sou · H5B329 · 2017-04-05 00:00:00 — Enligt artikel 19.1 ska den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa, och kunna visa, att behandlingen utförs i enlighet med direktivet. Åtgärderna ska vidtas med beaktande av behandlingens art, omfattning, sam- manhang och ändamål och riskerna för fysiska personers rättig- heter och friheter. Åtgärderna ska ses över och uppdateras vid be- hov. Enligt artikel 19.2 ska åtgärderna, om det står i proportion till behandlingen, omfatta den personuppgiftsansvariges genomföran- de av lämpliga strategier för dataskydd. I artikel 20.1 regleras principen om inbyggt dataskydd. Inbyggt dataskydd innebär att den personuppgiftsansvarige, både vid beslut om vilka medel behandlingen ska utföras med och vid själva be- handlingen, ska genomföra lämpliga tekniska och organisatoriska åtgärder som återspeglar dataskyddsprinciper och integrerar nöd- vändiga skyddsåtgärder i behandlingen. Åtgärderna ska vidtas med beaktande av den senaste utvecklingen, kostnader för genomföran- det, behandlingens art, omfattning, sammanhang och ändamål och risken för fysiska personers rättigheter och friheter. Pseudonymi- sering anges som exempel på en åtgärd som bör vidtas och upp- giftsminimering som exempel på en dataskyddsprincip som bör genomföras. I artikel 20.2 kommer principen om dataskydd som standard till uttryck. Enligt artikeln ska den personuppgiftsansvarige genomföra lämpliga tekniska och organisatoriska åtgärder för att, i standard- fallet, säkerställa att endast de personuppgifter behandlas som är nödvändiga för varje specifikt ändamål med behandlingen. Skyldig- heten avser mängden insamlade uppgifter, behandlingens omfatt- ning, hur länge uppgifterna får lagras och uppgifternas tillgänglig- het. Framför allt ska åtgärderna säkerställa att personuppgifter i standardfallet inte utan den enskildes medverkan görs tillgängliga för ett obegränsat antal andra personer. Bestämmelserna om tekniska och organisatoriska åtgärder sak- nar motsvarighet i det nu gällande dataskyddsdirektivet och i per- sonuppgiftslagen. I 31 § personuppgiftslagen finns dock bestäm- melser om säkerhetsåtgärder. Lämpliga tekniska och organisatoriska åtgärder ska vidtas Artikel 4.1 i direktivet innehåller allmänna och grundläggande prin- ciper för behandling av personuppgifter. Av artikel 4.4 framgår att den personuppgiftsansvarige ska ansvara för och kunna visa efter- levnaden av dessa grundläggande principer. Enligt artikel 19.1 är den personuppgiftsansvarige skyldig att vidta lämpliga åtgärder för att säkerställa och kunna visa att behandlingen av personuppgifter utförs i enlighet med gällande rätt. Den artikeln tar sikte på de åt- gärder som behövs för att bl.a. de grundläggande principerna om behandling av personuppgifter i artikel 4.1 ska kunna efterlevas. Artikel 19.1 bör genomföras, men det är inte möjligt att i ramla- gen ange vilka tekniska och organisatoriska åtgärder som den per- sonuppgiftsanvarige bör vidta. Det får avgöras i varje enskilt fall beroende på vilken verksamhet det rör sig om. Vilka omständigheter som den personuppgiftsansvarige ska be- akta vid beslut om åtgärder kan regleras i förordning. Enligt utred- ningens mening bör de omständigheter som framgår av artikel 19.1 beaktas. Att åtgärderna ska ses över och uppdateras vid behov be- höver dock inte författningsregleras, eftersom det får anses ingå i den generella skyldigheten. Vilka tekniska och organisatoriska åtgärder som kan krävas vari- erar också beroende på vilka personuppgifter som ska behandlas. Det kan vara lämpligt att regeringen eller den myndighet som rege- ringen bestämmer ges möjlighet att vid behov utfärda närmare rikt- linjer på området. Enligt artikel 19.1 ska den personuppgiftsansvarige inte bara säkerställa att behandlingen utförs författningsenligt utan också kunna visa att så är fallet. Det bör innebära att den personuppgifts- ansvarige bl.a. ska se till att behandlingar och vidtagna åtgärder dokumenteras