sou · H6B325 · 2018-03-27 00:00:00 — En digital tjänst som innefattar ett eget utrymme kan utformas på många olika sätt och vända sig till olika målgrupper, t.ex. privat- personer eller företag. Tjänsten kan tillhandahållas av en enskild myn- dighet eller av flera myndigheter gemensamt. Exempelvis kan en myndighet ansvara för att leverera den tekniska infrastrukturen dvs. gränssnittet för tjänsten och det egna utrymmet. En annan myndig- het, eller en privat aktör, kan ha åtagit sig att skicka uppgifter till det egna utrymmet på den enskildes begäran när denne använder utrymmet. Som tidigare beskrivits är syftet med det egna utrymmet att enskilda ska kunna upprätta utkast, lagra uppgifter m.m. utan att de uppgifter som den enskilde hanterar blir att anse som allmänna hand- lingar hos myndigheten enligt tryckfrihetsförordningen eller inkomna till myndigheten enligt förvaltningslagen. En förutsättning för att uppgifterna som hanteras i ett eget utrymme inte ska bli allmänna handlingar eller anses inkomna, är att myndigheten som tillhanda- håller det egna utrymmet hanterar den enskildes uppgifter endast som ett led i teknisk bearbetning eller teknisk lagring innan denne aktivt har valt att skicka in en handling till myndigheten i fråga. Det innebär i praktiken att myndigheten inte ska ta del av de uppgifter som en enskild behandlar i ett eget utrymme. När det gäller myndighetsgemensamma digitala tjänster med eget utrymme behöver det fastställas dels hur personuppgiftsansvaret är fördelat mellan de parter som på olika sätt svarar för att tillhandahålla den tekniska plattformen eller delfunktioner i tjänsten, dels vem eller vilka som är personuppgiftsansvariga för den behandling av person- uppgifter som äger rum i det egna utrymmet. Bedömningen av i vilken omfattning en myndighet är personupp- giftsansvarig för behandlingen av personuppgifter i en digital tjänst med eget utrymme kan vara komplicerad ur flera olika perspektiv. För det första kan man fråga sig vilka faktiska och praktiska möjligheter en myndighet har att utöva sitt personsuppgiftsansvar för den del av personuppgiftsbehandlingen som äger rum i ett eget utrymme på initiativ av en privatperson och där utgångspunkten är att myndigheten inte ska eller får ta del av de uppgifter som behandlas (se avsnittet nedan om privatundantaget). Hur kan myn- digheten t.ex. säkerställa att privatpersonen, vid användning av det egna utrymmet, bara för in uppgifter som är adekvata och relevanta och inte för omfattande i förhållande till de ändamål för vilka uppgifterna ska behandlas?93 För det andra finns det anledning att reflektera över om en när- ingsidkare, som inte omfattas av privatundantaget,94 kan åläggas personuppgiftsansvar för den personuppgiftsbehandling som närings- idkaren utför i ett eget utrymme (se avsnittet nedan om juridiska personer). Hur kan en näringsidkare som bedöms vara person- uppgiftsansvarig i så fall säkerställa att nödvändiga säkerhetsåtgärder vidtas för att skydda personuppgifterna som behandlas? När det gäller digitala tjänster som t.ex. tillhandahålls gemensamt av flera myndigheter och privata aktörer behöver man för det tredje, med en tillräckligt hög grad av exakthet, fastställa hur personupp- giftsansvaret fördelar sig mellan de inblandade parterna. Hur personuppgiftsansvaret är fördelat när personuppgifter behandlas i komplexa digitala miljöer kan emellertid vara svårt att avgöra. Personuppgiftsansvaret regleras generellt i dataskyddsförordningen och specifikt i olika registerförfattningar. Av dataskyddsförord- ningens definition framgår att personuppgiftsansvarig är den som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.95 Den som är personuppgiftsansvarig bär ansvaret för att den behandling av personuppgifter, som ansvaret omfattar, är tillåten enligt dataskyddsregleringen dvs. att personuppgifterna behandlas för ett berättigat ändamål, att det finns en laglig grund för behand- lingen, att den registrerades intressen tillvaratas etc.96 Den som är 93Artikel 5.1 c dataskyddsförordningen, principen om uppgiftsminimering. 