prop · H503232 · 2018-04-19 00:00:00 — Det gäller antingen för att de tillämpar 9 § person- uppgiftslagen eller för att deras registerförfattningar innehåller en mot- svarande bestämmelse. En motsvarande bestämmelse om hur länge per- sonuppgifter får behandlas bör tas in i ramlagen. För att tydliggöra att det inte är fråga om bevarande i arkivlagens mening bör ordet behandlas användas i stället för bevaras. Personuppgifter bör alltså inte få behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Om en behörig myndighet behandlar en personupp- gift för flera ändamål varierar tiden för hur länge uppgiften behöver behandlas. Att det inte längre finns behov av att behandla per- sonuppgiften för ett visst ändamål medför inte att behandlingen av den måste upphöra för alla andra ändamål . Å andra sidan innebär det förhållandet att personuppgiften fortfarande behövs för ett visst ända- mål inte att den får fortsätta att behandlas för alla ändamål . Artikel 5 ger två möjligheter när det gäller att säkerställa att person- uppgifter inte behandlas längre än nödvändigt. Enligt artikeln ska det fastställas lämpliga tidsgränser för antingen radering av personuppgifter eller periodisk översyn av behovet av att lagra personuppgifter. Eftersom det enligt artikel 4.3 är tillåtet att behandla personuppgifter för arkivän- damål av allmänt intresse kan det inte rimligen krävas att uppgifterna ska raderas. Enligt regeringen bör artikeln tolkas så att det ska finnas frister för när behandlingen av personuppgifterna för ändamål inom direktivets tillämpningsområde ska upphöra. 2017/18:232 De flesta registerförfattningar föreskriver som nämnts frister för när behandlingen av personuppgifterna för ändamål som anges i författ- ningarna ska upphöra. I bestämmelserna anges att personuppgifterna ska gallras senast . Regeringen avser att se över termino- login för att renodla den i samband med att registerförfattningarna anpas- sas till ramlagen (se avsnitt 8.2.1). De frister som finns täcker dock inte all personuppgiftsbehandling som utförs av de behöriga myndigheterna. Regeringen håller med utredningen om att det varken är möjligt eller lämpligt att i ramlagen ställa upp en generell frist för när behandlingen av personuppgifter för ändamål inom ramlagens tillämpningsområde ska upphöra, eftersom det varierar hur länge myndigheterna behöver kunna behandla olika typer av personupp- gifter. Regleringen i ramlagen bör därför utgå från möjligheten att före- skriva tidsgränser för periodisk översyn av behovet av att behandla per- sonuppgifter. Enligt huvudregeln får personuppgifter inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Om den regeln kompletteras med en bestämmelse om att den behöriga myndigheten – om det saknas frist för när uppgifter inte längre får be- handlas för ändamål inom ramlagens tillämpningsområde – en gång ska se över behovet av att fortsatt behandla personuppgifterna, säkerställs att behandlingen upphör när det inte längre finns behov av den. För de behöriga myndigheter som inte har en registerförfattning, eller där registerförfattningen inte innehåller någon särskild frist för när personuppgifter inte längre får behandlas, kommer sistnämnda regel att gälla. Det är viktigt att de behöriga myndigheterna ser till att de frister för längsta tid för behandling som finns respekteras och skapar rutiner för att se över behovet av att fortsatt behandla personuppgifter. Regeringen anser, i likhet med utredningen, att de särskilda fristerna och den före- slagna bestämmelsen om periodisk översyn kan kompletteras med före- skrifter på lägre nivå om att de behöriga myndigheterna ska ha rutiner för att se till att bestämmelserna efterlevs. Direktivets krav på procedurrela- terade åtgärder blir därmed uppfyllt. och har väckt frågan hur kravet på årlig översyn förhåller sig till domstolarnas verksamhet. Kravet på årlig över- syn gäller endast