sou · H5B3114 · 2018-01-01 00:00:00 — Om avsändaren har begärt någon ytterligare behandling ska avsändaren dock vara fortsatt personuppgiftsansvarig för den behandlingen (t.ex. betallösning eller liknande). Leverantören ska även vara personuppgiftsansvarig för behandling av personupp- gifter som erbjuds mottagaren och som inte utförs på avsändarens begäran. I delbetänkandet32 föreslog utredningen att personuppgiftsansva- ret i denna del skulle tas över av innehavaren av brevlådan om det var en juridisk person. Om en fysisk person är mottagare är detta dock omöjligt eftersom behandling av personuppgifter för privat bruk inte omfattas av dataskyddsförordningen.33 Det är med dagens utform- ning av brevlådorna enkelt för mottagare att låta meddelandena ligga kvar i brevlådan och använda den som ett digitalt förvar eller arkiv. Detta var dock inte avsikten med brevlådetjänsterna inom ramen för Mina meddelanden som de är utformade . 21.8.8Leverantörerna av digitala brevlådetjänster behöver utveckla tjänster för förvaring och arkivering Genom att föreslå att leverantörerna av brevlådetjänster blir person- uppgiftsansvariga för behandling av personuppgifter i brevlådan hop- pas utredningen att förslaget ska skynda på leverantörernas utveckling av tjänster för förvaring och arkivering av digital post. Den situation som råder är otillfredsställande eftersom den som juridiskt och praktiskt har möjlighet att bestämma över informationen som ligger i brevlådan inte kan ta personuppgiftsansvaret för detta. Brevlådorna innehåller mycket information om befolkning och dess för- hållande till offentliga myndigheter och andra aktörer. Det finns framför allt ingen som kan ta ett övergripande ansvar för det fall en 32SOU 2017:23, digitalforvaltning.nu, s. 218 ff. 2.2 c) dataskyddsförordningen. En lag om infrastruktur för digital post säkerhetsincident inträffar.34 Detta är enligt utredningens bedömning inte heller något som anslutna mottagare verkar vara medvetna om. Därför behöver, enligt utredningen, tjänster utformas, gärna direkt länkade till brevlådans inkorg, för att användaren ska kunna göra ett val att ladda ner sina meddelanden till en privat enhet eller lagra dem i en tilläggstjänst eller ett digitalt arkiv som är avsett för det med tydliga personuppgiftsbestämmelser kopplade därtill. 21.9Mina meddelanden och privata utförare av offentligt finansierade tjänster som en del av kommunens och åtaganden att privata utförare av kommunala angelägenheter35 ska få ansluta sig som avsändare i infrastrukturen Mina meddelanden efter an- mälan av kommunen eller . En förutsättning för anmä- lan ska vara att kommunen eller är ansluten samt har kommit överens med utföraren att denne ska använda infrastruk- turen. Kommunen eller ska kontrollera att utföraren använder infrastrukturen på avsett sätt. Om kommunen eller finner att utföraren brister härvidlag eller då uppdraget upphör ska anmälan återkallas. Utredningen tar här upp frågan om anslutning av privata utförare av offentligt finansierade tjänster till förnyad behandling. Skälet till det är att även om den finansieringsmodell som föreslogs i delbetänkan- det36 ger likabehandling ekonomiskt så är det en viss skillnad mellan att köpa tjänster direkt av leverantörerna av digitala brevlådetjänster 34 Jfr Datainspektionens tillsynsbeslut mot , dnr 2276-2016. Detta beslut är i skrivandets stund överklagat till Förvaltningsrätten i (mål 11458-17). 35I begreppet privata utförare av kommunala angelägenheter ingår även privata utförare av landstingens angelägenheter. Enligt 10 kap. 1 § kommunallagen (2017:725) om överläm- nande av kommunala angelägenheter får fullmäktige i kommuner eller landsting, om det inte i lag eller annan författning anges att angelägenheten ska bedrivas av en nämnd, besluta att lämna över skötseln av en angelägenhet till en juridisk person eller en enskild individ. Eftersom även landsting får lämna över sådan skötsel torde det innebära att privata utförare av kommunala angelägenheter inbegriper även privata utförare av lands- tingens angelägenheter. 