sou · H5B323 · 2017-03-15 00:00:00 — Utredningen föreslår därför att detta i någon form ska utredas vidare. Däremot i de fall mottagaren är en juridisk person omfattas be- handlingarna av personuppgifter i brevlådan av dataskyddsförord- ningen. Den juridiska personen är personuppgiftsansvarig för dessa behandlingar och brevlådeoperatören är personuppgiftsbiträde. Det- samma gäller för en fysisk person vars behandling av personuppgifter i brevlådan inte utgör ett led i verksamhet av rent privat natur. För att klargöra även detta personuppgiftsansvar föreslår utredningen en regel som förtydligar eventuellt personuppgiftsansvar i brevlådan. Mottagaren ansvarar, enligt de allmänna villkoren, i dessa fall för att personuppgiftsbiträdesavtal är upprättat med brevlådeoperatören. Mina meddelanden – bedömningar och förslag –att ska få meddela de ytterligare föreskrifter som behövs för verkställigheten av denna förordning. –att den nya förordningen om infrastruktur för säkra elektro- niska försändelser ska träda i kraft . Enligt utredningen bör ges rätt att meddela de ytterligare föreskrifter som behövs för verkställigheten av den föreslagna förord- ningen. har tidigare valt att reglera Mina meddelanden genom allmänna villkor i stället för genom föreskrifter. Utredningen avser inte att ändra det som gäller utan bara att ge samma möjligheter att välja hur infrastrukturen ska regleras som . Förordningen bör träda i kraft . upphävs § 5 i förordningen (200:770) om statliga myndig- heters elektroniska informationsutbyte. 6.2.17Regelförslaget i förhållande till dataskyddsförordningen Som tidigare nämnts kommer fr.o.m. den nya data- skyddsförordningen att gälla i EU:s medlemsstater. Det innebär att dataskyddsförordningens regler utgör grunden för all behandling av personuppgifter. Bestämmelserna om personuppgiftsbehandling i den föreslagna förordningen om infrastruktur för säkra elektroniska försändelser kompletterar endast dataskyddsförordningen. Det är inte fråga om att införliva delar av dataskyddsförordningen i natio- nell rätt. Det är i skrivande stund ovisst om det kommer att finnas annan nationell kompletterande reglering som påverkar förslagen.52 52 , Dir. 2016:15, ska föreslå de anpassningar och kompletterande författningsbestämmelser på generell nivå som dataskyddsförordningen ger anledning till. Det kan finnas anledning att beakta utredningens förslag mot bakgrund av förslag när de offentliggörs. Mina meddelanden – bedömningar och förslag Enligt de inledande skälen till dataskyddsförordningen bör be- handlingen av personuppgifter utformas så att den tjänar männi- skor. Rätten till skydd av personuppgifter är inte en absolut rättig- het; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitets- principen.53 Vidare beskrivs:54 Den snabba tekniska utvecklingen och globaliseringen har skapat nya utmaningar vad gäller skyddet av personuppgifter. Omfattningen av insamling och delning av personuppgifter har ökat avsevärt. Tekniken gör det möjligt för både privata företag och offentliga myndigheter att i sitt arbete använda sig av personuppgifter i en helt ny omfattning. Allt fler fysiska personer gör sina personliga uppgifter allmänt tillgäng- liga, världen över. Tekniken har omvandlat både ekonomin och det sociala livet, och bör ytterligare underlätta det fria flödet av person- uppgifter inom unionen samt överföringar till tredjeländer och inter- nationella organisationer, som en hög skyddsnivå säkerställs för personuppgifter. I de inledande skälen till dataskyddsförordningen nämns även att det ibland kan vara förnuftigt och ekonomiskt att en konsekvensbedöm- ning avseende dataskydd inriktar sig på ett vidare område än ett enda projekt. Det kan bli aktuellt när myndigheter eller organ avser att skapa en gemensam tillämpnings- eller behandlingsplattform eller när flera personuppgiftsansvariga planerar att införa en gemensam