prop · H503232 · 2018-04-19 00:00:00 — Den personuppgiftsansvarige bör även se till att ombudet ges utrymme för vidareutbildning och annan kun- skapsinhämtning. Bestämmelser om det som har sagts kan tas in i för- ordning. 2017/18:232 9.6 Regeringens förslag: Personuppgiftsbiträde ska i ramlagen definieras som den som behandlar personuppgifter för den personuppgiftsansva- riges räkning. Utredningens förslag överensstämmer delvis med regeringens. Enligt utredningens förslag ska personuppgiftsbiträde definieras som den som, med stöd av ett skriftligt avtal eller annan skriftlig överenskommelse, be- handlar personuppgifter för den personuppgiftsansvariges räkning. Remissinstanserna: Datainspektionen och påpekar att artikel 3.9 i direktivet inte innehåller något krav på skriftliga avtal eller skriftliga överenskommelser vid anlitande av personuppgifts- biträden och anför att denna skillnad mellan direktivets och lagens lydel- ser kan leda till oklarheter vid tillämpningen. De anser därför att direkti- vets definition ska användas. Skälen för regeringens förslag: Personuppgiftsbiträde definieras i artikel 3.9 som en fysisk eller juridisk person, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning. Det motsvarar i sak definitionen i 3 § personuppgiftslagen. Ut- redningen anser att det ska framgå av definitionen att det ska finnas ett skriftligt avtal eller annan skriftlig överenskommelse mellan personupp- giftsbiträdet och den personuppgiftsansvarige. Som Datainspektionen och invänder, ställer direktivets definition av personuppgiftsbiträde inte något krav på en skriftlig överenskommelse. Mot den bakgrunden anser regeringen, till skillnad från utredningen, att inte heller ramlagens definition bör innehålla något krav på en skriftlig överenskommelse. Personuppgiftsbiträde bör mot den bakgrunden defi- nieras som den som behandlar personuppgifter för den personuppgiftsan- svariges räkning. Därmed kommer definitionen att överensstämma med den som finns i dataskyddsförordningen. Ett personuppgiftsbiträde måste alltid finnas utanför den personupp- giftsansvariges organisation. En anställd eller någon annan som behand- lar personuppgifter under den personuppgiftsansvariges direkta ansvar kan inte vara personuppgiftsbiträde. Regeringens förslag: Den personuppgiftsansvarige ska, om det är lämpligt, få anlita personuppgiftsbiträden. En personuppgiftsansvarig som anlitar ett personuppgiftsbiträde ska försäkra sig om att biträdet vidtar lämpliga tekniska och organisatoriska åtgärder för att behand- lingen av personuppgifter ska vara författningsenlig och för att skydda registrerades rättigheter. Det ska finnas ett skriftligt avtal eller annan skriftlig överenskom- melse om personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räkning. Ett personuppgiftsbiträde ska inte få anlita ett annat personuppgifts- biträde utan skriftligt tillstånd från den personuppgiftsansvarige. Regeringens bedömning: Vad avtalet eller överenskommelsen ska innehålla kan regleras i förordning. Det som i övrigt ska gälla för tillstånd från den personuppgiftsan- svarige att få anlita ett annat personuppgiftsbiträde kan regleras i för- ordning. Utredningens förslag överensstämmer i sak med regeringens förslag och bedömning. Remissinstanserna: anser att det saknas en analys av när det kan anses vara lämpligt att anlita privata underbiträden. Sveri- ges advokatsamfund efterfrågar en ytterligare analys av riskerna vid anlitande av personuppgiftsbiträden som bedriver sin verksamhet utom- lands, särskilt eftersom sådana biträden kan behöva lämna uppgifter till utländska myndigheter. Skälen för regeringens förslag och bedömning Enligt artikel 22.1 får den personuppgiftsansvarige endast anlita person- uppgiftsbiträden som ger tillräckliga garantier om att vidta lämpliga tek- niska och organisatoriska åtgärder, så att behandlingen uppfyller kraven i direktivet och säkerställer att den