prop · GZ0345 · 2011-12-06 00:00:00 — Regeringen ansåg emellertid att bruket av begreppet i lagtexten skulle kunna ge legitimitet åt rasistiska föreställningar och kunna befästa ras som en existerande kategori. Det var därför inte önskvärt att använda begreppet i diskrimineringslagen. I propositionen En reformerad grundlag (prop. 2009/10:80) föreslog regeringen att begreppet ras utmönstras ur regeringsformen. har antagit förslaget (se avsnitt 4.1). I regeringsformen används i stället uttrycket etniskt ursprung, hudfärg eller annat liknande förhållande (2 kap. 12 och 24 §§ regeringsformen). Med annat liknande förhållande avses främst sådana föreställningar om ras som omfattades av tidigare reglering (prop. 2009/10:80 s. 152). Eftersom unionsrätten inte kräver att ett direktiv införlivas ordagrant i nationell rätt utan snarare att ändamålet med regleringen uppfylls, torde det i och för sig inte finnas något hinder mot att utmönstra begreppet ras ur dataskyddsregleringen, om det ersätts med ett annat begrepp som har samma ändamål. Även om anser att det inte är nödvändigt att invänta en samlad översyn för att utmönstra begreppet ras i detta sammanhang, anser regeringen emellertid att det inte är lämpligt att endast i detta specifika lagstiftningsärende utmönstra ordet ras och därmed ändra den vedertagna beskrivningen av känsliga personuppgifter, jfr t.ex. 13 § personuppgiftslagen och 11 § lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet. Det är dock regeringens avsikt att i ett annat sammanhang se över frågan huruvida ordet ras bör utmönstras ur all lagstiftning. Regeringen föreslår vidare att det även fortsättningsvis bör finnas en möjlighet för att komplettera uppgifter med känsliga personuppgifter när det är oundgängligen nödvändigt för syftet med behandlingen. Detta bör komma till uttryck i den nya lagen. På samma sätt som i 11 § lagen om behandling av uppgifter i brottsbekämpande verksamhet och 2 kap. 10 § polisdatalagen bör dock ordet oundgängligen ersättas med absolut. Som exempel kan nämnas att en person är aktuell i ett ärende, t.ex. en förundersökning. Om det är absolut nödvändigt för handläggningen av ärendet får de övriga uppgifterna i ärendet kompletteras med känsliga personuppgifter. Känsliga personuppgifter kan även förekomma i underrättelseverksamhet och verksamhet med gränskontroll. Skulle få ett tips från allmänheten om en person som troligen smugglar narkotika, måste naturligtvis anteckningar få föras om sådant som är nödvändigt för att underlätta identifiering vid gränsen, t.ex. fysiska kännetecken och etniskt ursprung m.m. På samma sätt är det i den informationsbearbetning som äger rum i underrättelseverksamheten tillåtet att anteckna känsliga personuppgifter om personer som på saklig grund kan antas utöva brottslig verksamhet, under förutsättning att de känsliga uppgifterna är nödvändiga för att få fram den fullständiga underrättelseinformation som behövs. Bestämmelsen om känsliga personuppgifter bör gälla oavsett för vilket ändamål uppgifterna behandlas. Regeringen föreslår emellertid undantag från begränsningen av behandling av känsliga personuppgifter när det gäller behandling som är nödvändig för diarieföring, eller om uppgifterna har lämnats till i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. Undantagen föranleds av behov av att alltid ha möjlighet att diarieföra och handlägga inkommande anmälningar och liknande skrivelser. Skälen för detta har utvecklats i avsnitt 9.6. Sådan behandling bör vara tillåten även i de fall där inkommande anmälningar innehåller känsliga personuppgifter. Detta bör komma till uttryck i lagtexten. Slutligen bör det enligt regeringens mening i lagtexten framhållas att uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Promemorian har lämnat ett motsvarande förslag. Syftet är att förhindra att personer beskrivs i förklenande ordalag som kan anses kränkande för individen. Regeringen vill