prop · GZ0345 · 2011-12-06 00:00:00 — Regeringen konstaterar att det därför inte finns skäl att i en lag om personuppgiftsbehandling införa undantag för de författningar som räknas upp i polisdatalagen. Det finns även andra register som innehåller personuppgifter vilka har tillgång till, t.ex. register som förs med stöd av förordningen (1997:903) om register över förelägganden av ordningsbot. När uppgifter lämnas ut till från dessa register blir myndigheten ansvarig för den efterföljande behandlingen i enlighet med de regler som gäller för . Regeringen finner av nämnda skäl ingen anledning att föreslå att någon annan lagstiftning som rör nationella register ska undantas från den nya lagens tillämpningsområde. I avsnitt 4.5.3 har regeringen redogjort för det s.k. Prümrådsbeslutet. Där framgår att i viss utsträckning berörs av det brottsbekämpande samarbete som behandlas i rådsbeslutet. Rådsbeslutets bestämmelser om personuppgiftsbehandling har i huvudsak genomförts i lagen (2000:343) om internationellt polisiärt samarbete med tillhörande förordning (2010:705) om internationellt polisiärt samarbete. I den nya polisdatalagen finns en bestämmelse som hänvisar till att det finns särskilda bestämmelser om personuppgiftsbehandling i dessa författningar. Den nu föreslagna lagen om personuppgiftsbehandling i verksamhet uppfyller kraven i de allmänna dataskyddsbestämmelserna i rådsbeslutet. För att tydliggöra förhållandet mellan denna lag och bestämmelserna om personuppgiftsbehandling i lagen och förordningen om internationellt polisiärt samarbete föreslår regeringen i likhet med vad som föreslagits i promemorian att det i lagen om personuppgiftsbehandling i verksamhet införs en bestämmelse som hänvisar till att det finns särskilda bestämmelser om personuppgiftsbehandling i dessa författningar som gäller i stället för den föreslagna lagen. Bestämmelsen bör utformas efter vad som gäller för polisens verksamhet i den nya polisdatalagen. I 1 a § lagen om internationellt polisiärt samarbete regleras på motsva- Prop. 2011/12:45 rande sätt att de regler som gäller för polisens respektive personuppgiftsbehandling ska gälla även vid behandling av personupp- gifter enligt lagen och förordningen om internationellt polisiärt samarbete, om annat inte följer av dessa författningar. I propositionen Genomförande av Prümrådsbeslutet automatiserat uppgiftsutbyte anges att bestämmelsen är viktig för att det ska bli tydligt vilka bestämmelser som respektive myndighet ska tillämpa när personuppgifter behandlas enligt Prümrådsbeslutet (prop. 2010/11:129 s. 48). Som anges där bör ett motsvarande förtydligande göras i förhållande till . Behandling av gemensamt tillgängliga uppgifter Regeringens förslag: I stället för bestämmelser om register och data- baser ska den nya lagen innehålla särskilda bestämmelser om behand- ling av uppgifter som görs eller har gjorts gemensamt tillgängliga i allt reglera sådan behandling av uppgifter som sker i uppgiftssamling- ar som är gemensamma för verksamheten. Behandling som utförs av en enskild tjänsteman, eller inom en be- gränsad grupp av personer, t.ex. genom vanlig ordbehandling eller e-postkommunikation mellan ett fåtal tjänstemän, ska inte omfattas av Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Förvaltningsrätten i anser att definitionen av gemensamt tillgängliga uppgifter i 1 kap. 4 § lagförslaget är oklar och förefaller kunna orsaka tillämpningssvårigheter. påpekar att det hade varit lämpligare att införa nya begrepp i ett bredare sammanhang än i samband med en enskild registerlag. Datainspektionen ifrågasätter systemet med att ha olika regler för upp- gifter som görs gemensamt tillgängliga och för andra uppgifter i brotts- Datainspektionen anser att det är tveksamt om dataskyddsnivån i den känsliga brottsbekämpande verksamheten ska vara beroende av hur många som har faktisk tillgång till uppgifterna. vakningen är positiv till det teknikneutrala begreppet