registrerades rättigheter skyddas. Personuppgiftsbiträdets behandling ska enligt artikel 22.3 regleras genom ett avtal eller annan rättsakt enligt unionsrätten eller nationell rätt. Avtalet ska enligt artikel 22.4 vara skriftligt. Av artikel 22.3 framgår att föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av personuppgifter, kategorier av registrerade och den personuppgiftsansvariges skyldigheter och rättighe- ter ska regleras i avtalet eller motsvarande. Därutöver ska vissa krav och villkor särskilt anges, t.ex. att personuppgiftsbiträdet säkerställer att per- soner som har tillstånd att behandla personuppgifterna har tystnadsplikt. Personuppgiftsbiträdet ska också radera eller återlämna alla personupp- gifter till den personuppgiftsansvarige när uppdraget har avslutats och radera befintliga kopior av personuppgifterna, om inte lagring av dem krävs enligt unionsrätten eller nationell rätt. Enligt artikel 22.2 får personuppgiftsbiträdet inte anlita ett annat per- sonuppgiftsbiträde utan skriftligt förhandstillstånd av den personupp- giftsansvarige. Om ett allmänt tillstånd har erhållits, ska personuppgifts- biträdet alltid informera den personuppgiftsansvarige om planer på att anlita nya personuppgiftsbiträden eller ersätta personuppgiftsbiträden. Regler om personuppgiftsbiträden finns i artikel 17.2 och 17.3 dataskyddsdirektiv, som har genomförts i 30 och 31 §§ personuppgifts- lagen. Enligt 31 § andra stycket ska den personuppgiftsansvarige, när denne anlitar ett personuppgiftsbiträde, förvissa sig om att biträdet kan vidta de säkerhetsåtgärder som krävs och se till att biträdet gör det. Det är dock den personuppgiftsansvarige som har ansvaret gentemot den registrerade även när ett personuppgiftsbiträde anlitas (prop. s. 93). Det ska enligt 30 § andra stycket personuppgiftslagen finnas ett skriftligt avtal om personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räkning. I avtalet ska det särskilt före- skrivas att personuppgiftsbiträdet bara får behandla personuppgifter i enlighet med instruktioner från den personuppgiftsansvarige och att per- sonuppgiftsbiträdet ska vidta de säkerhetsåtgärder som avses i 31 § första stycket för att skydda personuppgifterna. Myndigheternas registerförfattningar hänvisar antingen till dessa para- grafer eller saknar avvikande bestämmelser. Personuppgiftsbiträden ska kunna anlitas På direktivets område är det ovanligt att myndigheter anlitar utomstående privata aktörer för behandling av personuppgifter, men det kan före- komma. träffas också överenskommelser mellan myndigheter där en myndighet agerar personuppgiftsbiträde åt en annan. Det behövs där- för bestämmelser i ramlagen som reglerar anlitandet av personuppgiftsbi- träden. På samma sätt som bör det krävas att den personuppgiftsansva- rige försäkrar sig om att personuppgiftsbiträdet ska vidta nödvändiga säkerhetsåtgärder och ser till att det görs. Artikel 22.1 omfattar inte bara säkerhetsåtgärder, utan även andra tekniska och organisatoriska åtgärder som säkerställer att behandlingen är författningsenlig och utförs på ett korrekt sätt och att personuppgifterna skyddas. Den personuppgiftsansva- rige bör innan ett personuppgiftsbiträde anlitas bl.a. förhöra sig om hur biträdet kommer att behandla uppgifterna tekniskt, hur arbetet är organi- serat och vilket skydd personuppgifterna har hos biträdet. Bestämmelsen måste anses gå längre än de nu gällande kraven på personuppgiftsansva- riga. Bestämmelsen i ramlagen bör därför ha en något vidare formulering än motsvarande bestämmelse i personuppgiftslagen. Ansvarsfördelningen mellan den personuppgiftsansvarige och personuppgiftsbiträdet Den personuppgiftsansvarige är ansvarig för all behandling av person- uppgifter som utförs på dennes vägnar. Den personuppgiftsansvarige ansvarar således både i förhållande till tillsynsmyndigheten och i förhål- lande till registrerade för att reglerna i ramlagen och