sou · H5B329 · 2017-04-05 00:00:00 — Utred- ningen understryker att det ankommer på vår utredning att göra motsvarande överväganden när det gäller tillsynen enligt direktivet. Enligt tillsynsskrivelsen bör ett tillsynsorgan, när en brist kon- stateras, ha möjlighet till någon form av ingripande, som ska vara effektivt och tydligt. Det är viktigt att ingripandemöjligheterna har en framåtsyftande funktion och säkerställer att regelverket följs , som tillsynsorganet också måste kunna ingripa mot regelöverträdelser som inte kan göras ogjorda. Ingripandemöj- ligheterna bör utformas efter de särskilda förutsättningarna inom respektive tillsynsområde och så att de skapar större enhetlighet, särskilt inom närliggande tillsynsområden (skr. 2009/10:79 s. 41 f.). För att genomföra direktivets bestämmelser och skapa förut- sättningar för en effektiv tillsyn bör enligt utredningens uppfatt- ning tillsynsmyndighetens befogenheter regleras i ramlagen. En så tydlig reglering som möjligt bör eftersträvas. De uttalanden rege- ringen gjort i tillsynsskrivelsen bör prägla hur befogenheterna regleras. Hänsyn bör således tas till om motsvarande reglering finns i dataskyddsförordningen när tillsynsmyndighetens befogenheter på direktivets område regleras. I skäl 82 framhålls att när befogenheterna utövas ska varje åt- gärd vara lämplig, nödvändig och proportionerlig för att säkerställa efterlevnaden av regelverket. Åtgärderna ska utformas så att onö- diga kostnader och stora olägenheter undviks. Det väcker frågan om det bör införas en proportionalitetsregel som återspeglar inne- hållet i skäl 82. De befogenheter som tillsynsmyndigheten föreslås få är enligt utredningens mening inte av den karaktären att en ut- trycklig proportionalitetsregel är nödvändig. Utredningens förslag: ska ha rätt att av personuppgiftsansvariga och personuppgiftsbiträden på begäran få 1.tillgång till alla personuppgifter som behandlas, 2.upplysningar om och dokumentation av behandlingen av per- sonuppgifter och säkerhets- och skyddsåtgärder, 3.tillträde till lokaler som den personuppgiftsansvarige eller personuppgiftsbiträdet disponerar och tillgång till utrustning och andra medel för behandling av personuppgifter, och 4.det biträde och annan information som behövs för tillsynen. Skälen för utredningens förslag Innehållet i direktivet och nuvarande reglering Enligt artikel 47.1 ska tillsynsmyndigheten ha effektiva undersök- ningsbefogenheter som minst ska inbegripa rätten att från den per- sonuppgiftsansvarige och personuppgiftsbiträdet få tillgång till alla personuppgifter som behandlas och all information som tillsyns- myndigheten behöver för att kunna fullgöra sina tillsynsuppgifter. Enligt 43 § personuppgiftslagen, som är tillämplig på de behö- riga myndigheterna, har tillsynsmyndigheten rätt att för sin tillsyn på begäran få tillgång till de personuppgifter som behandlas, upp- lysningar om och dokumentation av behandlingen av personupp- gifter och säkerheten vid den och tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. bör ges tillgång till information och lokaler Som tidigare nämnts består rättslig tillsyn till stor del av granskning av dokumentation. För att kunna utöva tillsynen effektivt kan till- synsmyndigheten dock inte bara förlita sig på de handlingar som den får tillgång till. Den kan även i viss utsträckning behöva besöka lokaler där personuppgiftsbehandling pågår bl.a. för att kunna in- spektera säkerhetsåtgärder. Tillsynsbesök kan också ge tillsyns- myndigheten bättre inblick i förutsättningarna för den verksamhet där personuppgiftsbehandlingen äger rum. behöver alltså tillgång till de personupp- gifter som behandlas. behöver även upplys- ningar och dokumentation om pågående behandlingar, t.ex. de regi- ster över behandlingar som den personuppgiftsansvarige ska föra (se avsnitt 10.2.7). Därutöver bör tillsynsmyndigheten ha rätt till annan information som behövs, bl.a. dokumentation