gemensamt till- gänglig i stället för begreppen register eller databas. Övriga remissinstanser har inte haft någon erinran mot förslaget. Skälen för regeringens förslag Begreppet gemensamt tillgängliga uppgifter Den nya lagen föreslås gälla för all automatiserad behandling av person- uppgifter i operativa verksamhet. inte bara uppgifter som behandlas i för verksamheten gemensamma upp- giftssamlingar, t.ex. register eller ärendehanteringssystem, ska omfattas utan även sådan behandling som utförs av en enskild tjänsteman eller en begränsad grupp av personer, t.ex. vanlig ordbehandling och e- Som framhållits i andra lagstiftningsärenden (ex- 2009/10:85 s. 125), är risken för otillbörliga intrång i den personliga integriteten större när personuppgifter används av flera gemensamt i verksamheten än när behandlingen sker av en enskild tjänsteman vid den egna datorn utan att någon annan har åtkomst till uppgifterna. Även i tidigare lagstiftningsarbete när det gäller reglering av behandling av personuppgifter i offentlig verksamhet har en åtskillnad gjorts mellan sådan behandling som avser uppgifter som är gemensamt tillgängliga i verksamheten och sådan behandling där uppgifterna endast är tillgängliga för en enskild eller en begränsad grupp av tjänstemän (prop. 2009/10:85 s. 126). Enligt regeringens mening är det nödvändigt att införa regler som innebär att särskilt stränga krav ställs upp för behandling av uppgifter som används av eller i vart fall är tillgängliga för fler än ett fåtal personer. I motsats till Datainspektionen menar regeringen följaktligen också att uppgifter som är tillgängliga enbart för en eller ett fåtal personer inte behöver omgärdas av lika strikta krav på märkning och information om uppgiftslämnarens tillförlitlighet m.m. Frågan är då hur man bör avgränsa den personuppgiftsbehandling för vilken mer begränsande regler är nödvändiga. I tidigare lagstiftning om personuppgiftsbehandling har begreppen register och databas använts för att definiera uppgifter som har gjorts tillgängliga för en större krets. Till respektive register har sedan knutits regler om åtkomst, sökmöjligheter m.m. Registerbegreppet har dock kritiserats, bland annat därför att det har en teknisk anknytning och därför att dagens datasystem normalt inte byggs som traditionella register. Också begreppet databas har en stark teknisk anknytning och leder tanken till ett visst, i tekniskt avseende avgränsat, informationssystem. Detta är inte ett helt relevant sätt att se på samlingar av uppgifter i elektronisk form. Uppgifter kan t.ex. införas helt ostrukturerat och oorganiserat i olika filer för olika sammanställningar m.m. Som en följd av detta bör den nya regleringen inte bygga på att behandlingen av personuppgifter sker i olika slag av register eller databaser utan i stället ges en mera generell utformning. Regleringen bör vara teknikneutral. Ett tänkbart alternativ är att skapa särskilda begränsande regler för personuppgiftsbehandling som avser uppgiftssamlingar. används i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst. Begreppet definieras där som en samling med uppgifter som med hjälp av automatiserad behandling används gemensamt. Även detta begrepp ger intryck av att uppgifterna struktureras på visst sätt. Någon ledning ges för övrigt inte för förståelsen av vad som avses med att samlingen används gemensamt. är inte helt ändamålsenligt för den nu aktuella lagstiftningen. I promemorian har i stället för databas, register eller uppgiftssamling föreslagits att uttrycket gemensamt tillgängliga uppgifter ska användas för att uttrycka samma sak. Regeringen konstaterar att det inte finns någon gemensam terminologi på området. Som beskrivits ovan används numera begreppen register, databas respektive uppgiftssamling för att benämna likartade företeelser och som framhåller skulle det vara en fördel om nyare begrepp infördes i ett bredare sammanhang. För polisens del kommer emellertid