sou · H5B329 · 2017-04-05 00:00:00 — I Datain- spektionens allmänna råd om information till registrerade framhålls att det är den personuppgiftsansvarige som har bevisbördan för att den registrerade har fått den information som krävs och att det där- för ligger i den personuppgiftsansvariges intresse att informationen är tydlig och begriplig. Om informationen bör lämnas muntligen eller skriftligen avgörs av omständigheterna i det enskilda fallet. Datainspektionen ger råd om hur information bör lämnas i olika situationer beroende på hur personuppgifterna samlas in. Inspek- tionen rekommenderar att den personuppgiftsansvarige utformar tydliga rutiner för hur information ska lämnas. Förvaltningslagen innehåller bestämmelser om förvaltnings- myndigheternas serviceskyldighet och allmänna krav på handlägg- ning av ärenden. Enligt 7 § ska myndigheter sträva efter att ut- trycka sig lättbegripligt. Enligt 11 § språklagen (2009:600) ska språ- ket i offentlig verksamhet vara vårdat, enkelt och begripligt. Behövs det särskild reglering? Regleringen i förvaltningslagen och språklagen innebär att det redan finns generella krav på begriplighet och klart och tydligt språk som gäller i offentlig verksamhet. Det innebär att kraven i direktivet är uppfyllda för större delen av den verksamhet som ramlagen omfattar. Det kan dock ändå finnas skäl att ha en särskild bestämmelse om att information till registrerade om personupp- giftsbehandling ska vara lättillgänglig och lättbegriplig, eftersom det är ett så komplext ämne. I att den ska vara lättillgänglig och lättbegriplig ligger att den normalt bör vara kortfattad. Frågan kan regleras i förordning. Det bör även framgå att informationen ska lämnas i lämplig form. Med form avser utredningen både på vilket sätt informatio- nen förmedlas (skriftligen eller muntligen) och på vilket medium den ges (t.ex. på myndighetens webbplats eller i en broschyr). I direktivet anges att informationen som utgångspunkt ska lämnas i samma form som begäran och att ett lämpligt sätt att tillhandahålla information är att göra det elektroniskt. Vad som är lämplig form beror enligt utredningens mening på vilken information det är fråga om, i vilken situation den lämnas, vilket behov den enskilde har och de tekniska möjligheterna. Det bör därför inte regleras närmare. 11.5.5Åtgärder som underlättar utövandet av rättigheterna Utredningens bedömning: Att den personuppgiftsansvarige ska underlätta för den registrerade att ta tillvara sina rättigheter kräver inga lagstiftningsåtgärder. Skälen för utredningens bedömning: Enligt artikel 12.2 ska den personuppgiftsansvarige underlätta utövandet av den registrerades rättigheter. I skäl 40 framhålls särskilt rutiner för att kostnadsfritt begära och få tillgång till personuppgifter, rättelse, radering och begränsning av behandling. Alla myndigheter har en i förvaltningslagen fastlagd serviceskyl- dighet. Det finns också allmänna krav på myndigheternas och dom- stolarnas handläggning. Även de förfaranderegler som gäller i mål- och ärendehantering hos de behöriga myndigheterna innehåller Enligt 4 § förvaltningslagen ska varje myn- dighet lämna upplysningar, vägledning, råd och annan sådan hjälp till enskilda i frågor som rör myndighetens verksamhetsområde. Hjälpen ska lämnas i den utsträckning som är lämplig med hänsyn till frågans art, den enskildes behov av hjälp och myndighetens verksamhet. Det innebär att myndigheten ska hjälpa enskilda att ta tillvara sin rätt i angelägenheter inom dess verksamhetsområde. Det kan gälla exempelvis upplysningar om hur man gör en ansökan, råd om vilka handlingar som bör bifogas och hjälp med att fylla i blan- ketter. I 7 § förvaltningslagen föreskrivs att myndigheten ska underlätta den enskildes kontakter med myndigheten. Det finns delvis likartade bestämmelser för domstolarna. Bestämmelsen i artikel 12.2 är generellt utformad och närmast att se som en inledande bestämmelse till de efterföljande punkterna i artikeln, som