sou · H5B329 · 2017-04-05 00:00:00 — Av paragraferna framgår att till- gången till personuppgifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Tillgången till personuppgifter ska begränsas I artikel 4.1 c, som anger de grundläggande principerna för behand- ling, föreskrivs att personuppgifter inte får vara för omfattande i förhållande till de syften för vilka de behandlas. Av artikel 29.2 e, som behandlar säkerhetsåtgärder, framgår att den personuppgifts- ansvarige eller personuppgiftsbiträdet ska säkerställa att personer som är behöriga att använda ett automatiserat behandlingssystem endast har tillgång till personuppgifter som omfattas av deras be- hörighet. Frågan är om det i ramlagen bör tas in en generell be- stämmelse om tillgången till personuppgifter. Stora informationsmängder som är samlade så att personupp- gifter är enkelt sökbara på elektronisk väg medför risk för intrång i den personliga integriteten. Risken för intrång är särskilt stor om det, som ofta är fallet inom ramlagens tillämpningsområde, rör sig om integritetskänsliga personuppgifter. I förarbetena till flera av registerförfattningarna påtalas vikten av att det säkerställs att in- tegritetskänsliga personuppgifter görs tillgängliga bara för dem som behöver uppgifterna för sitt arbete. Vem som har rätt att an- vända personuppgifterna och hur uppgifterna sprids är nämligen omständigheter som påverkar risken för intrång i den personliga integriteten (se bl.a. prop. 2009/10:85 s. 94 och Kustbevaknings- datalag, prop. 2011/12:45, s. 87 f.). I förarbetena till åklagardata- lagen konstateras att det är en hörnsten i skyddet av enskildas integritet att åtkomst endast medges till de personuppgifter som den enskilde tjänstemannen behöver för att kunna utföra sina arbetsuppgifter (prop. 2014/15:63 s. 59). Ju fler personer i en myndighet som har tillgång till personupp- gifter, desto större är risken för obehörig åtkomst eller spridning av uppgifterna. Att utbilda användarna i informationssäkerhets- och dataskyddsfrågor är en viktig organisatorisk säkerhetsåtgärd, men det är ofta inte tillräckligt. Att tillgången till personuppgifter i så stor utsträckning som möjligt faktiskt begränsas till vad var och en behöver för att utföra sitt arbete är viktigt för att skapa ett till- fredsställande internt skydd för personuppgifter vid myndigheters informationshantering (SOU 2015:39 s. 385). Enligt utredningens mening finns det ett generellt behov av att begränsa tillgången till personuppgifter. En bestämmelse om det bör därför tas in i ramlagen. Den personuppgiftsansvarige är alltså alltid skyldig att pröva anställdas och uppdragstagares behov av till- gång till personuppgifter utifrån vad arbetsuppgifterna kräver och begränsa tillgången i enlighet med det. Den bör gälla personupp- gifter i både den behöriga myndighetens egna system och system som myndigheten får tillgång till genom direktåtkomst eller andra former av informationsutbyte. Eftersom bestämmelsen bör vara generell kan det finnas behov av närmare riktlinjer för hur tillgången till personuppgifter bör avgränsas för de enskilda tjänstemännen. Det kan regleras i myn- digheternas registerförfattningar eller i föreskrifter på myndighets- nivå. Det kan också regleras i interna styrdokument hos den behö- riga myndigheten. Det bör i ramlagen upplysas om att regeringen eller den myndighet som regeringen bestämmer kan meddela före- skrifter om tillgången till personuppgifter. Utredningens förslag: Kan en typ av ny behandling, eller bety- dande förändringar avseende redan pågående behandling, antas medföra särskild risk för intrång i registrerades personliga in- tegritet, ska den personuppgiftsansvarige innan behandlingen påbörjas eller förändringen genomförs bedöma konsekvenserna för skyddet av personuppgifter. Vad en konsekvensbedömning ska innehålla och kraven i övrigt ska regleras i förordning. Skälen för utredningens förslag: I artikel 27.1 föreskrivs att den personuppgiftsansvarige i