prop · GX0385 · 2010-01-08 00:00:00 — Remissinstanserna: En majoritet av remissinstanserna instämmer i eller har inget att invända mot promemorians förslag. anser dock att bl.a. skyldigheten att lämna information enligt 23, 25 och 26 §§ personuppgiftslagen kommer att försvåra för polisen att använda digital teknik vid insamling av uppgifter. Styrelsen anser att samma reg- ler bör gälla vid insamling av bilder och ljud, oavsett om upptagningarna sker med analog eller digital utrustning. anser vidare att polisen alltid bör få behandla personuppgifter för historiska, veten- skapliga och statistiska ändamål och föreslår därför att den nya lagen även bör hänvisa till 9 § andrafjärde styckena personuppgiftslagen. Styrelsen gör bedömningen, bl.a. mot bakgrund av hänvisningen i pro- memorians lagförslag till 8 § personuppgiftslagen, att utgallrade uppgif- ter torde kunna föras över till ett digitalt arkiv och där behandlas för de ändamål som anges i arkivlagen (1990:782). att det av dataskyddskonventionen följer att insamlade uppgifter aldrig får användas på ett sätt som är oförenligt med det eller de specifika ändamål för vilket de samlades in (den s.k. finalitetsprincipen). Datainspektionen strider promemorians lagförslag på denna punkt mot Inspektionen anser därför att det i den nya lagen bör införas en generell regel som upprätthåller finalitetsprincipen, exem- pelvis genom att en hänvisning görs till 9 § första stycket d personupp- Datainspektionen framhåller att det är positivt att tillsyns- myndigheten föreslås ha i stort sett identiska befogenheter vid tillsynen över polisens här aktuella personuppgiftsbehandling som enligt person- Kammarrätten i menar att 22 § personupp- giftslagen bör vara tillämplig endast när uppgifterna behandlas på annat sätt än när de görs eller har gjorts gemensamt tillgängliga. Skälen för regeringens förslag Redan nu tillämpas många av personuppgiftslagens bestämmelser i poli- sens personuppgiftsbehandling, eftersom polisdatalagen gäller utöver Förslaget innebär få förändringar i detta hänseende men en tydligare reglering. Nedan redovisas i vilken utsträckning per- sonuppgiftslagens bestämmelser bör vara tillämpliga vid behandling av personuppgifter i polisens brottsbekämpande verksamhet. Definitioner (3 §) I 3 § personuppgiftslagen definieras vissa begrepp som är centrala vid behandling av personuppgifter. Där definieras t.ex. vad personuppgifter är (All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet.) och vad som utgör behandling av person- uppgifter (Varje åtgärd eller serie av åtgärder som vidtas i fråga om per- sonuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insam- ling, registrering, organisering, lagring, bearbetning eller ändring, åter- , inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring.). gäller också för personuppgiftsbehandling som sker med stöd av polis- Det finns inte skäl att göra någon ändring i detta hänseende. Det är viktigt att terminologin i den nya lagen överensstämmer med per- sonuppgiftslagens och att de begrepp som används i de båda författning- arna har samma innebörd. En hänvisning till 3 § personuppgiftslagen bör därför tas in i den nya lagen. Förhållandet till offentlighetsprincipen (8 §) I 8 § första stycket personuppgiftslagen erinras om att personuppgiftsla- gen inte ska tillämpas i den utsträckning det skulle inskränka en myndig- hets skyldighet att lämna ut personuppgifter enligt 2 kap. tryckfrihets- förordningen, som reglerar allmänna handlingars offentlighet. I paragra- fens andra stycke anges att bestämmelserna inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Paragrafen gäller för personuppgiftsbehand- ling hos polisen. I klargörande syfte bör en hänvisning till bestämmelserna i 8 § person- uppgiftslagen tas in i den nya lagen. Det bör dock tydliggöras att be- stämmelserna i 8 § andra stycket inte är tillämpliga när uppgifter