sou · H5B329 · 2017-04-05 00:00:00 — Att en enskild kan få information om och insyn i hur hans eller hennes personuppgifter behandlas är som tidigare nämnts en förut- sättning för att han eller hon ska kunna kontrollera om behand- lingen är författningsenlig och i övrigt ta tillvara sina intressen och rättigheter. Det kan t.ex. gälla att få felaktiga personuppgifter rät- tade, kompletterade eller raderade eller att göra andra invändningar mot behandlingen. I avsnitt 11.3.1 redovisas på vilka grunder den personuppgiftsansvarige kan begränsa eller underlåta att lämna in- formation. När den enskilde till följd av det själv saknar möjlighet att ta tillvara sin rätt ska det finnas möjlighet att ändå kontrollera personuppgiftsbehandlingen. Då ska tillsynsmyndigheten enligt direktivet kontrollera om behandlingen är författningsenlig. Kontrollen ska utföras av en myndighet som har utsetts till till- synsmyndighet enligt direktivet. Att tillsynsmyndigheten ska vara skyldig att på begäran kontrollera om behandlingen är författnings- enlig bör regleras i ramlagen. Hur bör regleringen utformas? Frågan är då hur en bestämmelse om sådan kontroll bör utformas. Det finns som nämnts en liknande bestämmelse i 3 § lagen om tillsyn över viss brottsbekämpande verksamhet. har påpekat att den regeln är otydlig och alltför vid. Den ger enskilda falska förhoppningar om i vilka situa- tioner de kan kräva kontroll och vad de kan förvänta sig av till- synsmyndigheten. Mot bakgrund av dessa erfarenheter är det ange- läget med en tydlig reglering i fråga om rätten till kontroll, syftet med kontrollen och vilken information som den enskilde kan få. Kontrollerna kan bli resurskrävande inom ramlagens tillämp- ningsområde mot bakgrund av att sekretess inom vissa verksam- heter i stor utsträckning medför att information om personupp- giftsbehandlingen inte kan lämnas. Det finns därför enligt utred- ningens mening inte skäl att gå utöver de krav som ställs i direkti- vet. Det innebär för det första att bara fysiska personer bör kunna kräva kontroll av om behandlingen är författningsenlig. För det andra bör en förutsättning för kontroll vara att den som begär kontroll först har vänt sig till den personuppgiftsansvarige och begärt besked om vilka personuppgifter om honom eller henne som behandlas eller har begärt en korrigeringsåtgärd. Det bör även regleras att tillsynsmyndigheten skriftligen ska underrätta den sökande om att kontrollen har genomförts. Under- rättelsen bör som regel endast ge besked om att tillsynsmyndig- heten har genomfört kontrollen (jfr prop. 2006/07:133 s. 66 f. och s. 81 och prop. 2009/10:85 s. 272 f.). Underrättelseskyldigheten kan regleras i förordning. Enligt artikel ska underrättelsen lämnas ”inom rimlig tid”. Enligt utredningens mening behöver det inte regleras, eftersom det får anses följa av förvaltningslagen. Syftet med kontrollen är inte att den enskilde genom tillsyns- myndigheten ska få kännedom om huruvida hans eller hennes upp- gifter behandlas hos en behörig myndighet utan att en oberoende myndighet får insyn i sådan personuppgiftsbehandling som regist- rerade inte själva kan kontrollera. Det bör ställas vissa krav på begäran Kontrollerna kommer sannolikt framför allt att avse de brottsbe- kämpande myndigheternas personuppgiftsbehandling men kan även avse annan personuppgiftsbehandling inom ramlagens till- lämpningsområde. Om en privat aktör är behörig myndighet kan det behöva kontrolleras hur personuppgifter behandlas där. För att regleringen inte ska kunna missbrukas bör det enligt ut- redningens mening ställas vissa krav på en begäran om kontroll. Det bör krävas att sökanden anger vilken behörig myndighet som kontrollen ska avse, eftersom ramlagen ska tillämpas av ett flertal myndigheter. Vidare bör det framgå om begäran avser personupp- giftsbehandlingen i ett visst mål eller ärende, ett visst register eller viss verksamhet. En begäran om kontroll bör därför vara skriftlig. Det bör också framgå att den som