prop · H503232 · 2018-04-19 00:00:00 — En sådan åtgärd kan vara att tillgången till ett register har be- gränsats till dess att den personuppgiftsansvarige har kunnat överblicka konsekvenserna av incidenten. Om det skulle krävas en oproportionerlig ansträngning att underrätta de registrerade behöver enligt punkt 3 underrättelse inte heller lämnas. Det skulle kunna vara fallet om en personuppgiftsincident påverkar ett mycket stort antal registrerade. I det sistnämnda fallet ska i stället all- mänheten informeras eller en liknande åtgärd vidtas för att de registre- rade ska få nödvändig information. Det framgår av tredje stycket. Paragrafen, som har utformats i enlighet med Lagrådets förslag, reglerar i vilka fall information till registrerade enligt 10 § får begränsas. Paragra- fen genomför artikel 31.5 och behandlas i avsnitt 9.4.3. Den personuppgiftsansvarige får enligt första stycket avstå från att lämna information om personuppgiftsincidenter i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att uppgifterna inte får lämnas ut. Det är främst sekretess och tystnadsplikt enligt offentlighets- och sekretesslagen (2009:400) som avses. Vad det innebär utvecklas i kommentaren till 4 kap. 5 §. I första hand bör informationen senareläggas eller begränsas. Bara om det är absolut nödvändigt med hänsyn till de intressen som anges i paragrafen bör den personuppgiftsansvarige helt underlåta att informera den registrerade. I andra stycket föreskrivs att en personuppgiftsansvarig som inte är en myndighet i motsvarande utsträckning får underlåta att lämna informa- tion. I paragrafen, som genomför artikel 26, regleras den personuppgiftsansva- riges skyldighet att samarbeta med tillsynsmyndigheten. Paragrafen be- handlas i avsnitt 9.2.6. Skyldigheten omfattar enbart samarbete med den myndighet som är tillsynsmyndighet enligt lagen, se definitionen i 1 kap. 6 §. Skyldighet att bistå tillsynsmyndigheten regleras också i 5 kap. 5 §. Samarbete med andra tillsynsmyndigheter regleras inte i lagen. Skyldigheten att samarbeta hör samman med tillsynsmyndighetens undersökningsbefogenheter. Skyldigheten innebär inte bara att den per- sonuppgiftsansvarige ska ge tillsynsmyndigheten tillgång till det mate- rial, de resurser och den hjälp som krävs för att den ska kunna utöva tillsyn utan även att den personuppgiftsansvarige ska underlätta för till- synsmyndigheten att utöva sina undersökningsbefogenheter på ett effek- tivt sätt. Det kan exempelvis innebära att hjälp ska erbjudas och ges inom rimlig tid. ska också ges möjlighet att ta del av information och material på det sätt som den anser mest lämpligt. Till- synsmyndigheten förutsätts precisera vilken hjälp myndigheten behöver och sätter därigenom ramarna för samarbetsskyldigheten. Skyldigheten att samarbeta gäller när tillsynsmyndigheten utför sina författningsreglerade uppgifter. Det innebär att bestämmelsen ska tilläm- pas när tillsynsmyndigheten utövar allmän tillsyn över personuppgiftsbe- handling, handlägger klagomål från registrerade, på begäran kontrollerar om personuppgifter behandlas författningsenligt, bistår en tillsynsmyn- dighet i en annan medlemsstat och lämnar råd inom ramen för bl.a. för- handssamråd. Paragrafen gäller enligt 19 § även för personuppgiftsbiträden. Paragrafen reglerar den personuppgiftsansvariges skyldighet att utse dataskyddsombud. Den genomför artiklarna 32.1 och 32.4 och behandlas i avsnitt 9.5.2. Dataskyddsombud definieras i 1 kap. 6 §. I paragrafen föreskrivs att ett eller flera dataskyddsombud ska utses. Dataskyddsombudet kan vara anställd hos den personuppgiftsansvarige eller en utomstående person. Den personuppgiftsansvarige får inte utse sig själv till dataskyddsombud. Det finns inget som hindrar att flera personuppgiftsansvariga utser ett gemensamt dataskyddsombud. Det skulle kunna aktualiseras om de per- sonuppgiftsansvariga bedriver liknande verksamhet i nära anslutning till varandra eller utför behandling i ett