prop · H503232 · 2018-04-19 00:00:00 — Lämpliga tekniska och organisatoriska åtgärder ska vidtas Artikel 4.1 i direktivet innehåller allmänna och grundläggande principer för behandling av personuppgifter. Av artikel 4.4 framgår att den person- uppgiftsansvarige ska ansvara för och kunna visa efterlevnaden av dessa grundläggande principer. Enligt artikel 19.1 är den personuppgiftsansva- rige skyldig att vidta lämpliga åtgärder för att säkerställa och kunna visa att behandlingen av personuppgifter utförs i enlighet med gällande rätt. Den artikeln tar sikte på de åtgärder som behövs för att bl.a. de grundläg- gande principerna om behandling av personuppgifter i artikel 4.1 ska kunna efterlevas. Artikel 19.1 bör genomföras, men det är inte möjligt att i ramlagen ange vilka tekniska och organisatoriska åtgärder som den personupp- 2017/18:232 giftsansvarige bör vidta. Det får avgöras i varje enskilt fall beroende på vilken verksamhet det rör sig om. Vilka omständigheter som den person- uppgiftsansvarige ska beakta vid beslut om åtgärder kan regleras i för- ordning. Vilka tekniska och organisatoriska åtgärder som kan krävas varierar också beroende på vilka personuppgifter som ska behandlas. Det kan vara lämpligt att regeringen eller den myndighet som regeringen bestämmer vid behov utfärdar närmare riktlinjer på området. Enligt artikel 19.1 ska den personuppgiftsansvarige inte bara säker- ställa att behandlingen utförs författningsenligt utan också kunna visa att så är fallet. Det bör innebära att den personuppgiftsansvarige bl.a. ska se till att behandlingar och vidtagna åtgärder dokumenteras och att det är tekniskt möjligt att spåra behandlingar genom loggning och att logg- ningen följs upp. Den personuppgiftsansvariges generella ansvar att vidta åtgärder bör tydliggöras i en särskild bestämmelse. Enligt artikel 19.2 ska den personuppgiftsansvarige, om det står i pro- portion till behandlingen, anta lämpliga strategier för dataskydd. I skäl 53 anges att det är interna strategier som avses. Eftersom både direktivet och dataskyddsförordningen använder termen strategier bör den användas i regleringen på nationell nivå. Direktivet ger ingen vägledning i fråga om vad som krävs för att skyl- digheten att anta strategier ska vara proportionerlig. Enligt utredningens mening bör i vart fall personuppgiftsansvariga under vars ansvar det dag- ligen behandlas en större mängd personuppgifter eller hanteras behand- lingssystem av större omfattning åläggas att anta interna strategier för skydd av personuppgifter. Det omfattar merparten av de behöriga myn- digheterna inom ramlagens tillämpningsområde. Om en myndighet endast i liten omfattning behandlar personuppgifter inom ramlagens till- lämpningsområde finns det inte samma behov av sådana strategier. Mot den bakgrunden anser regeringen att alla personuppgiftsansvariga bör vara skyldiga att anta interna strategier för dataskydd, om det inte är uppenbart obehövligt med hänsyn till verksamhetens begränsade omfatt- ning. En bestämmelse om det kan tas in i förordning. Begreppet inbyggt dataskydd innebär att integritetsfrågor ska påverka it- systemen från förstudie och kravställning via design och utveckling till användning och avveckling. Genom krav på att integritetsfrågor ska beaktas kan säkerheten i systemen höjas och författningsenlig och korrekt behandling underlättas. Artikel 20.1 bör mot den bakgrunden genomföras i ramlagen. På samma sätt som när det gäller artikel 19.1 är det inte möjligt att i ramlagen ange vilka tekniska och organisatoriska åtgärder som den per- sonuppgiftsansvarige bör vidta för att leva upp till principen om inbyggt dataskydd. Det får avgöras i varje enskilt fall beroende på vilken verk- samhet det rör sig om och vilka personuppgifter som ska behandlas. Det handlar främst om åtgärder för att minimera mängden personuppgifter, begränsa åtkomsten till uppgifterna och på olika sätt skydda