ska gallras enligt särskilda bestämmelser i den nya lagen. Utgallrade uppgif- ter bör inte, till skillnad från hur har tolkat de före- slagna bestämmelserna, få bevaras i ett digitalt arkiv och vara åtkomliga för arkivändamål. Sådant bevarande kommer att vara tillåtet endast om det meddelas föreskrifter med undantag från den nya lagens gallringsbe- stämmelser som tillåter ett bevarande. Den frågan tas upp i avsnitt 14.1. Grundläggande krav på behandlingen av personuppgifter (9 §) Några av personuppgiftslagens viktigaste bestämmelser om behandling av personuppgifter finns i 9 §. Där uppställs vissa grundläggande krav på den personuppgiftsansvarige. I första stycket a och b anges att den per- sonuppgiftsansvarige ska se till att personuppgifter endast behandlas om det är lagligt och att personuppgifter alltid ska behandlas på ett korrekt sätt och i enlighet med god sed. Enligt eh ska den personuppgiftsansva- rige se till att de personuppgifter som behandlas är adekvata och rele- vanta i förhållande till ändamålen med behandlingen, att inte fler person- uppgifter behandlas än som är nödvändigt, att de personuppgifter som behandlas är riktiga och om nödvändigt aktuella samt att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med be- handlingen. Det är naturligt att dessa krav tillämpas även vid behandling av per- sonuppgifter inom polisens brottsbekämpande verksamhet. Den nya lagen bör därför hänvisa till 9 § första stycket a, b och eh personupp- giftslagen. I 9 § första stycket c anges att den personuppgiftsansvarige även ska se till att personuppgifter samlas in bara för särskilda, uttryckligt angivna ändamål och i punkten d att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. En skyldighet för polisen att ha ett preciserat ändamål för insamlingen av personuppgifter kan sägas följa redan av de materiella bestämmelser om t.ex. förundersöknings bedrivande som styr polisens verksamhet. För att tydliggöra att personuppgifter får samlas in endast för preciserade ända- mål bör det emellertid tas in en hänvisning till 9 § första stycket c per- sonuppgiftslagen i den nya lagen. Punkten d ger uttryck för den s.k. finalitetsprincipen. Datainspektionen anser att 9 § första stycket d bör vara tillämplig även vid behandling i polisens brottsbekämpande verksamhet. I promemorian föreslås inte någon hänvisning i den nya lagen till denna bestämmelse. Den person- uppgiftsansvarige bör enligt regeringens mening liksom ha till uppgift att tillse att uppgifter inte behandlas för ändamål som är oförenliga med insamlingsändamålet. Det finns därför skäl att göra en Prop. 2009/10:85 hänvisning även till 9 § första stycket d personuppgiftslagen. ning bör därvid göras även till paragrafens andra och fjärde stycken. Frågan om förhållandet mellan den nya lagens ändamålsreglering och finalitetsprincipen behandlas i avsnitt 7.1. I 9 § första stycket i och tredje stycket personuppgiftslagen finns be- stämmelser om hur länge uppgifter får bevaras. Frågan om gallring och bevarande av uppgifter bör regleras särskilt i den nya lagen. Någon hän- visning till personuppgiftslagens bestämmelser i 9 § första stycket i och i tredje stycket om hur länge uppgifter får bevaras behövs därför inte. Frågan behandlas i avsnitt 14. Behandling av personnummer (22 §) I 22 § personuppgiftslagen föreskrivs att uppgifter om personnummer eller samordningsnummer får behandlas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifi- ering eller något annat beaktansvärt skäl. Personnummer bör således inte användas av ren slentrian. Bestämmelserna innebär att den personupp- giftsansvarige måste göra en intresseavvägning. Tyngden av de skäl som talar för att behandlingen av personnummer är påkallad måste således vägas mot behovet av skydd för den personliga integriteten. Principen bör enligt regeringens mening gälla även vid behandling i polisens brottsbekämpande