prop · H803224 · 2021-09-13 00:00:00 — Skälen för regeringens bedömning: Någon reglering om personuppgiftsincidenter finns inte i FM-PuL, FRA-PuL eller person- uppgiftslagen. Enligt 1 kap. 4 § dataskyddslagen undantas rapportering av dataskyddsincidenter (artiklarna 33 och 34 i dataskyddsförordningen) i fråga om personuppgiftsincidenter som rapporteras enligt säkerhets- skyddslagen eller föreskrifter som har meddelats i anslutning till den lagen. Det innebär att sådana incidenter som enligt 2 kap. 10 § första stycket 2 säkerhetsskyddsförordningen ska anmälas till Säkerhetspolisen och Försvarsmakten, inte också ska rapporteras till tillsynsmyndigheten enligt dataskyddsförordningen. Eventuella personuppgiftsincidenter som inträffar i Försvarsmaktens och Försvarets radioanstalts informationssystem och som drabbar person- uppgifter som behandlas med stöd av de föreslagna lagarna kommer att röra nationell säkerhet. Sådana personuppgiftsincidenter hos Försvars- makten och kommer således att rapporteras i enlighet med vad som framgår av säkerhetsskyddsförordningen. Regeringen anser att det därmed inte finns något behov av att i de nya lagarna ta in bestämmelser om rapportering av personuppgiftsincidenter till tillsynsmyndigheten. Regeringens förslag: Försvarsmakten och ska utse ett eller flera dataskyddsombud och anmäla till tillsyns- myndigheten när dataskyddsombud utses och entledigas. Dataskyddsombud ska ha vissa i lagarna angivna arbetsuppgifter. Utredningens förslag överensstämmer i huvudsak med regeringens. Enligt utredningens förslag ska dataskyddsombud vara skyldiga att anmäla till tillsynsmyndigheten om personuppgiftsansvariga bryter mot bestäm- melser för behandling av personuppgifter och rättelse inte vidtas. Utredningen föreslår även att dataskyddsombud ska föra en förteckning över kategorier av behandlingar som myndigheterna ansvarar för och som är helt eller delvis automatiserade. Remissinstanserna: anser att utredningens förslag avseende dataskyddombud är ändamålsenligt. Datainspektionen anser att definitionen av dataskyddsombud även bör omfatta juridiska personer. Datainspektionen anser vidare att skyldigheten att föra en förteckning över kategorier av behandlingar inte bör ligga på dataskyddsombudet utan på den personuppgiftsansvarige. Forum för dataskydd och anser att regleringen av dataskydds- ombudets arbetsuppgifter bör anpassas till vad som gäller enligt annan dataskyddsreglering. Skälen för regeringens förslag Enligt nuvarande ordning ska Försvarsmakten och utse ett eller flera personuppgiftsombud och anmäla dessa till tillsynsmyndigheten (1 kap. 4 § FM-PuL och FRA-PuL). Personuppgiftsombudets uppgifter anges i 4 kap. 2–4 §§ FM-PuL och FRA-PuL. Av bestämmelserna framgår att ombudet har till uppgift att självständigt se till att Försvarsmakten respektive behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed samt påpeka eventuella brister för myndigheten. Vidare ska personuppgiftsombudet anmäla till tillsynsmyndigheten om person- uppgiftsombudet har anledning att misstänka att Försvarsmakten respektive bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och inte vidtar rättelse så snart det kan ske efter påpekande och även i övrigt samråda med tillsyns- myndigheten vid tveksamhet om hur de bestämmelser som gäller för behandlingen av personuppgifter ska tillämpas. Personuppgiftsombudet ska föra en förteckning över de behandlingar som Försvarsmakten genomför inom försvarsunderrättelseverksamheten respektive den militära säkerhetstjänsten och som är helt eller delvis automatiserade. För gäller motsvarande för behandlingar som myndigheten genomför och som är helt eller delvis automatiserade. Personuppgiftsombudet ska också hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. I den lagstiftning om behandling av personuppgifter