prop · H503232 · 2018-04-19 00:00:00 — Informa- tionen får begränsas endast i den utsträckning och så länge som begräns- ningen är nödvändig och proportionerlig. Vid bedömningen ska hänsyn tas till den berörda personens grundläggande rättigheter och berättigade intressen. Bestämmelser som begränsar rätten till information är nödvändiga för att de behöriga myndigheterna ska kunna utföra sina uppdrag på ett effektivt sätt. Det är framför allt regleringen i offentlighets- och sekre- tesslagen som tillgodoser det behovet. Även den relativt begränsade information som ska lämnas till den registrerade vid en personuppgiftsin- cident skulle t.ex. kunna skada en förundersökning i ett initialt skede eller avslöja att uppgifter om personen finns i ett sekretessreglerat regis- ter. I ramlagen bör det därför tas in en regel som klargör att sekretess och tystnadsplikt har företräde framför rätten till information vid personupp- giftsincidenter. Enligt artikel 31.4 ska tillsynsmyndigheten ha möjlighet att förelägga den personuppgiftsansvarige att informera den registrerade, om det inte har gjorts. Det skulle kunna bli aktuellt om tillsynsmyndigheten gör en annan bedömning av behovet av att underrätta de registrerade. Den skyldighe- ten behöver inte regleras särskilt, eftersom den ryms i förslaget om till- synsmyndighetens korrigerande befogenheter (se avsnitt 11.7.6). 2017/18:232 9.4.4 Regeringens bedömning: Den personuppgiftsansvariges skyldighet att dokumentera personuppgiftsincidenter kan regleras i förordning. Även skyldigheten att i vissa fall underrätta behöriga myndigheter i andra medlemsstater kan regleras i förordning. Utredningens förslag överensstämmer med regeringens bedömning. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens bedömning Enligt artikel 30.5 ska den personuppgiftsansvarige dokumentera alla personuppgiftsincidenter som avses i artikel 30.1, inbegripet omständig- heterna rörande incidenten, dess effekter och de korrigerande åtgärder Dokumentationsskyldigheten bör regleras i förordning. Eftersom dokumentationsskyldigheten är knuten till artikel 30.1 är det oklart om det endast är sådana incidenter som ska anmälas till tillsyns- myndigheten som ska dokumenteras eller om tanken är att även sådana mindre allvarliga incidenter som inte behöver anmälas ska dokumenteras. I motsvarande bestämmelse i dataskyddsförordningen, artikel 33.5, anges att den personuppgiftsansvarige ska dokumentera alla personuppgiftsin- Regeringen instämmer i utredningens bedömning att en dokumenta- tionsskyldighet endast för sådana personuppgiftsincidenter som anmäls till tillsynsmyndigheten skulle vara av begränsat värde, eftersom doku- mentation om dem ska finnas i anmälan. I direktivet anges att doku- mentationen ska göra det möjligt för tillsynsmyndigheten att kontrollera efterlevnaden av artikeln. För att det ska vara möjligt bör därför alla Om personuppgiftsincidenten rör personuppgifter som kommer från eller har lämnats till en personuppgiftsansvarig i en annan medlemsstat, ska samma information som lämnas till tillsynsmyndigheten utan onödigt dröjsmål lämnas till den som lämnade eller tog emot uppgifterna i den Det framgår av artikel 30.6. En bestämmelse om underrättelseskyldighet bör tas in i förordning. Skyldigheten bör korrespondera med skyldigheten att göra en anmälan Det innebär att om någon anmälan inte görs dit, antingen på grund av att incidenten medfört så låg risk att anmälan inte krävs eller på grund av att incidenten rör nationell säkerhet, gäller inte Utgångspunkten är att en uppgift för vilken sekretess gäller enligt offentlighets- och sekretesslagen inte får röjas för en utländsk myndighet eller en mellanfolklig organisation. I 8 kap. 3 § 1 offentlighets- och sek- retesslagen görs dock undantag från huvudregeln om uppgiftslämnandet regleras särskilt i lag eller förordning. Eftersom det föreslås en bestäm- melse om att behöriga myndigheter i andra medlemsstater ska underrättas