sou · H5B329 · 2017-04-05 00:00:00 — Dataskyddsombud bör informera och ge råd till personuppgifts- ansvariga och de som behandlar personuppgifter under dennes led- ning om deras skyldigheter enligt ramlagen och andra författningar som rör personuppgiftsbehandling. Det handlar främst om att göra den personuppgiftsansvarige och medarbetarna medvetna om vad de i olika situationer är skyldiga att göra, t.ex. att informera regi- strerade, att ha säkerhetsrutiner och att dokumentera personupp- giftsbehandlingen. Om den personuppgiftsansvarige begär det ska ombudet ge råd vid en konsekvensbedömning och kontrollera att bedömningen genomförs på rätt sätt. Dataskyddsombud ska även samarbeta med och fungera som kontaktpunkt för tillsynsmyndigheten i frågor som rör behandling av personuppgifter. Det gäller särskilt vid sådant förhandssamråd som avses i artikel 28 (se avsnitt 10.2.5). Samarbetet innebär också att ombuden, när det är lämpligt, ska samråda med tillsynsmyn- digheten även i andra frågor som rör personuppgiftsbehandling. Dataskyddsombudens roll påminner om internrevisorers. För att ombuden ska kunna utöva intern kontroll bör de inte ges arbetsuppgifter som kan komma i konflikt med kontrolluppgiften. Det kan t.ex. vara olämpligt att låta dataskyddsombud utbilda per- sonalen eller ansvara för att den får annan information, eftersom det är åtgärder som omfattas av den interna granskningen. Av samma skäl är det inte lämpligt att dataskyddsombud ges i uppdrag att föra det register över personuppgiftsbehandlingar som den personuppgiftsansvarige ska föra. I större myndigheter torde det inte innebära några svårigheter att hålla isär dessa arbetsuppgifter. I mindre organisationer kan det dock vara svårare. Det är då viktigt att dataskyddsombudet trots sin dubbla roll kan utöva kontrollen på ett oberoende sätt. En lösning kan vara att anlita ett dataskydds- ombud utanför den egna organisationen. Bör dataskyddsombud även ges andra arbetsuppgifter? Dagens personuppgiftsombud ska enligt 40 § personuppgiftslagen hjälpa registrerade att få rättelse när det finns anledning att miss- tänka att behandlade personuppgifter är felaktiga eller ofullstän- diga. Det framgår inte av förarbetena vad hjälpen innebär och frå- gan är om dataskyddsombud bör ha den arbetsuppgiften. Personuppgiftsombud fungerar enligt uppgift främst som kon- taktpunkt för registrerade i frågor om rättelse och är normalt inte den som i praktiken rättar personuppgifter. Personuppgiftsombud verkar emellertid också användas som kontaktpunkt för registre- rade i andra frågor som rör behandling av personuppgifter. I förar- betena till polisdatalagen påtalas vikten av att registrerade enkelt kan vända sig till rätt person hos myndigheten bl.a. i frågor om information om behandling och om rättelse av felaktiga uppgifter (prop. 2009/10:85 s. 93). Liknande uttalanden finns också i förar- betena till andra registerförfattningar (se t.ex. prop. 2014/15:148 s. 91). Det förefaller således finnas behov av att ombudet hjälper registrerade även med andra frågor. Enligt utredningens mening är det naturligt att dataskyddsom- buden fungerar som kontaktpunkt för enskilda i frågor som rör be- handling av personuppgifter på samma sätt som personuppgiftsom- buden. Den personuppgiftsansvarige ska också enligt artikel 13.1 självmant göra dataskyddsombudens kontaktuppgifter tillgängliga för registrerade. Det talar för att dataskyddsombuden bör ha samma roll i förhållande till enskilda som personuppgiftsombud har . Utredningen anser däremot inte att det bör författnings- regleras vad dataskyddsombud ska göra i egenskap av kontaktpunkt för enskilda. Enligt personuppgiftslagen ska ett personuppgiftsombud an- mäla till tillsynsmyndigheten om han eller hon misstänker att den personuppgiftsansvarige bryter mot gällande bestämmelser och inte vidtar rättelse. Någon sådan skyldighet föreskrivs inte i direktivet. Det är enligt utredningens mening viktigt att dataskyddsombud uppmärksammar