prop · H503232 · 2018-04-19 00:00:00 — I artikel 29.2 ställs mer konkreta krav på vilka typer av åtgärder som ska vidtas för att förhindra att uppgifterna hamnar i orätta händer och säkerställa att det går att kontrollera viss behandling och att de system som används fungerar tillfredsställande. Artikel 29 kompletterar det grundläggande kravet på säkerhet i arti- kel 4.1 f. Där framgår att personuppgifter, med användning av lämpliga tekniska eller organisatoriska åtgärder, ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse. Säkerhetsåtgärder regleras i artikel 17.1 dataskyddsdirektiv. Den bestämmelsen motsvarar i stort innehållet i artikel 29.1 i det nya direktivet, men det ställs inte lika konkreta krav som i artikel 29.2. Artikel 17.1 direktiv har genomförts i 31 § första stycket personuppgiftslagen. Där föreskrivs att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas och att åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur käns- liga de behandlade personuppgifterna är. Vidare föreskrivs i 32 § person- uppgiftslagen att tillsynsmyndigheten i enskilda fall får besluta om säkerhetsåtgärder enligt 31 §. Datainspektionen ges i 16 § personuppgiftsförordningen möjlighet att meddela föreskrifter om bl.a. säkerhetsåtgärder. Inspektionen har dock inte meddelat några sådana föreskrifter utan har i stället valt att ge när- mare vägledning genom allmänna råd. Myndigheternas registerförfattningar hänvisar antingen till personupp- giftslagens bestämmelser (t.ex. 2 kap. 2 § första stycket 7 polisdatalagen) eller saknar sådana bestämmelser, vilket innebär att personuppgiftslagens bestämmelser ändå är tillämpliga (t.ex. 2 § lagen [2001:617] om behand- ling av personuppgifter inom kriminalvården). I några registerförfatt- ningar finns det dock bestämmelser som preciserar de allmänna kraven i personuppgiftslagen. Bestämmelser om informationssäkerhet finns även i andra författ- ningar, t.ex. i arkivlagen (1990:782) och säkerhetsskyddslagen (1996:627) med tillhörande förordningar och i föreskrifter meddelade av Myndigheten för samhällsskydd och beredskap (exempelvis MSBFS 2016:1 Föreskrifter och allmänna råd om statliga myndigheters informa- tionssäkerhet). Bara en bestämmelse om säkerhetsåtgärder Det bör tas in en bestämmelse om skyddet för personuppgifter i ram- lagen. Frågan är inledningsvis hur man ska se på förhållandet mellan artikel 4.1 f och artikel 29 i direktivet. Artikel 4.1 f slår fast en grundläggande princip för all behandling av personuppgifter och riktar sig till personuppgiftsansvariga. Bestämmel- serna i artikel 29 är mer konkreta och riktar sig även till personuppgifts- biträden. Båda artiklarna föreskriver dock en skyldighet att säkerställa lämplig säkerhet för personuppgifter med hjälp av tekniska och organisa- toriska åtgärder. I artikel 29 utvecklas hur det ska uppnås och vilka åtgärder som ska vidtas. Artikel 29 får därför ses som en precisering av den grundläggande princip som anges i artikel 4.1 f. Det behövs följakt- ligen inte två olika bestämmelser om säkerhetsåtgärder i ramlagen. Artikel 29.1 motsvarar i princip 31 § första stycket personuppgiftslagen. Frågan är om artikel 29.2, som anger mer konkreta åtgärder, kräver några särskilda lagstiftningsåtgärder. Dataskyddsrambeslutet innehåller en lika- dan uppräkning av åtgärder. Vid genomförandet av rambeslutet bedöm- des att personuppgiftslagens bestämmelser, även om de var mer generellt utformade, motsvarade rambeslutets bestämmelser om säkerhet och att dess mer preciserade bestämmelser därför inte krävde några lagändringar (prop. 2008/09:16 s. 52). Motsvarande bedömning gjordes när Schengen- konventionen genomfördes i svensk rätt (prop. 1999/2000:64 s. 148). Även vid genomförandet av motsvarande bestämmelser om säkerhet i det rådsbeslut som ersatte konventionens bestämmelser om Schengens infor- mationssystem gjordes bedömningen