sou · H5B329 · 2017-04-05 00:00:00 — I vilken utsträckning per- sonuppgifterna ska gallras regleras i det arkivrättsliga regelverket. Det bör anmärkas att behandling för arkivändamål omfattas av dataskyddsförordningens tillämpningsområde, oavsett om det är den behöriga myndigheten som arkiverar personuppgifterna eller om de överlämnas till en arkivmyndighet. Utredningens förslag: Om ett beslut, som har rättsliga följder för en fysisk person eller annars i betydande grad påverkar honom eller henne, enbart grundas på automatiserad behandling av sådana personuppgifter som är avsedda att bedöma hans eller hennes egenskaper, ska personen ha möjlighet att på begäran få beslutet omprövat av någon person. Automatiserade beslut som enbart grundar sig på känsliga personuppgifter förbjuds. Skälen för utredningens förslag: I artikel 11 föreskrivs att det ska införas förbud mot automatiserade beslut, såvida inte sådana beslut är tillåtna enligt unionsrätten eller nationell rätt och det är före- Principer för behandling av personuppgifter SOU 2017:29 skrivet lämpliga skyddsåtgärder för den enskilde. Skyddsåtgärderna ska åtminstone ge den enskilde rätt till personlig kontakt med någon hos den personuppgiftsansvarige. Enligt skäl 38 ska skydds- åtgärderna innefatta särskild information till den registrerade och rätt till personlig kontakt för att möjliggöra för honom eller henne att framföra synpunkter, att få beslutet förklarat för sig och att överklaga beslutet. Automatiserade beslut får inte grundas på käns- liga personuppgifter, om inte lämpliga skyddsåtgärder har vidtagits. Profilering som leder till diskriminering av fysiska personer på grundval av känsliga personuppgifter ska förbjudas. Med automatiserade beslut avses beslut som inte fattas av någon tjänsteman utan som blir den automatiska följden av t.ex. att en viss handling ges in eller inte inkommer . Automatise- rade beslut förekommer i viss utsträckning inom den svenska för- valtningen, men det rör sig främst om beslut i skattefrågor och i frågor som regleras i socialförsäkringsbalken. Inom ramlagens till- lämpningsområde förekommer det inga automatiserade be- slut, men med teknikutvecklingen kan det inte uteslutas att det kommer att finnas sådana. Då direktivet sätter gränser för sådana beslut bör ramlagen innehålla en bestämmelse om auto- matiserade beslut. Den finns dock inget skäl att öppna möjlighet att införa automatiserade beslut som enbart grundar sig på känsliga personuppgifter. Sådana beslut bör därför förbjudas. I 29 § personuppgiftslagen finns en liknande bestämmelse om automatiserade beslut. Den bör tjäna som utgångspunkt för hur bestämmelsen i ramlagen bör utformas. Information avseende automatiserade beslut behandlas i av- snitt 11.2.9 och överklagande i avsnitt 14.4. Utredningens förslag: Om det inte är särskilt föreskrivet får villkor för behandlingen av personuppgifter inte ställas upp i förhållande till en mottagare i en annan medlemsstat eller ett EU-organ, om det inte i motsvarande fall får ställas upp samma typ av villkor i förhållande till en svensk mottagare. Att motta- garen ska informeras om sådana villkor ska regleras i förordning. Principer för behandling av personuppgifter Skälen för utredningens förslag Tolkningen av artiklarna 9.3 och 9.4 I artikel 9.3 föreskrivs skyldighet för behöriga myndigheter att informera mottagare av personuppgifter om att det har ställts upp begränsningar för hur uppgifterna får behandlas och att sådana användningsbegränsningar måste respekteras. Enligt artikel 9.4 ska fastställda villkor för behandlingen av personuppgifter inte till- lämpas i förhållande till mottagare i andra medlemsstater eller på byråer eller organ som har inrättats i enlighet med bestämmelserna om straffrättsligt samarbete och polissamarbete i fördraget om Europeiska unionens funktionssätt (EUF-fördraget), med undan- tag för sådana villkor som är tillämpliga när personuppgifter i mot- svarande fall lämnas ut nationellt. Av punkterna 1 och 2 i artikeln framgår att dataskyddsförord- ningen ska tillämpas när personuppgifter som samlats in av behö- riga myndigheter behandlas för ändamål utanför direktivets till- lämpningsområde (se avsnitt 9.6). Det ligger därför nära till hands att tolka punkterna 3 och 4 som att de enbart gäller vid utlämnande där dataskyddsförordningen ska tillämpas. Det skäl som är kopplat till artiklarna 9.3 och 9.4, skäl 36, är dock placerat efter det skäl som anger när behandling av personuppgifter är laglig enligt direk- tivet. Det tyder på att regleringen av villkoren om användnings- begränsningar i första hand