prop · H503232 · 2018-04-19 00:00:00 — Paragrafen anger vad som gäller när fråga uppkommer om att behandla personuppgifter, som behandlas med stöd av lagen, för nya ändamål utanför lagens tillämpningsområde. Paragrafen behandlas i avsnitt 7.6.3– 7.6.5. Personuppgifter som en behörig myndighet behandlar enligt lagen kan behöva lämnas till en enhet inom myndigheten som bedriver verksamhet utanför lagens tillämpningsområde. Personuppgifter som Polismyndig- heten behandlar i sin brottsbekämpande verksamhet kan t.ex. behövas för att bedöma en persons lämplighet att få vapenlicens. Ett annat exempel är att uppgifter i brottsutredande verksamhet överlämnas till den enhet som hanterar frågor om vattenföroreningsavgift på grund av oljeutsläpp. Vid behandling för att lämna ut personuppgifter för sådana ändamål ska dataskyddsförordningen tillämpas i stället för denna lag. Prövningen av om behandlingen är tillåten ska alltså då göras med utgångspunkt i dataskyddsförordningens bestämmelser. Innan personuppgifter som behandlas med stöd av lagen behandlas för ett nytt ändamål utanför lagens tillämpningsområde ska det dock enligt första stycket säkerställas att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Denna prövning ska alltså ske utöver de krav som sedan gäller enligt dataskyddsförordningen. Med nödvändigt avses att det är fråga om något som behövs snarare än något som absolut fordras. I kravet på proportionalitet ligger att skälen för att personuppgifterna behandlas för det nya ändamålet ska väga tyngre än det intrång som behandlingen innebär för den enskilde. Det som står att vinna med behandlingen ska alltså vägas mot intrånget i Det har också betydelse vilka personuppgifter det är 2017/18:232 fråga om och för vilket syfte de ska användas. Någon prövning av om behandlingen för det nya ändamålet är förenlig med det ändamål för vilket uppgifterna ursprungligen behandlades behöver däremot inte göras. Att behandla personuppgifter för ett nytt ändamål kan vara både nödvändigt och proportionerligt exempelvis om det i brottsbekämpande verksamhet finns uppgifter om att en person har sådana kontakter i kriminella kretsar att han eller hon ter sig olämplig för att få tillstånd att bedriva viss verksamhet och uppgifterna därför behöver tillhandahållas för att användas vid prövningen av tillståndsärendet. Vidare får det anses både nödvändigt och proportionerligt att person- uppgifter som behandlas med stöd av lagen behandlas för arkivering. I andra stycket föreskrivs att någon prövning enligt första stycket inte ska göras i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning. Exempel på uppgiftsskyldighet gentemot annan myn- dighet finns i 14 kap. 1 § socialtjänstlagen (2001:453) som föreskriver skyldighet att göra anmälan till socialnämnden när nämnden behöver ingripa till barns skydd. Ett annat exempel är den skyldighet som före- skrivs i lagen (2016:774) om uppgiftsskyldighet vid samverkan mot viss organiserad brottslighet. Vidare omfattas en myndighets skyldighet enligt 6 kap. 5 § offentlighets- och sekretesslagen (2009:400) att på begäran av en annan myndighet lämna ut uppgift som den förfogar över, i den mån hinder inte möter på grund av bestämmelse om sekretess eller av hänsyn till arbetets behöriga gång. I de fall där det i lag eller förordning bara föreskrivs en möjlighet, men ingen skyldighet, att lämna personuppgifter ska det däremot prövas om uppgiftslämnandet är nödvändigt och pro- portionerligt. Prövningen bör dock i sådana fall som regel mynna ut i att det är nödvändigt och proportionerligt att lämna uppgifterna. 