sou · H6B362 · 2018-08-16 00:00:00 — Genom inbyggt dataskydd ska den personuppgiftsansvarige, när medlen för behandlingen bestäms och vid behandlingen, med hjälp av lämpliga tekniska och organisatoriska åtgärder se till att nödvändiga skyddsåtgärder integreras i behandlingen. Av förarbetena framgår att bestämmelsen även innebär att den personuppgiftsansvarige ska vidta åtgärder för att säkerställa bl.a. principerna om uppgifts- och lagringsminimering. Integrering av skyddsåtgärder kan avse funktioner för autentisering, t.ex. lösenord, möjlighet att använda kryptering vid kommunikation över internet och på mobila enheter, funktioner för loggning och säkerhetskopiering (prop. 2017/18:232 s. 454). Dataskydd som standard innebär att den personuppgiftsansvarige ska se till att det i automatiserade behandlingssystem som regel inte är möjligt att behandla andra personuppgifter än de som är nödvändiga för varje särskilt angivet ändamål med behandlingen. Av förarbetena framgår följande. Dataskydd som standard innebär att systemet automatiskt styr användaren mot att arbeta integritetssäkert. Grundinställningarna ska vara satta så att inte mer information än nödvändigt samlas in eller visas. Med automatiserade behandlingssystem avses särskilt för verksamheten utformade eller anpassade behandlingssystem där personuppgifter behandlas mer eller mindre strukturerat, t.ex. olika typer av register och databaser. Den personuppgiftsansvarige är skyldig att införa dataskydd som standard oavsett vilken behandling det rör sig om eller vad kostnaderna uppgår till (prop. 2017/18:232 s. 454 och 455). Den personuppgiftsansvarige ska vidare, enligt 3 kap. 6 §, se till att tillgången till personuppgifter begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. I 3 kap. 5 § finns också en skyldighet för den personuppgiftsansvarige att säkerställa att det i automatiserade behandlingssystem förs loggar över personuppgiftsbehandling i den utsträckning det är särskilt föreskrivet. Av 3 kap. 4 § brottsdataförordningen framgår att denna skyldighet omfattar behandlingar som innebär insamling, ändring, läsning, utlämning, överföring till tredjeland eller internationella organisationer, sammanföring och radering av personuppgifter. Loggarna över läsning och utlämning ska visa datum och tidpunkt för behandlingen och, så långt det är möjligt, vem som har läst eller lämnat ut personuppgifterna och vem som har fått ta del av personuppgifterna. I 3 kap. 7 § första stycket brottsdatalagen finns bestämmelser om konsekvensbedömningar. Om en ny typ av behandling eller betydande förändringar av redan pågående behandling kan antas medföra särskild risk för intrång i den registrerades personliga integritet ska den personuppgiftsansvarige bedöma konsekvenserna för skyddet av personuppgifter. Bedömningen ska göras innan behandlingen påbörjas eller förändringen genomförs. Enligt skäl 58 till dataskyddsdirektivet bör konsekvensbedömningarna omfatta relevanta system och processer för behandling men inte enskilda fall. I förarbetena till kamerabevakningslagen gör regeringen bedömningen att exempelvis bör kunna ta fram en konsekvensbedömning som kan användas vid ett stort antal bevakningssituationer (prop. 2017/18:231 s. 73). Av 3 kap. 8 § brottsdataförordningen framgår att konsekvensbedömningar ska dokumenteras relativt ingående och vilka uppgifter en sådan dokumentation ska innehålla. Enligt 3 kap. 7 § andra stycket brottsdatalagen ska den personuppgiftsansvarige samråda med tillsynsmyndigheten innan behandlingen påbörjas eller betydande förändringar genomförs, om konsekvensbedömningen visar att det finns särskild risk för intrång i registrerades personliga integritet eller om typen av behandling innebär särskild risk för intrång (s.k. förhandssamråd). Genom 3 kap. 9 § andra stycket brottsdataförordningen förtydligas att vid bedömningen av om typen av behandling innebär sådan risk att förhandssamråd ska äga rum ska ny teknik, nya rutiner eller nya förfaranden särskilt beaktas. Av förarbetena till brottsdatalagen framgår följande. Samråd blir främst aktuellt när den personuppgiftsansvarige har gjort en konsekvensbedömning som visar att behandlingen innebär en särskild risk för intrång i registrerades personliga integritet. Vid samrådet bör den personuppgiftsansvarige redovisa vilka åtgärder som planeras för att minska risken. Det kan vara svårt