sou · GRB340d2 · 2004-01-01 00:00:00 — Problemen torde åtminstone delvis hänga samman med att personuppgiftslagen alltjämt är en ny lag som i sig själv inte är så enkel att tillämpa, inte minst därför att den, till skillnad från den tidigare datalagen, gäller för all automatiserad behandling av per- sonuppgifter och inte bara behandling i registerform. som personuppgiftslagen tillämpas och kunskap om lagen inarbetas i förvaltningen och hos allmänheten torde tillämpningssvårigheterna med en kompletterande lagstiftningsteknik vara av övergående natur. I vart fall uppväger fördelarna med de heltäckande och hänvisande modellerna inte de nackdelar som dessa modeller är förenade med. Det kan här erinras om att personuppgiftslagen är föremål för översyn av i syfte att, inom ramen för dataskyddsdirektivet, bl.a. åstadkomma ett regel- verk som lättar personuppgiftslagens hanteringsregler genom införan- de av bestämmelser som mera tar sikte på att förhindra missbruk av personuppgifter. Utredningen skall redovisas (dir. 2002:31). Inom en inte alltför avlägsen framtid kan det således ske ändringar i personuppgiftslagen som medför just sådana risker för felaktiga eller missvisande hänvisningar i särlagar som Lagrådet påtalat. Sammanfattningsvis talar således övervägande skäl för att utlän- ningsdatalagen lagstiftningstekniskt skall utformas i enlighet med den kompletterande modellen. Detta innebär t.ex. att de begrepp som används i den nya lagen, t.ex. personuppgift, behandling m.m. har den innebörd som framgår av definitioner i 3 § person- uppgiftslagen utan att detta särskilt behöver anges. Även 9 § personuppgiftslagen om grundläggande krav på den personupp- giftsansvariges behandling av personuppgifter gäller också då personuppgifter behandlas enligt utlänningsdatalagen. Utredningen återkommer i det följande till vad den valda modellen innebär i förhållande till personuppgiftslagen och vilka ytterligare bestäm- melser i personuppgiftslagen som skall tillämpas vid behandling som regleras av utlänningsdatalagen. Att i lagen uttryckligen ange att utlänningsdatalagen gäller utöver personuppgiftslagen innebär inte någon saklig skillnad gentemot vad som skulle gälla även utan en sådan bestämmelse. Det har dock ett pedagogiskt värde att i lagen klargöra hur lagen förhåller sig till personuppgiftslagen. Det bör även genom en hänvisning till 2 § personuppgiftslagen klargöras att avvikande bestämmelser i lag eller förordning, t.ex. i sekretesslagen, gäller även vid behandling av personuppgifter enligt utlänningsdatalagen. En bestämmelse härom bör därför tas in i den nya lagen. Utredningens förslag: bör även i fortsättningen vara personuppgiftsansvarigt för den behandling av personupp- gifter som företas av och utlandsmyndigheterna i samband med ärendehantering. I övrigt skall den myndighet som utför en behandling eller som det åligger att utföra en behandling vara personuppgiftsansvarig för behandlingen. Enligt definitionen i 3 § personuppgiftslagen är den personupp- giftsansvarig som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandling av personuppgifter. Av definitionen följer att personuppgiftsansvaret kan delas av flera. Personuppgiftsansvaret innebär bl.a. en skyldighet att se till att de i 9 § personuppgiftslagen angivna grundläggande kraven på behandling av personuppgifter iakttas. Vidare innebär person- uppgiftsansvaret en skyldighet att lämna information till den registrerade (23–27 §§ personuppgiftslagen), att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter som inte behandlats i enlighet med personuppgiftslagen (28 §), att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas (31 §), att – enligt huvudregeln – anmäla all automatiserad behandling av personuppgifter till Data- inspektionen (36 §) samt att ersätta den registrerade för den skada en lagstridig behandling av personuppgifter för med sig (48 §). Vem