begär kontroll först har vänt sig till den personuppgiftsansvarige. Eftersom det rör sig om integritetskänsliga personuppgifter är det angeläget att säkerställa att endast behöriga personer begär kontroll. Om det finns skäl att ifrågasätta behörigheten bör till- synsmyndigheten kunna begära att sökanden styrker den (jfr av- snitt 11.5.3). Kraven på begäran kan regleras i förordning. ska kunna vägra att utföra kontroll har enligt artikel 46.4 möjlighet att vägra att utföra kontroll om begäran är uppenbart ogrundad eller orimlig. Det bör framgå av ramlagen att kontroll kan vägras i sådana fall. Frågan är när en begäran kan anses vara orimlig eller uppenbart ogrundad. Ett skäl som framhålls i direktivet är att förfrågan är repetitiv, dvs. att den återupprepas. Av skäl 43 framgår att fysiska personer bör ha rätt att med rimliga intervall utöva sin rätt att hålla sig underrättade om att behandling sker och kunna kontrollera om den är laglig. Någon ytterligare ledning för vad som är rimliga in- tervall ges inte i direktivet. När personuppgiftslagen infördes ansåg regeringen, vid tolk- ningen av begreppet rimliga intervall i artikel 12 a i det nu gällande dataskyddsdirektivet, att en enskild bör ha rätt att av den person- uppgiftsansvarige en gång per kalenderår få besked om hans eller hennes personuppgifter behandlas (se 26 § personuppgiftslagen och 1997/98:44 s. 82). Kontroller av om uppgifter om en person behandlas författningsenligt kan dock vara betydligt mer resurskrä- vande. Det beror bl.a. på att tillsynsmyndigheten – i motsats till den personuppgiftsansvarige – inte har tillgång till de personupp- gifter som behandlas. måste därför alltid be- gära hjälp av den personuppgiftsansvarige med att klarlägga om några uppgifter om personen behandlas och kan först därefter ta ställning till vilken kontroll som i så fall krävs. Det är därför inte givet att de överväganden som gjordes beträffande registerutdrag enligt 26 § personuppgiftslagen har samma relevans för tillsyns- myndighetens kontroller. Enligt utredningens mening är det inte lämpligt att i författning reglera hur som bör förflyta mellan framställningar om kontroll. Det bör i stället avgöras i praxis hur ofta en begäran får upprepas utan att den betraktas som orimlig. En begäran om kontroll bör även kunna vägras om den är orim- ligt omfattande eller om den är så oprecis att det skulle krävas oproportionerligt mycket arbete för att kunna utföra kontrollen. Som exempel kan nämnas en opreciserad begäran om kontroll av om behandling av uppgifter om en person är författningsenlig. Det säger sig självt att en sådan begäran med 28 000 anställda, hela landet som verksamhets- område och mångskiftande arbetsuppgifter skulle kräva orimliga insatser av både tillsynsmyndigheten och tillsynsobjektet. Det är tillsynsmyndigheten som har bevisbördan för att en begäran är orimlig eller uppenbart ogrundad. Av skäl 40 – som hänför sig till artiklarna om enskildas rättig- heter – framgår att en begäran bör anses som uppenbart ogrundad om den enskilde saknar skäl för sin begäran eller på annat sätt miss- brukar sin rätt till information. I övrigt ger direktivet ingen ledning för i vilka fall en begäran kan anses vara uppenbart ogrundad. En- ligt utredningens mening kan en begäran vara uppenbart ogrundad om den som begär kontroll inte först begärt att den personupp- giftsansvarige lämnar information. Ett beslut att vägra utföra kontroll bör kunna överklagas, om förutsättningarna i övrigt är uppfyllda (se avsnitt 14.7.1). Det bör därför krävas ett skriftligt beslut där skälen för vägran framgår. Det kan regleras i förordning. Bör kontroll kunna utföras mot avgift? Ett alternativ till att vägra utföra kontroll är enligt artikel 46.4 att tillsynsmyndigheten tar ut en rimlig avgift för de administrativa kostnaderna. Frågan är om den möjligheten bör utnyttjas vid genomförandet av direktivet. Å ena sidan talar ett av direktivets huvudsyften – att skydda den enskildes rättigheter – för att