sou · H5B352 · 2017-06-07 00:00:00 — I skäl 146 och i artikel 82.2–5 preciseras närmare under vilka förutsättningar personuppgiftsansvariga och personuppgiftsbiträden kan hållas ansvariga för uppkomna skador. Bland annat anges där att varje personuppgiftsansvarig som medverkat vid behandlingen ska ansvara för uppkommen skada. Det stadgas också att den personuppgiftsansvarige ska undgå ansvar om den visar att den inte på något sätt är ansvarig för den händelse som orsakade skadan. Sammantaget leder detta tanken till att ett i princip strikt skadeståndsansvar gäller enligt förordningen för såväl ekonomisk som ideell skada, dvs. 4 Jfr prop. 2007/08:95, s. 554. reglering som den som gäller enligt personuppgiftslagen. Den närmare innebörden av bestämmelserna får dock utvecklas i rättspraxis. Förordningen innebär också ett förtydligande jämfört med det nu gällande direktivet, genom att varje personuppgiftsansvarig eller personuppgiftsbiträde som har medverkat vid en behandling, kan hållas ansvarig för hela skadan, dvs. att ett solidariskt ansvar gäller när det finns flera personuppgiftsansvariga eller personuppgiftsbiträden för samma behandling. Sanktionerna ska enligt dataskyddsförordningen vara effektiva, proportionella och avskräckande. En annan möjlighet för den skadelidande som regleras i förordningen är rätten att företrädas av en organisation. Enligt artikel 80 dataskyddsförordningen har den registrerade rätt att ge ett organ, en organisation eller sammanslutning utan vinstsyfte, i uppdrag att bland annat lämna in ett klagomål till tillsynsmyndigheten (i Datainspektionen) för hans eller hennes räkning och att utöva den rätt till ersättning som avses i artikel 82, under förutsättning att det också föreskrivs i medlemsstatens nationella rätt. Organisationen i fråga ska ha inrättats på lämpligt sätt i enlighet med lagen i medlemsstaten. Kommittén bedömer att bestämmelsen kan sägas innebära ett tydliggörande av den ordning som redan gäller i svensk rätt, enligt vilken exempelvis en person i en ideell förening, med fullmakt från enskilda kan företräda dessa i förhållande till förvaltningsmyndigheter och domstolar genom att ge in klagomål eller stämningsansökningar.5 känner till finns det i endast ett fåtal föreningar av detta slag, såsom och juridik samt . 5 Kravet på att det ska vara en fysisk person som anges i fullmakten gäller för mål i domstolarna, och föreslås gälla även i ärenden hos förvaltningsmyndigheter, se prop. En modern och rättssäker förvaltning – ny förvaltningslag, s. 90 f. 13.3Åtgärder för att förbättra det straffrättsliga sanktionssystemet förslag: Datainspektionen bör i sin årliga redovisning till regeringen redogöra för i vilken mån rättsmedlen är effektiva för att skydda registrerades rättigheter. Regeringen bör följa upp att polis och åklagare följer de rekommendationer avseende kompetens och metod för utredning av it-relaterad brottslighet som har rekommenderat och redovisa resultatet av uppföljningen till . 13.3.1Rapportering om det straffrättsliga sanktionssystemet i den årliga redovisningen I delbetänkandet föreslog att Datainspektionens uppdrag att följa och beskriva utvecklingen på it-området när det gäller frågor som rör personlig integritet och ny teknik, ska utvidgas till att även omfatta de legala förutsättningarna för integritetsskyddet och att myndigheten ska lämna en redovisning om utvecklingen inom området till regeringen.6 Kommittén föreslog även att Datainspektionen ska få ökade resurser för detta uppdrag.7 Vi anser att det är naturligt att det i denna uppgift ingår att analysera om rättsmedlen är tillräckligt effektiva för att skydda enskilda och om de uppfyller dataskyddsförordningens kvalitetskrav. Kommittén anser att de administrativa sanktionsavgifter som införs genom dataskyddsförordningen och pågående lagstiftningsarbeten inom straffrätten innebär steg i rätt riktning för att stärka den enskilde i samband med integritetskränkningar. Det är viktigt att Datainspektionen följer utvecklingen och ger regeringen signaler om det behövs ytterligare åtgärder. I kapitel 14 om tillsynsmyndigheten kommenterar vi på vilka sätt och på vilka grunder regeringen kan styra Datainspektionens uppgifter. 