vissa fall ska göra en bedömning av kon- sekvenserna för skyddet av personuppgifter när det gäller planerad personuppgiftsbehandling. Konsekvensbedömning ska göras om en typ av behandling, särskilt med användning av ny teknik och med beaktande av behandlingens art, omfattning, sammanhang och ändamål, sannolikt leder till hög risk för fysiska personers rättig- heter och friheter. Enligt artikel 27.2 ska en konsekvensbedömning innehålla en allmän beskrivning av den planerade behandlingen, en bedömning av riskerna för de registrerades rättigheter och friheter och uppgift om dels vilka åtgärder som planeras för att hantera dessa risker, dels skyddsåtgärder, säkerhetsåtgärder och rutiner för att säkerställa skyddet av personuppgifter och för att visa att direk- tivet efterlevs. Det behövs en bestämmelse i ramlagen som reglerar personupp- giftsansvarigas skyldighet att göra konsekvensbedömningar. En konsekvensbedömning bör göras om det kan antas att en viss typ av ny behandling kommer att medföra särskild risk för intrång i registrerades personliga integritet. Enligt utredningens mening bör en konsekvensbedömning också göras om betydande förändringar av redan pågående behandlingar förväntas leda till sådan risk. Det framgår av artikel 27.1 vilka omständigheter som särskilt ska be- aktas vid bedömningen av risken. I skäl 58 anges att konsekvensbedömningarna bör omfatta rele- vanta system och processer för behandlingen men inte enskilda fall. Det tydliggörs i artikeln genom att det ska röra sig om en typ av behandling. Samma uttryck bör användas i ramlagen. Konsekvensbedömningen ska innehålla viss i direktivet angiven information. Enligt utredningens mening följer det indirekt av det kravet att konsekvensbedömningen ska dokumenteras, exempelvis i en skriftlig rapport. Det bör regleras vilken information konse- kvensbedömningen ska innehålla och att den ska dokumenteras, men det kan göras i förordning. Det finns enligt utredningens mening inget som hindrar att per- sonuppgiftsansvariga gör konsekvensbedömningar även i andra fall, t.ex. om en typ av behandling förväntas leda till risk för intrång i registrerades personliga integritet men risken är lägre. Sådana kon- sekvensbedömningar torde ofta krävas för att den personuppgifts- ansvarige ska kunna göra relevanta bedömningar av bl.a. vilka säkerhets- och skyddsåtgärder som krävs. Utredningens förslag: Om konsekvensbedömningen visar att det finns särskild risk för intrång i registerades personliga integ- ritet eller om typen av behandling innebär särskild risk för intrång, ska den personuppgiftsansvarige samråda med tillsyns- myndigheten innan behandlingen påbörjas eller be- tydande förändringar genomförs. Skälen för utredningens förslag I artikel 28.1 föreskrivs att den personuppgiftsansvarige eller per- sonuppgiftsbiträdet under vissa förutsättningar ska samråda med tillsynsmyndigheten inför behandling av personuppgifter som kommer att ingå i ett nytt register, s.k. förhandssamråd. Sådant samråd ska bl.a. äga rum om en konsekvensbedömning visar att behandlingen skulle leda till hög risk för de registrerades rättig- heter och friheter om den personuppgiftsansvarige inte vidtar åt- gärder för att minska risken. får enligt artikel 28.3 upprätta en förteck- ning över vilka typer av behandlingar som kräver förhandssamråd. Den personuppgiftsansvarige ska enligt artikel 28.4 lämna in kon- sekvensbedömningen till tillsynsmyndigheten tillsammans med SOU 2017:29 Personuppgiftsansvarigas skyldigheter eventuell övrig information som myndigheten behöver för att kunna bedöma behandlingen. I artikel 28.5 regleras förfarandet hos tillsynsmyndigheten. Myndigheten ska, om den anser att den planerade behandlingen inte är förenlig med direktivet, lämna skriftliga råd till den personuppgiftsansvarige eller personuppgiftsbiträdet. Tillsyns- myndigheten får då utnyttja alla de befogenheter som den har. Enligt artikel 20 i det nu gällande dataskyddsdirektivet ska med- lemsstaterna bestämma