och att det är tekniskt möjligt att spåra behandlingar genom loggning och att loggningen följs upp. Utredningen föreslår visserligen att vissa sådana åtgärder ska regleras (se avsnitt 10.2.2 och 10.2.7), men det kan ändå vara lämpligt att i en särskild be- stämmelse tydliggöra den personuppgiftsansvariges generella an- svar att vidta åtgärder. Enligt artikel 19.2 ska den personuppgiftsansvarige, om det står i proportion till behandlingen, anta lämpliga strategier för data- skydd. I skäl 53 anges att det är interna strategier som avses. Det som avses är enligt utredningens mening exempelvis interna regler, riktlinjer och rutiner och olika typer av styrdokument och policy- dokument. Sådana interna regelverk kan t.ex. behandla tilldelning av behörigheter och information till och utbildning av personal. Eftersom både direktivet och dataskyddsförordningen använder ordet strategier bör det användas i regleringen. Direktivet ger ingen vägledning i fråga om vad som krävs för att skyldigheten att anta strategier ska vara proportionerlig. Enligt ut- redningens mening bör i vart fall personuppgiftsansvariga under vars ansvar det behandlas en större mängd personuppgifter eller hanteras behandlingssystem av större omfattning åläggas att anta interna strategier för skydd av personuppgifter. Det omfattar merparten av de behöriga myndigheterna inom ramlagens tillämp- Om en myndighet endast i liten omfattning behand- lar personuppgifter inom ramlagens tillämpningsområde finns det inte samma behov av sådana strategier. Mot den bakgrunden anser utredningen att alla personuppgiftsansvariga bör vara skyldiga att anta interna strategier för dataskydd, om det inte är uppenbart obehövligt med hänsyn till verksamhetens begränsade omfattning. En bestämmelse om det kan tas in i förordning. Inbyggt dataskydd går ut på att låta integritetsfrågor påverka it- systemen från förstudie och kravställning via design och utveckling till användning och avveckling. Genom krav på att integritetsfrågor ska beaktas kan säkerheten höjas och författnings- enlig och korrekt behandling underlättas. Artikel 20.1 bör därför genomföras i ramlagen. På samma sätt som när det gäller artikel 19.1 är det inte möjligt att i ramlagen ange vilka tekniska och organisatoriska åtgärder som den personuppgiftsanvarige bör vidta för att leva upp till principen om inbyggt dataskydd. Det får avgöras i varje enskilt fall beroende på vilken verksamhet det rör sig om och vilka personuppgifter som ska behandlas. Det handlar främst om åtgärder för att minimera mängden personuppgifter, begränsa åtkomsten till uppgifterna och på olika sätt skydda dem. I artikel 20.1 nämns pseudonymisering som ett exempel på en sådan åtgärd. Vilka omständigheter som ska beaktas vid beslut om sådana åt- gärder kan regleras i förordning. Enligt utredningen bör de om- ständigheter som framgår av artikel 20.1 beaktas. Förutom person- uppgiftsbehandlingens art, omfattning, sammanhang och ändamål och riskerna med behandlingen ska också de tekniska möjlighe- terna och kostnaderna för åtgärderna beaktas i dessa fall. Dataskydd som standard kan sägas innebära att arbetsflödena i ett system automatiskt ska styra användaren mot ett integritetssäkert arbetssätt och att grundinställningarna är satta så att inte mer in- formation än nödvändigt samlas in eller visas. ver att personuppgiftsansvariga ska vidta lämpliga åtgärder för att i standardfallet säkerställa det. Det behövs en bestämmelse i ram- lagen om det. Skyldigheten förefaller gälla oavsett omständigheterna. Data- skydd som standard torde således vara något som den personupp- giftsansvarige ska säkerställa oavsett vilken behandling eller vilka personuppgifter det rör sig om och oavsett vad åtgärderna kostar. Som utredningen tolkar artikeln bör dataskydd som standard i princip gälla i alla system där personuppgifter behandlas. Det måste dock finnas visst utrymme för avsteg från huvudregeln i de fall där den personuppgiftsansvarige