sou · H5B329 · 2017-04-05 00:00:00 — Enligt artikel 30.2 ska ett personuppgiftsbiträde utan onödigt dröjsmål underrätta den personuppgiftsansvarige efter att ha fått vetskap om en personuppgiftsincident. Det som avses bör rimligen vara en incident hos personuppgiftsbiträdet eller något biträde som denne i sin tur anlitat. Syftet med bestämmelsen är att den person- uppgiftsanvarige, efter att ha fått vetskap om incidenten, ska an- mäla den till tillsynsmyndigheten om förutsättningarna för sådan anmälan är uppfyllda. Eftersom det är den personuppgiftsansvarige som ska anmäla personuppgiftsincidenter enligt ramlagen bör det föreskrivas att ett personuppgiftsbiträde ska underrätta den per- sonuppgiftsanvarige om personuppgiftsincidenter hos biträdet. Det kan regleras i förordning. Regleringen av personuppgiftsbiträdens skyldigheter medför en- ligt utredningens mening inga större skillnader i förhållande till dagens reglering. Personuppgiftsbiträden är skyldiga att vidta lämpliga åtgärder för att skydda de personuppgifter som be- handlas. Det innebär ett indirekt krav på att begränsa tillgången till personuppgifter genom exempelvis behörighetstilldelning och att logga behandlingar för att kunna kontrollera åtkomsten till person- uppgifterna. Den enda nyheten är att tillsynsmyndigheten kan vidta åtgärder mot både personuppgiftsansvariga och personupp- giftsbiträden om de brister i sina skyldigheter. Eftersom den per- sonuppgiftsansvarige alltjämt är ansvarig för den behandling som personuppgiftsbiträdet utför torde det sällan bli aktuellt att ut- nyttja den möjligheten. Ingen reglering av gemensamt personuppgiftsansvar Den personuppgiftsansvarige definieras i personuppgiftslagen som den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen. Två eller flera personuppgifts- ansvariga torde därmed kunna vara gemensamt personuppgifts- ansvariga för viss behandling av personuppgifter. Om så är fallet, och vad deras respektive ansvar då innebär, kan dock vara svårt att avgöra. Det finns ingen reglering av vad det innebär om flera till- sammans bestämmer ändamålen med och medlen för behandlingen. Det största problemet med ett eventuellt gemensamt person- uppgiftsansvar är den otydlighet som det kan innebära gentemot både enskilda och tillsynsmyndigheten. Det kan exempelvis vara svårt för den enskilde att veta vem han eller hon ska vända sig till för att få information om personuppgiftsbehandlingen eller för att göra eventuella anspråk gällande. För tillsynen är det av avgörande betydelse att personuppgiftsansvaret är tydligt. Ett gemensamt personuppgiftsansvar som inte har reglerats tillräckligt tydligt kan också medföra svårigheter för de personuppgiftsansvariga själva. Det kan vara svårt för dem att på ett effektivt och ändamålsenligt sätt fullgöra sitt ansvar om det är oklart hur långt ansvaret sträcker sig och vad skyldigheterna omfattar. Även om gemensamt personuppgiftsansvar mellan myndigheter är tillåtet, torde det i praktiken vara ovanligt. I de allra flesta fall är den personuppgiftsbehandling som förekommer väl avgränsad och går att härleda till en viss myndighet. De faktiska omständigheterna tillsammans med regelverken som gäller för myndigheterna innebär att gemensamt personuppgiftsansvar sällan aktualiseras. Gemen- samt personuppgiftsansvar kan emellertid de facto uppstå vid be- handling av personuppgifter i en viss situation eller på ett visst sätt. Eftersom personuppgiftslagen inte ger någon ledning för hur frå- gor om gemensamt personuppgiftsansvar ska hanteras får de per- sonuppgiftsansvariga själva lösa dem. Skillnad mellan gemensamt ansvar och delat ansvar Vad som menas med gemensamt personuppgiftsansvar är inte helt klart. Begreppet används i olika situationer med varierande inne- börd. Det är därför svårt att ge konkreta och tydliga exempel på situationer där sådant ansvar kan anses föreligga. En genomgång av begreppet gemensamt personuppgiftsansvar görs