sou · H5B339 · 2017-05-12 00:00:00 — I artikel 58.3 anges att tillsynsmyndigheten ska ha befogenhet att –ackreditera certifieringsorgan (led e), och –utfärda certifieringar och godkänna certifieringskriterier (led f). 1Det kan dock noteras att uppgiften att utfärda certifiering inte nämns i de artiklar som anger styrelsens uppgifter. 2Europaparlamentets och rådets förordning (EG) nr 765/2008 av om krav för ackreditering och marknadskontroll i samband med saluföring av produkter och upphävande av förordning (EEG) nr 339/93. 16.3.1Certifiering, ackreditering och Swedac Certifiering är ett förfarande som syftar till att bedöma om vissa specificerade krav avseende till exempel en process eller ett organ har uppfyllts. Kraven kan handla om olika aspekter, exempelvis säkerhet eller hälsa. Kraven kan framgå av författning, branschöverenskom- melse eller standard.3 Med ackreditering avses ett formellt erkännande att ett organ är kompetent att utföra vissa specificerade tjänster. Ackrediteringen meddelas av ett särskilt ackrediteringsorgan efter genomförd utvär- dering. Ackreditering syftar till att bedöma och säkerställa att till- lämpliga krav uppfylls. I svensk lagstiftning som inte härrör från unionslagstiftning, dvs. som ligger utanför det harmoniserade områ- det, krävs ofta ackreditering för organ som utför kontroll, certifiering och liknande tjänster.4 Styrelsen för ackreditering och teknisk kontroll (Swedac) har utsetts att vara nationellt ackrediteringsorgan i och ansvarar för ackreditering enligt förordning (EG) nr 765/2008. Swedac ansva- rar enligt lagen (2011:791) om ackreditering och teknisk kontroll även för ackreditering i övrigt av organ för bedömning av överens- stämmelse. Även vid sådan ackreditering ska vissa bestämmelser i förordning (EG) nr 765/2008 tillämpas. Ett organ som vill bli ackre- diterat måste lämna en ansökan till Swedac som prövar och bedömer om organet uppfyller de krav som ställs. Förfaranderegler finns i för- ordningen (2011:811) om ackreditering och teknisk kontroll. Utredningens bedömning: Det bör inte införas några ytterligare bestämmelser om hur certifieringsorgan ska god- kännas. 2010/11:80 s. 40. 2010/11:80 s. 42. I kommittédirektiven anges att dataskyddsförordningen kräver att medlemsstaterna inför bestämmelser för hur särskilda certifierings- organ ska godkännas. Av förordningens slutliga lydelse är det emel- lertid svårt att utläsa något sådant krav. I artikel 43.1 anges att medlemsstaterna ska säkerställa att certifie- ringsorgan är ackrediterade av antingen tillsynsmyndigheten eller av det nationella ackrediteringsorganet eller av båda dessa. Frågan är vad som avses med uttrycket ”säkerställa” i detta sammanhang. I den engelska språkversionen används uttrycket ensure. En möjlig tolkning är att det ankommer på medlemsstaten att se till att de certifierings- organ som verkar på marknaden är ackrediterade. Detta bör dock snarare vara en uppgift för tillsynsmyndigheten, än för staten som sådan. En rimligare tolkning, som dock ligger längre från bestäm- melsens ordalydelse, är att staten är skyldig att se till att antingen till- synsmyndigheten eller det nationella ackrediteringsorganet eller att dessa båda organ har de befogenheter och verktyg som behövs för att ackreditera certifieringsorgan. uppgift och befogenhet att ackreditera certifieringsorgan anges uttryckligen i artiklarna 57.1 q och 58.3 e. Ett organ som vill bli ackrediterat måste därmed anses ha en direkt på förordningen grundad rätt att få sin överensstämmelse med kra- ven bedömda av tillsynsmyndigheten. Det kan mot denna bak- grund inte komma i fråga att genom nationell lagstiftning vare sig tilldela eller frånta tillsynsmyndigheten denna uppgift. Swedac är i det nationella ackrediteringsorgan som utpekas i artikel 43.1 b. Swedac ansvarar enligt sin instruktion5 även för annan ackrediteringsverksamhet än den som avses i förordning (EG) nr 765/2008. Det regelverk som på nationell nivå kompletterar för- ordning (EG) nr 765/2008, till exempel avseende förfarandet, är tillämpligt även på sådan annan ackrediteringsverksamhet. För det fall att ett organ som vill bli ackrediterat skulle anses ha en direkt på förordningen grundad rätt att få sin överensstämmelse med kraven bedömda av det nationella ackrediteringsorganet torde det således inte behövas några ytterligare författningsåtgärder. Det kan noteras att det i artikel 70.1 o anges att även Europeiska dataskyddsstyrelsen, på eget initiativ eller på begäran av kommis- 5 Förordningen (2009:895) med instruktion för Styrelsen för ackreditering och teknisk kon- troll. sionen, ska ackreditera certifieringsorgan. Det får förutsättas att avsikten är att en ackreditering som beslutats av styrelsen ska fylla samma självständiga funktion som annan ackreditering enligt data- skyddsförordningen. Mot den bakgrunden framstår medlemsstater- nas skyldighet enligt artikel 43.1 att ”säkerställa” att certifierings- organ är ackrediterade av både eller endera av tillsynsmyndigheten och det nationella ackrediteringsorganet som än mer svårfångad. Det kan även av detta skäl ifrågasättas om det krävs några ytterligare bestämmelser i svensk rätt för hur certifieringsorgan ska godkännas. Enligt artiklarna 43.8 och 43.9 får kommissionen anta delegerade akter och genomförandeakter rörande bland annat certifieringsmeka- nismen. Förhoppningsvis klarnar rättsläget genom dessa rättsakter. I avvaktan på att kommissionen antar sådana akter, och med tanke på att i vart fall tillsynsmyndigheten redan genom förordningens direkt tillämpliga bestämmelser har rätt och skyldighet att ackreditera certi- fieringsorgan, lämnar vi inte några författningsförslag om hur certifie- ringsorgan ska godkännas. Dataskyddsförordningen innehåller bestämmelser om tystnadsplikt och konfidentialitet hos tillsynsmyndigheten och för dataskydds- ombud. I båda fallen hänvisar förordningen till nationell rätt. Offentlighets- och sekretesslagen innehåller dels en bestämmelse om sekretess hos Datainspektionen som aktualiseras i detta sammanhang, dels flera bestämmelser som hänvisar till personuppgiftslagen. Dessa bestämmelser måste ses över med anledning av den nya regleringen i förordningen och personuppgiftslagens upphävande. Vårt uppdrag när det gäller sekretessfrågor har tre delar. Vi ska för det första analysera om nuvarande sekretessbestämmelser behöver anpassas med anledning av förordningens reglering om tystnadsplikt hos tillsynsmyndigheten. För det andra ska vi analysera vilken regle- ring som behöver införas i svensk rätt med anledning av förord- ningens bestämmelser om sekretess och tystnadsplikt för dataskydds- ombud. Slutligen ska vi överväga hur de bestämmelser i offentlighets- och sekretesslagen som innehåller hänvisningar till personuppgifts- lagen bör anpassas till den nya regleringen. 17.2Allmänt om grundlags- och sekretessregleringen Offentlighetsprincipen innebär att allmänheten och massmedierna ska ha insyn i statens och kommunernas verksamhet. Offentlighets- principen kommer till uttryck på olika sätt, exempelvis genom yttran- de- och meddelarfrihet för tjänstemän, genom domstolsoffentlighet och genom offentlighet vid beslutande församlingars sammanträden. När det mer allmänt talas om offentlighetsprincipen brukar man i första hand syfta på reglerna om allmänna handlingars offentlighet. Dessa regler finns i tryckfrihetsförordningens andra kapitel. Enligt 2 kap. 2 § första stycket tryckfrihetsförordningen får rätten att ta del av allmänna handlingar begränsas endast om det är påkallat med hänsyn till vissa angivna intressen, däribland enskilds personliga eller ekonomiska förhållanden. En sådan begränsning ska enligt andra stycket anges noga i en bestämmelse i en särskild lag eller, om det i ett visst fall är lämpligare, i en annan lag vartill den särskilda lagen hän- visar. Efter bemyndigande i en sådan bestämmelse får regeringen genom förordning meddela närmare föreskrifter om bestämmelsens tillämplighet. Med