gemensamt system eller i ett avgrän- sat samarbete. Den personuppgiftsansvarige ska anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas. I paragrafen, som genomför artikel 34, anges vilka uppgifter dataskydds- ombud ska utföra. Paragrafen behandlas i avsnitt 9.5.3. I punkt 1 föreskrivs att dataskyddsombud självständigt ska kontrollera att den personuppgiftsansvarige behandlar personuppgifter författnings- enligt och på ett korrekt sätt och i övrigt fullgör de skyldigheter som åligger personuppgiftsansvariga. Det innebär att ombudet måste förvissa sig om att den personuppgiftsansvarige följer bestämmelserna i lagen och andra författningar som reglerar behandlingen av personuppgifter. Hur omfattande kontrollen bör vara får avgöras efter omständigheterna. Dataskyddsombuden bör framför allt granska den faktiska hanteringen av personuppgifter. Därutöver bör ombuden exempelvis granska rutiner- na för behandling av personuppgifter, hur tillgången till personuppgifter hanteras och vilka krav på utbildning och andra kvalifikationer som den personuppgiftsansvarige ställer på personal som behandlar personuppgif- ter. Ombuden bör påpeka eventuella brister för den personuppgiftsan- svarige så att denne blir medveten om dem och har möjlighet att vidta lämpliga åtgärder. Kravet på självständighet innebär att dataskyddsombud ska kunna ut- föra sina arbetsuppgifter på ett oberoende sätt. Ombuden bör framför allt ha sådan ställning i organisationen att deras synpunkter och råd tas på allvar. De förutsätts också ha goda kunskaper om regelverket om person- uppgiftsbehandling. I punkt 2 anges att dataskyddsombuden ska informera och ge råd till den personuppgiftsansvarige och de som behandlar personuppgifter under dennes ledning om deras skyldigheter vid sådan behandling. Det handlar främst om att göra den personuppgiftsansvarige och medarbe- tarna medvetna om vad de i olika situationer är skyldiga att göra, t.ex. att informera registrerade, att ha säkerhetsrutiner och att dokumentera personuppgiftsbehandlingen. Det innebär inte att dataskyddsombuden ska tala om för den personuppgiftsansvarige och medarbetarna hur de ska behandla personuppgifter i enskilda fall. Om den personuppgiftsansvarige begär det ska dataskyddsombudet också ge råd vid en konsekvensbedömning och kontrollera att bedöm- ningen genomförs på korrekt sätt. Det framgår av punkt 3. Enligt punkt 4 ska dataskyddsombuden vara kontaktpunkt för enskilda i frågor som rör behandling av personuppgifter. Syftet med bestämmel- sen är att enskilda ska kunna vända sig till en kunnig person inom orga- nisationen i frågor som t.ex. rör information om personuppgiftsbehand- lingen och rättelse av felaktiga personuppgifter. Dataskyddsombuden har som kontaktpunkt skyldighet att hjälpa enskilda som vänder sig till myn- digheten. I den rollen ligger också att bevaka att den personuppgiftsan- svarige fullgör sina skyldigheter gentemot registrerade. Ombuden be- höver däremot inte vidta de åtgärder som kan krävas med anledning av förfrågningar eller klagomål från registrerade. I punkt 5 föreskrivs att dataskyddsombuden ska samarbeta med till- synsmyndigheten och fungera som kontaktpunkt för den vid förhands- samråd och andra frågor som rör behandling av personuppgifter. Samar- beta har här i princip samma innebörd som i 12 §, dvs. det handlar om att underlätta tillsynsmyndighetens arbete. 