sou · GPB392 · 2002-01-01 00:00:00 — Personuppgifter skall enligt 9 § c–d personuppgiftslagen samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. behandling får inte ske för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Behandling av uppgifter för historiska, Grundläggande bestämmelser om behandling av personuppgifter 167 statistiska och vetenskapliga ändamål skall dock inte anses som oförenligt med de ändamål för vilka uppgifterna samlades in. Kravet i punkt c av lagrummet innebär att ändamålen med en behandling av personuppgifter måste bestämmas redan när uppgifterna samlas in. Ändamålet måste då anges uttryckligen. Att ändamålen skall vara särskilda innebär att en alltför allmänt hållen ändamålsangivelse inte godtas. Hur pass detaljerad ändamålsangivelsen skall vara för att uppfylla lagens krav på att vara särskild får avgöras i praxis (jfr SOU 1997:39 s. 350). De ändamål för vilka personuppgifterna samlas in skall vara berättigade. I vilka fall det är berättigat att samla in och behandla personuppgifter framgår av personuppgiftslagen och anknytande lagstiftning. Det förefaller osäkert om bestämmelsen om berättigade ändamål har någon självständig betydelse. Den har dock tagits med i den svenska lagen för säkerhets och fullständighets skull (SOU 1997:39 s. 350). De insamlade uppgifterna får som sagt behandlas för andra ändamål än de för vilka uppgifterna samlades in bara om de nya ändamålen inte är oförenliga med de ursprungliga ändamålen. Vad som är oförenligt med de ursprungliga ändamålen har inte närmare preciserats. Lag- rummets ordalydelse medger i alla fall att vissa smärre avvikelser från det ursprungliga ändamålet görs vid behandling av de insamlade uppgifterna. Den nämnda bestämmelsen ger uttryck för den så kallade finalitetsprincipen och är en mycket viktig del i personuppgiftslagen. Den begränsar t.ex. i praktiken s. k. samkörning av register. Den inne- bär vidare i praktiken att den personuppgiftsansvarige på något sätt måste hålla reda på för vilka ändamål varje personuppgift har samlats in. 9.2.3Personuppgifternas kvalitet och omfattning De behandlade uppgifterna skall enligt 9 § e vara adekvata och relevanta i förhållande till ändamålet med behandlingen, vilket innebär att ovidkommande uppgifter inte får behandlas. Det är enligt punkt f inte tillåtet att behandla fler personuppgifter än som är nödvändigt med hänsyn till ändamålet med behandlingen. Enligt samma lagrums punkt g skall de behandlade uppgifterna vara riktiga och, om det är nödvändigt, aktuella. Den personuppgiftsansvarige måste också, enligt punkt h, självmant vidta alla rimliga åtgärder för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen. 168 Grundläggande bestämmelser om behandling av personuppgifter En uppgift är riktig om den stämmer överens med de verkliga förhållandena. Svårigheten är dock ofta att bestämma vilka de verkliga förhållandena är som den registrerade uppgiften skall spegla. Här får man söka ledning i ändamålen med behandlingen (jfr , Personuppgiftslagen En kommentar, 1998, s. 60 f.). I nämnda kommentar till personuppgiftslagen ges följande exempel. I vissa fall är avsikten med en behandling bara att registrera uppgifter som kommit in, t.ex. genom ansökningar eller mottagna order. De behandlade uppgifterna torde då vara riktiga om de stämmer överens med de inkomna uppgifterna (oavsett hur dessa lämnade uppgifter förhåller sig till de verkliga förhållandena). Enligt 9 § första stycket punkt i personuppgiftslagen får personupp- gifter bevaras bara så länge det är nödvändigt med hänsyn till ända- målen med behandlingen. Gallring innebär förstöring. Personupp- gifterna måste därefter alltså avidentifieras eller utplånas. Bestämmelsen om gallring i 9 § första stycket personuppgiftslagen står i viss motsättning till bestämmelserna i arkivlagen (1990:782), vilka till skillnad från nämnda