prop · H503232 · 2018-04-19 00:00:00 — Att tillgången till personuppgifter i så stor utsträckning som möjligt fak- tiskt begränsas till vad var och en behöver för att utföra sitt arbete är viktigt för att skapa ett tillfredsställande internt skydd för personuppgifter vid myndigheters informationshantering. Mot den bakgrunden finns det ett generellt behov av att begränsa till- gången till personuppgifter. En bestämmelse om detta bör därför tas in i ramlagen. Den personuppgiftsansvarige ska alltid vara skyldig att pröva anställdas och uppdragstagares behov av tillgång till personuppgifter uti- från vad arbetsuppgifterna kräver och begränsa tillgången i enlighet med det. Bestämmelsen bör gälla personuppgifter i både den behöriga myn- dighetens egna system och system som myndigheten får tillgång till genom direktåtkomst eller andra former av informationsutbyte. Eftersom bestämmelsen bör vara generell kan det finnas behov av när- mare riktlinjer för hur tillgången till personuppgifter bör avgränsas för de enskilda tjänstemännen. Det kan regleras i myndigheternas registerför- fattningar eller i föreskrifter på myndighetsnivå. Det kan också regleras i interna styrdokument hos den behöriga myndigheten. Regeringens förslag: Om en ny typ av behandling, eller betydande förändringar av redan pågående behandling, kan antas medföra sär- skild risk för intrång i den registrerades personliga integritet, ska den personuppgiftsansvarige innan behandlingen påbörjas eller föränd- ringen genomförs bedöma konsekvenserna för skyddet av personupp- gifter. Regeringens bedömning: Vad en konsekvensbedömning ska inne- hålla och kraven i övrigt på bedömningen kan regleras i förordning. Utredningens förslag överensstämmer med regeringens förslag och bedömning. Remissinstanserna yttrar sig inte särskilt i dessa delar. Skälen för regeringens förslag och bedömning: I artikel 27.1 i direk- tivet föreskrivs att den personuppgiftsansvarige i vissa fall ska göra en bedömning av konsekvenserna för skyddet av personuppgifter när det 2017/18:232 gäller planerad personuppgiftsbehandling. En konsekvensbedömning ska göras om en typ av behandling, särskilt med användning av ny teknik och med beaktande av behandlingens art, omfattning, sammanhang och ända- mål, sannolikt leder till hög risk för fysiska personers rättigheter och friheter. Enligt artikel 27.2 ska en konsekvensbedömning innehålla en allmän beskrivning av den planerade behandlingen, en bedömning av riskerna för de registrerades rättigheter och friheter och uppgift om dels vilka åtgärder som planeras för att hantera dessa risker, dels skyddsåtgär- der, säkerhetsåtgärder och rutiner för att säkerställa skyddet av person- uppgifter och för att visa att direktivet efterlevs. Det behövs en bestämmelse i ramlagen som reglerar personuppgiftsan- svarigas skyldighet att göra konsekvensbedömningar. En konsekvensbe- dömning bör göras om det kan antas att en ny typ av behandling kommer att medföra särskild risk för intrång i registrerades personliga integritet. En konsekvensbedömning bör också göras om betydande förändringar av redan pågående behandlingar förväntas leda till sådan risk. Det framgår av artikel 27.1 vilka omständigheter som särskilt ska beaktas vid bedöm- ningen av risken. I skäl 58 anges att konsekvensbedömningarna bör omfatta relevanta system och processer för behandlingen men inte enskilda fall. Det tydlig- görs i artikeln genom att det ska röra sig om en typ av behandling. Samma uttryck bör, som utredningen föreslår, användas i ramlagen. Konsekvensbedömningen ska innehålla viss i direktivet angiven infor- mation. Det följer indirekt av det kravet att konsekvensbedömningen ska dokumenteras, exempelvis i en skriftlig rapport. Det bör regleras vilken information konsekvensbedömningen ska innehålla och att den ska doku- menteras, men detta kan göras i förordning. Det finns inte något som hindrar att personuppgiftsansvariga gör