prop · GS03164 · 2005-05-31 00:00:00 — Bestämmelsen har sin grund i dataskyddsdirektivets artikel 28.3, där det anges att varje nationell tillsynsmyndighet skall ha särskild befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av direktivet har överträtts eller att uppmärksamma de rättsliga myndigheterna på dessa överträdelser. I likhet med utredningen anser regeringen att bestämmelsen bör vara tillämplig vid behandling av uppgift enligt den föreslagna lagen. Skadestånd (48 §) Enligt 48 § personuppgiftslagen skall den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med den lagen har orsakat. Rätten till skadestånd bör finnas även för skada och kränkning som uppstår när uppgifter behandlas i strid med de särskilda bestämmelserna i förslaget till lag om behandling av uppgifter i brottsbekämpande verksamhet. Det förslås därför att bestämmelserna om skadestånd i 48 § personuppgiftslagen skall tillämpas på motsvarande sätt när personuppgifter behandlas i strid med den lag som reglerar behandling av uppgifter i brottsbekämpande verksamhet. Hänvisningen innebär att skadestånd enligt bestämmelsen skall betalas om personuppgifterna inte har behandlats i enlighet med de bestämmelser i personuppgiftslagen som skall tillämpas eller i enlighet med de bestämmelser som finns i den föreslagna lagen. I likhet med vad som gäller de rättsliga möjligheterna att få information eller att få uppgifter rättade, gäller rätten till skadestånd endast fysiska personer. En juridisk person får i stället i den ordning som gäller för statlig verksamhet i allmänhet vända sig till Justitiekanslern eller till allmän domstol om personen anser att behandling av uppgifter vid har vållat skada. Straff (49 §) Prop. Paragrafen föreskriver ansvar för överträdelser av olika bestämmelser i personuppgiftslagen. Lagrådet har i tidigare lagstiftningsärende (prop. 2000/01:33 s. 346) ansett att bestämmelsen enligt legalitetsprincipen inte kan ges motsvarande tillämpning beträffande överträdelser av bestämmelser i den föreslagna särlagstiftningen. Hänvisningen till 49 § personuppgiftslagen kan därför endast få den innebörden att ansvar inträder i händelse av överträdelser av de paragrafer i person- uppgiftslagen som i övrigt skall gälla och som är straffsanktionerade. Med hänsyn till att bl.a. behandling av känsliga personuppgifter särskilt regleras i den föreslagna lagstiftningen och då person- uppgiftslagens bestämmelser om överförande av personuppgifter till tredje land inte skall vara tillämpliga, kommer straffbestämmelsen att urholkas eftersom den blir tillämplig endast i ett fåtal fall. Regeringen anser därför att det inte föreligger något behov av en hänvisning till 49 § personuppgiftslagen. Det finns heller inget behov av att införa separata straffbestämmelser i den föreslagna lagen (jfr 2000/01:33 s. 97). Regeringens förslag: Lagen skall tillämpas i brottsbekämpande verksamhet vid helt eller delvis automatiserad behandling av personuppgifter och behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (register). Förutom fysiska personer skall även juridiska personer i vissa fall omfattas av lagen. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inga invändningar mot förslaget. Skälen för regeringens förslag: Som framgick av avsnitt 5.1.5 är dataskyddsdirektivet inte tillämpligt på sådan verksamhet som faller utanför gemenskapsrätten, däribland verksamhet på straffrättens område. Utgångspunkten för lagens tillämpningsområde är dock att lagen inte skall strida mot de grundläggande och bindande principerna i dataskyddsdirektivet, även om det i vissa avseenden skulle vara EG- rättsligt möjligt. För att uppfylla dataskyddsdirektivets krav måste författningarna för omfatta samma grundläggande behandling som personuppgiftslagen, dvs. helt eller delvis automatiserad behandling av personuppgifter och behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (register). Personuppgiftslagen gäller emellertid endast vid behandling av personuppgifter, dvs. all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Det innebär att behandling av uppgifter om juridiska personer inte alls omfattas av lagen. 