sou · H7B38 · 2019-02-27 00:00:00 — Med behandling avses en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, såsom t.ex. insamling, registrering, organisering, strukturering, lagring, bearbetning eller förstöring (artikel 4.2). Förordningen ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg. Även viss personuppgiftsbehandling omfattas av tillämpningsområdet (artikel 2.1). Grundläggande principer för personuppgiftsbehandling Dataskyddsförordningen innehåller en mängd regler och krav för hur personuppgifter får behandlas. Dessa regler och krav kan något förenklat sägas bottna i några få grundläggande principer som gäller vid behandling av personuppgifter. Principerna kommer till uttryck i artikel 5 i förordningen. Uppgifterna ska inledningsvis behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet). Att uppgifterna ska behandlas lagligt innebär först och främst att det ska finnas en rättslig grund för behandlingen i dataskyddsförordningen, se nedan. måste övriga principer och bestämmelser i dataskyddsförordningen och kompletterande lagstiftning följas. Att uppgifterna ska behandlas korrekt innebär sannolikt att behandlingen av personuppgifter ska vara skälig, rimlig och proportionerlig i förhållande till de registrerade. Vi återkommer till detta i avsnitt 7.4.5. Att personuppgifter ska behandlas på ett öppet sätt i förhållande till de registrerade innebär att det ska vara klart och tydligt för de registrerade hur personuppgifterna behandlas. De registrerade ska också veta vad de har för rättigheter (se artikel 29-gruppens Riktlinjer om öppenhet enligt förordning [EU] 2016/679, WP 260 rev. Se mer om registrerades rättigheter nedan. Vidare uppställs krav på att personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och uppgifterna får inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (ändamålsbegränsning). Principen om ändamålsbegränsning innebär sannolikt att den personuppgiftsansvarige redan innan uppgifterna samlas in måste veta varför personuppgifterna ska behandlas. Ändamålen sätter vidare ramarna för vad den personuppgiftsansvarige får och inte får göra med uppgifterna, till exempel vilka uppgifter som får behandlas och hur länge de får sparas. Ändamålen måste vara konkreta och specifika. Att ändamålet måste vara berättigat innebär sannolikt att personuppgiftsbehandlingen dels ska ha en rättslig grund i dataskyddsförordningen, dels ska ske i enlighet med övrig tillämplig lagstiftning och allmänna rättsprinciper. Som framgått får inte uppgifterna senare behandlas på ett sätt som är oförenligt med ändamålen. Av artikel 6.4 framgår att den personuppgiftsansvarige som huvudregel ska beakta bl.a. vissa där angivna omständigheter för att fastställa om behandling för nya ändamål är förenlig med det ursprungliga insamlingsändamålet. Som exempel kan nämnas kopplingarna mellan det ursprungliga och det nya ändamålet, det sammanhang inom vilket personuppgifterna har samlats in (med särskilt beaktande av förhållandet mellan de registrerade och den personuppgiftsansvarige), eventuella konsekvenser för registrerade och förekomsten av lämpliga skyddsåtgärder. Uppgifterna ska vidare vara riktiga och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (riktighet). sonuppgifter får vidare inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas (lagringsminimering). Uppgifterna ska även behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (integritet och konfidentialitet). Ovanstående principer kommer till uttryck i artikel 5.1. Av artikel 5.2 framgår att den personuppgiftsansvarige ansvarar för och ska kunna visa att punkt 1 efterlevs (ansvarsskyldighet). Laglig behandling av personuppgifter Enligt dataskyddsförordningen måste all behandling av personuppgifter vila på en rättslig grund. För att personuppgiftsbehandling ska vara tillåten krävs enligt artikel 6.1 att åtminstone ett av villkoren i artikeln är uppfyllt. I sammanhanget är det led e som är av intresse, eftersom tillståndskravet i kamerabevakningslagen gäller endast för personuppgiftsbehandling som utförs med stöd av den grunden (jfr artikel 36.5 i förordningen). I led e anges att behandlingen ska vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Uttrycket nödvändig har inte samma betydelse som i dagligt tal. En behandling kan t.ex. anses nödvändig om den leder till effektivitetsvinster (prop. 2017/18:105 s. 46 och 47). Av artikel 6.3 i dataskyddsförordningen följer vidare