sou · GWB387 · 2008-10-09 00:00:00 — De bestämmelser i personuppgiftslagen som ska vara allmänt tillämpliga är de om definitioner, förhållandet till offentlighets- principen, grundläggande krav på behandling, behandling av personnummer, information till den registrerade, rättelse, säkerheten vid behandling, överföring av personuppgifter till tredje land, personuppgiftsombudets uppgifter, upplysningar till allmänheten om vissa behandlingar, tillsynsmyndighetens befo- genheter, skadestånd samt överklagande. En viktig fråga är i vilken omfattning personuppgiftslagens bestämmelser ska vara direkt tillämpliga på behandling av uppgifter i åklagarväsendets brottsbekämpande verksamhet. Personuppgifts- lagen är generellt tillämplig på all behandling av personuppgifter och gäller därför för åklagarväsendets personuppgiftsbehandling om det inte finns avvikande bestämmelser i lag eller förordning. Som vi nämnt ovan behövs det bestämmelser för åklagarväsendets behandling av personuppgifter som avviker från personuppgifts- lagen. Det innebär att i den lag vi föreslår finns det vissa uttryckliga bestämmelser som avviker från personuppgiftslagen. uppstår frågan hur man ska hantera de bestämmelser som inte ska Författningsregleringen av behandling av uppgifter avvika från personuppgiftslagens regler. I tidigare lagstiftnings- ärenden har olika varianter förekommit. En modell är att i en särskild författning över huvud taget inte nämna personuppgiftslagen eller klart ange att den särskilda för- fattningen gäller utöver personuppgiftslagen. I bägge fallen gäller de från personuppgiftslagen avvikande bestämmelserna i den sär- skilda författningen före personuppgiftslagen. När reglering i den särskilda författningen saknas kommer däremot personuppgifts- lagens bestämmelser att vara tillämpliga. Nackdelen med att på så sätt låta den särskilda författningen gälla utöver personuppgifts- lagen är att det kan vara svårt för den som ska tillämpa reglerna att få en överblick över vilka bestämmelser i personuppgiftslagen som är tillämpliga och i vilken omfattning bestämmelserna i den sär- skilda författningen avviker från personuppgiftslagens regler. Modellen används bl.a. i polisdatalagen och har mött kritik inom polisväsendet på grund av att den anses svår att tillämpa. Med hän- syn till denna kritik föreslog i sitt betänkande Behandling av personuppgifter i polisens verksamhet en annan modell. Denna andra modell innebär att de bestämmelser i personupp- giftslagen som ska vara tillämpliga skrivs ut i klartext i den särskilda författningen, som härigenom gäller i stället för personuppgifts- lagen. Fördelen med en sådan lösning är att tillämparen snabbt får klart för sig vilka bestämmelser som gäller utan att ens behöva gå till personuppgiftslagen. En nackdel med att direkt skriva ut bestämmelser som finns i personuppgiftslagen är att det därigenom införs en onödig dubbelreglering, eftersom personuppgiftslagens regler ändå gäller om inget annat anges. Dessutom innebär även mindre ändringar i personuppgiftslagen att motsvarande justeringar måste göras i den särskilda lagen. Den särskilda lagen kan även komma att bli onödigt omfattande. En tredje modell för utformning av lagstiftningen är att de bestämmelser som avviker från personuppgiftslagen regleras sär- skilt i specialförfattningen och att det uttryckligen hänvisas till de lagrum i personuppgiftslagen som ska vara tillämpliga. Härigenom gäller särlagstiftningen i stället för personuppgiftslagen. Sistnämnda metod har tidigare fått kritik av Lagrådet som ansåg bl.a. att lagstiftningstekniken var riskfylld med hänsyn till såväl svårigheterna att överblicka om dataskyddsdirektivet blir till fullo genomfört i registerlagstiftningen som till möjligheten att vid Författningsregleringen av behandling av uppgifter kommande lagändringar hänvisningarna till personuppgiftslagen blir felaktiga eller