3 kap. Personuppgiftsansvarigas skyldigheter Paragrafen reglerar personuppgiftsansvarets omfattning. Personuppgifts- ansvarig definieras i 1 kap. 6 §. Paragrafen, som genomför artikel 4.4, behandlas i avsnitt 9.1.2. Paragrafen slår fast det helhetsansvar som den personuppgiftsansvarige har och tydliggör hur långt ansvaret sträcker sig när det gäller behand- lingen av personuppgifter. Den närmare innebörden av personuppgiftsan- svaret framgår av lagens övriga bestämmelser och föreskrifter som med- delas i anslutning till den. Vem som är personuppgiftsansvarig kan framgå av andra författningar. Personuppgiftsansvaret omfattar all behandling av personuppgifter som utförs under den personuppgiftsansvariges ledning. Med det avses all personuppgiftsbehandling vid den behöriga myndigheten. Det gäller både behandling som utförs genom en aktiv handling, t.ex. insamling eller sökning, och passiv behandling, t.ex. lagring. Ansvaret omfattar däremot inte sådan behandling som den behöriga myndigheten eventuellt utför som personuppgiftsbiträde. Genom att ansvaret knyts till behandling som utförs under den personuppgiftsansvariges ledning tydliggörs att det inte är den personuppgiftsansvarige, dvs. den behöriga myndigheten, som Prop. 2017/18:232 utför personuppgiftsbehandlingen utan de anställda. Den personuppgiftsansvarige är också ansvarig för all behandling av personuppgifter som utförs på dennes vägnar. Med det avses främst sådan behandling som den personuppgiftsansvarige har uppdragit åt ett personuppgiftsbiträde att utföra. Den personuppgiftsansvarige kan upp- dra åt ett biträde att utföra viss behandling av personuppgifter, men kan inte genom det avsäga sig personuppgiftsansvaret. Personuppgifts- ansvaret sträcker sig då utanför den personuppgiftsansvariges egen verk- samhet. Personuppgiftsbiträdens behandling ska styras av skriftliga avtal eller andra skriftliga överenskommelser och får endast utföras enligt instruktioner från den personuppgiftsansvarige, se kommentarerna till 16 och 18 §§. Två eller flera personuppgiftsansvariga kan behandla samma person- uppgifter för olika ändamål, t.ex. om de har direktåtkomst till personuppgifter i samma system. Varje personuppgiftsansvarig är då an- svarig för den behandling som utförs under dennes ledning eller på den- nes vägnar. Åtgärder för att säkerställa författningsenlig behandling Tekniska och organisatoriska åtgärder 2 § Paragrafen genomför artikel 19.1 och reglerar, tillsammans med 3–5 §§, de krav som ställs på personuppgiftsansvariga i fråga om tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behand- lingen av personuppgifter är författningsenlig och att registrerades rättig- heter skyddas. Tekniska och organisatoriska åtgärder för att skydda per- sonuppgifterna regleras i 8 §. Paragrafen behandlas i avsnitt 9.2.1. Organisatoriska åtgärder som avses i paragrafen är bl.a. att anta interna strategier för dataskydd, att informera och utbilda personalen och att säkerställa en tydlig ansvarsfördelning. Åtgärder som vidtas för att visa att behandlingen är författningsenlig kan t.ex. vara dokumentation av it- system, behandlingar och vidtagna åtgärder och teknisk spårbarhet genom loggning och logguppföljning. Vilka åtgärder som bör vidtas får avgöras efter en bedömning i en- skilda fall. Vid den bedömningen har det betydelse bl.a. vilka person- uppgifter som ska behandlas, mängden uppgifter och hur integritetskäns- liga de är. Även grunden för behandlingen och riskerna med den ska beaktas. Mer långtgående åtgärder kan behövas vid behandling som kan medföra särskilda risker för integritetsintrång eller vid omfattande behandling av en stor mängd personuppgifter. Skyldigheten att vidta lämpliga åtgärder är inte knuten till en viss tid- punkt, utan något som den personuppgiftsansvarige ständigt ska ha för ögonen. Åtgärder som har vidtagits måste därför kontinuerligt revideras och vid behov förändras. Paragrafen, som genomför artikel 20.1, reglerar skyldigheten att beakta principen om inbyggt dataskydd vid behandling av personuppgifter. Paragrafen har utformats i enlighet med Lagrådets förslag och behandlas i avsnitt 9.2.1. Paragrafen innebär att den personuppgiftsansvarige både när medlen för behandlingen bestäms och vid behandlingen, ska vidta åtgärder som medför att dataskyddsprinciper säkerställs