sou · H5B329 · 2017-04-05 00:00:00 — Gemensamt personuppgiftsansvar får endast förekomma om det har beslutats genom lag eller förordning eller av regeringen i ett en- skilt fall. Behöriga myndigheter får inte själva komma överens om att personuppgiftsansvaret för viss personuppgiftsbehandling ska vara gemensamt. Om det vid en bedömning av de faktiska omständigheterna kon- stateras att gemensamt personuppgiftsansvar föreligger, trots att det inte finns något beslut om det, står behandlingen i strid med denna paragraf. har då möjlighet att vidta åt- gärder mot de personuppgiftsansvariga, t.ex. att förbjuda behand- lingen. I paragrafen, som behandlas i avsnitt 10.8, bemyndigas regeringen med stöd av 8 kap. 3 § första stycket regeringsformen att meddela föreskrifter om skyldigheten att föra register över kategorier av be- handlingar av personuppgifter och skyldigheten att införa interna rutiner för anmälan av överträdelser. I paragrafen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om sådana åtgärder som avses i 2–5, 7 och 8 §§, om tillgången till personuppgifter, om anmälan och underrättelse av personuppgiftsincidenter och om innehållet i sådana avtal och överenskommelser som avses i 18 §. 4 kap. Enskildas rättigheter I paragrafen, som genomför artikel 13.1, anges vilken allmän infor- mation som på den personuppgiftsansvariges eget initiativ ska göras tillgänglig för registrerade. Informationen, som riktar sig till allmänheten eller en obestämd, större krets av registrerade, kan göras tillgänglig t.ex. på den behöriga myndighetens webbplats. Paragrafen behandlas i avsnitt 11.2.5 och 11.2.6. Enligt punkten 1 ska den personuppgiftsansvariges identitet och kontaktuppgifter göras tillgängliga. Med det avses uppgifter om namn, post- och besöksadress, telefonnummer och e-postadress. Alla personuppgiftsansvariga är enligt 3 kap. 13 § skyldiga att utse dataskyddsombud. Enligt punkten 2 ska dataskyddsombudets kon- taktuppgifter anges. Det behöver inte vara en kontaktuppgift direkt till dataskyddsombudet, t.ex. hans eller hennes e-postadress, utan det är tillräckligt att ombudet går att nå med hjälp av uppgifterna. I punkten 3 föreskrivs att ändamålen med behandlingen ska framgå. Det är inte ändamålen med behandlingen av personupp- gifter i enskilda fall som avses utan vilka typer av ändamål som den behöriga myndigheten behandlar personuppgifter för. Det kan t.ex. vara förundersökning, ärenden om strafföreläggande eller hand- läggning av brottmål. I punkterna 4 och 5 föreskrivs att den personuppgiftsansvarige ska upplysa om de rättigheter som enskilda har enligt 3, 9 och 10 §§. Det gäller rätten för registrerade att få information om be- handlingen av personuppgifter och att få del av dem och rätten att begära rättelse, radering eller begränsning av behandlingen. Den personuppgiftsansvarige ska även enligt punkten 6 upplysa om möj- ligheten att lämna in klagomål till tillsynsmyndigheten och ange kontaktuppgifterna till den. I 13 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådan information som regleras i förevarande paragraf. Paragrafen, som genomför artikel 13.2, anger vilken information som ska lämnas till den registrerade i specifika fall för att han eller hon ska kunna ta tillvara sina rättigheter. Det är fråga om person- relaterad information som på den personuppgiftsansvariges eget initiativ ska lämnas till den registrerade. Paragrafen behandlas i av- snitt 11.2.5 och 11.2.7. I första stycket föreskrivs att den registrerade i specifika fall ska ges viss information för att kunna ta tillvara sina rättigheter. Speci- fika fall kan vara t.ex. att den registrerade riskerar att lida rättsför- lust om han eller hon inte får del av informationen eller att det av annat skäl är viktigt för honom eller henne att känna till behand- lingen för att kunna ta tillvara sina rättigheter. Ett annat exempel kan vara att känsliga personuppgifter har behandlats i strid