prop · H503232 · 2018-04-19 00:00:00 — Para- grafen gäller för myndigheterna i rättskedjan, antingen genom en uttryck- lig hänvisning i registerförfattningarna eller genom att de registerförfatt- ningar som gäller utöver personuppgiftslagen inte har några avvikande regler. 10.2.5 Innebörden av artiklarna om information Regeringens bedömning: Artikel 13.1 avser allmän information som ska göras tillgänglig för registrerade. Artikel 13.2 avser personrelate- rad information som den personuppgiftsansvarige på eget initiativ ska lämna till en registrerad i ett enskilt fall, medan artikel 14 avser per- sonrelaterad information som ska lämnas på begäran. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans anför något i denna del. Skälen för regeringens bedömning Allmän eller personrelaterad information? Artiklarna om information innehåller till viss del samma eller liknande krav på vilken information som den personuppgiftsansvarige ska tillhan- dahålla; t.ex. anges ”ändamålen med behandlingen” både i artiklar- na 13.1 och 14 och ”behandlingens rättsliga grund” både i artiklarna 13.2 Bestämmelserna har emellertid enligt utredningens uppfattning Regeringen har ingen annan uppfattning. Artikel 13.1 avser allmän information som riktar sig till allmänheten eller en obestämd, större krets av registrerade. Det rör sig om upplys- ningar av generell karaktär som hänför sig till myndighetens personupp- giftsbehandling i allmänhet, exempelvis kontaktuppgifter till personupp- giftsansvarig, dataskyddsombud och tillsynsmyndigheten. också om allmänna upplysningar om hur man ansöker om rättelse, rade- ring eller begränsning av behandlingen av personuppgifter. Artikel 14 tar Prop. 2017/18:232 sikte på information riktad till en enskild registrerad om behandlingen av hans eller hennes personuppgifter (personrelaterad information). Eftersom artikel 13.2 avser information som ska lämnas i specifika fall för att göra det möjligt för den registrerade att utöva sina rättigheter, håller regeringen med utredningen om att artikeln inte kan syfta på upp- lysningar av generell karaktär. Regeringen bedömer därför att arti- kel 13.2, i likhet med artikel 14, avser personrelaterad information. En annan möjlig tolkning är att artikel 13.2 riktar sig till lagstiftaren som i lag eller förordning ska föreskriva i vilka fall information enligt artikeln ska lämnas. En sådan tolkning är dock som utredningen påpekar inte rimlig, eftersom det inte är möjligt att i författning reglera specifika fall där information bör lämnas för att den registrerade ska kunna ta till vara sina rättigheter. Till det kommer att artikel 11.1 c data- skyddsdirektiv, som har liknande utformning, har genomförts genom 25 § första stycket c personuppgiftslagen som riktar sig till den person- uppgiftsansvarige. Ska informationen göras tillgänglig eller lämnas? Artikel 13.1 föreskriver att informationen ska göras tillgänglig för den registrerade, medan det i artikel 13.2 föreskrivs att informationen ska lämnas till den registrerade. Som nämnts avser artikel 13.1 allmän information som riktar sig till en obestämd krets av registrerade. I kravet på att information ska vara tillgänglig ligger att de registrerade i princip ska ha möjlighet att ta del av informationen när de önskar. Informationen kan t.ex. publiceras på myndighetens webbplats (jfr skäl 42) eller finnas i en broschyr, folder eller annan informationsskrift. Informationen enligt artikel 13.2 avser som just konstaterats person- relaterad information som ska lämnas till den registrerade. Kravet får anses innebära att den personuppgiftsansvarige ska ge information riktat till den registrerade, t.ex. genom att skicka sådan information med post eller e-post eller lämna muntlig information. Det är således som utred- ningen konstaterar inte tillräckligt att enbart göra informationen tillgäng- lig på en webbplats, men den kan naturligtvis finnas där också. Enligt artikel 14 ska personrelaterad information