som helt eller delvis bygger på unionsrätten har benämningen personuppgiftsombud ersatts av dataskyddsombud. Unionsrätten är inte tillämplig på den behandling av personuppgifter som är aktuell i detta lagstiftningsärende. Av tydlighets- och lämplighetsskäl bör dock, som utredningen föreslår, benämningen dataskyddsombud användas i även i de föreslagna lagarna. Enligt utredningens förslag bör dataskyddsombudet ha samma uppgifter som personuppgiftsombudet har enligt FM-PuL och FRA-PuL, med undantag för skyldigheten att hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. Den uppgiften bör enligt utredningen ligga på den person- uppgiftsansvarige. Datainspektionen, Forum för dataskydd och invänder mot detta med hänvisning till annan dataskyddslagstiftning. Bestämmelserna i och FRA-PuL ger samma uppgifter till personuppgiftsombudet. Som Datainspektionen, Forum för dataskydd och påpekar ligger delar av detta ansvar enligt t.ex. brottsdatalagstiftningen numera på den personuppgiftsansvarige. Regeringen bedömer att dataskyddsombudets roll vid Försvarsmakten och som utgångspunkt inte bör avvika i förhållande till 2020/21:224 annan jämförbar reglering. Dataskyddsombudet bör därför självständigt kontrollera att Försvarsmakten och behandlar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter. Dataskyddsombudet bör vidare självständigt informera och ge råd till Försvarsmakten respektive Försvarets radioanstalt och dem som behandlar personuppgifter under myndighetens ledning om deras skyldigheter vid behandling av personuppgifter och, vid behov, söka vägledning av tillsynsmyndigheten. tillsynsmyndigheten bör som utgångspunkt ske först efter det att dataskyddsombudet haft kontakt med berörd enhet vid den egna När det gäller ansvaret för att föra förteckningar över kategorier av behandlingar som myndigheterna ansvarar för, och som är helt eller delvis automatiserade, finns det inte skäl att göra någon åtskillnad i förhållande till annan jämförbar lagstiftning. Regeringen anser att det ansvaret därför, till skillnad från utredningens förslag, bör ligga hos den personuppgifts- Vilka uppgifter som ska anges i en sådan förteckning kan lämpligen regleras i förordning. En kategori av behandlingar bör inte tolkas så, att alla typer av behandlingar som förekommer ska En sådan tolkning skulle leda till en alltför omfattande En kategori av behandlingar kan vara behandling av personuppgifter i en särskild uppgiftssamling eller inom ramen för ett särskilt projekt eller behandling av personuppgifter för en typ De föreslagna lagarna ska endast tillämpas i verksamheten hos Detta utgör en tydlig skillnad i förhållande till brottsdatalagen som ska tillämpas av ett antal myndigheter och vissa andra aktörer som har anförtrotts en verksamhet som kännetecknas av särskild reglering och krav på hög grad Därtill kräver myndigheternas verksamheter ett väl fungerande säkerhetsskydd och de omfattas i hög grad av sekretess. Personuppgiftsbehandlingen kräver sakkunskap om verksamheten. detta och till de egenskaper och den ställning i organisationen som ett dataskyddsombud förväntas ha, anser regeringen att det saknas anledning att definitionen av dataskyddsombud i de nya lagarna även ska omfatta en Regeringen vill påminna om att kravet på självständighet innebär att dataskyddsombud ska kunna utföra sina arbetsuppgifter på ett oberoende sätt. Det hindrar inte att ett dataskyddsombud även har andra arbetsuppgifter hos den personuppgifts- Myndigheterna måste dock utforma sin interna organisation på ett sätt som säkerställer att dataskyddsombudet kan utföra sina arbetsuppgifter som dataskyddsombud på ett oberoende sätt. Utformningen av den interna organisationen är alltså ett ansvar för den Med anledning av vad Forum för dataskydd anför om att utredningens förslag kan antas ge