sou · H5B352 · 2017-06-07 00:00:00 — Rättigheten innebär att den registrerade som huvudregel ska ha rätt att få ut de personuppgifter som rör honom eller henne och som han eller hon har tillhandahållit den personuppgiftsansvarige i ett strukturerat, allmänt använt och maskinläsbart format. Den registrerade har rätt att överföra dessa uppgifter till en annan personuppgiftsansvarig utan att den personuppgiftsansvarige som tillhandahållits personuppgifterna hindrar detta. Allmänna förutsättningar för rätten till dataportabilitet, är att behandlingen grundar sig på samtycke enligt artikel 6.1 a eller artikel 9.2 a eller på ett avtal enligt artikel 6.1 b, och att behandlingen görs automatiserat.9 Artikel 29-gruppen har gett ut en vägledning för tillämpningen av bestämmelserna om dataportabilitet.10 10WP 242 rev.01, Guidelines on the right to data portability, . 4 Allmänt om uppförandekoder 4.1Uppförandekoder i dataskyddsförordningen och dataskyddsdirektivet I dataskyddsförordningens artikel 40 sägs att medlemsstaterna, tillsynsmyndigheterna, styrelsen och kommissionen ska uppmuntra utarbetandet av uppförandekoder avsedda att bidra till att förordningen genomförs korrekt, med hänsyn till särdragen hos de olika sektorer där behandling sker, och de särskilda behoven hos mikroföretag samt små och medelstora företag. Vidare sägs att sammanslutningar och andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden får utarbeta uppförandekoder, eller ändra eller utöka sådana koder, i syfte att specificera tilllämpningen av förordningen. En uppförandekod är således enligt dataskyddsförordningen en möjlighet för sammanslutningar som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden inom en viss bransch eller sektor, att specificera hur man i praktiken ska tillämpa dataskyddsförordningens bestämmelser, som i många avseenden är allmänt hållna. Uppförandekoder är möjliga även om det finns nationella bestämmelser som, med stöd i dataskyddsförordningen, närmare reglerar hur uppgifter får behandlas inom en sektor. Uppförandekoder kan även omfatta verksamhet som bedrivs av myndigheter. I det regelverk som tillämpas , motsvaras dataskyddsförordningens uppförandekoder närmast av de ”branschöverenskommelser” som nämns i den svenska personuppgiftsförordningen (1998:1191) som gäller och fram till , då dataskyddsförordningen ska börja tillämpas. Enligt 15 § personuppgiftsförordningen ska Datainspektionen på begäran av en organisation som företräder en väsentlig del av de personuppgiftsansvariga inom en viss bransch eller inom ett visst område avge yttrande över förslag till överenskommelser vad avser behandling av personuppgifter inom branschen eller området (branschöverenskommelse). Beteckningen ”branschöverenskommelse” motsvaras i dataskyddsdirektivet av begreppet ”uppförandekodex” som i allt väsentligt får anses som liktydigt med ”uppförandekod” i dataskyddsförordningen. Det kan vara värt att notera att direktivets uppförandekodex i det svenska genomförandet fått karaktär av överenskommelse. Såväl dataskyddsdirektivet som dataskyddsförordningen saknar emellertid skrivningar om att det måste vara fråga om en överenskommelse eller ett avtal. En annan sak är att det i praktiken kan vara en stor fördel att inblandade parter är överens om innehållet i en uppförandekod. Med inblandade parter menas här branschens organisationer för personuppgiftsansvariga eller personuppgiftsbiträden, organisationer som representerar registrerade inom branschen och tillsynsmyndigheten. Det är också värt att notera att dataskyddsförordningen föreskriver att uppförandekoderna ska ta hänsyn till de särskilda behoven hos mikroföretag samt små och medelstora företag. En uppförandekod får således inte förstärka större företags försprång när det gäller möjligheterna att påverka branschpraxis och på så sätt hindra konkurrensen. Hänsyn till mikroföretag samt små och medelstora företag innebär också att tillämpningen ska underlättas för