prop · H803224 · 2021-09-13 00:00:00 — Bedömningen är bl.a. beroende av vilka person- uppgifter som behandlas och hur integritetskänsliga de är. Paragrafen gäller enligt 10 § även för personuppgiftsbiträden som anlitar. 4 § ska inom myndigheten utse ett eller flera dataskydds- ombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas. Paragrafen reglerar skyldighet att utse dataskyddsombud. Övervägandena finns i avsnitt 11.4. Enligt paragrafen ska ett eller flera dataskyddsombud utses. Dataskydds- ombudet ska vara anställt hos . ska anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas. 5 § Ett dataskyddsombud ska 1.självständigt kontrollera att behandlar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter, 2020/21:224 2. informera och ge råd till och till dem som behandlar personuppgifter under myndighetens ledning om deras skyldigheter vid behandling av personuppgifter, 3.vara kontaktpunkt för enskilda i frågor som rör Försvarets radioanstalts behandling av personuppgifter, och 4.vid behov söka vägledning av tillsynsmyndigheten. I paragrafen anges vilka uppgifter ett dataskyddsombud ska utföra. Övervägandena finns i avsnitt 11.4. Enligt punkten 1 ska ett dataskyddsombud självständigt kontrollera att den personuppgiftsansvarige behandlar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter. Det innebär att ombudet måste förvissa sig om att den personuppgiftsansvarige följer de bestämmelser som reglerar behandlingen av personuppgifter. Hur omfattande kontrollen bör vara får avgöras efter omständigheterna. Dataskyddsombudet bör framför allt granska den praktiska hanteringen av personuppgifter. Därutöver bör ombudet exempelvis granska rutinerna för behandling av personuppgifter, hur tillgången till personuppgifter hanteras och vilka krav på utbildning och andra kvalifikationer som den personuppgiftsansvarige ställer på personal som behandlar person- uppgifter. Ombudet bör påpeka eventuella brister för den personuppgifts- ansvarige så att denne blir medveten om dem och har möjlighet att vidta lämpliga åtgärder. Kravet på självständighet innebär att ett dataskyddsombud ska kunna utföra sina arbetsuppgifter på ett oberoende sätt. Ombudet bör framför allt ha sådan ställning i organisationen att dess synpunkter och råd tas på allvar. Ombudet förutsätts också ha goda kunskaper om regelverket om personuppgiftsbehandling. I punkten 2 anges att ett dataskyddsombud ska informera och ge råd till och till dem som behandlar personuppgifter under myndighetens ledning om deras skyldigheter vid sådan behandling. Det handlar främst om att göra den och medarbetarna medvetna om vad de i olika situationer är skyldiga att göra, t.ex. att ha säkerhetsrutiner och att dokumentera personuppgiftsbehandlingen. Det innebär inte att dataskyddsombudet ska tala om för och medarbetarna hur de ska behandla personuppgifter i enskilda fall. Ett dataskyddsombud ska vara kontaktpunkt för enskilda i frågor som rör behandling av personuppgifter, vilket anges i punkten 3. Enligt punkten 4 ska ett dataskyddsombud vid behov söka vägledning av tillsynsmyndigheten. Det innebär att ombudet vid tveksamheter av olika slag bör fråga tillsynsmyndigheten om råd. Ett dataskyddsombud behöver inte uteslutande utföra enbart de arbetsuppgifter som anges i paragrafen. Arbetet som dataskyddsombud kan kombineras med andra arbetsuppgifter, så länge de inte kommer i konflikt med uppdraget som dataskyddsombud. 