gäller vid behandling för ändamål inom direktivets tillämpningsområde. Det ter sig enligt utredningens mening också mer rimligt med en reglering av villkoren för an- vändningsbegränsning i de fallen. Det skulle innebära att villkor om användningsbegränsningar fick ställas upp i samma utsträckning i förhållande till behöriga myndigheter i andra medlemsstater som till behöriga myndigheter nationellt. Utredningen tolkar därför artiklarna 9.3 och 9.4 som att de gäller vid behandling för ändamål inom direktivets tillämpningsområde. Rätten att ställa upp användningsbegränsningar ska enligt arti- kel 9.3 framgå av unionsrätten eller av nationell rätt. Artikeln ska- par ingen rätt för behöriga myndigheter att ställa upp användnings- Principer för behandling av personuppgifter begränsningar, utan innebär endast en skyldighet att informera när sådana villkor har ställts upp på grund av andra regler. Informa- tionsskyldigheten kan regleras i förordning. Användningsbegränsningar ska enligt artikel 9.4 inte tillämpas i förhållande till mottagare i andra medlemsstater eller på byråer eller organ som har inrättats i enlighet med bestämmelserna om straff- rättsligt samarbete och polissamarbete i EUF-fördraget, utom så- dana villkor som är tillämpliga när personuppgifter i motsvarande fall lämnas ut nationellt. Artikeln torde innebära att användnings- begränsningar inte får ställas upp i större utsträckning i förhållande till mottagare i andra medlemsstater än vad som är tillåtet i för- hållande till mottagare i den egna medlemsstaten. Det bör regleras att användningsbegränsningar inte får ställas upp i större utsträckning i förhållande till mottagare i en annan medlemsstat eller ett EU-organ än vad som gäller i förhållande till mottagare i , om det inte är särskilt föreskrivet. Bestämmel- ser om när användningsbegränsningar får ställas upp finns inom ramlagens tillämpningsområde i lagen (2000:562) om internationell rättslig hjälp i brottmål, lagen (2000:1219) om internationellt tull- samarbete, lagen (2003:1174) om vissa former av internationellt samarbete i brottsutredningar, förordningen (2008:1396) om för- enklat uppgiftsutbyte mellan brottsbekämpande myndigheter i Europeiska unionen och den föreslagna lagen (2017:000) om internationellt polisiärt samarbete. Som framgår av avsnitt 15.2.2 definieras medlemsstat på ett annat sätt i ramlagen än normalt. Det är inte lämpligt att reglera i förhållande till vilka stater villkor om användningsbegränsningar får ställas upp i de enskilda bestämmel- serna om användningsbegränsningar, eftersom var och en av dem då skulle behöva tyngas av en uppräkning. Bestämmelsen bör i stället placeras i ramlagen. För att göra det tydligt för tillämparen att möjligheten att ställa upp användningsbegränsningar kan vara begränsad i förhållande till vissa stater, bör det införas hänvisningar till ramlagens bestämmelse i de nämnda lagarna. Av artikel 60 framgår att direktivet inte ska påverka särskilda be- stämmelser om skydd av personuppgifter i unionsrättsakter på om- rådet som trädde i kraft eller tidigare, vilka gäller behandling mellan medlemsstater eller tillgång till informationssys- tem som inrättats på grundval av fördragen och som är relevanta för direktivets tillämpningsområde (se avsnitt 6.3). Principer för behandling av personuppgifter en sådan rättsakt är tillåtet att ställa upp användningsbegränsningar i förhållande till andra medlemsstater, trots att motsvarande möj- lighet inte finns när det gäller nationella mottagare, bör bestäm- melser om det kunna behållas. Artikel 9.4 får därför tolkas som att den avser användningsbegränsningar i samband med uppgiftsutbyte i andra fall. 9.6Behandling för ändamål utanför ramlagens tillämpningsområde Utredningens förslag: I ramlagen ska det tas in en upplysnings- bestämmelse om att dataskyddsförordningen gäller vid behand- ling för ändamål som ligger utanför ramlagens tillämpningsom- råde. Skälen för utredningens förslag Från ramlagen till dataskyddsförordningen En behörig myndighet kan ha behov av att behandla personupp- gifter för nya ändamål både för att använda uppgifterna i den egna verksamheten och för att lämna ut dem till någon annan. I av- snitt 9.1 redovisas under vilka förutsättningar behöriga myndig- heter får behandla personuppgifter för ändamål som ligger inom ramlagens tillämpningsområde. Behöriga myndigheter kan även ha behov av att behandla per- sonuppgifter för ändamål som ligger utanför ramlagens tillämp- ningsområde, framför allt för att lämna ut dem till myndigheter och andra aktörer som inte är behöriga myndigheter för