andra tillämpliga författningar följs vid personuppgiftsbehandling hos ett personuppgiftsbi- träde. Den personuppgiftsansvarige kan uppdra åt biträdet att utföra viss behandling av personuppgifter, men kan inte avsäga sig personuppgifts- ansvaret och de skyldigheter som följer med det. Den personuppgiftsan- svarige är också skadeståndsskyldig gentemot enskilda vid felaktig be- handling av personuppgifter hos personuppgiftsbiträdet. Att biträdet kan bli skadeståndsskyldigt gentemot den personuppgiftsansvarige är en annan sak. Den omständigheten att flera bestämmelser i direktivet riktar sig direkt till personuppgiftsbiträden innebär ingen förändring av ansvarsfördel- ningen mellan personuppgiftsansvariga och personuppgiftsbiträden. får dock i vissa fall utkräva ansvar även av person- uppgiftsbiträden. Om ett personuppgiftsbiträde t.ex. inte vidtar nödvän- diga säkerhetsåtgärder kan tillsynsmyndigheten vidta åtgärder mot både biträdet och den personuppgiftsansvarige. Likaså kan båda åläggas sank- Prop. 2017/18:232 tionsavgift för sådana brister hos biträdet. Personuppgiftsbiträdets roll ska regleras i en överenskommelse På samma sätt som bör det krävas ett skriftligt avtal eller någon annan skriftlig överenskommelse mellan personuppgiftsbiträdet och den personuppgiftsansvarige. I artikel 22.3 anges relativt utförligt vad ett sådant avtal ska innehålla. I jämförelse med motsvarande bestämmelse dataskyddsdirektiv ställs det väsentligt högre krav på innehållet. Ramlagen bör dock inte tyngas av alltför detaljerade bestämmelser. Även om det anges i personuppgiftslagen vad ett personuppgiftsbiträdes- avtal ska innehålla anser regeringen därför att den mer detaljbetonade regleringen bör finnas i förordning. Varken dataskyddsdirektiv eller personuppgiftslagen reglerar förutsättningarna för när ett personuppgiftsbiträde får anlita ett annat personuppgiftsbiträde, ett underbiträde. Det är av grundläggande betydelse att den personuppgiftsansvarige känner till vilka personuppgiftsbiträden som behandlar personuppgifter för dennes räkning. Av ramlagen bör det därför framgå att ett personupp- giftsbiträde inte får anlita ett annat personuppgiftsbiträde utan att den personuppgiftsansvarige har lämnat skriftligt tillstånd till det. Att person- uppgiftsbiträden som har fått ett generellt tillstånd att anlita underbiträ- den ska vara skyldiga att informera den personuppgiftsansvarige när underbiträden anlitas kan regleras i förordning. Syftet med informationen är att den personuppgiftsansvarige ska ha möjlighet att invända mot anli- tandet av nya biträden. har efterfrågat en analys av när det kan anses vara lämpligt att anlita privata underbiträden. Regeringen anser dock inte att det är lämpligt att utöver regleringen i direktivet ställa upp några sär- skilda kriterier för när biträden får anlitas. Vid tveksamheter kring det tilltänkta biträdets förmåga att uppfylla sina skyldigheter bör biträdet inte anlitas. har för sin del väckt frågor kring ris- kerna med att anlita utländska personuppgiftsbiträden. Sådana eventuella risker måste också vägas in av den personuppgiftsansvarige när biträden anlitas, men det är knappast möjligt att generellt utesluta möjligheten att anlita biträden som har sin verksamhet utomlands. 9.6.3Behandling enligt den personuppgiftsansvariges instruktioner Regeringens förslag: Ett personuppgiftsbiträde och de som arbetar under biträdets ledning ska behandla personuppgifter i enlighet med instruktioner från den personuppgiftsansvarige. Om ett personuppgiftsbiträde bestämmer ändamålen med och med- len för behandlingen ska biträdet anses vara personuppgiftsansvarig för den behandlingen. 