6 § får, om det är lämpligt, anlita personuppgiftsbiträden för behandling av personuppgifter på Försvarets radioanstalts vägnar. personuppgiftsbiträde anlitas, ska försäkra sig om att biträdet kommer att vidta de lämpliga tekniska och organisatoriska åtgärder som krävs för att behandlingen av personuppgifter ska vara författningsenlig och för att Prop. 2020/21:224 skydda registrerades rättigheter. Paragrafen reglerar anlitande av personuppgiftsbiträden. Övervägandena finns i avsnitt 11.5.2. får anlita personuppgiftsbiträden under förutsättning att det är lämpligt. Om det är lämpligt får avgöras med hänsyn bl.a. till vilka personuppgifter som ska behandlas. paragrafen ska försäkra sig om att biträdet vidtar lämpliga tekniska och organisatoriska åtgärder för att personuppgifts- behandlingen ska vara författningsenlig och för att skydda registrerades Kraven omfattar inte bara säkerhetsåtgärder, utan även andra tekniska och organisatoriska åtgärder. Skyldigheten innebär att den personuppgiftsansvarige, innan ett personuppgiftsbiträde anlitas, bl.a. bör förhöra sig om hur biträdet kommer att behandla uppgifterna tekniskt, hur arbetet är organiserat och vilket skydd personuppgifterna kommer att ha. 7 § Personuppgiftsbiträdets behandling av personuppgifter ska regleras i ett skriftligt avtal eller annan skriftlig överenskommelse. Paragrafen reglerar förhållandet mellan och Övervägandena finns i avsnitt 11.5.2. Av paragrafen följer att det ska finnas ett skriftligt avtal eller en annan skriftlig överenskommelse med personuppgiftsbiträden som reglerar personuppgiftsbiträdets behandling av personuppgifter för Försvarets Eftersom statliga myndigheter ingår i samma juridiska person – staten, i rättslig mening inte kan ingå bindande avtal med varandra får de ingå en skriftlig överenskommelse som reglerar behandlingen om en myndighet agerar personuppgiftsbiträde åt en annan. 8 § Ett personuppgiftsbiträde får inte anlita ett annat personuppgiftsbiträde utan skriftligt tillstånd av . Paragrafen reglerar möjligheten för ett personuppgiftsbiträde att anlita ett Övervägandena finns i avsnitt 11.5.2. Enligt paragrafen får ett personuppgiftsbiträde inte anlita ett annat personuppgiftsbiträde, ett s.k. underbiträde, utan skriftligt tillstånd från Ett sådant tillstånd kan gälla personuppgifts- biträdets rätt att anlita underbiträden generellt eller i en specifik situation. Syftet med paragrafen är att ska känna till vilka personuppgiftsbiträden som behandlar personuppgifter för myndighetens 9 § Ett personuppgiftsbiträde eller den eller de personer som arbetar under biträdets eller ledning ska behandla personuppgifter i enlighet med instruktioner från . Om ett personuppgiftsbiträde, i strid med Försvarets radioanstalts instruktioner, bestämmer ändamålen med och medlen för behandlingen, ska biträdet anses vara personuppgiftsansvarig enligt denna lag för den behandlingen. Paragrafen reglerar behandling av personuppgifter hos ett personuppgifts- Övervägandena finns i avsnitt 11.5.3. 2020/21:224 Av första stycket framgår den grundläggande principen att ett person- uppgiftsbiträde och den eller de personer som arbetar under biträdets ledning bara får behandla personuppgifter i enlighet med instruktioner från den personuppgiftsansvarige. Instruktionerna till biträdet bör vara så tydliga att det inte finns risk för otillåten behandling. Instruktionerna kan exempelvis gälla hur tillgången till personuppgifter hos biträdets anställda ska begränsas, om biträdet ska använda kryptering vid kommunikation och andra åtgärder som krävs för att skydda personuppgifterna. Om det finns avvikande bestämmelser i annan lagstiftning som anger att person- uppgiftsbiträdet är skyldigt att utföra viss behandling, t.ex. att lämna ut allmänna handlingar, får behandlingen utföras utan särskilda instruktioner. I andra stycket regleras det fallet där personuppgiftsbiträdet i strid med den personuppgiftsansvariges instruktioner bestämmer ändamålen med och medlen för behandlingen. Personuppgiftsbiträdet är då att anse som personuppgiftsansvarig för den behandlingen. 