som är personuppgiftsansvarig för en viss behandling får avgöras efter en bedömning av de faktiska omständigheterna i det enskilda fallet. I lag eller förordning kan emellertid i stället bestäm- mas vem som är personuppgiftsansvarig. En sådan bestämmelse tar nämligen över regleringen i personuppgiftslagen. När det gäller särreglering i förhållande till personuppgiftslagen av myndigheters behandling av personuppgifter anges oftast direkt i specialförfattningen vem som är personuppgiftsansvarig, se t.ex. 4 § lagen (2001:617) om behandling av personuppgifter inom kriminalvården eller 1 § lagen (1998:543) om hälsodataregister. Det förekommer också att frågan om personuppgiftsansvar inte berörs i särlagen. Ett exempel härpå är lagen (1998:544) om vårdregister. En variant är vidare att frågan om personuppgiftsansvar inte berörs i särlagen utan i stället i en förordning som utfärdas i anslutning till lagen, se lagen (2001:454) om behandling av personuppgifter inom samt förordningen (2001:637) om behandling av per- sonuppgifter inom . Som kommer att framgå av avsnitt 6.5 föreslås att de ändamål för vilka behandling av personuppgifter får ske lagregleras. Dessutom kommer att föreslås att regeringen skall få föreskriva vissa begräns- ningar i fråga om ändamål och vilka slags personuppgifter som får behandlas. Det kan därför förefalla tveksamt huruvida en myndig- het i fråga har ett sådant inflytande över ändamålen med behand- lingen att myndigheten blir att anse som personuppgiftsansvarig enligt personuppgiftslagens regler (jfr Lagrådets yttrande över förslaget till lag om hälsodataregister, prop. 1997/98:108 s. 125). För att undanröja all osäkerhet på denna punkt bör därför per- sonuppgiftsansvaret regleras i utlänningsdatalagen. När det gäller myndigheter är det en rimlig utgångspunkt att en myndighet i princip skall kunna ha personuppgiftsansvaret för sådan behandling av personuppgifter som sker inom ramen för myndighetens verksamhet. Ett delat personuppgiftsansvar mellan myndigheter, dvs. att flera myndigheter är ansvariga för samma behandling av personuppgifter oavsett vem som faktiskt har utfört den, framstår som olämpligt och förekommer inte heller i andra särförfattningar. Den nuvarande ordningen enligt 2 § utlännings- dataförordningen att , , Riks- polisstyrelsen och polismyndigheterna är personuppgiftsansvariga för den behandling av personuppgifter som den egna myndigheten utför bör således bestå. Dessutom bör av den nya lagen framgå att personuppgiftsansvaret inte bara omfattar varje faktisk behandling av personuppgifter som företas vid myndigheten utan även all behandling som det åligger myndigheten att utföra. En under- låtenhet att t.ex. avskilja inaktuella personuppgifter på föreskrivet sätt, se avsnitt 6.15, täcks alltså av personuppgiftsansvaret. Enligt 2 § utlänningsdataförordningen gäller vidare att Migrations- verket är personuppgiftsansvarigt för den behandling av person- uppgifter som eller en utlandsmyndighet utför. För denna ordning talar att det är som utvecklat och tillhandahåller de tekniska datorsystem med hjälp av vilka inom ROSE-systemet och utlandsmyndigheter- na med ärendehanteringssystemet eller Almasystemet utför behandling av personuppgifter inom verksamheten (se om sys- temen i avsnitten 4.1.1.2 och 4.1.3). När det gäller utlandsmyndig- heterna tillkommer att deras handläggning av ärenden om visering, arbetstillstånd och uppehållstillstånd sker efter bemyndigande från Samma personuppgifter som behandlar genom eller som utlandsmyndigheter behandlar och registrerar i lagras senare i STAMM- bas; en lagring som torde anses utföras av . Myndigheterna ingår emellertid inte i någon gemensam myndig- hetsorganisation och har inte någon överordnad ställning i förhållande till vare sig eller utlands- myndigheterna. Enligt vad framhållit har verket haft vissa svårigheter att i praktiken utöva den kontroll