prop · GZ0345 · 2011-12-06 00:00:00 — I praktiken har dock det nuvarande systemet med förhandskontroll för polisen tagits bort och ersatts med en bestämmelse i polisdataförordningen (2010:1155) om krav på samråd med Datainspektionen. När polisen planerar nya it-system av större omfattning eller nya it-system som kan innebära särskilda risker för intrång i den personliga integriteten, ska den ansvariga myndigheten samråda med Datainspektionen innan beslut i frågan fattas. Enligt Datainspektionens mening innebär ett sådant system bättre förutsättningar för att skydda den personliga integriteten än ett system med förhandskontroll och det gäller även i förhållande till verksamhet. tillbakavisar föreslagen reglering i 2 § första stycket andra och tredje punkten samt andra stycket med hänvisningar till personuppgiftslagen eftersom regleringen inte är klargörande utan förvirrande. Förslaget är onödigt. Övriga remissinstanser har inte haft något att anföra mot förslaget eller bedömningen. Skälen för regeringens förslag och bedömning Nedan redovisas de bestämmelser i personuppgiftslagen som föreslås vara tillämpliga vid behandling av personuppgifter i verksamhet. Övriga bestämmelser i personuppgiftslagen är därmed antingen inte tillämpliga på det område som ska omfattas av den nya lagen eller föreslås ersättas av bestämmelser i denna. Som redogjorts för ovan gäller samma lagstiftningsteknik för brottsbekämpande verksamhet och den nya polisdatalagen. Regeringen delar inte uppfattning att hänvisningarna till personuppgiftslagen är onödiga. Definitioner (3 §) I 3 § personuppgiftslagen definieras vissa begrepp som är centrala vid behandling av personuppgifter. Där definieras t.ex. vad personuppgifter är (All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet.) och vad som utgör behandling av person- uppgifter (Varje åtgärd eller serie åtgärder som vidtas i fråga om per- sonuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. in- samling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning och annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring.). bedömning saknas det anledning att definiera begrepp som förekommer i den föreslagna lagen på något annat sätt än i 3 § personuppgiftslagen. hänvisning till 3 § personuppgiftslagen bör därför tas in i den nya lagen. Förhållandet till offentlighetsprincipen (8 §) I 8 § första stycket personuppgiftslagen erinras om att personuppgifts- lagen inte ska tillämpas i den utsträckning det skulle inskränka en myn- dighets skyldighet att lämna ut personuppgifter enligt 2 kap. tryckfrihets- förordningen, som reglerar allmänna handlingars offentlighet. melsen är en ren upplysning och markering av offentlighetsprincipens I paragrafens andra stycke anges att bestämmelserna inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkiv- material tas om hand av en arkivmyndighet. I klargörande syfte föreslår regeringen att en hänvisning till bestäm- melserna i 8 § personuppgiftslagen tas in i den nya lagen. tydliggöras att bestämmelserna i 8 § andra stycket inte är tillämpliga när uppgifter ska gallras enligt särskilda bestämmelser i den nya lagen. gallrade uppgifter bör som utgångspunkt inte få bevaras i ett digitalt arkiv och vara elektroniskt åtkomliga för arkivändamål, om inte särskilda föreskrifter meddelas med undantag från den nya lagens gallringsbe- stämmelser som tillåter ett bevarande. Grundläggande krav på behandlingen av personuppgifter (9 §) Några av personuppgiftslagens viktigaste bestämmelser om behandling av personuppgifter finns i 9 §. Där uppställs vissa grundläggande krav på I första stycket a) och b) anges att den personuppgiftsansvarige ska se till att personuppgifter endast behandlas om det är lagligt och att personuppgifter alltid ska behandlas på ett kor- rekt sätt och i enlighet med god sed. Enligt e) h) ska den ansvarige se till att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, att inte fler personuppgif- ter behandlas än vad som är nödvändigt, att de personuppgifter som be- handlas är riktiga och om nödvändigt aktuella samt att alla rimliga åtgär- der vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behand- Prop. 2011/12:45 lingen. Enligt regeringens bedömning är det naturligt att dessa krav tillämpas även vid behandling av personuppgifter i verksamhet. Den nya lagen bör därför hänvisa till 9 § första stycket a), b) och e) h) I 9 § första stycket c) personuppgiftslagen anges att personuppgifter får samlas in bara för särskilda, uttryckligt angivna ändamål och i punkten d) att personuppgifter inte får behandlas för något ändamål som är ofören- ligt