för den personuppgiftsansvarige att på egen hand avgöra vilka åtgärder som är tillräckliga. Regeringen utesluter dock inte att vidtagna åtgärder från den personuppgiftsansvariges sida kan befria från samrådsskyldigheten. I vilken utsträckning samråd inte bör krävas för att den personuppgiftsansvarige har vidtagit åtgärder som minskat risken för intrång till en godtagbar nivå, bör överlämnas åt rättstillämpningen att avgöra. Om samråd aktualiseras på grund av att typen av behandling i sig innebär särskild risk för intrång i registrerades personliga integritet är resultatet av konsekvensbedömningen inte avgörande för om samråd med tillsynsmyndigheten ska äga rum (prop. 2017/18:232 s. 184). Enligt 3 kap. 8 § brottsdatalagen ska den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada. Av förarbetena framgår bl.a. följande. Skydd mot obehörig eller otillåten behandling innebär att obehöriga personer ska vägras åtkomst till utrustning som används vid behandling, att obehörig läsning, kopiering, ändring eller radering av datamedier ska förhindras och att obehörig registrering av personuppgifter och obehörig kännedom om, ändring eller radering av lagrade personuppgifter ska förhindras. Åtgärder ska också vidtas i syfte att säkerställa att personer som är behöriga att använda ett it-system endast har tillgång till personuppgifter som omfattas av deras behörighet. Som exempel på organisatoriska säkerhetsåtgärder kan nämnas fastställandet av en säkerhetspolicy, kontroller och uppföljning av säkerheten, utbildning i datasäkerhet och information om vikten av att följa gällande säkerhetsrutiner (prop. 2017/18:232 s. 457–458). Den personuppgiftsansvarige ska slutligen, enligt 3 kap. 3 § brottsdataförordningen, föra förteckning över de kategorier av personuppgiftsbehandlingar som denne ansvarar för. Förteckningen ska för varje kategori av behandling innehålla uppgifter om bl.a. den rättsliga grunden och ändamålen, vilka kategorier av tjänstemän som har tillgång till personuppgifterna och vilka kategorier av mottagare uppgifterna kan komma att lämnas ut till. Ytterligare uppgifter som ska finnas i förteckningen är vilka kategorier av registrerade som berörs av behandlingen samt – om det är möjligt – tidsfristerna för hur länge personuppgifter får behandlas och en allmän beskrivning av vilka säkerhetsåtgärder som har vidtagits. Brottsdatalagens fjärde kapitel innehåller bestämmelser om enskildas rättigheter. Av 4 kap. 1 § framgår att viss allmän information ska göras tillgänglig för den registrerade. Det handlar exempelvis om den personuppgiftsansvariges och dataskyddsombudets kontaktuppgifter samt information om kategorier av ändamål för behandlingen, rätten att begära information, rättelse eller radering och möjligheten att lämna in klagomål till tillsynsmyndigheten. Enligt förarbetena kan informationen göras tillgänglig på t.ex. den behöriga myndighetens webbplats (prop. 2017/18:232 s. 465). Av 4 kap. 2 § framgår att den personuppgiftsansvarige i ett enskilt fall ska lämna viss information till den registrerade, om det behövs för att han eller hon ska kunna ta till vara sina rättigheter. Av förarbetena framgår att det är fråga om personrelaterad information som på den personuppgiftsansvariges eget initiativ ska lämnas till den registrerade. Här framgår också att det normalt bör krävas att det är fråga om överträdelser av regelverket som kan föranleda skadeståndsansvar, allvarlig kritik eller ingripande från tillsynsmyndigheten eller någon liknande reaktion för att informationsskyldigheten ska inträda (prop. 2017/18:232 s. 465–466). Den personuppgiftsansvarige ska, enligt 4 kap. 3 §, till den som begär det utan onödigt dröjsmål lämna skriftligt besked om huruvida personuppgifter som rör honom eller henne behandlas (s.k. registerutdrag). Om sådana uppgifter behandlas, ska sökanden få del av dem och få viss i bestämmelsen uppräknad information. Därutöver finns, i 4 kap. 9 och 10 §§, bestämmelser om den personuppgiftsansvariges skyldighet att på begäran av den registrerade rätta eller komplettera personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen samt i vissa angivna situationer radera personuppgifter. Tillsyn, sanktionsavgifter och skadestånd Datainspektionen är huvudsaklig tillsynsmyndighet enligt den generella dataskyddsregleringen (se 2 a § förordningen [2007:975] med instruktion för