sou · GWB387 · 2008-10-09 00:00:00 — Ett register som innehåller personuppgifter om ett stort antal personer ställer också ökade krav på säkerhet. Datainspektionen får enligt 32 § personuppgiftslagen i enskilda fall besluta om vilka skyddsåtgärder en personuppgiftsansvarig ska vidta. Om ett sådant beslut inte följs kan inspektionen enligt 45 § föreskriva vite. 3.7.5Överföring av personuppgifter till tredje land Det är enligt 33 § personuppgiftslagen principiellt förbjudet att föra över personuppgifter till ett land som inte är medlem i EU eller anslutet till EES (tredje land) om landet inte har en adekvat nivå för skyddet av personuppgifter. Förbudet gäller både uppgifter som är under behandling och uppgifter som ska undergå behand- ling i det tredje landet. Vid bedömningen av om ett land utanför EU eller EES har en adekvat skyddsnivå ska hänsyn tas till samtliga omständigheter som har samband med överföringen. I lagen anges uttryckligen att sär- skild vikt ska läggas vid uppgifternas art, ändamålet med behand- lingen, hur länge behandlingen ska pågå, ursprungslandet, det slut- liga bestämmelselandet och de regler som finns för behandlingen i det tredje landet. Från förbudet mot överföring av personuppgifter till tredje land finns undantag i 34 och 35 §§. Har den registrerade samtyckt till det, får uppgifter om denne föras över till tredje land. Det är också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till dataskyddskonventionen. Uppgifter får även föras över till tredje land om behandlingen är nödvändig för att fullgöra ett avtal – mellan den registrerade och den personuppgiftsansvarige eller mellan den personuppgiftsansva- rige och tredje man – som är i den registrerades intresse eller för att på den registrerades begäran vidta åtgärder innan ett avtal träffas. Vidare får överföring ske om behandlingen är nödvändig för att kunna fastställa, göra gällande eller försvara rättsliga anspråk eller för att skydda vitala intressen för den registrerade. Regeringen får meddela föreskrifter om generella undantag från förbudet att föra över personuppgifter till tredje land. Regeringen eller, om regeringen bestämmer det, Datainspektionen får också Övergripande rättslig reglering av behandling av personuppgifter föreskriva undantag när det behövs med hänsyn till viktiga all- männa intressen eller om överföringen sker under sådana omstän- digheter att det finns tillräckliga garantier till skydd för de registre- rades rättigheter. Dessutom får regeringen under vissa förutsätt- ningar besluta om undantag från förbudet i enskilda fall. Förbudet mot överföring av personuppgifter till tredje land har ansetts innefatta ett hinder mot att publicera uppgifterna på en hemsida eller motsvarande, som är åtkomlig via Internet. anförde att den omständigheten att någon ges möjlig- het att från tredje land komma åt personuppgifter som finns i eller i någon annan medlemsstat via telekommunikation eller datanätverk förmodligen är ett exempel på överföring av upp- gifterna till tredje land (se betänkandet Integritet. Informationsteknik [SOU 1997:39] s. 413). Genom EG-domsto- lens dom i mål C-101/01 har numera lagts fast att publicering av uppgifter på en webbsida inte utan vidare omfattas av begreppet överföring av uppgifter till tredje land, även om dessa uppgifter härigenom blir åtkomliga för personer i tredje land. Domstolen uttalade i målet att det inte föreligger någon överföring av upp- gifter till tredje land i den mening som avses i artikel 25 i data- skyddsdirektivet när en person som befinner sig i en medlemsstat lägger ut personuppgifter på en hemsida som är lagrad hos den som tillhandahåller honom servertjänster och som är etablerad i samma medlemsstat eller i en annan medlemsstat, varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive perso- ner i tredje land. Av kommentaren till personuppgiftslagen (se m.fl., Personuppgiftslagen: en kommentar, 