sou · H5B329 · 2017-04-05 00:00:00 — inte kan hindra någon från att yttra sig vare sig muntligen eller skriftligen kan känsliga personuppgifter på detta sätt komma att ingå i t.ex. en förundersökning eller en dom. Om det nedtecknade förhöret eller den inkomna handlingen ingår i förundersökningen eller uppgiften antecknas i domen omfattas behandlingen av den känsliga personuppgiften även i dessa fall av undantaget i detta stycke. Paragrafen reglerar tillsammans med 11, 13 och 14 §§ i vilken ut- sträckning två särskilda typer av känsliga personuppgifter får be- handlas. Paragrafen genomför delar av artikel 10 och behandlas i avsnitt 9.2.4. Enligt paragrafen får biometriska uppgifter som används för att identifiera en person och genetiska uppgifter endast behandlas om det är särskilt föreskrivet och det är absolut nödvändigt för ända- målen med behandlingen. I t.ex. 4 kap. polisdatalagen (2010:361) finns sådana särskilda föreskrifter som avses i förevarande paragraf. I kommentaren till 11 § ges exempel på vad som avses med kravet på att behandlingen är absolut nödvändig. I 1 kap. 6 § definieras vad som avses med biometriska respektive genetiska uppgifter. Paragrafen reglerar tillsammans med 11, 12 och 14 §§ i vilken ut- sträckning känsliga personuppgifter får behandlas. Paragrafen be- handlas i avsnitt 9.2.4. I paragrafen klargörs att sådana personuppgifter som avses i 11 och 12 §§ betecknas som känsliga personuppgifter i lagen. Vidare tydliggörs att sådana uppgifter alltid får behandlas i de fall som avses i 2 §, dvs. om det är nödvändigt för diarieföring eller, i fråga om uppgifter i en anmälan, ansökan eller liknande, om det är nöd- vändigt för myndighetens handläggning. Det innebär bl.a. att det är möjligt för en behörig myndighet att ta emot och besvara anmäl- ningar, ansökningar och liknande skrifter som lämnas i elektronisk form även om de innehåller känsliga personuppgifter. Regleringen innebär också att sådana uppgifter får arkiveras om det är nödvän- Som framgår av kommentaren till 2 § är den behandling som är tillåten begränsad. Paragrafen reglerar användningen av känsliga personuppgifter vid sökning. Frågan behandlas i avsnitt 9.2.4. Av 11 och 12 §§ framgår vilka personuppgifter som är känsliga personuppgifter. Enligt paragrafen är det förbjudet att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. Där- med förbjuds sökningar som görs för att få fram ett urval av perso- ner som t.ex. har viss politisk eller religiös åskådning eller sexuell läggning. Uppgifter som beskriver en persons utseende, t.ex. upp- gifter om längd, hudfärg eller tatueringar, får användas som sökbe- grepp, så länge syftet med sökningen inte är att göra en samman- ställning av en viss grupp av personer grundat på exempelvis etniskt ursprung eller politisk åskådning. Även tillåtna sökningar kan resultera i ett personurval grundat på känsliga personuppgifter. I vilken utsträckning det sedan är till- låtet att behandla någon eller några av personuppgifterna i sam- manställningen får prövas mot huvudregeln för behandling av käns- liga personuppgifter i 11 §. Åtgärder för att säkerställa personuppgifternas kvalitet I paragrafen föreskrivs vad den personuppgiftsansvarige ska göra för att förhindra att felaktiga eller ofullständiga personuppgifter behandlas, lämnas ut eller görs tillgängliga. Den genomför delar av artiklarna 4.1 d, 7.2 och 7.3 och behandlas i avsnitt 9.2.6. I 4 kap. 9 § regleras vad som gäller när den registrerade begär att person- uppgifter ska rättas eller kompletteras. I första stycket föreskrivs att alla rimliga åtgärder ska vidtas för att personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen utan onödigt dröjsmål ska rättas och för att förhindra att sådana uppgifter lämnas ut eller görs till- gängliga. Vad som avses med att uppgifter är korrekta framgår av kommentaren till 7 §. Den personuppgiftsansvarige ska också utan onödigt dröjsmål