sou · H5B329 · 2017-04-05 00:00:00 — Om registret ska fylla sitt syfte bör i prin- cip alla överföringar som görs till tredjeland eller internationella organisationer dokumenteras. Av de skäl som anges i avsnitt 15.10 är det tillräckligt att förteckna de samlingar av överföringar som har gjorts till tredjeland eller internationella organisationer. Om det är möjligt bör registret även innehålla uppgift om hur länge personuppgiftskategorierna får behandlas och en allmän be- skrivning av de säkerhetsåtgärder som har vidtagits. En annan uppgift som kan vara lämplig att ange i registret, men som inte anges i direktivet, är vilka kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas. Det registreras av flera behöriga myndigheter och underlättar både den in- terna och externa kontrollen. Utredningen anser därför att även den uppgiften bör framgå av registret. föreslås på begäran få upplysningar om och dokumentation av behandling av personuppgifter från den per- sonuppgiftsansvarige (se avsnitt 12.7.3). Det register över behand- lingar som den personuppgiftsansvarige ska föra utgör sådan doku- mentation. Någon särskild bestämmelse om att registret ska göras tillgänglig för tillsynsmyndigheten behövs därför inte. Utredningens förslag: Att den personuppgiftsansvarige ska ha interna rutiner för anmälan av överträdelser av bestämmelserna om behandling av personuppgifter ska regleras i förordning. Skälen för utredningens förslag: Enligt artikel 48 ska behöriga myndigheter inrätta effektiva mekanismer för att uppmuntra kon- fidentiell rapportering av överträdelser av bestämmelserna som genomför direktivet. Någon motsvarande reglering finns inte . Med hänsyn till att bestämmelsen har placerats i avsnittet om tillsyn, som den riktar sig till de behöriga myndigheterna, tar den enligt utredningens mening sikte på intern kontroll. Utred- ningen uppfattar bestämmelsen som ett krav på att behöriga myn- digheter ska ha en särskild ordning för intern anmälan av överträ- delser av bestämmelser om personuppgiftsbehandling. Avsikten bör vara att den personuppgiftsansvarige ska uppmärksammas på behandlingar som bör leda till åtgärder för att viss behandling ska bli författningsenlig eller för att den personuppgiftsansvarige ska uppfylla andra skyldigheter. Det kan t.ex. krävas begränsning av tillgången eller tekniska åtgärder för att säkerställa säkerheten. De behöriga myndigheterna bör därför ha en intern ordning för att anmäla överträdelser, vilket kan regleras i förordning. Som utvecklas i avsnitt 10.5.3 ingår det i dataskyddsombudens arbetsuppgifter att övervaka efterlevnaden av tillämpliga data- skyddsbestämmelser. I det ingår att genomföra de granskningar som behövs för myndighetens interna kontroll. Det är därför naturligt att låta dataskyddsombuden ta emot interna anmälningar om överträdelser och avgöra om de bör bli föremål för kontroll. Dataskyddsombud har som regel tillgång till de flesta behandlings- system och personuppgifter. Ombuden bör också ha den kunskap som krävs för att utreda en eventuell överträdelse och kunna be- döma vad en anmälan bör leda till. Det kan t.ex. vara en rekommen- dation till den personuppgiftsansvarige att vidta åtgärder eller att dataskyddsombudet själv anmäler överträdelsen till tillsynsmyndig- heten, om den negligeras av den personuppgiftsansvarige. Det kan inte uteslutas att anställda i vissa fall avhåller sig från att anmäla iakttagelser om överträdelser på grund av rädsla för repres- salier från kollegor, chefer eller arbetsgivaren. Kravet på konfiden- tiell rapportering innebär enligt utredningens mening att den in- terna ordningen ska skydda anmälaren. Till skillnad från vad som kan vara fallet vid anmälningar om allvarliga missförhållanden av annat slag i verksamheten, bör det underlag som krävs för utred- ningen av överträdelsen i princip finnas i