prop · GZ0345 · 2011-12-06 00:00:00 — En uppgift som lagras elektroniskt på hårddisken i en dator eller en server i samband med att en enskild tjänsteman arbetar med ordbehandling och som är åtkomlig endast för tjänstemannen själv (och för systemadministratören) kan inte anses vara gemensamt tillgänglig. Det gäller även om syftet är att uppgiften senare ska lagras så att andra får tillgång till den. Det är alltså först när insamlade uppgifter görs tillgängliga för fler än ett fåtal personer som de blir gemensamt tillgängliga. En annan sak är att den som samlar in uppgifter, som kan antas bli gemensamt tillgängliga , givetvis bör beakta de regler som gäller för behandling av gemensamt tillgängliga uppgifter för att inte försvåra den fortsatta behandlingen. I vad mån uppgifter som är tillgängliga enbart för en bestämd krets av personer är att anse som gemensamt tillgängliga får bedömas med hänsyn till främst hur många personer som ingår i kretsen. Enbart det förhållandet att kretsen består av flera personer innebär inte att uppgifterna ska anses gemensamt tillgängliga. Behandling som sker exempelvis inom ramen för särskilda underrättelseprojekt i vilka endast vissa utpekade tjänstemän deltar, behöver alltså inte alltid innebära att uppgifterna görs gemensamt tillgängliga. Om antalet tjänstemän i en sådan grupp uppgår till fler än ett fåtal, måste dock de personuppgifter som behandlas inom gruppen, trots att den är avgränsad, anses vara gemensamt tillgängliga. Var gränsen går får bedömas med hänsyn till samtliga omständigheter i ett enskilt fall, men en tumregel i fråga om verksamhet bör vara att uppgifterna är att anse som gemensamt tillgängliga om antalet deltagare i gruppen överstiger ett tiotal. I viss utsträckning kan tidsaspekten ha betydelse för om uppgifter ska anses vara gemensamt tillgängliga eller inte, se avsnitt 9.2. Bestämmelsen har utformats i enlighet med Lagrådets förslag. I polisdatalagen finns inte någon motsvarande paragraf. En beskrivning av vad som avses med gemensamt tillgängliga uppgifter återfinns emellertid i 3 kap. 1 § polisdatalagen. Uttrycket har i denna lag samma innebörd som i polisdatalagen. Paragrafen anger hur lagen är uppbyggd. Det första kapitlet gäller för all personuppgiftsbehandling som sker enligt lagen. Första stycket upplyser om att 2 kap. innehåller allmänna bestämmelser om sådan behandling av personuppgifter som lagen reglerar. Be- stämmelserna i 2 kap. gäller alltså för all personuppgiftsbehandling som omfattas av lagen. I andra stycket klargörs att det i 3 kap. och 4 kap. finns bestämmelser som gäller utöver 1 och 2 kap. vid personuppgiftsbehandling i brottsbekämpande verksamhet. I tredje stycket anges att behandling av personuppgifter i annan operativ verksamhet än den brottsbekämpande regleras förutom av de allmänna bestämmelserna i 1 och 2 kap. i 5 kap. Paragrafen har utformats i enlighet med Lagrådets förslag. I 1 kap. 4 § polisdatalagen finns en motsvarande bestämmelse som anger den lagens uppbyggnad. 2 kap. Allmänna bestämmelser Förhållandet till personuppgiftslagen Paragrafen reglerar förhållandet till personuppgiftslagen (1998:204). Om något annat inte anges i 2 § gäller denna lag i stället för personuppgiftslagen. Vid sådan personuppgiftsbehandling som omfattas av lagen ska alltså bestämmelser i personuppgiftslagen tillämpas endast om det finns en hänvisning till dem i 2 §. Skälen för denna utformning har utvecklats i avsnitt 9.3.1. Paragrafen överensstämmer med 2 kap. 1 § polisdatalagen. Paragrafen har behandlats i avsnitt 9.3.2 Utgångspunkten är att bestämmelserna i personuppgiftslagen (1998:204) inte ska tillämpas vid sådan behandling av personuppgifter som omfattas av förevarande lag eller föreskrifter som meddelats i anslutning till lagen. Detta följer av 1 §. Vissa utpekade