uppdatera uppgifter som är inaktuella om det är nödvändigt. Bestämmelsen innebär att den personuppgiftsansvarige självmant måste vidta åtgärder för att säkerställa personuppgifter- nas kvalitet. Vad som utgör rimliga åtgärder skiljer sig åt beroende på om personuppgifterna är felaktiga, ofullständiga eller inaktuella, efter- som personuppgifter alltid ska vara korrekta men endast behöver vara uppdaterade om det är nödvändigt. Vilka åtgärder som är rim- liga att vidta får bedömas mot bakgrund av omständigheterna i varje enskilt fall, som t.ex. ändamålet med behandlingen, vilka per- sonuppgifter som behandlas och vilka konsekvenser en felaktig eller ofullständig uppgift kan få för den enskilde (se m.fl. s. 209). När personuppgifter lämnas ut till en behörig myndighet ska mottagaren enligt andra stycket så långt det är möjligt ges infor- mation som gör det möjligt att bedöma i vilken utsträckning upp- gifterna är korrekta, fullständiga, uppdaterade och tillförlitliga. Det gör att mottagaren kan fullgöra sin skyldighet att kontrollera kvali- teten på personuppgifter som kommer från andra behöriga myn- digheter. Informationen kan exempelvis ange varifrån personupp- gifterna kommer, vad som är känt om uppgiftslämnaren, när och för vilket ändamål personuppgifterna hämtades in och om de grun- dar sig på fakta eller personliga bedömningar. Andra exempel på information som kan vara relevant för mottagaren är om person- uppgiften grundas på misstanke om brott, saken är föremål för domstolsprövning eller avser en lagakraftvunnen dom. Mottagare definieras i 1 kap. 6 §. I paragrafen föreskrivs vilka åtgärder som ska vidtas om person- uppgifter behandlas på ett otillåtet sätt. Den genomför delar av artiklarna 4.1 d, 7.2 och 7.3 och behandlas i avsnitt 9.2.6. I 4 kap. 10 § regleras vad som gäller när den registrerade begär att motsva- rande åtgärder ska vidtas. I första stycket föreskrivs att alla rimliga åtgärder ska vidtas för att personuppgifter som behandlas i strid med 1, 2, 3 § första stycket, 4–6, 8, 11, 12, 14 eller 17 § första stycket utan onödigt dröjsmål ska raderas. Den personuppgiftsansvarige ska också se till att sådana uppgifter inte lämnas ut eller görs tillgängliga. Det gäller också när radering krävs för att den personuppgiftsansvarige ska utföra en rättslig förpliktelse. När radering kan komma i fråga, förutsättningarna för det och vad som kan vara en rättslig förplik- telse utvecklas i kommentaren till 4 kap. 10 §. I stället för att radera personuppgifter som behandlas på ett otillåtet sätt ska den personuppgiftsansvarige enligt andra stycket utan onödigt dröjsmål begränsa behandlingen av uppgifterna om de behöver sparas som bevisning. Vad det innebär utvecklas i kom- mentaren till 4 kap. 10 §. Längsta tid som personuppgifter får behandlas Paragrafen reglerar hur länge behöriga myndigheter får behandla personuppgifter för andra ändamål än arkivändamål. Där framgår också hur bestämmelsen förhåller sig till arkivlagstiftningen. Para- grafen genomför artikel 4.1 e och behandlas i avsnitt 9.3.2. I första stycket föreskrivs att personuppgifter inte får behandlas än vad som är nödvändigt med hänsyn till ända- målet med behandlingen. Det som avses är ändamålet i det enskilda fallet. behandlas personuppgifter för flera olika ändamål. Att det inte längre finns behov av att behandla personuppgiften för ett visst ändamål medför inte att behandlingen av den måste upphöra för alla andra ändamål . Å andra sidan innebär det förhål- landet att personuppgiften fortfarande behövs för ett visst ändamål inte att den får fortsätta att behandlas för alla ändamål . Finns det inte längre behov av att behandla uppgifterna för något av ändamålen får de bara behandlas för arkivändamål. Behovet av att fortsätta att behandla uppgifterna måste därför prövas konti- nuerligt. Om det är tillräckligt att behandla avidentifierade uppgif- ter är det inte längre tillåtet att behandla