arbete. Av integritetsskäl kan det vara nödvändigt att använda personnummer med hänsyn till den större säker- het för en riktig identifiering som detta innebär, särskilt i polisens verk- samhet. Till skillnad från vad Kammarrätten i anser finns det inte skäl att göra avsteg från principen i fråga om gemensamt tillgängliga uppgifter, även om det vid behandling av sådana uppgifter i många fall är nödvändigt att behandla personnummer. Den nya lagen bör därför hän- visa även till 22 § personuppgiftslagen. Information till den registrerade (23 och 2527 §§) Personuppgiftslagens bestämmelser om sådan information som ska läm- nas självmant till den registrerade och om information som ska lämnas efter ansökan av den registrerade (23 och 2527 §§) tillämpas enligt gällande reglering vid behandling av personuppgifter i polisens brotts- bekämpande verksamhet. Av 23 § personuppgiftslagen följer att den personuppgiftsansvarige självmant ska informera en enskild om behandling av uppgifter som samlas in från den enskilde själv. Den information som ska lämnas är enligt 25 § uppgift om den personuppgiftsansvariges identitet, ändamålen med behandlingen samt övrig information som behövs för att den regi- strerade ska kunna ta till vara sina rättigheter. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Informa- tion ska också, enligt 26 § personuppgiftslagen, lämnas på begäran av Om uppgifter behandlas ska information lämnas till sökanden om vilka uppgifter det rör sig om, varifrån uppgifterna har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Under förutsättning att uppgifterna inte har lämnats ut till tredje man behöver dock informa- tion inte lämnas om personuppgifter i löpande text som inte har fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteck- ning eller liknande. I 26 § finns även bestämmelser om inom vilken tid en ansökan ska besvaras. Enligt 27 § personuppgiftslagen gäller inte rätten till information om det i lag eller annan författning eller i beslut som har meddelats med stöd av författning särskilt har föreskrivits att uppgifter inte får lämnas ut till den registrerade. Information behöver alltså inte lämnas om sådana förhållanden för vilka det gäller sekretess. Bestämmelserna utgör i allt väsentligt en lämplig avvägning mellan den enskildes intresse av att få information om behandling av uppgifter om denne och polisens intresse av effektiva medel för brottsbekämpning. En hänvisning till bestämmelserna bör därför införas i den nya lagen. Det bör dock övervägas om det i den nya lagen behövs undantag från infor- mationsskyldigheten för viss insamling av uppgifter som t.ex. insamling genom bild och ljud och insamling i samband med larm. Undantag för insamling genom bild och ljud anser att bestämmelserna i 23, 25 och 26 §§ person- uppgiftslagen är svåra att tillämpa när uppgifter samlas in genom bild- och ljudupptagning och menar att samma regler bör gälla oavsett om upptagningarna sker med analog eller digital utrustning. Som redovisas i avsnitt 6.3 bör lagen som huvudregel vara tillämplig även på insamling genom bild och ljud. Det finns dock skäl att överväga om det kan krävas att informationsskyldigheten ska fullgöras fullt ut vid sådan insamling. Inledningsvis kan konstateras att polisens möjlighet att samla in uppgifter genom bild och ljud i stor utsträckning är oreglerad. De bestämmelser som finns reglerar insamling genom hemliga tvångsmedel, t.ex. reglerna i 27 kap. och lagen om hemlig rumsavlyssning. Vidare finns bestämmelser om insamling genom allmän kameraövervakning i lagen (1998:150) om allmän kameraövervakning och bestämmelser i 28 kap. 14 § om fotografering av anhållna och häktade. Enligt den paragrafen får även andra personer än anhållna och häktade fotograferas, om det behövs för utredning av brott på vilket fängelse kan följa. I flera betänkanden har föreslagits att polisens möjlighet att an- vända