av säkerhets- och skyddsåtgärder. Det kan också röra sig om dokumentation som inte är direkt kopplad till den behandling som granskas, men som tillsynsmyndigheten ändå behöver för att genomföra sin till- syn. Det bör därför framgå av ramlagen att tillsynsmyndigheten ska ges tillgång till de personuppgifter som behandlas, tillgång till dokumentation om behandlingen av dem och övrig dokumentation som behövs för tillsynen. Det normala förfarandet bör vara att tillsynsmyndigheten tar hjälp av personal vid den granskade myndigheten för att få tillgång till behandlade personuppgifter. Tillgång på det sättet ska enligt utredningens mening inte betraktas som en rätt till direktåtkomst (jfr HFD 2015 ref. 61 och SOU 2015:39 s. 389 f). I vissa fall skulle det kunna underlätta om tillsynsmyndigheten själv i samband med en inspektion på plats får använda datorer och andra medel som tillsynsobjektet använder. En sådan möjlighet torde dock förutsätta att tillsynsmyndigheten ges direktåtkomst till de behöriga myndig- heternas information (jfr Datainspektionens samrådsyttrande i dnr 126-2013). bör därför enligt utredningens mening ges tillgång till utrustning och andra medel som har an- knytning till behandlingen av personuppgifter enbart med hjälp av tillsynsobjektets personal. Frågan är om rätten att få tillgång till behandlade personupp- gifter även ger rätt att beordra de körningar och andra åtgärder som behövs för att få fram de personuppgifter som behandlas. Enligt 4 § lagen om tillsyn över viss brottsbekämpande verksamhet har Säker- hets- och integritetsskyddsnämnden bl.a. rätt till det biträde som nämnden begär. Sådant biträde kan bestå i att den granskade myn- digheten gör lokaler, arkiv och databaser tillgängliga för nämnden. En förutsättning för att få tillgång till de personuppgifter som be- handlas är att personal från den granskade myndigheten bistår vid tillsynen genom att utföra de sökningar som behövs. Enligt utred- ningens mening har tillsynsmyndigheten behov av den typen av biträde och en bestämmelse om det bör tas in i ramlagen. Den kan lämpligen utformas efter mönster av den reglering som gäller för nämnden. Vid sökningar som görs på direkt begäran av tillsyns- myndigheten anses tillsynsobjektet inte vara bunden av de begräns- ningar i fråga om behandlingen av personuppgifter som annars gäl- ler i verksamheten. Det kan t.ex. gälla ändamålen för behandlingen eller hur känsliga personuppgifter får behandlas. kan även behöva tillgång till lokaler, ut- rustning och andra medel som används för att behandla personupp- gifter. bör inte ha rätt att med tvång skaffa sig tillgång till lokaler (jfr SOU 1997:39 s. 443 och prop. 1997/98:44 s. 101). Att göra lokaler tillgängliga ingår dock i den personupp- giftsansvariges samarbetsskyldighet i förhållande till tillsynsmyn- digheten (se avsnitt 10.2.6). Vägran att ge tillträde kan också enligt förslaget i avsnitt 13.5.1 leda till sanktionsavgift. Utredningen återkommer till frågan om vad tillsynsmyndighe- ten kan göra om den personuppgiftsansvarige eller personuppgifts- biträdet inte uppfyller sina skyldigheter att bistå tillsynsmyndig- heten (se avsnitt 12.7.6 och 13.5.2). 12.7.4Skillnad mellan förebyggande och korrigerande befogenheter Utredningens bedömning: Det bör göras tydlig skillnad mellan tillsynsmyndighetens förebyggande och korrigerande befogen- heter. Skälen för utredningens bedömning I artikel 47.2 anges att tillsynsmyndigheten ska ha effektiva korri- gerande befogenheter, t.ex. för att kunna a)utfärda varningar till personuppgiftsansvariga och personupp- giftsbiträden om att planerade behandlingar sannolikt kommer att stå i strid med de bestämmelser som antas i enlighet med direktivet, b)beordra personuppgiftsansvariga och personuppgiftsbiträden att se till att behandlingen av personuppgifter är förenlig med direktivet och, om lämpligt på visst sätt och , bl.a. beordra rättelse, radering eller