behandlingssystemen. En anmälan torde därför kunna göras anonymt utan att det äventyrar möjligheterna att utreda frågan. Direktivet ställer inte upp några krav på hur anmälan ska göras. Ordningen kan därmed bestå av allt från en enkel brevlåde- funktion till ett avancerat systemstöd. Enligt utredningens mening bör det överlämnas till de behöriga myndigheterna att bestämma hur anmälan om överträdelser av bestämmelser om personupp- giftsbehandling bör göras. Det måste dock säkerställas att anmälan kan göras på ett sådant sätt att anmälarens identitet inte avslöjas. Utredningens förslag: Den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otill- låten behandling och mot förlust, förstöring eller annan oavsikt- lig skada. Vilka omständigheter som ska beaktas för att uppnå en lämplig skyddsnivå ska regleras i förordning. Skälen för utredningens förslag Enligt artikel 29.1 ska den personuppgiftsansvarige och personupp- giftsbiträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, i synnerhet när det gäller känsliga personuppgifter. Åtgär- derna ska vara lämpliga med beaktande av den senaste utvecklingen och genomförandekostnader och med hänsyn till behandlingens art, omfattning, sammanhang och ändamål och riskerna för fysiska personers rättigheter och friheter. I artikel 29.2 ställs mer konkreta krav på vilka typer av åtgärder som ska vidtas för att förhindra att uppgifterna hamnar i orätta händer och säkerställa att det går att kontrollera viss behandling och att de system som används funge- rar tillfredsställande. Artikel 29 kompletterar det grundläggande kravet på säkerhet i artikel 4.1 f. Där framgår att personuppgifter, med användning av lämpliga tekniska eller organisatoriska åtgärder, ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse. Säkerhetsåtgärder regleras i artikel 17.1 i det nu gällande data- skyddsdirektivet. Den bestämmelsen motsvarar i stort innehållet i artikel 29.1 i det nya direktivet, men det ställs inte lika konkreta krav som i artikel 29.2. Artikel 17.1 i det nu gällande direktivet har genomförts i 31 § första stycket personuppgiftslagen. Där föreskrivs att den person- uppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas och att åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur känsliga de behandlade personuppgifterna är. Vidare föreskrivs i 32 § personuppgiftslagen att tillsynsmyndigheten i enskilda fall får besluta om säkerhetsåt- gärder enligt 31 §. Datainspektionen ges i 16 § personuppgiftsförordningen möj- lighet att meddela föreskrifter om bl.a. säkerhetsåtgärder. Inspek- tionen har dock inte meddelat några sådana föreskrifter utan har i stället valt att ge närmare vägledning genom allmänna råd. Myndigheternas registerförfattningar hänvisar antingen till per- sonuppgiftslagens bestämmelser (t.ex. 2 kap. 2 § första stycket 7 polisdatalagen) eller saknar sådana bestämmelser, varvid person- uppgiftslagens bestämmelser ändå är tillämpliga (t.ex. 2 § lagen [2001:617] om behandling av personuppgifter inom kriminalvår- den). I några registerförfattningar finns det dock bestämmelser som preciserar de allmänna kraven i personuppgiftslagen. Bestämmelser om informationssäkerhet finns även i andra för- fattningar, t.ex. i arkivlagen (1990:782) och säkerhetsskyddslagen (1996:627) med tillhörande förordningar och i föreskrifter medde- lade av Myndigheten för samhällsskydd och beredskap (exempelvis MSBFS 2016:1 Föreskrifter och allmänna råd om statliga myndig- heters informationssäkerhet). Bara en bestämmelse om skyddsåtgärder Det bör tas in en bestämmelse om skyddet för personuppgifter i ramlagen. Frågan är inledningsvis hur man ska se på förhållandet mellan artikel 4.1 f och artikel 29 i direktivet. Artikel 4.1 f slår fast en grundläggande princip för all behand- ling av personuppgifter och riktar sig till personuppgiftsansvariga. Bestämmelserna