dataskyddsombudet en mer aktiv roll med större ansvar än vad som generellt är syftet med närliggande regleringar bör det framhållas att förslaget i sak inte går längre än vad som gäller enligt Således bör dataskyddsombud definieras som en fysisk person som utses av den personuppgiftsansvarige för att självständigt kontrollera att personuppgifter behandlas författningsenligt Prop. 2020/21:224 och på ett korrekt sätt enligt vad som närmare anges i lagen. Bör dataskyddsombud även ges andra arbetsuppgifter? Personuppgiftsombud enligt FM-PuL och FRA-PuL ska hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. Enligt utredningens förslag ska det ansvaret i stället ligga hos den personuppgifts- ansvarige. Ett personuppgiftsombud fungerar främst som kontaktpunkt för registrerade i frågor om rättelse och är typiskt sett inte den som i praktiken rättar personuppgifter. Personuppgiftsombud används emellertid också som kontaktpunkt för registrerade i andra frågor som rör behandling av personuppgifter, t.ex. för enskilda i frågor som rör behandling av person- uppgifter. Dataskyddsombuden bör ha samma roll i förhållande till enskilda som personuppgiftsombud har enligt gällande rätt. Dataskydds- ombudens uppgifter i egenskap av kontaktpunkt för enskilda bör dock enligt regeringens mening inte författningsregleras. Enligt FM-PuL och FRA-PuL ska ett personuppgiftsombud anmäla till tillsynsmyndigheten om han eller hon misstänker att den personuppgifts- ansvarige bryter mot gällande bestämmelser och inte vidtar rättelse. Personuppgiftslagen innehåller en motsvarande bestämmelse. Någon sådan skyldighet följer emellertid inte av EU:s dataskyddsförordning. Lagstiftaren har därför inte funnit det motiverat att införa bestämmelser om en sådan skyldighet i brottsdatalagen (prop. 2017/18:232 s. 210, bet. 2017/18:JuU37, rskr. 2017/18:392) eller i lagen om Säkerhetspolisens behandling av personuppgifter (prop. 2018/19:163 s. 147, bet. 2019/20:JuU9, rskr. 2019/20:44). Utredningens förslag innehåller bestämmelser om anmälnings- skyldighet som motsvarar dem som finns i FM-PuL och FRA-PuL. En sådan ordning förekommer dock inte i någon annan dataskyddsreglering. Regeringen anser därför inte att det finns skäl att införa bestämmelser om en sådan anmälningsskyldighet i de nya lagarna för Försvarsmakten och . Dataskyddsombudets möjlighet att utföra sina uppgifter ska underlättas För att dataskyddsombuden ska kunna utföra sina arbetsuppgifter krävs det att Försvarsmakten och , i deras egenskap av personuppgiftsansvariga, gör det möjligt och tillhandahåller de resurser som ombuden behöver. Myndigheterna bör t.ex. göra ombudet delaktigt i frågor som rör skyddet av personuppgifter. Ombuden bör också få tillgång till dokumentation gällande personuppgiftsbehandlingen och, i den utsträckning det behövs, tillgång till de personuppgifter som behandlas. De särskilda behörighetskrav som gäller för all verksamhet vid Försvarsmakten och , inbegripet behandlingen av personuppgifter, måste även beaktas i förhållande till dataskyddsombudet. Försvarsmakten och bör se till att ombudet ges utrymme för vidareutbildning och annan kunskapsinhämtning. 2020/21:224 Bestämmelser om vilka åtgärder den personuppgiftsansvarige måste vidta för att dataskyddsombudet ska kunna utföra sina uppgifter kan vid behov tas in i förordning. Regeringens förslag: Personuppgiftsbiträde ska i de nya lagarna definieras som den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Utredningens förslag överensstämmer delvis med regeringens. Enligt utredningens förslag ska personuppgiftsbiträde definieras som den som, med stöd av ett skriftligt avtal eller annan skriftlig överenskommelse, behandlar personuppgifter för den personuppgiftsansvariges räkning. Remissinstanserna: Datainspektionen anser att det i fråga om definitionen av