sou · GUB318 · 2007-01-01 00:00:00 — Härvid definieras bl.a. vad som omfattas av brottsbekämpande verksamhet. Utanför lagens tillämpningsområde faller behandling av personuppgifter i samband med de interna och administrativa åtgärder som kan förekomma i verksamhet. Som exempel på administrativa arbetsområden kan nämnas personal- och lokalfrågor. Vi anser det inte nödvändigt med en special- reglering för att kunna hantera behandlingen av personuppgifter i den administrativa verksamheten (se avsnitt 9.3). Personuppgifts- behandling i verksamhet som rör intern administration faller också utanför vårt uppdrag. För behandling av uppgifter som rör administrativa frågor, t.ex. löneregister, blir alltså personuppgifts- lagen tillämplig fullt ut. Författningsregleringen av behandling av uppgifter Enligt vår uppfattning bör lagen om behandling av uppgifter i verksamhet omfatta sådan grundläggande behandling som omfattas av personuppgiftslagen. Härmed avses helt eller delvis automatiserad behandling av personuppgifter och behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Personuppgiftslagen gäller endast vid behandling av personupp- gifter, dvs. all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Det innebär att behand- ling av uppgifter om juridiska personer och avlidna inte alls omfattas av lagen. behandlar i sin verksamhet stora mängder uppgifter som rör andra än levande fysiska personer, t.ex. företag, myndigheter och andra organisationer som före- kommer i ärenden. Dessa kategorier av juridiska personer har av naturliga skäl inte samma behov av integritetsskydd som levande fysiska personer, men det kan enligt vår uppfattning ändå finnas anledning att låta dem omfattas av regleringen när det gäller vad myndigheterna får och inte får registrera i sina datorsystem och hur uppgifterna sedan får användas. Vi föreslår därför att även juridiska personer skall omfattas av de bestämmelser i lagen om behandling av uppgifter i Kustbevak- ningens verksamhet som anger ändamålet med och ansvaret för behandlingen. Även bestämmelser om utlämnande av uppgifter på medium för automatiserad behandling eller genom direktåtkomst samt gallring skall omfatta juridiska personer. Som en grundläggande förutsättning när det gäller skyddet för enskildas personliga integritet gäller enligt den lag vi föreslår att åtkomst endast får medges till de uppgifter som var och en behöver för att kunna fullgöra sina arbetsuppgifter. Det åligger således att begränsa tillgången till uppgifter för myndighetens tjänstemän i enlighet härmed. Det är dock inte bara tjänstemän hos som behöver tillgång till de uppgifter som behandlas i verksamhet. Mellan de brottsbekämpande myndigheterna finns behov av ett omfattande informationsutbyte. har också den särskilda uppgiften att samordna civil sjöövervakning och förmedla sjöinformation till berörda myndigheter. Även vid dessa myndigheters behandling är det av vikt att åtkomsten till uppgift- Författningsregleringen av behandling av uppgifter erna begränsas till vad tjänstemännen vid respektive myndighet behöver för att kunna utföra sina arbetsuppgifter. I förarbetena till lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet uttalas att den särskilda bestämmelsen om att åtkomsten till den s.k. tullbrottsdatabasen skall begränsas till vad var och en behöver för att kunna utföra sina arbetsuppgifter gäller även när anställda vid andra myndigheter har direktåtkomst till tullbrottsdatabasen.1 Denna tillämpning går emellertid inte att utläsa av lagen, som enligt sin ordalydelse endast gäller vid behandling av uppgifter. Däremot gäller enligt 8 § i den till lagen knutna förordningen (2005:791) om behandling av uppgifter i brottsbekämpande verksam- het att direktåtkomst skall vara förbehållen de personer inom myndigheterna som på grund av sin arbetsuppgifter behöver ha tillgång till uppgifterna. Vi anser likväl att motsvarande ansvar för att begränsa