36SOU 2017:23, digitalforvaltning.nu, s. 229 ff. En lag om infrastruktur för digital post och att utnyttja deras tjänster via infrastrukturen Mina meddelanden. Genom att använda Mina meddelanden kan en avsändare sända med- delanden till alla privatpersoner som har en digital brevlåda, även de som har brevlådan Min myndighetspost som bara tar emot post från myndigheter. Att inte öppna infrastrukturen Mina meddelanden för privata utförare kan därför innebära att kommunernas eller landstingens medlemmar får olika service enbart beroende på att kommunerna eller landstingen, i enlighet med de möjligheter som lagstiftaren be- stämt,37 valt att organisera sin verksamhet på olika sätt. Till exempel anlitar kommuner privata utförare i olika omfattning. Den digitala infrastrukturen bör, enligt utredningens mening, vara neutral i för- hållande till hur kommunerna och landstingen organiserar sin verk- samhet. En utgångspunkt för utredningens analys i delbetänkandet var också att privata utförare tänktes att på egen hand, utan att gå via kommunen eller , ta ställning till om de ville ansluta till Mina meddelanden. Därmed uppstod frågan om hur utförarens an- vändning av infrastrukturen som avsändare skulle regleras. Skulle t.ex. även verksamheter inom företaget som inte utför uppgifter för kommunen eller få använda infrastrukturen? Det var också rimligt att anslutningen till Mina meddelanden upphörde när uppdraget upphörde, men frågan om hur det skulle hanteras i prakti- ken kvarstod. Det förslag som presenteras här besvarar dessa frågor, men inne- bär en viss begränsning när det gäller vilka som får ansluta sig som avsändare i infrastrukturen Mina meddelanden. Förslaget innebär att privata utförare ska få ansluta sig som avsän- dare genom anmälan av den kommun eller landsting som de utför uppdrag åt. Det är således kommunen eller som ska be- döma om utföraren har behov av anslutning. är det inte omöjligt att utförarens förmåga att skicka säker digital post till brukare skulle kunna vara ett krav i kommunernas eller lands- 37 Se kommunallagen (2017:725). En lag om infrastruktur för digital post En utgångspunkt för anmälan bör därför vara att kommunen eller kommit överens med utföraren om att denne ska vara ansluten. Vidare är det rimligt att den anmälande kommunen eller lands- tinget själv är ansluten som avsändare. Som ansluten har kommunen eller en viss kompetens i hur infrastrukturen fungerar. Det är också troligt att en ansluten kommun eller landsting har en intern policy för hur infrastrukturen ska användas som även utför- aren kan tillämpa. Kommunen eller bör även ha viss tillsyn över använ- dandet. Om kommunen eller finner att infrastrukturen inte används på avsett sätt får man återkalla anmälan. När utförarens uppdrag upphör ska kommunen eller vara skyldig att återkalla anmälan. 21.9.2Privata utförare – utredningens tidigare överväganden Enligt direktiven38 skulle utredningen i delbetänkande redovisa hur privata utförare39 av offentligfinansierad verksamhet ska kunna an- sluta som avsändare inom Mina meddelanden. I delbetänkandet fann utredningen det svårt att lägga ett förslag med den innebörden. Ett tungt skäl för detta var svårigheten att på ett uttömmande sätt defi- niera vilka aktörer som skulle omfattas. Utredningen hade fram till dess inte heller kunnat notera ett tydligt behov. Inte minst mot bak- grund av att kommunernas anslutning till Mina meddelanden var låg.40 Dessutom var inget landsting anslutet som avsändare. Slutligen bedömdes förslaget att myndigheter ska ersätta brevlådeoperatörerna ekonomiskt innebära en likabehandling av myndigheter och privata utförare. Privata utförare skulle liksom andra företag kunna träffa avtal med brevlådeföretagen direkt.41 Utredningen föreslår nu – till skillnad från vad som framgår av delbetänkandet – att öppna upp infrastrukturen för fler aktörer mot 38Tilläggsdirektiv till Utredningen om effektiv styrning av nationella digitala tjänster i en samverkande förvaltning, Dir. 2016:97 s. 3. 