6SOU 2016:41, s. 641 ff. 7SOU 2016:41, s. 657 ff. 13.3.2Ändamålsenlig och effektiv utredning av it-relaterad brottslighet I delbetänkandet redogjorde för brister avseende lagföring av it-relaterad brottslighet som såväl Brottsförebyggande rådet8 och Riksrevisionen9 har rapporterat. Båda myndigheterna identifierade brister i kompetens avseende denna typ av brottslighet hos polis och åklagare. utmynnade i följande rekommendationer till : Identifiera nationella utvecklingsbehov och utveckla den strategiska kompetensförsörjningen för att kunna säkerställa verksamhetens behov. Planera, uppmuntra och skapa utrymme för kompetenshöjande åtgärder inom it-området. Säkerställ att grundutbildningen till polis motsvarar verksamhetens behov med hänsyn till den tekniska utvecklingen och dess påverkan på brottsligheten. Utveckla och förankra nationella arbetssätt och metodstöd för utredning av it-relaterade brott. Se över strukturen för brottssamordning och samverkan mellan polisregionerna. Utnyttja de fora som finns för internationell samordning och samverkan. Och följande rekommendationer till Identifiera nationella utvecklingsbehov och utveckla den strategiska kompetensförsörjningen för att kunna säkerställa verksamhetens behov. Planera, uppmuntra och skapa utrymme för kompetenshöjande åtgärder inom it-området. Utveckla och förankra metodstödet inom it-området och möjligheterna till erfarenhetsutbyte mellan åklagarområdena 8Polisanmälda hot och kränkningar mot enskilda personer via internet, Rapport 2015:6. 9It-relaterad brottslighet – polis och åklagare kan bli effektivare, RiR 2015:21. Av regeringens rapport10 till över framgår att regeringen noggrant följer och arbete på området och har inlett en dialog med myndigheterna om de rekommendationer som har lämnat till myndigheterna. Regeringen överväger att vid behov begära närmare redovisning av hur rekommendationer tas om hand. anför i sitt betänkande11 över att utskottet ser positivt på att regeringen har inlett en dialog med dessa myndigheter om rekommendationerna och att man överväger att vid behov begära närmare redovisning av hur rekommendationerna tas om hand. Kommittén ansluter sig till dessa bedömningar och betonar vikten av att regeringen genom att begära redovisning från följer upp att dessa åtgärder vidtas så att polis och åklagare kan utreda it-relaterade brott mer effektivt. Detta kan som regeringen anfört i sin rapport göras till exempel genom att begära redovisning från de berörda myndigheterna. Resultatet av denna uppföljning bör redovisas för . 13.3.3Administrativa sanktionsavgifter enligt dataskyddsförordningen Dataskyddsförordningen kommer att erbjuda andra möjligheter än rent straffrättsliga när det gäller felaktig behandling av personuppgifter genom de nya sanktionsavgifterna. Sanktionsavgifterna införs enligt skäl 148 för att stärka verkställigheten av förordningen. Bestämmelserna om administrativa sanktionsavgifter återfinns i artikel 83 och i förordningens skäl 148 till och med 150. Av artikel 83.1 framgår att det är den nationella tillsynsmyndigheten som ska besluta om sanktionsavgifter vid överträdelser av förordningens bestämmelser. I artikel 83.2 finns en detaljerad reglering av vilka faktorer som ska beaktas vid beslut om sanktionsavgifter och bestämmande av avgiftens storlek. Bland annat ska tillsynsmyndig- 10Regeringens skrivelse 2015/16:164. 