sou · H5B3114 · 2018-01-01 00:00:00 — Enligt artikel 6.1 i dataskyddsförordningen får personuppgifter en- dast behandlas om någon av de rättsliga grunder som räknas upp i artikeln gäller. Enligt denna bestämmelse är personuppgiftsbehandling tillåten om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndig- hetsutövning. Personuppgiftsbehandling är även tillåten om den är nödvändig för att fullgöra en rättslig förpliktelse som den person- uppgiftsansvarige är skyldig att göra. Detta framgår av artikel 6.1 c i förordningen. konstaterar i sitt betänkande att det unionsrättsliga begreppet nödvändig inte har samma strikta innebörd som i svenska språket.15 Även om exempelvis en uppgift av allmänt intresse hade kunnat utföras utan behandling av personuppgifter, kan behandlingen ur ett unionsrättsligt perspektiv anses vara nöd- vändig och därmed tillåten enligt artikel 6 i dataskyddsförordningen om den leder till effektivitetsvinster.16 Det står enligt utredningen klart att personuppgiftsbehandlingen i infrastrukturen Mina meddelanden kan bedömas som nödvändig eftersom den bidrar till en stor effektivitetsvinst för offentliga myn- digheter och individer. För de som själva har anmält sig som mottagare till Mina med- delanden bedömer utredningen att personuppgiftsbehandlingarna är laglig enligt flera av leden som anges i artikel 6.1 i dataskyddsförord- ningen. 21.6.2Samtycke som rättslig grund Enligt artikel 6.1 a) i dataskyddsförordningen ska den registrerade ha lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. Genom att frivilligt ansluta sig som mottagare till Mina meddelanden anser utredningen att mottagaren får anses ha lämnat sitt samtycke till den behandling som behöver ut- 15SOU 2017:39 s. 105 f. 16Datalagskommitténs betänkande SOU 1997:39 s. 359, dom i mål nr C-524/06, och i mål nr C-683/13. SOU 2017:114 En lag om infrastruktur för digital post föras med mottagarens personuppgifter för att hon eller han ska kunna få sin post på elektronisk väg. 21.6.3Rättslig förpliktelse som rättslig grund Enligt artikel 6.1 c) i dataskyddsförordningen ska behandlingen vara nödvändig för att fullgöra en rättslig förpliktelse som den person- uppgiftsansvarige är skyldig att utföra. I följer det av regeringsformen att den offentliga makten utövas under lagarna.17 Offentligrättsliga förelägganden och beslut som medför förpliktelser för mottagaren ska därför ha sin grund i en författning. Förpliktelser som har en generell räckvidd, och alltså inte riktas mot en specifik mottagare, ska också regleras i författning. Detta gäller både offentligrättsliga och civilrättsligaskyldigheter.18 gör dock bedömningen att det faktum att den rättsliga förpliktelsen måste ha en legal grund inte innebär att förpliktelsen nödvändigtvis måste framgå av en författning eller lik- nande. Rättsliga förpliktelser kan också framgå av exempelvis förelägg- anden, myndighetsbeslut och domar som har meddelats med stöd av gällande rätt. Avtalsrättsliga förpliktelser som rättslig grund för per- sonuppgiftsbehandling regleras dock i artikel 6.1 b i dataskyddsför- ordningen och ligger således utanför begreppet rättslig förpliktelse.19 Genom utredningens förslag om en lag om infrastruktur för digi- tal post införs tydligare rättsliga förpliktelser för den personupp- giftsansvarige (avsändaren i det här fallet) att fullgöra sina rättsliga förpliktelser. Avsändaren ska enligt 16 § i lagen kontrollera i förmed- lingsadressregistret om mottagaren är ansluten till infrastrukturen. Utredningen föreslår också i 7 § en rättighet att få sin post digitalt om man begär det. 171 kap. 1 § tredje stycket regeringsformen (1974:152). 18SOU 2017:39 s. 115. 