sou · H5B329 · 2017-04-05 00:00:00 — I 23 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses här. Paragrafen, som genomför artiklarna 27.1 och 28.1, slår fast den personuppgiftsansvariges skyldighet att inför vissa behandlingar göra en konsekvensbedömning och samråda med tillsynsmyndig- heten. Den behandlas i avsnitt 10.2.4 och 10.2.5. Av första stycket framgår att en konsekvensbedömning ska göras om det kan antas att en viss typ av ny behandling kommer att med- föra särskild risk för intrång i registrerades personliga integritet. En konsekvensbedömning ska också göras om betydande förändringar av redan pågående behandlingar kan antas leda till sådan risk. Vid riskbedömningen bör bl.a. användningen av ny teknik och behand- lingens art, omfattning, sammanhang och ändamål beaktas. Exem- pel på riskfyllda behandlingar som bör föranleda en konsekvens- bedömning är inrättandet av storskaliga register som innehåller känsliga personuppgifter eller vissa former av profilering. En kon- sekvensbedömning ska omfatta relevanta system och processer för behandlingen men inte behandlingen i enskilda fall. Andra stycket reglerar s.k. förhandssamråd. När en konsekvens- bedömning visar att det finns särskild risk för intrång i registerades personliga integritet eller när typen av behandling innebär särskild risk för intrång, ska den personuppgiftsansvarige samråda med till- synsmyndigheten. Samrådet ska äga rum innan behand- lingen påbörjas eller betydande förändringar genomförs. Det bör dock inte äga rum så tidigt att det inte finns något konkret förslag på teknisk lösning för tillsynsmyndigheten att ta ställning till. När förhandssamrådet lämpligen bör äga rum får avgöras i varje enskilt fall och förutsätter en dialog med tillsynsmyndigheten. Tillsyns- myndighetens roll vid förhandssamråd regleras i 5 kap. 4 §. I 23 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen. I paragrafen, som genomför artiklarna 4.1 f och 29, regleras den personuppgiftsansvariges skyldighet att skydda de personuppgifter som behandlas. Paragrafen behandlas i avsnitt 10.3. Enligt paragrafen ska den personuppgiftsansvarige vidta lämp- liga tekniska och organisatoriska åtgärder för att skydda de person- uppgifter som behandlas. Personuppgifterna ska särskilt skyddas mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada. Uppräkningen illustrerar vad skydds- åtgärderna ska åstadkomma, men den är inte uttömmande. Skydd mot obehörig eller otillåten behandling innebär att obe- höriga personer ska vägras åtkomst till utrustning som används vid behandling (åtkomstskydd för utrustning), att obehörig läsning, kopiering, ändring eller radering av datamedier ska förhindras (kontroll av datamedier), att obehörig registrering av personupp- gifter och obehörig kännedom om, ändring eller radering av lagrade personuppgifter ska förhindras (lagringskontroll) och att obehörig läsning, kopiering, ändring eller radering av personuppgifter i sam- band med uppgiftslämnande eller transport av databärare ska för- hindras (transportkontroll). Åtgärder ska också vidtas i syfte att säkerställa att personer som är behöriga att använda ett it-system endast har tillgång till personuppgifter som omfattas av deras behö- righet (åtkomstkontroll). Den personuppgiftsansvarige ska också säkerställa att det kan kontrolleras och fastställas till vilka myndig- heter eller andra organ personuppgifter har överförts och för vilka myndigheter eller andra organ uppgifterna har gjorts tillgängliga (kommunikationskontroll) och att det i efterhand kan kontrolleras och fastställas vilka personuppgifter som förts in i ett it-system, när det har gjorts och av vem (indatakontroll). Skydd mot förlust, förstöring eller annan oavsiktlig skada inne- bär bl.a. att de it-system som används ska kunna återställas vid störningar (återställande), att systemen ska fungera och att funk- tionsfel rapporteras (driftsäkerhet) och att de lagrade personupp- gifterna inte