112015/16:JuU27. heten vid beslutet beakta överträdelsens karaktär, svårighetsgrad och varaktighet, samt om överträdelsen varit uppsåtlig eller oaktsam. Det är alltså inte ett uttryckligt krav i förordningstexten att överträdelsen ska ha gjorts med uppsåt eller oaktsamhet för att sanktionsavgift ska bli aktuellt, men subjektiva omständigheter hos den personuppgiftsansvarige är en faktor som ska beaktas. Andra faktorer som tillsynsmyndigheten ska beakta är antalet berörda registrerade, vilken skada de har lidit, om den personuppgiftsansvarige har försökt förebygga eller i efterhand komma till rätta med överträdelsen och eventuell ekonomisk vinst som görs eller ekonomisk förlust som undviks genom överträdelsen. För överträdelser av vissa regler i förordningen, exempelvis dem om inbyggt dataskydd, förteckningar och konsekvensbeskrivningar, fastslås ett maxbelopp på eller av den globala årsomsättningen om det gäller ett företag, beroende på vilket belopp som är högst. För överträdelser av vissa andra regler, exempelvis dem om de grundläggande principerna för behandling och om rätten till information, rättelse och radering, fastslås ett maxbelopp om eller av den globala årsomsättningen. har föreslagit att sanktionsavgifter även ska kunna påföras statliga och kommunala myndigheter.12 Administrativa sanktionsavgifter kommer på grund av de höga beloppen som anges i bestämmelserna sannolikt att utgöra ett starkt incitament för personuppgiftsansvariga och personuppgiftsbiträden att se över sin personuppgiftshantering. it-brottskonvention CETS no. 185 (Budapestkonventionen) syftar huvudsakligen till att harmonisera lagstiftning och förenkla internationellt samarbete gällande cyberbrottslighet. Konventionen avser att fastlägga riktlinjer för nationell lagstiftning på området samt vara ett ramverk för internationellt samarbete mellan de stater som har ratificerat den. undertecknade Budapestkonventionen 2001 men har ännu inte ratificerat den. 12 betänkande Ny dataskyddslag – kompletterande bestämmelser till EU:s dataskyddsförordning, (SOU2017:39). trädare för de brottsutredande myndigheterna menar att det skulle underlätta det internationella samarbetet om ratificerade konventionen. Det finns ett betänkande13 avseende tillträde till konventionen. Det har remitterats och pågår inom arbete med en lagrådsremiss. 13.3.5Andra befintliga förslag till att stärka den straffrättsliga regleringen I betänkandet Integritet och straffskydd14 föreslås en ny straffbestämmelse om olaga integritetsintrång, som innebär ett straffansvar för den som gör intrång i någon annans privatliv genom att sprida bild eller annan uppgift på ett sätt som syftar till att medföra kännbar skada för den som uppgiften rör. Utredaren föreslår också en rad förtydliganden av befintliga straffbestämmelser i till skydd för den personliga integriteten. Dessutom föreslår utredningen att rätten till brottsskadeersättning ska utvidgas till vissa ärekränkningsbrott. Förslaget bereds inom och en proposition är planerad att läggas fram . 13.4Åtgärder för att förbättra den enskildes kunskaper förslag: Regeringen bör ge en myndighet i uppdrag att utreda hur en nationell folkbildningsinsats bör vara organiserad och utformad samt vilken omfattning och finansiering en sådan insats bör ha. Digitaliseringen av samhället och den förändring av vårt sätt att leva och kommunicera som den för med sig, skulle i viss mån kunna jämföras med högertrafikomläggningen – även om digitaliseringen inne- 13Utredningens om it-brottskonventionens betänkande konvention om it-rela- terad brottslighet, (SOU 2013:39). 14Utredningens om ett modernt och starkt straffrättsligt skydd för den personliga integriteten betänkande Integritet och straffskydd, (SOU 2016:7). bär en betydligt mer genomgripande samhällsförändring. Jämförelsen ska därför inte drivas allt för långt. Däremot kan det informationsarbete som fördes i samband med högertrafikomläggningen kunna vara en förebild för hur genomgripande samhällets insats behöver vara. Övergången till högertrafik innebar en förändring av samspelet i trafiken, som påverkade hela samhället. En förändring som krävde kunskapshöjande åtgärder riktade till enskilda individer för att omställningen skulle kunna genomföras på ett säkert sätt. Sannolikt behöver dock folkbildningen