19Dataskyddsutredningens betänkande SOU 2017:39 s. 113 f. En lag om infrastruktur för digital post 21.6.4Uppgift av allmänt intresse eller myndighetsutövning som rättslig grund Enligt artikel 6.1 e) i dataskyddsförordningen ska behandlingen vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Uppgift av allmänt intresse anser att mycket talar för att begreppet uppgift av allmänt intresse har fått en vidare unionsrättslig betydelse genom dataskyddsförordningen än det har haft i svensk rätt.20 gör även bedömningen att begreppet upp- gift av allmänt intresse rent språkligt kan antas avse något som är av intresse för eller berör många människor på ett bredare plan. Av skäl 45 till dataskyddsförordningen följer att allmänintresset inbegri- per hälso- och sjukvårdsändamål, folkhälsa, socialt skydd och för- valtning av hälso- och sjukvårdstjänster. gör också bedömningen att alla uppgifter som utförs av statliga myndig- heter i syfte att uppfylla ett uttryckligt uppdrag av eller regeringen är av allmänt intresse.21 Myndighetsutövning är ytterst ett uttryck för samhällets maktbe- fogenheter i förhållande till individer. Befogenheten till myndighets- utövning måste vara grundad på lag eller annan författning eller på annat sätt kunna härledas ur bemyndiganden från de högsta stats- organen. Till myndighetsutövning hör först och främst sådan offent- lig verksamhet, varigenom myndigheterna ensidigt bestämmer om enskildas skyldigheter eller om ingrepp i enskildas frihet eller egen- dom. Hit hör alltså beslut som innebär skyldigheter att göra eller avstå från något eller som avser ingrepp i personlig frihet eller egen- dom, men även rent faktiska åtgärder som innebär sådana ingrepp, vare sig de grundas på formella beslut eller inte. Så långt kan begrep- 20Dataskyddsutredningens betänkande SOU 2017:39 s. 122 f. En lag om infrastruktur för digital post pet myndighetsutövning sägas sammanfalla med begreppet offentlig maktutövning. 21.6.5Bedömning av rättslig grund Utredningen anser att det finns stöd för att bedöma uppgift av all- mänt intresse som rättslig grund för personuppgiftsbehandlingarna i Mina meddelanden eftersom infrastrukturen Mina meddelanden har införts som en service som kan sägas vara av allmänt intresse. Viss post från myndigheter kan vara en del av myndighetsutövning gente- mot individen. Att posten skickas digitalt medför enligt utredningen inte någon annan bedömning. Det finns därför stöd även för att bedöma myndighetsutövning som rättslig grund. Att mottagarna har samtyckt till att ansluta sig till Mina meddelanden är också rättslig grund för laglig personuppgiftsbehandling. Det finns således enligt utredningens mening rättslig grund i dessa tre led för de behandlingarna av personuppgifter i Mina med- delanden när det gäller individer som själva har anslutit sig till infra- strukturen. När det gäller slagning i förmedlingsadressregistret på individer som inte är anslutna till Mina meddelanden kan inte den rättsliga grunden i artikel 6.1 a) om samtycke användas. Däremot borde samma principer om rättslig grund enligt artiklarna 6.1 c) om rättslig för- pliktelse och e) om allmänt intresse eller myndighetsutövning kunna gälla som rättslig grund för sådan behandling av personuppgifter. 21.7Ändamål för personuppgiftsbehandling inom Mina meddelanden att de primära ändamålen för personuppgiftsbehandling inom infrastrukturen Mina meddelanden regleras. Personuppgifter i registret ska bara få behandlas om det behövs för att 1.förmedla digital post i syfte att kunna utföra en arbetsuppgift inom en författningsreglerad verksamhet hos någon av de som anslutit sig till infrastrukturen, eller En lag om infrastruktur för digital post 2.förvara och bearbeta digital post som avses i p. 1 i syfte att erbjuda tilläggstjänster för mottagarna. att de sekundära ändamålen med personuppgiftsbehandling inom infrastrukturen Mina meddelanden regleras särskilt. Personupp- gifter i registret som behandlas eller har behandlats enligt de pri- mära ändamålen med registret ska även få behandlas om det behövs för att fullgöra uppgiftslämnande i överensstämmelse med lag eller