Tillsyn enligt personuppgiftslagen (1998:204) uppföljning av ärende om Moderaternas medlemsregister

Transkript

1 Datum Diarienr Moderata Samlingspartiet Box STOCKHOLM Tillsyn enligt personuppgiftslagen (1998:204) uppföljning av ärende om Moderaternas medlemsregister Datainspektionens beslut Datainspektionen förutsätter att Moderata Samlingspartiet antingen inhämtar samtycke från registrerade för att behandla personuppgifter om tidigare medlemmar för återvärvningsändamål och om personer som uteslutits från partiet eller upphör med behandlingarna. Datainspektionen förutsätter att Moderata Samlingspartiet kompletterar informationen som lämnas till medlemmar om partiets behandling av personuppgifter. Ärendet avslutas. Redogörelse för tillsynsärendet Bakgrund Datainspektionen har i ett tidigare ärende (dnr ) granskat hur Moderata samlingspartiet (nedan Moderaterna) behandlar personuppgifter i ett centralt medlemsregister. Granskningen ingick i ett tillsynsprojekt i syfte att granska hur samtliga riksdagspartier behandlar personuppgifter om medlemmar och andra personer som kontaktar partierna för information eller liknande och om behandlingen uppfyller de krav som personuppgiftslagen ställer. Granskningen omfattade även IT-säkerheten vid behandlingarna. I det tidigare ärendet kunde Datainspektionen konstatera brister och förelade Moderaterna att vidta åtgärder för att uppfylla kraven i personuppgiftslagen. Postadress: Box 8114, Stockholm E-post: datainspektionen@datainspektionen.se Besöksadress: Drottninggatan 29, plan 5 Telefon: Webbplats: Telefax:

2 Uppföljning I detta ärende följer Datainspektionen upp det tidigare ärendet genom att kontrollera vilka åtgärder Moderaterna vidtagit för att rätta till vissa brister. Partiet har skriftligen svarat på frågor om vidtagna åtgärder och i de fall arbetet med att åtgärda bristerna ännu inte är avslutat har partiet redogjort för det arbete som pågår och hur länge det beräknas ta. Skäl för beslutet Känsliga personuppgifter En uppgift om medlemskap i ett politiskt parti är en känslig personuppgift, eftersom den avslöjar politiska åsikter. Känsliga personuppgifter får behandlas med stöd av personuppgiftslagen. Av 17 personuppgiftslagen framgår att en ideell organisation med ett politiskt syfte, inom ramen för sin verksamhet, får behandla personuppgifter om organisationens medlemmar och sådana andra personer som på grund av organisationens syfte har regelbunden kontakt med den. Tidigare medlem Uppgifter i medlemsregistret om en person som, t.ex. utträtt eller uteslutits från ett politiskt parti och därför inte längre är medlem i organisationen är också en känslig personuppgift, eftersom den kan anses avslöja en politisk åsikt. En organisation får inte med stöd av 17 personuppgiftslagen behandla känsliga personuppgifter om en person som inte längre är medlem och inte heller på grund av organisationens syfte har regelbunden kontakt med organisationen. För det fall medlemskapet avslutas när en medlem inte betalat medlemsavgiften, men denne fortfarande har uppdrag för partiet eller deltar i partiaktiviteter och själv uppfattar sig som medlem, kan partiet behandla känsliga personuppgifter om denne med stöd av 17 personuppgiftslagen. Detta eftersom personen på grund av organisationens syfte har regelbunden kontakt med partiet. Frågan om en person är medlem eller inte menar Datainspektionen får bestämmas enligt civilrättsliga regler med ledning av exempelvis organisationens stadgar och liknande. När det gäller ett medlemskap som avslutas är det rimligt att organisationen behöver en kortare tid för att administrera att medlemsförhållandet upphör. Tiden bör dock inte vara längre än tre månader efter att medlemskapet formellt upphör. Därefter anser Datainspektionen att medlemskapet måsta kunna betraktas som avslutat och att det därmed inte längre finns stöd att behandla uppgifterna. Sida 2 av 6