10 § Försvarets radioanstalts skyldigheter enligt 2 och 3 §§ gäller även för personuppgiftsbiträden som anlitar. Paragrafen kopplar Försvarets radioanstalts skyldigheter i egenskap av personuppgiftsansvarig till att gälla även för personuppgiftsbiträden. Övervägandena finns i avsnitt 11.5.4. Att personuppgiftsbiträden åläggs vissa skyldigheter fråntar inte dess ansvar som personuppgiftsansvarig. Den omständigheten att personuppgiftsbiträden ges en direkt skyldighet att vidta vissa åtgärder innebär dock att tillsynsmyndigheten vid brister kan vidta åtgärder mot både personuppgiftsbiträdet och . Vad som närmare gäller för ett personuppgiftsbiträde framgår av författningskommentaren till 2 och 3 §§. 5 kap. Enskildas rättigheter 1 § ska göra följande information allmänt tillgänglig: 1.myndighetens identitet och kontaktuppgifter, 2.uppgifter om dataskyddsombudet, 3.kategorier av ändamålen med behandlingen av personuppgifter, 4.rätten enligt 2 § att begära att få information om behandlingen av person- uppgifter och att få del av dem, och 5.rätten att begära rättelse, radering eller begränsning av behandlingen enligt Paragrafen reglerar krav på att göra viss information allmänt tillgänglig. Övervägandena finns i avsnitt 12.1.1. Informationen, som riktar sig till allmänheten, kan göras tillgänglig t.ex. på myndighetens webbplats. Enligt punkten 1 ska myndighetens identitet och kontaktuppgifter göras Med det avses uppgifter om myndighetens namn, postadress, telefonnummer och e-postadress. är enligt 4 kap. 4 § skyldig att utse ett eller flera Prop. 2020/21:224 dataskyddsombud. Enligt punkten 2 ska uppgifter om dataskyddsombudet anges. Det behöver inte vara en kontaktuppgift direkt till dataskyddsombudet, t.ex. hans eller hennes e-postadress, utan det är tillräckligt att ombudet går att nå med hjälp av uppgifterna. Kategorier av ändamål för behandlingen av personuppgifter ska framgå, vilket anges i punkten 3. Det är inte ändamålen med behandlingen av personuppgifter i enskilda fall som avses utan för vilka kategorier av ändamål som myndigheten behandlar personuppgifter. Kategorier av ändamål kan t.ex. vara underrättelsearbete, utvecklingsarbete och informationssäkerhetsarbete. Enligt punkterna 4 och 5 ska upplysa om de rättigheter som enskilda har enligt 2 och 5 §§. Det gäller rätten att få information om behandlingen av personuppgifter och att få del av dem, samt rätten att begära rättelse, radering eller begränsning av behandlingen. Information som ska lämnas efter begäran 2 § är skyldig att en gång per kalenderår till den som begär det lämna skriftligt besked om huruvida personuppgifter som rör honom eller henne behandlas. Om sådana uppgifter behandlas ska sökanden få del av dem och få följande skriftliga information: 1.vilka personuppgifter om den sökande som behandlas, 2.varifrån personuppgifterna kommer, 3.ändamålen med behandlingen, 4.mottagare eller kategorier av mottagare av personuppgifterna, även i annat land eller internationella organisationer, 5.hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det, och 6.rätten att begära rättelse, radering eller begränsning av behandlingen enligt Ett utlämnande av personuppgifter enligt första stycket behöver inte omfatta sådana personuppgifter som sökanden har tagit del av, om inte han eller hon begär det. Det ska dock framgå av informationen att personuppgifterna i fråga behandlas. En ansökan om information enligt första stycket ska göras skriftligen hos och vara undertecknad av den sökande själv. Informationen ska lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast efter det att ansökan gjordes. I paragrafen regleras information som ska lämnas efter begäran. Övervägandena finns i avsnitt 12.1.2. I första stycket 1–6 anges vilken skriftlig information sökanden kan få del av. Enligt första stycket 1 ska i den skriftliga informationen anges vilka personuppgifter om den sökande som behandlas. Enligt första stycket 2 ska anges varifrån personuppgifterna kommer. Enligt första stycket 3 ska ändamålen med behandlingen anges. Enligt första stycket 4 ska mottagare eller kategorier av mottagare av personuppgifterna, även i annat land eller internationella organisationer, anges. 