förordning. I ett enskilt fall ska personuppgifter som behandlas eller har behandlats enligt de primära ändamålen med registret även få be- handlas för att tillhandahålla information för något annat ändamål än det som anges, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in. Enligt artikel 5.1 b) i dataskyddsförordningen ska det vid behandling av personuppgifter gälla att de ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen (ändamåls- begränsning). Utgångspunkten i lagen om infrastruktur för digital post är att personuppgifter bara ska få behandlas för vissa berättigade, särskilt angivna ändamål. Därmed kan användningen och spridningen av per- sonuppgifterna begränsas. Ändamålet ska vara specifikt och tydligt angivet. Den aktuella verksamheten för infrastrukturen är att förmedla digital post och ha möjlighet att lagra och bearbeta sådan post. Informationen som flö- dat in i infrastrukturen och behandlats där, kommer till stor del från annat håll. Informationen, ska kunna flöda igenom infrastrukturen för att den ska kunna genomföra sin verksamhet. Det finns även information om aktörerna i infrastrukturen i form av det förmed- lingsadressregister som syftar till att matcha informationen som flödar genom infrastrukturen med rätt mottagare, dvs. en del i att förmedla den digitala posten. De primära ändamålen som utredningen föreslår i 9 § i förslaget till lag om infrastruktur för digital post är utformade för att till- En lag om infrastruktur för digital post godose den behandling som behövs i en sådan verksamhet. För att skilja ut och precisera vilken information som får flöda igenom infra- strukturen begränsas denna till att bara avse sådan information som från början kommer från en författningsreglerad verksamhet som ingår bland infrastrukturens aktörer. Det är bara den informationen som, tillsammans med förmedlingsadressregistret, ingår i infrastruk- turens verksamhet. Utredningen bedömer t.ex. att personuppgifts- behandlingen från handläggning av en avsändares ärende eller faktiska handläggning från början till slut kan flöda genom infrastrukturen och ingå i dess verksamhet om denna information ingår i en författ- ningsreglerad verksamhet. Utredningen bedömer att även generella servicemeddelanden som ingår i en arbetsuppgift inom en författ- ningsreglerad verksamhet hos en avsändare kan omfattas av infra- strukturens verksamhet. Utredningens bedömning är att detta innebär att statliga myndigheter, kommuner och landsting, i deras författnings- reglerade uppdrag, träffas av ändamålens formulering utan att ramen blir alltför vid i förhållande till mängden information som kan kvalifi- cera. Personuppgiftsbehandlingarna bedöms vara proportionerliga. Vilken kategori av information som ska få finnas i registret är en bedömningsfråga, eftersom det bara är de personuppgiftsbehand- lingar som behövs som är tillåtna. Det är därmed inte ändamålsenligt att specificera vilka kategorier av personuppgifter som kan ingå i registret. Det skulle hypotetiskt kunna variera från fall till fall. Sekundära ändamål (10 §) reglerar i vilken utsträckning uppgifter som samlats in för något primärt ändamål får behandlas för att läm- nas ut från den reglerade verksamheten till enskilda eller till andra myndigheter eller verksamheter. Uppgifterna lämnas således ut i syfte att tillgodose deras behov, dvs. trots att det inte behövs för något primärt ändamål. Finalitetsprincipen innebär att insamlade personuppgifter inte får behandlas för något ändamål som är oförenligt med det ursprungliga ändamålet. Det finns flera möjligheter att utforma ändamålsregle- ringen i särskilda registerförfattningar i förhållande till finalitetsprin- cipen. Det går dock att urskilja två principiellt olika sätt. Det ena är att i en uttömmande uppräkning ange samtliga ändamål för vilka behandling får förekomma, både primära och sekundära. Det andra är att de i lagen