vilka behandlingar som kan innebära sär- skilda risker för de registrerades fri- och rättigheter och säkerställa att dessa kontrolleras innan de påbörjas. Sådana förhandskontroller ska utföras av tillsynsmyndigheten efter anmälan från den person- uppgiftsansvarige. Artikeln har genomförts i 41 § personuppgifts- lagen. Där föreskrivs att regeringen får meddela föreskrifter om att sådana behandlingar som innebär särskilda risker för intrång i den personliga integriteten ska anmälas till tillsynsmyndigheten för förhandskontroll. I 2 § polisdataförordningen (2010:1155) regleras när Polismyn- digheten och Säkerhetspolisen ska samråda med Datainspektionen. Sådant samråd ska äga rum när myndigheterna planerar nya it- system av större omfattning eller nya it-system som kan innebära särskilda risker för intrång i den personliga integriteten och när det genomförs betydande förändringar i sådana system. Samråd ska äga rum innan beslut i frågan fattas. Paragrafen föreskriver även samråd med i vissa frågor. En likadan bestämmelse om samråd med Datainspektionen finns i 2 § kustbevakningsdataförordningen (2012:146). En generell samrådsskyldighet för alla personuppgiftsansvariga Enligt direktivet ska den personuppgiftsansvarige vara skyldig att samråda med tillsynsmyndigheten vid planering av behandling av personuppgifter i ett nytt register på ett sätt som kan leda till hög risk för intrång i registrerades personliga integritet. Samråd ska äga rum om en konsekvensbedömning visar att behandlingen kommer att medföra sådan risk om åtgärder inte vidtas för att minska risken eller om typen av behandling i sig kan anses innebära sådan risk. Vid bedömningen ska särskilt användandet av ny teknik, nya ruti- ner eller nya förfaranden beaktas. Samrådsskyldigheten enligt artikel 28.1 ska gälla för alla person- uppgiftsansvariga. Det bör därför i ramlagen tas in en bestämmelse som riktar sig till de personuppgiftsansvariga och som ålägger dem skyldighet att samråda med tillsynsmyndigheten i vissa situationer. Personuppgiftsbiträdens skyldigheter vid förhandssamråd behand- las i avsnitt 10.6.5. I direktivet krävs det bara konsekvensbedömning och samråd inför helt nya former av behandling. Enligt utredningens mening är det lika viktigt med samråd inför betydande förändringar av redan pågående behandlingar som kan antas medföra särskild risk för in- trång i den personliga integriteten. Skyldigheten att upprätta kon- sekvensbedömningar föreslås därför även omfatta den situationen (se avsnitt 10.2.4). Motsvarande bör gälla samrådsskyldigheten. För att underlätta för den personuppgiftsansvarige och för att säker- ställa att förhandssamrådet träffar rätt situationer bör tillsynsmyn- digheten genom föreskrifter kunna ange vilka typer av behand- lingar som ska omfattas av förhandssamråd. Samråd blir främst aktuellt när den personuppgiftsansvarige har gjort en konsekvensbedömning som visar att behandlingen innebär särskild risk för intrång i registrerades personliga integritet. Vid samrådet bör den personuppgiftsansvarige redovisa vilka åtgärder som planeras för att minska risken. Att den personuppgiftsansva- rige vidtagit åtgärder för att minska risken befriar enligt utred- ningens mening inte från skyldigheten att samråda med tillsyns- myndigheten. Samråd aktualiseras också om typen av behandling, särskilt med beaktande av ny teknik, nya rutiner eller nya förfaranden, i sig innebär särskild risk för intrång i registrerades personliga integritet och en konsekvensbedömning med anledning av det har gjorts. I sådana fall är resultatet av konsekvensbedömningen inte avgörande för om samråd med tillsynsmyndigheten ska äga rum. Det är viktigt att samrådet äger rum så tidigt i utvecklingspro- cessen som möjligt. Då kan frågor om integritetsskydd beaktas på ett bättre sätt. bör förhandssamrådet inte äga rum så tidigt att det inte finns något konkret förslag på teknisk lösning för tillsynsmyndigheten att ta ställning till. Utredningen anser att