prop · H503232 · 2018-04-19 00:00:00 — En åtgärd kan emellertid inte vidtas om den strider mot annan lagstiftning. Det innebär t.ex. att en myndighet inte kan radera uppgifter i en allmän handling utan författningsstöd för gallring. 10.5Hur informationen ska begäras och lämnas 10.5.1Kraven på informationen och på den som begär den I direktivet anges vissa allmänna krav på hur den personuppgiftsansva- rige ska tillhandahålla information. Det handlar om att den information som lämnas ska vara kortfattad, lättillgänglig och lättbegriplig och läm- nas i lämplig form. Information om handläggningen ska lämnas. Vidare ska informationen som huvudregel vara avgiftsfri. Reglerna syftar till att underlätta den registrerades möjligheter att ta till vara sina rättigheter. Direktivet innehåller även bestämmelser om den personuppgiftsansva- riges skyldighet att underrätta såväl enskilda som andra om vissa beslut. Det ställs däremot få krav i direktivet på den som begär att få informa- tion av den personuppgiftsansvarige. Indirekt kan det utläsas vissa så- dana krav, t.ex. genom att den personuppgiftsansvarige har rätt att vägra att lämna information i vissa fall. Regeringens bedömning: Kraven på en begäran om information eller att en åtgärd ska vidtas kan regleras i förordning. Utredningens förslag överensstämmer med regeringens bedömning. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens bedömning: Direktivet innehåller som nämnts inga direkta bestämmelser om vad som krävs av den som begär information eller att en korrigeringsåtgärd ska vidtas. I 26 § andra stycket personuppgiftslagen föreskrivs att en ansökan ska göras skriftligen hos den personuppgiftsansvarige och vara undertecknad av sökanden. Kravet på egenhändigt undertecknande innebär att ett ombud inte kan underteck- na ansökan. Däremot kan vårdnadshavare och andra ställföreträdare underteckna ansökan för den som inte har rätt att själv begära informa- tion eller åtgärder. Något krav på egenhändigt undertecknad ansökan ställs inte dataskyddsdirektiv. Det härrör i stället från en be- stämmelse om registerutdrag i 10 § datalagen (1973:289). Syftet med kravet är att säkerställa att det är den registrerade som får tillgång till informationen (SOU 1997:39 s. 389 och prop. 1997/98:44 s. 82). I dagens informationssamhälle, där allt fler privatärenden utförs elektroniskt, är det enligt regeringen av vikt att en ansökan kan göras på Regeringen anser därför att en ansökan bör kunna göras både på papper och elektroniskt. Det ligger också i linje med avsikten att Prop. 2017/18:232 underlätta för den registrerade att utöva sina rättigheter (jfr artikel 12). Regleringen bör således vara teknikneutral. Vilka närmare krav som bör ställas på en begäran om information eller att en åtgärd ska vidtas kan regleras i förordning och myndighetsföreskrifter. 10.5.3Åtgärder för att säkerställa att begäran görs av en behörig person Regeringens bedömning: Det kan regleras i förordning att det ska säkerställas att begäran görs av en behörig person. Utredningens förslag överensstämmer med regeringens bedömning. Remissinstanserna: Ingen remissinstans anför något i den här delen. Skälen för regeringens bedömning: Om det finns skäl att ifrågasätta den registrerades identitet vid en begäran om information eller en korri- geringsåtgärd, får den personuppgiftsansvarige enligt artikel 12.5 kräva den ytterligare information som är nödvändig för att bekräfta identiteten. Sådan information bör endast behandlas för det specifika ändamålet och inte lagras längre än vad som krävs för det ändamålet. Som nämnts är syftet med dagens krav på egenhändigt underteck- nande att garantera att det är den registrerade som får tillgång till person- uppgifter och information eller begär att en åtgärd ska vidtas med person- uppgifter som behandlas. Det bör givetvis undvikas att obehöriga får kännedom om integritetskänslig information om andra. Det finns emel- lertid möjlighet att