i promemorian Behandling av personuppgifter inom för terror- hotbedömning (Ds 2016:31 s. 117 f.). Där ges också exempel på situationer där sådant ansvar har ansetts föreligga Inom ramlagens tillämpningsområde torde gemensamt person- uppgiftsansvar mycket sällan komma ifråga. Sådant ansvar skulle dock kunna aktualiseras vid olika typer av samarbeten och gemen- samma projekt. Det är naturligt och nödvändigt att myndigheter och andra organ inom rättskedjan samarbetar för att bekämpa brottslighet. Sådana samarbeten kan se olika ut och vara mer eller mindre formaliserade. Det varierar också i vilken utsträckning det finns behov av att kunna behandla personuppgifter inom ramen för sådant samarbete. I vissa typer av samarbeten kan avidentifierade uppgifter användas, medan det i andra fall mer eller mindre är en förutsättning att de samarbetade myndigheterna kan utbyta per- sonuppgifter. Ett samarbete mellan två eller flera behöriga myndigheter med- för inte automatiskt gemensamt ansvar för behandlingen av per- sonuppgifter. I de allra flesta samarbeten framgår det tydligt vem som är ansvarig för vilken personuppgiftsbehandling, t.ex. genom att det endast är en behörig myndighet som har tillgång till person- uppgifterna eller it-systemet. Om myndigheterna agerar i olika skeden av en process är var och en ansvarig för behandlingen av personuppgifter i sin del av processen. Inom ramen för de flesta samarbeten tar således var och en ansvar för den behandling av per- sonuppgifter som den utför. Det är enligt utredningens mening i detta sammanhang också viktigt att skilja mellan vad som kan betecknas som delat ansvar och vad som är gemensamt ansvar. Det förhållandet att två myn- digheter använder samma datasystem eller att en myndighet ger en annan myndighet direktåtkomst till ett visst datasystem innebär inte att det uppstår gemensamt personuppgiftsansvar. Tvärtom är utgångspunkten att varje myndighet är personuppgiftsansvarig för den behandling av personuppgifter som utförs vid myndigheten. Som exempel kan nämnas system för brottsut- redningar, DurTvå, som åklagare har tillgång till. är systemansvarig och råder över i vilken utsträckning som åklagare kan ges tillgång till systemet. Polisanställda får arbeta i systemet medan åklagare har möjlighet att läsa de uppgifter som finns och skicka meddelanden till systemet. Här kan ansvaret sägas vara delat i den meningen att var och en av myndigheterna ansvarar för till- gången till personuppgifterna för sin personal. Respektive myndig- het är personuppgiftsansvarig för den behandling som utförs. 10.7.2En tydligare reglering av gemensamt personuppgiftsansvar Utredningens förslag: Två eller flera behöriga myndigheter får vara gemensamt personuppgiftsansvariga endast i den utsträck- ning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. Att gemensamt personuppgiftsansvariga genom en skriftlig överenskommelse ska fastställa sitt respektive ansvar ska regle- ras i förordning. Skälen för utredningens förslag Personuppgiftsansvariga definieras i artikel 3.8 som en behörig myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Redan av definitionen framgår det alltså att den personuppgiftsan- svarige kan bestämma ändamål och medel för behandlingen till- sammans med andra. Enligt artikel 21.1 är två eller flera personuppgiftsansvariga som gemensamt fastställer ändamålen med och medlen för behandlingen gemensamt personuppgiftsansvariga. De gemensamt personupp- giftsansvariga ska genom ett inbördes arrangemang under öppna former fastställa vars och ens ansvar för efterlevnaden av direktivet, särskilt vad gäller att enskilda ska kunna utöva sina rättigheter och skyldigheten att tillhandahålla information enligt artikel 13. I den mån de personuppgiftsansvarigas respektive skyldigheter fastställs i unionsrätt eller nationell rätt ska någon överenskommelse om för- delning av ansvaret inte ingås i den delen. De gemensamt personuppgiftsansvariga