sou · H5B329 · 2017-04-05 00:00:00 — Skälen för utredningens förslag Enligt artikel 31.1 ska den personuppgiftsansvarige, om en person- uppgiftsincident sannolikt kommer att leda till hög risk för fysiska personers rättigheter och friheter, utan onödigt dröjsmål informera registrerade om incidenten. Informationen ska enligt artikel 31.2 innehålla en tydlig och klar beskrivning av personuppgiftsinciden- tens art och beskriva de sannolika konsekvenserna av incidenten och vilka åtgärder som har vidtagits eller föreslagits för att åtgärda incidenten. Kontaktuppgifter till dataskyddsombudet eller annan kontaktpunkt ska också uppges. I vissa fall behöver registrerade inte underrättas. Det gäller en- ligt artikel 31.3 om den personuppgiftsansvarige har genomfört lämpliga tekniska och organisatoriska skyddsåtgärder och dessa åtgärder har tillämpats på de personuppgifter som påverkades av personuppgiftsincidenten eller om den personuppgiftsansvarige har vidtagit ytterligare åtgärder som säkerställer att den höga risken för registrerades rättigheter och friheter inte längre kommer att finnas. Underrättelseskyldigheten gäller inte heller om den skulle kräva en oproportionerlig ansträngning. Då ska i stället allmänheten infor- meras eller en liknande åtgärd vidtas som innebär att den regist- rerade informeras på ett lika effektivt sätt. Underrättelse till den registrerade får också, enligt artikel 31.5, senareläggas, begränsas eller utelämnas på de villkor och av de skäl som anges i artikel 13.3. Om den personuppgiftsansvarige inte har underrättat den regi- strerade, men tillsynsmyndigheten anser att personuppgiftsinci- denten medför så hög risk att han eller hon bör underrättas, får tillsynsmyndigheten enligt artikel 31.4 kräva att den personupp- giftsansvarige gör det. kan också besluta att någon underrättelse inte krävs därför att något av de villkor som anges i artikel 31.3 är uppfyllt. I vilka fall ska registrerade underrättas? Skyldigheten att underrätta registrerade om en personuppgifts- incident och undantagen från skyldigheten bör regleras i ramlagen, medan detaljerna i förfarandet kan regleras i förordning. Underrät- telse bör lämnas utan onödigt dröjsmål om personuppgiftsinciden- ten kan antas leda till särskild risk för otillbörligt intrång i regi- strerades personliga integritet. Av skäl 62 framgår att syftet med underrättelsen bl.a. är att den registrerade ska kunna vidta nödvän- diga försiktighetsåtgärder. Hur snabbt den personuppgiftsansvarige kan informera de regi- strerade beror på omständigheterna i det enskilda fallet. I skäl 62 framhålls att behovet av att mildra en omedelbar skaderisk kräver att de registrerade underrättas omgående, medan behovet av att vidta lämpliga åtgärder vid fortlöpande eller likartade incidenter kan motivera för underrättelsen. Enligt utredningens mening bör framför allt personuppgiftsincidentens art och den registrerades intresse av och möjlighet att själv vidta åtgärder för att begränsa skadan beaktas. Även den tid det tar för den person- uppgiftsansvarige att vidta akuta åtgärder för att begränsa skadan, avhjälpa fel och liknande bör beaktas. I ramlagen bör det också regleras under vilka omständigheter någon underrättelse till den registrerade inte behöver lämnas. En- ligt utredningens mening bör underrättelseskyldighet inte gälla om något av de villkor som anges i artikel 31.3 är uppfyllda. Det inne- bär att den registrerade inte behöver underrättas om den person- uppgiftsansvarige har vidtagit lämpliga skyddsåtgärder. Om t.ex. personuppgifter gått förlorade vid en brand men det finns tillfreds- ställande back-up-rutiner kan risken vara så låg att någon underrät- telse inte krävs. Någon underrättelse krävs inte heller om den per- sonuppgiftsansvarige har vidtagit åtgärder som säkerställer att det inte längre finns särskild risk för otillbörligt intrång. Det kan t.ex. vara fråga om att tillgången till ett register har begränsats till dess att den