3 uppl., s. 384) framgår att det förhärskade synsättet i får anses innebära att inte någon Internetpublicering som sker från en server som innehas av någon som är etablerad inom EU och EES innebär en överföring av personuppgifter i den mening som avses i paragrafen. Var den server på vilken uppgifterna finns lagrade faktiskt är placerad synes inte ha någon betydelse för bedömningen bara den som har servern är etablerad inom EU och EES och därmed underkastad lagstiftning som genomför EG-direktivet. I Datainspektionens reviderade informationsblad om personupp- gifter och Internet anges att det inte räknas som överföring till tredje land när en person lägger ut uppgifter på en webbplats på Internet som lagras hos en Internetleverantör som är etablerad inom EU. Efter dom på området har ansetts att det inte behövs uttryckliga bestämmelser i lag eller förordning som Övergripande rättslig reglering av behandling av personuppgifter tillåter överföring till tredje land av personuppgifter som publiceras på Internet. Enligt ovannämnda lagkommentar utesluter inte detta att det av andra skäl kan finnas behov av att reglera frågan om Internetpublicering av information (jfr a.a. s. 386). 3.7.6Datainspektionens befogenheter som tillsynsmyndighet enligt såväl personuppgiftslagen som data- skyddsdirektivet är Datainspektionen. Datainspektionens uppgifter enligt personuppgiftslagen innebär i första hand att informera om gällande regler och utöva tillsyn över att reglerna efterlevs samt att ge råd och hjälp åt personuppgiftsombud. Den personuppgifts- ansvariges anmälan om behandlingar av personuppgifter ska göras till Datainspektionen, som även ska utöva tillsyn över behand- lingen. Vissa av de befogenheter som enligt dataskyddsdirektivet till- kommer tillsynsmyndigheten regleras i 43–47 §§ personuppgifts- lagen. Således innehåller lagen bestämmelser om att Datainspektio- nen ska ha tillgång till behandlade personuppgifter och dessutom tillträde till lokaler med anknytning till behandlingen. Om lagens regler inte iakttas har Datainspektionen som tillsynsmyndighet bl.a. befogenhet att tillse att rättelse sker och om detta inte hjälper besluta om förbud mot behandling av personuppgifter samt att ansöka hos länsrätt om att personuppgifter ska utplånas. Data- inspektionen har även bemyndigats att meddela föreskrifter i anslutning till reglerna i personuppgiftslagen. Anmälningsskyldighet (36 §) Helt eller delvis automatiserad behandling av personuppgifter måste i princip anmälas till tillsynsmyndigheten. Syftet med anmäl- ningsskyldigheten är att göra behandlingens ändamål och dess vik- tigaste egenskaper kända. Datainspektionen ska föra register över anmälda behandlingar. Personuppgiftslagen har i denna del två motstridiga intressen som utgångspunkt. Det finns å ena sidan ett önskemål om att ta bort anmälningsskyldigheten för automatiserad behandling för att på så sätt koncentrera Datainspektionens verksamhet till att ge råd och sprida kunskap om de materiella reglerna samt att utöva tillsyn Övergripande rättslig reglering av behandling av personuppgifter över att reglerna efterlevs. Å andra sidan föreskriver dataskydds- direktivet som huvudregel att den registeransvarige till tillsyns- myndigheten ska anmäla automatiserade behandlingar som ska genomföras. Från denna anmälningsskyldighet får ett medlemsland dock under vissa förutsättningar föreskriva undantag. I personuppgiftslagen har en principiell anmälningsskyldighet till Datainspektionen införts, som möjligheterna att före- skriva om undantag utnyttjats fullt ut. Vid särskilt integritets- känsliga behandlingar föreskrivs dock inga undantag från anmäl- ningsskyldigheten. Enligt personuppgiftslagen får regeringen eller, efter regeringens bemyndigande, Datainspektionen föreskriva undantag från anmäl- ningsskyldigheten. Sådana undantag föreskrivs i 3–5 §§ personupp- giftsförordningen (1998:1191). Undantag