och det inflytande som personuppgiftsansvaret kräver. Bl.a. gäller detta kontrollen över säkerheten vid och utlands- myndigheternas behandling av personuppgifter. Den behandling av personuppgifter som utlandsmyndigheterna utför och som sker efter det att lämnat ut personuppgifter på en CD- romskiva (Almasystemet), har verket inte någon möjlighet att spåra eller, i förekommande fall, rätta. Detsamma gäller Integra- tionsverkets behandling av personuppgifter utanför ROSE-syste- met, t.ex. i de uppföljnings- och statistikregister som beskrivits i avsnitt 4.3. Den behandlingen har stora svårigheter att kontrollera trots att behandlingen enligt utlänningsdataförord- ningen sker under personuppgiftsansvar. Det sagda talar för att personuppgiftsansvaret regleras på så sätt att även och utlandsmyndigheterna bär person- uppgiftsansvaret för den behandling av personuppgifter som den egna myndigheten utför. För den enskilde är det emellertid till fördel med en bestämmelse om personuppgiftsansvar som inte medför risker för att en utredning och bedömning i efterhand måste göras i fråga om vilken av flera alternativa myndigheter som faktiskt har utfört en viss behandling. Vid en reglering som utgår från den faktiska behand- lingen kan nämligen en enskild råka i en situation där både och respektive utlandsmyn- digheterna på olika sätt behandlat personuppgifter som rör honom eller henne. Personuppgiftsansvaret, som han eller hon vill göra gällande, skulle under denna process ha kunnat vandra mellan myndigheterna på ett sätt som kanske inte alltid är så lätt att klarlägga. Risken härför undanröjs med en regel som oberoende av de faktiska förhållandena anger en av myndigheterna som ansvarig för behandlingen. Den enskildes möjligheter att på ett okomplicerat och smidigt sätt göra personuppgiftsansvaret gällande är en viktig del av det integritetsskydd som dataskyddsdirektivet och personuppgifts- lagen syftar till att säkerställa. Trots de nackdelar med ett fortsatt personuppgiftsansvar för som ovan angetts, talar alltså den enskildes intresse för att den nuvarande ordningen behålls i vart fall när det gäller sådan verksamhet som ofta in- begriper såväl som respektive utlandsmyndigheterna. personuppgiftsansvar för och utlandsmyndigheternas behandling av personuppgifter bör i enlighet härmed kunna begränsas till behandling för ändamålet att handlägga eller medverka vid handläggning av ärenden. För del innebär det sagda att är personuppgiftsansvarigt för den behandling av personuppgifter som föranleds av handläggning av ersättnings- ärenden enligt förordningen (1990:927) om statlig ersättning för flyktingmottagande m.m. men inte för behand- ling av personuppgifter i den övriga verksamhet verket bedriver och som enligt vad som anges i avsnitt 6.2.3.1 omfattas av utlänningsdata- lagens tillämpningsområde. För den behandlingen är Integrationsver- ket självt personuppgiftsansvarigt. Vad gäller utlandsmyndigheterna är emellertid all deras behandling av personuppgifter som regleras av utlänningsdatalagen underkastad personupp- giftsansvar. För att råda bot på de problem i utövandet av personuppgifts- ansvaret som framfört till utredningen, bör personuppgiftsansvaret förenas med ett bemyndigande för rege- ringen att i förordning delegera till att meddela föreskrifter för och utlandsmyndigheterna om säkerhetsåtgärder till skydd för personuppgifter som behandlas. Sådana åtgärder kan bl.a. avse åtkomstbehörighet, se närmare om bemyndigandet i avsnitt 6.18.6. 6.5När personuppgifter får behandlas och ändamål Utredningens förslag: Personuppgifter får samlas in och behand- las bara om det är nödvändigt för vissa ändamål. Ändamålen anges i lagen. En personuppgift presumeras vara insamlad för samtliga föreslagna ändamål. 