personuppgifterna. Av andra stycket framgår att bestämmelsen om längsta tid för behandling inte hindrar att personuppgifterna arkiveras av den be- höriga myndigheten eller att arkivmaterial lämnas till en arkivmyn- dighet. Paragrafen reglerar vad som gäller om det inte är föreskrivet hur länge behöriga myndigheter får behandla personuppgifter för andra ändamål än arkivändamål. Paragrafen genomför artikel 5 och be- handlas i avsnitt 9.3.2. Enligt paragrafen ska den personuppgiftsansvarige en gång se över behovet av att behandla personuppgifter. Det gäller dock bara om det inte finns någon författningsbestämmelse som reglerar när uppgifterna inte längre får behandlas för annat än arkivändamål. Sådana bestämmelser finns i t.ex. 3 kap. 9–14 §§ och 4 kap. 14–16 §§ polisdatalagen (2010:361) och 7 § lagen (2001:617) om behandling av personuppgifter inom kriminalvården. Bestäm- melser om hur länge personuppgifter får behandlas finns inte bara i lag eller förordning utan kan även finnas i myndighetsföreskrifter som har stöd i bemyndiganden. Paragrafen reglerar automatiserade beslut. Paragrafen genomför delar av artikel 11 och behandlas i avsnitt 9.4. I första stycket föreskrivs att den som berörs av ett beslut som enbart grundas på automatiserad behandling av personuppgifter som är avsedda att bedöma hans eller hennes egenskaper har rätt att få beslutet omprövat av någon person. Rätten till information reg- leras i 4 kap. 4 §. I andra stycket förbjuds automatiserade beslut som enbart grun- das på känsliga personuppgifter. Vilka uppgifter som är känsliga personuppgifter framgår av kommentarerna till 11 och 12 §§. Paragrafen reglerar möjligheten att ställa upp villkor för behand- lingen av personuppgifter. Paragrafen genomför artikel 9.4 och be- handlas i avsnitt 9.5. Om det inte är särskilt föreskrivet får sådana villkor inte ställas upp i förhållande till en mottagare i en annan medlemsstat eller ett EU-organ, om det inte i motsvarande fall får ställas upp samma typ av villkor i förhållande till en mottagare i . Paragrafen är bara tillämplig vid utlämnande för ändamål inom lagens tillämpningsområde. Behandling för ändamål utanför denna lags tillämpningsområde Paragrafen upplyser om vad som gäller när personuppgifter som behandlas med stöd av lagen ska behandlas för ett ändamål som lig- ger utanför lagens tillämpningsområde. Paragrafen genomför arti- kel 9.1 och behandlas i avsnitt 9.6. I paragrafen upplyses om att det av artikel 2.1 d i Europaparla- mentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av per- sonuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) framgår att förordningen ska tillämpas när en behörig myndighet behandlar personuppgifter för ändamål som ligger utanför lagens tillämpningsområde. Exempel på sådant utlämnande är när en be- hörig myndighet lämnar ut personuppgifter med stöd av 2 kap. tryckfrihetsförordningen. Personuppgifter som en behörig myndighet behandlar enligt lagen kan också behöva lämnas till en enhet inom myndigheten som bedriver verksamhet utanför lagens tillämpningsområde. Per- sonuppgifter som behandlar i sin brottsbekäm- pande verksamhet kan t.ex. behövas för att bedöma en persons lämplighet att få vapenlicens. Ett annat exempel är att uppgifter i brottsutredande verksamhet överlämnas till den enhet som hanterar frågor om vattenföroreningsavgift på grund av oljeutsläpp. Vid behandling för att lämna ut personuppgifter för sådana ändamål ska dataskyddsförordningen tillämpas i stället för denna lag. Prövningen av om behandlingen är tillåten ska då enbart göras med utgångspunkt i dataskyddsförordningens bestämmelser. I paragrafen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om underrättelse- skyldighet och om åtgärder för att säkerställa att personuppgifter inte behandlas längre än nödvändigt. 