2017/18:232 även att ombuden, när det är lämpligt, ska samråda med tillsynsmyn- digheten i frågor som rör personuppgiftsbehandling. Det innebär att om- buden vid tveksamheter av olika slag bör fråga tillsynsmyndigheten om råd. Vid förhandssamråd bör arbetsuppgiften främst bestå i att bistå till- synsmyndigheten med nödvändigt underlag och information och even- tuellt stå till förfogande vid frågor angående behandlingen. Ett dataskyddsombud behöver inte ägna sig uteslutande åt de arbets- uppgifter som anges i paragrafen. Beroende på hur organisationen ser ut kan arbetet som dataskyddsombud kombineras med andra arbetsuppgif- ter, så länge de inte kommer i konflikt med uppdraget som ombud. I paragrafen, som behandlas i avsnitt 15.3, regleras dataskyddsombudens tystnadsplikt. I första stycket föreskrivs att den som fullgör uppgift som dataskydds- ombud inte obehörigen får röja det som han eller hon i den rollen har fått kännedom om. Bestämmelsen är tillämplig på den som fullgör uppgift som dataskyddsombud åt någon annan aktör än en myndighet eller annat organ som tillämpar offentlighets- och sekretesslagen. Om dataskyddsombudet har en sådan anställning eller ett sådant upp- drag som avses i 2 kap. 1 § offentlighets- och sekretesslagen tillämpas i stället den lagen, vilket framgår av andra stycket. Av paragrafen, som i allt väsentligt har utformats enligt Lagrådets för- slag, framgår att personuppgiftsbiträden får anlitas och vad den person- uppgiftsansvarige måste göra innan ett personuppgiftsbiträde anlitas. Paragrafen genomför artikel 22.1 och 22.3–22.4 och behandlas i av- snitt 9.6.2. I första stycket föreskrivs att en personuppgiftsansvarig får anlita per- sonuppgiftsbiträden. Det förutsätter dock att det är lämpligt. Om det är lämpligt får avgöras med hänsyn bl.a. till vilka personuppgifter som ska behandlas och om det gäller sekretess för uppgifterna. Av första stycket framgår också att den personuppgiftsansvarige, innan personuppgifts- biträdet anlitas, ska försäkra sig om att biträdet vidtar lämpliga tekniska och organisatoriska åtgärder för att personuppgiftsbehandlingen ska vara författningsenlig och för att skydda registrerades rättigheter. Kraven omfattar inte bara säkerhetsåtgärder, utan även andra tekniska och orga- nisatoriska åtgärder. Skyldigheten innebär att den personuppgifts- ansvarige, innan ett personuppgiftsbiträde anlitas, bl.a. bör förhöra sig om hur biträdet kommer att behandla uppgifterna tekniskt, hur arbetet är organiserat och vilket skydd personuppgifterna kommer att ha. I andra stycket ställs krav på att det ska ingås ett skriftligt avtal eller någon annan skriftlig överenskommelse som reglerar personuppgifts- biträdets behandling av personuppgifter för den personuppgiftsansvariges räkning. Eftersom statliga myndigheter, som är att anse som två enheter inom samma juridiska person, i rättslig mening inte kan ingå bindande avtal med varandra får de träffa en skriftlig överenskommelse som regle- rar behandlingen om en myndighet agerar personuppgiftsbiträde åt en annan. Paragrafen, som genomför artikel 22.2, reglerar vad som gäller när ett personuppgiftsbiträde anlitar ett annat personuppgiftsbiträde. Paragrafen har utformats enligt Lagrådets förslag och behandlas i avsnitt 9.6.2. I paragrafen föreskrivs att ett personuppgiftsbiträde inte utan skriftligt tillstånd från den personuppgiftsansvarige får anlita ett annat personupp- giftsbiträde, ett underbiträde. Ett sådant tillstånd kan gälla biträdets rätt att anlita underbiträden generellt eller i en specifik situation. Syftet med bestämmelsen är att den personuppgiftsansvarige ska känna till vilka personuppgiftsbiträden som behandlar personuppgifter för dennes räk- ning. Paragrafen, som genomför artikel 22.5 och delar av artikel 23, reglerar vad som gäller vid behandling av personuppgifter hos ett personuppgifts- biträde. Paragrafen behandlas i avsnitt 9.6.3. I första stycket slås fast den grundläggande principen att ett personupp- giftsbiträde och den eller de personer som arbetar under biträdets ledning ska behandla personuppgifter i enlighet med instruktioner från den per- sonuppgiftsansvarige. Instruktionerna till biträdet bör vara så tydliga att det inte finns risk för otillåten behandling. Instruktionerna kan exempel- vis gälla hur tillgången till personuppgifter hos biträdets anställda ska begränsas, om biträdet ska använda kryptering vid kommunikation och andra åtgärder som krävs för dataskydd. Om det finns avvikande regler i annan lagstiftning som föreskriver att