prop · GX0385 · 2010-01-08 00:00:00 — Det är rimligt att Datainspektionen i stort sett har samma befogen- heter vid tillsyn över polisens personuppgiftsbehandling i den brottsbe- kämpande verksamheten som enligt personuppgiftslagen. Enligt 43 § personuppgiftslagen har Datainspektionen möjlighet att på begäran få tillgång till personuppgifter, upplysningar och dokumentation om behandlingen och säkerheten samt tillträde till lokaler. Paragrafen gäller för polisen och bör vara tillämplig även fortsättningsvis. En hän- visning till paragrafen ska alltså tas in i den nya lagen. Om Datainspektionen inte efter en begäran enligt 43 § personuppgifts- lagen kan få tillräckligt underlag för att konstatera att personuppgiftsbe- handlingen är laglig, får myndigheten med stöd av 44 § vid vite förbjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än att lagra dem. Denna bestämmelse gäller för polisens personupp- giftsbehandling och och promemorian föreslår att den ska gälla även . Beträffande andra myndigheters person- uppgiftsbehandling har man valt olika lösningar när det gäller Datain- spektionens möjlighet att meddela sådana förbud. Någon sådan möjlighet finns exempelvis inte i brottsbekämpande verksamhet och inte heller enligt lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säker- hetstjänst. Däremot har Datainspektionen möjlighet att meddela sådana förbud enligt lagen (1999:90) om behandling av personuppgifter vid medverkan i brottsutredningar. När det gäller frågan om Datainspektionen bör ha rätt att förbjuda be- handling av personuppgifter i polisens brottsbekämpande verksamhet kan det alltså inledningsvis konstateras att en sådan möjlighet finns enligt gällande rätt. I förhållande till de myndigheter där Datainspektionen sak- nar sådan möjlighet har polisen en mycket mer omfattande personupp- giftsbehandling som dessutom omfattar flera olika myndigheter. Till detta kan anmärkas att polisen, enligt den nya lagen, kommer att få möj- lighet att behandla vissa typer av personuppgifter i större utsträckning än . Förslaget lämnar också större utrymme för polisen att fatta beslut om formerna för behandlingen och vilka strukturer den ska ske i. Det sagda talar sammantaget för att Datainspektionen även fort- sättningsvis bör kunna förbjuda viss behandling, om det skulle inträffa att inspektionen inte får tillgång till tillräckligt underlag för att kunna bedöma personuppgiftsbehandlingen. En hänvisning bör därför göras också till 44 §. En annan fråga är om det bör vara möjligt för Datainspektionen att för- ena ett sådant förbud med vite. I flera lagstiftningsärenden har en lösning valts som inte ger Datainspektionen någon sådan möjlighet. Detta har motiverats med grundsatsen att regler om vite inte bör tillämpas i förhål- landet mellan statliga myndigheter (prop. 2004/05:164 s. 54 och 2006/07:46 s. 105). Eftersom vite inte bör användas mellan statliga myn- digheter bör således ett förbud enligt 44 § personuppgiftslagen inte kunna förenas med vite. En hänvisning bör vidare göras till 45 § första stycket. Där anges att Datainspektionen, om den konstaterar att personuppgifter behandlas felaktigt, ska försöka åstadkomma rättelse genom påpekanden eller lik- nande förfaranden. Om det inte går att få till stånd rättelse, eller om sa- ken är brådskande, får Datainspektionen förbjuda behandlingen. Bestäm- melsen gäller redan inom polisens brottsbekämpande verksamhet och bör gälla även fortsättningsvis. Däremot bör någon hänvisning till paragra- fens andra stycke eller till 46 §, som båda behandlar frågor om vite, inte göras. Enligt 47 § personuppgiftslagen har Datainspektionen rätt att hos all- män förvaltningsdomstol ansöka om att sådana uppgifter som har be- handlats på ett olagligt sätt ska utplånas. Bestämmelsen, som gäller i polisens verksamhet, har sin grund i artikel 28.3 i dataskyddsdirektivet. Där anges att varje nationell tillsynsmyndighet ska ha särskild befogen- het