3 kap. Personuppgiftsansvarigas skyldigheter Paragrafen reglerar personuppgiftsansvarets omfattning. Person- uppgiftsansvarig definieras i 1 kap. 6 §. Paragrafen, som genomför artikel 4.4, behandlas i avsnitt 10.1.2. Paragrafen slår fast det helhetsansvar som den personuppgifts- ansvarige har och tydliggör hur långt ansvaret sträcker sig när det gäller behandlingen av personuppgifter. Den närmare innebörden av personuppgiftsansvaret framgår av lagens övriga bestämmelser och föreskrifter som meddelas i anslutning till den. Vem som är personuppgiftsansvarig kan framgå av andra författningar. Personuppgiftsansvaret omfattar all behandling av personupp- gifter som utförs under den personuppgiftsansvariges ledning. Med det avses all personuppgiftsbehandling vid den behöriga myndig- heten. Det gäller både behandling som utförs genom en aktiv hand- ling, t.ex. insamling eller sökning, och passiv behandling, t.ex. lag- ring. Ansvaret omfattar däremot inte sådan behandling som den behöriga myndigheten eventuellt utför som personuppgiftsbiträde. Genom att ansvaret knyts till behandling som utförs under den personuppgiftsansvariges ledning tydliggörs att det inte är den per- sonuppgiftsansvarige, dvs. den behöriga myndigheten, som utför personuppgiftsbehandlingen, utan de anställda. Den personuppgiftsansvarige är också ansvarig för all behand- ling av personuppgifter som utförs på dennes vägnar. Med det avses främst sådan behandling som den personuppgiftsansvarige har upp- dragit åt ett personuppgiftsbiträde att utföra. Den personuppgifts- ansvarige kan uppdra åt ett biträde att utföra viss behandling av personuppgifter, men kan inte genom det avsäga sig personupp- giftsansvaret. Personuppgiftsansvaret sträcker sig då utanför den personuppgiftsansvariges egen verksamhet. Personuppgiftsbiträ- dens behandling ska styras av skriftliga avtal eller andra skriftliga överenskommelser och får endast utföras enligt instruktioner från den personuppgiftsansvarige, se kommentarerna till 18 och 19 §§. Två eller flera personuppgiftsansvariga kan behandla samma per- sonuppgifter för olika ändamål, t.ex. om de har direktåt- komst till personuppgifter i samma system. Varje personuppgifts- ansvarig är då ansvarig för den behandling som utförs under dennes ledning eller på dennes vägnar. Åtgärder för att säkerställa författningsenlig behandling Tekniska och organisatoriska åtgärder Paragrafen genomför artikel 19.1 och reglerar, tillsammans med 3– 5 §§, de krav som ställs på personuppgiftsansvariga i fråga om tek- niska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av personuppgifter är författningsenlig och att registrerades rättigheter skyddas. Tekniska och organisatoriska åt- gärder för att skydda personuppgifterna regleras i 8 §. Paragrafen behandlas i avsnitt 10.2.1. Organisatoriska åtgärder som avses i paragrafen är bl.a. att anta interna strategier för dataskydd, att informera och utbilda persona- len och att säkerställa en tydlig ansvarsfördelning. Åtgärder som vidtas för att visa att behandlingen är författningsenlig kan t.ex. vara dokumentation av it-system, behandlingar och vidtagna åtgär- der och teknisk spårbarhet genom loggning och logguppföljning. Vilka åtgärder som bör vidtas får avgöras efter en bedömning i enskilda fall. Vid den bedömningen har det betydelse bl.a. vilka personuppgifter som ska behandlas, mängden uppgifter och hur integritetskänsliga de är. Även grunden för behandlingen och ris- kerna med den ska beaktas. Mer långtgående åtgärder kan behövas vid behandling som kan medföra särskilda risker för integritetsin- trång eller vid omfattande behandling av en stor mängd personupp- gifter. Skyldigheten att vidta lämpliga åtgärder är inte knuten till en viss tidpunkt, utan något som den personuppgiftsansvarige ständigt ska ha för ögonen. Åtgärder som har vidtagits måste därför konti- nuerligt revideras och vid behov förändras. I 23 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen. Paragrafen, som genomför artikel 20.1, reglerar skyldigheten att beakta