sou · GWB387 · 2008-10-09 00:00:00 — Om upp- gifter däremot behandlas på annan grund måste de få kompletteras med känsliga personuppgifter när det är absolut nödvändigt för syftet med behandlingen. Som exempel kan nämnas att en person är aktuell i ett ärende, t.ex. en förundersökning. Om det är absolut nödvändigt för handläggningen av ärendet får de övriga uppgifterna i ärendet kompletteras med känsliga personuppgifter. För att förhindra att personer beskrivs i förklenande ordalag som kan anses kränkande för individen, föreslår vi även att lagen anger att uppgifter som beskriver en persons utseende alltid ska utformas på ett objektivt sätt med respekt för människovärdet. 11.2.7Känsliga personuppgifter som sökbegrepp Våra förslag: Uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlem- skap i fackförening eller som rör hälsa eller sexualliv får inte användas som sökbegrepp. Uppgifter som beskriver en persons utseende får dock användas som sökbegrepp. Frågan om på vilket sätt uppgifter kan sammanställas är en av de viktigare från integritetssynpunkt. Ju större möjligheter det finns att sammanställa uppgifter om enskilda, desto större blir riskerna för otillbörliga intrång i enskildas integritet. Det är framför allt när det gäller känsliga personuppgifter som det av integritetsskäl finns anledning att ha begränsningar för vilka uppgifter som ska få användas vid sökning efter uppgifter. En metod som används för att förhindra att det görs oöns- kade sammanställningar av personuppgifter är att införa begräns- ningar av sökmöjligheterna. En sådan lösning finns i lagen om behandling av uppgifter i brottsbekämpande verksam- het. Samma lösning återfinns i förslaget till ny polisdatalag i pro- memorian Behandling av personuppgifter i polisens brottsbekäm- pande verksamhet. Promemorians förslag om begränsningar i sök- möjligheterna har dock kritiserats av under Författningsregleringen av behandling av uppgifter remissbehandlingen av promemorian. har därvid i sitt remissvarTPF15FPT anfört att integritetsintresset fått motivera alltför stora ingrepp i brottsbekämpningens effektivitet och kvali- tet. En rimlig utgångspunkt bör enligt kunna vara att uppgifter som har samlats in för tillåtna syften därefter som huvudregel fullt ut ska få behandlas i enlighet med ändamålen intill dess att uppgifterna ska gallras. Mot bakgrund därav och även med beaktande av andra instrument till skydd för integriteten som före- slagits i promemorian, menar att man helt eller till övervägande del kan avstå från sökbegränsningar. Enligt vår mening bör det av integritetsskäl inte vara möjligt att använda känsliga personuppgifter som sökbegrepp vid eftersökande av information inom ramen för åklagarväsendets brottsbekämpande verksamhet. Det ska med anledning av den kritik Åklagarmyndig- heten fört fram mot förslaget till ny polisdatalag påpekas att vi anser att behovet av sökinstrument i verksamheten skiljer sig mar- kant åt mellan åklagarväsendet och polisen. Uppgifter som beskriver en persons utseende bör få användas som sökbegrepp. Det gäller signalementsuppgifter om t.ex. kroppsbyggnad, ansiktsform, hår- och hudfärg, klädsel och fysiska kännetecken såsom födelsemärken, saknade lemmar, blindhet eller tatueringar. Som anförts ovan ska dock uppgifter som beskriver en persons utseende alltid utformas på ett objektivt sätt med respekt för människovärdet. Huvudregeln är således att känsliga personuppgifter inte får användas som sökbegrepp. Däremot får uppgifter som beskriver en persons utseende användas som sökbegrepp. 11.2.8Sökning på namn, firma, personnummer, samordningsnummer eller organisationsnummer Våra förslag: Vid sökning bland gemensamt tillgängliga upp- gifter på namn, firma, personnummer, samordningsnummer, organisationsnummer eller andra liknande identitetsbeteck- ningar får endast sådana uppgifter om personen tas fram som anger att den sökta personen 1.