sam- rådet bör äga rum innan behandlingen påbörjas eller större förändringar av redan pågående behandlingar genomförs. Vid förhandssamråd bör den personuppgiftsansvarige lämna in konsekvensbedömningen och eventuell annan information som till- synsmyndigheten kan behöva för att bedöma dels riskerna med be- handlingen, dels om behandlingen i övrigt är förenlig med gällande rätt. Som framgår av avsnitt 10.5.3 ska dataskyddsombud fungera som kontaktpunkt för tillsynsmyndigheten vid förhandssamrådet. Enligt artikel 28.5 ska tillsynsmyndigheten inom ramen för för- handssamrådet använda sina befogenheter, om den anser att den planerade behandlingen inte är författningsenlig. Utredningen tol- kar artikeln så att tillsynsmyndigheten i dessa situationer bör ha möjlighet att använda sina förebyggande befogenheter gentemot den personuppgiftsansvarige. Myndigheten ska, inom ramen för förhandssamrådet, ge den personuppgiftsansvarige skriftliga råd. Myndigheten har också möjlighet att utfärda varning för att be- handla personuppgifterna på det planerade sättet (se avsnitt 12.7.5). Om den personuppgiftsansvarige ignorerar råden och varningen och påbörjar behandlingen kan tillsynsmyndigheten vidta andra åt- gärder, t.ex. att utfärda ett föreläggande eller besluta om sanktions- avgift (se avsnitt 12.7.6 och 13.5.2). Korrigerande åtgärder vidtas dock inte inom ramen för förhandssamrådet utan är i stället ett led i tillsynsmyndighetens allmänna tillsynsuppgifter enligt ramlagen. Direktivet innehåller vissa detaljbestämmelser om tillsynsmyn- dighetens roll vid förhandssamråd. De skriftiga råden till den per- sonuppgiftsansvarige ska lämnas från det att begä- ran om samråd mottogs. Tiden får förlängas med en månad om den planerade behandlingen är komplicerad. I så fall ska tillsynsmyn- digheten inom en månad från det att begäran om samråd mottogs informera den personuppgiftsansvarige om förlängningen och om orsakerna till den. Detaljerna kan regleras i förordning. Utredningens förslag: Den personuppgiftsansvarige ska samar- beta med tillsynsmyndigheten när den utför sina uppgifter enligt ramlagen och föreskrifter som har meddelats i anslutning till den. Skälen för utredningens förslag Innehållet i direktivet och nuvarande reglering Enligt artikel 26 ska den personuppgiftsansvarige på begäran sam- arbeta med tillsynsmyndigheten när den utför sina uppgifter. Per- sonuppgiftsbiträden har samma skyldighet (se avsnitt 10.6.5). Det finns ingen uttrycklig regel om personuppgiftsansva- rigas samarbete med tillsynsmyndigheten. Enligt 6 § förvaltnings- lagen (1986:223) ska varje myndighet lämna andra myndigheter hjälp inom ramen för den egna verksamheten. Enligt utredningens mening går kravet i direktivet på samarbete med tillsynsmyndigheten utöver det som ryms i den allmänna sam- verkansskyldigheten enligt 6 § förvaltningslagen. Den skyldigheten gäller bara inom ramen för den egna verksamheten. En myndighet torde därmed inte vara skyldig att hjälpa till med sådant som rör en annan myndighets verksamhet. Utredningen anser därför att det inte kan hävdas att artikel 26 är uppfylld genom den allmänna sam- verkansskyldigheten enligt förvaltningslagen. Regleringen av till- synsmyndighetens undersökningsbefogenheter täcker inte heller helt den samarbetsskyldighet som krävs. Samarbetsskyldigheten innebär inte bara att den personuppgiftsansvarige ska ge tillsyns- myndigheten tillgång till det material och de resurser som den har rätt till. Som utredningen tolkar bestämmelsen innebär skyldighe- ten även att den personuppgiftsansvarige ska underlätta för till- synsmyndigheten att utöva sina tillsynsbefogenheter på ett effek- tivt sätt. Som framgår av avsnitt 12.7.3 får tillsynsmyndigheten inte an- vända tvång mot den personuppgiftsansvarige för att kunna utöva sin tillsyn. Även mot den bakgrunden är det viktigt att den person- uppgiftsansvarige ges en uttrycklig skyldighet att samarbeta med tillsynsmyndigheten. Det bör därför tas in en