sou · H5B329 · 2017-04-05 00:00:00 — I de aktuella bestäm- melserna föreskrivs bl.a. att personuppgifter ska vara adekvata och relevanta, att inte fler personuppgifter än nödvändigt får behandlas och att de bara får behandlas om det finns en rättslig grund och för särskilt angivna ändamål. Där regleras också behandling av känsliga personuppgifter och hur länge personuppgifter får behandlas. Frå- gan om en personuppgift ska raderas ska bedömas mot bakgrund av kraven i dessa bestämmelser. Personuppgifter ska också raderas om det krävs för att den per- sonuppgiftsansvarige ska utföra en rättslig förpliktelse. Rättslig förpliktelse kan avse en skyldighet som rör hur personuppgifter får behandlas enligt denna lag, myndighetens registerförfattning eller annan författning om ett enskilt register, t.ex. lagen (1998:621) om misstankeregister. Utrymmet för att radera uppgifter i allmänna handlingar begrän- sas av arkivlagstiftningen genom att det krävs författningsstöd för gallring. Radering ska göras utan onödigt dröjsmål. Det innebär att den personuppgiftsansvarige skyndsamt ska utreda frågan och, om det finns skäl för det, så fort som möjligt radera uppgiften. Om förutsättningarna för att radera personuppgifterna är upp- fyllda, men uppgifterna behöver finnas kvar som bevisning, ska en- ligt andra stycket den personuppgiftsansvarige på begäran av den registrerade i stället begränsa behandlingen av uppgifterna. En begränsning kan bara göras i de fall där personuppgifterna behandlas otillåtet, eftersom det endast är då som radering kan komma i fråga. För att personuppgifterna inte ska raderas ska de behövas som bevisning, t.ex. i en rättsprocess angående otillåten personuppgiftsbehandling. Däremot är det inte tillåtet att ha kvar personuppgifter som ska raderas i syfte att använda dem t.ex. för brottsbekämpning. Begränsning av behandlingen är inte en permanent åtgärd. När personuppgifterna inte längre behöver finnas kvar som bevisning, t.ex. för att domen eller beslutet i skadeståndsmålet har fått laga kraft, ska begränsningen upphöra och personuppgifterna raderas. Behandlingen ska begränsas utan onödigt dröjsmål. Hur det kan göras utvecklas i kommentaren till 9 §. I 13 § upplyses om att det kan finnas föreskrifter på lägre nivå om kraven på en begäran om radering eller begränsning av behand- lingen. Enligt paragrafen, som behandlas i avsnitt 11.4.4, avgör den person- uppgiftsansvarige vilken åtgärd som ska vidtas med anledning av en begäran om rättelse, radering eller begränsning av behandlingen. Paragrafen innebär att den personuppgiftsansvarige – med beak- tande av vilken åtgärd som är lagligen möjlig att vidta – ska se till att den lämpligaste åtgärden vidtas oavsett vilken åtgärd som begärs av den registrerade. Vad som är mest lämpligt ska bedömas med utgångspunkt i både verksamhetens behov och den registrerades rätt till skydd för sina personuppgifter. Paragrafen, som tillsammans med 7 § genomför delar av arti- kel 12.4, föreskriver att information som huvudregel ska vara av- giftsfri. Den behandlas i avsnitt 11.3.4 och 11.5.9. I första stycket slås fast att den information som den personupp- giftsansvarige på eget initiativ ska lämna till en registrerad om be- handlingen av hans eller hennes personuppgifter och information om automatiserade beslut ska vara avgiftsfri, medan den informa- tion om behandlingen av den registrerades personuppgifter som lämnas på begäran ska vara utan avgift en gång . I andra stycket föreskrivs att om någon begär att få information om behandlingen av personuppgifter och få del av dem oftare än en gång får den personuppgiftsansvarige ta ut en rimlig avgift för det. Den personuppgiftsansvarige får, i stället för att ta ut av- gift, avslå begäran, vilket regleras i 7 § första stycket. Utgångs- punkten bör vara att den personuppgiftsansvarige i första hand tar ut avgift och i andra hand avslår begäran om information. Vilken åtgärd som är lämpligast får avgöras med utgångspunkt i