ett krav på att uppgiften av allmänt intresse eller den myndighetsutövning som grundar en rätt att behandla personuppgifter ska fastställas i enlighet med unionsrätten eller den nationella rätten. I dataskyddslagen finns en bestämmelse som förtydligar att detta krav för svensk del innebär att uppgiften av allmänt intresse ska följa av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning (2 kap. 2 §). Det framgår vidare att myndighetsutövning som grundar rätt att behandla personuppgifter ska ske enligt lag eller annan författning. Allmänna skyldigheter och säkerhet för personuppgifter I avsnitt IV i förordningen finns bestämmelser om allmänna skyldigheter för den personuppgiftsansvarige. Enligt artikel 24.1 ska den personuppgiftsansvarige genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med förordningen. Av bestämmelsen framgår att behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter ska beaktas samt att åtgärderna ska ses över och uppdateras vid behov. I artikel 25 finns krav på att den personuppgiftsansvarige, både vid fastställande av vilka medel behandlingen utförs med och vid själva behandlingen, ska genomföra lämpliga tekniska och organisatoriska åtgärder, såsom pseudonymisering, så att kraven i förordningen uppfylls och de registrerades rättigheter skyddas. Lämpliga tekniska och organisatoriska åtgärder ska också vidtas för att, i standardfallet, säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas. Skyldigheten gäller mängden insamlade personuppgifter, behandlingens omfattning, tiden för deras lagring och deras tillgänglighet. Framför allt ska dessa åtgärder säkerställa att personuppgifter i standardfallet inte utan den enskildes medverkan görs tillgängliga för ett obegränsat antal fysiska personer (artikel 25.2). Det finns alltså ett uttryckligt krav på behörighetsbegränsningar. Enligt artikel 30 ska den personuppgiftsansvarige föra ett register över den behandling som utförs under dess ansvar. Registret ska innehålla en mängd uppgifter, bl.a. namn och kontaktuppgifter för den personuppgiftsansvarige, ändamålen med behandlingen, en beskrivning av kategorierna av registrerade och av kategorierna av personuppgifter, om möjligt tidsfristerna för radering och en allmän beskrivning av de tekniska och organisatoriska säkerhetsåtgärder som avses i artikel 32.1. I artikel 32 finns bestämmelser om säkerhet i samband med behandlingen. Den personuppgiftsansvarige ska, enligt artikel 32.1, med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter, vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. När det är lämpligt inbegriper detta bl.a. pseudonymisering och kryptering av personuppgifter, förmågan att fortlöpande säkerställa konfidentialitet, tillgänglighet och motståndskraft hos behandlingsystemen och tjänsterna samt ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet. Om en personuppgiftsincident inträffar är den personuppgiftsansvarige enligt huvudregeln skyldig att utan dröjsmål anmäla detta till tillsynsmyndigheten (artikel 33). Om personuppgiftsincidenten sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige utan onödigt dröjsmål även informera de registrerade om personuppgiftsincidenten (artikel 34). För den interna kontrollen kan det också vara intressant att det finns ett krav på att den personuppgiftsansvarige ska dokumentera alla personuppgiftsincidenter, dess omständigheter, effekter och vidtagna korrigerande åtgärder (artikel 33.5). Detta oavsett om det finns en skyldighet att anmäla eller informera. Konsekvensbedömning avseende dataskydd och förhandssamråd I fråga om särskilt riskfyllda behandlingar ställer dataskyddsförordningen upp krav på konsekvensbedömningar och ibland förhandssamråd. Bestämmelser om konsekvensbedömningar finns i artikel 35. Av punkten 1 framgår att om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige före behandlingen utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter. En enda bedömning kan omfatta en serie liknande behandlingar som medför liknande höga risker. Enligt punkten 3 ska en konsekvensbedömning särskilt krävas bl.a. vid systematisk övervakning av en allmän plats i stor omfattning (led c). I skäl 91 till förordningen nämns i detta sammanhang särskilt optisk-elektroniska anordningar. En konsekvensbedömning ska enligt punkten 8 innehålla åtminstone a)en systematisk beskrivning av den planerade behandlingen och behandlingens syften, inbegripet, när det är