paragrafer i personuppgiftslagen ska dock tillämpas. Dessa anges i första stycket. Uppräkningen är uttömmande. Enligt punkten 1 ska de definitioner som anges i 3 § personuppgiftslagen tillämpas även vid behandling av personuppgifter som omfattas av förevarande lag. Genom hänvisningen i punkten 2 till 8 § personuppgiftslagen klargörs att bestämmelserna i förevarande lag eller de bestämmelser till vilka lagen hänvisar inte ska tillämpas om det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter (jfr 8 § första stycket personuppgiftslagen). Det innebär t.ex. att en myndighet inte kan vägra att ta fram och lämna ut uppgifter i enlighet med tryckfrihetsförordningens bestämmelser enbart med hänvisning till att utlämnandet inte ryms inom de i lagen angivna ändamålen för behandling. I sammanhanget bör dock understrykas att offentlighetsprincipen inte innebär någon skyldighet att lämna ut uppgifter i elektronisk form. Vid bedömningen av om en uppgift kan lämnas ut i elektronisk form måste alltså lagens regler beaktas. Av hänvisningen till 8 § personuppgiftslagen följer också att förevarande lag inte hindrar att en myndighet arkiverar eller bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet (jfr 8 § andra stycket personuppgiftslagen). Bestämmelserna om gallring i lagen gäller dock framför bestämmelsen i 8 § andra stycket. Detta följer av paragrafens andra stycke. Vidare hänvisas i punkten 3 till 9 § personuppgiftslagen, med undantag för första stycket i, och tredje stycket. Hänvisningen innebär att den personuppgiftsansvarige (jfr 4 §) ska se till att uppgifterna behandlas enbart om det är lagligt och att de behandlas på ett korrekt sätt och i enlighet med god sed. I förarbetena till personuppgiftslagen (prop. 1997/98:44 s. 143) uttalas att vad som är god sed vid behandling av personuppgifter får avgöras i rättstillämpningen mot bakgrund av bl.a. de mer preciserade föreskrifter som kan utfärdas med stöd av personuppgiftslagen, de branschregler på området som kan ha utarbetats av etablerade branschorganisationer eller andra representativa sammanslutningar och hur ansvarsfulla personuppgiftsansvariga som regel beter sig. Den personuppgiftsansvarige ska också se till att de behandlade personuppgifterna är adekvata och relevanta i förhållande till ändamålen för behandlingen, att inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen för behandlingen, att de behandlade personuppgifterna är riktiga och, om det är nödvändigt, aktuella, samt att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till än- damålen med behandlingen. Det är givet att man vid tillämpningen av de aktuella bestämmelserna måste ta hänsyn till den särskilda karaktären hos de uppgifter som förekommer, bl.a. i den brottsbekämpande verksamheten. Exempelvis kan kravet på att de behandlade uppgifterna är riktiga inte anses innebära något hinder mot att samla in osäkra underrättelseuppgifter, under förutsättning att uppgifterna har relevans för underrättelsearbetet och att det framgår att uppgiftens riktighet är osäker. Hänvisningen innebär vidare att den personuppgiftsansvarige ska se till att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. Bestämmelsen i 9 § första stycket d personuppgiftslagen innebär att den personuppgiftsansvarige ska se till att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (den s.k. finalitetsprincipen). Genom att ange vissa primära och sekundära ändamål i 3 kap. och 5 kap. denna lag har ställningstagandet gjorts att vidarebehandling för dessa ändamål är förenlig med finalitetsprincipen. De primära ändamålen är uttömmande angivna medan det framgår av 3 kap. 4 § och 5 kap. 2 § tredje stycket att det är möjligt att lämna ut uppgifter för ett ändamål som inte kan anses oförenligt med det ändamål för vilket uppgifterna samlades in. Den