sou · H5B323 · 2017-03-15 00:00:00 — Utöver dessa utredningar tillkommer utredningar som ska se över behov av specialreglering med hänsyn till EU:s dataskyddsreform, personuppgifter, integritet och dataskydd. har t.ex. tillsatts en utredning om personuppgiftsbehandling inom utbildningsområdet40 och en utredning om dataskydd vid Rättsmedicinalverket41 6.2.11Personuppgiftsansvaret i Mina meddelanden Att klargöra personuppgiftsansvaret i Mina meddelanden är inte bara nödvändigt för att säkerställa vad som faktiskt gäller. Det är även efterlängtat av de inblandade aktörer som vill veta hur långt deras ansvar sträcker sig. Datainspektionens svar på fråga skickade en förfrågan till Datainspek- tionen mot bakgrund av att projektet som drev Mina meddelanden ville få ett formellt svar från Datainspektionen med fokus främst på personuppgiftsansvaret inom infrastrukturen. Datainspektionen läm- nade svar och anförde bl.a. följande. Mina meddelanden – bedömningar och förslag Avgörande för personuppgiftsansvaret för de personuppgifter som finns i avsända meddelanden är vem som bestämmer ändamål och medel med de behandlingar av uppgifterna som utförs. Datainspektionens uppfattning är att avsändande myndighet är ensamt personuppgiftsansvarig för behandling av uppgifterna i meddelandena – vilket innefattar ett personuppgiftsansvar gentemot de registrerade för säkerheten på uppgifterna – åtminstone till dess att meddelandena till- gängliggjorts för mottagaren. Brevlådeoperatörernas behandling av per- sonuppgifterna sker under den tiden för avsändande myndighets räkning. Brevlådeoperatören har i egenskap av personuppgiftsbiträde ett avtals- rättsligt ansvar för säkerheten gentemot avsändande myndigheter, men brevlådeoperatören har inte ett personuppgiftsansvar enligt PuL gent- emot de registrerade för uppgifterna i avsända meddelanden. Däremot är brevlådeoperatören personuppgiftsansvarig för behandlingen av de ytterligare personuppgifter som fordras för att meddelandena ska kunna tillgängliggöras i aktuell brevlåda och för behandlingen av kunduppgifter i sitt eget register. Efter det att meddelandet tillgängliggjorts kan även mottagaren i viss mån anses bestämma ändamål och medel med personuppgiftsbehandling- arna som den utför. Det är dock – med beaktande av de handlingar som Datainspektionen haft tillgång till – svårt att bedöma när avsändande myndighets ansvar för personuppgifter i avsända meddelanden upphör. Datainspektionen vill framhålla att endast om avsändande myndigheter kan styra över behandlingen eller om det i realiteten är frivilligt för myndigheterna att ansluta sig till Mina meddelanden kan avsändande myndighet anses bestämma ändamål och medel med behandlingen av personuppgifterna i avsända meddelanden. Om det framöver inte finns någon frivillighet avseende anslutningen – antingen därför att det in- förs författningskrav om anslutning eller för att kravet på en effektiv e-förvaltning blir så starkt att det i praktiken inte finns någon frivillig- het – kan det bli nödvändigt att analysera personuppgiftsansvaret och författningsreglera det. är personuppgiftsansvarigt för förmedlingsadressregistret (FaR) och för de behandlingar som utförs i registret. Det följer av att enligt 5 § förordningen (2003:770) om statliga myndig- heters elektroniska informationsutbyte får föra ett register över dem som anslutit sig till infrastrukturen (Mina meddelanden) samt att de faktiska omständigheterna visar att för register och be- stämmer ändamål och medel. Brevlådeoperatören är personuppgiftsansvarig för behandlingen av de ytterligare personuppgifter som fordras för att ett meddelande ska kunna tillgängliggöras i aktuell brevlåda. Brevlådeoperatören är också person- uppgiftsansvarig för behandlingen av kunduppgifter i sitt eget register.42 42 Datainspektionens svar på förfrågan om personuppgiftsansvar i Mina medde- landen, Dnr 111-2014. Mina meddelanden – bedömningar och förslag Vad är