sou · H5B323 · 2017-03-15 00:00:00 — Det kräver att avsändarna tar ställning till vilka typer av meddelanden som bör skickas i infra- strukturen. Myndighetspost kan grovt delas i två delar; sådant som innebär tvingande konsekvenser för den enskilde, beslut eller lik- nande och sådant som är ren information och inte behöver få sär- skilda följder för den enskilde. För att öka användandet av Mina meddelanden har och de avsändande myndigheterna fokuserat på att så många flöden av meddelandetyper som möjligt ska gå via Mina meddelanden. Det kan i förlängningen leda till att avsändarna skickar mer information än vad mottagarna vill ha. Vad som uppfattas som onödig informa- tion är subjektivt för varje mottagare och det är svårt att hitta en nivå som passar alla. Det behöver ändå övervägas från varje avsän- dares sida vilken post som bör skickas via Mina meddelanden. Till viss del kan mottagaren reglera vilken post hen vill ta emot genom att inte godkänna de avsändare man inte önskar få post från. Det går dock inte att differentiera vilken post man tar emot från en viss avsändare. Om man godkänner en avsändare får man all post som skickas därifrån. Det är i stället upp till avsändaren att avgöra vilken typ av meddelanden som ska skickas i infrastruk- turen och i förlängningen hur Mina meddelanden bör användas. bör ta fram riktlinjer och rekommendationer för vilka meddelanden som är lämpliga eller olämpliga att skicka men det är varje avsändare som ansvarar för sina meddelanden. Utred- ningen anser att det bör föras återkommande diskussioner mellan Mina meddelanden – bedömningar och förslag avsändarna när det gäller vad som ska skickas. Här har alla avsän- dare ett gemensamt intresse i att vara överens eftersom det kan skada förtroendet för och i förlängningen påverka användandet av Mina meddelanden om någon avsändare skickar meddelanden som uppfattas som oönskad. I alla sammanhang där personuppgifter behandlas aktualiseras frågor om personuppgiftsansvar. När det gäller Mina meddelanden har det inte helt och hållet reglerats i förordningen om statliga myndigheters elektroniska informationsutbyte14 hur personuppgiftsansvaret sträck- er sig mellan de inblandade aktörerna. I följande avsnitt beskriver utredningen de problemställningar som har att göra med begreppet personuppgiftsansvar och hur det kan appliceras på Mina meddelan- den. Utredningen föreslår därefter nya regler för personuppgifts- ansvaret i Mina meddelanden. ska den nya dataskyddsförordningen15 som tidi- gare nämnts börja tillämpas i samtliga medlemsstater i EU. Att det är en EU-förordning innebär att reglerna kommer att gälla som lag direkt och på samma sätt i alla EU:s medlemsstater. Förordningen kommer att ersätta EU:s nuvarande dataskyddsdirektiv från 199516 och därmed också nationella regler, såsom den nu gällande svenska personuppgiftslagen (PuL), som bygger på dataskyddsdirektivet. Förordningen innehåller regler om personuppgiftsansvariga och personuppgiftsbiträden. Ett av syftena med dataskyddsreformen har varit att göra det tydligare vilket ansvar och vilka skyldigheter de som behandlar personuppgifter har. 14Förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte. 15Europaparlamentet och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av så- dana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). 16Europaparlamentets och rådets direktiv /46/EG av om skydd för en- skilda personer med avseende på behandling av personuppgifter och om det fria flödet av så- dana uppgifter. Mina meddelanden – bedömningar och förslag Utredningen hänvisar huvudsakligen till dataskyddsförordningen men i texter som behandlar vad som har gällt och vad som gäller i skrivande stund hänvisas ibland till PuL. Dataskyddsförordningen innehåller, precis som dataskydds- direktivet och PuL, regler som ska skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Dataskyddsförordningen kommer, i likhet med PuL, att gälla för helt eller delvis automatiserad behandling av personuppgifter – för verksamhet som bedrivs av såväl myndigheter som enskilda.17 Det finns dock ett antal undantag då dataskyddsförordningen inte gäl- ler, till exempel vid behandling av personuppgifter som en fysisk person utför i en verksamhet av rent privat natur.18 Även om det alltså blir en och samma lag om dataskydd i hela så medger EU-förordningen vissa nationella särregler. Det finns till exempel utrymme för nationella regler för hur myndig- heter får hantera personuppgifter. För enskilda personer innebär dataskyddsförordningen att rättig- heterna kommer att stärkas. Bland annat ställer förordningen strängare krav