angivna ändamålen kompletteras med en möjlighet att vidarebehandla personuppgifter även för ändamål som inte är oförenliga med insamlingsändamålet. En lag om infrastruktur för digital post ling får då avgöras med tillämpning av finalitetsprincipen. I flera sär- skilda registerförfattningar, däribland polisdatalagen22 och kustbe- vakningsdatalagen,23 är ändamålsbestämmelserna utformade enligt det senare alternativet.24 Ambitionen med utredningens förslag om en lag om infrastruk- tur för digital post är att de tillåtna ändamålen för behandling av per- sonuppgifter ska anges så tydligt och fullständigt som möjligt. De primära ändamålen, dvs. de ändamål för vilka den aktuella myndig- heten får samla in personuppgifter för Mina meddelanden, anges därför uttömmande. En svårare fråga är om även de sekundära ända- målen – som anger när de personuppgifter som med stöd av de pri- mära ändamålen har samlats in av myndigheten enligt ovan får lämnas ut trots att det inte behövs enligt de primära ändamålen – bör anges uttömmande. I förarbetena till flera särskilda registerförfattningar har regeringen gjort bedömningen att det inte är möjligt att i en lag om behandling av personuppgifter på ett visst område på ett tillräckligt preciserat sätt ange alla de situationer där utlämnande av uppgifter kan komma att aktualiseras, se t.ex. propositionen Integritet och effektivitet i poli- sens brottsbekämpande verksamhet25 och propositionen Kustbevak- ningsdatalag.26 Regeringen ansåg även i propositionen Nya möjligheter till opera- tivt polissamarbete med andra stater27 att de sekundära ändamålen inte skulle anges uttömmande i den nya tullbrottslagen. I ett enskilt fall bör personuppgifter som samlats in enligt de primära ändamålen även få behandlas för att tillhandahålla information för något annat ändamål än de som uttryckligen anges i lagen, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket personupp- gifterna samlades in. Det skulle kunna anföras att det inte finns en så varier- ande verksamhet för infrastrukturen Mina meddelanden att det i sig skulle utesluta möjligheten att på ett tillräckligt preciserat sätt ange Jfr även nytt förslag om polisdatalag i SOU 2017:74 s. 418 ff. där de sekun- dära ändamålen fortsatt inte är uttömmande. Se även nytt förslag om kustbevakningsdatalag i Ds 2017:58 s. 118 ff. där de primära- och sekundära ändamålsbestämmelserna behålls som de är . 2011/12:45 s. 102. 2009/10:85 s. 98. 2011/12:45 s. 102. 2016/17:91 s. 88 f. En lag om infrastruktur för digital post alla de situationer där utlämnande av uppgifter kan komma att aktu- aliseras. Å andra sidan är det, som utredningen redogjort för ovan, problematiskt att definiera infrastrukturens verksamhet. Det finns då en risk för att exkludera någon del av personuppgiftsbehandlingarna. Utredningen föreslår därför, främst med hänsyn till hur lagstifta- ren har resonerat avseende de sekundära ändamålen, att dessa inte anges uttömmande i 10 § andra stycket. För att underlätta för de inblandade aktörerna föreslår utredningen ett klargörande av det personuppgiftsansvar som den aktuella myn- digheten har, avsändare av digital post och leverantörer av digitala brevlådetjänster. Även förmedlarens roll behöver förtydligas i detta sammanhang. Bland annat inför utredningen nya regler för att visa dels vilka slagningar som avsändare, förmedlare och leverantörer av digitala brevlådetjänster gör mot förmedlingsadressregistret, dels när en avsändares personuppgiftsansvar upphör och personuppgiftsan- svaret tas över av leverantörer av digitala brevlådetjänster. att avsändare före sändning av digital post ska kontrollera i för- medlingsadressregistret om mottagaren är ansluten till infrastruk- turen och i så fall hos vilken leverantör mottagarens brevlåde- tjänst för digital post finns samt att avsändaren får sända digital post till mottagaren. Om mottagaren inte är ansluten