sou · H6B363 · 2018-08-09 00:00:00 — Det kan vara fråga om att personuppgifter lämnas t.ex. via e-post eller dvd-skiva eller genom direkt överföring från ett datasystem till ett annat via elek- troniska kommunikationsnät. Det har betydelse vem mottagaren är för frågan om det är olämpligt att lämna ut uppgifter elektroniskt. Som regel kan det inte anses vara olämpligt att lämna ut uppgifter på det sättet till en myndighet (se prop. 2014/15:148 s. 113, jfr SOU 2015:39 s. 447 f.). När det gäller utlämnande till andra än svenska myndigheter krävs en mer nyanserad bedömning med hänsyn till bl.a. innehållet i handlingen och vem (t.ex. en organisation) som är mottagare. Bedömer myndigheten att det finns risk för att personuppgifterna kan komma att missbrukas om de lämnas ut elektroniskt kan det var olämpligt att lämna ut dem på detta sätt. Vid prövningen av om personupp- gifter bör lämnas ut elektroniskt bör även informationssäkerheten, dvs. säkerheten hos mottagaren, vägas in. Andra stycket anger att elektroniskt utlämnande genom direkt- åtkomst endast är tillåtet bara i den utsträckning som särskilt anges i lagen (3 kap. 2–4 §§). Tredje stycket upplyser om att regeringen kan meddela före- skrifter som begränsar möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst. 3 kap. Gemensamt tillgängliga uppgifter Personuppgifter som får göras gemensamt tillgängliga Personuppgifter får göras gemensamt tillgängliga om det behövs för något av de ändamål som anges i 2 kap. Personuppgifter som endast ett fåtal personer har tillgång till anses inte som gemensamt tillgängliga. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter eller besluta i enskilda fall vilka uppgiftssamlingar som får finnas och vilka uppgifter som får behandlas i respektive uppgiftssamling. I paragrafen anges genom en hänvisning till lagens syften vilka person- uppgifter som får göras gemensamt tillgängliga. Paragrafen behand- las i avsnitt 6.5.1. En grundläggande förutsättning för att personuppgifter ska anses vara gemensamt tillgängliga är att de kan användas gemensamt av flera, dvs. att fler än en person har åtkomst till uppgifterna. Upp- gifter som endast ett fåtal personer har rätt att ta del av bör dock inte anses som gemensamt tillgängliga. Av andra stycket framgår att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter eller besluta i enskilda fall vilka uppgiftssamlingar som får finnas och vilka uppgifter som får behandlas i respektive uppgiftssamling. Trots sekretess enligt 38 kap. 4 § offentlighets- och sekretesslagen (2009:400) får Säkerhetspolisen och medges direktåtkomst till personuppgifter som utgör bearbetningsunderlag och analysresultat inom försvarsunderrättelseverksamheten och som finns i uppgiftssamlingar. I paragrafen anges vilka myndigheter som får medges direktåtkomst till uppgifter som har gjorts gemensamt tillgängliga i uppgiftssam- lingar och för vilka syften. Paragrafen behandlas i avsnitt 6.5.2. Bestämmelserna om sekretess till skydd för enskilda i försvars- underrättelsemyndigheternas verksamhet finns bl.a. i 38 kap. 4 § offentlighets- och sekretesslagen (2009:400). Sekretess gäller för uppgift om en enskilds personliga och ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men (omvänt skaderekvisit). Bestämmelsen om direktåtkomst innebär att sådana uppgifter som anges i sekretessbestämmelsen får lämnas till Säkerhetspolisen och genom direkt- åtkomst. Bearbetningsunderlag och analysresultat består av information som ännu inte har bearbetats till underrättelserapporter. Om det behövs för samarbetet mot terrorism eller vid svenskt del- tagande i annat internationellt underrättelse- och säkerhetssamarbete får, i den utsträckning det följer av lag eller förordning eller om reger- ingen i ett enskilt fall beslutat om det, en utländsk underrättelse- eller säkerhetstjänst medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 2 § och som finns i uppgiftssamlingar. I paragrafen regleras Försvarsmaktens möjlighet att medge utländsk underrättelse- och säkerhetstjänst direktåtkomst till vissa person- uppgifter. Paragrafen behandlas i avsnitt 6.5.2. Möjligheten att dela information genom direktåtkomst begränsas till underrättelse- och säkerhetstjänster. Underrättelse- och säker- hetstjänsterna får endast medges direktåtkomst om det behövs för samarbetet mot terrorism eller vid svenskt deltagande i annat inter- nationellt underrättelse- och säkerhetssamarbete. Direktåtkomst får endast medges till personuppgifter som behandlas i Försvarsmaktens försvarsunderrättelseverksamhet och som finns i uppgiftssamlingar. Innan åtkomst medges till sådana personuppgifter måste Försvars- makten avgöra om det finns sakliga skäl att låta utländska under- rättelse- och säkerhetstjänster få del av uppgifterna, dvs. om det finns behov av att lämna ut uppgifterna för att främja bekämpningen av terrorism eller andra svenska intressen. Innan uppgifterna förs över ska Försvarsmakten dessutom bedöma om det finns rättsliga förutsättningar att lämna ut uppgifterna till utländska mottagare, bl.a. om sekretess hindrar det. Direktåtkomst enligt paragrafen får bara ske i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutat om det. Direktåtkomst i andra fall Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela före- skrifter eller särskilt beslut om vilka som i andra fall än de som anges i 2 § och 3 § får ha direktåtkomst till gemensamt tillgängliga uppgifter. Paragrafen, som behandlas i avsnitt 6.5.2, är en upplysningsföre- skrift om att regeringen kan meddela föreskrifter eller i ett enskilt fall besluta att direktåtkomst får medges i andra fall än de som anges i 2 och 3 §§. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela 1.ytterligare föreskrifter eller beslut i enskilda fall om omfattningen av direktåtkomsten, och 2.föreskrifter om behörighet och säkerhet vid sådan åtkomst. Paragrafen, som behandlas i avsnitt 6.5.2, är en upplysningsföreskrift om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela ytterligare föreskrifter eller beslut i enskilda fall om omfattningen av direktåtkomsten, och föreskrifter om behörighet och säkerhet vid sådan åtkomst. 4 kap. Skyldighet som personuppgiftsansvarig Åtgärder för att säkerställa författningsenlig behandling Försvarsmakten ska, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa att behandlingen av personuppgifter är författnings- enlig och skydda rättigheterna för dem som uppgifterna rör. Paragrafen behandlas i avsnitt 6.6.1. Den reglerar, tillsammans med 2 och 3 §§, de krav som ställs på Försvarsmakten i fråga om tekniska och organisatoriska åtgärder för att säkerställa att behandlingen av personuppgifter är författningsenlig och att rättigheterna för de vars personuppgifter behandlas skyddas. Tekniska och organisatoriska åtgärder för att skydda personupp- gifterna regleras i 4 §. Organisatoriska åtgärder som avses i paragrafen är bl.a. att anta interna strategier för dataskydd, att informera och utbilda perso- nalen och att säkerställa en tydlig ansvarsfördelning. Vilka åtgärder som bör vidtas får avgöras efter en bedömning i enskilda fall. Vid den bedömningen har det betydelse bl.a. vilka per- sonuppgifter som ska behandlas, mängden uppgifter och hur integ- ritetskänsliga de är. Även grunden för behandlingen och riskerna med den ska beaktas. Mer långtgående åtgärder kan behövas vid behandling som kan medföra särskilda risker för integritetsintrång eller vid omfattande behandling av en stor mängd personuppgifter. Försvarsmakten ska säkerställa att det förs loggar över personuppgifts- behandling av gemensamt tillgängliga uppgifter. Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regerings- formen meddela föreskrifter om loggar. Paragrafen, som behandlas i avsnitt 6.6.2, reglerar Försvarsmaktens skyldighet att säkerställa att det för gemensamt tillgängliga upp- gifter, dvs. främst i automatiserade behandlingssystem, förs loggar över vissa typer av behandlingar. Paragrafen gäller enligt 11 § även för personuppgiftsbiträden som Försvarsmakten anlitar. En logg är en behandlingshistorik som sparas . Det är en teknisk funktion i systemet som ska fungera automatiskt och som inte ska gå att ändra eller påverka på annat sätt. En logg bör vara så detaljerad att den kan användas för att utreda felaktig eller obehörig användning av personuppgifter. Syftet med loggning är dels att verka förebyggande, dels att ge den personuppgiftsansvarige möjlighet att kontrollera användningen av systemen och att upptäcka felaktig eller obehörig användning av personuppgifterna. Loggningen bör inte utformas så att den medför onödiga intrång i användarnas integritet. Krav på loggning vid behandling av personuppgifter följer indirekt av de generella kraven på lämpliga tekniska och organisatoriska åt- gärder i både 1 och 4 §§. Förevarande paragraf utgör därmed ett mer preciserat krav på loggning i vissa typer av system. Med automatiserade behandlingssystem avses särskilt för verk- samheten utformade eller anpassade behandlingssystem där person- uppgifter behandlas mer eller mindre strukturerat, t.ex. verksam- hetsstöd i form av dokument- och ärendehanteringssystem och olika typer av register och databaser. Standardprogram som Word, Outlook och Excel är i detta sammanhang inte att anse som automatiserade behandlingssystem och omfattas därför inte av kravet på loggning i Inte heller lagringsytor som t.ex. usb-minnen och anställdas personliga mappar på den egna datorn omfattas. Paragrafen innebär att den personuppgiftsansvarige ska säker- ställa att de automatiserade behandlingssystem som används möjlig- gör loggning i den utsträckning som krävs och att informationen faktiskt loggas. Av 1 § följer bl.a. krav på logguppföljning. Logg- uppföljning ska göras systematiskt och återkommande och vara såväl förebyggande som reaktiv. Den personuppgiftsansvarige ska se till att det finns rutiner för logguppföljning. I paragrafen finns en upplysning om att regeringen eller den myndighet regeringen bestämmer kan meddela föreskrifter om loggar. Tillgången till personuppgifter ska alltid begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Paragrafen, som behandlas i avsnitt 6.6.3, reglerar den interna till- gången till personuppgifter för dem som arbetar vid Försvars- makten. Paragrafen innebär att den personuppgiftsansvarige är skyldig att se till att anställda och andra som deltar i arbetet bara ges tillgång till de personuppgifter som krävs för att de ska kunna fullgöra sina arbetsuppgifter. Inom Försvarsmakten behandlas en betydande mängd personuppgifter, ofta av integritetskänsligt slag, vilka inte bör spridas till någon som inte är behörig att ta del av uppgifterna. Kravet på behörighetsbegränsning syftar till att minska den interna expo- neringen av personuppgifterna. Hur det bör göras får bedömas med utgångspunkt i förutsättningarna och myndighetens behov. Faktorer som informationssystemens storlek och personuppgifternas natur ska beaktas. Paragrafen reglerar inte bara Försvarsmaktens personals tillgång till personuppgifter. Vid direktåtkomst är det den mottagande myn- digheten som ansvarar för att den egna personalen inte ges tillgång till fler personuppgifter i det informationssystem som åtkomsten avser än vad arbetsuppgifterna motiverar. Försvarsmakten ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling eller förstöring och mot förlust eller annan oavsiktlig skada. I paragrafen, som behandlas i avsnitt 6.6.4, regleras Försvarsmaktens skyldighet att genom lämpliga tekniska och organisatoriska åtgärder skydda de personuppgifter som