med det för vilket uppgifterna samlades in. föreslå uttryckligt angivna ändamål för vilka personuppgiftsbehandling i verksamhet ska få ske. För att tydliggöra att person- uppgifter endast får samlas in för sådana preciserade ändamål bör det därför tas in en hänvisning till 9 § första stycket c) personuppgiftslagen i den nya lagen. Punkten d) ger uttryck för den s.k. finalitetsprincipen. giftsansvarige bör liksom ha till uppgift att tillse att upp- gifter inte behandlas för ändamål som är oförenliga med insamlingsän- Det finns därför skäl att göra en hänvisning även till 9 § första stycket d) personuppgiftslagen. I 9 § första stycket i) och tredje stycket personuppgiftslagen finns be- stämmelser om hur länge uppgifter får bevaras. Frågan om gallring och bevarande av uppgifter bör enligt regeringens mening regleras särskilt i den nya lagen och någon hänvisning till personuppgiftslagens bestäm- melser om hur länge uppgifter får bevaras behövs därför inte. Frågor om bevarande och gallring behandlas i avsnitt 16. Behandling av personnummer och samordningsnummer (22 §) I 22 § personuppgiftslagen föreskrivs att uppgifter om personnummer eller samordningsnummer får behandlas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifi- ering eller något annat beaktansvärt skäl. ningsnummer bör således inte användas av ren slentrian. innebär att den personuppgiftsansvarige måste göra en intresseavväg- Tyngden av de skäl som talar för att behandlingen av personnum- mer eller samordningsnummer är påkallad måste således vägas mot be- hovet av skydd för den personliga integriteten. Principen bör enligt rege- ringens mening gälla även vid behandling av personuppgifter i Kustbe- Av integritetsskäl kan det vara nöd- vändigt att använda personnummer med hänsyn till den större säkerhet för en riktig identifiering som detta innebär. Sammanfattningsvis finner regeringen att den nya lagen bör hänvisa även till 22 § personuppgiftslagen. Information till den registrerade (23 och 2527 §§) Av 23 § personuppgiftslagen framgår att den personuppgiftsansvarige självmant ska informera en enskild om behandling av uppgifter som samlas in från den enskilde själv. Den information som lämnas är enligt 25 § uppgift om den personuppgiftsansvariges identitet, ändamålen med behandlingen samt övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Information ska också, enligt 26 § personuppgiftslagen, lämnas på begäran av den registrerade. Om uppgifter behandlas ska information lämnas om vilka uppgifter det rör sig om, varifrån uppgifterna har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Information behöver dock inte lämnas om personuppgifter i löpande text som inte har fått sin slutliga utformning när ansökan gjordes, eller som utgör minnesanteckning eller liknande, under förutsättning att uppgifterna inte har lämnats ut till tredje man. För information efter begäran av en registrerad gäller särskilda bestämmelser. Rätten till information gäller enligt 27 § personuppgiftslagen inte om det i lag eller annan författning, eller i beslut som har meddelats med stöd av författning, särskilt föreskrivits att uppgifter inte får lämnas ut till den registrerade. Information behöver alltså inte lämnas ut om sådana förhållanden för vilka sekretess gäller. Dessa bestämmelser utgör enligt regeringens bedömning i allt väsentligt en lämplig avvägning mellan den enskildes intresse av att få information om vilken behandling som sker av uppgifter om denne och intresse av effektivitet i verksamheten. En hänvisning till bestämmelserna bör därför införas i den nya lagen. Det bör dock övervägas om det i den nya lagen behövs undantag från informationsskyldigheten för viss insamling av uppgifter som t.ex. insamling genom bild och ljud och insamling i samband med larm. I sin operativa verksamhet bedriver bl.a. spaning med kustbevakningsflyget. I samband med det görs insamling genom bild och ljud, t.ex. filmning av oljeutsläpp från fartyg. I en sådan situation framstår det enligt regeringen inte bara som orimligt utan också som praktiskt ogörligt att informera den person eller de personer som kan tänkas fångas på bild om att deras personuppgifter behandlas. Värdet av sådan information kan också ifrågasättas. Mot denna bakgrund bör det inte krävas att tillämpar 23 § personuppgiftslagen vid insamling av personuppgifter genom bild och ljud. När det kommer till undantag gällande insamling av uppgifter vid larm anför regeringen följande. Av Datainspektionens allmänna råd om information till registrerade enligt personuppgiftslagen framgår att information enligt 23 § personuppgiftslagen