att det inte krävdes några författ- ningsändringar (prop. 2009/10:86 s. 25). Regeringen anser att det saknas anledning att göra en annan bedöm- ning i fråga om artikel 29.2 i direktivet än vad som gjorts tidigare. generellt utformad regel om grundläggande krav på åtgärder får alltså Prop. 2017/18:232 anses vara tillräcklig för att uppfylla kraven i direktivet. har framhållit är det med hänsyn till den tekniska utvecklingen och för- ändringar i samhället knappast lämpligt eller möjligt att på ett ändamåls- enligt och långsiktigt sätt författningsreglera detaljerade krav på säker- hetsåtgärder. Det bör dock framgå att sådana åtgärder ska vidtas för att skydda personuppgifterna, särskilt mot obehörig eller otillåten behand- ling och mot förlust, förstöring eller skada genom oavsiktliga händelser. Härigenom kommer också de mer preciserade åtgärderna i artikel 29.2 tydligare till uttryck. Punkterna a–h behandlar olika sätt att skydda per- sonuppgifter mot obehörig eller otillåten behandling. Punkterna i och j behandlar åtgärder för att förhindra förlust, förstöring eller skada bl.a. genom olyckshändelse. Även ramlagens bestämmelser om loggning och begränsning av tillgången till personuppgifter kan ses som förtydligan- den av de åtgärder som anges i artikel 29.2. Regeringen anser i likhet med utredningen, men till skillnad från Data- inspektionen, att vilka omständigheter som bör beaktas för att uppnå en lämplig skyddsnivå kan regleras i förordning. Utöver de omständigheter som anges i 31 § personuppgiftslagen bör behandlingens art, omfattning, sammanhang och ändamål beaktas. Särskild hänsyn bör tas till i vilken utsträckning känsliga personuppgifter behandlas och hur integritetskäns- liga övriga personuppgifter som behandlas är. anför att innebörden av begreppen skyddsåtgärder och säkerhetsåtgärder bör tydliggöras. Regeringen anser dock att det, utifrån de förslag som lämnas, inte är lämpligt att utveckla begreppens innebörd närmare i detta sammanhang. Om det uppstår behov av att ytterligare precisera vilka åtgärder som den personuppgiftsansvarige bör vidta kan det göras genom föreskrifter i förordning eller på myndighetsnivå. Riktlinjer kan också lämnas genom allmänna råd. Personuppgiftsbiträdenas skyldigheter tas upp i avsnitt 9.6.5. Vad är en personuppgiftsincident? Regeringens förslag: Personuppgiftsincident ska i ramlagen definie- ras som en säkerhetsincident som leder till oavsiktlig eller olaglig för- störing, förlust eller ändring eller obehörigt röjande av eller obehörig åtkomst till personuppgifter. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: En personuppgiftsincident är enligt artikel 3.11 en säkerhetsincident som leder till oavsiktlig eller olaglig för- störing, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt Personuppgiftsincident är ett nytt begrepp när det gäller data- På informationssäkerhetsområdet är ordet incident dock etablerat. Med en incident avses att något allvarligt och oplanerat har inträffat. 2017/18:232 En personuppgiftsincident motsvarar till viss del vad som i dagligt tal brukar kallas dataintrång. Med personuppgiftsincident avses dock inte bara ett sådant avsiktligt intrång, utan även olyckshändelser och andra oavsiktliga händelser som får oönskade effekter, t.ex. brand. I 20 § för- ordningen (2015:1052) om krisberedskap och bevakningsansvariga myn- digheters åtgärder vid höjd beredskap och i 10 a § säkerhetsskyddsför- ordningen (1996:633) används uttrycket it-incident för att beskriva i princip samma sak. Eftersom personuppgiftsincident används i data- skyddsförordningen bör det ordet användas i ramlagen. Ordet tydliggör att det rör sig om en händelse som får oönskade effekter för skyddet av personuppgifter. En incident kan inträffa genom yttre påverkan, men kan också bero på interna brister eller otillåtet handlande av någon inom organisationen. Det som är