i vissa fall, kommer sekretess inte att hindra att informationen lämnas. Ett personuppgiftsbiträde har enligt direktivet ingen skyldighet att an- Prop. 2017/18:232 mäla personuppgiftsincidenter till tillsynsmyndigheten eller att underrätta registrerade om incidenter. Eftersom den personuppgiftsansvarige ska anmäla personuppgiftsincidenter till tillsynsmyndigheten behöver den personuppgiftsansvarige även få kännedom om incidenter som inträffat hos personuppgiftsbiträdet. Det bör därför införas en skyldighet för per- sonuppgiftsbiträden att underrätta den personuppgiftsansvarige om sådana incidenter (se avsnitt 9.6.5). Regeringens förslag: Dataskyddsombud ska i ramlagen definieras som den som utses av den personuppgiftsansvarige för att självstän- digt kontrollera att personuppgifter behandlas författningsenligt och på ett korrekt sätt enligt vad som närmare anges i lagen. Utredningens förslag överensstämmer delvis med regeringens. Utred- ningen föreslår att endast fysiska personer ska kunna utses till data- skyddsombud. Remissinstanserna: Datainspektionen anser att definitionen av data- skyddsombud i ramlagen bör inkludera juridiska personer. Skälen för regeringens förslag: I direktivet talas det på flera ställen om dataskyddsombud, men det finns inte någon definition av den termen. I 3 § personuppgiftslagen definieras personuppgiftsombud, som motsva- rar det som i direktivet kallas dataskyddsombud. Där anges att ett per- sonuppgiftsombud är den fysiska person som, efter förordnande av den personuppgiftsansvarige, självständigt ska se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Personuppgiftsombud är visserligen ett inarbetat begrepp men data- skyddsombud är den term som används både i direktivet och i data- skyddsförordningen. Den termen bör, som utredningen föreslår, använ- das även i ramlagen. Dataskyddsombud bör definieras i ramlagen. Definitionen av person- uppgiftsombud i personuppgiftslagen kan då tjäna som förebild. För att terminologin i ramlagen ska bli enhetlig bör uttrycket författningsenlig användas. Datainspektionen anser, med hänvisning till artikel 29-grup- pens vägledning om dataskyddsombud, att även juridiska personer bör inkluderas i definitionen. Regeringen håller med Datainspektionen om det. Dataskyddsombud bör därför definieras som den som utses av den personuppgiftsansvarige för att självständigt kontrollera att personupp- gifter behandlas författningsenligt och på ett korrekt sätt enligt vad som närmare anges i ramlagen. 2017/18:232 9.5.2 Regeringens förslag: Den personuppgiftsansvarige ska utse ett eller flera dataskyddsombud och anmäla till tillsynsmyndigheten när data- skyddsombud utses och entledigas. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen framhåller att om en person- uppgiftsansvarig utser flera dataskyddsombud måste det vara tydligt för den registrerade hur denne ska kunna utöva sina rättigheter. anser vidare att de krav på dataskyddsombudets kvalifikationer som följer av artikel 32.2. i direktivet bör anges i ramlagen eller förordningen. Justitiekanslern påpekar att det är något oklart hur brottsdatalagens och dataskyddsförordningens regler om dataskyddsombud förhåller sig till varandra och anför att frågan kan behöva belysas närmare. lern tolkar reglerna som att en myndighet som tillämpar båda regelverken ska utse och anmäla dataskyddsombud dels enligt brottsdatalagen, dels med hänsyn till intresset av dataskyddsombudens oberoende ställning kan vara lämpligt att dessa normalt anlitas externt. Skälen för regeringens förslag Enligt artikel 32 ska den personuppgiftsansvarige utnämna ett data- skyddsombud, offentliggöra ombudets kontaktuppgifter och meddela tillsynsmyndigheten vem som har utsetts och hans eller hennes kontakt- Domstolars och andra oberoende rättsliga myndigheters dömande verksamhet får undantas från skyldigheten att utnämna data- Dataskyddsombud ska utnämnas på grundval av sina yrkesmässiga kvalifikationer, sin