missvisande.TPF4FPT Denna metod tillämpas emellertid , bl.a. i den lag- stiftning om behandling av personuppgifter som gäller inom Tull- verkets fiskala verksamhet och inom Skatteverket.TPF5FPT Vidare är det denna lagstiftningsteknik som tillämpas i den förhållandevis nya lagen om behandling av uppgifter i brottsbekämpande verksamhet. Metoden har i detta lagstiftningsarbete inte erhållit någon kritik från Lagrådet.TPF6FPT Det är även den metod som används både i förslaget till ny lag om behandling av uppgifter i Kustbevak- ningens verksamhetTPF7FPT och förslaget till ny polisdatalagTPF8FPT. Det finns enligt vår uppfattning ett stort värde i att inte lämna lagtillämparen utan vägledning när det gäller vilka bestämmelser i personuppgiftslagen som är tillämpliga. Vår bedömning är att de ovan nämnda fördelarna med en metod som innebär att det ges uttryckliga hänvisningar till de bestämmelser i personuppgiftslagen som är tillämpliga mycket klart överväger nackdelarna. Det är enligt vår mening viktigt att underlätta samarbetet mellan de brottsbekämpande myndigheterna genom att använda samma typ av lagstiftningsteknik för alla myndigheter med brottsbekäm- pande uppgifter. Vi föreslår därför att lagen om behandling av upp- gifter i åklagarväsendets brottsbekämpande verksamhet ska gälla i stället för personuppgiftslagen. Denna modell utgör numera också en allmänt vedertagen lagstiftningsteknik för moderna register- lagar.TPF9FPT Nedan redovisar vi de bestämmelser i personuppgiftslagen som vi föreslår ska vara tillämpliga vid behandling av personuppgifter i åklagarväsendets brottsbekämpande verksamhet. Definitioner (3 §) I 3 § personuppgiftslagen definieras vissa begrepp som är centrala när behandling av personuppgifter ska regleras. Vi har inte funnit anledning att definiera begrepp som förekommer i den av oss före- slagna lagen på något annat sätt än i 3 § personuppgiftslagen. 4TP PT Se prop. 2000/01:33 s. 345 f. 5TP PT SFS 2001:181-185. 6TP PT Se prop. 2004/05:164 s. 46 ff och 178 ff. 7TP PT Se SOU 2006:18 s. 193 ff. 8TP PT Se Ds 2007:43 s. 106 ff. 9TP PT Jfr SOU 2005:61 s. 150. Författningsregleringen av behandling av uppgifter att undvika missförstånd är det tvärtom viktigt att de begrepp som används i de två lagarna har samma innebörd. Det bör dock anmär- kas att personuppgiftsansvaret regleras särskilt i den lag som vi föreslår för åklagarväsendet. Förhållandet till offentlighetsprincipen (8 §) I 8 § första stycket personuppgiftslagen finns en erinran om att personuppgiftslagen inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet att lämna ut personuppgifter enligt 2 kap. tryckfrihetsförordningen (TF), som reglerar allmänna handlingars offentlighet. I paragrafens andra stycke anges att bestämmelserna inte hindrar att en myndighet arkiverar och beva- rar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Enligt vår bedömning bör i klargörande syfte en hänvisning till bestämmelsen i 8 § personuppgiftslagen tas in i lagen, så att det inte råder någon tvekan om att tillämpningen av lagen inte får strida mot 2 kap. TF. Grundläggande krav på behandling av personuppgifter (9 §) En av de viktigaste bestämmelserna i fråga om behandling av per- sonuppgifter finns i 9 §. Där uppställs vissa grundläggande krav på den personuppgiftsansvarige. I första stycket a) och b) anges att den personuppgiftsansvarige ska se till att personuppgifter endast behandlas om det är lagligt och att personuppgifter alltid ska behandlas på ett korrekt sätt och i enlighet med god sed. Enligt e)– h) ska den ansvarige se till att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behand- lingen, att inte fler personuppgifter behandlas än som är nödvän- digt, att de personuppgifter som behandlas är riktiga och om nöd- vändigt aktuella samt att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen. Det är naturligt att dessa krav tillämpas även vid