den en- skilde i så stor utsträckning som möjligt ska få en kontroll utförd. Av artikel 46.4 följer å andra sidan att det är förenligt med direkti- vet att begränsa den enskildes rättigheter i vissa fall. En avgift kan inte läka bristen om en begäran är uppenbart ogrundad. Detsamma gäller en framställning som är orimlig av något annat skäl än att den upprepas alltför ofta. Det skulle kunna övervägas att ge enskilda möjlighet att mot avgift begära kontroll oftare än vad som är rim- ligt. Eftersom kontroll kan vara arbetskrävande anser utredningen att varken tillsynsmyndigheten eller tillsynsobjektet bör belastas med alltför täta kontroller. Möjligheten att ålägga tillsynsmyndig- heten att mot avgift genomföra kontroller som är orimliga eller uppenbart ogrundade bör därför inte utnyttjas. Information om rätt till rättslig prövning Enligt artikel 17.3 och skäl 48 ska tillsynsmyndigheten även infor- mera den registrerade om hans eller hennes rätt att begära rättslig prövning. Det är oklart vad som avses. Eftersom kontroll av om behandlingen är författningsenlig normalt inte utmynnar i något förvaltningsbeslut kan det inte annat än undantagsvis finnas något som en domstol kan pröva med anledning av kontrollen. Den en- skilde har emellertid enligt artiklarna 53 och 54 rätt till effektiva rättsmedel om hans eller hennes rättigheter enligt direktivet kränks. Det bör enligt utredningens mening vara beslut om avslag på begäran om kontroll som avses. Utredningen återkommer till frågor om överklagande i avsnitt 14.7.1. Här räcker det att konsta- tera att det inte behövs någon lagstiftningsåtgärd för att tydliggöra att tillsynsmyndigheten, i de fall där ett beslut är överklagbart eller kan prövas på annat sätt, är skyldig att upplysa om det, eftersom den skyldigheten följer av andra regler. Utredningens förslag: ska ge råd och stöd till personuppgiftsansvariga och personuppgiftsbiträden om deras skyldigheter enligt lag eller annan författning vid för- handssamråd och när det i övrigt är påkallat. Skälen för utredningens förslag Innehållet i direktivet och nuvarande reglering En central arbetsuppgift för tillsynsmyndigheten är att på eget ini- tiativ eller på begäran ge information och råd till olika aktörer om regler som styr behandlingen av personuppgifter. I artiklarna 46.1 c, 47.3 och 28.2 föreskrivs att tillsynsmyndig- heten ska ha en rådgivande uppgift, genom att på eget initiativ eller på begäran avge yttranden om lagstiftning och administrativa åt- gärder till riksdag, regering, andra myndigheter och organ och till allmänheten i frågor som rör skydd av personuppgifter. Enligt arti- kel 46.1 d ska tillsynsmyndigheten öka personuppgiftsansvarigas och personuppgiftsbiträdens medvetenhet om deras skyldigheter enligt direktivet. Förhandssamråd, som regleras i artikel 28, innebär att den personuppgiftsansvarige eller personuppgiftsbiträdet ska samråda med tillsynsmyndigheten bl.a. inför behandling av person- uppgifter i nyinrättade register. Enligt artikel 46.1 k ska tillsyns- myndigheten då ge skriftliga råd. Av artikel 46.1 b framgår att tillsynsmyndigheten självmant ska lämna allmän information om risker, regler, skyddsåtgärder och rättigheter till allmänheten. Vidare ska tillsynsmyndigheten enligt artikel 46.1 e på begäran tillhandahålla mer specifik information till registrerade om hur de ska utöva sina rättigheter och vid behov samarbeta med tillsynsmyndigheter i andra medlemsstater för det ändamålet. Av artiklarna 17.3, 52.3 och 52.4 framgår att den som har kontakt med tillsynsmyndigheten med anledning av en begäran om kontroll eller ett klagomål ska få mer specifik information om hur han eller hon ska ta tillvara sin rätt i det aktuella fallet. I 1 § Datainspektionens instruktion föreskrivs att inspektionen särskilt ska inrikta sin verksamhet på att informera om gällande regler och ge råd och hjälp åt personuppgiftsombud. I avsnitt 10.2.5 behandlas det förhandssamråd mellan personupp- giftsansvariga och tillsynsmyndigheten