prop · H503232 · 2018-04-19 00:00:00 — Vidare är det av stor bety- delse för möjligheterna att utöva tillsyn att personuppgiftsansvaret är tyd- ligt. Ett gemensamt personuppgiftsansvar som inte har reglerats tillräck- ligt tydligt kan också medföra svårigheter för de personuppgiftsansvariga själva. Det kan vara svårt för dem att på ett effektivt och ändamålsenligt sätt fullgöra sitt ansvar om det är oklart hur långt ansvaret sträcker sig och vad skyldigheterna omfattar. Även om gemensamt personuppgiftsansvar mellan myndigheter är till- låtet, torde det i praktiken vara ovanligt. I de allra flesta fall är den per- sonuppgiftsbehandling som förekommer väl avgränsad och går att här- leda till en viss myndighet. De faktiska omständigheterna tillsammans med regelverken som gäller för myndigheterna innebär att gemensamt personuppgiftsansvar sällan aktualiseras. Det kan dock de facto uppstå vid behandling av personuppgifter i en viss situation eller på ett visst sätt. Eftersom personuppgiftslagen inte ger någon ledning för hur frågor om gemensamt personuppgiftsansvar ska hanteras får de personuppgiftsans- variga själva lösa dem. 9.7.2En reglering av gemensamt personuppgiftsansvar Regeringens förslag: Två eller flera personuppgiftsansvariga som gemensamt bestämmer ändamålen med och medlen för personupp- giftsbehandlingen ska vara gemensamt personuppgiftsansvariga. Den registrerade ska få utöva sina rättigheter enligt lagen mot var och en av de gemensamt personuppgiftsansvariga. Regeringens bedömning: Det kan regleras i förordning att gemen- samt personuppgiftsansvariga genom en skriftlig överenskommelse ska fastställa sina respektive ansvar. Utredningens förslag överensstämmer delvis med regeringens förslag och bedömning. Utredningen föreslår att två eller flera behöriga myndig- heter får vara gemensamt personuppgiftsansvariga endast i den utsträck- ning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. Utredningen föreslår vidare att rätten för den registre- rade att få utöva sina rättigheter mot var och en av de gemensamt per- sonuppgiftsansvariga kan regleras i förordning. Remissinstanserna: Säkerhetspolisen konstaterar att utredningens för- slag inte har någon motsvarighet i direktivet. Säkerhetspolisen har inte några invändningar mot förslaget i sig men anför att förslaget förutsätter att det tydligt framgår vad som krävs för att ett gemensamt personupp- giftsansvar ska anses föreligga. varken i direktivet eller dataskyddsförordningen finns någon motsvarig- het till den bestämmelse som utredningen föreslår. Skälen för regeringens förslag och bedömning: Personuppgiftsan- svarig definieras i artikel 3.8 som en behörig myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för be- handlingen av personuppgifter. Redan av definitionen framgår det alltså att den personuppgiftsansvarige kan bestämma ändamål och medel för behandlingen tillsammans med andra. Enligt artikel 21.1 är två eller flera personuppgiftsansvariga som gemensamt fastställer ändamålen med och medlen för behandlingen variga ska genom ett inbördes arrangemang under öppna former fastställa vars och ens ansvar för efterlevnaden av direktivet, särskilt när det gäller att enskilda ska kunna utöva sina rättigheter och skyldigheten att tillhan- dahålla information enligt artikel 13. I den mån de personuppgiftsansva- rigas respektive skyldigheter fastställs i unionsrätt eller nationell rätt ska någon överenskommelse om fördelning av ansvaret inte ingås i den De gemensamt personuppgiftsansvariga ska också utse en kontakt- punkt för registrerade. Enligt artikeln kan medlemsstaterna fastslå vem av de gemensamt personuppgiftsansvariga som kan fungera som kon- I artikel 21.2 öppnas en möjlighet att föreskriva att den regi- strerade, oavsett det inbördes arrangemanget, får göra sina rättigheter gällande mot var och en av de personuppgiftsansvariga. Utredningen föreslår att det i ramlagen