behandling av person- uppgifter i åklagarväsendets brottsbekämpande verksamhet. Den nya lagen bör således hänvisa till 9 § första stycket a), b) och e)–h). I 9 § första stycket c) anges att personuppgifter får samlas in bara för särskilda, uttryckligt angivna ändamål och i punkten d) att Författningsregleringen av behandling av uppgifter personuppgifter inte får behandlas för något ändamål som är oför- enligt med det för vilket uppgifterna samlades in. Punkten d) ger uttryck för den s.k. finalitetsprincipen. Enligt paragrafens andra stycke gäller att behandling av personuppgifter för historiska, sta- tistiska eller vetenskapliga ändamål generellt inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Vi anser att det inte bör tas in några hänvisningar till dessa bestämmel- ser i den nya lagen. I stället bör den nya lagen uttömmande ange för vilka ändamål uppgifter får behandlas i åklagarväsendets brotts- bekämpande verksamhet. En sådan ordning stärker integritets- skyddet och innebär andra slag av begränsningar av möjligheterna till personuppgiftsbehandling än de som anges i 9 § första stycket c) och d). I 9 § första stycket i) och tredje stycket finns bestämmelser om hur länge uppgifter får bevaras. Enligt vår mening bör frågan om gallring regleras särskilt i den nya lagen. Någon hänvisning till per- sonuppgiftslagens bestämmelser om hur länge uppgifter får bevaras behövs därför inte i den nya lagen. Behandling av personnummer (22 §) I 22 § personuppgiftslagen föreskrivs att uppgifter om person- nummer eller samordningsnummer får behandlas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vik- ten av en säker identifiering eller något annat beaktansvärt skäl. Personnummer bör således inte användas av ren slentrian. Bestäm- melsen innebär att den personuppgiftsansvarige måste göra en intresseavvägning. Tyngden av de skäl som talar för att behand- lingen av personnummer är påkallad måste således vägas mot beho- vet av skydd för den personliga integriteten. Principen bör gälla även vid behandling inom åklagarväsendets brottsbekämpande verksamhet. Den nya lagen bör därför hänvisa även till 22 § per- sonuppgiftslagen. Information till den registrerade (23 och 25–27 §§) Personuppgiftslagens bestämmelser om information som ska läm- nas självmant till den registrerade när uppgifter har samlats in från personen själv och om information som ska lämnas efter ansökan Författningsregleringen av behandling av uppgifter av den registrerade ska enligt vår uppfattning tillämpas vid behand- ling av personuppgifter i åklagarväsendets verksamhet. Se vidare avsnitt 11.3.1. Rättelse (28 §) I 28 § personuppgiftslagen anges att den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte behandlats i enlighet med personuppgiftslagens bestämmelser. Vi föreslår att bestämmelserna i 28 § personuppgiftslagen ska tillämpas vid behandling av person- uppgifter i åklagarväsendets brottsbekämpande verksamhet. Se vidare avsnitt 11.3.2. Säkerheten vid behandling (30–32 §§) I 30–32 §§ personuppgiftslagen finns bestämmelser om hur den personuppgiftsansvarige ska organisera arbetet med behandling av personuppgifter för att garantera säkerheten. Det rör sig om instruktioner till personalen samt tekniska och organisatoriska åtgärder. Dessa bestämmelser ska vara tillämpliga i åklagarväsen- dets verksamhet, vilket innebär att det måste finnas bestämda ruti- ner för hanteringen av personuppgifter. Det kan t.ex. behövas såväl tekniska lösningar för datorsystemen som olika behörighetsnivåer för personalkategorier, för att garantera att regleringen i den före- slagna lagen kan efterlevas. Överföring av personuppgifter till tredje land (33–35 §§) Personuppgifter som är under behandling får enligt 33 § person- uppgiftslagen inte föras över till tredje land om inte det mot- tagande landet har en adekvat nivå för skyddet av personuppgifter. Från förbudet finns vissa