urf · H9A5URF2 · 2022-05-18 00:00:00 — Slutligen behandlas rätten att göra invändningar mot behandling av person- uppgifter som grundar sig på artikel 6.1 e eller f (se artikel 21) och att motsätta sig att bli föremål för beslut som enbart grundas på automatiserad behandling vilka har rättsliga följder för honom eller henne (se artikel 22). hanget kan noteras att den registrerades rätt till radering inte behöver till- godoses om behandlingen är nödvändig för bl.a. arkivändamål av allmänt intresse, om raderingen sannolikt omöjliggör eller avsevärt försvårar upp- nåendet av syftet med den behandlingen (se artikel 17.3 d). I anslutning till dessa rättigheter finns bestämmelser om hur och när information ska lämnas (se artikel 12) och om den personuppgiftsansvariges skyldighet att underrätta varje mottagare till vilken personuppgifterna har lämnats ut, om rättelse, radering eller begränsning av behandling sker (se artikel 19). Den registrerades rättigheter, med motsvarande skyldigheter för den personuppgiftsansvarige, är direkt tillämpliga. Rättigheterna är emellertid inte I vissa bestämmelser anges när de inte behöver tillämpas. anges i artikel 23.1 att såväl unionsrätten som en medlemsstats nationella rätt får begränsa tillämpningsområdet för vissa skyldigheter och rättigheter som föreskrivs i förordningen, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa vissa särskilt angivna mål. Sådana mål kan utgöras av bl.a. den nationella säkerheten eller en tillsyns-, inspektions- eller regleringsfunktion som har samband med viss myndighetsutövning. I kapitel 4 i dataskyddsförordningen regleras frågor som rör bl.a. person- uppgiftsansvariga och deras ansvar och skyldigheter. personuppgiftsansvarige enligt artikel 24.1, med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter, bl.a. vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet Dessa åtgärder ska ses över och uppdateras vid behov. Närmare bestämmelser om vad som kan vara lämpliga säkerhetsåtgärder i samband med behandlingen samt den personuppgiftsansvariges skyldighet att anmäla s.k. personuppgiftsincidenter finns i artikel 32–34. I kapitlet finns också bestämmelser om ansvarsförhållandena när det finns flera personuppgiftsansvariga för en behandling samt när den personuppgifts- ansvarige anlitar ett personuppgiftsbiträde för att genomföra behandlingen (se artikel 26–29). När uppgifter behandlas av ett personuppgiftsbiträde ska hanteringen enligt artikel 28.3 regleras genom ett avtal eller en annan rättsakt enligt unionsrätten eller enligt medlemsstaternas nationella rätt som är 909 Med rätt till dataportabilitet avses att den registrerade har rätt att få ut de personuppgifter som rör honom eller henne och som han eller hon har tillhandahållit den personuppgifts- ansvarige i ett strukturerat, allmänt använt och maskinläsbart format och rätt att överföra dessa uppgifter till en annan personuppgiftsansvarig utan att den personuppgiftsansvarige som tillhandahållits personuppgifterna hindrar detta. bindande för personuppgiftsbiträdet i förhållande till den personuppgifts- ansvarige och i vilken föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade, samt den personuppgiftsansvariges skyldigheter och rättigheter anges. I avtalet eller rättsakten ska föreskrivas att personuppgiftsbiträdet ska ha vissa skyldigheter som särskilt anges i förordningen. En personuppgiftsansvarig som sysselsätter fler än 250 personer eller som utför behandling som sannolikt kommer att medföra en risk för registrerades rättigheter och friheter, behandling som inte är tillfällig eller behandling som omfattar känsliga personuppgifter eller personuppgifter om fällande domar i brottmål samt lagöverträdelser som innefattar brott, är enligt artikel 30 skyldig att föra ett register över behandling som utförts under den personuppgifts- ansvariges ansvar. Detta register ska innehålla bl.a. namn och kontaktuppgifter för den personuppgiftsansvarige, den personuppgiftsansvariges företrädare samt dataskyddsombudet, ändamålen med behandlingen och en beskrivning av kategorierna av registrerade och av kategorierna av personuppgifter. Vidare ska om möjligt anges de förutsedda tidsfristerna för radering av de olika kategorierna av uppgifter samt en allmän beskrivning av vissa tekniska och organisatoriska säkerhetsåtgärder som den personuppgiftsansvarige vidtagit. I artikel 35 finns skyldigheter för den personuppgiftsansvarige att bl.a. göra konsekvensbedömningar innan en typ av personuppgiftsbehandling som sannolikt leder till en hög risk för fysiska personers rättigheter och friheter vidtas. Om konsekvensbedömningen visar att behandlingen skulle leda till en hög risk om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken ska den personuppgiftsansvarige samråda med tillsynsmyndigheten före behandlingen (se artikel 36). I dataskyddsförordningen finns även bestämmelser om bl.a. befogenheter för den tillsynsmyndighet som ska inrättas enligt förordningen samt ytterligare skyldigheter som den personuppgiftsansvarige har gentemot tillsynsmyndig- heten. Frågan om JO:s förhållande till den svenska tillsynsmyndigheten, (), och frågor om IMY:s tillsyn, behandlas i avsnitt 5.4. Som redovisats ovan innehåller EU:s dataskyddsförordning många bestäm- melser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Sådana nationella bestämmelser har införts i bl.a. dataskyddslagen. I 2 kap. dataskyddslagen finns särskilda bestämmelser om rättslig grund för behandling av personuppgifter som kompletterar regleringen i dataskydds- förordningen. I kapitlets två första paragrafer tydliggörs när personuppgifter får behandlas med stöd av artikel 6.1 c (fullgörande av en rättslig förpliktelse) och 6.1 e (fullgörande av uppgift av allmänt intresse) i förordningen. I 2 kap. 1 § anges att personuppgifter får behandlas med stöd av artikel 6.1 c, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Behandling av personuppgifter med stöd av artikel 6.1 e får enligt 2 kap. 2 § ske om den är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning eller som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författ- ning. I dataskyddslagen har det också införts regler om när känsliga personupp- gifter enligt artikel 9 i dataskyddsförordningen får behandlas. Bestämmelserna ska ses mot bakgrund av att regleringen i artikel 9.2 kräver att rätten att behandla sådana uppgifter i vissa fall kommer till uttryck i unionsrätten eller i medlemsstaternas nationella rätt. Exempelvis följer av 3 kap. 3 § dataskydds- lagen att känsliga personuppgifter får behandlas av en myndighet för ett viktigt allmänt intresse (jfr artikel i dataskyddsförordningen) om –uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag –behandlingen är nödvändig för handläggningen av ett ärende eller –behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. I dataskyddslagen föreskrivs även att myndigheter får behandla sådana uppgifter som avses i artikel 10 i dataskyddsförordningen, dvs. uppgifter som bl.a. rör fällande domar i brottmål samt lagöverträdelser som innefattar brott (se 3 kap. 8 §). Även behandlingen av identifikationsuppgifter har reglerats särskilt i data- skyddslagen. Enligt 3 kap. 10 § får personnummer och samordningsnummer behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Regeringen får meddela ytterligare föreskrifter om i vilka fall behandling av personnummer och samordningsnummer är tillåten (se 3 kap. 11 §). Dataskyddslagen innehåller även vissa särskilda bestämmelser om tillämp- ningen av dataskyddsförordningens artiklar om registrerades rättigheter. Enligt 5 kap. 1 § dataskyddslagen gäller inte artikel 13–15 i dataskyddsför- ordningen om information och tillgång till personuppgifter sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som meddelats med stöd av författning. Om ett utlämnande av information skulle stå i strid med t.ex. offentlighets- och sekretesslagen behöver informationen således inte lämnas ut. Den registrerades rätt till tillgång till personuppgifter enligt artikel 15 gäller vidare inte personuppgifter i löpande text som inte har fått sin slutliga utform- ning när begäran gjordes eller som utgör minnesanteckning eller liknande, såvida inte vissa uppräknade undantagssituationer råder (se 5 kap. 2 § data- skyddslagen). Slutligen får regeringen meddela ytterligare föreskrifter om begränsningar av registrerades rättigheter enligt artikel 23, 89.2 och 89.3 i dataskyddsförordningen (se 5 kap. 3 § dataskyddslagen). Enligt 7 kap. 2 § dataskyddslagen får beslut som har meddelats av en myndighet i egenskap av personuppgiftsansvarig enligt artikel 12.5 och 15–21 i dataskyddsförordningen, dvs. beslut som avser vissa av de rättigheter som registrerade har, överklagas till allmän förvaltningsdomstol. Detta gäller dock inte beslut av regeringen, , eller JO. I dataskyddslagen finns även bestämmelser som rör bl.a. tillsynsmyndig- hetens handläggning samt sanktionsavgifter, vilka behandlas i