preciserar vad den personuppgiftsansvarige ska göra för att underlätta för den registrerade att utöva sina rättigheter. Enligt utredningens uppfattning behöver artikel 12.2 därför inte genomföras i svensk rätt. 11.5.6Skyldighet att informera om handläggningen Utredningens bedömning: Skyldigheten att informera om handläggningen kräver inga lagstiftningsåtgärder. Skälen för utredningens bedömning: Den personuppgiftsansva- rige ska enligt artikel 12.3 utan onödigt dröjsmål skriftligen infor- mera den registrerade om uppföljningen av hans eller hennes begä- ran. Artikel 12.3 syftar enligt utredningens uppfattning till att för- hindra att den personuppgiftsansvarige dröjer alltför länge med att behandla en registrerads begäran om information eller om en kor- rigeringsåtgärd. Vilken information som ska lämnas i de fall där den personuppgiftsansvarige är skyldig att lämna svar framgår inte av direktivet, utöver att svaret ska vara en uppföljning av begäran. I artiklarna 12.3 och 12.4 i dataskyddsförordningen föreskrivs i mot- svarande bestämmelser att informationen ska avse de åtgärder som har vidtagits eller orsaken till att åtgärderna inte har vidtagits. Eftersom det inte finns motsvarande regler i direktivet menar ut- redningen att det skulle leda för långt att begära att den person- uppgiftsansvarige ska ange vilka åtgärder som har vidtagits eller motivera varför några åtgärder inte vidtagits i anledning av begäran. Utredningen tolkar artikeln så att det som krävs av den personupp- giftsansvarige är att den registrerade informeras om hur begäran hanteras, dvs. status för handläggningen av den. Det ligger också i linje med svensk förvaltningstradition att kräva att den personupp- giftsansvarige när det begärs bekräftar att en handling tagits emot och anger om den är under handläggning eller inte. När det gäller begäran om rättelse, radering eller begränsning av behandlingen föreskrivs att åtgärderna ska vidtas utan onödigt dröjsmål (se avsnitt 11.4.1–3). Detsamma gäller begäran om per- sonrelaterad information (se avsnitt 11.2.8). Det kommer därför inte att finnas något behov av att informera om handläggningen annat än om det uppstår något oförutsett dröjsmål. Att den regi- strerade vid behov ska hållas informerad om handläggningen följer av allmänna förvaltningsrättsliga principer och den allmänna ser- viceskyldigheten i förvaltningslagen och kräver därför enligt utred- ningens mening inte några lagstiftningsåtgärder. 11.5.7Beslut ska vara skriftliga och motiverade Utredningens förslag: Att beslut ska vara skriftliga och i vissa fall motiverade ska regleras i förordning. Skälen för utredningens förslag: Enligt artikel 15.3 ska den per- sonuppgiftsansvarige skriftligen informera den registrerade om sådan information som avses i artikel 14 vägras eller begränsas och om skälen för att det görs. Av skäl 45 framgår att beslut om begränsning av information ska inkludera de faktiska och rättsliga skäl som beslutet grundar sig på. Det bör därför föreskrivas att beslut att inte lämna personrelaterad information ska vara skriftliga och motiverade. Att den personuppgiftsansvarige kan vägra att lämna informa- tion om en begäran är orimlig eller uppenbart ogrundad eller ta ut avgift om begäran är återkommande behandlas i avsnitt 11.3.4. Be- slut om att ta ut avgift eller att inte lämna information bör vara skriftliga och motiverade. Enligt artikel 16.4 ska den personuppgiftsanvarige underrätta den registrerade skriftligen om beslut att inte rätta, radera eller begränsa behandlingen. Besluten ska vara motiverade. Det bör där- för föreskrivas att beslut i fråga om rättelse, radering eller begräns- ning av behandlingen ska vara skriftliga. Beslut som går den regi- strerade emot ska också vara motiverade. Att skälen för besluten inte behöver lämnas ut i vissa fall behandlas i avsnitt 11.3.1. Att besluten ska vara skriftliga och i vissa fall motiverade kan regleras i förordning. Utredningens förslag: Underrättelseskyldigheter