begränsning av behandlingen en- ligt artikel 16, och c)införa tillfälliga eller definitiva begränsningar av, inklusive för- bud mot, behandlingen. I artikel 28.3 i det nu gällande direktivet regleras tillsynsmyndig- hetens korrigerande befogenheter, som delvis har genomförts i 44– 47 §§ personuppgiftslagen. Paragraferna är till stor del tillämpliga på de behöriga myndigheterna. Enligt 45 § personuppgiftslagen ska tillsynsmyndigheten genom påpekanden eller liknande förfaranden försöka åstadkomma rättel- se, om myndigheten konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt. Går det inte att åstad- komma rättelse eller är saken brådskande får myndigheten förbjuda den personuppgiftsansvarige att fortsätta att behandla personupp- gifterna på något annat sätt än genom att lagra dem. Enligt 47 § personuppgiftslagen får tillsynsmyndigheten ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt ska utplå- nas. Enligt 44 § personuppgiftslagen får tillsynsmyndigheten för- bjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än genom att lagra dem, om myndigheten vid en begäran enligt 43 § inte kan få tillräckligt underlag för att konsta- tera att behandlingen av personuppgifter är laglig. Tydligare reglering av tillsynsmyndighetens befogenheter Datainspektionen vidtar samma åtgärder både för att före- bygga otillåten personuppgiftsbehandling och för att korrigera be- handling som strider mot personuppgiftslagen. Regeringen ansåg när lagen infördes att det var viktigt att tillsynsmyndigheten i första hand kunde fungera som stöd för de personuppgiftsansvariga och ge dem råd. Datainspektionen ska genom påpekanden och andra åtgärder försöka förmå personuppgiftsansvariga att vidta åtgärder som medför att behandlingen blir laglig (prop. 1997/98:44 s. 103). Påpekanden och liknande förfaranden har i praxis ansetts rymma även åtgärder i form av förelägganden av tvingande karak- tär. Tillsynsobjekten har emellertid ansett det oklart om ett före- läggande från Datainspektionen är tvingande och om det får över- klagas (SOU 2015:39 s. 622 f.). I artikel 47.2 görs tydlig skillnad mellan förebyggande och kor- rigerade befogenheter. För att regleringen i ramlagen ska bli så tyd- lig som möjligt bör tillsynsmyndighetens befogenheter i förebyg- gande respektive korrigerande syfte regleras i olika paragrafer. De bör också spegla i vilken ordning befogenheterna bör användas. En särskild fråga är hur det bör uttryckas vad tillsynsmyndig- heten ska ingripa mot. Enligt artikel 47.2 punkterna a och b ska till- synsmyndigheten se till att uppgiftsbehandlingen är förenlig med de författningar som genomför direktivet. Vilka författningar som omfattas av tillsynsområdet behandlas i avsnitt 12.4.1. Enligt utred- ningens mening bör de förebyggande befogenheterna användas om det finns risk för att viss personuppgiftsbehandling kan komma att stå i strid med lag eller annan författning, medan de korrigerande befogenheterna bör användas när det har konstaterats att behand- lingen strider mot gällande bestämmelser. Utredningen ser tillsynsmyndighetens befogenheter enligt ram- lagen som en trappa som ger möjlighet att successivt använda kraft- fullare medel och därigenom stegra påtryckningarna på den som inte självmant rättar sig efter myndighetens anvisningar. Befogen- heterna sträcker sig från rådgivning till möjligheten att besluta om sanktionsavgift. Det bör dock understrykas att de korrigerande åt- gärderna inte är kopplade till varandra på det sättet att en strängare åtgärd förutsätter att alla mindre ingripande åtgärder redan har prövats. Utredningens förslag: Om tillsynsmyndigheten bedömer att det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer eller påpekanden försöka förmå den personuppgiftsansvarige eller personuppgiftsbiträdet att vidta åtgärder för att minska den risken. får utfärda en skriftlig varning för att planerad behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Detsamma