bör lämnas muntligen när personuppgifter samlas in vid telefonkontakt eller annan muntlig kontakt. I praktiken uppstår emellertid inte sällan svårigheter att lämna information om behandlingen till den som ringer upp i avsikt att larma eller lämna en motsvarande brådskande underrättelse som kräver omedelbar åtgärd. Både med hänsyn till risken för försening av den åtgärd som efterfrågas i det enskilda fallet och till risken för negativa konsekvenser i stort för den verksamhet som bedrivs är det inte rimligt att kräva att det alltid lämnas information i samband med larm. Regeringen ifrågasätter även, i likhet med promemorian, om personen i fråga som larmar över huvud taget är intresserad av att i den aktuella situationen få information om att lämnade personuppgifter kan komma att behandlas automatiserat. Vidare torde alla som vänder sig till en myndighet i en sådan situation redan känna till att uppgifter registreras i någon form av automatiserat register. strerade får därmed antas känna till vem den personuppgiftsansvarige är och ändamålen med behandlingen. Regeringens bedömning är att in- formationen inte ska behöva lämnas vid larm om det med hänsyn till omständigheterna inte finns tid att lämna informationen. föreslår att detta klart framgår av den nya lagen. information ska lämnas bör göras från fall till fall. Rättelse (28 §) I 28 § personuppgiftslagen anges att den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte behandlats i enlighet med personupp- När en personuppgiftsansvarig rättar en per- sonuppgift, ska underrättelse lämnas till tredje man som har fått del av uppgiften, om den registrerade begär det eller om mer betydande skada eller olägenhet därigenom kan undvikas. dock inte lämnas om det visar sig vara omöjligt eller om det skulle inne- bära en oproportionerligt stor arbetsinsats. Det är viktigt att personuppgifter som behandlats felaktigt hos en myn- dighet rättas så att intrång i den personliga integriteten kan begränsas. Bedömningen av om en uppgift har behandlats på ett felaktigt sätt måste göras mot bakgrund av de bestämmelser som gäller för behandlingen, oavsett om det är grundläggande regler i personuppgiftslagen eller speci- albestämmelser som gäller för . därför att bestämmelserna i 28 § personuppgiftslagen ska tillämpas vid behandling av personuppgifter i verksamhet. Säkerheten vid behandling (3032 §§) I 3032 §§ personuppgiftslagen finns regler om hur den personuppgifts- ansvarige ska organisera arbetet med behandling av personuppgifter för att garantera säkerheten. Det rör sig om instruktioner till personalen samt tekniska och organisatoriska åtgärder. Dessa bestämmelser ska vara till- lämpliga i verksamhet, vilket innebär att det måste finnas bestämda rutiner för hanteringen av personuppgifter. behövas såväl tekniska lösningar för datorsystemen som olika behörig- hetsnivåer för skilda personalkategorier, för att garantera att regleringen i den föreslagna lagen kan efterlevas. Med hänsyn till att tillsynsmyndigheten inte bör ha möjlighet att förena förbud med vite (se nedan under rubriken genheter) bör någon hänvisning till 32 § andra stycket personuppgifts- lagen inte göras i den nya lagen. Överföring av personuppgifter till tredjeland (3335 §§) Personuppgifter som är under behandling får enligt 33 § personuppgift- slagen inte föras över till tredjeland, dvs. en stat som inte ingår i EU eller är ansluten till Europeiska ekonomiska samarbetsområdet (EES) om inte det mottagande landet har en adekvat nivå för skyddet av personuppgif- Från förbudet finns vissa undantag i 34 §, bl.a. för överföring till Prop. 2011/12:45 länder som har anslutit sig till dataskyddskonventionen. Enligt 35 § har regeringen också möjlighet att föreskriva ytterligare undantag från förbudet, bl.a. om det behövs med hänsyn till ett viktigt allmänt intresse. Re- geringen har härvid att förhålla sig till bestämmelsen i 2 kap. 6 § andra stycket regeringsformen, dvs. de föreskrifter regeringen meddelar får inte innebära ett betydande intrång i den personliga integriteten. I dataskyddsdirektivets ingresspunkt 58 nämns utbyte av uppgifter mellan bl.a. tullmyndigheter och skattemyndigheter som ett sådant viktigt intresse och i 3 § förordningen (2000:1222) om internationellt tullsamarbete, som också är tillämplig på , finns en bestämmelse om undantag från 33 § personuppgiftslagen. Regeringen anser att förbudet mot överföring till tredjeland som inte har tillräckliga skyddsnivåer, och de undantag från förbudet som föreskrivs, bör vara tillämpliga även på behandling enligt den här föreslagna lagstiftningen. Upplysningar till