omstän- digheterna i det enskilda fallet. En viktig faktor kan vara hur många framställningar om information som personen har gjort och hur som förflutit efter den senaste framställan. Även omständigheter som hur preciserad eller komplicerad begäran är och vilka skäl han eller hon anger för sin begäran bör beaktas. Om den personuppgiftsansvarige avser att ta ut avgift bör den som begärt informationen underrättas om det. Den personupp- giftsansvarige bör förhöra sig om begäran vidhålls. Avgiften ska vara rimlig, vilket innebär att den inte får överstiga de administra- tiva kostnaderna för att besvara begäran. I 13 § upplyses om att det kan finnas föreskrifter på lägre nivå om avgift för information. I paragrafen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter bl.a. om informa- tion till registrerade och avgift för informationen. Paragrafen, som genomför artikel 41.1 och behandlas i avsnitt 12.5, reglerar tillsynsmyndighetens uppdrag. Paragrafen tydliggör att tillsynsmyndigheten ska ha dubbla per- spektiv vid sin tillsyn. Den innebär att tillsynsmyndigheten i sin tillsyn ska verka både för att fysiska personers grundläggande fri- och rättigheter skyddas i samband med behandling av personupp- gifter och för underlätta det fria flödet av personuppgifter inom denna lags tillämpningsområde. Vid sin tolkning och tillämpning av regelverket ska tillsynsmyndigheten bl.a. beakta hur tillsynen på- verkar informationsutbytet både nationellt och internationellt, t.ex. vid bedömning av vad som utgör lämpliga skyddsåtgärder och en tillräcklig skyddsnivå. Om myndigheten exempelvis i sin tillsyn konstaterar att den personuppgiftsansvarige ska vidta någon åtgärd och det finns flera alternativ som är likvärdiga ur integritetssyn- punkt, bör den åtgärd som innebär minst hinder för det fria flödet av personuppgifter förordas. Intresseavvägningen ska även speglas i tillsynsmyndighetens föreskrifter, råd och annan information som myndigheten tar fram. Paragrafen genomför delar av artiklarna 46 och 50.1 och reglerar, tillsammans med 3 och 4 §§, tillsynsmyndighetens uppgifter. Para- grafen behandlas i avsnitt 12.6.1, 12.6.2 och 12.10.1. I paragrafen räknas de huvudsakliga tillsynsuppgifterna upp. avgör om och i vilken utsträckning tillsyn ska utövas och hur den ska genomföras. Myndigheten ska agera helt oberoende vid denna bedömning. Det innebär att ingen kan kräva att myndigheten ska utöva tillsyn, förutom när det gäller kontroll enligt 3 §. Det finns inte heller några formella krav på hur tillsynen ska utövas, med undantag från vissa bestämmelser i denna lag och i föreskrifter som beslutas i anslutning till den. heten beslutar att inleda ett tillsynsärende tillämpas förvaltnings- lagen (1986:223) på handläggningen om det inte finns avvikande bestämmelser (se avsnitt 12.8.1). Det anses dock inte finnas några parter i tillsynsärenden, varför bestämmelser i förvaltningslagen som rör parter inte ska tillämpas (jfr RÅ 2010 ref. 29). I punkten 1 anges tillsynsmyndighetens allmänna uppgift att utöva tillsyn över behandlingen av personuppgifter. Vad det inne- bär utvecklas i avsnitt 12.7.1. Av punkten 2 framgår att handlägg- ning av klagomål från registrerade är en tillsynsuppgift. Tillsyns- myndigheten är skyldig att åtminstone hantera inkomna klagomål och ta ställning till om klagomålet bör föranleda någon tillsynsåt- gärd och att underrätta klaganden om resultatet (se 9 §). Tillsyns- myndigheten är dock bara skyldig att utreda klagomål i den ut- sträckning den finner det lämpligt. Punkten 3 hänvisar till 3 § när det gäller kontroll av om viss behandling är författningsenlig. I punkten 4 regleras tillsynsmyndighetens skyldighet att på begäran bistå en tillsynsmyndighet i en annan medlemsstat. Det kan exem- pelvis vara fråga om att inhämta handlingar från en svensk myn- dighet eller att undersöka hur personuppgifter som har överförts till har behandlats. Samarbetet regleras i 11, 12 och 14 §§. I paragrafen, som genomför artiklarna 17.1 