i och med ikraftträdandet av polisdatalagen, begreppet gemensamt tillgängliga uppgifter att användas. bedömning är att strävan efter likhet i regleringen på brottsbekämpnings- Prop. 2011/12:45 området bör ta sig det uttrycket att lagstiftningen för del utformas i enlighet med vad som har beslutats för polisen, dvs. att begreppet gemensamt tillgängliga uppgifter används i den föreslagna lagen för att beteckna uppgifter som är tillgängliga för fler än ett fåtal personer (jfr prop. 2009/10:85 s. 124 f.). Lagförslaget bör följaktligen innehålla särskilda bestämmelser för behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga i den verksamhet vid som omfattas av lagen. Med den formuleringen görs det klart att det viktiga inte är var eller med vilken metod uppgiften rent tekniskt är lagrad eller behandlas, utan om ett flertal personer har möjlighet att ta del av uppgiften. Gränsdragningen mellan behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga och annan behandling Det ligger i sakens natur att det inte är enkelt att dra en tydlig gräns mellan uppgifter som är gemensamt tillgängliga och andra uppgifter. Datainspektionen och Förvaltningsrätten i har ansett att definitionen av gemensamt tillgängliga uppgifter är oklar och har påpekat att bestämmelsen kan leda till tillämpningssvårigheter. För att underlätta arbetet för och tillförsäkra skydd för den personliga integriteten är regeringens målsättning därför att så tydligt som möjligt ange principerna för gränsdragningen. I det följande anges således några principer som enligt regeringens bedömning bör ligga till grund för gränsdragningen när det gäller behandlingen av personuppgifter i verksamhet. En grundläggande förutsättning för att personuppgifter ska anses vara gemensamt tillgängliga bör vara att de kan användas gemensamt av flera, dvs. att fler än en person har åtkomst till uppgifterna. Uppgifter som endast ett fåtal personer har rätt att ta del av bör dock inte anses som gemensamt tillgängliga. Att en uppgift är tillgänglig för en viss person bör förstås så att personen har såväl faktisk möjlighet att ta del av uppgiften som rättslig behörighet till det. Det bör däremot inte spela någon roll hur många som faktiskt tar del av de aktuella uppgifterna. Det bör inte heller spela någon roll om den som har tillgång till uppgiften kan påverka den eller bara läsa den. Det här innebär till att börja med att uppgifter blir att anse som gemensamt tillgängliga om behandlingen sker för att en obestämd krets t.ex. hela eller en viss organisationsenhet inom myndigheten ska kunna ta del av uppgifterna. Också andra uppgifter som är tillgängliga för en mer begränsad men i förväg obestämd krets av personer bör, som huvudregel, anses gemensamt tillgängliga. Överhuvudtaget kommer begreppet gemensamt tillgängliga uppgifter att täcka inte enbart register i traditionell bemärkelse utan alla uppgiftssamlingar i verksamhet, avsedda för en obestämd krets av personer. Vidare bör uppgifter anses som gemensamt tillgängliga även i vissa fall när den personkrets som har tillgång till uppgifterna är bestämd och avgränsad. Om uppgifterna är tillgängliga för ett stort antal bestämda personer, bör de således anses vara gemensamt tillgängliga. gifter som behandlas i t.ex. brottsbekämpande verksamhet eller kontrollverksamhet som involverar ett flertal tjänstemän som gemensamt behandlar viss information bör alltså regelmässigt anses som gemensamt tillgängliga. Uppgifter bör dock inte anses som gemensamt tillgängliga enbart därför att två eller flera personer har tillgång till dem. Kan man redan från början konstatera att uppgifterna endast kommer att vara tillgängliga för en avgränsad krets av ett litet antal personer, bör uppgifterna inte anses som gemensamt tillgängliga. De integritetsskyddsintressen som motiverar särskilda regler för gemensamt tillgängliga uppgifter gör sig typiskt sett inte lika starkt gällande när bara ett fåtal personer