fastställa den registrerades identitet på annat sätt än genom en egenhändigt undertecknad handling, t.ex. genom avancerad elektronisk underskrift. En annan möjlighet att säkerställa från vem begä- ran kommer kan vara att kontakta den registrerade. Regeringen håller med utredningen om att det bör ställas krav på att den personuppgiftsansvarige på lämpligt sätt säkerställer att begäran gjorts av en behörig person. Den personuppgiftsansvarige kan exempel- vis ställa kontrollfrågor som bekräftar identiteten vid direktkontakt med den registrerade. Hur det närmare bör göras finns det inte anledning att gå in på här, men utgångspunkten bör vara att dels underlätta för den registrerade, dels ha en teknikneutral lösning. Det kan regleras i förord- ning att den personuppgiftsansvarige bör säkerställa att begäran görs av en behörig person. 10.5.4Lättbegriplig information i lämplig form Regeringens bedömning: Det kan regleras i förordning vilka krav som ställs på information till enskilda. Utredningens förslag överensstämmer med regeringens bedömning. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens bedömning Enligt artikel 12.1 är den personuppgiftsansvarige skyldig att vidta rim- liga åtgärder för att informationen till den registrerade om hans eller hennes rättigheter tillhandahålls i en koncis, begriplig och lättillgänglig form och på ett klart och tydligt språk. Det handlar om den information som den registrerade har rätt till enligt dels artikel 13, dels artiklarna 11, 14–18 och 31. Informationen ska tillhandahållas på lämpligt sätt. Den personuppgifts- ansvarige ska i allmänhet lämna informationen i samma form som begä- ran. Av skäl 39 framgår att information till den registrerade bör vara lätt- åtkomlig, t.ex. genom att tillhandahållas på den personuppgiftsansvariges webbplats. ställs inte några särskilda krav på hur information till den registre- rade ska utformas och lämnas, utöver att den i vissa fall ska lämnas på den personuppgiftsansvariges eget initiativ. I Datainspektionens all- männa råd om information till registrerade framhålls att det är den per- sonuppgiftsansvarige som har bevisbördan för att den registrerade har fått den information som krävs och att det därför ligger i den personupp- giftsansvariges intresse att informationen är tydlig och begriplig. Om informationen bör lämnas muntligen eller skriftligen avgörs av omstän- digheterna i det enskilda fallet. Datainspektionen ger råd om hur infor- mation bör lämnas i olika situationer beroende på hur personuppgifterna samlas in. Inspektionen rekommenderar att den personuppgiftsansvarige utformar tydliga rutiner för hur information ska lämnas. Förvaltningslagen innehåller bestämmelser om förvaltningsmyndighe- ternas serviceskyldighet och allmänna krav på handläggning av ärenden. Bland annat ska myndigheter se till att kontakterna med enskilda blir smidiga och enkla och ärenden ska handläggas så enkelt, snabbt och kostnadseffektivt som möjligt utan att rättssäkerheten eftersätts. Enligt 11 § språklagen (2009:600) ska språket i offentlig verksamhet vara vår- dat, enkelt och begripligt. Behövs det särskild reglering? Regleringen i förvaltningslagen och språklagen innebär att det redan finns generella krav på begriplighet och klart och tydligt språk som gäller i offentlig verksamhet. Det innebär att kraven i direktivet är uppfyllda för större delen av den verksamhet som ramlagen omfattar. Det kan dock ändå finnas skäl att ha en särskild bestämmelse om att information till registrerade om personuppgiftsbehandling ska vara lättillgänglig och lättbegriplig samt lämnas i lämplig form, eftersom det är ett så komplext ämne. I att den ska vara lättillgänglig och lättbegriplig ligger att den normalt bör vara kortfattad. Frågan kan regleras i förordning. Åtgärder som underlättar utövandet av Regeringens bedömning: Att den personuppgiftsansvarige ska under- lätta för den registrerade att ta till vara sina rättigheter kräver inga