på att företag och andra organisationer ska informera om hur de hanterar enskildas personuppgifter. För bolag, myndigheter och andra organisationer som samlar in personuppgifter ställer dataskyddsförordningen nya krav. Skulle ett företag bli utsatt för dataintrång, eller på något annat sätt tappa kontroll över personuppgifter som företaget har ansvar för, måste bolaget informera både de personer som uppgifterna gäller och Datainspektionen, om incidenten är allvarlig. En incident är allvar- lig om uppgifterna som läckt ut kan leda till att personer utsätts för diskriminering, id-stölder, bedrägeri eller finansiella förluster.19 Dataskyddsförordningen lägger också stor vikt vid den person- uppgiftsansvariges skyldighet att kunna visa att förordningen följs, vilket kan medföra krav på ökad dokumentation.20 17Dataskyddsförordningen gäller inte för personuppgiftsbehandling inom den brottsbekäm- pande sektorn. Där gäller i stället och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters be- handling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. Direktivet inom den brottsbekämpande sektorn ska vara im- plementerat i nationell rätt . 18Dataskyddsförordningen Artikel 2.2c) och PuL 6 §. 20www.datainspektionen.se/Documents/vagledning-forberedelser-pua.pdf, Artikel 5.2 och 24.1. Mina meddelanden – bedömningar och förslag 6.2.2Vad är personuppgifter? Enligt dataskyddsförordningen är en personuppgift varje upplysning som avser en identifierad eller identifierbar fysisk person. En identi- fierbar fysisk person är en person som direkt eller indirekt kan iden- tifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifi- katorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.21 Alla uppgifter som direkt eller indirekt kan hänföras till en fysisk person som är i livet räknas enligt personuppgiftslagen, PuL, som personuppgifter.22 Foton och ljudupptagningar på individer som be- handlas i dator kan vara personuppgifter även om inga namn nämns. Krypterade uppgifter och olika slags elektroniska identiteter, som exempelvis IP-nummer, räknas som personuppgifter om de kan kopplas till fysiska personer. 6.2.3Vem är personuppgiftsansvarig? Enligt dataskyddsförordningen är personuppgiftsansvarig en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ända- målen och medlen för behandlingen av personuppgifter. Om ända- målen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige, eller de särskilda kriterierna för hur denne ska utses, föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.23 Personuppgiftsansvarig är alltså den som ensam eller tillsam- mans med andra bestämmer ändamål och medel för behandlingen av personuppgifter. Det är normalt den juridiska person (till exem- pel aktiebolag, stiftelse eller förening) eller den myndighet som be- handlar personuppgifter i sin verksamhet och som bestämmer vilka uppgifter som ska behandlas och vad uppgifterna ska användas till. Ett exempel på att även fysiska personer kan vara personuppgifts- 1 dataskyddsförordningen (EU) 2016/679. 22Personuppgiftslagen (1998:204) kommer som tidigare nämnts att upphöra att gälla . 8 dataskyddsförordningen (EU) 2016/679. Mina meddelanden – bedömningar och förslag ansvariga för behandlingar av personuppgifter är enskilda närings- idkare. Företag som drivs på detta sätt är inte en juridisk person och näringsidkaren är därför personligt ansvarig för att person- uppgifter behandlas enligt personuppgiftslagen. Det finns inte någon generell regel eller definition av vem eller vilka som har personuppgiftsansvaret. Det är de faktiska omstän- digheterna i det enskilda fallet som avgör vem som är person- uppgiftsansvarig. Avtal där ansvaret preciseras kan ge vägledning vid bedömningen. Om två eller flera gemensamt bestämmer över en viss behandling är de personuppgiftsansvariga tillsammans. Vem som är personuppgiftsansvarig kan också särskilt anges i lag eller förordning, till exempel i särskilda registerlagar. Den personuppgiftsansvarige ska se till att behandlingen av person- uppgifter är laglig enligt personuppgiftslagen och har till exempel ansvaret för informationssäkerheten och att de registrerade får den information de har rätt till. Personuppgiftsansvaret är straff- och skadeståndssanktionerat. Personuppgiftsbiträde är den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Ett personuppgiftsbiträde finns alltid utanför den personuppgiftsansvariges organisation. Personuppgiftsbiträdet får bara behandla personuppgifterna en- ligt givna instruktioner och riktlinjer från den personuppgifts- ansvarige. Biträdet bestämmer således inte själv för vilka ändamål