avsnitt 5.4.1. Brottsdatalagen gäller vid behandling av personuppgifter som behöriga myn- digheter910 utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också vid behandling av personuppgifter som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet. (Se 1 kap. 2 §.) Eftersom varken dataskyddsförordningen eller dataskyddslagen är tillämp- lig på det aktuella området har det i brottsdatalagen tagits in bestämmelser som i många delar motsvarar eller liknar dataskyddsförordningens och dataskydds- lagens föreskrifter. I regel är de krav som ställs på personuppgiftsbehandlaren desamma eller mindre omfattande i brottsdatalagen jämfört med dataskydds- förordningen. Av brottsdatalagen följer att en myndighet som har i uppgift att utföra någon av de åtgärder som omfattas av lagen får behandla personuppgifter. Uppgiften att utföra åtgärden ska ha lämnats till myndigheten i lag, förordning eller ett särskilt regeringsbeslut. Personuppgifter får även behandlas om det är nödvändigt för diarieföringen eller om uppgifterna kommit in i bl.a. en anmälan och behandlingen är nödvändig för myndighetens handläggning. (Se 2 kap. 1 och 2 §§.) I likhet med dataskyddsförordningen finns i brottsdatalagen bestämmelser om hur uppgifterna ska behandlas. Bland annat ska uppgifterna behandlas på ett lagenligt och korrekt sätt. Uppgifterna ska vidare vara adekvata och rele- vanta i förhållande till ändamålen med behandlingen och får inte vara mer omfattande än vad som krävs för dessa ändamål. Uppgifterna får inte behandlas än vad som är nödvändigt med hänsyn till ända- målet med behandlingen, såvida det inte är fråga om bl.a. arkivering av all- männa handlingar. (Se 2 kap. 6, 8 och 17 §§.) Vidare ska den behöriga myndigheten göra åtskillnad mellan olika slag av personuppgifter. Så långt det är möjligt ska personuppgifter som rör olika 910Med behörig myndighet avses en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet när den behandlar personuppgifter för ett sådant syfte. Med begreppet omfattas även en annan aktör som har anförtrotts myndighetsutövning för ett sådant syfte, när den behandlar personuppgifter för det syftet. 6 § brottsdatalagen.) kategorier av registrerade särskiljas så att det framgår om personen är miss- tänkt, dömd för brott, brottsoffer eller någon annan som berörs av ett brott. Dessutom ska personuppgifter som grundar sig på fakta så långt det är möjligt särskiljas från personuppgifter som grundar sig på personliga bedömningar. Om det inte framgår av sammanhanget eller på annat sätt till vilken kategori personen hör eller vad uppgiften grundas på ska det tydliggöras genom en (Se 2 kap. 9 och 10 §§.) Utgångspunkten är även i brottsdatalagen att personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell lägg- ning, dvs. känsliga personuppgifter, inte får behandlas. uppgifter behandlas om de utgör ett komplement till andra uppgifter som får behandlas och det är absolut nödvändigt för ändamålet med behandlingen. 2 kap. 11 §.) I 3 kap. finns bestämmelser om den personuppgiftsansvariges skyldigheter. Den personuppgiftsansvarige ska bl.a. genom lämpliga tekniska och organisa- toriska åtgärder säkerställa och kunna visa att behandlingen av personupp- gifter är författningsenlig och att den registrerades rättigheter skyddas. ska den personuppgiftsansvarige genom lämpliga tekniska och organisatoriska åtgärder se till att nödvändiga skyddsåtgärder integreras i behandlingen. personuppgiftsansvarige ska dessutom se till att tillgången till personuppgifter begränsas till vad var och en behöver för att kunna fullgöra sina arbets- (Se 3 kap. 2 och 3 §§.) I kapitlet finns även föreskrifter om att den personuppgiftsansvarige ska göra en konsekvensbedömning bl.a. innan en ny typ av behandling påbörjas, om den kan antas medföra särskild risk för intrång i den registrerades per- Om konsekvensbedömningen visar att det finns särskild risk för intrång i registrerades personliga integritet eller om typen av behandling innebär särskild risk för intrång, ska den personuppgiftsansvarige samråda med tillsynsmyndigheten innan behandlingen påbörjas eller bety- dande förändringar genomförs. (Se 3 kap. 7 §.) I likhet med vad som gäller enligt dataskyddsförordningen ska den person- uppgiftsansvarige ha ett dataskyddsombud samt anmäla personuppgiftsinci- denter (se 3 kap. 9–11 och 13–15 §§). Enligt 3 kap. 3 § brottsdataförordningen ska den personuppgiftsansvarige vidare föra en förteckning över de kategorier av behandlingar