gallringsregel i personuppgiftslagen utgår från att det ligger ett värde i att allmänna handlingar bevaras. I 3 § tredje stycket arkivlagen föreskrivs att myndigheternas arkiv skall bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, tillgodoser behovet av information för rättskip- ningen och förvaltningen samt tillgodoser forskningens behov. Det påpekas i 10 § arkivlagen också att det skall beaktas att arkiven utgör en del av kulturarvet. Motsättningen mellan nämnda gallringsregel i personuppgiftslagen och reglerna i arkivlagen har lösts genom att myndigheternas arkivering och bevarande av allmänna handlingar har undantagits från personuppgiftslagens tillämpnings- område genom 8 § andra stycket personuppgiftslagen som handlar om lagens förhållande till offentlighetsprincipen. Vidare finns i 9 § andra stycket av lagen en bestämmelse som säger att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål än som sägs i 9 § första stycket. Polisdatalagen innehåller särregler om gallring. I 13 § av lagen föreskrivs att uppgifter som inte längre behövs för sitt ändamål skall gallras om inte annat anges i lagen. Detta gäller dock inte uppgifter i en förundersökning. Regeringen eller den myndighet regeringen bestämmer, får enligt samma lagrum meddela föreskrifter om att upp- gifter får bevaras för historiska, statistiska och vetenskapliga ändamål. Grundläggande bestämmelser om behandling av personuppgifter 169 Lagstiftningen skiljer alltså mellan personuppgifter som behandlas i en förundersökning och andra personuppgifter som behandlas av polisen. Uppgifter i förundersökningar som dokumenteras på papper arkiveras enligt arkivlagens bestämmelser om inte akten enligt sär- skilda föreskrifter får gallras. 1998/98:97 s. 109 anförs att frågan om gallring i regel inte bör vara beroende av vilka tekniska hjälpmedel polisen väljer för sitt arbete. Uppgifter som behandlas automatiserat för en förundersökning bör därför behandlas på samma sätt som motsvarande uppgifter som behandlas manuellt. Även de uppgifter som behandlas automatiserat bör därför enligt vad som sägs i propositionen därför behandlas enligt arkivlagens bestämmelser. I nämnda proposition anförs vidare att när det gäller annan behandling av uppgifter, dvs. uppgifter som samlas in och lagras för framtida bruk, bör uppgifterna däremot normalt gallras när de inte längre behövs för sitt ändamål. Enligt propositionen bör dock regeringen få föreskriva att uppgifterna i stället skall bevaras om t.ex. forskningens intresse för vissa uppgifter kan anses väga tyngre än integritetsskyddsintresset. För de register som regleras i polisdatalagen finns särskilda gall- ringsregler. 9.2.5Gallringsreglerna i personuppgiftslagen bör inte gälla uppgifter i en förundersökning Ovan har beskrivits den reglering som gäller enligt 9 § person- uppgiftslagen och 13 § polisdatalagen i fråga om grundläggande krav för polisens behandling av personuppgifter. Med ett undantag anser vi att det inte finns skäl att sakligt ändra reglerna härom. Undantaget avser bestämmelsen om gallring. Den bör av skäl som angetts ovan inte gälla uppgifter i en förundersökning. Regeln om gallring i den nya lagen bör heller inte gälla personuppgifter som behandlas hos polisen vid handläggning av mål och ärenden om brott enligt 31 § lagen (1964:167) med särskilda bestämmelser om unga lagöverträdare. Bestämmelsen handlar om brottsutredningar i vilka den misstänkte gärningsmannen inte har fyllt . En ny gallrings- regel bör heller inte avse personuppgifter som handläggs i ett förenklat utredningsförfarande enligt 23 kap. 22 § . Skälen för den angivna utformningen av den nya gallringsregeln är samma som de vilka ligger till grund för den nuvarande bestämmelsen om gallring av uppgifter i en förundersökning. 