emellertid framhålla att denna bestämmelse inte får medföra att omskrivning sker av vad någon har uppgivit vid t.ex. ett förhör. Regeringen instämmer i och för sig i vad har anfört om kravet på att uppgifter om en persons utseende alltid ska utformas på ett objektivt sätt med respekt för människovärdet och att detta redan följer av regeringsformens krav på objektivitet och saklighet, ett krav som naturligtvis även gäller i fråga om andra uppgifter. Emellertid finns det enligt regeringens mening anledning att i detta sammanhang likväl särskilt betona vikten av att denna typ av uppgifter utformas på ett sätt som inte kan uppfattas som kränkande. Det finns också anledning att framhålla att en motsvarande bestämmelse finns i lagen om behandling av uppgifter i brottsbekämpande verksamhet och i polisdatalagen, varför det skulle kunna komma att framstå som märkligt och öppna för tolkningar om inte motsvarande regel fördes in i den här före- Prop. 2011/12:45 slagna lagen. aktualiserar frågan om införande av begreppet absolut nödvändigt, vilket behandlas i ovannämnt betänkande SOU 2011:20. Förslagen i betänkandet bereds i . Regeringen kommer därför inte att behandla frågan ytterligare i detta lagstiftningsärende. 9.8Utlämnande på medium för automatiserad behandling Regeringens förslag: Enstaka uppgifter ska få lämnas ut på ett medium för automatiserad behandling. I lagen ska vidare upplysas om att regeringen meddelar föreskrifter om att uppgifter får lämnas ut på ett sådant medium även i andra fall. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser har tillstyrkt eller har inte haft något att invända mot förslaget. vill erinra om att beskrivningen av gränsen mellan direktåtkomst och utlämnande på medium för automatiserad behandling är svårtolkad och har föranlett betydande hinder vid myndigheternas utveckling av system för elektroniskt informationsutbyte. anför att ytterligare förtydliganden av denna gräns genom motivuttalanden skulle vara av stort värde. undrar vidare hur föreslagen reglering i 2 kap. 8 § förhåller sig till regleringen i 3 kap. 3 § första stycket 3, där det ses som ett sekundärt ändamål att lämna uppgifter till en annan verksamhet inom . Skälen för regeringens förslag: Begreppet direktåtkomst har ingen legaldefinition, men används i ett flertal regelverk som rör personuppgiftsbehandling. Det används för att beskriva formen för att lämna ut uppgifter på automatiserad väg. Den allmänt vedertagna innebörden av begreppet är att någon har direkt tillgång till någon annans register eller databaser och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen. Det brukar också anses innebära att den som är ansvarig för databasen eller registret inte har någon kontroll över vilka uppgifter mottagaren tar del av vid ett visst tillfälle (prop. 2004/05:164 s. 83). Det innebär alltså att den utlämnande myndigheten på förhand måste ta ställning till möjligheten att lämna ut alla uppgifter som kan komma att omfattas av direktåtkomsten, medan beslutet om överföring vid direktåtkomst i varje enskilt fall fattas av mottagaren. För annat elektroniskt utlämnande än genom direktåtkomst används begreppet utlämnande på medium för automatiserad behandling. Sådant utlämnande kan innebära t.ex. att elektronisk information överförs via e-post, genom utlämnande av uppgifter på cd-rom, DVD, USB-minne eller genom direkt överföring från ett datorsystem till ett annat via allmänna kommunikationsnät. Uttrycket elektronisk utlämnande bör normalt användas som ett överordnat begrepp, som omfattar både direktåtkomst och utlämnande på medium för automatiserad behandling (se SOU 2007:64 s. 160; jfr prop. 2008/09:96 s. 8). direktåtkomst behandlas i avsnitten 12.3 och 14.5. I detta avsnitt behandlas frågor om utlämnande på medium för automatiserad behandling. Inte bara direktåtkomst utan även utlämnande av personuppgifter på medium för automatiserad behandling anses medföra