görs här för bl.a. behand- ling av personuppgifter som utförs till följd av en myndighets skyldighet enligt 2 kap. TF att lämna ut allmänna handlingar och personuppgifter i löpande text. Personuppgiftsombud (37–40 §§) Anmälan till Datainspektionen behöver inte göras när ett person- uppgiftsombud har utsetts av den personuppgiftsansvarige. Per- sonuppgiftsombudet ska ha till uppgift att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett kor- rekt och lagligt sätt. Kravet på självständighet innebär att person- uppgiftsombudet inte får ha en alltför underordnad ställning i för- hållande till den personuppgiftsansvarige och att ombudet ska ha tillräckliga kvalifikationer och kunskaper för att kunna utföra sina uppgifter. I första hand ska personuppgiftsombudet påpeka brister i upp- giftsbehandlingen till den personuppgiftsansvarige, men om den ansvarige inte rättar till bristerna är ombudet skyldigt att anmäla förhållandet till Datainspektionen. Personuppgiftsombudet ska ha en förteckning över de behandlingar som den personuppgifts- ansvarige utför och han eller hon ska även hjälpa registrerade per- soner att få rättelse vid misstanke om att personuppgifter är fel- aktiga eller ofullständiga. Övergripande rättslig reglering av behandling av personuppgifter Anmälan för förhandskontroll (41 §) Enligt dataskyddsdirektivet ska medlemsstaterna bestämma vilka behandlingar som kan innebära särskilda risker för den registrera- des rättigheter och säkerställa att dessa behandlingar kontrolleras innan de påbörjas. Förhandskontrollen ska enligt direktivet utföras av tillsynsmyndigheten men kan också utgöra ett led i lagstift- ningsprocessen. Förhandskontroll kan således ske i samband med att särskilda registerförfattningar beslutas av eller reger- ingen. I personuppgiftslagen finns ett bemyndigande för regeringen att bestämma att vissa behandlingar av personuppgifter som kan inne- bära särskilda risker för otillbörligt intrång i den personliga integ- riteten ska anmälas till Datainspektionen i förväg. I per- sonuppgiftsförordningen finns bestämmelser om sådana behand- lingar. gäller enligt 10 § personuppgiftsförord- ningen att behandling av känsliga personuppgifter för forsknings- ändamål utan samtycke från den registrerade och som inte god- känts av en forskningsetisk kommitté samt behandling av person- uppgifter om genetiska anlag som framkommit efter genetisk undersökning ska anmälas för förhandskontroll. 3.7.7Upplysningar till allmänheten om behandlingar som inte anmälts Genom 42 § personuppgiftslagen åläggs den personuppgifts- ansvarige en generell skyldighet att till var och en som efterfrågar det lämna information om behandlingar av personuppgifter som inte har anmälts till tillsynsmyndigheten och ange hur långt skyl- digheten sträcker sig i förhållande till intresset av skydd för de per- sonuppgifter som behandlas. Paragrafen slår fast att uppgifter om säkerhetsåtgärder inte behöver lämnas ut samt att bestämmelser om sekretess och tystnadsplikt går före skyldigheten att informera. Paragrafen är avsedd att ha samma innebörd som artikel 21.3 första stycket i dataskyddsdirektivet. Övergripande rättslig reglering av behandling av personuppgifter Skadestånd (48 §) Om behandling av personuppgifter i strid med personuppgiftslagen orsakar skada för den registrerade har han eller hon rätt till skadestånd från den personuppgiftsansvarige. Rätten till ersättning omfattar såväl personskada, sakskada och ren förmögenhetsskada som den kränkning av den personliga integriteten som behand- lingen kan ha medfört. Ersättningen för kränkning måste upp- skattas efter skälighet mot bakgrund av samtliga omständigheter i det aktuella fallet, t.ex. om den registrerade på grund av behand- lingen utsatts för något för honom eller henne negativt beslut. Ersättningen ska fastställas för varje kränkt registrerad för sig. Skadeståndsansvaret är i princip strikt. Den