tillsynsmyndigheten på eventuella problem och brister, särskilt om den personuppgiftsansvarige inte rättar sig efter ombudets påpekanden. Dataskyddsombuden bör därför, som per- sonuppgiftsombuden , ha i uppdrag att anmäla eventuella över- trädelser till tillsynsmyndigheten. Dataskyddsombudens verksamhet ska underlättas För att dataskyddsombuden ska kunna utföra sina arbetsuppgifter krävs det att de personuppgiftsansvariga gör det möjligt och till- handahåller de resurser som ombuden behöver. Den personupp- giftsansvarige ska t.ex. göra ombudet delaktig i frågor och beslut som rör behandling av personuppgifter. Ombuden bör också få till- gång till all dokumentation gällande personuppgiftsbehandlingen och, i den utsträckning det behövs, tillgång till de personuppgifter som behandlas. Den personuppgiftsansvarige bör även se till att ombudet ges utrymme för vidareutbildning och annan kunskapsin- hämtning. Bestämmelser om det som har sagts kan tas in i för- ordning. Utredningens förslag: Personuppgiftsbiträde ska i ramlagen definieras som den som, med stöd av ett skriftligt avtal eller annan skriftlig överenskommelse, behandlar personuppgifter för den personuppgiftsansvariges räkning. Skälen för utredningens förslag: Personuppgiftsbiträde definieras i artikel 3.9 som en fysisk eller juridisk person, institution eller annat organ som behandlar personuppgifter för den personupp- giftsansvariges räkning. Det motsvarar i sak definitionen i 3 § per- sonuppgiftslagen. Samma definition bör i princip användas i ram- lagen. Utredningen anser dock att det av definitionen även bör framgå att biträdets behandling utförs med stöd av ett skriftligt avtal eller annan skriftlig överenskommelse. Genom tillägget tyd- liggörs att ett avtal eller en överenskommelse krävs för att någon överhuvudtaget ska få agera som personuppgiftsbiträde. Person- uppgiftsbiträde bör därmed definieras som den som, med stöd av ett skriftligt avtal eller annan skriftlig överenskommelse, behandlar personuppgifter för den personuppgiftsansvariges räkning. Ett personuppgiftsbiträde finns alltid utanför den personupp- giftsansvariges organisation. En anställd eller någon annan som be- handlar personuppgifter under den personuppgiftsansvariges direk- ta ansvar kan inte vara personuppgiftsbiträde. Utredningens förslag: Den personuppgiftsansvarige ska, om det är lämpligt, få anlita personuppgiftsbiträden. En personupp- giftsansvarig, som anlitar ett personuppgiftsbiträde, ska försäkra sig om att biträdet vidtar lämpliga tekniska och organisatoriska åtgärder för att behandlingen av personuppgifter ska vara för- fattningsenlig och för att skydda registrerades rättigheter. Det ska finnas ett skriftligt avtal eller annan skriftlig över- enskommelse om personuppgiftsbiträdets behandling av per- sonuppgifter för den personuppgiftsansvariges räkning. Vad avtalet eller överenskommelsen ska innehålla ska regleras i för- ordning. Ett personuppgiftsbiträde ska inte få anlita ett annat person- uppgiftsbiträde utan skriftligt tillstånd av den personuppgiftsan- svarige. Det som i övrigt ska gälla för sådana tillstånd ska regle- ras i förordning. Skälen för utredningens förslag Enligt artikel 22.1 får den personuppgiftsansvarige endast anlita personuppgiftsbiträden som ger tillräckliga garantier om att vidta lämpliga tekniska och organisatoriska åtgärder, så att behandlingen uppfyller kraven i direktivet och säkerställer att den registrerades rättigheter skyddas. Personuppgiftsbiträdets behandling ska enligt artikel 22.3 regle- ras genom ett avtal eller annan rättsakt enligt unionsrätten eller nationell rätt. Avtalet ska enligt artikel 22.4 vara skriftligt. Av artikel 22.3 framgår att föremålet för behandlingen, behand- lingens varaktighet, art och ändamål, typen av personuppgifter, kategorier av registrerade och den personuppgiftsansvariges skyl- digheter och rättigheter ska regleras i avtalet eller motsvarande. Därutöver ska vissa krav och villkor särskilt anges, t.ex. att