kan förvanskas genom funktionsfel i systemen (data- integritet). Som exempel på organisatoriska skyddsåtgärder kan nämnas fastställandet av en säkerhetspolicy, kontroller och uppföljning av säkerheten, utbildning i datasäkerhet och information om vikten av att följa gällande säkerhetsrutiner. Rutiner för anmälan och upp- följning av personuppgiftsincidenter utgör också sådana åtgärder, se kommentaren till 9 §. Vilken skyddsnivå som är lämplig får avgöras från fall till fall. Bedömningen är bl.a. beroende av vilka personuppgifter som be- handlas och hur integritetskänsliga de är. Paragrafen gäller enligt 20 § även för personuppgiftsbiträden. I 23 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana skyddsåtgärder som avses i paragrafen. Paragrafen, som genomför artikel 30.1, reglerar anmälan av per- sonuppgiftsincidenter till tillsynsmyndigheten. Personuppgiftsinci- dent definieras i 1 kap. 6 §. Paragrafen behandlas i avsnitt 10.4.2. Bestämmelser om rapportering av it-incidenter finns också i 10 a och 39 §§ säkerhetsskyddsförordningen (1996:633) och 20 § för- ordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap. Anmälan av personupp- giftsincidenter enligt förevarande paragraf kommer som regel att göras parallellt med anmälan av it-incidenter enligt den sistnämnda förordningen. I första stycket föreskrivs att den personuppgiftsansvarige ska anmäla en inträffad personuppgiftsincident till tillsynsmyndigheten . Anmälan ska dock inte göras till tillsynsmyndig- heten om incidenten rör nationell säkerhet. Undantag från anmäl- ningsskyldigheten gäller således om incidenten ska anmälas enligt säkerhetsskyddsförordningen. Någon anmälan behöver enligt andra stycket inte göras om det kan antas att personuppgiftsincidenten inte har medfört eller kom- mer att medföra någon risk för otillbörligt intrång i registrerades personliga integritet. Undantaget kan exempelvis vara tillämpligt om incidenten påverkat en mycket begränsad mängd personupp- gifter som inte är av känslig art eller om skyddet för uppgifterna påverkats att obehörig åtkomst inte varit möjlig. Den personuppgiftsansvarige har bevisbördan för att personupp- giftsincidenten inte har medfört eller kan antas medföra någon risk för otillbörligt intrång i registrerades personliga integritet. I 23 § upplyses om att det kan finnas föreskrifter på lägre nivå om förfarandet vid en anmälan. Paragrafen reglerar den personuppgiftsansvariges skyldighet att underrätta registrerade om en personuppgiftsincident. Underrättel- seskyldigheten omfattar bara sådana personuppgiftsincidenter som ska anmälas enligt 9 §. Gäller undantag från anmälningsskyldig- heten behöver den registrerade inte underrättas. Informationen kan också begränsas med stöd av 11 §. Paragrafen genomför artik- larna 31.1, 31.3 och 31.5 och behandlas i avsnitt 10.4.3. I första stycket anges under vilka omständigheter den registrerade ska underrättas. Underrättelseskyldigheten gäller bara om person- uppgiftsincidenten medfört eller kan antas medföra särskild risk för otillbörligt intrång i registrerades personliga integritet. Sådan sär- skild risk kan exempelvis finnas om känsliga personuppgifter har gjorts tillgängliga för ett stort antal obehöriga personer eller om en större mängd personuppgifter i ett specifikt ärende har ändrats eller förstörts. Hur snabbt den personuppgiftsansvarige bör informera den registrerade beror på omständigheterna i det enskilda fallet. En omedelbar skaderisk kan kräva att de registrerade underrättas om- gående. Underrättelsen bör lämnas så snart det är möjligt. Person- uppgiftsincidentens art och den registrerades intresse av och möj- lighet att själv vidta åtgärder för att begränsa skadan bör beaktas. Även den tid det tar för den personuppgiftsansvarige att vidta akuta åtgärder för att begränsa skadan, avhjälpa fel och liknande kan påverka tidpunkten för underrättelsen. I andra stycket regleras i vilka fall någon underrättelse inte