sou · GQB3113d1 · 2003-01-01 00:00:00 — den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Personuppgifter skall alltid behandlas på ett korrekt och lagligt sätt samt i enlighet med god sed. De skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål. får uppgifterna inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in. Det anses inte oförenligt med de ursprungliga ändamålen att behandla uppgifterna för historiska, statistiska eller vetenskapliga ändamål. De behandlade uppgifterna måste vara riktiga och relevanta och inte alltför omfattande i förhållande till de ändamål för vilka de behandlas. Uppfyller personuppgifterna inte kraven skall den personupp- giftsansvarige vidta alla rimliga åtgärder för att utplåna, blockera eller rätta de felaktiga eller ofullständiga uppgifterna. Personuppgifterna får inte sparas längre än nödvändigt med hänsyn till de ändamål för vilka uppgifterna behandlas. Uppgifter får emellertid inte avidentifieras eller på annat sätt förstöras (dvs. gallras) om det strider mot bl.a. tryckfrihetsförordningens bestämmelser om allmänna handlingar. När behandling av personuppgifter är tillåten Enligt personuppgiftslagen är det tillåtet att behandla person- uppgifter efter den registrerades samtycke. Med samtycke avses varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar Övergripande rättslig reglering av behandling av personuppgifter behandling av personuppgifter som rör honom eller henne. Lagen uppställer inget krav på att samtycke skall vara skriftligt eller på annat sätt formbundet. Personuppgifter får – trots att samtycke från den registrerade saknas – behandlas om det är nödvändigt för att ett avtal med den registrerade skall kunna fullgöras, för att den personuppgifts- ansvarige skall kunna fullgöra en rättslig skyldighet, för att vitala intressen för den registrerade skall kunna skyddas, för att en arbetsuppgift av allmänt intresse skall kunna utföras, för att den personuppgiftsansvarige eller någon annan till vilken personupp- gifter har lämnats ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning samt för att tillgodose ett berättigat intresse hos den personuppgiftsansvarige, om det väger tyngre än den registrerades intresse av integritetsskydd. Nödvändighetsrekvisitet har bl.a. tolkats så att personuppgifter får behandlas automatiserat även i de fall det är faktiskt möjligt med behandling, om det innebär att förfarandet under- lättas. För vissa slag av uppgifter gäller enligt personuppgiftslagen särskilda restriktioner. Enligt huvudregeln får uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse samt medlemskap i fackförening inte behandlas. Likaså är det förbjudet att behandla sådana personupp- gifter som rör hälsa eller sexualliv. Förbudet mot att behandla känsliga personuppgifter är dock inte undantagslöst. Uppgifterna får behandlas efter den registrerades uttryckliga (dvs. klart manifesterade) samtycke eller när den registrerade har offentliggjort känsliga uppgifter på ett tydligt sätt. Behandling av känsliga personuppgifter får utföras även när det är nödvändigt för att den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, för att rättsliga anspråk skall kunna slås fast, göras gällande eller försvaras samt för att den registrerades eller någon annans vitala intressen skall kunna skyddas, om den registrerade är förhindrad att lämna samtycke. Förbudet mot att behandla känsliga personuppgifter gäller inte heller när behandlingen utförs inom ramen för en ideell organisations berättigade verksamhet med ett Övergripande rättslig reglering av behandling av personuppgifter politiskt, filosofiskt, religiöst eller fackligt syfte, om behandlingen avser uppgifter om bl.a. medlemmar. Slutligen undantas från förbudet viss behandling av uppgifter inom hälso- och sjukvården samt viss behandling för forsknings- och statistikändamål. Regeringen eller den myndighet som