsättning för att behandlingen ska få ske. Om etikprövning krävs men något etikgodkännande inte har lämnats av en etikprövningsnämnd, kan Datainspektionen förelägga den personuppgiftsansvariga att upphöra med behandlingen, eftersom den då strider mot personuppgiftslagen. Detsamma gäller om ett etikprövningsgodkännande har lämnats med villkoret att behandlingen förutsätter den enskildes samtycke men något samtycke inte har lämnats. Gemensamt för dessa frågeställningar är att syftet är att granska om den personuppgiftsbehandling som utförs inom ramen för forskningen är förenlig med personuppgiftslagen. Är det i stället fråga om exempelvis att ta ställning till om forskningen i fråga behöver godkännas genom etikprövning eller om forskningen bedrivs i enlighet med ett gällande etikprövningsbeslut är , vars huvuduppgift är att utöva tillsyn över att forskning som avser människor bedrivs i enlighet med etikprövningslagen, den myndighet som är bäst lämpad att avgöra sådana frågor. Detta gäller även om den aktuella forskningen innefattar behandling av personuppgifter. En sådan ansvarsfördelning är också vad som beskrivs i förarbetena (prop. 2002/03:50, s. 164). Att lagens och förarbetenas hänvisning till andra tillsynsmyndigheters ansvarsområde skulle innebära att Datainspektionen har att utöva tillsyn över alla frågor som rör forskning så snart denna innefattar behandling av personuppgifter, kan enligt vår mening inte ha varit avsikten. Datainspektionens uppdrag är att värna den personliga integriteten vid behandling av personuppgifter, medan Centrala etikprövningsnämndens uppdrag är att utöva tillsyn över efterlevnaden av etikprövningslagen och föreskrifter som har meddelats med stöd av den lagen. Skulle det däremot i ett tillsynsärende hos uppkomma frågor som avser huruvida behandlingen av personuppgifter har utförts i strid med personuppgiftslagen, bör denna fråga givetvis överlämnas till Datainspektionen. Mot den redovisade bakgrunden finns det enligt vår uppfattning inget behov av författningsändringar som ytterligare reglerar ansvarsfördelningen mellan Datainspektionen och . Förstärkning av skyddet för den personliga integriteten... Inspektionen för vård och omsorg bör samråda med Datainspektionen i frågor som rör informationshantering inom vård och omsorg När det gäller förhållandet mellan Datainspektionen och Inspektionen för vård och omsorg () och den tillsyn som de båda myndigheterna utövar över informationshanteringen inom vård och omsorg konstaterar vi att myndigheternas tillsynsansvar till viss del är överlappande. Samma informationshantering kan granskas av båda myndigheterna utifrån deras skilda uppdrag. Utan tillräcklig samordning riskerar detta att leda till oklarheter för de berörda verksamheterna och till att tillsynsmyndigheterna kan komma att lämna oförenliga besked. Vi har i samband med vårt kartläggningsarbete och i kontakter med myndigheterna särskilt noterat att de inte har en samstämmig bild av hur gränsdragningsproblemet ser ut, och att kommunikationen i frågan om vilken av myndigheterna som bör genomföra en tillsynsåtgärd inte alltid är tillräcklig. Det är enligt vår mening inte möjligt att genom en rättslig reglering dela upp ansvaret mellan de båda myndigheterna så att risken för överlappningar försvinner. Frågor om integritet, patientsäkerhet, sekretess m.m. är i enskilda ärenden alltför sammanvävda med varandra för att en sådan uppdelning ska vara genomförbar, och en detaljerad reglering i lagstiftningen av vem som ska göra vad riskerar att ställa till fler problem än de löser. De två myndigheterna har emellertid helt olika tillsynsuppdrag. Det är Datainspektionen som utövar tillsyn över att den personliga integriteten inte kränks vid behandling av personuppgifter. IVO:s uppdrag omfattar vård och omsorg och ett viktigt fokus ligger på patientsäkerheten. Det är därför nödvändigt och centralt för skyddet av den personliga integriteten att frågor om lagenligheten av personuppgiftsbehandling inte prövas av utan av Datainspektionen. bör därför enligt vår mening i större utsträckning än vad som skett samråda med Datainspektionen så snart det i tillsynsverksamheten uppkommer frågor om huruvida en viss behandling av personuppgifter är förenlig med personuppgiftslagen, patientdatalagen, lagen (2001:454) om behandling av personuppgifter inom eller annan dataskyddslagstiftning. Detsamma gäller i arbetet med att ta fram riktlinjer som rör vård- och omsorgsgivares informationshantering. En sådan samverkansskyldighet följer av 4 § i förordningen (2013:176) med Förstärkning av skyddet för den personliga integriteten... instruktion för , där det slås fast att myndigheten ska samverka med andra berörda myndigheter i syfte att uppnå ett effektivt kunskaps- och erfarenhetsutbyte i arbetet med tillsyn, styrning med kunskap och regelgivning. Det är viktigt att det inom finns tillräcklig kunskap om de bestämmelser som gäller personuppgiftsbehandling eftersom den har stor betydelse