person- uppgiftsbiträdet säkerställer att personer som har tillstånd att be- handla personuppgifterna har tystnadsplikt. Personuppgiftsbiträdet ska också radera eller återlämna alla personuppgifter till den per- sonuppgiftsansvarige när uppdraget har avslutats och radera be- fintliga kopior av personuppgifterna, om inte lagring av dem krävs enligt unionsrätten eller nationell rätt. Enligt artikel 22.2 får personuppgiftsbiträdet inte anlita ett annat personuppgiftsbiträde utan skriftligt förhandstillstånd av den personuppgiftsansvarige. Om ett allmänt tillstånd har erhållits, ska personuppgiftsbiträdet alltid informera den personuppgiftsansva- rige om planer på att anlita nya personuppgiftsbiträden eller ersätta personuppgiftsbiträden. Regler om personuppgiftsbiträden finns i artikel 17.2 och 17.3 i det nu gällande direktivet, som har genomförts i 30 och 31 §§ person- uppgiftslagen. Enligt 31 § andra stycket ska den personuppgiftsan- svarige, när denne anlitar ett personuppgiftsbiträde, förvissa sig om att biträdet kan vidta de säkerhetsåtgärder som krävs och se till att biträdet gör det. Det är dock den personuppgiftsansvarige som har ansvaret gentemot den registrerade även när ett personuppgiftsbi- träde anlitas (prop. 1997/98:44 s. 93). Det ska enligt 30 § andra stycket personuppgiftslagen finnas ett skriftligt avtal om person- uppgiftsbiträdets behandling av personuppgifter för den person- uppgiftsansvariges räkning. I avtalet ska det särskilt föreskrivas att personuppgiftsbiträdet bara får behandla personuppgifter i enlighet med instruktioner från den personuppgiftsansvarige och att per- sonuppgiftsbiträdet ska vidta de säkerhetsåtgärder som avses i 31 § första stycket för att skydda personuppgifterna. Myndigheternas registerförfattningar hänvisar antingen till dessa paragrafer eller saknar avvikande bestämmelser. Personuppgiftsbiträden ska kunna anlitas På direktivets område är det ovanligt att myndigheter anlitar utom- stående privata aktörer för behandling av personuppgifter, men det kan förekomma. träffas också överenskommelser mellan myndigheter där en myndighet agerar personuppgiftsbiträde åt en annan. Det behövs därför bestämmelser i ramlagen som reglerar anlitandet av personuppgiftsbiträden. På samma sätt som bör det krävas att den personupp- giftsansvarige försäkrar sig om att personuppgiftsbiträdet ska vidta nödvändiga säkerhetsåtgärder och ser till att det görs. Artikel 22.1 omfattar inte bara säkerhetsåtgärder, utan även andra tekniska och organisatoriska åtgärder som säkerställer att behandlingen är för- fattningsenlig och utförs på ett korrekt sätt och att personuppgif- terna skyddas. Den personuppgiftsansvarige bör innan ett person- uppgiftsbiträde anlitas bl.a. förhöra sig om hur biträdet kommer att behandla uppgifterna tekniskt, hur arbetet är organiserat och vilket skydd personuppgifterna har hos biträdet. Enligt utredningens mening går bestämmelsen därmed längre än de nu gällande kraven på personuppgiftsansvariga. Bestämmelsen i ramlagen bör därför ha en något vidare formulering än motsvarande bestämmelse i person- uppgiftslagen. Ansvarsfördelningen mellan personuppgiftsansvarig och personuppgiftsbiträde Den personuppgiftsansvarige är ansvarig för all behandling av per- sonuppgifter som utförs på dennes vägnar. Den personuppgiftsan- svarige ansvarar således både i förhållande till tillsynsmyndigheten och i förhållande till registrerade för att reglerna i ramlagen och andra tillämpliga författningar följs vid personuppgiftsbehandling hos ett personuppgiftsbiträde. Den personuppgiftsansvarige kan uppdra åt biträdet att utföra viss behandling av personuppgifter, men kan inte avsäga sig personuppgiftsansvaret och de skyldigheter som följer med det. Den personuppgiftsansvarige är också skade- ståndsskyldig gentemot enskilda vid felaktig behandling av person- uppgifter hos personuppgiftsbiträdet. Att biträdet kan bli skade- ståndsskyldigt gentemot den personuppgiftsansvarige är en annan sak. Den