deras behov. Ett exempel på det kan vara att lämnar personuppgifter till , Transportstyrelsen eller en miljömyndighet efter en fartygskollision. Personuppgifter som en behörig myndighet behandlar enligt ramlagen kan också behöva lämnas till en enhet inom myndigheten som bedriver verksamhet utanför lagens tillämpningsområde. Personuppgifter som behandlas i brottsbekämpande verksamhet kan exempelvis Principer för behandling av personuppgifter behöva lämnas till den inom myndigheten som beslutar i fråga om pass eller vapenlicens. I artikel 9 regleras vad som gäller när personuppgifter som be- handlas med stöd av direktivet ska behandlas för ändamål utanför direktivets tillämpningsområde. Där anges att personuppgifter som har samlats in för ändamål inom direktivets tillämpningsområde inte får behandlas för andra ändamål, såvida inte sådan behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt. När personuppgifter behandlas för andra ändamål eller av någon som inte är en behörig myndighet ska dataskyddsförordningen tillämpas, utom när behandlingen utförs som ett led i en verksam- het som inte omfattas av unionsrätten. I skäl 34 framhålls att data- skyddsförordningen är tillämplig på överföring av personuppgifter för ändamål som inte omfattas av direktivet. Dataskyddsförord- ningen är därmed tillämplig redan på de behöriga myndigheternas behandling för att tillhandahålla personuppgifter till andra myndig- heter, om ändamålet med behandlingen ligger utanför ramlagens tillämpningsområde. Vad innebär det att dataskyddsförordningen är tillämplig? För behandling av personuppgifter i verksamhet som omfattas av unionsrätten gäller antingen direktivets eller dataskyddsförord- ningens reglering. Direktivet och förordningen kan vara tillämpliga parallellt om samma personuppgift behandlas för olika syften, men de kan aldrig tillämpas på samma behandling (se av- snitt 7.1.5). har behandling av personuppgifter för ett nytt ändamål, oavsett om det är behandling i myndighetens egen verksamhet eller för att lämna ut uppgifterna till en annan myndighet, setts som vidarebehandling. Vidarebehandling är enligt finalitetsprincipen tillåten endast om det nya ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in. Av artikel 9 i direktivet framgår att dataskyddsförordningen ska tillämpas på behandling för ändamål utanför direktivets tillämpningsområde. Det innebär att direktivets, och därmed ramlagens, bestämmelser över huvud taget inte ska tillämpas vid sådan behandling. Prövningen av om be- handlingen är tillåten ska enbart göras med utgångspunkt i bestäm- Principer för behandling av personuppgifter melserna i förordningen. Eftersom den behandlingen blir ur- sprungsbehandling enligt förordningen är det inte fråga om någon vidarebehandling, vilket gör att finalitetsprincipen inte ska till- lämpas på den behandlingen. Det innebär att finalitetsprincipen aldrig blir tillämplig på direktivets tillämpningsområde (se även av- snitt 9.1.6). Ramlagen bör innehålla en bestämmelse som upplyser om att det är dataskyddsförordningen som ska tillämpas när personuppgif- ter behandlas för ändamål som inte omfattas av ramlagens tillämp- ningsområde. I flera av myndigheternas registerförfattningar finns sekundära ändamålsbestämmelser som reglerar när behandling för att tillhan- dahålla information till andra myndigheter eller andra delar av verk- samheten är tillåten (se t.ex. 2 kap. 8 § polisdatalagen). I utred- ningens uppdrag ingår att analysera om det finns utrymme för och behov av att inom dataskyddsförordningens tillämpningsområde införa eller behålla specifik reglering i svensk rätt om behandling av personuppgifter för att tillhandahålla information (se dir. 2016:21 s. 10 f.). Det finns därför skäl att redan nu diskutera om det över huvud taget går att ha kvar de sekundära ändamålsbestämmelserna för behandling som ligger under förordningens tillämpningsom- råde. För att kunna göra det måste utredningen gå igenom när behandling är tillåten enligt förordningen och vilket utrymme det finns för kompletterande nationella bestämmelser. Dataskyddsförordningen utgår, i likhet med direktivet, från att varje behandling av personuppgifter måste vila på en rättslig grund. De rättsliga grunderna räknas uttömmande upp i artikel 6.1 i för- ordningen. Om ingen av dem är tillämplig är behandlingen inte lag- lig och får därmed inte utföras. De rättsliga grunder som räknas upp i artikel 6.1 är följande: a)Den registrerade har lämnat sitt samtycke till behandlingen. b)Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. Principer för behandling av personuppgifter