Datainspektionen). Enligt 5 kap. 2 § brottsdatalagen ska tillsynsmyndigheten utöva allmän tillsyn över personuppgiftsbehandling inom lagens tillämpningsområde och handlägga klagomål från registrerade. Av 5 kap. 5–7 §§ framgår vilka befogenheter tillsynsmyndigheten har i tillsynsverksamheten. Undersökningsbefogenheterna består bl.a. i att tillsynsmyndigheten har rätt att av personuppgiftsansvariga få tillgång till alla personuppgifter som behandlas, upplysningar om och dokumentation av behandlingen av personuppgifter samt säkerhets- och skyddsåtgärder, tillträde till lokaler som den personuppgiftsansvarige disponerar samt tillgång till utrustning och andra medel för behandling av personuppgifter. De förebyggande befogenheterna innebär bl.a. att om tillsynsmyndigheten bedömer att det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer eller påpekanden försöka förmå den personuppgiftsansvarige att vidta åtgärder för att motverka den risken. får också utfärda en skriftlig varning för att en planerad eller pågående behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författning eller att den personuppgiftsansvarige på något annat sätt inte fullgör sina skyldigheter, får tillsynsmyndigheten utnyttja vissa korrigerande befogenheter. Dessa består bl.a. i att genom råd, rekommendationer eller påpekanden försöka förmå den personuppgiftsansvarige att vidta åtgärder för att behandlingen ska bli författningsenlig, att förelägga den personuppgiftsansvarige att vidta åtgärder, att förbjuda fortsatt behandling om bristen är allvarlig eller att besluta om en administrativ sanktionsavgift. Av 6 kap. 1 § brottsdatalagen framgår att en sanktionsavgift får tas ut av en personuppgiftsansvarig vid överträdelse av någon av brottsdatalagens bestämmelser om bl.a. rättsliga grunder eller ändamål, behandling för nya ändamål, uppgiftsminimering och lagringsminimering. Sådan avgift får även tas ut bl.a. om den personuppgiftsansvarige inte har använt sig av inbyggt dataskydd eller dataskydd som standard, begränsat tillgången till personuppgifter, gjort en konsekvensbedömning, genomfört ett förhandssamråd eller vidtagit lämpliga tekniska och organisatoriska åtgärder. En sanktionsavgift får också tas ut om en personuppgiftsansvarig inte följer tillsynsmyndighetens beslut om föreläggande eller förbud. Av 6 kap. 3 § framgår att sanktionsavgifter vid överträdelser av bestämmelserna om begränsning av tillgången till personuppgifter, om konsekvensbedömning eller förhandssamråd eller dokumentation av personuppgiftsincidenter ska bestämmas till högst . Vid överträdelser av övriga sanktionerade bestämmelser ska avgiften bestämmas till högst . Utöver sanktionsavgifterna kan även skadestånd komma i fråga. Enligt 7 kap. 1 § ska den personuppgiftsansvarige ersätta den registrerade för den skada och kränkning av den personliga integriteten som behandling av personuppgifter i strid med den lagen, eller föreskrifter som har meddelats i anslutning till den, har orsakat. och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) började tillämpas . Den vedertagna förkortningen för förordningen är GDPR. I vårt betänkande kommer vi dock att som kortform benämna rättsakten dataskyddsförordningen alternativt förordningen. Materiellt är bestämmelserna i dataskyddsförordningen och dataskyddsdirektivet/brottsdatalagen till stora delar överensstämmande. För det fall förordningens bestämmelser i allt väsentligt motsvarar brottsdatalagens kommer vi i detta avsnitt inte att återge dess exakta lydelse. Precis som brottsdatalagen gäller dataskyddsförordningen bl.a. sådan behandling av personuppgifter som är helt eller delvis automatiserad (artikel 2.1). Av artikel 2.2 d framgår att förordningen inte gäller för sådan behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten (dvs. dataskyddsdirektivets tillämpningsområde, jfr artikel 1.1 i dataskyddsdirektivet). Av artikel 288 andra stycket i fördraget om Europeiska unionens funktionssätt framgår att en EU-förordning ska ha allmän giltighet och vara till alla delar bindande och direkt tillämplig i varje medlemsstat. Dataskyddsförordningen innehåller dock många bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Av artikel 6.2 i förordningen framgår exempelvis att medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen med hänsyn till behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Medlemsstaterna