regeringen bestämmer, dvs. Datainspektionen, får meddela föreskrifter om ytterligare undan- tag, om det behövs med hänsyn till ett viktigt allmänt intresse. Uppgifter om brott och användning av personnummer Vissa uppgifter som inte omfattas av definitionen av känsliga personuppgifter är ändå sådana att behandlingen av dem regleras särskilt i personuppgiftslagen. Det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser, domar och säkerhetsåtgärder i brottmål. Regeringen eller Datainspektionen har dock möjlighet att föreskriva undantag från förbudet, om det är befogat att behandlingen utförs av annan än myndighet och behandlingen står under tillfredsställande kontroll av en myndighet. Uppgifter om personnummer och samordningsnummer får behandlas bara när den registrerade samtycker till det eller när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. 3.6.3Information och rättelse m.m. Den personuppgiftsansvarige skall självmant lämna den registrerade information rörande behandling av personuppgifter, när uppgifter samlas in från den registrerade själv. Har uppgifterna samlats in från en annan källa skall den registrerade informeras när uppgifterna noteras. Information behöver dock inte lämnas om det är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats eller om det i lag eller annan författning finns särskilda bestämmelser om registreringen eller utlämnandet av personuppgifter. Informationen skall omfatta uppgifter om vem den personupp- giftsansvarige är, ändamålet med behandlingen samt all övrig information som den registrerade behöver för att kunna ta tillvara Övergripande rättslig reglering av behandling av personuppgifter sina rättigheter i samband med behandlingen. Endast sådana uppgifter som den registrerade inte redan känner till behöver lämnas. Den personuppgiftsansvarige är vidare skyldig att, efter ansökan, en gång per kalenderår gratis informera om huruvida uppgifter som rör sökanden behandlas eller inte, ändamålet med behandlingen, vilka uppgifter som behandlas, varifrån dessa kommer och till vem de lämnas ut. Under förutsättning att uppgifterna inte har lämnats ut till tredje man behöver information dock inte lämnas beträffande personuppgifter som behandlas endast i löpande text som ännu inte har fått sin slutliga utformning, om behandlingen inte har pågått , eller som utgör minnesanteckningar. Bestämmelserna om informationsskyldighet gäller inte om sekretess eller tystnadsplikt för uppgifterna är föreskriven i förhållande till den registrerade. Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen eller anknytande föreskrifter skall på begäran av den registrerade rättas, utplånas eller blockeras av den personuppgiftsansvarige. Den personuppgiftsansvarige har enligt personuppgiftslagen ett stort ansvar för säkerheten vid behandling av personuppgifter. Bland annat får de personer som arbetar med personuppgifter behandla dessa endast efter den personuppgiftsansvariges instruktioner. För det allmännas verksamhet gäller att om det i annan lagstiftning finns bestämmelser om säkerheten vid behandling av personuppgifter, skall i stället de bestämmelserna tillämpas. Det gäller framför allt bestämmelser om tystnadsplikt och sekretess. Den personuppgiftsansvarige har vidare ansvar för att tekniska och organisatoriska åtgärder vidtagits för att skydda de behandlade personuppgifterna. Åtgärderna skall åstadkomma en lämplig säkerhetsnivå med beaktande av de tekniska möjligheter som finns, Övergripande rättslig reglering av behandling av personuppgifter kostnaden för att genomföra åtgärderna, riskerna med behand- lingen och hur känsliga de behandlade uppgifterna är. 3.6.5Överföring av personuppgifter till tredje land Det är enligt personuppgiftslagen förbjudet att utan samtycke från den registrerade föra över personuppgifter till en stat utanför EU eller EES (tredje land) som inte har en adekvat nivå för skyddet