väsentligt för definitionen av personuppgiftsincident är inte hur händelsen uppkommit eller vem som åstadkommit den utan effekten av den. Både direktivet och dataskyddsförordningen innehåller regler om per- sonuppgiftsincidenter och definierar dem på samma sätt. Motsvarande begrepp bör användas i ramlagen. Personuppgiftsincident bör således definieras som en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller obehörigt röjande av eller obehörig åtkomst till personuppgifter. Regeringens förslag: Den personuppgiftsansvarige ska inom 72 tim- mar anmäla en personuppgiftsincident till tillsynsmyndigheten, utom i de fall där incidenten ska rapporteras enligt säkerhetsskyddslagen (1996:627) eller föreskrifter som har meddelats i anslutning till den lagen. Någon anmälan behöver inte göras om det är osannolikt att incidenten har medfört eller kommer att medföra någon risk för otill- börligt intrång i registrerades personliga integritet. Regeringens bedömning: Anmälningsförfarandet och vad anmälan ska innehålla kan regleras i förordning. Utredningens förslag överensstämmer i huvudsak med regeringens förslag och bedömning. Utredningen föreslår att någon anmälan inte ska behöva göras om det kan antas att en incident inte har medfört eller kommer att medföra någon risk för otillbörligt intrång i registrerades personliga integritet. Remissinstanserna: Säkerhetspolisen och instämmer i bedömningen att det bör införas ett undantag från skyldighe- ten att anmäla en personuppgiftsincident till tillsynsmyndigheten om händelsen ska anmälas enligt säkerhetsskyddsförordningen (1996:633). Datainspektionen framhåller att begreppet ”osannolikt” används i direk- tivet och föreslår att det begreppet används i stället för ”kan antas”, eftersom det enligt inspektionen är en stor skillnad mellan att något kan antas och att något anses vara osannolikt. önskar vägledning i fråga om dels hur tidsfristen ska beräknas om en incident inträffar på , dels hur en personuppgiftsansvarig ska anses ha fått kännedom om en incident. invänder mot att den per- Prop. 2017/18:232 sonuppgiftsansvarige själv får avgöra om en incident ska anmälas till tillsynsmyndigheten eller inte. Skälen för regeringens förslag och bedömning Enligt artikel 30.1 ska den personuppgiftsansvarige vid en personupp- giftsincident, utan onödigt dröjsmål och om möjligt , anmäla incidenten till tillsynsmyndigheten. Någon anmälan behöver emellertid inte göras om det är osannolikt att incidenten medför risk för fysiska personers rättigheter och friheter. I artikel 30.3 anges vad en anmälan till tillsynsmyndigheten ska innehålla. En anmälan ska bl.a. beskriva personuppgiftsincidentens art, de sannolika konsekvenserna av incidenten och vilka åtgärder som har vidtagits för att åtgärda den. Om det inte är möjligt att tillhandahålla all information får den enligt artikel 30.4 tillhandahållas i omgångar. Det finns inga bestämmelser om personuppgiftsincidenter i personupp- giftslagen eller myndigheternas registerförfattningar. Incidenter behand- las inte heller i Datainspektionens allmänna råd om säkerhet. Däremot ska incidenter i it-system rapporteras av andra skäl. I 20 § första stycket förordningen om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap föreskrivs att en myndighet skyndsamt ska rapportera it-incidenter som inträffat i myndighetens it-system till Myn- digheten för samhällsskydd och beredskap. Det gäller om incidenten all- varligt kan påverka säkerheten i den informationshantering som myndig- heten ansvarar för eller i tjänster som myndigheten tillhandahåller åt en annan organisation. En myndighet som tillhandahåller it-tjänster åt en annan organisation ska informera och vid behov samråda med den eller de uppdragsgivare som berörs av incidenten. Rapporteringsskyldigheten omfattar inte it-incidenter som enligt 10 a § säkerhetsskyddsförordningen ska rapporteras till