av personuppgifter som denne ansvarar för. I 4 kap. brottsdatalagen regleras särskilda rättigheter för den registrerade. Rättigheterna enligt brottsdatalagen är dock mer begränsade än dataskydds- förordningens rättighetskapitel (jfr artikel 12–23 i dataskyddsförordningen). Den personuppgiftsansvarige ska exempelvis göra allmän information om behandlingen tillgänglig och i det enskilda fallet lämna specifik information om behandlingen till den registrerade, inklusive låta honom eller henne ta del av de personuppgifter som finns registrerade. Skyldigheten att lämna sådan personrelaterad information gäller dock inte om uppgifterna inte får lämnas ut av hänsyn bl.a. till intresset av att utreda brott och det finns stöd för att inte lämna ut uppgifterna i t.ex. offentlighets- och sekretesslagen. Informations- skyldigheten omfattar vidare inte uppgifter som ingår i löpande text som inte fått sin slutliga utformning eller i minnesanteckningar. (Se 4 kap. 2, 3, 5 och 6 §§.) Den registrerade har under vissa förutsättningar rätt till rättelse av felaktiga uppgifter och radering av uppgifter som behandlas i strid med vissa bestäm- melser i brottsdatalagen. Om förutsättningarna för att radera personuppgifter är uppfyllda men uppgifterna behöver finnas kvar av bevisskäl, får den person- uppgiftsansvarige i stället begränsa behandlingen av uppgifterna (se 4 kap. 9– 11 § brottsdatalagen). I 5 kap. regleras tillsynsmyndighetens uppdrag, uppgifter och befogenheter m.m.Av 2 a § förordningen (2007:975) med instruktion för Integritetsskydds- myndigheten följer att är tillsynsmyndighet även för tillämpningen av dataskyddsdirektivet, som ligger till grund för brottsdatalagen. I 6 kap. regleras tillsynsmyndighetens möjligheter att påföra tillsynsobjekten admini- strativa sanktionsavgifter vid överträdelse av vissa bestämmelser. Innehållet i dessa kapitel redogörs inte närmare för här, eftersom frågan om förhållandet mellan JO och tillsynsmyndigheten behandlas i avsnitt 5.4. I likhet med vad som anges i dataskyddslagen kan vissa av den person- uppgiftsansvariges beslut i fråga om bl.a. den registrerades rättigheter enligt brottsdatalagen överklagas till allmän förvaltningsdomstol. Inte heller i dessa fall kan beslut av regeringen, , Högsta förvaltningsdom- stolen eller JO överklagas. (Se 7 kap. 2 § brottsdatalagen.) JO:s hantering av personuppgifter JO behandlar som nämnts personuppgifter enligt såväl dataskyddsförord- ningen som brottsdatalagen. På sin webbplats beskriver JO behandlingen enligt följande:911 Personuppgifter som lämnas till JO i ett ärende, eller som hämtas in från t.ex. en anmäld myndighet, behandlas i JO:s elektroniska ärendehante- ringssystem. Systemet består av elektroniska akter i vilka diarieuppgifter och elektroniska handlingar registreras. I JO:s ekonomiadministrativa system behandlas uppgifter om leverantörer och referenspersoner m.fl. Uppgifter kan även komma att behandlas i JO:s e-postsystem. Med person- uppgifter avses namn, adress, fastighetsbeteckning och andra uppgifter som kan härledas till en viss fysisk person. Personuppgifterna behandlas för att JO ska kunna handlägga ärenden i enlighet med JO:s instruktion och för att kunna utföra sina uppgifter som myndighet. Behandlingen är nödvändig för att JO ska kunna fullgöra avtal, för att fullgöra sina rättsliga förpliktelser och för att utföra uppgifter av allmänt intresse (artikel 6.1 b, c och e EU:s dataskyddsförordning). Upp- gifterna gallras, dvs. tas bort och förstörs, i enlighet med JO:s dokument- hanteringsplan. Handlingar i tillsynsärendena gallras som regel inte. 911Se (information inhämtad ). Personuppgifter lämnas ut till anmälare och anmälda tjänstemän och myndigheter. Personuppgifter lämnas också ut till massmedia och i enlig- het med offentlighetsprincipen. I fråga om den registrerades rättigheter anges på webbplatsen följande: JO är skyldig att till var och en som begär det, lämna besked om vilka personuppgifter som behandlas hos JO om den sökande (registerutdrag). Av dataskyddsförordningen följer också att den registrerade har rätt att begära rättelse och, under vissa omständigheter, radering av uppgifter. Registrerade har också rätt att klaga till tillsynsmyndigheten, Integritets- skyddsmyndigheten (), om man anser att uppgifter behandlats i strid med gällande regler. På webbplatsen anges vidare att JO är personuppgiftsansvarig samt vem som är JO:s dataskyddsombud. Vilken behandling av personuppgifter som sker hos