personuppgifterna ska behandlas. Även om en personuppgiftsansvarig väljer att anlita ett person- uppgiftsbiträde är det alltid den personuppgiftsansvarige som har ansvaret gentemot de registrerade. Personuppgiftsansvaret kan inte överlåtas. De personer vars uppgifter behandlas har alltid rätt att vända sig till den personuppgiftsansvarige och framställa eventuella krav eller klagomål på felaktig behandling av personuppgifter. Mina meddelanden – bedömningar och förslag 6.2.6Fråga om behandling av personnummer Enligt förordningen om statliga myndigheters elektroniska informa- tionsutbyte får myndigheter under regeringen ansluta som avsän- dare i Mina meddelanden. får även kommunala myndig- heter ansluta sig till tjänsten. Myndigheter kan dock ha olika formella begränsningar i register- lagstiftningar som påverkar möjligheten att behandla respektive lämna ut uppgifter i elektronisk form. För varje flöde eller tjänst som en avsändande myndighet vill ansluta till Mina meddelanden måste myndigheten därför göra en bedömning av om det finns stöd för att skicka myndighetsposten elektroniskt.24 Det behöver inte finnas specifikt stöd i registerförfattning men avvägningen bör ändå göras enl. PuL eller dataskyddsförordningen inför varje flöde. Rätt att behandla personnummer Utredningen har uppmärksammat att det för mindre myndigheter kan uppstå frågor i anslutningsprocessen till Mina meddelanden som gäller huruvida myndigheten har rätt att behandla person- nummer och lagra dem. Mina meddelanden bygger på att avsända- ren känner till mottagarens personnummer. Avsändaren får göra en slagning på personnumret i FaR för att se om mottagaren är anslu- ten till Mina meddelanden. Om mottagaren är registrerad i FaR kan meddelandet förmedlas till rätt mottagares digitala brevlåda. Därför måste avsändaren ha tillgång till mottagarens personnummer och dessutom ha rätt att lagra det i sina register. Utredningen har även noterat att det finns myndigheter som inte har så mycket kontakt med privatpersoner och därför inte tidi- gare har lagrat personnummer. Det finns också myndigheter som av olika anledningar valt att registrera andra personuppgifter än just personnummer. Eftersom registrering av personuppgifter föranleder ett ansvar och kan innebära risker för den personuppgiftsansvarige finns det myndigheter som har strävat efter att minimera dessa risker genom att registrera så få personuppgifter som möjligt. 24 Mina meddelanden , Fördjupad juridisk utredning av dubbelriktad kommunikation, s. 26. Mina meddelanden – bedömningar och förslag Utredningen konstaterar att för de myndigheter som inte har egna registerförfattningar gäller personuppgiftslagen, PuL.25 Om en myn- dighet inte har behov av att lagra personnummer så ska den inte heller göra det. Enligt PuL får uppgifter om personnummer utan samtycke från den enskilde behandlas bara när det är klart motiverat med hän- syn till ändamålet med behandlingen, vikten av en säker identifiering, eller något annat beaktansvärt skäl.26 Om en myndighet ska ansluta som avsändare i Mina meddelan- den kan det i sig utgöra ett sådant behov eller skäl som man behöver för att kunna lagra personnummer. Det är avgörande för att försän- delserna ska nå rätt mottagare att avsändaren har rätt att behandla personnummer. Privatpersonen har dessutom, genom att ansluta sig som mottagare i Mina meddelanden, själv valt att personnumret ska kunna behandlas av anslutna myndigheter. Utredningens förslag om att privatpersoner ska ha rätt att få sin myndighetspost digitalt kommer i praktiken att leda till obligato- risk anslutning för myndigheterna som avsändare. Det gör att be- handlingen av personnummer blir ännu tydligare motiverad för de avsändande myndigheterna. Vad kommer att gälla? PuL kommer att upphöra att gälla när den nya dataskyddsförord- ningen träder i kraft . Enligt vad utredningen erfar kom- mer med största sannolikhet de nuvarande reglerna 22 § i PuL att gälla även efter att dataskyddsförordningen implementeras. Det kommer man att se till genom kompletterande nationell lagstift- ning. Detta är man enligt uppgift överens om inom hela och även i den svenska dataskyddsutredningen.27 25Personuppgiftslagen, PuL (1998:204). 