spaningsmetoder som t.ex. innebär användning av handmanöv- rerade kameror, dolda kroppsmikrofoner, inspelning av telefonsamtal och positionsbestämning bör författningsregleras (se t.ex. SOU 2003:74 och 2007:22). Bestämmelser om behandlingen av personuppgifter kan be- gränsa möjligheten att samla in uppgifter genom bild- och ljudupptag- ning. Det ligger dock inte inom ramen för detta lagstiftningsärende att överväga när sådan insamling bör få ske. Regeringen har uppdragit åt att överväga bl.a. frågan om författningsreglering av tekniska spaningsmetoder (dir. 2007:185). Även lagen om allmän kameraövervakning har utretts (SOU 2009:87). Frågan är om det behövs några undantag från bestämmelserna om Prop. 2009/10:85 informationsskyldighet i 23 och 2527 §§ personuppgiftslagen för be- handling av bild- och ljudupptagningar. Vad gäller 23 § torde i regel något av undantagen i 25 eller 27 § vara tillämpligt på sådan insamling. När en anhållen eller häktad fotograferas i samband med att fingerav- tryck tas eller när skador på ett brottsoffer dokumenteras torde exempel- vis undantaget i 25 § andra stycket vara tillämpligt. Det måste nämligen förutsättas att den fotograferade känner till varför insamling sker och att den sker genom automatiserad behandling samt att han eller hon förstår vad uppgifterna ska användas till. Vidare torde undantaget i 27 § vanligt- vis vara tillämpligt när insamling sker för spaningsändamål inom ramen för en förundersökning eller i underrättelseverksamhet, eftersom sekre- tess enligt 18 kap. 1 eller 2 § offentlighets- och sekretesslagen normalt gäller i dessa fall. Detsamma gäller insamling genom hemliga tvångsme- del. Det förekommer dock situationer då polisen synes vara skyldig att lämna information enligt 23 § personuppgiftslagen. Exempelvis torde sådan skyldighet föreligga när polisen genom videofilmning öppet dokumenterar ett visst händelseförlopp, t.ex. på grund av oroligheter i samband med en fotbollsmatch. I en sådan situation framstår det emel- lertid inte bara som orimligt utan också som praktiskt ogörligt att infor- mera alla personer som kan tänkas fångas på bild om att deras person- uppgifter behandlas. Värdet av sådan information kan också ifrågasättas. Mot denna bakgrund bör det inte krävas att polisen tillämpar 23 § personuppgiftslagen vid insamling av personuppgifter genom bild och ljud. I sammanhanget kan erinras om undantaget i 5 a § personuppgifts- lagen för behandling av personuppgifter i ostrukturerat material som infördes genom en lagändring (prop. 2005/06:173). Däremot finns det inte skäl att göra något undantag från bestämmel- serna i 26 § personuppgiftslagen, vilket förespråkar. Bestämmelserna i den paragrafen tar sikte på den fortsatta behandlingen av personuppgifter sedan de har samlats in. Ett grundläggande krav i den nya lagen bör vara att polisen alltid ska veta för vilket ändamål en upp- gift bevaras. För att kunna uppfylla detta krav måste polisen känna till det huvudsakliga innehållet av en bild- eller ljudsekvens som bevaras, t.ex. vilken person som spaningen eller brottsutredningen avsåg. Det ligger i sakens natur att polisen inte kan förväntas känna till och doku- mentera identiteten på samtliga personer som förekommer i en filmse- kvens t.ex. från en allmän plats. Och det faller på sin egen orimlighet att polisen skulle behöva informera samtliga dessa personer om behand- lingen. Det bör framhållas som uttalas i förarbetena till personupp- giftslagen (prop. 1997/98:44 s. 82 f.) att den personuppgiftsansvarige bara är skyldig att utnyttja de sök- och sammanställningsmöjligheter som han eller hon har tillgång till för att få fram information att lämna till den registrerade. I sammanhanget kan erinras om att regeringen i nyssnämnda proposition hänvisade till uttalande att inte ens EG-rätten kan tvinga någon att göra det som i praktiken är omöjligt (SOU 1997:39 s. 