undantag i 34 §, bl.a. för överföring till länder som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Regeringen har också möjlighet enligt 35 § att föreskriva ytterligare undantag från förbudet, bl.a. om det behövs med hänsyn till ett viktigt allmänt intresse. Författningsregleringen av behandling av uppgifter Vi anser att förbudet mot överföring till tredje land som inte har acceptabla skyddsnivåer och de undantag från förbudet som före- skrivs, bör vara tillämpliga även på behandling enligt den av oss föreslagna lagstiftningen. Personuppgiftsombudets uppgifter m.m. (36 § andra stycket och 38– 41 §§) Automatiserade behandlingar av personuppgifter ska enligt 36 § första stycket anmälas till tillsynsmyndigheten (Datainspektionen). Anmälan behöver dock enligt 3 § personuppgiftsförordningen (1998:1191) inte göras för behandlingar som regleras genom sär- skilda föreskrifter i lag eller förordning. Det finns enligt vår mening inte någon anledning att ställa krav på anmälningsskyldig- het för behandlingar som utförs med stöd av den av oss föreslagna lagen. Den personuppgiftsansvarige har enligt 36 § andra stycket möj- lighet att utse ett personuppgiftsombud. Om ett sådant ombud utses ska bestämmelserna i 38–40 §§ tillämpas. I ombudets skyldig- heter ingår bl.a. att se till att behandlingen av personuppgifter sker på ett lagligt sätt och att hjälpa registrerade att få rättelse. Den behandling av personuppgifter som förekommer i åklagar- väsendets brottsbekämpande verksamhet rör i stor utsträckning uppgifter som är integritetskänsliga. Detta gör enligt vår mening det särskilt angeläget med den kontroll som kan utövas av ett per- sonuppgiftsombud. Det är även viktigt att enskilda registrerade enkelt ska kunna vända sig till rätt person hos myndigheter i t.ex. frågor om information om behandlingen och om rättelse. Vår bedömning är mot bakgrund av det anförda att det bör ställas krav på att och utser per- sonuppgiftsombud och anmäler detta till Datainspektionen. Den nya lagen bör således innehålla hänvisning till 36 § andra stycket och 38–40 §§. Regeringen har enligt 41 § personuppgiftslagen möjlighet att föreskriva att vissa särskilt känsliga behandlingar ska anmälas till Datainspektionen för förhandskontroll oavsett om det finns ett personuppgiftsombud eller inte. Denna möjlighet bör regeringen enligt vår mening ha även i fråga om sådana behandlingar som utförs i åklagarväsendets brottsbekämpande verksamhet. Författningsregleringen av behandling av uppgifter Vissa upplysningar till allmänheten (42 §) Enligt 42 § personuppgiftslagen ska den personuppgiftsansvarige, till den som begär det, lämna upplysningar om de behandlingar av personuppgifter som utförs och som inte har anmälts till Data- inspektionen. Eftersom åklagarväsendets behandling är författ- ningsreglerad har myndigheterna ingen skyldighet att till Data- inspektionen anmäla vilka behandlingar som utförs. För att enskilda på ett snabbt och enkelt sätt ska kunna få besked av Åkla- garmyndigheten och om vilka behandlingar som utförs av myndigheterna bör bestämmelsen i personuppgifts- lagen vara tillämplig. befogenheter (43 och 44 §§, 45 § första stycket och 47 §) För att kunna säkerställa att personuppgifter behandlas på ett kor- rekt sätt har Datainspektionen vissa befogenheter gentemot de per- sonuppgiftsansvariga. Datainspektionen har enligt 43 § möjlighet att på begäran få till- gång till personuppgifter, upplysningar och dokumentation om behandlingen och säkerheten samt tillträde till lokaler. Vi anser att dessa möjligheter bör gälla även för åklagarväsendets vidkom- mande. Om Datainspektionen efter en begäran enligt 43 § inte kan få tillräckligt med underlag för att konstatera om behandlingen av personuppgifter är laglig, får myndigheten enligt 44 § vid vite för- bjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än att lagra dem. Den nya lag vi