sakkunskap om lagstiftning och praxis rörande data- skydd och sin förmåga att fullgöra de uppgifter som åläggs dataskydds- Ett enda dataskyddsombud får utnämnas för flera behöriga myn- digheter med hänsyn tagen till organisationsstruktur och storlek. Alla personuppgiftsansvariga ska utse dataskyddsombud Eftersom direktivet föreskriver en skyldighet för personuppgiftsansvariga att utnämna dataskyddsombud bör en bestämmelse om det tas in i ram- I dataskyddsförordningen finns inte någon allmän skyldighet för per- sonuppgiftsansvariga att utse dataskyddsombud. artikel 37.1 en sådan skyldighet för myndigheter och andra offentliga Dataskyddsombud ska också utses av personuppgiftsansvariga eller personuppgiftsbiträden vilkas kärnverksamhet består av behandling som kräver regelbunden och systematisk övervakning av de registrerade i Detsamma gäller om kärnverksamheten består av be- handling i stor omfattning av känsliga personuppgifter och personuppgif- ter som rör fällande domar i brottmål och överträdelser. Det föreslås nu att endast behöriga myndigheter ska kunna vara per- Som framgår av avsnitt 6.4.4 kan en behörig myn- dighet vara antingen en myndighet som har de i ramlagen angivna upp- Prop. 2017/18:232 gifterna eller en annan aktör som utövar myndighet för något av dessa Myndigheter som bedriver verksamhet inom ramlagens tillämp- ningsområde bör vara skyldiga att utse dataskyddsombud. Frågan är om även andra aktörer än myndigheter bör vara skyldiga att utse dataskydds- ombud. I direktivet görs ingen skillnad mellan myndigheter och andra organ när det gäller att utse dataskyddsombud. Det talar för att alla personupp- giftsansvariga ska utse dataskyddsombud. Aktörer som bedriver verk- samhet inom ramlagens tillämpningsområde, oavsett om det rör sig om en myndighet eller ett privat organ, behandlar ofta integritetskänsliga personuppgifter för relativt känsliga ändamål och det är av stor vikt att den interna kontrollen i sådana verksamheter fungerar tillfredsställande. Om en privat aktör inte behöver utse ett dataskyddsombud enligt förord- ningen kan det ifrågasättas om det behövs ett ombud enbart för ett be- gränsat uppdrag inom ramlagens tillämpningsområde. Behandlingen enligt ramlagen är emellertid av sådan art att det bör finnas ett data- skyddsombud som övervakar personuppgiftsbehandlingen. Regeringen anser därför i likhet med utredningen att alla personuppgiftsansvariga bör vara skyldiga att utse ett eller flera dataskyddsombud. Bestämmelserna om dataskyddsombud i dataskyddsförordningen res- pektive brottsdatalagen bör, i enlighet med Justitiekanslerns tolkning, uppfattas som att en myndighet som tillämpar båda regelverken är skyl- dig att utse och anmäla dataskyddsombud enligt såväl förordningen som lagen. Det finns ingenting som hindrar att samma ombud utses för båda regelverken. Ett eller flera dataskyddsombud ska utses I artikel 32.1 anges att den personuppgiftsansvarige ska utse ett data- skyddsombud. Bestämmelsen bör inte tolkas så att endast ett ombud får utses. I större myndighetsorganisationer kan det vara svårt för en enda person att ensam utföra de uppgifter som ett dataskyddsombud ska ha . Flera dataskyddsombud bör därmed kunna utses för en behö- rig myndighet. Man kan tänka sig att det finns behöriga myndigheter som bedriver lik- artad verksamhet i nära anslutning till varandra och att det av den anled- ningen skulle kunna vara lämpligt att utse ett gemensamt ombud. Så skulle exempelvis kunna vara fallet med vissa domstolar. När myndig- heter samarbetar i informationssystem som är gemensamma för flera myndigheter kan det också finnas behov av ett dataskyddsombud som kan se till helheten och eventuellt hjälpa enskilda registrerade i förhål- lande till samtliga inblandade myndigheter. I skäl 63 nämns som exempel att flera personuppgiftsansvariga gemensamt kan utse ett dataskyddsom- bud t.ex. vid gemensamma resurser i centralenheter. Mot den bakgrunden är det