sou · GSB3110 · 2005-01-01 00:00:00 — Bestämmelserna om informationsskyldighet gäller inte om sekre- tess eller tystnadsplikt för uppgifterna är föreskriven i förhållande till den registrerade själv, som t.ex. inom hälso- och sjukvården enligt 7 kap. 3 § sekretesslagen. Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen eller ankny- tande föreskrifter skall på den registrerades begäran rättas, utplånas eller blockeras (spärras) av den personuppgiftsansvarige. 4.11.1.4 Säkerheten vid behandling Den personuppgiftsansvarige har enligt personuppgiftslagen ett stort ansvar för säkerheten vid behandling av personuppgifter. För det allmännas verksamhet gäller att eventuella bestämmelser om säker- heten vid behandling av personuppgifter i annan lagstiftning skall tillämpas. Det gäller framför allt bestämmelser om tystnadsplikt och sekretess. Den personuppgiftsansvarige har vidare ansvar för att tekniska och organisatoriska åtgärder vidtagits för att skydda de behandlade personuppgifterna. 4.11.1.5 Överföring av personuppgifter till tredje land Det är enligt personuppgiftslagen förbjudet att utan samtycke från den registrerade föra över personuppgifter till en stat utanför EU eller EES som inte har en adekvat nivå för skyddet av personupp- gifter. Vid bedömningen av om ett land har en adekvat skyddsnivå skall hänsyn tas till samtliga omständigheter som har samband med överföringen, men särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredje landet. Från överföringsförbudet görs vissa undantag, bl.a. om behand- lingen är nödvändig för att fullgöra ett avtal som är i den registre- rades intresse, för att på den registrerades begäran vidta åtgärder Nuvarande förhållanden och reformarbeten innan ett avtal träffas, för att kunna fastställa, göra gällande eller försvara rättsliga anspråk eller för att skydda vitala intressen för den registrerade. Dessutom får regeringen i viss omfattning meddela föreskrifter om undantag från förbudet. 4.11.1.6 Anmälan till Datainspektionen m.m. Enligt EU:s dataskyddsdirektiv skall en särskild tillsynsmyndighet utses i varje medlemsland. I har Datainspektionen tilldelats den uppgiften. Som ett led i sin tillsynsverksamhet skall Datainspek- tionen ha tillgång till behandlade personuppgifter och dessutom till- träde till lokaler med anknytning till behandlingen. Datainspektionen kan också vid vite förbjuda fortsatt behandling samt ansöka hos länsrätt om att personuppgifter skall utplånas. Den personuppgiftsansvarige skall till Datainspektionen anmäla sådana behandlingar av personuppgifter som omfattas av person- uppgiftslagen. Syftet med anmälningsskyldigheten är att göra behandlingens ändamål och dess viktigaste egenskaper kända. I såväl personuppgiftslagen som personuppgiftsförordningen och föreskrifter från Datainspektionen föreskrivs emellertid om undantag från anmälningsskyldigheten i olika situationer. Anmälan till Data- inspektionen behöver t.ex. inte göras när ett personuppgiftsombud har utsetts av den personuppgiftsansvarige. Personuppgiftsombudet skall ha till uppgift att självständigt se till att den personuppgifts- ansvarige behandlar personuppgifter på ett korrekt och lagligt sätt. Om behandling av personuppgifter i strid med personuppgiftslagen orsakar skada för den registrerade kan han eller hon ha rätt till ersätt- ning från den personuppgiftsansvarige för den skada och kränkning av den personliga integriteten som behandlingen kan ha medfört. Den som uppsåtligen eller av oaktsamhet gör sig skyldig till vissa förfaranden kan dessutom dömas till böter eller fängelse. Nuvarande förhållanden och reformarbeten t.ex. när osanna uppgifter lämnas i information till den registrerade eller om någon i strid med lagen behandlar känsliga personuppgifter. Straffbestämmelsen tillämpas inte i ringa fall. Polisens möjligheter att behandla personuppgifter och att föra kriminal- och polisregister