sou · H4B365 · 2016-10-05 00:00:00 — I lagen finns bland annat bestämmelser om för vilka ändamål personuppgifter får behandlas, bevarande, gallring och utlämnande av personuppgifter samt hur personuppgifter får göras gemensamt tillgängliga för den brottsbekämpande verksamheten. Enligt lagen (2010:362) om polisens allmänna spaningsregister får vidare uppgifter om brottsmisstänkta personer under vissa förutsättningar registreras i ett spaningsregister. Lagen anger bland annat vilka uppgifter som får behandlas och för vilka ändamål samt vad som gäller om sökning i registret, gallring och rättelse. Kartläggning av dagens tillsyn över personuppgiftsbehandling () utövar tillsyn över den behandling av personuppgifter enligt polisdatalagen och lagen om polisens allmänna spaningsregister som utförs i brottsbekämpande verksamhet av , och . När det gäller Säkerhetspolisen ska tillsynen även avse sådan personuppgiftsbehandling som följer av den förra polisdatalagen (1998:622). Utöver dessa uppgifter ska SIN också utöva tillsyn över de brottsbekämpande myndigheternas användning av hemliga tvångsmedel och kvalificerade skyddsidentiteter och därmed sammanhängande verksamhet. SIN:s verksamhet regleras i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet och i förordningen (2007:1141) med myndighetens instruktion. SIN:s tillsyn avser endast polisens personuppgiftsbehandling enligt de nämnda lagarna. Därmed omfattas inte personuppgiftsbehandling i enskild verksamhet av tillsynen. Dessutom omfattas bara myndigheternas personuppgiftsbehandling i brottsbekämpande verksamhet av SIN:s tillsyn. Personuppgiftsbehandling i exempelvis polisens personaladministrativa verksamhet regleras av personuppgiftslagen, och för denna tillsyn ansvarar Datainspektionen. SIN är en relativt ny myndighet som började sin verksamhet 2008. Bakgrunden till inrättandet var, förutom behovet av ett fristående och självständigt organ för tillsyn över de brottsbekämpande myndigheternas ökade möjligheter att använda hemliga tvångsmedel, att i en dom slagit fast att det i saknades ett tillgängligt effektivt rättsmedel för att få en uppgift avlägsnad från Säkerhetspolisens register. Domstolen konstaterade att tillsyn kan utövas av Justitiekanslern, , och ,10 men fann att dessa rättsmedel inte ens sammantagna uppfyllde kravet på ett effektivt rättsmedel enligt artikel 13 i Europakonventionen.11 Den tillsyn som SIN bedriver ska särskilt avse sådan behandling som gäller s.k. känsliga personuppgifter, dvs. uppgifter om ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, hälsa eller sexualliv. 10Registernämnden upphörde när SIN inrättades, och SIN övertog uppgifter. 11Europadomstolens dom i målet m.fl. mot . Domen och dess betydelse för hur tillsynen bör vara utformad berörs ytterligare i avsnitt 10.3.2. Kartläggning av dagens tillsyn över personuppgiftsbehandling ska särskilt syfta till att säkerställa att personuppgiftsbehandlingen görs i enlighet med lag eller annan författning. När SIN beslutar att inleda ett initiativärende görs detta främst utifrån en bedömning av i vilken verksamhet hos de aktuella myndigheterna det finns en särskild risk för felaktig personuppgiftsbehandling. SIN utövar sin tillsyn genom inspektioner och andra undersökningar. Inspektionerna kan vara oanmälda, men har alla inspektioner varit överenskomna i förväg. Myndigheten brukar dock inte i detalj i förväg redogöra för vad den avser att inspektera. SIN ska också på begäran av en enskild person kontrollera om han eller hon har varit föremål för behandling av personuppgifter hos polisen och om behandlingen har skett i enlighet med lag eller annan författning. Alla personer, oavsett medborgarskap, har rätt att begära att en sådan kontroll genomförs. När kontrollen är genomförd ska den enskilde underrättas om detta. Sekretess kan hindra att den enskilde får närmare besked om resultatet av kontrollen, dvs. om polisen har behandlat uppgifter