sou · H5B357 · 2017-06-22 00:00:00 — Av Datain- spektionens allmänna råd om säkerhet för personuppgifter framgår att det, beroende på känsligheten hos personuppgifterna, bör finnas en behandlingshistorik (logg) som sparas så att åtkomsten till uppgifterna kan kontrolleras. Enligt Datainspektionen bör en behandlingshistorik normalt vara så detaljerad att den kan användas för att utreda felaktig eller obehörig användning av personuppgif- ter. Historiken bör, beroende på hur känsliga personuppgifterna är, ange t.ex. läsning, ändring, utplåning eller kopiering av personupp- gifter (Säkerhet för personuppgifter, Datainspektionens allmänna råd, , s. 22). Bestämmelser om loggning kan även finnas i myndighetsföreskrifter. Det nya dataskyddsdirektivet innehåller skyldigheter för person- uppgiftsansvariga att föra såväl register över viss personuppgiftsbe- handling som loggar. Skyldigheten för de personuppgiftsansvariga att föra ett register över behandlingar föreslås av Utredningen om 2016 års dataskyddsdirektiv genomföras i brottsdataförordningen. I 3 kap. 3 § BDF anges att den personuppgiftsansvarige ska för- teckna kategorier av behandlingar av personuppgifter som denne ansvarar för. Registret ska, förutom namnet på och kontaktupp- gifter till den personuppgiftsansvarige, gemensamt personuppgifts- ansvariga och dataskyddsombud, för varje kategori av behandling innehålla följande uppgifter. 1.Den rättsliga grunden för behandlingen. 2.Ändamålen med behandlingen. 3.Kategorier av tjänstemän som har tillgång till de personuppgif- ter som behandlas. 4.Kategorier av mottagare till vilka uppgifterna kan komma att lämnas ut, även i tredjeland eller internationella organisationer. 5.Kategorier av registrerade som berörs av behandlingen. 6.Kategorier av personuppgifter som kan komma att behandlas. 7.Samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer. 8.Användning av profilering. 9.Om det är möjligt, tidsfrister för hur länge kategorierna av per- sonuppgifter får behandlas. 10.Om det är möjligt, en allmän beskrivning av vilka säkerhets- åtgärder som har vidtagits. En bestämmelse om loggning föreslås i 3 kap. 5 § BDL. Enligt be- stämmelsen ska den personuppgiftsansvarige säkerställa att det i automatiserade behandlingssystem förs loggar över personuppgifts- behandling i den utsträckning det är särskilt föreskrivet. I 3 kap. 4 § BDF anges närmare vilka behandlingar som avses. Enligt bestäm- melsen ska, i automatiserade behandlingssystem, behandlingar som innebär insamling, ändring, läsning, utlämning, överföring till tredje- land eller internationella organisationer, sammanföring och radering av personuppgifter loggas. Loggarna över läsning och utlämning ska visa datum och tidpunkt för behandlingen och, så långt möjligt, vem som har läst eller lämnat ut personuppgifterna och vem som har fått ta del av personuppgifterna. I det nya dataskyddsdirektivet anges att loggarna över läsning och utlämning även ska göra det möjligt att fastställa motiveringen för behandlingen (i den engelska versionen justification, i den danska fastlägga begrundelsen). Enligt Utredningen om 2016 års dataskydds- direktiv kan inte skälen till att någon i ett visst fall tar del av eller lämnar ut en viss personuppgift fastställas automatiskt genom logg- ning. Någon sådan skyldighet att logga motiveringen till varför personuppgifter behandlas har därför inte förts in i förordningen (se SOU 2017:29 s. 308 f.). Bestämmelserna om loggning i 3 kap. 5 § BDL och 3 kap. 4 § BDF föreslås inte behöva tillämpas på automatiserade behandlings- system som inrättats före förrän . ska på begäran få upplysningar om och dokumentation av behandling av personuppgifter och säkerhets- och skyddsåtgärder från den personuppgiftsansvarige (5 kap. 5 § BDL). 