i ett digitaliserat samhälle bedrivas över en betydligt . För att planera och genomföra högertrafikomläggningen inrättades en särskild myndighet; , som ansvarade för förberedelsearbetet. Det gällde exempelvis att anpassa vägnätet samt bussar, spårvagnar och vissa andra fordon till den nya trafikriktningen. Men den viktigaste delen av förberedelsearbetet gällde trafiksäkerheten och ”ombyggnaden av trafikanterna”. Målsättningen var att varje trafikant måste nås med information om att högertrafik skulle införas, när den skulle införas och hur man skulle uppträda i trafiken. Dessutom måste alla som färdades på gator och vägar få veta vad som skulle göras inför trafikomläggningen och ta del av de nya bestämmelserna. För att nå detta mål drevs en informationskampanj som förmodligen var den största som någonsin genomförts i Sverige.15 gör bedömningen att digitaliseringen innebär stora utmaningar för oss som enskilda individer. Den påverkar vårt sätt att leva och interagera med andra människor. När vi lever vårt nya digitala liv lämnar vi elektroniska spår bakom oss. Dessa spår har ett ekonomiskt värde och kan användas på en mängd olika sätt och för olika syften. Detta medför konsekvenser som är svåra att överblicka. Regeringen har en vision för samhällets digitalisering. För att vi ska kunna närma oss den visionen på ett säkert sätt bedömer kommittén att regeringen också måste ta ansvar för att medborgarna är rustade för denna omställning. Regeringen har formulerat målsättningen att ska vara bäst i världen på att utnyttja digitaliseringens möjligheter. Kommittén delar bedömning att det krävs en omfattande och långsiktig satsning på medie- och informationskunnighet (), rik- 15 , museum, , . tad till samtliga medborgare för att nå detta mål.16 definieras som de förmågor som gör att en människa kan finna, analysera, kritiskt värdera och själv skapa information i olika medier och kontexter.17 Utöver denna kompetens avseende informationshantering behöver individen också kunskap och insikter om på vilket sätt den personliga integriteten påverkas av informationsanvändningen. beskriver kunskapsbehovet på detta sätt: I av hastiga förändringar på området uppstår behov av att, i takt med teknikutvecklingen, iterativt arbeta med kunskapsmålen. När informationsinhämtning inte längre handlar om att använda ett traditionellt medium utan i allt högre utsträckning börjar med en sökning i en sökmotor behöver kraven också omtolkas och anpassas. Begrepp som källkritik t.ex. bör utvecklas till att omfatta algoritmkritik. Färdigheter i medieanvändning bör t.ex. även omfatta medvetenhet om hur varje delning skapar digitala fotspår, men också hur användningen utgör en slags mediediet, som varje medborgare behöver balansera.18 Kunskapshöjande åtgärder avseende digitaliseringens effekter på den personliga integriteten är särskilt viktiga för barn och ungdomar. Barn och unga är ofta vana användare av ny teknik, men den yngre generationen kommer på ett mer genomgripande sätt än äldre att utsättas för en rad olika integritetsrisker genom hela livet och i takt med att samhället blir allt mer digitaliserat. Kunskapshöjande insatser måste därför utformas av befintliga myndigheter med ansvar för barn, unga, skola och en trygg uppväxt. En myndighet med ett sådant uppdrag är som enligt sin instruktion bland annat ska verka för att stärka barn och unga som medvetna medieanvändare i syfte att skydda dem mot skadlig mediepåverkan. När det gäller äldre medborgare finns naturligtvis också ett stort behov av grundläggande kunskap om digitaliseringen. Kommittén anser därför att flera olika myndigheter bör få i uppdrag att inom sitt ansvarsområde utforma och bedriva omfattande folkbildning avseende digitaliseringen och dess inverkan på den personliga integriteten. Vi anser att den myndighet som får det samlade ansvaret för den offentliga förvaltningens digitalisering, samt , , , Datainspektionen och andra myndigheter och organisationer i civilsamhället borde vara 16Medieutredningens slutbetänkande En gränsöverskridande mediepolitik, (SOU 2016:80). 