och och 46.4 och delar av artikel 46.1, regleras tillsynsmyndighetens skyldighet att kon- trollera om viss personuppgiftsbehandling är författningsenlig. Paragrafen behandlas i avsnitt 12.6.1 och 12.6.3. I första stycket anges vem som får begära kontroll och förutsätt- ningarna för det. Det som ska kontrolleras är om personuppgifter om en fysisk person som han eller hon inte har fått tillgång till eller information om eller begärt att få korrigerade, behandlas författ- ningsenligt. En grundläggande förutsättning för att tillsynsmyn- digheten ska vara skyldig att utföra kontrollen är att den som begär kontrollen först har begärt information eller en korrigeringsåtgärd av den personuppgiftsansvarige. Juridiska personer har inte rätt att begära kontroll. Kontrollen ska avse om uppgifter om personen i fråga behandlas och i så fall om de behandlas i enlighet med denna lag och andra författningar som reglerar behandling av personuppgifter inom lagens tillämpningsområde. Med utgångspunkt i uppgifterna i begä- ran avgör tillsynsmyndigheten hur omfattande kontroll som be- hövs i det enskilda fallet. Den enskilde själv kan begära kontroll, men kontroll kan också begäras av en vårdnadshavare eller ett om- bud, jfr kommentaren till 4 kap. 3 §. är endast skyldig att underrätta den sökan- de om att kontrollen har utförts, men inte att röja vad kontrollen har resulterat i. Enligt andra stycket kan tillsynsmyndigheten vägra att utföra kontroll om begäran är orimlig eller uppenbart ogrundad. En begä- ran kan vara orimlig om den upprepas för ofta. En begäran kan även vägras om den är så opreciserad att det skulle krävas opropor- tionerligt stora ansträngningar av tillsynsmyndigheten för att ut- föra den. En begäran är uppenbart ogrundad om någon av de grundläggande förutsättningarna brister, t.ex. om den som begär kontroll inte först har vänt sig till den personuppgiftsansvarige eller om den som begär kontrollen inte är behörig att göra det. Till- synsmyndigheten har bevisbördan för att begäran är orimlig eller uppenbart ogrundad. Ett beslut att vägra att utföra kontroll kan överklagas till allmän förvaltningsdomstol, se kommentaren till 7 kap. 4 §. Paragrafen, som genomför delar av artikel 46.1, reglerar tillsyns- myndighetens skyldighet att lämna råd och stöd till personupp- giftsansvariga och till personuppgiftsbiträden. Paragrafen behandlas i avsnitt 12.6.1 och 12.6.4. Med råd avses både muntliga och skriftliga råd. Det kan vara fråga om allmänna råd eller rådgivning i ett enskilt fall. Det kan även vara fråga om rådgivning vid förhandssamråd. Rådgivning av sistnämnda slag är tillsynsmyndigheten skyldig att bistå med, medan myndigheten i övrigt ska ge råd och stöd bara när den anser att det är påkallat. Rådgivningen och stödet ska avse personupp- giftsansvarigas och personuppgiftsbiträdens skyldigheter. Råd kan t.ex. lämnas genom information på tillsynsmyndighe- tens hemsida, genom publicering av allmänna råd eller andra rikt- linjer eller någon funktion för rådgivning per telefon eller e-post. Paragrafen ger således ingen rätt för personuppgiftsansvariga eller personuppgiftsbiträden att avkräva tillsynsmyndigheten råd i en konkret fråga, om det inte är särskilt reglerat. Förhandssamråd är exempel på det sistnämnda. Paragrafen, som genomför artiklarna 25.3 och 47.1, reglerar till- synsmyndighetens undersökningsbefogenheter. Den behandlas i avsnitt 12.7.3. Enligt punkten 1 har tillsynsmyndigheten rätt att för sin tillsyn från personuppgiftsansvariga och personuppgiftsbiträden få till- gång till alla personuppgifter som behandlas. Det innebär att till- synsobjektet ska lämna de begärda uppgifterna även om det kräver viss efterforskning. Att tillsynsmyndigheten har rätt få del av annan information framgår av punkterna 2 och 4 och rätten att få hjälp med de sökningar i behandlingssystem som myndigheten be- gär regleras i punkten 4. Punkten 2 ger tillsynsmyndigheten rätt till upplysningar och dokumentation som rör behandling