Säkerhetspolisen eller Försvarsmakten. Exempel på sådana incidenter är incidenter i informa- tionssystem där hemliga uppgifter som gäller säkerhet behand- las eller i it-system som särskilt behöver skyddas mot terrorism. Säker- hetskyddsförordningen gäller för myndigheter, kommuner och landsting och för vissa bolag, föreningar, stiftelser och enskilda. Anmälningsskyldigheten bör regleras i ramlagen Som framgått är myndigheter skyldiga att rapportera it-incidenter, men den rapporteringen görs till andra myndigheter än tillsynsmyndigheten och har ett annat syfte. Regleringen i artikel 30 tar sikte på skyddet för de personuppgifter som påverkas av incidenten och konsekvenserna för registrerade. En personuppgiftsincident som inte snabbt åtgärdas kan leda till att registrerade drabbas av såväl ekonomisk skada som personlig kränkning. I skäl 61 nämns som exempel på skador som kan uppkomma vid en personuppgiftsincident bl.a. identitetsstöld och identitetsbedrägeri, 2017/18:232 diskriminering, skadat anseende och röjande av personuppgifter som är sekretesskyddade. I ramlagen bör det föreskrivas att den personuppgiftsansvarige ska anmäla personuppgiftsincidenter till tillsynsmyndigheten. Undantaget från anmälningsskyldighet vid incidenter som inte medfört risk för registrerade bör också framgå. Någon anmälan behöver t.ex. inte göras om incidenten har påverkat få personuppgifter som inte är av käns- lig art eller om skyddet för personuppgifterna påverkats att obehörig åtkomst inte varit möjlig. Regeringen anser i likhet med Datainspektionen att formuleringen av bestämmelsen bör följa direkti- vets lydelse. Av skäl 61 framgår att det är den personuppgiftsansvarige som ska visa att det är osannolikt att personuppgiftsincidenten medför en risk för fysiska personers rättigheter och friheter. Regeringen instämmer vidare i utredningens bedömning att behovet av att skydda hemliga uppgifter som rör säkerhet är så viktigt att endast den myndighet som utövar tillsyn över säkerhetsskyddet ska få ta del av sådan information Eftersom nationell säkerhet ligger utanför direktivets tillämpningsområde hindrar inte direktivet att sådana uppgif- ter som ska anmälas enligt 10 eller 10 a § säkerhetsskyddsförordningen undantas från anmälningsskyldigheten till tillsynsmyndigheten. Motsva- rande undantag kommer att gälla enligt den föreslagna lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (data- skyddslagen). Undantaget i brottsdatalagen bör utformas i linje med formuleringen i dataskyddslagen, dvs. anmälningsskyldigheten bör inte gälla personuppgiftsincidenter som ska rapporteras enligt säkerhets- skyddslagen (1996:627) eller föreskrifter som har meddelats i anslutning till den lagen (prop. 2017/18:105 s. 7). Vad ska anmälan innehålla? Det bör regleras vad en anmälan till tillsynsmyndigheten ska innehålla, men det kan göras i förordning. En anmälan av en personuppgiftsincident ska enligt artikel 30.3 beskriva personuppgiftsincidentens art, dvs. vad det är som har inträffat. Om det är möjligt bör det också anges vilka kategorier av och ungefärligt antal registrerade och personuppgiftsposter som berörs. Beroende på vad som har inträffat kan det ibland vara svårt att överblicka hur många personuppgifter som berörs av incidenten och hur många registrerade som kan ha drabbats. Den personuppgiftsansva- rige bör dock åtminstone redovisa en ungefärlig uppskattning. Dessutom bör anmälan innehålla en beskrivning av de sannolika konsekvenserna av personuppgiftsincidenten och vilka åtgärder som har vidtagits eller före- slagits för att åtgärda incidenten. En preliminär bedömning av konse- kvenserna av incidenten bör göras av den personuppgiftsansvarige. Be- skrivningen av vilka åtgärder som vidtagits bör även omfatta åtgärder för att mildra personuppgiftsincidentens negativa effekter. Anmälan bör också innehålla namnet på och kontaktuppgifter