2020/21:224 Enligt första stycket 5 ska det anges hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det. Enligt första stycket 6 ska rätten att begära rättelse, radering eller begränsning av behandlingen enligt 5 § anges. Av andra stycket följer att sådana personuppgifter som sökanden har tagit del av som utgångspunkt inte omfattas av skyldigheten att lämna ut uppgifterna. Sökanden ska dock informeras om att personuppgifterna i fråga behandlas. Av tredje stycket framgår kraven på en begäran om information. Begränsning av rätten till information 3 § Informationsskyldigheten enligt 2 § gäller inte i den utsträckning sekretess hindrar att uppgifterna lämnas ut. Om det gäller sekretess är inte skyldig att redovisa skälen för ett beslut enligt första stycket eller ett beslut i fråga om rättelse, radering eller begränsning av behandlingen enligt 5 §. I paragrafen regleras begränsningar av rätten till information. Övervägandena finns i avsnitt 12.2. Många uppgifter som behandlas i Försvarets radioanstalts verksamheter omfattas av utrikessekretess och försvarssekretess enligt 15 kap. 1 och 2 §§ offentlighets- och sekretesslagen (2009:400). Informations- skyldigheten gäller enligt första stycket inte i den utsträckning sekretess hindrar att uppgifterna lämnas ut till den registrerade. Enligt andra stycket är inte heller skyldig att redovisa skälen för ett beslut enligt första stycket eller ett beslut i fråga om rättelse, radering eller begränsning av behandlingen om motiveringen skulle riskera att skada något av de intressen som sekretessen avser att skydda. 4 § Informationsskyldigheten enligt 2 § gäller inte personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör en minnesanteckning eller liknande. Informationsskyldigheten gäller dock om uppgifterna 1.har lämnats ut till tredje part, med undantag för en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision, 2.behandlas enbart för statistiska ändamål eller arkivändamål av allmänt intresse, eller 3.har behandlats i löpande text som inte har fått sin slutliga utformning. I paragrafen regleras vissa undantag från informationsskyldigheten för personuppgifter i viss typ av text. Övervägandena finns i avsnitt 12.2. Den personuppgiftsansvariges skyldighet att lämna personrelaterad information enligt 2 § gäller enligt första stycket inte för personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller text som utgör en minnesanteckning eller liknande. avses information som inte har strukturerats så att sökning av person- Bild- och ljudupptagningar omfattas inte av undantaget eftersom det bara gäller text. Med text som inte fått sin slutliga utformning avses koncept eller utkast till protokoll, skrivelser, beslut eller Löpande text som är avsedd att ändras eller kompletteras Prop. 2020/21:224 och därför aldrig får någon slutlig utformning omfattas inte. sistnämnda kan t.ex. vara diarier, journaler, register eller förteckningar som förs löpande. Med minnesanteckning avses anteckningar som utgör hjälpmedel för handläggningen, t.ex. promemorior och andra anteckningar eller upptagningar som har skapats bara för att förbereda ett ärende för avgörande och som inte tillför ärendet något i sak. Av andra stycket framgår att undantaget från informationsskyldigheten enligt första stycket inte gäller under vissa förhållanden. Sökanden har då rätt att få del av personuppgifter även i ofärdig löpande text eller som utgör minnesanteckningar och liknande. Enligt andra stycket 1 gäller undantaget inte om personuppgifterna har lämnats ut till tredje part, såvida det inte är fråga om en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision. Det är den version av uppgifterna i t.ex. utkastet som lämnades till tredje part som informationsskyldigheten omfattar, även om utkastet därefter har ändrats. Undantaget från informationsskyldigheten gäller enligt andra stycket 2 inte heller om