av personuppgifter. Vid bedömningen av om ett land har en adekvat skyddsnivå skall hänsyn tas till samtliga omständigheter som har samband med överföringen. I lagen anges att särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga bestämmelse- landet och de regler som finns för behandlingen i det tredje landet. Från överföringsförbudet görs vissa undantag, bl.a. om behandlingen är nödvändig för att fullgöra ett avtal som är i den registrerades intresse, för att på den registrerades begäran vidta åtgärder innan ett avtal träffas, för att kunna fastställa, göra gällande eller försvara rättsliga anspråk eller för att skydda vitala intressen för den registrerade. Dessutom får regeringen i viss omfattning meddela föreskrifter om undantag från förbudet. 3.6.6Anmälan till Datainspektionen m.m. Enligt dataskyddsdirektivet skall en särskild tillsynsmyndighet utses. I har Datainspektionen tilldelats den uppgiften. Som ett led i sin tillsynsverksamhet skall Datainspektionen ha tillgång till behandlade personuppgifter och dessutom tillträde till lokaler med anknytning till behandlingen. Datainspektionen kan också vid vite förbjuda fortsatt behandling samt ansöka hos länsrätt om att personuppgifter skall utplånas. Helt eller delvis automatiserad behandling av personuppgifter omfattas av anmälningsskyldighet, vilket innebär att den personuppgiftsansvarige skall anmäla sådana behandlingar till Övergripande rättslig reglering av behandling av personuppgifter Syftet med anmälningsskyldigheten är att göra behandlingens ändamål och dess viktigaste egenskaper kända. Datainspektionen skall föra register över anmälda behandlingar. I såväl personuppgiftslagen som personuppgiftsförordningen (1998:1191) och föreskrifter från Datainspektionen (1998:2) föreskrivs emellertid om undantag från anmälningsskyldigheten i olika situationer. Anmälan till Datainspektionen behöver t.ex. inte göras när ett personuppgiftsombud har utsetts av den personuppgiftsansvarige. Personuppgiftsombudet skall ha till uppgift att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett korrekt och lagligt sätt. Personuppgiftsombudet skall ha en förteckning över de behandlingar som den personuppgiftsansvarige utför och han skall även hjälpa registrerade personer att få rättelse vid misstanke om att personuppgifter är felaktiga eller ofull- ständiga. I personuppgiftslagen finns ett bemyndigande för regeringen att bestämma att vissa behandlingar av personuppgifter som kan innebära särskilda risker för otillbörligt intrång i den personliga integriteten skall anmälas till Datainspektionen i förväg. I de fall sådan förhandskontroll är föreskriven, gäller inte undan- tagen från anmälningsskyldighet. Om behandling av personuppgifter i strid med personuppgiftslagen orsakar skada för den registrerade har han eller hon rätt till ersättning från den personuppgiftsansvarige för skada och för den kränkning av den personliga integriteten som behandlingen kan ha medfört. Skadeståndsansvaret är i princip strikt, men kan jämkas om den personuppgiftsansvarige visar att felet i behandlingen inte berodde på honom eller henne. Den som uppsåtligen eller av oaktsamhet gör sig skyldig till vissa förfaranden kan dessutom dömas till böter eller fängelse. Det gäller när osanna uppgifter lämnas i information till den registrerade eller i anmälan eller information till Datainspektionen. Vidare tillämpas straffbestämmelsen om någon i strid med lagen behandlar känsliga personuppgifter, för över uppgifter till tredje land eller låter bli att göra föreskriven anmälan om behandling till Datainspektionen. Straffbestämmelsens tillämpas inte i ringa fall. 4Rättslig reglering av behandling av personuppgifter i den brottsbekämpande verksamheten Samarbete mellan tullmyndigheterna i EU:s medlemsstater sker såväl inom ramen för gemenskapens första pelare (de europeiska gemenskaperna) som inom ramen för det mellanstatliga samarbetet i den tredje pelaren (rättsliga och inrikes frågor). Utbyte av information sker bl.a. genom tullinformationssystemet (TIS). Vad gäller stater utanför EU, s.k. tredje länder, finns ett flertal bilaterala samarbetsavtal som medger utbyte av information. Inom ramen för () har vidare ett flertal konventioner och rekommendationer om tullsamarbete, informationsutbyte m.m. överenskommits. 