prop · H503232 · 2018-04-19 00:00:00 — Det finns enligt regeringens mening inget hinder mot att ange råd och stöd till personuppgiftsansvariga och personuppgiftsbiträden som en uppgift bland flera, så länge regleringen inte innebär att den viktas högre eller lägre än någon av de övriga uppgifterna. Om tillsynsmyndighetens uppgifter regleras i ramlagen finns det inte heller någon risk för konflikt med vad som kommer att gälla på dataskyddsförordningens område. En reglering med denna innebörd i ramlagen står därmed inte i motsatsställ- ning till bedömningen att uppgiften att särskilt inrikta verksamheten på att informera samt ge råd och hjälp inte längre bör anges i Datainspektio- nens instruktion i avsnitt 11.4. Av hänsyn till tillsynsmyndighetens oberoende bör bestämmelsen utformas så att det, förutom vid förhands- samråd, tydligt framgår att myndigheten själv avgör när råd och stöd kan Prop. 2017/18:232 vara påkallat. Även fortsättningsvis kommer dataskyddsombuden att behöva samråda med tillsynsmyndigheten i många frågor. De är i många fall den naturliga kontaktpunkten för tillsynsmyndigheten (avsnitt 9.5.3). I den utsträck- ning dataskyddsombud har behov av råd och stöd från tillsynsmyndig- heten bör myndigheten naturligtvis på samma sätt som tillgodose det behovet. Information och rådgivning till riksdag, regering och andra myndigheter I artikel 28.2 dataskyddsdirektiv finns motsvarande reglering om tillsynsmyndighetens rådgivande roll som i artiklarna 28.2, 46.1 c och 47.3 i det nya direktivet. När personuppgiftslagen infördes ansåg regeringen att svensk rätt uppfyllde de kraven utan någon lagstiftnings- åtgärd (prop. 1997/98:44 s. 102). Enligt 7 kap. 2 § regeringsformen ska vid beredningen av regerings- ärenden behövliga upplysningar och yttranden begäras in från berörda myndigheter. Beredningskravet gäller för både riksstyrelseärenden, exempelvis beslut om propositioner och förordningar, och förvaltnings- ärenden (jfr prop. 2009/10:80 s. 215). Myndigheter under regeringen är skyldiga att svara på de remisser de får. I 10 kap. 8 § riksdagsordningen föreskrivs att en statlig myndighet är skyldig att lämna upplysningar och yttra sig när ett riksdagsutskott begär det. Enligt förvaltningslagen är myndigheterna skyldiga att samverka med varandra i frågor som rör deras respektive verksamhetsområden. Skyldig- heten enligt lagen att svara på remisser omfattar remisser från andra myndigheter. Regleringen i artiklarna 28.2, 46.1 c och 47.3 skiljer sig inte års dataskyddsdirektiv. Det finns inte anledning att göra en annan be- dömning i fråga om behovet av reglering än när personuppgiftslagen infördes. Några lagstiftningsåtgärder för att genomföra dessa artiklar behövs alltså inte. är enligt direktivet skyldig att självmant informera allmänheten i frågor som rör personuppgiftsbehandling. Enligt förvalt- ningslagen har myndigheter serviceskyldighet i förhållande till enskilda och allmänheten. Principen är en del av det som är att anse som god för- valtning och innebär att förvaltningsmyndigheter ska lämna upplys- ningar, vägledning, råd och annan sådan hjälp till enskilda i frågor som rör myndighetens verksamhetsområde. Hjälpen ska lämnas i den ut- sträckning som är lämplig med hänsyn till frågans art, den enskildes behov och myndighetens verksamhet. Eftersom uppgiften redan är regle- rad krävs inte någon lagstiftningsåtgärd för att genomföra artikel 46.1 b och aktuell del av artikel 47.3. En stor del av Datainspektionens verk- samhet ägnas åt sådan information och vägledning. 