kon- sekvensbedömningar även i andra fall, t.ex. om en typ av behandling förväntas leda till risk för intrång i registrerades personliga integritet men risken inte är så påtaglig att en konsekvensbedömning krävs enligt lagen. Sådana konsekvensbedömningar kan vara nödvändiga vid bedömningar av bl.a. vilka säkerhets- och skyddsåtgärder som krävs. Regeringens förslag: Om konsekvensbedömningen visar att det finns särskild risk för intrång i registrerades personliga integritet eller om typen av behandling innebär särskild risk för intrång, ska den person- uppgiftsansvarige samråda med tillsynsmyndigheten innan behandlingen påbörjas eller betydande förändringar genomförs (för- handssamråd). Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen anser, med hänvisning till utta- landen på dataskyddsförordningens område från den s.k. artikel 29-grup- pen, att den personuppgiftsansvarige inte bör vara skyldig att samråda med tillsynsmyndigheten om åtgärder har vidtagits för att minska risken för intrång i den registrerades personliga integritet i tillräcklig omfatt- Skälen för regeringens förslag I artikel 28.1 föreskrivs att den personuppgiftsansvarige eller personupp- giftsbiträdet under vissa förutsättningar ska samråda med tillsynsmyndig- heten inför behandling av personuppgifter som kommer att ingå i ett nytt register, s.k. förhandssamråd. Sådant samråd ska bl.a. äga rum om en konsekvensbedömning visar att behandlingen skulle leda till hög risk för de registrerades rättigheter och friheter om den personuppgiftsansvarige inte vidtar åtgärder för att minska risken. får enligt artikel 28.3 upprätta en förteckning över vilka typer av behandlingar som kräver förhandssamråd. Den per- sonuppgiftsansvarige ska enligt artikel 28.4 lämna in konsekvensbedöm- ningen till tillsynsmyndigheten tillsammans med eventuell övrig infor- mation som myndigheten behöver för att kunna bedöma behandlingen. I artikel 28.5 regleras förfarandet hos tillsynsmyndigheten. Myndig- heten ska, om den anser att den planerade behandlingen inte är förenlig med direktivet, lämna skriftliga råd till den personuppgifts- ansvarige eller personuppgiftsbiträdet. får då ut- nyttja alla de befogenheter som den har. Enligt artikel 20 dataskyddsdirektiv ska medlemsstaterna be- stämma vilka behandlingar som kan innebära särskilda risker för de regi- strerades fri- och rättigheter och säkerställa att dessa kontrolleras innan de påbörjas. Sådana förhandskontroller ska utföras av tillsynsmyndighe- ten efter anmälan från den personuppgiftsansvarige. Artikeln har genom- förts i 41 § personuppgiftslagen. Där föreskrivs att regeringen får med- dela föreskrifter om att sådana behandlingar som innebär särskilda risker för intrång i den personliga integriteten ska anmälas till tillsynsmyndig- heten för förhandskontroll. I 2 § polisdataförordningen (2010:1155) regleras när och Säkerhetspolisen ska samråda med Datainspektionen. Sådant samråd ska äga rum när myndigheterna planerar nya it-system av större omfatt- ning eller nya it-system som kan innebära särskilda risker för intrång i den personliga integriteten och när det genomförs betydande föränd- ringar i sådana system. Samråd ska äga rum innan beslut i frå- gan fattas. Paragrafen föreskriver även samråd med i vissa frågor. En likadan bestämmelse om samråd med Datainspektionen finns i 2 § kustbevakningsdataförord- ningen (2012:146). En generell samrådsskyldighet för alla personuppgiftsansvariga Enligt direktivet ska den personuppgiftsansvarige vara skyldig att sam- råda med tillsynsmyndigheten vid planering av behandling av person- uppgifter i ett nytt register på ett sätt som kan leda till hög risk för intrång i registrerades personliga integritet. Samråd ska äga rum om en konse- kvensbedömning visar att behandlingen kommer att medföra sådan risk om åtgärder inte vidtas för att minska risken eller om typen av behand- 2017/18:232 ling i sig kan anses innebära sådan risk. Vid