knutna till enskildas rättigheter ska regleras i förordning. Skälen för utredningens förslag Som nämnts ska den personuppgiftsansvarige enligt arti- kel 15.3 utan onödigt dröjsmål skriftligen informera den registre- rade om sådan information som avses i artikel 14 vägras eller be- gränsas och om skälen för det. En sådan underrättelse kan enligt artikeln utelämnas om den skulle undergräva ändamålet med åtgär- den. Den personuppgiftsansvarige ska även underrätta den regi- strerade om möjligheten att lämna in klagomål till en tillsyns- myndighet eller begära rättslig prövning. Enligt artikel 15.4 ska den personuppgiftsansvarige dokumentera de sakliga och rättsliga grun- derna för beslutet. Informationen ska göras tillgänglig för tillsyns- myndigheterna. Om den personuppgiftsansvarige inte har lämnat information till den registrerade eller inte uppgett skälen för beslut att avslå begäran om rättelse, radering eller begränsning av behandling ska enligt artikel 17.2 den registrerade underrättas om möjligheten att utöva rättigheterna genom tillsynsmyndigheten. I de fall där behandlingen begränsas för att den registrerade be- strider att personuppgifterna är korrekta och det rätta förhållandet inte kan fastställas, ska enligt artikel 16.3 den personuppgiftsansva- rige underrätta den registrerade innan begränsningen av behand- lingen upphävs. Enligt artikel 16.4 ska den personuppgiftsanvarige underrätta den registrerade skriftligen om ett beslut att inte rätta, radera eller begränsa behandlingen. Han eller hon ska också under- rättas om möjligheten att lämna in klagomål till en tillsynsmyndig- het eller begära rättslig prövning. Om en oriktig personuppgift har rättats ska enligt artikel 16.5 den personuppgiftsansvarige under- rätta den behöriga myndighet från vilken personuppgiften kom- mer. Artikel 16.6 föreskriver att om personuppgifter har rättats, raderats eller behandlingen av dem har begränsats ska den person- uppgiftsansvarige underrätta mottagarna om åtgärden. Mottagarna ska rätta eller radera personuppgifterna eller begränsa den behand- ling som utförs under deras ansvar. Enligt förvaltningslagen, som tillämpas när en myndighet agerar i egenskap av personuppgiftsansvarig, ska beslut som regel motive- ras. Det gäller även för brottsbekämpande myndigheter och för domstolar i fråga om administrativa beslut. En myndighet som meddelar ett beslut ska även underrätta den som är part om det fullständiga innehållet i beslutet. Det krävs så- ledes inte någon lagstiftningsåtgärd för att uppfylla det kravet i artikel 15.3. Artikeln innehåller dock ett undantag från denna skyl- dighet, nämligen att den registrerade inte behöver underrättas om underrättelsen skulle undergräva ändamålet med åtgärden. Det kan vara fallet om skälen för beslutet skulle riskera att röja information som hänför sig till något av de intressen som enligt direktivet får läggas till grund för att begränsa informationen. Ett sådant undan- tag är enligt utredningens mening nödvändigt för att sökanden inte genom avslagsbeslutet ska kunna få del av information som han eller hon annars inte har rätt att få. Kraven på sådana beslut be- handlas i avnitt 11.5.7. Sökanden bör utan onödigt dröjsmål under- rättas om ett sådant beslut, om det inte skulle skada det intresse som föranleder att information inte har lämnats. Det kan regleras i förordning. Att den personuppgiftsansvarige ska underrätta sökanden om möjligheten att begära rättslig prövning kräver inte någon lagstift- ningsåtgärd, eftersom skyldigheten att upplysa enskilda om huru- vida ett beslut är överklagbart och hur det går till att överklaga följer av förvaltningslagen. Sökanden bör dock underrättas om möjligheten att lämna in klagomål till tillsynsmyndigheten och att begära att den kontrollerar om hans eller hennes personuppgifter behandlas författningsenligt. Det kan regleras i förordning. Under- rättelsen kan lämpligen lämnas i det beslut där den efterfrågade informationen begränsas