lämnas till den regi- strerade i samband med ett besked om att hans eller hennes personupp- gifter behandlas. Ska informationen lämnas på eget initiativ eller först på begäran? En annan fråga är om artiklarna 13 och 14 förutsätter att den personupp- giftsansvarige informerar på eget initiativ eller om det krävs att den regi- strerade begär information. Eftersom artikel 13.1 avser allmän informa- tion som ska göras tillgänglig av den personuppgiftsansvarige på exem- pelvis en webbplats, framstår det som naturligt att den tillhandahålls på den personuppgiftsansvariges eget initiativ. Det som talar för att även personrelaterad information enligt artikel 13.2 ska lämnas ex officio är punkten d, som nämner personuppgifter som samlas in utan den registre- rades vetskap. Om personuppgifter samlats in utan den registrerades vetskap saknar han eller hon förutsättningar att begära information om 2017/18:232 behandlingen. Då krävs det att den personuppgiftsansvarige agerar för att se till att den registrerade får informationen. Viss ledning för hur artiklarna 13.2 och 14 bör tolkas kan hämtas från motsvarande bestämmelser i personuppgiftslagen och data- skyddsdirektiv som har ett likartat innehåll och liknande struktur. Arti- kel 13 motsvaras av 25 § personuppgiftslagen, som tillsammans med 23 och 24 §§ genomför artiklarna 10 och 11 direktiv. I för- arbetena anför regeringen att artiklarna, trots att det inte sägs uttryckli- gen, innebär att den personuppgiftsansvarige självmant ska lämna infor- mationen till den registrerade (prop. 1997/98:44 s. 78). I 25 § personupp- giftslagen föreskrivs att informationen ska lämnas självmant. Mot den bakgrunden håller regeringen med utredningen om att den personupp- giftsansvarige på eget initiativ ska lämna sådan information som avses i artikel 13.2. När det gäller artikel 14 är artikel 12 a direktiv och 26 § per- sonuppgiftslagen, som genomför artikeln, av intresse. Paragrafen ger den registrerade rätt till information om de personuppgifter som rör honom eller henne. Regeringen anför i förarbetena att artikel 12 a innebär att informationen bara behöver lämnas på den registrerades begäran (prop. 1997/98:44 s. 81). I 26 § personuppgiftslagen föreskrivs därför att infor- mationen ska lämnas efter ansökan. Artikel 12 a svarar mot artikel 14 i det nya direktivet, i vilken det anges att den registrerade ska få bekräf- telse av den personuppgiftsansvarige om personuppgifter som rör den registrerade behandlas och, om så är fallet, viss information om dessa uppgifter. Ordet bekräftelse tyder på att information enligt artikel 14 bara behöver lämnas på begäran. I motsvarande artikel i dataskyddsförord- ningen, artikel 15, används också ordet bekräftelse. Av skäl 63 i förord- ningen framgår att den registrerade ska göra en framställan, vilket ger ytterligare stöd för tolkningen att informationen i fråga bara behöver lämnas på begäran. I likhet med utredningen anser regeringen mot den bakgrunden att artikel 14 i direktivet avser personrelaterad information som ska lämnas först när den efterfrågas. 10.2.6Allmän information som ska göras tillgänglig Regeringens förslag: Den personuppgiftsansvarige ska göra viss all- män information tillgänglig för den registrerade. Bland annat ska kate- gorier av ändamål för behandlingen göras tillgänglig. Utredningens förslag överensstämmer i huvudsak med regeringens. Enligt utredningens förslag ska bl.a. ändamålen med behandlingen göras tillgänglig. anser att det bör framgå av författningstexten att det är ändamålen med behandlingen på en övergripande nivå som avses. Data- inspektionen välkomnar förslaget men anser att det finns en risk för att den personuppgiftsansvarige lämnar för lite information om ändamålen med behandlingen för det fall det skulle vara tillräckligt att, som utred- ningen menar, endast ge en god bild av personuppgiftsbehandlingen. framhåller Datainspektionen att för omfattande och detaljerad information inte heller