får i dessa fall närmare fastställa specifika krav för behandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. De bestämmelser av generell karaktär som kompletterar dataskyddsförordningen är samlade i en ny övergripande nationell reglering om dataskydd; lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Den lagen trädde i kraft som dataskyddsförordningen började tillämpas, . Lagen kompletteras av förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning. Grundläggande krav på personuppgiftsbehandlingen Bestämmelser om tillåtna rättsliga grunder för personuppgiftsbehandling finns i artikel 6.1 i förordningen. Här framgår att behandling av personuppgifter är laglig endast om och i den mån som åtminstone ett av villkoren i artikeln är uppfyllt. Av led e framgår att så är fallet om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Led f behandlar situationen att behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter. Av artikel 6.1 andra stycket framgår att led f inte ska gälla för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter. Dataskyddsförordningens princip om ändamålsbegränsning motsvarar i huvudsak brottsdatalagens och finns i artikel 5.1 b. Enligt samma bestämmelse får personuppgifterna inte senare behandlas på ett sätt som är oförenligt med de ändamål som de samlats in för (finalitetsprincipen). Av artikel 6.4 framgår att den personuppgiftsansvarige som huvudregel ska beakta bl.a. vissa där angivna omständigheter för att fastställa om behandling för nya ändamål är förenlig med det ursprungliga insamlingsändamålet. Som exempel kan nämnas kopplingarna mellan det ursprungliga och det nya ändamålet, det sammanhang inom vilket personuppgifterna har samlats in (med särskilt beaktande av förhållandet mellan de registrerade och den personuppgiftsansvarige), eventuella konsekvenser för registrerade och förekomsten av lämpliga skyddsåtgärder. Principerna om laglighet och korrekthet respektive uppgiftsminimering motsvarar brottsdatalagens och finns i artiklarna 5.1 a respektive 5.1 c. Principen om lagringsminimering uttrycks i artikel 5.1 e som att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Principen om ansvarsskyldighet kommer till uttryck i artikel 5.2 i förordningen och innebär att den personuppgiftsansvarige ska ansvara för och kunna visa att bestämmelserna i artikel 5.1 (bl.a. principerna om laglighet, korrekthet, ändmålsbegränsning, uppgifts- och lagringsminimering) efterlevs. Enligt artikel 24.1 ska den personuppgiftsansvarige genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med förordningen. Av bestämmelsen framgår att behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter ska beaktas samt att åtgärderna ska ses över och uppdateras vid behov. Den personuppgiftsansvarige ska även, enligt artikel 32.1, vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Den personuppgiftsansvarige ska härvid beakta den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter. Därtill kommer bestämmelserna om inbyggt dataskydd och dataskydd som standard, som i förordningen finns i artiklarna 25.1 och 25.2. Dataskyddsförordningens bestämmelser om konsekvensbedömningar finns i artikel 35. Av punkten 1 framgår att om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige före behandlingen utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter. En enda bedömning kan omfatta en serie liknande behandlingar som medför liknande höga risker. Av punkten 11 framgår att den personuppgiftsansvarige vid behov ska genomföra en översyn för att bedöma om behandlingen genomförs i enlighet med konsekvensbedömningen avseende dataskydd åtminstone när den risk som behandlingen medför förändras. Enligt punkten 3 ska en konsekvensbedömning särskilt krävas bl.a. vid systematisk övervakning av en allmän plats i stor omfattning (led c). I skäl 91 till förordningen nämns i detta sammanhang särskilt optisk-elektronis- ka anordningar. Av punkterna 4 och 5 framgår att tillsynsmyndigheten ska upprätta och offentliggöra förteckningar över det slags behandlingsverksamheter som omfattas respektive inte omfattas av kravet på en konsekvensbedömning. Artikel 29-gruppen har utarbetat riktlinjer för konsekvensbedömningar (Riktlinjer om konsekvensbedömning avseende dataskydd och fastställande av huruvida behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning 2016/679, fortsättningsvis