c)Behandlingen är nödvändig för att fullgöra en rättslig förplik- telse som den personuppgiftsansvarige har. d)Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller en annan fysisk person. e)Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myn- dighetsutövning. f)Behandlingen är nödvändig för ändamål som rör den person- uppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Av artikeln framgår att punkten f inte gäller för behandling som ut- förs av myndigheter. De behöriga myndigheternas arbetsuppgifter som har lagts fast av eller regeringen (eller som följer av unionsrätt) får anses vara av allmänt intresse, även om de inte innebär myndighets- utövning. Därför blir framför allt artikel 6.1 e relevant när behöriga myndigheter ska lämna ut personuppgifter enligt förordningen. Även artikel 6.1 c skulle kunna aktualiseras. Medlemsstaterna får enligt artikel 6.2 i vissa fall behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen genom att fastställa specifika krav för behandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Det förutsätter att det är fråga om sådan per- sonuppgiftsbehandling som är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige, eller för att ut- föra en uppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning (artikel 6.1 c eller e). Av artikel 6.3 framgår att syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkten 1 e, vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan enligt artikeln också innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen. Principer för behandling av personuppgifter Grunden för behandlingen i artiklarna 6.1 c och 6.1 e ska enligt artikel 6.3 första stycket fastställas i enlighet med unionsrätten eller den nationella rätten. Enligt direktiven till innebär det att det inte kommer att vara möjligt att endast stödja sig på den generella regleringen i förordningen vid sådan behand- ling. Den utredningen har därför i uppdrag att bl.a. analysera om det behövs bestämmelser som kompletterar förordningen och ger ett generellt stöd för myndigheters och andra organs behandling av personuppgifter (dir. 2016:15 s. 7 f.). För att inte föregripa bedömning av hur de olika punkterna i artikel 6 ska tolkas och om det behövs kompletterande bestämmelser i svensk rätt, anser utredningen att det är tillräckligt att konstatera att artiklarna 6.2 och 6.3 ger ut- rymme för medlemsstaterna att specificera villkoren för när be- handling av personuppgifter är tillåten. I artikel 6.3 anges dessutom som exempel på sådana särskilda bestämmelser som är tillåtna att de enheter till vilka personuppgifter får lämnas pekas ut. Det råder därför enligt utredningens mening ingen tvekan om att det är möj- ligt att i myndigheternas registerförfattningar reglera utlämnande- frågor. Som anges i avsnitt 9.1.6 kan det däremot ifrågasättas om de sekundära ändamålsbestämmelserna är bestämmelser om ändamål. Utredningen återkommer i slutbetänkandet till frågan hur de sekundära ändamålsbestämmelserna i registerförfattningarna bör hanteras. 10.1Vad innebär personuppgiftsansvar? Utredningens förslag: Personuppgiftsansvarig ska i ramlagen definieras som den behöriga myndighet som ensam eller till- sammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Skälen för utredningens förslag: Personuppgiftsansvar är ett centralt begrepp i dataskyddslagstiftningen. Utgångspunkten är att det alltid ska finnas någon som bär ansvaret för att dataskyddsreg- lerna följs vid behandling av personuppgifter och som den enskilde kan vända sig till för att göra sina rättigheter gällande. Den person- uppgiftsansvarige har det ansvaret. Det är viktigt att det tydligt framgår vem som är personuppgiftsansvarig och därför bör det i ramlagen definieras vad som avses med uttrycket. Personuppgiftsansvarig definieras i artikel 3.8 som en behörig myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Definitionen i direktivet motsvarar den som finns i 3 § person- uppgiftslagen (1998:204), som genomför artikel 2 d i det nu gäl- lande dataskyddsdirektivet. Eftersom definitionen är väl inarbetad bör personuppgiftsansvarig därför definieras på samma sätt i ram- lagen. Det bör dock framgå att endast behöriga myndigheter kan vara personuppgiftsansvariga. Personuppgiftsansvarig bör därmed definieras som den behöriga myndighet som ensam eller tillsam- mans med andra bestämmer ändamålen med och medlen för be- handlingen av personuppgifter. Av artikel 3.8 framgår att om ändamålen med och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller kriterier för hur den ska utses föreskrivas i unionsrätten eller nationell