2017/18:232 Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag Innehållet i direktivet och nuvarande reglering Enligt artikel 23 får personuppgiftsbiträdet och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överin- seende, och som får tillgång till personuppgifter, endast behandla uppgif- terna enligt instruktion från den personuppgiftsansvarige. Undantag gäl- ler dock om någon enligt unionsrätten eller nationell rätt är skyldig att behandla personuppgifter. Om så är fallet får personuppgiftsbiträdet göra det även utan instruktion från den personuppgiftsansvarige. En likadan bestämmelse finns i artikel 16 dataskyddsdirek- tiv. Den har genomförts i 30 § första stycket personuppgiftslagen. Där föreskrivs att ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning får behandla personuppgifter bara i enlighet med instruktioner från den per- sonuppgiftsansvarige. Om det i lag eller annan författning finns särskilda bestämmelser om behandlingen av personuppgifter i det allmännas verk- samhet i sådana frågor, gäller emellertid de bestämmelserna i stället för 30 § första stycket. Det som främst avses är bestämmelser om tystnads- plikt och sekretess (prop. 1997/98:44 s. 136). I artikel 22.5 föreskrivs att ett personuppgiftsbiträde som i strid med direktivet fastställer ändamålen med och medlen för behandlingen ska anses vara personuppgiftsansvarig avseende den behandlingen. Någon motsvarande bestämmelse finns inte . Behandling enligt den personuppgiftsansvariges instruktioner Det bör framgå av ramlagen att ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets ledning ska behandla personuppgif- ter i enlighet med instruktioner från den personuppgiftsansvarige. Det framgår inte av direktivet hur utförliga instruktioner som ska läm- nas till biträdet. Instruktionerna bör givetvis vara så tydliga att otillåten behandling inte utförs (jfr SOU 1997:39 s. 336). Den överenskommelse som styr personuppgiftsbiträdets uppdrag ska innehålla viss information som ger instruktioner till biträdet, bl.a. om behandlingens varaktighet, art och ändamål. Instruktionerna kan också gälla exempelvis hur tillgången till personuppgifter hos biträdet ska begränsas, om biträdet ska använda kryptering vid kommunikation och andra åtgärder som krävs för data- skydd. Enligt skäl 64 bör ett personuppgiftsbiträde endast överföra per- sonuppgifter till ett tredjeland eller en internationell organisation om biträdet fått i uppdrag att göra det. Sådana uppdrag bör också framgå av de instruktioner som den personuppgiftsansvarige lämnar till biträdet. Eftersom ramlagen är subsidiär kommer avvikande bestämmelser i annan författning att gälla framför bestämmelserna i ramlagen, vilket framgår av den föreslagna bestämmelsen i lagens 1 kap. 5 §. Om det finns avvikande regler i annan lagstiftning som anger att någon är skyldig att utföra en viss behandling, exempelvis att lämna ut allmänna hand- lingar, innebär det att behandlingen får utföras utan särskilda instruk- Prop. 2017/18:232 tioner. Att den som bestämmer ändamålen med och medlen för behandlingen är att anse som personuppgiftsansvarig framgår av definitionen av personuppgiftsansvarig. Det bör i ramlagen tydliggöras att ett personupp- giftsbiträde som går utanför sin befogenhet och behandlar personuppgif- ter för något annat ändamål än enligt sina instruktioner är personupp- giftsansvarig för den behandlingen. I sådana fall kan biträdet bli skade- ståndsskyldig eller påföras sanktionsavgift på grund av den behand- lingen. Trots att personuppgiftsbiträdet kanske inte är en behörig myndighet enligt definitionen i ramlagen bör den behandling som biträdet utför i egenskap av personuppgiftsansvarig omfattas av lagens regler. Bestäm- melsen i direktivet om att personuppgiftsbiträden blir personuppgiftsans- variga i den nu aktuella situationen har till syfte att säkerställa att be- handlingen av personuppgifterna utförs enligt direktivets bestämmelser. Direktivet är skräddarsytt för behandlingen av personuppgifter för vissa ändamål. Det skulle innebära ett sämre skydd för enskilda om person- uppgiftsbiträdenas behandling inte skulle följa den regleringen om de går utanför sina instruktioner. Det som har sagts kan dock bara gälla så länge syftet med behandlingen ligger inom ramlagens tillämpningsom- råde. Skulle personuppgiftsbiträdet behandla uppgifterna för helt andra ändamål blir dataskyddsförordningen tillämplig. 