personuppgiftsbiträdet är skyldig att utföra viss behandling, t.ex. att lämna ut allmänna handlingar, får behandlingen utföras utan särskilda instruktioner. I andra stycket regleras det fallet där personuppgiftsbiträdet bestämmer ändamålen med och medlen för behandlingen. Personuppgiftsbiträdet är då att anse som personuppgiftsansvarig för den behandlingen. Att den som bestämmer ändamålen med och medlen för behandlingen är att anse som personuppgiftsansvarig framgår av definitionen av personuppgifts- ansvarig i 1 kap. 6 §. I paragrafen föreskrivs vilka skyldigheter som gäller för personupp- giftsbiträden. Paragrafen, som genomför delar av artiklarna 25, 26 och 29, behandlas i avsnitt 9.6.5. Hänvisningen till 5 och 6 §§ innebär att personuppgiftbiträden, i likhet med personuppgiftsansvariga, är skyldiga att dels säkerställa att loggar förs i automatiserade behandlingssystem, dels se till att anställda bara ges tillgång till de personuppgifter som krävs för att fullgöra arbetsuppgif- terna. Innebörden av bestämmelserna framgår av kommentarerna till 5 och 6 §§. Vidare gäller skyldigheten enligt 8 § att vidta lämpliga säkerhetsåtgär- der även för personuppgiftsbiträden. Innebörden av skyldigheten framgår av kommentaren till den paragrafen. 2017/18:232 Personuppgiftsbiträden är också, genom hänvisningen till 12 §, skyl- diga att i samma utsträckning som personuppgiftsansvariga samarbeta med tillsynsmyndigheten. Innebörden av skyldigheten framgår av kom- mentaren till den paragrafen. Personuppgiftsbiträdens skyldighet att sam- arbeta med tillsynsmyndigheten kan aktualiseras i flera olika situationer. Samarbete kan t.ex. krävas vid tillsyn hos biträdet. Då är samarbetsskyl- digheten i princip densamma som för den personuppgiftsansvarige. Samarbetsskyldigheten kan också aktualiseras vid tillsyn hos den per- sonuppgiftsansvarige som biträdet utför personuppgiftsbehandling åt eller inom ramen för den personuppgiftsansvariges förhandssamråd med tillsynsmyndigheten. Skyldigheten innebär att biträdet också måste sam- arbeta med den personuppgiftsansvarige, eftersom det är en förutsättning för att tillsynsmyndigheten ska kunna utföra sitt arbete. Att personuppgiftsbiträden åläggs vissa skyldigheter fråntar inte de personuppgiftsansvariga deras ansvar. Den personuppgiftsansvarige är, som framgår av kommentaren till 1 §, ansvarig för den behandling av personuppgifter som personuppgiftsbiträdet utför på dennes vägnar. Den omständigheten att personuppgiftsbiträden ges en direkt skyldighet att vidta vissa åtgärder innebär dock att tillsynsmyndigheten vid brister kan vidta åtgärder mot både personuppgiftsbiträdet och den personuppgifts- ansvarige. Paragrafen, som genomför artikel 21, anger när två eller flera behöriga myndigheter är gemensamt personuppgiftsansvariga. Den behandlas i av- snitt 9.7.2. I första stycket slås det fast att gemensamt personuppgiftsansvar upp- kommer när två eller flera behöriga myndigheter gemensamt bestämmer ändamålen med och medlen för personuppgiftsbehandlingen. Ett opera- tivt samarbete mellan två eller flera myndigheter, så som sker under ledning av i arbetet mot organiserad brottslighet, med- för inte i sig att ett gemensamt ansvar för behandlingen uppkommer. Det avgörande är i stället om myndigheterna tillsammans bestämmer ända- målen med och medlen för behandlingen. I andra stycket anges att den registrerade får utöva sina rättigheter enligt lagen mot var och en av de gemensamt personuppgiftsansvariga. I paragrafen, som behandlas i avsnitt 9.8, bemyndigas regeringen med stöd av 8 kap. 3 § första stycket regeringsformen att meddela föreskrifter om skyldighet att föra register över kategorier av behandlingar av per- sonuppgifter och skyldighet att införa interna rutiner för anmälan av överträdelser. 