6.5.1Allmänt om när personuppgifter får behandlas enligt personuppgiftslagen I 9 § personuppgiftslagen finns bestämmelser om grundläggande krav på behandling av personuppgifter som en personuppgifts- ansvarig alltid måste uppfylla. Den registrerade kan inte med rättslig verkan ge sitt samtycke till att personuppgifter behandlas i strid mot paragrafen. Enligt 9 § första stycket skall den personuppgiftsansvarige se till att a) personuppgifter behandlas bara om det är lagligt, b) per- sonuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed, c) personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, d) personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, e) de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, f) inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen, g) de personuppgifter som behand- las är riktiga och, om det är nödvändigt, aktuella, h) alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana person- uppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen samt i) personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Dessa bestämmelser är enligt för- arbetena avsedda att ha samma innebörd som artikel 6 i dataskydds- direktivet (se prop. 1997/98:44 s. 63). Andra, tredje och fjärde styckena i 9 § personuppgiftslagen gäller uteslutande behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål. Enligt andra stycket skall vid en pröv- ning enligt 9 § första stycket d) behandling av insamlade person- uppgifter för historiska, statistiska eller vetenskapliga ändamål inte anses som oförenlig med de ändamål för vilka uppgifterna samlades in. I tredje stycket anges att personuppgifter får bevaras för histo- riska, statistiska eller vetenskapliga ändamål än vad som gäller som huvudregel enligt första stycket i), dock inte längre än vad som behövs för dessa ändamål. Vidare får, enligt fjärde stycket, personuppgifter som behandlas för dessa särskilda ändamål användas för att vidta åtgärder i fråga om den registrerade, bara om den registrerade har lämnat sitt uttryckliga samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. För att en viss behandling skall vara laglig krävs det inte bara att behandlingen utförs i enlighet med de grundläggande kraven i 9 §. Behandlingen måste också kunna hänföras till något av de fall som anges i 10 §. Det är således bara i de fall som anges i 10 § som det över huvud taget är tillåtet att behandla personuppgifter. Enligt bestämmelsen får personuppgifter behandlas bara om den registre- rade har lämnat sitt samtycke till behandlingen eller om behand- lingen är nödvändig för vissa angivna ändamål, bl.a. för att en arbetsuppgift av allmänt intresse skall kunna utföras (d) eller den personuppgiftsansvarige eller en tredje man till vilken personupp- gifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning (f). Avser behandlingen känsliga personuppgifter, uppgifter om lagöverträdelser m.m. eller personnummer, måste behandlingen dessutom vara förenlig med bestämmelserna i 13–22 §§. Innebär behandlingen att personuppgifter förs över till tredje land, måste också 33–35 §§ följas. Av 9 § första stycket personuppgiftslagen framgår att bestämning av ändamålen med behandling av personuppgifter är av central betydelse för lagens regelverk till skydd för den registrerades per- sonliga integritet. Enligt en kommentar till personuppgiftslagen är den s.k. finalitetsprincipen i 9 § första stycket d) – att personupp- gifter inte senare får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in – förmodligen den viktigaste bestämmelsen i personuppgiftslagen (– , Personuppgiftslagen En kommentar, andra uppl. 2001, s. 98). Finalitetsprincipen medför att det är väsentligt att alla de ändamål för vilka man kan tänkas behöva använda de insamlade uppgifterna finns angivna redan då personuppgifterna samlas in. Något hinder mot att ange flera ändamål vid insamlingen finns varken i dataskyddsdirektivet eller i personuppgiftslagen. Som nämnts är dessutom behandling av insamlade person- uppgifter för