är misstänkt för något visst brott eller för brottslig verksam- het, 15TP PT Se Yttrande ÅM-A 2007/2013 s. 5. Författningsregleringen av behandling av uppgifter 2.har anmält ett brott eller är målsägande i ett ärende som rör ansvar för brott, 3.är sökande, motpart eller annars part eller kan jämställas med part i ärende, eller 4.är vittne eller annars ska höras eller avge yttrande i ett ärende. Dessa begränsningar ska dock inte gälla vid sökning som sker endast i ett visst ärende eller en viss handling. De ska inte heller gälla vid sökning efter den som har gett in en handling eller till vilken det har expedierats en handling i ett ärende. Vid sökning efter en handling som har kommit in eller fram- ställts i ett ärende får endast följande uppgifter användas som sökbegrepp. 1.Uppgift om från vem handlingen har kommit in eller till vem den har expedierats, 2.datum då handlingen kom in eller upprättades, 3.diarienummer eller annan beteckning som har åsatts hand- lingen, och 4.i korthet vad handlingen rör. Namn, firma, personnummer och organisationsnummer är viktiga för identifieringen av en person och kontrolleras regelmässigt i samband med brottsutredningar och annat brottsbekämpande arbete. Detsamma gäller samordningsnummer, dvs. sådana identi- tetsbeteckningar som enligt 18 a § folkbokföringslagen (1991:481) kan tilldelas personer som inte är eller har varit folkbokförda i . är det tydligt att användandet av detta slag av uppgifter som sökbegrepp ger upphov till särskilda risker från integritetssynpunkt. En sökning på exempelvis ett personnummer kan, i vart fall om den sker i den informationsmängd som en brottsbekämpande myndighet har tillgång till, skapa möjlighet till ingående kartläggningar av en persons privata förhållanden. Från ett integritetsperspektiv är därför sådana sökningar ägnade att inge stora betänkligheter. är det uppenbart att möjligheten att göra detta slag av sökningar kan vara av stor betydelse i en brottsbekämpande verk- samhet. Det bör vara möjligt att inom ramen för det arbete som bedrivs i en undersökning som avser viss misstänkt brottslig verk- samhet söka fram uppgifter om huruvida de personer som figurerar Författningsregleringen av behandling av uppgifter i det ärendet också är eller har varit misstänkta i andra ärenden. Det ökar möjligheterna att förhindra, upptäcka och beivra brott väsent- ligt. Vi anser därför att den nya lagen måste ge utrymme för sök- ningar på namn, personnummer eller liknande identitetsuppgifter. Hur sökningar bör begränsas I vårt uppdrag ingår att ta hänsyn till hur personuppgifts- regleringen kommer att utformas för andra brottsbekämpande myndigheter samt för domstolarna. Mot bakgrund härav har vi tagit intryck av de bestämmelser som införts i lagen om behandling av uppgifter i brottsbekämpande verksamhet. I nämnda lag finns bestämmelser om begränsningar för användning av sök- begrepp. Även i förslagen till ny lag om behandling av uppgifter i verksamhet i betänkandet personuppgiftsbehandling Integritet – Effektivitet och ny polis- datalag i promemorian Behandling av personuppgifter i polisens brottsbekämpande verksamhet återfinns bestämmelser med begränsningar för användningen av sökbegrepp. Lagen beträffande verksamhet och förslaget till ny lag för Kustbevak- ningen har identiska begränsningar för sökbegrepp. Bestämmel- serna anger bl.a. att namn, personnummer och samordningsnum- mer får användas som sökbegrepp bara om uppgifterna avser en person som är misstänkt för något visst brott eller för viss brottslig verksamhet. Detta ska jämföras med förslaget till ny polisdatalag som inte begränsar sökmöjligheterna på namn, personnummer och liknande identitetsuppgifter beträffande misstänkta. Vi anser att möjligheten att söka på namn, personnummer och liknande identitetsuppgifter i åklagarväsendets brottsbekämpande verksamheten inte bör begränsas till misstänkta. Vid sökningar på sådana uppgifter bör enbart vissa slag av uppgifter om den person som sökningen avser kunna tas fram. Det