dem som har mindre resurser att tillgå för exempelvis juridisk hjälp med att tolka och tillämpa dataskyddsförordningen. Uppförandekoder kan på flera sätt spela en viktig roll i tillämpningen av förordningen; bland annat genom att tydliggöra hur förordningen ska tillämpas, genom att underlätta för den ansvarige att visa att och hur den följer förordningen, vid anlitandet av personuppgiftsbiträden och vid de tillfällen när det kan bli aktuellt att påföra sanktionsavgifter. Av dataskyddsförordningen framgår att de som får utarbeta uppförandekoder är sammanslutningar och andra organ, som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden. Det är med andra ord företrädare för personuppgiftsansvariga eller personuppgiftsbiträden som står bakom en kod, och som står som författare till koden. är det sannolikt nödvändigt att i en uppförandekod, som ska rikta sig till de personuppgiftsansvariga, involvera även företrädare för personuppgiftsbiträden. Det är fallet inom sektorer där beroendet av externa it-leverantörer är stort, som exempelvis inom stora delar av e-förvaltningen. Det kan också vara en fördel i andra branscher där leverantörerna i praktiken har bättre kunskap än beställarna om både problem och lämpliga lösningar. Förordningen innehåller vidare ett aktivitetskrav på både nationella myndigheter och EU-gemensamma organ när det gäller utarbetandet av uppförandekoder. I förordningens artikel 40 sägs att medlemsstaterna, tillsynsmyndigheterna, styrelsen och kommissionen ska uppmuntra utarbetandet av uppförandekoder. Att ”uppmuntra” bör enligt förstås som att de nämnda organen ska initiera och stödja företrädare för personuppgiftsansvariga eller personuppgiftsbiträden i arbetet med att ta fram uppförandekoder. I förordningen anges ett antal exempel på frågor som kan omfattas av en uppförandekod, bland annat dessa: rättvis och öppen behandling av personuppgifter, personuppgiftsansvarigas berättigade intressen i särskilda sammanhang, insamling av personuppgifter, pseudonymisering av personuppgifter, information till allmänheten och de registrerade, utövande av registrerades rättigheter, information till och skydd av barn, metoder för att erhålla samtycke från de personer som har föräldraansvar för barn, åtgärder och förfaranden som avses i artiklarna 24 och 25 om de personuppgiftsansvarigas ansvar och om inbyggt dataskydd och dataskydd som standard, samt åtgärder för att säkerställa säkerhet vid behandling i enlighet med artikel 32. 4.1.3Samråd med de registrerade Vid utformningen av en uppförandekod eller vid ändring eller utvidgning av en befintlig sådan kod, bör sammanslutningar och andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden samråda med berörda intressenter. Samrådet ska i möjligaste mån inbegripa registrerade. I arbetet ska man beakta de inlagor som mottas och de åsikter som framförs som svar på samråden.1 Enligt kommitténs bedömning kommer det i normalfallet vara en förutsättning för en välavvägd uppförandekod, att de registrerade hörts och att deras synpunkter har beaktats. Det förefaller både naturligt och nödvändigt att i ett tidigt skede involvera sammanslutningar och organisationer som representerar de registrerade, som exempelvis hyresgästföreningar, konsumentföreningar och arbetstagarorgansationer. Så har man arbetat när man tagit fram flera befintliga branschöverenskommelser. Att inhämta och beakta de registrerades synpunkter kan därmed sägas utgöra god sed för framtagandet av sådana överenskommelser och bör även ske i arbetet med uppförandekoder. Enligt dataskyddsförordningen ska sammanslutningar och andra organ som avser att utarbeta en uppförandekod eller ändra eller utöka befintliga uppförandekoder, lämna in utkastet till den behöriga tillsynsmyndigheten. ska yttra sig om utkastet överensstämmer med förordningen och godkänna det om den finner att tillräckliga garantier tillhandahålls. 