personuppgiftsansvarige har kunnat överblicka konsekven- serna av incidenten. Den registrerade behöver inte heller under- rättas om det skulle kräva en oproportionerlig ansträngning av den personuppgiftsansvarige. Det skulle kunna vara fallet om en per- sonuppgiftsincident t.ex. påverkar ett mycket stort antal registre- rade. Då bör i stället allmänheten informeras på lämpligt sätt eller en liknande åtgärd vidtas för att de registrerade ska få nödvändig information. Vilken information ska lämnas? Det bör regleras vilken information som ska lämnas till den regi- strerade vid en personuppgiftsincident. Det kan göras i förordning. Enligt utredningens mening bör åtminstone den information som anges i artikel 31.2 lämnas. En underrättelse bör således innehålla en beskrivning av personuppgiftsincidenten och ange när den in- träffade. Kontaktuppgifter till dataskyddsombudet eller annan kon- taktpunkt bör lämnas. Därutöver bör information lämnas om vilka konsekvenser incidenten kan få för den registrerade och vilka åtgärder som har vidtagits eller kommer att vidtas med anledning av incidenten. Det kan även vara lämpligt att den personuppgiftsan- svarige anger vilka åtgärder som den registrerade själv kan vidta för att begränsa skadan. Som framgår av avsnitt 11.5.4 bör information till registrerade alltid vara lättillgänglig och lättbegriplig och till- handahållas i lämplig form. Begränsning av information till den registrerade Informationen till den registrerade får senareläggas, begränsas eller utelämnas i vissa fall. Syftet är enligt direktivet att undvika att rättsliga utredningar, förundersökningar eller andra förfaranden hindras eller att undvika menlig inverkan på brottsbekämpande åtgärder, lagföring eller verkställighet av straffrättsliga påföljder och att skydda allmän eller nationell säkerhet eller andra personers rättigheter och friheter. Informationen får begränsas endast i den utsträckning och så länge som begränsningen är nödvändig och proportionerlig. Vid bedömningen ska hänsyn tas till den berörda personens grundläggande rättigheter och berättigade intressen. Bestämmelser som begränsar rätten till information är nödvän- diga för att de behöriga myndigheterna ska kunna utföra sina upp- drag på ett effektivt sätt. Det är framför allt regleringen i offent- lighets- och sekretesslagen som tillgodoser det behovet. Även den relativt begränsade information som ska lämnas till den registrerade vid en personuppgiftsincident skulle t.ex. kunna skada en förunder- sökning i ett initialt skede eller avslöja att uppgifter om personen finns i ett sekretessreglerat register. I ramlagen bör det därför tas in en regel som klargör att sekretess och tystnadsplikt har företräde framför rätten till information vid personuppgiftsincidenter. Enligt artikel 31.4 ska tillsynsmyndigheten ha möjlighet att före- lägga den personuppgiftsansvarige att informera den registrerade, om det inte har gjorts. Det skulle kunna bli aktuellt om tillsyns- myndigheten gör en annan bedömning av behovet av att underrätta de registrerade. Den skyldigheten behöver enligt utredningens mening inte regleras särskilt, eftersom den ryms i förslaget om till- synsmyndighetens korrigerande befogenheter (se avsnitt 12.7.6). Utredningens förslag: Den personuppgiftsansvariges skyldig- het att dokumentera personuppgiftsincidenter ska regleras i för- ordning. Även skyldigheten att i vissa fall underrätta behöriga myndigheter i andra medlemsstater ska regleras i förordning. Skälen för utredningens förslag Enligt artikel 30.5 ska den personuppgiftsansvarige dokumentera alla personuppgiftsincidenter som avses i artikel 30.1, inbegripet omständigheterna rörande incidenten, dess effekter och de korrige- rande åtgärder som vidtagits. Dokumentationsskyldigheten bör regleras i förordning. Eftersom dokumentationsskyldigheten är knuten till artikel 30.1 är det oklart om det endast är sådana incidenter som ska anmälas till tillsynsmyndigheten som ska