att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av direktivet har överträtts eller att uppmärksamma de rättsliga myndigheterna på dessa överträdelser. Bestämmelsen bör vara tillämplig vid behandling av uppgifter enligt den nya lagen. En hänvis- ning till bestämmelsen bör alltså tas in i lagen. Frågor om tillsyn behandlas även i avsnitt 17.2. Skadestånd (48 §) m.m. Enligt 48 § personuppgiftslagen ska den personuppgiftsansvarige ersätta den registrerade för den skada och kränkning av den personliga integ- riteten som en behandling av personuppgifter i strid med den lagen har Prop. 2009/10:85 orsakat. Bestämmelsen gäller vid personuppgiftsbehandling i polisens Det bör finnas en rätt till skadestånd vid skada och kränkning som upp- står när uppgifter behandlas i strid med den nya lagen. En hänvisning till 48 § personuppgiftslagen bör därför tas in i den nya lagen. I 49 § personuppgiftslagen föreskrivs straffansvar för överträdelser av olika bestämmelser i personuppgiftslagen. Lagrådet har i ett tidigare lag- stiftningsärende (prop. 2000/01:33 s. 346) ansett att legalitetsprincipen medför att paragrafen inte kan ges motsvarande tillämpning på bestäm- melser som avviker från personuppgiftslagen och som har tagits in i sär- lagstiftning. Paragrafen kan alltså inte ges en generell tillämpning på de regler som förs in i den nya lagen. Däremot skulle i och för sig en hän- visning kunna tas in i den nya lagen med innebörd att straffbestämmel- serna i personuppgiftslagen ska gälla i de delar som personuppgiftslagen ska tillämpas. En sådan ordning kan vid en första anblick förefalla natur- lig. Å andra sidan kommer behandlingen av personuppgifter enligt den nya lagen att utföras av personer som är anställda vid statliga myndighe- ter och som redan omfattas av bestämmelserna om tjänstefel m.m. i . Promemorian ställer sig bakom det uttalande som Polisda- tautredningen gör (SOU 2001:92 s. 193) att det inte torde bli aktuellt att tillämpa straffbestämmelsen i personuppgiftslagen mot någon anställd inom polisen (se även prop. 1997/98:97 s. 109). En motsvarande bedöm- ning gjordes vid tillkomsten av lagen om behandling av uppgifter i Tull- verkets brottsbekämpande verksamhet (prop. 2004/05:164 s. 55). Även reglerna om disciplinansvar för tjänsteförseelse enligt lagen (1994:260) om offentlig anställning bör enligt regeringens mening vägas in när man bedömer behovet av en regel om straffansvar. Det finns inte skäl att nu göra någon annan bedömning än i tidigare lagstiftningsärenden. Någon hänvisning till bestämmelsen om straffansvar bör därför inte göras i den nya lagen. Överklagande (5153 §§) I 51 § första stycket personuppgiftslagen föreskrivs att Datainspektionens beslut enligt lagen om annat än föreskrifter får överklagas hos allmän förvaltningsdomstol. Förslaget om att Datainspektionen ska kunna med- dela förbud enligt 44 § eller 45 § första stycket personuppgiftslagen in- nebär att en hänvisning också bör göras till 51 § första stycket. Enligt 51 § andra stycket får Datainspektionen bestämma att dess be- slut ska gälla även om det överklagas. Frågan är om denna bestämmelse ska gälla för polisens personuppgiftsbehandling. Det kan finnas skäl som talar både för och emot detta. Systematiska skäl kan tala för att regle- ringen bör utformas på samma sätt, oavsett vem beslutet gäller. Emeller- tid måste verksamhetsskäl anses tala mot införandet av en sådan möjlig- het. Vid en samlad bedömning anser regeringen att Datainspektionen inte bör ges möjlighet att meddela interimistiska beslut i här aktuella fall. Hänvisning i den nya lagen bör därför göras endast till 51 § första stycket personuppgiftslagen. En myndighets beslut om information, rättelse och underrättelse till Prop. 2009/10:85 tredje man om rättelseåtgärder, information om automatiserade beslut och allmänna upplysningar om pågående behandlingar får, enligt 52 § första stycket personuppgiftslagen, överklagas hos allmän