lämpligt, den personuppgiftsansvariges berättigade intresse, b)en bedömning av behovet av och proportionaliteten hos behandlingen i förhållande till syftena, c)en bedömning av de risker för de registrerades rättigheter och friheter som avses i punkt 1, och d)de åtgärder som planeras för att hantera riskerna, inbegripet skyddsåtgärder, säkerhetsåtgärder och rutiner för att säkerställa skyddet av personuppgifterna och för att visa att förordningen efterlevs, med hänsyn till de registrerades och andra berörda personers rättigheter och berättigade intressen. Av punkten 11 framgår att den personuppgiftsansvarige vid behov ska genomföra en översyn för att bedöma om behandlingen genomförs i enlighet med konsekvensbedömningen avseende dataskydd åtminstone när den risk som behandlingen medför förändras. Artikel 29-gruppen har utarbetat riktlinjer för konsekvensbedömningar (Riktlinjer om konsekvensbedömning avseende dataskydd och fastställande av huruvida behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning 2016/679, fortsättningsvis förkortad WP 248 rev. I dessa riktlinjer uttalar artikel 29-gruppen bl.a. att en enda konsekvensbedömning kan användas för att bedöma flera behandlingar som liknar varandra vad gäller art, omfattning, innehåll, ändamål och risker. Vidare uttalas att syftet med konsekvensbedömningarna är att systematiskt studera nya situationer som kan medföra hög risk för fysiska personers rättigheter och friheter och det föreligger inte något behov av att utföra en konsekvensbedömning i situationer (dvs. behandlingar som utförs i ett särskilt sammanhang och av en särskild anledning) som redan har studerats. Detta kan vara fallet när liknande teknik används för att samla in samma slags uppgifter för samma ändamål. Som exempel anges att en grupp kommunala myndigheter som var och en inför ett liknande övervakningssystem kan utföra en enda konsekvensbedömning som omfattar behandlingen. Ett annat exempel som anges är att en järnvägsoperatör kan täcka videoövervakning i samtliga tågstationer med en konsekvensbedömning (s. 8). Den personuppgiftsansvarige ska, enligt artikel 36.1, samråda med tillsynsmyndigheten före en behandling om en konsekvensbedömning avseende dataskydd visar att behandlingen skulle leda till en hög risk om inte den personuppgiftsansvarige vidtar åtgärder för att I skäl 94 till förordningen anges att förhandssamråd ska hållas om det av en konsekvensbedömning framgår att behandlingen utan skyddsåtgärder, säkerhetsåtgärder och mekanismer för att minska risken kommer att innebära en hög risk för fysiska personers rättigheter och friheter, och den personuppgiftsansvarige anser att risken inte kan begränsas genom åtgärder som är rimliga med avseende på tillgänglig teknik och genomförandekostnader. Artikel 29-gruppen förtydligar i sina riktlinjer att förhandssamråd krävs när den personuppgiftsansvarige inte kan vidta tillräckliga åtgärder för att minska risken till en godtagbar nivå, dvs. den kvarstående risken är fortfarande hög (WP 248 rev. 01 s. 21). Vid samråd med tillsynsmyndigheten ska den personuppgiftsansvarige till tillsynsmyndigheten lämna bl.a. de respektive ansvarsområdena för de personuppgiftsansvariga, ändamålen med och medlen för den avsedda behandlingen, de åtgärder som vidtas och de garantier som lämnas för att skydda de registrerades rättigheter och friheter enligt förordningen, konsekvensbedömningen avseende dataskydd och all annan information som begärs av tillsynsmyndigheten (artikel 36.3). Av artikel 36.2 framgår att om tillsynsmyndigheten inom ramen för ett förhandssamråd anser att den planerade behandlingen skulle strida mot förordningen, ska tillsynsmyndigheten inom ge den personuppgiftsansvarige och i tillämpliga fall personuppgiftsbiträdet skriftliga råd. får även utnyttja alla de befogenheter som den har enligt artikel 58 (se nedan). Av artikel 36.5 framgår vidare att det i medlemsstaternas nationella rätt får krävas att personuppgiftsansvariga ska samråda med, och erhålla förhandstillstånd av, tillsynsmyndigheten när det gäller en personuppgiftsansvarigs behandling för utförandet av en uppgift av allmänt intresse. I artikel 37 ställs det upp krav på att den personuppgiftsansvarige under alla omständigheter ska utnämna ett dataskyddsombud om behandlingen genomförs av en myndighet eller ett offentligt organ. Detsamma gäller om den personuppgiftsansvariges kärnverksamhet består av behandling, som på grund av