9.6.4Skyldighet att förteckna behandlingar Regeringens bedömning: Personuppgiftsbiträdets skyldighet att för- teckna de kategorier av behandling som utförs för en personuppgifts- ansvarigs räkning får regleras i förordning. Utredningens förslag överensstämmer med regeringens bedömning. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens bedömning: Enligt artikel 24.2 ska person- uppgiftsbiträden föra register över de kategorier av behandling som ut- förs för en personuppgiftsansvarigs räkning, vilket är en nyhet. I artikeln räknas ett antal uppgifter upp som ska framgå av registret, som enligt artikel 24.3 på begäran ska göras tillgängligt för tillsynsmyndigheten. Den dokumentationsskyldighet för personuppgiftsbiträden som artikeln föreskriver kan regleras i förordning. De uppgifter som anges i arti- kel 24.2 bör framgå av registret. Någon särskild bestämmelse om att dokumentationen ska göras tillgänglig för tillsynsmyndigheten behövs inte (jfr avsnitt 9.2.7). 9.6.5Övriga skyldigheter för personuppgiftsbiträden Regeringens förslag: Ett personuppgiftsbiträde ska ha samma skyl- digheter som en personuppgiftsansvarig att logga vissa typer av behandlingar, begränsa tillgången till personuppgifter, vidta säker- hetsåtgärder och samarbeta med tillsynsmyndigheten. Regeringens bedömning: Personuppgiftsbiträdets skyldighet att underrätta den personuppgiftsansvarige om personuppgiftsincidenter kan regleras i förordning. Utredningens förslag överensstämmer med regeringens förslag och bedömning. Remissinstanserna: anser att ett personuppgiftsbiträde ska ha samma skyldighet som den personuppgiftsansvarige att genom tekniska åtgärder se till att dataskyddsprinciper säkerställs. Skälen för regeringens förslag och bedömning: Flera av skyldighe- terna för personuppgiftsansvariga gäller även för personuppgiftsbiträden. Det är samarbetsskyldigheten enligt artikel 26, skyldigheten enligt arti- kel 29 att vidta lämpliga säkerhetsåtgärder och skyldigheten enligt arti- kel 25 att föra loggar. När det gäller förhandssamråd enligt artikel 28 föreskrivs att den personuppgiftsansvarige eller personuppgiftsbiträdet ska samråda med tillsynsmyndigheten. Som anges i avsnitt 9.6.2 ska en personuppgiftsansvarig som anlitar ett personuppgiftsbiträde försäkra sig om att biträdet vidtar lämpliga tek- niska och organisatoriska åtgärder för att behandlingen av personuppgif- ter ska vara författningsenlig och för att skydda registrerades rättigheter. Regeringen anser, till skillnad från , att det saknas skäl att i ramlagen dessutom ange att ett personuppgiftsbiträde ska ha samma skyldighet som den personuppgiftsansvarige att genom tekniska åtgärder se till att dataskyddsprinciper säkerställs. Den personuppgiftsansvariges skyldighet att logga vissa typer av be- handlingar, samarbeta med tillsynsmyndigheten och vidta lämpliga åtgär- der för att skydda personuppgifterna regleras i ramlagen. Det bör framgå av ramlagen att bestämmelserna i fråga gäller även för personuppgiftsbi- träden. Skyldigheten att begränsa tillgången till personuppgifter till vad varje tjänsteman behöver för att fullgöra sina arbetsuppgifter bör gälla även för personuppgiftsbiträden, vilket bör framgå av ramlagen. Förhandssamråd med tillsynsmyndigheten bör dock bara vara en skyl- dighet för den personuppgiftsansvarige, eftersom denne är ansvarig även för den behandling som personuppgiftsbiträdet utför. Den föreslagna be- stämmelsen om förhandssamråd bör därför inte gälla för personuppgifts- biträden. Eftersom det i artikel 28 anges att den personuppgiftsansvarige eller personuppgiftbiträdet i vissa fall ska samråda med tillsynsmyndig- heten kan en sådan reglering inte anses strida