94Med ”privatundantaget” avses att behandling av personuppgifter som en fysisk person utför som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll inte omfattas av dataskyddsförordningens reglering, se artikel 2.2.c dataskydds- förordningen. 95Artikel 4.7 dataskyddsförordningen. 96Se t.ex. artiklarna 5, 6 och 12–22 dataskyddsförordningen. personuppgiftsansvarig är skyldig att ersätta varje person som har lidit materiell eller immateriell skada till följd av överträdelse av dataskyddsförordningen.97 En personuppgiftsansvarig kan också vid en rättslig prövning påföras administrativa sanktionsavgifter.98 I en registerförfattning regleras normalt sett vilken aktör som är personuppgiftsansvarig för en personuppgiftsbehandling som äger rum i en viss verksamhet. I exempelvis 1 kap. 6 § lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet pekas ut som personuppgiftsansvarig för den behand- ling av personuppgifter som verket ska utföra. Det kan jämföras med 2 kap. 6 § patientdatalagen (2008:355) som i stället för att peka ut en specifik namngiven aktör reglerar personuppgiftsansvaret för en särskild verksamhet, nämligen vårdgivare. Enligt patientdatalagen är en vårdgivare personuppgiftsansvarig för den behandling av person- uppgifter som vårdgivaren utför. Hur personuppgiftsansvaret ut- faller enligt patientdatalagen kan alltså delvis vara en effekt av hur ett landsting eller en kommun har valt att organisera sig. En konsekvens av att personuppgiftsansvar fastställs i register- författning kan bli att en aktör bedöms vara personuppgiftsansvarig för en personuppgiftsbehandling som denne inte helt kan råda över. Exempelvis kan en myndighet, av en annan myndighet, vara anvisad en digital tjänst för registrering och befordran av vissa uppgifter. Är den avsändande myndighetens personuppgiftsansvar utpekat i registerförfattning kan denne komma att betraktas som ansvarig för den tekniska och organisatoriska säkerheten i tjänsten trots att den avsändande myndigheten inte alls har, eller har mycket små, möjlig- heter att påverka eller kontrollera säkerheten i tjänsten. I dataskyddsförordningen har införts en bestämmelse om gemen- samt personuppgiftsansvariga.99 Bestämmelsen saknar motsvarighet i dataskyddsdirektivet100 som ligger till grund för regleringen i per- sonuppgiftslagen (1998:204). Av bestämmelsen framgår i huvudsak att om två eller flera personuppgiftsansvariga gemensamt fastställer 97Artikel 82 dataskyddsförordningen. 98Artikel 83 dataskyddsförordningen. 99Artikel 26 dataskyddsförordningen. 100Europaparlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. ändamålen och medlen för behandlingen ska de vara gemensamt personuppgiftsansvariga. De gemensamt personuppgiftsansvariga ska under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna i dataskyddsförordningen. Ansvarsfördelningen ska på lämpligt sätt återspegla de personuppgiftsansvarigas respektive roller och förhållanden gentemot den registrerade. Det gäller bl.a. skyldigheterna att tillse att de registrerade får information om per- sonuppgiftsbehandlingen och att dessa kan utöva sina rättigheter en- ligt förordningen. De personuppgiftsansvariga får inom ramen för det gemensamma personuppgiftsansvaret utse en gemensam kontakt- punkt. Men oavsett hur de gemensamt personuppgiftsansvariga har fördelat ansvaret att fullgöra sina skyldigheter får den registrerade utöva sina rättigheter enligt dataskyddsförordningen emot var och en av de personuppgiftsansvariga. I skälen till dataskyddsförordningen ges ingen ytterligare ledning i hur bestämmelsen är tänkt att tillämpas. Enligt vår uppfattning kan det dock inte uteslutas att bestämmelsen ger en öppning för att på ett mer flexibelt sätt fastställa det gemensamma personuppgifts- ansvaret utifrån det ansvar respektive part i