särskilda risker från integritetssynpunkt. Sådant utlämnande innebär nämligen som regel att mottagaren kan bearbeta informationen, t.ex. genom att samköra den mot elektroniska uppgifter som har hämtats från andra informationskällor. Det ökar riskerna för att uppgifterna ska behandlas i strid med de grundläggande kraven på dataskydd. Utlämnande i elektronisk form skapar också möjlighet för myndigheterna att inrätta rutiner som innefattar dagliga överföringar av större mängder av uppgifter via t.ex. e-post. Även om direktåtkomst generellt får betraktas som den mest känsliga formen av elektroniskt utlämnande kan i vissa fall likartade risker föreligga vid andra former av elektroniskt utlämnande. Härvid vill regeringen framhålla följande. Utlämnande på medium för automatiserad behandling innebär som regel att informationen lämnas ut i elektronisk form på ett sådant sätt att mottagaren kan bearbeta informationen. Det betyder att elektroniskt tillhandahållande av uppgifter där mottagaren endast kan läsa informationen i myndighetens lokaler och inte bearbeta den, t.ex. genom en allmänhetens terminal, inte kan anses vara ett utlämnande på medium för automatiserad behandling. Vidare, för att inte möjligheterna att utnyttja datorteknik vid myndigheter ska inskränkas på ett orimligt sätt, bör det inte sättas upp onödiga hinder mot att e-post utnyttjas som ett sätt att vidarebefordra information som ofta lämnas ut via telefon, telefax eller vanlig brevförsändelse. Det måste vara möjligt för tjänstemän vid att kommunicera med andra myndigheter och enskilda samt utbyta information på elektronisk väg. I detta sammanhang vill regeringen särskilt erinra om att uppgifter inte får lämnas ut vare sig elektroniskt eller på annat sätt utan föregående sekretessprövning. Regeringen konstaterar att den tekniska utvecklingen i praktiken har lett till att skillnaderna mellan direktåtkomst och utlämnande på medium för automatiserad behandling i vissa fall har blivit så liten att det ibland kan vara svårt att dra en gräns mellan dessa former av utlämnande. Detta är fallet framförallt när utlämnande av uppgifter sker på medium för automatiserad behandling av större mängder uppgifter med viss regelbundenhet. Eftersom regeringen kommer att föreslå att lagen ska innehålla bestämmelser om direktåtkomst är det mot den bakgrunden naturligt att också möjligheten till utlämnande på medium för automatiserad behandling regleras. Så har även skett i lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet och polisdatalagen (2010:361), av vilka framgår att enstaka uppgifter får lämnas ut på medium för automatiserad behandling och att regeringen får meddela föreskrifter om att utlämnande på sådant medium får ske även i andra fall. Regeringen gör här samma bedömning, nämligen att utlämnande av enstaka personuppgifter utan vidare bör få ske när detta i övrigt är möjligt enligt den föreslagna lagen, offentlighets- och sekretesslagen (2009:400) och annan tillämplig lagstiftning. Mer omfattande utlämnande ska endast tillåtas i den utsträckning som regeringen har föreskrivit det. Bestämmelsen reglerar när utlämnande av personuppgifter får ske i elektronisk form enligt den nya lagen. Bestämmelsen tar däremot inte sikte på hur det faktiska utlämnandet genomförs. Av följande avsnitt Prop. 2011/12:45 framgår att regeringen föreslår en reglering av direktåtkomst för andra myndigheter till uppgifter som behandlar och att regeringen i vissa fall har utrymme att föreskriva om omfattningen av sådan åtkomst. Regeringen anser att motsvarande bör gälla i nu aktuellt avseende. Omfattningen och de närmare formerna för utlämnande av uppgifter på medium för automatiserad behandling till annan myndighet bör därför inte särregleras i lag. I stället har regeringen utrymme att föreskriva om detta. I förhållande till myndigheter som får medges direktåtkomst menar regeringen att det inte bör gälla några begränsningar i