handling förstås enligt 2 kap. 3 § första stycket tryckfrihets- förordningen en framställning i skrift eller bild samt en upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tek- niskt hjälpmedel. Handlingsbegreppet i tryckfrihetsförordningen omfattar således även sådan automatiserad behandling som avses i personuppgiftslagen och dataskyddsförordningen. En handling är allmän om den förvaras hos en myndighet och enligt 2 kap. 6 eller 7 § tryckfrihetsförordningen är att anse som inkommen till eller upprättad hos en myndighet. En upptagning ska enligt 2 kap. 3 § andra stycket tryckfrihetsförordningen anses vara förvarad hos en myndighet om upptagningen är tillgänglig för myn- digheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas. En handling som förvaras hos en myndighet endast som led i teknisk bearbetning eller teknisk lagring för annans räkning anses enligt 2 kap. 10 § tryckfrihetsförordningen inte som allmän handling hos den myndigheten. Offentlighets- och sekretesslagen utgör den särskilda lag som avses i 2 kap. 2 § andra stycket tryckfrihetsförordningen. Reger- ingen har meddelat närmare tillämpningsföreskrifter i offentlighets- och sekretessförordningen (2009:641). Sekretess innebär enligt 3 kap. 1 § OSL ett förbud att röja en upp- gift, oavsett om det sker genom utlämnande av en handling eller genom att röja uppgiften muntligen eller på något annat sätt. Sekre- tessen innebär således dels handlingssekretess, dels tystnadsplikt. Av 2 kap. 2–4 § OSL framgår att , beslutande kommunala för- samlingar och sådana organ som avses i 2 kap. 3 och 4 §§ OSL ska jämställas med myndighet vid tillämpning av offentlighets- och sekre- tesslagen. Bestämmelser om tystnadsplikt finns också utanför offent- lighets- och sekretesslagens tillämpningsområde, exempelvis för an- ställda inom den privata hälso- och sjukvården och för advokater. Enligt artikel 28.7 i dataskyddsdirektivet ska medlemsstaterna före- skriva att tillsynsmyndighetens ledamöter och personal, även sedan deras anställning upphört, ska ha tystnadsplikt med avseende på för- trolig information som de har tillgång till. Enligt 32 kap. 1 § OSL gäller sekretess hos Datainspektionen bland annat i ärende om tillstånd eller tillsyn som enligt lag eller annan författning ska handläggas av inspektionen för uppgift om en enskilds personliga eller ekonomiska förhållanden, om det kan antas att den enskilde eller någon närstående till denne lider skada eller men om uppgiften röjs. Sekretessen gäller till skydd för uppgifter om en enskilds per- sonliga eller ekonomiska förhållanden och omfattar alltså såväl upp- gifter om fysiska personer, till exempel uppgifter om registrerade i ett kund- eller ärendehandläggningssystem, som uppgifter som hänför sig till näringsidkares affärs- eller driftförhållanden. Det har också ansetts att sekretess till skydd för enskilds personliga och ekono- miska förhållanden kan gälla det faktum att det är en viss person som har lämnat vissa uppgifter. Uppgifter som lämnas till en myndighet och som indirekt kan avslöja en uppgiftslämnares identitet på grund av att bara en viss person eller befattningshavare kan ha kännedom om dem kan också omfattas av sekretessen om de kan röja den enskildes identitet.1 Sekretessen i 32 kap. 1 § OSL gäller med ett så kallat rakt skade- rekvisit. Det innebär att en presumtion för offentlighet gäller. Ett rakt skaderekvisit innebär normalt att det är uppgifternas karaktär som får avgöra om sekretess gäller eller inte. Avsikten är att skade- bedömningen i dessa fall i huvudsak ska kunna göras med utgångs- punkt i själva uppgiften. Frågan om sekretess gäller behöver där- med inte i första hand knytas till en skadebedömning i det enskilda 1 Lenberg m.fl., Offentlighets- och sekretesslagen (, Zeteo), kommentaren till 32 kap. 8a § OSL. Avgörande bör i stället vara om uppgiften är av den arten att ett utlämnande typiskt sett kan vara ägnat att medföra skada för det intresse som ska skyddas genom bestämmelsen. Om