med 2 kap. 11 §. Information behöver inte lämnas vid fel som inte kan antas ha negativ påverkan, t.ex. när personnummer eller adressupp- gifter som visat sig vara felaktiga rättas. skyldigheten ska inträda bör normalt krävas att det är fråga om överträdelser av regelverket som kan föranleda skadeståndsansvar, allvarlig kritik eller ingripande från tillsynsmyndigheten eller någon liknande reaktion. Att informationen är tillgänglig på den personuppgiftsansvariges webbplats eller i en informationsskrift befriar inte den personupp- giftsansvarige från skyldigheten att lämna samma information till en viss registrerad, om informationen behövs för att han eller hon ska kunna ta tillvara sina rättigheter. Enligt punkten 1 ska information lämnas om den rättsliga grun- den för personuppgiftsbehandlingen. Det som avses är författ- ningsstödet för behandlingen, dvs. regleringen av den arbetsuppgift som föranleder personuppgiftsbehandlingen. Punkten 2 föreskriver att kategorier av mottagare av personupp- gifterna ska anges. Mottagare definieras i 1 kap. 6 §. Allmän infor- mation är tillräcklig, exempelvis till vilken typ av myndighet som personuppgifterna har lämnats eller ska lämnas. Det kan vara t.ex. allmän domstol eller Kriminalvården. Om mottagarkategorin finns i ett tredjeland eller är en internationell organisation ska det anges. Information ska enligt punkten 3 lämnas om hur länge person- uppgifterna får behandlas. Om det inte är möjligt att ange hur länge uppgifterna får behandlas i det enskilda fallet ska i stället kriterierna för att fastställa det anges. Det kan vara upplysningar om vilka om- ständigheter eller tidpunkter som styr hur länge uppgifterna får behandlas, t.ex. nedläggning av åtal eller när förflutit efter det att uppgifterna behandlades första gången. Även övrig nödvändig information ska lämnas enligt punkten 4. Om informationen är nödvändig ska bedömas utifrån den registre- rades behov av den för att kunna ta tillvara sina rättigheter. Det kan vara en upplysning om rätten att begära att få del av uppgifterna, rätten att begära rättelse, radering eller begränsning av behand- lingen och möjligheten att lämna in klagomål till tillsynsmyndig- heten. Av andra stycket framgår att den personuppgiftsansvarige vid bedömningen av om information enligt punkten 4 ska lämnas sär- skilt ska beakta om personuppgifterna har samlats in utan att den registrerade vetat om det. Av 5 § framgår att informationsskyldigheten får begränsas. I 12 § föreskrivs att avgift inte får tas ut för information enligt före- I 13 § upplyses om att det kan finnas föreskrifter på lägre nivå om informationen i fråga. Paragrafen, som genomför artikel 14, behandlas i avsnitt 11.2.5 och 11.2.8. I paragrafen regleras en enskilds rätt att få besked om hans eller hennes personuppgifter behandlas, att få del av sådana upp- gifter och att få viss information om behandlingen av dem. I första stycket föreskrivs att den som begär det har rätt till skriftligt besked om personuppgifter som rör honom eller henne behandlas. Om sådana uppgifter behandlas ska sökanden få del av dem och få viss i paragrafen uppräknad skriftlig information. Vem som helst får begära besked av den personuppgiftsansva- rige. Vårdnadshavare och andra ställföreträdare kan begära besked för den som inte själv har rätt att göra det. Om en underårig förstår vad åtgärden innebär och själv kan tillgodogöra sig den information som begäran avser bör hans eller hennes begäran godtas. Sökanden har bevisbördan för att begäran har gjorts och tidpunkten för det. Bestämmelserna i 10 § förvaltningslagen (1986:223), 44 § förvalt- ningsprocesslagen (1971:291) och 33 kap. 3 § kan vara till ledning vid avgörande av frågan om när en begäran ska an- ses ha gjorts (jfr prop. 1997/98:44 s. 132). Begäran ska besvaras utan onödigt dröjsmål. Beskedet till sökanden ska vara skriftligt och kan lämnas t.ex. via e-post. Det ska avse om personuppgifter