av personuppgifter och vilka åtgärder som har vidtagits för att säkerställa skyddet för person- uppgifterna och registrerades personliga integritet. Dokumentatio- nen kan avse exempelvis de register eller loggar som personupp- giftsansvariga och personuppgiftsbiträden ska föra. Det kan också vara fråga om upplysningar om och dokumentation av vilka organi- satoriska och tekniska åtgärder som vidtogs i samband med att ett register inrättades eller en viss typ av behandling påbörjades. Det kan också röra sig om åtgärder för att garantera säkerheten, be- gränsa den interna tillgången till uppgifter eller förhindra otillåten behandling och åtgärder för intern kontroll. Informationen kan avse exempelvis ändamålen med behandlingen eller loggar och för- teckningar över pågående behandlingar. Att en myndighet saknar faktisk möjlighet att påverka hur uppgifter hanteras innan de blir tillgängliga hos myndigheten hindrar inte att den är skyldig att redovisa säkerheten vid behandlingen (se HFD 2012 ref. 21). I punkten 3 regleras tillsynsmyndighetens rätt att få tillträde till lokaler som den personuppgiftsansvarige eller personuppgiftsbiträ- det disponerar och tillgång till utrustning och andra medel som används för behandlingen. Rätten till tillträde ger inte myndigheten rätt att bereda sig tillträde med tvång. Om den personuppgiftsan- svarige eller personuppgiftsbiträdet inte samarbetar kan tillsyns- myndigheten utnyttja sina korrigerande befogenheter enligt 7 §. har också rätt att få tillgång till den utrust- ning som tillsynsobjektet disponerar för att, med hjälp av tillsyns- objektets personal, kunna göra nödvändiga körningar och kon- troller. Punkten ger således inte tillsynsmyndigheten någon rätt att fritt använda tillsynsobjektets utrustning och datasystem. Punkten 4 klargör att tillsynsmyndigheten har rätt att få hjälp med de sökningar och andra åtgärder som den begär och annan nödvändig hjälp för att genomföra tillsynen. Paragrafen ger även tillsynsmyndigheten rätt till information som inte har direkt an- knytning till behandlingen av personuppgifter men som myndig- heten behöver för tillsynen. Informationen kan avse t.ex. verksam- hetsplaner som beskriver den verksamhet där behandlingen utförs. Paragrafen reglerar tillsynsmyndighetens befogenheter i det före- byggande arbetet. De åtgärder som regleras i paragrafen är inte av tvingande karaktär. De syftar till att förebygga att framtida be- handling av personuppgifter står i strid med regelverket. Paragrafen genomför delar av artikel 47.2 och behandlas i avsnitt 12.7.4, 12.7.5 och 10.2.5. Av första stycket framgår att tillsynsmyndigheten, om det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska försöka förmå den personuppgifts- ansvarige eller personuppgiftsbiträdet att minska risken genom råd, rekommendationer och påpekanden. Det kan vara fråga om ett nytt register som ska inrättas, en ny typ av behandling som ska påbörjas eller en större förändring av pågående behandling. heten kan också identifiera risker i pågående behandling som skulle kunna innebära att regelverket inte kommer att följas. Rådgivning kan avse såväl formella som informella samråd. Av 7 § första stycket 1 framgår att de befogenheter som räknas upp i detta stycke även i vissa fall får användas i korrigerande syfte. Enligt andra stycket får tillsynsmyndigheten skriftligen varna för att viss behandling riskerar att strida mot regelverket. En varning är en mer ingripande åtgärd än åtgärderna i första stycket. Varning kan användas för att visa hur allvarligt tillsynsmyndigheten ser på den planerade behandlingen. behöver inte ha uttömt andra förebyggande åtgärder innan den utfärdar en varning. En varning ska vara skriftlig. Av den ska framgå varför tillsyns- myndigheten bedömt att behandlingen inte kommer att vara för- fattningsenlig. Åtgärden är inte tvingande, men den som får en varning förväntas rätta sig efter den. Om tillsynsmyndigheten fin- ner det lämpligt kan den i beslutet om varning