åtkomsten skall gälla när andra myndigheter har direktåtkomst till uppgifter i verksamhet. Enligt vår mening framstår det nämligen som orimligt att skall ha ansvar för den interna åtkomsten till uppgifter hos t.ex. polisen, eller efter att uppgifter överlämnats dit genom direkt- åtkomst. Ett sådant ansvar bör enligt vår mening åligga respektive myndighet. Vi lämnar därför särskilda författningsförslag med denna innebörd. Av den lag vi föreslår framgår därmed uttryckligen att en myn- dighet som har direktåtkomst till uppgifter som behandlat och lämnat ut med stöd av lagen har ansvar för att myndighetens tjänstemän endast får åtkomst till de uppgifter som var och en behöver för att kunna fullgöra sina arbetsuppgifter. 1 Se prop. 2004/05:164 s. 88. Författningsregleringen av behandling av uppgifter Våra förslag: Lagen om behandling av uppgifter i Kustbevak- ningens verksamhet skall gälla i stället för personuppgiftslagen. Detta innebär att bestämmelser i personuppgiftslagen skall tillämpas på behandling av personuppgifter i verksamhet endast när det anges särskilt. De bestämmelser i personuppgiftslagen som skall vara allmänt tillämpliga är de om definitioner, förhållandet till offentlighets- principen, grundläggande krav på behandling, information till den registrerade, rättelse, säkerheten vid behandling, överföring av personuppgifter till tredje land, personuppgiftsombudets uppgifter, upplysningar till allmänheten om vissa behandlingar, tillsynsmyndighetens befogenheter samt skadestånd. En viktig fråga är i vilken omfattning personuppgiftslagens bestämmelser skall vara direkt tillämpliga på behandling av uppgifter i verksamhet. Personuppgiftslagen är generellt tillämplig på all behandling av personuppgifter och gäller därför för personuppgiftsbehandling om det inte finns avvikande bestämmelser i lag eller förordning. Som vi nämner i avsnitt 9.3 behövs det från personuppgiftslagen avvikande bestämmelser för behandling av personupp- gifter. Det innebär att i den lag vi föreslår finns det vissa uttryckliga bestämmelser som avviker från personuppgiftslagen. uppstår frågan hur man skall hantera de bestämmelser som inte skall avvika från personuppgiftslagens regler. I tidigare lagstift- ningsärenden har olika varianter förekommit. En modell är att i en särskild författning över huvud taget inte nämna personuppgiftslagen eller klart ange att den särskilda författningen gäller utöver personuppgiftslagen. I bägge fallen gäller de från personuppgiftslagen avvikande bestämmelserna i den särskilda författningen före personuppgiftslagen. När reglering i den särskilda författningen saknas kommer däremot personupp- giftslagens bestämmelser att vara tillämpliga. Nackdelen med att på så sätt låta den särskilda författningen gälla utöver personupp- giftslagen är att det kan vara svårt för den som skall tillämpa reglerna att få en överblick över vilka bestämmelser i personupp- Författningsregleringen av behandling av uppgifter giftslagen som är tillämpliga och i vilken omfattning bestämmel- serna i den särskilda författningen avviker från personuppgifts- lagens regler. Modellen används bl.a. i polisdatalagen (1998:622) och har mött kritik inom polisväsendet på grund av att den anses svår att tillämpa. Med hänsyn till denna kritik har Polisdata- utredningen i sitt betänkande Behandling av personuppgifter i polisens verksamhet (SOU 2001:92) föreslagit en annan modell. Denna andra modell innebär att de bestämmelser i person- uppgiftslagen som skall vara tillämpliga skrivs ut i klartext i den särskilda författningen, som härigenom gäller i stället för personuppgiftslagen. Fördelen med en sådan lösning är att tillämparen snabbt får klart för sig vilka bestämmelser som gäller utan att ens behöva gå till personuppgiftslagen. En nackdel med att direkt skriva ut bestämmelser som finns i personuppgiftslagen är att det därigenom införs en onödig dubbelreglering, eftersom