lag- Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig om bedömningen. Skälen för regeringens bedömning: Enligt artikel 12.2 ska den per- sonuppgiftsansvarige underlätta utövandet av den registrerades rättighe- I skäl 40 framhålls särskilt rutiner för att kostnadsfritt begära och få tillgång till personuppgifter, rättelse, radering och begränsning av be- Alla myndigheter har en i förvaltningslagen fastlagd serviceskyldighet. Det finns också allmänna krav på myndigheternas och domstolarnas Även de förfaranderegler som gäller i mål- och ärende- hantering hos de behöriga myndigheterna innehåller sådana bestämmel- Enligt 6 § (2017:900) förvaltningslagen ska varje myndighet se till att kontakterna med enskilda blir smidiga och enkla och lämna sådan hjälp till enskilda att han eller hon kan ta till vara sina intressen. ska ges i den utsträckning som är lämplig med hänsyn till frågans art, den enskildes behov av hjälp och myndighetens verksamhet. myndigheten ska hjälpa enskilda att ta till vara sin rätt i angelägenheter inom dess verksamhetsområde. Det kan gälla exempelvis upplysningar om hur man gör en ansökan, råd om vilka handlingar som bör bifogas och hjälp med att fylla i blanketter. Det finns delvis likartade bestäm- melser för domstolarna. Bestämmelsen i artikel 12.2 är generellt utformad och närmast att se som en inledande bestämmelse till de efterföljande punkterna i artikeln, som preciserar vad den personuppgiftsansvarige ska göra för att under- lätta för den registrerade att utöva sina rättigheter. i utredningens uppfattning att artikel 12.2 därför inte behöver genom- föras i svensk rätt. Skyldighet att informera om handläggningen Regeringens bedömning: Skyldigheten att informera om handlägg- ningen kräver inga lagstiftningsåtgärder. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans kommenterar bedömningen. Skälen för regeringens bedömning: Den personuppgiftsansvarige ska enligt artikel 12.3 utan onödigt dröjsmål skriftligen informera den regi- strerade om uppföljningen av hans eller hennes begäran. Regeringen instämmer i utredningens bedömning att artikel 12.3 syftar till att förhindra att den personuppgiftsansvarige dröjer alltför länge med att behandla en registrerads begäran om information eller om en kor- Vilken information som ska lämnas i de fall där den per- sonuppgiftsansvarige är skyldig att lämna svar framgår inte av direktivet, 2017/18:232 utöver att svaret ska vara en uppföljning av begäran. I artiklarna 12.3 och 12.4 i dataskyddsförordningen föreskrivs i motsvarande bestämmelser att informationen ska avse de åtgärder som har vidtagits eller orsaken till att åtgärderna inte har vidtagits. Eftersom det inte finns motsvarande regler i direktivet skulle det, som också utredningen menar, leda för långt att be- gära att den personuppgiftsansvarige ska ange vilka åtgärder som har vidtagits eller motivera varför några åtgärder inte vidtagits i anledning av begäran. I likhet med utredningen tolkar regeringen artikeln så att det som krävs av den personuppgiftsansvarige är att den registrerade infor- meras om hur begäran hanteras, dvs. status för handläggningen av den. Det ligger också i linje med svensk förvaltningstradition att kräva att den personuppgiftsansvarige när det begärs bekräftar att en handling tagits emot och anger om den är under handläggning eller inte. När det gäller begäran om rättelse, radering eller begränsning av be- handlingen föreskrivs att åtgärderna ska vidtas utan onödigt dröjsmål (se avsnitt 10.4.1–3). Detsamma gäller begäran om personrelaterad informa- tion (se avsnitt 10.2.8). Det kommer därför inte att finnas något behov av att informera om handläggningen annat än om det uppstår något oförut- sett dröjsmål. Att den registrerade vid behov ska hållas informerad om handläggningen följer av allmänna förvaltningsrättsliga principer och den allmänna serviceskyldigheten i förvaltningslagen och kräver därför enligt regeringen inte några lagstiftningsåtgärder. 