personuppgiftsbiträde inte ska ställas något krav på skriftligt avtal. Skälen för regeringens förslag: Enligt FM-PuL och FRA-PuL är personuppgiftsbiträde den som behandlar personuppgifter för den person- uppgiftsansvariges räkning. Enligt utredningens förslag ska med personuppgiftsbiträde i de nya lagarna avses den som, med stöd av ett skriftligt avtal eller annan skriftlig överenskommelse, behandlar person- uppgifter för den personuppgiftsansvariges räkning. Den föreslagna definitionen innehåller ett uttryckligt krav på skriftligt avtal, vilket saknas idefinitionen i FM-PuL och FRA-PuL. Ett sådant krav på skriftligt avtal framgår emellertid av 3 kap. 1 § FM-PuL och FRA-PuL som rör säkerheten vid behandling av personuppgifter. Ett sådant krav föreslår utredningen också ska finnas i de nya lagarna. Utredningens förslag avviker från definitionen av personuppgiftsbiträde iEU:s dataskyddsförordning som inte innehåller krav på skriftligt avtal och Datainspektionen anser att definitionen inte ska innehålla något sådant krav. Till skillnad från utredningen anser regeringen inte att det finns skäl att frångå den definition av personuppgiftsbiträde som för närvarade gäller på det aktuella området och som också finns i dataskyddsförordnigen. Med personuppgiftsbiträde enligt de nya lagarna bör således avses den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Ett personuppgiftsbiträde kan vara en fysisk eller juridisk person, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning. Personuppgiftsbiträdet måste alltid finnas utanför den personuppgiftsansvariges organisation. En anställd eller någon annan som behandlar personuppgifter under den personuppgifts- ansvariges direkta ansvar kan inte vara personuppgiftsbiträde. Regeringens förslag: Försvarsmakten och ska, om det är lämpligt, få anlita personuppgiftsbiträden. uppgiftsbiträde anlitas, ska myndigheterna försäkra sig om att biträdet kommer att vidta de lämpliga tekniska och organisatoriska åtgärder som krävs för att behandlingen av personuppgifter ska vara författningsenlig och för att skydda registrerades rättigheter. Det ska finnas ett skriftligt avtal eller annan skriftlig överens- kommelse om personuppgiftsbiträdets behandling av personuppgifter för Försvarsmaktens och Försvarets radioanstalts räkning. Ett personuppgiftsbiträde ska inte få anlita ett annat personuppgifts- biträde utan skriftligt tillstånd från Försvarsmakten eller Försvarets Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Försvarsmakten anser att EU:s dataskydds- förordning är tillämplig för personuppgiftsbiträden och att en särreglering därför inte bör införas. anser att det bör framgå av regleringen hur eventuella tvister mellan den personuppgiftsansvarige och personuppgiftsbiträdet ska lösas. advokatsamfund anser att kraven på innehållet i personuppgifts- biträdesavtal ska anges i lag. Skälen för regeringens förslag: Enligt FM-PuL och FRA-PuL ska det finnas ett skriftligt avtal om personuppgiftsbiträdets behandling av personuppgifter för myndighetens räkning. I avtalet ska särskilt anges att personuppgiftsbiträdet får behandla personuppgifterna bara i enlighet med instruktioner från myndigheten och att personuppgiftsbiträdet är skyldigt att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter som behandlas (3 kap. 1 §). Regeringen anser i likhet med utredningen, men till skillnad från Försvarsmakten, att motsvarande reglering bör införas i de nya lagarna. Vidare bör i enlighet med utredningens förslag, Försvarsmakten och få anlita personuppgiftsbiträden, om det är Frågan om det i ett enskilt fall är lämpligt att anlita ett person- uppgiftsbiträde får avgöras med hänsyn bl.a. till vilka personuppgifter som också viktigt att beakta i vilken utsträckning som det gäller sekretess för personuppgifterna i fråga. Enligt Juridiska