gäller om pågående behandling riskerar att stå i strid med lag eller annan författning. Skälen för utredningens förslag En viktig arbetsuppgift för tillsynsmyndigheten är att lämna råd till personuppgiftsansvariga och personuppgiftsbiträden om deras skyldigheter och att stödja deras strävanden att skapa författnings- enliga och integritetssäkra lösningar. Inom ramen för det förebyg- gande arbetet bör tillsynsmyndigheten på olika sätt försöka förmå den som är ansvarig att vidta de åtgärder som behövs för att minska risken för att behandling av personuppgifter kan komma att stå i strid med lag eller annan författning. Medlen för det bör främst vara muntliga eller skriftliga råd, rekommendationer och påpekan- den som inte är tvingande. På vilket sätt förändringen ska åstadkommas bör i första hand lämnas åt den personuppgiftsansvarige eller personuppgiftsbiträdet att avgöra. I många fall torde det vara tillräckligt att tillsynsmyn- digheten upplyser om på vilket sätt personuppgiftsbehandlingen riskerar att strida mot regelverket. är skyldig att lämna skriftliga råd vid förhandssamråd (se avsnitt 12.6.4 och avsnitt 10.2.5). Enligt artikel 47.2 a ska tillsynsmyndigheten t.ex. kunna utfärda varningar till personuppgiftsansvariga och personuppgiftsbiträden för att planerade behandlingar sannolikt kommer att strida mot regelverket för personuppgiftsbehandling. Utredningen tolkar direktivet så att varning bör vara en åtgärd i det förebyggande arbetet. Möjligheten att utfärda varning är ny. Utredningen anser att varning kan vara ett lämpligt komplement till de förebyggande åtgärder som finns . Varning bör kunna användas av tillsyns- myndigheten för att i ett enskilt fall markera allvaret i en situation och försöka förmå den personuppgiftsansvarige eller personupp- giftsbiträdet att ändra sig i fråga om planerad behandling. Däri- genom kan det förebyggas att behandling som inte är förenlig med regelverket påbörjas. Varning bör emellertid även kunna användas om pågående behandling riskerar att strida mot lag eller annan för- fattning. Att utfärda varning bör som regel bli aktuellt först om tillsyns- myndigheten bedömer att den inte på annat sätt kan förmå den personuppgiftsansvarige eller personuppgiftsbiträdet att följa regel- verket. Varningen ska tjäna som väckarklocka för den personupp- giftsansvarige eller personuppgiftsbiträdet. Varning bör nämligen – även om den inte är tvingande – ses som ett steg på vägen mot ett föreläggande. En varning bör vara skriftlig och tydligt ange på vilket sätt be- handlingen riskerar att strida mot regelverket. En varning bör kunna avse vilken form av förändring som helst i behandlingen, t.ex. vilka personuppgifter som får behandlas, hur ett behandlings- system bör utformas, vilka säkerhetsåtgärder som krävs eller något annat som har betydelse för behandlingen. Eftersom en varning inte ska vara bindande är det inte fråga om ett beslut av tillsyns- myndigheten som är överklagbart. Det kan i och för sig diskuteras om ordet varning, som används i direktivet, är ett lämpligt uttryck. Det skulle kunna leda tankarna fel, eftersom ordet varning används i många olika betydelser. Mot bakgrund av att samma ord används både i annan tillsynsverksam- het och i dataskyddsförordningen för motsvarande befogenhet anser utredningen dock att den nya åtgärden bör kallas varning. Utredningens förslag: Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författning eller att den personuppgiftsansvarige eller personuppgiftsbiträ- det annars inte fullgör sina skyldigheter, får tillsynsmyndigheten 1.genom förebyggande åtgärder försöka förmå den personupp- giftsansvarige eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att upp- fylla andra skyldigheter, 2.förelägga den personuppgiftsansvarige eller personuppgifts- biträdet att vidta åtgärder för att behandlingen ska bli för- fattningsenlig eller att uppfylla andra skyldigheter, 