2017/18:232 Information och rådgivning på begäran av enskilda Artikel 46.1 e tar enligt regeringens uppfattning sikte på två olika saker. Den ena är allmän informationsskyldighet i förhållande till enskilda om hur de kan ta till vara sina rättigheter. Sådan allmän information ska läm- nas på tillsynsmyndighetens eget initiativ. Den andra är mer specifik information om den enskilde t.ex. har gett in ett klagomål till tillsyns- myndigheten. Specifik information ska lämnas bara om det behövs. Om det krävs ska tillsynsmyndigheten även samarbeta med tillsynsmyndig- heter i andra medlemsstater för att kunna ge information till enskilda. Den allmänna skyldigheten enligt förvaltningslagen att lämna hjälp gäller oavsett om det rör sig om en förfrågan från en part i ett ärende eller från någon som har ett allmänt intresse av att få upplysningar om till- synsmyndighetens verksamhet. När det behövs och är lämpligt ska myn- digheten vägleda den enskilde genom att ta initiativ till ytterligare utred- ning, verka för att utredningen begränsas till vad som är nödvändigt och fästa den enskildes uppmärksamhet på om det finns något annat, bättre sätt att nå det han eller hon eftersträvar. Serviceskyldigheten är vidsträckt men inte obegränsad. Myndigheten ska göra en bedömning från fall till fall av hur långt den ska sträcka sin service (prop. 1985/86:80 s. 59 och även prop. 2016/17:180 s. 65 f.). I fråga om sådan information som diskuteras krävs inte mer än vad som redan följer av myndigheternas allmänna serviceskyldighet. Det be- hövs därför ingen lagstiftningsåtgärd för att genomföra artikel 46.1 e. Det kan anmärkas att Datainspektionen har en särskild upplys- ningstjänst som via telefon och e-post besvarar frågor om person- uppgiftsbehandling och att det finns omfattande informationsmaterial på myndighetens hemsida. Hur bör tillsynen bedrivas? I de flesta avseenden bör tillsynen över personuppgiftsbehandling kunna bedrivas på samma sätt som . Tillsynen är av rättslig karaktär, dvs. den inriktas på om den granskade följer gällande regelverk för behand- ling av personuppgifter. Sådan tillsyn bedrivs framför allt genom gransk- ning av dokumentation och upplysningar från tillsynsobjektet. dock även innefatta åtgärder som tillsyn över hur regelverket generellt tillämpas eller kontroll av att t.ex. en loggningsfunktion eller annan tek- nisk säkerhetsåtgärd fungerar som avsett. När det gäller personuppgifts- behandling kan särskilt tillsynen över säkerhetsåtgärder behöva utföras på plats hos tillsynsobjektet. Tillsyn kan påbörjas formlöst, t.ex. genom en faktisk åtgärd som en in- spektion på plats, eller mer eller mindre formaliserat där ett formellt beslut som anger exakt vad tillsynen ska omfatta är den andra ytterlighe- Det förhållandet att tillsyn kan initieras i en mängd olika situationer och att det inte alltid finns något givet svar på vad tillsynen ska resultera i, innebär att tillsynsarbetet också kan ha olika skepnader. bedrivas förutsättningslöst, t.ex. vid ett rutinmässigt tillsynsbesök hos en Den kan också vara målinriktad och exempelvis inriktas på behandlingen i ett enskilt register eller att klarlägga om ett konkret kla- Prop. 2017/18:232 gomål har fog för sig. Syftet med tillsynen avgör vad som krävs för att genomföra den. Om syftet är att undersöka klagomål i ett enskilt ärende kan det vara tillräck- ligt att tillsynsmyndigheten tar del av personuppgifterna och dokumenta- tion om hur de har behandlats. Är det fråga om en kontroll där den som begär kontrollen ifrågasätter att uppgifter om honom eller henne behand- las kan det behövas ett bredare anslag. Om tillsynsmyndigheten behöver få underlag för ett föreläggande kan inledande åtgärder som inhämtande av handlingar behöva följas upp med tillsynsbesök och upprepade kon- takter med den personuppgiftsansvarige. Tillsyn kan också vara tematisk, vilket innebär att en viss fråga eller typ av behandling eller behandlingen i en viss typ av register undersöks oberoende av vilka som utför sådana behandlingar. Tillsynen kan då omfatta många olika tillsynsobjekt och t.ex. bestå i att myndigheten inhämtar skriftlig information. På samma sätt som det oftast inte finns någon given början på tillsynen är det inte heller reglerat hur tillsynen ska avslutas och vad den ska ut- mynna i. Tillsynen kan avslutas