bedömningen ska särskilt användandet av ny teknik, nya rutiner eller nya förfaranden beaktas. Samrådsskyldigheten enligt artikel 28.1 ska gälla för alla personupp- giftsansvariga. Det bör därför i ramlagen tas in en bestämmelse som riktar sig till de personuppgiftsansvariga och som ålägger dem skyldighet att samråda med tillsynsmyndigheten i vissa situationer. Personuppgifts- biträdens skyldigheter vid förhandssamråd behandlas i avsnitt 9.6.5. I direktivet krävs det bara konsekvensbedömning och samråd inför helt nya former av behandling. Det måste dock anses vara lika viktigt med samråd inför betydande förändringar av redan pågående behandlingar som kan antas medföra särskild risk för intrång i den personliga integrite- ten. Skyldigheten att upprätta konsekvensbedömningar bör därför även omfatta den situationen (se avsnitt 9.2.4). Motsvarande bör gälla för samrådsskyldigheten. För att underlätta för den personuppgiftsansvarige och för att säkerställa att förhandssamrådet träffar rätt situationer bör tillsynsmyndigheten genom föreskrifter kunna ange vilka typer av be- handlingar som ska omfattas av förhandssamråd. Samråd blir främst aktuellt när den personuppgiftsansvarige har gjort en konsekvensbedömning som visar att behandlingen innebär en särskild risk för intrång i registrerades personliga integritet. Vid samrådet bör den personuppgiftsansvarige redovisa vilka åtgärder som planeras för att minska risken. Datainspektionen anser att samråd inte ska behöva hållas när den personuppgiftsansvarige har vidtagit tillräckliga åtgärder för att minska risken för intrång. Som utredningen påpekar kan det vara svårt för den personuppgiftsansvarige att på egen hand avgöra vilka åtgärder som är tillräckliga. Regeringen utesluter dock inte att vidtagna åtgärder från den personuppgiftsansvariges sida kan befria från samrådsskyldig- heten. I vilken utsträckning samråd inte bör krävas för att den person- uppgiftsansvarige har vidtagit åtgärder som minskat risken för intrång till en godtagbar nivå, bör överlämnas åt rättstillämpningen att avgöra. Samråd aktualiseras också om typen av behandling, särskilt med beak- tande av ny teknik, nya rutiner eller nya förfaranden, i sig innebär särskild risk för intrång i registrerades personliga integritet och en konse- kvensbedömning med anledning av det har gjorts. I sådana fall är resultatet av konsekvensbedömningen inte avgörande för om samråd med tillsynsmyndigheten ska äga rum. Det är viktigt att samrådet äger rum så tidigt i utvecklingsprocessen som möjligt. Då kan frågor om integritetsskydd beaktas på ett bättre sätt. bör förhandssamrådet inte äga rum så tidigt att det inte finns något konkret förslag på teknisk lösning för tillsynsmyndigheten att ta ställning till. Samrådet bör äga rum innan behandlingen påbör- jas eller större förändringar av redan pågående behandlingar genomförs. Vid förhandssamråd bör den personuppgiftsansvarige lämna in konse- kvensbedömningen och eventuell annan information som tillsynsmyndig- heten kan behöva för sin prövning. Enligt artikel 28.5 ska tillsynsmyndigheten inom ramen för förhandssam- rådet använda sina befogenheter, om den anser att den planerade behand- lingen inte är författningsenlig. bör i dessa situatio- ner ha möjlighet att använda sina förebyggande befogenheter gentemot Prop. 2017/18:232 den personuppgiftsansvarige. Myndigheten ska inom ramen för förhands- samrådet ge den personuppgiftsansvarige skriftliga råd. Myndigheten har också möjlighet att utfärda varning för att behandla personuppgifterna på det planerade sättet (se avsnitt 11.7.5). Om den personuppgiftsansvarige ignorerar råden och varningen och påbörjar behandlingen kan tillsyns- myndigheten vidta andra åtgärder, t.ex. utfärda ett föreläggande eller besluta om sanktionsavgift (se avsnitt 11.7.6 och 12.5.2). Korrigerande åtgärder ska dock inte vidtas inom ramen för förhandssamrådet utan är i stället ett led i tillsynsmyndighetens