3.förbjuda fortsatt behandling om bristen är allvarlig, eller 4.besluta om sanktionsavgift. Om tillsynsmyndigheten utfärdar ett föreläggande ska det av föreläggandet framgå när åtgärderna senast ska vara genomförda och, om det är lämpligt, vilka åtgärder som ska vidtas. Skälen för utredningens förslag Vilka åtgärder kan komma i fråga? Om tillsynsmyndigheten konstaterar att den personuppgiftsansva- rige eller personuppgiftsbiträdet inte uppfyller kraven på författ- ningsenlig personuppgiftsbehandling bör det finnas möjlighet för myndigheten att uppmana den ansvarige och biträdet att uppfylla sina skyldigheter. Det kan göras genom vissa av de åtgärder som normalt används i det förebyggande arbetet, nämligen råd, rekom- mendationer eller påpekanden. Om den personuppgiftsansvarige eller personuppgiftsbiträdet vidtar de åtgärder som krävs så snart tillsynsmyndigheten väcker en fråga torde det räcka med fortsatt dialog. behöver emellertid också kunna tvinga den personuppgiftsansvarige eller personuppgiftsbiträdet att full- göra sina skyldigheter. Medlen för det bör vara bindande föreläg- ganden, förbud mot fortsatt behandling och beslut om sanktions- avgift. Enligt artikel 47.2 b ska tillsynsmyndigheten t.ex. kunna beordra den personuppgiftsansvarige eller personuppgiftsbiträdet att vidta åtgärder för att en behandling ska bli förenlig med bestämmelserna som genomför direktivet. I artikel 58.2 d i förordningen används ordet förelägga i motsvarande bestämmelse. Regleringen tar sikte på att tillsynsmyndigheten ska kunna utfärda bindande beslut som uppmanar tillsynsobjektet att vidta vissa åtgärder för att göra per- sonuppgiftsbehandlingen författningsenlig. Eftersom ordet före- lägga används i förordningen är det lämpligt att använda det i ram- lagen. I direktivet anges rättelse, radering och begränsning av behand- lingen som exempel på åtgärder som tillsynsmyndigheten ska kunna förelägga den personuppgiftsansvarige eller personuppgifts- biträdet att vidta. Vad som avses med korrigeringsalternativen be- handlas i avsnitt 11.4. När det gäller sådana åtgärder kan det vara lämpligt att tillsynsmyndigheten i föreläggandet anger vilken åtgärd som ska vidtas. I många andra fall är dock den tillsynsobjektet bättre lämpad att avgöra vad som bör göras för att behandlingen ska bli författningsenlig. Det kan t.ex. vara fråga om vilka tekniska åtgärder som bör vidtas eller vilka säkerhetslösningar som bör väl- jas. bör därför endast om det är lämpligt ange vilken åtgärd som ska vidtas. Däremot ska det alltid framgå när åtgärden ska vara genomförd. En särskild fråga är om tillsynsmyndigheten bör kunna före- lägga att uppgifter ska raderas. Datainspektionen får inte själv besluta om radering av personuppgifter. Beslut om radering är en mycket ingripande åtgärd, särskilt för myndigheter. Som framgår av avsnitt 11.4.2 kan radering sällan komma i fråga med hänsyn till reglerna i 2 kap. tryckfrihetsförordningen. Med anledning av åtgär- dens begränsade tillämpningsområde tillämpas 47 § personupp- giftslagen sällan mot myndigheter, men upplevs trots det inte som obsolet. bör enligt utredningens mening kunna utfärda föreläggande om radering. Myndigheten måste givet- vis beakta att åtgärden inte kan komma att stå i strid med annan lagstiftning. Förelägganden bör inte bara kunna utfärdas för att säkerställa att personuppgiftsbehandling ska vara författningsenlig. För att tillsynsmyndigheten ska ha effektiva befogenheter behöver den även kunna utfärda bindande förelägganden som tar sikte på att personuppgiftsansvariga och personuppgiftsbiträden ska uppfylla andra skyldigheter. Det kan t.ex. vara att införa bättre säkerhets- lösningar, fullgöra dokumentationsskyldighet eller att överlämna viss dokumentation eller ge tillträde till lokaler. Förbud mot fortsatt behandling Enligt artikel 47.2 c ska tillsynsmyndigheten t.ex. kunna införa en tillfällig eller definitiv begränsning av, inklusive