dokumenteras eller om tanken är att även sådana mindre allvarliga incidenter som inte behöver an- mälas ska dokumenteras. I motsvarande bestämmelse i dataskydds- förordningen, artikel 33.5, anges att den personuppgiftsansvarige ska dokumentera alla personuppgiftsincidenter. Enligt utredningens mening skulle en dokumentationsskyldig- het endast för sådana personuppgiftsincidenter som anmäls till till- synsmyndigheten vara av begränsat värde, eftersom dokumentation om dem ska finnas i anmälan. I direktivet anges att dokumenta- tionen ska göra det möjligt för tillsynsmyndigheten att kontrollera efterlevnaden av artikeln. För att det ska vara möjligt bör därför alla personuppgiftsincidenter dokumenteras. Om personuppgiftsincidenten rör personuppgifter som kommer från eller har lämnats till en personuppgiftsansvarig i en annan medlemsstat, ska samma information som lämnas till tillsynsmyn- digheten utan onödigt dröjsmål lämnas till den som lämnade eller tog emot uppgifterna i den andra medlemsstaten. Det framgår av artikel 30.6. En bestämmelse om underrättelseskyldighet bör tas in i förord- ning. Skyldigheten bör korrespondera med skyldigheten att göra en anmälan till tillsynsmyndigheten. Det innebär att om någon anmä- lan inte görs dit, antingen på grund av att incidenten medfört så låg risk att anmälan inte krävs eller på grund av att incidenten rör nationell säkerhet, gäller inte underrättelseskyldigheten. Utgångspunkten är att en uppgift, för vilken sekretess gäller en- ligt offentlighets- och sekretesslagen, inte får röjas för en utländsk myndighet eller en mellanfolklig organisation. I 8 kap. 3 § 1 offent- lighets- och sekretesslagen görs dock undantag från huvudregeln om uppgiftslämnandet regleras särskilt i lag eller förordning. Efter- som det föreslås en bestämmelse om att behöriga myndigheter i andra medlemsstater ska underrättas i vissa fall, kommer sekretess inte att hindra att informationen lämnas. Ett personuppgiftsbiträde har enligt direktivet ingen skyldighet att anmäla personuppgiftsincidenter till tillsynsmyndigheten eller att underrätta registrerade om incidenter. Eftersom den personupp- giftsansvarige ska anmäla personuppgiftsincidenter till tillsynsmyn- digheten behöver den personuppgiftsansvarige även få kännedom om incidenter som inträffat hos personuppgiftsbiträdet. Det bör därför införas en skyldighet för personuppgiftsbiträden att under- rätta den personuppgiftsanvarige om sådana incidenter (se av- snitt 10.6.5). Utredningens förslag: Dataskyddsombud ska i ramlagen defi- nieras som en fysisk person som utses av den personuppgiftsan- svarige för att självständigt se till att personuppgifter behandlas författningsenligt och på ett korrekt sätt. Skälen för utredningens förslag: I direktivet talas det på flera ställen om dataskyddsombud, men det finns inte någon definition av den termen. I 3 § personuppgiftslagen definieras personuppgifts- ombud, som motsvarar det som i direktivet kallas dataskyddsom- bud. Där anges att ett personuppgiftsombud är den fysiska person som, efter förordnande av den personuppgiftsansvarige, självstän- digt ska se till att personuppgifter behandlas på ett korrekt och lag- ligt sätt. Personuppgiftsombud är ett inarbetat begrepp. Dataskyddsom- bud är emellertid den term som används både i direktivet och i dataskyddsförordningen. Som anges i avsnitt 6.2 bör direktivets terminologi användas i så stor utsträckning som möjligt. Utred- ningen anser därför att termen dataskyddsombud bör användas i ramlagen. Dataskyddsombud bör definieras i ramlagen. Definitionen av personuppgiftsombud i personuppgiftslagen kan då tjäna som före- bild. För att terminologin i ramlagen ska bli enhetlig bör uttrycket författningsenlig användas. Dataskyddsombud bör således definie- ras som en fysisk person som utses av den personuppgiftsansvarige för att självständigt se till att personuppgifter behandlas författ- ningsenligt och på ett korrekt sätt. Utredningens förslag: Den