har tillgång till uppgifterna. En förutsättning för att uppgifterna inte ska anses vara gemensamt tillgängliga måste alltså vara att kretsen omfattar endast ett litet antal personer. Så kan vara fallet t.ex. med ett mindre underrättelseprojekt. Om projektet enbart engagerar en avgränsad krets, bestående av ett fåtal på förhand utpekade personer eller funktioner, bör de uppgifter som behandlas inom ramen för projektet normalt inte betraktas som gemensamt tillgängliga. Så snart det är fråga om mer än ett fåtal personer som har tillgång till uppgifterna bör utgångspunkten vara den motsatta. Enligt regeringens mening bör det inte i lag anges någon exakt gräns för antalet personer. Emellertid kan det vara lämpligt att ange en tumregel. I förarbetena till polisdatalagen (prop. 2009/10:185 s. 129 f.) har regeringen, när det gäller polisens verksamhet, bedömt att uppgifter normalt bör anses som gemensamt tillgängliga när fler än ett tiotal personer har tillgång till dem. Regeringen är av uppfattningen att samma tumregel bör kunna tillämpas ifråga om den verksamhet som bedriver. När det talas om en bestämd krets bör detta inte uppfattas som att det alltid från början måste kunna anges exakt vilka tjänstemän eller vilken krets av tjänstemän som avses få tillgång till uppgifterna. Bedömningen blir naturligtvis enklare om man på förhand vet att endast ett fåtal respektive en större krets kommer att behandla uppgifterna. Även i de fall där detta inte står klart från början kan man oftast av arbetsuppgiftens art och storlek sluta sig till om uppgifterna sannolikt kommer att behandlas av ett fåtal tjänstemän eller av en större krets. I viss utsträckning kan tidsaspekten ha betydelse för om uppgifter ska anses vara gemensamt tillgängliga eller inte. En del verksamheter, främst underrättelseverksamhet inom ramen för brottsbekämpningen, leder inte alltid till ett bestämt avslut av ett visst konkret ärende. Ett underrättelseprojekt har inte sällan en obestämd varaktighet och kan därför komma att löpa . Som exempel kan nämnas projekt riktade mot narkotikasmuggling via vissa hamnar. Det ligger i sakens natur att i sådana långvariga projekt kan den personal som sysslar med projektet komma att bytas ut under arbetets gång. Även om tanken från början har varit att endast en liten avgränsad krets ska syssla med projektet, är det därför långtifrån alltid möjligt att upprätthålla det kravet. Underrättelsematerial som tas fram i ett sådant projekt bör därför också anses som gemensamt tillgängliga uppgifter. Motsvarande bör i princip gälla andra typer av uppgifter som behandlas för att användas . Givetvis bör detta inte gälla undantagslöst. Om en enskild tjänsteman gör sammanställningar av olika slag för eget bruk, bör detta inte göra att uppgifterna anses vara gemensamt tillgängliga, även om han eller hon Prop. 2011/12:45 har för avsikt att använda dem . Det är i lagstiftningsärendet inte möjligt att ge detaljerade anvisningar för bedömningen av när en viss uppgift är gemensamt tillgänglig. Enhetlighet åstadkoms i stället genom riktlinjer utformade av och utbildning av personalen. Regeringen återkommer dock i författningskommentaren något till den närmare avgränsningen mellan gemensamt tillgängliga och icke gemensamt tillgängliga uppgifter. Det är emellertid inte bara antalet personer som har tillgång till uppgifterna som är av betydelse. Från integritetssynpunkt har det också betydelse om uppgifterna stannar inom eller om de sprids till andra myndigheter. I det senare fallet har inte längre någon kontroll över hur uppgifterna används. bör kunna samarbeta med andra myndigheter och inom ramen för sådant samarbete behandla personuppgifter i gemensamma projekt. Bland annat för att möjliggöra ett sådant samarbete behandlar regeringen frågan om direktåtkomst för andra myndigheter till uppgifter som har gjorts gemensamt tillgängliga i verksamhet i avsnitt 12.3.3 gällande den brottsbekämpande verksamheten och avsnitt 14.5 gällande övriga verksamhet. 