ska tas in en bestämmelse som föreskriver att två eller flera behöriga myndigheter får vara gemensamt personuppgiftsansvariga endast i den utsträckning det följer av lag eller förordning, eller om regeringen i enskilda fall beslutar om det. ansvar kan då inte uppstå de facto i en viss situation, utan endast i den utsträckning som eller regeringen har beslutat om det. ningen för när gemensamt personuppgiftsansvar uppkommer skulle där- med bli tydligare. Som Säkerhetspolisen och anför finns det inte någon motsvarighet till utredningens förslag i direktivet. dataskyddsförordningen finns det något motsvarande formkrav för att ett gemensamt personuppgiftsansvar ska uppstå. i direktivet och lydelsen i utredningens förslag skulle kunna medföra att ett gemensamt personuppgiftsansvar i vissa fall föreligger enligt direkti- vet men inte enligt ramlagen. Detta kan leda till oklarheter vid rättstill- lämpningen, särskilt med hänsyn till att det är osäkert hur den EU- rättsliga tolkningen av begreppet gemensamt personuppgiftsansvar kan komma att utvecklas . Trots de fördelar som finns med utred- ningens förslag, anser regeringen därför att bestämmelsens lydelse i ram- lagen bör motsvara direktivets lydelse. Det bör alltså i lagen införas en bestämmelse som innebär att två eller flera personuppgiftsansvariga som gemensamt bestämmer ändamålen med och medlen för personuppgiftsbehandlingen ska vara gemensamt Vidare bör det av bestämmelsen i lagen framgå att den registrerade ska få utöva sina rättigheter enligt lagen mot var och en av de gemensamt 2017/18:232 Motsvarande ordning gäller vid gemensamt personuppgiftsansvar enligt dataskyddsförordningen. En skriftlig överenskommelse om fördelningen av ansvaret Enligt artikel 21.1 ska gemensamt personuppgiftsansvariga på ett tydligt sätt fastställa sitt respektive ansvar, främst i förhållande till registrerade. I skäl 54 framhålls vikten av att det tydligt fastställs vem som bär ansvaret. Det ska ske under öppna former genom ett inbördes arrangemang mellan de personuppgiftsansvariga. Det bör med hänsyn till innehållet i artikel 21.1 ställas krav på att en skriftlig överenskommelse träffas, men detta kan regleras i förordning. Även om det finns en skriftlig överenskommelse som reglerar ansvaret kan detta inte befria någon av avtalsparterna från det ansvar som följer av gällande rätt, exempelvis registrerades möjligheter att utöva sina rättig- heter enligt lagen mot var och en av de gemensamt personuppgiftsansva- riga. En överenskommelse ska enbart reglera hur ansvaret ska utövas i praktiken. Kravet på öppenhet måste anses vara uppfyllt genom regleringen om tillgång till allmänna handlingar. Regeringens förslag: Regeringen bemyndigas att meddela föreskrif- ter om vissa skyldigheter för personuppgiftsansvariga och personupp- giftsbiträden. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: avstyrker förslaget. Skälen för regeringens förslag: Ramlagen och den tillhörande förord- ningen kommer främst att tillämpas av myndigheter men även av privata aktörer. Även om registerlagstiftning inte tillhör det obligatoriska lagom- rådet har utvecklingen gått mot att sådan lagstiftning i allt större utsträck- ning ges lagform. Skyldigheter som åläggs personuppgiftsansvariga och personuppgiftsbiträden enligt ramlagen kan innebära skyldigheter för en- skilda. Föreskrifter som gäller förhållandet mellan enskilda och det all- männa och som gäller skyldigheter för enskilda eller i övrigt avser in- grepp i enskildas personliga eller ekonomiska förhållanden ska enligt 8 kap. 2 § första stycket 2 regeringsformen som huvudregel meddelas i lag. kan dock enligt 8 kap. 3 § första stycket regeringsformen bemyndiga regeringen att meddela sådana föreskrifter. I 8 kap. 7 § regeringsformen anges inom vilka områden regeringen utan delegering får meddela föreskrifter. Enligt paragrafen får regeringen bl.a. meddela föreskrifter om verkställighet