personuppgiftsansvarige ska utse ett eller flera dataskyddsombud och anmäla till tillsynsmyndig- heten när dataskyddsombud utses och entledigas. Skälen för utredningens förslag Innehållet i direktivet och nuvarande reglering Enligt artikel 32 ska den personuppgiftsansvarige utnämna ett data- skyddsombud, offentliggöra ombudets kontaktuppgifter och med- dela tillsynsmyndigheten vem som har utsetts och hans eller hen- nes kontaktuppgifter. Domstolars och andra oberoende rättsliga myndigheters dömande verksamhet får undantas från skyldigheten att utnämna dataskyddsombud. Dataskyddsombud ska utnämnas på grundval av sina yrkesmäs- siga kvalifikationer, sin sakkunskap om lagstiftning och praxis rörande dataskydd och sin förmåga att fullgöra de uppgifter som Ett enda dataskyddsombud får utnämnas för flera behöriga myndigheter med hänsyn tagen till organisations- struktur och storlek. Som nämnts används termen personuppgiftsombud för den funktion som motsvarar dataskyddsombud. Personupp- giftslagen föreskriver ingen skyldighet att utse personuppgiftsom- bud. Flera av de behöriga myndigheterna är dock enligt sina regi- sterförfattningar skyldiga att ha personuppgiftsombud. , , och domstolarna. Alla personuppgiftsansvariga ska utse dataskyddsombud Eftersom direktivet föreskriver skyldighet för personuppgiftsan- svariga att utnämna dataskyddsombud bör en bestämmelse om det tas in i ramlagen. I dataskyddsförordningen föreskrivs ingen allmän skyldighet för personuppgiftsansvariga att utse dataskyddsombud. Däremot gäller enligt artikel 37.1 sådan skyldighet för myndigheter och andra offentliga organ. Dataskyddsombud ska också utses av personupp- giftsansvariga eller personuppgiftsbiträden vilkas kärnverksamhet består av behandling som kräver regelbunden och systematisk över- vakning av de registrerade i stor omfattning. Detsamma gäller om kärnverksamheten består av behandling i stor omfattning av käns- liga personuppgifter och personuppgifter som rör fällande domar i brottmål och överträdelser. Enligt utredningens förslag kan endast behöriga myndigheter vara personuppgiftsansvariga. Som framgår av avsnitt 7.1.4. kan en behörig myndighet vara antingen en myndighet som har de i ram- lagen angivna arbetsuppgifterna eller en annan aktör som utövar myndighet för något av dessa syften. Myndigheter som bedriver verksamhet inom ramlagens tillämpningsområde bör vara skyldiga att utse dataskyddsombud. Frågan är om även andra aktörer än myndigheter bör vara skyldiga att utse dataskyddsombud. I direktivet görs ingen skillnad mellan myndigheter och andra organ när det gäller att utse dataskyddsombud. Det talar för att alla personuppgiftsansvariga ska utse dataskyddsombud. Aktörer som bedriver verksamhet inom ramlagens tillämpningsområde, oavsett om det rör sig om en myndighet eller ett privat organ, behandlar ofta integritetskänsliga personuppgifter för relativt känsliga ända- mål och det är av stor vikt att den interna kontrollen i sådana verk- samheter fungerar tillfredsställande. Om en privat aktör inte behö- ver utse ett dataskyddsombud enligt förordningen kan det ifråga- sättas om det behövs ett ombud enbart för ett begränsat uppdrag inom ramlagens tillämpningsområde. Behandlingen enligt ramlagen är emellertid av sådan art att det bör finnas ett dataskyddsombud som övervakar personuppgiftsbehandlingen. Utredningen anser därför att alla personuppgiftsansvariga bör vara skyldiga att utse ett eller flera dataskyddsombud. Ett eller flera dataskyddsombud ska utses I artikel 32.1 anges att den personuppgiftsansvarige ska utse ett dataskyddsombud. Utredningen anser inte att bestämmelsen kan tolkas så att endast ett ombud får utses. I större myndighetsorgani- sationer kan det vara svårt för en enda person att ensam utföra de uppgifter som ett dataskyddsombud ska ha . Flera data- skyddsombud bör därmed kunna utses för en behörig myndighet. Utredningen anser att det inte behöver författningsregleras att samma dataskyddsombud