för patientsäkerheten. Men det är viktigt att man inom accepterar och är medveten om att Datainspektionen är den myndighet som har bäst kunskap om och det övergripande ansvaret för behandling av personuppgifter också inom vård- och omsorg. Till det som sagts ska läggas att EU:s dataskyddsförordning stärker betydelsen av den nationella tillsynsmyndigheten och dess roll som ytterst ansvarig för att dataskyddsförordningens bestämmelser tillämpas korrekt och enhetligt inom medlemsstaterna. Att det finns ett behov av samråd visar också den omständigheten att berörda myndigheter före IVO:s tillkomst hade en särskild överenskommelse om hur ansvaret för tillsynen skulle fördelas. Vi menar att det kan finnas skäl att träffa en ny sådan överenskommelse och att det är viktigt att samrådsskyldigheten upprätthålls och utvecklas. Regleringar som ser ut att ge ett tillsynsansvar över behandlingen av personuppgifter innebär inte ett problem i praktiken Vi har i vårt kartläggningsarbete uppmärksammat vissa författningsregleringar som till synes ger vissa övriga myndigheter ett tillsynsansvar även över personuppgiftsbehandling men där sådan tillsyn inte utförs av myndigheterna. Det handlar här ofta om att en myndighet ska utöva tillsyn över efterlevnaden av en viss lag, exempelvis över lagen (2004:1199) om utsläppsrätter, och att denna lag också innehåller några bestämmelser om behandling av personuppgifter. Det förekommer också regleringar som innebär att en myndighet pekas ut som både personuppgiftsansvarig och tillsynsmyndighet. Vår kartläggning visar att myndigheterna i fråga inte utför någon tillsyn över behandling av personuppgifter och inte ens är medvetna om att lagstiftningen kan sägas ge dem en sådan tillsynsuppgift. De uppger att de, om en fråga om personuppgiftsbehandling skulle aktualiseras vid Förstärkning av skyddet för den personliga integriteten... deras tillsyn, skulle överlämna frågan till Datainspektionen. Det har också visat sig att Datainspektionen ser sig oförhindrad att utöva tillsyn även i dessa fall, trots att lagstiftningen kan uppfattas ge en annan bild. Även om avsikten sannolikt aldrig har varit att exempelvis ska utöva tillsyn över personuppgiftsbehandling följer ett sådant tillsynsansvar uttryckligen av lagstiftningen. En rättslig reglering som oavsiktligt pekar ut en myndighet som tillsynsmyndighet är givetvis olycklig. I praktiken verkar regleringar av detta slag emellertid inte leda till gränsdragningsproblem eller oklarheter om vem som bör utöva tillsyn och de har därmed inte inneburit något problem för skyddet av den enskildes personliga integritet. Vi avstår därför från att nu föreslå någon ändring. Det kan finnas skäl att överväga om bestämmelserna i fråga bör bli föremål för översyn inom ramen för arbetet med de anpassningar som blir följden av EU:s dataskyddsreform. Datainspektionens tillsyn enligt inkassolagen Som framgår av vår kartläggning är Datainspektionen den tillsynsmyndighet som har det centrala och övergripande tillsynsansvaret på området för behandling av personuppgifter. Myndighetens huvudsakliga uppgift är att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter. Datainspektionens roll och betydelse på området för dataskydd och personlig integritet kommer att öka när den nya dataskyddsförordningen ska börja tillämpas. Datainspektionen ska emellertid också utöva tillsyn enligt inkassolagen (1974:182). Inkassoföretag behandlar förvisso stora mängder uppgifter om gäldenärer och skulder. Många av dessa avser fysiska personer. Denna behandling av personuppgifter regleras av personuppgiftslagen och står under Datainspektionens tillsyn. Tillsynen enligt inkassolagen har emellertid sitt fokus på helt andra frågor än enskildas personliga integritet. Den syftar således främst till att undanröja risker för att en gäldenär utsätts för otillbörliga inkassoåtgärder och att garantera att inkassoföretag iakttar god sed i sin inkassoverksamhet. Datainspektionen tar emot klagomål från enskilda som anser att inkassoföretag Förstärkning av skyddet för den personliga integriteten... har handlat i strid med god inkassosed. Klagomålen gäller exempelvis att det har saknats grund för en fordran, att en fordran är preskriberad, att ett kravbrev har skickats till fel adress eller att inkassoföretaget har ansökt om ett betalningsföreläggande trots att fordran är bestridd i sak. Datainspektionens tillsyn över efterlevnaden av inkassolagen avviker således i hög grad från syftet med myndighetens övriga tillsynsverksamhet, att skydda människor mot intrång i den personliga integriteten vid behandling av personuppgifter. Genom att skapa förutsättningar för Datainspektionen att i ännu högre grad använda sina resurser på tillsyn över behandling av personuppgifter skulle dess uppgift som central tillsynsmyndighet renodlas och stärkas. En sådan renodling ligger också i linje med den förändring av Datainspektionens verksamhet som EU:s dataskyddsreform kommer att medföra. Den nu gällande