av lag. är i första hand tillämpningsföreskrifter av rent administrativ karaktär. Sådana bestämmelser kan fylla ut eller precisera lagbestämmel- ser. Lagregleringen får dock inte tillföras något väsentligt nytt genom verkställighetsföreskrifter. De får t.ex. inte innebära att enskilda åläggs ytterligare skyldigheter. Ramlagen och den tillhörande förordningen är en offentligrättslig Prop. 2017/18:232 reglering och omfattas av det delegeringsbara lagområdet. möjligt att i vissa fall bemyndiga regeringen att meddela föreskrifter inom ramlagens tillämpningsområde. För att undvika en alltför detaljerad lagreglering bör vissa bestämmelser som kan innebära åligganden för en- skilda finnas i förordning. Sådana bestämmelser kan ibland fylla ut eller precisera en lagbestämmelse och ses då som verkställighetsföreskrifter. Så kan exempelvis vara fallet om åtgärder ska vidtas för att en skyldighet i lag ska kunna uppfyllas, t.ex. dokumentation eller underrättelse. I övriga fall kan det krävas ett bemyndigande till regeringen för att sådana bestämmelser ska kunna meddelas i förordning. Merparten av de skyldigheter som åläggs personuppgiftsansvariga och personuppgiftsbiträden föreslås regleras i ramlagen, men vissa detaljbe- stämmelser föreslås regleras i förordning. Eftersom det är mindre lämp- ligt att tynga en lag med utpräglade detaljföreskrifter bör vissa skyldig- heter för personuppgiftsansvariga regleras i förordningen trots att de även kan träffa enskilda. Det gäller skyldigheten att föra register över katego- rier av behandlingar av personuppgifter och skyldigheten att införa inter- na rutiner för anmälan av överträdelser. De bestämmelserna är inte heller så ingripande att de av den anledningen bör regleras i lag. Konsekven- serna av lagförslaget i sin helhet kan överblickas även om regeringen ges ett bemyndigande. Regeringen bör därför i ramlagen bemyndigas att meddela föreskrifter om dessa skyldigheter. 10.1Tydligare reglering av enskildas rättigheter Rätten till skydd av personuppgifter är inte en absolut rättighet utan ska vägas mot andra intressen. En del i personuppgiftsskyddet är enskildas rätt att få veta hur deras personuppgifter behandlas. Information om den personuppgiftsbehandling som pågår är en förutsättning för att enskilda ska kunna kontrollera om behandlingen är författningsenlig och i övrigt kunna bevaka sina intressen. Direktivet medför att rättigheterna för en- skilda tydliggörs. Den enskilde får utökade möjligheter att kontrollera hur hans eller hennes personuppgifter behandlas och att begära korrige- ring av felaktiga eller ofullständiga personuppgifter och åtgärder vid otillåten behandling. I skäl 7 betonas att skyddet för fysiska personers rättigheter och friheter ska vara likvärdigt i alla medlemsstater när per- sonuppgifter behandlas inom direktivets tillämpningsområde. Det fram- hålls även att ett effektivt skydd av personuppgifter förutsätter stärkta rättigheter för enskilda och ökade skyldigheter för dem som behandlar personuppgifter. 2017/18:232 10.2 10.2.1Allmänt om rätten till information Tillgången till allmänna handlingar Det finns regler inom olika områden som ger enskilda rätt till insyn i viss myndighetsverksamhet och rätt att ta del av handlingar som behandlas där. Det gäller även inom ramlagens tillämpningsområde. Reglerna om personuppgiftsbehandling, och den rätt till information som skapas genom dem, utgör bara en mindre del av den samlade rätten till infor- mation. Vem som helst har rätt att med stöd av 2 kap. 1 § tryckfrihetsförord- ningen ta del av allmänna handlingar. Den rätten kan bara begränsas av sekretess och tystnadsplikt. I offentlighets- och sekretesslagen (2009:400) finns både sekretessbestämmelser och bestämmelser som anger när olika typer av sekretess får brytas. Sekretess till skydd för en- skildas personliga eller ekonomiska intressen gäller normalt inte i förhål- lande till den person