prop · H903203 · 2022-03-30 00:00:00 — Kraven på en personuppgiftsansvarig är bland annat att man vid behandling av personuppgifter följer de grundläggande principerna:342 laglighet, korrekthet och öppenhet – uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade ändamålsbegränsning – uppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (den så kallade finalitetsprincipen)343 uppgiftsminimering – uppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas korrekthet – uppgifter ska vara korrekta och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål lagringsminimering344 – uppgifter får inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas.345 integritet och konfidentialitet – uppgifter ska behandlas på ett sätt som säkerställer lämplig säkerhet – inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse –med användning av lämpliga tekniska eller organisatoriska åtgärder. Därutöver anges principen om ansvarsskyldighet – den personuppgiftsansvarige ska ansvara för och kunna visa att de grundläggande principerna efterlevs. Artikel 4 (2) dataskyddsförordningen. Den fullständiga definitionen av behandling framgår av artikel 4 (2)i dataskyddsförordningen: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring. Definitionen av personuppgifter framgår av artikel 4 (1): varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbarfysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Artikel 4 (1) dataskyddsförordningen. Artikel 5.1 (a–f) dataskyddsförordningen. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen anses inte vara oförenlig med de ursprungliga ändamålen. Principen om lagringsminimering gäller inte för bestämmelser som anger att uppgifter ska sparas under vissa perioder i annan lagstiftning. Exempelvis finns krav inom offentlig verksamhet på att uppgifter ska sparas om det inte finns gallringsföreskrifter som medger att uppgifter får gallras. Det finns också föreskrifter exempelvis i bokföringslagen om hur länge bokföringsmaterial måste bevaras i bokföringssyfte. Personuppgifter får lagras om de enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen, under förutsättning att lämpliga tekniska och organisatoriska åtgärder genomförs för att säkerställa den registrerades rättigheter och friheter. Rättsliga grunder som gör behandling av personuppgifter tillåten En vanlig fråga och vanliga klagomål rör den rättsliga grunden för att någon ska få hantera personuppgifter. Enligt förordningen finns sex rättsliga grunder som gör att personuppgiftsbehandlingen kan uppfylla den grundläggande principen om legalitet. För den personuppgiftsansvarige betyder det att denna har att säkerställa att den personuppgiftsbehandling som genomförs har stöd i någon av de rättsliga grunderna. De rättsliga grunderna som kan utgöra rättsligt stöd för behandlingen är samtycke – den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. Samtycket ska vara frivilligt och uttryckligt och ska när som helst kunna återkallas. Personuppgifterna får då inte längre behandlas. Samtycke kan sällan användas av offentliga aktörer eller i andra sammanhang där det råder en obalans i maktförhållandet mellan den enskilde och den andra parten, till exempel vid anställningsförhållanden avtal – behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås rättslig förpliktelse – behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige vitalt intresse – behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person allmänt intresse – behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Grunden gäller framför allt i offentlig verksamhet men används även när privata aktörer utför en uppgift av allmänt intresse intresseavvägning – behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Intresseavvägning kan inte användas av myndigheter. Grunderna kopplar som nämnts till den grundläggande principen om laglighet – uppfyller man inte någon av dem är den tilltänkta eller önskade behandlingen av personuppgifter inte tillåten. Krav på tillräckliga säkerhetsåtgärder för att skydda personuppgifterna Dataskyddsreglerna innehåller också flera bestämmelser om säkerhetsåtgärder. av stora mängder personuppgifter har ökat kraven på adekvat skydd för dessa. Regelverket adresserar frågan på flera sätt. Skyddet för den personliga integriteten är en grundläggande princip – ansvar för integritet och konfidentialitet – och krav på tillräcklig säkerhet – hör, som har beskrivits, till en av de grundläggande principerna i dataskyddsförordningen.346 Utgångspunkten är att den personuppgiftsansvarige måste säkerställa att åtgärder vidtas som leder till att uppgifterna ges tillräckligt skydd mot obehörig eller otillåten behandling, förlust, förstöring eller skada. Den personuppgiftsansvarige har ett utpekat ansvar att genomföra ett strategiskt och systematiskt arbete kring hur personuppgifter får hanteras – den personuppgiftsansvarige har ett utpekat ansvar för hur personuppgifter