19.3.4Våra överväganden och förslag Vårt förslag: Skyldigheten för att bevara viss dokumentation och att föra logg över vissa typer av behand- lingar vid enheten för passagerarinformation ska regleras i för- ordning. Enligt brottsdatalagen ska den personuppgiftsansvarige, i vårt fall , föra ett register över alla kategorier av verksam- heter som den ansvarar för. Den information som ska bevaras i detta register är i många fall begränsat till kategorier av uppgifter. Enligt PNR-direktivet ska mer detaljerade uppgifter bevaras än de som anges i brottsdatalagen. Dessutom ska dokumentation bevaras om vissa faktiska enskilda behandlingar. En särskild bestämmelse om bevarande av dokumentation behöver därför föras in i vår reglering. Enligt PNR-direktivet ska dokumentation bevaras om alla system och förfaranden för uppgiftsbehandling inom enheten för passa- gerarinformations ansvarsområde (i den engelska versionen docu- mentation relating to all processing systems and procedures). Med dokumentation om alla system avses enligt vår tolkning såväl uppgifter om det system för behandling av PNR-uppgifter som ska byggas upp inom enheten, som uppgifter om vilka olika register eller andra uppgiftssamlingar som används vid de förhandsbedöm- ningar som görs av PNR-uppgifterna. Med förfaranden avses enligt vår mening de på förhand fastställda kriterier som också får använ- das vid förhandsbedömningar av passagerare. Det bör av bestäm- melsen framgå att dokumentation om behandlingen av PNR- uppgifter samt uppgifter om vilka register eller andra uppgifts- samlingar och på förhand fastställda kriterier som används inom enheten ska bevaras. Detta torde vara viktig information för att det i efterhand ska kunna göras bedömningar av om faktiskt utförda sökningar, analyser och annan behandling har skett lagenligt, exem- pelvis med användande av databaser som varit relevanta på det sätt som krävs enligt artikel 6.3 a eller med sökkriterier som utformats i enlighet med artikel 6.4. Bestämmelsen bör också ange att namn och kontaktuppgifter till enheten och dess personal samt personalens olika nivåer av åt- komstbehörighet ska dokumenteras. Vidare bör det av bestämmel- sen framgå att varje begäran från en behörig myndighet, eller en enhet för passagerarinformation i en annan medlemsstat, samt varje begäran om och överföring av PNR-uppgifter till ett tredjeland ska dokumenteras. Med en behörig myndighet torde enligt direktivet menas även sådana myndigheter som utsetts som behöriga i andra medlemsstater. Ett förtydligande i den frågan bör föras in i författ- ningen. Det anges inte i PNR-direktivet hur länge informationen ska bevaras. Vi ser för vår del ingen anledning att från dataskyddssyn- punkt tidsbegränsa bevarandet av dokumentationen. För det fall det i dokumentationen ingår någon PNR-uppgift som har över- förts till enheten från ett lufttrafikföretag, måste den dock raderas efter insamlandet. Utredningen om 2016 års dataskyddsdirektiv föreslår generella bestämmelser om loggning av sådana personuppgifter som behand- las i automatiserade behandlingssystem. gifter inom enheten för passagerarinformation kommer av naturliga skäl att ske med hjälp av sådana automatiserade behandlingssystem. Den loggning som ska ske enligt de båda direktiven har därtill samma syften. Vidare omfattar uppräkningen av de uppgifter som ska loggas enligt brottsdataförordningen, förutom i ett fall, de uppgifter som ska loggas enligt PNR-direktivet. Den bestämmelse om loggning som föreslås införas i brottsdataförordningen kan således bli tillämplig även för den loggning som ska ske över enheten för passagerarinfor- mations personuppgiftsbehandling. Enligt PNR-direktivet ska loggarna över läsning och utlämning även visa ändamålet med behandlingen (i den engelska versionen the purpose of such operations). I det nya dataskyddsdirektivet anges i stället att motiveringen för behandlingen (i den engelska versionen the justification) ska loggas. Enligt vår bedömning är den språkliga skillnaden mellan uttrycken inte avsedd att innebära någon faktisk