1 Skäl 99. Om utkastet till kod godkänns, och om den berörda uppförandekoden inte avser behandling i flera medlemsstater, ska tillsynsmyndigheten registrera och offentliggöra uppförandekoden. Vid sin prövning av ett utkast till kod, förefaller det lämpligt att tillsynsmyndigheten beaktar i vad mån man har samrått med de registrerade, och tagit hänsyn till det som framkommit i samrådet. 4.1.5Behandling i flera medlemsstater Om ett utkast till uppförandekod avser behandling i flera medlemsstater ska den behöriga tillsynsmyndigheten innan den godkänner utkastet till kod, ändring eller utökning, överlämna det till dataskyddsstyrelsen, som ska avge ett yttrande om utkastet är förenligt med förordningen eller tillhandahåller lämpliga garantier. Om dataskyddsstyrelsen bekräftar att utkastet är förenligt med förordningen eller tillhandahåller lämpliga garantier, ska styrelsen inlämna sitt yttrande till kommissionen. Kommissionen får, genom genomförandeakter, besluta att den godkända koden, ändringen eller utökningen som getts in till den, har allmän giltighet inom unionen. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 93.2. Kommissionen ska se till att de godkända koder om vilka det har beslutats att de har allmän giltighet, offentliggörs på lämpligt sätt. Styrelsen ska samla alla godkända uppförandekoder, ändringar och utökningar i ett register och offentliggöra dem på lämpligt sätt. Dataskyddsförordningens regler behöver i många fall specificeras och förtydligas, om förordningen ska göra någon verklig skillnad för den personliga integriteten och faktiskt bidra till bättre skydd och större tydlighet för registrerade och personuppgiftsansvariga. Uppförandekoder kan på ett pedagogiskt sätt anpassas till de befattningshavare i de berörda verksamheterna som i praktiken gör bedömningar och val avseende vilka system och digitala hjälpmedel som faktiskt används i verksamheten. Jämfört med en uppförandekod är en registerförfattning svårare att anpassa till konkreta situationer. ta fram, och det är också mer omständligt och tidskrävande att komplettera eller ändra författningen när behov för detta uppstår. En uppförandekod har vidare den fördelen att det är de personuppgiftsansvariga som tillsammans utarbetar den och som därmed snabbare kan komma att tillägna sig innehållet, dvs. sprida och använda sig av uppförandekoden. Enligt dataskyddsförordningen bör sammanslutningar eller andra organ, som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden, uppmuntras att utarbeta uppförandekoder så att tillämpningen av förordningen effektiviseras, med beaktande av särdragen hos den behandling som görs inom vissa sektorer och de särskilda behov som finns inom mikroföretag samt inom små och medelstora företag. I synnerhet skulle man genom sådana uppförandekoder kunna anpassa personuppgiftsansvarigas och personuppgiftsbiträdens skyldigheter, med beaktande av den risk som behandlingen sannolikt innebär för fysiska personers rättigheter och friheter.2 Enligt dataskyddsförordningen kan vägledning för den personuppgiftsansvariges eller personuppgiftsbiträdets genomförande av lämpliga åtgärder och för påvisande av att behandlingen är förenlig med förordningen, framför allt ges genom godkända uppförandekoder, godkänd certifiering, riktlinjer från styrelsen eller genom anvisningar från ett dataskyddsombud. Det har dessutom vissa rättsliga verkningar i dataskyddsförordningen att man ansluter sig till en godkänd uppförandekod: Tillämpningen av uppförandekoder får användas för att visa att den personuppgiftsansvarige fullgör sina skyldigheter överlag enligt förordningen (artikel 24). En uppförandekod får användas av en personuppgiftsansvarig för att visa att denne uppfyller informationssäkerhetskraven i artikel 32.1. Ett personuppgiftsbiträdes anslutning till en uppförandekod får användas för att visa att tillräckliga garantier tillhandahålls avseende lämpliga tekniska och organisatoriska åtgärder för att uppfylla kraven i dataskyddsförordningen och säkerställa att den registrerades rättigheter skyddas (artikel 28.5). 