realiteten kan utöva så länge det inte påverkar den registrerades möjlighet att utöva sina rättigheter och under förutsättning att det inte strider mot den personuppgiftsansvariges skyldigheter som fastställts i t.ex. i register- författning. Behandling av personuppgifter som en fysisk person utför som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll omfattas inte av dataskyddsförordningens reglering (det s.k. privatundantaget).101 Att dataskyddsförordningen inte är tillämplig vid sådan behandling som en privatperson utför som ett led i verksamhet av rent privat natur innebär t.ex. att denne inte kan åläggas ett personuppgiftsansvar för behandlingen i fråga eller vara skyldig att skydda uppgifterna på lämpligt sätt. Vem som är personuppgiftsansvarig för den behandling av personuppgifter som en privatperson utför inom ramen för en digital tjänst med ett eget utrymme har varit föremål för diskussion bl.a. i förhållande till Skatteverkets förmedlingstjänst Mina meddelanden. Datainspektionen har i ett svar på en förfrågan 101 Artikel 2.2 c dataskyddsförordningen. från angående personuppgiftsansvaret i tjänsten Mina meddelanden uttalat att privatundantaget i 6 § personuppgiftslagen102 innebär att fysiska personer ofta inte kan åläggas ett ansvar för behandlingar av personuppgifter som de utför i brevlådan.103 Utredningen om effektiv styrning av nationella digitala tjänster har föreslagit en författningsreglering av personuppgiftsansvaret för de aktörer som behandlar personuppgifter inom ramen för Mina meddelanden.104 Frågan om vem som är personuppgiftsansvarig för den behand- ling av personuppgifter som utförs av en privatperson inom ramen för ett eget utrymme är uppe för prövning i förvalt- ningsrätten.105 Målet gäller eHälsomyndighetens hälsokonto Hälsa för mig.106 Juridiska personer som behandlar personuppgifter i ett eget utrym- me omfattas inte av det ovan beskrivna privatundantaget. Det inne- bär att en juridisk person kan vara ensamt eller gemensamt person- uppgiftsansvarig för den behandling av personuppgifter som utförs i ett eget utrymme. En juridisk person som är personuppgifts- ansvarig för en personuppgiftsbehandling i ett av en myndighet tillhandahållet eget utrymme saknar emellertid förutsättningar att garantera fullständig efterlevnad av dataskyddsregleringen. Även om en juridisk person i regel självständigt kan avgöra om en digital tjänst med eget utrymme ska användas för att utföra vissa myndighets- ärenden107 och eventuellt kan påverka vilka uppgifter som ska behandlas i tjänsten kan denne i princip aldrig påverka vilka tekniska och organisatoriska säkerhetsåtgärder som ska vidtas för att skydda uppgifterna i fråga. Det kan därför enligt vår bedömning ifrågasättas om en juridisk person kan bära hela personuppgiftsansvaret för alla 102Privatundantaget i 6 § personuppgiftslagen överensstämmer i sak med privatundantaget som föreskrivs i artikel 2.2 c i dataskyddsförordningen. 103Svar på förfrågan om personuppgiftsansvar i Mina Meddelanden, Data- inspektionen, , dnr 111-2014. 104Se förslag till lag om infrastruktur för digital post, SOU 2017:114. 105Förvaltningsrätten i , mål nr 11458-17. 106Hälsa för mig är en tjänst där enskilda individer ska kunna skapa ett personligt konto och lagra uppgifter om sin hälsa. eHälsomyndigheten tillhandahåller den tekniska plattformen för tjänsten och kan ge tredje part möjlighet att utveckla hälsorelaterade tjänster t.ex. appar för användarna. 