som rör sökanden behandlas. Om sökandens personuppgifter behandlas ska, med de begräns- ningar som följer av andra stycket och 5–7 §§, han eller hon få del av dem. Rätten omfattar även personuppgifter som utgörs av bild- och ljudupptagningar och personuppgifter i ostrukturerat material som t.ex. löpande text. Det är de uppgifter som behandlas vid tiden för utlämnandet som ska lämnas ut (jfr prop. 1997/98:44 s. 132). Sökanden ska få tillgång till all information som den personuppgiftsansvarige själv kan få fram om honom eller henne, men det är tillräckligt att att använda de sök- och sammanställningsmöjligheter som är faktiskt tillgängliga och rättsligt tillåtna (jfr prop. 1997/98:44 s. 82 f.). Det bör räcka att sökningar görs i myndighetens verksamhetsspecifika behandlingssystem, t.ex. dokument- och ärendehanteringssystem, register och databaser. Om uppgifter är sökbara i standardprogram som Word, Outlook och Excel bör de också omfattas. För att det ska kunna utrönas om personuppgifter behandlas krävs att det finns sökbara uppgifter som direkt kan hänföras till den person som begär informationen. Sökanden förutsätts därför lämna sådana uppgifter om sin identitet att det blir möjligt att söka efter informationen. Det kan vara fullständigt namn eller person- eller samordningsnummer eller någon annan lika unik identitet. Sökanden kan få del av uppgifterna genom t.ex. en kopia av en handling med de personuppgifter som rör honom eller henne. Den personuppgiftsansvarige har dock ingen skyldighet att lämna ut en kopia om sökandens rättigheter kan säkerställas på annat sätt, t.ex. genom en sammanfattning av vilka personuppgifter som behandlas. Sökanden ska också informeras om behandlingen av personupp- gifterna. Enligt punkterna 1 och 2 ska informationen avse vilka per- sonuppgifter om sökanden som behandlas och, om det är känt, varifrån uppgifterna kommer. I punkten 3 föreskrivs att den rättsliga grunden för behandlingen ska anges. Det som avses är författningsstödet för behandlingen, dvs. regleringen av den arbetsuppgift som föranleder personupp- giftsbehandlingen. Vidare ska enligt punkten 4 information om ändamålen med behandlingen lämnas. Det som avses är ändamålen i det enskilda fallet, t.ex. vilket ärende eller vilken förundersökning det är fråga om. Vidare ska information om mottagare eller kategorier av motta- gare av personuppgifterna lämnas enligt punkten 5. Mottagare defi- nieras i 1 kap. 6 §. Det som sägs i kommentaren till 2 § gäller även de uppgifter som är aktuella här. Enligt punkten 6 ska information också lämnas om hur länge personuppgifterna får behandlas. Det som sägs i kommentaren till 2 § gäller även de uppgifter som är aktuella här. I punkten 7 föreskrivs att den personuppgiftsansvarige ska in- formera om rätten att begära rättelse, radering eller begränsning av behandlingen. Den personuppgiftsansvarige ska även enligt punk- ten 8 upplysa om möjligheten att lämna in klagomål till tillsyns- myndigheten och kontaktuppgifterna till den. Punkterna motsvarar 1 § 5 och 6 och behandlas i kommentaren till den paragrafen. I andra stycket begränsas rätten att få del av personuppgifter. Om sökanden redan har tagit del av personuppgifterna behöver de inte lämnas ut till honom eller henne. Det har ingen betydelse på vilket sätt sökanden fått del av dem. Det kan t.ex. vara personupp- gifter i handlingar som sökanden själv har skickat in till myndig- heten eller som myndigheten har expedierat till honom eller henne. Den personuppgiftsansvarige måste emellertid tydligt ange vilka personuppgifter som behandlas och ge sökanden en förteckning över dem. Sökanden har också rätt att få del av personuppgifterna om han eller hon begär det. Om en begäran om information är orimlig eller uppenbart ogrundad får den avslås enligt 7 § första stycket. I 12 § andra stycket föreskrivs att information enligt föreva- rande paragraf ska lämnas till den registrerade avgiftsfritt