krävs. Den registrerade behöver enligt punkten 1 inte underrättas om den personuppgiftsansvarige har tillämpat lämpliga tekniska och organi- satoriska skyddsåtgärder på de personuppgifter som påverkades av personuppgiftsincidenten. Det kan t.ex. vara fallet om personupp- gifterna har skyddats genom kryptering eller om pseudonymisering av personuppgifterna har tillämpats. Ett annat exempel kan vara att säkerhetskopiering gjorts. Den registrerade behöver enligt punkten 2 inte heller underrättas om den personuppgiftsansvarige har vidtagit åtgärder som säker- ställer att det inte längre finns särskild risk för otillbörligt intrång i registrerades personliga integritet. En sådan åtgärd kan vara att tillgången till ett register har begränsats till dess att den personupp- giftsansvarige har kunnat överblicka konsekvenserna av incidenten. Om det skulle krävas en oproportionerlig ansträngning att underrätta de registrerade behöver enligt punkten 3 underrättelse inte heller lämnas. Det skulle kunna vara fallet om en personupp- giftsincident påverkar ett mycket stort antal registrerade. I det sist- nämnda fallet ska i stället allmänheten informeras eller en liknande åtgärd vidtas för att de registrerade ska få nödvändig information. Det framgår av tredje stycket. I 23 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådan underrättelse som avses i förevarande paragraf. Paragrafen, som genomför artikel 31.5, reglerar i vilka fall informa- tion till registrerade enligt 10 § får begränsas. Den behandlas i av- snitt 10.4.3. Den personuppgiftsansvarige får enligt första stycket underlåta att lämna information om personuppgiftsincidenter i den utsträck- ning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författ- ning att uppgifterna inte får lämnas ut. Det är främst sekretess och tystnadsplikt enligt offentlighets- och sekretesslagen (2009:400) som avses. Vad det innebär utvecklas i kommentaren till 4 kap. 5 §. I första hand bör informationen senareläggas eller begränsas. Bara om det är absolut nödvändigt med hänsyn till de intressen som anges i paragrafen bör den personuppgiftsansvarige helt underlåta att informera den registrerade. I andra stycket föreskrivs att en personuppgiftsansvarig som inte är en myndighet i motsvarande utsträckning får underlåta att lämna information. I paragrafen, som genomför artikel 26, regleras den personupp- giftsansvariges skyldighet att samarbeta med tillsynsmyndigheten. Paragrafen behandlas i avsnitt 10.2.6. Skyldigheten omfattar enbart samarbete med myndighet som har utsetts till tillsynsmyndighet enligt lagen, se definitionen i 1 kap. 6 §. Skyldighet att bistå till- synsmyndigheten regleras också i 5 kap. 5 §. Samarbete med andra tillsynsmyndigheter regleras inte i lagen. Skyldigheten att samarbeta hör samman med tillsynsmyndighe- tens undersökningsbefogenheter. Skyldigheten innebär inte bara att den personuppgiftsansvarige ska ge tillsynsmyndigheten tillgång till det material, de resurser och den hjälp som krävs för att den ska kunna utöva tillsyn utan även att den personuppgiftsansvarige ska underlätta för tillsynsmyndigheten att utöva sina undersökningsbe- fogenheter på ett effektivt sätt. Det kan exempelvis innebära att hjälp ska erbjudas och ges inom rimlig tid. ska också ges möjlighet att ta del av information och material på det sätt som den anser mest lämpligt. förut- sätts precisera vilken hjälp myndigheten behöver och sätter däri- genom ramarna för samarbetsskyldigheten. Skyldigheten att samarbeta gäller när tillsynsmyndigheten utför sina författningsreglerade uppgifter. Det innebär att bestämmelsen ska tillämpas när tillsynsmyndigheten utövar allmän tillsyn över personuppgiftsbehandling, handlägger klagomål från registrerade, på begäran kontrollerar om personuppgifter behandlas författ- ningsenligt, bistår en tillsynsmyndighet i en annan medlemsstat och lämnar råd inom ramen för bl.a. förhandssamråd. Paragrafen gäller enligt 20 § även för