tillämpnings- eller behandlingsmiljö för en hel bransch eller ett helt segment eller för en allmänt utnyttjad horisontell verksamhet. Med- lemsstaterna kan då anse det nödvändigt att genomföra en sådan bedömning före behandlingen i samband med antagandet av nationell rätt som ligger till grund för utförandet av myndighetens eller det offentliga organets uppgifter och reglerar den aktuella specifika be- handlingsåtgärden eller serien av åtgärder.55 Infrastrukturen Mina meddelanden är ett system som redan an- vänds och har en laglig grund i nationell rätt.56 har vid införandet och därefter kontinuerligt sett över data- och integritets- skyddsaspekter och beskrivit dem i de allmänna villkoren med bilagor. 53Dataskyddsförordningen, skäl (4). 54Dataskyddsförordningen, skäl (6). 55Dataskyddsförordningen, skäl (92) och (93). 565 § förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte. Mina meddelanden – bedömningar och förslag Enligt dataskyddsförordningens artikel 35.1 ska den person- uppgiftsansvarige före behandlingen utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgif- ter. Däremot beskrivs vidare i artikel 35.10 att om behandling enligt artikel 6.1 e57 har en rättslig grund i en medlemsstats nationella rätt, och en konsekvensbedömning avseende dataskydd redan har genom- förts som en del av en allmän konsekvensbedömning i samband med antagandet av denna rättsliga grund, behöver ingen ny konsekvens- bedömning genomföras. Utredningen beskriver tidigare i betänkandet behovet av samråd mellan myndigheter som ansvarar för olika delar när det gäller dataskydd och integritetsskydd. Utredningen föreslår även att den myndigheten som får uppdraget att ansvara för digitaliseringen ska få ansvar för att leda sådant samråd. Det återstår för regeringen att överväga om det finns behov av att genomföra en sådan konse- kvensbedömning som beskrivs i skälen till dataskyddsförordningen och vilket organ som i så fall ska få i uppdrag att utföra den. Utredningen måste vidare göra avvägningar i enlighet med vissa av dataskyddsförordningens artiklar. När det gäller den lagliga grun- den för personuppgiftsbehandling anser utredningen att principerna i artikel 6 uppfylls genom den föreslagna regleringen. Dels har den registrerade lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål (artikel 6.1 a), dels kan behandlingen ses som nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndig- hetsutövning (artikel 6.1 e). När det gäller samtycke anser utredningen att villkoren för sam- tycke i artikel 7 uppfylls genom att den enskilde registreras efter att själv ha begärt det och den enskilde kan välja att lämna Mina med- delanden och ska då avregistreras. När det gäller om behandlingen kan ses som nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning kan det diskuteras om an- slutning som mottagare i Mina meddelanden är ett sådant allmänt intresse. Här har regeringen uttryckt en önskan om att anslutningen till Mina meddelanden ska öka, dels för att bidra till ökad kvalitet 57 Nedan följer en beskrivning av att den lagliga grunden för personuppgiftsbehandlingen i Mina meddelanden kan anses utgöras av art. 6.1 e. Mina meddelanden – bedömningar och förslag och service för medborgare och företag, dels av besparings-, miljö- och effektivitetsskäl. Sådana skäl kan ses som allmänt intresse. Om den enskilde har valt att få sin myndighetspost elektroniskt blir det dessutom nödvändigt för den personuppgiftsansvariga avsändande myndigheten att behandla personuppgifterna. När det gäller dataskyddsförordningens artikel 9 och behandling av särskilda kategorier av personuppgifter58 konstaterar utredning- en att infrastrukturen Mina meddelanden behöver enbart person- eller samordningsnummer i förmedlingsadressregistret och för att kunna skicka försändelser till den mottagare som avses. De personuppgifter som de avsändande myndigheterna