får utnämnas för flera behöriga myn- digheter. Med hänsyn främst till organisationernas storlek, torde de flesta myndigheter eller andra aktörer som omfattas av ramlagens tillämpningsområde inte kunna använda sig av en sådan ordning. Man skulle dock kunna tänka sig att det finns behöriga myndig- heter som bedriver likartad verksamhet i nära anslutning till varan- dra och att det av den anledningen skulle kunna vara lämpligt att utse ett gemensamt ombud. Så skulle exempelvis kunna vara fallet med vissa domstolar. När myndigheter samarbetar i informations- system som är gemensamma för flera myndigheter kan det också finnas behov av ett dataskyddsombud som kan se till helheten och eventuellt hjälpa enskilda registrerade i förhållande till samtliga in- blandade myndigheter (se SOU 2015:39 s. 604). I skäl 63 nämns som exempel att flera personuppgiftsansvariga gemensamt kan utse ett dataskyddsombud t.ex. vid gemensamma resurser i centralen- heter. Om flera personuppgiftsansvariga i en sådan situation anser det lämpligt att utse ett gemensamt dataskyddsombud, exempelvis för behandling i ett gemensamt system eller i ett avgränsat samar- bete, finns det enligt utredningens mening inget som hindrar det. Utredningen återkommer i slutbetänkandet till frågan om det bör utses dataskyddsombud för domstolarnas och andra rättsliga myndigheters dömande verksamhet. Vilka kvalifikationer och vilken kunskap en person bör ha för att kunna utses till dataskyddsombud varierar naturligtvis. Enligt skäl 63 bör den nödvändiga nivån på sakkunskap fastställas med utgångspunkt i den personuppgiftsbehandling som utförs och det skydd som krävs för de personuppgifter som behandlas. Det kan således krävas mer av ett dataskyddsombud i en stor organisation som behandlar många känsliga personuppgifter och för olika ända- mål än av ett ombud i en mindre organisation där en begränsad mängd uppgifter behandlas. Det ligger i varje personuppgiftsansva- rigs intresse att dataskyddsombudet har tillräcklig kunskap, erfa- renhet och förmåga att utföra sina uppgifter. Som framgår av den föreslagna definitionen ska dataskyddsom- bud vara fysiska personer. Enligt skäl 63 kan det vara en av den personuppgiftsansvariges medarbetare som fått särskild utbildning beträffande lagstiftning och praxis i fråga om dataskydd. Ett data- skyddsombud måste få relativt omfattande insyn i den behöriga myndighetens verksamhet. Det medför enligt utredningens mening att dataskyddsombud i de allra flesta fall kommer att utses bland den personuppgiftsansvariges anställda. Det bör dock inte införas något förbud mot att anlita dataskyddsombud utanför den egna organisationen bl.a. av det skälet att flera personuppgiftsansvariga ska kunna utse samma ombud. Uppgiften att vara dataskyddsom- bud kan utföras på deltid eller heltid. Den personuppgiftsansvarige bör anmäla till tillsynsmyndigheten vem som har utsetts till dataskyddsombud och när ombudet entle- digas. Det är viktigt att tillsynsmyndigheten får information om det, eftersom ombuden bl.a. ska ha till uppgift att samarbeta med tillsynsmyndigheten och fungera som kontaktpunkt för den i vissa fall (se avsnitt 10.5.3). I avsnitt 11.2.6 behandlas den personuppgiftsansvariges skyldig- het att göra information om dataskyddsombudets kontaktuppgifter tillgänglig. Utredningens förslag: Dataskyddsombud ska ha vissa i ram- lagen angivna arbetsuppgifter. Skyldigheten att underlätta data- skyddsombudens verksamhet ska regleras i förordning. Skälen för utredningens förslag I artikel 34 anges vilka arbetsuppgifter ett dataskyddsombud ska ha. Dataskyddsombud ska informera och ge råd till den personupp- giftsansvarige och de anställda som utför personuppgiftsbehandling om deras skyldigheter enligt direktivet och annan unionsrätt eller medlemsstaternas bestämmelser om dataskydd. Ombuden ska också övervaka efterlevnaden av dessa regler och av den personupp- giftsansvariges strategier för skyddet av personuppgifter. I