2 Skäl 98. Tillämpningen av en godkänd uppförandekod enligt artikel 83 ska beaktas i samband med beslut om administrativa sanktionsavgifter; i frågan om avgift ska påföras och i så fall med vilket belopp. Det får förstås som att det kan innebära en förmildrande omständighet om den personuppgiftsansvarige har följt en godkänd uppförandekod. Efterlevnad av godkända uppförandekoder ska på lämpligt sätt beaktas i samband med en konsekvensbedömning avseende dataskydd enligt artikel 35. 4.2Exempel på uppförandekoder i och andra länder Uppförandekoder kan variera i fråga om omfång och detaljeringsgrad, beroende på vilken sektor som koden omfattar och vilka frågor som behöver klargöras i den. Exempelvis kan det finnas såväl koder som är relativt omfattande och praktiskt inriktade, som koder som är mer avgränsade till sin omfattning och som tar sikte på bara en eller ett fåtal frågor. De exempel på befintliga uppförandekoder som ges nedan representerar både sådana som är mer omfattande och sådana som är mer kortfattade. Även de branschöverenskommelser, koder och riktlinjer för branscherna som finns , kommer att behöva ses över i förhållande till dataskyddsförordningen. Dessa kan då komma att ges in till tillsynsmyndigheten, som efter att ha granskat dem kan godkänna dem som uppförandekoder i dataskyddsförordningens mening. 4.2.2Svenska uppförandekoder om personuppgifter Det finns ett antal branschöverenskommelser, etiska riktlinjer och standarder som helt eller delvis innehåller regleringar som skulle kunna ges i en uppförandekod i dataskyddsförordningens mening. Fastighetsägarna och () har i samarbete med tagit fram en branschöverenskommelse för behandling av personuppgifter, inklusive kameraövervakning, vid uthyrning av bostäder. Datainspektionen har granskat och godkänt överenskommelsen. Syftet med överenskommelsen är att skapa en gemensam god sed för behandlingen av personuppgifter, inklusive kameraövervakning, på bostadshyresmarknaden. I överenskommelsen finns bl.a. konkreta anvisningar på insamling, användning och gallring av uppgifter hos bostadsföretag. Exempelvis anges hur bostadsföretagen får hantera uppgifter om brott, uppgifter om att en bostad är anpassad för personer med funktionsnedsättning, och uppgifter om att anstånd med hyra medgetts av hälsoskäl. På initiativ av (Swedma) har berörda delar av svenskt näringsliv samt frivilliga insamlingsorganisationer tagit fram riktlinjer för direktmarknadsföring. Dessa syftar till att – mot bakgrund av gällande lagstiftning och allmänt omfattade etiska värderingar – närmare ange, dels vad som kan anses vara god sed vid insamling, användning, spridning och annan behandling av personuppgifter för direktmarknadsföringsändamål, dels beskriva det ansvar som företag, organisationer eller någon annan som utför sådan behandling har.4 I överenskommelsen regleras bland annat varifrån personuppgifter kan samlas in, vilka uppgifter som får samlas in, villkor för behandlingen, information till de registrerade och rättelse av personuppgifter. 4 Regler för användning av personuppgifter m.m. vid direktmarknadsföring för försäljnings-, insamlings-, medlemsvärvningsändamål och liknande. De medverkande i framtagandet överenskommelsen var , , Frivilligorganisationernas insamlingsråd, Näringslivets delegation för marknadsrätt , , , (Swedma), Tidningsutgivarna, , Partner. Reglerna har godkänts av Datainspektionen. För behandling av personuppgifter i inkassoverksamhet finns det en branschöverenskommelse från (). Den säger bland annat att bara sådana uppgifter får behandlas, som har betydelse för genomförande av inkassouppdraget. Överenskommelsen har godkänts av Datainspektionen. Vidare finns det en branschöverenskommelse för hantering av personuppgifter i samband med skolfotoverksamhet och försäljning av fotografier och skolkataloger. Överenskommelsen är framtagen av och godkänd av Datainspektionen. Enligt överenskommelsen ska som huvudregel gälla att personuppgifter endast får behandlas om samtycke lämnats av både målsman och den elev som avses med personuppgiften och som kan samtycka. Engaging Privacy är ett initiativ för aktörer inom it-branschen i som vill vara mer proaktiva i frågor som rör integritet och datadriven innovation.5 Värd för satsningen är /SICS, och de nuvarande medlemmarna är i , Microsoft, och TeliaSonera. Ett mål med initiativet är att utveckla en branschgemensam uppförandekod. 