om det saknas frist för hur länge personuppgifter får behandlas för ändamål inom ramlagens tillämpningsområde. Som fram- går ovan är syftet med både årlig översyn och fastställda frister för när personuppgiftsbehandling ska upphöra, att säkerställa att behöriga myn- digheter följer huvudregeln att personuppgifter inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Om det är nödvändigt för domstolarna att behandla per- sonuppgifter så länge mål och ärenden pågår, torde den årliga översynen för domstolarnas del kunna vara mycket generell. Av direktivets krav på fastställda tidsgränser för antingen radering eller periodisk översyn är det senare alternativet det minst ingripande. Enligt 8 § andra stycket personuppgiftslagen hindrar lagens bestämmel- ser om hur länge personuppgifter får bevaras inte att en myndighet arki- verar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Bestämmelsen gäller för några av de behöriga Arkivlagstiftningen har alltså i fråga om allmänna hand- lingar företräde framför personuppgiftslagens bestämmelser om längsta För polisen, åklagarväsendet och har det gjorts undantag från 8 § andra stycket. I de myndigheternas registerför- fattningar finns i stället som nämnts särskilda regler om gallring. Motsvarande reglering finns för och brottsbe- Enligt artikel 4.3 kan behandling inbegripa arkivändamål av allmänt För att tydliggöra att personuppgifter får arkiveras när de inte längre behövs för något av de andra i ramlagen tillåtna ändamålen bör det tas in en bestämmelse i ramlagen som motsvarar 8 § andra stycket I vilken utsträckning personuppgifterna ska gallras regleras i det arkivrättsliga regelverket. Det bör anmärkas att behandling för arkivändamål omfattas av data- skyddsförordningens tillämpningsområde, oavsett om det är den behöriga myndigheten som arkiverar personuppgifterna eller om de överlämnas till en arkivmyndighet. har ifrågasatt detta, men eftersom dataskyddsdirektivet och följaktligen den föreslagna ramlagen endast gäller för behöriga myndigheters personuppgiftsbehandling för vissa syften (se avsnitt 6), faller behandling av personuppgifter för arkivända- mål av allmänt intresse in under dataskyddsförordningen. har påpekat att domstolarna ofta har behov av att få tillgång till person- uppgifter som finns i avslutade mål. Om ett avslutat brottmål har arkive- rats blir dataskyddsförordningen tillämplig på de arkiverade personupp- Det hindrar inte att de arkiverade personuppgifterna hämtas för att behandlas i ett nyinkommet brottmål. Det blir då ramlagen och even- tuell annan lagstiftning som genomför dataskyddsdirektivet som ska tillämpas på de hämtade personuppgifterna. Regeringens förslag: Om ett beslut har rättsliga följder för en fysisk person eller annars i betydande grad påverkar honom eller henne och beslutet enbart grundas på automatiserad behandling av sådana per- sonuppgifter som är avsedda att bedöma hans eller hennes egenskaper, ska personen ha möjlighet att på begäran få beslutet prövat på nytt av någon person. Automatiserade beslut får inte enbart grundas på käns- liga personuppgifter. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Ingen av remissinstanserna yttrar sig särskilt om Skälen för regeringens förslag: I artikel 11 föreskrivs att det ska infö- ras förbud mot automatiserade beslut som inbegriper profilering, såvida 2017/18:232 inte sådana beslut är tillåtna enligt unionsrätten eller nationell rätt och det är föreskrivet lämpliga skyddsåtgärder för den enskilde. Skyddsåtgär- derna ska åtminstone ge den enskilde rätt till personlig kontakt med någon hos den personuppgiftsansvarige. Enligt skäl 38 ska skyddsåtgär- derna innefatta särskild information till den registrerade och rätt till per- sonlig kontakt för att möjliggöra för honom eller henne att framföra syn- punkter, att få beslutet förklarat för sig och att överklaga beslutet. Sådana beslut som avses i