omständigheten att flera bestämmelser i direktivet riktar sig direkt till personuppgiftsbiträden innebär enligt utredningens mening ingen förändring av ansvarsfördelningen mellan person- uppgiftsansvariga och personuppgiftsbiträden. Tillsynsmyndighe- ten får emellertid i vissa fall utkräva ansvar även av personuppgifts- biträden. Om ett personuppgiftsbiträde t.ex. inte vidtar nödvändiga säkerhetsåtgärder kan tillsynsmyndigheten vidta åtgärder mot både biträdet och den personuppgiftsansvarige. Likaså kan båda åläggas sanktionsavgift för sådana brister hos biträdet. Personuppgiftsbiträdets roll ska regleras i en överenskommelse På samma sätt som bör det krävas ett skriftligt avtal eller någon annan skriftlig överenskommelse mellan personuppgiftsbi- trädet och den personuppgiftsansvarige. I artikel 22.3 anges relativt utförligt vad ett sådant avtal ska innehålla. I jämförelse med mot- svarande bestämmelse i det nu gällande dataskyddsdirektivet ställs det väsentligt högre krav på innehållet. Enligt utredningens mening bör ramlagen inte tyngas av alltför detaljerade bestämmelser. Även om det anges i personuppgiftslagen vad ett personuppgifts- biträdesavtal ska innehålla anser utredningen att regleringen bör finnas i förordning när innehållet nu blir mer detaljbetonat. Av överenskommelsen bör det åtminstone framgå vad behand- lingen ska avse, behandlingens varaktighet, art och ändamål, typen av personuppgifter som ska behandlas, kategorier av registrerade och den personuppgiftsansvariges skyldigheter och rättigheter. Det bör också framgå att biträdet endast får behandla personuppgifter enligt instruktioner från den personuppgiftsansvarige. Vidare ska överenskommelsen reglera vad som gäller i fråga om tystnadsplikt. Överenskommelsen ska även reglera biträdets skyldighet att hjälpa den personuppgiftsansvarige att säkerställa att bestämmel- serna om enskildas rättigheter följs. Det ska vidare framgå att biträ- det, beroende på den personuppgiftsansvariges önskan, antingen ska förstöra eller återlämna alla personuppgifter till den personupp- giftsansvarige när uppdraget har slutförts och förstöra befintliga kopior. Den personuppgiftsansvarige ska också ges tillgång till den information som krävs för att kunna visa tillsynsmyndigheten att bestämmelserna om anlitande av personuppgiftsbiträden efterlevs. Även dessa frågor bör regleras i överenskommelsen. Vidare bör det framgå att personuppgiftsbiträdet respekterar de villkor som gäller vid anlitande av s.k. underbiträden. Den personuppgiftsansvarige och biträdet avgör om de även vill reglera andra frågor i avtalet. Varken det nu gällande dataskyddsdirektivet eller personuppgifts- lagen reglerar förutsättningarna för när ett personuppgiftsbiträde får anlita ett annat personuppgiftsbiträde, ett s.k. underbiträde. Utredningen anser att det är av grundläggande betydelse att den personuppgiftsansvarige känner till vilka personuppgiftsbiträden som behandlar personuppgifter för dennes räkning. Av ramlagen bör det därför framgå att ett personuppgiftsbiträde inte får anlita ett annat personuppgiftsbiträde utan att den personuppgiftsan- svarige har lämnat skriftligt tillstånd till det. Att personuppgifts- biträden som har fått ett generellt tillstånd att anlita underbiträden ska vara skyldiga att informera den personuppgiftsansvarige när underbiträden anlitas kan regleras i förordning. Syftet med infor- mationen är att den personuppgiftsansvarige ska ha möjlighet att invända mot anlitandet av nya biträden. 