prop · H803224 · 2021-09-13 00:00:00 — får besluta om en skriftlig varning, om en planerad behandling av personuppgifter riskerar att strida mot lag eller annan författning. Detsamma gäller om en pågående behandling riskerar att strida mot lag eller annan Prop. 2020/21:224 författning. Paragrafen reglerar tillsynsmyndighetens befogenheter i det förebyggande arbetet. Övervägandena finns i avsnitt 13.3.2. Av första stycket framgår att tillsynsmyndigheten, om det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska försöka förmå Försvarsmakten eller personuppgifts- biträdet att motverka risken genom råd, rekommendationer och påpekanden. Rådgivning kan avse såväl formella som informella samråd. De befogenheter som anges i stycket får i vissa fall även användas i korrigerande syfte, vilket framgår av 4 § första stycket 1. Enligt andra stycket får tillsynsmyndigheten besluta om en skriftlig varning, om en planerad behandling riskerar att strida mot lag eller annan författning. En varning är en mer ingripande åtgärd än åtgärderna i första stycket. Varning kan användas för att visa hur allvarligt tillsyns- myndigheten ser på den planerade behandlingen. behöver inte ha uttömt andra förebyggande åtgärder innan den beslutar om en varning. Av beslutet ska framgå varför tillsynsmyndigheten bedömt att behandlingen inte kommer att vara författningsenlig. Ett beslut om varning har inte några omedelbara rättsverkningar, men den som får en varning förväntas rätta sig efter den. Varning får också beslutas om en pågående behandling riskerar att strida mot lag eller annan författning. 4 § Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författning, eller att Försvarsmakten eller ett personuppgifts- biträde på annat sätt inte fullgör sina skyldigheter, får tillsynsmyndigheten 1.genom sådana åtgärder som anges i 3 § första stycket försöka förmå Försvarsmakten eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att fullgöra andra skyldigheter, eller 2.besluta att förelägga Försvarsmakten eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att fullgöra andra skyldigheter. Av ett beslut om föreläggande ska det framgå när föreläggandet senast ska ha följts och, om det är lämpligt, vilka åtgärder som ska vidtas. I paragrafen, som utformas enligt förslag och efter synpunkter från Lagrådet, regleras tillsynsmyndighetens korrigerande befogenheter. Övervägandena finns i avsnitt 13.3.3. har möjlighet att successivt använda olika medel och på så sätt öka påtryckningarna på den som inte självmant rättar sig. De korrigerande befogenheterna får användas om tillsynsmyndigheten konstaterar att Försvarsmakten eller ett personuppgiftsbiträde behandlar personuppgifter i strid med lag eller annan författning eller på annat sätt inte fullgör sina skyldigheter. De skyldigheter som avses är framför allt skyldigheterna i 4 kap. Försvarsmakten har emellertid också skyldigheter enligt 2 och 5 kap. och skyldighet att bistå tillsynsmyndigheten enligt 2 §. Även underlåtenhet att fullgöra sådana skyldigheter med anledning av denna lag omfattas. 2020/21:224 Enligt första stycket 1 får tillsynsmyndigheten använda de förebyggande befogenheter som regleras i 3 § första stycket för att försöka förmå Försvarsmakten eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att fullgöra andra skyldigheter. Enligt första stycket 2 får tillsynsmyndigheten besluta att förelägga Försvarsmakten eller personuppgiftsbiträdet att vidta åtgärder för att viss behandling av personuppgifter ska bli författningsenlig eller för att de ska fullgöra andra skyldigheter. Av andra stycket framgår att det av ett beslut om föreläggande alltid ska framgå när föreläggandet senast ska ha följts och, om det är lämpligt, vilka åtgärder som ska vidtas. Om föreläggandet avser rättelse, radering eller begränsning av behandlingen bör det framgå av föreläggandet vad som ska göras. får emellertid överlåta åt Försvarsmakten eller personuppgiftsbiträdet att avgöra vilka åtgärder som ska vidtas för att behandlingen ska bli författningsenlig eller hur andra skyldigheter ska fullgöras. 