personuppgiftsansvarige har således att se till dels att behandling inte sker för andra primära ändamål än de som anges i lagen, dels att vidarebehandling för andra sekundära ändamål än de i lagen angivna endast sker om det är förenligt med finalitetsprincipen. Bestämmelsen i 9 § andra stycket personuppgiftslagen innebär att en vidarebehandling för historiska, statistiska eller vetenskapliga ändamål alltid ska anses förenlig med finalitetsprincipen. Vidare hänvisas i punkten 4 till 22 § personuppgiftslagen. Bestämmelsen innebär att uppgifter om personnummer eller samordningsnummer får behandlas utan samtycke i verksamhet bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Av hänvisningen i punkten 5 till 23 § personuppgiftslagen följer att den myndighet som samlar in uppgifter om en enskild person från personen själv självmant ska informera honom eller henne om behandlingen. Det innebär att i samband med att myndigheten tar emot och behandlar en uppgift från en person om att denne har utsatts t.ex. för brott ska underrätta honom eller henne om behandlingen. Vad informationen ska omfatta anges i 25 § personuppgiftslagen. Informationen ska omfatta uppgift om den personuppgiftsansvariges identitet, uppgift om ändamålen med behandlingen samt övrig information som den aktuella personen behöver för att ta till vara sina rättigheter i samband med behandlingen av uppgifterna. Bestämmelserna om informationsplikt i 23 och 25 §§ personuppgiftslagen modifieras emellertid av andra bestämmelser. Som framgår av hänvisningen till 27 § personuppgiftslagen gäller informationsplikten inte i den utsträckning det råder sekretess eller tystnadsplikt för informationen. Dessutom begränsas informationsskyldigheten av den särskilda bestämmelsen i tredje stycket förevarande paragraf (se nedan). Av 26 § personuppgiftslagen framgår att det är den personuppgiftsansvarige som är skyldig att på begäran lämna information till en sökande om huruvida personuppgifter som rör denne behandlas. handling sker, ska upplysning också lämnas om bl.a. ändamålet med behandlingen. Också denna informationsskyldighet modifieras genom bestämmelserna i 27 § personuppgiftslagen. Om det gäller sekretess för uppgiften enligt offentlighets- och sekretesslagen (2009:400) behöver någon information inte lämnas. Enligt hänvisningen i punkten 6 till 28 § personuppgiftslagen ska också den lagens bestämmelser om rättelse tillämpas. Den personuppgiftsansvarige är alltså skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med förevarande lag däribland de bestämmelser i personuppgiftslagen till vilka lagen hänvisar eller föreskrifter som har utfärdats i anslutning till lagen. Rättelse ska dock inte ske enbart därför att uppgifter som framstod som riktiga eller rimliga när de samlades in, t.ex. brottsmisstankar, senare har visat sig vara oriktiga. I punkten 7 görs en hänvisning till 30 och 31 §§ samt 32 § första stycket personuppgiftslagen. Enligt 30 § första stycket får ett personuppgiftsbiträde (dvs. den som behandlar personuppgifter för den personuppgiftsansvariges räkning) och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning behandla personuppgifter enbart i enlighet med instruktioner från den personuppgiftsansvarige. Om det i lag eller annan författning finns särskilda bestämmelser om behandlingen av personuppgifter i det allmännas verksamhet, gäller dock enligt 30 § tredje stycket dessa i stället. Den sistnämnda bestämmelsen syftar särskilt på bestämmelser om tystnadsplikt och sekretess (se prop. 1997/98:44 s. 136). Av 31 § följer bl.a. att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de behandlade personuppgifterna. Enligt 32 § första stycket får tillsynsmyndigheten i enskilda fall besluta om vilka åtgärder som den personuppgiftsansvarige ska vidta enligt 31 §. Med tillsynsmyndigheten