erinra om att – om tillsynsobjektet skulle sätta sina planer i verket – det skulle kunna leda till ett beslut om sanktionsavgift om förutsättningarna för det är uppfyllda. Varning får också utfärdas om pågående behandling riskerar att stå i strid med lag eller annan författning. Det kan t.ex. aktualiseras om det vid förhandssamråd enligt 3 kap. 7 § andra stycket visar sig att det finns risk för att de förändringar som planeras kan göra att den framtida behandlingen inte blir författningsenlig. I paragrafen regleras tillsynsmyndighetens korrigerande befogen- heter. Paragrafen, som genomför delar av artikel 47.2, behandlas i avsnitt 12.7.4 och 12.7.6. har möjlighet att successivt använda olika medel och därigenom stegra påtryckningarna på den som inte själv- mant rättar sig. Förutom de medel som anges i första stycket 1 är befogenheterna tvingande. De sträcker sig från förelägganden till möjligheten att besluta om sanktionsavgift. Befogenheterna anges i stegrande ordning men är inte kopplade till varandra på det sättet att en strängare åtgärd förutsätter att mindre ingripande åtgärder redan har prövats. De korrigerande befogenheterna får användas när tillsynsmyn- digheten konstaterar att den personuppgiftsansvarige behandlar personuppgifter i strid med lag eller annan författning eller annars inte fullgör sina skyldigheter. De skyldigheter som avses är framför allt skyldigheterna i 3 kap. Den personuppgiftsansvarige har emel- lertid också skyldigheter enligt 4 och 8 kap. och skyldighet att bistå tillsynsmyndigheten enligt 5 §. Även underlåtenhet att fullgöra sådana skyldigheter och skyldigheter som regleras i myndigheter- nas registerförfattningar eller i föreskrifter med anledning av denna lag omfattas. Enligt första stycket punkten 1 får tillsynsmyndigheten använda de förebyggande befogenheter som regleras i 6 § första stycket för att försöka förmå den personuppgiftsansvarige eller personupp- giftsbiträdet att vidta åtgärder för att behandlingen ska bli författ- ningsenlig eller att uppfylla andra skyldigheter. Vilka befogenheter tillsynsmyndigheten kan använda utvecklas i kommentaren till 6 §. Enligt punkten 2 får tillsynsmyndigheten förelägga den person- uppgiftsansvarige eller personuppgiftsbiträdet att vidta åtgärder för att viss behandling av personuppgifter ska bli författningsenlig eller för att de ska uppfylla andra skyldigheter. Sådana förelägganden är bindande för mottagaren. Vad som avses med författningsenlig ut- vecklas i kommentaren till 2 kap. 6 §. kan t.ex. förelägga den personuppgiftsan- svarige att förändra viss personuppgiftsbehandling eller att uppfylla krav på loggning, dokumentations- eller underrättelseskyldighet. Ett föreläggande kan också avse att den personuppgiftsansvarige ska rätta, komplettera eller radera en personuppgift. Tillsynsmyn- digheten kan även förelägga den behöriga myndigheten att vidta ytterligare tekniska eller organisatoriska åtgärder för säkerheten vid behandling eller att inrätta en intern ordning för anmälan av över- trädelser av bestämmelserna, upprätta konsekvensbedömning eller fullgöra samrådsskyldighet. Punkten 3 ger tillsynsmyndigheten rätt att förbjuda fortsatt be- handling, om den personuppgiftsansvarige eller biträdet allvarligt brister i sina skyldigheter. Med förbud mot fortsatt behandling avses att uppgifter inte längre får behandlas för de ändamål som den personuppgiftsansvarige har bestämt, utan endast får behandlas i syfte att uppfylla 2 kap. tryckfrihetsförordningen. För förbud bör krävas, förutom att det är fråga om allvarliga brister, att bristerna i fråga inte kan avhjälpas genom andra mindre ingripande åtgärder. En sådan allvarlig brist kan vara att personuppgifter behandlas för ändamål som inte är tillåtna. Att tillsynsmyndigheten inte på be- gäran får det underlag eller den hjälp som den har rätt till enligt 5 § kan i vissa fall vara en allvarlig brist, t.ex. att myndigheten vägras tillträde. Det kan också vara en allvarlig brist om den