historiska, statistiska eller vetenskapliga ändamål inte att anse som oförenlig med ändamål för vilka uppgifterna samlades in. Det finns alltså ett visst, begränsat utrymme att behandla per- sonuppgifter för ett nytt ändamål som inte angetts vid insamlingen, nämligen om det nya ändamålet inte är oförenligt med de ursprungliga ändamålen. har i betänkandet Integritet – Offentlighet – Informationsteknik (SOU 1997:39 s. 351) uttalat att vad som är oförenligt med de ursprungliga ändamålen får bestämmas genom praxis och de mer preciserade regler som rege- ringen eller Datainspektionen kan utfärda. Någon utvecklad praxis eller närmare föreskrifter i denna fråga finns emellertid inte . Vad som kan anses förenligt med ett ursprungligt ändamål har diskuterats i tidigare lagstiftningsärenden av främst Socialdata- utredningen i dess betänkande Behandling av personuppgifter inom (SOU 1999:109 s. 160). Enligt bör man vid denna oförenlighetsprövning hypotetiskt utgå från hur en registrerad typiskt sett – inte den registrerade i det enskilda fallet – skulle se på saken. Kommer man vid en sådan bedömning fram till att den registrerade rimligen har att räkna med att de insamlade personuppgifterna också får behandlas för det nya ändamålet, kan det nya ändamålet inte anses vara oförenligt med det ursprungliga ändamålet. En tillämpning av personuppgiftslagen innebär att den person- uppgiftsansvarige formulerar och bestämmer de ändamål för vilka personuppgifter får behandlas. Från integritetssynpunkt är det emellertid, enligt utredningens uppfattning, inte tillfredsställande att låta myndigheterna själva bestämma ändamålen för den behand- ling av personuppgifter som utförs i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Ändamålsbestämningens centrala betydelse för integritetsskyddet gör att principiella skäl med styrka talar för att lagstiftaren i den särlag som föreslås gälla på området uttryckligen bestämmer ändamålen för behandlingen i verksam- heten. Här kan erinras om vad som tidigare redovisats (avsnitt 5.2) angående och regeringens ståndpunkt att omfattande och integritetskänsliga myndighetsregister skall regleras särskilt i lag. Ändamålsbestämningen torde vara av just så betydelsefull beskaffenhet att den i linje med statsmakternas ståndpunkt bör regleras i lag, inte minst eftersom – vilket kommer att framgå i det följande – undantag från personuppgiftslagens förbud mot behand- ling av känsliga personuppgifter föreslås. Mot denna bakgrund föreslår utredningen att utlänningsdata- lagen innehåller en bestämmelse som anger för vilka ändamål personuppgifter får samlas in och behandlas. En sådan bestämmelse blir uttömmande i den meningen att de personuppgiftsansvariga myndigheterna inte själva kan besluta om ytterligare ändamål för vilket eller vilka personuppgifter får samlas in. Utredningens förslag till ändamålsbestämmelse innebär preciseringar i förhållande till bestämmelsen i 9 § första stycket c) personupp- giftslagen som därmed ersätts av utlänningsdatalagens ändamåls- bestämmelse. I övrigt gäller de grundläggande kraven i paragrafens första stycke liksom bestämmelserna i paragrafens andra–fjärde stycken. (Utredningen återkommer i avsnitt 6.15 till vad som föreslås gälla i förhållande till bestämmelsen i 9 § första stycket i) och tredje stycket om bevarande av personuppgifter.) Det bör noteras att utlänningsdatalagens ändamålsbestämmelse inte utesluter att behandling sker i den mån den har stöd av annan författning. Behandling kan således ske av insamlade personupp- gifter för ett ändamål som inte är oförenligt med de ändamål som preciseras i utlänningsdatalagen. Vidare kan självfallet handlingar lämnas ut med stöd av bestämmelserna i 2 kap. tryckfrihets- förordningen. I 8 § personuppgiftslagen – som gäller också vid behandling enligt utlänningsdatalagen – erinras om tryckfrihets- förordningens företräde i detta avseende. Dessutom