en gång och att utlämnande därutöver kan avgiftsbeläggas. I 13 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådan information som regleras i förevarande paragraf och om kraven på en begäran om information. Paragrafen, som genomför en delar av artikel 11, ger den som har varit föremål för ett automatiserat beslut rätt till information. Para- grafen behandlas i avsnitt 11.2.9. Paragrafen innebär att den registrerade ska kunna begära när- mare information av den personuppgiftsansvarige om beslutet. Det kan t.ex. gälla frågor om omständigheterna som ledde fram till be- slutet. I 12 § första stycket föreskrivs att avgift inte får tas ut för information enligt förevarande paragraf. I 13 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådan information som regleras i förevarande paragraf och om kraven på en begäran om information. Begränsning av rätten till information Paragrafen, som genomför artiklarna 13.3, 15.1 och 16.4, gör undantag från den personuppgiftsansvariges informationsskyldig- het. Paragrafen är delvis utformad efter mönster av 27 § person- uppgiftslagen och behandlas i avsnitt 11.3.1. Enligt första stycket gäller den personuppgiftsansvariges skyldig- het att lämna personrelaterad information enligt 2 och 3 §§ inte i den utsträckning det är särskilt föreskrivet i lag eller annan författ- ning eller annars framgår av beslut som har meddelats med stöd av författning att uppgifterna inte får lämnas ut. Regleringen innebär att den personuppgiftsansvarige får begränsa eller utelämna infor- mationen. Det är främst sekretess och tystnadsplikt enligt offent- lighets- och sekretesslagen (2009:400) som avses. Även andra be- stämmelser om tystnadsplikt och bestämmelser som begränsar möjligheten att använda uppgifter som en svensk myndighet har fått från en myndighet i en annan stat kan begränsa informations- skyldigheten. Undantaget från informationsskyldigheten gäller även vid beslut som har meddelats med stöd av författning, t.ex. beslut om förbehåll enligt 10 kap. 14 § offentlighets- och sekretess- lagen. Även andra författningar kan innehålla bestämmelser som gör paragrafen tillämplig, t.ex. 6 kap. 6 § lagen (2010:751) om betaltjänster. Det är dock endast bestämmelser om att uppgifter inte får lämnas som hänför sig till de intressen som räknas upp i paragrafen som inskränker rätten till information. I avsnitt 11.3.1 redovisas ingående vilken prövning den personuppgiftsansvarige ska göra och hur den förhåller sig till de i paragrafen uppräknade intressena. I punkten 1 skyddas intresset av att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säker- het. Det rör sig alltså om skydd för allmänna intressen. Punkten 2 skyddar intresset av att andra rättsliga utredningar eller undersök- ningar inte hindras. Det kan exempelvis vara fråga om utredning om administrativa avgifter som vattenföroreningsavgift vid oljeut- släpp. I punkten 3 skyddas nationell säkerhet. Intresset av att skydda annans fri- och rättigheter regleras i punkten 4. den registrerades fri- och rättigheter som skyddas, utan andra personers. Den personuppgiftsansvarige är enligt andra stycket inte heller skyldig att lämna ut skälen för beslut enligt första stycket och be- slut i fråga om rättelse, radering eller begränsning av behandlingen om motiveringen skulle riskera att skada något av de intressen som anges i första stycket. Eftersom lagen är tillämplig på andra aktörer än myndigheter föreskrivs i tredje stycket att även en personuppgiftsansvarig som inte är en myndighet i motsvarande utsträckning får begränsa eller underlåta att lämna information av hänsyn till något av de intressen som anges i första stycket. Paragrafen, som har sin grund i artikel 15.1 e, föreskriver undantag från informationsskyldigheten i 3 § för personuppgifter i viss typ av text. Paragrafen behandlas i avsnitt 11.3.3. Den personuppgiftsansvariges skyldighet att lämna personrela- terad information enligt 3 § gäller enligt första stycket inte för per- sonuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller text som utgör minnesanteckningar eller liknande. Med löpande text avses information som inte har struktu- rerats så att sökning av personuppgifter underlättas. Bild- och ljud- upptagningar omfattas inte av undantaget eftersom det bara gäller text. Med text som inte fått sin slutliga utformning avses koncept eller utkast till protokoll, skrivelser, beslut eller liknande. Löpande text som är avsedd att ändras eller kompletteras och därför aldrig får någon slutlig utformning omfattas inte. Det sistnämnda kan t.ex. vara diarier, journaler, register eller förteckningar som förs löpande. Med minnesanteckning avses anteckningar som utgör hjälpmedel för handläggningen, t.ex. promemorior och andra an- teckningar eller upptagningar som har skapats bara för att förbe- reda ett ärende för avgörande och som inte har tillfört ärendet något i sak. Av andra stycket framgår att undantaget från informationsskyl- digheten inte gäller under vissa förhållanden. Sökanden har då rätt att få del av personuppgifter även i ofärdig löpande text eller som utgör minnesanteckningar och liknande. Undantaget gäller för det första inte om personuppgifterna har lämnats ut till tredje man. Tredje man definieras i 1 kap. 6 §. Det är den version av uppgifterna i t.ex. utkastet som lämnades till tredje man som informationsskyldigheten omfattar, även om utkastet därefter har ändrats. Vidare gäller inte undantaget om personuppgifterna behandlas enbart för vetenskapliga, statistiska eller historiska ändamål eller arkivändamål av allmänt intresse. Om ett ärende har avslutats och utkastet eller minnesanteckningen har arkiverats eller om handling- arna endast används vid statistikproduktion eller forskning ska allt- så information om behandlingen av personuppgifterna lämnas ut. Undantaget gäller inte heller för löpande text som inte fått sin slut- liga utformning, om personuppgifterna har behandlats . Det är tidpunkten för begäran som är avgörande för bedöm- ningen av om något av undantagen gäller. Både ettårsfristen och frågan om uppgifterna har lämnats ut till tredje man eller behandlas för vetenskapliga, statistiska eller historiska ändamål eller arkiv- ändamål av allmänt intresse ska bedömas i förhållande till när begäran om information gjordes (jfr prop. 1997/98:44 s. 83 f.). Paragrafen, som tillsammans med 12 § genomför delar av arti- kel 12.4, behandlas i avsnitt 11.3.4. Paragrafen föreskriver att infor- mation enligt 3 § inte behöver lämnas om begäran är orimlig eller uppenbart ogrundad. I första stycket föreskrivs att den personuppgiftsansvarige får av- slå en begäran att få information om behandlingen av personupp- gifter och få del av dem om begäran är orimlig eller uppenbart ogrundad. En begäran kan vara orimlig t.ex. om den återupprepas ofta. En begäran kan också vara orimlig om den är så oprecis att det skulle vara närmast omöjligt att besvara den, t.ex. om den rör en större myndighets hela verksamhet. Normalt bör i sådana fall begä- ran kunna preciseras till viss verksamhet, visst ärende eller någon annan liknande avgränsning. En begäran kan vara uppenbart ogrun- dad t.ex. om sökanden missbrukar sin rätt till information genom att exempelvis lämna felaktiga eller missvisande uppgifter i sin begäran. Den personuppgiftsansvarige har bevisbördan för att en begäran är orimlig eller uppenbart ogrundad. I andra stycket upplyses att den personuppgiftsansvarige med stöd av 12 § andra stycket i vissa fall får ta ut avgift i stället för att avslå begäran. Möjligheten att begära kontroll genom tillsynsmyndigheten I paragrafen, som behandlas i avsnitt 11.3.1, upplyses om att den registrerade med stöd av 5 kap. 3 § kan begära att tillsynsmyndig- heten kontrollerar om hans eller hennes personuppgifter behandlas författningsenligt. Rätten till rättelse, radering och begränsning av behandlingen