bestämmelse i ram- lagen som slår fast att den personuppgiftsansvarige är skyldig att samarbeta med tillsynsmyndigheten. Samarbetsskyldigheten aktualiseras när tillsynsmyndigheten ut- för sina uppgifter enligt ramlagen och de föreskrifter som utfärdas i anslutning till den. Den personuppgiftsansvarige ska alltså vara skyldig att samarbeta med tillsynsmyndigheten när den utövar all- män tillsyn över personuppgiftsbehandling, handlägger klagomål från registrerade, på begäran kontrollerar om personuppgifter be- handlas författningsenligt, vidtar åtgärder för att bistå en tillsyns- myndighet i en annan medlemsstat och ger råd inom ramen för bl.a. förhandssamråd. Vad samarbetsskyldigheten mer konkret kommer att innebära för den personuppgiftsansvarige hör samman med vilka befogen- heter som tillsynsmyndigheten ges. Utredningen behandlar det i avsnitt 12.7. 10.2.7Skyldighet att förteckna behandlingar Utredningens förslag: Den personuppgiftsansvariges skyldig- het att förteckna de kategorier av behandlingar som denne an- svarar för ska regleras i förordning. Skälen för utredningens förslag Enligt artikel 24.1 ska alla personuppgiftsansvariga föra register över alla kategorier av verksamheter i samband med behandling som de ansvarar för. I artikeln anges i detalj vilka uppgifter som registret ska innehålla. I artikel 24.2 föreskrivs motsvarande skyl- dighet för personuppgiftsbiträden (se avsnitt 10.6.4). Registren ska enligt artikel 24.3 upprättas skriftligen, vilket även innefattar elektronisk form, och på begäran göras tillgängliga för tillsynsmyndigheten. Personuppgiftsansvariga har ingen skyldighet att föra register över de behandlingar som de ansvarar för. I stället är de enligt artikel 18.1 i det nu gällande dataskyddsdirektivet skyldiga att an- mäla behandling av personuppgifter som är helt eller delvis auto- matiserad till tillsynsmyndigheten. ska enligt artikel 21.2 föra ett register över de behandlingar som har anmälts till myndigheten. Enligt artikel 18.2 behöver dock någon anmälan till tillsynsmyndigheten inte göras om den personuppgiftsansvarige utser ett personuppgiftsombud, som bl.a. ska ha till uppgift att föra register över de behandlingar som utförs av den personuppgiftsan- svarige. Artiklarna har genomförts i 36, 37 och 39 §§ personupp- giftslagen och i 3–7 §§ personuppgiftsförordningen (1998:1191). Anmälningsskyldigheten regleras i 36 § första stycket personupp- giftslagen. Av 7 § personuppgiftsförordningen framgår att Datain- spektionen ska föra register över de behandlingar av personupp- gifter som anmälts till inspektionen. Myndigheterna i rättskedjan är dock inte anmälningsskyldiga enligt 36 § personuppgiftslagen. Enligt 3 § 3 personuppgiftsförord- ningen gäller undantag från anmälningsskyldigheten bl.a. för be- handling av personuppgifter som regleras genom särskilda före- skrifter i lag eller förordning. Myndigheternas registerförfattningar är sådana särskilda föreskrifter. Datainspektionen för således inget register över dessa behandlingar. För några av myndigheterna föreskrivs att ett personuppgifts- ombud ska utses och, genom hänvisning till 39 § personuppgifts- lagen, att ombudet ska föra en förteckning över de behandlingar som utförs (se exempelvis 2 kap. 2 § 9 och 5 § polisdatalagen och 2 kap. 2 § 9 och 4 § åklagardatalagen). Detsamma gäller för dom- stolarna, men ombudets skyldighet att föra en förteckning över behandlingarna regleras i 11 § domstolsdatalagen. , och har ingen skyldighet att utse personuppgiftsombud. Om ett personuppgiftsombud utses i dessa verksamheter ska ombudet dock ha de uppgifter som framgår av personuppgiftslagen, bl.a. att föra en förteckning över de behand- lingar som utförs. I direktivet läggs uppgiften att föra register över de behandlingar som utförs på de personuppgiftsansvariga och, i tillämpliga fall, personuppgiftsbiträdena (se avsnitt 10.6.4 om personuppgiftsbi- träden). Av skäl 56 framgår att de personuppgiftsansvariga bör föra regi- ster för att