allmänheten, personuppgiftsombudets uppgifter m.m. (3842 §§) Automatiserade behandlingar av personuppgifter ska enligt 36 § första stycket personuppgiftslagen anmälas till tillsynsmyndigheten (Datainspektionen). Anmälan behöver dock enligt 3 § personuppgiftsförordningen (1998:1191) inte göras för behandlingar som regleras genom särskilda föreskrifter i lag eller förordning. Det finns därför enligt regeringen inte någon anledning att ställa krav på anmälningsskyldighet för behandlingar som utförs med stöd av den föreslagna lagen. Någon hänvisning till 36 § första stycket personuppgiftslagen behövs således inte. Den personuppgiftsansvarige kan enligt 36 § andra stycket personuppgiftslagen utse ett personuppgiftsombud. Om ett sådant ombud utses, ska bestämmelserna om ombudets skyldigheter i 3840 §§ personuppgiftslagen tillämpas. I personuppgiftsombudets skyldigheter ingår bl.a. att se till att behandlingen av personuppgifter sker på ett lagligt sätt och att hjälpa registrerade att få rättelse. Den personuppgiftsansvarige ska anmäla ombudet till Datainspektionen. Även entledigande ska anmälas till inspektionen. I avsnitt 9.5 föreslås en särskild bestämmelse om skyldighet för att utse personuppgiftsombud och att anmäla till Datainspektionen när ett sådant ombud utses och entledigas. Någon hänvisning till 36 § andra stycket behövs därför inte. Den nya lagen bör dock hänvisa till 3840 §§ personuppgiftslagen där ombudets skyldigheter regleras. Regeringen har enligt 41 § personuppgiftslagen möjlighet att föreskriva att vissa särskilt känsliga behandlingar ska anmälas till Datainspektionen för förhandskontroll. Denna möjlighet bör regeringen även ha i fråga om sådana behandlingar som utförs i . Den nya lagen bör därför innehålla en hänvisning till denna paragraf. Enligt 42 § personuppgiftslagen ska den personuppgiftsansvarige, till den som begär det, lämna upplysningar om de behandlingar av personuppgifter som utförs och som inte har anmälts till Datainspektionen. är från integritetssynpunkt viktigt att den enskilde på ett snabbt och en- kelt sätt kan få besked av om vilka behandlingar som utförs även för sådana fall då den behandling som utförs inte omfattas av någon anmälningsskyldighet till Datainspektionen. Regeringen föreslår därför att en hänvisning till 42 § personuppgiftslagen förs in i den nya lagen. befogenheter (4345 och 47 §§) Datainspektionen ska som tillsynsmyndighet bl.a. verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter (1 och 2 §§ förordningen [2007:975] med instruktion för Datainspektionen och 2 § personuppgiftsförordningen). För att kunna säkerställa att personuppgifter behandlas på ett korrekt sätt har Datainspektionen vissa befogenheter gentemot personuppgiftsansvariga. Datainspektionens befogenheter i förhållande till regleras i personuppgiftslagen och personuppgiftsförordningen. Enligt regeringens mening är det rimligt att Datainspektionen fortsättningsvis i stort sett har samma befogenheter vid tillsyn över personuppgiftsbehandling. Enligt 43 § personuppgiftslagen har Datainspektionen möjlighet att på begäran få tillgång till personuppgifter, upplysningar och dokumentation om behandlingen och säkerheten samt tillträde till lokaler. Regeringen föreslår att en hänvisning till paragrafen tas in i den nya lagen. Om Datainspektionen inte efter en begäran enligt 43 § personuppgiftslagen får tillräckligt underlag för att konstatera att personuppgiftsbehandlingen är laglig, får myndigheten med stöd av 44 § vid vite förbjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än att lagra dem. Beträffande myndigheters personuppgiftsbehandling har man valt olika lösningar när det gäller Datainspektionens möjlighet att meddela sådana förbud. En sådan möjlighet finns exempelvis inte enligt lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet och inte heller enligt lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst. Däremot har Datainspektionen möjlighet att meddela sådana förbud enligt lagen (1999:90) om behandling av personuppgifter vid medverkan i brottsutredningar. Den ordningen har också valts i den nya polisdatalagen (2 kap. 2 § polisdatalagen och prop. 2009/10:85 s. 89 f.). När det gäller frågan om Datainspektionen bör ha rätt att förbjuda behandling av personuppgifter i verksamhet kan det inledningsvis konstateras att det inte finns någon enhetlig lösning. behandlar visserligen personuppgifter i betydligt mer begränsad utsträckning än polisen, men det finns ett värde i att regleringen av personuppgiftsbehandlingen är likartad när det gäller myndigheter med brottsbekämpande uppgifter. Förutsättningarna