107Jfr dock för rot- och rutavdrag där endast digitala kommunikations- kanaler kan användas för att ge in en ansökan till . delar av den behandling av personuppgifter som sker inom ramen för ett eget utrymme. Rättspraxis och tidigare utredning Rättspraxis är knapphändig vad gäller myndigheters personupp- giftsansvar i digitala tjänster som tillhandahålls enskilda. Viss led- ning för bedömningen av personuppgiftsansvaret kan emellertid hämtas i Högsta förvaltningsdomstolens avgörande HFD 2012 ref. 21. I målet prövade domstolen personuppgifts- ansvar vid tillhandhållande av en elektronisk självbetjäningstjänst för anmälan av tillfällig föräldrapenning. Bakgrunden var att Data- inspektionen i ett tillsynsbeslut hade förelagt att, som personuppgiftsansvarig, genomföra en risk- och sårbarhets- analys av sin sms-tjänst för anmälan av tillfällig föräldrapenning. fastställde inledningsvis att Försäk- ringskassan bestämt ändamål och medel med behandlingen, dvs. att anmäla sjukfall genom en särskild anvisad kommunikationskanal. Därefter gjorde domstolen bedömningen att den serie av åtgärder i fråga om personuppgifter som vidtas i de aktuella fallen kan betrak- tas som ett led i behandling av uppgifter i enskilda ärenden. Det gäller trots att saknar möjlighet att påverka hur uppgifterna hanteras innan de blir tillgängliga för kassan. Rättsfallet ger uttryck för att en personuppgiftsansvarig som tillhandahåller och anvisar enskilda en särskild kommunikations- kanal också ansvarar för den behandling som sker innan uppgifterna inkommit till myndigheten. Även om den personuppgiftsansvarige inte kan uppfylla sitt ansvar fullt ut är denne skyldig att vidta nödvändiga säkerhetsåtgärder för att uppgifterna som behandlas i tjänsten ska ha ett tillräckligt skydd också innan de överförs till den personuppgiftsansvarige i fråga. Utredningen om effektiv styrning av nationella digitala tjänster har tagit ett vidare grepp i fråga om bedömningen av personuppgifts- ansvar när det gäller behandling av personuppgifter inom ramen för ett eget utrymme. I sitt delbetänkande föreslår utredningen att regeringen utreder och tar ställning till hur offentliga myndigheter ska behandla och förhålla sig till s.k. eget utrymme.108 Ett par remiss- instanser har avstyrkt förslaget bl.a. mot bakgrund av att frågan om 108 SOU 2017:23 s. 225. personuppgiftsansvar ytterst avgörs av bestämmelserna i data- skyddsförordningen eller av nationell reglering av personuppgifts- ansvar. Våra överväganden om fördelning av personuppgiftsansvar Begreppet personuppgiftsansvarig tjänar dels till att avgöra vem eller vilka som ansvarar för efterlevnaden av dataskyddsregleringen, dels till att peka ut vem eller vilka myndigheter eller andra aktörer den registrerade kan vända sig till för att utöva sina rättigheter. Likväl som det kan vara tämligen självklart vem som är personuppgiftsansvarig för en viss behandling kan det också vara förenat med avsevärda svårig- heter att med en hög grad av exakthet fastställa ramarna för respektive aktörs personuppgiftsansvar i myndighetsgemensamma digitala tjänster med eget utrymme. Betydelsen av att med en till- räckligt hög grad av precision fastställa personuppgiftsansvaret kan emellertid förväntas öka bl.a. med beaktande av dataskyddsförord- ningens nya sanktionsmöjligheter. För varje personuppgiftsbehandling som utförs i den offentliga förvaltningen finns en eller flera myndigheter som bär person- uppgiftsansvaret för behandlingen ifråga. Hur ansvaret fördelas ska utredas av de parter som har del i personuppgiftsbehandlingen innan behandlingen påbörjas. Utgångspunkten är att personuppgiftsansvaret fördelas utifrån omständigheterna i det enskilda fallet. I en myndighetsgemensam tjänst med eget utrymme kan det t.ex. förekomma att vissa myndig- heter bär ett gemensamt personuppgiftsansvar medan andra aktörers ansvar har en mer begränsad räckvidd. En myndighet vars person- uppgiftsansvar är fastställt i registerförfattning har regelmässigt ett mer begränsat bedömningsutrymme avseende gränserna för sitt personuppgiftsansvar jämfört med en myndighet eller annan aktör vars personuppgiftsansvar följer direkt av dataskyddsförordningen. Komplexiteten i dagens digitala miljöer där flera olika parter kan dela på eller ha tillgång till samma digitala infrastruktur och där informationsöverföring sker sekundsnabbt gör att det kan vara förenat med komplicerade avvägningar