som krävs i vissa fall. Det som är av intresse här är tillsynsmyndighetens roll. Myndigheten ska ta emot sådana konsekvensbedömningar som ska upprättas en- ligt artikel 27, delta i samrådet och, om den planerade behandlingen riskerar att inte vara förenlig med regelverket, lämna skriftliga råd. Utredningen återkommer i avsnitt 12.7.5 till myndighetens befo- genheter vid samrådet. Förhandssamråd är en viktig del i tillsyns- myndighetens förebyggande arbete och bör därför uttryckligen anges i bestämmelsen om myndighetens rådgivande roll. Information och rådgivning till personuppgiftsansvariga, personuppgiftsbiträden och dataskyddsombud Genom direktivet ökar kraven på personuppgiftsansvariga och per- sonuppgiftsbiträden i olika avseenden jämfört med . Enligt artikel 46.1 d ska tillsynsmyndigheten öka personuppgiftsansvari- gas och personuppgiftsbiträdens medvetenhet om deras skyldig- heter. Direktivet reglerar även dataskyddsombudens uppdrag mera i detalj. De ska bl.a. informera och ge råd till personuppgiftsansva- riga om deras skyldigheter, övervaka efterlevnaden av regelverket och samarbeta och fungera som kontaktpunkt för tillsynsmyndig- heten. Förändringarna bör enligt utredningens bedömning medföra att behovet av information och rådgivning från tillsynsmyndighe- ten till personuppgiftsansvariga, personuppgiftsbiträden och data- skyddsombud kommer att öka. Utredningen om tillsynen över den personliga integriteten före- slår att regeln i Datainspektionens instruktion om särskilt stöd till personuppgiftsombud ska upphävas, eftersom det varken finns utrymme för eller behov av en sådan reglering på dataskyddsför- ordningens område (SOU 2016:65 s. 157 f.). Förslaget ska ses mot bakgrund av att bestämmelsen innebär en anvisning från regeringen om hur tillsynsmyndigheten ska prioritera sina tillsynsuppgifter. En sådan regel anses enligt förslaget inte vara förenlig med kraven på tillsynsmyndighetens oberoende. Det väcker frågan om tillsynsmyndighetens informations- och rådgivningsskyldighet gentemot personuppgiftsansvariga och per- sonuppgiftsbiträden enligt direktivet bör regleras. Enligt utred- ningens mening går vissa krav på information och rådgivning, bl.a. artikel 46.1 d, utöver det som ryms i den allmänna service- och samverkansskyldigheten enligt förvaltningslagen. Mot den bak- grunden bör även uppgiften att informera och ge råd till person- uppgiftsansvariga och personuppgiftsbiträden pekas ut som en sär- skild uppgift för tillsynsmyndigheten. Det kan vara lämpligt att formulera uppgiften på liknande sätt som i 1 § Datainspektionens instruktion, att tillsynsmyndigheten ska ge råd och stöd. Skyldig- heten bör omfatta råd och stöd till personuppgiftsansvariga och personuppgiftsbiträden. Skyldigheten bör begränsas till informa- tion om deras författningsenliga skyldigheter. Det finns enligt utredningens mening inget hinder mot att ange råd och stöd till personuppgiftsansvariga och personuppgiftsbiträ- den som en arbetsuppgift bland flera, så länge regleringen inte innebär att den viktas högre eller lägre än någon av de övriga upp- gifterna. Om tillsynsmyndighetens arbetsuppgifter regleras i ram- lagen finns det inte heller någon risk för konflikt med vad som kommer att gälla på dataskyddsförordningens område. Förslaget står därmed inte i motsatsställning till förslaget från Utredningen om tillsynen över den personliga integriteten att upphäva bestäm- melsen om råd och hjälp åt personuppgiftsombud i nens instruktion. Av hänsyn till tillsynsmyndighetens oberoende bör bestämmelsen utformas så att det, förutom vid förhandssam- råd, tydligt framgår att myndigheten själv avgör när råd och stöd kan vara påkallat. Även fortsättningsvis kommer dataskyddsombuden att behöva samråda med tillsynsmyndigheten i många frågor. De är i många fall den naturliga kontaktpunkten för tillsynsmyndigheten (se av- snitt 10.5.3). I den utsträckning dataskyddsombud har behov av råd och stöd från tillsynsmyndigheten bör myndigheten