data- skyddsombudens arbetsuppgifterna ingår vidare att på begäran ge råd beträffande konsekvensbedömningar och att övervaka genom- förandet av dem. Dataskyddsombud ska samarbeta med tillsyns- myndigheten och fungera som kontaktpunkt för den i frågor som rör behandling av personuppgifter, särskilt när det gäller förhands- samråd enligt artikel 28. Ombuden ska, om det är lämpligt, samråda med tillsynsmyndigheten även i andra frågor. Enligt artikel 33.1 ska den personuppgiftsansvarige säkerställa att dataskyddsombudet på ett korrekt sätt och deltar i alla frågor som rör skyddet av personuppgifter. Den personuppgiftsan- svarige ska enligt artikel 33.2 stödja dataskyddsombudet i utföran- det av de arbetsuppgifter som anges i artikel 34. Det ska göras genom att den personuppgiftsansvarige tillhandahåller de resurser som krävs för att ombudet ska kunna fullgöra uppgifterna och ger ombudet tillgång till personuppgifter och it-system. uppgiftsansvarige ska också se till att dataskyddsombudets kun- skaper upprätthålls. I skäl 63 framhålls att dataskyddsombud bör kunna utföra sina uppdrag och uppgifter på ett oberoende sätt. Enligt 38–40 §§ personuppgiftslagen ska personuppgiftsombud självständigt se till att den personuppgiftsansvarige behandlar per- sonuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed och påpeka eventuella brister. Har personuppgiftsombudet an- ledning att misstänka att den personuppgiftsansvarige bryter mot de bestämmelser som gäller för behandlingen av personuppgifter, och vidtas inte rättelse efter påpekande, ska ombudet anmäla det till tillsynsmyndigheten. Personuppgiftsombud ska även i övrigt samråda med tillsynsmyndigheten. Personuppgiftsombuden ska också föra förteckning över de behandlingar som den personupp- giftsansvarige utför och som skulle ha omfattats av anmälnings- skyldighet om inte ombudet hade funnits. Personuppgiftsombud ska dessutom hjälpa registrerade att få rättelse när det finns anled- ning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. Ombudens arbetsuppgifter enligt direktivet Dataskyddsombudens roll påminner i stora delar om personupp- giftsombudens. Dataskyddsombuden har dock genom direktivet fått delvis nya arbetsuppgifter och en något förändrad roll. Flertalet av de arbetsuppgifter som ska anförtros dataskyddsombud har t.ex. karaktären av intern rådgivning, vilket inte är fallet . Data- skyddsombuden har också fått ett tydligare uppdrag att bistå till- synsmyndigheten. Det bör i ramlagen föreskrivas att dataskyddsombud självstän- digt ska kontrollera att de personuppgiftsansvariga behandlar per- sonuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör de skyldigheter som åligger personuppgiftsansvariga. Kravet på självständighet infördes i personuppgiftslagen eftersom det nu gällande dataskyddsdirektivet anger att ombudet ”på ett oberoende sätt” ska kunna kontrollera den personuppgiftsansvarige. I skäl 63 uttrycks samma sak. Självständighetskravet innebär att den person- uppgiftsansvarige inte bör utse ett ombud som har en alltför under- ordnad ställning i organisationen. För att ombuden ska vara obero- ende på det sätt som direktivet förutsätter måste han eller hon också ha tillräckliga kvalifikationer och kunskaper för att kunna utföra sina arbetsuppgifter på ett självständigt sätt. I artikel 34 b anges att dataskyddsombudens kontroll ska om- fatta ansvarstilldelning, information till och utbildning av personal som deltar i behandlingen och tillhörande granskning. Utredningen uppfattar uppräkningen som exemplifierande. Enligt utredningens mening är det inte lämpligt att i detalj författningsreglera vad om- buden ska granska. Hur omfattande ombudens kontroll bör vara får som avgöras efter omständigheterna i det enskilda fallet. Uppräkningen i direktivet kan dock tjäna som vägledning. Ombu- den bör också påpeka eventuella brister för de personuppgiftsan- svariga så att de blir medvetna om dem och har möjlighet att vidta lämpliga åtgärder.