att vid alla tillfällen och med hög grad av precision fastställa och fördela personuppgiftsansvaret. Hur ska t.ex. personuppgiftsansvaret fördelas när en myndighet regi- strerar och skickar uppgifter till en annan myndighet inom ramen för den mottagande myndighetens digitala infrastruktur? ansvaret när den avsändande myndigheten trycker på skicka-knappen eller är ansvaret gemensamt med den mottagande myndighetens registreringen pågår? Upphör den avsändande myndig- hetens personuppgiftsansvar när en tjänsteman vid myndigheten tryckt på skicka-knappen eller sträcker det sig längre än så? Är en myndighets personuppgiftsansvar reglerat i registerförfattning kan det leda till att myndighetens personuppgiftsansvar utsträcks till att omfatta sådana områden myndigheten i praktiken inte kan råda över, t.ex. ansvar för tekniska och organisatoriska säkerhetsåtgärder i en tjänst som rent faktiskt tillhandahålls och förvaltas av en annan part. Om det, med beaktande av omständigheterna i det enskilda fallet, inte är möjligt att med hög grad av precision fastställa person- uppgiftsansvaret behöver det finnas andra metoder för att fördela ansvaret. Vissa remissinstansers ställningstaganden vid beredningen av Utredningen om effektiv styrning av nationella digitala tjänsters delbetänkande109 i kombination med vad som förmedlats under vårt kartläggningsarbete pekar mot att det finns en tydlig vilja hos myndigheter att själva bedöma personuppgiftsansvar även när det är både rättsligt och tekniskt komplicerat. Att i författning peka ut personuppgiftsansvar kan förvisso vara lämpligt i vissa fall men utgångspunkten bör enligt vår uppfattning vara att myndigheter har egen kapacitet och förmåga att fastställa och fördela personupp- giftsansvar. För att detta ska kunna realiseras behöver myndig- heterna emellertid få nödvändigt stöd för att kunna göra korrekta bedömningar. I vårt kartläggningsarbete har det framhållits att praktiskt utformade vägledningar eller typfallsmodeller skulle vara till god hjälp i myndigheters arbete med att fastställa och fördela personuppgifts- ansvar. Vi uppfattar att det finns ett klart behov av sådant stöd- material men kan också se att det kommer att kvarstå situationer där t.ex. komplexiteten i ett it-system kan medföra att det, trots hjälp av stödmaterial, är svårt att fastställa exakt i vilken omfattning respek- tive aktör är personuppgiftsansvarig. För sådana situationer behöver det finnas en acceptans för att personuppgiftsansvaret i vissa delar måste fastställas genom överenskommelse eller avtal som är specifika för situationen i fråga. 109 SOU 2017:114. Dataskyddsförordningens nya bestämmelse om gemensamt per- sonuppgiftsansvariga110 reglerar att gemensamt personuppgiftsansva- riga i viss utsträckning genom överenskommelse (arrangemang) kan fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt förordningen. Under förutsättning att det är tydligt för den registrerade vilka som är personuppgiftsansvariga och vem denne kan vända sig till för att utöva sina rättigheter bör en sådan för- delning inte ha några negativa effekter för den registrerade. Enligt vår uppfattning bör det också i andra svårbedömda situationer finnas utrymme att, även när personuppgiftsansvaret inte är gemensamt, fastställa fördelningen av personuppgiftsansvaret t.ex. i en överens- kommelse.111 Rättslig grund för personuppgiftsbehandlingen En myndighet som tillhandahåller en digital tjänst med eget utrym- me, och som bedöms vara personuppgiftsansvarig för den behand- ling av personuppgifter som utförs i det egna utrymmet, behöver ha en rättslig grund för behandlingen i fråga.112 Den personuppgifts- behandling som sker i ett eget utrymme omfattas enligt vår upp- fattning av den rättsliga grunden allmänt intresse. De förslag som vi har lämnat i kapitel 8.3.3, som innebär ett åliggande för myndigheter att, med vissa undantagsmöjligheter, tillhandahålla digitala mottag- ningsfunktioner