personupp- giftsansvarige eller personuppgiftsbiträdet inte rättar sig efter ett föreläggande eller negligerar en skriftlig varning. Ett beslut enligt punkten 3 bör normalt vara permanent. Till- synsmyndigheten bör dock kunna meddela tillfälligt förbud om den anser att det finns förutsättningar för att bristen, trots att den är allvarlig, ska kunna åtgärdas. Det ankommer på den personuppgiftsansvarige eller personupp- giftsbiträdet att vidta de tekniska åtgärder som krävs för att per- sonuppgifterna inte längre ska kunna behandlas om fortsatt be- handling förbjuds. Av punkten 4 framgår att tillsynsmyndigheten får besluta om sanktionsavgift. De närmare reglerna om det finns i 6 kap. Beslut enligt första stycket punkterna 2–4 ska vara skriftliga och motiveras. beslut gäller först efter att de har fått laga kraft. Besluten kan överklagas enligt 7 kap. 4 §. I andra stycket föreskrivs att det av ett föreläggande alltid ska framgå när åtgärderna senast ska vara genomförda och, om det är lämpligt, vilka åtgärder som ska vidtas. Om föreläggandet avser rättelse, komplettering, radering eller begränsning av behandlingen bör det framgå av föreläggandet vad som ska göras. Tillsynsmyn- digheten får emellertid överlåta åt den granskade myndigheten att avgöra vilka åtgärder som ska vidtas för att behandlingen ska bli författningsenlig eller hur andra skyldigheter ska fullgöras. Det kan vara lämpligt när det är fråga om tekniska eller organisatoriska åt- gärder som ska vidtas eller när det annars finns olika alternativ för vilka åtgärder som kan vidtas och hur de bör genomföras. Paragrafen, som delvis genomför artikel 47.4, reglerar tillsynsmyn- dighetens kommunikationsskyldighet vid bindande beslut enligt 7 §. Paragrafen behandlas i avsnitt 12.8.2. Enligt paragrafen ska den personuppgiftsansvarige eller person- uppgiftsbiträdet ges tillfälle att yttra sig till tillsynsmyndigheten innan den fattar beslut om förelägganden eller andra åtgärder som anges i 7 § första stycket 2–4. Skyldigheten omfattar endast sådan information som tillför ärendet något i sak som kan ha betydelse för tillsynsmyndighetens bedömning. Om det är uppenbart obe- hövligt behövs ingen kommunikation. Det kan t.ex. gälla material som den personuppgiftsansvarige eller personuppgiftsbiträdet själv har upprättat. Däremot bör sammanställningar som tillsynsmyn- digheten upprättat över uppgifter som den personuppgiftsansvarige eller personuppgiftsbiträdet har lämnat som regel kommuniceras. Kommunikationsskyldigheten gäller inte om frågan är okompli- cerad och den personuppgiftsansvarige eller personuppgiftsbiträdet har fått del av informationen genom andra kontakter med tillsyns- myndigheten. Av underrättelsen som ger den berörde möjlighet att yttra sig bör det framgå när ett yttrande ska ha kommit in. Svarstiden bör anpassas till vilka åtgärder beslutet rör och hur omfattande mate- rialet är. Underrättelsen bör vara skriftlig. Besked angående handläggningen av ett klagomål Paragrafen ger registrerade rätt att få besked angående handlägg- ningen av klagomål som lämnats till tillsynsmyndigheten. Den genomför, tillsammans med 10 § och 7 kap. 3 §, artikel 53.2. Para- grafen behandlas i avsnitt 14.6.2. Om tillsynsmyndigheten inte från den dag då ett klagomål kom in till myndigheten har tagit ställning till om tillsyn ska utövas i anledning av klagomålet, ska myndigheten enligt första stycket på skriftlig begäran av den registrerade antingen lämna besked i den frågan eller i ett särskilt beslut avslå begäran. ska alltså antingen lämna besked om huru- vida den avser att utöva tillsyn eller avslå den registrerades begäran om besked. behöver inte redovisa hur tillsy- nen kommer att bedrivas eller ange vilka åtgärder skulle kunna aktualiseras om myndigheten bestämmer sig för att utöva tillsyn. Myndigheten behöver inte heller motivera sitt ställningstagande att utöva tillsyn eller att inte göra det. Det finns dock inget som hind- rar att myndigheten anger skälen för det.