39För en analys av begreppet privata utförare se utredningens delbetänkande SOU 2017:23, digitalforvaltning.nu, s. 237. En legaldefinition av begreppet finns i 10 kap. 7 § kommunal- lagen (2017:725). 40I var endast sex kommuner anslutna och sände försändelser i Mina med- delande. hade antalet anslutna kommuner ökat till 17. 41SOU 2017:23, digitalforvaltning.nu, s. 229 ff. En lag om infrastruktur för digital post bakgrund av de skäl som anges ovan. Det förslag som lämnas an- ser utredningen vara en möjlig lösning för att kunna ansluta privata utförare av offentligfinansierad verksamhet som avsändare i Mina meddelanden. 21.10Företag och organisationer som utför uppgifter av allmänt intresse att regeringen får besluta att som avsändare får företag och organisationer som utför en uppgift av allmänt intresse ansluta sig. Regeringen får besluta om anslutningen bör villkoras med att företaget eller organisationen ska ha avtal med leverantör av brev- lådetjänster för digital post. Som anfördes i delbetänkandet tog upp frågan om en breddad användning av Mina meddelanden. I anslut- ning till att föreslog att även kommuner skulle få ansluta sig till infrastrukturen anfördes följande: Vid kontakter med aktörer som överväger att bli brevlådeoperatörer och med myndigheter och företag som vill ha en infrastruktur av planerat slag för att sända och motta meddelanden har en återkom- mande fråga varit varför förmedlingsadressregistret inte ska få använ- das på ett öppnare och mer behovsanpassat sätt.42 Antalet anmälda datorbedrägerier har åttafaldigats . Ökningen är mer än dubbelt så stor som den totala ökningen av an- talet bedrägeribrott och medför att datorbedrägerier nu utgör av alla anmälda bedrägeribrott. Brottskategorin avser brott där någon berett sig tillgång till annans utrustning för att för att skaffa sig vinning.43 Ett vanligt sätt att göra det är att via e-post förmå någon att klicka på en länk som laddar ned skadligt innehåll till datorn. Detta genom att avsändaren utger sig för att vara någon som mottagaren 42Hemställan om ändring i förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte, , dnr 131-830189-12/111. 43https:///brott-och-statistik/kriminalstatistik/anmalda-brott.html En lag om infrastruktur för digital post litar på, t.ex. en bank eller ett postföretag. och 2016 uppmärksammades flera attacker med s.k. phishing av Postnord.44 Det finns därför starka skäl att möjliggöra för företag och organisa- tioner som har behov av att säkert kommunicera med kunder och medlemmar. Som tidigare nämnts utgör privata utförare av offentligfinansierad verksamhet inom kommunerna och landstingen enbart en del av de ytterligare aktörer som kan behöva beredas möjlighet att ansluta som avsändare till infrastrukturen Mina meddelanden. Utredningen före- slår nu en väg som lämnar möjligheter för regeringen att öppna upp Mina meddelanden för fler aktörer. Regeringen får besluta att som avsändare får företag och organisationer som utför en uppgift av all- mänt intresse ansluta sig. En uppgift av allmänt intresse kan utföras exempelvis av friskolor, banker, försäkringsföretag, pensionsförvaltare, kreditupplysningsföre- tag, apotek, bilbesiktningsföretag och bostadsföretag. Utredningen föreslår att en lista över de verksamheter som regeringen vill öppna upp infrastrukturen för ska föras in i förordningen om infrastruktur för digital post. En aktör måste dock ha ett organisationsnummer för att kunna vara avsändare i Mina meddelanden. Utredningen föreslår även att regeringen får besluta om att anslutningen ska villkoras med att företaget eller organisationen har avtal med leverantörerna av brevlådetjänster för digital post. Behandling av känsliga personuppgifter