oklart? Det måste vara tydligt för alla inblandade parter – inte minst de registrerade mottagarna av digital myndighetspost – vem som an- svarar för vad inom ramen för Mina meddelanden. Det rör sig om en komplex hantering av potentiellt känslig information om många registrerade. har, efter Datainspektionens svar , sett över personuppgiftsansvaret i Mina meddelanden och skrivit om de allmänna villkoren för Mina meddelanden. har nya villkor gällt och har inte mottagit några klagomål eller synpunkter på att personuppgiftsansvaret i Mina med- delanden är otydligt . De allmänna villkoren har därefter skrivits om på nytt och de nu gällande villkoren är från februari 2017.43 Enligt Datainspektionens svar på fråga var avsän- dande myndighet personuppgiftsansvarig för uppgifter i avsända meddelanden åtminstone till dess meddelandet nådde den enskildes brevlåda. var personuppgiftsansvarigt för uppgifterna i förmedlingsadressregistret och brevlådeoperatören var person- uppgiftsansvarig för behandlingen av de ytterligare personuppgifter som fordras för att ett meddelande skulle kunna tillgängliggöras i aktuell brevlåda. När ett meddelande har nått mottagarens brevlåda var det, enligt Datainspektionen oklart, om och i så fall när avsän- dande myndighets personuppgiftsansvar upphörde. Brevlådeopera- törerna kunde, enligt de allmänna villkoren, erbjuda tilläggsfunk- tioner och tjänster i anknytning till brevlådan. Det var, enligt Data- inspektionen, otydligt vilka krav som ställdes på dessa funktioner och därför svårt att bedöma vilka behandlingar som kunde utföras när det gällde personuppgifter i avsända meddelanden. Det var också svårt att bedöma vem eller vilka som kunde anses ha bestämt ändamål och medel med behandlingarna och därmed svårt att av- göra om och när avsändande myndighet inte längre hade något personuppgiftsansvar för uppgifter i avsända meddelanden. har efter Datainspektionens svar, som redan nämnts, gjort ändringar i de allmänna villkoren när det gäller personuppgifts- ansvaret. angavs brevlådeoperatören vara personuppgifts- 43 Allmänna villkor för Mina meddelanden, version 1.3, gäller fr.o.m. 2017-02-21, . Mina meddelanden – bedömningar och förslag ansvarig för behandlingar i samband med att mottagaren kunde ta emot och öppna meddelanden. är avsändande myndighet personuppgiftsansvarig för behandlingar som brevlådeoperatören utför i samband med att mottagaren kan ta emot och öppna med- delanden och brevlådeoperatören är personuppgiftsbiträde. De all- männa villkoren, med tillhörande bilagor, är ett skriftligt avtal om personuppgiftsbiträdets behandling av personuppgifter för den per- sonuppgiftsansvariges räkning. Till följd av detta reglerar Skatte- verket i villkoren att brevlådeoperatören inte får behandla person- uppgifterna för andra ändamål än att tillgängliggöra försändelser för mottagaren. Om försändelsen inte kan tillgängliggöras ska brevlåde- operatören radera meddelandet och personuppgifterna i detta. Vidare infördes ett strängare skadeståndsansvar för brevlåde- operatörer som behandlar uppgifter i strid med de allmänna villko- ren och ett krav på skriftligt godkännande från infrastrukturansvarig () för att brevlådeoperatörer ska kunna anlita en under- leverantör för behandling av personuppgifter. Brevlådeoperatören är däremot även i fortsättningen person- uppgiftsansvarig för behandling av personuppgifter i sitt kundregister och för sådana personuppgifter som samlas in av brevlådeoperatören för andra angivna ändamål än att förmedla meddelanden inom Mina meddelanden.44 är alltså personuppgiftsansvarigt för be- handling av personuppgifter i förmedlingsadressregistret. De avsän- dande myndigheterna är personuppgiftsansvariga för de person- uppgifter som finns i de försändelser som de skickar. Brevlådeopera- törerna är personuppgiftsbiträden åt de avsändande myndigheterna. Utredningen har inte för avsikt att göra om ansvarsfördelningen. De ändringar som har gjorts och de åtgärder som har vidtagit är relevanta och klargörande med hänsyn till 5 § förordningen om statliga myndigheters elektroniska informationsutbyte. Skatte- verket bedömer att de är i linje med det svar som Datainspektionen lämnat. Det finns emellertid trots det, enligt utredningens, mening fortfarande ett behov av att förtydliga helhetsbilden i en ny författ- ning och även att utreda vissa delar ytterligare. 