1 § Den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som orsakats av behandling av personuppgifter i strid med denna lag, föreskrifter som har meddelats i anslutning till lagen eller beslut med stöd av lagen. Ersättningsskyldigheten kan, i den utsträckning det är skäligt, jämkas om den personuppgiftsansvarige visar att felet inte berodde på denne. I paragrafen regleras skadestånd. Övervägandena finns i avsnitt 14.3.2. Av första stycket framgår att rätt till skadestånd kan uppkomma på grund av behandling i strid med bestämmelser i lagen, föreskrifter som har meddelats i anslutning till lagen eller beslut med stöd av lagen. För att den personuppgiftsansvarige ska bli ersättningsskyldig måste den registrerade bevisa att behandling av dennes personuppgifter stått i strid med bestämmelserna om personuppgiftsbehandling och att den har skadat eller kränkt honom eller henne. Den registrerades rätt till skadestånd omfattar ersättning för kränkning av den personliga integriteten och för annan skada. Med skada avses personskada, sakskada eller ren förmögenhetsskada. Det är bara sådan kränkning eller skada som behandlingen av person- uppgifter har vållat som ersätts. Ersättningen för kränkning får uppskattas efter skälighet mot bakgrund av samtliga omständigheter i det enskilda fallet. Sådana faktorer som att det funnits risk för otillbörlig spridning av känsliga eller felaktiga person- uppgifter eller att den som uppgifterna rör genom behandlingen av uppgifterna drabbats av beslut eller åtgärder som kunnat få negativa följder hör till det som bör beaktas. Den praxis som finns om tillämpningen av bestämmelserna i den upphävda lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst och personuppgiftslagen om skadestånd är avsedd Prop. 2020/21:224 att vara vägledande. Av andra stycket följer att ersättningsskyldigheten, i den utsträckning det är skäligt, kan jämkas om den personuppgiftsansvarige visar att felet inte berodde på denne. Överklagande av Försvarsmaktens beslut 2 § Försvarsmaktens beslut enligt 5 kap. 2 och 3 §§ att inte lämna information och beslut enligt 5 kap. 6 § i fråga om rättelse, radering, begränsning av behandlingen eller underrättelse till tredje part, får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Paragrafen reglerar överklagande av Försvarsmaktens beslut. Övervägandena finns i avsnitt 14.4.1. Enligt första stycket får Försvarsmaktens beslut enligt 5 kap. 2 och 3 §§ att inte lämna information och beslut enligt 5 kap. 6 § i fråga om rättelse, radering, begränsning av behandlingen eller underrättelse till tredje part överklagas till allmän förvaltningsdomstol. Uppräkningen är, som framgår av 4 §, uttömmande. Vilken förvaltningsdomstol som är behörig framgår av 14 § förordningen (1977:937) om allmänna förvaltningsdomstolars behörighet m.m.För prövning i kammarrätten krävs det enligt andra stycket prövningstillstånd. Överklagande av tillsynsmyndighetens beslut 3 § beslut om föreläggande enligt 6 kap. 4 § första stycket 2 får överklagas till allmän förvaltningsdomstol. När ett beslut överklagas är tillsynsmyndigheten motpart i domstolen. Prövningstillstånd krävs vid överklagande till kammarrätten. Paragrafen reglerar överklagande av tillsynsmyndighetens beslut. Övervägandena finns i avsnitt 14.4.2. Enligt första stycket får tillsynsmyndighetens beslut om föreläggande enligt 6 kap. 4 § första stycket 2 överklagas till allmän förvaltnings- domstol. Det anges vidare att tillsynsmyndigheten är motpart i domstolen när ett beslut överklagas. Enligt andra stycket krävs prövningstillstånd vid överklagande till kammarrätten. 4 § Andra beslut enligt denna lag än de som anges i 2 och 3 §§ får inte överklagas. Paragrafen innehåller ett överklagandeförbud. Övervägandena finns i avsnitten 14.4.1 och 14.4.2. Av paragrafen framgår att andra beslut enligt lagen än de som anges i 2 och 3 §§ inte får överklagas. Uppräkningen är uttömmande. 2020/21:224 med stöd av förvaltningslagen (2017:900) överklaga andra beslut av Försvarsmakten eller tillsynsmyndigheten enligt lagen finns alltså inte. 1.Denna lag träder i kraft . 2.Genom lagen upphävs lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst. 3.Äldre föreskrifter gäller fortfarande för överklagande av beslut som har meddelats före ikraftträdandet. Ikraftträdande- och övergångsbestämmelserna behandlas i avsnitt 17. Enligt punkten 1 träder lagen i kraft . Genom punkten 2 upphävs lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst. Av punkten 3 följer att äldre föreskrifter fortfarande gäller för överklagande av beslut som har meddelats före ikraftträdandet. Med äldre föreskrifter avses lagen om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst, förordningen (2007:260) om behandling av person- uppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst, personuppgiftslagen (1998:204) och personuppgifts- förordningen (1998:1191). 