regleras i artikel 9 i data- skyddsförordningen. Med känsliga personuppgifter menas enligt data- skyddsförordningen personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, med- lemskap i fackförening samt uppgifter om hälsa och en persons sexual- liv eller sexuella läggning. Även behandling av biometriska uppgifter 44 Massutskick av nytt bluffmejl som ser ut att komma från Postnord, pressmeddelande Postnord . En lag om infrastruktur för digital post för att entydigt identifiera en fysisk person och genetiska uppgifter utgör känsliga personuppgifter. Begreppet känsliga personuppgifter används inte uttryckligen i artikel 9, men förekommer i skäl 10 till dataskyddsförordningen. Enligt dataskyddsförordningens huvudregel, som framgår av arti- kel 9.1, är behandling av känsliga personuppgifter förbjuden. Det finns dock en rad undantag från detta förbud. Exempel på när undantag från förbudet kan vara aktuellt är om en registrerad uttryckligen har lämnat sitt samtycke till behandlingen av dessa personuppgifter för ett eller flera specifika ändamål (9.2 a), om behandlingen är nödvändig på grund av hänsyn till ett viktigt allmänt intresse () eller om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål (9.2 j). Vissa av undantagen, t.ex. artikel och j, förutsätter att behand- lingen är nödvändig på grundval av unionsrätten eller medlems- staternas nationella rätt. Vissa särskilda krav ställs på denna rätt. I artikel krävs t.ex. att unionsrätten eller den nationella rätten står i proportion till det eftersträvade syftet, är förenligt med det väsentliga innehållet i rätten till dataskydd och innehåller bestäm- melser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Enligt artikel 9.4 i dataskyddsförordningen får medlemsstaterna behålla eller införa ytterligare villkor, även begränsningar, för behand- lingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. Bestämmelserna innehåller krav på någon form av skyddsåtgärder. Vad som avses med skyddsåtgärder framgår inte av förordningen. I skäl (10) i dataskyddsförordningen anges att förordningen ger medlemsstaterna handlingsutrymme att specificera sina bestämmel- ser, även för behandlingen av särskilda kategorier av personuppgifter, och att förordningen inte utesluter att det i medlemsstaternas natio- nella rätt fastställs närmare omständigheter för specifika situationer där uppgifter behandlas, inbegripet mer exakta villkor för laglig be- handling av personuppgifter. Av skäl (8) framgår vidare att om förordningen föreskriver förtyd- liganden eller begränsningar av dess bestämmelser genom medlems- staternas nationella rätt, kan medlemsstaterna i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella be- stämmelserna begripliga för de personer som de tillämpas på, inför- liva delar av denna förordning i nationell rätt. En lag om infrastruktur för digital post Även enligt dataskyddsdirektiv är huvudregeln att behand- ling av känsliga personuppgifter är förbjuden. Något direkt undantag med hänsyn till viktiga allmänna intressen finns inte i direktivet. Enligt artikel 8.4 har medlemsstaterna dock möjlighet att med hänsyn till ett viktigt allmänt intresse besluta om ytterligare undantag från för- budet att behandla känsliga personuppgifter. Något generellt undantag som skulle kunna träffa den person- uppgiftsbehandling som utförs inom infrastrukturen för digital posts tillämpningsområde har dock inte införts i personuppgiftslagen, PuL.45 Ett undantag för myndigheters behandling i löpande text av känsliga personuppgifter som lämnats i ett ärende eller är nödvän- diga för handläggning av ett ärende har dock, med stöd av 20 § PuL, införts i 8 § personuppgiftsförordningen46 med stöd av artikel 8.4 dataskyddsdirektiv. har i sitt betänkande förslagit att dataskydds- lagen ska innehålla bestämmelser om rätten att behandla känsliga per- sonuppgifter. har gjort bedömningen att kra- vet på stöd i nationell rätt innebär att vissa av undantagen från förbudet att behandla känsliga personuppgifter bör föreskrivas i nationell rätt.47 föreslår i 3 kap. förslaget till dataskydds- lag ett antal bestämmelser om känsliga personuppgifter. I 3 kap. 1 § anges att utöver vad som framgår av artikel 9.2 a, c, d, e eller f i data- skyddsförordningen får sådana särskilda kategorier av personuppgifter som anges i artikel 9.1 i förordningen (känsliga personuppgifter) be- handlas om förutsättningarna i någon av 2–8 §§ är uppfyllda. 