hanteras i verksamheten. Det handlar som nämnts om att anpassa verksamheten så att de grundläggande principerna uppfylls och det finns stöd i en rättslig grund. Detta förutsätter i grunden ett löpande och systematiskt arbete med att säkerställa att de personuppgifter som hanteras i verksamheten löpande har tillräckligt skydd och att man har kontroll över vilka uppgifter som hanteras i verksamheten, varför, på vilket sätt och av vem. Förordningen pekar på flera sätt ut ansvaret för den personuppgiftsansvarige. Flera bestämmelser pekar på vikten av att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen.347 Det är inte frågan om att detta ska göras vid ett enstaka tillfälle utan ansvarig har att se över och uppdatera åtgärderna vid behov. Artikel 5.1 (f) dataskyddsförordningen. Utöver artikel 5.2 (ansvarsskyldigheten), artikel 24 dataskyddsförordningen. Det finns krav på att bygga in dataskydd i de tekniska och organisatoriska åtgärder som implementeras, till exempel pseudonymisering (inbyggt dataskydd), men också säkerställa att inställningar anpassas och åtgärder vidtas för att tillgodose de grundläggande principerna, exempelvis uppgiftsminimering (dataskydd som standard). Framför allt ska åtgärderna säkerställa att personuppgifter inte utan den enskildes medverkan görs tillgängliga för ett obegränsat antal fysiska personer.348 Åtgärder behöver övervägas både vid fastställandet av hur behandlingen ska utföras och vid själva behandlingen. Hur omfattande åtgärder som behöver vidtas är beroende av dels den tekniska utvecklingen, vad som är möjligt och hur mycket det skulle kosta att genomföra åtgärderna, dels behandlingens art, omfattning, sammanhang och ändamål samt vilka risker den medför för enskilda. Utgångspunkten är således att personuppgiftsansvariga har omfattande krav på sig när de behandlar personuppgifter att löpande vidta åtgärder för att säkerställa att personuppgifter ges ett tillräckligt skydd mot obehörig eller otillåten behandling, förlust, förstöring eller skada. Säkerheten måste löpande säkerställas i samband med att behandling sker – det finns ytterligare bestämmelser som pekar ut hur säkerheten ska säkerställas.349 Den personuppgiftsansvarige har att vidta tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Åtgärderna kan, när det är lämpligt, omfatta till exempel •pseudonymisering och kryptering av personuppgifter •förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystem och tjänster •förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident •ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet. Artikel 25 dataskyddsförordningen. Artikel 32 dataskyddsförordningen. Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandling medför, i synnerhet för oavsiktlig eller olaglig förstöring, förlust eller ändring eller för obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Den personuppgiftsansvarige ska vidta åtgärder för att säkerställa att varje person som utför arbete under dennes överinseende och som får tillgång till personuppgifter, endast behandlar dessa på instruktion från den personuppgiftsansvarige. Krav på konsekvensbedömning som ett led i att värdera risker – den personuppgiftsansvarige ska, som har framgått, löpande bedöma de risker som uppstår genom att personuppgifter behandlas i verksamheten. Ett stöd för att göra detta är att göra riskanalyser. I dataskyddsförordningen ställs krav på en särskild typ av riskbedömning som kallas konsekvensbedömning350. En sådan ska genomföras om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. I sådana fall ska en konsekvensbedömning göras innan personuppgifter börjar behandlas. För brottsbekämpande myndigheter är kraven på konsekvensbedömning högre. En sådan ska genomföras om en ny typ av behandling, eller betydande förändringar av redan pågående behandling, kan antas medföra särskild risk för intrång i den registrerades personliga integritet.351 Konsekvensbedömning i samband med lagstiftning behandlas i avsnitt 6.3.1.2 3 kap. 7 § första stycket brottsdatalagen. Särskilt om kraven på konsekvensbedömning En konsekvensbedömning ska i vart fall innehålla •en systematisk beskrivning av den planerade behandlingen och behandlingens syften •en bedömning av behovet och, när så är lämpligt, den personuppgiftsansvariges berättigade intresse av behandlingen •en bedömning av riskerna för de registrerades rättigheter och friheter •de åtgärder som planeras för att hantera riskerna (exempelvis skyddsåtgärder, säkerhetsåtgärder och rutiner för att säkerställa skyddet av personuppgifterna) och för att visa att förordningen efterlevs •en bedömning och analys av proportionaliteten hos behandlingen i förhållande till syftena. En konsekvensbedömning behövs särskilt när det är frågan om •en systematisk och omfattande bedömning av fysiska personers personliga aspekter som grundar sig på automatisk behandling (inbegripet profilering) och på vilken