formlöst, t.ex. genom att myndigheten bestämmer sig för att inte längre avsätta resurser för den. Tillsynen kan också avslutas genom ett protokoll över genomförd inspektion. En tema- tisk tillsyn kan utmynna i nya föreskrifter eller allmänna råd. Tillsyn behöver alltså inte utmynna i ett beslut. Om fel upptäcks i samband med tillsyn kan tillsynsmyndigheten utöva sina befogenheter. När det gäller personuppgiftsbehandling kan det inne- bära att beslut om t.ex. rättelse, komplettering eller radering kan aktuali- seras. Tillsyn kan när som helst övergå i ett vanligt förvaltningsärende hos tillsynsmyndigheten, även om den har påbörjats formlöst. Då ska de regler som gäller för det förfarandet tillämpas. sätter alltså själv gränserna för vad som ska göras och hur och när det ska göras, så länge det inte kommer i konflikt med den reglering som genomför artiklarna (se avsnitt 11.6.3), 28.5 (se avsnitt 11.6.4), 53.2 (se avsnitt 13.6) och 50.4 (se avsnitt 11.10.1). Regeringens bedömning: Regleringen av tillsynsmyndighetens befo- genheter bör utformas i nära anslutning till regleringen i dataskydds- förordningen. Utredningens bedömning: överensstämmer med regeringens. Remissinstanserna: konstaterar att direktivet inne- håller särskilt anpassade bestämmelser när det gäller arbetsuppgifter och befogenheter för tillsynsmyndighet och att det krävs starka skäl för att motivera att gå längre än direktivet kräver på detta område. Skälen för regeringens bedömning: Enligt tillsynsskrivelsen bör ett tillsynsorgan, när en brist konstateras, ha möjlighet till någon form av ingripande, som ska vara effektivt och tydligt. Det är viktigt att ingripan- demöjligheterna har en framåtsyftande funktion och säkerställer att regel- verket följs , som tillsynsorganet också måste kunna 2017/18:232 ingripa mot regelöverträdelser som inte kan göras ogjorda. Ingripande- möjligheterna bör utformas efter de särskilda förutsättningarna inom respektive tillsynsområde och så att de skapar större enhetlighet, särskilt inom närliggande tillsynsområden (skr. 2009/10:79 s. 41 f.). För att genomföra direktivets bestämmelser och skapa förutsättningar för en effektiv tillsyn bör enligt regeringens uppfattning tillsynsmyndig- hetens befogenheter regleras i ramlagen. En så tydlig reglering som möj- ligt bör eftersträvas. De uttalanden som gjorts i tillsynsskrivelsen bör prägla hur befogenheterna regleras. Hänsyn bör således tas till om mot- svarande reglering finns i dataskyddsförordningen när tillsynsmyndig- hetens befogenheter på direktivets område regleras. I skäl 82 framhålls att när befogenheterna utövas ska varje åtgärd vara lämplig, nödvändig och proportionerlig för att säkerställa efterlevnaden av regelverket. Åtgärderna ska utformas så att onödiga kostnader och stora olägenheter undviks. Det väcker frågan om det bör införas en pro- portionalitetsregel som återspeglar innehållet i skäl 82. Regeringen delar emellertid utredningens bedömning att de befogenheter som tillsynsmyn- digheten föreslås få inte är av den karaktären att en uttrycklig proportio- nalitetsregel är nödvändig. Regeringens förslag: ska ha rätt att av person- uppgiftsansvariga och personuppgiftsbiträden på begäran få 1.tillgång till alla personuppgifter som behandlas, 2.upplysningar om och dokumentation av behandlingen av person- uppgifter och säkerhets- och skyddsåtgärder, 3.tillträde till lokaler som den personuppgiftsansvarige eller person- uppgiftsbiträdet disponerar samt tillgång till utrustning och andra medel för behandling av personuppgifter, och 4.den hjälp och den information som behövs för tillsynen. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens förslag Innehållet i direktivet och nuvarande reglering Enligt artikel 47.1 ska tillsynsmyndigheten ha effektiva undersöknings- befogenheter som minst ska inbegripa rätten att från den personuppgifts- ansvarige och personuppgiftsbiträdet få tillgång till alla personuppgifter som behandlas och all information som tillsynsmyndigheten behöver för att kunna fullgöra sina tillsynsuppgifter. Enligt 43 § personuppgiftslagen, som är tillämplig på de behöriga myn- digheterna, har tillsynsmyndigheten rätt att för sin tillsyn på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och dokumentation av behandlingen av personuppgifter och säkerheten vid den och tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. bör ges tillgång till information och lokaler Som tidigare nämnts består rättslig tillsyn till stor del av granskning av dokumentation. För att kunna utöva tillsynen effektivt kan tillsynsmyn- digheten dock inte bara förlita sig på de handlingar som den får tillgång till. Den kan även i viss utsträckning behöva besöka lokaler där person- uppgiftsbehandling pågår för att bl.a. kunna inspektera säkerhetsåtgärder. Tillsynsbesök kan också ge tillsynsmyndigheten bättre inblick i förut- sättningarna för den verksamhet där personuppgiftsbehandlingen äger rum. behöver alltså tillgång till de personuppgifter som behandlas. behöver även upplysningar och doku- mentation om pågående behandlingar, t.ex. de register över behandlingar som den personuppgiftsansvarige ska föra (se avsnitt 9.2.7). Därutöver bör tillsynsmyndigheten ha rätt till annan information som behövs, bl.a. dokumentation av säkerhets- och skyddsåtgärder. Det kan också röra sig om dokumentation som inte är direkt kopplad till den behandling som granskas, men som tillsynsmyndigheten ändå behöver för att genomföra sin tillsyn. Det bör därför framgå av ramlagen att tillsynsmyndigheten ska ges tillgång till de personuppgifter som behandlas, tillgång till doku- mentation om behandlingen av dem och övrig dokumentation som behövs för tillsynen. Det normala förfarandet bör vara att tillsynsmyndigheten tar hjälp av personal vid den granskade myndigheten för att få tillgång till behand- lade personuppgifter. Tillgång på det sättet ska enligt utredningens mening inte betraktas som en rätt till direktåtkomst, vilket regeringen instämmer i (jfr HFD 2015 ref. 61 och SOU 2015:39 s. 389 f). I vissa fall skulle det kunna underlätta om tillsynsmyndigheten själv i samband med en inspektion på plats får använda datorer och andra medel som tillsyns- objektet använder. En sådan möjlighet torde dock förutsätta att tillsyns- myndigheten ges direktåtkomst till de behöriga myndigheternas informa- tion (jfr Datainspektionens samrådsyttrande i dnr 126-2013). Tillsyns- myndigheten bör därför enligt regeringens mening ges tillgång till utrustning och andra medel som har anknytning till behandlingen av personuppgifter enbart med hjälp av tillsynsobjektets personal. Frågan är om rätten att få tillgång till behandlade personuppgifter även ger rätt att beordra de körningar och andra åtgärder som behövs för att få fram de personuppgifter som behandlas. Enligt 4 § lagen om tillsyn över viss brottsbekämpande verksamhet har Säkerhets- och integritetsskydds- nämnden bl.a. rätt till det biträde som nämnden begär. Sådant biträde kan bestå i att den granskade myndigheten gör lokaler, arkiv och databaser tillgängliga för nämnden. En förutsättning för att få tillgång till de per- sonuppgifter som behandlas är att personal från den granskade myndig- heten bistår vid tillsynen genom att utföra de sökningar som behövs. Enligt regeringens uppfattning har tillsynsmyndigheten behov av den typen av biträde och en bestämmelse om det bör tas in i ramlagen. Vid sökningar som görs på direkt begäran av tillsynsmyndigheten anses till- synsobjektet inte vara bunden av de begränsningar i fråga om behand- lingen av personuppgifter som annars gäller i verksamheten. Det kan t.ex. gälla ändamålen för behandlingen eller hur känsliga personuppgifter får behandlas. 