förkortad WP 248 rev. I dessa riktlinjer uttalar artikel 29-gruppen bl.a. följande. En enda konsekvensbedömning kan användas för att bedöma flera behandlingar som liknar varandra vad gäller art, omfattning, innehåll, ändamål och risker. Syftet med konsekvensbedömningarna är att systematiskt studera nya situationer som kan medföra hög risk för fysiska personers rättigheter och friheter och det föreligger inte något behov av att utföra en konsekvensbedömning i situationer (dvs. behandlingar som utförs i ett särskilt sammanhang och av en särskild anledning) som redan har studerats. Detta kan vara fallet när liknande teknik används för att samla in samma slags uppgifter för samma ändamål. Till exempel kan en grupp kommunala myndigheter som var och en inför ett liknande övervakningssystem utföra en enda konsekvensbedömning som omfattar behandlingen, eller en järnvägsoperatör kan täcka videoövervakning i samtliga tågstationer med en konsekvensbedömning (WP 248 rev. 01 s. 8). Den personuppgiftsansvarige ska, enligt artikel 36.1, samråda med tillsynsmyndigheten före behandling om en konsekvensbedömning avseende dataskydd visar att behandlingen skulle leda till en hög risk om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken. I skäl 94 till förordningen anges att förhandssamråd ska hållas om det av en konsekvensbedömning framgår att behandlingen utan skyddsåtgärder, säkerhetsåtgärder och mekanismer för att minska risken kommer att innebära en hög risk för fysiska personers rättigheter och friheter, och den personuppgiftsansvarige anser att risken inte kan begränsas genom åtgärder som är rimliga med avseende på tillgänglig teknik och genomförandekostnader. Artikel 29-gruppen förtydligar i sina riktlinjer att förhandssamråd krävs när den personuppgiftsansvarige inte kan vidta tillräckliga åtgärder för att minska risken till en godtagbar nivå, dvs. den kvarstående risken är fortfarande hög (WP 248 rev. 01 s. 21). Av artikel 36.5 framgår vidare att det i medlemsstaternas nationella rätt får krävas att personuppgiftsansvariga ska samråda med, och erhålla förhandstillstånd av, tillsynsmyndigheten när det gäller en personuppgiftsansvarigs behandling för utförandet av en uppgift av allmänt intresse. Den personuppgiftsansvarige ska slutligen, liksom enligt brottsdatalagen, föra en förteckning över de personuppgiftsbehandlingar som utförs under dess ansvar (artikel 30). Förordningens bestämmelser motsvarar i denna del i huvudsak brottsdatalagens. I artikel 13 respektive 14 finns bestämmelser om information som ska tillhandahållas om personuppgifter samlas in från den registrerade respektive om personuppgifterna inte har erhållits från den registrerade. Utöver kontaktuppgifter till den personuppgiftsansvarige och dataskyddsombudet rör det sig bl.a. om information om rättslig grund för och ändamålen med behandlingen, den period under vilken uppgifterna kommer att lagras (om möjligt), rätten att begära information, rättelse eller radering samt möjligheten att lämna in klagomål till tillsynsmyndigheten. Dataskyddsförordningens bestämmelse om registerutdrag finns i artikel 15 och motsvarar i princip brottsdatalagens. Detsamma gäller bestämmelserna i artikel 16 om den registrerades rätt att på begäran få personuppgifter rättade eller kompletterade. I artikel 17 regleras den registrerades rätt att under vissa angivna förutsättningar få sina personuppgifter raderade. Tillsyn, sanktionsavgifter och skadestånd Som vi tidigare konstaterat (avsnitt 3.4.1) är Datainspektionen huvudsaklig tillsynsmyndighet enligt den generella dataskyddsregleringen. ska, enligt artikel 57.1 i dataskyddsförordningen, bl.a. övervaka och verkställa tillämpningen av förordningen samt behandla klagomål från registrerade. Myndighetens befogenheter framgår av artikel 58 och motsvarar i princip brottsdatalagens undersöknings-, förebyggande och korrigerande befogenheter. Möjligheten att ta ut administrativa sanktionsavgifter av en personuppgiftsansvarig vid överträdelser av förordningens bestämmelser regleras i artikel 83. Av punkten 4 framgår att en sanktionsavgift får påföras den personuppgiftsansvarige vid överträdelse av bl.a. skyldigheterna att tillämpa inbyggt dataskydd eller dataskydd som standard, föra förteckning över behandling, vidta lämpliga tekniska och organisatoriska åtgärder samt genomföra konsekvensbedömningar och förhandssamråd.