artikel 11 får inte grundas på känsliga personuppgifter, om inte lämpliga skyddsåtgärder har vidtagits. Med automatiserade beslut avses beslut som inte fattas av någon tjäns- teman utan som blir den automatiska följden av t.ex. att en viss handling ges in eller inte inkommer . Automatiserade beslut före- kommer i viss utsträckning inom den svenska förvaltningen, men det rör sig främst om beslut i skattefrågor och i frågor som regleras i socialför- säkringsbalken. Inom ramlagens tillämpningsområde förekommer det inga automatiserade beslut, men med teknikutvecklingen kan det inte uteslutas att det kommer att finnas sådana. Eftersom direktivet sätter gränser för beslut som har rättsliga följder för en fysisk person eller annars i betydande grad påverkar honom eller henne och som enbart grundas på automatiserad behandling av sådana personupp- gifter som är avsedda att bedöma hans eller hennes egenskaper, bör ram- lagen innehålla en bestämmelse om sådana beslut. Det finns dock inget skäl att öppna för möjligheten att meddela automatiserade beslut som enbart grundar sig på känsliga personuppgifter. Sådana beslut bör därför inte tillåtas. I 29 § personuppgiftslagen finns en liknande bestämmelse om automa- tiserade beslut. Den bör tjäna som utgångspunkt för hur bestämmelsen i ramlagen utformas. Information avseende automatiserade beslut behandlas i avsnitt 10.2.9 och överklagande i avsnitt 13.4. Regeringens förslag: Om det inte är särskilt föreskrivet får villkor för behandlingen av personuppgifter inte ställas upp i förhållande till en mottagare i en annan medlemsstat eller ett EU-organ, om det inte i motsvarande fall får ställas upp samma typ av villkor i förhållande till en svensk mottagare. Regeringens bedömning: Att mottagaren ska informeras om sådana villkor kan regleras i förordning. Utredningens förslag överensstämmer i huvudsak med regeringens förslag och bedömning. Utredningen föreslår att det i vissa författningar som innehåller bestämmelser om användningsbegränsningar ska införas en upplysning om att det i ramlagen finns bestämmelser om att villkor om hur personuppgifter får behandlas inte får ställas upp i vissa fall. Remissinstanserna: Ingen remissinstans invänder mot förslaget och Skälen för regeringens förslag och bedömning: I artikel 9.3 före- skrivs skyldighet för behöriga myndigheter att informera mottagare av personuppgifter om att det har ställts upp begränsningar för hur uppgif- terna får behandlas och att sådana användningsbegränsningar måste respekteras. Enligt artikel 9.4 ska fastställda villkor för behandlingen av personuppgifter inte tillämpas i förhållande till mottagare i andra med- lemsstater eller på byråer eller organ som har inrättats i enlighet med bestämmelserna om straffrättsligt samarbete och polissamarbete i fördra- get om Europeiska unionens funktionssätt (EUF-fördraget), med undan- tag för sådana villkor som är tillämpliga när personuppgifter i motsva- rande fall lämnas ut nationellt. Rätten att ställa upp användningsbegränsningar ska enligt artikel 9.3 framgå av unionsrätten eller av nationell rätt. Artikeln skapar ingen rätt för behöriga myndigheter att ställa upp användningsbegränsningar, utan innebär endast en skyldighet att informera när sådana villkor har ställts upp på grund av andra regler. Informationsskyldigheten kan regleras i förordning. Användningsbegränsningar ska enligt artikel 9.4 inte tillämpas i förhål- lande till mottagare i andra medlemsstater eller EU-organ, utom sådana villkor som är tillämpliga när personuppgifter i motsvarande fall lämnas ut nationellt. Artikeln torde innebära att användningsbegränsningar inte får ställas upp i större utsträckning i förhållande till mottagare i andra medlemsstater än vad som är tillåtet i förhållande till mottagare i den egna medlemsstaten. Det bör regleras att användningsbegränsningar inte får ställas upp i större utsträckning i