10.5.7Beslut ska vara skriftliga och motiverade Regeringens bedömning: Att beslut ska vara skriftliga och i vissa fall motiverade kan regleras i förordning. Utredningens förslag överensstämmer med regeringens bedömning. Remissinstanserna: Ingen remissinstans yttrar sig särskilt i denna del. Skälen för regeringens bedömning: Enligt artikel 15.3 ska den per- sonuppgiftsansvarige skriftligen informera den registrerade om sådan information som avses i artikel 14 vägras eller begränsas och om skälen för att det görs. Av skäl 45 framgår att beslut om begränsning av infor- mation ska inkludera de faktiska och rättsliga skäl som beslutet grundar sig på. Det bör därför föreskrivas att beslut att inte lämna personrelaterad information ska vara skriftliga och motiverade. Att den personuppgiftsansvarige kan vägra att lämna information om en begäran är orimlig eller uppenbart ogrundad eller ta ut avgift om be- gäran är återkommande behandlas i avsnitt 10.3.4. Beslut om att ta ut avgift eller att inte lämna information bör vara skriftliga och motiverade. Enligt artikel 16.4 ska den personuppgiftsansvarige underrätta den registrerade skriftligen om beslut att inte rätta, radera eller begränsa behandlingen. Besluten ska vara motiverade. Det bör därför föreskrivas att beslut i fråga om rättelse, radering eller begränsning av behandlingen ska vara skriftliga. Beslut som går den registrerade emot ska också vara motiverade. Att skälen för besluten inte behöver lämnas ut i vissa fall behandlas i avsnitt 10.3.1. Att besluten ska vara skriftliga och i vissa fall motiverade kan regleras Regeringens bedömning: Underrättelseskyldigheter knutna till en- skildas rättigheter kan regleras i förordning. Utredningens förslag överensstämmer med regeringens bedömning. Remissinstanserna: Ingen remissinstans anför något i denna del. Skälen för regeringens bedömning Som nämnts ska den personuppgiftsansvarige enligt artikel 15.3 utan onödigt dröjsmål skriftligen informera den registrerade om sådan information som avses i artikel 14 vägras eller begränsas och om skälen En sådan underrättelse kan enligt artikeln utelämnas om den skulle undergräva ändamålet med åtgärden. ska även underrätta den registrerade om möjligheten att lämna in klago- mål till en tillsynsmyndighet eller begära rättslig prövning. kel 15.4 ska den personuppgiftsansvarige dokumentera de sakliga och rättsliga grunderna för beslutet. Informationen ska göras tillgänglig för Om den personuppgiftsansvarige inte har lämnat information till den registrerade eller inte uppgett skälen för beslut att avslå begäran om rät- telse, radering eller begränsning av behandling ska enligt artikel 17.2 den registrerade underrättas om möjligheten att utöva rättigheterna genom I de fall där behandlingen begränsas för att den registrerade bestrider att personuppgifterna är korrekta och det rätta förhållandet inte kan fast- ställas, ska enligt artikel 16.3 den personuppgiftsansvarige underrätta den registrerade innan begränsningen av behandlingen upphävs. kel 16.4 ska den personuppgiftsansvarige underrätta den registrerade skriftligen om ett beslut att inte rätta, radera eller begränsa behandlingen. Han eller hon ska också underrättas om möjligheten att lämna in klago- mål till en tillsynsmyndighet eller begära rättslig prövning. personuppgift har rättats ska enligt artikel 16.5 den personuppgiftsansva- rige underrätta den behöriga myndighet från vilken personuppgiften Artikel 16.6 föreskriver att om personuppgifter har rättats, rade- rats eller behandlingen av dem har begränsats ska den personuppgifts- ansvarige underrätta mottagarna om åtgärden. Mottagarna ska rätta eller radera personuppgifterna eller begränsa den behandling som utförs under Enligt förvaltningslagen, som tillämpas när en myndighet agerar i egen- skap av personuppgiftsansvarig, ska beslut som regel motiveras. gäller även för brottsbekämpande myndigheter och för domstolar i fråga om