2004/05:164 behandlar stora mängder uppgifter som rör andra än fysiska personer, t.ex. företag, myndigheter och andra organisationer som förekommer i ärenden. Dessa kategorier av juridiska personer har av naturliga skäl inte samma behov av integritetsskydd som fysiska personer. Med hänsyn till att det i den elektroniska hanteringen kan vara svårt att skilja uppgifter om juridiska personer från uppgifter om deras delägare eller ställföreträdare finns det dock ändå skäl att här låta även juridiska personer omfattas av de bestämmelser i lagen som anger ändamålet med och ansvaret för behandlingen samt som reglerar hur länge uppgifter får bevaras. När uppgifter behandlas i gemensamma datasystem skall även bestämmelser om innehåll samt utlämnande av, åtkomst till och sökning efter uppgifter och handlingar omfatta juridiska personer (se avsnitt 8). Den nya lagen skall bara gälla i brottsbekämpande verksamhet. När det gäller den interna administrativa förvaltningen, t.ex. lokal- och personalfrågor, finns det inte skäl att frångå personuppgiftslagens regler och den nya lagen omfattar inte heller behandling av personuppgifter för sådana administrativa ändamål. För behandling av uppgifter som rör administrativa frågor skall alltså personuppgiftslagen tillämpas fullt ut. För den fiskala verksamheten inom finns särskilda bestämmelser i lagen (2001:185) om behandling av uppgifter i verksamhet och det måste anses som mest ändamålsenligt om dessa bestämmelser även fortsättningsvis finns samlade i en egen lag. Där anges avseende lagens tillämpningsområde att bestämmelserna inte gäller behandling av uppgifter i den brottsbekämpande verksamhet som bedriver. När det gäller direktåtkomst till tulldatabasen omfattas varje form av sådan direktåtkomst av lagen. Även sådan direktåtkomst som innebär att någon tar del av uppgifterna på skärmen omfattas härmed. Förutsättningarna för tulldatabasen regleras i lagen om behandling av uppgifter i verksamhet. Frågan om direktåtkomst till tulldatabasen behandlas vidare i avsnitt 14. Regeringens förslag: De grundläggande principerna för behandling av personuppgifter i brottsbekämpande verksamhet skall regleras i lag. Kompletterande bestämmelser skall meddelas av regeringen eller den myndighet som regeringen bestämmer. Utredningens förslag överensstämmer med regeringens. Remissinstanserna tillstyrker eller har inga invändningar mot Skälen för regeringens förslag: I brottsbekämpande verksamhet behandlas stora mängder uppgifter om enskilda personer i olika register eller datorsystem, vilka i många fall kan vara mycket känsliga. Det är därför viktigt att dessa uppgifter behandlas på ett sådant sätt att vederbörlig hänsyn tas till misstänktas och andra inblandades personliga integritet. Frågor om regleringen av personregister har behandlats av Prop. 2004/05:164 , som bl.a. påpekat att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll bör regleras särskilt i lag (bet. 1990/91:KU11 s. 11 och 1997/98:KU18 s. 48), en uppfattning som även regeringen har gett uttryck för i tidigare lagstiftningsärenden (se bl.a. prop. s. 41). Ramarna och de grundläggande automatiserade behandling av personuppgifter som förekommer i brottsbekämpande verksamhet bör liksom slås fast i lag. De bestämmelser som bör framgå av lag är främst sådana som anger för vilka ändamål personuppgifter får behandlas, vilka uppgiftskategorier som får behandlas, i vilken omfattning uppgifter skall få lämnas ut i elektronisk form, när uppgifter skall gallras samt vilka rättigheter enskilda har. I vissa fall bör sådana bestämmelser vara ovillkorliga, medan regeringen i andra fall bör kunna