uppgiften är sådan att den genomsnittligt sett måste betraktas som harmlös ska den alltså normalt anses falla utanför sekretessen. Om uppgiften i stället typiskt sett måste betraktas som känslig omfattas den nor- malt av sekretess.2 Det har förutsatts att skaderekvisitet i 32 kap. 1 § OSL får tolkas med beaktande av den sekretess som gäller för personuppgifterna i verksamheten hos den myndighet uppgifterna kommer ifrån3, och att paragrafen vid behov bör tolkas unionskon- formt i förhållande till direktivets krav på tystnadsplikt.4 Sekretessens räckvidd enligt bestämmelsen begränsas till ärende om tillstånd eller tillsyn som enligt lag eller annan författning ska handläggas av Data- inspektionen. Sekretessen gäller i högst för uppgifter i all- männa handlingar. Bestämmelsen i 11 kap. 1 § första stycket OSL om överföring av sekretess i tillsynsverksamhet är i praktiken inte tillämplig på Data- inspektionens uppgifter när det gäller sekretess till skydd för enskil- das förhållanden, eftersom det i 11 kap. 8 § samma lag föreskrivs att bestämmelserna om överföring av sekretess inte gäller om uppgiften hos den mottagande myndigheten redan omfattas av en annan bestämmelse till skydd för samma intresse. Då det gäller sekretess till skydd för andra intressen tillämpas bestämmelserna i 15–19 kap. OSL. Exempelvis skulle bestämmelserna om utrikessekretess i 15 kap. 1 § och om sekretess i det interna- samarbetet i 15 kap. 1a § kunna bli tillämpliga i vissa situa- tioner, liksom sekretessen till skydd för inspektionsförberedelser i 17 kap. 1 § och sekretessen till skydd för säkerhets- eller bevak- ningsåtgärd avseende system för automatiserad behandling av infor- mation i 18 kap. 8 § 3. 1979/80:2 Del A s. 80 f. 3Lenberg m.fl., Offentlighets- och sekretesslagen (, Zeteo), kommentaren till 32 kap. 1 § OSL. 1997/98:44 s. 146. Enligt artikel 54.2 i dataskyddsförordningen ska varje tillsynsmyn- dighets ledamöter och personal, i enlighet med unionsrätten eller medlemsstaternas nationella rätt, omfattas av tystnadsplikt både under och efter sin mandattid vad avser konfidentiell information som de fått kunskap om under utförandet av deras uppgifter eller utövandet av deras befogenheter. ska tyst- nadsplikten i synnerhet gälla rapportering från fysiska personer om överträdelser av förordningen. Utredningens bedömning: Någon förändring av den befintliga sekretessbestämmelsen till skydd för enskildas personliga och ekonomiska förhållanden i Datainspektionens verksamhet krävs inte till följd av dataskyddsförordningens reglering om tystnads- plikt för ledamöter och personal hos tillsynsmyndigheten. Utredningen om tillsynen över den personliga integriteten har i betänkandet SOU 2016:65 föreslagit att Datainspektionen ska vara tillsynsmyndighet enligt dataskyddsförordningen och att detta ska framgå av förordningen (2007:975) med instruktion för Datain- spektionen. Våra direktiv är också skrivna med denna utgångspunkt. De fortsatta resonemangen kommer därför att utgå från detsamma. Dataskyddsförordningen innehåller inga skäl som skulle kunna ge ledning för den närmare tolkningen av artikel 54.2. Artikelns orda- lydelse antyder dock att det främst är sekretess till skydd för enskil- das personliga och ekonomiska förhållanden som avses och inte sekretess till skydd för t.ex. tillsynsmyndighetens verksamhet. Hän- visningen till medlemsstaternas nationella rätt och begränsningen till konfidentiell information gör enligt vår bedömning att medlems- staterna har relativt stort utrymme att utforma en lämplig reglering. Det är framför allt bestämmelsen i 32 kap. 1 § OSL som reglerar skyddet för enskildas personliga och ekonomiska förhållanden hos Datainspektionen. I artikel 54.2 används termen tystnadsplikt och att denna ska gälla både under och efter ledamöters och personals man- dattid. Som nämnts ovan innebär bestämmelser om sekretess i offent- lighets- och sekretesslagen både handlingssekretess och tystnadsplikt. Sekretessen enligt 