och skyddsåtgärder integreras i behandlingen. Skyldigheten är tätt förknippad med de skyldigheter som följer av 2, 4 och 8 §§. Paragrafen kan ses som en precisering av den övergripande skyldigheten i 2 §. Exempel på grundläggande dataskyddsprinciper som bör säkerställas är uppgiftsminimering, dvs. att så få personuppgifter som möjligt samlas in och hanteras, och att personuppgifter inte behandlas längre än vad som behövs eller används på ett otillåtet sätt. Principerna kan säkerställas i verksamheten genom åtgärder som exempelvis begränsar behandlingen till personuppgifter som endast indirekt pekar ut en individ eller till per- sonuppgifter som är mindre integritetskänsliga. Att använda pseudony- misering, vilket innebär att uppgifterna inte går att koppla till en enskild person utan ytterligare information som hålls avskild, är ett annat exem- pel. Om det i ett ärendehanteringssystem är möjligt att behandla person- uppgifterna utöver vad som är tillåtet med hänsyn till ändamålet bör funktionerna begränsas och spärras innan systemet tas i drift. Funktioner för att avskilja personuppgifter automatiskt är också exempel på inbyggt dataskydd. Andra åtgärder som kan vidtas för att säkerställa dataskydds- principer är behörighetsstyrning och kryptering av information. Sådana åtgärder syftar till att begränsa åtkomsten till personuppgifterna så att endast de som behöver uppgifterna för att kunna utföra sina arbetsuppgif- ter har tillgång till dem. Integrering av skyddsåtgärder kan avse funktioner för autentisering, t.ex. lösenord, möjlighet att använda kryptering vid kommunikation över internet och på mobila enheter, funktioner för loggning och säkerhets- kopiering. Vilka åtgärder som bör vidtas får avgöras i varje enskilt fall. Vilka fak- torer som kan vara av betydelse utvecklas i kommentaren till 2 §. De tek- niska möjligheterna och kostnaderna för genomförandet ska också vägas in. Paragrafen, som genomför artikel 20.2, fastställer den personuppgiftsan- svariges skyldighet att i automatiserade behandlingssystem införa data- skydd som standard. Den behandlas i avsnitt 9.2.1. Dataskydd som standard innebär att systemet automatiskt styr använ- daren mot att arbeta integritetssäkert. Grundinställningarna ska vara satta så att inte mer information än nödvändigt samlas in eller visas. Skyldig- heten att ha dataskydd som standard tar sikte på mängden insamlade personuppgifter, behandlingens omfattning, hur länge personuppgifterna behandlas och hur tillgängliga de är. Det innebär att den personuppgifts- ansvarige ska se till att det i automatiserade behandlingssystem endast är möjligt att samla in de typer av personuppgifter som behövs, att person- uppgifterna endast kan behandlas på ett sådant sätt och så länge som det Prop. 2017/18:232 är nödvändigt och att uppgifterna endast är tillgängliga för de personer som behöver dem i sitt arbete. Paragrafen kan i likhet med 3 § ses som en precisering av den övergripande skyldigheten i 2 §. Med automatiserade behandlingssystem avses särskilt för verksam- heten utformade eller anpassade behandlingssystem där personuppgifter behandlas mer eller mindre strukturerat, t.ex. verksamhetsstöd i form av dokument- och ärendehanteringssystem och olika typer av register och databaser. För att dataskydd som standard ska kunna införas i automa- tiserade behandlingssystem krävs det att den personuppgiftsansvarige har tekniska möjligheter och rätt att vidta sådana åtgärder i systemet. Stan- dardprogram som Word, Outlook och Excel är inte att anse som automa- tiserade behandlingssystem i paragrafens mening och omfattas därför inte av kraven. Något utrymme för lämplighetsbedömning i det enskilda fallet finns inte. Den personuppgiftsansvarige är skyldig att införa dataskydd som standard oavsett vilken behandling det rör sig om eller vad kostnaderna uppgår till. Paragrafen, som genomför artikel 25.1, reglerar den personuppgifts- ansvariges skyldighet att säkerställa