administrativa beslut. En myndighet som meddelar ett beslut ska även underrätta den som är part om det fullständiga innehållet i beslutet. Det krävs således inte någon lagstiftningsåtgärd för att uppfylla det kravet i artikel 15.3. Artikeln innehåller dock ett undan- denna skyldighet, nämligen att den registrerade inte behöver 2017/18:232 underrättas om underrättelsen skulle undergräva ändamålet med åtgär- den. Det kan vara fallet om skälen för beslutet skulle riskera att röja information som hänför sig till något av de intressen som enligt direktivet får läggas till grund för att begränsa informationen. Regeringen håller med utredningen om att ett sådant undantag är nödvändigt för att sökan- den inte genom avslagsbeslutet ska kunna få del av information som han eller hon annars inte har rätt att få. Kraven på sådana beslut behandlas i avsnitt 10.5.7. Sökanden bör utan onödigt dröjsmål underrättas om ett sådant beslut, om det inte skulle skada det intresse som föranleder att information inte har lämnats. Det kan regleras i förordning. Att den personuppgiftsansvarige ska underrätta sökanden om möjlig- heten att begära rättslig prövning kräver inte någon lagstiftningsåtgärd, eftersom skyldigheten att upplysa enskilda om huruvida ett beslut är överklagbart och hur det går till att överklaga följer av förvaltningslagen. Sökanden bör dock underrättas om möjligheten att lämna in klagomål till tillsynsmyndigheten och att begära att den kontrollerar om hans eller hennes personuppgifter behandlas författningsenligt. Det kan regleras i förordning. Underrättelsen kan lämpligen lämnas i det beslut där den efterfrågade informationen begränsas eller inte lämnas ut. Regeringen instämmer i utredningens uppfattning att det inte heller krävs någon bestämmelse om att den personuppgiftsansvarige ska doku- mentera de sakliga och rättsliga grunderna för beslut och göra informa- tionen tillgänglig för tillsynsmyndigheten. Grunderna för ett beslut ska enligt förvaltningslagen framgå av skälen. rätt att få tillgång till dokumentation för att kunna utöva tillsyn behandlas i av- snitt 11.7.3. Att den personuppgiftsansvarige kan vägra att lämna information om en begäran är orimlig eller uppenbart ogrundad eller ta ut avgift för den om begäran är återkommande behandlas i avsnitt 10.3.4 och kraven på sådana beslut i avsnitt 10.5.7. Sökanden bör underrättas om beslutet. Det kan regleras i förordning. I avsnitt 10.5.7 behandlas också kraven på beslut om rättelse, radering eller begränsning av behandlingen. Den registrerade ska underrättas om beslutet och om möjligheten att lämna in klagomål till tillsynsmyndig- heten. Om den personuppgiftsansvarige inte har angett skälen för beslutet att inte lämna information ska den registrerade också underrättas om möjligheten att begära att tillsynsmyndigheten kontrollerar om hans eller hennes personuppgifter behandlas författningsenligt. Det kan regleras i förordning. Även skyldigheten att informera innan en begränsning av behandling av personuppgifter upphör kan regleras i förordning. Enligt 28 § personuppgiftslagen ska i vissa fall tredje man underrättas om att personuppgifter har rättats. Den personuppgiftsansvarige ska på begä- ran av den registrerade underrätta tredje man som fått uppgifterna om rät- telsen. Någon underrättelse behöver dock inte lämnas om det skulle visa sig vara omöjligt eller skulle kräva en oproportionerligt stor arbetsinsats. Paragrafen genomför artikel 12 c dataskyddsdirektiv, som också gör undantag från kravet på underrättelse till tredje man om det visar sig vara omöjligt eller innebär en oproportionerligt stor ansträng- Prop. 2017/18:232 ning. När det gäller underrättelse till tredje man enligt artikel 16.6 medger direktivet inte ett sådant undantag som finns i 28 § personuppgiftslagen. En underrättelse bör således alltid skickas på den personuppgiftsansvari- ges eget initiativ till mottagaren, om en personuppgift har rättats eller raderats eller