allmänna tillsynsuppgifter enligt ramlagen. Direktivet innehåller vissa detaljbestämmelser om tillsynsmyndighe- tens roll vid förhandssamråd. De skriftiga råden till den personuppgifts- ansvarige ska lämnas från det att begäran om samråd mottogs. Tiden får förlängas med en månad om den planerade behand- lingen är komplicerad. I så fall ska tillsynsmyndigheten inom en månad från det att begäran om samråd mottogs informera den personuppgifts- ansvarige om förlängningen och om orsakerna till den. Detaljerna kring detta kan regleras i förordning. Regeringens förslag: Den personuppgiftsansvarige ska samarbeta med tillsynsmyndigheten när den utför sina uppgifter enligt ramlagen och föreskrifter som har meddelats i anslutning till lagen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna har inte något att invända mot förslaget. Skälen för regeringens förslag: Enligt artikel 26 ska den personupp- giftsansvarige på begäran samarbeta med tillsynsmyndigheten när den utför sina uppgifter. Personuppgiftsbiträden har samma skyldighet (se av- snitt 9.6.5). Det finns ingen uttrycklig regel om personuppgiftsan- svarigas samarbete med tillsynsmyndigheten. Direktivets krav på samarbete med tillsynsmyndigheten måste anses gå utöver det som ryms i den allmänna samverkansskyldigheten enligt för- valtningslagen. Regleringen av tillsynsmyndighetens undersökningsbefo- genheter täcker inte heller helt den samarbetsskyldighet som krävs enligt direktivet. Samarbetsskyldigheten innebär inte bara att den personupp- giftsansvarige ska ge tillsynsmyndigheten tillgång till det material och de resurser som den har rätt till. Bestämmelsen innebär även att den person- uppgiftsansvarige ska underlätta för tillsynsmyndigheten att utöva sina tillsynsbefogenheter på ett effektivt sätt. Som framgår av avsnitt 11.7.3 får tillsynsmyndigheten inte använda tvång mot den personuppgiftsansvarige för att kunna utöva sin tillsyn. Även mot den bakgrunden är det viktigt att den personuppgiftsansvarige ges en uttrycklig skyldighet att samarbeta med tillsynsmyndigheten. Det bör därför tas in en bestämmelse i ramlagen som slår fast att den person- uppgiftsansvarige är skyldig att samarbeta med tillsynsmyndigheten. Samarbetsskyldigheten aktualiseras när tillsynsmyndigheten utför sina uppgifter enligt ramlagen och de föreskrifter som utfärdas i anslutning 2017/18:232 till den. Den personuppgiftsansvarige ska alltså vara skyldig att samar- beta med tillsynsmyndigheten när den utövar allmän tillsyn över person- uppgiftsbehandling, handlägger klagomål från registrerade, på begäran kontrollerar om personuppgifter behandlas författningsenligt, vidtar åt- gärder för att bistå en tillsynsmyndighet i en annan medlemsstat och ger råd inom ramen för bl.a. förhandssamråd. Vad samarbetsskyldigheten mer konkret kommer att innebära för den personuppgiftsansvarige hör samman med vilka befogenheter som till- synsmyndigheten ges. Den frågan behandlas i avsnitt 11.7. Skyldighet att förteckna behandlingar Regeringens bedömning: Den personuppgiftsansvariges skyldighet att förteckna de kategorier av behandlingar som denne ansvarar för får regleras i förordning. Utredningens förslag överensstämmer med regeringens bedömning. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens bedömning Enligt artikel 24.1 ska personuppgiftsansvariga föra register över alla kategorier av verksamheter i samband med behandling som de ansvarar I artikeln anges i detalj vilka uppgifter som registret ska innehålla. artikel 24.2 föreskrivs motsvarande skyldighet för personuppgiftsbiträden (se avsnitt 9.6.4). Registren ska enligt artikel 24.3 upprättas skriftligen, vilket även inne- fattar elektronisk form, och på begäran göras tillgängliga för tillsynsmyn- Personuppgiftsansvariga har ingen skyldighet att föra register över de behandlingar som de ansvarar för. I stället är de enligt artikel 18.1 i dataskyddsdirektiv skyldiga att anmäla