att det i automatiserade behandlings- system förs loggar över vissa typer av behandlingar. Paragrafen behand- las i avsnitt 9.2.2. En logg är en behandlingshistorik som sparas . Det är en teknisk funktion i systemet som ska fungera automatiskt och som inte ska gå att ändra eller påverka på annat sätt. En logg bör vara så detaljerad att den kan användas för att utreda felaktig eller obehörig användning av personuppgifter. Syftet med loggning är dels att verka förebyggande, dels att ge den personuppgiftsansvarige möjlighet att kontrollera använd- ningen av systemen och att upptäcka felaktig eller obehörig användning av personuppgifterna. Loggningen bör inte utformas så att den medför onödiga intrång i användarnas integritet. Krav på loggning vid behandling av personuppgifter följer indirekt av de generella kraven på lämpliga tekniska och organisatoriska åtgärder i både 2 och 8 §§. Förevarande paragraf utgör därmed ett mer preciserat krav på loggning i vissa typer av system. Vad som avses med automatise- rade behandlingssystem framgår av kommentaren till 4 §. Standardpro- gram som Word, Outlook och Excel är i detta sammanhang inte att anse som automatiserade behandlingssystem och omfattas därför inte av kra- vet på loggning i paragrafen. Inte heller lagringsytor som t.ex. usb- minnen och anställdas personliga mappar på den egna datorn omfattas. Krav på loggning i sådan programvara och på sådana lagringsytor följer dock, i den mån det är tekniskt möjligt, av 2 och 8 §§. Paragrafen innebär att den personuppgiftsansvarige ska säkerställa att de automatiserade behandlingssystem som används möjliggör loggning i den utsträckning som krävs och att informationen faktiskt loggas. Av 2 § följer bl.a. krav på logguppföljning. Logguppföljning ska göras systema- tiskt och återkommande och vara såväl förebyggande som reaktiv. 2017/18:232 personuppgiftsansvarige ska se till att det finns rutiner för logguppfölj- ning. Paragrafen gäller enligt 19 § även för personuppgiftsbiträden. Tillgången till personuppgifter 6 § Paragrafen, som har utformats i enlighet med Lagrådets förslag, reglerar den interna tillgången till personuppgifter för dem som arbetar under den personuppgiftsansvariges ledning. Den behandlas i avsnitt 9.2.3. Paragrafen innebär att den personuppgiftsansvarige är skyldig att se till att anställda och andra som deltar i arbetet hos den personuppgiftsansva- rige, t.ex. praktikanter eller inhyrd personal, bara ges tillgång till de per- sonuppgifter som krävs för att de ska kunna fullgöra sina arbetsuppgifter. I de behöriga myndigheternas verksamheter behandlas som regel en bety- dande mängd personuppgifter. De är ofta av integritetskänsligt slag och bör inte spridas till någon som inte är behörig att ta del av uppgifterna. Kravet på behörighetsbegränsning syftar till att minska den interna expo- neringen och spridningen av personuppgifterna. Hur det bör göras får bedömas med utgångspunkt i förutsättningarna och den behöriga myn- dighetens behov. Faktorer som myndighetens och it-systemens storlek och om personuppgifterna är sekretessreglerade eller annars integritets- känsliga ska beaktas. Paragrafen reglerar inte bara tillgången till den personuppgiftsansvari- ges egen information. Vid direktåtkomst är det den mottagande myndig- heten som ansvarar för att den egna personalen inte ges tillgång till fler personuppgifter i det it-system som åtkomsten avser än vad arbetsuppgif- terna motiverar. Paragrafen gäller enligt 19 § även för personuppgiftsbiträden. Konsekvensbedömning och förhandssamråd 7 § Paragrafen, som genomför artiklarna 27.1 och 28.1, slår fast den person- uppgiftsansvariges skyldighet att inför vissa behandlingar göra en konse- kvensbedömning och samråda med tillsynsmyndigheten. Den behandlas i avsnitt 9.2.4 och 9.2.5. Av första stycket framgår att en konsekvensbedömning ska göras om det kan antas att en ny typ av behandling kommer att medföra särskild risk för intrång i