prop · H603163 · 2019-09-09 00:00:00 — För att dataskyddsombuden ska kunna utföra sina arbetsuppgifter krävs det att Säkerhetspolisen gör det möjligt och tillhandahåller de resurser som ombuden behöver, genom att t.ex. göra ombudet delaktig i frågor och beslut som rör behandling av personuppgifter. Ombuden bör också få tillgång till all dokumentation gällande personuppgiftsbehandlingen och, i den utsträckning det behövs, tillgång till de personuppgifter som behandlas. Säkerhetspolisen bör även se till att ombudet ges utrymme för vidareutbildning och annan kunskapsinhämtning. Bestämmelser om detta kan tas in i förordning. 2018/19:163 13.4 Regeringens förslag: Personuppgiftsbiträde ska i lagen definieras som den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Utredningens förslag överensstämmer delvis med regeringens. Enligt utredningens förslag ska personuppgiftsbiträde definieras som den som, med stöd av ett skriftligt avtal eller annan skriftlig överenskommelse, be- handlar personuppgifter för den personuppgiftsansvariges räkning. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag: I 1 kap. 6 § brottsdatalagen definieras personuppgiftsbiträde som den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Definitionen motsvarar 3 § person- uppgiftslagen. Utredningen anser att det ska framgå av definitionen att det ska finnas ett skriftligt avtal eller annan skriftlig överenskommelse mellan personuppgiftsbiträdet och den personuppgiftsansvarige. I förarbetena till brottsdatalagen konstateras att dataskyddsdirektivet inte ställer något sådant krav och regeringen valde därför att inte låta brottsdatalagens definition innehålla något sådant krav (prop. 2017/18:232 s. 206). För att underlätta tillämpningen bör definitionen av personuppgiftsbiträde i den nya lagen stämma överens med brottsdatalagens definition. Personuppgiftsbiträde bör mot den bakgrunden definieras som den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Därmed kommer definitionen också att överensstämma med den som finns i dataskyddsförordningen. Ett personuppgiftsbiträde måste alltid finnas utanför den personupp- giftsansvariges organisation. En anställd eller någon annan som behandlar personuppgifter under den personuppgiftsansvariges direkta ansvar kan inte vara personuppgiftsbiträde. Regeringens förslag: Säkerhetspolisen ska, om det är lämpligt, få anlita personuppgiftsbiträden. Innan ett personuppgiftsbiträde anlitas ska Säkerhetspolisen försäkra sig om att biträdet kommer att vidta de lämpliga tekniska och organisatoriska åtgärder som krävs för att be- handlingen av personuppgifter ska vara författningsenlig och för att skydda registrerades rättigheter. Det ska finnas ett skriftligt avtal eller annan skriftlig överenskom- melse om personuppgiftsbiträdets behandling av personuppgifter för Säkerhetspolisens räkning. Ett personuppgiftsbiträde ska inte få anlita ett annat personuppgifts- biträde utan skriftligt tillstånd från Säkerhetspolisen. Utredningens förslag överensstämmer i sak med regeringens. efterfrågar en analys av hur reglerna om möjligheten för Säkerhetspolisen att anlita personuppgiftsbiträden förhåller sig till olika sekretessbe- Prop. 2018/19:163 stämmelser och säkerhetskrav. Övriga remissinstanser yttrar sig inte särskilt i denna del. Skälen för regeringens förslag Regler om personuppgiftsbiträden finns i 30 och 31 §§ personuppgifts- lagen. Bestämmelserna gäller för Säkerhetspolisen genom en hänvisning i 2 kap. 2 § första stycket 7 och 6 kap. 4 § 1 polisdatalagen. Enligt 31 § andra stycket ska den personuppgiftsansvarige, när denne anlitar ett per- sonuppgiftsbiträde, förvissa sig om att biträdet kan vidta de säkerhetsåt- gärder som krävs och se till att biträdet gör det. Det är dock den person- uppgiftsansvarige som har ansvaret gentemot den registrerade även när ett personuppgiftsbiträde anlitas (Personuppgiftslagen, prop. 1997/98:44, s. 93). Det ska enligt 30 § andra stycket personuppgiftslagen finnas ett skriftligt avtal om personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räkning. I avtalet ska det särskilt före- skrivas att personuppgiftsbiträdet bara får behandla personuppgifter i enlighet med instruktioner från den personuppgiftsansvarige och att per- sonuppgiftsbiträdet ska vidta de säkerhetsåtgärder som avses i 31 § första stycket för att skydda personuppgifterna. Personuppgiftsbiträden ska kunna anlitas I 3 kap. 16 § brottsdatalagen föreskrivs att den personuppgiftsansvarige, om det är lämpligt, får anlita personuppgiftsbiträden för behandling av personuppgifter på den personuppgiftsansvariges vägnar. Säkerhetspolisen får anlita personuppgiftsbiträden. Utrymmet att anlita personuppgiftsbiträden är dock begränsat med hänsyn till den verk- samhet som myndigheten bedriver. Myndigheten bör dock även fortsättningsvis ha möjlighet att anlita personuppgiftsbiträden om det är lämpligt och en bestämmelse som motsvarar 3 kap. 16 § brottsdatalagen bör därför tas in i den nya lagen. Om det är lämplig får avgöras med hänsyn bl.a. till vilka personuppgifter som ska behandlas och om det gäller sekretess för personuppgifterna. Någon mer djuplodande analys av sekretessbestämmelsernas betydelse för Säkerhetspolisens möjlighet att anlita personuppgiftsbiträden, som och efterfrågar, är mot den bakgrunden inte nödvändig. Säkerhetspolisen bör innan ett personuppgiftsbiträde anlitas försäkra sig om att biträdet kommer att vidta de lämpliga tekniska och organisatoriska åtgärder som krävs för att behandlingen av personuppgifter ska vara författningsenlig och för att skydda registrerades rättigheter. Skyldigheten innebär att myndigheten innan ett personuppgiftsbiträde anlitas bl.a. bör förhöra sig om hur biträdet kommer att behandla uppgifterna tekniskt, hur arbetet är organiserat och vilket skydd personuppgifterna har hos biträdet. Bestämmelsen går något längre än de nu gällande kraven på personuppgiftsansvariga. 2018/19:163 Ansvarsfördelningen mellan den personuppgiftsansvarige och personuppgiftsbiträdet Säkerhetspolisen är ansvarig för all behandling av personuppgifter som utförs på dennes vägnar. Myndigheten ansvarar således både i förhållande till tillsynsmyndigheten och i förhållande till registrerade för att reglerna i lagen och andra tillämpliga författningar följs vid personupp- giftsbehandling hos ett personuppgiftsbiträde. Säkerhetspolisen kan upp- dra åt biträdet att utföra viss behandling av personuppgifter, men kan inte avsäga sig personuppgiftsansvaret och de skyldigheter som följer med det. Myndigheten är också skadeståndsskyldig gentemot enskilda vid felaktig behandling av personuppgifter hos personuppgiftsbiträdet. Att biträdet kan bli skadeståndsskyldigt gentemot den personuppgiftsansvarige är en annan sak. får i vissa fall utkräva ansvar även av personupp- giftsbiträden. Om ett personuppgiftsbiträde t.ex. inte vidtar nödvändiga säkerhetsåtgärder kan tillsynsmyndigheten vidta åtgärder mot både biträ- det och den personuppgiftsansvarige. Personuppgiftsbiträdets roll ska regleras i en överenskommelse På samma sätt som bör det krävas ett skriftligt avtal eller någon annan skriftlig överenskommelse mellan personuppgiftsbiträdet och Säkerhetspolisen. Regleringen av vad ett sådant avtal ska innehålla bör motsvara de krav som ställs på dessa avtal enligt 3 kap. 17 § brottsdataförordningen. Även för Säkerhetspolisens del kan det regleras i förordning. Personuppgiftslagen reglerar inte förutsättningarna för när ett personupp- giftsbiträde får anlita ett annat personuppgiftsbiträde, ett underbiträde. Det är av grundläggande betydelse att den personuppgiftsansvarige känner till vilka personuppgiftsbiträden som behandlar personuppgifter för dennes räkning. I 3 kap. 17 § brottsdatalagen föreskrivs det därför att ett personuppgiftsbiträde inte får anlita ett annat personuppgiftsbiträde utan att den personuppgiftsansvarige har lämnat skriftligt tillstånd till det. En motsvarande bestämmelse bör tas in i den nya lagen. Att personuppgifts- biträden som har fått ett generellt tillstånd att anlita underbiträden ska vara skyldiga att informera Säkerhetspolisen när underbiträden anlitas kan regleras i förordning. Syftet med informationen är att Säkerhetspolisen ska ha möjlighet att invända mot anlitandet av nya biträden. 