om den enskilde eller inte och vad de eventuella uppgifterna avsåg. Normalt omfattas uppgifter om huruvida den enskilde förekommer i Säkerhetspolisens register av sekretess. Om SIN vid sin kontroll upptäcker en felaktig personuppgiftsbehandling är SIN under vissa förutsättningar skyldig att anmäla detta till andra myndigheter. Den enskilde underrättas normalt om att en sådan anmälan har gjorts. På grund av sekretessen kan dock oftast ingen närmare information lämnas om varför uppgifterna har behandlats. De myndigheter som omfattas av SIN:s tillsyn har en skyldighet att lämna de uppgifter och det biträde som SIN begär. Också domstolar och förvaltningsmyndigheter, som inte omfattas av tillsynen, är skyldiga att på begäran lämna upplysningar. Ett tillsynsärende avslutas normalt med att SIN uttalar sig om sina iakttagelser och bedömningar och, om det behövs, om det enligt SIN finns ett behov av förändringar i den granskade verksamheten. SIN kan också uppmärksamma regeringen på eventuella behov av lagstiftningsåtgärder. Om SIN i sin verksamhet uppmärksammar felaktigheter som kan medföra ett skadeståndsansvar för staten ska SIN anmäla detta till Justitiekanslern. Kartläggning av dagens tillsyn över personuppgiftsbehandling anmäla vissa förhållanden till bland annat eller Datainspektionen.12 När SIN inrättades betonades att dess verksamhet inte skulle överlappa utan komplettera den tillsyn som utförs av andra myndigheter, främst Datainspektionen, Justitiekanslern och . SIN har heller inte sådana särskilda befogenheter som framför allt Datainspektionen har, såsom att i ett rättsligt bindande beslut föreskriva om rättelse eller förbud mot fortsatt behandling. Mot denna bakgrund infördes bestämmelserna om med och anmälningar till andra myndigheter.13 SIN ska anmäla sina iakttagelser och överlämna relevanta delar av det som har framkommit i tillsyns- eller kontrollärendet till den myndighet som ansvarar för den aktuella frågan. Nämndens uttalanden kan inte överklagas. Antalet ärenden, både sådana som avser personuppgiftsbehandling inom polisen14 och andra ärendekategorier, varierar påtagligt . Av det totala antalet ärenden som inleddes på SIN:s eget initiativ (26 ärenden) avsåg 6 ärenden () personuppgiftsbehandling inom polisen. avsåg 11 ärenden av totalt 19 () polisens personuppgiftsbehandling. 2012 inleddes totalt 65 ärenden på nämndens initiativ, varav 11 () avsåg polisens personuppgiftsbehandling. Övriga s.k. initiativärenden avser till största delen användningen av hemliga tvångsmedel och, med något enstaka ärende , användningen av kvalificerade skyddsidentiteter. Även om antalet ärenden om användningen av hemliga tvångsmedel är betydligt större än antalet ärenden om polisens personuppgiftsbehandling, ägnas enligt nämndens kansli ungefär lika mycket tid åt vartdera tillsynsområde. Även antalet ärenden om enskildas begäran om kontroll av om de har varit föremål för personuppgiftsbehandling inom polisen varierar . 2014 inkom knappt 2 000 sådana ansökningar, 2013 drygt 400 och 2012 inkom 49 ansökningar.15 1220 § i förordningen (2007:1141) med instruktion för . 2006/07:133 s. 62. 14Statistikuppgiftuppgifterna avser tillsynsärenden om personuppgiftsbehandling inom både Säkerhetspolisen och den öppna polisen. 15Det stora antalet ansökningar 2014 förklaras av det uppmärksammade ärendet om det s.k. kringsresanderegistret vid den dåvarande i (SIN:s ärende med dnr 173-2013). Kartläggning av dagens tillsyn över personuppgiftsbehandling Antalet årsarbetskrafter som arbetar huvudsakligen med tillsyn över behandling av personuppgifter uppskattas av SIN till mellan 5 och 6.16 Behandling av personuppgifter i försvarsunderrättelseverksamhet Försvarsunderrättelseverksamheten bedrivs till stöd för utrikes-, säkerhets- och försvarspolitik och för att kartlägga yttre hot mot landet. Verksamheten regleras ibland annat lagen (2000:130) om försvarsunderrättelseverksamhet. Statens inspektion