personuppgiftslagens regler ändå gäller om inget annat anges. Dessutom innebär även mindre ändringar i personuppgiftslagen att motsvarande justeringar måste göras i den särskilda lagen. Den särskilda lagen kan även komma att bli onödigt omfattande. En tredje modell för utformning av lagstiftningen är att de bestämmelser som avviker från personuppgiftslagen regleras särskilt i specialförfattningen och att det uttryckligen hänvisas till de lagrum i personuppgiftslagen som skall vara tillämpliga. Häri- genom gäller särlagstiftningen i stället för personuppgiftslagen. Metoden har tidigare fått kritik av Lagrådet som bl.a. ansåg att lagstiftningstekniken var riskfylld med hänsyn till såväl svårigheterna att överblicka om dataskyddsdirektivet blir till fullo genomfört i registerlagstiftningen som till möjligheten att vid kommande lagändringar hänvisningarna till personuppgiftslagen blir felaktiga eller missvisande.2 Denna metod tillämpas emellertid , bl.a. i den lagstiftning om behandling av personuppgifter som gäller inom fiskala verksamhet och inom Skatteverket.3 Vidare är det denna lagstiftningsteknik som tillämpas i den nya lagen (2005:787) om behandling av uppgifter i brotts- bekämpande verksamhet. Metoden har i detta lagstiftningsarbete inte erhållit någon kritik från Lagrådet.4 2000/01:33 s. 345 f. 3SFS 2001:181–185. 2004/05:164 s. 46 ff och s. 178 ff. Författningsregleringen av behandling av uppgifter Det finns enligt vår uppfattning ett stort värde i att inte lämna lagtillämparen utan vägledning när det gäller vilka bestämmelser i personuppgiftslagen som är tillämpliga. Vår bedömning är att de ovan nämnda fördelarna med en metod som innebär att det ges uttryckliga hänvisningar till de bestämmelser i personuppgiftslagen som är tillämpliga mycket klart överväger nackdelarna. Enligt utredningens direktiv skall vi särskilt beakta intresset av att regleringen av behandlingen av personuppgifter inom brottsbe- kämpande verksamhet blir enhetlig. För brottsbekämp- ande verksamhet tillämpas nu en lagstiftning som gäller i stället för personuppgiftslagen. Det är enligt vår mening viktigt att underlätta samarbetet mellan de brottsbekämpande myndigheterna genom att använda samma typ av lagstiftningsteknik för alla myndigheter med brottsbekämpande uppgifter. Vi föreslår därför att samma modell som gäller för brottsbekämpande verksamhet skall användas också i lagen om behandling av uppgifter i Kustbevak- ningens verksamhet, vilken innefattar bl.a. brottsbekämpande verksamhet. Denna modell utgör numera också en allmänt vedertagen lagstiftningsteknik för moderna registerlagar.5 Nedan redovisar vi de bestämmelser i personuppgiftslagen som vi föreslår skall vara tillämpliga vid behandling av personuppgifter i verksamhet. Definitioner (3 §) I 3 § personuppgiftslagen definieras vissa begrepp som är centrala när behandling av personuppgifter skall regleras. Vi har inte funnit anledning att definiera begrepp som förekommer i den av oss föreslagna lagen på något annat sätt än i 3 § personuppgiftslagen. För att undvika missförstånd är det tvärtom viktigt att de begrepp som används i de två lagarna har samma innebörd. Det bör dock anmärkas att personuppgiftsansvaret regleras särskilt i den lag som vi föreslår för . 5 Jfr SOU 2005:61 s. 150. Författningsregleringen av behandling av uppgifter Förhållandet till offentlighetsprincipen (8 §) Bestämmelsen i 8 § första stycket personuppgiftslagen är en ren upplysning och markering av offentlighetsprincipens företräde. I andra stycket finns dock en materiell regel som anger att 9 § fjärde stycket personuppgiftslagen – där det ställs upp begränsningar i rätten att använda sig av personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål för att vidta åtgärder i fråga om registrerade – inte skall tillämpas i fråga om myndigheters användning av personuppgifter i allmänna handlingar. Personuppgiftslagens bestämmelser hindrar