personuppgifterna behandlas enbart för statistiska ändamål eller arkivändamål av allmänt intresse. Om ett ärende har avslutats och utkastet eller minnesanteckningen har arkiverats eller om handlingarna endast används vid statistikproduktion ska alltså information om behandlingen av personuppgifterna lämnas ut. Avslutningsvis gäller undantaget inte heller för löpande text som inte fått sin slutliga utformning, om personuppgifterna har behandlats , vilket framgår av andra stycket 3. Det är tidpunkten för begäran som är avgörande för bedömningen av om något av undantagen gäller. Både ettårsfristen och frågan om uppgifterna har lämnats ut till tredje part eller behandlas för statistiska ändamål eller arkivändamål av allmänt intresse ska bedömas i förhållande till när begäran om information gjordes. Rätten till rättelse, radering och begränsning av behandlingen 5 § ska på begäran av den registrerade rätta, radera eller begränsa behandlingen av sådana personuppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har meddelats med stöd av lagen. Om uppgifterna har lämnats ut till tredje part ska denne underrättas om en åtgärd enligt första stycket, om den registrerade begär det eller om en mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon underrättelse behöver dock inte lämnas, om sekretess hindrar det eller detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. I paragrafen, som utformas med beaktande av Lagrådets synpunkter i fråga om andra stycket, regleras rätten till rättelse, radering eller begränsning av behandlingen av personuppgifter. Övervägandena finns i avsnitt 12.3. ska enligt första stycket på begäran av den registrerade rätta, radera eller begränsa behandlingen av sådana personuppgifter som inte har behandlats i enlighet med denna lag eller 2020/21:224 föreskrifter som har meddelats med stöd av lagen. Begäran kan framställas formlöst. Kravet på att en åtgärd i form av rättelse, radering eller begränsning ska vidtas innebär att skyndsamt ska utreda frågan och, om det finns skäl för det, så fort som möjligt genomföra åtgärden. Begränsning av behandlingen av personuppgifter kan komma i fråga om den registrerade bestrider att personuppgifterna är riktiga, men det inte är möjligt att fastställa om så är fallet. En felaktig personuppgift ska rättas möjligt. Om Försvarets radioanstalts utredning om den omstridda personuppgiften inte kan slutföras tillräckligt snabbt kan behandlingen behöva begränsas . Har behandlingen av en personuppgift begränsats får uppgiften som utgångspunkt inte längre behandlas av , utom för de ändamål för vilka behandlingen begränsades. Uppgiften får dock lämnas ut med stöd av 2 kap. tryckfrihetsförordningen. ska vidta åtgärder som visar att behandlingen av en viss personuppgift har begränsats. En sådan åtgärd kan vara att föra över uppgiften från det datasystem där den behandlas, t.ex. myndighetens verksamhetssystem, till ett arkivsystem. Andra åtgärder kan vara att göra personuppgiften oåtkomlig genom en teknisk begränsning eller annan inskränkning av tillgången till uppgiften. När utredningen om personuppgiften är avslutad ska begränsningen av behandlingen upphöra. Då ska personuppgiften antingen rättas eller fortsätta att behandlas som . ska enligt andra stycket underrätta tredje part om en korrigering, om den registrerade begär det eller det kan antas att en underrättelse skulle kunna undvika mera betydande skada eller olägenhet för den registrerade. Gäller det däremot en mera harmlös uppgift bör det som regel krävas någon särskild omständighet för att man ska kunna anta att en underrättelse skulle kunna undvika sådan skada eller olägenhet som avses. Det måste vidare kunna antas att underrättelsen medför att skadan eller olägenheten kan undvikas. Detta är inte fallet när det är känt att aktuella tredje part redan har korrigerat uppgiften. Enligt tredje stycket behöver någon underrättelse inte lämnas, om sekretess hindrar det eller detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Vad som gäller vid sekretess framgår av 4 §. Vad som är att betrakta som en oproportionerligt stor arbetsinsats får bedömas från fall till fall och vid eventuell granskning eller överprövning. 