behandlas. Paragrafen gäller enligt 11 § även för personuppgiftsbiträden som Försvarsmakten anlitar. Enligt paragrafen ska Försvarsmakten vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Personuppgifterna ska särskilt skyddas mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsikt- lig skada. Uppräkningen illustrerar vad skyddsåtgärderna ska åstad- komma, men den är inte uttömmande. Skydd mot obehörig eller otillåten behandling innebär att obehö- riga personer ska vägras åtkomst till utrustning som används vid behandling, att obehörig läsning, kopiering, ändring eller radering av datamedier ska förhindras, att obehörig registrering av personupp- gifter och obehörig kännedom om, ändring eller radering av lagrade personuppgifter ska förhindras och att obehörig läsning, kopiering, ändring eller radering av personuppgifter i samband med uppgifts- lämnande eller transport av databärare ska förhindras. Åtgärder ska också vidtas i syfte att säkerställa att personer som är behöriga att använda ett informationssystem endast har tillgång till person- uppgifter som omfattas av deras behörighet. Den personuppgifts- ansvarige ska också säkerställa att det kan kontrolleras och fastställas till vilka myndigheter eller andra organ personuppgifter har över- förts och för vilka myndigheter eller andra organ uppgifterna har gjorts tillgängliga och att det i efterhand kan kontrolleras och fast- ställas vilka personuppgifter som förts in i ett informationssystem, när det har gjorts och av vem. Skydd mot förlust, förstöring eller annan oavsiktlig skada innebär bl.a. att de informationssystem som används ska kunna återställas vid störningar, att systemen ska fungera och att funktionsfel rappor- teras och att de lagrade personuppgifterna inte kan förvanskas genom funktionsfel i systemen. Som exempel på organisatoriska skyddsåtgärder kan nämnas fast- ställandet av en säkerhetspolicy, kontroller och uppföljning av säkerheten, utbildning i datasäkerhet och information om vikten av att följa gällande säkerhetsrutiner. Vilken skyddsnivå som är lämplig får avgöras av Försvarsmakten från fall till fall. Bedömningen är bl.a. beroende av vilka personupp- gifter som behandlas och hur integritetskänsliga de är. Försvarsmakten ska inom myndigheten utse ett eller flera dataskydds- ombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas. Paragrafen, som behandlas i avsnitt 6.6.5, reglerar Försvarsmaktens skyldighet att utse dataskyddsombud. Dataskyddsombud definieras i 1 kap. 8 §. I paragrafen föreskrivs att ett eller flera dataskyddsombud ska utses. Dataskyddsombudet ska vara anställd hos Försvarsmakten. Försvarsmakten ska anmäla till tillsynsmyndigheten när data- skyddsombud utses och entledigas. 1.självständigt kontrollera att Försvarsmakten behandlar person- uppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter, 2.informera och ge råd till Försvarsmakten och till dem som behand- lar personuppgifter under myndighetens ledning om deras skyldigheter vid behandling av personuppgifter, 3.samråda med tillsynsmyndigheten, och 4.föra en förteckning över de kategorier av behandlingar som Försvars- makten ansvarar för och som är helt eller delvis automatiserade. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om vad en för- teckning som avses i första stycket 4 ska innehålla. Om Försvarsmakten bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och rättelse inte vidtas, ska dataskydds- ombudet anmäla det till tillsynsmyndigheten. I paragrafen, som behandlas i avsnitt 6.6.5, anges vilka uppgifter data- skyddsombud ska utföra. I punkten 1 föreskrivs att dataskyddsombud självständigt ska kontrollera att den personuppgiftsansvarige behandlar personupp- gifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter. Det innebär att ombudet måste förvissa sig om att den personuppgiftsansvarige följer de bestämmelser