registrerades personliga integritet. En konsekvens- bedömning ska också göras om betydande förändringar av redan på- gående behandlingar kan antas leda till sådan risk. Vid riskbedömningen bör bl.a. användningen av ny teknik och behandlingens art, omfattning, sammanhang och ändamål beaktas. Exempel på riskfyllda behandlingar som bör föranleda en konsekvensbedömning är inrättandet av storskaliga register som innehåller känsliga personuppgifter eller vissa former av profilering. En konsekvensbedömning ska omfatta relevanta system och processer för behandlingen men inte behandlingen i enskilda fall. Andra stycket reglerar s.k. förhandssamråd. När en konsekvensbedöm- ning visar att det finns särskild risk för intrång i registrerades personliga integritet eller när typen av behandling innebär särskild risk för intrång, ska den personuppgiftsansvarige samråda med tillsynsmyndigheten. 2017/18:232 Samrådet ska äga rum innan behandlingen påbörjas eller bety- dande förändringar genomförs. Det bör dock inte äga rum så tidigt att det inte finns något konkret förslag på teknisk lösning för tillsynsmyndighe- ten att ta ställning till. När förhandssamrådet lämpligen bör äga rum får avgöras i varje enskilt fall och förutsätter en dialog med tillsynsmyn- digheten. roll vid förhandssamråd regleras i 5 kap. 4 §. I paragrafen, som genomför artiklarna 4.1 f och 29, regleras den person- uppgiftsansvariges skyldighet att skydda de personuppgifter som behand- las. Paragrafen behandlas i avsnitt 9.3. Enligt paragrafen ska den personuppgiftsansvarige vidta lämpliga tek- niska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Personuppgifterna ska särskilt skyddas mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada. Uppräkningen illustrerar vad säkerhetsåtgärderna ska åstad- komma, men den är inte uttömmande. Skydd mot obehörig eller otillåten behandling innebär att obehöriga personer ska vägras åtkomst till utrustning som används vid behandling (åtkomstskydd för utrustning), att obehörig läsning, kopiering, ändring eller radering av datamedier ska förhindras (kontroll av datamedier), att obehörig registrering av personuppgifter och obehörig kännedom om, ändring eller radering av lagrade personuppgifter ska förhindras (lag- ringskontroll) och att obehörig läsning, kopiering, ändring eller radering av personuppgifter i samband med uppgiftslämnande eller transport av databärare ska förhindras (transportkontroll). Åtgärder ska också vidtas i syfte att säkerställa att personer som är behöriga att använda ett it-system endast har tillgång till personuppgifter som omfattas av deras behörighet (åtkomstkontroll). Den personuppgiftsansvarige ska också säkerställa att det kan kontrolleras och fastställas till vilka myndigheter eller andra organ personuppgifter har överförts och för vilka myndigheter eller andra organ uppgifterna har gjorts tillgängliga (kommunikationskontroll) och att det i efterhand kan kontrolleras och fastställas vilka personuppgifter som förts in i ett it-system, när det har gjorts och av vem (indatakontroll). Skydd mot förlust, förstöring eller annan oavsiktlig skada innebär bl.a. att de it-system som används ska kunna återställas vid störningar (åter- ställande), att systemen ska fungera och att funktionsfel rapporteras (driftsäkerhet) och att de lagrade personuppgifterna inte kan förvanskas genom funktionsfel i systemen (dataintegritet). Som exempel på organisatoriska säkerhetsåtgärder kan nämnas fast- ställandet av en säkerhetspolicy, kontroller och uppföljning av säker- heten, utbildning i datasäkerhet och information om vikten av att följa gällande säkerhetsrutiner. Rutiner för anmälan och uppföljning av per- sonuppgiftsincidenter utgör också sådana åtgärder, se kommentaren till Vilken skyddsnivå som är lämplig får avgöras från fall till fall. Bedöm- ningen är bl.a. beroende av vilka personuppgifter som behandlas och hur integritetskänsliga de är. Paragrafen gäller enligt 19 § även för