förbud mot, fort- satt behandling. Med förbud mot fortsatt behandling avses att någon behandling inte längre får förekomma. Personuppgifter får dock alltid behandlas om det är nödvändigt med hänsyn till reg- lerna i 2 kap. tryckfrihetsförordningen. För att genomföra direktivet bör en bestämmelse om förbud mot fortsatt behandling tas in i ramlagen. I flera lagstiftningsären- den har det ansetts naturligt att förbud mot fortsatt behandling även bör kunna riktas mot myndigheter (se prop. 2009/10:85 s. 275 2014/15:148 s. 89). Åtgärden bör dock på samma sätt som användas restriktivt (jfr prop. 1997/98:44 s. 103). Förbud mot fortsatt behandling bör bara kunna meddelas om en myndig- het på ett allvarligt sätt har åsidosatt sina skyldigheter och bristerna är sådana att de inte kan åtgärdas på annat sätt än att behandlingen upphör (jfr SOU 2015:39 s. 626 f.). Att en personuppgift har behandlats på ett sådant sätt att för- bud mot fortsatt behandling aktualiseras behöver inte innebära att all behandling av uppgiften måste upphöra. Förbudet måste kopp- las till vad som föranledde det (jfr avsnitt 11.4.3). Hur omfattande förbudet blir beror på vilken typ av personuppgift det är och hur den har behandlats. Ett förbud mot fortsatt behandling bör normalt vara permanent. I vissa fall kan dock ett tillfälligt förbud vara en lämplig åtgärd, t.ex. om den personuppgiftsansvarige trots påpekande eller varning från tillsynsmyndigheten har påbörjat otillåten personuppgiftsbehand- ling och myndigheten bedömer att bristerna kan rättas till. Ska förelägganden kunna förenas med en sanktion? Utredningen föreslår i avsnitt 13.7.1 att tillsynsmyndigheten ska få besluta om administrativa sanktionsavgifter. Sådana avgifter kan aktualiseras t.ex. om en personuppgiftsansvarig eller ett personupp- giftsbiträde underlåter att följa ett föreläggande eller beslut från tillsynsmyndigheten. Enligt utredningens mening är det tillräckligt att tillsynsmyndigheten i ett föreläggande kan upplysa om att sank- tionsavgift kan komma att tas ut om föreläggandet inte följs. Det finns därför inget behov av att även kunna förena ett föreläggande med vite. På samma sätt som ska förvaltningslagen tillämpas i tillsyns- myndighetens verksamhet. Lagen innehåller grundläggande regler om handläggning av ärenden hos förvaltningsmyndigheterna men gäller bara i den utsträckning det inte finns avvikande regler i andra Som tidigare nämnts är tillsynsverksamhet inte för- fattningsreglerad. Det är i huvudsak inte heller fråga om ärende- hantering utan en arbetsuppgift som kan lösas på olika sätt. I vissa fall lägger tillsynsmyndigheten upp ett tillsynsärende för att kunna hantera inkommande handlingar. Det är t.ex. vanligt att klagomål som enskilda ger in hanteras som ärenden. Som tidigare nämnts anses enligt rättspraxis ett tillsynsärende inte ha några parter, vilket innebär att de bestämmelser i förvaltningslagen som tar sikte på parter i ett ärende inte blir tillämpliga (se avsnitt 12.6.2). Direktivet innehåller vissa detaljbestämmelser som tar sikte på tillsynsmyndighetens handläggning av framställningar från enskil- da, t.ex. regler om hur tillsynsmyndigheten ska hantera klagomål från enskilda och om kontroller av om behandlingen är författ- ningsenlig. Eftersom förvaltningslagens bestämmelser bara är till- lämpliga i vissa avseenden, anser utredningen att det krävs vissa handläggningsregler för tillsyn enligt ramlagen och att de i största möjliga utsträckning bör tas in i lagen och den tillhörande förord- ningen. Genom det skapas en samlad reglering och reglerna kan anpassas till vad som krävs enligt direktivet. Utredningens förslag: Innan tillsynsmyndigheten fattar ett bindande beslut mot en personuppgiftsansvarig eller ett person- uppgiftsbiträde, ska den som beslutet gäller ges tillfälle att inom en bestämd tid yttra sig över allt material av betydelse för be- slutet, om det inte är uppenbart obehövligt.