ordningen innebär dessutom att det finns en uppdelning av tillsynsansvaret över inkassoföretag mellan Datainspektionen och . Allt fler inkassoföretag ägnar sig numera också åt sådan verksamhet som står under tillsyn, såsom kreditgivning. I sådana fall ska tillsynen bara utövas av , dvs. även när det gäller sådana frågor om god inkassosed som annars hade stått under Datainspektionens tillsyn. Gränsdragningen mellan de två myndigheternas tillsynsbefogenheter kan medföra praktiska och principiella problem. Det kan vara svårt för gäldenärer att veta till vilken av myndigheterna man ska vända sig för att påtala brister i en inkassoverksamhet och de parallella tillsynsuppdragen kan medföra risker för olika bedömningar och praxis på inkassoområdet. Detta kan leda till att tillsynen blir både ineffektiv och oförutsägbar. Mot denna bakgrund anser vi att frågan om att föra över Datainspektionens tillsynsansvar enligt inkassolagen till någon annan myndighet, närmast , bör utredas. Frågan ligger dock utanför vårt egentliga utredningsuppdrag varför vi inte utvecklar den ytterligare här. 11Konsekvenser av utredningens förslag m.m. En utredning ska enligt kommittéförordningen (1998:1474) redovisa vilka konsekvenser förslagen i ett betänkande kan få i olika avseenden. I förordningens 14 § föreskrivs att om förslagen i ett betänkande påverkar kostnaderna eller intäkterna för staten, kommuner, landsting, företag eller andra enskilda, ska en beräkning av dessa konsekvenser redovisas i betänkandet. Om förslagen innebär samhällsekonomiska konsekvenser i övrigt så ska dessa redovisas. Enligt 15 § i förordningen ska vidare redovisas eventuella konsekvenser för den kommunala självstyrelsen. Detsamma gäller eventuella konsekvenser för brottsligheten och det brottsförebyggande arbetet, samt för bland annat sysselsättning och offentlig service i olika delar av landet, små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företag samt för jämställdheten mellan kvinnor och män. 11.2Konsekvenser av våra förslag Det pågår ett omfattande arbete inom , bland annat i form av ett stort antal utredningar, som på olika sätt berör den personliga integriteten och tillsyn över behandlingen av personuppgifter. Flera av dessa kan komma att påverka både hur den centrala tillsynsmyndigheten, Datainspektionen, andra myndigheter med tillsynsuppgifter men också ytterligare myndigheter behöver arbeta och vara organiserade. Detta gäller i hög grad för de utredningar som har i uppdrag att analysera vilka anpassningar som är nödvändiga med anledning av EU:s nya dataskyddsförordning och Konsekvenser av utredningens förslag m.m. Det kan redan nu konstateras att rättsakterna i sig innehåller omfattande bestämmelser om de nationella tillsynsmyndigheternas uppgifter, befogenheter och inbördes samverkan, som såvitt vi nu kan bedöma kommer att innebära utökade uppgifter för främst Datainspektionen. Dessa omständigheter innebär att det är svårt att bedöma vilka ekonomiska konsekvenser våra förslag skulle få. Genomförandet av dem och de förslag som kan bli resultatet av övriga utredningar måste också rimligen ske samordnat. Våra bedömningar när det gäller konsekvenserna av våra förslag kan därför inte bli annat än preliminära uppskattningar. Vi har bett Datainspektionen, () samt () att göra uppskattningar av vilka konsekvenser våra förslag skulle få. Av det underlag vi har fått drar vi följande slutsatser. När det gäller förslaget att endast Datainspektionen ska utöva tillsyn över personuppgiftsbehandling i den öppna polisens brottsbekämpande verksamhet har Datainspektionens gjort bedömningen att myndigheten för att ensam utföra det här tillsynsuppdraget behöver tillföras resurser som motsvarar fyra helårsarbetskrafter, till en uppskattad kostnad av . SIN bedömer att tre årsarbetskrafter ägnar sig åt den öppna polisens personuppgiftsbehandling. Kostnaderna för kontrollärenden som avser den öppna polisens personuppgiftsbehandling utgör enligt SIN ungefär hälften av de totala kostnaderna för tillsynen på detta område. Mot bakgrund av de redovisade uppgifterna bedömer vi att våra förslag i denna del kommer att innebära ett behov av personalförstärkningar för Datainspektionen som motsvarar fyra helårsarbetskrafter. När det gäller konsekvenserna för SIN om tillsynsuppdraget minskar i motsvarande mån kan man givetvis hävda att resultatet av våra förslag bör vara kostnadsneutralt. Vi menar dock att den överflyttning av uppgifter som vi föreslår inte bör föranleda minskade anslag för SIN. Uppdraget att utöva tillsyn över Säkerhetspolisen är särskilt viktigt och centralt för att värna enskildas integritet. Tillsynen avser här en verksamhet där den enskilde till stor del helt saknar möjlighet till insyn och där brister kan få allvarliga konsekvenser för den drabbade. SIN:s tillsynsuppdrag är inte bestämt definierat utan myndigheten avgör själv Konsekvenser av utredningens förslag m.m. hur tillgängliga resurser ska fördelas på olika tillsynsinsatser.