17SOU 2016:80, s. 407. 18SOU 2016:80, s. 410. självklara aktörer inom detta område. Dessa måste samarbeta med varandra för att utforma folkbildningsinsatsen på ett så bra och verkningsfullt sätt som möjligt. De folkbildande aktiviteterna bör även syfta till att öka den enskildes kunskaper om hur man tar tillvara sin rätt i samband med integritetskränkningar. Regeringen bör inledningsvis ge en myndighet i uppdrag att utreda på vilket sätt en nationell folkbildningsinsats bör vara organiserad och utformad samt vilken omfattning och finansiering en sådan insats bör ha för att få avsedd effekt. I delbetänkandet konstaterade kommittén att Datainspektionen successivt har minskat sina tillsynsaktiviteter. Kommittén gjorde bedömningen att tillsynen är mycket viktig. Nya företeelser introduceras i en mycket snabb takt. Många av dessa finns det anledning att bedöma ur ett rättsligt perspektiv. Regelverket är tämligen oprecist och avsiktligt allmänt hållet. Det är därför ofta först när tillsynsmyndigheten har bedömt en ny företeelse, som leverantörer och andra användare får någon ledning. Resultatet från tillsynen kan sedan användas i tillsynsmyndighetens utåtriktade och proaktiva arbete för att sprida kunskap. I Datainspektionens årsredovisning för framgår att antalet inledda och avslutade tillsynsärenden fortsatt ligger på en låg nivå i förhållande till . Vidare kan noteras att Datainspektionen ägnar mer och mer tid åt att delta i kommitté- arbete och svara på remisser – ägnades nästan lika mycket tid åt detta arbete, som åt att utöva tillsyn enligt personuppgiftslagen.1 Kommittén har naturligtvis förståelse för att förberedelsearbetet med anledning av den nya dataskyddsförordningen kan medföra en tillfällig nedgång av omfattningen av tillsynsverksamheten. 1 För kommittéarbete och remisser redovisades , för tillsyn enligt personuppgiftslagen . Datainspektionen gör i årsredovisningen för bedömningen att det anslag som tilldelats myndigheten för är helt otillräckligt för att Datainspektionen ska kunna fungera som tillsynsmyndighet enligt dataskyddsförordningen och dataskyddsdirektivet. Datainspektionen lämnade därför ett kompletterande budgetunderlag till med äskande om ytterligare anslag, vilket myndigheten anser vara helt avgörande för att den ska kunna fullfölja sitt nya uppdrag enligt dataskyddsförordningen. I delbetänkandet konstaterade kommittén att flera myndigheter efterlyser mer vägledning från tillsynsmyndigheten i samband med digitaliseringen av förvaltningen. Även i flera av remissvaren på vårt delbetänkande framförs önskemål om tydligare och mer konkret vägledning från Datainspektionen i frågor som rör integritetsskydd. Vi anser att inspiration till ett utåtriktat och konsultativt arbetssätt med fördel kan hämtas från andra tillsynsmyndigheter i vårt närområde. I norska Datatilsynets årsredovisning för framgår att myndigheten lägger stor vikt vid arbetet med kommunikation och vägledning, och att myndigheten därför använder nästan en fjärdedel av sina personalresurser till detta, det vill säga omkring tio årsarbetskrafter. I denna del av Datatilsynets verksamhet inräknas myndighetens tekniska och juridiska vägledningsarbete, utbildningsverksamhet, mediakontakter och annan kommunikationsverksamhet. I sina årsredovisningar följer Datatilsynet upp sitt resultat i väglednings- och kommunikationsarbetet, exempelvis redovisar myndigheten hur många inlägg och följare som myndigheten haft på Twitter . Datatilsynet redovisar även hur ofta myndigheten omnämns i media. Vidare låter Datatilsynet utvalda medarbetare blogga om aktuella företeelser. På eget initiativ har Datatilsynet tagit fram en framåtriktad temarapport i samarbete med norska Det kan också noteras att Datatilsynet deltar som observatör i styrgruppen för Norm for informasjonssikkerhet, en norsk uppförandekod för hälso- och