behandlar i sina försändelser ansvarar de avsändande myndigheterna för. De ansvarar till att börja med för att bedöma om något av undantagen i artikel 9.2 a–j är tillämpligt om de vill skicka sådana särskilda katego- rier av personuppgifter. Därefter följer ansvar enligt respektive regis- terförfattningar. De avsändande myndigheterna ansvarar också för att bedöma om det är lämpligt att skicka sådana särskilda kategorier av personuppgifter via Mina meddelanden. I denna bedömning bör vägas vikten av att försändelsen skickas elektroniskt mot den even- tuella risk det innebär att skicka personuppgifterna elektroniskt. Enligt artikel 87 får medlemsstaterna bestämma på vilka särskilda villkor ett nationellt identifikationsnummer eller något annat veder- taget sätt för identifiering får behandlas. Ett nationellt identifikations- nummer, eller ett annat vedertaget sätt för identifiering, ska i sådana fall endast användas med iakttagande av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt dataskyddsförordningen. Utredningen konstaterar att bestämmelsen tillåter medlems- staterna att själva reglera användandet av person- och samordnings- nummer och anser att den föreslagna regleringen, när det gäller per- son- och samordningsnummer, har iakttagit lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt dataskyddsförord- ningen. Det inbegriper förtydligande om hur och varför person- och samordningsnummer får registreras i förmedlingsadressregistret och en klarare ändamålsbestämmelse om varför person- och samord- ningsnummer får användas i infrastrukturen. 58 Med särskilda kategorier av personuppgifter avses enligt art. 9.1 ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och be- handling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk per- son, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Mina meddelanden – bedömningar och förslag –att måste beakta integritetsskyddslagstiftningen vid utformningen av Min myndighetspost och driften av tjäns- ten och vidta åtgärder för att säkerställa en ansvarsfull person- uppgiftsbehandling inom det som avses med ”eget utrymme”, nämligen mottagarens brevlåda i form av Min myndighetspost, –att försändelser i Min myndighetspost som per- sonal inte har åtkomst till kan omfattas av undantaget i 2 kap. 10 § första stycket TF och ska därför inte anses som allmänna handlingar inkomna till . –att regeringen utreder och tar ställning till hur offentliga myn- digheter ska behandla och förhålla sig till s.k. eget utrymme. får, som tillhandahållare av den digitala brevlådan Min myndighetspost, en särskild roll i detta sammanhang. I Min myn- dighetspost är det staten, genom , som agerar brevlåde- operatör och det gör att särskilda frågor uppkommer när det gäller hanterande av uppgifter och handlingar till skillnad från hos de privata brevlådeoperatörerna. Min myndighetspost är ett sådant eget utrymme som myndigheter tillhandahåller sina användare för att bereda handlingar som ska skickas till myndigheten eller lagra handlingar. I det egna utrymmet uppkommer gränsdragningsfrågor om vilka handlingar och uppgif- ter som är myndighetens och vad som är den enskildes. Datainspektionen har i sitt svar till på förfrågan om personuppgiftsansvar gjort bedömningen att det är myndigheten som blir personuppgiftsansvarig för de behandlingar som utförs av en mottagare i det egna utrymmet. Myndigheten bestämmer den yttre ramen för behandlingen, dvs. vad som är möjligt att göra och hur det kan gå till. Det betyder att det är myndigheten som ytterst bestäm- Mina meddelanden – bedömningar och förslag mer ändamål och medel med de behandlingar den enskilde kan välja att göra, och därmed har myndigheten ett personuppgiftsansvar för de behandlingar av personuppgifter som utförs i utrymmet.59 Detta synsätt skiljer sig från E-delegationens ursprungliga uppfatt- ning enligt vilken den myndighet som