9.3Den nya lagen och personuppgiftslagen Regeringens förslag: Lagen ska gälla i stället för personuppgifts- I lagen ska hänvisas till de bestämmelser i personuppgiftslagen som ska gälla vid behandling av personuppgifter i Promemorians förslag överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanserna har inte haft några särskilda synpunkter i denna del. Skälen för regeringens förslag Personuppgiftslagen (1998:204) är generellt tillämplig på all behandling av personuppgifter och gäller därför för personupp- giftsbehandling, om det inte finns avvikande bestämmelser i lag eller Som framgått i avsnitt 8.1 behövs det även fortsättningsvis avvikande bestämmelser för behandling av person- uppgifter i myndighetens operativa verksamhet. Det innebär att det i den lag som regeringen nu föreslår finns bestämmelser som avviker från personuppgiftslagen vad avser personuppgiftsbehandling inom Kustbe- Regeringen vill i detta sammanhang emellertid tillägga följande. nom personuppgiftslagens ikraftträdande genomfördes EU:s dataskydds- direktiv (se närmare avsnitt 4.2.4). Direktivet omfattar inte behandling av personuppgifter som utförs på området för statens brottsbekämpande verksamhet. I sammanhanget bör dock påpekas att direktivet i huvudsak bygger på och vidareutvecklar de bestämmelser som finns i dataskyddskonvention (se närmare avsnitt 4.2.3). Konventionen gäller även i statens brottsbekämpande verksamhet. är folkrättsligt bundet av konventionen och dess tilläggsprotokoll. Vidare bör beaktas att dataskyddsrambeslutet, som ska genomföras i svensk rätt, i stora delar liknar dataskyddsdirektivet (se närmare avsnitt 4.5.1). Trots att EU:s dataskyddsdirektiv formellt inte är tillämpligt i fråga om behandling av personuppgifter i den brottsbekämpande verksamheten bör enligt regeringens mening en reglering som avviker från de grundläggande reglerna i personuppgiftslagen införas bara om det finns goda skäl för det. Systematiska skäl talar också för att den nya regleringen bör ansluta till personuppgiftslagen. Det är således önskvärt att de bestämmelser till skydd för enskilds integritet som uppställs i personuppgiftslagen så långt som möjligt tillämpas även vid personuppgiftsbehandling inom verksamhet. Med hänvisning till det som sagts ovan bör personuppgiftslagens bestämmelser i väsentliga delar även gälla i verksamhet. I denna verksamhet finns emellertid som har nämnts särskilda behov av bestämmelser som avviker från lagen. Härvid uppstår frågan om hur man ska hantera de bestämmelser som inte ska avvika från personuppgiftslagens regler. I tidigare lagstiftningsärenden har olika lösningar valts. En modell har varit att i den författning som reglerar behandling av personuppgifter i viss verksamhet över huvud taget inte nämna personuppgiftslagen. Då personuppgiftslagen gäller om det inte i en annan lag eller förordning finns avvikande bestämmelser innebär det att personuppgiftslagens bestämmelser fått gälla (jfr 2 § personuppgiftslagen). En liknande modell, som ger samma effekt, är att i den särskilda författningen ange att den gäller utöver personuppgiftslagen. Den modellen används i den nu gällande polisdatalagen (1998:622). Nackdelen med lösningar av detta slag är att det kan vara svårt att överblicka vilka bestämmelser i personuppgiftslagen som är tillämpliga. En annan variant är att lagen är heltäckande och upprepar de bestämmelser i personuppgiftslagen som är tillämpliga. En sådan lösning gäller för personuppgiftsbehandling hos Försvarsmakten och , se lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst och lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet (prop. 2006/07:46). Fördelen med en sådan lösning är att tillämparen snabbt får klart för sig vilka bestämmelser som gäller utan att behöva gå till personuppgiftslagen. En nackdel är dock att det i viss mån blir fråga om en dubbelreglering, eftersom personuppgiftslagens