ska också utse en kon- taktpunkt för registrerade. Enligt artikeln kan medlemsstaterna fastslå vem av de gemensamt personuppgiftsansvariga som kan fungera som kontaktpunkt. I artikel 21.2 öppnas en möjlighet att föreskriva att den registrerade, oavsett det inbördes arrangemanget, får göra sina rättigheter gällande mot var och en av de personupp- giftsansvariga. Gemensamt personuppgiftsansvar bara om statsmakterna medger det Direktivet ger enligt utredningens mening utrymme för att när- mare reglera gemensamt personuppgiftsansvar. Frågan är då om en sådan reglering bör införas och hur den i så fall skulle kunna ut- formas. Direktivet ger ingen vägledning i frågan om vem som får ta initiativ till och besluta om gemensamt personuppgiftsansvar eller hur det ska utövas i praktiken. Att enbart ta in en bestämmelse i ramlagen som definierar när gemensamt personuppgiftsansvar ska anses föreligga bringar inte klarhet i dessa frågor. Det är enligt ut- redningens mening viktigt att det finns tydliga ramar för i vilka fall gemensamt personuppgiftsansvar ska få utövas, särskilt i verksam- heter där det är författningsreglerat vem som är personuppgifts- ansvarig. Enligt utredningens mening bör gemensamt personuppgiftsan- svar övervägas endast i speciella situationer där samarbetet mellan behöriga myndigheter är utformat så att ansvarsfördelningen inte kan utläsas på annat sätt. Bedömningen av när gemensamt person- uppgiftsansvar är sakligt motiverat bör inte lämnas till de behöriga myndigheterna själva. Sådana överväganden bör lämpligen göras av lagstiftaren och ansvaret bör därmed framgå av lag eller förordning. Det bör också vara möjligt för regeringen att i enskilda fall besluta om sådant gemensamt ansvar. Utredningen anser därför att det i ramlagen bör tas in en bestämmelse som föreskriver att två eller flera behöriga myndigheter får vara gemensamt personuppgiftsan- svariga endast i den utsträckning det följer av lag eller förordning, eller om regeringen i enskilda fall beslutar om det. Syftet med en sådan regel är att begränsa möjligheterna till gemensamt personuppgiftsansvar. Sådant ansvar ska inte kunna uppstå de facto i en viss situation, utan endast få förekomma i den utsträckning som eller regeringen har beslutat om det. Om tillsynsmyndigheten skulle konstatera att gemensamt person- uppgiftsansvar i en viss situation ändå föreligger, innebär det att behandlingen utförs i strid med bestämmelserna i ramlagen. Till- synsmyndigheten har då bl.a. möjlighet att förelägga de person- uppgiftsansvariga att vidta åtgärder eller förbjuda fortsatt behand- ling (se avsnitt 12.7.6). Utredningen utgår från att en formell reglering av gemensamt personuppgiftsansvar som kräver beslut av eller rege- ringen kommer att avhålla myndigheterna från att bygga system eller arrangera samarbete på ett sådant sätt att det oavsiktligt kan uppstå gemensamt personuppgiftsansvar. Det blir således viktigare att analysera hur personuppgiftsbehandlingen ska orga- niseras om flera myndigheter samarbetar på sådant sätt att det kan ifrågasättas vem som har personuppgiftsansvaret. En skriftlig överenskommelse om fördelningen av ansvaret Det främsta syftet med artikel 21 förefaller vara att införa en skyl- dighet för gemensamt personuppgiftsansvariga att på ett tydligt sätt fastställa sitt respektive ansvar, främst i förhållande till regi- strerade. I skäl 54 framhålls vikten av att det tydligt fastställs vem som bär ansvaret. Enligt utredningens mening behöver det regleras. Enligt artikeln ska ansvaret fastställas genom ett inbördes arran- gemang mellan de personuppgiftsansvariga. Det ska göras under öppna former. Vad det innebär framgår inte. Det bör rimligen avse någon form av överenskommelse eller samarbetsavtal mellan de personuppgiftsansvariga. Enligt utredningens mening bör det vid gemensamt personuppgiftsansvar ställas krav på att en överens- kommelse träffas och att den ska vara skriftlig. Det