förvaltnings- domstol. Andra beslut enligt personuppgiftslagen får enligt 53 § inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. I förarbetena till dessa bestämmelser (prop. 2005/06:173 s. 53) uttalades att det efter införandet av en bestämmelse om överklagande i personupp- giftslagen inte är nödvändigt att ta in några överklagandebestämmelser i särskilda registerförfattningar, som hänvisar till personuppgiftslagen. I konsekvens med detta bör den nya lagen inte innehålla någon särskild bestämmelse om överklagande utan i stället enbart hänvisa till person- uppgiftslagens bestämmelser om överklagande. Regeringens förslag: och varje polismyndighet ska vara personuppgiftsansvariga för den behandling av personupp- gifter som respektive myndighet utför. ska även vara personuppgiftsansvarig för behandlingen av personuppgifter i polisens verksamhet vid . och polismyndigheterna ska var och en utse ett eller flera personupp- giftsombud. Detta liksom entledigande av personuppgiftsombud ska anmälas till Datainspektionen. Utredningens förslag: ska ensam vara personupp- giftsansvarig för de centrala registren i polisens verksamhet. Remissinstanserna har inte haft något att invända mot förslaget. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: anser att personuppgifts- ansvaret för behandling av personuppgifter i polisverksamheten vid myndigheten bör utövas av . Övriga remissinstan- ser tillstyrker eller har inte något att invända mot förslaget. Skälen för regeringens förslag: Enligt 3 § personuppgiftslagen är det den personuppgiftsansvarige som ensam eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Personuppgiftsansvaret kan alltså delas mellan flera. I registerförfattningar är det vanligt att man tydligt pekar ut vem som är ansvarig för den behandling av uppgifter som regleras i respektive författning. I polisdatalagen finns ingen generell bestämmelse om per- sonuppgiftsansvar. I stället anges för respektive register vem som är personuppgiftsansvarig. I de fall där det rör sig om behandling av uppgifter i större nationella uppgiftssamlingar, bör, liksom tidigare, vara person- uppgiftsansvarig. Om det å andra sidan handlar om personuppgiftsbe- handling inom en polismyndighet, bör ansvaret ligga på denna. Denna ordning för personuppgiftsansvaret bör komma till uttryck i den nya lagen. Enligt den nya lagen bör som huvudregel gälla att den myndighet som Prop. 2009/10:85 utför själva behandlingen också ska ha personuppgiftsansvaret. gäller polisverksamhet vid bedrivs denna av po- lispersonal som av Ekobrottskansliet vid ställts till förfogande. Dessa är således inte anställda vid . leder den verksamhet vid Eko- brottsmyndigheten som bara får utövas av anställda inom polisen (6 § 7 förordningen [1989:773] med instruktion för ). Riks- polisstyrelsen är personuppgiftsansvarig för den personuppgiftsbehand- ling som sker med stöd av polisdatalagen vid myndigheten (prop. 2002/03:144 s. 17). anser att myndigheten bör ha personuppgiftsan- svar för behandlingen av personuppgifter i polisens brottsbekämpande verksamhet där. Vad som enligt talar för en sådan lösning är att polisverksamheten där utgör en del av myndighetens sam- lade verksamhet. Frågan om myndigheten ska vara personuppgiftsansva- rig för personuppgiftsbehandlingen i polisiära datasystem övervägdes i nyssnämnda proposition. Någon förändring som motiverar en annan be- dömning beträffande vem som ska vara personuppgiftsansvarig har inte skett. Personuppgiftsansvaret för behandling av personuppgifter i poli- sens brottsbekämpande verksamhet vid bör alltså utövas av , vilken bedömning också görs i promemo- rian. I den mån polispersonal vid behandlar per- sonuppgifter inom ramen för sådan brottsbekämpande verksamhet som faller utanför den nya lagens tillämpningsområde, exempelvis om de be- handlar personuppgifter i åklagarväsendets datasystem, är dessa under- kastade den reglering som gäller för sådan verksamhet. Regleringen