beslut grundar sig som har rättsliga följder för fysiska personer eller i betydande grad påverkar fysiska personer •behandling i stor omfattning av känsliga personuppgifter, personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott •systematisk övervakning av en allmän plats i stor omfattning. har tagit fram en förteckning där mer konkreta exempel ges på när en konsekvensbedömning behöver genomföras.352 Artikel 35.4 dataskyddsförordningen, /globalassets/dokument/beslut/forteckning---konsekvensbedom- ningar.pdf. Krav på konsekvensbedömning föreligger om den planerade behandlingen uppfyller minst två av följande kriterier; behandlingen 1.utvärderar eller poängsätter människor; till exempel genetiska tester som erbjuds konsumenter för att bedöma och förutse risker för sjukdomar, eller kreditupplysningsföretag eller företag som profilerar internetanvändare 2.sker i syfte att fatta automatiserade beslut som har rättsliga eller betydande följder för den registrerade 3.medför systematisk övervakning av människor, till exempel genom kameraövervakning av en allmän plats eller genom insamling av uppgifter från internetanvändning i offentliga miljöer 4.avser känsliga personuppgifter eller uppgifter som är av mycket personlig karaktär, till exempel sjukhus som lagrar patientjournaler, företag som samlar in lokaliseringsuppgifter eller banker som hanterar finansiella uppgifter 5.sker i stor omfattning 6.kombinerar personuppgifter från olika behandlingar på ett sätt som avviker från vad de registrerade rimligen kunnat förvänta sig, till exempel när man samkör register 7.avser personer som av något skäl befinner sig i ett underläge eller i beroendeställning och därför är sårbara, till exempel barn, anställda, asylsökande, äldre och patienter 8.avser ny teknik eller nya organisatoriska lösningar, till exempel en IoT-applikation 9.syftar till att hindra registrerade från att få tillgång till en tjänst eller ingå ett avtal, till exempel en banks granskning av kunder mot en databas för kreditupplysning för att besluta om de ska erbjudas lån. När det gäller användning av ny teknik, eller användning av digitala plattformar eller tjänster som vanligen bygger på stora datamängder kan konstateras att en konsekvensbedömning ofta krävs. Exempel på behandlingar som kan kräva konsekvensbedömning är behandling av personuppgifter i samband med: •tillhandahållande av sociala medieplattformar eller av smarta hem-produkter där insamling sker av detaljerade uppgifter om användningen av tjänsten •installation av smarta elmätare hos elabonnenter för att kunna ta fram, överföra och analysera uppgifter som rör konsumenter på en detaljerad nivå •system för intelligent videoanalys för att skilja ut bilar och automatiskt känna igen registreringsskyltar isyfte att övervaka körbeteendet på motorvägar, eller användning av kamerabevakning för att skilja ut registreringsnummer i syfte att debitera parkeringsavgifter •insamling av bland annat lokaliseringsuppgifter isyfte att använda dessa vid exempelvis stads- och trafikplanering eller som uppkommer genom användning av smarta bilar, till exempel för att utveckla tekniken •användning av välfärdsteknik, till exempel robotar eller kamerabevakning, i människors boenden •myndigheters service genom digitala plattformar som leder till storskalig behandling av personuppgifter •större förändringar i den tekniska infrastrukturen exempelvis inom hälso- och sjukvård eller social omsorg. Andra exempel på behandlingar som kan kräva konsekvensbedömning rör följande. •banker eller andra kreditinstitut som fattar automatiserade beslut om en kredit ska beviljas eller inte •omfattande behandling av ekonomiska uppgifter för att kunna lämna ut dessa till andra aktörer för kreditupplysningsändamål •omfattande behandling av uppgifter om kunders tidigare misskötsamhet (en s.k. svart lista) i syfte att avgöra om personen ska få återkomma som kund eller inte •behandling av barns personuppgifter i skolverksamhet eller i social omsorg, om det är ett större antal registrerade. En konsekvensbedömning kan vara nödvändig för att komma fram till vilka risker en tänkt behandling medför och för att kunna vidta relevanta åtgärder för att minska dessa risker. Det bör återigen påpekas att en konsekvensbedömning ska genomföras om en behandling sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. Om den personuppgiftsansvarige gör bedömningen att behandlingen sannolikt inte leder till en hög risk, finns således inte krav på att genomföra en konsekvensbedömning. I sådana fall bör dock den personuppgiftsansvarige motivera och dokumentera anledningarna till att en konsekvensbedömning inte utförs och inkludera ett ev. dataskyddsombuds synpunkter. Även här ställs krav på uppföljning och den personuppgiftsansvarige ska vid behov genomföra en översyn för att bedöma om behandlingen genomförs i enlighet med konsekvensbedömningen. Det ska i vart fall genomföras