till dataskyddsombud eller annan kontaktpunkt hos den personuppgiftsansvarige. En anmälan till tillsynsmyndigheten bör göras så snabbt som möjligt och senast , vilket bör framgå av ramlagen. kommun har efterfrågat klargöranden i fråga om när fristen börjar löpa om en incident inträffar på . Avgörande är enligt direktivet när den personuppgiftsansvarige har fått kännedom om incidenten och inte när den har inträffat. Det är dock inte möjligt att i detta sammanhang närmare ange kriterierna för när en personuppgiftsansvarig ska anses ha fått kännedom om en incident. Eftersom det är fråga om regler till skydd för enskildas integritet är det dock av största vikt att anmälan görs så snart det kan ske. Anmälningsförfarandet kan i övrigt regleras i förordning. görs senare än efter det att den personuppgiftsansvarige har fått kännedom om personuppgiftsincidenten, bör anmälan innehålla en förklaring till förseningen. anmälan bör komma ifråga endast i särskilda fall där krävs för att överblicka personuppgiftsinci- denten och dess konsekvenser. Informationen bör få lämnas i omgångar om det inte är möjligt att lämna all information . inte fördröja anmälan. Om en anmälan av en personuppgiftsincident innebär att sekretessbe- lagda uppgifter behöver lämnas till tillsynsmyndigheten måste sekretes- sen kunna brytas. En bestämmelse som föreskriver att personuppgiftsan- svariga ska anmäla en personuppgiftsincident till tillsynsmyndigheten innebär en sådan uppgiftsskyldighet som avses i 10 kap. 28 § offentlig- hets- och sekretesslagen (2009:400). Sekretess hindrar då inte att uppgif- I 11 kap. 1 § offentlighets- och sekretesslagen regleras överföring av sekretess vid tillsyn. Där anges att om en myndighet i verksamhet som avser tillsyn, får en sekretessreglerad uppgift från en annan myndighet, blir sekretessbestämmelsen tillämplig på uppgiften även hos den motta- Vid anmälan av en personuppgiftsincident överförs således eventuell sekretess som gäller för uppgiften till tillsynsmyndig- Underrättelse till den registrerade Regeringens förslag: Om en personuppgiftsincident har medfört eller kan antas medföra särskild risk för otillbörligt intrång i registrerades personliga integritet, ska den personuppgiftsansvarige utan onödigt dröjsmål underrätta den registrerade om incidenten. skyldigheten gäller inte om den personuppgiftsansvarige har vidtagit vissa skyddsåtgärder eller om den skulle kräva oproportionerligt stora Den registrerade behöver inte heller underrättas om incidenten om det gäller sekretess eller tystnadsplikt för uppgifterna. Regeringens bedömning: Vilken information en underrättelse ska innehålla kan regleras i förordning. Utredningens förslag överensstämmer med regeringens förslag och Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag och bedömning Enligt artikel 31.1 ska den personuppgiftsansvarige, om en personupp- giftsincident sannolikt kommer att leda till hög risk för fysiska personers rättigheter och friheter, utan onödigt dröjsmål informera registrerade om incidenten. Informationen ska enligt artikel 31.2 innehålla en tydlig och klar beskrivning av personuppgiftsincidentens art och beskriva de sanno- lika konsekvenserna av incidenten och vilka åtgärder som har vidtagits eller föreslagits för att åtgärda incidenten. Kontaktuppgifter till data- skyddsombudet eller annan kontaktpunkt ska också uppges. I vissa fall behöver registrerade inte underrättas. Det gäller enligt arti- kel 31.3 om den personuppgiftsansvarige har genomfört lämpliga tek- niska och organisatoriska skyddsåtgärder och dessa åtgärder har tilläm- pats på de personuppgifter som påverkades av personuppgiftsincidenten eller om den personuppgiftsansvarige har vidtagit ytterligare åtgärder som säkerställer att den höga risken för registrerades rättigheter och friheter inte längre kommer att finnas. Underrättelseskyldigheten gäller inte heller om