skillnad, utan är endast ett utfall av den kontext i vilken respektive bestämmelse återfinns. Utredningen om 2016 års dataskydds- direktiv har angett att det inte är möjligt att genom automatisk loggning fastställa de exakta skälen till att någon i ett visst fall tar del av eller lämnar ut en viss personuppgift. Vi delar den bedöm- ningen. Eftersom loggningen är ett automatiskt förfarande kan endast viss information om behandlingen dokumenteras. Det rör sig främst om datum och tidpunkt för behandlingen. Det kommer även att gå att få fram information om vem som behandlat person- uppgifterna i och med att åtkomst till PNR-databasen kommer att kräva särskild behörighet och inloggning i de it-system som behövs. Uppgifterna i PNR-databasen kommer att behandlas för ett fler- tal olika ändamål. kommer uppgifterna också att be- handlas för olika ändamål . T.ex. kommer de uppgifter som en tjänsteman vid enheten för passagerarinformation hanterar från utfallet av en förhandsbedömning (artikel 6.2 a) regelmässigt också att utgöra ett led i den kontinuerliga analys av PNR-uppgifter som kommer att göras för att skapa nya sökkriterier mot vilka PNR- uppgifterna ska kontrolleras vid framtida förhandsbedömningar (artikel 6.2 c). Skälen till att någon i ett visst fall tar del av eller lämnar ut en viss personuppgift kan således inte fastställas automa- tiskt genom loggning. Den tolkning som Utredningen om 2016 års dataskyddsdirektiv har gjort, att bestämmelsen måste förstås så att man indirekt av annan loggad information kan dra vissa slutsatser om anledningen till behandlingen, är den mest rimliga. Enligt vår bedömning behöver således inte PNR-direktivets krav på att log- garna särskilt ska visa ändamålen med läsning och utlämning av uppgifter införas i våra författningsförslag Syftet med direktivets bestämmelse uppnås i stället genom den automatiska loggning som kan ske i förening med styrdokument, arbetsbeskrivningar, system- dokumentation och behörighetsadministration. Vi föreslår således en bestämmelse som anger att Polismyndig- heten ska se till att det utförs sådan loggning som anges i 3 kap. 4 § BDF över enheten för passagerarinformations personuppgifts- behandling. Av bestämmelsen ska vidare framgå att loggarna ska bevaras . PNR-systemet kommer att inrättas i tiden efter . De föreslagna övergångsbestämmelserna i brottsdatalagen och den tillhörande förordningen blir därför inte tillämpliga. Bestämmelserna om dokumentation och loggning kan, liksom de närmare bestämmelser som genomför motsvarande artiklar i det nya dataskyddsdirektivet, föras in på förordningsnivå. Att dokumentationen och loggarna på begäran ska göras till- gängliga för tillsynsmyndigheten framgår av brottsdatalagen och behöver inte regleras särskilt i vår lag. PNR-direktivet innehåller bestämmelser om personuppgiftsinci- denter. Personuppgiftsincident är ett nytt begrepp när det gäller dataskydd som används även i dataskyddsförordningen och det nya dataskyddsdirektivet. På informationssäkerhetsområdet är ordet incident emellertid etablerat. En personuppgiftsincident motsvarar till viss del vad som i dagligt tal brukar kallas dataintrång. Med per- sonuppgiftsincident avses dock inte bara ett sådant avsiktligt in- trång, utan även olyckshändelser och andra oavsiktliga händelser som får oönskade effekter, t.ex. brand. En incident kan inträffa genom yttre påverkan, men kan också bero på interna brister eller otillåtet handlande av någon inom organisationen. Det som är väsentligt för definitionen av personuppgiftsincident är inte hur händelsen uppkommit eller vem som åstadkommit den utan effek- ten av den. (Jfr SOU 2017:29 s. I artikel 13.8 i PNR-direktivet anges att om en personuppgifts- incident kan antas medföra ett avsevärt hot mot skyddet av den registrerades personuppgifter eller negativt påverka dennes integ- ritet, ska medlemsstaterna se till att enheten för passagerarinforma- tion