inte har rätt att införa sådana åtgärder, t.ex. i standardprogram som Word och Outlook där användaren inte råder över de tekniska lösningarna. De behöriga myndigheter- na måste kunna använda även sådana system. Mot den bakgrunden anser utredningen att kravet på dataskydd som standard endast bör gälla i automatiserade behandlingssystem. Vad som avses med auto- matiserade behandlingssystem behandlas i avsnitt 10.2.2. Även om kravet på dataskydd som standard enligt utredningens mening endast bör gälla i automatiserade behandlingssystem bör de behöriga myndigheterna säkerställa att även behandling i de stan- dardprogram som används lever upp till de grundläggande kraven på behandling av personuppgifter. Om standardprogram inte gör det bör de följaktligen inte användas inom ramlagens tillämpnings- område. I direktivet anges att skyldigheten avser mängden insamlade uppgifter, behandlingens omfattning, lagringstiden och uppgifter- nas tillgänglighet. Härigenom tydliggörs det att regleringen inte enbart avser tillgången till personuppgifter som är fallet vid lik- nande bestämmelser om säkerhetsåtgärder. Dataskydd som stan- dard innebär således att åtgärder ska vidtas för att säkerställa att inte fler personuppgifter än nödvändigt behandlas, att uppgifterna endast behandlas på ett sådant sätt och så länge som det är nödvän- digt och inte görs tillgängliga för fler än nödvändigt. Uppräkningen i artikel 20.2 bör dock inte tas in i ramlagen. Att precisera skyldig- heten på det sättet riskerar att låsa myndigheterna vid viss utform- ning av automatiserade behandlingssystem. Utredningens förslag: Den personuppgiftsansvarige ska säker- ställa att det i automatiserade behandlingssystem förs loggar över personuppgiftsbehandling i den utsträckning det är särskilt föreskrivet. Skälen för utredningens förslag Innehållet i direktivet och nuvarande reglering Artikel 25.1 föreskriver att loggar, dvs. dokumentation, ska föras över vissa typer av behandlingar i automatiserade behandlingssys- tem. Loggningen ska avse insamling, ändring, läsning, utlämning (inklusive överföringar), sammanförande och radering. Loggarna över läsning och utlämning ska göra det möjligt att fastställa moti- vering, datum och tidpunkt för sådan behandling, vem som har läst eller lämnat ut personuppgifter och vilka som har fått tillgång till dem. Av artikel 25.2 framgår att loggarna bara bör användas för att kontrollera om behandlingen är tillåten, för att säkerställa person- uppgifternas integritet och säkerhet, för egenkontroll och för straffrättsliga förfaranden. Här avses med att säkerställa person- uppgifternas integritet att de ska skyddas mot förvanskning eller förändring. Loggarna ska, enligt artikel 25.3, på begäran göras tillgängliga för tillsynsmyndigheten. Bestämmelsen riktar sig även till personuppgiftsbiträden (se avsnitt 10.6.5). Som tidigare nämnts ställs krav på säkerhetsåtgärder i 31 § per- sonuppgiftslagen. De anses även omfatta loggning och liknande åtgärder. Av Datainspektionens allmänna råd om säkerhet för per- sonuppgifter framgår att det, beroende på känsligheten hos per- sonuppgifterna, bör finnas en behandlingshistorik (logg) som spa- ras så att åtkomsten till uppgifterna kan kontrolleras. Enligt Datainspektionen bör en behandlingshistorik normalt vara så de- taljerad att den kan användas för att utreda felaktig eller obehörig användning av personuppgifter. Historiken bör, beroende på hur känsliga personuppgifterna är, ange t.ex. läsning, ändring, utplåning eller kopiering av personuppgifter (Säkerhet för personuppgifter, Datainspektionens allmänna råd, , s. 22). Bestäm- melser om loggning kan även finnas i myndighetsföreskrifter. Loggning i automatiserade behandlingssystem Loggning är en säkerhetsåtgärd som innebär att behandlingshisto- rik sparas . Det är en teknisk funktion i systemet som fungerar automatiskt och som inte går att ändra eller påverka på annat sätt. Loggning fyller flera olika funktioner. Den ger