4.2.3Exempel på uppförandekoder om annat än personuppgifter För att få ytterligare ledning i frågan om hur en uppförandekod kan utformas, är det även av intresse att granska några befintliga uppörandekoder som reglerar annat än personuppgiftsbehandling. Det finns en omfattande svensk standard för kvalitet i omsorg, service, omvårdnad och rehabilitering för äldre med omfattande behov i ordinärt och särskilt boende.6 Standarden utgår från samt strukturerar och konkretiserar innehållet i nu gällande lagar, förordningar och föreskrifter samt riktlinjer, vägledningar, kunskapsstöd och liknande dokument av normerande karaktär. Ett grundläggande användningsområde för standarden är att den som bedri- 6Svensk standard SS 872500:2015. ver verksamhet utifrån denna standard kan planera, leda och genomföra samt systematiskt utvärdera och förbättra verksamheten. Inför upphandling av utförare kan kommunen använda standarden som upphandlingsunderlag och därmed även som ett stöd vid uppföljning. Standarden är också tänkt att kunna användas som underlag vid utbildning och kompetensutveckling av personal inom omsorg, service, omvårdnad och rehabilitering av äldre. Vidare finns det en kod för medlemsföretagen i . Koden innebär att medlemsföretag och dess medarbetare ska följa lagar och föreskrifter samt verka för sund konkurrens och tidsenliga relationer såväl inom företaget som i förhållande till kunder och leverantörer. I koden anges bland annat att medlemsföretag ska föra korrekt redovisning av ekonomiska transaktioner samt motverka svartarbete, övrig ekonomisk brottslighet och påverkan från illegal verksamhet, att medlemsföretagen ska agera korrekt och inte bjuda på, eller anordna resor, ge gåvor eller andra tjänster eller förmåner som inte kan granskas och redovisas öppet. Uppförandekoden utgör ett av kriterierna för medlemskap i . Avsteg från eller underlåtelse att agera och korrigera avsteg från koden kan, som yttersta konsekvens, utgöra grund för uteslutning. Till koden finns det faktablad och vägledande kommentarer. Det är möjligt för medlemmarna att signera uppförandekoden. Konsumentverket har ingått flera branschöverenskommelser med aktörer inom olika branscher. Exempelvis har och mobiloperatörerna , , , samt , träffat en överenskommelse om marknadsföring av täckning för mobila tjänster. I överenskommelsen regleras bl.a. vilken information som konsumenten ska få om täckning.7 7 branschöverenskommelse BÖ 2014:02. 4.2.4Exempel i andra länder på uppförandekoder om personuppgifter I andra länder har vissa branscher kommit mycket långt i att ta fram uppförandekoder för hur personuppgifter ska hanteras. I finns den s.k. som är ett slags uppförandekod med en norm för informationssäkerhet för vård- och omsorgssektorn. är en sammanställning av lagstiftningens krav på informationssäkerhet, men ställer ibland också strängare krav. Det innebär att ställer krav som specificerar och kompletterar gällande regelverk. behandlas utförligare i kapitlet om Hälso- och sjukvård och välfärdsteknik inom . I har dataskyddsmyndigheten (Information Commissioner’s Office) tagit fram en uppförandekod (eng. code of practice) för information till registrerade, transparens och kontroll. I uppförandekoden lämnas rekommendationer om vad som bör ingå i informationen samt hur och när den bör lämnas till de registrerade.8 I har försäkringsbolagens branschorganisation, , tagit fram en uppförandekod för hantering av personuppgifter. I koden regleras