2017/18:232 kan även behöva tillgång till lokaler, utrustning och andra medel som används för att behandla personuppgifter. Tillsyns- myndigheten bör inte ha rätt att med tvång skaffa sig tillgång till lokaler (jfr SOU 1997:39 s. 443 och prop. 1997/98:44 s. 102). Att göra lokaler tillgängliga ingår dock i den personuppgiftsansvariges samarbetsskyldig- het i förhållande till tillsynsmyndigheten (se avsnitt 9.2.6). Vägran att ge tillträde kan också enligt förslaget i avsnitt 12.5.2 leda till sanktions- avgift. Regeringen återkommer till frågan om vad tillsynsmyndigheten kan göra om den personuppgiftsansvarige eller personuppgiftsbiträdet inte uppfyller sina skyldigheter att bistå tillsynsmyndigheten (se av- snitt 11.7.6 och 12.5.2). 11.7.4Skillnad mellan förebyggande och korrigerande befogenheter Regeringens bedömning: Det bör göras tydlig skillnad mellan till- synsmyndighetens förebyggande och korrigerande befogenheter. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Datainspektionen välkomnar förslagen avseende tillsynsmyndighetens befogenheter och betonar vikten av att tillsynsmyn- digheten själv ska kunna välja vilken åtgärd som ska vidtas enligt ramla- gen och att en skarpare åtgärd inte ska kräva att mindre ingripande åtgärd redan vidtagits. ifrågasätter behovet av ytterligare regle- ring rörande tillsynsmyndighetens befogenheter och befarar ett utdraget tillsynsförfarande mot bakgrund av antalet åtgärder i direktivet. Data- anser vidare att tillsynsmyndighetens skyldighet att ge råd och stöd till personuppgiftsansvariga och personuppgiftsbiträden vid för- handssamråd och när det i övrigt är påkallat täcker behovet av förebyg- gande åtgärder. Skälen för regeringens bedömning I artikel 47.2 anges att tillsynsmyndigheten ska ha effektiva korrigerande befogenheter, t.ex. för att kunna a)utfärda varningar till personuppgiftsansvariga och personuppgiftsbi- träden om att planerade behandlingar sannolikt kommer att stå i strid med de bestämmelser som antas i enlighet med direktivet, b)beordra personuppgiftsansvariga och personuppgiftsbiträden att se till att behandlingen av personuppgifter är förenlig med direktivet och, om lämpligt på visst sätt och , bl.a. beordra rättel- se, radering eller begränsning av behandlingen enligt artikel 16, och c)införa tillfälliga eller definitiva begränsningar av, inklusive förbud mot, behandlingen. I artikel 28.3 dataskyddsdirektiv regleras tillsynsmyndighetens korrigerande befogenheter, som delvis har genomförts i 44–47 §§ per- sonuppgiftslagen. Paragraferna är till stor del tillämpliga på de behöriga myndigheterna. Enligt 45 § personuppgiftslagen ska tillsynsmyndigheten genom påpe- kanden eller liknande förfaranden försöka åstadkomma rättelse, om myn- digheten konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt. Går det inte att åstadkomma rättelse eller är saken brådskande får myndigheten förbjuda den personuppgiftsansvarige att fortsätta att behandla personuppgifterna på något annat sätt än genom att lagra dem. Enligt 47 § personuppgiftslagen får tillsynsmyndigheten ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt ska utplånas. Enligt 44 § personuppgiftslagen får tillsynsmyndig- heten förbjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än genom att lagra dem, om myndigheten vid en be- gäran enligt 43 § inte kan få tillräckligt underlag för att konstatera att behandlingen av personuppgifter är laglig. Tydligare reglering av tillsynsmyndighetens befogenheter Datainspektionen vidtar samma åtgärder både för att förebygga otillåten personuppgiftsbehandling och för att korrigera behandling som strider mot personuppgiftslagen. Regeringen ansåg när lagen infördes att det var viktigt att tillsynsmyndigheten i första hand kunde fungera som stöd för de personuppgiftsansvariga och ge dem råd. Datainspektionen ska genom påpekanden och andra åtgärder försöka förmå personuppgifts- ansvariga att vidta åtgärder som medför att behandlingen blir laglig (prop. 1997/98:44 s. 103). Påpekanden och liknande förfaranden har i praxis ansetts rymma även åtgärder i form av förelägganden av tvingande