naturligtvis på samma sätt som tillgodose det behovet. Information och rådgivning till riksdag, regering och andra myndigheter I artikel 28.2 i det nu gällande dataskyddsdirektivet finns motsva- rande reglering om tillsynsmyndighetens rådgivande roll som i artiklarna 28.2, 46.1 c och 47.3 i det nya direktivet. uppgiftslagen infördes ansåg regeringen att svensk rätt uppfyllde de kraven utan någon lagstiftningsåtgärd (prop. 1997/98:44 s. 102). Enligt 7 kap. 2 § regeringsformen ska vid beredningen av rege- ringsärenden behövliga upplysningar och yttranden begäras in från berörda myndigheter. Beredningskravet gäller både för riksstyrelse- ärenden, exempelvis beslut om propositioner och förordningar, och förvaltningsärenden (jfr prop. 2009/10:80 s. 215). Myndigheter under regeringen är skyldiga att svara på de remisser de får. I 4 kap. 10 § riksdagsordningen föreskrivs att en statlig myndighet är skyl- dig att lämna upplysningar och yttra sig när ett riksdagsutskott begär det. Enligt 6 § förvaltningslagen är myndigheterna skyldiga att sam- verka med varandra i frågor som rör deras respektive verksamhets- områden. Skyldigheten enligt lagen att svara på remisser omfattar remisser från andra myndigheter. Regleringen i artiklarna 28.2, 46.1 c och 47.3 skiljer sig inte från det nu gällande direktivet. Det finns inte anledning att göra en annan bedömning i fråga om behovet av reglering än när person- uppgiftslagen infördes. Några lagstiftningsåtgärder för att genom- föra dessa artiklar behövs alltså inte. är enligt direktivet skyldig att självmant in- formera allmänheten i frågor som rör personuppgiftsbehandling. Enligt 4 § förvaltningslagen har myndigheter serviceskyldighet i förhållande till enskilda och allmänheten. Principen är en del av det som är att anse som god förvaltning och innebär att förvaltnings- myndigheter ska lämna upplysningar, vägledning, råd och annan sådan hjälp till enskilda i frågor som rör myndighetens verksam- hetsområde. Hjälpen ska lämnas i den utsträckning som är lämplig med hänsyn till frågans art, den enskildes behov och myndighetens verksamhet. Eftersom uppgiften redan är reglerad krävs inte någon lagstiftningsåtgärd för att genomföra artikel 46.1 b och aktuell del av artikel 47.3. En stor del av Datainspektionens verksamhet ägnas åt sådan information och vägledning. Information och rådgivning på begäran av enskilda Artikel 46.1 e tar enligt utredningens uppfattning sikte på två olika saker. Den ena är allmän informationsskyldighet i förhållande till enskilda om hur de kan ta tillvara sina rättigheter. Sådan allmän in- formation ska lämnas på tillsynsmyndighetens eget initiativ. Den andra är mer specifik information om den enskilde t.ex. har gett in ett klagomål till tillsynsmyndigheten. Specifik information ska läm- nas bara om det behövs. Om det krävs ska tillsynsmyndigheten även samarbeta med tillsynsmyndigheter i andra medlemsstater för att kunna ge information till enskilda. Den allmänna skyldigheten enligt förvaltningslagen att lämna hjälp gäller oavsett om det rör sig om en förfrågan från en part i ett ärende eller från någon som har ett allmänt intresse av att få upp- lysningar om tillsynsmyndighetens verksamhet. När det behövs och är lämpligt ska myndigheten vägleda den enskilde genom att ta initiativ till ytterligare utredning, verka för att utredningen begrän- sas till vad som är nödvändigt och fästa den enskildes uppmärk- samhet på om det finns något annat, bättre sätt att nå det han eller hon eftersträvar (prop. 1985/86:80 s. 59). Serviceskyldigheten är vidsträckt men inte obegränsad. Myndigheten ska göra en bedöm- ning från fall till fall av hur långt den ska sträcka sin service. I fråga om sådan information som diskuteras krävs enligt ut- redningens mening inte mer än vad som redan följer av myndighe- ternas allmänna serviceskyldighet. Det behövs därför ingen lag- stiftningsåtgärd för att genomföra artikel 46.1 e. Det kan anmärkas att Datainspektionen har en särskild upplys- ningstjänst som via telefon och e-post besvarar frågor om person- uppgiftsbehandling och att det finns omfattande informations- material på myndighetens hemsida. 