utan onödigt dröjsmål informerar den registrerade och den nationella tillsynsmyndigheten för dataskydd om incidenten. Det finns inga regler om personuppgiftsincidenter i personupp- giftslagen eller myndigheternas registerförfattningar. Incidenter behandlas inte heller i Datainspektionens allmänna råd om säker- het. Däremot ska incidenter i it-system rapporteras av andra skäl. I 20 § första stycket förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap föreskrivs att en myndighet skyndsamt ska rapportera it-incidenter som inträffat i myndighetens it-system till Myndigheten för sam- hällsskydd och beredskap. Det gäller om incidenten allvarligt kan påverka säkerheten i den informationshantering som myndigheten ansvarar för eller i tjänster som myndigheten tillhandahåller åt en annan organisation. Rapporteringsskyldigheten omfattar inte it-incidenter som en- ligt 10 a § säkerhetsskyddsförordningen (1996:633) ska rapporteras till Säkerhetspolisen eller Försvarsmakten. Exempel på sådana in- cidenter är incidenter i informationssystem där hemliga uppgifter som rör rikets säkerhet behandlas eller i it-system som särskilt be- höver skyddas mot terrorism. Säkerhetskyddsförordningen gäller för myndigheter, kommuner och landsting och för vissa bolag, föreningar, stiftelser och enskilda. Personuppgiftsincident definieras i 1 kap. 6 § BDL som en säker- hetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller obehörigt röjande av eller obehörig åtkomst till personuppgifter. Enligt 3 kap. 9 § ska den personuppgiftsansvarige anmäla en per- sonuppgiftsincident till tillsynsmyndigheten senast efter det att denne fått kännedom om incidenten. Det gäller dock inte om incidenten rör nationell säkerhet. Anmälan behöver inte heller göras om det kan antas att personuppgiftsincidenten inte har medfört eller kommer att medföra risk för otillbörligt intrång i den registrerades personliga integritet. Utredningen om 2016 års data- skyddsdirektiv anger att någon anmälan t.ex. inte behöver göras om incidenten påverkat få personuppgifter som inte är av känslig art eller om skyddet för personuppgifterna påverkats under en så att obehörig åtkomst inte varit möjlig (se SOU 2017:29. Det föreslagna undantaget från anmälningsplikten för det fall personuppgiftsincidenten rör nationell säkerhet har sin grund i att it-incidenter som kan antas påverka säkerheten för hemliga upp- gifter som rör rikets säkerhet enligt gällande rätt enbart ska an- mälas enligt säkerhetsskyddsförordningen. Behovet av att skydda sådan information anses nämligen vara så viktigt att endast den myndighet som utövar tillsyn över säkerhetsskyddet ska få ta del av den. Även om den rapporteringen har ett annat syfte än rapporter- ingen av personuppgiftsincidenter, anser utredningen om 2016 års dataskyddsdirektiv att behovet av skydd för uppgifter som rör rikets säkerhet väger tyngre än behovet av att skydda enskilda från eventuella intrång i den personliga integriteten. Eftersom nationell säkerhet ligger utanför dataskyddsdirektivets tillämpningsområde har utredningen funnit att sådana personuppgiftsincidenter som ska anmälas enligt säkerhetsskyddsförordningen inte bör anmälas till tillsynsmyndigheten enligt brottsdatalagen. (Jfr SOU 2017:29 s. I 3 kap. 9 § BDF förtydligas att det i 10 a och 39 §§ säker- hetsskyddsförordningen framgår vilka incidenter som enligt 3 kap. 9 § första stycket BDL inte ska anmälas till tillsynsmyndigheten på grund av att de rör nationell säkerhet. Information till enskilda registrerade regleras i 3 kap. 10 § BDL. Om en personuppgiftsincident som ska anmälas enligt 9 § har med- fört eller kan antas medföra särskild risk för otillbörligt intrång i den registrerades personliga integritet ska den personuppgiftsan- svarige utan onödigt dröjsmål underrätta den registrerade om in- cidenten. Enligt andra stycket gäller underrättelseskyldigheten inte om den personuppgiftsansvarige 