4 kap. Enskildas rättigheter Allmän information 1 § I paragrafen, som genomför artikel 13.1, anges vilken allmän information som på den personuppgiftsansvariges eget initiativ ska göras tillgänglig för registrerade. Informationen, som riktar sig till allmänheten eller en obestämd, större krets av registrerade, kan göras tillgänglig t.ex. på den behöriga myndighetens webbplats. Paragrafen behandlas i avsnitt 10.2.5 och 10.2.6. Enligt punkt 1 ska den personuppgiftsansvariges identitet och kontakt- uppgifter göras tillgängliga. Med det avses uppgifter om namn, post- och besöksadress, telefonnummer och e-postadress. Alla personuppgifts- ansvariga är enligt 3 kap. 13 § skyldiga att utse dataskyddsombud. Enligt punkt 2 ska dataskyddsombudets kontaktuppgifter anges. Det behöver inte vara en kontaktuppgift direkt till dataskyddsombudet, t.ex. hans eller hennes e-postadress, utan det är tillräckligt att ombudet går att nå med hjälp av uppgifterna. I punkt 3 föreskrivs att kategorier av ändamål för behandlingen ska framgå. Det är alltså inte ändamålen med behandlingen av personupp- gifter i enskilda fall som avses utan vilka kategorier av ändamål som den behöriga myndigheten behandlar personuppgifter för. Det kan t.ex. vara förundersökning, ärenden om strafföreläggande eller handläggning av brottmål. I punkt 4 och 5 föreskrivs att den personuppgiftsansvarige ska upplysa om de rättigheter som enskilda har enligt 3, 9 och 10 §§. Det gäller rätten för registrerade att få information om behandlingen av personuppgifter och att få del av uppgifterna och rätten att begära rättelse, radering eller begränsning av behandlingen. Den personuppgiftsansvarige ska även enligt punkt 6 upplysa om möjligheten att lämna in klagomål till till- synsmyndigheten och ange kontaktuppgifterna till myndigheten. Personrelaterad information 2 § Paragrafen, som genomför artikel 13.2, anger vilken information som ska lämnas till den registrerade i ett enskilt fall för att han eller hon ska kunna ta till vara sina rättigheter. Det är fråga om personrelaterad information som på den personuppgiftsansvariges eget initiativ ska läm- nas till den registrerade. Paragrafen har utformats i enlighet med Lagrå- dets förslag och behandlas i avsnitt 10.2.5 och 10.2.7. I första stycket föreskrivs att den registrerade i ett enskilt fall ska ges viss information för att kunna ta till vara sina rättigheter. Sådana fall som avses i bestämmelsen kan t.ex. vara att den registrerade riskerar att lida rättsförlust om han eller hon inte får del av informationen eller att det av annat skäl är viktigt för honom eller henne att känna till behandlingen för att kunna ta till vara sina rättigheter. Ett annat exempel kan vara att käns- liga personuppgifter har behandlats i strid med 2 kap. 11 §. Information behöver inte lämnas vid fel som inte kan antas ha negativ påverkan, t.ex. när personnummer eller adressuppgifter som visat sig vara felaktiga 2017/18:232 rättas. För att informationsskyldigheten ska inträda bör normalt krävas att det är fråga om överträdelser av regelverket som kan föranleda skade- ståndsansvar, allvarlig kritik eller ingripande från tillsynsmyndigheten eller någon liknande reaktion. Att informationen är tillgänglig på den personuppgiftsansvariges webb- plats eller i en informationsskrift befriar inte den personuppgiftsansva- rige från skyldigheten att lämna samma information till en viss regis- trerad, om informationen behövs för att han eller hon ska kunna ta till vara sina rättigheter. Enligt punkt 1 ska information lämnas om den rättsliga grunden för personuppgiftsbehandlingen. Den rättsliga grunden kan t.ex. vara att det är nödvändigt att behandla personuppgifterna vid utredning av brott eller verkställighet av straffrättsliga påföljder. Punkt 2 föreskriver att kategorier av mottagare av personuppgifterna ska anges. Mottagare definieras i 1 kap. 6 §. Allmän information är till- räcklig, exempelvis till vilken typ av myndighet som personuppgifterna har lämnats eller ska lämnas. Det kan vara t.ex. allmän domstol eller Kriminalvården. Om mottagarkategorin finns i ett tredjeland eller är en internationell