10.6.3Behandling enligt den personuppgiftsansvariges instruktioner Utredningens förslag: Ett personuppgiftsbiträde och de som arbetar under biträdets ledning ska endast få behandla person- uppgifter i enlighet med instruktioner från den personuppgifts- ansvarige. Om ett personuppgiftsbiträde i strid med den personupp- giftsansvariges instruktioner fastställer ändamålen med och medlen för behandlingen ska biträdet anses vara personuppgifts- ansvarig för den behandlingen. Skälen för utredningens förslag Innehållet i direktivet och nuvarande reglering Enligt artikel 23 får personuppgiftsbiträdet och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbi- trädets överinseende, och som får tillgång till personuppgifter, en- dast behandla uppgifterna enligt instruktion från den personupp- giftsansvarige. Undantag gäller dock om någon enligt unionsrätten eller nationell rätt är skyldig att behandla personuppgifter. Om så är fallet får personuppgiftsbiträdet göra det även utan instruktion från den personuppgiftsansvarige. En likadan bestämmelse finns i artikel 16 i det nu gällande data- skyddsdirektivet. Den har genomförts i 30 § första stycket person- uppgiftslagen. Där föreskrivs att ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets eller den personupp- giftsansvariges ledning får behandla personuppgifter bara i enlighet med instruktioner från den personuppgiftsansvarige. Om det i lag eller annan författning finns särskilda bestämmelser om behand- lingen av personuppgifter i det allmännas verksamhet i sådana frå- gor, gäller emellertid de bestämmelserna i stället för 30 § första stycket. Det som främst avses är bestämmelser om tystnadsplikt och sekretess (prop. 1997/98:44 s. 136). I artikel 22.5 föreskrivs att ett personuppgiftsbiträde som i strid med direktivet fastställer ändamålen med och medlen för behand- lingen ska anses vara personuppgiftsansvarig avseende den behand- lingen. Någon motsvarande bestämmelse finns inte . Behandling enligt den personuppgiftsansvariges instruktioner Det bör framgå av ramlagen att ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets ledning bara får be- handla personuppgifter i enlighet med instruktioner från den per- sonuppgiftsansvarige. Det framgår inte av direktivet hur utförliga instruktioner som ska lämnas till biträdet. Instruktionerna bör givetvis vara så tydliga att otillåten behandling inte utförs (jfr SOU 1997:39 s. 335). Den överenskommelse som styr personuppgiftsbiträdets uppdrag ska innehålla viss information som ger instruktioner till biträdet, bl.a. om behandlingens varaktighet, art och ändamål. Instruktionerna kan också gälla exempelvis hur tillgången till personuppgifter hos biträdet ska begränsas, om biträdet ska använda kryptering vid kommunikation och andra åtgärder som krävs för dataskydd. En- ligt skäl 64 bör ett personuppgiftsbiträde endast överföra person- uppgifter till ett tredjeland eller en internationell organisation om biträdet fått i uppdrag att göra det. Sådana uppdrag bör också fram- gå av de instruktioner som den personuppgiftsansvarige lämnar till biträdet. Avvikande bestämmelser i annan författning ska gälla framför bestämmelserna i ramlagen (se avsnitt 6.1.2). Om det finns avvi- kande regler i annan lagstiftning som anger att någon är skyldig att utföra en viss behandling, exempelvis att lämna ut allmänna hand- lingar, innebär det att behandlingen får utföras utan särskilda in- struktioner. Att den som bestämmer ändamålen med och medlen för be- handlingen är att anse som personuppgiftsansvarig framgår av defi- nitionen av personuppgiftsansvarig. Enligt utredningens mening bör det i ramlagen tydliggöras att ett personuppgiftsbiträde som går utanför sin befogenhet och behandlar personuppgifter för något annat ändamål eller på något annat sätt än enligt sina in- struktioner är personuppgiftsansvarig för den behandlingen. I så- dana fall kan biträdet bli skadeståndsskyldig eller påföras sank- tionsavgift på grund av den behandlingen (se avsnitt 14.3.2 och 13.4). Trots att personuppgiftsbiträdet kanske inte är en behörig myn- dighet enligt definitionen i ramlagen bör den behandling som bi- trädet då utför i egenskap av personuppgiftsansvarig omfattas av Som utredningen uppfattar direktivet har regeln om att personuppgiftsbiträden blir personuppgiftsansvariga i den nu aktuella situationen till syfte att säkerställa att behandlingen av per- sonuppgifterna utförs enligt direktivets bestämmelser. Direktivet är skräddarsytt för behandlingen av personuppgifter för vissa ända- mål. Det skulle innebära ett sämre skydd för enskilda om person- uppgiftsbiträdenas behandling inte skulle följa den regleringen om de går utanför sina instruktioner. Det som har sagts kan dock bara gälla så länge syftet med behandlingen ligger inom ramlagens tillämpningsområde. Skulle personuppgiftsbiträdet behandla upp- gifterna för helt andra ändamål blir enligt utredningens mening dataskyddsförordningen tillämplig. 