mot direktivet. Ett person- uppgiftsbiträde kan dock behöva bistå den personuppgiftsansvarige under förhandssamrådet om samrådet t.ex. rör förändringar avseende redan på- gående personuppgiftsbehandling som utförs av biträdet. Skyldigheten att samarbeta med tillsynsmyndigheten föreslås gälla även för person- Samarbetsskyldigheten gäller generellt och omfattar därigenom även samarbete från biträdets sida vid förhandssamråd om det Prop. 2017/18:232 blir aktuellt. Enligt artikel 30.2 ska ett personuppgiftsbiträde utan onödigt dröjsmål underrätta den personuppgiftsansvarige efter att ha fått vetskap om en personuppgiftsincident. Det som avses bör rimligen vara en incident hos personuppgiftsbiträdet eller något biträde som denne i sin tur anlitat. Syftet med bestämmelsen är att den personuppgiftsansvarige, efter att ha fått vetskap om incidenten, ska anmäla den till tillsynsmyndigheten om förutsättningarna för sådan anmälan är uppfyllda. Eftersom det är den personuppgiftsansvarige som ska anmäla personuppgiftsincidenter enligt ramlagen bör det föreskrivas att ett personuppgiftsbiträde ska underrätta den personuppgiftsansvarige om personuppgiftsincidenter hos biträdet. Det kan regleras i förordning. Regleringen av personuppgiftsbiträdens skyldigheter medför inga större skillnader i förhållande till dagens reglering. Enligt 30 § andra stycket personuppgiftslagen är ett personuppgiftsbiträde skyldigt att vidta sådana säkerhetsåtgärder som avses i 31 § första stycket. Det ska också föreskrivas i biträdesavtalet. Personuppgiftsbiträden är alltså skyldiga att vidta lämpliga åtgärder för att skydda de personuppgifter som behandlas. Det innebär ett indirekt krav på att begränsa tillgången till personuppgifter genom exempelvis behörighetstilldelning och att logga behandlingar för att kunna kontrollera åtkomsten till personuppgif- terna. Den enda nyheten är att tillsynsmyndigheten kan vidta åtgärder mot både personuppgiftsansvariga och personuppgiftsbiträden om de brister i sina skyldigheter. Eftersom den personuppgiftsansvarige fort- farande är ansvarig för den behandling som personuppgiftsbiträdet utför torde det sällan bli aktuellt att utnyttja den möjligheten. Den personuppgiftsansvarige definieras i personuppgiftslagen som den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen. Två eller flera personuppgiftsansvariga kan därför vara gemensamt personuppgiftsansvariga för viss behandling av Om så är fallet, och vad deras respektive ansvar då innebär, kan dock vara svårt att avgöra. Det finns ingen reglering av vad det innebär om flera tillsammans bestämmer ändamålen med och medlen Ett samarbete mellan två eller flera myndigheter medför inte automa- tiskt ett gemensamt ansvar för behandlingen av personuppgifter. avgörande är i stället om de deltagande myndigheterna i någon mån till- sammans bestämmer ändamålen med och medlen för behandlingen. många fall då myndigheter samarbetar framgår det av de faktiska om- ständigheterna vem som är ansvarig för vilken personuppgiftsbehandling, t.ex. genom att det endast är en myndighet som har tillgång till person- uppgifterna eller it-systemet, eller om myndigheterna agerar i olika ske- den av en process. Det förhållandet att två myndigheter använder samma datasystem eller att en myndighet ger en annan myndighet direktåtkomst 2017/18:232 till ett visst datasystem innebär inte heller per automatik att det uppstår ett gemensamt personuppgiftsansvar. förekommer dock att flera myndigheter är ansvariga för samma behandling, om samarbetet innebär att de deltagande myndigheterna tillsammans bestämmer exempelvis vilka uppgifter som ska läggas in, lagras eller tas bort. Den oklarhet som råder i fråga om gemensamt personuppgiftsansvar innebär att det kan vara svårt för den enskilde att veta vem han eller hon ska vända sig till för att få information om personuppgiftsbehandlingen eller för att göra eventuella anspråk gällande.