2622 § PuL. Mina meddelanden – bedömningar och förslag Personuppgiftsansvariga, personuppgiftsbiträden och privatperso- ner behöver kunna känna sig trygga med behandlingen av person- uppgifter inom ramen för Mina meddelanden. Det förekommer osäkerhet över vad som gäller i detta avseende. Det beror, enligt utredningens mening, på att regeringen har varit otydlig i sin styr- ning och ställt krav på att ska tillhandahålla hela infra- strukturen utan att från början bistå med vare sig regelverk, specifi- cerad kravställning eller finansiering. I avsnittet nedan redovisas en rad synpunkter och invändningar från myndigheter som varit remissinstanser till utredningar som behandlat frågor om digitalisering och integritetsskydd. Dessa syn- punkter visar, enligt utredningens mening, att det efterfrågas ökad tydlighet och det finns ett behov av klargörande i dessa svåra och viktiga frågor. lyfter i sitt delbetänkande Hur står det till med den personliga integriteten? fram betydelsen av att fastställa per- sonuppgiftsansvaret.28 Eftersom personuppgiftsansvaret innefattar ett ansvar att se till att personuppgifter hanteras bara om det är lag- ligt är det viktigt att reda ut vem som i varje skede av en digital transaktion är personuppgiftsansvarig. Detta gäller både i kommu- nikation mellan enskilda och myndigheter och mellan olika myndig- heter. Personuppgiftsansvaret innebär ett ansvar att se till att det finns rättsligt stöd för behandlingen, och även ett ansvar för att informera enskilda om personuppgiftsbehandlingen. Personuppgiftsansvaret innebär vidare att vidta lämpliga säkerhetsåtgärder för att skydda per- sonuppgifterna mot ändringar, otillåten spridning av eller otillåten tillgång till personuppgifterna och mot varje annat slag av otillåten behandling. 28 SOU 2016:42, Hur står det till med den personliga integriteten? En kartläggning av , delbetänkande av . Mina meddelanden – bedömningar och förslag pekade bl.a. på Mina meddelanden och som exempel på system som gör det svårt för den enskilde användaren eller mottagaren att förstå vem hen kom- municerar med och var personuppgifterna till slut hamnar. I sådana system kan det bli otydligt vem som har personuppgiftsansvaret.30 I remissvar till delbetänkande har flera instanser instämt i och även vidareutvecklat synpunkterna. För att digitaliseringens potential inom såväl privat som offentlig sektor ska kunna utnyttjas fullt ut krävs det, som utredningen själv uppmärk- sammat, att den personliga integriteten hanteras på ett sådant sätt att den enskilde känner tillit till och är villig att använda de tjänster som erbjuds.31 Även Justitiekanslern instämmer i sitt remissvar: Justitiekanslern instämmer i kommitténs bedömning att digitaliseringen medför risker från ett integritetsperspektiv. Som kommittén påpekar innebär teknikutvecklingen stora fördelar. Det är knappast möjligt, och inte heller önskvärt, att stoppa den tekniska utvecklingen och samhällets arbete måste därför rikta in sig på att hantera riskerna och att värna den personliga integriteten i det nya landskapet. I det sammanhanget kan det glädjande nog konstateras att integritetsfrågorna generellt sett är föremål för betydande uppmärksamhet och diskussion. Det finns ett stort engagemang i den allmänna debatten och såväl reger- ingen som myndigheterna arbetar aktivt med frågorna. Detta återspeglas bl.a. i det stora antal offentliga utredningar som har genomförts på om- rådet. När det gäller dataskydd pågår det vidare ett intensivt arbete på EU-nivå. På ett övergripande plan kan integritetsfrågorna därför inte sägas vara försummade, även om det givetvis krävs ett kontinuerligt arbete för att värna den personliga integriteten.32 29www.verksamt.se är en webbplats där , och tillsam- mans tillhandahåller e-tjänster och information till personer som vill starta företag. 30SOU 2016:41 s. 299 ff. 31E-legitimationsnämndens remissvar på delbetänkandet Hur står det till med den personliga integ- riteten? (SOU 2016:41) – En kartläggning av , Dnr 1 31 320291-16/9512, s. 1. 32Justitiekanslerns remissyttrande på delbetänkandet Hur står det till med den personliga integ- riteten? (SOU 2016:41), Dnr 4260-16-80, s. 1 f. Mina meddelanden – bedömningar och förslag Myndigheten för samhällsskydd och beredskap (MSB) instämmer: Kartläggningen belyser risker för den personliga integriteten som finns med de stora informationsmängder som samlas in och förvaltas av offentliga myndigheter i form av att det sker en ökad insamling, sprid- ning och användning av information. Betänkandet pekar också på ris- ken med att fler uppgifter än vad som behövs för att lösa den aktuella uppgiften samlas in vilka kan komma att användas för andra syften än vad de primärt samlades in för. MSB delar utredningens beskrivning och vill i sammanhanget peka på den ökade komplexiteten i it-infrastruktur där allt fler system sam- man_kopplas. Det kan medföra ytterligare sårbarheter i form av bero- enden och oklara ansvarsförhållanden som kan försvåra uppföljning och kontroll av att