170 Grundläggande bestämmelser om behandling av personuppgifter bör även i fortsättningen vara ensam person- uppgiftsansvarig för de centrala registren i polisens verksamhet. En bestämmelse som ger möjlighet att besluta verkställighetsföreskrifter bör ingå i en ny polisdataförordning. Enligt definitionen i 3 § personuppgiftslagen, vilken stämmer överens med definitionen i vårt lagförslag, är den personuppgiftsansvarig som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Av definitionen följer att personuppgiftsansvaret kan delas av flera. Personuppgiftsansvaret innebär bl.a. en skyldighet att se till att de i 9 § personuppgiftslagen angivna grundläggande kraven på behand- lingen av personuppgifter iakttas. Vidare innebär personuppgifts- ansvaret en skyldighet att lämna information till den registrerade (23– 27 §§ personuppgiftslagen), att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter som inte behandlats i enlighet med personuppgiftslagen (28 § personuppgiftslagen), att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas (31 § personuppgiftslagen), att – enligt huvudregeln i 36 § personuppgiftslagen – anmäla all automatiserad behandling av personuppgifter till Datainspektionen, samt att ersätta den registrerade för den skada en lagstridig behandling av personuppgifter för med sig (48 § personuppgiftslagen). Vem som är personuppgiftsansvarig för en viss behandling får avgöras efter en bedömning av de faktiska omständigheterna i det enskilda fallet. Inget hindrar dock att det genom lag eller förordning bestäms vem som är personuppgiftsansvarig. 9.3.2Rikspolisstyrelsens roll som personuppgiftsansvarig I polisdatalagen sägs i 4 § att är personuppgifts- ansvarig för behandlingar av personuppgifter i DNA-register, i spår- register och i fingeravtrycks- och signalementsregister. Ändamålen för de registren är bestämda genom lag och det krävs därför en regel som talar om vem som skall vara personuppgiftsansvarig för behandlingarna i de registren. Det bör även i den nya lagen finnas bestämmelser som Grundläggande bestämmelser om behandling av personuppgifter 171 motsvarar 4 § polisdatalagen. Beträffande övriga register behövs det inga regler som föreskriver vem som skall vara personuppgiftsansvarig. Det följer ju av definitionen av begreppet personuppgiftsansvarig att den som bestämmer ändamålen med och medlen för behandlingen av personuppgifter är personuppgiftsansvarig. Sammanfattningsvis inne- bär vad som här sagts att blir personuppgiftsansvarig för de centrala registren och att respektive polismyndighet blir person- uppgiftsansvarig för de lokala registren. Från sida har ifrågasatts att styrelsen skall vara ensam personuppgiftsansvarig för register och system till vilka uppgif- ter levereras från andra myndigheter än . Det sagda gäller särskilt belastningsregistret där en stor del av uppgiftsinnehållet kommer från domstolarna. har framhållit att det är praktiskt taget omöjligt för styrelsen att kontrollera att information som levereras från andra myndigheter är korrekt. tillämpar man ett system som går ut på att levererande myndighet ansvarar för att levererade uppgifter är korrekta. Trots detta bär dock Rikspolis- styrelsen enligt gällande författningar ytterst ansvaret för att all information i registren är korrekt. Frågan om roll som ensam personuppgifts- ansvarig för de särskilt lagreglerade registren och för övriga register som förs för hela polisväsendets behov berördes i lagstiftningsärendet som ledde fram till polisdatalagen. I propositionen (prop. 1997/98:97 s. 108 f.) anfördes att det är naturligt att den myndighet som fört in uppgifterna i registret också rättar eventuella felaktigheter och att detta i viss mån talar för att de myndigheter som för in uppgifterna skall vara personuppgiftsansvariga. Enligt regeringen är det däremot en klar fördel för den enskilde att ha en enda ansvarig myndighet att vända sig till. De argument som lades fram i nämnda lagstiftningsärende