som uppgiften avser (12 kap. 1 §). Däremot kan sekretess till skydd för det allmännas intressen eller till skydd för annan enskilds intressen begränsa rätten att få del av allmänna handlingar. För de verksamheter där ramlagen kommer att tillämpas gäller framför allt sekretess enligt 18 och 35 kap. offentlighets- och sekretesslagen, som skyddar det allmännas respektive enskildas intressen i brottsbekämpande verksamhet. Även andra sekretessbestämmelser kan gälla i det enskilda fallet. Sådan sekretess som gäller hos alla myndigheter är inte sällan aktuell inom ramlagens tillämpningsområde, exempelvis sekretess till skydd för vissa adressuppgifter (21 kap. 3 §) eller för utlänningar (21 kap. 5 §). Den som är part i ett mål eller ärende hos en myndighet eller en domstol har i stor utsträckning rätt till insyn i förfarandet och rätt att ta del av den information som tillförs målet eller ärendet under handläggningen. Myn- digheter och domstolar är i varierande utsträckning skyldiga att se till att en part får del av sådan information. Bestämmelser om det finns bl.a. i förvaltningslagen, förvaltningsprocesslagen (1971:291) och 45 kap. 9 § . Enligt 10 kap. 3 § offentlighets- och sekretesslagen hindrar sekretess inte den som är part och som på grund av sin partsställ- ning har rätt till insyn i handläggningen att ta del av handlingar och material i målet eller ärendet. Insynen får bara begränsas under förutsätt- ning att det av hänsyn till allmänt eller enskilt intresse är av synnerlig vikt att en sekretessbelagd uppgift i en handling i målet eller ärendet inte lämnas ut till parten. Sekretess hindrar aldrig en part från att ta del av en dom eller ett beslut i målet eller ärendet. Sekretess innebär inte heller någon begränsning i en parts rätt enligt att få del av alla omständigheter som läggs till grund för ett avgörande. Förvaltningslagens bestämmelser om partsinsyn och kommunikations- skyldighet gäller inte i polisens, åklagarnas, , Kustbevakning- ens och brottsbekämpande verksamhet. gande arbete är inte författningsreglerat och det finns inte heller några särskilda regler om insyn eller tillgång till handlingar i sådan verksamhet. 2017/18:232 Underrättelseverksamhet är endast i mycket begränsad utsträckning för- fattningsreglerad och några särskilda regler om insyn eller tillgång till handlingar i den verksamheten finns inte heller. Särskilda regler gäller däremot om misstänktas rätt till insyn i förun- dersökningar enligt 10 kap. 3 a § offentlighets- och sekretesslagen och 23 kap. . Förundersökningar omfattas i de flesta fall åt- minstone inledningsvis till stor del av sekretess, men den avklingar nor- malt ju längre utredningen kommer. Därför har regleringen av rätten till insyn i förundersökningar stor praktisk betydelse. Tidpunkten för när en person underrättas om att han eller hon är skäli- gen misstänkt är utgångspunkten för rätten till insyn. Den som är skäli- gen misstänkt eller åtalad har rätt till insyn och tillgång till material enligt 23 kap. 18, 18 a och 21 §§ . Den som utsätts för ett straffprocessuellt tvångsmedel som kan prövas av domstol har vid domstolens handläggning partsrättigheter, men har inte någon insyn i t.ex. polisens eller åklagarens handläggning utöver vad som har sagts. Vid domstolens handläggning av andra förprocessuella frågor, t.ex. frågor om offentlig försvarare eller målsägandebiträde, har den berörde på motsvarande sätt partsställning och den insyn som följer av det. Det finns inga regler om målsägandens eller andra berördas rätt till insyn i förundersökningsförfarandet. Däremot finns det omfattande regler om underrättelseskyldighet som bl.a. tillgodoser målsägandenas intressen knutna till att en förundersökning slutförs. Om åtal väcks blir som regel de flesta handlingar som rör åtalet offent- liga. En domstols handläggning av brottmål är till största delen offentlig och för handlingarna i målet gäller bara i begränsad utsträckning sekre- tess. Det är framför allt i mål som rör underåriga eller särskilt känsliga frågor som exempelvis vissa sexualbrott och för viss personalia som det kan gälla sekretess. Det är viktigt att skilja den rätt till information och tillgång till hand- lingar som skapas genom de nu nämnda regleringarna från den rätt till in- formation och tillgång till personuppgifter som skapas genom reglerna om skydd för personuppgifter. Bestämmelserna har helt olika syften. 