principen om inbyggt dataskydd vid behandling av person- uppgifter. Den behandlas i avsnitt 10.2.1. Paragrafen innebär att den personuppgiftsansvarige både när det bestäms att en viss typ av personuppgifter ska behandlas och när behandlingen utförs, ska vidta åtgärder som medför att dataskydds- principer säkerställs och skyddsåtgärder integreras i behandlingen. Skyldigheten är tätt förknippad med de skyldigheter som följer av 2, 4 och 8 §§. Paragrafen kan ses som en precisering av den över- gripande skyldigheten i 2 §. Exempel på grundläggande dataskyddsprinciper som bör säker- ställas är uppgiftsminimering, dvs. att så få personuppgifter som möjligt samlas in och hanteras, och att de inte behandlas längre än vad som behövs och inte används på ett otillåtet sätt. Principerna kan implementeras i verksamheten genom åtgärder som exempelvis begränsar behandlingen till personuppgifter som endast indirekt pekar ut en individ eller till personuppgifter som är mindre integri- tetskänsliga. Att använda pseudonymisering, vilket innebär att upp- gifterna inte går att koppla till en enskild person utan ytterligare information som hålls avskild, är ett annat exempel. Om det i ett ärendehanteringssystem är möjligt att behandla personuppgifterna utöver vad som är tillåtet med hänsyn till ändamålet bör funktio- nerna begränsas och spärras innan systemet tas i drift. Funktioner för att avskilja personuppgifter automatiskt är också exempel på in- byggt dataskydd. Andra åtgärder som kan vidtas för att implemen- tera dataskyddsprinciper är behörighetsstyrning och kryptering av information. Sådana åtgärder syftar till att begränsa åtkomsten till personuppgifterna så att endast de som behöver uppgifterna för att kunna utföra sina arbetsuppgifter har tillgång till dem. Integrering av skyddsåtgärder kan avse funktioner för autentise- ring, t.ex. lösenord, möjlighet att använda kryptering vid kommu- nikation över internet och på mobila enheter, funktioner för logg- ning och säkerhetskopiering. Vilka åtgärder som bör vidtas får avgöras i varje enskilt fall. Vilka faktorer som kan vara av betydelse utvecklas i kommentaren till 2 §. De tekniska möjligheterna och kostnaderna för genom- förandet ska också vägas in. I 23 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen. Paragrafen, som genomför artikel 20.2, fastställer den personupp- giftsansvariges skyldighet att i automatiserade behandlingssystem införa dataskydd som standard. Den behandlas i avsnitt 10.2.1. Dataskydd som standard innebär att systemet automatiskt styr användaren mot att arbeta integritetssäkert. Grundinställningarna ska vara satta så att inte mer information än nödvändigt samlas in eller visas. Skyldigheten att ha dataskydd som standard tar sikte på mängden insamlade personuppgifter, behandlingens omfattning, hur länge personuppgifterna behandlas och hur tillgängliga de är. Det innebär att den personuppgiftsansvarige ska se till att det i automatiserade behandlingssystem endast är möjligt att samla in de typer av personuppgifter som behövs, att personuppgifterna endast kan behandlas på ett sådant sätt och så länge som det är nödvändigt och att uppgifterna endast är tillgängliga för de personer som be- höver dem i sitt arbete. Paragrafen kan i likhet med 3 § ses som en precisering av den övergripande skyldigheten i 2 §. Med automatiserade behandlingssystem avses särskilt för verk- samheten utformade eller anpassade behandlingssystem där person- uppgifter behandlas mer eller mindre strukturerat, t.ex. verksam- hetsstöd i form av dokument- och ärendehanteringssystem och olika typer av register och databaser. För att dataskydd som stan- dard ska kunna införas i automatiserade behandlingssystem krävs det att den personuppgiftsansvarige har tekniska möjligheter och rätt att vidta sådana åtgärder i systemet. Standardprogram som Word, Outlook och Excel är inte att anse som automatiserade behandlingssystem i