32 kap. 1 § OSL gäller . Av 2 kap. 1 § OSL framgår att en befattningshavare som är skyldig att iaktta sekretess också är det sedan han eller hon har lämnat sin befattning.5 Om uppgifter har lämnats till Datainspektionen från en tillsyns- myndighet i någon annan medlemsstat inom ramen för det samarbete som förutsätts i förordningen sker detta i ärende om tillstånd eller tillsyn som enligt lag eller annan författning ska handläggas av inspek- tionen och omfattas därmed av sekretessen i 32 kap. 1 § OSL. Det kan också noteras att sekretessen gäller även för företrädare för till- synsmyndigheter i andra medlemsstater som enligt artikel 62.3 i för- ordningen förordnats att utföra vissa uppgifter eller att inom ramen för vissa angivna befogenheter annars agera för den svenska tillsyns- myndighetens räkning, så länge kraven i 2 kap. 1 § OSL är uppfyllda. Med den tolkning bestämmelsen har fått i svensk rätt bedömer vi att den utgör ett tillräckligt sådant skydd för enskildas personliga och ekonomiska förhållanden som förutsätts i förordningen. Det har inte heller framkommit något under utredningen som talar för att bestämmelsen om sekretess i Datainspektionens verksamhet har förorsakat tillämpningssvårigheter eller att sekretessen skulle vara otillräcklig ur ett integritetsperspektiv. Datainspektionens uppgift att handlägga tillsynsärenden enligt dataskyddsförordningen kommer att framgå av myndighetens in- struktion. Därmed regleras inspektionens tillsynsverksamhet enligt dataskyddsförordningen i författning på det sätt som förutsätts i 32 kap. 1 § OSL. Några förändringar i bestämmelsens ordalydelse bedöms därför inte nödvändiga. I detta sammanhang kan det förtjäna att påpekas att den incident- rapportering som förutsätts ske till tillsynsmyndigheten i enlighet med artikel 33 i förordningen, i praktiken kan innebära en upplysning om att ingivarens it-system är sårbart för attacker. Uppgiften om vem som har lämnat in en sådan rapport kan alltså innebära en säkerhets- risk. Uppgifter om ingivare av incidentrapportering avseende säker- hetsbrister i it-system till , liksom uppgifter om innehållet i rapporterna, har i ett tidigare lagstiftningsärende an- setts omfattas av sekretessen till skydd för säkerhets- och bevak- 5 Lenberg m.fl., Offentlighets- och sekretesslagen (, Zeteo), kommentaren till 2 kap. 1 § OSL. ningsåtgärder avseende system för automatiserad behandling av infor- mation i 18 kap. 8 § OSL.6 Vår bedömning är att motsvarande skydd kommer att gälla för uppgifter som rör incidentrapportering enligt förordningens artikel 33. I vilken mån den uppgiften kan hemlighållas i diariet får bedömas enligt 5 kap. 2 § och 18 kap. 8 § OSL.7 I dataskyddsdirektivet finns bestämmelserna om motsvarigheten till förordningens dataskyddsombud i artikel 18 andra och tredje streck- satserna. Där framgår att en anmälan om behandling till tillsyns- myndigheten kan underlåtas om den registeransvarige i enlighet med nationell lagstiftning utser ett uppgiftsskyddsombud. Ombudet ska bland annat ha till uppgift att på ett oberoende sätt säkerställa den interna tillämpningen av de nationella bestämmelser som antagits till följd av direktivet. I direktivet finns inga bestämmelser om tystnads- plikt eller sekretess för uppgiftsskyddsombud. Direktivets bestämmelser har implementerats i svensk rätt ge- nom bestämmelserna om personuppgiftsombud i 38–40 §§ PUL. Inte heller i svensk rätt finns någon särskild reglering om tystnads- plikt för personuppgiftsombud. Ett dataskyddsombud ska enligt förordningen ha till uppgift att informera de personuppgiftsansvariga, biträden och anställda om skyldigheterna enligt förordningen och andra unions- eller medlems- statsreglerade dataskyddsbestämmelser. Ombudet ska också bland annat övervaka efterlevnaden av förordningen och samarbeta med tillsynsmyndigheten (artikel 39). 2003/04:93 s. 82. 