gäller enligt vår mening fortfarande. Ett delat personuppgiftsansvar är också allmänt sett olämpligt. Vi anser att bör ha samma personuppgiftsansvar som . För att styrelsen skall kunna utöva sitt personuppgiftsansvar bör dock styrelsen ha rätt att utfärda föreskrifter för polismyndigheterna och för övriga berörda myndigheter i frågor om behandling av personuppgifter i de aktuella registren. När det gäller belastningsregistret föreskrivs i 36 § förordningen (1999:1134) om belastningsregister att den myndighet som har lämnat uppgifter till enligt förordningen svarar för att uppgifterna är riktiga samt att felaktigheter eller ofullständigheter skall rättas på det sätt som bestämmer efter samråd med vederbörande centrala myndighet. Enligt 38 § i förordningen får Riks- polisstyrelsen, efter samråd med berörda centrala myndigheter, 172 Grundläggande bestämmelser om behandling av personuppgifter meddela de föreskrifter som behövs för verkställigheten av denna förordning. I fråga om misstankeregistret finns i 14 och 17 §§ förord- ningen (1999:1135) om misstankeregister bestämmelser som beträffan- de innehållet motsvarar 36 och 38 §§ i förordningen om belastnings- register. Det finns i 17 § polisdataförordningen en bestämmelse som säger att efter samråd med Datainspektionen får meddela de ytterligare föreskrifter som behövs för verkställighet av polisdatalagen och polisdataförordningen. Genom bemyndigandena i ovannämnda författningar får Rikspolis- styrelsen anses ha möjlighet att utfärda de föreskrifter som behövs i verksamheten. Detta innebär att en ny förordning om behandling av personuppgifter i polisens verksamhet bör innehålla en bestämmelse om verkställighetsföreskrifter med samma innehåll som 17 § polis- dataförordningen. 9.4När behandlingen av personuppgifter är tillåten Personuppgifter bör få behandlas bara om behandlingen är nöd- vändig för att polisen skall kunna utföra polisverksamhet som består i att 1.förebygga brott och andra störningar av den allmänna ordningen och säkerheten, 2.övervaka den allmänna ordningen och säkerheten, hindra störningar därav samt ingripa när sådana inträffat eller 3.bedriva spaning och utredning i fråga om brott som hör under allmänt åtal. Den nya lagen bör inte hindra att personuppgifter diarieförs eller behandlas i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. I 10–12 §§ personuppgiftslagen finns det grundläggande bestämmelser om när det över huvud taget är tillåtet att behandla personuppgifter. Lagen utgår alltså, liksom dataskyddsdirektivet, från att behandling av personuppgifter är förbjuden utom i de fall och på de villkor som sär- skilt anges. Avser behandlingen känsliga personuppgifter eller person- Grundläggande bestämmelser om behandling av personuppgifter 173 nummer m.m. måste behandlingen dessutom vara tillåten enligt be- stämmelserna i 13–22 § personuppgiftslagen. Polisdatalagen innehåller inga särregler som avviker från vad som föreskrivs i 10–12 §§ personuppgiftslagen. Dessa lagrum gäller därför för polisen i den utsträckning bestämmelserna kan anses tillämpliga på polisverksamhet. Av 10 § personuppgiftslagen framgår att det som huvudregel krävs samtycke för att personuppgifter skall få behandlas. Med samtycke menas varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom eller henne. Enligt 12 § personuppgiftslagen har den registrerade rätt att när som helst återkalla sitt samtycke. Efter att återkallelse gjorts får ytterligare behandling inte ske om det krävs samtycke för behandlingen. Det finns i 11 § personuppgiftslagen också en bestämmelse om behandling av personuppgifter för ändamål som rör direkt marknadsföring, men den bestämmelsen kan inte anses tillämplig i polisens verksamhet. Behandling utan stöd av samtycke Det är uppenbart att det för polisens del inte är tillräckligt att kunna behandla personuppgifter efter samtycke. I