i artikel 29 är mer konkreta och riktar sig även till personuppgiftsbiträden. Enligt utredningens bedömning reglerar emellertid artiklarna 4.1 f och 29 samma sak. Båda föreskriver skyl- dighet att säkerställa lämplig säkerhet för personuppgifter med hjälp av tekniska och organisatoriska åtgärder. I artikel 29 utvecklas hur det ska uppnås och vilka åtgärder som ska vidtas. Utredningen anser därför att artikel 29 ska ses som en precisering av den grund- läggande princip som anges i artikel 4.1 f. Det behövs därmed inte två olika bestämmelser om skyddsåtgärder i ramlagen. Artikel 29.1 motsvarar i princip 31 § första stycket personuppgifts- lagen. Frågan är om artikel 29.2, som anger mer konkreta åtgärder, kräver några särskilda lagstiftningsåtgärder. Dataskyddsrambeslutet innehåller en likadan uppräkning av åtgärder. Vid genomförandet av rambeslutet ansåg regeringen att personuppgiftslagens bestäm- melser, även om de var mer generellt utformade, motsvarade ram- beslutets bestämmelser om säkerhet och att dess mer preciserade bestämmelser därför inte krävde några lagändringar (Godkännande av dataskyddsrambeslutet, prop. 2008/09:16, s. 52). Samma bedöm- ning gjordes när genomfördes i svensk rätt (Polissamarbete m.m. med anledning av anslutning till Schengen, prop. 1999/2000:64, s. 148). Även vid genomförandet av motsvarande bestämmelser om säkerhet i det rådsbeslut som ersatte konventionens bestämmelser om Schengens informations- system gjorde regeringen bedömningen att det inte krävdes några författningsändringar (SIS II – en andra generation av Schengens informationssystem, prop. 2009/10:86, s. 25). Utredningen anser att samma bedömning bör göras i fråga om artikel 29.2. En generellt utformad regel om grundläggande krav på åtgärder likt 31 § första stycket personuppgiftslagen får således anses vara tillräcklig för att uppfylla kraven i direktivet. Särskilt mot bakgrund av att det finns mer detaljerade bestämmelser om informationssäkerhet i andra författningar som de behöriga myn- digheterna tillämpar är en generell reglering bättre. Det är inte hel- ler lämpligt att i ramlagen i detalj räkna upp alla de typer av skydds- åtgärder som den personuppgiftsansvarige bör vidta. Den tekniska utvecklingen och förändringar i samhället medför krav på stor flexibilitet i sådana frågor. Det är därför varken lämpligt eller möj- ligt att på ett ändamålsenligt och långsiktigt sätt författningsreglera frågor av det slaget. Det kan dock enligt utredningens mening finnas skäl att förtydliga vad åtgärderna generellt ska åstadkomma, dvs. vilka risker personuppgifterna ska skyddas mot. Det bör fram- gå att åtgärder ska vidtas för att skydda personuppgifterna, särskilt mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom oavsiktliga händelser. Härigenom kommer också de mer preciserade åtgärderna i artikel 29.2 tydligare till uttryck. Punkterna a–h behandlar olika sätt att skydda personuppgifter mot obehörig eller otillåten behandling. Punkterna i och j behandlar åt- gärder för att förhindra förlust, förstöring eller skada bl.a. genom olyckshändelse. I avsnitt 10.2.2 och 10.2.3 föreslår utredningen också att ramlagen ska innehålla bestämmelser om loggning och be- gränsning av tillgången till personuppgifter. Även de bestämmel- serna kan ses som förtydliganden av de åtgärder som anges i arti- kel 29.2. Vilka omständigheter som bör beaktas för att uppnå en lämplig skyddsnivå kan regleras i förordning. Utöver de omständigheter som anges i 31 § personuppgiftslagen bör behandlingens art, om- fattning, sammanhang och ändamål beaktas. Särskild hänsyn bör tas till i vilken utsträckning känsliga personuppgifter behandlas och hur integritetskänsliga övriga personuppgifter som behandlas är. Om det uppstår behov av att ytterligare precisera vilka åtgärder som den personuppgiftsansvarige bör vidta kan det göras genom föreskrifter i förordning eller på myndighetsnivå. Riktlinjer kan också lämnas genom allmänna råd. Personuppgiftsbiträdenas skyldigheter tas upp i avsnitt 10.6.5. 