eller inte lämnas ut. Det krävs enligt utredningens mening inte heller någon bestäm- melse om att den personuppgiftsansvarige ska dokumentera de sak- liga och rättsliga grunderna för beslut och göra informationen till- gänglig för tillsynsmyndigheten. Grunderna för ett beslut ska en- ligt förvaltningslagen framgå av skälen. rätt att få tillgång till dokumentation för att kunna utöva tillsyn be- handlas i avsnitt 12.7.3. Att den personuppgiftsansvarige kan vägra att lämna informa- tion om en begäran är orimlig eller uppenbart ogrundad eller ta ut avgift för den om begäran är återkommande behandlas i av- snitt 11.3.4 och kraven på sådana beslut i avsnitt 11.5.7. Sökanden bör underrättas om beslutet. Det kan regleras i förordning. I avsnitt 11.5.7 behandlas också kraven på beslut om rättelse, radering eller begränsning av behandlingen. Den registrerade ska underrättas om beslutet och om möjligheten att lämna in klagomål till tillsynsmyndigheten. Om den personuppgiftsansvarige inte har angett skälen för beslutet att inte lämna information ska den regi- strerade också underrättas om möjligheten att begära att tillsyns- myndigheten kontrollerar om hans eller hennes personuppgifter behandlas författningsenligt. Det kan regleras i förordning. Även skyldigheten att informera innan en begränsning av be- handling av personuppgifter upphör kan regleras i förordning. Enligt 28 § personuppgiftslagen ska i vissa fall tredje man under- rättas om att personuppgifter har rättats. Den personuppgiftsan- svarige ska på begäran av den registrerade underrätta tredje man som fått uppgifterna om rättelsen. Någon underrättelse behöver dock inte lämnas om det skulle visa sig vara omöjligt eller skulle kräva en oproportionerligt stor arbetsinsats. Paragrafen genomför artikel 12 c i det nu gällande direktivet, som också gör undantag från kravet på underrättelse till tredje man om det visar sig vara omöjligt eller innebär en oproportionerligt stor ansträngning. När det gäller underrättelse till tredje man enligt artikel 16.6 medger direktivet inte ett sådant undantag som finns i 28 § person- uppgiftslagen. En underrättelse bör således alltid skickas på den personuppgiftsansvariges eget initiativ till mottagaren, om en per- sonuppgift har rättats eller raderats eller behandlingen av den har begränsats. Underrättelseskyldigheten bör så långt möjligt även gälla i förhållande till dem som tagit del av en felaktig personupp- gift eller en uppgift som behandlats otillåtet och som gjorts till- gänglig, t.ex. genom direktåtkomst. Underrättelseskyldigheten kan regleras i förordning. Vilka åtgärder som bör vidtas behandlas i avnitt 9.2.6. Någon underrättelse bör inte krävas i den personuppgiftsansva- riges egen verksamhet. Det följer av de grundläggande kraven på behandling att den personuppgiftsansvarige ska se till att felaktiga personuppgifter inte behandlas. Den personuppgiftsansvarige har därför intresse av att inom den egna organisationen på lämpligt sätt sprida kännedom om de rättelser och ändringar som görs. Enligt artikeln ska mottagare av personuppgifter som har rät- tats, raderats eller där behandlingen har begränsats vidta motsva- rande åtgärder med personuppgifter som behandlas under deras ansvar. Om en behörig myndighet underrättas om att en person- uppgift som den har tagit emot har rättats, raderats eller att be- handlingen av den har begränsats av den myndighet som överläm- nat den, ska den behöriga myndigheten pröva om motsvarande åtgärd även bör göras där. Skyldigheten att agera följer av förslaget om att den personuppgiftsansvarige ska vara skyldig att på eget initiativ rätta personuppgifter som är felaktiga eller ofullständiga, uppdatera personuppgifter som är inaktuella och radera eller be- gränsa behandlingen av personuppgifter som har behandlats på ett otillåtet sätt (se avsnitt 9.2.6). Någon ytterligare reglering behövs därför inte. Eftersom myndigheter kan ha olika ändamål för be- handlingen behöver dock en korrigeringsåtgärd hos en myndighet inte alltid leda till samma åtgärd hos en annan, trots att det är fråga om samma personuppgift. Om en felaktig eller ofullständig personuppgift har rättats eller kompletterats ska den personuppgiftsansvarige underrätta den myndighet från vilken personuppgiften kommer. En bestämmelse om det bör tas in förordning. 