fakultetsstyrelsen vid bör det framgå av den nya regleringen hur eventuella tvister mellan den personuppgifts- ansvarige och personuppgiftsbiträdet ska lösas. Regeringen ser inte behov av detta utan anser att det är en fråga som lämpligen kan regleras i den överenskommelse som ska ingås vid anlitande av personuppgiftsbiträde. Till skillnad från anser regeringen att det närmare innehållet i en överenskommelse om anlitande av personuppgifts- biträde lämpligen kan regleras i förordning, på motsvarande sätt som gäller för annan särskild dataskyddsreglering. Det är av grundläggande betydelse att den personuppgiftsansvarige känner till vilka personuppgiftsbiträden som behandlat personuppgifter för Som utredningen föreslår bör ett personuppgiftsbiträde 2020/21:224 därför inte få anlita ett annat personuppgiftsbiträde utan att den personuppgiftsansvarige har lämnat skriftligt tillstånd till det. 11.5.3Behandling enligt den personuppgiftsansvariges instruktioner Regeringens förslag: Ett personuppgiftsbiträde och de som arbetar under biträdets ledning ska behandla personuppgifter i enlighet med instruktioner från Försvarsmakten och . Om ett personuppgiftsbiträde bestämmer ändamålen med och medlen för behandlingen ska biträdet anses vara personuppgiftsansvarig för den behandlingen. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Enligt nuvarande ordning får ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets eller respektive myndighets ledning behandla personuppgifter bara i enlighet med instruktioner från myndigheten (3 kap. 1 § FM-PuL och FRA-PuL). Som utredningen föreslår bör en motsvarande bestämmelse föras in i de nya lagarna. Instruktionerna från de personuppgiftsansvariga myndigheterna bör vara så tydliga att otillåten behandling inte utförs (jfr Integritet, Offentlighet, Informationsteknik, SOU 1997:39 s. 335). Den överenskommelse som styr personuppgiftsbiträdets uppdrag ska innehålla viss information som ger instruktioner till biträdet, bl.a. om behandlingens varaktighet, art och ändamål. Instruktionerna kan också gälla exempelvis hur tillgången till personuppgifter hos biträdet ska begränsas, om biträdet ska använda kryptering vid kommunikation och andra åtgärder som krävs för att skydda personuppgifterna. Överföring av personuppgifter till tredje part eller en internationell organisation förutsätter att biträdet har fått i uppdrag att göra det. Sådana uppdrag bör också framgå av de instruktioner som den personuppgiftsansvarige lämnar till biträdet. Att den som bestämmer ändamålen med och medlen för behandlingen är att anse som personuppgiftsansvarig framgår av den föreslagna definitionen av personuppgiftsansvarig. Regeringen anser att det i de nya lagarna bör tydliggöras att ett personuppgiftsbiträde som går utanför sin befogenhet och behandlar personuppgifter för något annat ändamål än enligt sina instruktioner är personuppgiftsansvarig. I sådana fall kan personuppgiftsbiträdet bli skadeståndsskyldig på grund av den behandlingen. Övriga skyldigheter för personuppgiftsbiträden Regeringens förslag: Ett personuppgiftsbiträde ska ha samma skyldig- heter som en personuppgiftsansvarig att begränsa tillgången till personuppgifter och vidta säkerhetsåtgärder. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Enligt gällande rätt är ett Prop. 2020/21:224 personuppgiftsbiträde skyldigt att vidta vissa säkerhetsåtgärder. Försvarsmakten och ska förvissa sig om att det personuppgiftsbiträde som myndigheten anlitar kan genomföra de säkerhetsåtgärder som måste vidtas och se till att personuppgiftsbiträdet verkligen vidtar åtgärderna (3 kap. 1 och 2 § FM-PuL och FRA-PuL). Personuppgiftsbiträden är alltså enligt nuvarande ordning skyldiga att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. I enlighet med utredningens förslag bör dessa skyldigheter även komma till uttryck i de nya lagarna, liksom skyldigheten att begränsa tillgången till personuppgifter genom exempelvis behörighetstilldelning. 