medge undantag. Regeringen bör dessutom kunna meddela vissa kompletterande bestämmelser. Härigenom undviks att detaljregler som kan komma att behöva ändras ofta, t.ex. som en följd av ändrade villkor för verksamheten, måste prövas av . Det kan i vissa fall vara lämpligt att regeringen delegerar rätten att meddela kompletterande föreskrifter av mer formell natur till eller . Såsom redovisats tidigare (se avsnitt 6) finns det ett större rikstäckande register som används i brottsbekämpande verksamhet, det s.k. underrättelseregistret, som är reglerat i lag. I den föreslagna lagen har det tagits in grundläggande och allmängiltiga bestämmelser under vilka förutsättningar och för vilka ändamål över huvud taget får registrera personer som inte är misstänkta för något brott eller för att bedriva brottslig verksamhet och i vilka fall sådana misstankar får registreras. I den föreslagna lagen finns även grundläggande bestämmelser om bl.a. förutsättningarna för att registrera känsliga personuppgifter och för att söka bland uppgifterna. Enligt regeringens mening uppfyller dessa bestämmelser kravet på en särskild lagreglering av registerföringen, även om de olika register som används i verksamheten inte direkt omnämns i lagen och även om lagen i fråga om detaljer överlåter regleringen år regeringen. Med hänsyn till den tekniska och organisatoriska utvecklingen ändras ofta detaljerna i fråga om de olika register som finns, varför det är mindre ändamålsenligt att i lag befästa en viss registerstruktur. Regeringen avser att i förordning meddela föreskrifter om de större register som används och därvid reglera bl.a. ändamålen för registren samt vilka uppgifter registren får innehålla. Regeringen avser vidare att i förordning ta in bestämmelser för att , efter samråd med Datainspektionen, skall utfärda de närmare föreskrifter som behövs för verkställighet av lagen, bl.a. vad avser åtkomst till uppgifter. Regeringens förslag: skall vara personuppgiftsansvarigt för den behandling av personuppgifter som myndigheten utför, om inte annat framgår av särskild lag eller förordning. skall vid sidan av personuppgiftsansvaret även ha ansvar för att uppgifter om juridiska personer behandlas i enlighet med de grundläggande bestämmelserna i lagstiftningen. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna har inga invändningar mot förslaget. Skälen för regeringens förslag: Personuppgiftsansvarig är enligt 3 § personuppgiftslagen den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandling av personuppgifter. Det är vanligt, och även lämpligt och ibland nödvändigt, att i registerförfattningar, som anger ändamålen med behandling av personuppgifter, på ett tydligt sätt peka ut vem som är personuppgiftsansvarig för den behandling som regleras i de särskilda författningarna. Personuppgiftsansvaret bör utformas så att ansvarar för all behandling av personuppgifter som utför. Personuppgiftsansvaret gäller även vid underlåtenhet att utföra en behandling som åligger . Med personuppgiftsansvaret följer en rad skyldigheter. Den personuppgiftsansvarige skall bl.a. se till att behandlingen av uppgifter sker på ett korrekt och säkert sätt, att information lämnas till den registrerade och att uppgifter gallras i rätt tid. Det förekommer att i den brottsbekämpande verksamheten utför behandling av personuppgifter som andra myndigheter har ansvaret för. Som exempel kan nämnas att på egen hand registrerar uppgifter i misstankeregistret, som är ansvarig för. Det är i sådana fall inte lämpligt att lägga personuppgiftsansvaret på flera av varandra oberoende myndigheter, utan den myndighet som för registret bör ensam vara personuppgiftsansvarigt. I de fall där personuppgiftsansvaret är uttryckligen reglerat gäller de bestämmelserna före den generella bestämmelsen i den här föreslagna lagen. 