392). Informationskravet i 26 § torde således inte bli så omfattande som synes befara. Undantag för insamling i samband med larm Av Datainspektionens allmänna råd om information till registrerade en- ligt personuppgiftslagen framgår att information enligt 23 § personupp- giftslagen bör lämnas muntligen när personuppgifter samlas in vid tele- fonkontakt eller annan muntlig kontakt. Det skulle uppstå praktiska svå- righeter om det infördes en skyldighet att lämna uppgifter om behand- lingarna av personuppgifter i kommunikationscentralernas system (KC- systemet) till en enskild person i samband med att han eller hon larmar När en person larmar eller på liknande sätt tillkallar polisen rör det sig typiskt sett om en brådskande situation som kräver omedelbar åt- Både med hänsyn till risken för försening av den åtgärd som efter- frågas i det enskilda fallet och till risken för negativa konsekvenser i stort för verksamheten vid en kommunikationscentral är det orimligt att kräva att polisen lämnar information i samband med larm. torde den enskilde inte heller finna sådan information särskilt angelägen. Information som inte uppfattas som relevant i en akut situation kan tvärtom tas emot negativt. Utredningen om personuppgiftsbehandling anser att det inte är nödvändigt med några författningsförslag för att information inte ska behöva lämnas i nu aktuella fall (SOU 2006:18 s. 235). anförs att alla som vänder sig till en myndighet i en sådan situation redan känner till att uppgifter registreras i någon form av automatiserat register. Även om undantaget i 25 § andra stycket personuppgiftslagen vanligtvis torde vara tillämpligt finns det ändå skäl att införa ett undantag som tar sikte just på larmsituationer bl.a. av det skälet att larm utgör en stor och viktig del av polisens verksamhet. Det bör i en lagregel klart framgå att information aldrig ska behöva lämnas vid larm om det med hänsyn till omständigheterna inte finns tid att lämna informationen. av om information ska lämnas bör göras från fall till fall. samhet som uteslutande består i att ta emot larm torde det endast un- dantagsvis finnas tid att lämna information om behandlingen av person- Rättelse (28 §) I 28 § personuppgiftslagen anges att den personuppgiftsansvarige är skyl- dig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte behandlats i enlighet med personuppgiftslagens När en personuppgiftsansvarig rättar en personuppgift, ska underrättelse lämnas till tredje man som har fått del av uppgiften, om den registrerade begär det eller om mer betydande skada eller olägenhet där- igenom kan undvikas. Sådan underrättelse behöver dock inte lämnas om det visar sig vara omöjligt eller om det skulle innebära en oproportioner- ligt stor arbetsinsats. Dessa bestämmelser gäller vid personuppgiftsbe- handling i polisens brottsbekämpande verksamhet. Det är viktigt att personuppgifter som behandlas felaktigt hos en myn- Bedömningen av om en uppgift har behandlats på ett felak- tigt sätt måste göras mot bakgrund av de bestämmelser som gäller för behandlingen, oavsett om det är grundläggande regler i personuppgifts- lagen eller specialbestämmelser för polisens verksamhet. av det sagda bör bestämmelserna i 28 § personuppgiftslagen även i fort- sättningen tillämpas vid behandling av personuppgifter i polisens brotts- I den nya lagen bör det alltså tas in en hänvis- ning till 28 § personuppgiftslagen. Säkerheten vid behandling (3032 §§) I 3032 §§ personuppgiftslagen finns bestämmelser om hur den person- uppgiftsansvarige ska organisera arbetet med behandling av personupp- gifter för att garantera säkerheten. Dessa bestämmelser är tillämpliga vid personuppgiftsbehandling i polisens brottsbekämpande verksamhet och de bör gälla där även fortsättningsvis. En hänvisning till bestämmelserna bör alltså föras in i den nya lagen. Med hänsyn till att tillsynsmyndighe- ten inte bör ha möjlighet att