registrerade behöver bara bevisa att det förekommit en felaktig behandling och att denna behandling har skadat eller kränkt honom eller henne. Kan den personuppgiftsansvarige visa att felet inte berodde på honom eller henne får emellertid skadeståndet jämkas i skälig utsträckning. Straff (49 §) I personuppgiftslagen har i första hand valts andra sanktioner än straff. Således har vissa företeelser som i datalagen återfanns i straffkatalogen i stället sanktionerats genom vite eller genom möj- ligheten att utdöma ideellt skadestånd. Vad som återfinns i straff- bestämmelsen i personuppgiftslagen är sådana uppsåtliga brott eller grova oaktsamma förfaranden som är svåra att åtgärda på annat sätt än genom straffbestämmelser. Det rör sig om att någon lämnar osanna uppgifter i den information till den registrerade som lagen föreskriver eller i anmälan till Datainspektionen. Vidare tillämpas straffbestämmelsen om någon i strid med lagen behandlar känsliga personuppgifter, för över uppgifter till tredje land eller låter bli att göra föreskriven anmälan om behandling till Datainspektionen. Straffbestämmelsens tillämplighet är begränsad genom att det inte ska dömas till ansvar om förseelsen är ringa. Övergripande rättslig reglering av behandling av personuppgifter Närmare föreskrifter om normgivningsbemyndiganden (50 §) Paragrafen innehåller bestämmelser om möjlighet för regeringen eller den myndighet som regeringen bestämmer att meddela när- mare föreskrifter om sådant som regleras i lagen. Bakgrunden här- till är att bl.a. genom artikel 5 i dataskyddsdirektivet har ålagts att, inom ramen för direktivet, precisera på vilka villkor behandling av personuppgifter är tillåten. Överklagande (51–53 §§) Paragraferna innehåller bestämmelser som anger hur olika former av beslut enligt lagen överklagas. 3.8Europeiska unionens utkast till rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete antog det s.k. Haag- programmet för stärkt frihet, säkerhet och rättvisa i Europeiska unionen. Rådet uttalade där att en förstärkning av frihet, säkerhet och rättvisa kräver en innovativ strategi i fråga om gränsöver- skridande utbyte av information om brottsbekämpning. En princip bör vara att en tjänsteman vid en brottsbekämpande myndighet i en medlemsstat ska göra befintlig information tillgänglig för motsva- rande befattningshavare i en annan stat om han eller hon behöver informationen för att utföra sina uppgifter. I Haagprogrammet uppmanade rådet att lägga fram förslag till genomförandet av principen om tillgänglighet för att förbättra det gränsöverskridande utbytet av information om brottsbekämpning mellan medlemsstaterna, under strikt iaktta- gande av centrala villkor i fråga om skydd av personuppgifter. presenterade kommissionen ett förslag till ram- beslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete. Övergripande rättslig reglering av behandling av personuppgifter där medlemsstaterna inte kunde enas kom förslaget att arbetas om på ett genomgripande sätt. nåddes en politisk principöverenskommelse om innehållet i utkastet till rambeslut. lämnade i samband med det en parlamentarisk granskningsreservation. Utkastet till rambeslut sändes sedan till för yttrande.TPF1FPT Efter yttrande över det slutliga utkastet till ram- beslut ska en granskning av texten göras av Europeiska unionens språkexperter. Som ett led i det utvidgade har, förutom medlemsstaterna inom Europeiska unionen, även , och deltagit i förhandlingarna om utkastet till rambeslut. 