dem. Vilka omständigheter som ska beaktas vid beslut om sådana åtgärder kan regle- ras i förordning. Begreppen inbyggt dataskydd och dataskydd som standard är svårtill- gängliga, vilket remissynpunkt belyser. Regeringen har dock svårt att se att begreppen skulle bli enklare att förhålla sig till med en annan begreppsbildning än den som utredningen har använt och som utgår från direktivets lydelse. Regeringen använder därför begrep- pen på samma sätt som utredningen. Dataskydd som standard kan, som utredningen angett, sägas innebära att arbetsflödena i ett system automatiskt ska styra användaren mot ett integritetssäkert arbetssätt och att grundinställningarna ska vara satta så att inte mer information än nödvändigt samlas in eller visas. Direktivet föreskriver att personuppgiftsansvariga ska vidta lämpliga åtgärder för att i standardfallet säkerställa att så sker. Ramlagen bör innehålla en be- stämmelse om detta. Regeringen instämmer i utredningens bedömning att skyldigheten bör gälla oavsett omständigheterna. Den personuppgiftsansvarige ska alltså säkerställa dataskydd som standard oavsett vilken behandling eller vilka personuppgifter det rör sig om och utan hänsyn till vad åtgärderna kostar. Dataskydd som standard bör i princip gälla i alla system där personupp- gifter behandlas, men det måste finnas visst utrymme för avsteg från huvudregeln i de fall där den personuppgiftsansvarige inte har rätt att införa sådana åtgärder. Som exempel kan nämnas standardprogram som Word och Outlook, där användaren inte råder över de tekniska lösning- arna. De behöriga myndigheterna måste dock kunna använda även så- dana system. Mot den bakgrunden instämmer regeringen i utredningens bedömning att kravet på dataskydd som standard endast bör gälla i automatiserade behandlingssystem. En sådan ordning kan, till skillnad från vad Datainspektionen har anfört, inte anses vara oförenlig med direktivet. Vad som avses med automatiserade behandlingssystem be- handlas i avsnitt 9.2.2. Även om kravet på dataskydd som standard endast gäller i automatise- rade behandlingssystem måste de behöriga myndigheterna säkerställa att även behandling i de standardprogram som används lever upp till de grundläggande kraven på behandling av personuppgifter. I artikel 20.2 anges att den personuppgiftsansvariges skyldighet gäller mängden insamlade uppgifter, behandlingens omfattning, lagringstiden och uppgifternas tillgänglighet. Regleringen avser alltså inte enbart till- gången till personuppgifter i sig, utan åtgärder ska även vidtas för att säkerställa att inte fler personuppgifter än nödvändigt behandlas, att upp- gifterna endast behandlas på ett sådant sätt och så länge som det är nöd- vändigt och uppgifterna inte görs tillgängliga för fler personer än vad som är nödvändigt. Datainspektionen anser att uppräkningen i arti- kel 20.2 bör tas in i ramlagen. Regeringen instämmer dock i utredningens bedömning en sådan uppräkning i lagen kan riskera att låsa myndighe- terna vid viss utformning av automatiserade behandlingssystem. Direkti- vets uppräkning bör därför inte föras över till lagen. 2017/18:232 9.2.2 Regeringens förslag: Den personuppgiftsansvarige ska säkerställa att det i automatiserade behandlingssystem förs loggar över personupp- giftsbehandling i den utsträckning som det är särskilt föreskrivet. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: anser att det med utredningens förslag är svårt för en personuppgiftsansvarig att veta när skyldigheten att t.ex. föra loggar är uppfylld och menar att detta är särskilt allvarligt med hänsyn till risken för att drabbas av sanktionsavgift. Säkerhetspoli- sen anför att kraven på loggning är nya och kostnadsdrivande och att det därför finns ett stort behov av en övergångsbestämmelse avseende be- stämmelserna om loggning. Datainspektionen avstyrker förslaget om att kravet på loggning ska begränsas till automatiserade behandlingssystem och anför att begränsningen riskerar att försämra skyddet för den enskil- des personliga integritet i förhållande till nuvarande regelverk. Datain- spektionen anser vidare att det bör författningsregleras hur loggarna får användas. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag Innehållet i direktivet och nuvarande reglering Artikel 25.1 föreskriver att loggar, dvs. dokumentation, ska föras över vissa typer av behandlingar i automatiserade behandlingssystem. Logg- ningen ska avse insamling, ändring, läsning, utlämning (inklusive överfö- ringar), sammanförande och radering. Loggarna över läsning och utläm- ning ska göra det möjligt att fastställa motivering, datum och tidpunkt för sådan behandling, vem som har läst eller lämnat ut personuppgifter och vilka som har fått tillgång till dem. Av artikel 25.2 framgår att loggarna bara bör användas för att kontrollera om behandlingen är tillåten, för att säkerställa personuppgifternas integritet och säkerhet, för egenkontroll och för straffrättsliga förfaranden. Här avses med att säkerställa person- uppgifternas integritet att de ska skyddas mot förvanskning eller föränd- ring. Loggarna ska, enligt artikel 25.3, på begäran göras tillgängliga för tillsynsmyndigheten. Bestämmelsen riktar sig även till personuppgiftsbi- träden. Som tidigare nämnts ställs krav på säkerhetsåtgärder i 31 § personupp- giftslagen. De anses även omfatta loggning och liknande åtgärder. Av Datainspektionens allmänna råd om säkerhet för personuppgifter framgår att det, beroende på känsligheten hos personuppgifterna, bör finnas en behandlingshistorik (logg) som sparas så att åtkomsten till upp- gifterna kan kontrolleras. Enligt råden bör en behandlingshistorik nor- malt vara så detaljerad att den kan användas för att utreda felaktig eller obehörig användning av personuppgifter. Historiken bör, beroende på hur känsliga personuppgifterna är, ange t.ex. läsning, ändring, utplåning eller kopiering av personuppgifter (Säkerhet för personuppgifter, Datain- spektionens allmänna råd, , s. 22). Bestämmelser om loggning kan även finnas i myndighetsföreskrifter. Loggning i automatiserade behandlingssystem Loggning är en säkerhetsåtgärd som innebär att behandlingshistorik spa- ras . Det är en teknisk funktion i systemet som fungerar automatiskt och som inte går att ändra eller påverka på annat sätt. Logg- ning fyller flera olika funktioner. Den ger den personuppgiftsansvarige information både om hur behandlingssystemen används och om externa och interna angrepp mot systemen. Loggning är således mycket viktig för det interna säkerhetsarbetet. Den ger också tillsynsmyndigheten nödvän- dig information för granskning i efterhand av hur personuppgifter har behandlats. Det bör finnas en bestämmelse i ramlagen som slår fast att det krävs loggning. I vilken utsträckning som loggning bör göras kan regleras i förordning. Direktivet föreskriver att loggar ska föras över behandlingar i automa- tiserade behandlingssystem men uttrycket definieras inte. Det används endast i artikel 25.1 som handlar om loggning och i artikel 29.2 som räknar upp olika säkerhetsåtgärder. I den sistnämnda artikeln används ut- trycket i samband med behörig åtkomst till automatiserade behandlings- system och loggning av aktivitet i sådana system. Att uttrycket ”auto- matiserade behandlingssystem” bara används i dessa sammanhang talar för att det är en viss typ av system som avses och således inte it-system generellt. Den tolkningen framstår också som mest rimlig med tanke på vilka krav som ställs på loggning. Ser man till syftet med loggningen framstår behovet av den som störst vid användning av verksamhets- specifika behandlingssystem. Loggar bör alltså föras i automatiserade behandlingssystem. Rege- ringen anser i likhet med utredningen att automatiserade behandlingssys- tem i detta sammanhang bör avse för verksamheten särskilt utformade eller anpassade