personuppgiftsbiträden. Paragrafen, som genomför artikel 30.1, reglerar anmälan av personupp- giftsincidenter till tillsynsmyndigheten. Personuppgiftsincident definieras i 1 kap. 6 §. Paragrafen behandlas i avsnitt 9.4.2. Bestämmelser om rapportering av incidenter finns också i 10 och 10 a §§ säkerhetsskyddsförordningen (1996:633) och 20 § förordning- en (2015:1052) om krisberedskap och bevakningsansvariga myndighe- ters åtgärder vid höjd beredskap. Anmälan av personuppgiftsincidenter enligt förevarande paragraf kommer som regel att göras parallellt med anmälan av it-incidenter enligt den sistnämnda förordningen. I första stycket föreskrivs att den personuppgiftsansvarige ska anmäla en inträffad personuppgiftsincident till tillsynsmyndigheten . Anmälan ska dock inte göras till tillsynsmyndigheten om incidenten ska rapporteras enligt säkerhetsskyddslagen (1996:627) eller föreskrifter som har meddelats i anslutning till den lagen. Undantag från anmälningsskyldigheten gäller således om incidenten ska anmälas enligt säkerhetsskyddsförordningen. Någon anmälan behöver enligt andra stycket inte göras om det är osan- nolikt att personuppgiftsincidenten har medfört eller kommer att medföra någon risk för otillbörligt intrång i registrerades personliga integritet. Undantaget kan exempelvis vara tillämpligt om incidenten påverkat en mycket begränsad mängd personuppgifter som inte är av känslig art eller om skyddet för uppgifterna påverkats att obehörig åt- komst inte varit möjlig. Den personuppgiftsansvarige har bevisbördan för att det är osannolikt att personuppgiftsincidenten har medfört eller kom- mer att medföra någon risk för otillbörligt intrång i registrerades person- liga integritet. Paragrafen reglerar den personuppgiftsansvariges skyldighet att under- rätta registrerade om en personuppgiftsincident. Underrättelseskyldighe- ten omfattar bara sådana personuppgiftsincidenter som ska anmälas enligt 9 §. Gäller undantag från anmälningsskyldigheten behöver den registrerade inte underrättas. Informationen kan också begränsas med stöd av 11 §. Paragrafen genomför artikel 31.1, 31.3 och 31.5 och be- handlas i avsnitt 9.4.3. I första stycket anges under vilka omständigheter den registrerade ska underrättas. Underrättelseskyldigheten gäller bara om personuppgifts- incidenten medfört eller kan antas medföra särskild risk för otillbörligt intrång i registrerades personliga integritet. Sådan särskild risk kan exempelvis finnas om känsliga personuppgifter har gjorts tillgängliga för ett stort antal obehöriga personer eller om en större mängd personupp- gifter i ett specifikt ärende har ändrats eller förstörts. Hur snabbt den per- sonuppgiftsansvarige bör informera den registrerade beror på omstän- digheterna i det enskilda fallet. En omedelbar skaderisk kan kräva att de Prop. 2017/18:232 registrerade underrättas omgående. Underrättelsen bör lämnas så snart det är möjligt. Personuppgiftsincidentens art och den registrerades intresse av och möjlighet att själv vidta åtgärder för att begränsa skadan bör beaktas. Även den tid det tar för den personuppgiftsansvarige att vidta akuta åtgärder för att begränsa skadan, avhjälpa fel och liknande kan påverka tidpunkten för underrättelsen. I andra stycket regleras i vilka fall någon underrättelse inte krävs. Den registrerade behöver enligt punkt 1 inte underrättas om den personupp- giftsansvarige har tillämpat lämpliga tekniska och organisatoriska skyddsåtgärder på de personuppgifter som påverkades av personuppgifts- incidenten. Det kan t.ex. vara fallet om personuppgifterna har skyddats genom kryptering eller om pseudonymisering av personuppgifterna har tillämpats. Ett annat exempel kan vara att säkerhetskopiering gjorts. Den registrerade behöver enligt punkt 2 inte heller underrättas om den personuppgiftsansvarige har vidtagit åtgärder som säkerställer att det inte längre finns särskild risk för otillbörligt intrång i registrerades personliga integritet.