kan regleras i förordning. Kravet på öppenhet är uppfyllt genom regleringen om tillgång till allmänna handlingar. Det bör också framgå av överenskommelsen vem som ska fun- gera som kontaktpunkt för registrerade. För att stärka enskildas ställning och möjliggöra för dem att utöva sina rättigheter bör en registrerad få utöva sina rättigheter enligt ramlagen gentemot var och en av de gemensamt personuppgiftsansvariga, även om det finns en skriftlig överenskommelse som reglerar ansvaret. Det bör understrykas att det inte är möjligt att genom en över- enskommelse avtala bort gällande författningsbestämmelser. En överenskommelse kan alltså inte befria någon av avtalsparterna från det ansvar som följer av gällande rätt, utan bara reglera hur ansvaret ska utövas i praktiken. Två behöriga myndigheter skulle exempelvis kunna bestämma att en av dem ska ansvara för att personuppgifter inte behandlas än vad som är nödvändigt, men inte att en viss bestämmelse om hur länge personuppgifter får behandlas ska gälla framför en annan. Om det i författningar eller regeringsbeslut som reglerar gemen- samt personuppgiftsansvar fastställs hur de personuppgiftsansvari- gas skyldigheter ska utövas bör det inte finnas möjlighet för de personuppgiftsansvariga att själva reglera det. En skriftlig överens- kommelse om inbördes ansvar bör därmed inte få omfatta sådana skyldigheter som regleras särskilt. Utredningens förslag: Regeringen bemyndigas att meddela föreskrifter om vissa skyldigheter för personuppgiftsansvariga och personuppgiftsbiträden. Skälen för utredningens förslag: Ramlagen och den tillhörande förordningen kommer att tillämpas av både privata aktörer och myndigheter. Även om registerlagstiftning inte tillhör det obliga- toriska lagområdet har utveckligen gått mot att sådan lagstiftning i allt större utsträckning ges lagform. Skyldigheter som åläggs per- sonuppgiftsansvariga och personuppgiftsbiträden enligt ramlagen kan innebära skyldigheter för enskilda. Föreskrifter som gäller för- hållandet mellan enskilda och det allmänna och som gäller skyldig- heter för enskilda eller i övrigt avser ingrepp i enskildas personliga eller ekonomiska förhållanden ska enligt 8 kap. 2 § första stycket 2 regeringsformen som huvudregel meddelas i lag. kan dock enligt 8 kap. 3 § första stycket regeringsformen bemyndiga regeringen att meddela sådana föreskrifter. I 8 kap. 7 § regeringsformen anges inom vilka områden rege- ringen utan delegering får meddela föreskrifter. Enligt paragrafen får regeringen bl.a. meddela föreskrifter om verkställighet av lag. är i första hand tillämpningsföreskrifter av rent administrativ karaktär. Sådana bestämmelser kan fylla ut eller precisera lagbestämmelser. Lagregleringen får dock inte tillfö- ras något väsentligt nytt genom verkställighetsföreskrifter. De får t.ex. inte innebära att enskilda åläggs ytterligare skyldigheter. Ramlagen och den tillhörande förordningen är en offentligrätts- lig reglering och omfattas av det delegeringsbara lagområdet. Det är därmed möjligt att i vissa fall bemyndiga regeringen att meddela föreskrifter inom ramlagens tillämpningsområde. För att undvika en alltför detaljerad lagreglering anser utredningen att vissa be- stämmelser som kan innebära åligganden för enskilda bör finnas i förordning. Sådana bestämmelser kan ibland fylla ut eller precisera en lagbestämmelse och ses då som verkställighetsföreskrifter. Så kan exempelvis vara fallet om åtgärder ska vidtas för att en skyldig- het i lag ska kunna uppfyllas, t.ex. dokumentation eller underrät- telse. I övriga fall kan det krävas ett bemyndigande till regeringen för att sådana bestämmelser ska kunna meddelas i förordning. Merparten av de skyldigheter som åläggs personuppgiftsansva- riga och personuppgiftsbiträden föreslås regleras i ramlagen, men vissa detaljbestämmelser föreslås i förordningen. Eftersom det är mindre lämpligt att tynga en lag med utpräglade detaljföreskrifter anser