behandlingssystem där personuppgifter behandlas mer eller mindre strukturerat, t.ex. verksamhetsstöd i form av dokument- och ärendehanteringssystem och olika typer av register och databaser. Där- emot bör standardprogram som Word, Outlook och Excel, av samma skäl som anges när det gäller dataskydd som standard, inte omfattas av de i direktivet preciserade kraven på loggning. Olika lagringsytor, som t.ex. usb-minnen och anställdas personliga mappar på den egna datorn, bör också undantas från de kraven. Personuppgiftsregleringen i övrigt gäller däremot för behandling som utförs i sådan programvara och på sådana lagringsytor även om de inte omfattas av de preciserade kraven på logg- ning. De närmare detaljerna kan regleras på lägre normgivningsnivå. Förslaget att de mer preciserade kraven på loggning i direktivet ska be- gränsas till automatiserade behandlingssystem ska inte uppfattas som att kraven på annan behandling av personuppgifter i sådana system är lägre än vad som gäller för behandling i andra system. Loggning är ett viktigt inslag i det övergripande kravet på att person- uppgiftsansvariga ska vidta lämpliga tekniska och organisatoriska åtgär- der för att skydda personuppgifterna, vilket innebär att loggning kan krävas även i andra fall. Vilka uppgifter som kan behöva loggas kan dock variera. Det kan t.ex. vara viktigare med loggning i system som ett flertal personer använder än i system som enbart ett fåtal har tillgång till. Mot bakgrund av att alla de detaljkrav på loggning som direktivet ställer upp inte alltid är möjliga att leva upp till i alla system, bör regleringen i ram- 2017/18:232 lagen begränsas till vad som krävs enligt direktivet. Som utredningen konstaterar riskerar respekten för regleringen att urholkas om det ställs detaljkrav som den personuppgiftsansvarige inte kan leva upp till. Även om ramlagens krav på loggning inte gäller i andra system än automatiserade behandlingssystem bör de personuppgiftsansvariga när det är tekniskt möjligt ha loggning även i sådana system. Loggning krävs normalt även där för att ge tillräckligt underlag för intern kontroll. Dess- utom måste personuppgiftsansvariga se till att behandling av integritets- känsliga personuppgifter inte utförs vid sidan av automatiserade behand- lingssystem i syfte att kringgå ramlagens krav. bör också i enskilda fall kunna ställa krav på loggning om det är en skydds- eller säkerhetsåtgärd som är nödvändig för att behandlingen ska omgär- das med tillräckligt skydd. Sammanfattningsvis anser regeringen, trots att Datainspektionen har avstyrkt förslaget, att kravet på loggning ska begränsas till automatise- rade behandlingssystem. Det kommer att behövas tid för myndigheterna att göra de verksam- hets- och systemanalyser som krävs för att klarlägga i vilken utsträckning dagens system för loggning uppfyller regleringen och vilka eventuella förändringar som kan behövas. Som Säkerhetspolisen anför kan de nya kraven också komma att bli kostnadsdrivande. I avsnitt 17.2.3 redogör regeringen för behovet av övergångsbestämmelser, bl.a. när det gäller bestämmelserna om loggning i automatiserade behandlingssystem. Vad ska loggas? Loggar bör föras över de typer av behandlingar som anges i artikel 25.1. Därutöver bör även överföringar till tredjeland eller internationella orga- nisationer loggas. En behandlingshistorik bör normalt vara utformad så att den avslöjar felaktig eller obehörig användning av personuppgifter. När det gäller läs- ning och utlämning av personuppgifter ska enligt direktivet loggarna göra det möjligt att få fram viss typ av information. Eftersom loggning är ett automatiskt förfarande kan endast viss information om behandlingen dokumenteras. Det rör sig främst om datum och tidpunkt för behand- lingen. Information om vem som har behandlat personuppgiften går också att få fram om de anställda har tilldelats behörigheter och det krävs inloggning i systemen. När