10.4.1Vad är en personuppgiftsincident? Utredningens förslag: Personuppgiftsincident ska i ramlagen definieras som en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller obehörigt röjande av eller obehörig åtkomst till personuppgifter. Skälen för utredningens förslag: En personuppgiftsincident är enligt artikel 3.11 en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Personuppgiftsincident är ett nytt begrepp när det gäller dataskydd. På informationssäkerhets- området är ordet incident emellertid etablerat. Med en incident avses att något allvarligt och oplanerat har inträffat (Bättre regler för elektroniska kommunikationer, prop. 2010/11:115, s. 131). En personuppgiftsincident motsvarar till viss del vad som i dag- ligt tal brukar kallas dataintrång. Med personuppgiftsincident avses dock inte bara ett sådant avsiktligt intrång, utan även olyckshändel- ser och andra oavsiktliga händelser som får oönskade effekter, t.ex. brand. I 20 § förordningen (2015:1052) om krisberedskap och be- vakningsansvariga myndigheters åtgärder vid höjd beredskap och i 10 a § säkerhetsskyddsförordningen (1996:633) används uttrycket it-incident för att beskriva i princip samma sak. Eftersom person- uppgiftsincident används i dataskyddsförordningen bör det ordet användas i ramlagen. Ordet tydliggör att det rör sig om en händelse som får oönskade effekter för skyddet av personuppgifter. En incident kan inträffa genom yttre påverkan, men kan också bero på interna brister eller otillåtet handlande av någon inom orga- nisationen. Det som är väsentligt för definitionen av personupp- giftsincident är inte hur händelsen uppkommit eller vem som åstadkommit den utan effekten av den. I direktivet används ordet olaglig. Enligt utredningens mening skulle det kanske vara lämpligare att använda ordet olovlig, efter- som det även kan täcka åtgärder som en i och för sig behörig per- son vidtar t.ex. för att skada arbetsgivaren. På grund av att både direktivet och dataskyddsförordningen innehåller regler om per- sonuppgiftsincidenter och definierar dem på samma sätt bör dock ordet olaglig användas i ramlagen. Personuppgiftsincident bör såle- des definieras som en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller obehörigt röjande av eller obehörig åtkomst till personuppgifter. Utredningens förslag: Den personuppgiftsansvarige ska anmäla en personuppgiftsincident till tillsynsmyn- digheten, utom i de fall där incidenten rör nationell säkerhet. Någon anmälan behöver inte göras om det kan antas att inci- denten inte har medfört eller kommer att medföra någon risk för otillbörligt intrång i registrerades personliga integritet. Anmälningsförfarandet och vad anmälan ska innehålla ska regleras i förordning. Skälen för utredningens förslag Enligt artikel 30.1 ska den personuppgiftsansvarige vid en person- uppgiftsincident, utan onödigt dröjsmål och om möjligt , anmäla incidenten till tillsynsmyndigheten. Någon an- mälan behöver emellertid inte göras om det är osannolikt att inci- denten medför risk för fysiska personers rättigheter och friheter. I artikel 30.3 anges vad en anmälan till tillsynsmyndigheten ska innehålla. En anmälan ska bl.a. beskriva personuppgiftsincidentens art, de sannolika konsekvenserna av incidenten och vilka åtgärder som har vidtagits för att åtgärda den. Om det inte är möjligt att tillhandahålla all information får den enligt artikel 30.4 tillhandahållas i omgångar. Det finns inga bestämmelser om personuppgiftsincidenter i per- sonuppgiftslagen eller myndigheternas registerförfattningar. Inci- denter behandlas inte heller i Datainspektionens allmänna råd om säkerhet. Däremot ska incidenter i it-system rapporteras av