inte heller att allmänna handlingar bevaras eller att arkivmaterial tas om hand för arkivering. Dessa undantag skall enligt vår mening gälla även i verksamhet. Grundläggande krav på behandling av personuppgifter (9 §) En av de viktigaste bestämmelserna i fråga om behandling av personuppgifter finns i 9 § personuppgiftslagen och avser vilka grundläggande krav som ställs på en personuppgiftsansvarig. Dessa krav bör naturligtvis tillämpas även vid behandling av person- uppgifter i verksamhet. I lagen om behandling av uppgifter i brottsbe- kämpande verksamhet regleras helt uttömmande för vilka ändamål uppgifter får behandlas. undantas från tillämpning 9 § första stycket c) och d) personuppgiftslagen, där det anges att personuppgifter får samlas in bara för särskilda uttryckligt angivna och berättigade ändamål och att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Utöver de primära brottsbekämpande ändamålen får uppgifter härigenom behandlas enbart för tillhandahållande av information som behövs hos andra brottsbekämpande myndigheter eller för utlämnande av uppgifter till riksdag och regering eller till andra om uppgiftsskyldighet i övrigt följer av lag eller förordning. Lagstiftaren har härmed, en gång för alla, gjort en bedömning av vilka ändamål som skall anses vara förenliga med de för vilka uppgifterna samlades in.6 Vi föreslår ingen motsvarande bestämmelse, som innebär att ändamålen för tillåten behandling regleras helt uttömmande i lagen 6 Se prop. 2004/05:164 s. 50. Författningsregleringen av behandling av uppgifter om behandling av uppgifter i verksamhet. Vi anser också att 9 § första stycket personuppgiftslagen bör vara tillämpligt i sin helhet. Detta innebär, till skillnad mot vad som gäller för brottsbekämpande verksamhet, att Kust- bevakningen kan behandla uppgifter genom utlämnande till andra även om så inte följer av t.ex. tryckfrihetsförordningens bestäm- melser om offentlighetsprincipen eller sekretesslagens bestämmel- ser om informationsskyldighet myndigheter emellan. Exempelvis kan , med den reglering vi föreslår, utan föregå- ende begäran enligt 15 kap. 5 § sekretesslagen av den mottagande myndigheten, på eget initiativ lämna ut uppgifter genom automati- serad behandling till en annan myndighet. Som redogjorts för i avsnitt 8.2.1, har de brottsbekämpande myndigheterna särskilt framhållit möjligheten att utbyta information utan föregående begäran som viktig för att främja effektiviteten i brottsbekämp- ningen. Ett sådant utlämnande är med föreslagen lagstiftning inte möjligt i brottsbekämpande verksamhet, annat än till just de brottsbekämpande myndigheterna. Vi anser att ändamålen i den av oss föreslagna lagen tillsammans med den s.k. finalitetsprincipen i 9 § första stycket c) och d) personuppgiftslagen och bestämmelserna i sekretesslagen samman- taget utgör en tillräcklig reglering av för vilka ändamål uppgifter får behandlas och i övrigt lämnas ut till andra. På så sätt undviks ett onödigt tyngande av lagstiftningen genom en lång uppräkning av samtliga de ändamål för vilka kan komma att behöva utbyta uppgifter med andra myndigheter och vilka dessa myndigheter är. Härigenom skapas heller inga onödiga hinder för informationsutbyte mellan olika myndigheter. Vi instämmer härvid i Offentlighets- och sekretesskommitténs bedömning att sekretesslagens bestämmelser uppnår samma syfte som man vill åstadkomma genom finalitetsprincipen, dvs. myndig- heterna hindras att lämna ut integritetskänsliga uppgifter till andra myndigheter för ändamål som av lagstiftaren bedömts vara oför- enliga med de ändamål för vilka uppgifterna samlats in.7 Om sekretess hindrar utbytet av uppgifter myndigheter emellan är utlämnandet av uppgifterna oförenligt med något ändamål för vilket uppgifterna samlades in. Om det däremot inte finns något sekretesshinder, kan det inte vara fråga om någon otillåten behand- ling, oavsett om uppgifterna är offentliga eller om