förhållande till mottagare i en annan medlemsstat eller ett EU-organ än vad som gäller i förhållande till mottagare i , om det inte är särskilt föreskrivet. Bestämmelser om när användningsbegränsningar får ställas upp finns inom ramlagens tillämp- ningsområde i lagen (2000:562) om internationell rättslig hjälp i brott- mål, lagen (2000:1219) om internationellt tullsamarbete, lagen (2003:1174) om vissa former av internationellt samarbete i brottsutred- ningar, förordningen (2008:1396) om förenklat uppgiftsutbyte mellan brottsbekämpande myndigheter i Europeiska unionen, lagen (2017:496) om internationellt polisiärt samarbete och lagen (2017:1000) om en euro- peisk utredningsorder. Av artikel 60 framgår att direktivet inte ska påverka särskilda bestäm- melser om skydd av personuppgifter i unionsrättsakter på området som trädde i kraft eller tidigare, vilka gäller behandling mel- lan medlemsstater eller tillgång till informationssystem som inrättats på grundval av fördragen och som är relevanta för direktivets tillämpnings- område (se avsnitt 6.3). Dataskyddsbestämmelser i sådana rättsakter ska alltså gälla framför direktivet. Om det enligt en sådan rättsakt är tillåtet att ställa upp användningsbegränsningar i förhållande till andra med- lemsstater, trots att motsvarande möjlighet inte finns när det gäller nationella mottagare, bör därför bestämmelser om det kunna behållas. Bestämmelserna om användningsbegränsningar i de författningar som nämns ovan kommer således att gälla framför den bestämmelse som föreslås. Mot den bakgrunden bör sådana upplysningsbestämmelser som utredningen föreslår inte införas i aktuella författningar. Artikel 9.4 får tolkas som att den avser användningsbegränsningar i samband med upp- giftsutbyte i andra fall. 2017/18:232 8.5 Regeringens förslag: Personuppgifter som är nödvändiga för att framställa rättsstatistik ska lämnas till den myndighet som ansvarar för att framställa sådan statistik. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig om förslaget. Skälen för regeringens förslag: I avsnitt 6.1.2 anges att de brottsbe- kämpande myndigheternas registerförfattningar kommer att gälla utöver ramlagen och att en konsekvens av den ändrade strukturen är att vissa be- stämmelser som finns i registerförfattningarna kommer att behöva flyttas till ramlagen, om de är av den arten att de bör gälla för all verk- samhet inom direktivets tillämpningsområde. I 9 § lagen om behandling av personuppgifter inom kriminalvården, 2 kap. 14 § polisdatalagen, 2 kap. 12 § åklagardatalagen, 2 kap. 15 § tull- brottsdatalagen och 2 kap. 14 § skattebrottsdatalagen föreskrivs att per- sonuppgifter som är nödvändiga för att framställa rättsstatistik ska läm- nas till den myndighet som ansvarar för att framställa sådan statistik. Eftersom regleringen är av generell natur håller regeringen med utred- ningen om att en bestämmelse om det i stället bör införas i ramlagen. har ingen skyldighet att lämna sådan statistik och det finns därför ingen bestämmelse om uppgiftslämnande till rättssta- tistiken i kustbevakningsdatalagen. Det hindrar inte att regleringen place- ras i ramlagen. 9 Personuppgiftsansvariga och personuppgiftsbiträden 9.1 Vad innebär personuppgiftsansvar? 9.1.1 Definition av personuppgiftsansvarig Regeringens förslag: Personuppgiftsansvarig ska i ramlagen definie- ras som den behöriga myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Personuppgiftsansvar är ett centralt begrepp i dataskyddslagstiftningen. Utgångspunkten är att det alltid ska finnas någon som bär ansvaret för att dataskyddsreglerna följs vid be- handling av personuppgifter och som den enskilde kan vända sig till för att göra sina rättigheter gällande. Den personuppgiftsansvarige har det Det är viktigt att det tydligt framgår vem som är personupp- giftsansvarig och därför bör det i ramlagen definieras vad som avses med Personuppgiftsansvarig definieras