paragrafens mening och omfattas därför inte av kraven. Något utrymme för lämplighetsbedömning i det enskilda fallet finns inte. Den personuppgiftsansvarige är skyldig att införa data- skydd som standard oavsett vilken behandling det rör sig om eller vad kostnaderna uppgår till. I 23 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen. Paragrafen, som genomför artikel 25.1, reglerar den personupp- giftsansvariges skyldighet att säkerställa att det i automatiserade behandlingssystem förs loggar över vissa typer av behandlingar. Paragrafen behandlas i avsnitt 10.2.2. En logg är en behandlingshistorik som sparas . Det är en teknisk funktion i systemet som ska fungera automatiskt och som inte ska gå att ändra eller påverka på annat sätt. En logg bör vara så detaljerad att den kan användas för att utreda felaktig eller obehörig användning av personuppgifter. Syftet med loggning är dels att verka förebyggande, dels att ge den personuppgiftsansva- rige möjlighet att kontrollera användningen av systemen och att upptäcka felaktig eller obehörig användning av personuppgifterna. Loggningen bör inte utformas så att den medför onödiga intrång i användarnas integritet. Krav på loggning vid behandling av personuppgifter följer indi- rekt av de generella kraven på lämpliga tekniska och organisatoriska åtgärder i både 2 och 8 §§. Förevarande paragraf utgör därmed ett mer preciserat krav på loggning i vissa typer av system. Vad som avses med automatiserade behandlingssystem framgår av kommen- taren till 4 §. Standardprogram som Word, Outlook och Excel är i detta sammanhang inte att anse som automatiserade behandlings- system och omfattas därför inte av kravet på loggning i paragrafen. Inte heller lagringsytor som t.ex. usb-minnen och anställdas per- sonliga mappar på den egna datorn omfattas. Krav på loggning i så- dan programvara och på sådana lagringsytor följer dock, i den mån det är tekniskt möjligt, av 2 och 8 §§. Paragrafen innebär att den personuppgiftsansvarige ska säker- ställa att de automatiserade behandlingssystem som används möj- liggör loggning i den utsträckning som krävs och att informationen faktiskt loggas. Av 2 § följer bl.a. krav på logguppföljning. Logg- uppföljning ska göras systematiskt och återkommande och vara så- väl förebyggande som reaktiv. Den personuppgiftsansvarige ska se till att det finns rutiner för logguppföljning. Paragrafen gäller enligt 20 § även för personuppgiftsbiträden. I 23 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen. Paragrafen reglerar den interna tillgången till personuppgifter för dem som arbetar under den personuppgiftsansvariges ledning. Den behandlas i avsnitt 10.2.3. Paragrafen innebär att den personuppgiftsansvarige är skyldig att se till att anställda och andra som deltar i arbetet hos den per- sonuppgiftsansvarige, t.ex. praktikanter eller inhyrd personal, bara ges tillgång till de personuppgifter som krävs för att de ska kunna fullgöra sina arbetsuppgifter. I de behöriga myndigheternas verk- samheter behandlas som regel en betydande mängd personupp- gifter. De är ofta av integritetskänsligt slag och bör inte spridas till någon som inte är behörig att ta del av uppgifterna. Kravet på be- hörighetsbegränsning syftar till att minska den interna expone- ringen och spridningen av personuppgifterna. Hur det bör göras får bedömas med utgångspunkt i förutsättningarna och den behöriga myndighetens behov. Faktorer som myndighetens och it-syste- mens storlek och om personuppgifterna är sekretessreglerade eller annars integritetskänsliga ska beaktas. Paragrafen reglerar inte bara tillgången till den personuppgifts- ansvariges egen information. Vid direktåtkomst är det den motta- gande myndigheten som ansvarar för att den egna personalen inte ges tillgång till fler personuppgifter i det it-system som åtkomsten avser än vad arbetsuppgifterna motiverar. Paragrafen gäller enligt 20 § även för personuppgiftsbiträden.