13.4.3Behandling enligt den personuppgiftsansvariges instruktioner Regeringens förslag: Ett personuppgiftsbiträde och de som arbetar under biträdets ledning ska behandla personuppgifter i enlighet med instruktioner från Säkerhetspolisen. Om ett personuppgiftsbiträde bestämmer ändamålen med och medlen för behandlingen ska biträdet anses vara personuppgiftsansvarig för den Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: I 30 § första stycket personuppgifts- lagen, som gäller för Säkerhetspolisen genom hänvisningar i 2 kap. 2 § första stycket 7 och 6 kap. 4 § 1 polisdatalagen, föreskrivs att ett personuppgiftsbiträde och den eller de personer som arbetar under biträ- dets eller den personuppgiftsansvariges ledning får behandla personupp- gifter bara i enlighet med instruktioner från den personuppgiftsansvarige. Om det i lag eller annan författning finns särskilda bestämmelser om behandlingen av personuppgifter i det allmännas verksamhet i sådana frå- gor, gäller emellertid de bestämmelserna i stället för 30 § första stycket. Det som främst avses är bestämmelser om tystnadsplikt och sekretess (prop. 1997/98:44 s. 134). En motsvarande bestämmelse finns i artikel 23 dataskyddsdirektivet som har genomförts i 3 kap. 18 § första stycket brottsdatalagen. Även i den nya lagen bör det tas in en bestämmelse av vilken det framgår att ett personuppgiftsbiträde och de som arbetar under biträdets ledning ska behandla personuppgifter i enlighet med instruk- tioner från Säkerhetspolisen. Instruktionerna bör vara så tydliga att otillåten behandling inte utförs (jfr Integritet, Offentlighet, Informationsteknik, SOU 1997:39 s. 335). Den överenskommelse som styr personuppgiftsbiträdets uppdrag ska innehålla viss information som ger instruktioner till biträdet, bl.a. om behandlingens varaktighet, art och ändamål. Instruktionerna kan också gälla exempelvis hur tillgången till personuppgifter hos biträdet ska begränsas, om biträdet ska använda kryptering vid kommunikation och andra åtgärder som krävs för dataskydd. Ett personuppgiftsbiträde bör endast överföra personuppgifter till ett tredjeland eller en internationell organisation om biträdet fått i uppdrag att göra det. Sådana uppdrag bör också framgå av de instruktioner som den personuppgiftsansvarige lämnar till biträdet. Eftersom den nya lagen är subsidiär kommer avvikande bestämmelser i annan författning att gälla framför bestämmelser i den nya lagen, vilket framgår av den föreslagna bestämmelsen i 1 kap. 4 §. Om det finns av- vikande bestämmelser i annan författning som anger att någon är skyldig att utföra en viss behandling, exempelvis att lämna ut allmänna handlingar, innebär det att behandlingen får utföras utan särskilda instruktioner. Att den som bestämmer ändamålen med och medlen för behandlingen är att anse som personuppgiftsansvarig framgår av definitionen av per- sonuppgiftsansvarig. På samma sätt som i brottsdatalagen bör det i den nya lagen tydliggöras att ett personuppgiftsbiträde som går utanför sin befogenhet och behandlar personuppgifter för något annat ändamål än enligt sina instruktioner är personuppgiftsansvarig för den behandlingen. I sådana fall kan biträdet bli skadeståndsskyldig på grund av den behandlingen. 