den personuppgiftsansvarige information både om hur behandlingssys- temen används och om externa och interna angrepp mot systemen. Loggning är således mycket viktig för det interna säkerhetsarbetet. Den ger också tillsynsmyndigheten nödvändig information för granskning i efterhand av hur personuppgifter har behandlats. Det bör finnas en bestämmelse i ramlagen som slår fast att det krävs loggning. I vilken utsträckning det bör göras kan regleras i för- ordning. Direktivet föreskriver att loggar ska föras över behandlingar i automatiserade behandlingssystem men uttrycket definieras inte. Det används endast i artikel 25.1 som handlar om loggning och artikel 29.2 som räknar upp olika säkerhetsåtgärder. I den sist- nämnda artikeln används uttrycket i samband med behörig åtkomst till automatiserade behandlingssystem och loggning av aktivitet i sådana system. Att uttrycket automatiserade behandlingssystem bara används i dessa sammanhang talar enligt utredningens mening för att det är en viss typ av system som avses och således inte it- system generellt. Den tolkningen framstår också som mest rimlig med tanke på vilka krav som ställs på loggning. Ser man till syftet med loggningen framstår behovet av den som störst vid användning av verksamhetsspecifika behandlingssystem. Loggar bör alltså föras i automatiserade behandlingssystem. Ut- redningen anser att automatiserade behandlingssystem i detta sam- manhang bör avse för verksamheten särskilt utformade eller anpas- sade behandlingssystem där personuppgifter behandlas mer eller mindre strukturerat, t.ex. verksamhetsstöd i form av dokument- och ärendehanteringssystem och olika typer av register och databa- ser. Däremot bör standardprogram som Word, Outlook och Excel, av samma skäl som anges i avsnitt 10.2.1 när det gäller dataskydd som standard, inte omfattas av de i direktivet preciserade kraven på loggning. Olika lagringsytor, som t.ex. usb-minnen och anställdas personliga mappar på den egna datorn, bör också enligt utredning- ens mening undantas från de kraven. övrigt gäller självfallet för behandling som utförs i sådan program- vara och på sådana lagringsytor även om de inte omfattas av de preciserade kraven på loggning. De närmare detaljerna kan regleras på lägre normgivningsnivå. Förslaget att de mer preciserade kraven på loggning i direktivet ska begränsas till automatiserade behandlingssystem ska inte upp- fattas som att kraven på annan behandling är lägre. Loggning är ett viktigt inslag i det övergripande kravet på att personuppgiftsan- svariga ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna, vilket innebär att loggning kan krä- vas även i andra fall. Vilka uppgifter som kan behöva loggas kan dock variera. Det kan t.ex. vara viktigare med loggning i system som ett flertal personer använder än i system som enbart ett fåtal har tillgång till. Mot bakgrund av att alla de detaljkrav på loggning som direktivet ställer upp inte alltid är möjliga att leva upp till i alla system, anser utredningen att regleringen i ramlagen med tillhö- rande förordning bör begränsas till vad som krävs enligt direktivet. Det skulle nämligen riskera att urholka respekten för regleringen om den ställer detaljkrav som den personuppgiftsansvarige inte under några omständigheter kan leva upp till. Utredningen utgår från att de personuppgiftsansvariga i den mån det är tekniskt möjligt kommer att ha loggning även i andra system av hänsyn till att det krävs för att personuppgifterna ska ha ett tillfredsställande skydd och för att ge underlag för intern kon- troll. Den personuppgiftsansvarige måste naturligtvis också se till att behandling av integritetskänsliga personuppgifter inte utförs i system som inte omfattas av de strikta kraven på loggning i syfte att kringgå kraven. bör i enskilda fall kunna ställa krav på loggning om det är en skydds- eller säkerhetsåtgärd som är nödvändig för att behandlingen ska omgärdas med tillräck- ligt skydd. Vad ska loggas? Loggar bör