personuppgiftsbiträden. Paragrafen reglerar den personuppgiftsansvariges skyldighet att utse dataskyddsombud. Den genomför artiklarna 32.1 och 32.4 och behandlas i avsnitt 10.5.2. Dataskyddsombud definieras i 1 kap. 6 §. I paragrafen föreskrivs att ett eller flera dataskyddsombud ska utses. Dataskyddsombudet kan vara anställd hos den personupp- giftsansvarige eller en utomstående person. Den personuppgiftsan- svarige får inte utse sig själv till dataskyddsombud. Det finns inget som hindrar att flera personuppgiftsansvariga utser ett gemensamt dataskyddsombud. Det skulle kunna aktuali- seras om de personuppgiftsansvariga bedriver liknande verksamhet i nära anslutning till varandra eller utför behandling i ett gemen- samt system eller i ett avgränsat samarbete. Den personuppgiftsansvarige ska anmäla till tillsynsmyndighe- ten när dataskyddsombud utses och entledigas. I paragrafen, som genomför artikel 34, anges vilka uppgifter data- skyddsombud ska utföra. Paragrafen behandlas i avsnitt 10.5.3. I punkten 1 föreskrivs att dataskyddsombud självständigt ska kontrollera att den personuppgiftsansvarige behandlar personupp- gifter författningsenligt och på ett korrekt sätt och i övrigt fullgör de skyldigheter som åligger personuppgiftsansvariga. Det innebär att ombudet måste förvissa sig om att den personuppgiftsansvarige följer bestämmelserna i lagen och andra författningar som reglerar behandlingen av personuppgifter. Hur omfattande kontrollen bör vara får avgöras efter omständigheterna. Dataskyddsombuden bör framför allt granska den faktiska han- teringen av personuppgifter. Därutöver bör ombuden exempelvis granska rutinerna för behandling av personuppgifter, hur tillgången till personuppgifter hanteras och vilka krav på utbildning och andra kvalifikationer som den personuppgiftsansvarige ställer på personal som behandlar personuppgifter. Ombuden bör påpeka eventuella brister för den personuppgiftsansvarige så att denne blir medveten om dem och har möjlighet att vidta lämpliga åtgärder. Kravet på självständighet innebär att dataskyddsombud ska kunna utföra sina arbetsuppgifter på ett oberoende sätt. Ombuden bör framför allt ha sådan ställning i organisationen att deras syn- punkter och råd tas på allvar. De förutsätts också ha goda kun- skaper om regelverket om personuppgiftsbehandling. I punkten 2 anges att dataskyddsombuden ska informera och ge råd till den personuppgiftsansvarige och de som behandlar person- uppgifter under dennes ledning om deras skyldigheter vid sådan behandling. Det handlar främst om att göra den personuppgiftsan- svarige och medarbetarna medvetna om vad de i olika situationer är skyldiga att göra, t.ex. att informera registrerade, att ha säkerhets- rutiner och att dokumentera personuppgiftsbehandlingen. Det innebär inte att dataskyddsombuden ska tala om för den person- uppgiftsansvarige och medarbetarna hur de ska behandla person- uppgifter i enskilda fall. Om den personuppgiftsansvarige begär det ska dataskyddsom- budet också ge råd vid en konsekvensbedömning och kontrollera att bedömningen genomförs på korrekt sätt. Det framgår av punk- ten 3. Enligt punkten 4 ska dataskyddsombuden vara kontaktpunkt för enskilda i frågor som rör behandling av personuppgifter. Syftet med bestämmelsen är att enskilda ska kunna vända sig till en kun- nig person inom organisationen i frågor som t.ex. rör information om personuppgiftsbehandlingen och rättelse av felaktiga person- uppgifter. Dataskyddsombuden har som kontaktpunkt skyldighet att hjälpa enskilda som vänder sig till myndigheten. I den rollen ligger också att bevaka att den personuppgiftsansvarige fullgör sina skyldigheter gentemot registrerade. Ombuden behöver däremot inte vidta de åtgärder som kan krävas med anledning av förfråg- ningar eller klagomål från registrerade. I punkten 5 föreskrivs att dataskyddsombuden ska samarbeta med tillsynsmyndigheten och fungera som kontaktpunkt för den vid förhandssamråd och andra