bör därvid först och främst vara möjligt att ta fram uppgifter som anger att den sökte är misstänkt för något brott eller för brottslig verksamhet. Vidare bör det vara möjligt att ta fram uppgift om en person har anmält ett brott eller är målsägande i ett ärende som rör ansvar för brott. Andra uppgifter som bör vara möjliga att få fram är om en person är sökande, motpart eller annan part eller kan jämställas med part i ett ärende. Det bör också vara möjligt att ta fram uppgift om en person är vittne eller annars ska höras eller avge yttrande i ett Författningsregleringen av behandling av uppgifter De föreslagna begränsningarna bör enligt vår mening inte gälla vid sökning som sker endast i ett visst ärende eller en viss handling. De bör heller inte gälla vid sökning efter den som har gett in en handling eller till vilken det har expedierats en handling i ett ärende. Sökning efter elektroniska handlingar Behandling av personuppgifter i elektroniska ärendehanterings- system kan innebära risker för otillbörliga intrång i den personliga integriteten som enligt vår mening kräver särskilda regler för han- teringen av elektroniska handlingar. Det bör inte vara möjligt att med hjälp av helt fri sökning göra sammanställningar av uppgifter i elektroniska handlingar i ett ären- dehanteringssystem. Beroende på de tekniska förutsättningarna skulle en sådan möjlighet kunna innebära att sammanställningar kan göras av t.ex. samtliga förundersökningsärenden där den miss- tänkte har en viss nationalitet. Något påtagligt behov av att helt fritt kunna göra sammanställningar av den karaktären finns inte och bör av integritetsskäl inte heller tillåtas. Därför bör det sättas upp begränsningar för sökmöjligheterna i ärendehanteringssystem. För att ärendehanteringen ska kunna skötas på ett effektivt sätt är det dock nödvändigt att handläggare ges möjlighet att söka efter enskilda handlingar, t.ex. med angivande av ärendebeteckning. Där- emot väger integritetsskälen tyngre än effektivitetsskälen när det gäller mer sofistikerade eller exakta sökmöjligheter. Vid sökning efter en elektronisk handling bör därför endast de uppgifter som enligt 15 kap. 2 § första stycket 1–4 sekretesslagen ska anges i ett diarium, få användas som sökbegrepp. Det gäller uppgifter om datum då en handling inkom eller upprättades, diarienummer eller annan beteckning som har åsatts en handling, i förekommande fall från vem en handling har kommit in eller till vem den har expedie- rats samt i korthet vad handlingen rör. En sådan begränsning möj- liggör inte sökning på olika känsliga uppgifter eller kombinationer av uppgifter för att hitta en viss handling. Däremot finns det skäl att se annorlunda på frågan när en handling väl är identifierad och direkt tillgänglig för en handläggare. Det är rimligt att en handläggare, när han eller hon arbetar med en elektronisk handling i ett ärende, får söka sig fram till ett önskat textavsnitt i handlingen genom att använda även andra sökbegrepp Författningsregleringen av behandling av uppgifter än de tidigare nämnda. Några faror från integritetssynpunkt med att tillåta ett sådant förfarande föreligger knappast. De uppställda sökbegränsningarna bör därför gälla vid sökning efter elektroniska handlingar, men inte i handlingarna när de väl har identifierats. 11.2.9Utlämnande av uppgifter på medium för automatiserad behandling Våra förslag: Endast enstaka personuppgifter ska få lämnas ut på medium för automatiserad behandling, om inte regeringen har meddelat föreskrifter eller i ett enskilt fall beslutat om att personuppgifter ska få lämnas ut på sådant medium även i andra fall. Ett utlämnande av uppgifter på medium för automatiserad behand- ling innebär som regel att mottagaren kan vidarebearbeta den utlämnade informationen på olika sätt, t.ex. genom strukturering och samkörning med andra uppgifter. Ett sådant utlämnande inne- fattar därmed särskilda risker från integritetssynpunkt. Vi anser med