behandling av person- uppgifter som är helt eller delvis automatiserad till tillsynsmyndigheten. ska enligt artikel 21.2 föra ett register över de be- handlingar som har anmälts till myndigheten. Enligt artikel 18.2 behöver dock någon anmälan till tillsynsmyndigheten inte göras om den person- uppgiftsansvarige utser ett personuppgiftsombud, som bl.a. ska ha till uppgift att föra register över de behandlingar som utförs av den person- Artiklarna har genomförts i 36, 37 och 39 §§ person- uppgiftslagen och i 3–7 §§ personuppgiftsförordningen (1998:1191). Anmälningsskyldigheten regleras i 36 § första stycket personuppgifts- Av 7 § personuppgiftsförordningen framgår att Datainspektionen ska föra register över de behandlingar av personuppgifter som anmälts Myndigheterna i rättskedjan är dock inte anmälningsskyldiga enligt 36 § personuppgiftslagen. Enligt 3 § 3 personuppgiftsförordningen gäller undantag från anmälningsskyldigheten bl.a. för behandling av person- uppgifter som regleras genom särskilda föreskrifter i lag eller förordning. 2017/18:232 Myndigheternas registerförfattningar är sådana särskilda föreskrifter. Datainspektionen för således inget register över dessa behandlingar. För några av myndigheterna föreskrivs att ett personuppgiftsombud ska utses och, genom hänvisning till 39 § personuppgiftslagen, att ombudet ska föra en förteckning över de behandlingar som utförs (se exempelvis 2 kap. 2 § 9 och 5 § polisdatalagen och 2 kap. 2 § 9 och 4 § åklagardata- lagen). Detsamma gäller för domstolarna, men ombudets skyldighet att föra en förteckning över behandlingarna regleras i 11 § domstolsdata- lagen. I direktivet läggs uppgiften att föra register över de behandlingar som ut- förs på de personuppgiftsansvariga och, i tillämpliga fall, personuppgifts- biträdena (se avsnitt 9.6.4 om personuppgiftsbiträden). Av skäl 56 framgår att de personuppgiftsansvariga bör föra register för att visa att behandlingen sker i överensstämmelse med direktivet och att dessa register bör tjäna som grund för övervakningen av behandlingen. Ett av syftena med dokumentationen är alltså att underlätta tillsynsmyn- dighetens kontroll, men även att underlätta intern kontroll och gransk- ning av den personuppgiftsbehandling som utförs. Dokumentationen bör också kunna vara till hjälp när information ska lämnas till registrerade. Det behövs en bestämmelse som reglerar skyldigheten att dokumentera behandlingen men den kan tas in i förordning. Av artikel 24 framgår att personuppgiftsansvariga och personuppgifts- biträden ska föra register över de kategorier av behandling som de ansva- rar för. Vad som avses med kategorier av behandling framgår inte. Begreppet bör dock inte tolkas så att alla typer av behandlingar som före- kommer ska dokumenteras. En sådan tolkning skulle leda till en alltför omfattande dokumentationsskyldighet. En kategori av behandlingar kan i stället vara behandling av personuppgifter i ett specifikt register eller inom ramen för ett särskilt projekt eller behandling av personuppgifter för en typ av ändamål, t.ex. registrering av brottsanmälningar och handläggning av brottmål. Vad ska dokumenteras? I artikel 24.1 räknas det upp vilka uppgifter som ska anges i registret. Registret bör innehålla samtliga dessa uppgifter, vilket kan regleras i för- ordning. föreslås på begäran få upplysningar om och dokumentation av behandling av personuppgifter från den personupp- giftsansvarige (se avsnitt 11.7.3). Det register över behandlingar som den personuppgiftsansvarige ska föra utgör sådan dokumentation. Någon särskild bestämmelse om att registret ska göras tillgänglig för tillsyns- myndigheten behövs därför inte. 2017/18:232 9.2.8 Regeringens bedömning: Att den personuppgiftsansvarige ska ha interna rutiner för anmälan av överträdelser av bestämmelserna om be- handling av personuppgifter, får regleras i förordning. Utredningens förslag överensstämmer med regeringens bedömning. Remissinstanserna: anför att offentliga myn- digheter inte kan garantera fullständig anonymitet för enskilda som läm- nar in handlingar där den enskildes identitet går att utläsa. Skälen för regeringens bedömning: Enligt artikel 48 ska behöriga myndigheter inrätta effektiva mekanismer för att uppmuntra konfidentiell rapportering av överträdelser av bestämmelserna som genomför direkti- vet. Någon motsvarande reglering finns inte . Regeringen anser i likhet med utredningen att bestämmelsen får upp- fattas som ett krav på att behöriga myndigheter ska ha en särskild ord- ning för interna anmälningar av överträdelser av bestämmelser om per- sonuppgiftsbehandling. Detta kan regleras i förordning. Som utvecklas i avsnitt 9.5.3 ingår det i dataskyddsombudens arbets- uppgifter att övervaka efterlevnaden av tillämpliga dataskyddsbestäm- melser. I det ingår att genomföra de granskningar som behövs för myn- dighetens interna kontroll. Det är därför naturligt att låta dataskyddsom- buden ta emot interna anmälningar om överträdelser och avgöra om de bör bli föremål för kontroll. Dataskyddsombud har som regel tillgång till de flesta behandlingssystem och personuppgifter. Ombuden bör också ha den kunskap som krävs för att utreda en eventuell överträdelse och kunna bedöma vad en anmälan bör leda till. Det kan t.ex. vara en rekommenda- tion till den personuppgiftsansvarige att vidta åtgärder eller att data- skyddsombudet själv anmäler överträdelsen till tillsynsmyndigheten, om den negligeras av den personuppgiftsansvarige. Det kan inte uteslutas att anställda i vissa fall avhåller sig från att anmäla iakttagelser om överträdelser på grund av rädsla för repressalier från kollegor, chefer eller arbetsgivaren. Kravet på konfidentiell rappor- tering innebär enligt utredningens mening att den interna ordningen ska skydda anmälaren. Till skillnad från vad som kan vara fallet vid anmäl- ningar om allvarliga missförhållanden av annat slag i verksamheten, bör det underlag som krävs för utredningen av överträdelsen i princip finnas i behandlingssystemen. En anmälan torde därför kunna göras anonymt utan att det äventyrar möjligheterna att utreda frågan. Direktivet ställer inte upp några krav på hur anmälan ska göras. Ord- ningen kan därmed bestå av allt från en enkel brevlådefunktion till ett avancerat systemstöd. Enligt utredningens mening bör det över- lämnas till de behöriga myndigheterna att bestämma hur anmälan om överträdelser av bestämmelser om personuppgiftsbehandling bör göras. Det måste dock säkerställas att anmälan kan göras på ett sådant sätt att anmälarens identitet inte avslöjas. Eftersom det är fråga om interna an- mälningar och inte ingivande av handlingar som därmed blir allmänna handlingar bör det inte, som anför, vara omöjligt att garantera enskildas anonymitet. Regeringens förslag: Den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgif- ter som behandlas, särskilt mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada. Regeringens bedömning: Vilka omständigheter som ska beaktas för att uppnå en lämplig skyddsnivå kan regleras i förordning. Utredningens förslag överensstämmer med regeringens förslag och bedömning. Remissinstanserna: anför att det torde underlätta vid tillämpningen om skillnaden mellan vad som är skyddsåtgärder och vad som är säkerhetsåtgärder tydliggörs. Datainspektionen anser att de faktorer som anges i artikel 29.1 i direktivet bör komma till uttryck i lagen i stället för i förordning. Skälen för regeringens förslag och bedömning Enligt artikel 29.1 ska den personuppgiftsansvarige och personuppgifts- biträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, i synnerhet när det gäller känsliga personuppgifter. Åtgärderna ska vara lämpliga med beaktande av den senaste utvecklingen och genomförande- kostnader och med hänsyn till behandlingens art, omfattning, samman- hang och ändamål och riskerna för fysiska personers rättigheter och fri- heter.