är bra eftersom informationen då riskerar att bli Prop. 2017/18:232 oläsbar och svår för de registrerade att ta till sig. yttrar sig inte om förslaget. Skälen för regeringens förslag Artikel 13.1 anger vilken information den personuppgiftsansvarige alltid ska göra tillgänglig för registrerade. Det är fråga om den personuppgifts- ansvariges identitet och kontaktuppgifter, dataskyddsombudets kontakt- uppgifter och ändamålen med behandlingen. Även information om rätten att begära tillgång till personuppgifter och att begära rättelse, radering och begränsning av behandlingen och möjligheten att lämna in klagomål till en tillsynsmyndighet och dess kontaktuppgifter ska göras tillgänglig. Vilken information ska göras tillgänglig? En bestämmelse i ramlagen bör reglera vilken allmän information som ska göras tillgänglig enligt artikel 13.1. Den bör lista de uppgifter som räknas upp i artikeln. Hur uppgifterna bör göras tillgängliga diskuteras i avsnitt 10.2.5. Dataskyddsombudets kontaktuppgifter bör göras tillgängliga. Data- skyddsombud behandlas i avsnitt 9.5. Enligt utredningen behöver det inte vara en direkt kontaktuppgift till dataskyddsombudet, t.ex. hans eller hennes e-postadress, utan det är tillräckligt att ombudet går att nå via kontaktuppgiften. Regeringen instämmer i den bedömningen. Direktivet förutsätter inte att dataskyddsombudets identitet ska göras tillgänglig. finns det inte någon skyldighet att informera allmänheten om per- sonuppgiftsombudets identitet eller kontaktuppgifter, utan endast en skyldighet att anmäla uppgifterna till tillsynsmyndigheten. Det finns inte skäl att nu införa krav på att dataskyddsombudets identitet ska göras allmänt tillgänglig. Vidare ska den personuppgiftsansvarige enligt artikeln göra informa- tion om ändamålen med behandlingen tillgänglig. Samma krav ställs i 25 § första stycket b personuppgiftslagen. Som utvecklas i avsnitt 10.2.5 anser regeringen att det är fråga om upplysningar av generell karaktär som gäller den behöriga myndighetens personuppgiftsbehandling i all- mänhet. Det innebär att det inte är fråga om ändamålen för behandling i varje enskilt fall som avses utan för vilka kategorier av ändamål person- uppgifter får behandlas t.ex. förundersökningar, ärenden om strafföreläg- ganden eller brottmål. Detta bör, som och påpekar, framgå av författningstexten. Regeringen håller med utredningen om att det inte bör krävas en uttöm- mande uppräkning av för vilka ändamål personuppgifter behandlas. Det bör vara tillräckligt att enskilda genom uppräkningen får en god bild av den personuppgiftsbehandling som den behöriga myndigheten utför. Regeringen anser inte, till skillnad från Datainspektionen, att det därmed finns risk att för lite information lämnas om ändamålen med behand- lingen. Slutligen bör informationen också omfatta rätten att få information om behandlingen och att få del av personuppgifterna och rätten att begära 2017/18:232 rättelse, radering eller begränsning av behandlingen och möjligheten att lämna in klagomål till tillsynsmyndigheten. En allmän beskrivning av hur registrerade ska gå till väga för att kunna utöva dessa rättigheter, t.ex. hur man begär rättelse av personuppgifter, bör också göras tillgänglig av den personuppgiftsansvarige. kontaktuppgifter bör anges. 10.2.7 Information som ska lämnas i ett enskilt fall Regeringens förslag: Den personuppgiftsansvarige ska i ett enskilt fall lämna viss personrelaterad information till den registrerade, om det behövs för att han eller hon ska kunna ta till vara sina rättigheter. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Datainspektionen välkomnar förslaget men anser att utredningens tolkning av uttrycket ”specifika fall” riskerar att försvåra för registrerade att ta till vara sina rättigheter. Även Kriminalvården kommenterar uttrycket ”specifika fall”. Kriminalvården anser att uttrycket är otydligt och efterfrågar därför fler exempel samt ett tydliggö- rande av vad som ryms inom den nu aktuella informationsskyldigheten respektive informationsskyldigheten rörande personuppgiftsincidenter. förespråkar att formuleringen ”i specifika fall” utgår från lagtexten. Övriga remissinstanser yttrar sig inte om förslaget. Skälen för regeringens förslag Utöver den allmänna information som avses i artikel 13.1, ska den per- sonuppgiftsansvarige enligt artikel 13.2 i specifika fall lämna viss infor- mation för att göra det möjligt för den registrerade att utöva sina rättig- heter. Det gäller information om behandlingens rättsliga grund, hur länge personuppgifterna får behandlas eller kriterierna för att fastställa det, kategorier av mottagare av uppgifterna och den ytterligare information som det finns behov av, i synnerhet om personuppgifterna samlas in utan den registrerades vetskap. I skäl 42 anges att den registrerade bör infor- meras i den utsträckning som ytterligare information är nödvändig för att garantera att hans eller hennes personuppgifter behandlas korrekt. Vid den avvägningen ska de särskilda omständigheter under vilka personupp- gifterna behandlas beaktas. Vad är specifika fall? Ramlagen bör reglera vilken information som ska lämnas enligt arti- Att informationen ska riktas till den registrerade och lämnas på den personuppgiftsansvariges eget initiativ behandlas i avsnitt 10.2.5. Det som då återstår att diskutera är vad som avses med specifika fall. Information behöver endast lämnas i de fall där den registrerade behö- ver informationen för att kunna ta till vara sina rättigheter. ingen ledning för när det kan bli aktuellt. kan det vara om den enskilde riskerar att lida någon rättsförlust, t.ex. om känsliga personuppgifter har behandlats på otillåtet sätt. pel som utredningen ger är att personuppgifter har lämnats till fel motta- gare och att det kan komma att medföra negativa konsekvenser för den registrerade. Den personuppgiftsansvarige bör i sådana fall informera den registrerade om vad som har hänt och vilka åtgärder som han eller hon kan vidta, t.ex. att lämna in klagomål till tillsynsmyndigheten eller väcka talan om skadestånd. Enligt utredningen bör det inte krävas att den per- sonuppgiftsansvarige informerar vid sådana fel som inte kan antas ha någon negativ inverkan. Utredningen anser att det normalt bör krävas att det är fråga om överträdelser av regelverket som skulle kunna föranleda skadeståndsansvar, allvarlig kritik eller ingripande från tillsynsmyn- digheten eller någon annan liknande reaktion. Datainspektionen ser det som problematiskt att knyta rätten till information till en bedömning av sannolika effekter för den registrerade. Att informationsskyldigheten avser att göra det möjligt för den registrerade att ta till vara sina rättig- heter, talar enligt regeringen för den tolkning av artikeln som utredningen gör. Regeringen anser därför i likhet med utredningen att skyldigheten att lämna information som regel bör inträda först när det är fråga om över- trädelser av regelverket som kan antas få negativa följder för den regi- strerade. Kriminalvården efterfrågar mer vägledning för när bestämmel- sen kan bli tillämplig. Som ytterligare exempel kan nämnas att person- uppgifter har behandlats utan rättslig grund eller att personuppgifter har behandlats än regelverket tillåter. Information som rutinmässigt lämnas till en viss kategori av personer, t.ex. information till personer som lämnar salivprov för dna-analys enligt eller till vittnen om personuppgiftsbehandling i sam- band med ljud- och bildupptagning under domstolsförhandling, syftar i och för sig till att underlätta för dem att ta till vara sina rättigheter. Eftersom informationen i dessa fall lämnas till alla berörda är den inte personrelaterad. Det rör sig således inte om specifika fall. Datainspek- tionen invänder mot detta och anser att både de som lämnar salivprov och de som vittnar i en rättegång är betjänta av information enligt den nu aktuella bestämmelsen. Regeringen håller