regler ändå gäller om inget annat anges. Dessutom innebär även mindre ändringar i personuppgiftslagen att motsvarande justeringar måste göras i den särskilda lagen. Beroende på vilket område lagen avser att reglera kan denna dessutom komma att bli onödigt omfattande. Ytterligare en variant är att i den särskilda lagen ta in, utöver de bestämmelser som avviker från personuppgiftslagen, en hänvisning till de lagrum i personuppgiftslagen som ska vara tillämpliga. har valts i lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet och den nya polisdatalagen (2010:361). Fördelarna med en sådan koppling till personuppgiftslagen är att lagstiftningen blir mer överskådlig och lättillämpad jämfört med om inga hänvisningar görs till personuppgiftslagen. undviks en omfattande dubbelreglering. Utvecklingen går mot ökat samarbete mellan de brottsbekämpande myndigheterna. Det ligger ett värde i att använda samma lagstiftningsteknik för all behandling av personuppgifter inom den brottsbekämpande verksamheten, oavsett vilken myndighet det gäller. Den brottsbekämpande verksamheten är den del av verksamhet som omfattas av den nya lagen där likhet med övriga myndigheters reglering är mest angelägen. Regeringen föreslår därför att samma lagstiftningsteknik väljs för som i lagen om behandling av uppgifter i brottsbekämpande verksamhet och den nya polisdatalagen. Den nya lagen om personuppgiftsbehandling bör med andra ord gälla i stället för personuppgiftslagen och innehålla tydliga hänvisningar till tillämpliga lagrum i den lagen. 9.3.2Tillämpliga bestämmelser i personuppgiftslagen Regeringens förslag: Följande bestämmelser i personuppgiftslagen ska vara tillämpliga vid behandling av personuppgifter i verksamhet: definitioner (3 §), förhållandet till offentlighetsprincipen (8 §), grundläggande krav på behandlingen av personuppgifter (9 §), dock med undantag för paragrafens första stycke i) och tredje stycket, behandling av personnummer och samordningsnummer (22 §), information till den registrerade (23 och 2527 §§), rättelse (28 §), säkerheten vid behandling (30 och 31 §§ samt 32 § första stycket), överföring av personuppgifter till tredjeland (3335 §§), personuppgiftsombudets uppgifter m.m. (3841 §§), upplysningar till allmänheten om vissa behandlingar (42 §), tillsynsmyndighetens befogenheter (43 och 44 §§, 45 § första stycket samt 47 §), skadestånd (48 §), och överklagande (51 § första stycket, 52 § första stycket och 53 §). Bestämmelserna i 8 § andra stycket personuppgiftslagen ska dock inte tillämpas om personuppgifter ska gallras enligt bestämmelser i den nya lagen eller enligt föreskrifter som meddelats i anslutning till lagen. Bestämmelserna om informationsskyldighet i 23 § personuppgiftslagen behöver inte tillämpas om uppgifterna samlas in 1.genom bild- eller ljudupptagning eller 2.i samband med larm och det med hänsyn till omständigheterna inte finns tid att lämna informationen. ska inte kunna förena ett förbud att utföra viss behandling med vite. Regeringens bedömning: Straffbestämmelsen i 49 § personupp- Prop. 2011/12:45 giftslagen bör inte vara tillämplig. Promemorians förslag och bedömning överensstämmer med regeringens. Remissinstanserna: har anfört att behovet av en förstärkt tillsyn bör övervägas i den vidare beredningen varvid särskild uppmärksamhet ska fästas vid frågan om huruvida den enskildes rätt till effektivt rättsmedel kommer att tillgodoses. påpekar att frågan om kontroll och tillsyn av verksamheten, både internt och externt, kräver ett särskilt övervägande ifall inte en tillsynsmyndighet bör få ett mandat för att kunna genomföra en mer omfattande tillsyn när det gäller behandling av personuppgifter i brottsbekämpande verksamhet. Datainspektionen har inget att erinra mot att möjligheterna att besluta om förhandskontroll enligt 41 § personuppgiftslagen behålls. Samma möjlighet finns i den lagstiftning som ska träda ikraft för polisens behandling av personuppgifter.