fråga om utlämnande på annat elektroniskt medium, med hänsyn till att lagen ska vara teknikneutral. Regeringen avser att i förordning meddela föreskrifter om detta. Eftersom föreskrifter om myndighetens behandling av personuppgifter får meddelas av regeringen med stöd av den restkompetens enligt 8 kap. 7 § första stycket 2 regeringsformen i den utsträckning föreskrifterna inte faller in under tillämpningsområdet för 2 kap. 6 § regeringsformen bör i lagen tas in en upplysning om att regeringen meddelar sådana föreskrifter som avses här. Begreppet enstaka kan innebära vissa gränsdragningsproblem när det gäller att avgöra hur omfattande ett utlämnande av uppgifter på medium för automatiserad behandling egentligen får vara. Regeringen finner emellertid inte att det är möjligt att i lagtext närmare ange innebörden av begreppet enstaka. I sammanhanget bör dock följande påpekas. Ordet enstaka i har i den här aktuella lagtexten en något annan innebörd än i vanligt språkbruk. När personuppgifter förekommer i en eller ett fåtal handlingar är föreslagen bestämmelse inte avsedd att utgöra ett hinder mot att handlingarna lämnas ut genom t.ex. ett e-postmeddelande. Det förhållandet att en handling, t.ex. en lista över telefonnummer, innehåller ett större antal personuppgifter hindrar inte att handlingen lämnas ut med stöd av föreslagen paragraf (jfr prop. 2009/10:85 s. 333). Den är också avsedd att ge stöd för utlämnande av t.ex. ett ärende eller delar av ett ärende där personuppgifter förekommer (jfr prop. 2006/07:46 s. 124). 9.9Grundläggande krav på behandlingen Regeringens förslag: Personuppgifter ska behandlas på ett sådant sätt att det klart framgår om behandlingen rör brottsbekämpning eller annan operativ verksamhet. Promemorians förslag överensstämmer med regeringens. Promemorians förslag till lagtext är dock något annorlunda utformad. Remissinstanserna: instämmer i bedömningen att personuppgifter ska behandlas på ett sådant sätt att det klart framgår om behandlingen sker med stöd av bestämmelserna för den brottsbekämpande verksamheten eller för annan operativ verksamhet. , liksom Havs- och vattenmyndigheten, anför att det viktiga bör vara att det framgår med stöd av vilka bestämmelser behandlingen sker för den brottsbekämpande verksamheten eller för annan operativ verksamhet och att det går att kontrollera i efterhand, inte att uppgifterna ska vara uppdelade i olika informationssamlingar. 2011/12:45 remissinstanser har inte yttrat sig i frågan. Skälen för regeringens förslag: I förordningen (2003:188) om behandling av personuppgifter inom finns reglerat att personuppgifter ska behandlas på ett sådant sätt att det klart framgår med stöd av vilka bestämmelser behandlingen sker. Regeringen anser att en motsvarande bestämmelse bör införas i den nya kustbevakningsdatalagen. Bestämmelsen bör dock formuleras på det sätt Lagrådet föreslagit, vilket innebär att den blir än mer lättläst än förslaget i lagrådsremissen. Som och Havs- och vattenmyndigheten konstaterat ska det vid varje behandling av personuppgifter således framgå om behandlingen rör brottsbekämpning eller annan operativ verksamhet. Det ska i efterhand gå att kontrollera att behandlingen har skett i enlighet med de ändamål som lagen medger. På så sätt upprätthålls skyddet för den personliga integriteten. 10Behandling av personuppgifter i den brottsbekämpande verksamheten Regeringens förslag: I lagen ska det anges för vilka ändamål behandling av personuppgifter i brottsbekämpande verksamhet får ske. Ändamålen ska delas in i primära ändamål och sekundära ändamål. De primära ändamålen avser behandling av personuppgifter för att tillgodose de behov som finns i brottsbekämpande verksamhet. Dessa ändamål ska vara uttömmande angivna i lagen. De sekundära ändamålen ska avse behandling för olika typer av tillhandahållande av personuppgifter. I fråga om behandling av personuppgifter för andra sekundära ändamål än de i lagen angivna ska den s.k. finalitetsprincipen tillämpas. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: finner att det är en bra lösning att föreslagen lag anger för vilka primära och sekundära ändamål som behandling får ske av personuppgifter, men anser det begränsande att uttömmande ange vilka primära ändamål som finns för behandling av personuppgifter inom brottsbekämpande verksamhet. Enligt verket skulle en lösning kunna vara att även tillämpa finalitetsprincipen för de primära ändamålen. Datainspektionen ifrågasätter, liksom inspektionen gjorde vid förslaget till polisdatalag, om bestämmelserna om ändamål uppfyller kraven på att personuppgifter endast får samlas in för specifika ändamål och att personuppgifterna därefter inte får användas på ett sätt som är oförenligt med insamlingsändamålet. Detta gör sig enligt inspektionen särskilt starkt gällande mot bakgrund av att uppgifter relativt obegränsat kan komma att flöda mellan brottsbekämpande verksam- Prop. 2011/12:45 het och annan operativ verksamhet. noterar att den s.k. finalitetsprincipen kommer till uttryck både i 2 kap. 2 § första stycket 3 och i 3 kap. 4 § samt 5 kap. 2 §, och undrar om avsikten med denna dubbelreglering är att inskränka tillämpningsområdet för finalitetsprincipen inte bara till sekundära ändamål utan även till enskilda fall. Övriga remissinstanser har tillstyrkt eller har inget att invända mot förslaget. Skäl för regeringens förslag Ändamålsbestämmelserna bör ge utrymme för att bedriva brottsbekämpande verksamhet med modern teknik Den nya lagen ska vara tillämplig i all operativa verksamhet, bl.a. den brottsbekämpande. I den verksamheten förekommer personuppgiftsbehandling av vitt skilda slag. Det handlar t.ex. om sedvanligt kontorsarbete som inte innebar behandling av personuppgifter, men som gör det med dagens ordbehandlingsteknik. Enligt regeringens mening är det självklart att föreslagen kustbevakningsdatalag bör utformas så att den ger samma möjligheter som andra myndigheter att använda modern teknik för att upprätta vanliga dokument, göra löpande noteringar i arbetet m.m. Sådant teknikutnyttjande innefattar inte i sig några påtagliga integritetsrisker. När det emellertid kommer till kvalificerad personuppgiftsbehandling, t.ex. i form av uppbyggandet och förandet av stora uppgiftssamlingar som är tillgängliga för ett flertal personer, uppstår större risker för intrång i den personliga integriteten. Lagen behöver därför även utformas på ett sådant sätt att den möter behovet av att kunna värna den enskildes integritet. För att tillgodose båda dessa intressen föreslår regeringen, vid utformningen av de förslag som lämnas gällande personuppgiftsbehandlingen som bör få ske i brottsbekämpande verksamhet, att ett antal begränsande regler sätts upp. Reglerna föreslås utformas efter hur integritetskänsliga uppgifterna bedöms vara. Samma sorts lösning har föreslagits i promemorian. I följande avsnitt föreslås att bestämmelserna om personuppgiftsbehandling ska göra skillnad mellan å ena sidan sådan behandling som avser uppgifter som har gjorts gemensamt tillgängliga i den brottsbekämpande verksamheten och å andra sidan annan behandling i denna verksamhet. Vid behandling av det förra slaget bör det gälla särskilda bestämmelser som kan minimera de integritetsrisker som mera kvalificerad personuppgiftsbehandling kan ge upphov till. Lagrådet har ansett att lagrådsremissens förslag i 3 kap. 1 § kan utgå för det fall föreslagna kapitelrubriker justeras i enlighet med Lagrådets förslag (se bilaga 10). Då paragrafen syftar till att skapa en bättre överblick av regleringen och underlätta tillgängligheten finns det emellertid, enligt regeringens mening, ändå skäl att behålla paragrafen. Personuppgiftslagens regler om ändamål Bestämmelser om för vilka ändamål uppgifter får behandlas har en cen- tral roll i registerförfattningar. Genom ändamålen sätts ramen för vilken behandling