rätt. Direktivet ger således möjlighet att fastställa personuppgiftsan- svaret i författning. Eftersom ramlagen ska vara tillämplig på all behandling av per- sonuppgifter för de syften som anges i lagen är det inte möjligt att i lagen ange vem som är personuppgiftsansvarig för viss behandling. I de verksamheter där endast ramlagen kommer att gälla får defi- nitionen i lagen tjäna som vägledning för vem som är personupp- giftsansvarig. Det är enligt utredningens mening ett tillräckligt tydligt sätt att fastställa personuppgiftsansvaret på. I myndigheter- nas registerförfattningar föreskrivs vem som är personuppgiftsan- svarig. Hur personuppgiftsansvaret ska regleras i myndigheternas registerförfattningar framöver kommer utredningen att behandla i slutbetänkandet. Utredningens förslag: Den personuppgiftsansvarige ska vara ansvarig för all behandling av personuppgifter som utförs under dennes ledning eller på dennes vägnar. Skälen för utredningens förslag: Av ramlagen ska det framgå vad den personuppgiftsansvarige är skyldig att göra i olika situationer, t.ex. samarbeta med tillsynsmyndigheten, vidta säkerhetsåtgärder och utse dataskyddsombud. Enligt artikel 4.4 ska den personupp- giftsansvarige inte bara ansvara för att personuppgiftsbehandlingen utförs på ett lagligt och korrekt sätt och i övrigt i enlighet med de grundläggande principer som gäller för behandlingen utan även kunna visa att principerna efterlevs. Enligt utredningens mening bör det i ramlagen klargöras hur långt personuppgiftsansvaret sträcker sig. I en bestämmelse om personuppgiftsansvarets omfattning bör den personuppgiftsansva- riges helhetsansvar slås fast. Enligt skäl 50 bör personuppgiftsan- svariga åläggas ansvaret för all behandling av personuppgifter som de utför eller som utförs på deras vägnar. Det är enligt utredning- ens mening en rimlig utgångspunkt. På så sätt kommer personupp- giftsansvaret att omfatta dels den personuppgiftsbehandling som förekommer vid den behöriga myndigheten, dels den personupp- giftsbehandling som ett personuppgiftsbiträde utför på den person- uppgiftsansvariges vägnar (se avsnitt 10.6.2). Den personuppgiftsansvariges helhetsansvar får också betydelse för skadeståndsansvaret, eftersom den personuppgiftsansvarige an- svarar även för den behandling som utförs av ett personuppgiftsbi- träde. Utredningen återkommer till den frågan i avsnitt 14.3.2. Det får likaså betydelse för frågan om vem som ska betala sanktionsav- gift, vilket utredningen återkommer till i avsnitt 13.4. Det är den behöriga myndigheten som är personuppgiftsansva- rig, inte chefen eller någon anställd. Ytterst är det dock myndig- hetens chef som bär ansvaret för hur personuppgifterna behandlas. I stora myndighetsorganisationer innebär det att personuppgifts- ansvaret hamnar långt från den faktiska behandlingen av person- uppgifter. Personuppgiftsansvaret kan därmed bli ganska abstrakt. Den omständigheten att det har utsetts ett dataskyddsombud påverkar inte personuppgiftsansvaret. Ett dataskyddsombud har nämligen inte något ansvar för den personuppgiftsbehandling som utförs (se avsnitt 10.5.3). Enligt artikel 23 ska den som får tillgång till personuppgifter endast behandla dem enligt instruktion från den personuppgifts- ansvarige. Varje medarbetare måste därför vid behandling av per- sonuppgifter se till att regelverket för sådan behandling följs, men ansvaret för att medarbetarna har fått den utbildning som krävs och tillräckliga instruktioner vilar på den personuppgiftsansvarige. 10.2Skyldigheten att säkerställa författningsenlig behandling 10.2.1Tekniska och organisatoriska åtgärder Utredningens förslag: Genom lämpliga tekniska och organisa- toriska åtgärder ska den personuppgiftsansvarige säkerställa och kunna visa att behandlingen av personuppgifter är författnings- enlig och att registrerades rättigheter skyddas. Den personuppgiftsansvarige ska också genom lämpliga tek- niska och organisatoriska åtgärder se till att dataskyddsprinciper säkerställs på ett effektivt sätt och att nödvändiga skydds- åtgärder integreras i behandlingen (inbyggt dataskydd). I auto- matiserade behandlingssystem ska det som regel endast vara möjligt att behandla de personuppgifter som är nödvändiga för varje särskilt angivet ändamål med behandlingen (dataskydd som standard). Vilka omständigheter som ska beaktas när den personupp- giftsansvarige beslutar om tekniska och organisatoriska åtgärder ska regleras i förordning. Att den personuppgiftsansvarige ska anta interna strategier för dataskydd ska också regleras i förordning. Skälen för utredningens förslag