i artikel 3.8 i direktivet som en be- Prop. 2017/18:232 hörig myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Definitionen i direktivet motsvarar den som finns i 3 § personuppgifts- lagen (1998:204). Definitionen är väl inarbetad och bör därför användas även i ramlagen. Det bör dock framgå att endast behöriga myndigheter kan vara personuppgiftsansvariga. Personuppgiftsansvarig bör följaktli- gen definieras som den behöriga myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Av artikel 3.8 i direktivet följer även en möjlighet att i nationell rätt be- stämma vem som är personuppgiftsansvarig för en viss behandling av personuppgifter. I de brottsbekämpande myndigheternas registerförfatt- ningar anges vem som är personuppgiftsansvarig för den aktuella verksamheten. Regeringen återkommer till hur detta ska regleras i sam- band med att registerförfattningarna anpassas till den nya ramlagen. När det gäller de verksamheter där endast ramlagen är tillämplig instämmer regeringen i utredningens bedömning att definitionen i ramlagen ger till- räcklig vägledning för vem som är personuppgiftsansvarig. Regeringens förslag: Den personuppgiftsansvarige ska vara ansvarig för all behandling av personuppgifter som utförs under dennes ledning eller på dennes vägnar. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Hovrätten för anser att bestäm- melsen om personuppgiftsansvarigas allmänna ansvar knappast handlar om deras skyldigheter och därför bör flyttas till kapitel 1. Övriga remiss- instanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Av ramlagen ska det framgå vad den personuppgiftsansvarige är skyldig att göra i olika situationer, t.ex. sam- arbeta med tillsynsmyndigheten, vidta säkerhetsåtgärder och utse data- skyddsombud. Detta bör regleras i ett eget kapitel i lagen som även om- fattar personuppgiftsbiträden och deras skyldigheter. Enligt artikel 4.4 i direktivet ska den personuppgiftsansvarige inte bara ansvara för att personuppgiftsbehandlingen utförs på ett lagligt och kor- rekt sätt och i övrigt i enlighet med de grundläggande principer som gäller för behandlingen, utan även kunna visa att principerna efterlevs. Det bör i ramlagen klargöras hur långt personuppgiftsansvaret sträcker sig. I en sådan grundläggande bestämmelse bör den personuppgiftsansva- riges helhetsansvar slås fast. I likhet med utredningen anser regeringen att den bestämmelsen bör placeras först i det kapitel som gäller person- uppgiftsansvariga, personuppgiftsbiträden och deras skyldigheter. Enligt skäl 50 i direktivet bör personuppgiftsansvariga åläggas ansvaret för all behandling av personuppgifter som de utför eller som utförs på deras vägnar. På så sätt kommer personuppgiftsansvaret att omfatta dels den personuppgiftsbehandling som förekommer vid den behöriga myn- 2017/18:232 digheten, dels den personuppgiftsbehandling som ett personuppgiftsbi- träde utför på den personuppgiftsansvariges vägnar. Den personuppgiftsansvariges helhetsansvar får också betydelse för det skadeståndsrättsliga ansvaret och ansvaret för eventuella sanktionsavgif- ter. Regeringen återkommer till dessa frågor (se avsnitt 13.3.2 och 12.4). Den omständigheten att det har utsetts ett dataskyddsombud påverkar inte personuppgiftsansvaret, eftersom ett dataskyddsombud inte har något ansvar för personuppgiftsbehandlingen (se avsnitt 9.5.3). Enligt artikel 23 ska den som får tillgång till personuppgifter endast be- handla dem enligt instruktion från den personuppgiftsansvarige. Varje medarbetare måste därför vid behandling av personuppgifter se till att regelverket för sådan behandling följs, men ansvaret för att medarbetarna får tillräckliga instruktioner och den utbildning som krävs vilar på den personuppgiftsansvarige. Skyldigheten att säkerställa författningsenlig Tekniska och organisatoriska åtgärder Regeringens förslag: Den personuppgiftsansvarige ska genom lämp- liga