1.har tillämpat lämpliga tekniska och organisatoriska skyddsåtgärder på de personuppgifter som påverkades av incidenten, 2.har säkerställt att det inte längre finns särskild risk för otillbörligt intrång i den personliga integriteten, eller 3.skulle behöva göra oproportionerliga ansträngningar för att under- rätta alla berörda. I det senare fallet ska allmänheten, enligt tredje stycket, informeras eller en liknande åtgärd vidtas genom vilken de registrerade får nödvändig information. I 3 kap. 11 § anges att den personuppgiftsansvarige får underlåta att lämna information enligt 10 § i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av be- slut som har meddelats med stöd av författning att personuppgifter inte får lämnas ut av hänsyn till intresset av att 1.förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upp- rätthålla allmän ordning och säkerhet, 2.andra rättsliga utredningar eller undersökningar inte hindras, 3.nationell säkerhet skyddas, eller 4.annans fri- och rättigheter skyddas. 3 kap. 11 § innebär att bestämmelser om sekretess och tystnads- plikt har företräde framför regeln om rätt till information vid per- sonuppgiftsincidenter. Vår bedömning: Bestämmelserna om personuppgiftsincidenter i brottsdatalagen bör i sin helhet tillämpas vid enheten för passa- gerarinformation. Personuppgiftsincidenter behöver därför inte regleras särskilt i den av oss föreslagna lagen. PNR-direktivets bestämmelser om personuppgiftsincidenter avser personuppgiftsbehandling vid enheten för passagerarinformation. Bestämmelserna har sin motsvarighet i 3 kap. 9 § och 10 § första stycket BDL. De senare bestämmelserna kommer att gälla för eventuella personuppgiftsincidenter vid enheten för passagerar- information i den mån det inte införs avvikande bestämmelser i den av oss föreslagna lagen. I 3 kap. 9 § BDL anges visserligen att den personuppgiftsansva- rige inte ska anmäla personuppgiftsincidenter som rör nationell säkerhet till tillsynsmyndigheten. Ett sådant undantag finns inte angivet i PNR-direktivet. Nationell säkerhet omfattas dock inte av unionsrätten. Som har angetts har Utredningen om 2016 års dataskyddsdirektivs funnit att behovet av skydd för uppgifter som rör rikets säkerhet väger tyngre än behovet av att skydda enskilda från eventuella intrång i den personliga integriteten. Vi instämmer i den bedömningen. Således finner inte heller vi att sådana person- uppgiftsincidenter som ska anmälas enligt säkerhetsskyddsförord- ningen även bör anmälas till tillsynsmyndigheten. 3 kap. 9 § och 10 § första stycket BDL kan därmed tillämpas även för sådana per- sonuppgiftsincidenter som kan komma att inträffa vid enheten för passagerarinformation. PNR-direktivet saknar motsvarigheter till de undantag från underrättelseplikten som anges i 3 kap. 10 § andra och tredje stycket samt 11 § BDL. Enligt vår mening bör dock artikel 13.8 i PNR- direktivet ses som en huvudregel som inte fråntar undantagen i arti- kel 31 i det nya dataskyddsdirektivet från informationsskyldigheten. Dessa undantag och deras genomförande i brottsdatalagen är resul- tatet av rimliga och nödvändiga avvägningar. Om inte samma undan- tag skulle gälla för enheten för passagerarinformation skulle enheten åläggas orimliga krav som inte står i proportion till enskildas behov av information. Enligt vår mening bör därför undantagen i brottsdata- lagen vara tillämpliga även för sådana personuppgiftsincidenter som kan komma att uppstå vid enheten för passagerarinformation. Sär- skilda bestämmelser om personuppgiftsincidenter behöver således inte föras in i den reglering som vi föreslår. ska, enligt artikel 5.1 i PNR- direktivet, utse ett dataskyddsombud. Någon definition av begrep- pet dataskyddsombud finns inte i direktivet. Termen används dock även i dataskyddsförordningen och i det nya dataskyddsdirektivet. Dagens motsvarighet till dataskyddsombud är det som i person- uppgiftslagen kallas