frågor som rör behandling av per- sonuppgifter. Samarbeta har här i princip samma innebörd som i 12 §, dvs. det handlar om att underlätta tillsynsmyndighetens arbe- te. I samarbetsskyldigheten ligger även att ombuden, när det är lämpligt, ska samråda med tillsynsmyndigheten i frågor som rör personuppgiftsbehandling. Det innebär att ombuden vid tvek- samheter av olika slag bör fråga tillsynsmyndigheten om råd. Vid förhandssamråd bör arbetsuppgiften främst bestå i att bistå till- synsmyndigheten med nödvändigt underlag och information och eventuellt stå till förfogande vid frågor angående behandlingen. Ett dataskyddsombud behöver inte ägna sig uteslutande åt de arbetsuppgifter som anges i paragrafen. Beroende på hur organisa- tionen ser ut kan arbetet som dataskyddsombud kombineras med andra arbetsuppgifter, så länge de inte kommer i konflikt med upp- draget som ombud. Paragrafen, som behandlas i avsnitt 10.5.3, reglerar dataskyddsom- budens skyldighet att anmäla brister till tillsynsmyndigheten. Om den personuppgiftsansvarige inte följer regelverket för be- handling av personuppgifter ska dataskyddsombudet agera. Skulle ombudet upptäcka en brist i behandlingen, bör han eller hon i första hand påpeka det för den personuppgiftsansvarige. Om den personuppgiftsansvarige inte åtgärdar bristen, är dataskyddsom- budet enligt paragrafen skyldig att anmäla bristen till tillsynsmyn- digheten. Hur snart den personuppgiftsansvarige bör vidta rättelse efter ett påpekande beror på omständigheterna i det enskilda fallet. Att det kan ta någon tid att rätta till en upptäckt brist bör i allmänhet accepteras. Dröjer det alltför länge innan något görs, bör ombudet emellertid påtala saken för tillsynsmyndigheten. Att ett anställt dataskyddsombud med stöd av paragrafen gör en anmälan får inte leda till några konsekvenser för ombudet i arbetsrättsligt hän- seende, eftersom det är en lagreglerad skyldighet. [16 § Dataskyddsombuds tystnadsplikt – se avsnitt 16.2] Av paragrafen framgår att personuppgiftsbiträden får anlitas och vad den personuppgiftsansvarige måste göra innan ett personupp- giftsbiträde anlitas. Paragrafen genomför artikel 22.1 och behandlas i avsnitt 10.6.2. En personuppgiftsansvarig får anlita personuppgiftsbiträden. Det förutsätter dock att det är lämpligt. Om det är lämpligt får av- göras med hänsyn bl.a. till vilka personuppgifter som ska behandlas och om det gäller sekretess för uppgifterna. att den personuppgiftsansvarige ska försäkra sig om att biträdet vidtar lämpliga tekniska och organisatoriska åtgärder för att per- sonuppgiftsbehandlingen ska vara författningsenlig och för att skydda registrerades rättigheter. Kraven omfattar inte bara säker- hetsåtgärder, utan även andra tekniska och organisatoriska åtgär- der. Skyldigheten innebär att den personuppgiftsansvarige, innan ett personuppgiftsbiträde anlitas, bl.a. bör förhöra sig om hur biträ- det kommer att behandla uppgifterna tekniskt, hur arbetet är orga- niserat och vilket skydd personuppgifterna kommer att ha. Paragrafen, som genomför artiklarna 22.2–22.4, reglerar bl.a. kravet på skriftligt avtal eller annan skriftlig överenskommelse mellan den personuppgiftsansvarige och personuppgiftsbiträdet. Paragrafen behandlas i avsnitt 10.6.2. I första stycket ställs krav på att det ska ingås ett skriftligt avtal eller någon annan skriftlig överenskommelse som reglerar person- uppgiftsbiträdets behandling av personuppgifter för den person- uppgiftsansvariges räkning. Eftersom statliga myndigheter, som är att anse som två enheter inom samma juridiska person, i rättslig mening inte kan ingå bindande avtal med varandra får de träffa en skriftlig överenskommelse som reglerar behandlingen om en myn- dighet agerar personuppgiftsbiträde åt en annan. I andra stycket föreskrivs att den personuppgiftsansvarige inte utan skriftligt tillstånd från den personuppgiftsansvarige får anlita ett annat personuppgiftsbiträde, ett s.k. underbiträde. Ett