44 Allmänna villkor för Mina meddelanden, version 1.3. Mina meddelanden – bedömningar och förslag 6.2.12Ny reglering av personuppgiftsansvaret i Mina meddelanden –att personuppgiftsansvaret i Mina meddelanden regleras i en ny förordning om en infrastruktur för säkra elektroniska för- sändelser. Det finns flera anledningar att utöka författningsstödet för Mina meddelanden men ett tungt vägande skäl är att reglera person- uppgiftsansvaret på ett tydligare sätt. Enligt dataskyddsförordningen är personuppgiftsansvarig en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansva- rige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.45 Ändamål och medel för personuppgiftsbehandlingen i Mina meddelanden bestäms av svensk nationell rätt. Med andra ord med- ger definitionen i dataskyddsförordningen att den personuppgifts- ansvarige, eller de särskilda kriterierna för hur denne ska utses, kan föreskrivas i svensk nationell rätt. Enligt 2 kap. 6 § andra stycket regeringsformen46 är var och en gentemot det allmänna skyddad mot betydande intrång i den per- sonliga integriteten om det sker utan samtycke och innebär över- vakning eller kartläggning av den enskildes personliga förhållanden. Skyddet, enligt denna bestämmelse, kan begränsas endast enligt den särskilda ordning som föreskrivs i 2 kap. 20–22 §§ regerings- formen. Bestämmelsen i 2 kap. 6 § andra stycket regeringsformen inne- bär att sådana åtgärder som föreslås ska prövas mot grundlagen och regleras i lag. Det är endast tillåtet med lagar som inskränker in- tegritetsskyddet om det intresse som ska tillgodoses är så starkt 8 dataskyddsförordningen (EU) 2016/679. 46Regeringsformen (1974:152). Mina meddelanden – bedömningar och förslag och integritetsskyddsintresset så förhållandevis svagt att inskränk- ningen framstår som proportionerlig. Bestämmelsen innebär också att lagstiftaren tydligt måste redovisa vilka avvägningar som gjorts vid proportionalitetsbedömningen.47 Frågan är om en anslutning som mottagare till Mina meddelan- den innebär ett betydande intrång i den personliga integriteten och utan samtycke innebär övervakning eller kartläggning av den en- skildes personliga förhållanden. Genom att ansluta till Mina meddelanden får den enskilde sin myndighetspost digitalt till en brevlåda som drivs antingen av en privat brevlådeoperatör eller av . Det är bara den avsän- dande myndigheten, den mottagande personen eller företaget och den som fått läsrättighet eller hanteringsrättighet av brevlådeinne- havaren, som har rätt att läsa posten. Den enskilde registreras med person- eller samordningsnummer och eventuella mottagningsregler (s.k. nixning) i FaR där avsändare kan kontrollera om mottagaren valt att få sin post digitalt eller inte. Utredningen anser inte att anslutningen som mottagare till Mina meddelanden innebär ett betydande intrång i den enskildes person- liga integritet. Att lämna ut namn, personnummer och e-postadress till en myndighet måste anses stå i proportion till att kunna bli nådd av myndigheter på det sätt man själv vill. Möjligheter till övervakning eller kartläggning av den enskildes personliga förhållanden kommer bara att finnas om brevlådeopera- törerna bryter mot de allmänna villkoren för Mina meddelanden. Enligt punkt 7.6.3. får brevlådeoperatören behandla meddelanden, inställningar och andra uppgifter i brevlådan endast som ett led i teknisk bearbetning eller teknisk lagring för brevlådeinnehavarens räkning för att uppfylla de åtaganden som brevlådeoperatören är skyldig att göra enligt de allmänna villkoren eller, det avtal som upp- rättats mellan brevlådeoperatören och brevlådeinnehavaren. Brev- lådeoperatören ska dessutom begränsa sina anställdas och uppdrags- tagares behörighet att komma åt mottagarens meddelanden och uppgifter i brevlådan så att dessa inte kan behandlas annat än i en- lighet med punkt 7.6.3.48 47Datainspektionens Vägledning för integritetsanalys, , s. 32. 