föras över de typer av behandlingar som anges i arti- kel 25.1. Därutöver bör även överföringar till tredjeland eller inter- nationella organisationer loggas. En behandlingshistorik bör normalt vara utformad så att den av- slöjar felaktig eller obehörig användning av personuppgifter. När det gäller läsning och utlämning av personuppgifter ska enligt direktivet loggarna göra det möjligt att få fram viss typ av informa- tion. Eftersom loggning är ett automatiskt förfarande kan endast viss information om behandlingen dokumenteras. Det rör sig främst om datum och tidpunkt för behandlingen. Information om vem som har behandlat personuppgiften går också att få fram, om de anställda har tilldelats behörigheter och det krävs inloggning i systemen. När det gäller utlämnande av uppgifter kan identiteten på den som har lämnat ut uppgifterna endast fastställas om de läm- nats ut elektroniskt via systemet. Detsamma gäller överföringar till tredjeland eller internationella organisationer. Det bör dock vara möjligt att logga om en medarbetare har överfört, laddat ner eller skrivit ut uppgifter. Om uppgifterna sedan lämnas ut på annat sätt än elektroniskt, t.ex. muntligen eller på papper, går det inte att logga det. Det kan också vara svårt att logga om uppgifterna lämnas ut via e-post. Loggarna över läsning och utlämning ska enligt direktivet göra det möjligt att fastställa motiveringen för behandlingen. Skälen till att någon i ett visst fall tar del av eller lämnar ut en viss personupp- gift kan inte fastställas automatiskt genom loggning. I skäl 57 anges att identiteten på den person som läst eller lämnat ut uppgifter bör loggas och från den identifieringen skulle det kunna vara möjligt att fastställa motiveringen till behandlingen. Det som avses är troligen att man indirekt av annan loggad information kan dra vissa slutsat- ser om anledningen till behandlingen. Enligt utredningens mening är det dock inte detsamma som att motiveringen till behandlingen loggas. Som exempel kan nämnas kontroll av om någon förekom- mer i belastningsregistret. Inom polisen kan sådan kontroll vara nödvändig inom alla delar av ramlagens tillämpningsområde. Sådan kontroll görs dock även för andra polisiära ändamål, både för administrativa ändamål (anställning), för beslut i förvaltningsären- den (t.ex. om vapenlicens) eller för att besvara förfrågningar från andra myndigheter (t.ex. i tillståndsärenden). Det går alltså inte att dra någon slutsats av att en polisanställd kontrollerat om en person förekommer i belastningsregistret. Utredningens slutsats är därför att det inte är möjligt att automatiskt logga motiveringen till varför Någon sådan skyldighet bör därför inte finnas. I artikel 25 anges att loggarna över läsning och utlämning även ska visa vilka som har fått tillgång till personuppgifterna. Kravet skulle kunna avse både intern och extern tillgång. Det som avses här torde dock framför allt vara de personer eller myndigheter till vilka uppgifterna har lämnats ut. Sådan information kan bara loggas om utlämnandet görs elektroniskt via systemet. Det görs t.ex. om någon har direktåtkomst till vissa uppgifter i ett system eller om uppgifter överförs elektroniskt efter förfrågan. Den utlämnande myndigheten bör genom loggning kunna fastställa vilken annan myndighet som har fått tillgång till viss information, men inte vil- ken medarbetare hos den andra myndigheten som har tagit del av informationen. Sådan information bör dock finnas hos mottagaren, om det är en behörig myndighet. På så sätt uppfylls kraven i direk- tivet. Vad som ska loggas kan regleras i förordning. Dokumentation genom loggning möjliggörs genom olika tekniska åtgärder. Skyl- digheten innebär att den personuppgiftsansvarige ska säkersställa att de automatiserade behandlingssystem som används möjliggör loggning i den utsträckning som krävs och att informationen fak- tiskt loggas. Vad som bör loggas är typiskt sett ett område där det också kan finnas behov av