organisation ska det anges. Information ska enligt punkt 3 lämnas om hur länge personuppgifterna får behandlas. Om det inte är möjligt att ange hur länge uppgifterna får behandlas i det enskilda fallet ska i stället kriterierna för att fastställa det anges. Det kan vara upplysningar om vilka omständigheter eller tidpunk- ter som styr hur länge uppgifterna får behandlas, t.ex. nedläggning av åtal eller när förflutit efter det att uppgifterna behandlades första gången. Även övrig nödvändig information ska lämnas enligt punkt 4. Om informationen är nödvändig ska bedömas utifrån den registrerades behov av den för att kunna ta till vara sina rättigheter. Det kan vara en upplys- ning om rätten att begära att få del av uppgifterna, rätten att begära rät- telse, radering eller begränsning av behandlingen och möjligheten att lämna in klagomål till tillsynsmyndigheten. Av andra stycket framgår att den personuppgiftsansvarige vid bedöm- ningen av om information enligt punkt 4 ska lämnas särskilt ska beakta om personuppgifterna har samlats in utan att den registrerade vetat om det. Av 5 § framgår att informationsskyldigheten får begränsas. I 12 § före- skrivs att avgift inte får tas ut för information enligt förevarande para- graf. Paragrafen, som genomför artikel 14, behandlas i avsnitt 10.2.5 och 10.2.8. I paragrafen regleras en enskilds rätt att på begäran få besked om hans eller hennes personuppgifter behandlas, att få del av sådana upp- gifter och att få viss information om behandlingen av dem. I första stycket föreskrivs att den som begär det har rätt till skriftligt be- sked om huruvida personuppgifter som rör honom eller henne behandlas. Om sådana uppgifter behandlas ska sökanden få del av dem och få viss i paragrafen uppräknad skriftlig information. Vem som helst får begära besked av den personuppgiftsansvarige. Vårdnadshavare och andra ställföreträdare kan begära besked för den som inte själv har rätt att göra det. Om en underårig förstår vad åtgärden innebär och själv kan tillgodogöra sig den information som begäran avser bör hans eller hennes begäran godtas. Sökanden har bevisbördan för att begäran har gjorts och tidpunkten för det. Bestämmelsen i 22 § förvalt- ningslagen (2017:900) kan vara till ledning vid avgörande av frågan om när en begäran ska anses ha gjorts (jfr prop. 1997/98:44 s. 132). Begäran ska besvaras utan onödigt dröjsmål. Beskedet till sökanden ska vara skriftligt och kan lämnas t.ex. via e-post. Det ska avse om personupp- gifter som rör sökanden behandlas. Om sökandens personuppgifter behandlas ska, med de begränsningar som följer av andra stycket och 5–7 §§, han eller hon få del av dem. Rätten omfattar även personuppgifter som utgörs av bild- och ljud- upptagningar och personuppgifter i ostrukturerat material som t.ex. löpande text. Det är de uppgifter som behandlas vid tiden för utlämnandet som ska lämnas ut (jfr prop. 1997/98:44 s. 132). Sökanden ska få tillgång till all information som den personuppgiftsansvarige själv kan få fram om honom eller henne, men det är tillräckligt att använda de sök- och sam- manställningsmöjligheter som är faktiskt tillgängliga och rättsligt tillåtna (jfr prop. 1997/98:44 s. 82 f.). Det bör räcka att sökningar görs i myndig- hetens verksamhetsspecifika behandlingssystem, t.ex. dokument- och ärendehanteringssystem, register och databaser. Om uppgifter är sökbara i standardprogram som Word, Outlook och Excel bör de också omfattas. För att det ska kunna utrönas om personuppgifter behandlas krävs att det finns sökbara uppgifter som direkt kan hänföras till den person som begär informationen. Sökanden förutsätts därför lämna sådana uppgifter om sin identitet att det blir möjligt att söka efter informationen. Det kan vara fullständigt namn eller person- eller samordningsnummer eller någon annan lika unik identitetsuppgift. Sökanden kan få del av uppgifterna genom t.ex. en kopia av en hand- ling med de personuppgifter som rör honom eller henne.