3 Datainspektionen har i sitt tidigare beslut förelagt Moderaterna att antingen upphöra med att behandla uppgifter om tidigare medlemmar för ändamålet återvärvning och om uteslutna medlemmar eller inhämta samtycken till behandlingarna. Moderaterna har uppgett att partiet för närvarande ser över frågan om behandling av personuppgifter om tidigare medlemmar i medlemsregistret. Uppgifter om en före detta medlem som uttryckligen begärt utträde kommer även fortsättningsvis att avidentifieras i samband med att medlemskapet upphör. Enligt partiets stadgar anges i nuläget att medlem är den som betalat fastställd medlemsavgift. Att omedelbart och automatiskt avregistreras personer som inte betalat för aktuell medlemskapsperiod skulle ge upphov till omfattande problem såväl för partiet som enskilda. Det förekommer att medlemmar av olika skäl inte betalar medlemsavgiften i början av året, men betalar vid senare tidpunkt efter flera påminnelser. Det förekommer också att personer tror sig vara medlemmar utan att ha betalt fastställd medlemsavgift. Det kan finnas behov av att spara personuppgifter i medlemsregistret om personer vars medlemskap gått ut även en viss tid efter att medlemskapet formellt upphört på grund av att betalning inte erlagts för att, t.ex. följa partiets nomineringsregler. Moderaterna behöver närmare se över på vilket sätt ändringar kommer att påverka t.ex. förutsättningar för förtroendevalda, nomineringsregler och ytterst risken för att personer kan komma att företräda partiet utan att finnas med i medlemsregistret, innan ändringar kan genomföras. Den översyn som påbörjats kan till och med innebära ett behov av ändringar av partiets stadgar, t.ex. definition av medlem. Eventuella stadgeändringar kan behandlas tidigast vid ordinarie stämma hösten Arbetet med att se över rutiner och eventuella förändringar har påbörjats och kan även komma att avse inhämtande av samtycke för behandling av personuppgifter. Moderaternas har uppgett att behandling av personuppgifter rörande uteslutna medlemmar ingår i översynen, men att det krävs ytterligare analys innan personuppgifter om uteslutna helt raderas i medlemsregistret. Uppgifter om uteslutna personer i medlemsregistret används för att säkerställa att dessa inte tillåts inträda som medlemmar i partiet igen, utan att så beslutats i enlighet med vad som anges i stadgarna. Denna kontroll är nödvändig för den demokratiska processen såväl inom partiet som i samhället i stort. Om partiet inte bevarade uppgifter om en utesluten medlem i medlemsregistret, skulle denne kunna komma att erhålla medlemskap och ytterst, innan missförhållandet uppdagades erhålla kommunala uppdrag utan möjlighet för partiet att därefter kunna åtgärda missförhållandet. Skälet för det är att politiska uppdrag är personliga. Partiet menar att det genom stadgarna tillräckligt klart kan förstås att uteslutning kan medföra aktuell Sida 3 av 6

4 personuppgiftsbehandling. Skulle så inte vara fallet, kommer dock informationstext till medlemmar kompletteras rörande information om behandling av uppgifter om uteslutna medlemmar. Moderaterna bedömer det inte som en realistisk väg att inhämta samtycke från samtliga medlemmar för användning för det fall att medlem ska bli utesluten. I nuläget anser partiet att politiska partier inte kan göra annat än framhäva en rätt att behandla personuppgifter om uteslutna medlemmar med stöd av 16 c) personuppgiftslagen, då det inte bedöms möjligt att helt radera alla personuppgifter om uteslutna. Moderaterna har uppgett att det ankommer på Datainspektionen att inte bara tolka svensk rätt på ett sätt som står i överensstämmelse med dataskyddsdirektivet utan att även se till att inte grunda sig på en tolkning som skulle stå i strid med de grundläggande rättigheter som skyddas genom gemenskapens rättsordning eller med andra allmänna gemenskapsrättsliga principer såsom proportionalitetsprincipen. Datainspektionen hänvisar till att Moderaterna har lagstöd i 17 personuppgiftslagen att behandla känsliga personuppgifter om egna medlemmar för att administrera medlemskapet. Däremot saknar ett politiskt parti stöd i 17 personuppgiftslagen om partiet vill använda medlemsuppgifterna för andra ändamål än medlemsadministration och för att behandla uppgifterna när medlemskapet är avslutat och personen i fråga inte heller har valt att ha regelbunden kontakt med partiet. Datainspektionen menar att politiska partier inte heller har stöd i 16 första stycket c personuppgiftslagen att behandla uppgifter om personer som uteslutits från partiet, i syfte att hindra återregistrering som medlem, eftersom behandlingen inte kan anses vara nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk. Det hindrar dock inte att ett politiskt parti, som vill använda uppgifter om medlemmar för andra ändamål, begär in separata samtycken genom att registrerade får samtycka till den aktuella behandlingen, t.ex. att behandla uppgifter om tidigare medlem för återvärvning eller om en person som har uteslutits från partiet, i syfte att motverka att personen återregistreras som medlem. Ett samtycke enligt personuppgiftslagen är en frivillig och tydlig viljeyttring genom vilken den registrerade - efter att ha fått information - godtar behandlingen av personuppgifter om sig själv. För att behandling av känsliga uppgifter ska vara tillåten med stöd av ett samtycke från en registrerad ska samtycket vara uttryckligt, vilket innebär att samtycket för det bestämda ändamålet måste komma till uttryck på ett särskilt tydligt sätt. Samtycke genom konkludent handlande är inte tillräckligt. Ett generellt samtycke till behandling av personuppgifter kan inte godtas utan samtycket ska gälla behandling för preciserade ändamål. För att samtycket ska vara giltigt enligt Sida 4 av 6