i 36 § andra stycket personuppgiftslagen ger myndighe- terna valfrihet när det gäller frågan om personuppgiftsombud ska utses eller inte (se avsnitt 6.4.2). Behandlingen av personuppgifter i polisens brottsbekämpande verksamhet rör i stor utsträckning uppgifter som får anses integritetskänsliga, vilket gör det särskilt angeläget med den kon- troll som kan utövas av ett personuppgiftsombud. Det är också viktigt att enskilda registrerade enkelt kan vända sig till rätt person hos myndighe- ten bl.a. i frågor om information om behandlingen och om rättelse av felaktiga uppgifter. Mot den bakgrunden bör det ställas krav på att Riks- polisstyrelsen och polismyndigheterna, som ska ha personuppgiftsansvar enligt den nya lagen, ska utse personuppgiftsombud och anmäla dessa till Datainspektionen. Detta bör framgå direkt av lagen. Det kan anmärkas att regeringen gjorde motsvarande bedömning i propositionen Personupp- giftsbehandling hos Försvarsmakten och (prop. 2006/07:46 s. 98). Regeringens förslag: Tillgången till personuppgifter ska begränsas till vad varje tjänsteman behöver för att fullgöra sina arbetsuppgifter. Utredningen föreslår inte någon motsvarande bestämmelse. Remissinstanserna har inte yttrat sig i frågan. Promemorians förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Flertalet remissinstanser tillstyrker eller har inte något att invända mot förslaget. Datainspektionen anser att en bestäm- melse om tillgång till personuppgifter bör ges en restriktiv tolkning och att huvudregeln bör vara att endast de som har ett direkt behov av uppgif- terna bör ha tillgång till dem. Inspektionen anser vidare att den i prome- föreslagna bestämmelsen är mycket allmänt utformad och att det därför bör införas en regel om att närmare föreskrifter om behörighet och säkerhet ska meddelas av regeringen eller den myndighet som regeringen Skälen för regeringens förslag: Stora informationsmängder som är samlade så att uppgifter är enkelt sökbara på elektronisk väg medför all- mänt sett en risk för intrång i den personliga integriteten. sådant intrång är särskilt stor om det som ofta är fallet i brottsbekäm- pande verksamhet rör sig om känsliga uppgifter. Vem som har rätt att använda uppgifterna och hur de sprids är omständigheter som påverkar risken för intrång i den personliga integriteten. Det är därför viktigt att det säkerställs att integritetskänsliga uppgifter görs tillgängliga bara för dem som behöver uppgifterna för att fullgöra sitt arbete. framgå av den nya lagen. Datainspektionen menar att en bestämmelse om tillgång till personuppgifter bör tolkas restriktivt och att uppgifter i t.ex. en förundersökning bör vara tillgängliga endast för dem som arbetar En så snäv tolkning av bestämmelsen som Datainspektionen synes förorda skulle lägga hinder i vägen för polisen att utföra sina av statsmakterna påförda uppgifter. I t.ex. en brottsutredning är det många gånger av stor betydelse att polisen kan få information om andra pågå- ende brottsutredningar för att kunna bedöma om det finns några samband Även andra än de som arbetar i en förundersök- ning bör därför enligt regeringens uppfattning kunna ges möjlighet att få tillgång till uppgifter i undersökningen, om de har ett konkret behov av uppgifterna för att kunna fullgöra sitt arbete. En bestämmelse om tillgång till personuppgifter bör omfatta både di- rekt tillgång till automatiserade uppgiftssamlingar och tillgång i allmän- Polisen ska således organisera sin verksamhet på ett sådant sätt att obefogad spridning av personuppgifter motverkas. Modern teknik gör det enklare att organisera verksamheten så att till- gången till uppgifter som behandlas automatiserat begränsas på ett lämp- En enskild tjänstemans åtkomst till personuppgifter (behörighet) kan knytas till viss information i stället för till olika register. tillgången till information om en person eller uppgifter knutna till en person begränsas med utgångspunkt från