10.6.4Skyldighet att förteckna behandlingar Utredningens förslag: Personuppgiftsbiträdets skyldighet att förteckna de kategorier av behandling som utförs för en person- uppgiftsansvarigs räkning ska regleras i förordning. Skälen för utredningens förslag: Enligt artikel 24.2 ska person- uppgiftsbiträden föra register över de kategorier av behandling som utförs för en personuppgiftsansvarigs räkning, vilket är en nyhet. I artikeln räknas ett antal uppgifter upp som ska framgå av registret, som enligt artikel 24.3 på begäran ska göras tillgängligt för tillsyns- myndigheten. Den dokumentationsskyldighet för personuppgiftsbiträden som artikeln föreskriver kan regleras i förordning. De uppgifter som anges i artikel 24.2 bör framgå av registret. Någon särskild bestäm- melse om att dokumentationen ska göras tillgänglig för tillsyns- myndigheten behövs inte (jfr avsnitt 10.2.7). 10.6.5Övriga skyldigheter för personuppgiftsbiträden Utredningens förslag: Ett personuppgiftsbiträde ska ha samma skyldigheter som en personuppgiftsansvarig att logga vissa typer av behandlingar, begränsa tillgången till personuppgifter, vidta skyddsåtgärder och samarbeta med tillsynsmyndigheten. Personuppgiftsbiträdets skyldighet att underrätta den per- sonuppgiftsansvarige om personuppgiftsincidenter ska regleras i förordning. Skälen för utredningens förslag: Flera av skyldigheterna för per- sonuppgiftsansvariga gäller även för personuppgiftsbiträden. Det är samarbetsskyldigheten enligt artikel 26, skyldigheten enligt arti- kel 29 att vidta lämpliga säkerhetsåtgärder och skyldigheten enligt artikel 25 att föra loggar. När det gäller förhandssamråd enligt arti- kel 28 föreskrivs att den personuppgiftsansvarige eller personupp- giftsbiträdet ska samråda med tillsynsmyndigheten. Enligt 30 § andra stycket personuppgiftslagen är ett personupp- giftsbiträde skyldigt att vidta sådana säkerhetsåtgärder som avses i 31 § första stycket. Det ska också föreskrivas i biträdesavtalet. Den personuppgiftsansvariges skyldighet att logga vissa typer av behandlingar, samarbeta med tillsynsmyndigheten och vidta lämp- liga åtgärder för att skydda personuppgifterna regleras i ramlagen. Det bör framgå av ramlagen att bestämmelserna i fråga gäller även för personuppgiftsbiträden. Skyldigheten att begränsa tillgången till personuppgifter till vad varje tjänsteman behöver för att fullgöra sina arbetsuppgifter bör enligt utredningens mening gälla även för personuppgiftsbiträden, vilket bör framgå av ramlagen. När det gäller förhandssamråd med tillsynsmyndigheten anser utredningen att det bör vara en skyldighet enbart för den person- uppgiftsansvarige, eftersom den personuppgiftsansvarige är ansva- rig även för den behandling som personuppgiftsbiträdet utför. Den föreslagna bestämmelsen om förhandssamråd bör därför inte gälla för personuppgiftsbiträden. Eftersom det i artikel 28 anges att den personuppgiftsansvarige eller personuppgiftbiträdet i vissa fall ska samråda med tillsynsmyndigheten kan en sådan reglering inte anses strida mot direktivet. Ett personuppgiftsbiträde kan dock behöva bistå den personuppgiftsansvarige under förhandssamrådet om samrådet t.ex. rör förändringar avseende redan pågående person- uppgiftsbehandling som utförs av biträdet. Skyldigheten att sam- arbeta med tillsynsmyndigheten föreslås gälla även för personupp- giftsbiträden. Samarbetsskyldigheten gäller generellt och omfattar därigenom även samarbete från biträdets sida vid förhandssamråd om det blir aktuellt.