för försvarsunderrättelseverksamheten (Siun) har till uppgift att kontrollera att den försvarsunderrättelseverksamhet som bedrivs av Försvarsmakten, , och sker i enlighet med lagar och andra föreskrifter. Siun ska även på enskilds begäran bland annat kontrollera om hans eller hennes meddelande har inhämtats i samband med signalspaning. Siun granskar behandlingen av personuppgifter enligt lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst samt enligt lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet. Siuns granskningsuppgift inskränker inte Datainspektionens övergripande tillsynsansvar utan utgör en särskild granskning i syfte att kompensera för enskildas begränsade möjligheter till insyn i personuppgiftsbehandlingen inom försvarsunderrättelseverksamheten. Den tillsyn av behandling av personuppgifter som bedrivs vid Siun omfattas enligt direktiven inte av vårt uppdrag.17 16Antalet inkluderar administrativa uppgifter på tillsynsområdet. 2014:164 s. 6. Kartläggning av dagens tillsyn över personuppgiftsbehandling Behandling av personuppgifter inom elektronisk kommunikation Post- och tillsyn över bland annat lagen om elektronisk kommunikation Lagen (2003:389) om elektronisk kommunikation (LEK), och den tillhörande förordningen (2003:396), gäller elektroniska kommunikationsnät och kommunikationstjänster med tillhörande installationer och tjänster samt annan radioanvändning. Lagen är inte tillämplig på det innehåll som överförs i elektroniska kommunikationsnät (1 kap. 4 § LEK). I LEK finns bestämmelser om behandling av trafikuppgifter och om integritetsskydd. I den utsträckning LEK innehåller särskilda bestämmelser om behandling av personuppgifter som avviker från personuppgiftslagen, är LEK tillämplig och () tillsynsmyndighet. PTS har ett samlat ansvar inom postområdet och området för elektronisk kommunikation. I detta ansvar ingår ett flertal tillsynsuppgifter. PTS har också uppgifter som nationell tillsynsmyndighet enligt EU-förordningar på området för elektronisk kommunikation. För annan behandling av personuppgifter inom området för elektronisk kommunikation gäller personuppgiftslagen, med Datainspektionen som tillsynsmyndighet. PTS:s tillsynsansvar omfattar mer än behandlingen av personuppgifter och skyddet av den personliga integriteten vid sådan behandling. Fokus i LEK och för PTS är säker kommunikation, och detta gäller även om kommunikationen inte innehåller några personuppgifter. Till stor del avser tillsynsverksamheten vidare sådant som är kopplat till förutsättningarna för en effektiv konkurrens på marknaden för elektronisk kommunikation. Tillsynen avser huvudsakligen personuppgiftsbehandling som utförs av enskilda eftersom operatörerna på marknaden för elektronisk kommunikation är privata företag. Tillsynen över den s.k. cookie-bestämmelser18 omfattar dock även offentlig verksamhet. Inom området för elektronisk kommunikation kan här också nämnas lagen (2006:24) om nationella toppdomäner för på 18 Se mer om bestämmelsen och vad som menas med en cookie i kapitel 10. Kartläggning av dagens tillsyn över personuppgiftsbehandling internet och den s.k. eIDAS-förordningen.19 PTS är tillsynsmyndighet även enligt dessa bestämmelser. De befogenheter PTS har som tillsynsmyndighet motsvarar till stor del de som Datainspektionen har. Så har PTS bland annat rätt att få tillträde till områden, lokaler och andra utrymmen där verksamhet som omfattas av tillsynen, och kan meddela de förelägganden och förbud som behövs för att en felaktig personuppgiftsbehandling ska rättas. Följs inte förelägganden eller förbud kan PTS återkalla tillstånd, ändra tillståndsvillkor eller besluta att den som åsidosatt skyldigheten helt eller delvis ska upphöra med verksamheten (7 kap. 4 och 5 §§ LEK). Utöver ett renodlat tillsynsansvar har PTS också i uppdrag att beskriva och analysera utvecklingen och resultatet inom området för elektronisk kommunikation och rapportera detta