tjänstemannens arbetsuppgifter. De mest känsliga uppgifterna kommer med en sådan ordning att lättare kunna avgränsas och omges av extra integritets- och säkerhetsskydd. Vidare kommer kunskapen om och kontrollen av varje tjänstemans in- formationstillgång att öka. På förhand bestämda behörigheter som avgör tillgången till uppgifter kan utarbetas. Behörigheterna kan vidare anpas- sas till olika befattningshavares behov med hänsyn till tjänstenivå och Som nämnts är det en grundläggande regel att personuppgifter inte får behandlas, om det inte behövs för att fullgöra en arbetsuppgift. upprätthålla en sådan regel, och motverka att någon användare vidtar Prop. 2009/10:85 otillåtna åtgärder, och därigenom får tillgång till information som denne inte behöver i sitt arbete, krävs det att polisen har säkerhetsarrangemang som gör det möjligt att följa de åtgärder som vidtas med informationen. Denna fråga behandlas närmare i avsnitt 17.1. Den i promemorian föreslagna bestämmelsen om tillgång till person- uppgifter innebär en generell begränsning av åtkomsten till uppgifter för att förhindra att tjänstemän får tillgång till mer information än vad de behöver för att kunna fullgöra sina arbetsuppgifter. Bestämmelsen är, som Datainspektionen påpekar, allmänt hållen. Det är emellertid inte lämpligt att i lagform ange detaljerade riktlinjer för hur tillgången till personuppgifter bör avgränsas. I stället är det polisens och övriga berörda myndigheters uppgift att, utifrån respektive myndighets organisation och struktur, säkerställa att åtkomsten till personuppgifter begränsas i enlig- het med bestämmelsen. Som Datainspektionen föreslår bör det tydliggö- ras att regeringen eller den myndighet som regeringen bestämmer har möjlighet att meddela närmare föreskrifter om tillgången till personupp- gifter. En sådan regel bör därför tas in i den nya lagen. Tillåtna ändamål för behandlingen Regeringens förslag: I lagen ska det anges för vilka ändamål be- handling av personuppgifter får förekomma. Ändamålen ska delas in i primära ändamål och sekundära ändamål. De primära ändamålen av- ser behandling av personuppgifter för att tillgodose de behov som finns inom polisens brottsbekämpande verksamhet. uttömmande angivna i lagen. De sekundära ändamålen avser behand- ling för olika typer av utlämnande av personuppgifter. I fråga om be- handling av personuppgifter för andra sekundära ändamål än de i lagen angivna tillämpas den s.k. finalitetsprincipen. Utredningens förslag: Personuppgifter ska få behandlas bara om be- handlingen är nödvändig för att sådan polisverksamhet som omfattas av lagen ska kunna utföras. Utredningen föreslår också att personuppgifter ska få samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål och att senare behandling inte får ske för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Remissinstanserna: Flertalet remissinstanser har tillstyrkt utredning- ens förslag eller inte haft någon invändning mot det. Promemorians förslag överensstämmer delvis med regeringens. memorian föreslår dock en uttömmande reglering av för vilka ändamål personuppgifter får behandlas och finalitetsprincipen föreslås inte vara Remissinstanserna: Majoriteten av remissinstanserna har inget att an- föra mot promemorians förslag. Flera remissinstanser anser dock att förslagets sekundära ändamål är alltför begränsande. heten och betonar att en uttömmande reglering av Prop. 2009/10:85 ändamålen förutsätter att de sekundära ändamålen får en tillräckligt om- Datainspektionen anser att förslaget strider mot de centrala dataskyddsprinciper som innebär att personuppgifter endast får samlas in för specifika och legitima ändamål och att personuppgifterna därefter inte får användas på ett sätt som är oförenligt med insamlingsän- damålet. Inspektionen anser vidare att det bör ställas krav på att insam- lingsändamålet dokumenteras. Skälen för regeringens förslag Ändamålsbestämmelserna bör ge utrymme för