regleras, utöver personuppgiftslagen av polisdatalagen (1998:622), lagen (1998:620) om belastningsregister och lagen (1998:621) om misstankeregister. Som redovisas i avsnitt 3.4.2 ansvarar Polisen också för behandlingen av personuppgifter enligt bestämmelserna i lagen (2000:344) om Schengens informa- tionssystem, SIS.196 Dessa lagar reglerar inte bara hur Polisen skall behandla personuppgifter, utan också en skyldighet för Rikspolis- styrelsen att föra sådana register. Polisdatalagen utgår från personuppgiftslagen och innehåller endast de särbestämmelser som är nödvändiga för polisens verk- samhet. I polisdataförordningen (1999:81) finns kompletterande föreskrifter om behandling av personuppgifter som omfattas av polisdatalagen. Polisdatalagen reglerar inte – med ett undantag – någon skyldighet att föra register, utan anger under vilka förutsättningar register får föras, vilka uppgifter som får antecknas i ett register och hur upp- gifterna skall behandlas. Undantaget avser det s.k. SÄPO-registret.197 Polisdatalagen innehåller både allmänna regler om behandling av personuppgifter i polisiärt arbete och regler om vissa särskilda register. Polisdatalagen gäller vid behandling av personuppgifter i polisens verksamhet för att förebygga brott och andra störningar av den allmänna ordning- en och säkerheten, övervaka den allmänna ordningen och säkerheten, hindra stör- ningar därav samt ingripa när sådana har inträffat, eller 196 Förarbetena till lagen om belastningsregister, lagen om misstankeregister och polisdatalagen utgörs av prop. 1997/98:97, bet. 1997/98:JuU20 och rskr. 1997/98:276. För- arbetena till lagen om Schengens informationssystem finns i prop. 1999/2000:64, bet. 1999/2000:JuU17 och rskr. 1999/2000:215. 197 Säkerhetspolisen skall föra ett register för att underlätta spaning i syfte att förebygga och avslöja brott mot rikets säkerhet, att underlätta spaning i syfte att bekämpa terrorism, och att utgöra underlag för registerkontroll enligt säkerhetsskyddslagen (1996:627).197 Säkerhets- polisen för därutöver centralregister (CR), en databas som huvudsakligen används i Säker- hetspolisens verksamhet, systemet för hemlig teleavslyssning och hemlig teleövervakning samt de s.k. Analysdatabaserna. Nuvarande förhållanden och reformarbeten bedriva spaning och utredning i fråga om brott som hör under allmänt åtal.198 Denna ändamålsbeskrivning överensstämmer med beskrivningen av Polisens arbetsuppgifter enligt 2 § 1–3 polislagen, dvs. det som ofta benämns som den egentliga polisverksamheten. Polisdatalagen omfattar således inte behandling av personuppgifter som kan före- komma i Polisens verksamhet, såvitt avser att lämna allmänheten skydd, upplysningar eller annan hjälp och inte heller när Polisen biträder annan myndighet med stöd av annan författning (2 § 4 och 5 polislagen). Såväl regeringen som statliga utredningar har vid olika tillfälle uttalat, att den polisverksamhet som polisdatalagen skall tillämpas på inte omfattas av dataskyddsdirektivets tillämpnings- område, eftersom verksamheten faller utanför gemenskapsrätten (se dock bedömning nedan). Någon sär- skild reglering av Polisens behandling av personuppgifter i annan polisverksamhet enligt 2 § 4 och 5 polislagen eller polismyndig- hetsärenden har inte ansett erforderlig, utan härvid skall person- uppgiftslagens bestämmelser tillämpas.199 Polisdatalagen innehåller särskilda regler om behandling av upp- gifter i kriminalunderrättelseverksamhet. Med kriminalunder- rättelseverksamhet förstås i polisdatalagen den polisverksamhet som består i att samla in, bearbeta och analysera information för att klarlägga om brottslig verksamhet har utövats eller kan komma att utövas och som inte utgör förundersökning enligt 23 kap. rätte- gångsbalken.200 Ett kriminalunderrättelseregister får innehålla uppgifter som kan hänföras till en enskild person, endast om uppgifterna ger anled- ning att anta, att