karaktär. Tillsynsobjekten har emellertid ansett det oklart om ett föreläg- gande från Datainspektionen är tvingande och om det får överklagas (SOU 2015:39 s. 622 f.). I artikel 47.2 görs tydlig skillnad mellan förebyggande och korrigerade befogenheter. För att regleringen i ramlagen ska bli så tydlig som möjligt bör tillsynsmyndighetens befogenheter i förebyggande respektive korri- gerande syfte regleras i olika paragrafer. De bör också spegla i vilken ordning befogenheterna bör användas. En särskild fråga är hur det bör uttryckas vad tillsynsmyndigheten ska ingripa mot. Enligt artikel 47.2 punkterna a och b ska tillsynsmyndig- heten se till att uppgiftsbehandlingen är förenlig med de författningar som genomför direktivet. Vilka författningar som omfattas av tillsynsom- rådet behandlas i avsnitt 11.3.1. Enligt regeringens uppfattning bör de förebyggande befogenheterna användas om det finns risk för att viss personuppgiftsbehandling kan komma att stå i strid med lag eller annan författning, medan de korrigerande befogenheterna bör användas när det har konstaterats att behandlingen strider mot gällande bestämmelser. befogenheter enligt ramlagen bör ses som en trappa som ger möjlighet att successivt använda kraftfullare medel och därigenom stegra påtryckningarna på den som inte självmant rättar sig efter myndighetens anvisningar. Befogenheterna sträcker sig från rådgiv- 2017/18:232 ning till möjligheten att besluta om sanktionsavgift. Det bör dock – i likhet med vad Datainspektionen påpekar – understrykas att de korrige- rande åtgärderna inte är kopplade till varandra på det sättet att en sträng- are åtgärd förutsätter att alla mindre ingripande åtgärder redan har prö- vats. Den omständigheten bör enligt regeringens bedömning även mot- verka ett utdraget tillsynsförfarande med många steg, som befarar. Regeringens förslag: Om tillsynsmyndigheten bedömer att det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendatio- ner eller påpekanden försöka förmå den personuppgiftsansvarige eller personuppgiftsbiträdet att vidta åtgärder för att motverka den risken. får utfärda en skriftlig varning för att planerad behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Detsamma gäller om pågående behandling riskerar att stå i strid med lag eller annan författning. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen anser att varningar bör vara rättsligt bindande och överklagbara. Skälen för regeringens förslag En viktig uppgift för tillsynsmyndigheten är att lämna råd till personupp- giftsansvariga och personuppgiftsbiträden om deras skyldigheter och att stödja deras strävanden att skapa författningsenliga och integritetssäkra lösningar. Inom ramen för det förebyggande arbetet bör tillsynsmyn- digheten på olika sätt försöka förmå den som är ansvarig att vidta de åtgärder som behövs för att motverka risken för att behandling av person- uppgifter kan komma att stå i strid med lag eller annan författning. Med- len för det bör främst vara muntliga eller skriftliga råd, rekommenda- tioner och påpekanden som inte är tvingande. På vilket sätt förändringen ska åstadkommas bör i första hand lämnas åt den personuppgiftsansvarige eller personuppgiftsbiträdet att avgöra. I många fall torde det vara tillräckligt att tillsynsmyndigheten upplyser om på vilket sätt personuppgiftsbehandlingen riskerar att strida mot regelver- ket. är skyldig att lämna skriftliga råd vid förhands- samråd (se avsnitt 11.6.4 och avsnitt 9.2.5). Enligt artikel 47.2 a ska tillsynsmyndigheten t.ex. kunna utfärda var- ningar till personuppgiftsansvariga och personuppgiftsbiträden för att planerade behandlingar sannolikt kommer att strida mot regelverket för I likhet med utredningen tolkar regeringen direktivet så att varning bör vara en åtgärd i det förebyggande arbetet. Möjligheten att utfärda varning är ny och en varning kan vara ett lämp- ligt komplement till de förebyggande åtgärder som finns .