med om att de nämnda kate- gorierna av personer bör få information om personuppgiftsbehandlingen, men anser att den information som ska göras tillgänglig enligt förslaget i avsnitt 10.2.6. är tillräcklig i de fallen. Enligt regeringen är den gräns- dragning som utredningen gör mellan allmän information som ska till- gängliggöras och personrelaterad information som ska lämnas i specifika fall välbalanserad och rimlig. I avsnitt 9.4.3 föreslås att registrerade i vissa fall ska informeras om personuppgiftsincidenter. Kriminalvården väcker frågan hur den infor- mationsskyldigheten förhåller sig till skyldigheten att lämna personrela- terad information i specifika fall. Information om personuppgiftsinciden- ter aktualiseras bara när det har inträffat en säkerhetsincident, medan informationsskyldighet enligt den bestämmelse som föreslås aktuali- seras vid regelöverträdelser som kan antas få negativa konsekvenser för registrerade. Vidare syftar information om personuppgiftsincidenter till att de registrerade ska kunna vidta åtgärder för att skydda sig och sina personuppgifter, medan personrelaterad information i specifika fall syftar till att de registrerade ska kunna ta till vara sina rättigheter. De två infor- mationsskyldigheterna inträder alltså under olika förutsättningar och tjänar olika syften. Det utesluter dock inte att en personuppgiftsincident 2017/18:232 kan vara ett sådant specifikt fall som avses i artikel 13.2. Den registrera- de ska i så fall få information både för att det är fråga om ett specifikt fall och på grund av personuppgiftsincidenten. Lagrådet föreslår att uttrycket ”i specifika fall” utgår ur lagtexten. Enligt Lagrådet framgår det ändå av bestämmelsen att det rör sig om ett enskilt fall. Alternativt bör uttrycket enligt Lagrådets mening ersättas med ”i ett enskilt fall”. Även förespråkar att uttrycket ”i specifika fall” utgår ur lagtexten. Regeringen anser inte att uttrycket kan utgå. Det skulle kunna leda till oklarhet om hur bestämmelserna om rätt till information förhåller sig till varandra. Däremot håller regeringen med om att ”i ett enskilt fall” bör användas i stället för ”i specifika fall”. Även om det sistnämnda uttrycket används i direktivet är formuleringen ”i ett enskilt fall” tydligare och därför att föredra. Vilken information ska lämnas? Informationen som ska lämnas bör motsvara det som räknas upp i arti- kel 13.2. Den personuppgiftsansvarige bör således informera om den rättsliga grunden för behandlingen. Den personuppgiftsansvarige bör även informera om vilka kategorier som mottar personuppgifterna. Det bör räcka att ange vilken typ av myndighet som personuppgifterna läm- nas ut till, t.ex. socialnämnd eller åklagare. Enligt kommentaren till 26 § personuppgiftslagen, där motsvarande uttryck diskuteras, kan förhållan- devis allmän information om mottagare godtas (m.fl. s. 401). Om mottagarkategorin finns i ett tredjeland eller är en internationell organi- sation bör det anges. Vidare bör det framgå hur länge personuppgifterna får behandlas. Om det inte är möjligt att fastställa hur länge uppgifterna får behandlas i det enskilda fallet bör i stället kriterierna för att fastställa det anges. Det kan vara upplysningar om vilka omständigheter eller tidpunkter som styr hur länge personuppgifterna får behandlas, t.ex. nedläggning av förundersök- ning eller att ett visst antal år förflutit efter det att uppgifterna registre- rades. Den personuppgiftsansvarige bör också lämna övrig nödvändig infor- mation om behandlingen. Vad som är nödvändig information får bedö- mas med utgångspunkt i om den registrerade har behov av den för att kunna ta till vara sina rättigheter. Det kan t.ex. vara information om rät- ten att få del av personuppgifterna och rätten att begära rättelse, radering eller begränsning av behandlingen. Ett annat exempel är information om möjligheten att lämna in klagomål till tillsynsmyndigheten. Vid bedöm- ningen av om sådan övrig information bör lämnas ska det särskilt beaktas om personuppgifterna samlats in utan den registrerades vetskap. Det ligger i sakens natur att behovet av information är större om den registre- rade inte känner till att hans eller hennes personuppgifter behandlas. 