allvarlig brottslig verksamhet har utövats eller kan komma att utövas. Med allvarlig brottslig verksamhet menas verk- samhet som innefattar brott för vilket är föreskrivet fängelse eller däröver.201 Det krävs vidare att den person som avses med uppgifterna skäligen kan misstänkas för att ha utövat eller komma att utöva den allvarliga brottsliga verksamheten. Uppgifter om transportmedel eller varor som kan antas ha samband med allvarlig brottslig verksamhet eller om hjälpmedel som kan ha använts i samband med sådan verksamhet får dock registreras, även om upp- 1981 § polisdatalagen. 1997/98:97, s. 99 och SOU 2001:92, s. 156. 2003 § polisdatalagen. Jfr 5 kap. 1 § andra stycket sekretesslagen. 2013 § polisdatalagen. Nuvarande förhållanden och reformarbeten gifterna kan hänföras till en enskild person som inte är misstänkt för brott. Uppgifterna skall då förses med upplysning om att det inte finns några misstankar mot denne. Kriminalunderrättelse- register får föras av och av en polismyndighet.202 Polisen har också rätt att i kriminalunderrättelseverksamheten behandla personuppgifter i register när en s.k. särskild undersökning har inletts. Med begreppet särskild undersökning avses en under- sökning i underrättelseverksamhet, som innebär insamling, bear- betning och analys av uppgifter i syfte att åstadkomma besluts- underlag för huruvida beslut om förundersökning eller om sär- skilda åtgärder för att förebygga, förhindra eller upptäcka brott skall fattas. Syftet med den särskilda undersökningen kan sägas vara, att denna skall leda fram till att uppgifter förs in i underrättel- seregistret för att en brottsförebyggande insats skall kunna företas och därefter en förundersökning inledas. En särskild undersökning förs inom en polismyndighet, och enligt huvudregeln har endast den egna myndigheten tillgång till uppgifterna i undersökningen (se nedan om utlämnande av uppgifter). Utlämnande av uppgifter i register Uppgifter i register som förs med stöd av polisdatalagen får lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon honom närstående lider skada eller men, dvs. det gäller ett omvänt skaderekvisit.203 I sekretesslagen finns dock en sekre- tessbrytande bestämmelser som innebär att uppgifter ur registren utan hinder av sekretessen, får lämnas ut vid en sådan uppgifts- skyldighet som anges i polisdatalagen.204 I polisdataförordningen har regeringen, med stöd av bemyndigande, föreskrivit till vem och under vilka omständigheter en uppgift får lämnas ut. I förordningen föreskrivs att , polismyndig- heterna och får ha direktåtkomst till krimi- nalunderrättelseregistren.205 Åtkomsten till registren skall vara för- behållen de personer som på grund av sina arbetsuppgifter behöver tillgång till information om sådana uppgifter som behandlas i registren. 20217–20 §§ polisdatalagen. 2039 kap. 17 § första stycket 6 sekretesslagen. § fjärde stycket 3. 2059 § polisdataförordningen. Nuvarande förhållanden och reformarbeten Uppgifter ur ett kriminalunderrättelseregister får lämnas ut till , eller . Utlämnande får dock endast ske, om uppgiften kan antas ha särskild betydelse för en pågående undersökning i myndighetens brottsutredande verk- samhet eller för andra brottsbekämpande åtgärder.206 Uppgifter som behandlas i en särskild undersökning får lämnas ut till en annan polisman, , polismyndighet, Tull- verket eller endast, om uppgiften kan antas ha särskild betydelse för en pågående undersökning eller andra brottsbekäm- pande åtgärder.207 Polismyndigheterna och får också ha direktåtkomst till det allmänna spaningsregistret liksom DNA- registret.208 Uppgifter ur det allmänna spaningsregistret får lämnas ut till , eller endast, om uppgiften kan antas ha särskild betydelse för en pågående under- sökning i myndighetens brottsutredande verksamhet eller för andra brottsbekämpande åtgärder.209 Visst utrymme kan också finnas för myndigheten att få ut uppgifter med stöd av 1 kap. 5 § sekretess- lagen (1980:100).210 har dock, bl.a. i redovis- ningen med anledningen av regeringsuppdraget att redovisa hinder mot effektivt informationsutbyte, förordat att författningarna om belastningsregister och misstankeregister ändras på så sätt, att uttryckligen ges rätt att både få ut fullständiga uppgifter och få direktåtkomst avseende uppgifter som behövs i verksamheten hos för att förebygga, upptäcka och utreda brott. 