som är tillåten. Det följer av centrala dataskyddsprinciper att uppgifter endast får samlas in för specifika och legitima ändamål och att insamlade uppgifter inte får behandlas för något ändamål som är ofören- ligt med det ursprungliga ändamålet. Dessa principer kommer till uttryck bl.a. i artikel 6.1 a i dataskyddsdirektivet och artikel 3 i dataskyddsram- Artikeln i dataskyddsdirektivet har genomförts i svensk rätt genom 9 § första stycket c) och d) personuppgiftslagen (1998:204). I fråga om efterföljande behandling sägs i 9 § andra stycket person- uppgiftslagen att en behandling av personuppgifter för historiska, statist- iska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. I de fall där en tilltänkt be- handling inte omfattas av de ursprungliga ändamålen måste det i princip prövas om ändamålet med den senare behandlingen är oförenligt med de Detta följer av den s.k. finalitetsprincipen, som uttrycks i 9 § första stycket d) personuppgiftslagen. uttalade i betänkandet Integritet Offentlighet informationsteknik (SOU 1997:39 s. 351) att vad som är oförenligt med de ursprungliga ändamålen får bestämmas genom praxis och de mer preciserade regler som regeringen och Datainspektionen kan utfärda. Den nya lagens ändamålsreglering i brotts- bekämpande verksamhet och finalitetsprincipen Utgångspunkten i den nya lagen är att personuppgifter får behandlas enbart för vissa berättigade, angivna ändamål. och spridningen av uppgifterna begränsas. Frågan är då hur ändamålsreg- leringen bör utformas. Det är vanligt att man i registerförfattningar delar upp ändamålen i primära och sekundära. De primära ändamålen är utformade för att till- godose den behandling som behövs i de berörda myndigheternas egna De sekundära ändamålen reglerar i vilken utsträckning uppgifter som samlats in för något primärt ändamål, får behandlas för att lämnas ut till enskilda eller till andra myndigheter i syfte att tillgodose För del kan det vara fråga om att uppgif- ter i den brottsbekämpande verksamheten kan behöva användas i myn- dighetens andra verksamheter eller att uppgifterna behövs i verksamhet som någon annan myndighet bedriver. Däremot gäller, utan att det ut- tryckligen anges i lagen, att uppgifter alltid får behandlas för att lämnas ut enligt bestämmelserna i 2 kap. tryckfrihetsförordningen (jfr 8 § per- Det finns flera olika möjligheter att utforma ändamålsregleringen i re- Det går dock att urskilja två principiellt olika sätt. ena innebär att man i lagen anger att uppgifter får samlas in enbart för vissa angivna ändamål och att senare behandling inte får ske för något ändamål som är oförenligt med det i lagen angivna ändamålet (jfr finali- I flertalet registerlagar är ändamålsbestämmelserna utfor- made på detta sätt. Så är bl.a. fallet med förordningen (2003:188) om behandling av personuppgifter inom eftersom förordningen gäller utöver personuppgiftslagens regler där finalitetsprincipen återfinns (9 § cd). Det andra sättet är att i lagen uttömmande ange de ändamål för vilka behandling får ske, vare sig det är fråga om insamling av uppgifter eller efterföljande behandling. Som ett exempel på en sådan lösning kan nämnas lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet (79 §§). Promemorian har föreslagit att personuppgifter ska få samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål och att senare vidarebehandling av uppgifterna endast får ske om det är förenligt med insamlingsändamålet. Promemorian har vidare bedömt att den föreslagna lagen tillsammans med finalitetsprincipen i personuppgiftslagen och bestämmelserna i sekretesslagstiftningen sammantaget utgör en tillräcklig reglering av för vilka ändamål uppgifter får behandlas och i övrigt lämnas ut till andra. På så sätt undviks att lagstiftningen i onödan tyngs genom en lång uppräkning av samtliga ändamål för vilka kan komma att behöva utbyta uppgifter med andra myndigheter och vilka dessa myndigheter är.