anges i sist- nämnda paragrafs andra stycke att personuppgiftslagen inte hindrar myndigheternas arkivering och bevarande av allmänna handlingar respektive arkivmyndigheternas omhändertagande av arkivmaterial. Även andra avvikande bestämmelser i lag och förordning gäller före utlänningsdatalagen. Det framgår uttryckligen av utlänningsdata- lagens hänvisning till 2 § personuppgiftslagen i den bestämmelse som närmare preciserar lagens förhållande till personuppgiftslagen, se avsnitt 6.3. Även utlänningsdatalagen är alltså subsidiär i för- hållande till andra författningar. Vad detta har för betydelse när det gäller myndigheternas utlämnande till annan av personuppgifter behandlas i avsnitt 6.5.3.2. En avvikande regel i en annan speciallag som rör behandling av personuppgifter tar emellertid inte över utlänningsdatalagen. Det får anses följa av principen om att lex specialis har företräde. I de två fall då sådana avvikande speciallagar skall gälla före utlänningsdatalagen, nämligen i fråga om polis- datalagen och lagen om Schengens informationssystem, anges det därför uttryckligen i den föreslagna lagen. Lagens ändamålsbestämmelser bör vara fakultativa i den bemärkel- sen att de reglerar vad myndigheterna får göra. Syftet med ändamålsbestämmelserna är alltså att ange en yttersta ram för när personuppgifter får samlas in och fortsättningsvis behandlas med stöd av utlänningsdatalagen och personuppgiftslagen. Inom denna ram står det den personuppgiftsansvariga myndigheten fritt att bestäm- ma mer inskränkta ändamål för viss behandling eller vissa person- uppgiftskategorier. Myndigheten får således och bör även vid t.ex. inrättandet av ett nytt register formulera mer preciserade ändamål för registret. Exempelvis kan det föreskrivas att registret endast får användas till stöd för handläggningen av en viss ärendetyp likväl som att endast uppgifter om vissa personkategorier eller vissa personuppgiftskategorier får registreras däri. Enligt utredningen bör det föreskrivas i utlänningsdatalagen att personuppgifter får behandlas för de i lagen angivna ändamålen endast om det är nödvändigt. Kan en arbetsuppgift lösas även om personuppgiften utelämnas eller avidentifieras är behandlingen inte nödvändig. Vidare skall det vara nödvändigt att behandla person- uppgifterna på ett sätt som omfattas av lagens tillämpningsområde, dvs. genom helt eller delvis automatiserad behandling eller i manuellt behandlade register. Det krävs dock inte att det skall vara faktiskt omöjligt att utföra en uppgift enligt något ändamål utan att behandla personuppgifterna automatiserat eller i register. Det räcker att det innebär en påtaglig förenkling att personuppgifter behandlas automatiserat eller i register i stället för manuellt utanför register. Avsikten är att utlänningsdatalagens nödvändighetsrekvisit skall förstås på samma sätt som motsvarande rekvisit i 10 § person- uppgiftslagen. Prövning av om en behandling är nödvändig måste göras inte bara då en personuppgift samlas in och registreras. Även senare behandlingar skall vara nödvändiga, t.ex. fortsatt lagring av personuppgiften i ett datasystem eller behandling för uppföljning, framställning av statistik m.m. I allmänhet gäller att det finns behov av att behandla samma personuppgifter för flera av ändamålen. , som bedriver den mest omfattande och mångsidiga verksamheten inom utlänningsdatalagens tillämpningsområde, har inte sällan behov av att behandla samma personuppgifter för samtliga ändamål. då en personuppgift samlas in, står det dock ofta inte klart för vilka övriga ändamål än det för stunden aktuella som den enskilda uppgiften senare kan komma att behöva behandlas. Av lagen bör därför framgå att personuppgifterna skall anses insamlade för alla i utlänningsdatalagen angivna ändamål, om inte annat anges då en personuppgift samlas in, t.ex. i information som lämnas till den registrerade.