de omfattas av 7 Se SOU 2003:99 s. 230 ff. Författningsregleringen av behandling av uppgifter sekretess men kan lämnas ut med stöd av en sekretessbrytande bestämmelse.8 I 9 § första stycket i) och tredje stycket personuppgiftslagen finns bestämmelser om hur länge uppgifter får bevaras. Enligt vår mening bör särskilda bestämmelser om bevarande och gallring gälla för uppgifter som behandlas i den brottsbekämpande verksam- heten. Nämnda bestämmelser i personuppgiftslagen skall därför inte vara tillämpliga när behandlar uppgifter för det särskilda ändamålet brottsbekämpande verksamhet. Information till den registrerade (23 och 25–27 §§) Personuppgiftslagens bestämmelser om information som skall lämnas självmant till den registrerade när uppgifter har samlats in från personen själv och om information som skall lämnas efter ansökan av den registrerade skall enligt vår uppfattning tillämpas vid behandling av personuppgifter i verksamhet. Se vidare avsnitt 10.3.1. Rättelse (28 §) Bestämmelsen i 28 § personuppgiftslagen om att den personupp- giftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte behandlats i enlighet med lagstiftningen skall tillämpas vid behandling av personuppgifter i verksamhet. Se vidare avsnitt 10.3.2. Säkerheten vid behandling (30–32 §§) I 30–32 §§ personuppgiftslagen finns regler om hur den person- uppgiftsansvarige skall organisera arbetet med behandling av personuppgifter för att garantera säkerheten. Det rör sig om instruktioner till personalen samt tekniska och organisatoriska åtgärder. Dessa bestämmelser skall vara tillämpliga i Kustbevak- ningens verksamhet, vilket innebär att det måste finnas bestämda rutiner för hanteringen av personuppgifter. Det kan t.ex. behövas 8 Jfr SOU 2003:99 s. 230 ff. Författningsregleringen av behandling av uppgifter såväl tekniska lösningar för datorsystemen som olika behörighets- nivåer för personalkategorier, för att garantera att regleringen i den föreslagna lagen kan efterlevas. Överföring av personuppgifter till tredje land (33–35 §§) Personuppgifter som är under behandling får enligt 33 § person- uppgiftslagen inte föras över till tredje land om inte det mottag- ande landet har en adekvat nivå för skyddet av personuppgifter. Från förbudet finns vissa undantag i 34 §, bl.a. för överföring till länder som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Regeringen har också möjlighet enligt 35 § att föreskriva ytterligare undantag från förbudet, bl.a. om det behövs med hänsyn till ett viktigt allmänt intresse. I dataskyddsdirektivets ingresspunkt 58 nämns uttryckligen utbyte av uppgifter mellan bl.a. tullmyndig- heter och skattemyndigheter som ett sådant viktigt intresse och i förordningen (2000:1222) om internationellt tullsamarbete, som också är tillämplig på , finns en bestämmelse om undantag från 33 § personuppgiftslagen. Vi anser att förbudet mot överföring till tredje land som inte har acceptabla skyddsnivåer, och de undantag från förbudet som föreskrivs, bör vara tillämpliga även på behandling enligt den av oss föreslagna lagstiftningen. Personuppgiftsombudets uppgifter m.m. (36 och 38–41 §§) Automatiserade behandlingar av personuppgifter skall enligt 36 § personuppgiftslagen anmälas till tillsynsmyndigheten (Datainspek- tionen). Anmälan behöver dock enligt 3 § personuppgiftsförord- ningen (1998:1191) inte göras för behandlingar som regleras genom särskilda föreskrifter i lag eller förordning. Det finns enligt vår mening inte någon anledning att ställa krav på anmälnings- skyldighet för behandlingar som utförs med stöd av den av oss föreslagna lagen. Den personuppgiftsansvarige har enligt 36 § personuppgiftslagen även möjlighet att utse ett personuppgiftsombud. Vår bedömning är att det bör åligga den personuppgiftsansvarige att ta ställning till frågan om ett personuppgiftsombud skall inrättas hos myndigheten Författningsregleringen av behandling av uppgifter Om ett sådant