adekvata säkerhetsåtgärder har vidtagits.33 digital post från myndigheter som förstahandsval Som nämnts tidigare föreslog i sitt be- tänkande Digitaliseringens transformerande kraft – vägval för framtiden att regeringen bör främja en utfasning av tradi- tionell posthantering från de statliga myndigheterna och ge samtliga individer och företag tillgång till en digital postlåda för att hantera post från myndigheterna. framhöll kommissionen att vissa juridiska frågeställningar bör klargöras innan förslaget genomförs. Exempelvis nämndes frågor om hantering av personuppgifter.34 Även här har remissinstanser utvecklat resonemangen vidare när det gäller hantering av personuppgifter. Datainspektionen skriver följande: Blir utredningens förslag verklighet rör det sig om en komplex hanter- ing av potentiellt känslig information om många registrerade, precis som i dagens Mina meddelanden. Med hänsyn till det anser Data- inspektionen att det i det kommande arbetet med förslaget måste ut- redas, mot bakgrund av såväl dataskyddsförordningen som 2 kap. 6 § andra stycket regeringsformen, om förslaget kräver kompletterande nationell lagreglering.35 33MSB:s remissvar på delbetänkandet Hur står det till med den personliga integriteten? SOU 2016:41, Dnr 2016-4132, s. 2. 34SOU 2015:91 s. 154 ff. 35Datainspektionens remissyttrande av slutbetänkandet Digitaliseringens transformerande kraft – vägval för framtiden (SOU 2015:91), Dnr 376-2016, s. 6. Mina meddelanden – bedömningar och förslag MSB utvecklar angående datasäkerhet och skydd av personuppgifter: När det gäller det aktuella förslaget beskriver kommissionen ett antal utmaningar, men MSB saknar i detta sammanhang ett systematiskt risk- och sårbarhetsperspektiv. I fråga om exempelvis redundans och övergången till en digital brevlåda behöver denna fråga utredas och förtydligas. Vad händer om individer och företag som har valt en digi- tal brevlåda, på grund av en störning inte skulle ha åtkomst till inter- net? Också ur ett totalförsvarsperspektiv är det viktigt att frågan kring redundans och hantering av myndigheters informationsspridning i störda miljöer och vid infrastrukturbrott utreds och förtydligas, efter- som det kan påverka det civila försvaret.36 () instämmer: PTS anser att det i betänkandet är oklart vad som i sammanhanget menas med en ”säker” plattform och anser att det är viktigt att önskemål om digitalisering går hand i hand med ökad medvetenhet om de risker som digitaliseringen kan innebära, samt att de som ska använda de nya tjänster som utvecklas får tillförlitlig information om såväl fördelar som even- tuella nackdelar. Risker som digitalisering kan medföra och som använ- darna behöver uppmärksammas på är bl.a. risken för att avbrott medför att tjänsten inte är tillgänglig när den behövs och risken att integritets- känslig information sprids till obehöriga.37 6.2.10Pågående utredningar med anledning av EU:s dataskyddsreform Även om dataskyddsförordningen ska gälla direkt som lag i finns, som nämnts tidigare, möjligheter för varje land att bestämma närmare regler för myndigheternas personuppgiftsbehandling. I vil- ken mån de särskilda svenska regler som gäller för olika myn- digheter kan behållas eller behöver anpassas kommer att behöva utredas vidare innan förordningen börjar gälla. En särskild utredning, , har fått i upp- drag att se över vilka kompletterande bestämmelser som behövs på generell nivå till följd av dataskyddsförordningen. Dataskydds- utredningen ska även överväga vilka kompletterande bestämmelser om t.ex. behandling av känsliga personuppgifter och personnum- 36MSB:s remissvar på delbetänkandet SOU 2015:91 Digitaliseringens transformerande kraft – vägval för framtiden, Dnr 2016-1179, s. 2. 37PTS Yttrande, synpunkter på delbetänkandet SOU2015:91, Digitaliseringens transformer- ande kraft – vägval för framtiden, Dnr 16-1599, s. 10. Mina meddelanden – bedömningar och förslag mer som bör införas i den svenska generella regleringen och under- söka om det finns behov av generella bestämmelser för person- uppgiftsbehandling utanför tillämpningsområde. Upp- draget ska redovisas senast den 12 maj 2017.38 Dataskyddsförordningen omfattar inte behandling av person- uppgifter i myndigheters brottsförebyggande och brottsutredande verksamhet. Det som i stället ska gälla på det området är Europapar- lamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndig- heters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga på- följder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. En särskild utredare har fått i uppdrag att föreslå hur direktivet ska genomföras i svensk rätt.39