12.7.1Hur bör tillsynen bedrivas? I de flesta avseenden bör tillsynen över personuppgiftsbehandling kunna bedrivas på samma sätt som . Tillsynen är av rättslig karaktär, dvs. den inriktas på om den granskade följer gällande regelverk för behandling av personuppgifter. framför allt genom granskning av dokumentation och upplysningar från tillsynsobjektet. Den kan dock även innefatta åtgärder som tillsyn över hur regelverket generellt tillämpas eller kontroll av att t.ex. en loggningsfunktion eller annan teknisk säkerhetsåtgärd fun- gerar som avsett. När det gäller personuppgiftsbehandling kan sär- skilt tillsynen över säkerhetsåtgärder behöva utföras på plats hos tillsynsobjektet. Tillsyn kan påbörjas formlöst, t.ex. genom en faktisk åtgärd som en inspektion på plats, eller mer eller mindre formaliserat där ett formellt beslut som anger exakt vad tillsynen ska omfatta är den andra ytterligheten. Det förhållandet att tillsyn kan initieras i en mängd olika situationer och att det inte alltid finns något givet svar på vad tillsynen ska resultera i, innebär att tillsynsarbetet också kan ha olika skepnader. Tillsynen kan bedrivas förutsättningslöst, t.ex. vid ett rutinmässigt tillsynsbesök hos en myndighet. Den kan också vara målinriktad och exempelvis inriktas på behandlingen i ett enskilt register eller att klarlägga om ett konkret klagomål har fog för sig. Syftet med tillsynen avgör vad som krävs för att genomföra den. Om syftet är att undersöka klagomål i ett enskilt ärende kan det vara tillräckligt att tillsynsmyndigheten tar del av personuppgif- terna och dokumentation om hur de har behandlats. Är det fråga om en kontroll där den som begär kontrollen ifrågasätter att upp- gifter om honom eller henne behandlas kan det behövas ett bredare anslag. Om tillsynsmyndigheten behöver få underlag för ett före- läggande kan inledande åtgärder som inhämtande av handlingar behöva följas upp med tillsynsbesök och upprepade kontakter med den personuppgiftsansvarige. Tillsyn kan också vara tematisk, vilket innebär att en viss fråga eller typ av behandling eller behandlingen i en viss typ av register undersöks oberoende av vilka som utför sådana behandlingar. Till- synen kan då omfatta många olika tillsynsobjekt och t.ex. bestå i att myndigheten inhämtar skriftlig information. På samma sätt som det oftast inte finns någon given början på tillsynen är det inte heller reglerat hur tillsynen ska avslutas och vad den ska utmynna i. Tillsynen kan avslutas formlöst, t.ex. genom att myndigheten bestämmer sig för att inte längre avsätta resurser för den. Tillsynen kan också avslutas genom ett protokoll över genom- En tematisk tillsyn kan utmynna i nya föreskrifter eller allmänna råd. Tillsyn behöver alltså inte utmynna i ett beslut. Om fel upptäcks i samband med tillsyn kan tillsynsmyndigheten utöva sina befogenheter. När det gäller personuppgiftsbehandling kan det innebära att beslut om t.ex. rättelse, komplettering eller radering kan aktualiseras. Tillsyn kan när som helst övergå i ett vanligt förvaltningsärende hos tillsynsmyndigheten, även om den har påbörjats formlöst. Då ska de regler som gäller för det förfa- randet tillämpas. sätter alltså själv gränserna för vad som ska göras och hur och när det ska göras, så länge det inte kommer i konflikt med den reglering som genomför artiklarna (se av- snitt 12.6.3), 28.5 (se avsnitt 12.6.4), 53.2 (se avsnitt 14.6.2) och 50.4 (se avsnitt 12.10.1). Utredningens bedömning: Regleringen av tillsynsmyndighe- tens befogenheter bör utformas i nära anslutning till regleringen i dataskyddsförordningen. Skälen för utredningens bedömning: Utredningen om tillsynen över den personliga integriteten anser att det varken finns utrymme för eller behov av kompletterande reglering av tillsynsmyndighe- tens befogenheter när det gäller dataskyddsförordningen.