Paragrafen reglerar den enskildes rätt att begära rättelse eller kom- plettering av felaktiga eller ofullständiga personuppgifter och be- gränsning av behandlingen av personuppgifterna. Den genomför artikel 16.1 och, tillsammans med 10 §, artikel 16.3. Paragrafen be- handlas i avsnitt 11.4.1 och 11.4.3. I 2 kap. 15 § regleras personupp- giftsansvarigas skyldighet att på eget initiativ rätta felaktiga eller ofullständiga personuppgifter och uppdatera inaktuella personupp- gifter. Enligt första stycket ska den personuppgiftsansvarige på begäran av den registrerade rätta eller komplettera personuppgifter som rör honom eller henne om de är felaktiga eller ofullständiga med hän- syn till ändamålet med behandlingen. Vårdnadshavare och andra ställföreträdare kan begära rättelse eller komplettering åt en regist- rerad som inte själv har rätt att göra det. I kommentaren till 2 kap. 7 § framgår vad som avses med att en personuppgift är korrekt och vilka bedömningar som ska göras. Rättelse eller komplettering ska göras utan onödigt dröjsmål. Det innebär att den personuppgiftsansvarige skyndsamt ska utreda frågan och, om det finns skäl för det, så fort som möjligt genom- föra åtgärden. Den personuppgiftsansvarige ska enligt andra stycket begränsa behandlingen av personuppgifter som rör den registrerade om han eller hon bestrider att de är korrekta. Den registrerade kan ha en annan uppfattning än den personuppgiftsansvarige om huruvida en personuppgift är korrekt. Om korrektheten bestrids är den person- uppgiftsansvarige skyldig att försöka klarlägga hur det förhåller sig. Om den personuppgiftsansvariges utredning om den omstridda personuppgiften inte kan slutföras inom den tid som en person- uppgift ska rättas eller kompletteras, ska behandlingen begränsas . Har behandlingen av en personuppgift begränsats får uppgiften inte längre behandlas av vare sig den personuppgiftsansvarige, ett personuppgiftsbiträde eller någon annan, utom för de ändamål för vilka behandlingen begränsades. Uppgiften får dock lämnas ut med stöd av 2 kap. tryckfrihetsförordningen. Den personuppgiftsansva- rige ska vidta åtgärder som visar att behandlingen av personupp- giften har begränsats. En sådan åtgärd kan vara att föra över uppgif- ten från det datasystem där den behandlas, t.ex. myndighetens verksamhetssystem, till ett arkivsystem. Andra åtgärder kan vara att göra personuppgiften oåtkomlig genom en teknisk begränsning eller annan inskränkning av tillgången till uppgiften. När utred- ningen om personuppgiften är avslutad ska begränsningen av be- handlingen upphöra. Då ska personuppgiften antingen rättas eller fortsätta att behandlas som . I 13 § upplyses om att det kan finnas föreskrifter på lägre nivå om kraven på en begäran om korrigeringsåtgärd. Paragrafen reglerar den enskildes rätt att vid otillåten behandling av personuppgifter begära radering eller, om personuppgifterna behö- ver finnas kvar som bevisning, begränsning av behandlingen. Den genomför artikel 16.2 och, tillsammans med 9 §, artikel 16.3. Para- grafen behandlas i avsnitt 11.4.2 och 11.4.3. I 2 kap. 16 § regleras personuppgiftsansvarigas skyldighet att på eget initiativ radera eller begränsa behandlingen av personuppgifter som behandlas på otill- låtet sätt. Enligt första stycket ska den personuppgiftsansvarige på begäran av den registrerade radera personuppgifter som rör honom eller henne om de behandlas i strid med 2 kap. 1, 2, 3 § första stycket, 4– 6, 8, 11, 12, 14 eller 17 § första stycket eller om det krävs för att den personuppgiftsansvarige ska utföra en rättslig förpliktelse. Vårdnadshavare och andra ställföreträdare kan begära radering för en registrerad som inte har rätt att själv göra det. Om personuppgifter behandlas i strid med någon av de bestäm- melser som räknas upp i paragrafen ska de raderas. Med radering avses att personuppgifter tas bort från informationssamlingar på ett sådant sätt att de kan återskapas.