48Allmänna villkor för Mina meddelanden version 1.3 punkt 7.6.3. och 7.6.4. Mina meddelanden – bedömningar och förslag Framför allt kommer anslutningen som mottagare till Mina med- delanden, enligt utredningens förslag, att vara frivillig även fortsätt- ningsvis. Att det blir en rättighet att få sin post digitalt innebär inte att någon enskild eller något företag kommer att anslutas som mot- tagare till Mina meddelanden utan samtycke. Från myndigheternas perspektiv kan det anföras att deras anslut- ning som avsändare är frivillig. Det saknar dock bety- delse i sammanhanget personlig integritet. Däremot spelar det roll i frågor om personuppgiftsansvar. Sammanfattningsvis menar utredningen att en anslutning som mottagare till Mina meddelanden inte innebär ett betydande intrång i den personliga integriteten. Det innebär inte heller övervakning eller kartläggning av den enskildes personliga förhållanden utan att någon först har brutit mot gällande regler. Ingen kommer heller att anslutas utan samtycke. Följaktligen är det inte nödvändigt att reglera de föreslagna åt- gärderna i lag utan det räcker, enligt utredningens bedömning, med en ny tydlig förordning. –att även fortsättningsvis får föra register över dem som anslutit sig till infrastrukturen, –att de uppgifter som får behandlas i registret är person-, sam- ordnings- eller organisationsnummer och uppgifter om vilka avsändare mottagaren inte har godkänt (s.k. nixning), –att personuppgifterna i registret även fortsättningsvis får be- handlas dels för att föra en aktuell förteckning över enskilda som begärt att få ta del av försändelser från anslutna avsän- dare på elektronisk väg, dels för att expediera försändelser från anslutna avsändare på elektronisk väg, –att är personuppgiftsansvarigt för den behandling av personuppgifter som utförs i registret och för den behand- ling som behövs för att expediera försändelser från myndig- heter på elektronisk väg. Mina meddelanden – bedömningar och förslag ska även fortsättningsvis få föra register över dem som anslutit sig som mottagare till infrastrukturen. För att tydliggöra vilka uppgifter som får behandlas i registret föreslår utredningen en ny regel enligt vilken personsamordnings- eller organisationsnummer får behandlas i registret. Dessutom får uppgifter om vilka avsändare respektive mottagare inte har godkänt behandlas. Det är de uppgifter som behövs för att infrastrukturen ska fungera och försändelsen från avsändaren säkert ska nå rätt mottagare. Personuppgifterna i registret ska även fortsättningsvis få behand- las dels för att föra en aktuell förteckning över enskilda och företag som begärt att få ta del av försändelser från anslutna avsändare på elektronisk väg, dels för att expediera försändelser från anslutna avsändare på elektronisk väg. Denna regel har samma betydelse som i förordningen om statliga myndigheters informationsutbyte och flyttas i princip bara över till den nya förordningen om en infra- struktur för säkra elektroniska försändelser. ska vara personuppgiftsansvarigt för all behandling av personuppgifter som utförs i registret och för den behandling som behövs för att expediera försändelser från avsändande myndig- heter på elektronisk väg. Detta gäller redan i praktiken men för tydlighetens skull bör det skrivas ut i en egen regel i förordnings- texten. 