som reglerar behandlingen av personuppgifter. Hur omfattande kontrollen bör vara får avgöras efter omständigheterna. Dataskyddsombuden bör framför allt granska den faktiska han- teringen av personuppgifter. Därutöver bör ombuden exempelvis granska rutinerna för behandling av personuppgifter, hur tillgången till personuppgifter hanteras och vilka krav på utbildning och andra kvalifikationer som den personuppgiftsansvarige ställer på personal som behandlar personuppgifter. Ombudet bör påpeka eventuella brister för den personuppgiftsansvarige så att denne blir medveten om dem och har möjlighet att vidta lämpliga åtgärder. Kravet på självständighet innebär att dataskyddsombud ska kunna utföra sina arbetsuppgifter på ett oberoende sätt. Ombudet bör framför allt ha sådan ställning i organisationen att dess syn- punkter och råd tas på allvar. De förutsätts också ha goda kunskaper om regelverket om personuppgiftsbehandling. I punkten 2 anges att dataskyddsombudet ska informera och ge råd till den personuppgiftsansvarige och de som behandlar person- uppgifter under dennes ledning om deras skyldigheter vid sådan behandling. Det handlar främst om att göra den personuppgifts- ansvarige och medarbetarna medvetna om vad de i olika situationer är skyldiga att göra, t.ex. att ha säkerhetsrutiner och att dokumentera personuppgiftsbehandlingen. Det innebär inte att dataskyddsombuden ska tala om för den personuppgiftsansvarige och medarbetarna hur de ska behandla personuppgifter i enskilda fall. I punkten 3 föreskrivs att dataskyddsombudet ska samråda med tillsynsmyndigheten. Det innebär att ombuden vid tveksamheter av olika slag bör fråga tillsynsmyndigheten om råd. I punkten 4 föreskrivs att dataskyddsombudet ska föra en för- teckning över de kategorier av behandlingar som Försvarsmakten ansvarar för och som är helt eller delvis automatiserade Vad för- teckningarna ska innehålla föreskrivs av regeringen eller den myndig- het som regeringen bestämmer, vilket framgår av paragrafens andra stycke. Av tredje stycket framgår att dataskyddsombudet ska anmäla till tillsynsmyndigheten om Försvarsmakten bryter mot de bestämmel- ser som gäller för behandlingen av personuppgifter och rättelse inte vidtas. Försvarsmakten får, om det är lämpligt, anlita personuppgiftsbiträden för behandling av personuppgifter på Försvarsmaktens vägnar. Innan ett personuppgiftsbiträde anlitas, ska Försvarsmakten försäkra sig om att biträdet kommer att vidta de lämpliga tekniska och organisatoriska åtgärder som krävs för att behandlingen av personuppgifter ska vara för- fattningsenlig och för att skydda rättigheterna för den som uppgifterna rör. Av paragrafen framgår att personuppgiftsbiträden får anlitas om det är lämpligt och vad Försvarsmakten måste göra innan ett person- uppgiftsbiträde anlitas. Personuppgiftsbiträde definieras i 1 kap. 8 §. Paragrafen behandlas i avsnitt 6.6.6. Försvarsmakten får anlita personuppgiftsbiträden under förut- sättning att det är lämpligt. Om det är lämpligt får avgöras med hänsyn bl.a. till vilka personuppgifter som ska behandlas. Paragrafen föreskriver att Försvarsmakten ska försäkra sig om att biträdet vidtar lämpliga tekniska och organisatoriska åtgärder för att personupp- giftsbehandlingen ska vara författningsenlig och för att skydda registre- rades rättigheter. Kraven omfattar inte bara säkerhetsåtgärder, utan även andra tekniska och organisatoriska åtgärder. innebär att den personuppgiftsansvarige, innan ett personuppgifts- biträde anlitas, bl.a. bör förhöra sig om hur biträdet kommer att behandla uppgifterna tekniskt, hur arbetet är organiserat och vilket skydd personuppgifterna kommer att ha. Som framgår av 11 § gäller skyldigheten att logga behandling av personuppgifter enligt 2 § även för personuppgiftsbiträden som För- svarsmakten anlitar. Personuppgiftsbiträdets behandling av