6 § Information enligt 1 § och information och uppgifter enligt 2 § ska lämnas utan avgift. Paragrafen reglerar avgiftsfri information. Övervägandena finns i avsnitten 12.1.1 och 12.1.2. Enligt paragrafen ska information enligt 1 § och information och uppgifter enligt 2 § lämnas utan avgift. 1 § Den myndighet som regeringen bestämmer utövar tillsyn över Försvarets radioanstalts behandling av personuppgifter enligt denna lag, enligt föreskrifter som har meddelats i anslutning till lagen och enligt beslut med stöd av lagen. ska, när det är motiverat, ge råd och stöd till Försvarets radioanstalt och personuppgiftsbiträden i frågor som gäller deras skyldigheter enligt lag eller annan författning. I paragrafen, som utformas i linje med Lagrådets förslag, regleras tillsyn Övervägandena finns i avsnitt 13.2. Enligt första stycket ska tillsynsmyndigheten utöva tillsyn över Försvarets radioanstalts behandling av personuppgifter enligt lagen, enligt föreskrifter som har meddelats i anslutning till lagen och enligt beslut med stöd av lagen. avgör om och i vilken utsträckning tillsyn ska utövas och hur den ska genomföras. Myndigheten ska agera helt oberoende vid denna bedömning. Det innebär att ingen utomstående kan kräva att myndigheten ska utöva tillsyn. Det finns inte heller några formella krav på hur tillsynen ska utövas, med undantag från vissa bestämmelser i lagen och i föreskrifter som har meddelats i anslutning till Enligt andra stycket ska tillsynsmyndigheten, när det är motiverat, ge råd och stöd till och personuppgiftsbiträden i frågor som gäller deras skyldigheter enligt lag eller annan författning. avses både muntliga och skriftliga råd. Det kan vara fråga om allmänna råd eller rådgivning i ett enskilt fall. Myndigheten ska ge råd och stöd bara när den anser att det är motiverat. Rådgivningen och stödet ska avse Försvarets radioanstalts och personuppgiftsbiträdens skyldigheter. innebär således inte någon rätt för eller personuppgiftsbiträden att avkräva tillsynsmyndigheten råd i en konkret 2 § I lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet finns det särskilda bestämmelser om kontroll som rör Försvarets radioanstalts behandling av personuppgifter i försvarsunderrättelse- och utvecklings- Paragrafen innehåller en upplysningsbestämmelse om att det i lagen om signalspaning i försvarsunderrättelseverksamhet finns särskilda bestämmelser om kontroll. Enligt 10 § i den lagen ska kontrollen särskilt avse granskning av sökbegrepp, förstöring av uppgifter samt rapportering. 3 § har rätt att av eller av ett personuppgiftsbiträde på begäran få 1.tillgång till personuppgifter som behandlas, 2.upplysningar om och dokumentation av behandlingen av personuppgifter och säkerhets- och skyddsåtgärder, 2020/21:224 3. tillträde till sådana lokaler som har anknytning till behandling av personuppgifter och tillgång till utrustning och andra medel för behandling av personuppgifter, och 4. den hjälp och annan information som behövs för tillsynen. I paragrafen regleras tillsynsmyndighetens undersökningsbefogenheter. Övervägandena finns i avsnitt 13.3.1. Enligt punkten 1 har tillsynsmyndigheten rätt att för sin tillsyn från och ett personuppgiftsbiträde få tillgång till personuppgifter som behandlas. Det innebär att eller personuppgiftsbiträdet ska lämna de begärda uppgifterna även om det kräver viss efterforskning. Punkten 2 ger tillsynsmyndigheten rätt till upplysningar och dokumentation som rör behandling av personuppgifter och vilka åtgärder som har vidtagits för att säkerställa skyddet för personuppgifterna och registrerades personliga integritet.