anledning av det anförda att förutsättningarna för utlämnande av uppgifter på medium för automatiserad behandling bör författ- ningsregleras. Den nya lagen bör medge att enstaka uppgifter bör få lämnas ut på medium för automatiserad behandling – t.ex. genom e-post eller på en – när förutsättningarna i övrigt är uppfyllda för ett utlämnade. När det gäller förutsättningar för att lämna ut upp- gifter i elektronisk form i större mängd bör de närmare förutsätt- ningarna för detta anges i föreskrifter i förordning. Det bör därtill finnas utrymme för regeringen att i ett enskilt fall besluta om utlämnade av större mängder uppgifter i elektronisk form även i annat fall. Som vi tidigare anfört bör den nya regleringen vara teknik- neutral och ge de brottsbekämpande myndigheterna möjlighet att kunna bedriva en effektiv verksamhet. Regeringen bör därför ha möjlighet att undanta de myndigheter som får ha direktåtkomst till uppgifter i åklagarväsendets brottsbekämpande verksamhet från de begränsningar i möjligheterna att lämna ut uppgifter på medium för automatiserad behandling som vi föreslår att den nya lagen ska innehålla (se 4 § i den föreslagna förordningen). Författningsregleringen av behandling av uppgifter 11.2.10Särskilda upplysningar för gemensamt tillgängliga uppgifter Vårt förslag: Gemensamt tillgängliga uppgifter om en person som inte är misstänkt för brott ska förses med en särskild upp- lysning om detta, om det inte på annat sätt klart framgår perso- nen inte är misstänkt för brott. Av stor betydelse för skyddet av den personliga integriteten är att åklagare behandlar uppgifter på ett sådant sätt att det klart framgår om en person behandlas som misstänkt för brott eller om behand- lingen sker av någon annan anledning. Vi föreslår därför att det i lagen slås fast att uppgifter om personer som inte är misstänkta för ett konkret brott ska förses med en upplysning om detta förhål- lande. Behovet av en sådan upplysning är dock mindre påtagligt när det gäller uppgifter som ännu inte har gjorts gemensamt tillgängliga, t.ex. uppgifter som bara förekommer i en enskild tjänstemans dator eller i en liten, klart avgränsad projektgrupp. De handläggande tjänstemännen vet då varifrån uppgiften har kommit, varför den behandlas och om en omnämnd person är misstänkt för brott eller inte. Upplysningsskyldigheten bör därför gälla endast i fråga om uppgifter som är gemensamt tillgängliga. kan det redan av det sammanhang där en personuppgift förekommer framgå att personen inte är misstänkt. I en förunder- sökning som gäller misshandel kan det t.ex. framgå att A berörs av förundersökningen endast i egenskap av målsägande. En viss upp- giftssamling kan också ha sådan natur att det är uppenbart att de personer som ingår i samlingen inte är registrerade som misstänkta för brott. Som exempel kan nämnas ett sådant diarium över inkomna eller upprättade handlingar som myndigheter enligt 15 kap. sekretesslagen ska föra. I ett sådant diarium ska bl.a. regi- streras vem en handling har inkommit från eller expedierats till. I fråga om sådana uppgifter har en särskild upplysning om att den aktuella personen inte är misstänkt inget värde. Vi föreslår därför att upplysning inte ska behöva lämnas om det redan av omständig- heterna klart framgår att personen inte är misstänkt. Författningsregleringen av behandling av uppgifter Dataskyddsdirektivets regler om enskildas rättigheter i samband med behandling av personuppgifter är av central betydelse för skyddet av de registrerades personliga integritet. För att otillbörliga intrång i den personliga integriteten i största möjliga mån ska und- vikas har det ansetts nödvändigt att enskilda tillskrivs särskilda rät- tigheter. Mot bakgrund härav finns i personuppgiftslagen bestäm- melser om bl.a. information, rättelse och skadestånd. Att enskilda ges möjlighet till insyn i vad som finns registrerat om dem i olika databaser och register är av betydelse för att de ska kunna kräva