för att ta emot handlingar från enskilda ger en än stabilare rättslig grund också i personuppgiftshänseende. För egna utrymmen där syftet är att enskilda t.ex. ska kunna lagra personuppgifter som är känsliga kan det emellertid, enligt vad vi kan se, behövas särskilda rättsliga överväganden om personuppgiftsbehandlingen har stöd i gällande rätt. Regeringen har också i propositionen om den nya dataskyddslagen anfört att vissa remissinstanser påpekat att det inte är möjligt att tillämpa de bestäm- melser i den generella dataskyddslag som föreslagit, när känsliga personuppgifter behandlas i myndigheters 110Artikel 26 dataskyddsförordningen. 111Se även om personuppgiftsbiträdesavtal i kapitel 11. 112Artikel 6.1 e dataskyddsförordningen och Ny dataskyddslag, prop. 2017/18:105, 2 kap. 2 § punkten 1. s.k. egna utrymmen. Regeringen konstaterade att de särskilda frågeställ- ningar som rör sådan behandling inte föranletts av dataskyddsförord- ningen och behandlade dem därmed inte i det lagstiftningsärendet. 8.4.5Behövs reglering eller annat stöd för ökad rättslig stabilitet? Utredningens bedömning: Rättsläget avseende digitala tjänster med eget utrymme är i viss mån oklart. Det är angeläget att förbättra de rättsliga förutsättningarna så att utveckling av nya digitala tjänster baserat på användning av eget utrymme inte hindras eller hämmas i onödan. Utredningens förslag: En myndighet ska ges i uppdrag att, i samverkan med Datainspektionen114 och Myndigheten för sam- hällsskydd och beredskap, ta fram allmänna råd eller annat stöd- material om hur myndigheter i förening med gällande rätt kan utveckla digitala tjänster som innefattar eget utrymme. Skälen för utredningens bedömning och förslag Behovet av egna utrymmen i digitala tjänster och rättsläget I vårt arbete har vi noterat att det inte synes finnas några tecken på en teknik- eller samhällsutveckling som innebär att det inom över- skådlig tid kan väntas växa fram helt nya sätt för kommunikation till och från förvaltningen, dvs. som i tekniskt avseende väsentligt skiljer sig från de digitala tjänster för ansökningar eller anmälningar via webben som är kända. Med beaktande av vad som framkommit i kartläggningen och vad som erfarenhetsmässigt är känt bedömer vi tvärtom att bl.a. det egna utrymmet som företeelse kommer att bli mer och mer aktuellt i den digitala förvaltningen. Den offentliga förvaltningen kommer att behöva svara upp mot allmänhetens ökade förväntningar på smidiga och användarvänliga digitala tjänster som inte innebär att ofärdiga ansökningar blir allmänna handlingar. 114Datainspektionen byter namn till . Under kartläggningen har det också framkommit att det finns framtida behov av att, med avstamp i de egna utrymmen för tjänster gentemot enskilda som finns tillgängliga, återanvända de rättsliga koncept som det egna utrymmet innebär för att skapa nya tjänster för digital kommunikation vid verksamhetsmässiga informations- utbyten myndigheter emellan. Myndighetsgemensamma processer kan med andra ord förenklas och effektiviseras genom att en myn- dighet tillhandahåller ett eget utrymme åt en annan myndighet. Som framgått av beskrivningen av kartläggningsresultatet och våra inledande överväganden om bl.a. personuppgiftsansvaret är rättsläget avseende sådana utrymmen i viss utsträckning oklart. Vår kartläggning visar också att det, trots befintlig praxis och förarbets- uttalanden, fortfarande finns tveksamhet i frågan om hur digitala tjänster med eget utrymme kan eller bör utformas för att vara för- enliga med 2 kap. 10 § första stycket tryckfrihetsförordningen, dvs. hur tjänster kan utformas som de rent tekniskt sett omfattas av lokutionen ”endast som led i teknisk bearbetning eller teknisk lagring för annans räkning”. Frågorna gäller också vilken typ av service som kan ges inom ramen för ett eget utrymme utan att allmänna handlingar skapas, eller hur de allmänna handlingar som uppstår ska hanteras av myndigheten.