sjukvård och omsorg (läs mer i kapitel 7). Sammanfattningsvis kan Datatilsynet sägas ha ett väl fungerande väglednings- och kommunikationsarbete, med det tydliga syftet att belysa och lyfta frågor om integritetsskydd i olika former och sammanhang. Det är värt att notera att Datatilsynet utför sitt samlade uppdrag med ett anslag som inte stort skiljer sig från Datainspektionens i . I publicerar dataskyddsmyndigheten ’s Office (ICO) utkast till sin verksamhetsplan på webben, och uppmanar allmänheten att lämna synpunkter på vad man anser att ICO ska arbeta med. ICO utför även s.k. advisory visits, som innebär att företag och organisationer (inte myndigheter) bjuder in ICO som sedan lämnar rekommendationer för ett förbättrat dataskydd. Syftet med dessa besök är bland annat att hitta goda exempel som ska kunna spridas genom ICO:s försorg. I har dataskyddsmyndigheten de l’Informatique et des Libertés (CNIL) bett allmänheten om synpunkter på vilken slags vägledning man anser sig behöva från CNIL och Artikel 29-gruppen i förberedelsearbetet inför dataskyddsförordningen. Kommittén anser att tillsynsmyndighetens arbetssätt är viktigt, inte bara när det gäller tillsynen. Det är även viktigt att myndigheten har förutsättningar och resurser för att arbeta proaktivt och lösningsfokuserat, och kan erbjuda samverkan och samråd med företag och myndigheter. Här vilar självklart ett primärt ansvar hos personuppgiftsansvariga företag och myndigheter att vända sig till Datainspektionen när tvekan uppstår kring hur integritetsskyddet tillgodoses i den egna verksamheten. 14.1.5Nya krav enligt dataskyddsförordningen När dataskyddsförordningen ska börja tillämpas , inträder en lång rad nya och obligatoriska arbetsuppgifter för Datainspektionen. I sitt budgetunderlag –2019 har Datainspektionen identifierat bland annat följande nya arbetsuppgifter: En skyldighet att samarbeta med andra dataskyddsmyndigheter inom EU, till exempel i form av gemensamma tillsynsåtgärder och skyldighet att ge andra dataskyddsmyndigheter bistånd i tillsynsärenden. Bestämmelserna om gränsöverskridande behandling innebär att det i varje tillsynsärende måste utredas om behandlingen är gränsöverskridande och om det finns någon annan behörig dataskyddsmyndighet som ska involveras i tillsynsarbetet. En skyldighet att medverka i Europeiska dataskyddsstyrelsen, som genom förordningen får ett omfattande uppdrag bland annat genom mekanismen för enhetlighet och tvistelösning i tillsynsärenden. Ta fram en lista för vilka behandlingar av personuppgifter som den personuppgiftsansvarige ska göra en konsekvensbedömning avseende dataskydd. Lämna samrådsyttrande till den personuppgiftsansvarige i de fall dennes konsekvensbedömning indikerar att behandlingen innebär hög risk. Utföra förhandskontroller och lämna tillstånd i de fall den svenska lagstiftaren beslutar om detta. Uppmuntra utarbetandet av uppförandekoder, yttra sig över förslag till sådana och publicera godkända uppförandekoder samt om de gäller gränsöverskridande behandling överlämna till Europeiska dataskyddsstyrelsen att yttra sig. Uppmuntra tillkomsten av certifieringsmekanismer och sigill och märken för personuppgiftsbehandling samt regelbundna utvärderingar av sådana. Ta fram kriterier för ackreditering av certifieringsorgan och organ för övervakning av uppförandekoder. Ta emot och hantera anmälningar om personuppgiftsincidenter från personuppgiftsansvariga. Medverka till internationellt samarbete med länder utanför EU och internationella organisationer i större utsträckning än . 14.2.1Regeringens möjligheter att styra Datainspektionen Enligt artikel 8 i EU:s stadga om de grundläggande rättigheterna är kontrollen av en oberoende myndighet en del av den grundläggande rätten till skydd för personuppgifter. Enligt dataskyddsförordningen ska varje tillsynsmyndighet vara fullständigt oberoende i utförandet av sina uppgifter och utövandet av sina befogenheter i enlighet med förordningen.