visa att behandlingen sker i överensstämmelse med direktivet och att dessa register bör tjäna som grund för övervak- ningen av behandlingen. Ett av syftena med dokumentationen är således att underlätta tillsynsmyndighetens kontroll, men även att underlätta intern kontroll och granskning av den personuppgifts- behandling som utförs. Dokumentationen bör också kunna vara till hjälp när information ska lämnas till registrerade. Det behövs en bestämmelse som reglerar skyldigheten att dokumentera behand- lingen men den kan tas in i förordning. I artikel 24.1 föreskrivs att alla personuppgiftsansvariga ska föra register över alla kategorier av verksamheter i samband med be- handling som de ansvarar för. I artikel 24.2 anges att per- sonuppgiftsbiträden ska föra register över alla kategorier av be- handling som utförs. Den engelska språkversionen använder for- muleringen ”categories of processing activities” i både artikel 24.1 och artikel 24.2. Uttrycket ”kategorier av behandling” som används i artikel 24.2 är enligt utredningens mening en mer korrekt över- sättning. Att artiklarna har formulerats på olika sätt i den svenska språkversionen framstår mot den bakgrunden som ett misstag. Utredningen utgår således från att även de personuppgiftsansvariga ska föra register över de kategorier av behandling som de ansvarar för. Vad som avses med kategorier av behandling framgår inte. Det är enligt utredningens mening inte rimligt att tolka begreppet så att alla typer av behandlingar som förekommer ska dokumenteras. En sådan tolkning skulle leda till en alltför omfattande dokumenta- tionsskyldighet. En kategori av behandlingar kan exempelvis vara behandling av personuppgifter i ett specifikt register eller inom ramen för ett särskilt projekt eller behandling av personuppgifter för en typ av ändamål, t.ex. registrering av brottsanmälningar och handläggning av brottmål. Vad ska dokumenteras? I artikel 24.1 räknas det upp vilka uppgifter som ska anges i regist- ret. Direktivet anger något fler uppgifter än vad som krävs . Enligt utredningens mening bör registret innehålla alla de uppgifter som anges i artikel 24.1, vilket bör regleras i förordning. Registret bör innehålla namn och kontaktuppgifter på den per- sonuppgiftsansvarige, dataskyddsombudet och, i tillämpliga fall, gemensamt personuppgiftsansvariga. Den personuppgiftsansvariges kontaktuppgifter bör avse post- och besöksadress, telefonnummer och e-postadress. För varje kategori av behandling bör registret ange den rättsliga grunden för och ändamålen med behandlingen, uppgift om de kategorier av mottagare som personuppgifterna kan komma att lämnas ut till och en beskrivning av kategorierna av registrerade och av personuppgifter. Med den rättsliga grunden avses författningsstödet för behandlingen, dvs. regleringen av den arbetsuppgift som föranleder personuppgiftsbehandlingen. Med ändamålen avses de typer av ändamål för vilka personuppgifter be- handlas. När det gäller kategorier av mottagare kan det räcka att ange vilken typ av myndighet som personuppgifterna kan komma att lämnas till, t.ex. åklagare eller domstol. Om mottagarkategorin befinner sig i ett tredjeland eller är en internationell organisation bör det anges. Kategorier av registrerade kan vara en grupp av per- soner som har en specifik roll, t.ex. misstänkta, målsägande, vittnen eller anhöriga till någon av dessa. När det gäller kategorier av per- sonuppgifter är det främst förekomsten av känsliga personupp- gifter som avses. Registret bör även innehålla uppgift om användning av profile- ring och uppgift om kategorier av överföringar till tredjeland eller internationella organisationer. När det gäller överföringar till tredjeland eller internationella organisationer anges det i direktivet att kategorier av sådana överföringar ska dokumenteras. Vad som menas med kategorier av överföringar diskuteras i avsnitt 15.6.1. Som utredningen konstaterar där bör uttrycket samling av överfö- ringar användas i stället.