3.8.2Allmänt om innehållet i utkastet till rambeslut Utkastet till rambeslut utgör ett komplement till olika instrument om utvidgat polisiärt samarbete och rättsligt samarbete inom EU med inriktning på utökat gränsöverskridande informationsutbyte. I utkastet till rambeslut framhålls att gemensamma insatser inom polissamarbetet och rörande straffrättsligt samarbete gör det nödvändigt att behandla information som det måste finnas lämpliga bestämmelser om skydd för personuppgifter. Gemensamma normer för behandling och skydd av personupp- gifter kan både bidra till ett effektivare samarbete och värna grundläggande rättigheter som rätten till privatliv och rätten till skydd för personuppgifter. Vidare framhålls att utbytet av person- uppgifter inom ramen för polissamarbete och rättsligt samarbete bör bygga på klara regler som stärker förtroendet mellan behöriga myndigheter och garanterar att informationen skyddas. ska enskildas grundläggande rättigheter respekteras fullt ut. Enligt utkastet till rambeslut är befintliga instrument på europeisk nivå inte tillräckliga. Därtill anförs att dataskyddsdirektivet inte är till- lämpligt på behandling av personuppgifter inom det nu aktuella området. Av skälen i utkastet till rambeslut framgår att det är medlems- staternas avsikt att se till att den nivå på dataskydd som gäller för nationell behandling motsvarar vad som föreskrivs i rambeslutet. 1TP PT har tidigare yttrat sig över både det ursprungliga förslaget och ett reviderat förslag. Europeiska datatillsynsmannen har avgett tre yttranden över utkastet till rambeslut. Övergripande rättslig reglering av behandling av personuppgifter Rambeslutet hindrar dock inte medlemsstaterna från att ha starkare skydd för behandling av personuppgifter än vad som anges i ram- beslutet. Utkastet till rambeslut innehåller bestämmelser om allmänna principer för behandlingen av personuppgifter, behandling av käns- liga personuppgifter, rättelse, radering och gallring av personupp- gifter, information till den registrerade samt skadestånd och sank- tioner. I stora delar bygger bestämmelserna i utkastet på artiklarna i dataskyddsdirektivet (se mer om detta i avsnitt 3.4). Det finns dock skillnader. Dessa kommer av att rambeslutet har skräddar- sytts för utbyte över gränserna av information i brottsbekämpande verksamhet och annat straffrättsligt samarbete. Särskild hänsyn har tagits till det stora behovet av sekretess för att skydda den framtida verksamheten inom brottsbekämpningen. Vidare har hänsyn tagits till att uppgifter av känsligt slag förekommer oftare i denna verk- samhet än vid personuppgiftsbehandling i allmänhet och att det finns verksamhetsbehov av att kunna behandla sådana uppgifter. Även andra verksamhetshänsyn har vägts in, som exempelvis att informationen inte alltid kan vara verifierad och att uppgifter i juri- diskt bindande beslut inte kan ändras även om vissa uppgifter i dessa har visat sig vara felaktiga. Utkastet till rambeslut ställer där- till mer preciserade krav än dataskyddsdirektivet när det gäller annan vidarebehandling än för historiska, statistiska eller veten- skapliga ändamål. 3.8.3Lagstiftningsbehov med anledning av utkastet till rambeslut Inom har arbetats fram en promemoria – Antagande av rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt sam- arbete (Ds 2008:30) – som behandlar frågan om godkännande av det upprättade utkastet till rambeslut. I promemorian övervägs på ett allmänt plan vilka lagändringar som kan bli aktuella med anledning av rambeslutet. Ett område som promemorian anser att det kommer att bli nödvändigt att införa bestämmelser om är exempelvis vidarebehandlingen i åkla- garväsendets brottsbekämpande verksamhet av uppgifter som över- sänts av en annan stat. I promemorian konstateras dock, generellt sett, att bedömningen av lagstiftningsbehovet kompliceras av att Övergripande rättslig reglering av behandling av personuppgifter det pågår översyner och lagstiftningsarbete som rör personuppgiftsbehandlingen hos bl.a. åklagarväsendet och polisen. Promemorian innehåller inga lagförslag. Förslaget som lämnas i promemorian är att ska godkänna utkastet. 4Rättslig reglering av åklagarväsendets behandling av personuppgifter Åklagarväsendets behandling av personuppgifter regleras genom bestämmelserna i personuppgiftslagen (1998:204) och för- ordningen (2006:937) om behandling av personuppgifter inom åklagarväsendet (förordningen). 