till regeringen (1 § förordningen [2007:952] med instruktion). Med detta avses även frågor om integritetsskydd vid behandlingen av personuppgifter. I myndighetens årsredovisningar redovisas bland annat sådana iakttagelser som rör integritetsfrågor. Myndigheten bedriver dessutom en omfattande och systematisk omvärldsbevakning inom olika verksamhetsområden, även integritetsområdet, som kan ligga till grund för bland annat den egna långsiktiga verksamhetsplaneringen. PTS:s beslut enligt LEK, dvs. exempelvis ett beslut om förbud eller indraget tillstånd, kan överklagas till allmän förvaltningsdomstol. Av myndighetens cirka 300 tillsynsärenden avser omkring 30 ärenden integritetsfrågor. Till detta kommer viss utredningsverksamhet som är relaterad till tillsyn men som inte avser enskilda tillsynsärenden. PTS uppskattar att sju årsarbetskrafter ägnar sig åt huvudsakligen tillsynsverksamhet. Härutöver tar myndigheten emot cirka 300 frågor eller klagomål från allmänheten som rör integritetsfrågor, vilket motsvarar 5–av det totala antalet frågor och klagomål. Medias och allmänhetens intresse för frågor som rör telekommunikation rör dessutom förhållandevis ofta integritetsaspekter kring exempelvis trafikdatalagring och cookies. 19 och rådets förordning (EU) nr 910/2014 av om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv /93/EG. Förordningen ersätter lagen (2000:832) om kvalificerade elektroniska signaturer. Kartläggning av dagens tillsyn över personuppgiftsbehandling Behandling av personuppgifter vid kameraövervakning Länsstyrelsernas och Datainspektionens tillsyn över kameraövervakningslagen Övervakning med hjälp av kameror eller liknande utrustning kan få ske om intresset av sådan övervakning väger tyngre än den enskildas intresse av att inte bli övervakad. Kameraövervakning och behandling av ljud- och bildmaterialet från övervakningen innebär en behandling av personuppgifter, om informationen i materialet går att hänföra till en fysisk person som är i livet. Kameraövervakningslagens (2013:460) syfte är att tillgodose behovet av kameraövervakning för berättigade ändamål, som enskilda skyddas mot otillbörligt intrång i den personliga integriteten. Det finns i lagen, utöver krav på tillstånd för viss kameraövervakning, bland annat bestämmelser om krav på att skydda materialet, begränsningar i hur länge bildupptagningar får bevaras samt skyldighet att informera om att en plats är övervakad. Dessutom finns bestämmelser som innebär begränsningar i vem som får ha tillgång till upptagningarna och för vilka ändamål de får användas. Tillstånd krävs som huvudregel för övervakning av platser dit allmänheten har tillträde. Det är i respektive län som handlägger frågor om tillstånd och som tar emot anmälningar. Det är också länsstyrelserna som utövar den s.k. operativa tillsynen över kameraövervakning som sker på platser dit allmänheten har tillträde. Datainspektionen utövar tillsyn över kameraövervakning som bedrivs på platser dit allmänheten inte har tillträde (39 § respektive 40 § kameraövervakningslagen, och 2 § kameraövervakningsförordningen [2013:463]). Både länsstyrelserna och Datainspektionen har rätt att inom ramen för sin tillsynsverksamhet meddela de förelägganden som behövs för att kameraövervakningslagen, och de föreskrifter och beslut som har meddelats med stöd av lagen, ska följas. Ett sådant föreläggande får förenas med vite.20 De har rätt till tillträde till lokaler, till upplysningar samt till ljud- och bildmaterial. Tillsynsmyndigheterna tar själva initiativ till ett tillsynsärende. Det finns därmed ingen skyldighet att pröva en anmälan exem- 20 Se dock ovan vad som anses gälla om vitesföreläggande mot en annan statlig myndighet (avsnitt 6.2.2). Kartläggning av dagens tillsyn över personuppgiftsbehandling pelvis av någon som anser sig ha blivit felaktigt kameraövervakad eller på annat sätt utsatt för felaktig behandling av uppgifterna från sådan