11.5.9Information ska inte avgiftsbeläggas Utredningens förslag: Information om behandlingen av per- sonuppgifter som den personuppgiftsansvarige ska lämna på eget initiativ och information om automatiserade beslut ska lämnas utan avgift. Information som ska lämnas på begäran är avgiftsfri en gång . Skälen för utredningens förslag: Enligt artikel 12.4 ska den regi- strerades rättigheter vara kostnadsfria. Det handlar dels om kost- nadsfri information om behandlingen av den registrerades person- uppgifter enligt artikel 13, dels om att meddelanden eller åtgärder enligt artiklarna 11, 14–18 och 31 ska vara kostnadsfria. Myndigheters information och beslut är som huvudregel kost- nadsfria, om inte annat föreskrivs. För att tydliggöra att så är fallet bör det i ramlagen föreskrivas att information som den personupp- giftsansvarige lämnar på eget initiativ om behandlingen av den regi- strerades personuppgifter ska vara avgiftsfri. Detsamma gäller den personuppgiftsansvariges information till den registrerade om automatiserade beslut. Som framgår av avsnitt 11.3.4 anser utred- ningen att personrelaterad information som lämnas på begäran ska vara avgiftsfri en gång . Begär någon information oftare före- slås att den personuppgiftsansvarige ska få ta ut rimlig avgift eller avslå begäran. Enligt direktivet ska även beslut, underrättelser och åtgärder vara kostnadsfria. Enligt utredningens mening behöver det inte reg- leras särskilt utan följer av huvudregeln att ingen avgift tas ut för myndigheters beslut och meddelanden. Utredningen anser att uttrycket utan avgift bör väljas i stället för direktivets kostnadsfri för att korrespondera med uttrycket rimlig avgift. 12.1Dagens tillsyn över personuppgiftsbehandling Datainspektionen utövar tillsyn över all behandling av personupp- gifter, så länge ansvaret inte uttryckligen har anförtrotts någon annan myndighet. Uppdraget regleras i förordningen (2007:975) med instruktion för Datainspektionen (i det följande Datainspek- tionens instruktion). Datainspektionens tillsyn på direktivets om- råde omfattar både behandling som regleras i personuppgiftslagen (1998:204) och i särskilda registerförfattningar och andra författ- ningar som innehåller bestämmelser om behandling av personupp- gifter. Datainspektionen är enligt 2 § personuppgiftsförordningen (1998:1191) tillsynsmyndighet enligt personuppgiftslagen. Datain- spektionen har också utsetts till nationell tillsynsmyndighet enligt flera unionsrättsakter, bl.a. artikel 28.1 i det nu gällande data- skyddsdirektivet, artikel 25.1 i rådets rambeslut /977/RIF av om skydd av personuppgifter som behand- las inom ramen för polissamarbete och straffrättsligt samarbete och artikel 30.5 i rådets beslut /615/RIF av om ett fördjupat gränsöverskridande samarbete, särskilt för bekämp- ning av terrorism och gränsöverskridande brottslighet (Prümråds- beslutet). Inspektionens uppgift är bl.a. att verka för att människor skyd- das mot att deras personliga integritet kränks genom behandling av personuppgifter. Verksamheten ska särskilt inriktas på att infor- mera om gällande regler och att ge råd och hjälp åt personupp- giftsombud. Vidare ska myndigheten följa och beskriva utveck- lingen på it-området när det gäller frågor som rör integritet och ny teknik (1 § Datainspektionens instruktion). Inspektionen har rätt att för sin tillsyn få tillgång till person- uppgifter, upplysningar och dokument och tillträde till lokaler som används för behandling av personuppgifter (43 § personuppgiftsla- gen). Genom påpekanden och liknande förfaranden ska inspektio- nen i första hand försöka åtstadkomma rättelse och