7Utredningen om genomförande av NIS-direktivet, Ju 2016:11, har i uppdrag att överväga om det nuvarande sekretesskyddet för rapportering av it-incidenter i 18 kap. 8 § OSL är till- räckligt och att annars föreslå ändringar i offentlighets- och sekretesslagen för att känslig information i incidentrapporter ska kunna skyddas (dir. 2016:29). Myndigheter som behandlar personuppgifter måste utnämna data- skyddsombud. Detsamma gäller personuppgiftsansvariga eller biträ- den som utför behandling där omfattningen, ändamålen eller upp- gifternas karaktär motiverar att ett ombud utses (artikel 37). I artik- larna 37.5 och 38 finns bestämmelser om dataskyddsombudets kvali- fikationer och ställning. I artikel 37.6 stadgas att dataskyddsombudet får ingå i den personuppgiftsansvariges eller biträdets personal, eller utföra uppgifterna på grundval av ett tjänsteavtal. Av sammanhanget framgår alltså tydligt att ombudet ska vara en fysisk person. Flera myndigheter eller flera bolag i en koncern kan ha ett gemensamt data- skyddsombud under vissa förutsättningar (artikel 37.2–3). Enligt artikel 38.5 ska dataskyddsombudet, när det gäller dennes genomförande av sina uppgifter, vara bundet av sekretess eller kon- fidentialitet i enlighet med unionsrätten eller medlemsstaternas natio- nella rätt. Utredningens förslag: Den som utsetts till dataskyddsombud enligt dataskyddsförordningen ska inte obehörigen få röja det som han eller hon vid fullgörandet av sin uppgift har fått veta om enskilds personliga eller ekonomiska förhållanden. Utredningens bedömning: I det allmännas verksamhet är regle- ringen i offentlighets- och sekretesslagen tillräcklig för att uppfylla kraven på tystnadsplikt för dataskyddsombud enligt förordningen. Regleringen i offentlighets- och sekretesslagen är detaljerad och diffe- rentierad, och har anpassats med hänsyn till uppgifternas känslighet, intresset av insyn och intresset av skydd i vissa specifika verksamheter. Det är förbjudet för myndigheter att röja en sekretessbelagd uppgift. Förbudet gäller också för en person som fått kännedom om uppgiften genom att för det allmännas räkning delta i en myndighets verksamhet på grund av anställning eller uppdrag hos myndigheten, på grund av tjänsteplikt eller på annan liknande grund (2 kap. 1 § OSL). I den privata sektorn gäller i stället som huvudregel att den som disponerar över information i princip själv bestämmer om utläm- nande av den till andra, med de begränsningar som dataskyddsregle- ringen ställer upp. Inom flera olika verksamhetsområden i den privata sektorn gäller emellertid tystnadsplikt enligt lag, ofta reglerad som ett förbud mot att röja vissa uppgifter obehörigen. Det gäller bland annat verksamheter i välfärdssektorn såsom skola och hälso- och sjukvård. Men det finns också exempel på tystnadsplikt i privat verksamhet som inte har någon motsvarighet i det allmännas verksamhet, utan som skyddar information som lämnas till personer i olika slag av för- troendeställning, såsom exempelvis tystnadsplikt för revisorer och skyddsombud, eller den tystnadsplikt som följer av den så kallade banksekretessen.8 I dessa fall har obehörighetsrekvisitet sammanfattningsvis tolkats som att ett utlämnande av uppgifter får ske om den uppgiften rör har lämnat sitt samtycke, om uppgifter lämnas vidare till personer inom den berörda verksamheten som behöver dem för verksamheten eller om uppgifterna enligt lag eller annan författning ska lämnas ut, exem- pelvis till en tillsynsmyndighet.9 Författningsreglerad tystnadsplikt, oavsett om den följer av offent- lighets- och sekretesslagen eller av särskilda bestämmelser om tyst- nadsplikt för den privata sektorn, är som regel förenad med straff- ansvar. I 20 kap. 3 § regleras det generella straffansvaret för brott mot tystnadsplikt. Straffansvaret gäller var och en som har skyldighet att hemlighålla en uppgift enligt lag eller annan författning, förutsatt att straffansvaret inte har reglerats särskilt. Konsekvensen av att en tystnadsplikt införs i författning blir alltså, om inget annat stadgas, att med regleringen följer ett straffansvar.