4.11.3Lagen om behandling av personuppgifter i brottsbekämpande verksamhet, m.m. behandling av personuppgifter regleras, utöver av per- sonuppgiftslagen, av lagen (2001:85) om behandling av person- uppgifter i brottsbekämpande verksamhet (i det 20610 § polisdataförordningen. 2078 § polisdataförordningen. 20811 och 14 §§ polisdataförordningen. 20915 § polisdataförordningen. 210I lagen om belastningsregister finns inte en motsvarande hänvisning till 14 kap. sekretesslagen som nämnts beträffande misstankeregister. Detta har tolkats (, Sekretess inom rättsväsendet, Juridik, 2003) som att myndigheten därmed endast kan få ut uppgift med stöd av 1 kap. 5 § sekretesslagen, som förutsätter att ett utlämnande är nödvändigt; en bestämmelse som skall tillämpas restriktivt. Nuvarande förhållanden och reformarbeten följande tullbrottsdatalagen) och föreskrifter i förordningen (2001:88) med samma namn (i det följande tullbrottsdataförord- ningen). Lagen är uppbyggd på i princip samma sätt som polis- datalagen. Lagen är tillämplig endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter. Eftersom det i databaser finns känsliga personuppgif- ter, kan uppgifter i samtliga register omfattas av sekre- tess efter en skadeprövning med ett omvänt skaderekvisit.211 I sek- retesslagen finns dock en sekretessbrytande bestämmelser som innebär att uppgifter ur registren, utan hinder av sekretessen, får lämnas ut på grund av sådan uppgiftsskyldighet som anges i tull- brottsdatalagen.212 I lagen anges att får ha ett underrättelseregister för verkets underrättelseverksamhet.213 Underrättelseregister får endast föras för att ge underlag för beslut om särskilda undersökningar avseende allvarlig brottslig verksamhet och för att underlätta till- gången till allmänna uppgifter med anknytning till underrättelse- verksamhet. Med allmänna uppgifter avses t.ex. smuggelvägar och brottstrender. I underrättelseregistret får uppgifter föras in som kan hänföras till en enskild person, endast om det kan antas att allvarlig brottslig verksamhet utövats eller kan komma att utövas och den som avses med uppgifterna skäligen kan misstänkas för att ha utövat eller komma att utöva brottsligheten. Vidare får uppgifter registreras om transportmedel eller varor som kan antas ha samband med allvarlig brottslig verksamhet samt uppgifter om hjälpmedel som kan antas ha använts i samband med sådan verksamhet. Detta gäller även om uppgifterna kan hänföras till en enskild person mot vilken det inte finns någon brottsmisstanke. Uppgifterna skall därvid förses med upplysning om att det inte finns någon misstanke mot denne. underrättelseregister214 innehåller bl.a. uppgifter om händelser, personer, organisationer och farkoster som kan sättas i samband med allvarlig brottslig verksamhet mot vilken det åligger att ingripa. och får ha direktåtkomst till under- rättelseregistret, men någon uppgiftsskyldighet föreligger inte. 2119 kap. 17 § första stycket 10 sekretesslagen. 2129 kap 17 § fjärde stycket 3 sekretesslagen. 