tydligt att det bör vara möjligt att utnämna samma dataskyddsom- bud för flera behöriga myndigheter. Detta behöver dock inte författnings- regleras. Vilka kvalifikationer och vilken kunskap den som utses till dataskydds- ombud bör ha varierar naturligtvis. Enligt artikel 32.2 ska dataskyddsom- budet utnämnas på grundval av sina yrkesmässiga kvalifikationer och, i synnerhet, sin sakkunskap om lagstiftning och praxis i fråga om data- skydd samt förmåga att fullgöra de uppgifter som avses i artikel 34. Datainspektionen anser att kraven på dataskyddsombudets kvalifikatio- ner bör anges i ramlagen eller i förordning. Enligt regeringens bedöm- ning kan sådana krav anges i förordning. Enligt skäl 63 bör den nödvändiga nivån på sakkunskap fastställas med utgångspunkt i den personuppgiftsbehandling som utförs och det skydd som krävs för de personuppgifter som behandlas. Det kan således krävas mer av ett dataskyddsombud i en stor organisation som behandlar många känsliga personuppgifter och för olika ändamål än av ett ombud i en mindre organisation där en begränsad mängd uppgifter behandlas. Det ligger i varje personuppgiftsansvarigs intresse att dataskyddsombudet har tillräcklig kunskap, erfarenhet och förmåga att utföra sina uppgifter. anför vore det en fördel med hänsyn till intresset av oberoende dataskyddsombud om ombuden kunde rekryteras externt. Enligt skäl 63 kan dock dataskyddsombudet vara en av den personuppgiftsansvariges medarbetare som fått särskild utbildning beträffande lagstiftning och praxis i fråga om dataskydd. Det är alltså möjligt att anlita dataskyddsombud såväl inom som utanför den egna organisationen. Uppgiften att vara dataskyddsombud kan utföras på del- tid eller heltid. Den personuppgiftsansvarige bör anmäla till tillsynsmyndigheten vem som har utsetts till dataskyddsombud och när ombudet entledigas. Det är viktigt att tillsynsmyndigheten får information om det, eftersom ombu- den bl.a. ska ha till uppgift att samarbeta med tillsynsmyndigheten och fungera som kontaktpunkt för den i vissa fall (se avsnitt 9.5.3). I avsnitt 10.2.6 behandlas den personuppgiftsansvariges skyldighet att göra information om dataskyddsombudets kontaktuppgifter tillgänglig. Regeringens förslag: Dataskyddsombud ska ha vissa i ramlagen an- givna arbetsuppgifter. Regeringens bedömning: Skyldigheten att underlätta dataskydds- ombudens verksamhet kan regleras i förordning. Utredningens förslag överensstämmer i huvudsak med regeringens förslag och bedömning. Enligt utredningens förslag ska dataskyddsom- bud vara skyldiga att anmäla till tillsynsmyndigheten om personuppgifts- ansvariga bryter mot bestämmelser för behandling av personuppgifter och rättelse inte vidtas. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag och bedömning I artikel 34 anges vilka arbetsuppgifter som ett dataskyddsombud ska ha. Dataskyddsombud ska informera och ge råd till den personuppgiftsan- svarige och de anställda som utför personuppgiftsbehandling om deras skyldigheter enligt direktivet och annan unionsrätt eller medlemsstater- nas bestämmelser om dataskydd. Ombuden ska också övervaka efterlev- naden av dessa regler och av den personuppgiftsansvariges strategier för skyddet av personuppgifter. I arbetsuppgifterna ingår vidare att på begä- ran ge råd beträffande konsekvensbedömningar och att övervaka genom- förandet av dem. Dataskyddsombud ska samarbeta med tillsynsmyndig- heten och fungera som kontaktpunkt för den i frågor som rör behandling av personuppgifter, särskilt när det gäller förhandssamråd enligt arti- kel 28. Ombuden ska, om det är lämpligt, samråda med tillsynsmyndig- heten även i andra frågor. Enligt artikel 33.1 ska den personuppgiftsansvarige säkerställa att data- skyddsombudet på ett korrekt sätt och deltar i alla frågor som rör skyddet av personuppgifter. Den personuppgiftsansvarige ska enligt artikel 33.2 stödja dataskyddsombudet i utförandet av de arbetsuppgifter som anges i artikel 34. Det