till infra- strukturen eller inte tar emot meddelanden från den aktuella av- sändaren ska den digitala posten inte få sändas via infrastrukturen. Avsändningskontroll innebär att avsändaren måste genomföra en kontroll i förmedlingsadressregistret för att ta reda på om mottaga- ren är ansluten till Mina meddelanden, hos vilken leverantör mot- tagaren har sin digitala brevlåda samt att avsändaren av den digitala posten får sända post till mottagaren (att mottagaren inte har spärrat post från avsändaren) för att få skicka post via infrastrukturen. En lag om infrastruktur för digital post är en procedur som är en teknisk förutsättning för att meddelande ska sändas och som beskrivs i allmänna villkor för Mina meddelanden.28 Det finns, enligt utredningen ett behov av att i lagen kortfattat upplysa om hur infrastrukturen fungerar. att förmedlare före sändning av digital post ska kontrollera i för- medlingsadressregistret om mottagaren är ansluten till infrastrukturen och om avsändaren får sända digital post till mottagaren. Om mottagaren inte är ansluten till infrastrukturen eller inte tar emot meddelanden från den aktuella avsändaren ska den digitala posten inte få sändas via infrastrukturen. Eftersom digital post kan sändas både av avsändaren direkt och via en förmedlare behövs det, för tydlighetens skull, särskilt regleras vad som gäller för förmedlare. Även denna slagning utförs i de fall en förmedlare är anlitad av avsändaren för att förmedla den digitala posten. Förmedlare kon- trollerar på uppdrag av avsändaren i förmedlingsadressregistret att mottagaren är ansluten och att avsändaren får sända digital post till mottagaren. att leverantör av brevlådetjänster för digital post vid ankomst av digital post till brevlådan ska kontrollera i förmedlingsadress- registret att avsändaren är ansluten till infrastruktu- ren. Om avsändaren inte är ansluten och heller inte har något civilrättsligt avtal med mottagaren om digital brevlådetjänst ska meddelandet inte tas emot. 28 Allmänna villkor för Mina meddelanden, version 1.3, s. 9 p. En lag om infrastruktur för digital post Som sista steg i sändningskedjan ska leverantören av brevlådetjänster för digital post också kontrollera i förmedlingsadressregistret att avsändaren är ansluten till infrastrukturen. Om avsända- ren inte är ansluten och inte heller har något civilrättsligt avtal med mottagaren om digital brevlådetjänst, alltså har kvar samma val av brevlådetjänst, ska meddelandet inte tas emot. Den post som kommer till mottagaren kan antingen gå via infra- strukturen Mina meddelanden eller så kan posten också gå med anledning av ett avtal som mottagaren har slutit med leverantören av digital brevlådetjänst om att mottagaren vill ha digital post från de avsändare som i sin tur har slutit avtal med leverantören. Det här gäller de individer som t.ex. anslutit sig till en privat leverantör av digital brevlådetjänst för att få post från vissa företag. Denna digitala post har inget med Mina meddelanden att göra. Detta gäller inte brevlådetjänsten Min myndighetspost som bara tar emot post via Mina meddelanden. Mottagare med digitala brevlådor från andra leverantörer än Min myndighetspost får därmed post genom två olika informationsflöden, flödet via Mina meddelanden och det avtalsrättsliga ”civila” flödet. När det gäller det civila flödet återstår det att avgöra om det finns rättslig grund för de behandlingar av personuppgifter (slagningar i register) som behöver göras för att avgöra om post ska skickas digi- talt. Om det görs slagningar på individer som inte anmält sig till en brevlådetjänst för post som kommer från t.ex. företagare är detta något som genomförs utanför infrastrukturen Mina meddelanden. Utredningen har därför inte undersökt denna fråga närmare men vill i sammanhanget belysa att det kan vara en fråga för leverantörer av digitala brevlådetjänster att se över innan