utredningen att vissa skyldigheter för personuppgiftsansva- riga bör regleras i förordningen trots att de även kan träffa en- skilda. Det gäller skyldigheten att föra register över kategorier av behandlingar av personuppgifter och skyldigheten att införa interna rutiner för anmälan av överträdelser. De bestämmelserna är enligt utredningens mening inte heller så ingripande att de av den anled- ningen bör regleras i lag. Konsekvenserna av lagförslaget i sin hel- het kan enligt utredningens mening överblickas även om regeringen ges ett bemyndigande. Regeringen bör därför i ramlagen bemyn- digas att meddela föreskrifter om dessa skyldigheter. 11.1Tydligare reglering av enskildas rättigheter Rätten till skydd av personuppgifter är inte en absolut rättighet utan ska vägas mot andra intressen. En del i personuppgiftsskyddet är enskildas rätt att få veta hur deras personuppgifter behandlas. Information om den personuppgiftsbehandling som pågår är en förutsättning för att enskilda ska kunna kontrollera om behand- lingen är författningsenlig och i övrigt kunna bevaka sina intressen. Direktivet medför att rättigheterna för enskilda tydliggörs. Den enskilde får utökade möjligheter att kontrollera hur hans eller hen- nes personuppgifter behandlas och att begära korrigering av fel- aktiga eller ofullständiga personuppgifter och åtgärder vid otillåten behandling. I skäl 7 betonas att skyddet för fysiska personers fri- och rättigheter ska vara likvärdigt i alla medlemsstater när person- uppgifter behandlas inom direktivets tillämpningsområde. Det framhålls även att ett effektivt skydd av personuppgifter förutsätter stärkta rättigheter för enskilda och ökade skyldigheter för dem som behandlar personuppgifter. 11.2.1Allmänt om rätten till information Tillgången till allmänna handlingar Det finns regler inom olika områden som ger enskilda rätt till insyn i viss myndighetsverksamhet och rätt att ta del av handlingar som behandlas där. Det gäller även inom ramlagens tillämpningsområde. Reglerna om personuppgiftsbehandling, och den rätt till informa- tion som skapas genom dem, utgör bara en mindre del av den sam- lade rätten till information. Vem som helst har rätt att med stöd av 2 kap. 1 § tryckfrihets- förordningen ta del av allmänna handlingar. Den rätten kan bara begränsas av sekretess och tystnadsplikt. I offentlighets- och sekre- tesslagen (2009:400) finns både sekretessbestämmelser och bestäm- melser som anger när olika typer av sekretess får brytas. Sekretess till skydd för enskildas personliga eller ekonomiska intressen gäller normalt inte i förhållande till den person som uppgiften avser (12 kap. 1 §). Däremot kan sekretess till skydd för det allmännas intressen eller till skydd för annan enskilds intressen begränsa rät- ten att få del av allmänna handlingar. För de verksamheter där ram- lagen kommer att tillämpas gäller framför allt sekretess enligt 18 och 35 kap. offentlighets- och sekretesslagen, som skyddar det all- männas respektive enskildas intressen i brottsbekämpande verk- samhet. Även andra sekretessbestämmelser kan gälla i det enskilda fallet. Sådan sekretess som gäller hos alla myndigheter är inte sällan aktuell inom ramlagens tillämpningsområde, exempelvis sekretess till skydd för vissa adressuppgifter (21 kap. 3 §) eller för utlän- ningar (21 kap. 5 §). Den som är part i ett mål eller ärende hos en myndighet eller en domstol har i stor utsträckning rätt till insyn i förfarandet och rätt att ta del av den information som tillförs målet eller ärendet under handläggningen. Myndigheter och domstolar är i varierande ut- sträckning skyldiga att se till att en part får del av sådan informa- tion. Bestämmelser om det finns bl.a. i 16 och 17 §§ förvaltningsla- gen (1986:223), 10 och 12 §§ förvaltningsprocesslagen (1971:291) och 45 kap. 9 § . Enligt 10 kap. 3 § offentlighets- och sekretesslagen hindrar sekretess inte den som är part och som på grund av sin partsställning