10.2.2Reglerna om information i straffrättsliga förfaranden har företräde Regeringens bedömning: Det behöver inte regleras att bestämmelser om personuppgiftsbehandling inte får inkräkta på reglerna om rätt till information vid förundersökning och andra straffrättsliga förfaranden, eftersom avvikande regler gäller i stället för ramlagen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt om bedöm- Skälen för regeringens bedömning Enligt artikel 18 får medlemsstaterna föreskriva att de rättigheter som avses i artiklarna 13, 14 och 16 ska utövas i enlighet med medlemsstater- nas nationella rätt, om personuppgifterna ingår i ett domstolsbeslut eller ett rättsligt protokoll eller ärende som behandlas i samband med brottsut- redningar och straffrättsliga förfaranden. Av skäl 49 och 107 framgår att direktivet inte hindrar medlemsstaterna att i nationell straffprocesslagstiftning genomföra bestämmelser dels om den registrerades rätt till information om behandlingen av hans eller hen- nes personuppgifter, rättelse och radering av personuppgifter och be- gränsning av behandlingen i samband med straffrättsliga förfaranden, dels om begränsningar av dessa rättigheter. Behövs det någon ny reglering? Det finns som nämnts åtskilliga bestämmelser om enskildas rätt till insyn i brottsutredningar och straffrättsliga förfaranden. Av särskild bety- delse är 23 kap. , som reglerar den misstänktes insyn under en förundersökning, 20 kap. som reglerar frågor som rör målsägande och förundersökningskungörelsen (1947:948) som framför allt reglerar underrättelseskyldigheter till misstänkt, målsägande och andra som berörs av en förundersökning. Brottsförebyggande arbete, underrättelseverksamhet, förundersök- ningar och brottmålsprocesser kan genomföras på ett ändamåls- enligt sätt, eftersom den processrättsliga lagstiftningen tillsammans med bestämmelser om sekretess och tystnadsplikt – när det finns skäl för det – begränsar enskildas rätt till information. Eftersom ramlagen föreslås vara subsidiär i förhållande till andra lagar och förordningar kommer reglerna i de processrättsliga regelverken och sekretessregleringen att ta över vid en konflikt mellan regelverken (se av- snitt 6.1.2). Det innebär att om reglerna om rätt till partsinsyn eller till- gång till handlingar enligt eller andra författningar eller reglerna om sekretess eller tystnadsplikt kommer i konflikt med ram- lagens bestämmelser ska de förstnämnda reglerna tillämpas i stället för ramlagens. I likhet med utredningen gör regeringen bedömningen att den ordning som gäller för enskildas rätt till information och tillgång till uppgif- ter i brottsutredningar och straffrättsliga förfaranden således inte kommer att påverkas när ramlagen träder i kraft. Några ytterligare regler för att säkerställa att brottsutredningar eller straffrättsliga förfaranden kan genomföras på samma sätt som behövs därmed inte. I direktivet finns det tre artiklar som reglerar vilken information som den personuppgiftsansvarige ska tillhandahålla den registrerade, artiklarna 13.1, 13.2 och 14. För att kunna ta ställning till hur dessa artiklar ska genomföras i ramlagen krävs först en analys av vilka rättigheter och skyl- digheter artiklarna slår fast och hur de förhåller sig till varandra. Artikel 13.1 är utformad som minimikrav. Den anger vilken informa- Prop. 2017/18:232 tion som den personuppgiftsansvarige alltid ska göra tillgänglig för regi- Det är