5 personuppgiftslagen ska den registrerade ha fått tillräcklig information om behandlingen. Den registrerade måste ha fått sådan information att han eller hon kan ta ställning till om hans eller hennes personuppgifter ska få behandlas för det ändamål och på det sätt som planerats. Ett samtycke kan alltså inte omfatta annan behandling än sådan som den registrerade fått information om. Datainspektionen konstaterar att Moderaterna behandlar personuppgifter i strid med 13 personuppgiftslagen, eftersom partiet saknar stöd i personuppgiftslagen att behandla uppgifter om tidigare medlemmar för återvärvning och om personer som uteslutits från partiet, i syfte att motverka att de återregistreras som medlemmar. Datainspektionen konstaterar dock att Moderaterna påbörjat en översyn rörande partiets behandlingar av uppgifter om tidigare medlemmar i medlemsregistret och ändringar av rutiner, vilket kan innebära att man ändrar stadgar och inhämtar samtycken från registrerade. När det gäller uppgifter om uteslutna medlemmar har Moderaterna uppgett att det krävs ytterligare analys innan uppgifterna helt kan raderas i medlemsregistret. Datainspektionen förutsätter därför att Moderaterna antingen inhämtar ett giltigt samtycke till att behandla personuppgifter om tidigare medlemmar för återvärvningsändamål och om uteslutna medlemmar eller upphör med behandlingarna. Information Den personuppgiftsansvarige är skyldig att självmant informera de registrerade om behandlingen av personuppgifter. Informationen ska innehålla uppgift om den personuppgiftsansvariges identitet, ändamålen med behandlingen och all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen. Sådan övrig information är t.ex. information om vilka kategorier av uppgifter som behandlas, kategorier av mottagare av uppgifterna, hur länge uppgifterna sparas samt rätten att gratis en gång årligen efter ansökan erhålla information och rätten att få rättelse av felaktiga eller missvisande uppgifter. Datainspektionen har i sitt tidigare beslut förelagt Moderaterna att komplettera informationen som lämnas till medlemmar och andra registrerade om behandling av personuppgifter så att informationen uppfyller de krav som ställs i personuppgiftslagen. Moderaterna har uppgett att man på webbplatsen och i det välkomstbrev som lämnas till nya medlemmar, gjort vissa ändringar i informationen om hur Sida 5 av 6

6 partiet behandlar personuppgifter. Moderaterna kommer att ytterligare revidera informationen när en utredning rörande medlemskap och behandling av personuppgifter om uteslutna medlemmar har avslutats. Partiet kommer då att mer fullständigt se över informationstexten. Bland annat kommer man att se till att information om rätten att ansöka om information och rätten att får rättelse omfattar även andra registrerade än medlemmar. Informationstexten kommer att förtydligas, exempelvis om vilka uppgifter som inhämtas från SPAR, att personuppgifter kan komma att lämnas ut till samarbetspartners och delorganisationer, vilka är personuppgiftsbiträden till Moderaterna. Datainspektionen konstaterar att Moderaterna har åtgärdat brister i informationen till de registrerade och att partiet ytterligare kommer att förtydliga och komplettera informationen. För det fall Moderaterna avser att grunda behandling av personuppgifter på samtycke från de registrerade förutsätter Datainspektionen att Moderaterna kompletterar informationen med uppgifterna för vilka ändamål personuppgifterna behandlas och hur länge de sparas. Ärendet avslutas. Hur man överklagar Om ni vill överklaga beslutet skall ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut som överklagas och den ändring som ni begär. Inspektionen måste ha fått ert överklagande inom tre veckor från den dag ni fick ta del av beslutet, annars kan överklagandet inte prövas. Datainspektionen sänder överklagandet vidare till Förvaltningsrätten i Stockholm för prövning om inspektionen inte själv ändrar beslutet på det sätt ni har begärt. Gunilla Öberg I handläggningen av detta ärende har även IT-säkerhetsspecialisten Adolf Slama deltagit. Sida 6 av 6