2018/19:163 13.4.4 Övriga skyldigheter för personuppgiftsbiträden Regeringens förslag: Ett personuppgiftsbiträde ska ha samma skyl- digheter som en personuppgiftsansvarig att logga vissa typer av be- handlingar, begränsa tillgången till personuppgifter, vidta säkerhetsåt- gärder och samarbeta med tillsynsmyndigheten. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Flera av skyldigheterna för per- sonuppgiftsansvariga enligt brottsdatalagen gäller även för personupp- giftsbiträden. Som framgår av 3 kap. 19 § brottsdatalagen gäller bestäm- melserna om skyldighet att logga vissa typer av behandlingar, samarbeta med tillsynsmyndigheten och vidta lämpliga åtgärder för att skydda per- sonuppgifterna även för personuppgiftsbiträden. Skyldigheten att begränsa tillgången till personuppgifter till vad var och en behöver för att fullgöra sina arbetsuppgifter gäller även för personuppgiftsbiträden. Förhands- samråd med tillsynsmyndigheten är dock bara en skyldighet för den personuppgiftsansvarige, eftersom denne är ansvarig även för den behandling som personuppgiftsbiträdet utför. Ett personuppgiftsbiträde kan emellertid behöva bistå den personuppgiftsansvarige under förhands- samrådet om samrådet t.ex. rör förändringar avseende redan pågående personuppgiftsbehandling som utförs av biträdet. Skyldigheten att sam- arbeta med tillsynsmyndigheten gäller även för personuppgiftsbiträden. Samarbetsskyldigheten gäller generellt och omfattar därigenom även samarbete från biträdets sida vid förhandssamråd om det blir aktuellt. En motsvarande reglering bör tas in i den nya lagen. Regleringen av personuppgiftsbiträdens skyldigheter medför inga större skillnader i förhållande till dagens reglering. Enligt 30 § andra stycket personuppgiftslagen är ett personuppgiftsbiträde skyldigt att vidta sådana säkerhetsåtgärder som avses i 31 § första stycket. Det ska också föreskrivas i biträdesavtalet. Personuppgiftsbiträden är alltså skyldiga att vidta lämpliga åtgärder för att skydda de personuppgifter som behandlas. Det innebär ett indirekt krav på att begränsa tillgången till personuppgifter genom exempelvis behörighetstilldelning och att logga behandlingar för att kunna kontrollera åtkomsten till personuppgifterna. Den enda nyheten är att tillsynsmyndigheten kan vidta åtgärder mot både Säkerhetspolisen och personuppgiftsbiträden om de brister i sina skyldigheter. Eftersom Säkerhetspolisen är ansvarig för den behandling som personuppgiftsbiträdet utför torde det sällan bli aktuellt att utnyttja den möjligheten. 14.1Tydligare reglering av enskildas rättigheter I 23 och 25–27 §§ personuppgiftslagen (1998:204), som genom hänvisningar i 2 kap. 2 § första stycket 5 och 6 kap. 4 § 1 polisdatalagen (2010:361) ska tillämpas av Säkerhetspolisen, regleras vilken information som ska lämnas till den registrerade och när informationsskyldigheten inte gäller. I 23 § personuppgiftslagen regleras vad som gäller om uppgifterna har lämnats av den registrerade själv. För Säkerhetspolisen görs undantag från informationsskyldigheten i 23 § dels vid insamling av personuppgifter genom bilder eller ljud, dels om uppgifterna samlas in i samband med larm och det med hänsyn till omständigheterna inte finns tid att lämna informationen (2 kap. 2 § tredje stycket och 6 kap. 4 § 1 polisdatalagen). I 25 § första stycket personuppgiftlagen regleras vilken information som Säkerhetspolisen ska lämna självmant. Uppgift om myndighetens identitet ska alltid lämnas och uppgift om ändamålen med behandlingen. All annan information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen ska också lämnas, t.ex. information om mottagarna av uppgifterna, skyldigheten att lämna uppgifter och rätten att ansöka om information och att få rättelse. Enligt 25 § andra stycket behöver information inte lämnas om sådant som den registrerade redan känner till. Enligt 26 § personuppgiftslagen är Säkerhetspolisen skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande behandlas eller inte. Om sådana uppgifter behandlas ska också skriftlig information lämnas om vilka uppgifter om den sökande som behandlas, varifrån dessa uppgifter har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Av 27 § framgår att undantag från informationsskyldigheten gäller vid sekretess och tystnadsplikt. I 28 § personuppgiftslagen, som genom hänvisningar i 2 kap. 2 § första stycket 6 och 6 kap. 4 § 1 polisdatalagen gäller för Säkerhetspolisen, regleras Säkerhetspolisens skyldighet att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats på det sätt som föreskrivs i lagen eller föreskrifter som har utfärdats med stöd av den. Merparten av bestämmelserna om enskildas rättigheter bör tillämpas av Säkerhetspolisen En del i personuppgiftsskyddet är enskildas rätt att få veta hur deras Information om den personuppgiftsbehandling som pågår är en förutsättning för att enskilda ska kunna kontrollera om behandlingen är författningsenlig och i övrigt kunna bevaka sina intressen. Dataskyddsdirektivet medför att rättigheterna för enskilda tydliggörs. Artiklarna om enskildas rättigheter har genomförts i 4 kap. brottsdatalagen 2018/19:163 (2018:1177). Regeringen instämmer i utredningens bedömning att det i princip bör ställas samma krav på Säkerhetspolisen som på andra myndigheter när det gäller enskildas rättigheter. På så sätt blir det lättare för den enskilde att ta tillvara sina rättigheter. Regleringen i brottsdatalagen skiljer sig inte heller i någon större utsträckning från vad som tidigare gällt enligt personuppgiftslagen. Enligt regeringens bedömning kan merparten av bestämmelserna i 4 kap. brottsdatalagen också tillämpas av Säkerhetspolisen. Mot den bakgrunden bör därför huvuddelen av bestämmelserna i brottsdatalagen som reglerar enskildas rättigheter ha sin motsvarighet i den nya lagen. Allmän information som ska göras tillgänglig Regeringens förslag: Säkerhetspolisen ska göra viss allmän information tillgänglig för den registrerade. Bland annat ska kategorier av ändamål för behandlingen göras tillgänglig. Utredningens förslag överensstämmer i huvudsak med regeringens. Enligt utredningens förslag ska bl.a. ändamålen med behandlingen göras Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag: I 4 kap. 1 § brottsdatalagen anges vilken information den personuppgiftsansvarige på eget initiativ ska göra tillgänglig för den registrerade. Det är information om den person- uppgiftsansvariges identitet och kontaktuppgifter, dataskyddsombudets kontaktuppgifter och kategorier av ändamål för behandlingen. information om rätten att begära tillgång till personuppgifter och att begära rättelse, radering och begränsning av behandlingen och möjligheten att lämna in klagomål till en tillsynsmyndighet och dess kontaktuppgifter, ska I kravet på att information ska vara tillgänglig ligger att de registrerade i princip ska ha möjlighet att ta del av informationen när Informationen kan t.ex. publiceras på myndighetens webbplats eller finnas i en broschyr, folder eller annan informationsskrift. Att kategorier av ändamål ska göras tillgänglig innebär att det är fråga om upplysningar av generell karaktär som gäller den behöriga myndighetens personuppgiftsbehandling i allmänhet. Det innebär att det inte är fråga om ändamålen för behandling i varje enskilt fall som avses utan för vilka kategorier av ändamål personuppgifter får behandlas t.ex. Det är tillräckligt att enskilda genom uppräkningen får en god bild av den personuppgiftsbehandling som den behöriga myndigheten utför (Brottsdatalagen, prop. 2017/18:232, s. 232). I Säkerhetspolisen nya lag bör det finnas en bestämmelse som reglerar myndighetens skyldighet att självmant göra allmän information om myndighetens personuppgiftbehandling tillgänglig. huvudsak utformas på samma sätt som i brottsdatalagen. föreskrivs dock att behöriga myndigheter också ska informera om möjligheten att lämna in klagomål till tillsynsmyndigheten och kontaktuppgifter till den. Det beror på att direktivet kräver det och innehåller en särskild reglering för handläggning av klagomål. 