tekniska och organisatoriska åtgärder säkerställa och kunna visa att behandlingen av personuppgifter är författningsenlig och att den registrerades rättigheter skyddas. Den personuppgiftsansvarige ska också genom lämpliga tekniska och organisatoriska åtgärder se till att nödvändiga skyddsåtgärder integreras i behandlingen (inbyggt dataskydd). handlingssystem ska det som regel inte vara möjligt att behandla andra personuppgifter än de som är nödvändiga för varje särskilt angivet ändamål med behandlingen (dataskydd som standard). Regeringens bedömning: Vilka omständigheter som ska beaktas när den personuppgiftsansvarige beslutar om tekniska och organisato- riska åtgärder kan regleras i förordning. Att den personuppgiftsansvarige ska anta interna strategier för data- skydd kan också regleras i förordning. Utredningens förslag överensstämmer i sak med regeringens förslag Remissinstanserna: Datainspektionen invänder att artikel 20.2 i direk- tivet inte medger att kravet på dataskydd som standard begränsas till Vidare anser inspektionen att upp- räkningen i artikel 20.2 bör tas in i ramlagen. de utökade säkerhetskraven är betungande och ställer sig frågande till att de införs, särskilt när endast en begränsad del av myndighetens verksam- het omfattas av ramlagens tillämpningsområde. framhåller att det med hänsyn till upphandlingsreglerna kan finnas prak- tiska svårigheter med att byta ut eller justera befintliga standardprogram inför ikraftträdandet av lagförslaget. pet dataskydd som standard ingår i begreppet inbyggt dataskydd. anför vidare att begreppsbildningen bör ses över och göras konsekvent i det fortsatta lagstiftningsarbetet. Övriga remissinstanser Prop. 2017/18:232 yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag och bedömning Enligt artikel 19.1 ska den personuppgiftsansvarige vidta lämpliga tekni- ska och organisatoriska åtgärder för att säkerställa och kunna visa att be- handlingen utförs i enlighet med direktivet. Åtgärderna ska vidtas med beaktande av behandlingens art, omfattning, sammanhang och ändamål och riskerna för fysiska personers rättigheter och friheter. Åtgärderna ska ses över och uppdateras vid behov. Enligt artikel 19.2 ska åtgärderna, om det står i proportion till behandlingen, omfatta den personuppgiftsansva- riges genomförande av lämpliga strategier för dataskydd. I artikel 20.1 regleras principen om inbyggt dataskydd. Inbyggt data- skydd innebär att den personuppgiftsansvarige, både vid beslut om vilka medel behandlingen ska utföras med och vid själva behandlingen, ska genomföra lämpliga tekniska och organisatoriska åtgärder som återspeg- lar dataskyddsprinciper och integrerar nödvändiga skyddsåtgärder i be- handlingen. Åtgärderna ska vidtas med beaktande av den senaste ut- vecklingen, kostnader för genomförandet, behandlingens art, omfattning, sammanhang och ändamål och risken för fysiska personers rättigheter och friheter. Pseudonymisering anges som exempel på en åtgärd som bör vidtas och uppgiftsminimering som exempel på en dataskyddsprincip som bör genomföras. I artikel 20.2 kommer principen om dataskydd som standard till ut- tryck. Enligt artikeln ska den personuppgiftsansvarige genomföra lämp- liga tekniska och organisatoriska åtgärder för att, i standardfallet, säker- ställa att endast de personuppgifter behandlas som är nödvändiga för varje specifikt ändamål med behandlingen. Skyldigheten avser mängden insamlade uppgifter, behandlingens omfattning, hur länge uppgifterna får lagras och uppgifternas tillgänglighet. Framför allt ska åtgärderna säker- ställa att personuppgifter i standardfallet inte utan den enskildes medver- kan görs tillgängliga för ett obegränsat antal andra personer. Bestämmelserna om tekniska och organisatoriska åtgärder saknar mot- svarighet dataskyddsdirektiv och i personuppgiftslagen. I 31 § personuppgiftslagen finns dock bestämmelser om säkerhetsåtgärder.