den skulle kräva en oproportionerlig ansträngning. Då ska i stället allmänheten informeras eller en liknande åtgärd vidtas som inne- bär att den registrerade informeras på ett lika effektivt sätt. Underrättelse till den registrerade får också, enligt artikel 31.5, senareläggas, begränsas eller utelämnas på de villkor och av de skäl som anges i artikel 13.3. Om den personuppgiftsansvarige inte har underrättat den registrerade, men tillsynsmyndigheten anser att personuppgiftsincidenten medför så hög risk att han eller hon bör underrättas, får tillsynsmyndigheten enligt artikel 31.4 kräva att den personuppgiftsansvarige gör det. Tillsynsmyn- digheten kan också besluta att någon underrättelse inte krävs därför att något av de villkor som anges i artikel 31.3 är uppfyllt. I vilka fall ska registrerade underrättas? Skyldigheten att underrätta registrerade om en personuppgiftsincident och undantagen från skyldigheten bör regleras i ramlagen, medan detal- jerna i förfarandet kan regleras i förordning. Underrättelse bör lämnas utan onödigt dröjsmål om personuppgiftsincidenten kan antas leda till särskild risk för otillbörligt intrång i registrerades personliga integritet. Av skäl 62 framgår att syftet med underrättelsen bl.a. är att den registre- rade ska kunna vidta nödvändiga försiktighetsåtgärder. Hur snabbt den personuppgiftsansvarige kan informera de registrerade beror på omständigheterna i det enskilda fallet. I skäl 62 framhålls att be- hovet av att mildra en omedelbar skaderisk kräver att de registrerade underrättas omgående, medan behovet av att vidta lämpliga åtgärder vid fortlöpande eller likartade incidenter kan motivera för under- rättelsen. Framför allt bör personuppgiftsincidentens art och den registre- rades intresse av och möjlighet att själv vidta åtgärder för att begränsa skadan beaktas. Även den tid det tar för den personuppgiftsansvarige att vidta akuta åtgärder för att begränsa skadan, avhjälpa fel och liknande bör beaktas. I ramlagen bör det också regleras under vilka omständigheter någon underrättelse till den registrerade inte behöver lämnas. Underrättelseskyl- dighet bör inte gälla om något av de villkor som anges i artikel 31.3 är Det innebär att den registrerade inte behöver underrättas om Prop. 2017/18:232 den personuppgiftsansvarige har vidtagit lämpliga skyddsåtgärder. t.ex. personuppgifter gått förlorade vid en brand men det finns tillfreds- ställande back-up-rutiner kan risken vara så låg att någon underrättelse inte krävs. Någon underrättelse krävs inte heller om den personuppgifts- ansvarige har vidtagit åtgärder som säkerställer att det inte längre finns särskild risk för otillbörligt intrång. Det kan t.ex. vara fråga om att till- gången till ett register har begränsats till dess att den personuppgifts- ansvarige har kunnat överblicka konsekvenserna av incidenten. Den regi- strerade behöver inte heller underrättas om det skulle kräva en opropor- tionerlig ansträngning av den personuppgiftsansvarige. Det skulle kunna vara fallet om en personuppgiftsincident t.ex. påverkar ett mycket stort antal registrerade. Då bör i stället allmänheten informeras på lämpligt sätt eller en liknande åtgärd vidtas för att de registrerade ska få nödvändig information. Vilken information ska lämnas? Det bör regleras vilken information som ska lämnas till den registrerade vid en personuppgiftsincident. Det kan göras i förordning. Begränsning av information till den registrerade Informationen till den registrerade får senareläggas, begränsas eller ute- lämnas i vissa fall. Syftet är enligt direktivet att undvika att rättsliga utredningar, förundersökningar eller andra förfaranden hindras eller att undvika menlig inverkan på brottsbekämpande åtgärder, lagföring eller verkställighet av straffrättsliga påföljder och att skydda allmän eller nationell säkerhet eller andra personers rättigheter och friheter.