föreslår kommer att ge och stort utrymme att behandla vissa typer av personuppgifter. Detta talar enligt vår bedömning för att Data- inspektionen bör kunna förbjuda viss behandling om en begäran enligt 43 § inte ger tillräckligt underlag. Den nya lagen bör således hänvisa till 44 § när det gäller möjligheten att meddela förbud. I 45 § första stycket anges att Datainspektionen – om den kon- staterar att personuppgifter behandlas felaktigt – ska försöka åstadkomma rättelse genom påpekanden eller liknande förfaranden. Om det inte går att få till stånd rättelse eller om saken är bråds- kande, får Datainspektionen vid vite förbjuda den personuppgifts- Författningsregleringen av behandling av uppgifter ansvarige att fortsätta att behandla personuppgifter på något annat sätt än att lagra dem. Det kan tyckas självklart att Datainspektionen vidtar de åtgärder som är rimliga för att få till stånd rättelse om inspektionen skulle finna brister i eller hantering av personuppgifter. En hänvisning till 45 § första stycket kan därför anses som onödig. Vi anser dock att det är av stort värde att den lag vi föreslår klart och tydligt visar att Datainspektionens kontrollfunktion är allvarligt menad. Ett sätt att visa detta på är att undanröja varje tvekan, såväl inom berörda myndigheter som hos den enskilde, om vilka instrument Datainspektionen har att tillgå i sin verksamhet. Vi anser mot bakgrund av det sagda och även med beaktande av vad som anförts ovan beträffande 44 § att en hänvis- ning bör göras till 45 § första stycket både när det gäller påpekan- den och förbud. Som angetts ovan har Datainspektionen enligt både 44 och 45 §§ möjlighet att förena ett förbud enligt respektive bestämmelse med vite. Enligt allmänna rättsgrundsatser bör vite inte användas mellan statliga myndigheter.TPF10FPT Regeringen har med denna motivering i flera propositioner valt att inte ge Datainspektionen någon sådan möjlighet.TPF11FPT Vi delar denna uppfattning och föreslår därför att ett förbud enligt 44 eller 45 § inte får förenas med vite. Detta medför att det i den nya lagen särskilt bör anges att ett förbud enligt 44 eller 45 § inte får förenas med vite. Vidare innebär det att lagen inte bör hänvisa till 45 § andra stycket och 46 §. Enligt 47 § personuppgiftslagen har Datainspektionen rätt att hos allmän förvaltningsdomstol ansöka om att sådana uppgifter som har behandlats på ett olagligt sätt ska utplånas. Bestämmelsen har sin grund i och rådets direktiv /46/EG av om skydd för enskilda personer med avse- ende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) artikel 28.3, där det anges att varje nationell tillsynsmyndighet ska ha särskild befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av direktivet har överträtts eller att uppmärk- samma de rättsliga myndigheterna på dessa överträdelser. Denna bestämmelse bör enligt vår uppfattning gälla även i åklagarväsen- dets verksamhet. 10TP PT Jfr Lavin, Viteslagstiftningen – En kommentar, s. 34 ff. 11TP PT Se bl.a. prop. 2004/05:164 s. 54 och 2006/07:46 s. 105. Författningsregleringen av behandling av uppgifter Skadestånd (48 §) Bestämmelserna i 48 § personuppgiftslagen om att den personupp- giftsansvarige ska ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgif- ter i strid med den lagen har orsakat ska tillämpas på motsvarande sätt vid behandling av personuppgifter i åklagarväsendets verksam- het. Se vidare avsnitt 11.3.2. Straff (49 §) Bestämmelsen i 49 § personuppgiftslagen föreskriver ansvar för överträdelser av olika bestämmelser i personuppgiftslagen. Lagrådet har i tidigare lagstiftningsärende ansett att bestämmelsen enligt legalitetsprincipen inte kan ges motsvarande tillämpning beträf- fande överträdelser av bestämmelser i den föreslagna särlagstift- ningen.TPF12FPT En hänvisning till 49 § personuppgiftslagen kan därför endast få den innebörden att ansvar inträder i händelse av