19.2Förslaget till lag om behandling av personuppgifter vid 1 kap. Allmänna bestämmelser 1 § Syftet med denna lag är att säkerställa att kan behandla personuppgifter på ett ändamålsenligt sätt och att skydda fysiska personers grundläggande fri- och rättigheter i samband med sådan behandling. I paragrafen anges syftet med lagen. Övervägandena finns i avsnitt 6.3. Enligt paragrafen är syftet med lagen att säkerställa att Försvarets radioanstalt kan behandla personuppgifter på ett ändamålsenligt sätt och att skydda fysiska personers grundläggande fri- och rättigheter i samband med sådan behandling. Lagen har alltså två syften och gäller för enbart fysiska personer. Det innebär att juridiska personer inte omfattas av lagen. 2 § Denna lag gäller vid behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet samt informationssäkerhets- verksamhet. I paragrafen regleras lagens tillämpningsområde. Övervägandena finns i avsnitt 6.4.2. I paragrafen anges att lagen gäller vid behandling av personuppgifter i Prop. 2020/21:224 Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet bedriver försvarsunderrättelse- och utvecklings- verksamhet enligt lagen (2000:130) om försvarsunderrättelseverksamhet och lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet, och anslutande förordningar. Av förordningen (2007:937) med instruktion för framgår att ska ha hög teknisk kompetens inom informationssäkerhetsområdet. Myndigheten ska även kunna lämna stöd inom detta område. har vidare till uppgift enligt förordningen (2015:1053) om totalförsvar och höjd beredskap att tilldela säkra kryptografiska funktioner till ett antal civila myndigheter och organisationer. All behandling av personuppgifter som utför inom ramen för verksamheter som anges i paragrafen omfattas av lagen. För Försvarets radioanstalts övriga behandling av personuppgifter är EU:s dataskyddsförordning och dataskyddslagen (2018:218) tillämpliga. I 2 kap. anges närmare de ändamål för vilka får behandla personuppgifter. 3 § Lagen gäller vid sådan behandling av personuppgifter som är helt eller delvis automatiserad. Den gäller också personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Paragrafen preciserar lagens tillämpningsområde. Övervägandena finns i avsnitt 6.4.1. Av paragrafen framgår att lagen gäller vid sådan behandling av person- uppgifter som är helt eller delvis automatiserad och också personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. När det gäller automatiserad behandling krävs det inte att person- uppgifterna som behandlas finns i något som kan karaktäriseras som ett register eller att de annars är ordnade på visst sätt. behandling i t.ex. register omfattas av bestämmelsen om personuppgifterna är tillgängliga för sökning eller sammanställning enligt mer än ett kriterium. Uteslutande behandling av personuppgifter som inte ingår i någon samling och inte heller är avsedda att ingå i en sådan, exempelvis hand- skrivna minnesanteckningar, faller däremot utanför tillämpningsområdet. 4 § Vid behandling av personuppgifter enligt denna lag gäller inte och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) och inte heller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. I paragrafen regleras förhållandet till EU:s dataskyddsförordning och lagen med kompletterande bestämmelser till EU:s dataskyddsförordning. Övervägandena finns i avsnitt 6.2. 2020/21:224 Av paragrafen framgår att och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning inte gäller vid behandling av personuppgifter enligt lagen. Ord och uttryck i lagen 5 § I denna lag används följande ord och uttryck. En åtgärd eller en kombination av åtgärder som vidtas i fråga om personuppgifter eller uppsättningar av personuppgifter, oavsett om det görs automatiserat eller inte, t.ex. insamling, strukturering, lagring, bearbetning eller eller tillhandahållande på annat sätt, justering, sammanföring, begränsning, radering eller förstöring. Personuppgifter som rör en persons teendemässiga kännetecken, som tagits behandling och som möjliggör eller bekräftar identifiering av personen i En fysisk person som utses av den personuppgiftsansvarige för att själv- ständigt kontrollera att personuppgifter behandlas författningsenligt och på ett Personuppgifter som rör en persons kännetecken och som framför allt härrör från analys av ett spår av eller ett biologiskt prov från personen i