7.6.1Ansvaret för uppgifter om juridiska personer har även ett ansvar för uppgifter om juridiska personer, dvs. sådana uppgifter som inte utgör personuppgifter. Ansvaret innebär motsvarande skyldigheter som personuppgiftsansvaret i fråga om de krav som lagen ställer på behandling av uppgifter om juridiska personer. Dit hör att uppgifterna endast får behandlas för tillåtna ändamål samt att de skall gallras i rätt tid. Även ansvaret för att de krav som ställs upp för behandling av uppgifter i tullbrottsdatabasen uppfylls, gäller för uppgifter om juridiska personer. Däremot är bestämmelserna om enskildas rättigheter inte tillämpliga, vilket t.ex. innebär att ansvar gentemot juridiska personer inte omfattar skyldighet att lämna information eller rätta uppgifter enligt personuppgiftslagen. Naturligtvis bör felaktiga uppgifter om juridiska personer ändå rättas, om felaktigheterna kommer till kännedom. Av tydlighetsskäl bör det därför framgå av lagstiftningen att skall vid sidan av personuppgiftsansvaret även ha ansvar för att uppgifter om juridiska personer behandlas i enlighet med de grundläggande bestämmelserna i lagstiftningen. En fråga som knyter an till personuppgiftsansvaret är arkivansvaret enligt arkivlagen (1990:782). Enligt huvudregeln i 4 § arkivlagen har en myndighet arkivansvar för de allmänna handlingar som finns hos myndigheten. Generellt är det lämpligt att arkivansvaret för elektroniska uppgifter och handlingar så långt det är möjligt sammanfaller med personuppgiftsansvaret. I fråga om register och databaser för vilka flera olika myndigheter är personuppgiftsansvariga kan det uppstå problem, eftersom arkivansvaret bör ligga hos en och samma myndighet eller i vart fall hos de personuppgiftsansvariga myndigheter som för in uppgifter i registren eller databaserna. När det gäller torde sådana problem inte uppstå, eftersom verket ensamt är personuppgiftsansvarigt för den behandling som utförs i dess register och databaser och därmed rimligen också arkivansvarig myndighet för de allmänna handlingar som behandlas elektroniskt i datasystemen. Regeringens bedömning: Den nya lagens struktur bör så långt möjligt motsvara strukturen i lagen (2001:185) om behandling av uppgifter i verksamhet, för att åstadkomma enhetlighet i författningar på detta område. Utredningens bedömning överensstämmer delvis med regeringens. Remissinstanserna tillstyrker förslaget eller har ingen erinran. Skälen för regeringens bedömning: Det finns ingen enhetlig systematik bland de författningar för behandling av personuppgifter som gäller inom skilda myndighetsområden. Den valda författningsstrukturen för brottsbekämpande verksamhet stämmer så långt möjligt överens med den som tillämpas i lagen (2001:185) om behandling av uppgifter i verksamhet, dvs. den lag som gäller för den fiskala verksamheten. Regeringen anser emellertid att det inom den brottsbekämpande verksamheten i högre grad än den fiskala finns behov av bestämmelser som är generellt tillämpliga på all behandling av uppgifter. Av denna anledning har den av utredningen föreslagna kapitelindelningen av lagen frångåtts, vilket innebär att flertalet bestämmelser blir generellt tillämpliga på alla typer av uppgiftsbehandling. Vissa tillkommande regler gäller emellertid endast för den särskilda form av automatiserad behandling av uppgifter och handlingar som utförs i en databas för gemensam användning i verksamheten, den s.k. tullbrottsdatabasen (se vidare avsnitt 8). Regeringen delar således inte utredningens bedömning att den behandling av uppgifter som faller utanför tullbrottsdatabasen endast kan omgärdas av ett enklare regelverk medan lagstiftningens fokus ligger på regleringen av uppgiftsbehandling inom ramen för tullbrottsdatabasen. Syftet är att åstadkomma en bättre balans mellan de olika typerna av behandling för att skapa ett bättre skydd för den enskildes personliga integritet. Regeringens förslag: Det skall i brottsbekämpande verksamhet finnas en samling uppgifter och handlingar som med hjälp av automatiserad behandling används gemensamt i verksamheten, den s.k. tullbrottsdatabasen. Åtkomsten till tullbrottsdatabasen skall begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslog ingen begränsning av åtkomsten till databasen. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget att ha regler om en tullbrottsdatabas eller har inga invändningar mot förslaget. och Datainspektionen ställer sig emellertid negativa till förslaget om inrättande av en tullbrottsdatabas. Skälen för regeringens förslag I och med genomförandet av dataskyddsdirektivet i svensk lagstiftning har de rättsliga begreppen vid datoranvändning förändrats. I personuppgiftslagen (1998:204) talas det inte längre om förande av personregister som i den tidigare datalagen, utan om behandling av personuppgifter. Det traditionella registerbegreppet har kritiserats , främst eftersom det för tankarna till på visst sätt organiserade eller systematiserade samlingar av uppgifter, vilket är ett helt relevant sätt att se på samlingar av uppgifter i elektronisk form. Även framväxten av Internet har tydliggjort behovet av en översyn av traditionella begrepp vid databehandling, som t.ex. registerbegreppet. Det finns dock flera elektroniska samlingar av personuppgifter som fortfarande måste ses som register i ordets egentliga bemärkelse, där uppgifter förs in på ett systematiserat sätt efter vissa kriterier och är sökbara endast med särskilda sökord. Det kan därför finnas anledning att inte helt frångå registerbegreppet. Som exempel kan nämnas lagen (1998:621) om misstankeregister och lagen (1998:620) om belastningsregister som reglerar register i en mer traditionell mening. Regeringen anser dock att registerbegreppet inte är lämpligt när det gäller datorsystem som innefattar elektronisk ärendehantering, där inkomna handlingar kan skannas och beslut upprättas med automatiserad behandling, för att sedan lagras elektroniskt tillsammans med uppgiftssamlingar av registerkaraktär. Ett alternativ till registerbegreppet är termen databas, som bl.a. förekommer i olika sammanhang, bl.a. i lagen (2001:185) om behandling av uppgifter i fiskala verksamhet. En databas skall definieras som en samling uppgifter som med hjälp av automatiserad behandling används gemensamt inom en verksamhet. En sådan definition av begreppet databas utesluter register. Definitionen har också den fördelen att den inte tekniskt avgränsar hur en samling uppgifter är uppbyggd eller organiserad. Det innebär att om flera register (i egentlig bemärkelse) är sammanlänkade och samtliga uppgifter i de olika registren på ett gemensamt sätt är tillgängliga för sökning med automatiserad behandling inom en avgränsad verksamhet, så ingår dessa register i en databas. En juridiskt bestämd databas kan således innehålla flera mindre databaser eller datorsystem i teknisk mening, varav en del kan vara regelrätta register. Det väsentliga är att uppgifterna är gemensamt tillgängliga inom hela eller delar av verksamheten. Sammanfattningsvis anser regeringen att det även för brottsbekämpande verksamhet finns behov av ett särskilt begrepp för att rättsligt reglera vissa uppgiftssamlingar som med hjälp av automatiserad behandling används gemensamt i verksamheten. Det är emellertid inte lämpligt att använda registerbegreppet i en ny lag om hantering av personuppgifter. Det rättsliga begreppet databas i detta fall tullbrottsdatabas är i stället att föredra vad avser denna typ av automatiserade sammanställningar av uppgifter, i synnerhet som begreppet underlättar för en teknikoberoende lagstiftning. anser emellertid att det föreslagna begreppet databas inte är helt lyckat och att det ger upphov till nya och inte helt enkla gränsdragningsproblem. Såväl tingsrätten som Datainspektionen påpekar att begreppet databas samt den författningstekniska