sin karaktär, sin omfattning och/eller sina ändamål, kräver regelbunden och systematisk övervakning av de registrerade i stor omfattning. En offentlig myndighet eller ett offentligt organ definieras inte i dataskyddsförordningen. Av artikel 29-gruppens Riktlinjer om dataskyddsombud, 243 rev. 01 framgår följande (s. 8) […]Det är inte bara offentliga myndigheter eller offentliga organ som kan bedriva offentlig verksamhet och myndighetsutövning, utan även andra offentligrättsliga eller privaträttsliga fysiska eller juridiska personer inom olika sektorer enligt varje medlemsstats nationella lagstiftning, såsom kollektivtrafik, vatten- och energiförsörjning, väginfrastruktur, radio och tv i allmänhetens tjänst, allmännyttiga bostäder eller disciplinorgan för reglerade yrken. I sådana fall kan de registrerade befinna sig i en mycket liknande situation när deras personuppgifter behandlas av en offentlig myndighet eller ett offentligt organ. Personuppgifter kan behandlas för liknande ändamål och enskilda personer har ofta mycket små eller inga möjligheter att välja om och i så fall hur deras personuppgifter ska behandlas, och behandlingen kan därför kräva det ytterligare skydd som utnämnandet av ett dataskyddsombud kan ge. Även om det inte föreligger någon skyldighet i sådana fall rekommenderar artikel 29-arbetsgruppen, som god praxis, att privata organisationer som bedriver offentlig verksamhet och myndighetsutövning utnämner ett dataskyddsombud […]. Dataskyddsombudet ska utses på grundval av yrkesmässiga kvalifikationer och, i synnerhet, sakkunskap om lagstiftning och praxis avseende dataskydd samt förmågan att utföra de uppgifter som åligger ett dataskyddsombud enligt artikel 39 (artikel 37.5). Dataskyddsombudet ska medverka i alla frågor som rör skyddet av personuppgifter (artikel 38.1). I dataskyddsombudets uppgifter ingår att informera och ge råd till den personuppgiftsansvarige och de anställda som behandlar uppgifter om deras skyldigheter enligt förordningen (artikel 39.1 a). I dataskyddsombudets uppgifter ingår även att övervaka efterlevnaden av förordningen och av den personuppgiftsansvariges strategi för skydd av personuppgifter, inbegripet ansvarstilldelning, information till och utbildning av personal som deltar i behandling och tillhörande granskning (artikel 39.1 b). Dataskyddsombudet ska även samarbeta med tillsynsmyndigheten (artikel 39.1 d). Medlemsstaterna och tillsynsmyndigheterna ska uppmuntra utarbetandet av uppförandekoder avsedda att bidra till att förordningen genomförs korrekt, med hänsyn till särdragen hos de olika sektorer där behandling sker, och de särskilda behoven hos mikroföretag, små och medelstora företag (artikel 40.1). Sammanslutningar och andra som företräder kategorier av personuppgiftsansvariga får utarbeta uppförandekoder i syfte att specificera tillämpningen av förordningen t.ex. när det gäller rättvis och öppen behandling, information till allmänheten och de registrerade och utövande av registrerades rättigheter (artikel 40.2). Utkastet till uppförandekod ska inges till tillsynsmyndigheten. ska yttra sig om huruvida utkastet till uppförandekod överensstämmer med förordningen och ska godkänna utkastet om den finner att tillräckliga garantier tillhandahålls (artikel 40.5). Avsnitt III i dataskyddsförordningen behandlar den registrerades rättigheter. Något förenklat kan bestämmelserna om enskildas rättigheter sägas innebära en rätt att veta vem som behandlar vilka uppgifter, och varför. Informationen ska vara klar och tydlig liksom villkoren för utövandet av den registrerades rättigheter. I artikel 13 respektive 14 finns bestämmelser om information som ska tillhandahållas om personuppgifter samlas in från den registrerade respektive om personuppgifterna inte har erhållits från den registrerade. Ut- över kontaktuppgifter till den personuppgiftsansvarige och dataskyddsombudet rör det sig bl.a. om information om rättslig grund för och ändamålen med behandlingen, den period under vilken uppgifterna kommer att lagras (om möjligt), rätten att begära information, rättelse eller radering samt möjligheten att lämna in klagomål till tillsynsmyndigheten. Den registrerade har rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne behandlas (artikel 15). I artiklarna 16 och 17 finns bestämmelser som innebär att den registrerade, under vissa närmare angivna förutsättningar, har rätt att begära rättelse eller radering av