personuppgifter ska regleras i ett skriftligt avtal eller annan skriftlig överenskommelse. Paragrafen reglerar förhållandet mellan Försvarsmakten och person- uppgiftsbiträden. Den behandlas i avsnitt 6.6.6. Det ska finnas ett skriftligt avtal eller en annan skriftlig överens- kommelse med personuppgiftsbiträden som reglerar personuppgifts- biträdets behandling av personuppgifter för Försvarsmaktens räk- ning. Eftersom statliga myndigheter, som är enheter inom samma juridiska person, i rättslig mening inte kan ingå bindande avtal med varandra får de träffa en skriftlig överenskommelse som reglerar behandlingen om en myndighet agerar personuppgiftsbiträde åt en annan. Ett personuppgiftsbiträde får inte anlita ett annat personuppgiftsbiträde utan skriftligt tillstånd av Försvarsmakten. Av paragrafen, som behandlas i avsnitt 6.6.6, föreskrivs att person- uppgiftsbiträdet inte utan skriftligt tillstånd från Försvarsmakten får anlita ett annat personuppgiftsbiträde, ett s.k. underbiträde. Ett sådant tillstånd kan gälla biträdets rätt att anlita underbiträden generellt eller i en specifik situation. Syftet med bestämmelsen är att Försvars- makten ska känna till vilka personuppgiftsbiträden som behandlar personuppgifter för dennes räkning. Ett personuppgiftsbiträde eller den eller de personer som arbetar under biträdets eller Försvarsmaktens ledning ska behandla personuppgifter i enlighet med instruktioner från Försvarsmakten. Om ett personuppgiftsbiträde, i strid med Försvarsmaktens instruk- tioner, bestämmer ändamålen med och medlen för behandlingen, ska biträdet anses vara personuppgiftsansvarig enligt denna lag för den behandlingen. Paragrafen, som behandlas i avsnitt 6.6.6, reglerar vad som gäller vid behandling av personuppgifter hos ett personuppgiftsbiträde. Av första stycket framgår den grundläggande principen att ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets ledning bara får behandla personuppgifter i enlighet med instruktioner från den personuppgiftsansvarige. Instruktionerna till biträdet bör vara så tydliga att det inte finns risk för otillåten behand- ling. Instruktionerna kan exempelvis gälla hur tillgången till per- sonuppgifter hos biträdets anställda ska begränsas, om biträdet ska använda kryptering vid kommunikation och andra åtgärder som krävs för dataskydd. Om det finns avvikande regler i annan lag- stiftning som föreskriver att personuppgiftsbiträdet är skyldig att utföra viss behandling, t.ex. att lämna ut allmänna handlingar, får behandlingen utföras utan särskilda instruktioner. I andra stycket regleras det fallet där personuppgiftsbiträdet i strid med den personuppgiftsansvariges instruktioner bestämmer ända- målen med och medlen för behandlingen. Personuppgiftsbiträdet är då att anse som personuppgiftsansvarig för den behandlingen. Det som sägs om Försvarsmaktens skyldigheter i 2–4 §§ gäller även för personuppgiftsbiträden som Försvarsmakten anlitar. Paragrafen kopplar Försvarsmaktens skyldigheter i egenskap av per- sonuppgiftsansvarig till att gälla även för personuppgiftsbiträden. Vad som närmare gäller för personuppgiftsbiträdet framgår således av kommentarerna till 2–4 §§. Att personuppgiftsbiträden åläggs vissa skyldigheter fråntar inte Försvarsmakten dess ansvar. Försvarsmakten är, som framgår av kommentaren till 1 kap. 6 §, ansvarig för den behandling av person- uppgifter som personuppgiftsbiträdet utför på myndighetens vägnar. Den omständigheten att personuppgiftsbiträden ges en direkt skyldighet att vidta vissa åtgärder innebär dock att tillsynsmyndig- heten vid brister kan vidta åtgärder mot både personuppgiftsbiträdet och Försvarsmakten. 5 kap. Enskildas rättigheter Försvarsmakten ska göra följande allmänna information tillgänglig. 1.Myndighetens identitet och kontaktuppgifter. 2.Uppgifter om dataskyddsombudet. 3.Ändamålen med behandlingen.