personuppgiftslagen finns också omfattande undantag från huvudregeln att behandling bara får ske efter samtycke. Utan samtycke får personuppgifter enligt 10 § personuppgiftslagen behandlas om behandlingen är nödvändig för att –ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, –den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldig- het, –vitala intressen för den registrerade skall kunna skyddas, –en arbetsuppgift av allmänt intresse skall kunna utföras, –den personuppgiftsansvarige eller en tredje man till vilken person- uppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller –ett ändamål som rör ett berättigat intresse hos den personuppgifts- ansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. 174 Grundläggande bestämmelser om behandling av personuppgifter I samtliga de nu nämnda fallen krävs det att behandlingen är nödvän- dig. Vad som menas med det är oklart. De flesta arbetsuppgifter kan rent faktiskt utföras manuellt utan sådan behandling som omfattas av lagen även om det kostar mycket mer och tar betydligt än att behandla personuppgifterna på automatiserad väg. Enligt kan nödvändighetskravet inte rimligen innebära att det skall vara faktiskt omöjligt att utföra en arbetsuppgift utan sådan behandling av personuppgifter som omfattas av lagen (SOU 1997:39 s. 359). Kan en arbetsuppgift däremot utföras nästan lika enkelt och billigt utan att personuppgifterna behandlas, kan det enligt kommittén inte anses nödvändigt att behandla personuppgifterna. Det kanske går nästan lika bra att använda anonyma uppgifter. Stödet för polisens rätt att behandla personuppgifter Huvudregeln för att behandling av personuppgifter skall vara tillåten är alltså att den registrerade gett sitt samtycke till behandlingen. Samtycke behövs dock sannolikt bara vid ett fåtal behandlingar i polisens verksamhet. De aktuella behandlingarna tycks i de flesta fall kunna ske med stöd av någon av de bestämmelser som kompletterar huvudregeln. I de flesta fall är behandlingen tillåten för att den är nödvändig för att polisen skall kunna utföra en arbetsuppgift i samband med myndighets- utövning. I andra fall är den tillåten t.ex. för att den är nödvändig för att en arbetsuppgift av allmänt intresse skall kunna utföras. 9.4.2Nya regler om när polisen får behandla personuppgifter Personuppgifter får behandlas bara om behandlingen är nödvändig Bestämmelsen i 10 § personuppgiftslagen är allmänt hållen och av naturliga skäl inte anpassad till polisens verksamhet. Vi anser att en bestämmelse som handlar om när polisen får behandla personuppgifter automatiserat bör anknyta närmare till polisens verksamhet. Enligt vår mening bör det i den nya lagen därför införas en bestämmelse som föreskriver att behandling får ske bara om behandlingen är nödvändig för att polisen skall kunna utföra sådan polisverksamhet som lagen skall tillämpas på. Det innebär att personuppgifter får behandlas bara om det är nödvändigt för att den egentliga polisverksamheten skall Grundläggande bestämmelser om behandling av personuppgifter 175 Med den egentliga polisverksamheten avses då sådan verksamhet som anges i 2 § 1–3 polislagen. Den här föreslagna bestämmelsen anger uttömmande i vilka fall personuppgifter över huvud taget får behandlas. Avser behandlingen känsliga personuppgifter, personnummer eller samordningsnummer, uppgifter om kvarstående misstankar, uppgifter om personer som det inte finns någon misstanke om brott mot, behandling på Internet av uppgifter om efterlysningar av enskilda personer, uppgifter i det all- männa spaningsregistret, uppgifter om resultat av DNA-analyser eller uppgifter i fingeravtrycks- eller signalementsregister måste behand- lingen dessutom vara tillåten enligt de särskilda bestämmelserna härom. Vi anser att om en behandling inte är nödvändig för sådan polisverksamhet som omfattas av lagen bör behandlingen inte