förena förbud med vite (se avsnittet Till- synsmyndighetens befogenheter) bör någon hänvisning till 32 § andra stycket personuppgiftslagen inte göras i den nya lagen. Överföring av personuppgifter till tredjeland (3335 §§) Personuppgifter som är under behandling får enligt 33 § personuppgifts- lagen inte föras över till tredjeland, dvs. en stat som inte ingår i EU eller är ansluten till Europeiska ekonomiska samarbetsområdet (EES; 3 § personuppgiftslagen), om inte det mottagande landet har en adekvat nivå för skyddet av personuppgifter. Från förbudet finns vissa undantag i 34 §, bl.a. för överföring till länder som har anslutit sig till dataskyddskonven- Enligt 35 § har regeringen också möjlighet att föreskriva ytterli- gare undantag från förbudet, bl.a. om det behövs med hänsyn till ett vik- tigt allmänt intresse. Förbudet mot överföring till tredjeland som inte har acceptabla skydds- nivåer, och de undantag från förbudet som föreskrivs, bör vara tillämp- liga även vid behandling enligt den här föreslagna lagstiftningen. ringen bör även ha möjlighet att föreskriva om undantag från förbudet. Hänvisning bör således göras till 3335 §§ personuppgiftslagen. Upplysningar till allmänheten, personuppgiftsombudets uppgifter m.m. (3842 §§) Automatiserade behandlingar av personuppgifter ska enligt 36 § första stycket personuppgiftslagen anmälas till tillsynsmyndigheten (Datain- Anmälan behöver dock enligt 3 § personuppgiftsförord- ningen (1998:1191) inte göras för behandlingar som regleras genom sär- skilda föreskrifter i lag eller förordning. Någon skyldighet att anmäla de behandlingar som utförs med stöd av den nya lagen finns således inte, varför någon hänvisning till 36 § första stycket personuppgiftslagen inte Den personuppgiftsansvarige kan enligt 36 § andra stycket personupp- giftslagen utse ett personuppgiftsombud. Om ett sådant ombud utses, ska bestämmelserna om ombudets skyldigheter i 3840 §§ personuppgiftsla- I personuppgiftsombudets skyldigheter ingår bl.a. att se till att behandlingen av personuppgifter sker på ett lagligt sätt och att hjälpa registrerade att få rättelse. Den personuppgiftsansvarige ska anmäla om- budet hos Datainspektionen. Även ett entledigande ska anmälas hos inspektionen. I avsnitt 6.5 föreslås en särskild bestämmelse med skyldig- het för polisen att utse personuppgiftsombud och att anmäla till Datain- spektionen när ett sådant ombud utses och entledigas. Någon hänvisning till 36 § andra stycket personuppgiftslagen behövs därför inte. Den nya lagen bör dock hänvisa till 3840 §§ personuppgiftslagen. Regeringen har enligt 41 § personuppgiftslagen möjlighet att före- skriva att vissa särskilt känsliga behandlingar ska anmälas till Datain- spektionen för förhandskontroll. Detta gäller även vid personuppgiftsbe- handling inom polisens brottsbekämpande verksamhet. Denna ordning bör gälla även fortsättningsvis. Den nya lagen bör därför innehålla en hänvisning till 41 §. Enligt 42 § personuppgiftslagen ska den personuppgiftsansvarige till var och en som begär det lämna upplysningar om de behandlingar av personuppgifter som inte har anmälts till Datainspektionen. Bestämmel- sen är tillämplig på de behandlingar som utförs i polisens brottsbekäm- pande verksamhet men innebär självfallet ingen skyldighet att lämna ut sekretesskyddad information. Det är från integritetsskyddssynpunkt vik- tigt att den enskilde på ett snabbt och enkelt sätt kan få besked av polisen om vilka behandlingar som utförs i den brottsbekämpande verksamheten även för sådana fall då den behandling som utförs inte omfattas av någon anmälningsskyldighet till Datainspektionen. En hänvisning till 42 § per- sonuppgiftslagen bör därför tas in i den nya lagen. befogenheter (4345 §§ och 47 §) För att kunna säkerställa att personuppgifter behandlas på ett korrekt sätt har Datainspektionen vissa befogenheter gentemot personuppgiftsansva- riga.