tillhandahåller eget utrymme endast är personuppgiftsansvarig för den drift- och säkerhetsrelaterade information som avser utrymmet och i övrigt för att de personuppgif- ter som behandlas i utrymmet är omgärdade av adekvata säkerhets- åtgärder. Däremot är tillhandahållaren av den digitala brevlådan eller utrymmet, enligt E-delegationen, inte personuppgiftsansvarig för den nyttoinformation som användaren själv för in i sitt utrymme och inte heller för sådana uppgifter som myndigheten har expedierat dit.60 Ett tredje synsätt är att båda parter är personuppgiftsansvariga om de tillsammans bestämmer ändamål och medel med behand- lingen. Ett sådant gemensamt ansvar skulle kunna övervägas avse- ende egna utrymmen som disponeras av juridiska personer eller enskilda näringsidkare. Myndigheten och respektive användare kan då komma överens om fördelningen av de olika skyldigheter som följer med personuppgiftsansvaret. Denna fördelning måste redo- visas öppet och tydligt.61 Det är dock inte möjligt när det egna ut- rymmet disponeras av en privatperson som inte är enskild närings- idkare. Dataskyddsförordningen ska inte tillämpas på behandling av personuppgifter som en fysisk person utför som ett led i verk- samhet av rent privat natur eller som har samband med hans eller hennes hushåll.62 En privatperson kan således varken vara ensamt eller gemensamt personuppgiftsansvarig.63 Utredningen konstaterar att det råder olika uppfattningar om hur eget utrymme hos myndigheter ska betraktas. Det är en större fråga än bara det som gäller Min myndighetspost och Mina med- delanden. Många offentliga myndigheter erbjuder någon form av eget utrymme till användarna. Här finns behov för regeringen att se över frågan ur ett samlat perspektiv och bestämma hur svenska myndigheter ska förhålla sig till eget utrymme. 59Datainspektionens svar på förfrågan om personuppgiftsansvar i Mina medde- landen, Dnr 111-2014, s. 12. 60E-delegationens Juridiska vägledning för verksamhetsutveckling inom e-förvaltningen, ver- sion 2.0. 26 dataskyddsförordningen (EU) 2016/679. 2 c) dataskyddsförordningen(EU) 2016/679. 63eSams Eget utrymme hos myndighet – en vägledning, , s. 32 f. Mina meddelanden – bedömningar och förslag Även om det är oklart var de yttre gränserna för myndig- hetens personuppgiftsansvar avseende eget utrymme går, står det, enligt utredningen, klart att den tillhandahållande myndigheten – – måste beakta integritetsskyddslagstiftningen vid ut- formningen och driften av tjänsten och vidta åtgärder för att upp- fylla den. Myndighetens ansvar ska dock utövas på ett systematiskt och övergripande plan och får inte inkräkta på utrymmets karaktär som användarens ”eget”. I eSams64 vägledning Eget utrymme hos myndighet beskrivs en rad åtgärder som den tillhandahållande myndigheten kan vidta utan att myndigheten själv behöver ta del av innehållet i någon använda- res utrymme. Myndigheten kan, enligt eSam, därmed säkerställa en ansvarsfull personuppgiftsbehandling utan att utrymmets karaktär som ”eget” påverkas.65 Begreppet allmän handling definieras i 2 kap. 3 § tryckfrihetsförord- ningen, TF. Med handling förstås enligt paragrafen en framställning i skrift eller bild samt en upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel. Enligt para- grafen är en handling allmän om den förvaras hos en myndighet och är att anse som inkommen till eller upprättad hos myndigheten. I 2 kap. 10 § första stycket TF anges att en handling som för- varas hos en myndighet endast som led i teknisk bearbetning eller teknisk lagring för annans räkning inte anses som allmän handling hos den myndigheten. Frågan i detta sammanhang är om försändelser inkomna till brev- lådor i Min myndighetspost kan anses vara inkomna till Skatte- verket och därmed utgöra allmänna handlingar eller om de ska om- fattas av undantaget i 2 kap. 10 § första stycket TF. 64eSam är ett medlemsdrivet program