vara till- låten. Detta leder till att regeln i personuppgiftslagen om samtycke som grund för behandling inte bör ha någon motsvarighet i den nya lagen. När det gäller innebörden av nödvändig behandling vill vi hänvisa till synpunkter som angetts ovan. Diarieföring och behandling av e-post m.m. En särskild fråga gäller hur en ny lag skall beakta polisens skyldighet att diarieföra inkommande post som innehåller personuppgifter. Sådana uppgifter kan komma in till polisen med e-post. Dokument med person- uppgifter kan förstås också komma in med vanlig brevpost. I många fall scannas de inkommande dokumenten då in i en dator för att kunna hanteras rationellt. I båda fallen är det fråga om automatiserad behand- ling av personuppgifter. och polismyndigheterna tar emot stora mängder information som innehåller personuppgifter. Den kan avse brottsanmälningar från allmänheten. Informationen kan också komma från utländska polisorganisationer inom ramen för det internationella polissamarbetet. Den kan även komma t.ex. från utomlands statione- rade sambandsmän. Polisen vill förbättra sin service till allmänheten och man planerar därför att ge allmänheten ökade möjligheter att kommunicera med polisen via Internet. Brottsanmälningar skall i fram- tiden kunna göras på blanketter som finns på polismyndigheternas hemsidor och anmälningarna skall kunna skickas till polisen med e- post. Brottsanmälningar innehåller personuppgifter avseende målsägan- de, vittnen och misstänkta gärningsmän. För att kunna hantera det inkommande informationsflödet och göra det praktiskt möjligt att kommunicera med allmänheten genom e-post 176 Grundläggande bestämmelser om behandling av personuppgifter finns planer inom på att inrätta ett system som skulle kunna karakteriseras som en postcentral. Systemet skulle i stort komma att fungera enligt följande. Alla meddelanden som på ovan angivet sätt kommer in till och polismyndigheterna samlas i en databas innan uppgifterna sorteras in i de system där de skall lagras. De sålunda inkomna meddelandena skall därvid inte bearbetas på annat sätt än att de diarieförs samt lagras för arkivändamål och för att göra det möjligt att återsöka inkomna meddelanden. Databasen skulle som nämnts kunna ses som en postcentral där inkommande postmeddelan- den samlas för senare sortering och vidare befordran till sina slutliga destinationer. De meddelanden som kommer in kan dock innehålla vilka person- uppgifter som helst. Meddelandena kan mycket väl innehålla person- uppgifter som inte får behandlas automatiserat. Det kan t.ex. röra sig om meddelanden som innefattar uppgifter om enskilda personer som det inte finns någon misstanke om brott mot eller som innefattar käns- liga personuppgifter. Om de förstnämnda uppgifterna inte anknyter till brott för vilket är föreskrivet fängelse , skall behand- ling av uppgifterna inte vara tillåten enligt vårt förslag (se avsnitt 10.4.2). Är det inte oundgängligen nödvändigt för syftet med behand- lingen får känsliga personuppgifter inte behandlas. Det bör här nämnas att den personal som enligt planerna skall ta emot och diarieföra upp- gifterna inte kommer att ha möjlighet att pröva hur uppgifterna skall behandlas. Detta blir med all säkerhet omöjligt på grund av antalet inkommande meddelanden och personalens arbetssituation i övrigt. Frågan är då hur systemet med en postcentral för inkommande meddelanden med personuppgifter kan förenas med den nya lag som vi föreslår. Redan från det att personuppgifterna anländer med e-post eller scannas in i datorer från ett inkommet brevdokument blir ju lagen tillämplig. Detta innebär heller ingen ändring gentemot vad som gäller enligt polisdatalagen. En ny lag bör ta hänsyn till att polisen måste diarieföra inkommande handlingar. Skyldigheten att diarieföra inkommande handlingar och uppgifter är i de flesta fall föreskriven i författning.