JO beskrivs närmare i det register över personuppgiftsbehandling som JO upprättat i enlighet med artikel 30 i dataskyddsförordningen.912 Av registret framgår bl.a. att person- uppgifter behandlas i följande system: –JO:s elektroniska ärendehanteringssystem –JO:s system för ekonomiadministration –JO:s system för reseräkningar –JO:s system för e-post –JO:s system för lönekartläggning –JO-anställdas datorer. Det anges vidare att sköter driften av alla system utom intranätet och lönekartläggningssystemet. Som framgår av redo- visningen i avsnitt 5.3.3 har personuppgiftsbiträdesavtal tecknats mellan JO och i fråga om personuppgiftsbehandling i samband med drift av JO:s ekonomi, löne- och reseräkningssystem, i inpasserings- system m.m., när det gäller drift, övervakning, support och underhåll av JO:s it-miljö samt i samband med textgranskning. I avtalen regleras bl.a. vilket ansvar och vilka skyldigheter har som personuppgifts- biträde. I registret upplyses vidare om att JO inte använder personuppgifter för profilering samt att personuppgifter inte förs över till tredje land eller inter- nationella organisationer utöver vad som kan följa av offentlighetsprincipen eller av att mottagaren av ett e-postmeddelande kan befinna sig i tredje land. I bilagor till registret anges i fråga om respektive system för vilka ändamål uppgifterna behandlas, vilka personuppgifter som aktualiseras, om det kan 912Se JO:s ärende med dnr ADM 64-2018. förekomma s.k. känsliga personuppgifter, vilka kategorier av personer som kan komma att registreras, vilken rättslig grund som finns för behandlingen, vem som kan komma att ta emot eller få tillgång till uppgifterna samt hur länge uppgifterna kan komma att bevaras. I fråga om exempelvis behandlingen av personuppgifter i JO:s ärende- hanteringssystem anges att behandlingen sker för att JO ska kunna handlägga ärenden i enlighet med instruktionen och utföra övriga uppgifter som ankom- mer på en myndighet, t.ex. att registrera handlingar. De personuppgifter som kan förekomma är namn, adresser, fastighetsbeteckningar m.m., men även samtliga kategorier av känsliga personuppgifter. I systemet – som utgör såväl ärendehanteringssystem som JO:s diarium och omfattar tillsynsärenden, lag- stiftningsremisser och administrativa ärenden – kan det förekomma uppgifter om anmälare, anmälda tjänstemän, handläggare och beslutsfattare vid myndig- heter samt övriga personer som nämns i anmälan. Vidare kan det förekomma uppgifter om personer som i andra fall kommunicerat med JO samt avtals- parter och JO:s anställda. Som rättslig grund för behandlingen anges artikel 6.1c och e dataskyddsförordningen,913 2 kap. 1 och 2 §§ dataskyddslagen samt 2 kap. 1 och 2 §§ brottsdatalagen. De känsliga personuppgifterna behandlas enligt registret med stöd av artikel dataskyddsförordningen samt 3 kap. 3 § 1 och 2 dataskyddslagen.914 Uppgifterna kan komma att lämnas ut till anmälare, myndigheter och nyhetsbyråer samt i enlighet med offentlighets- principen. Inom myndigheten har alla anställda tillgång till tillsynsserien och remisserien, men behörighetsbegränsningar finns i den administrativa serien. Avslutningsvis anges i förteckningen att handlingar i tillsynsärenden i regel inte gallras samt att regler om gallring finns i . Motsvarande förteckningar finns för de andra system där personuppgifter behandlas hos JO. Det kan noteras att det i dessa även hänvisas till andra rättsliga grunder för personuppgiftsbehandlingen. I fråga om t.ex. publicering av fotografier på JO:s webbplats sker detta med samtycke från den registrerade (jfr artikel 6.1 a i dataskyddsförordningen). När det gäller JO:s behandling av vissa personuppgifter i den personaladministrativa verksamheten anges, utöver att det kan vara fråga om behandling som är nödvändig för att uppfylla en rättslig förpliktelse, att behandlingen kan vara nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen (jfr artikel 6.1b och f i dataskyddsförordningen). för uppfyllande av en rättslig förpliktelse respektive fullgörande av en uppgift av allmänt intresse. behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse på så sätt att myndighetens behandling är nödvändig för handläggningen av ett ärende alternativt att uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag. Kommitténs förslag: Får en justitieombudsman eller Justitie- kanslern i sin tillsynsverksamhet en uppgift från en enskild ska sekretess till skydd för enskilds personliga förhållanden gälla för