2018/19:163 Utredningen föreslår ingen motsvarande reglering för Säkerhetspolisen. Ingen remissinstans har heller ansett att det behövs. Säkerhetspolisens informationsskyldighet bör därför inte omfatta sådana uppgifter. Vilka krav som ska ställas på utformningen av informationen till enskilda kan regleras i förordning. 14.2.2Information som ska lämnas på begäran Regeringens förslag: Säkerhetspolisen ska till den som begär det utan onödigt dröjsmål lämna skriftligt besked om huruvida personuppgifter som rör honom eller henne behandlas. Om sådana uppgifter behandlas, ska sökanden få del av uppgifterna och få viss skriftlig information om behandlingen. Sökanden behöver inte få del av personuppgifter som han eller hon redan har tagit del av, om det inte begärs. Det ska dock framgå av informationen att personuppgifterna i fråga behandlas. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag: Enligt 4 kap 3 § första stycket brottsdatalagen ska den personuppgiftsansvarige till den som begär det utan onödigt dröjsmål lämna skriftligt besked om huruvida personuppgifter som rör honom eller henne behandlas. Om den personuppgiftsansvarige behandlar personuppgifter om en sökande ska alltså han eller hon få del av uppgifterna när det efterfrågas. Det rör dock endast uppgifter som behandlas vid tiden för utlämnandet. Utgångspunkten är att sökanden ska få tillgång till all information som den personuppgiftsansvarige själv kan få fram om honom eller henne. Det förutsätter att det finns uppgifter som direkt kan hänföras till den person som begär informationen. Sökanden måste därför lämna sådana uppgifter om sin identitet att det blir möjligt att söka efter informationen. Det kan t.ex. vara fullständigt namn eller person- eller samordningsnummer. Om personuppgifter som rör sökanden behandlas ska sökanden få del av dem samt få skriftlig information om vilka uppgifter som behandlas och varifrån dessa kommer. Information om varifrån personuppgifterna kommer behöver bara avse den information som finns tillgänglig. Vidare ska sökanden informeras om de kategorier av personuppgifter som behandlingen gäller. Kategorier av personuppgifter kan t.ex. vara adressuppgifter eller fordonsuppgifter. Även behandlingens rättsliga grund ska framgå. Den personuppgiftsansvarige ska vidare informera om ändamålen med behandlingen. Det som avses är ändamålen med behandlingen i det enskilda fallet. Information om mottagare eller kategorier av mottagare av personuppgifterna ska också lämnas. Med mottagare avses i brottsdatalagen den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision (avsnitt 7.7). Den personuppgiftsansvarige behöver således inte informera sökanden om att uppgifter har lämnats ut till myndigheter för tillsyn, t.ex. till Justitiekanslern eller Säkerhets- och integritets- 2018/19:163 skyddsnämnden. Eftersom en myndighet enligt 2 kap. 14 § tryckfrihetsförordningen varken får efterfråga eller dokumentera vilka som tar del av allmänna handlingar med personuppgifter behöver inte heller uppgifter om sådana mottagare lämnas ut (Myndighetsdatalagen, SOU 2015:39, s. 500). Exempel på kategorier av mottagare kan vara åklagare eller domstol. Om mottagaren finns i ett tredjeland eller är en internationell organisation ska det anges. Vidare ska det framgå hur länge personuppgifterna får behandlas. Om det inte är möjligt att ange hur länge de får behandlas i det enskilda fallet ska i stället kriterierna för att fastställa det anges. Det kan exempelvis vara den föreskrivna tidpunkten i en myndighets registerlagstiftning när de personuppgifter som saken gäller inte längre får behandlas.