bl.a. hur uppgifter får samlas in och användas.9 I har det tagits fram en uppförandekod för hur finansiella institutioner (banker och försäkringsbolag) ska hantera personuppgifter.10 Uppförandekoden har utarbetats av () och (). Den har därefter () godkänts av den nederländska dataskyddsmyndigheten (College Bescherming Persoonsgegevens). Syftet med koden är att på ett korrekt sätt förtydliga 8ICO:s kod Privacy notices, transparency and control 9Gesamtverband der Deutschen Versicherungswirtschaft, Verhaltensregeln für den Umgang mit personenbezogenen Daten durch die deutsche Versicherungswirtschaft. 10Code of Conduct for the Processing of by Financial Institutions. hur den nederländska dataskyddslagstiftningen ska tillämpas inom bank- och försäkringssektorn. På europeisk nivå har CISPE (Providers in Europe som är en sammanslutning av leverantörer av molntjänster för infrastruktur) tagit fram en uppförandekod för molntjänster för infrastruktur.11 Ett angivet syfte med koden är att när en leverantör förklarar att den följer koden, ska kunderna kunna känna sig säkra på att de kan använda leverantörens tjänster för att hantera personuppgifter på ett sätt som är förenligt med . Det framgår inte om koden är granskad eller godkänd av någon dataskyddsmyndighet. 4.3Statliga myndigheters roller och resurser i arbetet med uppförandekoder Även om utarbetandet av förslag till uppförandekoder ska utföras av de personuppgiftsansvarigas eller personuppgiftsbiträdenas branschorganisationer, kommer arbetet med att uppmuntra, granska och godkänna uppförandekoder att behöva göras av nationella myndigheter och EU-gemensamma organ. Kommittén föreslår (se exempelvis kapitel 5 och 6) att regeringen så långt som möjligt uppdrar åt vissa utpekade myndigheter att i samråd med Datainspektionen stå för merparten av det arbete som en myndighet behöver utföra när det gäller uppförandekoder. Skyldigheten att uppmuntra framtagandet av koder ligger enligt dataskyddsförordningen både på medlemsstaten och på tillsynsmyndigheten (artikel 40.1 i dataskyddsförordningen). Det kan i sammanhanget finnas anledning att beakta regeringens möjligheter att ge uppdrag till Datainspektionen. Dessa möjligheter kommer ju att vara begränsade enligt artikel 52 i dataskyddsförordningen. Det är även viktigt att se till att Datainspektionen inte ska bli överbelastad med uppdrag av detta slag inom en rad olika områden . Slutligen är det den branschspecifika myndigheten som bäst känner till parterna inom den aktuella sektorn och de vanligast förekommande integritetsrelaterade frågorna och problemen. 11 Data Protection Code of Conduct for Providers, CISPE, 27 January 2017. myndigheter har dessutom erfarenhet av att samla parterna inom vissa branscher för att diskutera regelverkets utformning på exempelvis föreskriftsnivå. Det kan således vara lämpligt att en annan myndighet än Datainspektionen samlar branschen till ett första möte där möjligheten till uppförandekod diskuteras. Likaså kan en annan myndighet än Datainspektionen vid behov hålla samman arbetet fram till dess att koden ska godkännas. Datainspektionen roll bör inskränkas till det som ingen annan myndighet kan eller får göra, det vill säga att fatta det slutliga beslutet att godkänna koden. I de olika områdesavsnitten i detta betänkande, ger vi konkreta förslag till vilka andra myndigheter som bör involveras i arbetet med uppförandekoder: , , och eventuellt . Vidare föreslås i betänkandet digitalforvaltning.nu12 att den myndighet som får det samlade ansvaret för digitaliseringen av offentlig sektor, ska få i uppdrag att stödja myndigheter i utarbetandet av gemensamma uppförandekoder i dataskyddsförordningens mening. Arbetet med att initiera och stödja framtagandet av uppförandekoder förutsätter viss kompetens i att hantera projekt av liknande art. Det finns emellertid specialister på detta som kan anlitas av myndigheterna för att leda och genomföra sådana projekt, exempelvis inom SIS ().