rättelse av felaktiga uppgifter. När personuppgiftsansvariga behandlar uppgifter i strid med gällande regler, har det ansetts att de enskilda ska kunna få ersättning för skada och kränkning av den personliga integriteten. Inom de särskilda registerförfattningarnas områden har det av rättssäkerhetsskäl vidare ansetts viktigt att myndigheternas beslut i frågor som rör rätten till information och krav på att behandlade uppgifter är korrekta, kan överklagas av enskilda i den för förvalt- ningsbeslut gällande ordningen. De särskilda bestämmelser om enskildas rättigheter som redo- visas i detta avsnitt är endast tillämpliga på behandling av person- uppgifter. Det är med andra ord endast fysiska personer som är i livet som över huvud taget kan kräva information om utförd behandling eller rättelse av felaktiga uppgifter. Det är vidare bara fysiska personer som kan överklaga myndigheternas beslut i sådana frågor och som med stöd av den lagstiftning vi föreslår kan kräva skadestånd av den personuppgiftsansvariga myndigheten. Våra förslag: Personuppgiftslagens bestämmelser om informa- tion som ska lämnas självmant till den registrerade när uppgifter har samlats in från honom själv och om information som ska lämnas efter ansökan av den registrerade, ska i huvudsak tilläm- pas vid behandling av personuppgifter i åklagarväsendets brotts- bekämpande verksamhet. Personuppgiftslagens bestämmelser om information som ska läm- nas självmant till den registrerade när uppgifter har samlats in från Författningsregleringen av behandling av uppgifter personen själv och om information som ska lämnas efter ansökan av den registrerade ska enligt vår uppfattning tillämpas vid behand- ling av personuppgifter i åklagarväsendets verksamhet. Av 23 § personuppgiftslagen framgår att den personuppgifts- ansvarige självmant ska informera en enskild om behandling av uppgifter som samlas in från den enskilde själv. Den information som ska lämnas är enligt 25 § samma lag uppgift om den person- uppgiftsansvariges identitet, ändamålen med behandlingen samt övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. I 24 § första stycket personuppgiftslagen anges att den person- uppgiftsansvarige självmant ska lämna information till den registre- rade om uppgifterna har samlats in från någon annan källa än den registrerade. Av paragrafens andra stycke följer att sådan informa- tion inte behöver lämnas om det finns bestämmelser om registre- rande eller utlämnande av personuppgifterna i en lag eller annan författning. När behandling av personuppgifter hos en myndighet regleras i särskild lagstiftning på det sätt som vi föreslår för åkla- garväsendet, med särskilda bestämmelser om vad som får registre- ras och hur uppgifter i övrigt får hanteras, krävs det enligt person- uppgiftslagen inte att sådan information ges. Vi har inte funnit några skäl för att eller trots detta ska lämna sådan information. Bestämmelsen i 24 § per- sonuppgiftslagen bör således inte tillämpas på behandling enligt den lag vi föreslår. En av de från integritetssynpunkt viktigaste bestämmelserna i personuppgiftslagen återfinns i 26 §. Den innebär att enskilda efter ansökan har rätt att få information av den personuppgiftsansvarige om personuppgifter som rör den sökande behandlas eller inte. Om uppgifter behandlas ska information lämnas om vilka uppgifter det rör sig om, varifrån uppgifterna har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Information behöver dock inte lämnas om personuppgifter i löpande text som inte har fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande, under förutsättning att uppgifterna inte har lämnats ut till tredje man. Bestämmelsen i personuppgiftslagen bör vara till- lämplig vid behandling av personuppgifter enligt den av oss före- slagna lagen. Författningsregleringen av behandling av uppgifter Även 27 § personuppgiftslagen anser vi ska vara tillämplig på behandling av personuppgifter i åklagarväsendets verksamhet. Rätten