för behandlingen av personuppgifter i den brottsbekämpande verksamheten där riskerna för den personliga integriteten är störst föreslås också motsvara dem som gäller för polisens del. Några direkta nackdelar med att införa en sådan ordning också för del är svåra att se. Detta talar för att Datainspektionen bör kunna förbjuda viss behandling, om det någon gång skulle inträffa att inspektionen inte får tillgång till tillräckligt underlag för att kunna bedöma personuppgiftsbehandlingen. En hänvisning bör därför göras också till 44 §. När det sedan gäller möjligheten för Datainspektionen att förena ett ovan diskuterat förbud med vite har regeringen i flera propositioner valt att inte ge Datainspektionen någon sådan möjlighet. Detta har motiverats med att regler om vite inte bör tillämpas i förhållandet mellan statliga myndigheter (prop. 2004/05:164 s. 544 och 2006/07:46 s. 105). Regeringen anser inte att det finns någon anledning att här frångå denna uppfattning. Ett förbud enligt 44 § bör således inte kunna förenas med vite. Enligt regeringen bör vidare en hänvisning göras till 45 § första stycket. Där anges att Datainspektionen, om den konstaterar att personuppgifter behandlas felaktigt, ska försöka åstadkomma rättelse genom påpekanden eller liknande förfaranden. Om det inte går att få till stånd rättelse, eller om saken är brådskande, får Datainspektionen förbjuda behandlingen. Även om det torde vara självklart att Datainspektionen vidtar de åtgärder som är rimliga för att få till stånd rättelse när eventuella brister i hantering av personuppgifter upptäcks är det enligt regeringens bedömning, vilken överensstämmer med promemorians, inte någon nackdel att det uttryckligen framgår att Datainspektionen har detta ansvar. Bestämmelsen bör därför gälla enligt den nya lagen. Däremot bör någon hänvisning till paragrafens andra stycke eller till 46 §, som båda behandlar frågor om vite, inte göras. Enligt 47 § personuppgiftslagen har Datainspektionen rätt att hos förvaltningsrätten ansöka om att sådana uppgifter som har behandlats på ett olagligt sätt ska utplånas. Bestämmelsen har sin grund i artikel 28.3 i dataskyddsdirektivet. Där anges att varje nationell tillsynsmyndighet ska ha särskild befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av direktivet har överträtts eller att uppmärksamma de rättsliga myndigheterna på dessa överträdelser. Regeringen föreslår att även denna bestämmelse bör vara tillämplig vid behandling av uppgifter enligt den nya lagen. En hänvisning till bestämmelsen bör alltså tas in i lagen. För att skydda den personliga integriteten bör det på motsvarande sätt som i den nya polisdatalagen, införas en skyldighet för att samråda med Datainspektionen i vissa situationer. Exempel på sådana situationer är när planerar att ta nya större it-system i bruk, förbereder omfattande förändringar i befintliga system eller genomför förändringar som påverkar hanteringen av särskilt känsliga uppgifter. Detta är emellertid en fråga som inte bör regleras i lag utan som regeringen kan meddela föreskrifter om. Det åligger vidare att följa upp att lagstiftningen tilllämpas med respekt för enskildas integritet. Enligt regeringen är det också viktigt att noga kontrollerar och följer upp tjänstemännens tilldelning av behörigheter till informationssystem samt utbildar personalen i dataskydd och informationssäkerhet. I den nya polisdatalagen finns en bestämmelse som hänvisar till lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet (2 kap. 6 § polisdatalagen). Innebörden härav är att polisens personuppgiftsbehandling ska stå under tillsyn av både Datainspektionen och . Enligt lagen om tillsyn över viss brotts- bekämpande verksamhet ska vidare utöva tillsyn över brottsbekämpande myndigheters användning av hemliga tvångsmedel och kvalificerade skyddsidentiteter och därmed sammanhängande verksamhet. Tillsynen ska särskilt syfta till att säkerställa att verksamheten bedrivs i enlighet med lag eller annan författning. Enligt lagen är nämnden också skyldig att på begäran av enskild kontrollera om denne har utsatts för ett hemligt tvångsmedel eller personuppgiftsbehandling i strid med författningar. har anfört att behov av förstärkt tillsyn bör övervägas och särskilt frågan huruvida den enskildes rätt till effektivt rättsmedel kommer att tillgodoses. Regeringen konstaterar dock att det finns skillnader mellan och polisens brottsbekämpande verksamheter. Det är polisen som har det huvudsakliga ansvaret för brottsbekämpningen. Omfattningen och arten av brott som polisen hanterar skiljer sig från brottsbekämpande verksamhet.