övervakning. Myndigheternas beslut får överklagas till allmän förvaltningsdomstol. Datainspektionen utövar dessutom tillsyn över länsstyrelsernas tillståndsgivning med rätt att överklaga länsstyrelsernas beslut om kameraövervakning för att tillvarata allmänna intressen (47 § kameraövervakningslagen). Datainspektionen har härutöver det centrala, övergripande ansvaret för tillsynen över kameraövervakningslagen. I detta ingår enligt 1 § kameraövervakningsförordningen att utvärdera rättstillämpningen, utvärdera, följa upp och samordna den operativa tillsynen, ge råd och stöd till länsstyrelserna, samt att ge information och råd till allmänheten och till dem som tillhandahåller och använder övervakningsutrustning. Enligt förarbetena bör det i det centrala tillsynsansvaret dessutom ingå att sammanställa praxis och att samla in fakta och erfarenheter om bland annat teknikutvecklingen och den internationella utvecklingen.21 Den kameraövervakning som omfattas av tillsynen kan utföras i både offentlig och privat verksamhet. Datainspektionen har i egenskap av central tillsynsmyndighet på kameraövervakningsområdet initierat och upprätthållit en löpande samverkan med landets länsstyrelser. Inom ramen för denna samverkan hålls bland annat återkommande möten där praxis gås igenom och följs upp. Datainspektionen kan på detta sätt notera eventuella olikheter i tillämpningen av kameraövervakningslagen och verka för att sådana olikheter undviks. Härutöver arbetar Datainspektionen för att sprida kunskap om kameraövervakningslagen genom framtagande av informationsmaterial, anordnanden av konferenser, utveckling av myndighetens upplysningstjänst och genom att tillhandahålla teknisk kompetens på kameraövervaknings- och it-säkerhetsområdena. Möjligheten att överklaga länsstyrelsernas beslut används parallellt med uppgifterna som central tillsynsmyndighet för att så långt som möjligt bidra till att tillämpningen av kameraövervakningslagen ska bli korrekt och konsekvent. Länsstyrelserna fattar många hundra beslut i tillstånds- och tillsynsärenden. Datainspektionen granskar alla beslut för att överväga om det finns ett behov av att överklaga. 2012/13:115 s. 129 f. Kartläggning av dagens tillsyn över personuppgiftsbehandling Datainspektionen en handfull ärenden inom ramen för det centrala tillsynsansvaret respektive ansvaret för tillsynen över kameraövervakning på platser dit allmänheten inte har tillträde. Kameraövervakningslagen är föremål för utredning i Utredningen om kameraövervakning – brottsbekämpning och integritetsskydd (Ju 2015:14, dir. 2015:125). Utredningen har genom tilläggsdirektiv fått ett utvidgat uppdrag som omfattar att även anpassa regleringen i lagen till den nya EU- rättsliga dataskyddsregleringen (dir. 2016:54). I detta ingår att analysera hur den nya EU-regleringen påverkar utrymmet att i nationell rätt reglera den personuppgiftsbehandling som kameraövervakning innebär. Av tilläggsdirektiven framgår vidare att en fråga som utredaren behöver analysera särskilt är hur den nya EU- rättsliga dataskyddsregleringens bestämmelser om tillsynsmyndigheter förhåller sig till organisationen av tillsynen över kameraövervakning i . Utredningen ska lämna de författningsförslag som behövs och är lämpliga och ska vid genomförandet av uppdraget ta hänsyn till de förslag som vår utredning lämnar. Utredningen ska redovisa sitt uppdrag . Eftersom frågan om den framtida regleringen av den personuppgiftsbehandling som kameraövervakning innebär, liksom hur tillsynen häröver bör vara utformad och organiserad, är under utredning, avstår vi från att göra några närmare överväganden i fråga om tillsyn över behandling av personuppgifter vid kameraövervakning. Personuppgiftsbehandling inom vård och omsorg Inspektionens för vård och omsorg tillsyn över bland annat patientdatalagen Bestämmelserna om behandling av personuppgifter inom vård och omsorg finns huvudsakligen i patientdatalagen (2008:355) och i lagen (2001:454) om behandling av personuppgifter inom . Lagarna reglerar bland annat begränsningar av vem som ska ha åtkomst till patientuppgifter, vårdgivarens skyldighet att genomföra systematisk logguppföljning, vilka personuppgifter som får behandlas och när behandling får ske, förutsättningarna för s.k. Kartläggning av dagens tillsyn över personuppgiftsbehandling sammanhållen journalföring och patientens rätt att spärra uppgifter i journalsystem Inspektionen för vård och omsorg () bildades och ansvarar för tillsynen över hälso- och sjukvården, samt verksamhet enligt lagen (1993:387) om stöd och service till vissa funktionshindrade (LSS). Syftet med myndighetens tillsyn är att granska att befolkningen får vård och omsorg som är säker, har god kvalitet och bedrivs i enlighet med lagar och andra föreskrifter (2 § förordningen [2013:176] med instruktion för Inspektionen för vård och omsorg). IVO:s tillsyn enligt patientdatalagen är huvudsakligen inriktad på patientsäkerhetsfrågor. En sådan tillsyn kan även innefatta frågor om behandling av personuppgifter. Det finns också bestämmelser om behandling av personuppgifter i andra föreskrifter, med som angiven tillsynsmyndighet. Som exempel kan nämnas lagen (2006:496) om blodsäkerhet och lagen (2006:1570) om skydd mot internationella hot mot människors hälsa. Dessutom finns bestämmelser om behandling av personuppgifter i lagen (2003:460) om etikprövning av forskning som avser människor, där har ett tillsynsansvar. Även Datainspektionens tillsynsansvar omfattar patientdatalagen och frågor om behandling av personuppgifter inom vård och omsorg. Gränsdragningen mellan de båda myndigheternas ansvarsområden är inte alltid tydlig. Vi återkommer till detta förhållande i kapitel 8 och 10. Verksamhet för vård och omsorg kan bedrivas både av offentliga och privata aktörer och de båda tillsynsmyndigheternas tillsyn omfattar båda dessa kategorier. uppger att det är svårt att ange eller ens uppskatta hur många tillsynsärenden som avser personuppgiftsbehandling eftersom de inte för någon sådan statistik. När det gäller ärenden om informationssäkerhet, som till viss del kan avse frågor om behandling av personuppgifter, fattade beslut i totalt 77 tillsynsärenden, grundade på både klagomål och s.k. lex Mariaanmälningar. Detta kan jämföras med det totala antalet beslut i klagomåls- och anmälningsärenden, som långt översteg 10 000. Kartläggning av dagens tillsyn över personuppgiftsbehandling Etikprövning inom forskning som innefattar personuppgiftsbehandling Centrala etikprövningsnämndens tillsyn över etikprövningslagen I syfte att skydda den enskilda människan och respekten för människovärdet i forskningen finns bestämmelser om etikprövning i lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen). Lagen ska tillämpas bland annat på forskning som innefattar en behandling av känsliga personuppgifter och av personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel m.m. Sådan forskning får bedrivas endast om den har godkänts vid en etikprövning. Etikprövningen ska bland annat beakta å ena sidan respekten för människovärdet, mänskliga rättigheter, om det förväntade resultatet kan uppnås med forskning som innebär mindre risker för forskningspersonernas hälsa, säkerhet och personliga integritet respektive å andra sidan intresset av forskningen. Behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser får godkännas bara om den är nödvändig för att forskningen ska kunna utföras. Till kravet på godkännande vid en etikprövning kommer som huvudregel ett krav på samtycke av den person som forskningen avser. Behandlingen av personuppgifter inom ramen för forskningen måste sedan följa reglerna i personuppgiftslagen. Etikprövningen utförs av regionala etikprövningsnämnder. Det finns dessutom en central nämnd, , som ska pröva ärenden som har överlämnats dit av en regional nämnd eller beslut meddelade av de regionala nämnderna som har överklagats.