sådant tillstånd kan gälla biträdets rätt att anlita underbiträden generellt eller i en specifik situation. Syftet med bestämmelsen är att den personuppgiftsansvarige ska känna till vilka personuppgiftsbiträden som behandlar personuppgifter för dennes räkning. I 23 § upplyses om att det kan finnas föreskrifter på lägre nivå om innehållet i sådana avtal och överenskommelser som avses i första stycket. Paragrafen, som genomför artikel 22.5 och delar av artikel 23, reg- lerar vad som gäller vid behandling av personuppgifter hos ett per- sonuppgiftsbiträde. Paragrafen behandlas i avsnitt 10.6.3. I första stycket slås fast den grundläggande principen att ett per- sonuppgiftsbiträde och den eller de personer som arbetar under biträdets ledning bara får behandla personuppgifter i enlighet med instruktioner från den personuppgiftsansvarige. Instruktionerna till biträdet bör vara så tydliga att det inte finns risk för otillåten be- handling. Instruktionerna kan exempelvis gälla hur tillgången till personuppgifter hos biträdets anställda ska begränsas, om biträdet ska använda kryptering vid kommunikation och andra åtgärder som krävs för dataskydd. Om det finns avvikande regler i annan lag- stiftning som föreskriver att personuppgiftsbiträdet är skyldig att utföra viss behandling, t.ex. att lämna ut allmänna handlingar, får behandlingen utföras utan särskilda instruktioner. I andra stycket regleras det fallet där personuppgiftsbiträdet i strid med den personuppgiftsansvariges instruktioner bestämmer ändamålen med och medlen för behandlingen. Personuppgifts- biträdet är då att anse som personuppgiftsansvarig för den behand- lingen. I paragrafen föreskrivs vilka skyldigheter som gäller för personupp- giftsbiträden. Paragrafen, som genomför delar av artiklarna 25, 26 och 29, behandlas i avsnitt 10.6.5. Hänvisningen till 5 och 6 §§ innebär att personuppgiftbiträden, i likhet med personuppgiftsansvariga, är skyldiga att dels säkerställa att loggar förs i automatiserade behandlingssystem, dels se till att anställda bara ges tillgång till de personuppgifter som krävs för att fullgöra arbetsuppgifterna. Innebörden av bestämmelserna framgår av kommentarerna till 5 och 6 §§. Vidare gäller skyldigheten enligt 8 § att vidta lämpliga skyddsåt- gärder även för personuppgiftsbiträden. Innebörden av skyldighe- ten framgår av kommentaren till den paragrafen. Personuppgiftsbiträden är också, genom hänvisningen till 12 §, skyldiga att i samma utsträckning som personuppgiftsansvariga samarbeta med tillsynsmyndigheten. Innebörden av skyldigheten framgår av kommentaren till den paragrafen. Personuppgiftsbiträ- dens skyldighet att samarbeta med tillsynsmyndigheten kan aktua- liseras i flera olika situationer. Samarbete kan t.ex. krävas vid tillsyn hos biträdet. Då är samarbetsskyldigheten i princip densamma som för den personuppgiftsansvarige. Samarbetsskyldigheten kan också aktualiseras vid tillsyn hos den personuppgiftsansvarige som biträ- det utför personuppgiftsbehandling åt eller inom ramen för den personuppgiftsansvariges förhandssamråd med tillsynsmyndighe- ten. Skyldigheten innebär att biträdet också måste samarbeta med den personuppgiftsansvarige, eftersom det är en förutsättning för att tillsynsmyndigheten ska kunna utföra sitt arbete. Att personuppgiftsbiträden åläggs vissa skyldigheter fråntar inte de personuppgiftsansvariga deras ansvar. Den personuppgiftsan- svarige är, som framgår av kommentaren till 1 §, ansvarig för den behandling av personuppgifter som personuppgiftsbiträdet utför på dennes vägnar. Den omständigheten att personuppgiftsbiträden ges en direkt skyldighet att vidta vissa åtgärder innebär dock att till- synsmyndigheten vid brister kan vidta åtgärder mot både person- uppgiftsbiträdet och den personuppgiftsansvarige. Paragrafen, som genomför artikel 21, anger när två eller flera behö- riga myndigheter får vara gemensamt personuppgiftsansvariga. Den behandlas i avsnitt 10.7.2.