ska göras genom att den personuppgiftsansva- rige tillhandahåller de resurser som krävs för att ombudet ska kunna fullgöra uppgifterna och ger ombudet tillgång till personuppgifter och it- system. Den personuppgiftsansvarige ska också se till att dataskyddsom- budets kunskaper upprätthålls. I skäl 63 framhålls att dataskyddsombud bör kunna utföra sina uppdrag och uppgifter på ett oberoende sätt. Enligt 38–40 §§ personuppgiftslagen ska personuppgiftsombud självstän- digt se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed och påpeka eventu- ella brister. Har personuppgiftsombudet anledning att misstänka att den personuppgiftsansvarige bryter mot de bestämmelser som gäller för be- handlingen av personuppgifter, och vidtas inte rättelse efter påpekande, ska ombudet anmäla det till tillsynsmyndigheten. Personuppgiftsombud ska även i övrigt samråda med tillsynsmyndigheten. Personuppgiftsom- buden ska också föra förteckning över de behandlingar som den person- uppgiftsansvarige utför och som skulle ha omfattats av anmälnings- skyldighet om inte ombudet hade funnits. Personuppgiftsombud ska dessutom hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. Ombudens arbetsuppgifter enligt direktivet Dataskyddsombudens roll påminner i stora delar om personuppgiftsom- budens. Dataskyddsombuden har dock genom direktivet fått delvis nya arbetsuppgifter och en något förändrad roll. Flertalet av de arbetsuppgif- ter som ska anförtros dataskyddsombud har t.ex. karaktären av intern rådgivning, vilket inte är fallet . Dataskyddsombuden har också fått ett tydligare uppdrag att bistå tillsynsmyndigheten. 2017/18:232 Det bör i ramlagen föreskrivas att dataskyddsombud självständigt ska kontrollera att de personuppgiftsansvariga behandlar personuppgifter för- fattningsenligt och på ett korrekt sätt och i övrigt fullgör de skyldigheter som åligger personuppgiftsansvariga. Kravet på självständighet infördes i personuppgiftslagen eftersom dataskyddsdirektiv anger att om- budet ”på ett oberoende sätt” ska kunna kontrollera den personuppgifts- ansvarige. I skäl 63 uttrycks samma sak. Självständighetskravet innebär att den personuppgiftsansvarige inte bör utse ett ombud som har en allt- för underordnad ställning i organisationen. För att ombuden ska vara oberoende på det sätt som direktivet förutsätter måste han eller hon också ha tillräckliga kvalifikationer och kunskaper för att kunna utföra sina arbetsuppgifter på ett självständigt sätt. I artikel 34 b anges att dataskyddsombudens kontroll ska omfatta ansvarstilldelning, information till och utbildning av personal som deltar i behandlingen och tillhörande granskning. Regeringen anser i likhet med utredningen att det inte är lämpligt att i detalj författningsreglera vad om- buden ska granska. Hur omfattande ombudens kontroll bör vara får som avgöras efter omständigheterna i det enskilda fallet. Uppräkningen i direktivet kan dock tjäna som vägledning. Ombuden bör också påpeka eventuella brister för de personuppgiftsansvariga så att de blir medvetna om dem och har möjlighet att vidta lämpliga åtgärder. Dataskyddsombud bör informera och ge råd till personuppgiftsansva- riga och de som behandlar personuppgifter under dennes ledning om deras skyldigheter enligt ramlagen och andra författningar som rör per- sonuppgiftsbehandling. Det handlar främst om att göra den personupp- giftsansvarige och medarbetarna medvetna om vad de i olika situationer är skyldiga att göra, t.ex. att informera registrerade, att ha säkerhetsruti- ner och att dokumentera personuppgiftsbehandlingen. Om den person- uppgiftsansvarige begär det ska ombudet ge råd vid en konsekvensbe- dömning och kontrollera att bedömningen genomförs på rätt sätt. Dataskyddsombud ska även samarbeta med och fungera som kontakt- punkt för tillsynsmyndigheten i frågor som rör behandling av personupp- gifter. Det gäller särskilt vid sådant förhandssamråd som avses i arti- kel 28 (se avsnitt 9.2.5). Samarbetet