har rätt till insyn i handläggningen att ta del av handlingar och material i målet eller ärendet. Insynen får bara begränsas under förutsättning att det av hänsyn till allmänt eller enskilt intresse är av synnerlig vikt att en sekretessbelagd upp- gift i en handling i målet eller ärendet inte lämnas ut till parten. Sekretess hindrar aldrig en part från att ta del av en dom eller ett beslut i målet eller ärendet. Sekretess innebär inte heller någon be- gränsning i en parts rätt enligt att få del av alla omständigheter som läggs till grund för ett avgörande. Förvaltningslagens bestämmelser om partsinsyn och kommuni- kationsskyldighet gäller enligt 32 § förvaltningslagen inte i poli- sens, åklagarnas, , och brottsbekämpande verksamhet och någon ändring av det föreslås inte i den nya försvaltningslagen. Brottsförebyggande arbete är inte författningsreglerat och det finns inte heller några särskilda regler om insyn eller tillgång till handlingar i sådan verksamhet. Under- rättelseverksamhet är endast i mycket begränsad utsträckning för- fattningsreglerad och några särskilda regler om insyn eller tillgång till handlingar i den verksamheten finns inte heller. Särskilda regler gäller däremot om misstänktas rätt till insyn i förundersökningar enligt 10 kap. 3 a § offentlighets- och sekretess- lagen och 23 kap. . Förundersökningar omfattas i de flesta fall åtminstone inledningsvis till stor del av sekretess, men den avklingar normalt ju längre utredningen kommer. Därför har regleringen av rätten till insyn i förundersökningar stor praktisk betydelse. Tidpunkten för när en person underrättas om att han eller hon är skäligen misstänkt är utgångspunkten för rätten till insyn. Den som är skäligen misstänkt respektive åtalad har rätt till insyn och tillgång till material enligt 23 kap. 18, 18 a och 21 §§ rättegångsbal- ken. Den som utsätts för ett straffprocessuellt tvångsmedel som kan prövas av domstol har vid domstolens handläggning partsrät- tigheter, men har inte någon insyn i t.ex. polisens eller åklagarens handläggning utöver vad som har sagts. Vid domstolens hand- läggning av andra förprocessuella frågor, t.ex. frågor om offentlig försvarare eller målsägandebiträde, har den berörde på motsvarande sätt partsställning och den insyn som följer av det. Det finns inga regler om målsägandens eller andra berördas rätt till insyn i förundersökningsförfarandet. Däremot finns det omfat- tande regler om underrättelseskyldighet som bl.a. tillgodoser måls- ägandenas intressen knutna till att en förundersökning slutförs. Om åtal väcks blir som regel de flesta handlingar som rör åtalet offentliga. En domstols handläggning av brottmål är till största delen offentlig och för handlingarna i målet gäller bara i begränsad utsträckning sekretess. Det är framför allt i mål som rör underåriga eller särskilt känsliga frågor som exempelvis vissa sexualbrott och för viss personalia som det kan gälla sekretess. Det är viktigt att skilja den rätt till information och tillgång till handlingar som skapas genom de nu nämnda regleringarna från den rätt till information och tillgång till personuppgifter som skapas genom reglerna om skydd för personuppgifter. Bestämmelserna har helt olika syften. 11.2.2Reglerna om information i straffrättsliga förfaranden har företräde Utredningens bedömning: Det behöver inte regleras att be- stämmelser om personuppgiftsbehandling inte får inkräkta på reglerna om rätt till information vid förundersökning och andra straffrättsliga förfaranden, eftersom avvikande regler gäller i stället för ramlagen. Skälen för utredningens bedömning Enligt artikel 18 får medlemsstaterna föreskriva att de rättigheter som avses i artiklarna 13, 14 och 16 ska utövas i enlighet med med- lemsstaternas nationella rätt, om personuppgifterna ingår i ett domstolsbeslut eller ett rättsligt protokoll eller ärende som be- handlas i samband med brottsutredningar och straffrättsliga förfa- randen.