för samverkan mellan myndigheter och Kom- muner och Landsting (SKL) om digitaliseringen av det offentliga . Programmet bildades efter E-delegationen 2015, som var ett regeringsuppdrag –2015. De myndig- heter vars generaldirektörer ingick i E-delegationen ville fortsätta sitt goda samarbete även efter att E-delegationen slutfört sitt arbete. Därför startades eSamverkansprogrammet för att på fri- villig väg fortsätta att samverka kring digital utveckling. ingår 21 medlemsorganisationer. är värdmyndighet för eSam. 65eSams Eget utrymme hos myndighet – en vägledning, , s. 34 f. Mina meddelanden – bedömningar och förslag Datainspektionen betonar i sitt svar till på förfrå- gan om personuppgiftsansvar att rättsläget är oklart när det gäller vad som kan anses vara allmänna handlingar inom ramen för Min myndighetspost. Eftersom det är fråga om undantag från en grund- lag ska bestämmelserna tillämpas restriktivt.66 E-delegationen har i delbetänkandet Så enkelt som möjligt för så många som möjligt: Bättre juridiska förutsättningar för samverkan och service, gjort bedömningen att handlingar som finns i ett s.k. elek- troniskt förvar eller eget utrymme som myndigheten tillhandahål- ler kan omfattas av 2 kap. 10 § första stycket TF. En förutsättning är dock att myndigheten som tillhandahåller utrymmet inte använ- der uppgifterna i handlingarna för sin egen verksamhet utan har åtkomst till uppgifterna endast för att t.ex. rätta tekniska fel eller tillgodose informationssäkerheten.67 E-delegationens bedömning har även fastställts av Kammarrätten i i ett mål som gällde rätt att ta del av allmän handling. Klaganden begärde ut handlingar ur Arbetsförmedlingens CV-data- bas. CV-databasen består av konton för arbetssökande och arbets- givare. Arbetssökande kan lagra CV och annan information i ett eget utrymme (”Min profil”) hos Arbetsförmedlingen och arbetsgivare kan söka bland profilerna, läsa dem och skicka förfrågningar. har rätt att ta bort olämplig information. Databasen är inte något verksamhetssystem hos Arbetsförmedlingen och myndig- hetens handläggare saknar åtkomst till systemet. Den som registrerar sig i databasen blir inte per automatik inskriven hos Arbetsförmed- lingen. Kammarrätten bedömde därför att handlingarna i databasen får anses förvarade hos Arbetsförmedlingen endast som led i teknisk bearbetning eller teknisk lagring för annans räkning (åt den enskilde) och avslog överklagandet.68 Domen gällde visserligen inte Min myndighetspost men det går ändå att dra slutsatsen att handlingar i system som är konstruerade främst för den enskildes räkning dit myndighetens handläggare inte har åtkomst kan omfattas av undantaget i 2 kap. 10 § första stycket TF. 66Datainspektionens svar på förfrågan om personuppgiftsansvar i Mina med- delanden, Dnr 111-2014, s. 14. 67SOU 2014:39 Så enkelt som möjligt för så många som möjligt – bättre juridiska förutsätt- ningar för samverkan och service, s. 27–30 och 39–54. 68KRNS dom , målnr. Domen har vunnit laga kraft. Mina meddelanden – bedömningar och förslag 6.3Ersättning till de elektroniska brevlådeoperatörerna Utredningen bedömer: Mottagare av elektronisk myndighets- post ska även fortsättningsvis ha möjlighet att, bland flera olika leverantörer av elektroniska brevlådor, välja den leverantör som denne uppfattar tillhandahåller den bästa kvaliteten. Denna val- frihet bör lämpligast regleras i ett valfrihetssystem. Utredningen föreslår: En ny lag ska ge , eller den myndighet som regeringen bestämmer, möjlighet att tillhanda- hålla valfrihetssystem. får besluta att tillhandahålla valfrihetssystem för tjänster avseende elektroniska brevlådor som upphandlas inom myndighetens verksamhet (uppdrag) en- ligt förordningen om infrastruktur för säkra elektroniska försän- delser. Enligt utredningens direktiv medför avsaknaden av såväl ersätt- ningsmodell som de tidigare begränsningarna i