avses här tillsynsmyndigheten enligt personuppgiftslagen, dvs. Datainspektionen (2 § personuppgiftsförordningen [1998:1191]). En hänvisning görs i punkten 8 till 3335 §§ personuppgiftslagen. En- ligt 33 § är det förbjudet att överföra personuppgifter till tredjeland om landet inte har en adekvat nivå för skyddet av personuppgifter. Frågan om en skyddsnivå är adekvat ska bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt ska fästas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen ska pågå, ursprungslandet, det slutliga bestämmelselandet och reglerna för behandlingen i tredjeland. I 34 och 35 §§ föreskrivs undantag från förbudet. Enligt 34 § får uppgifter trots förbudet överföras dels om den registrerade har lämnat sitt samtycke till överföringen, dels om överföringen är nödvändig med hänsyn till vissa uppräknade omständigheter. Det är också enligt den paragrafen tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till dataskyddskonventionen. I 35 § föreskrivs att regeringen, och för vissa fall även den myndighet som regeringen bestämmer, meddelar föreskrifter om undantag från förbudet i 33 §. I punkten 9 görs en hänvisning till 3840 §§ personuppgiftslagen, där det framgår vilka närmare uppgifter ett personuppgiftsombud har. Jfr 5 § angående skyldigheten att utse personuppgiftsombud. En hänvisning görs också till 41 § personuppgiftslagen. Enligt den paragrafen har regeringen möjlighet att föreskriva att vissa särskilt känsliga behandlingar ska anmälas till Datainspektionen för förhandskontroll. Hänvisningen i punkten 10 till 42 § personuppgiftslagen innebär att den personuppgiftsansvarige ska till var och en som begär det skyndsamt och på lämpligt sätt lämna upplysningar om sådana behandlingar av personuppgifter som inte har anmälts till tillsynsmyndigheten, dvs. Sekretessbelagda uppgifter och uppgifter om vidtagna säkerhetsåtgärder behöver dock inte lämnas ut. Datainspektionen har rätt att för sin tillsyn på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och dokumentation av behandlingen av personuppgifter och säkerheten vid denna samt tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. Detta framgår av hänvisningen i punkten 11 till 43 § personuppgiftslagen. Om inspektionen inte har tillräckligt underlag för att konstatera att behandlingen av personuppgifter är laglig, får den med stöd av hänvisningen till 44 § personuppgiftslagen förbjuda behandlingen. Konstaterar Datainspektionen att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, ska inspektionen genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. Om det inte går att få till stånd rättelse, eller om saken är brådskande, får Datainspektionen förbjuda behandlingen, vilket följer av hänvisningen till 45 § första stycket personuppgiftslagen. Vidare hänvisas till 47 § personuppgiftslagen enligt vilken Datainspektionen ges rätt att hos förvaltningsrätten ansöka om att personuppgifter som har behandlats på ett olagligt sätt ska utplånas. Av hänvisningen i punkten 12 till 48 § personuppgiftslagen följer att den personuppgiftsansvarige ska ersätta den registrerade för sådan skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med förevarande lag och de bestämmelser i personuppgiftslagen till vilka lagen hänvisar har orsakat. Av hänvisningen i punkten 13 till 51 § första stycket personuppgiftslagen följer att Datainspektionens beslut får överklagas till allmän förvaltningsdomstol. Som framgår av hänvisningen till 52 § första stycket personuppgiftslagen kan den personuppgiftsansvariga myndighetens beslut om information enligt 26 §, om rättelse och om underrättelse till tredje man enligt 28 § samt om upplysningar enligt 42 § personuppgiftslagen också överklagas hos allmän förvaltningsdomstol. Av hänvisningen till 53 § personuppgiftslagen följer att andra