6.2.14Ändamål med behandlingen av personuppgifter –att personuppgifter får behandlas i infrastrukturen för att de elektroniska försändelserna ska nå den mottagare som avses och kunna göras tillgängliga i mottagarens brevlåda. Ändamålet med personuppgiftsbehandlingen anger varför behand- lingen behövs. För att få behandla personuppgifter krävs ett ända- mål som väger tyngre än den integritetskränkning en behandling av personuppgifter kan innebära. När det gäller Mina meddelanden används personuppgifterna för att försändelserna ska nå rätt mot- tagare och sedan kunna göras tillgängliga i mottagarens brevlåda. Mina meddelanden – bedömningar och förslag Personuppgifter behandlas redan för detta ändamål inom Mina meddelanden. Ändamålet har sedan starten av Mina meddelanden bedömts väga tyngre än en eventuell integritetskränkning. Under förutsättning att alla parter uppfyller sina åtaganden, en- ligt de allmänna villkoren, samt att säkerheten för uppgifterna är tillräcklig anser utredningen att Mina meddelanden inte kan med- föra för stora integritetsrisker för den enskilde. Utredningen in- stämmer därför i den rådande bedömningen men föreslår ändå att en ändamålsbestämmelse införs i den nya förordningen för att tyd- liggöra ändamålet med behandlingen av personuppgifterna. Utredningen utesluter inte att ändamålsbestämmelsen kan be- höva utvidgas något för att svara mot behov som uppstår när syste- met utvidgas, men har inget underlag för att förslå detta. –att avsändaren av försändelsen är personuppgiftansvarig för de personuppgifter som behandlas i försändelsen till dess för- sändelsen har gjorts tillgängligt för mottagaren i mottagarens brevlåda, –att brevlådeoperatören är personuppgiftsbiträde åt den avsän- dande myndigheten när det gäller behandling av de person- uppgifter som fordras för att en försändelse ska kunna göras tillgänglig i mottagarens brevlåda, –att det ska utredas vidare vad som händer med personuppgifts- ansvaret när försändelser gjorts tillgängliga i fysiska personers brevlådor, –att om brevlådeinnehavaren är en juridisk person eller en fysisk person som behandlar personuppgifter i brevlådan som inte utgör ett led i verksamhet av rent privat natur, är brevlåde- innehavaren personuppgiftsansvarig för behandling av person- uppgifter i brevlådan och brevlådeoperatören är person- uppgiftsbiträde. Mina meddelanden – bedömningar och förslag Som tidigare nämnts har , i senare versioner av de all- männa villkoren för Mina meddelanden, klargjort sitt nuvarande synsätt på personuppgiftsansvaret inom Mina meddelanden. Utred- ningen har, mot bakgrund av de allmänna villkoren, lyft fram avgö- rande delar och formulerat regler i förordningen om en infrastruktur för säkra elektroniska försändelser.49 Avsändaren av meddelandet ska vara personuppgiftansvarig för de personuppgifter som behandlas i meddelandet till dess meddelandet har gjorts tillgängligt för mottagaren i mottagarens brevlåda. Det är avsändaren som avgör vilka personuppgifter som finns med i med- delandet, vem som ska få det och varför det skickas. Det är därför naturligt att avsändaren har personuppgiftsansvaret till dess med- delandet har nått mottagarens brevlåda och gjorts tillgängligt för mottagaren. När ett meddelande nått brevlådeoperatören ska brevlådeopera- tören göra meddelandet tillgängligt i brevlådan samt sända en kvittens till den avsändande myndigheten eller, när så är tillämpligt, underrätta den avsändande myndigheten om att med- delandet av något skäl inte kan göras tillgängligt.50 Enligt utredningens bedömning upphör den avsändande myndig- hetens personuppgiftsansvar när kvittensen eller underrättelsen har skickats. Då är det inte längre den avsändande myndigheten som har kontroll över mål och medel med personuppgiftsbehandlingen och myndighetens ansvar måste därmed upphöra. Brevlådeoperatören är personuppgiftsbiträde till avsändande myn- dighet vid behandlingar som brevlådeoperatören utför i samband med mottagning och tillgängliggörande av meddelanden. Det inne- bär att det är den avsändande myndigheten som är per- sonuppgiftsansvarig för personuppgifterna i meddelandet ända tills 49Allmänna villkor för Mina meddelanden, kap. 9 , version 1.3, gällande fr.o.m. 2017-02-21. 