21310–13 §§ tullbrottsdatalagen. Nuvarande förhållanden och reformarbeten Polismyndigheterna och får ha direktåtkomst till registret i de delar som avser förslag till åtgärder och allmänna strategiska uppgifter.215 Därutöver får – liksom Polisen – i sin underrättelse- verksamhet behandla personuppgifter i särskilda undersökningar där det finns anledning att anta att allvarlig brottslighet har utövats eller kan komma att utövas.216 När uppgifter behandlas i särskilda undersökningar inrättas särskilda och tillfälliga register i specifika ärenden. Uppgifter som behandlas automatiserat i en särskild undersök- ning får lämnas ut till en annan tulltjänsteman, en annan enhet inom , , , polis- myndighet eller , om uppgiften kan antas ha särskild betydelse för en pågående undersökning eller andra brotts- bekämpande åtgärder.217 får också föra ett spaningsregister.218 Ändamålet med ett sådant register är att det skall användas för att underlätta till- gången till uppgifter med anknytning till brott som begåtts eller kan antas ha begåtts. Det är endast uppgifter angående de brott som har befogenhet att ingripa mot som får föras in i registret. Till skillnad mot underrättelseregistret uppställs inget krav på att det skall vara fråga om brott av viss svårighetsgrad, utan stadgandet är tillämpligt oavsett vilken påföljd som är stadgad för brottet. Annan enhet inom , , polis- myndigheterna och får ha direktåtkomst till ett spaningsregister.219 4.11.4Förordningen om behandling av personuppgifter inom . behandling av personuppgifter regleras i förord- ningen (2003:118) om behandling av personuppgifter inom Kust- bevakningen (i det följande kustbevakningsdataförordningen). Lik- som för Polisen och gäller bestämmelserna i förord- ningen utöver personuppgiftslagens bestämmelser. Förordningen tillämpas också bara när behandlingen av personuppgifter är helt 2158 § tullbrottsdataförordningen. 21611 § tullbrottsdatalagen. 2177 § tullbrottsdataförordningen. 21814–17 §§ tullbrottsdatalagen. 21910 § tullbrottsdataförordningen. Nuvarande förhållanden och reformarbeten eller delvis automatiserad. Bestämmelserna gäller i stor omfattning även för behandling av uppgifter om juridiska personer. I förordningen anges att får behandla person- uppgifter (inklusive uppgifter om juridiska personer) i sin brotts- bekämpande verksamhet, om det är nödvändigt för att förhindra eller upptäcka brottslig verksamhet som innefattar brott mot vilka enligt lag eller förordning har att ingripa eller för att utreda sådana brott.220 Personuppgifter får också behandlas i den kontroll- och tillsynsverksamhet som enligt lag eller förordning har att genomföra, om det är nödvändigt för att inrikta och genomföra verksamheten.221 Personuppgifter får vidare behandlas vid handläggning av ärenden om vattenföroreningsavgift.222 Slutligen får också behandla personuppgifter, om det nödvändigt för att planera, följa upp eller utvärdera nu nämnda verksamheter.223 får i den brottsbekämpande verksamheten behandla personuppgifter även om personen inte är misstänkt för brott. Detta får ske i syfte att förhindra och upptäcka brott, men endast under förutsättning att det avser ett brott för vilket är före- skrivet fängelse eller mer.224 Samma begränsning gäller enligt huvudregeln vid behandling av uppgifter om en person som är misstänkt för brott. Man har dock rätt att behandla uppgifter avseende en person som misstänks vara delaktig i sådan grövre brottlighet, utan att denne själv gör sig skyldig till ett brott av samma svårighetsgrad.225 har enligt förordningen rätt att samla uppgif- terna i en gemensam databas. Tillgången till uppgifterna i basen skall vara förbehållen de personer som på grund av sina arbets- uppgifter behöver ha tillgång till uppgifterna.226 I förordningen regleras också vilka andra myndigheter som kan få åtkomst till uppgifterna i kustbevakningsdatabasen.227 Även här regleras, att endast de personer som har användning för uppgifterna på grund av sina arbetsuppgifter skall få tillgång till databasen. Någon sekretessbestämmelse om register finns inte i sekretesslagen, annat än bestämmelsen om att sekretess 2204 § kustbevakningsdataförordningen. 2215 § kustbevakningsdataförordningen. 2226 § kustbevakningsdataförordningen. 2237 § kustbevakningsdataförordningen. 22410 § kustbevakningsdataförordningen. 