andra skäl. I 20 § första stycket förordningen om krisberedskap och be- vakningsansvariga myndigheters åtgärder vid höjd beredskap före- skrivs att en myndighet skyndsamt ska rapportera it-incidenter som inträffat i myndighetens it-system till Myndigheten för sam- hällsskydd och beredskap. Det gäller om incidenten allvarligt kan påverka säkerheten i den informationshantering som myndigheten ansvarar för eller i tjänster som myndigheten tillhandahåller åt en annan organisation. En myndighet som tillhandahåller it-tjänster åt en annan organisation ska informera och vid behov samråda med den eller de uppdragsgivare som berörs av incidenten. Rapporteringsskyldigheten omfattar inte it-incidenter som en- ligt 10 a § säkerhetsskyddsförordningen ska rapporteras till Säker- hetspolisen eller Försvarsmakten. Exempel på sådana incidenter är incidenter i informationssystem där hemliga uppgifter som gäller säkerhet behandlas eller i it-system som särskilt behöver skyddas mot terrorism. Säkerhetskyddsförordningen gäller för myndigheter, kommuner och landsting och för vissa bolag, före- ningar, stiftelser och enskilda. Anmälningsskyldigheten bör regleras i ramlagen Som framgått är myndigheter skyldiga att rapportera it-incidenter, men den rapporteringen görs till andra myndigheter än tillsyns- myndigheten och har ett annat syfte. Regleringen i artikel 30 tar sikte på skyddet för de personuppgifter som påverkas av incidenten och konsekvenserna för registrerade. En personuppgiftsincident som inte snabbt åtgärdas kan leda till att registrerade drabbas av såväl ekonomisk skada som personlig kränkning. I skäl 61 nämns som exempel på skador som kan uppkomma vid en personupp- giftsincident bl.a. identitetsstöld och identitetsbedrägeri, diskrimi- nering, skadat anseende och röjande av personuppgifter som är sekretesskyddade. I ramlagen bör det föreskrivas att den personuppgiftsansvarige ska anmäla personuppgiftsincidenter till tillsynsmyn- digheten. Undantaget från anmälningsskyldighet vid incidenter som inte medfört risk för registrerade bör också framgå. Någon an- mälan behöver t.ex. inte göras om incidenten påverkat få person- uppgifter som inte är av känslig art eller om skyddet för person- uppgifterna påverkats att obehörig åtkomst inte varit möjlig. Av skäl 61 framgår att det är den personuppgiftsan- svarige som ska visa att risken för otillbörligt intrång varit låg. En personuppgiftsincident uppfyller kriterierna för en it-inci- dent. Det innebär att de flesta behöriga myndigheter kommer att behöva anmäla sådana incidenter enligt två olika förfaranden och till olika myndigheter. It-incidenter som kan antas påverka säker- heten för hemliga uppgifter som rör säkerhet ska dock en- bart anmälas enligt säkerhetsskyddsförordningen. Behovet av att skydda sådan information anses vara så viktigt att endast den myn- dighet som utövar tillsyn över säkerhetsskyddet ska få ta del av den. Även om den rapporteringen har ett annat syfte än rapporte- ringen av personuppgiftsincidenter, anser utredningen att behovet av skydd för uppgifter som rör säkerhet väger tyngre än behovet av att skydda enskilda från eventuella intrång i den person- liga integriteten. Eftersom nationell säkerhet ligger utanför direkti- vets tillämpningsområde anser utredningen att sådana personupp- giftsincidenter som ska anmälas enligt 10 a § säkerhetsskyddsför- ordningen inte bör anmälas till tillsynsmyndigheten. Det är viktigt att de som tillämpar ramlagen är medvetna om att anmälan kan behöva göras till två olika myndigheter och att det skapas interna rutiner som möjliggör och underlättar sådana dubbla anmälningsförfaranden. För att tydliggöra det och säkerställa att en inträffad incident även anmäls till tillsynsmyndigheten enligt ram- lagen kan det vara lämpligt att upplysa om den nu föreslagna reg- leringen i förordningen om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap. Vad ska anmälan innehålla? Det bör regleras vad en anmälan till tillsynsmyndigheten ska inne- hålla, men det kan göras i förordning. En anmälan av en personupp- giftsincident ska enligt artikel 30.3 beskriva personuppgiftsinciden- tens art, dvs. vad det är som har inträffat. Om det är möjligt bör det också anges vilka kategorier av och ungefärligt antal registre- rade och personuppgiftsposter som berörs. Beroende på vad som har inträffat kan det ibland vara svårt att överblicka hur många per- sonuppgifter som berörs av incidenten och hur många registrerade som kan ha drabbats. Den personuppgiftsansvarige bör dock åt- minstone redovisa en ungefärlig uppskattning. Dessutom bör an- mälan innehålla en beskrivning av de sannolika konsekvenserna av personuppgiftsincidenten och vilka åtgärder som har vidtagits eller föreslagits för att åtgärda incidenten. En preliminär bedömning av konsekvenserna av incidenten bör göras av den personuppgiftsan- svarige. Beskrivningen av vilka åtgärder som vidtagits bör även om- fatta åtgärder för att mildra personuppgiftsincidentens negativa effekter. Anmälan bör också innehålla namnet på och kontaktupp- gifter till dataskyddsombud eller annan kontaktpunkt hos den per- sonuppgiftsansvarige. Även om det inte anges i direktivet bör enligt utredningens mening tidpunkten för den aktuella incidenten uppges, eftersom den kan ha betydelse för bedömningen av den. Tillsynsmyndighe- ten bör även informeras om huruvida de registrerade har underrät- tats eller kommer att underrättas om det inträffade. Det ger till- synsmyndigheten möjlighet att bedöma hur incidenten hanteras i förhållande till dem. En anmälan till tillsynsmyndigheten bör göras så snabbt som möj- ligt och senast , vilket bör framgå av ramlagen. Anmälningsförfarandet kan i övrigt regleras i förordning. Om anmälan görs senare än efter det att den personupp- giftsansvarige fick kännedom om personuppgiftsincidenten, bör anmälan innehålla en förklaring till förseningen. anmälan bör enligt utredningens mening komma ifråga endast i särskilda fall där krävs för att överblicka personuppgiftsincidenten och dess konsekvenser. Informationen bör få lämnas i omgångar om det inte är möjligt att lämna all information . Det bör således inte fördröja anmälan. Om en anmälan av en personuppgiftsincident innebär att sek- retessbelagda uppgifter behöver lämnas till tillsynsmyndigheten måste sekretessen kunna brytas. En bestämmelse som föreskriver att personuppgiftsansvariga ska anmäla en personuppgiftsincident till tillsynsmyndigheten innebär en sådan uppgiftsskyldighet som avses i 10 kap. 28 § offentlighets- och sekretesslagen (2009:400). Sekretess hindrar då inte att uppgifterna lämnas. I 11 kap. 1 § offentlighets- och sekretesslagen regleras över- föring av sekretess vid tillsyn. Där anges att om en myndighet i verksamhet som avser tillsyn, får en sekretessreglerad uppgift från en annan myndighet, blir sekretessbestämmelsen tillämplig på upp- giften även hos den mottagande myndigheten. Vid anmälan av en personuppgiftsincident överförs således eventuell sekretess som gäller för uppgiften till tillsynsmyndigheten. 10.4.3Underrättelse till den registrerade Utredningens förslag: Om en personuppgiftsincident kan antas medföra särskild risk för otillbörligt intrång i registrerades personliga integritet, ska den personuppgiftsansvarige utan onö- digt dröjsmål underrätta den registrerade om incidenten. Under- rättelseskyldigheten gäller inte om den personuppgiftsansvarige har vidtagit vissa skyddsåtgärder eller om den skulle kräva opro- portionerligt stora ansträngningar. Den registrerade behöver inte heller underrättas om incidenten om det gäller sekretess eller tystnadsplikt för uppgifterna. Vilken information en underrättelse ska innehålla ska regle- ras i förordning.