4.1.1EU:s tullinformationssystem (TIS) Den rättsliga grunden för EU:s tullinformationssystem består dels av rådets förordning (EG) nr 515/97 (EGT L 82, 22.3.1997, s.1) om ömsesidigt bistånd i tullärenden vilken trädde i kraft , dels konventionen om användning av informations- teknologi för tulländamål () (EGT C 316, 27.11.95, s. 34). undertecknades av medlems- staterna och har därefter kompletterats med tre tilläggsprotokoll avseende bl.a. provisorisk tillämpning av konventionen och behörighet att meddela förhandsavgöranden angående tolkningen av konventionen. Syftet med tillskapandet av TIS är att söka tillgodose behovet av snabb och effektiv informationsspridning för den brottsbekäm- pande verksamheten med anknytning till EU:s tull- och jordbruksreglering. Systemet är tänkt att komma till användning i tullmyndigheternas arbete med att bekämpa brott mot såväl gemenskapens regler inom tull- och jordbruksområdet som Rättslig reglering av behandling av personuppgifter nationell lagstiftning som faller under tullmyndigheternas ansvars- område. TIS utgör ett samlingsbegrepp för två från varandra logiskt skilda databaser. Den första databasen, , utgör ett verktyg för att bekämpa överträdelser av de gemenskapsrättsliga tull- och jordbruksbestämmelserna, dvs. inom ramen för gemenskapens första pelare. Den andra databasen, , styrs av bestämmel- serna i och utgör ett instrument för det mellanstatliga samarbetet inom den tredje pelaren, såvitt avser överträdelser av nationell tullagstiftning. Systemet förvaltas av kommissionen och är åtkomligt via terminaler i varje medlemsstat. Det är frivilligt för medlemsstaterna att införa uppgifter i systemet och att använda sig av de uppgifter som finns i systemet. Uppgifter får endast införas för vissa fastställda åtgärder – observation och rapport, diskret övervakning eller särskild kontroll. Personuppgifter får vidare föras in i systemet endast om det finns konkreta bevis som tyder på att den berörda personen, såvitt avser TIS I, har utövat eller kommer att utöva verksamhet som strider mot tull- och jordbrukslagstiftningen eller, såvitt avser TIS III, har gjort eller kommer att göra sig skyldig till grova överträdelser av den nationella lagstiftningen. illegal verksamhet tillmäts särskild betydelse i sammanhanget, men är i sig inte en tillräcklig omständighet utan det måste dessutom finnas konkreta bevis för att ny brottslighet föreligger. Begränsningarna innebär således att det inte finns stöd för att registrera några uppgifter om andra personer såsom vittnen, anhöriga, arbets- kamrater, brottsoffer och liknande. Direkt tillgång till uppgifter i TIS är uteslutande förbehållen de nationella myndigheter som varje medlemsstat utser. Till dessa nationella myndigheter hör tullmyndigheterna men även andra myndigheter som har en brottsbekämpande uppgift kan få tillgång till systemet. Genom ett enhälligt beslut kan även internationella och regionala organisationer ges direkt tillgång till TIS. Rådets förordning (EG) nr 515/97 Rådets förordning (EG) nr 515/97 syftar till att säkerställa att EU:s tull- och jordbruksregler tillämpas korrekt och att rätt tullbelopp kan fastställas och uppbäras av medlemsstaterna och EU, liksom att Rättslig reglering av behandling av personuppgifter stärka samarbetet mellan medlemsstaterna och mellan medlems- staterna och kommissionen. Förordningen (1998:64) om tillämpning av Europeiska unionens tullinformationssystem innehåller kompletterande bestämmelser