3 kap. 3 och 4 §§ behandlar myndigheters behandling i vissa fall. Enligt förslaget ska myndigheter få behandla känsliga personuppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvän- diga för handläggningen av det (3 kap. 3 § 1). föreslår också att myndigheter ska få behandla känsliga person- uppgifter om de lämnats till myndigheten och behandlingen krävs en- 47Se SOU 2017:39 s. 162. En lag om infrastruktur för digital post ligt annan lag (3 kap. 3 § 2). Anledningen till detta anges vara att det utgör ett viktigt allmänintresse att myndigheterna ska kunna sköta sitt uppdrag på ett korrekt, rättssäkert och effektivt sätt. Detta för- utsätter att den grundlagsstadgade handlingsoffentligheten och andra lagstadgade skyldigheter upprätthålls. Det anges också att viss behand- ling av känsliga personuppgifter är oundvikligt i myndigheternas verk- samhet som en direkt följd av exempelvis tryckfrihetsförordningens, offentlighets- och sekretesslagens och förvaltningslagens bestämmel- ser. Sådan behandling bör uttryckligen tillåtas i dataskyddslagen så att det inte råder någon tveksamhet kring lagligheten av behandlingen.48 Utöver detta föreslår att myndigheter i enstaka fall ska få behandla känsliga personuppgifter om det är abso- lut nödvändigt för ändamålet med behandlingen och inte innebär ett otillbörligt intrång i den registrerades personliga integritet (3 kap. 3 § 3). En myndighet som behandlar känsliga personuppgifter enbart med stöd av 3 kap. 3 § dataskyddslagen ska enligt Dataskyddsutred- ningens förslag inte få använda dessa personuppgifter som sökbe- grepp (3 kap. 4 §). Därutöver föreslås att regeringen ska få meddela föreskrifter om ytterligare undantag från förbudet, om det behövs med hänsyn till ett viktigt allmänt intresse (3 kap. 8 §). 21.11.3Behandling av känsliga personuppgifter i infrastrukturen för digital post behöver inget kompletterande författningsstöd att det inte behövs någon nationell bestämmelse som ger rätt att behandla känsliga personuppgifter inom lagens tillämpningsområde. Utredningen bedömer att undantaget i artikel dataskyddsför- ordningen, som ger rätt att behandla känsliga personuppgifter om det är nödvändigt med hänsyn till ett viktigt allmänt intresse, omfattar den del av verksamheten som genomförs av registerförande myndig- het respektive avsändare inom infrastrukturen Mina meddelanden. Denna verksamhet utgör en uppgift av allmänt intresse i dataskydds- förordningens mening. Infrastrukturen Mina meddelandens verksam- 48 Se betänkande, SOU 2017:39 s. 176 f. En lag om infrastruktur för digital post het är viktig både för effektiviteten i den offentliga sektorn och för möjligheten för medborgarna att ta del av handlingar på ett smidigt och lättillgängligt sätt. Artikel i dataskyddsförordningen innehåller vissa krav som måste vara uppfyllda för att undantaget ska bli tillämpligt. För det första ska det viktiga allmänna intresset framgå av unionsrätten eller medlemsstaternas nationella rätt. För det andra ska denna lagstift- ning stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestäm- melser om lämpliga och särskilda åtgärder för att säkerställa den regi- strerades grundläggande rättigheter och intressen. Verksamheten för infrastrukturen kommer enligt förslaget att bli fastställd genom den föreslagna författningen, men är reglerad genom förordningen om statliga myndigheters elektroniska informationsutbyte.49 När det gäller