behandlingen av den har begränsats. Underrättelseskyldig- heten kan regleras i förordning. Vilka åtgärder som bör vidtas behandlas i avsnitt 8.1.6. Någon underrättelse bör inte krävas i den personuppgiftsansvariges egen verksamhet. Det följer av de grundläggande kraven på behandling att den personuppgiftsansvarige ska se till att felaktiga personuppgifter inte behandlas. Den personuppgiftsansvarige har därför intresse av att inom den egna organisationen på lämpligt sätt sprida kännedom om de rättelser och ändringar som görs. Enligt artikeln ska mottagare av personuppgifter som har rättats, rade- rats eller där behandlingen har begränsats vidta motsvarande åtgärder med personuppgifter som behandlas under deras ansvar. Om en behörig myndighet underrättas om att en personuppgift som den har tagit emot har rättats, raderats eller att behandlingen av den har begränsats av den myndighet som överlämnat den, ska den behöriga myndigheten pröva om motsvarande åtgärd även bör göras där. Skyldigheten att agera följer av förslaget om att den personuppgiftsansvarige ska vara skyldig att på eget initiativ rätta personuppgifter som är felaktiga eller ofullständiga, upp- datera personuppgifter som är inaktuella och radera eller begränsa be- handlingen av personuppgifter som har behandlats på ett otillåtet sätt (se avsnitt 8.1.6). Någon ytterligare reglering behövs därför inte. Eftersom myndigheter kan ha olika ändamål för behandlingen behöver dock en korrigeringsåtgärd hos en myndighet inte alltid leda till samma åtgärd hos en annan, trots att det är fråga om samma personuppgift. Om en felaktig eller ofullständig personuppgift har rättats eller kom- pletterats ska den personuppgiftsansvarige underrätta den myndighet från vilken personuppgiften kommer. En bestämmelse om det bör tas in i förordning. 10.5.9Information ska inte avgiftsbeläggas Regeringens förslag: Information om behandlingen av personuppgif- ter som den personuppgiftsansvarige ska lämna på eget initiativ och information om automatiserade beslut ska lämnas utan avgift. Infor- mation som ska lämnas på begäran är avgiftsfri en gång . Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig om förslaget. Skälen för regeringens förslag: Enligt artikel 12.4 ska den registrera- des rättigheter vara kostnadsfria. Det handlar dels om kostnadsfri infor- mation om behandlingen av den registrerades personuppgifter enligt arti- kel 13, dels om att meddelanden eller åtgärder enligt artiklarna 11, 14–18 och 31 ska vara kostnadsfria. 2017/18:232 Myndigheters information och beslut är som huvudregel kostnadsfria, om inte annat föreskrivs. För att tydliggöra att så är fallet bör det i ram- lagen föreskrivas att information som den personuppgiftsansvarige läm- nar på eget initiativ om behandlingen av den registrerades personupp- gifter ska vara avgiftsfri. Detsamma gäller den personuppgiftsansvariges information till den registrerade om automatiserade beslut. Som framgår av avsnitt 10.3.4 anser utredningen att personrelaterad information som lämnas på begäran ska vara avgiftsfri en gång . Begär någon information oftare föreslås att den personuppgiftsansvarige ska få ta ut rimlig avgift eller avslå begäran. Enligt direktivet ska även beslut, underrättelser och åtgärder vara kost- nadsfria. Regeringen gör samma bedömning som utredningen att det inte behöver regleras särskilt utan följer av huvudregeln att ingen avgift tas ut för myndigheters beslut och meddelanden. I likhet med utredningen anser regeringen att uttrycket ”utan avgift” bör väljas i stället för direktivets ”kostnadsfri” för att korrespondera med uttrycket ”rimlig avgift”. 11.1Dagens tillsyn över personuppgiftsbehandling Datainspektionen utövar tillsyn över all behandling av personuppgifter, så länge ansvaret inte uttryckligen har anförtrotts någon annan myndig- het. Uppdraget regleras i förordningen (2007:975) med instruktion för Datainspektionen (i det följande Datainspektionens instruktion).