att bedriva polisarbetet med modern teknik Den nya lagen ska vara tillämplig i polisens brottsbekämpande verksam- het. I den verksamheten förekommer personuppgiftsbehandling av vitt skilda slag. Dels förekommer mycket sedvanligt kontorsarbete som tidi- gare inte innebar behandling av personuppgifter, men som gör det med dagens ordbehandlingsteknik. Självklart måste den nya lagen ge polisen samma möjligheter som andra myndigheter att använda modern teknik för att upprätta vanliga dokument, göra löpande noteringar i arbetet m.m. Sådant teknikutnyttjande innefattar inte heller i sig några påtagliga integ- ritetsrisker. Dels förekommer kvalificerad personuppgiftsbehandling, t.ex. i form av uppbyggandet och förandet av stora uppgiftssamlingar som är tillgängliga för ett flertal personer. Sådan behandling ger givetvis upphov till större risker för intrång i den personliga integriteten. Ett sätt att komma till rätta med integritetsriskerna kan vara att gene- rellt begränsa möjligheterna till behandling av personuppgifter, t.ex. genom att ställa upp snäva ändamålsbestämmelser för alla slag av be- handling. Snäva ändamålsbestämmelser kan emellertid allvarligt för- sämra polisens möjligheter att använda sig av modern kontorsteknik i det brottsbekämpande arbetet. Ett generellt förbud mot behandling av upp- gifter som gäller mindre allvarlig brottslighet, t.ex. snatteri, skulle inne- bära att polisen inte skulle kunna använda sig av sedvanlig ordbehand- ling i arbetet med att förebygga eller utreda sådan brottslighet. Detta är uppenbarligen inte rimligt. Ändamålsbestämmelserna bör därför utfor- mas så att de ger utrymme för att bedriva polisarbetet på ett effektivt sätt med modern teknik. De särskilda risker som vissa slag av personuppgiftsbehandling kan ge upphov till bör alltså motverkas på annat sätt. I avsnitt 9 föreslås att be- stämmelserna om personuppgiftsbehandling ska göra skillnad mellan å ena sidan sådan behandling som avser uppgifter som har gjorts gemen- samt tillgängliga och å andra sidan annan behandling. Vid behandling av det förra slaget bör det gälla särskilda bestämmelser som kan minimera de integritetsrisker som mera kvalificerad personuppgiftsbehandling kan ge upphov till. Personuppgiftslagens regler om ändamål Bestämmelser om för vilka ändamål uppgifter får behandlas har en cen- tral roll i registerförfattningar. Genom ändamålen sätts ramen för vilken behandling som är tillåten. Som Datainspektionen framhåller följer det av centrala dataskyddsprinciper att uppgifter endast får samlas in för specifika och legitima ändamål och att insamlade uppgifter inte får be- handlas för något ändamål som är oförenligt med det ursprungliga ända- Dessa principer kommer till uttryck bl.a. i artikel 6.1.a i data- skyddsdirektivet och i artikel 3 i dataskyddsrambeslutet. skyddsdirektivet har genomförts i svensk rätt genom 9 § första stycket c och d personuppgiftslagen. I fråga om efterföljande behandling sägs i 9 § andra stycket person- uppgiftslagen att en behandling av personuppgifter för historiska, statis- tiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. I de fall där en tilltänkt be- handling inte direkt omfattas av de ursprungliga ändamålen måste det i princip prövas om ändamålet med den senare behandlingen är oförenlig med de ursprungliga ändamålen. Detta följer av den s.k. finalitetsprinci- pen, som uttrycks i 9 § första stycket d personuppgiftslagen. uttalar i betänkandet Integritet Offentlighet In- formationsteknik (SOU 1997:39 s. 351) att vad som är oförenligt med de ursprungliga ändamålen får bestämmas genom praxis och de mer precise- rade regler som regeringen och Datainspektionen kan utfärda. Den nya lagens ändamålsreglering och finalitetsprincipen Utgångspunkten i den nya lagen är att personuppgifter får behandlas enbart för vissa berättigade, angivna ändamål. och spridningen av uppgifterna begränsas. Frågan är då hur ändamålsreg- leringen bör utformas.