när den risk som behandlingen medför förändras. Det kan sammanfattningsvis konstateras att kraven på konsekvensbedömning är höga och träffar stora delar av de nya tekniker, appar och systembyten som sker i teknikutvecklingen. Även om förhandssamråd inte behövs, fordras i många fall att en konsekvensbedömning har gjorts där dessa ställningstaganden framgår. är den personuppgiftsansvarige som har krav på sig att kunna visa att så har skett. Om en konsekvensbedömning visar att en planerad behandling skulle leda till en hög risk om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken, har den personuppgiftsansvarige att vidta åtgärder för att minska risken. Skulle behandlingen, trots vidtagna åtgärder, fortfarande medföra en hög risk för de registrerades grundläggande fri- och rättigheter ska den personuppgiftsansvarige begära förhandssamråd med tillsynsmyndigheten. Förhandssamrådet ska genomföras innan behandlingen påbörjas.353 Om tillsynsmyndigheten anser att den planerade behandlingen skulle strida mot förordningen, och särskilt om den personuppgiftsansvarige inte i tillräcklig mån har fastställt eller reducerat risken, ska tillsynsmyndigheten ge den personuppgiftsansvarige (och i tillämpliga fall ett personuppgiftsbiträde) skriftliga råd. får i förhandssamrådsförfarandet utnyttja alla utredningsbefogenheter som myndigheten har tillgång till enligt förordningen.354 För brottsbekämpande myndigheter är kraven på förhandssamråd högre. Om konsekvensbedömningen visar att det finns särskild risk för intrång i registrerades personliga integritet eller om typen av behandling innebär särskild risk för intrång, ska den personuppgiftsansvarige begära förhandssamråd med tillsynsmyndigheten i god tid innan behandlingen påbörjas eller betydande förändringar genomförs. Perioden är här med möjlighet till förlängning . Krav på hantering av personuppgiftsincidenter Det finns omfattande krav på skyndsam hantering om en personuppgiftsincident inträffar. En incident är en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.355 Vid en personuppgiftsincident ska den personuppgiftsansvarige skyndsamt och senast efter att ha fått vetskap om incidenten, anmäla den till tillsynsmyndigheten.356 Incidenter behöver inte anmälas om det är osannolikt att personuppgiftsincidenten medför en risk för fysiska personers rättigheter och friheter. Om anmälan görs ska förseningen motiveras. Det finns även bestämmelser om personuppgiftsbiträdens ansvar för att underrätta den personuppgiftsansvarige. Det finns också krav på den personuppgiftsansvarige att dokumentera alla personuppgiftsincidenter på ett sätt som gör det möjligt för tillsynsmyndigheten att kontrollera efterlevnaden av bestämmelsen om incidentrapportering. Det finns även en informationsplikt kopplad till incidenthanteringen. Om incidenten sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige utan onödigt dröjsmål informera den registrerade om personuppgiftsincidenten. Information behövs inte om den personuppgiftsansvarige har genomfört lämpliga tekniska och organisatoriska skyddsåtgärder som tillämpats på de personuppgifter som påverkades av personuppgiftsincidenten (exempelvis om uppgifterna gjorts oläsbara för obehöriga, till exempel genom kryptering, ytterligare åtgärder har vidtagits som säkerställer att den höga risken för registrerades rättigheter och friheter sannolikt inte längre kommer att uppstå eller om informationsplikten skulle inbegripa en oproportionell ansträngning. I så fall ska i stället allmänheten informeras eller en liknande åtgärd vidtas genom vilken de registrerade informeras på ett lika effektivt sätt. Artikel 36 dataskyddsförordningen. Artikel 4.12 dataskyddsförordningen. Artikel 58 dataskyddsförordningen. Artikel 33 dataskyddsförordningen. arbetar för att skydda medborgarnas alla personuppgifter, till exempel om hälsa och ekonomi, så att de hanteras korrekt och inte hamnar i orätta händer. Det är vi som granskar att företag, myndigheter och andra aktörer följer GDPR Vi utbildar och vägleder dem som behandlar personuppgifter. Vi påverkar även lagstiftningen. Vi vill se en hållbar och integritetsvänlig digitalisering. Vi är övertygade om att det går att värna medborgarnas trygghet och samhällets säkerhet, utan omotiverad kartläggning och övervakning. Tillsammans med övriga dataskyddsmyndigheter i EU arbetar vi för att medborgarnas personuppgifter ska ha samma skydd i hela unionen. Vi arbetar även för att kreditupplysning och inkassoverksamhet ska bedrivas på ett korrekt sätt. Vår vision är ett tryggt informationssamhälle, där vi tillsammans värnar den personliga integriteten. Postadress: , Box 8114, 104 20 . Utdrag ur protokoll vid regeringssammanträde Närvarande: statsminister , ordförande, och statsråden , , , Shekarabi, Ygeman, , , , , , , , , , , , , , , Karkiainen Regeringen beslutar skrivelse Utvecklingen på it-området när det gäller integritet och ny teknik