det gäller utlämnande av uppgifter kan identi- teten på den som har lämnat ut uppgifterna endast fastställas om de läm- nats ut elektroniskt via systemet. Detsamma gäller överföringar till tredjeland eller internationella organisationer. Det bör dock vara möjligt att logga om en medarbetare har överfört, laddat ner eller skrivit ut upp- gifter. Det är däremot inte möjligt att logga om uppgifterna sedan lämnas ut på annat sätt än elektroniskt, t.ex. muntligen eller på papper. Det kan också vara svårt att logga om uppgifterna lämnas ut via e-post. Loggarna över läsning och utlämning ska enligt direktivet göra det möjligt att fastställa motiveringen för behandlingen. I skäl 57 anges att identiteten på den person som läst eller lämnat ut uppgifter bör loggas och från den identifieringen skulle det kunna vara möjligt att fastställa motiveringen till behandlingen. Skälen till att någon i ett visst fall tar del av eller lämnar ut en viss personuppgift kan dock knappast fastställas automatiskt genom loggning. En skyldighet att automatiskt logga moti- veringen till varför personuppgifter behandlas bör därför inte införas. I artikel 25 anges att loggarna över läsning och utlämning även ska visa vilka som har fått tillgång till personuppgifterna. Kravet skulle kunna avse både intern och extern tillgång. Det som avses här torde dock framför allt vara de personer eller myndigheter till vilka uppgifterna har lämnats ut. Sådan information kan bara loggas om utlämnandet görs elektroniskt via systemet. Det kan t.ex. göras om någon har direktåtkomst till vissa uppgifter i ett system eller om uppgifter överförs elektroniskt efter förfrågan. Den utlämnande myndigheten bör genom loggning kunna fastställa vilken annan myndighet som har fått tillgång till viss informa- tion, men knappast få fram information om vilken medarbetare hos den andra myndigheten som har tagit del av informationen. Sådan informa- tion bör dock finnas hos mottagaren, om detta är en behörig myndighet. Detta bör vara tillräckligt för att uppfylla kraven i direktivet. Domstols- verket anser att det är svårt att veta när skyldigheten att föra loggar är uppfylld. Vad som ska loggas bör regleras i förordning eller genom före- skrifter på lägre normgivningsnivå eftersom behov, arbetssätt och tek- niska möjligheter att logga varierar. Genom införandet av sådana före- skrifter bör tillräcklig vägledning vad gäller skyldigheten att föra loggar finnas. Hur ska loggarna användas? De flesta behöriga myndigheter för loggar som en del av informationssäkerhetsarbetet. Tanken är inte att de behöriga myndighe- terna ska åläggas att föra ytterligare en logg enbart för personuppgiftsbe- handlingen. De system för loggning som används främst i informa- tionssäkerhetssyfte bör normalt kunna användas även för kontroll ur ett integritetsskyddsperspektiv. Av artikel 25.2 framgår att loggar endast får användas för att kontrollera om behandlingen är tillåten, för egenkontroll, för att säkerställa personuppgifternas integritet och säkerhet och för straffrättsliga förfaranden. Det innebär att loggarna bara får användas i informationssäkerhetssyfte. Syftet med loggning är att åtkomsten till personuppgifterna ska kunna kontrolleras, bl.a. för att göra det möjligt att utreda felaktig eller obehörig användning av uppgifterna. För att det ska kunna göras måste loggarna sparas . Loggning kan också ha en förebyggande funktion. Det förutsätter att användarna informeras om att det förs loggar och att de kontrolleras. Loggningen bör alltså följas upp och loggarna skyddas mot otillåtna ändringar. Det är viktigt att skilja mellan själva loggningen och uppföljning av loggningen. Logguppföljning bör göras systematiskt och återkommande i syfte att upptäcka och motverka obehörig åtkomst. Uppföljning bör också göras vid misstanke om att någon obehörigen tagit del av person- uppgifter. Det kan vidare finnas anledning att följa upp