dataskyddsförordningen träder i kraft . att myndigheten ska vara personuppgiftsansvarig för den behand- ling av personuppgifter som myndigheten utför när den tillhanda- håller förmedlingsadressregistret. En lag om infrastruktur för digital post Med myndigheten avses . Enligt utred- ningens förslag i delbetänkandet ska detta ansvar flyttas till digitaliseringsmyndigheten.29 Så länge ansvarar för registret ska dock ha personuppgiftsansvaret för all be- handling av personuppgifter som utförs i registret. Detta gäller redan i praktiken. Ett av syftena med EU:s dataskyddsreform är att göra det tydligare vilket ansvar och vilka skyldigheter de som behand- lar personuppgifter har. Att reglera vem som har personuppgifts- ansvaret bör för tydlighetens skull skrivas ut i en regel i lagtexten. att avsändaren ska vara personuppgiftsansvarig för behandling av personuppgifter till dess att leverantör av brevlådetjänster för digital post genom ankomstkontroll godkänt mottagandet. att avsändaren ska vara personuppgiftsansvarig för behandling av uppgifter som leverantören utför på avsändarens begäran efter att meddelandet gjorts tillgängligt för mottagaren. Avsändaren av den digitala posten ska vara personuppgiftsansvarig för de personuppgifter som behandlas i meddelandet till dess att leve- rantören av brevlådetjänsten har godkänt mottagandet genom an- komstkontrollen beskriven ovan. När mottagandet är godkänt upp- hör avsändarens personuppgiftsansvar utom i de fall avsändaren har begärt någon ytterligare behandling av personuppgifter efter att med- delandet har gjorts tillgängligt för mottagaren. En sådan behandling finns inte tillgänglig , men skulle kunna avse t.ex. en fakturabetalning. Då upphör personuppgiftsansvaret för avsändaren först i ett senare skede som får avgöras i varje konkret exempel på en sådan lösning. 29 SOU 2017:23, digitalforvaltning.nu. En lag om infrastruktur för digital post 21.8.6Har förmedlaren ett personuppgiftsansvar? att förmedlaren ska vara personuppgiftsbiträde i förhållande till avsändaren. Detta förhållande bör inte regleras i den föreslagna lagen. Förmedlaren utför också en behandling av personuppgifter genom en kontrollslagning mot förmedlingsadressregistret för att veta om mottagaren är ansluten och att avsändaren får skicka digi- tal post till mottagaren. Den aktuella behandlingen utförs dock på uppdrag av avsändaren. Förmedlaren kan inte heller påverka infor- mationen eller ändra den. Förmedlaren är därmed inte självt person- uppgiftsansvarig för personuppgiftsbehandlingen. I stället är förmedlaren att anse som ett personuppgiftsbiträde som utför uppgifter på grundval av ett uppdragsavtal. Det ligger i själva definitionen av ett personuppgiftsbiträde att det är en funktion som skapas genom avtal mellan den personuppgiftsansvarige och den som ska behandla personuppgifter för den personuppgiftsansvariges räkning. Det finns även ett värde i att dokumentera instruktionerna och relationen i övrigt mellan den personuppgiftsansvarige och per- sonuppgiftsbiträdet i det aktuella avtalet.30 Det har i tidigare registerförfattningar inte bedömts lämpligt att reglera rollen som personuppgiftsbiträde.31 21.8.7Personuppgiftsansvaret för leverantörer av digitala brevlådetjänster att leverantör av brevlådetjänster för digital post ska vara person- uppgiftsansvarig för behandling av uppgifter efter att ankomst- kontroll genomförts med undantag för om avsändaren har begärt någon ytterligare behandling. 2014/15:148 s. 35 f. 2014/15:148 s. 36. En lag om infrastruktur för digital post att leverantören ska vara personuppgiftsansvarig för behandling av uppgift som denne erbjuder mottagaren och som inte utförs på avsändarens begäran. Sådan behandling innefattar förvaring. Enligt förslaget ska leverantören av brevlådetjänster vara personupp- giftsansvarig för behandling av personuppgifter efter att ankomstkon- troll har genomförts.