för personuppgiftsombud. Ett personuppgifts- ombud definieras i 3 § PUL som den fysiska person som, efter förordnande av den personuppgiftsansvarige, självständigt ska se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Enligt artikel 5.1 i PNR-direktivet ska det dataskyddsombud som utses av enheten för passagerarinformation ansvara för över- vakningen av behandlingen av PNR-uppgifter och för genomföran- det av relevanta skyddsåtgärder. I artikel 5.2 anges att medlems- staterna ska förse dataskyddsombuden med de resurser som de behöver för att utföra sina uppgifter på ett effektivt och oberoende sätt. Vidare ska medlemsstaterna, enligt artikel 5.3, se till att en registrerad har rätt att kontakta dataskyddsombudet, i egenskap av enda kontaktpunkt, i alla frågor som rör behandlingen av den regi- strerades PNR-uppgifter. Även i andra artiklar i direktivet finns bestämmelser som rör dataskyddsombudet. I artikel 6.7 anges att medlemsstaterna ska se till att dataskyddsombudet har åtkomst till alla uppgifter som en- heten för passagerarinformation behandlar. Om dataskyddsombu- det anser att behandlingen av vissa uppgifter inte har varit lagenlig, ska dataskyddsombudet hänskjuta ärendet till den nationella till- synsmyndigheten. Enligt artikel 11.4 ska dataskyddsombudet informeras varje gång en medlemsstat överför PNR-uppgifter till ett tredjeland enligt arti- kel 11. Även i artikel 11.2 kan dataskyddsombudet anses involverat, eftersom där anges att överföringar utan förhandssamtycke av den medlemsstat från vilken uppgifterna hämtades ska genomgå efter- handskontroll. Vidare ska dataskyddsombudet, enligt artikel 12.3, informeras och genomföra en efterhandsutvärdering när en annan nationell myndighet än en rättslig sådan har lämnat tillstånd till utlämnande av fullständiga PNR-uppgifter som har bevarats vid enheten för passagerarinformation . Som nämnts används termen personuppgiftsombud för det som motsvarar dataskyddsombud. Personuppgiftslagen föreskriver ingen skyldighet att utse personuppgiftsombud. De behöriga myn- digheterna kan dock enligt sina registerförfattningar vara skyldiga att ha personuppgiftsombud. Ett sådant krav finns t.ex. i polisdatalagen. Enligt 38–40 §§ PUL ska personuppgiftsombud självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed och påpeka eventuella brister. Har personuppgiftsombuden anledning att miss- tänka att den personuppgiftsansvarige bryter mot de bestämmelser som gäller för behandlingen av personuppgifter, och vidtas inte rättelse efter påpekande, ska ombuden anmäla det till tillsynsmyn- digheten. Personuppgiftsombud ska även i övrigt samråda med till- synsmyndigheten. Personuppgiftsombuden ska också föra förteck- ning över de behandlingar som den personuppgiftsansvarige utför och som skulle ha omfattats av anmälningsskyldighet om inte om- budet hade funnits. Personuppgiftsombud ska dessutom hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. Ett dataskyddsombud definieras i 1 kap. 6 § BDL som en fysisk per- son som utses av den personuppgiftsansvarige för att självständigt se till att personuppgifter behandlas författningsenligt och på ett korrekt sätt. Enligt 3 kap. 13 § BDL ska den personuppgiftsansvarige utse ett eller flera dataskyddsombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas. Dataskyddsombudets uppgifter framgår av 3 kap. 14 §. Där an- ges att dataskyddsombudet ska 1.självständigt kontrollera att den personuppgiftsansvarige behand- lar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter, 2.informera och ge råd till den personuppgiftsansvarige och de som behandlar personuppgifter under dennes ledning om deras skyl- digheter vid behandling av personuppgifter, 3.på begäran ge den personuppgiftsansvarige råd vid en konsekvens- bedömning och kontrollera att den genomförs på ett korrekt sätt, 4.vara kontaktpunkt för enskilda i frågor som rör behandling av personuppgifter, och