lösningen med en uppdelning mellan dels behandling av uppgifter i en tullbrottsdatabas, dels övrig behandling i brottsbekämpande verksamhet, inte används i den gällande lagstiftningen för och inte heller i andra lagar på närliggande områden t.ex. polisdatalagen. Datainspektionen anser att det är mindre lämpligt att välja olika lösningar för olika myndigheter med samma grundläggande uppgift, inte minst med hänsyn till det stora informationsutbytet mellan myndigheterna. Begreppet databas förekommer i lagen om behandling av uppgifter i fiskala verksamhet. Regeringen anser att det måste anses värdefullt att tillskapa en enhetlig terminologi inom myndighetens olika verksamhetsgrenar för att underlätta tillämpningen inom , i synnerhet som grundläggande verksamhet är av fiskal karaktär. Det finns även anledning att i högre grad ta hänsyn till den tekniska utveckling som har skett på området samt att så långt möjligt göra lagstiftningen teknikoberoende. Regeringen instämmer i betydelsen av att så långt möjligt åstadkomma liknande rättsliga lösningar för de brottsbekämpande myndigheterna, men anser att behovet av informationsutbyte mellan dessa myndigheter likväl har kunnat tillgodoses i den föreslagna lagen (se avsnitt 10). Regeringen anser vidare att det skall finnas en generell begränsning av åtkomsten till uppgifter i tullbrottsdatabasen för att förhindra att personer får större tillgång till uppgifter än vad som behövs för att kunna fullgöra sina arbetsuppgifter. Denna begränsning avser således även andra brottsbekämpande myndigheters åtkomst till uppgifterna. I fråga om den närmare innebörden av begreppet tullbrottsdatabas kan följande nämnas. En grundläggande förutsättning för att en elektroniskt lagrad uppgift skall anses ingå i en databas, är att uppgiften används gemensamt i en viss verksamhet för de ändamål som styr behandlingen av uppgifter inom verksamheten. Det väsentliga är inte på vilket sätt uppgiften tekniskt lagras, utan den faktiskt åsyftade tillgängligheten. En uppgift anses gemensamt tillgänglig och därmed utgörande en del av databasen om den registreras och lagras i ett datasystem på ett sådant sätt att tjänstemännen inom en eller flera myndigheter har möjlighet att vid behov och i olika sammanhang t.ex. i samband med handläggningen av ett ärende ta del av uppgiften direkt på automatiserad väg. Att olika personalkategorier har olika behörighet och att vissa uppgifter därför i praktiken är åtkomliga endast för ett mycket begränsat antal personer inom , förtar i sig inte uppgifternas egenskap som gemensamma. Detsamma gäller om vissa uppgifter görs åtkomliga endast för handläggare inom en viss del av , t.ex. ett kompetenscenter. Detta gäller för de uppgifter som lagras inom ramen för olika författningsreglerade personregister hos , bl.a. tullmålsjournalen (TMJ) och beslags- och analysregistret (BAR). En uppgift som lagras elektroniskt på hårddisken i en dator eller i en server hos en myndighet i samband med att en tjänsteman arbetar med ordbehandling, och som normalt är åtkomlig endast för tjänstemannen själv och exempelvis systemadministratören vid myndigheten, kan däremot inte anses vara gemensamt tillgänglig. Syftet med sådan tillfällig behandling är inte att uppgifterna i datorn skall användas av andra än den som utför behandlingen. Det förhållandet att systemadministratören eller en annan tjänsteman vid kan få åtkomst till uppgiften genom ett visst tekniskt förfarande, kan inte anses innebära att uppgiften som sådan är lagrad för att användas gemensamt i verksamheten (jfr prop. 2000/01:33 s. 8991). Inte heller innebär det förhållandet att en uppgift behandlas tillfälligt i en dator med det uttalade syftet att den senare skall inmatas i systemet och göras gemensam, att den är en del av databasen. Däremot kommer uppgiften att ingå i databasen när den väl är registrerad i det gemensamma systemet.