beslut inte får överklagas. I andra stycket regleras hur gallringsregler i lagen, och i föreskrifter som meddelats i anslutning till lagen, förhåller sig till hänvisningen i första stycket punkten 2. Bestämmelsen innebär att denna lag ges företräde framför bestämmelserna i 8 § andra stycket personuppgiftslagen. Det tredje stycket innehåller två undantag från informationsskyldigheten i 23 § personuppgiftslagen. För det första behöver information enligt 23 § inte lämnas om uppgifterna samlas in genom bild- eller ljudupptagning. För det andra behöver inte information lämnas om uppgifterna samlas in i samband med ett larm och det med hänsyn till omständigheterna inte finns tid att lämna information. Med larm avses en brådskande begäran om att ska vidta en åtgärd av något slag. Bestämmelsen tar sikte på såväl de situationer där en person kontaktar ledningscentral som när han eller hon vänder sig till en enskild tjänsteman. Huruvida det finns tid att lämna informat- Prop. 2011/12:45 ion får avgöras från fall till fall. Avgörande för denna bedömning bör främst vara om det skulle medföra en försening av den efterfrågade åtgärden eller om denna åtgärd på något annat sätt skulle påverkas negativt av att informationen lämnades. Om undantaget från informationsplikten är tillämpligt, behöver informationen inte heller lämnas i efterhand. Förbud enligt 44 eller 45 § personuppgiftslagen får normalt förenas I fjärde stycket föreskrivs dock att förbud som meddelas i sam- band med tillsyn enligt denna lag inte får förenas med vite. Paragrafen överensstämmer med 2 kap. 2 § polisdatalagen. Paragrafen har behandlats i avsnitt 9.4. I verksamhet förekommer en betydande mängd Flertalet av de personuppgifter som är av integritetskänsligt slag behandlas i brottsbekämpande verksamhet, men sådana kan i viss utsträckning förekomma även i öv- Sådana uppgifter ska inte spridas till någon som inte är behörig att ta del av uppgifterna. I första stycket slås därför fast att till- gången till personuppgifter i verksamhet ska begrän- sas till vad varje tjänsteman behöver för att kunna fullgöra sina arbets- Bestämmelsen riktar sig inte bara till dem som är engagerade i Den måste också beaktas av dem som ansvarar för utformningen av nya datasystem liksom av dem som avgör vilken tillgång till personuppgifter respektive tjänsteman behöver för att kunna fullgöra sina uppgifter. I andra stycket finns en upplysning om att regeringen eller den myn- dighet som regeringen bestämmer har möjlighet att meddela närmare föreskrifter om förutsättningarna för tillgången till personuppgifter. taljbestämmelser kan således utformas så att tillgången till personuppgif- ter begränsas till vad som är nödvändigt för verksamhetens bedrivande. Paragrafen överensstämmer med 2 kap. 11 § polisdatalagen. Paragrafen innehåller bestämmelser om personuppgiftsansvar. behandlats i avsnitt 9.5. I paragrafen anges att är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Begreppet personuppgiftsansvarig definieras i 3 § personuppgiftslagen (1998:204). Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av Flera bestämmelser i personuppgiftslagen, till vilka det hänvisas i 2 § denna lag, innebär särskilda skyldigheter för den person- Så är det t.ex. enligt 9 § första stycket personuppgift- slagen den personuppgiftsansvariges skyldighet att se till att de behand- lade personuppgifterna är adekvata och relevanta i förhållande till ända- målen för behandlingen och att inte fler personuppgifter behandlas än Prop. 2011/12:45 som är nödvändigt med hänsyn till ändamålen för behandlingen. också den personuppgiftsansvariges uppgift att se till att information lämnas till den registrerade och att uppgifter gallras i rätt tid. Den myndighet som samlar in och lagrar personuppgifter är person- uppgiftsansvarig för den