till information gäller enligt 27 § personuppgiftslagen inte om det i lag eller annan författning eller i beslut som har meddelats med stöd av författning särskilt har föreskrivits att uppgifter inte får lämnas ut till den registrerade. Våra förslag: Personuppgiftslagens bestämmelser om rättelse av personuppgifter och om skadestånd ska tillämpas vid behandling av personuppgifter i åklagarväsendets brottsbekämpande verk- samhet. Bestämmelsen i 28 § personuppgiftslagen om rättelse innebär att den personuppgiftsansvarige är skyldig att på begäran av den regi- strerade rätta, blockera eller utplåna sådana personuppgifter som inte behandlats i enlighet med lagstiftningen. När en personupp- giftsansvarig vidtar rättelse i fråga om en personuppgift ska under- rättelse lämnas till tredje man som har fått del av uppgiften, om den registrerade begär det eller om mer betydande skada eller olägenhet därigenom kan undvikas. Sådan underrättelse behöver dock inte lämnas om det visar sig vara omöjligt eller om det skulle innebära en oproportionerligt stor arbetsinsats. Det är enligt vår uppfattning av väsentlig betydelse att person- uppgifter som behandlas felaktigt hos en myndighet rättas för att intrång i den personliga integriteten ska undvikas. Bedömningen av om en uppgift har behandlats felaktigt måste göras mot bakgrund av de bestämmelser som gäller för behandlingen, oavsett om det är grundläggande regler i personuppgiftslagen eller specialbestämmel- ser som gäller för åklagarväsendet. Vi föreslår därför att bestäm- melsen om rättelse i 28 § personuppgiftslagen ska tillämpas vid behandling av personuppgifter i åklagarväsendets brottsbekäm- pande verksamhet. En personuppgift ska rättas när den har behandlats felaktigt. I princip är all behandling av personuppgifter felaktig som strider mot den lagstiftning som reglerar behandlingen. Att i detalj ange vad som är felaktig behandling låter sig därför inte göras. Felen kan dock något förenklat delas in två grupper. För det första kan felak- Författningsregleringen av behandling av uppgifter tig behandling bestå i att personuppgifter är oriktiga till sitt inne- håll, dvs. felet finns inbyggt i uppgifterna (oriktiga uppgifter). För det andra kan felaktig behandling bestå i att personuppgifter – oav- sett om de är korrekta eller inte – används på ett felaktigt sätt i verksamheten, dvs. felet ligger i hur uppgifter används (oriktig användning). Oriktig användning kan exempelvis innebära att en uppgift används på ett sätt som är oförenligt med de ändamål för vilket den samlades in, att en otillåten uppgift förs in i en databas eller att en uppgift inte gallras inom föreskriven tid. Även underlåtenhet att behandla en personuppgift torde i vissa fall kunna innebära oriktig användning. Bedömningen av om en uppgift används på ett oriktigt sätt måste göras mot bakgrund av de bestämmelser som gäller för behandling av personuppgifter i åklagarväsendets brottsbekäm- pande verksamhet. I fråga om oriktiga uppgifter är det vanligtvis inte svårt att avgöra om det föreligger en felaktig behandling. Typiska exempel på oriktiga uppgifter är att fel personnummer eller fel adress har angetts för en person. Sådana fel är det ofta enkelt att konstatera på ett objektivt sätt. Det råder sällan någon oenighet i fråga om upp- giften är fel eller inte. Det är dock inte i alla situationer självklart om en uppgift är oriktig. Som exempel kan tas följande situation. Under ett förhör som dokumenteras genom digital ljudupptagning i en förundersökning uppger den misstänkte att han vid en viss tid- punkt befann sig på en viss plats. under förhöret ändrar han sin utsaga och klargör att han sagt fel och egentligen var på en annan plats. Är den ursprungliga uppgiften då att anse som oriktig? Den kan självfallet vara oriktig så till vida att den inte korrekt åter- ger ett verkligt sakförhållande, men riktig på så sätt att den korrekt återger vad den misstänkte faktiskt uppgav.