de grundläggande principerna för personuppgiftsbehandling motsvarar dataskyddsförordningen till allra största delen dataskyddsdirektiv.50 Mot den bakgrun- den anser utredningen att det får förutsättas att och reger- ingen bedömt att den behandling av personuppgifter som försiggår inom infrastrukturens och förordningen om statliga myndigheters elektroniska informationsutbytes tillämpningsområde är proporio- nerlig mot syftet med behandlingen och inte oförenlig med det grund- läggande skyddet för personuppgifter. Genom utredningens förslag till lag om infrastruktur för digital post finns också bestämmelser som säkerställer skyddet för de registrerades integritet, t.ex. i form av be- hörighets- och sökbegränsningar. Avseende leverantörens behandling av känsliga personuppgifter bedömer utredningen att det är undantaget i artikel 9.2 a dataskydds- förordningen, som ger rätt att behandla känsliga personuppgifter. Alla mottagare som genom leverantörer får sin digitala post i sina brevlådor, har samtyckt till detta. Enligt den nya lagens sekundära ändamålsbestämmelse kommer personuppgifter att få behandlas om det behövs för att fullgöra upp- giftslämnande i överensstämmelse med lag eller förordning. Även känsliga personuppgifter kan naturligtvis ingå bland de personuppgifter som ska lämnas ut på denna grund. 49Förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte. 50Se kap 5, jfr t.ex. artikel 5.1 i dataskyddsförordningen med artikel 6 dataskyddsdirektiv. En lag om infrastruktur för digital post Utredningen bedömer också att ett utlämnande av personuppgif- ter i enlighet med lag eller förordning måste anses vara nödvändigt med hänsyn till ett allmänt intresse. Undantaget i artikel i dataskyddsförordningen – viktigt allmänt intresse – är därmed tillämp- ligt även på sådan behandling av känsliga personuppgifter med stöd av den föreslagna sekundära ändamålsbestämmelsen. Det får vidare förutsättas att ett utlämnande av personuppgifter som föreskrivs i författning är proportionerligt mot syftet med utlämnandet och inte oförenligt med det grundläggande skyddet för personuppgifter. För det fall känsliga uppgifter lämna ut till annan myndighet finns också ett skydd för uppgifterna, eftersom myndigheter enligt Dataskydds- utredningens förslag till dataskyddslag inte får använda sökbegrepp som avslöjar känsliga personuppgifter. Detta gäller dock bara när de specifika registerförfattningarna inte reglerar frågan med egna be- stämmelser alternativt inte alls hänvisar till dataskyddslagen. Myn- digheternas registerförfattningar kan innehålla skyddsåtgärder i form av bl.a. sökbegränsningar eller behörighetsbegränsningar. Sammanfattningsvis anser utredningen att samtliga krav som ställs upp i artikel i dataskyddsförordningen för att känsliga person- uppgifter ska få behandlas med hänsyn till ett viktigt allmänt intresse, tillsammans med det samtycke som avses i artikel 9.2 a, är uppfyllda för den personuppgiftsbehandling som utförs inom ramen för lagen om infrastruktur för digital posts primära och sekundära ändamåls- bestämmelser. Dataskyddsförordningen tillåter enligt utredningens mening därmed att känsliga personuppgifter behandlas på hela lagens tillämpningsområde om det är nödvändigt för att verksamheten ska kunna bedrivas. Någon bestämmelse som ger rätt att behandla känsliga personuppgifter inom lagens tillämpningsområde behövs därmed inte. Det finns inte något hinder mot att medlemsstaterna inför mer restriktiva bestämmelser för sina myndigheters personuppgiftsbe- handling än vad som följer av dataskyddsförordningen. Utredningen bedömer dock inte att sådana bestämmelser är nödvändiga här och ser därmed inte något behov av att särskilt reglera om känsliga person- uppgifter i lagen om infrastruktur för digital post. I stället kommer bestämmelser i den föreslagna dataskyddslagen att tillämpas. En lag om infrastruktur för digital post och den tillkommande förordningen