föreskrifter på lägre normgivningsnivå, eftersom behov, arbetssätt och tekniska möjligheter varierar. Utredningen utgår från att de behöriga myndigheterna vid behov tar fram inter- na regler om loggning. Generella föreskrifter om exempelvis krav och rutiner för loggning och logguppföljning bör dock vid behov kunna meddelas av regeringen eller den myndighet som regeringen bestämmer. Hur ska loggarna användas? De flesta behöriga myndigheter för loggar som en del av informationssäkerhetsarbetet. Tanken är inte att de behöriga myndigheterna ska åläggas att föra ytterligare en logg enbart för personuppgiftsbehandlingen. De system för loggning som an- vänds främst i informationssäkerhetssyfte bör normalt kunna an- vändas även för kontroll från ett integritetsskyddsperspektiv. Av artikel 25.2 framgår att loggar endast får användas för att kontrol- lera om behandlingen är tillåten, för egenkontroll, för att säkerstäl- la personuppgifternas integritet och säkerhet och för straffrättsliga förfaranden. Det innebär enligt utredningens mening att loggarna får användas i informationssäkerhetssyfte. Syftet med loggning är att åtkomsten till personuppgifterna ska kunna kontrolleras, bl.a. för att göra det möjligt att utreda felaktig eller obehörig användning av uppgifterna. För att det ska kunna göras måste loggarna sparas . Loggning kan också ha en förebyggande funktion. Det förutsätter att användarna informeras om att det förs loggar och att de kontrolleras (Säkerhet för person- uppgifter s. 22). Loggningen bör alltså följas upp och loggarna skyddas mot otillåtna ändringar. Det är enligt utredningens mening viktigt att skilja mellan själva loggningen och uppföljning av loggningen. Logguppföljning bör göras systematiskt och återkommande i syfte att upptäcka och motverka obehörig åtkomst. Uppföljning bör också göras vid miss- tanke om att någon obehörigen tagit del av personuppgifter. Det kan vidare finnas anledning att följa upp behandlingshistoriken t.ex. på områden där det finns särskilt integritetskänsliga person- uppgifter eller behörigheter som ger vida möjligheter till åtkomst. Det kan också finnas skäl att kontrollera vissa inloggningsmönster. Myndigheterna bör ha rutiner för logguppföljningen. Den person- uppgiftsansvarige bör exempelvis ge riktlinjer och vägledning till den som kontrollerar loggarna beträffande vad som kan vara obe- hörig åtkomst. Vid logguppföljning måste också reglerna om med- delarfrihet och efterforskningsförbud i tryckfrihetsförordningen och yttrandefrihetsgrundlagen beaktas, vilket innebär att möjlig- heten till uppföljning i vissa fall begränsas eller kan vara otillåten. Enligt utredningens mening bör det inte författningsregleras hur loggarna får användas. Risken är att man då låser fast myndig- heterna vid ett visst arbetssätt eller omöjliggör användning som i efterhand visar sig vara nödvändig. Myndigheterna kan själva reg- lera användningen genom interna föreskrifter eller riktlinjer. Till- synsmyndigheten kan också ge myndigheterna vägledning för an- vändningen av loggar, t.ex. genom allmänna råd eller andra rikt- linjer. Det är nämligen viktigt att loggningssystem inte missbrukas eller används för andra syften än som varit avsett. Loggarna utgör sådan dokumentation som tillsynsmyndigheten har rätt att på begäran få del av (se avsnitt 12.7.3). Någon särskild bestämmelse som föreskriver att loggarna ska göras tillgängliga för tillsynsmyndigheten behövs därför inte. Utredningens förslag: Den personuppgiftsansvarige ska se till att tillgången till personuppgifter begränsas till vad varje tjänste- man behöver för att kunna fullgöra sina arbetsuppgifter. Skälen för utredningens förslag I de flesta registerförfattningar inom ramlagens tillämpningsom- råde finns det bestämmelser som begränsar medarbetarnas tillgång till personuppgifter. Så är fallet i exempelvis 2 kap. 11 § polisdata- lagen (2010:361), 2 kap. 9 § åklagardatalagen (2015:433) och 8 § domstolsdatalagen (2015:728).