fråga. Den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision. Varje upplysning om en identifierad eller identifierbar fysisk person som är Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av person- Den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Den fysiska person som person- – den registrerade, – den personuppgiftsansvarige, – personuppgiftsbiträdet, och – sådana personer som under den uppgiftsbiträdets direkta ansvar har rätt att behandla personuppgifter. med uppgifter som med hjälp av automatiserad behandling är I paragrafen definieras vissa ord och uttryck som används i lagen. Uttrycket behandling av personuppgifter omfattar alla åtgärder som vidtas med sådana uppgifter. Uttrycket behandlas i avsnitt 6.5. Så snart personuppgifter hanteras på något sätt är det fråga om behandling som omfattas av lagens bestämmelser, om den är helt eller delvis automatiserad eller avser behandling i en strukturerad samling av personuppgifter. Uppräkningen i definitionen av olika sätt att hantera personuppgifter är således inte uttömmande. Biometri är en samlingsbenämning för sådan automatiserad teknik som syftar till att identifiera en person eller avgöra om en påstådd identitet är riktig. Uttrycket behandlas i avsnitt 6.5. Den automatiserade tekniken baseras på fysiska karaktärsdrag hos den som ska identifieras. Mönster av fingeravtryck, ansiktsgeometri, ögats iris, regnbågshinna och näthinna, röst, hand, blodkärl, dna eller gång är exempel på områden där sådan teknik kan användas. Gemensamt för teknikerna är att kroppen mäts elektroniskt. Biometriska uppgifter är den information som kan tas fram ur ett biometriskt underlag. Uppgifterna kan användas för att skapa en referensmall eller för att jämföra med tidigare lagrade referensmallar i syfte att kontrollera en persons identitet. Fingeravtryck och dna-profiler är de vanligaste formerna av biometriska uppgifter. 2020/21:224 Biometriska uppgifter i form av fingeravtryck kan framgå av ett spår som påträffas vid utredning av en händelse som exempelvis ett angrepp mot svensk trupp utomlands. Även analys av spåren omfattas av definitionen, trots att de inte går att härleda till en identifierad person. Dna-spår behandlas i författningskommentaren till uttrycket genetiska uppgifter. Av 2 kap. 14 § framgår att biometriska uppgifter bara får behandlas om det är absolut nödvändigt för ändamålet med behandlingen. Fotografier och filmer som inte bearbetas tekniskt i syfte att åstadkomma identifiering faller utanför definitionen. Bearbetning av bilder av personer för att förbättra bildkvaliteten, förstärka detaljer och liknande omfattas alltså inte. Om bilder däremot bearbetas i exempelvis ett ansiktsigenkänningsprogram i syfte att identifiera personer omfattas de av definitionen. Fotografier kan omfattas av regleringen om känsliga personuppgifter även på andra grunder, se författningskommentaren till 2 kap. 13 §. Ett dataskyddsombud är en fysisk person som utses av den personuppgiftsansvarige att självständigt utföra vissa uppgifter i syfte att se till att personuppgifter behandlas författningsenligt och på ett korrekt sätt. Ordet behandlas i avsnitt 11.4. Ett dataskyddsombud ska vara anställd hos den personuppgifts- ansvarige. Kravet på självständighet innebär att dataskyddsombud ska kunna utföra sina arbetsuppgifter på ett oberoende sätt. Ombuden förutsätts framför allt ha goda kunskaper om regelverket om personuppgiftsbehandling. Ombuden bör också ha sådan ställning i organisationen att det säkerställs att deras synpunkter och råd beaktas. Med uttrycket genetiska uppgifter avses personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som framför allt härrör från analys av ett spår av eller ett biologiskt prov från personen i fråga. Det är alltså fråga om all information som rör en persons nedärvda eller förvärvade genetiska kännetecken och som kan tas fram ur ett spår från människokroppen. Uttrycket behandlas i avsnitt 6.5. Genetiska uppgifter behandlas vid dna-analyser i forensisk verksamhet för att ta fram dna-profiler eller forensiska uppslag. Behandlingen kan avse genetiska uppgifter från såväl identifierade som oidentifierade personer. Eftersom nedärvda eller förvärvade genetiska kännetecken för en person kan framgå av ett spår som påträffas vid utredning av en händelse, omfattas även analys av spåren av definitionen, trots att de inte går att härleda till en identifierad person. Den dna-profil, som behandlas i ett dna-register, utgör däremot inte