över- trädelser av de paragrafer i personuppgiftslagen som i övrigt ska gälla och som är straffsanktionerade. Med hänsyn till att bl.a. behandling av känsliga personuppgifter regleras särskilt i den föreslagna lagstiftningen kommer straff- bestämmelsen att urholkas, eftersom den blir tillämplig endast i ett fåtal fall. Vi anser därför att det inte föreligger något behov av en hänvisning till 49 § personuppgiftslagen. Det finns enligt vår mening heller inget behov av att införa separata straffbestämmelser i den föreslagna lagen.TPF13FPT Överklagande (51 § första stycket, 52 § första stycket och 53 §) Bestämmelserna i 51 § första stycket, 52 § första stycket och 53 § personuppgiftslagen om överklagande ska tillämpas vid behandling av personuppgifter i åklagarväsendets brottsbekämpande verksam- het. Se vidare avsnitt 11.3.3 12TP PT Prop. 2000/01:33 s. 346. 13TP PT Jfr prop. 2000/01:33 s. 97. Författningsregleringen av behandling av uppgifter 11.2.3Tillåtna ändamål för behandling av personuppgifter Våra förslag: I lagen ska anges för vilka ändamål behandling av uppgifter får ske. Uppgifter ska inte få behandlas för några andra ändamål än dessa. Bestämmelser om för vilka ändamål uppgifter i statliga person- register får behandlas har en central roll i registerförfattningar. Genom att ange ändamålen och reglera vilka uppgifter som får regi- streras sätts en ram för hanteringen av uppgifterna upp. I detta sammanhang bör dataskyddsdirektivet och personuppgiftslagen uppmärksammas Både dataskyddsdirektivet och personuppgifts- lagen har bestämmelser som anger att personuppgifter endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål samt att uppgifterna senare inte får behandlas för något ändamål som är oförenligt med de för vilka uppgifterna samlades in (artikel 6.1 a och b i direktivet samt 9 § första stycket c och d [den s.k. finalitetsprincipen] i personuppgiftslagen). Bestämmelser med samma lydelse återkommer i rådets utkast till rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete. I lagen om behandling av uppgifter i brottsbekäm- pande verksamhet och förslaget till ny polisdatalag i promemorian Behandling av personuppgifter inom polisens brottsbekämpande verksamhet anges för vilka ändamål uppgifter får behandlas i Tull- verkets respektive polisens verksamhet. Genom att utforma bestämmelserna på detta sätt kan användningen och spridningen av uppgifterna begränsas. Det är naturligt att även den nya lagen om åklagarväsendets brottsbekämpande verksamhet utgår ifrån att uppgifter får behandlas enbart för vissa berättigade ändamål. Det är också naturligt att ändamålen anges i lagen. Bestämmelser om ändamål med behandlingen av uppgifter kan utformas på två principiellt olika sätt. Det ena innebär att lagen anger att uppgifter får samlas in enbart för vissa angivna ändamål och att senare behandling inte får ske för något ändamål som är oförenligt med de i lagen angivna ändamålen. Det andra sättet är att i lagen uttömmande ange de ändamål för vilka behandling får ske. Både lagen om behandling av uppgifter i brottsbekäm- pande verksamhet och förslaget till ny polisdatalag i promemorian Författningsregleringen av behandling av uppgifter Behandling av personuppgifter inom polisens brottsbekämpande verksamhet är utformade enligt det senare alternativet. Även den nya lagen om åklagarväsendets brottsbekämpande verksamhet bör utformas enligt det senare alternativet. Det förra alternativet innebär förvisso en viss praktisk flexibilitet och har dessutom en förebild i personuppgiftslagen och flera andra regis- terlagar. I förarbetena till personuppgiftslagenTPF14FPT har emellertid inte närmare preciserats vad som kan anses oförenligt med de ursprungliga ändamålen. Det skulle därför bli svårt att avgöra om denna förutsättning är uppfylld. Som en följd därav skulle det inte alltid gå att förutse vilken behandling som kan komma att ske.