10.2.8 Information som ska lämnas på begäran Prop. Regeringens förslag: Den personuppgiftsansvarige ska till den som begär det utan onödigt dröjsmål lämna skriftligt besked om huruvida personuppgifter som rör honom eller henne behandlas. Om sådana uppgifter behandlas, ska sökanden få del av uppgifterna och få viss skriftlig information om behandlingen. Sökanden behöver inte få del av personuppgifter som han eller hon redan har tagit del av, om det inte begärs. Det ska dock framgå av informationen att personuppgifterna i fråga behandlas. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen anser att det är tveksamt om undantaget från kravet på att lämna information har stöd i dataskydds- direktivet. föreslår att tiden för att lämna ut information preciseras till utan onödigt dröjsmål och senast inom en månad från det att den personuppgiftsansvarige har mottagit begäran. Att inte ange någon exakt bortre tidsgräns riskerar enligt att det skriftliga beskedet i praktiken kommer att dröja . Övriga remissinstanser yttrar sig inte om förslaget. Skälen för regeringens förslag Enligt artikel 14 ska den registrerade ha rätt att få bekräftelse av den per- sonuppgiftsansvarige om den registrerades personuppgifter behandlas. I så fall ska han eller hon få tillgång till personuppgifterna och viss annan information. Det gäller vilka personuppgifter som behandlas och all till- gänglig information om varifrån de härstammar. Den registrerade ska också få information om ändamålen med behandlingen och dess rättsliga grund, kategorier av personuppgifter, mottagare eller kategorier av mot- tagare, hur länge uppgifterna får behandlas eller kriterierna för att fast- ställa det, rätten att begära rättelse, radering eller begränsning av behand- lingen och möjligheten att lämna in klagomål till tillsynsmyndigheten och kontaktuppgifterna till den. Rätten att få del av personuppgifter För att den enskilde ska kunna hålla sig underrättad om hans eller hennes personuppgifter behandlas och kunna kontrollera om behandlingen utförs författningsenligt bör ramlagen innehålla en bestämmelse som motsvarar Den bör räkna upp de typer av information som anges i arti- Enligt artikel 14 är det den registrerade som har rätt att få tillgång till personuppgifter som rör honom eller henne och information om behand- Det uttrycks på samma sätt i artikel 12 dataskydds- I 26 § personuppgiftslagen har lagstiftaren i stället valt ut- trycken ”var och en som ansöker” respektive ”den sökande”. logiskt, eftersom den som begär besked om hans eller hennes personupp- gifter behandlas kan få ett nekande svar. Vederbörande kan då inte be- tecknas som registrerad. Uttrycket ”sökanden” bör därför användas i 2017/18:232 Enligt artikel 14 ska den registrerade få tillgång till personuppgifterna som behandlas och viss information om behandlingen. Artikel 15 i data- skyddsförordningen är utformad på motsvarande sätt. I likhet med utred- ningen anser regeringen att för att syftet med artikel 14 ska uppnås – att den registrerade ska kunna kontrollera om hans eller hennes personupp- gifter behandlas författningsenligt – bör han eller hon kunna få del av uppgifterna och inte bara få information om behandlingen. Det bör därför föreskrivas att om uppgifter om sökanden behandlas ska han eller hon få del av dem och få viss skriftlig i paragrafen uppräknad information om behandlingen. Att information och uppgifter behöver lämnas först när den registrerade begär det behandlas i avsnitt 10.2.5. Begränsning av till- gången behandlas i avsnitt 10.3. Vilka personuppgifter har sökanden rätt att få del av? Om den personuppgiftsansvarige behandlar personuppgifter om sökan- den ska alltså han eller hon få del av uppgifterna.