till rådsförordningen avseende svenska myndigheters tillämpning och användning av TIS. Uppgifter ur informationssystemet får användas av , svenska polismyndigheter, , och i den utsträckning myndigheterna har befogen- het att vidta åtgärder för att förebygga, utreda och beivra överträdelser av EU:s tull- eller jordbrukslagstiftning. , polismyndigheter och får ha direktåtkomst till uppgifter i samtliga kategorier i TIS. och har direktåtkomst till viss begränsad information. är registeransvarigt för TIS i . Datainspektionen är nationell tillsynsmyndighet för skydd av personuppgifter i informationssystemet. har till syfte att stärka samarbetet mellan tullmyndigheter och andra brottsbekämpande myndigheter, vilkas uppgifter är att ingripa mot olaglig handel och bekämpa grova brott mot sådan nationell lagstiftning som begränsar varors fria rörlighet. Det gäller särskilt sådana varor som av hälso- och säkerhetsskäl är belagda med restriktioner, förbud och kontrollåtgärder, såsom narkotika, vapen, dopingmedel m.m. Brott som innebär hantering och användning av medel från narkotikahandel, s.k. penningtvätt, omfattas också. Konventionen skall tillhandahålla hjälpmedel för att myndig- heterna skall kunna agera gemensamt och med hjälp av informationsteknik utbyta uppgifter som har samband med olaglig handel. Konventionen reglerar inte det operativa samarbetet mellan myndigheter utan enbart informationsutbyte. Frågan om tillträde till behandlas i prop. 1997/98:11. Rättslig reglering av behandling av personuppgifter Konventionen om ömsesidigt bistånd och samarbetet mellan tullförvaltningar (EGT C 24, 23.1.1998, s.1) beslutades av rådet och undertecknades . Syftet med tullsamarbetskonventionen (även kallad II- konventionen) är att stärka samarbetet mellan medlemsstaternas tullmyndigheter för att bekämpa den gränsöverskridande brottslig- heten. Detta skall ske dels genom att tullmyndigheterna skall bistå varandra för att upptäcka och förhindra överträdelser av nationella restriktioner och bestämmelser avseende den gränsöverskridande trafiken, dels genom åtal och bestraffning av sådana överträdelser. I konventionen finns regler om tullsamarbetet avseende sådana åtgärder som informationsutbyte, delgivning av handlingar, utred- ningar och spaning. Konventionen innehåller vidare bestämmelser om sekretess och dataskydd för uppgifter som utlämnas mellan myndigheterna utanför det datoriserade tullinformationssystemet. Frågan om tillträde till Tullsamarbetskonventionen behandlas i prop. 1999/2000:122. har ingått bilaterala avtal om ömsesidigt bistånd i tullfrågor med drygt 20 länder. Tullsamarbetsavtalen avser ofta både administrativt samarbete för att fastställa korrekta tullar och rent brottsbekämpande samarbete, t.ex. avseende smuggling av narkotika. Reglerna för samarbetet är relativt likartade och utgår från ett standardavtal som utarbetats inom (), vilket bl.a. avser utbyte av information. För varje avtal finns en nationell förordning som implementerar avtalen i svensk rätt. 4.2Lag (2001:85) om behandling av personuppgifter i brottsbekämpande verksamhet Den lagliga regleringen om behandlingen av personuppgifter vid brottsbekämpning finns i lagen (2001:85) om behandling av personuppgifter i brottsbekämpande Rättslig reglering av behandling av personuppgifter verksamhet, som trädde i kraft . Föreskrifter till lagen finns i förordningen (2001:88) med samma namn. 4.2.1Lagens tillämpningsområde (1 §) Lagen gäller utöver personuppgiftslagen och innehåller endast de särbestämmelser som är nödvändiga i brottsbekäm- pande verksamhet. behandling av personuppgifter i samband med verkets fiskala verksamhet att uppbära skatter och tull faller därmed utanför lagens tillämpningsområde. Behandling av uppgifter i den fiskala verksamheten regleras i lagen (2001:185) om behandling av uppgifter i verksamhet. Utanför lagen faller också behandling av