12.1.1Information som ska göras allmänt tillgänglig Regeringens förslag: Försvarsmakten och ska göra viss information allmänt tillgänglig för den registrerade. Bland annat ska kategorier av ändamål för behandlingen göras tillgängliga. Information som ska göras allmänt tillgänglig ska lämnas utan avgift. Utredningens förslag överensstämmer i huvudsak med regeringens. Enligt utredningens förslag ska ändamålen med behandlingen göras tillgänglig. Remissinstanserna tillstyrker eller invänder inte mot utredningens förslag. Skälen för regeringens förslag: Försvarsmakten och bör hålla viss information allmänt tillgänglig för den registrerade. Sådan information bör omfatta myndighetens identitet och kontaktuppgifter, uppgifter om dataskyddsombudet, kategorier av ändamål med behandlingen, rätten att begära att få information om behandling av personuppgifter och att få ta del av dem, samt rätten att begära rättelse, radering eller begränsning av behandlingen. I kravet på att informationen ska vara allmänt tillgänglig ligger att allmänheten i princip ska ha möjlighet att kunna ta del av informationen när den önskar. Informationen kan t.ex. publiceras på myndigheternas webbplatser eller finnas i en broschyr eller annan informationsskrift. Det bör inte krävas en uttömmande uppräkning av för vilka ändamål personuppgifter behandlas, utan det bör vara tillräckligt att enskilda genom informationen får en god bild av den personuppgiftsbehandling som Försvarsmakten eller utför. Regeringen anser att det av de nya lagarna bör framgå att den information som görs allmänt tillgänglig ska vara avgiftsfri. 2020/21:224 12.1.2 Enskildas rätt till personrelaterad information Regeringens förslag: Försvarsmakten och är skyldiga att en gång per kalenderår till den som begär det lämna skriftligt besked om huruvida personuppgifter som rör honom eller henne behandlas. Om sådana uppgifter behandlas ska sökanden få del av dem och få viss skriftlig information om behandlingen. Ett utlämnande behöver inte omfatta personuppgifter som sökanden har tagit del av, om inte han eller hon begär det. Det ska dock framgå av informationen att personuppgifterna i fråga behandlas. Information ska lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast efter det att ansökan gjordes. Information som ska lämnas efter begäran från den registrerade ska lämnas utan avgift en gång per kalenderår. Om Försvarsmakten samlar in personuppgifter från den som uppgifterna avser ska myndigheten i samband med det lämna viss information om behandlingen. Informationen ska lämnas utan avgift. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Försvarsmakten föreslår ett förtydligande av utredningens förslag då det enligt myndigheten inte är möjligt att få del av handlingarna i vilka personuppgifterna behandlas genom en begäran om personrelaterad information. avstyrker utredningens förslag om enskildas möjlighet till registerutdrag i försvarsunderrättelse- och utvecklingsverksamheten. Totalförsvarets rekryteringsmyndighet uppmärksammar att den registrerade har rätt att enligt EU:s dataskyddsförordning begära information och få tillgång till de personuppgifter som den personuppgiftsansvarige behandlar ett obegränsat antal gånger , men bedömer att utredningens förslag inte torde medföra några större verkningar för den enskilde. Skälen för regeringens förslag Information som Försvarsmakten ska lämna om uppgifterna samlas in från den registrerade När Försvarsmakten samlar in uppgifter om en person i den militära säkerhetstjänsten från den enskilde, ska myndigheten i samband med insamlingen självmant lämna information om behandlingen av uppgifterna (2 kap. 1 § FM-PuL).