behandlingen. Om samma uppgift lämnas ut till en annan myndighet, genom direktåtkomst eller på annat sätt, blir den mottagande myndigheten personuppgiftsansvarig för den fortsatta be- handlingen av uppgiften hos den myndigheten. När uppgifter lämnas ut till olika myndigheter kan alltså personuppgiftsansvaret för en och samma uppgift ligga hos flera myndigheter. Var och en av dessa ansvarar för den egna behandlingen. I 2 kap. 4 § polisdatalagen finns en motsvarande bestämmelse om och polismyndigheternas personuppgiftsansvar. Frågan har behandlats i avsnitt 9.5. I första stycket föreskrivs att ska utse ett eller flera Hänvisningen i 2 § första stycket punkten 9 till 3841 §§ personuppgiftslagen (1998:204) innebär att den lagens bestäm- melser om personuppgiftsombudets uppgifter blir tillämpliga vid Kust- Enligt andra stycket ska den personuppgiftsansvarige anmäla till till- synsmyndigheten enligt personuppgiftslagen, dvs. ett personuppgiftsombud utses eller entledigas. En motsvarande bestämmelse om personuppgiftsombud återfinns i 2 kap. 5 § polisdatalagen. Behandling av personuppgifter för handläggning Paragrafen ger möjlighet att behandla personuppgifter i två speciella fall, även om förutsättningarna för behandling enligt 3 kap. eller 5 kap. inte Frågan har berörts i avsnitt 9.6. I punkten 1 anges att personuppgifter får behandlas i den operativa verksamheten om behandlingen är nödvändig för diarieföring. uppgifter som måste noteras i samband med diarieföring av en handling framgår av 5 kap. 2 § offentlighets- och sekretesslagen (2009:400). diarieföring av inkomna handlingar ska alltid anges vem handlingen har kommit från och i korthet vad handlingen rör. Vidare får, enligt punkten 2, personuppgifter behandlas i den operativa verksamheten om de har lämnats i en anmälan eller liknande och behand- lingen är nödvändig för handläggningen. Begreppet anmälan eller lik- nande innefattar alla slag av framställningar till . ryms framställningar av detta slag inom något av de i lagen särskilt an- givna ändamålen, men kan innehållet i framställan vara så- dant att behovsrekvisiten i lagens 3 kap. 2 § och 5 kap. 1 § inte är upp- Eftersom en framställan normalt kräver något slag av handlägg- ning hos myndigheten, är det nödvändigt med en särskild bestämmelse Prop. 2011/12:45 för personuppgiftsbehandling i dessa fall. nödvändig för handläggningen. Det kan i ett enskilt fall innebära att personuppgifter i ett e-postmeddelande inte får behandlas på annat sätt än genom att uppgifterna tas emot och därefter arkiveras eller gallras. I ett annat fall kan bestämmelsen få till följd att personuppgifterna också får behandlas i samband med besvarandet av framställan. Paragrafen har utformats i enlighet med Lagrådets förslag. Paragrafen motsvarar 2 kap. 9 § polisdatalagen. Behandling av känsliga personuppgifter Paragrafen anger i vilken utsträckning känsliga personuppgifter får behandlas i verksamhet. Frågan har behandlats i avsnitt 9.7. Enligt första stycket får personuppgifter inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Som en följd av bestämmelsen är det inte tillåtet att föra register över eller på annat sätt göra anteckningar om enskilda enbart på den grunden att de utifrån etniskt ursprung, politiska åsikter eller något annat i paragrafen angivet kriterium kan hänföras till en viss kategori av människor. En uppgift om utseende utgör normalt inte en sådan personuppgift som avses i första stycket och den får alltså behandlas, med den begränsning som följer av tredje stycket. Om en sådan uppgift innefattar uppgift om t.ex. etniskt ursprung, omfattas den dock av bestämmelsen. Bestämmelsen i första stycket hindrar inte heller att uppgifter om en persons nationalitet behandlas, eftersom en sådan uppgift normalt inte ger upplysning om etniskt ursprung.