personuppgifter för administrativa ändamål inom . Lagen omfattar all automatiserad behandling av personuppgifter i brottsbekämpande verksamhet. behandling som inte sker i viss angiven form faller helt utanför lagens tillämpningsområde. I lagtexten definieras begreppet brottsbekämpande verksamhet såsom underrättelse, spaning och utredning av brott, vilka enligt lag eller förordning har befogenhet att ingripa mot, samt förebyggande av sådana brott. har inte någon allmän befogenhet att utreda och ingripa mot brott på det sätt som polisen har, utan kan endast ingripa mot brott som faller inom verkets befogenhetsområde. Härmed avses brott enligt lagen (2000:1225) om straff för smuggling, tullagen (2000:1281), lagen (1960:419) om förbud i vissa fall mot införsel av spritdrycker, lagen (1992:1602) om valuta och kreditreglering, lagen (1994:1565) om beskattning av viss privatinförsel, lagen (1962:120) om straff i vissa fall för oriktigt ursprungsintyg samt lagen (1996:95) om vissa internationella sanktioner. 4.2.2Definitioner (2 §) Begreppen i lagen har samma betydelse som i personuppgiftslagen, såvida inte annat sägs. De centrala begreppen underrättelseverk- samhet, allvarlig brottslig verksamhet och särskild undersökning definieras dock i lagtexten. Rättslig reglering av behandling av personuppgifter Begreppet underrättelseverksamhet definieras som en verksamhet som består i att samla, bearbeta och analysera information för att klarlägga om brottslig verksamhet har utövats eller kan komma att utövas och som inte utgör förundersökning enligt 23 kap. eller lagen (2000:1225) om straff för smuggling. Underrättelseverksamhet är till skillnad från förundersökning inriktad på informationsbearbetning och består i att samla in och bearbeta uppgifter som tyder på att t.ex. smuggling förekommer i viss trafik, utan att någon misstanke kan riktas mot någon bestämd person. Begreppet allvarlig brottslig verksamhet definieras som verksam- het som innefattar brott för vilket är föreskrivet fängelse eller däröver och som enligt lag eller förordning har befogenhet att ingripa mot. De brott som är aktuella är brott av normal svårighetsgrad enligt lagen om straff för smuggling, brott enligt lagen om förbud i vissa fall mot införsel av spritdrycker samt grova brott enligt lagen om straff i vissa fall för oriktigt ursprungsintyg, lagen om vissa internationella sanktioner samt lagen om valuta och kreditreglering. Sistnämnda lag tillämpas endast vid krig eller krigsfara samt vid andra utomordentliga förhållanden. I övriga lagar och förordningar som det åligger att övervaka, såsom t.ex. tullagen och lagen om beskattning av privatinförsel, stadgas lägre maximistraff än vad som krävs för att brottsligheten skall omfattas av registerlagens bestämmelser. Definitionen av allvarlig brottslig verksamhet innebär att ringa narkotikasmuggling, ringa varusmuggling och brott mot privatinförsellagen inte anses utgöra sådan brottslig verksamhet. Med begreppet särskild undersökning avses en undersökning i underrättelseverksamhet, som innebär insamling, bearbetning och analys av uppgifter i syfte att åstadkomma beslutsunderlag för huruvida beslut om förundersökning eller om särskilda åtgärder för att förebygga, förhindra eller upptäcka brott skall fattas. Syftet med den särskilda undersökningen kan sägas vara att denna skall leda fram till att uppgifter förs in i underrättelseregistret för att en brottsförebyggande insats skall kunna företas och därefter en förundersökning inledas. Rättslig reglering av behandling av personuppgifter 4.2.3Ändamål (3 §) får enligt de i lagen angivna ändamålen behandla personuppgifter för att tillhandahålla den information som behövs i den brottsbekämpande verksamheten. Tullen får vidare behandla den information som behövs för att fullgöra det arbete som åtagit sig genom internationella överenskommelser. 4.2.4Personuppgiftsansvarig (4 §)