50Allmänna villkor för Mina meddelanden version 1.3, p. Mina meddelanden – bedömningar och förslag meddelandet har gjorts tillgängligt för mottagaren i mottagarens brevlåda. Brevlådeoperatören har inte något personuppgiftsansvar i förmedlingen av meddelanden från avsändande myndighet till en- skild mottagare. Däremot har brevlådeoperatören personuppgiftsansvar för be- handling av personuppgifter i sitt eget kundregister och för sådana personuppgifter som eventuellt samlas in för andra ändamål än att förmedla meddelanden inom Mina meddelanden. Brevlådeoperatö- ren är också personuppgiftsansvarig för de behandlingar av person- uppgifter som brevlådeoperatören utför i samband med att mot- tagaren loggar in till sin brevlåda och andra behörighetskontroller. Detta personuppgiftsansvar ligger dock utanför infrastrukturen Mina meddelanden och utredningen föreslår därför ingen reglering av det i detta sammanhang. Brevlådeoperatören får inte behandla personuppgifterna för andra ändamål än att göra meddelanden tillgängliga för mottagaren. Om ett meddelande inte kan göras tillgängligt ska brevlådeoperatören radera meddelandet och personuppgifterna i detta. Dessa villkor finns numera med i de allmänna villkoren för Mina meddelanden. Det ligger ändå inom den avsändande myndighetens personuppgifts- ansvar att se till att personuppgiftsbiträdena följer villkoren. Därför ska de inte regleras i författningstext utan ingår i de avsändande myndigheternas personuppgiftsansvar. Allt som ett personuppgifts- biträde gör faller under den personuppgiftsansvariges ansvar. Brevlådeoperatörerna förbinder sig vid anslutningen till Mina med- delanden att följa de allmänna villkoren och kontrollerar och kvalitetsgranskar de företag som vill ansluta som brevlådeopera- törer. Det är ändå viktigt att de avsändande myndigheterna är med- vetna om att de är ansvariga för brevlådeoperatörernas handlingar. I de fall mottagaren är en fysisk person omfattas inte behandlingarna av personuppgifter för privat bruk i brevlådan av dataskyddsförord- ningen.51 innebär lagringen av försändelser i brevlådan att brevlådeoperatörerna faktiskt utför en behandling av personuppgifter. 51 Art. 2 p. 2 c, dataskyddsförordningen(EU) 2016/679. Mina meddelanden – bedömningar och förslag Brevlådeoperatörerna är juridiska personer som omfattas av data- skyddsförordningen och därmed kan ha personuppgiftsansvar. Det som talar emot att brevlådeoperatörerna är personuppgiftsansvariga, när det gäller personuppgiftsbehandling i brevlådan, är att de inte har någon kontroll över vilka personuppgifter som lagras där. De avsän- dande myndigheterna har kontroll över vad som skickas men efter att försändelsen har gjorts tillgänglig för mottagaren i brevlådan har inte heller den avsändande myndigheten någon kontroll över vad som händer med personuppgifterna som lagras i brevlådan. Den aktör som kan kontrollera vad som händer med personuppgifterna i brevlådan – den fysiska mottagaren – kan inte göras personuppgiftsansvarig enligt dataskyddsförordningen. Brevlådeoperatören ansvarar i och för sig för informationssäker- heten, dvs. att personuppgifterna inte läcker ut. Hur detta informa- tionssäkerhetsansvar förhåller sig till personuppgiftsansvaret enligt dataskyddsförordningen är däremot oklart. Ett alternativ är att tjänsten Mina meddelanden görs om så att det blir omöjligt att lagra försändelser i brevlådan. Den mottagare som vill spara medde- landena elektroniskt får i så fall ladda ned dessa till en lokal enhet. Utredningen anser att detta är en gråzon som troligtvis inte har uppmärksammats av de anslutna mottagarna. Det behöver faststäl- las vad som händer med personuppgiftsansvaret när försändelserna har gjorts tillgängliga i fysiska personers brevlåda. Det är viktigt både ur konsumentperspektiv och för övriga aktörer inom Mina meddelanden.