innebär också att ombuden, när det är lämpligt, ska samråda med tillsynsmyndigheten även i andra frågor som rör personuppgiftsbehandling. Dataskyddsombudens roll påminner om internrevisorers. För att ombu- den ska kunna utöva intern kontroll bör de inte ges arbetsuppgifter som kan komma i konflikt med kontrolluppgiften. Det kan t.ex. vara olämp- ligt att låta dataskyddsombud utbilda personalen eller ansvara för att den får annan information, eftersom det är åtgärder som omfattas av den interna granskningen. I större myndigheter torde det inte innebära några svårigheter att hålla isär dessa arbetsuppgifter. I mindre organisationer kan det dock vara svårare. Det är då viktigt att dataskyddsombudet trots sin dubbla roll kan utöva kontrollen på ett oberoende sätt. En lösning kan vara att anlita ett dataskyddsombud utanför den egna organisationen. Bör dataskyddsombud även ges andra arbetsuppgifter? Dagens personuppgiftsombud ska enligt 40 § personuppgiftslagen hjälpa registrerade att få rättelse när det finns anledning att misstänka att be- handlade personuppgifter är felaktiga eller ofullständiga. Det framgår inte av förarbetena vad hjälpen innebär och frågan är om dataskyddsom- bud bör ha den arbetsuppgiften. Personuppgiftsombud fungerar enligt uppgift främst som kontaktpunkt för registrerade i frågor om rättelse och är normalt inte den som i prakti- ken rättar personuppgifter. Personuppgiftsombud verkar emellertid också användas som kontaktpunkt för registrerade i andra frågor som rör be- handling av personuppgifter. I förarbetena till polisdatalagen påtalas vikten av att registrerade enkelt kan vända sig till rätt person hos myn- digheten bl.a. i frågor om information om behandling och om rättelse av felaktiga uppgifter (prop. 2009/10:85 s. 93). Liknande uttalanden finns också i förarbetena till andra registerförfattningar (se t.ex. prop. 2014/15:148 s. 91). Det förefaller således finnas behov av att ombudet hjälper registrerade även med andra frågor. Det är naturligt att dataskyddsombuden fungerar som kontaktpunkt för enskilda i frågor som rör behandling av personuppgifter på samma sätt som personuppgiftsombuden. Den personuppgiftsansvarige ska också en- ligt artikel 13.1 självmant göra dataskyddsombudens kontaktuppgifter tillgängliga för registrerade. Det talar för att dataskyddsombuden bör ha samma roll i förhållande till enskilda som personuppgiftsombud har . Regeringen anser dock inte att det bör författningsregleras vad dataskyddsombud ska göra i egenskap av kontaktpunkt för enskilda. Enligt personuppgiftslagen ska ett personuppgiftsombud anmäla till tillsynsmyndigheten om han eller hon misstänker att den personuppgifts- ansvarige bryter mot gällande bestämmelser och inte vidtar rättelse. Någon sådan skyldighet föreskrivs inte i direktivet. Som utredningen påpekar är det viktigt att dataskyddsombud uppmärksammar tillsyns- myndigheten på eventuella problem och brister, särskilt om den person- uppgiftsansvarige inte rättar sig efter ombudets påpekanden. Till skillnad från utredningen anser regeringen dock inte att dataskyddsombuden bör ha en sådan författningsreglerad skyldighet att anmäla eventuella över- trädelser till tillsynsmyndigheten som personuppgiftsombuden har . Någon motsvarande anmälningsskyldighet gäller inte på dataskyddsför- ordningens område och enligt regeringen är det inte motiverat att införa en sådan skyldighet endast inom ramlagens tillämpningsområde. Dataskyddsombudens verksamhet ska underlättas För att dataskyddsombuden ska kunna utföra sina arbetsuppgifter krävs det att de personuppgiftsansvariga gör det möjligt och tillhandahåller de resurser som ombuden behöver. Den personuppgiftsansvarige ska t.ex. göra ombudet delaktig i frågor och beslut som rör behandling av person- uppgifter. Ombuden bör också få tillgång till all dokumentation gällande personuppgiftsbehandlingen och, i den utsträckning det behövs, tillgång till de personuppgifter som behandlas.