4.1Förordningen om behandling av personuppgifter inom åklagarväsendet Förordningen gäller utöver personuppgiftslagen vid behandling av personuppgifter i åklagarväsendets åklagarverksamhet, om behand- lingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling personuppgifter som är tillgängliga för sökning eller sammanställning enligt sär- skilda kriterier (1 §). Att förordningen gäller utöver personupp- giftslagen innebär att denna är tillämplig men att bestämmelser i förordningen som avviker från personuppgiftslagen gäller före dennas regler. Förutom behandling av personuppgifter är stora delar av för- ordningen även tillämplig vid behandling av uppgifter som hänför sig till juridiska personer (1 §). Detta ska jämföras med personupp- giftslagen som inte omfattar sådan behandling. Förordningen gäller inte sådan behandling av personuppgifter som sker med tillämpning av förordningen (1997:902) om register över strafförelägganden (1 §). Rättslig reglering av åklagarväsendets behandling av personuppgifter 4.1.2Tillåten behandling av personuppgifter I förordningens 7 § anges att uppgifter om den som kan misstänkas för brott och om andra personer får behandlas i åklagarverksamhet vid och , dvs. inom åklagarväsendet, när det behövs för att en åklagare ska kunna utföra de uppgifter som enligt bestämmelser i eller annan författning ska eller får utföras av åklagare vid myndigheten. Personuppgifter får också behandlas i åklagarverksamheten om det behövs för tillsyn, planering, uppföljning eller framställning av statistik. Uppgifter som behandlas i åklagarväsendets åklagarverksamhet får även behandlas när det är nödvändigt för att tillhandahålla information som behövs i författningsreglerad verksamhet hos en myndighet som har till uppgift att förebygga, utreda eller i övrigt beivra brott (8 §). Enligt 9 § förordningen får behandling av personuppgifter i åklagarväsendets åklagarverksamhet inte ske för några andra ända- mål än de som anges i 7 och 8 §§. Uppgifter får dock lämnas ut till andra i den utsträckning uppgiftsskyldighet följer av lag eller för- ordning. och är personupp- giftsansvariga för den behandling av personuppgifter som respek- tive myndighet utför enligt bestämmelserna i förordningen (6 §). Förordningens 10 § första stycke anger att uppgifter om en person inte får behandlas enbart på grund av vad som är känt om perso- nens ras eller etniska ursprung, politiska åsikter, religiösa eller filo- sofiska övertygelse, medlemskap i fackförening, hälsa eller sexual- liv. Sådana uppgifter får dock behandlas om de förekommer i en handling som har kommit in till eller Eko- brottsmyndigheten i ett ärende. Om uppgifter om en person behandlas på annan grund, får de dock enligt bestämmelsens andra stycke kompletteras med sådana uppgifter som avses i första stycket när det är absolut nödvändigt för syftet med behandlingen. Rättslig reglering av åklagarväsendets behandling av personuppgifter 4.1.5Uppgifter om kvarstående misstankar Om en förundersökning har lagts ned på grund av bristande bevis- ning, får enligt 11 § förordningen uppgifter om brottsmisstanken behandlas för andra ändamål än arkivering endast om den miss- tänkte enligt förundersökningsledarens bedömning är skäligen misstänkt för brottet, och uppgifterna behövs för att för- undersökningen ska kunna återupptas. Av 12 § förordningen framgår att om ett åtal har lagts ned eller om en frikännande dom vunnit laga kraft, får uppgifter om brotts- misstanken behandlas för andra ändamål än arkivering endast om förundersökningen tas upp på nytt, eller det behövs för prövning av särskilt rättsmedel enligt 58 kap. . Det får inom åklagarväsendet finnas en samling uppgifter och handlingar som med hjälp av automatiserad behandling används gemensamt i åklagarverksamheten vid och : åklagarväsendets ärendedatabas (3 §).