ombud utses, skall bestämmelserna om ombudets skyldigheter i 38–40 §§ personuppgiftslagen tillämpas. Regeringen har enligt 41 § personuppgiftslagen möjlighet att föreskriva att vissa särskilt känsliga behandlingar skall anmälas till Datainspektionen för förhandskontroll oavsett om det finns ett personuppgiftsombud eller inte. Denna möjlighet bör regeringen enligt vår mening ha även i fråga om sådana behandlingar som utförs i verksamhet. Vissa upplysningar till allmänheten (42 §) Enligt 42 § personuppgiftslagen skall den personuppgiftsansvarige, till den som begär det, lämna upplysningar om de behandlingar av personuppgifter som utförs och som inte har anmälts till Data- inspektionen. Eftersom behandling är författ- ningsreglerad har myndigheten ingen skyldighet att till Data- inspektionen anmäla vilka behandlingar som utförs. För att enskilda på ett snabbt och enkelt sätt skall kunna få besked av om vilka behandlingar som utförs av myndig- heten bör bestämmelsen i personuppgiftslagen vara tillämplig. befogenheter (43 och 47 §§) För att kunna säkerställa att personuppgifter behandlas på ett korrekt sätt har Datainspektionen vissa befogenheter gentemot de personuppgiftsansvariga. Vi anser att den möjlighet som inspek- tionen har enligt 43 § personuppgiftslagen att på begäran få tillgång till personuppgifter, upplysningar och dokumentation om behandlingen och säkerheten samt tillträde till lokaler bör finnas även när den personuppgiftsansvarige är en myndighet. Däremot bör det inte vara möjligt för Datainspektionen att vid vite förbjuda en personuppgiftsansvarig statlig myndighet att behandla personuppgifter, eftersom vite som sanktionsmedel enligt allmänna rättsgrundsatser inte bör användas mellan statliga myn- digheter.9 Hänvisning behöver därför inte göras till bestämmelserna om vite i 44–46 §§ personuppgiftslagen. Vi finner det inte heller nödvändigt att i lagen hänvisa till den bestämmelse i 45 § som anger att Datainspektionen skall försöka 9 Jfr Lavin, Viteslagstiftningen En kommentar, s. 34 ff. Författningsregleringen av behandling av uppgifter åstadkomma rättelse genom påpekanden e.d., om inspektionen konstaterar att personuppgifter behandlas felaktigt. Det torde vara självklart att Datainspektionen vidtar de åtgärder som är rimliga för att få till stånd rättelse när eventuella brister i hantering upptäcks. Enligt 47 § personuppgiftslagen har Datainspektionen rätt att hos allmän förvaltningsdomstol ansöka om att sådana uppgifter som har behandlats på ett olagligt sätt skall utplånas. Bestämmelsen har sin grund i dataskyddsdirektivets artikel 28.3, där det anges att varje nationell tillsynsmyndighet skall ha särskild befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av direktivet har överträtts eller att uppmärksamma de rättsliga myndigheterna på dessa överträdelser. Denna bestämmelse bör enligt vår uppfattning gälla även i verksamhet. Skadestånd (48 §) Bestämmelserna i 48 § personuppgiftslagen om att den personupp- giftsansvarige skall ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personupp- gifter i strid med den lagen har orsakat skall tillämpas på motsvar- ande sätt vid behandling av personuppgifter i verksamhet. Se vidare avsnitt 10.3.2. Straff (49 §) Bestämmelsen i 49 § personuppgiftslagen föreskriver ansvar för överträdelser av olika bestämmelser i personuppgiftslagen. Lagrådet har i tidigare lagstiftningsärende ansett att bestämmelsen enligt legalitetsprincipen inte kan ges motsvarande tillämpning beträffande överträdelser av bestämmelser i den föreslagna särlagstiftningen.10 En hänvisning till 49 § personuppgiftslagen kan därför endast få den innebörden att ansvar inträder i händelse av överträdelser av de paragrafer i personuppgiftslagen som i övrigt skall gälla och som är straffsanktionerade. Med hänsyn till att bl.a. behandling av känsliga personuppgifter regleras särskilt i den föreslagna lagstiftningen kommer straff-