mottagarkretsen och konkurrenssituationen en risk att de privata aktörernas medverkan, och därmed den innovation de bidrar med, hämmas. Utredningen ska därför lämna förslag, inklusive eventuella författningsförslag, på en ersättningsmodell, t.ex. i form av valfrihetssystem, för de brev- lådeoperatörer som tillhandahåller brevlådor inom ramen för Mina meddelanden. Det är som, enligt förordningen om statliga myndig- heters elektroniska informationsutbyte,69 meddelar de föreskrifter (allmänna villkor) som behövs för inrättande och drift av infrastruk- turen Mina meddelanden.70 har, som infrastruktur- ansvarig, ett övergripande ansvar för Mina meddelanden vilket bl.a. innebär att ställa krav på anslutna parter samt att följa upp att ställda krav efterlevs. Parterna i Mina meddelanden är, enligt de allmänna villkoren, självständiga rättssubjekt. Ingen av parterna får företräda en annan part utan den sistnämnda partens skriftliga medgivande. Varje part svarar själv för sina åtaganden enligt de allmänna villkoren om inte annat uttryckligen anges. 695 §, förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte. 70Bilaga A, Allmänna villkor för Mina meddelanden, version 1.3. Mina meddelanden – bedömningar och förslag Den brevlådeoperatör som ansökt om att ansluta till infrastruk- turen Mina meddelanden, och som enligt de villkor som verket beslutat, har bedömt vara lämplig, ingår ett avtal med Skatte- verket. Genom avtalet har brevlådeoperatören åtagit sig att följa vill- koren för Mina meddelanden. Avtalet mellan och brev- lådeoperatören gäller tillsvidare. En brevlådeoperatör har rätt att, med 30 dagars uppsägningstid, när som helst säga upp anslutnings- avtalet med . Genom avtalet ger brevlådeoperatören den infrastrukturansva- rige, dvs. , fullmakt att för brevlådeoperatörens räkning ingå avtal med befintliga och tillkommande avsändande myndig- heter och kommuner. tecknar anslutningsavtal med avsändande myndighet som begärt att bli ansluten till Mina meddelanden. Genom att teckna anslutningsavtal med ger avsändande myndighet verket motsvarande fullmakt att för avsändarens räkning ingå avtal med befintliga eller kommande brevlådeoperatörer. Avsändande myndigheter får inte återkalla eller inskränka full- makten. En avsändande myndighet har rätt att, med 30 dagars upp- sägningstid, när som helst säga upp avtalet med . I Mina meddelanden är det mottagaren som själv väljer till vil- ken brevlåda som avsändaren ska skicka myndighetsposten. Genom inställningar i den elektroniska brevlådan styr mottagaren själv från vilka myndigheter hen vill ta emot elektronisk post. Om motta- garen tackar nej till digitala utskick från en viss myndighet kommer posten som tidigare på papper. Mottagaren kan när som helst avre- gistrera sig från den elektroniska myndighetsposten och ta emot posten på papper i stället. Mottagaren kan även när som helst byta från en elektronisk brevlåderoperatör till en annan. I finns fem olika lagar som reglerar valfrihetssystem. Valfrihetssystem enligt lagen om valfrihetssystem,71 LOV, är ett alter- nativ till upphandling enligt lagen om offentlig upphandling72, . 71Lagen (2008:962) om valfrihetssystem. 72Lagen (2007:1091) om offentlig upphandling. Mina meddelanden – bedömningar och förslag LOV gäller endast för vissa tjänster hos kommuner och landsting och är tillämplig när en upphandlande myndighet beslutat att tillämpa val- frihetssystem när det gäller vissa tjänster inom hälso- och sjukvård och socialtjänster. Bestämmelserna i lagen om valfrihetssystem ska emellertid ock- så tillämpas i fråga om utförandet av vissa andra tjänster bl.a. hos Arbetsförmedlingen och . Enligt lagen om valfrihet hos Arbetsförmedlingen73 får Arbetsförmedlingen besluta att tillhandahålla valfrihetssystem för tjänster inom myndighetens arbetsmarknadspolitiska verksamhet. När valfrihetssystem enligt denna lag används ska LOV tillämpas.