uppgifter. Tillsyn, sanktionsavgifter och skadestånd Datainspektionen är huvudsaklig tillsynsmyndighet enligt den generella dataskyddsregleringen (se 2 a § förordningen [2007:975] med instruktion för Datainspektionen). ska, enligt artikel 57.1 i dataskyddsförordningen, bl.a. övervaka och verkställa tillämpningen av förordningen samt behandla klagomål från registrerade. Myndigheten har en rad undersökande, förebyggande och korrigerande befogenheter. Dessa framgår av artikel 58. utredningsbefogenheter innebär bl.a. en rätt att från den personuppgiftsansvarige och personuppgiftsbiträdet få tillgång till alla personuppgifter och all information som tillsynsmyndigheten behöver för att kunna fullgöra sina uppgifter. har också rätt att få tillträde till alla lokaler som tillhör den personuppgiftsansvarige och personuppgiftsbiträdet, inbegripet tillgång till all utrustning och alla andra medel för behandling av personuppgifter i överensstämmelse med unionens processrätt eller medlemsstaternas nationella processrätt. Gällande korrigerande befogenheter kan tillsynsmyndigheten bl.a. utfärda varningar, reprimander och förelägga en personuppgiftsansvarig eller ett personuppgiftsbiträde att se till att behandlingen sker i enlighet med bestämmelserna i förordningen. kan även införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, behandling. kan även påföra administrativa sanktionsavgifter i enlighet med artikel 83. Av punkten 4 framgår att en sanktionsavgift får påföras den personuppgiftsansvarige vid överträdelse av bl.a. skyldigheterna att tillämpa inbyggt dataskydd eller dataskydd som standard, föra förteckning över behandling, vidta lämpliga tekniska och organisatoriska åtgärder samt genomföra konsekvensbedömningar och förhandssamråd. Sanktionsavgifter får, enligt punkten 5, även tas ut av en personuppgiftsansvarig vid överträdelser av förordningens grundläggande principer för behandling, exempelvis laglighet, korrekthet, ändamålsbegränsning, uppgifts- och lagringsminimering. Detsamma gäller för bestämmelserna om rättslig grund och de registrerades rättigheter (exempelvis registerutdrag, radering och rätt till information). För överträdelser enligt punkten 4 får en sanktionsavgift på eller, om det gäller ett företag, på av den totala globala årsomsättningen under föregående budgetår, påföras, beroende på vilket värde som är högst. Vid överträdelser av de bestämmelser som anges i punkten 5 får det påföras administrativa sanktionsavgifter på eller, om det gäller ett företag, på av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst. Av 6 kap. 2 § dataskyddslagen framgår att dataskyddsförordningens bestämmelser om sanktionsavgifter gäller även för myndigheter. Sanktionsavgiften för myndigheter ska enligt samma bestämmelse bestämmas till högst vid överträdelser som avses i artikel 83.4 och till högst vid överträdelser som avses i artikel 83.5. Slutligen finns en bestämmelse om skadestånd i förordningen. Enligt artikel 82 ska varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av förordningen ha rätt till ersättning från den personuppgiftsansvarige för den uppkomna skadan. Särskilda regler för användning av bevakningskameror har funnits i svensk rätt , då lagen (1977:20) om TV-övervakning infördes. Regelverket har därefter setts över ett antal gånger och bl.a. anpassats till för dataskydd. Kameraövervakningslagen (2013:460) trädde i kraft . reglerades kameraövervakning i två lagar; lagen (1998:150) om allmän kameraövervakning och personuppgiftslagen. Syftet med den nya lagen var att modernisera regleringen av kameraövervakning på ett sätt som skulle säkerställa balansen mellan intresset av att använda kameraövervakning för berättigade ändamål och intresset av att skydda den enskildes integritet. Regeringen beslutade att ge en särskild utredare i uppdrag att utreda vissa frågor om kameraövervakning (dir. 2015:125). Utredningens arbete låg till grund för en ny kamerabevakningslag (2018:1200). Lagen trädde i kraft och ersatte den tidigare kameraövervakningslagen. Genom den nya lagen har möjligheterna att använda kamerabevakning förbättrats som integritetsskyddet har förstärkts. För de frågor som behandlas i det här betänkandet kan nämnas att den nya kamerabevakningslagen innebär förbättrade möjligheter att få tillstånd vid kamerabevakning av allmänna transportmedel och stationer för brottsbekämpande och trygghetsskapande syften (prop. 2017/18:231 s. 61 f. och 81).