i andra hand besluta om förbud mot annan behandling än lagring (45 § person- uppgiftslagen) eller vid domstol ansöka om utplåning av person- uppgifter som behandlats på ett olagligt sätt (47 § personuppgifts- lagen). I vissa fall kan inspektionen förena sina förelägganden med vite (44 och 45 §§ personuppgiftslagen). Datainspektionens beslut i tillsynsfrågor får överklagas (52 § personuppgiftslagen). Datainspektionen ingår i den s.k. Artikel 29-gruppen som in- rättats med stöd av artikel 29.1 i det nu gällande dataskyddsdirekti- vet. Arbetsgruppen består av en företrädare för tillsynsverksamhe- ten i varje medlemsstat i EU. Arbetsgruppen har bl.a. till uppgift att bidra till en enhetlig tillämpning av nationella bestämmelser som genomför direktivet, att lämna råd till kommissionen inför ändringar av direktivet, att yttra sig till kommissionen om data- skyddsnivån inom EU och i tredjeland och att utarbeta gemen- samma uppförandekoder. En närmare redogörelse för Datainspektionens tillsynsverksam- het finns i betänkandet Ett samlat ansvar för tillsyn över den per- sonliga integriteten (SOU 2016:65 s. 78 f.). Även utövar tillsyn över personuppgiftsbehandling inom direktivets tillämpningsområde. Nämndens uppdrag regleras i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet och förordningen (2007:1141) med instruktion för (i det följande nämndens instruktion). Nämnden utövar tillsyn över brottsbekämpande myndigheters användning av hemliga tvångsmedel och kvalificerade skyddsidenti- teter och därmed sammanhängande verksamhet. De myndigheter vars verksamhet berörs av tillsynen är , Säker- hetspolisen, , och . Nämnden utövar även tillsyn över Säkerhetspolisens och behandling av personuppgifter enligt polis- datalagen (2010:361). Tillsynen ska särskilt ta sikte på behand- lingen av känsliga personuppgifter. Nämnden inrättades i syfte att skapa ett fristående och själv- ständigt organ som ska säkerställa rätten till effektivt rättsmedel som den garanteras i artikel 13 i . Avsikten är att nämndens tillsyn ska komplettera den tillsyn som andra myn- digheter ansvarar för, främst JK, och Datain- spektionen (se Ytterligare rättssäkerhetsgarantier vid användande av hemliga tvångsmedel, m.m., prop. 2006/07:133, s. 61 f. och prop. 2009/10:85 s. 272 f.). Nämnden utövar sin tillsyn genom inspektioner och andra undersökningar, som kan vara både föranmälda och oanmälda. Nämnden ska också på begäran av enskilda kontrollera om de har varit föremål för behandling av personuppgifter inom nämndens tillsynsområde och underrätta dem om att kontrollen genomförts. Nämnden har för sin tillsyn rätt att få tillgång till de uppgifter och den hjälp som den begär av den myndighet som tillsynen avser. Om nämnden finner något att anmärka på får den lämna synpunkter på hur bristerna bör avhjälpas. Nämndens rekommendationer är inte bindande och kan inte överklagas. Om nämnden upptäcker brott ska det enligt 20 § nämndens in- struktion anmälas till och om nämnden finner något som kan leda till skadeståndsansvar för staten ska det anmä- las till JK. omständigheter som Datainspektionen bör uppmärksammas på, ska nämnden anmäla det till inspektionen. Det har inte funnits anledning för nämnden att göra någon anmälan till Datainspektionen, eftersom de brottsbekämpande myndigheterna följer nämndens uttalanden om regelefterlevnad. Nämndens rekommendationer om förbättringar följs dock inte alltid av myndigheterna (se om Säkerhets- och integritetsskyddsnämndens tillsyn över brottsbekämpande myndigheter, skr. 2015/16:188, s. 49). JO och JK utövar tillsyn över hur lagar och andra föreskrifter till- lämpas i offentlig verksamhet. Deras tillsyn omfattar därmed även behandlingen av personuppgifter och skyddet av enskildas person- liga integritet vid sådan behandling. Både JO och JK är extraordi- nära tillsynsorgan. JO:s verksamhet regleras framför allt i regeringsformen, riks- dagsordningen och lagen (1986:765) med instruktion för Riksda- gens ombudsmän.