22512 § kustbevakningsdataförordningen. 22611 § kustbevakningsdataförordningen. 22718–20 §§ kustbevakningsdataförordningen. Nuvarande förhållanden och reformarbeten gäller för uppgift om enskilds personliga och ekonomiska förhållanden i åklagarmyndighets, polismyndighets, skattemyndig- hets, , eller verksamhet i övrigt för att förebygga, uppdaga, utreda eller beivra brott samt förundersökningssekretessen.228 4.11.5Förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgar- skapslagstiftningen Förordningen (2001:720) om behandling av personuppgifter i verk- samhet enligt utlännings- och medborgarskapslagstiftningen (i fortsättningen utlänningsdataförordningen) är ett komplement till personuppgiftslagen, såvitt avser behandling av personuppgifter. I utlänningsdataförordningen regleras endast automatiserad behandling av personuppgifter i register. Förordningen omfattar behandling av personuppgifter som utförs av , , , och polismyndigheterna samt utlandsmyndigheterna i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Denna verk- samhet anges gälla utlänningars vistelse i och avlägsnande från lan- det, utlänningars rätt att arbeta i landet, mottagande av asylsökande och vissa andra utlänningar samt bistånd och stöd till utlänningar som enligt lag eller annan författning handläggs av Migrations- verket. Vidare omfattar förordningen verksamhet som gäller för- värv, förlust eller bibehållande av svenskt medborgarskap samt ersättning för och bosättning av utlänningar som enligt lag eller annan författning handläggs av Integrationsverket.229 Enligt förordningen får myndigheterna föra verksamhetsregister för handläggning av ärenden och fullgörande av underrättelse- skyldighet, som följer av lag eller förordning. Dessutom får registret användas för tillsyn, kontroll, uppföljning och planering av verksamheten samt för framställning av statistik.230 I för- ordningen specificeras vilka personuppgifter som får behandlas i ett verksamhetsregister.231 2287 kap. 17 § första stycket 4 och 5 kap. 1 § sekretesslagen, se ovan avsnitt 4.6. 2291 § utlänningsdataförordningen. 2303 § utlänningsdataförordningen. 2314 § utlänningsdataförordningen. Nuvarande förhållanden och reformarbeten får också föra automatiserade fingeravtrycks- register samt landinformationsregister. Fingeravtrycksregister får föras över de fingeravtryck och fotografier som tas med stöd av 6 kap. 6 § utlänningslagen. Registret får, utöver avtrycken och fotografierna, innehålla den registrerades namn, person- eller sam- ordningsnummer, födelsetid, kön, medborgarskap eller annan identifieringsuppgift. Uppgifterna i registret får endast användas för prövning av ansökningar om uppehållstillstånd där flyktingskäl eller annat skyddsbehov åberopas samt vid ärenden om av- och utvisning.232 Flertalet av de personuppgifter som behandlar kan sekretessbeläggas med stöd av 7 kap. 14 § sekretesslagen (se avsnitt 4.10). Ny sekretesslag, SOU 2003:99 lämnade OSEK över sitt huvudbetänkande (SOU 2003:99) Ny sekretesslag till chefen för . Upp- draget gällde en allmän översyn av sekretesslagen, samverkan mellan och inom myndigheter, samarbetet mot ungdomsbrott, upp- giftslämnande vid misstanke om grova brott samt tystnadsplikter som bryter meddelarfriheten. Kommittén har föreslagit vissa materiella förändringar (några har redan redovisats ovan), men den största förändringen är att kom- mittén föreslår en ny, genom språkliga och redaktionella föränd- ringar, mer användarvänlig sekretesslag. Bland annat kan nämnas, att förslaget innebär att det i de inledande kapitlen utförligt redovisas bestämmelsernas grundläggande betydelse, och att vissa av de begrepp som används också definieras i lagen, exempelvis primär och sekundär sekretess. Vidare samlas bestämmelserna om sekretess mellan och inom myndigheterna, och hur sekretess kan överföras dem emellan, på ett mer tydligt sätt än i nuvarande lag- stiftning.