behandlingshisto- riken t.ex. på områden där det finns särskilt integritetskänsliga person- uppgifter eller behörigheter som ger stora möjligheter till åtkomst. Det kan också finnas skäl att kontrollera vissa inloggningsmönster. Myndig- heterna bör ha rutiner för logguppföljningen. Den personuppgiftsansva- rige bör exempelvis ge riktlinjer och vägledning till den som kontrollerar 2017/18:232 loggarna beträffande vad som kan vara obehörig åtkomst. Vid loggupp- följning måste också reglerna om meddelarfrihet och efterforskningsför- bud i tryckfrihetsförordningen och yttrandefrihetsgrundlagen beaktas, vilket innebär att möjligheten till uppföljning i vissa fall begränsas eller kan vara otillåten. Det är av största vikt att loggningssystem inte missbrukas eller används för andra syften än som varit avsett. I likhet med utredningen anser dock regeringen att det inte bör författningsregleras hur loggarna får användas, eftersom detta skulle riskera att låsa fast myndigheterna vid ett visst arbetssätt eller omöjliggöra användning som kan visa sig vara nödvändig. Detta innebär inte att användningen av loggar bör vara helt oreglerad. Utöver myndigheternas interna föreskrifter och riktlinjer får tillsynsmyn- digheten ge vägledning för användningen av loggar, t.ex. genom all- männa råd och riktlinjer. Loggarna utgör sådan dokumentation som tillsynsmyndigheten har rätt att på begäran få del av. Någon särskild bestämmelse som föreskriver att loggarna ska göras tillgängliga för tillsynsmyndigheten behövs därför inte. Regeringens förslag: Den personuppgiftsansvarige ska se till att till- gången till personuppgifter begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag I de flesta registerförfattningar inom ramlagens tillämpningsområde finns det bestämmelser som begränsar medarbetarnas tillgång till personupp- Så är fallet i exempelvis 2 kap. 11 § polisdatalagen (2010:361), 2 kap. 9 § åklagardatalagen (2015:433) och 8 § domstolsdatalagen (2015:728). Av paragraferna framgår att tillgången till personuppgifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Tillgången till personuppgifter ska begränsas I artikel 4.1 c, som anger de grundläggande principerna för behandling, föreskrivs att personuppgifter inte får vara för omfattande i förhållande till de syften för vilka de behandlas. Av artikel 29.2 e, som behandlar säkerhetsåtgärder, framgår att den personuppgiftsansvarige eller person- uppgiftsbiträdet ska säkerställa att personer som är behöriga att använda ett automatiserat behandlingssystem endast har tillgång till personuppgif- ter som omfattas av deras behörighet. Frågan är om det i ramlagen bör tas in en generell bestämmelse om tillgången till personuppgifter. När stora informationsmängder är samlade på ett sådant sätt att integri- tetskänsliga personuppgifter är enkelt sökbara på elektronisk väg finns det uppenbara risker för intrång i den personliga integriteten. I förarbe- Prop. 2017/18:232 tena till flera av registerförfattningarna påtalas vikten av att det säker- ställs att integritetskänsliga personuppgifter görs tillgängliga bara för dem som behöver uppgifterna för sitt arbete. Vem som har rätt att använda personuppgifterna och hur uppgifterna sprids är omständigheter som påverkar risken för intrång i den personliga integriteten (se bl.a. prop. 2009/10:85 s. 94 och prop. 2011/12:45 s. 87 f.). I förarbetena till åklagardatalagen konstateras att det är en hörnsten i skyddet av enskildas integritet att åtkomst endast medges till de personuppgifter som den enskilde tjänstemannen behöver för att kunna utföra sina arbetsuppgifter (prop. 2014/15:63 s. 59). Ju fler personer i en myndighet som har tillgång till personuppgifter, desto större är risken för obehörig åtkomst eller spridning av uppgifterna. Att utbilda användarna i informationssäkerhets- och dataskyddsfrågor är en viktig organisatorisk säkerhetsåtgärd, men det är ofta inte tillräckligt.