en genetisk uppgift, eftersom inga nedärvda eller förvärvade genetiska kännetecken kan utläsas ur den. Dna-profilen är i stället en biometrisk uppgift, eftersom den tas fram genom en särskild teknisk behandling av en persons arvsmassa för att möjliggöra eller bekräfta identifiering av personen i fråga. Mottagare definieras som den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision. Ordet behandlas i avsnitt 6.5. Undantaget omfattar bl.a. myndigheter som tar del av personuppgifter i sin tillsyn och kontroll av viss verksamhet, t.ex. Integritetsskydds- myndigheten och Statens inspektion för försvarsunderrättelseverksam- heten. Även andra myndigheter som utövar tillsyn, t.ex. ombudsmän () och Justitiekanslern, omfattas av undantaget. Med personuppgift avses varje upplysning om en identifierad eller identifierbar fysisk person som är i livet. Ordet behandlas i avsnitt 6.5. Varje information som kan hänföras till en fysisk person är en personuppgift. Det gäller även information som kan hänföras till en individ om en fysisk person kan identifieras med hjälp av informationen. Det krävs inte att den personuppgiftsansvarige ska förfoga över samtliga uppgifter som gör identifieringen möjlig. Det innebär att t.ex. oidentifierade fingeravtryck och dna-profiler är personuppgifter, eftersom det är möjligt att identifiera en person med hjälp av dem. Även bild- eller ljudupptagningar kan utgöra personuppgifter, om man direkt eller indirekt kan avgöra vilken individ som upptagningen avser. Uppgifter om juridiska personer omfattas inte av definitionen. Personuppgiftsansvarig är enligt definitionen den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Ordet behandlas i avsnitt 11.1. Att bestämma ändamålen med behandlingen innebär i princip att bestämma att en behandling ska utföras och varför. Att bestämma medlen för behandlingen avser främst att bestämma över de tekniska och organisatoriska medlen, dvs. hur behandlingen ska gå till. Det kan handla om vilka personuppgifter som ska behandlas, vilka som ska få ta del av dem och hur länge personuppgifterna får behandlas. Den personuppgiftsansvarige styr dock inte alltid själv över alla medel för behandlingen. Vid direktåtkomst bestämmer den som medger åtkomsten hur tillgången tekniskt ska lösas och vilka personuppgifter som ska tillgängliggöras. Den som ges direktåtkomst är personuppgiftsansvarig för behandlingen av de personuppgifter som direktåtkomsten avser. Ett personuppgiftsbiträde är en fysisk eller juridisk person som behandlar personuppgifter för den personuppgiftsansvariges räkning med stöd av ett skriftligt avtal eller en annan skriftlig överenskommelse. Ordet behandlas i avsnitt 11.5.1. Ett personuppgiftsbiträde behandlar personuppgifter endast enligt instruktioner från den personuppgiftsansvarige och har inte rätt att själv bestämma över personuppgiftsbehandlingen. Ett personuppgiftsbiträde finns alltid utanför den egna organisationen. En anställd eller någon annan 2020/21:224 som behandlar personuppgifter under den personuppgiftsansvariges direkta ansvar kan inte vara personuppgiftsbiträde. Med registrerad avses den fysiska person som en personuppgift rör. Ordet behandlas i avsnitt 6.5. Av definitionen av personuppgift framgår bl.a. att personen ska vara i livet. Tredje part är någon annan än den registrerade, personuppgiftsansvarige, dataskyddsombudet, personuppgiftsbiträdet, och sådana personer som under den personuppgiftsansvarige eller personuppgiftsbiträdets direkta ansvar har rätt att behandla personuppgifter. Uttrycket behandlas i avsnitt 6.5. Uppgiftssamling är en samling med uppgifter som med hjälp av automatiserad behandling är gemensamt tillgängliga. Ordet behandlas i avsnitt 6.5. Avgörande för när automatiserat behandlade uppgifter ska anses ingå i en uppgiftssamling är att uppgifterna är gemensamt tillgängliga i för de ändamål som ska styra behandlingen av uppgifter inom myndighetens försvarsunderrättelse- och utvecklings- verksamhet samt informationssäkerhetsverksamhet. 6 § är personuppgiftsansvarig för all behandling av personuppgifter som myndigheten utför, som utförs under myndighetens ledning eller på dess vägnar. Paragrafen reglerar personuppgiftsansvar. Övervägandena finns i avsnitt 11.1. Paragrafen utformas enligt Lagrådets förslag. I paragrafen anges att är personuppgiftsansvarig för all behandling av personuppgifter som myndigheten utför, som utförs under myndighetens ledning eller på dess vägnar.