fråga om allmän information om den personuppgifts- ansvarige och dataskyddsombudet, ändamålen med behandlingen, rätten att lämna in klagomål, rätten att begära tillgång till personuppgifter och rätten att begära rättelse, radering och begränsning av behandling. Därutöver ska den personuppgiftsansvarige enligt artikel 13.2 i speci- fika fall lämna ytterligare information för att göra det möjligt för den registrerade att utöva sina rättigheter. Det gäller information om behand- lingens rättsliga grund, hur länge personuppgifterna får behandlas, kate- gorier av mottagare av uppgifterna och den ytterligare information som det finns behov av. Enligt artikel 14 ska den registrerade ha rätt att få bekräftelse av den personuppgiftsansvarige om hans eller hennes personuppgifter behand- las. Om så är fallet ska den registrerade få tillgång till personuppgifterna och information om vilka personuppgifter som behandlas och varifrån de har hämtats. Den registrerade ska också informeras om ändamålen med behandlingen och dess rättsliga grund, kategorier av personuppgifter, mottagare eller kategorier av mottagare, hur länge uppgifterna får be- handlas, rätten att begära rättelse, radering eller begränsning av behand- lingen och möjligheten att lämna in klagomål till tillsynsmyndigheten. Information som den personuppgiftsansvarige ska lämna självmant I 23–25 §§ personuppgiftslagen (1998:204) föreskrivs att den personupp- giftsansvarige självmant ska informera den registrerade om behandlingen av hans eller hennes personuppgifter. I 23 § regleras vad som gäller om uppgifterna lämnats av den registrerade själv och i 24 § om uppgifterna hämtats från något annat håll. I 25 § första stycket anges vilken informa- tion som den personuppgiftsansvarige ska lämna självmant. den personuppgiftsansvariges identitet ska alltid lämnas och uppgift om ändamålen med behandlingen. All annan information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med be- handlingen ska också lämnas, t.ex. information om mottagarna av upp- gifterna, skyldigheten att lämna uppgifter och rätten att ansöka om information och att få rättelse. Enligt 25 § andra stycket personuppgiftslagen behöver information inte lämnas om sådant som den registrerade redan känner till. stor praktisk betydelse för omfattningen av den personuppgiftsansvariges Bestämmelserna i 23 och 25 §§ personuppgiftslagen gäller för myndig- heterna i rättskedjan. För polisen och görs undantag från informationsskyldigheten i 23 § dels vid insamling av personuppgif- ter genom bilder eller ljud, dels om uppgifterna samlas in i samband med larm och det med hänsyn till omständigheterna inte finns tid att lämna informationen (2 kap. 2 § tredje stycket polisdatalagen [2010:361] och 2 kap. 2 § tredje stycket kustbevakningsdatalagen [2012:145]). Myndigheternas registerförfattningar hänvisar däremot inte till 24 § Det beror på att informationsskyldigheten enligt 2017/18:232 den paragrafen inte gäller om det finns avvikande bestämmelser i lag eller annan författning (prop. 2014/15:63 s. 52 f. och prop. Regeringen kan enligt 50 § e personuppgiftslagen meddela närmare föreskrifter om vilken information som ska lämnas till registrerade och hur den ska lämnas. Datainspektionen har motsvarande delegation enligt 16 § 5 personuppgiftsförordningen (1998:1191). Några sådana föreskrif- ter har inte utfärdats. Datainspektionen har dock gett ut allmänna råd om information (Information till registrerade, Datainspektionens allmänna råd, ). Information som den personuppgiftsansvarige ska lämna efter ansökan Enligt 26 § personuppgiftslagen är den personuppgiftsansvarige skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande behandlas eller inte. Om sådana uppgifter behandlas ska också skriftlig information lämnas om vilka uppgifter om den sökande som behandlas, varifrån dessa uppgifter har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut.