prop · GZ0345 · 2011-12-06 00:00:00 — Skillnaderna får konsekvenser för bl.a. mängden och karaktären av integritetskänsliga personuppgifter som behandlas i respektive verksamhet samt behovet av tillsyn. Med beaktande härav anser regeringen inte att det finns skäl för ytterligare förstärkning av tillsynen i den nya kustbevakningsdatalagen. Regeringen menar att de åtgärder som tidigare beskrivits i detta avsnitt är tillräckliga och adekvata för tillsyn och kontroll av verksamhet, samt att Datainspektionens tillsyn tillgodoser skyddet för den enskilde och begränsar risken för integritetsintrång på ett betryggande sätt. Skadestånd (48 §) Enligt 48 § personuppgiftslagen ska den personuppgiftsansvarige ersätta den registrerade för den skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med den lagen har orsakat. Det bör enligt regeringens mening finnas en rätt till skadestånd vid skada och kränkning som uppstår när uppgifter behandlas i strid med den nya lagen. En hänvisning till 48 § personuppgiftslagen bör därför tas in i den nya lagen. Straff (49 §) Lagrådet har i ett tidigare lagstiftningsärende (prop. 2000/01:33 s. 346) ansett att bestämmelsen i 49 § personuppgiftslagen, i vilken föreskrivs straffansvar för överträdelse av olika bestämmelser i personuppgiftslagen, enligt legalitetsprincipen inte kan ges motsvarande tillämpning på bestämmelser som avviker från personuppgiftslagen och som har tagits in i särlagstiftning. Paragrafen kan alltså inte ges en generell tillämpning på de regler som förs in i den nya lagen. Däremot skulle i och för sig en hänvisning kunna tas in i den nya lagen med innebörd att straffbestämmelserna i personuppgiftslagen ska gälla i de delar som personuppgiftslagen ska tillämpas. En sådan ordning kan vid en första anblick förefalla naturlig. Emellertid vill regeringen framhålla att behandlingen av per- sonuppgifter enligt den nya lagen kommer att utföras av personer som är Prop. 2011/12:45 anställda vid en statlig myndighet och därför omfattas av bestämmelserna om tjänstefel m.m. i . Regeringen anser därför, i likhet med promemorian, att det inte föreligger något behov av en hänvisning till 49 § personuppgiftslagen. Det kan tilläggas att samma bedömning gjordes vid tillkomsten av lagen om behandling av uppgifter i brottsbekämpande verksamhet (prop. 2004/05:164 s. 55) och den nya polisdatalagen (prop. 2009/10:85 s. 91). Överklagande (5153 §§) I 51 § första stycket personuppgiftslagen föreskrivs att Datainspektionens beslut enligt lagen om annat än föreskrifter får överklagas hos allmän förvaltningsdomstol. Regeringens förslag om att Datainspektionen ska kunna meddela förbud enligt 44 § eller 45 § personuppgiftslagen innebär att en hänvisning bör göras till 51 § första stycket. Enligt 51 § andra stycket får tillsynsmyndigheten bestämma att dess beslut ska gälla även om det överklagas. Det är svårt att se något egentligt praktiskt behov av en sådan möjlighet när det gäller personuppgiftsbehandling. Datainspektionen bör inte ges möjlighet att meddela interimistiska beslut. Regeringen förslår därför att hänvisningen endast bör avse första stycket i paragrafen. Enligt 52 § personuppgiftslagen får en myndighets beslut om information, rättelse och underrättelse till tredje man om rättelseåtgärder, information om automatiserade beslut och allmänna upplysningar om pågående behandlingar överklagas hos allmän förvaltningsdomstol. Andra beslut enligt personuppgiftslagen får enligt 53 § inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. I förarbetena till dessa bestämmelser (prop. 2005/06:173 s. 53) uttalade regeringen att det efter införandet av en bestämmelse om överklagande i personuppgiftslagen inte är nödvändigt att ta in några överklagandebestämmelser i särskilda registerförfattningar, som hänvisar till personuppgiftslagen. I konsekvens med detta bör den föreslagna lagen inte innehålla någon särskild bestämmelse om överklagande utan i stället enbart hänvisa till personuppgiftslagens bestämmelser om överklagande. Regeringens förslag: Tillgången till personuppgifter ska alltid begränsas till vad varje tjänsteman behöver för att fullgöra sina arbetsuppgifter. Promemorians förslag överensstämmer med regeringens. Remissinstanserna har inte haft några särskilda synpunkter på försla- Skälen för regeringens förslag: Stora informationsmängder som är samlade så att uppgifter är enkelt sökbara på elektronisk väg utgör allmänt sett en betydande risk för intrång i den personliga integriteten. Risken för integritetsintrång är givetvis särskilt stor om det såsom ofta är fallet i brottsbekämpande verksamhet rör sig om känsliga uppgifter. Risken påverkas bl.a. av hur uppgifterna sprids och vem som har rätt att använda dem. Den nya lagen bör därför enligt regeringens mening bygga på principen att enbart de som behöver uppgifterna för att fullgöra sitt arbete ska ha tillgång till dem. En bestämmelse med denna innebörd bör tas in i den nya lagen. Bestämmelsen bör omfatta både direkt tillgång till automatiserade uppgiftssamlingar och tillgång i allmänhet. ska således organisera sin verksamhet på ett sådant sätt att obefogad spridning av personuppgifter motverkas. Bestämmelsen får också till följd att enskilda tjänstemän blir förhindrade att lämna uppgifterna vidare till den som inte behöver dem för sitt arbete. Regeringen vill i detta sammanhang framhålla att modern teknik gör det enklare att organisera verksamheten så att tillgången till uppgifter som behandlas automatiserat begränsas på ett lämpligt sätt. Detta bör beaktas vid utvecklingen av framtida datasystem inom . En enskilds tjänstemans åtkomst till personuppgifter (behörighet) kan knytas till viss information i stället för till olika register. Därmed kan tillgången till information om en person eller uppgifter knutna till en person begränsas med utgångspunkt från tjänstemannens arbetsuppgifter. De mest känsliga uppgifterna kommer med en sådan ordning att lättare kunna avgränsas och omges av extra integritets- och säkerhetsskydd. Vidare kommer kunskapen om och kontrollen av varje tjänstemans informationstillgång att öka. På förhand bestämda behörigheter som avgör tillgången till uppgifter kan utarbetas. Behörigheterna kan vidare anpassas till olika befattningshavares behov med hänsyn till tjänstenivå och arbetsuppgifter. Den föreslagna bestämmelsen om tillgång till personuppgifter innebär en generell begränsning av åtkomsten till uppgifter för att förhindra att tjänstemän får tillgång till mer information än vad de behöver för att kunna fullgöra sina arbetsuppgifter. Det är enligt regeringens uppfattning därefter uppgift att, utifrån myndighetens organisation och struktur, säkerställa att åtkomsten till personuppgifter begränsas i enlighet med bestämmelsen. För att kunna säkerställa detta kan det finnas behov av närmare föreskrifter på området. Det bör därför föras in en bestämmelse i den nya lagen, som upplyser om att regeringen eller den myndighet som regeringen bestämmer meddelar närmare föreskrifter om tillgången till personuppgifter. Regeringen kommer att behandla frågor om direktåtkomst och föreskrifter kopplade till sådan åtkomst i avsnitten 12.3 och 14.5. Regeringens förslag: ska vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. ska vid sidan av personuppgiftsansvaret även ha ansvar för att uppgifter om juridiska personer behandlas i enlighet med de grundläggande bestämmelserna i lagstiftningen. ska utse ett eller flera personuppgiftsombud. liksom entledigande av personuppgiftsombud ska anmälas till tillsynsmyndigheten. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: har ställt en fråga kring personuppgiftsansvaret vid direktåtkomst. I övrigt har remissinstanserna inte kommenterat förslaget. Skälen för regeringens förslag: Enligt 3 § personuppgiftslagen (1998:204) är det den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter som är personuppgiftsansvarig för behandlingen av personuppgifter. I registerförfattningar är det i stället, eftersom ändamålen bestäms av lagstiftaren, vanligt att man tydligt pekar ut vem som är ansvarig för den behandling av uppgifter som regleras i respektive författning. I 8 § förordningen (2003:188) om behandling av personuppgifter inom anges som personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Regeringen föreslår i likhet med vad som föreslagits i promemorian att denna ordning även fortsättningsvis ska gälla. Personuppgiftsansvaret bör med andra ord utformas så, att ansvarar för den behandling av personuppgifter som utför. På det sättet markeras att det finns ett ansvar för att utförd behandling är korrekt. Med personuppgiftsansvaret följer en rad skyldigheter. Den personuppgiftsansvarige ska bl.a. se till att behandlingen av uppgifter sker på ett korrekt och säkert sätt, att information lämnas till den registrerade och att uppgifter gallras i rätt tid. Ansvaret för uppgifter om juridiska personer Begreppet personuppgifter avser endast uppgifter om levande fysiska personer. Det innebär att personuppgiftslagen inte är tillämplig för juridiska personer. Den lag som föreslås bör enligt regeringens bedömning emellertid i vissa delar vara tillämplig även på behandling av uppgifter om juridiska personer (se avsnitt 9.1). Regeringen menar att även bör ha ett visst ansvar för uppgifter om juridiska personer, dvs. sådana uppgifter som inte utgör personuppgifter. Ansvaret innebär motsvarande skyldigheter som personuppgiftsansvaret i fråga om de krav som lagen ställer på behandling av uppgifter om juridiska personer. Dit hör att uppgifterna endast får behandlas för tillåtna ändamål och ska gallras i rätt tid. Även ansvaret för att de krav som ställs upp för behandling av uppgifter i verksamhet uppfylls gäller för behandling av uppgif- ter gentemot juridiska personer. Däremot bör bestämmelserna om enskil- Prop. 2011/12:45 das rättigheter inte vara tillämpliga, vilket innebär att ansvar gentemot juridiska personer inte omfattar skyldighet att lämna information eller rätta uppgifter enligt personuppgiftslagen. Regeringens förslag vad gäller personuppgiftsansvar i denna del överensstämmer med vad som gäller för verksamhet (jfr lagen [2005:787] om behandling av uppgifter i brottsbekämpande verksamhet, lagen [2001:185] om behandling av uppgifter i verksamhet och prop. 2004/05:164 s. 58). Tilläggas ska att någon bestämmelse om skyldighet att lämna information och rätta uppgifter inte kommer att gälla för polisens verksamhet, 1 kap. 3 § polisdatalagen (2010:361). Regleringen i 36 § andra stycket personuppgiftslagen ger myndigheten valfrihet när det gäller frågan om personuppgiftsombud ska utses. I framförallt brottsbekämpande verksamhet rör behandlingen av personuppgifter i stor utsträckning uppgifter som får anses integritetskänsliga, vilket gör det särskilt angeläget med den kontroll som kan utövas av ett personuppgiftsombud. Det är också viktigt att enskilda registrerade enkelt kan vända sig till rätt person hos myndigheterna bl.a. i frågor om information om behandlingen och om rättelse av felaktiga uppgifter. Regeringen föreslår att skyldigheten att utse ett personuppgiftsombud ska framgå direkt av den nya lagen. Det kan anmärkas att motsvarande reglering finns i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst och lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet (prop. 2006/07:46 s. 98) samt i polisdatalagen (2010:361), (prop. 2009/10:85 s. 93). Personuppgiftsansvaret hos andra myndigheter som har direktåtkomst till uppgifter har undrat om den föreslagna bestämmelsen ska förstås så att mottagaren är personuppgiftsansvarig för de behand- lingar där uppgifter genom direktåtkomst tas fram och överförs, eller om uttalandet i lagmotiven att den mottagande myndigheten är personupp- giftsansvarig för den fortsatta behandlingen av uppgiften hos den myn- digheten förstås så att personuppgiftsansvaret går över först när uppgif- ten är hos den mottagande myndigheten. kar den först nämnda tolkningen. Den myndighet som samlar in och lagrar personuppgifter är endast personuppgiftsansvarig för den behandling som myndigheten själv utför. För del föreslås detta regleras i 2 kap. 3 § i den nya Om samma uppgift lämnas ut till en annan myndighet, genom direktåtkomst eller på annat sätt, blir den mottagande myndigheten personuppgiftsansvarig för den fortsatta behandlingen av uppgiften hos den myndigheten enligt respektive myndighets personupp- Insamling är också en form av behandling. komst blir den mottagande myndigheten således personuppgiftsansvarig Prop. 2011/12:45 vid det tillfälle myndigheten börjar behandla uppgifterna, exempelvis genom framtagande och överföring. När uppgifter är tillgängliga genom direktåtkomst för olika myndigheter kan alltså personuppgiftsansvaret för samma uppgift ligga hos flera myndigheter. Var och en av dessa ansvarar då för den egna behandlingen. Den utlämnande myndigheten är dock alltid ansvarig för att direktåtkomst medges endast om villkoren för det är uppfyllda, dvs. att utlämnandet sker enligt föreskrifterna i myndighetens dataskyddsreglering. 9.6Behandling av uppgifter för handläggning Regeringens förslag: Utöver för de särskilda ändamål som anges i lagen ska personuppgifter få behandlas i den operativa verksamheten om behandlingen är nödvändig för diarieföring eller om uppgifterna har lämnats i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Majoriteten av remissinstanserna har inte haft några särskilda synpunkter på förslaget. anser att det är onödigt att reglera att personuppgifter får behandlas om behandlingen är nödvändig för diarieföring. Regeringen har anfört att det implicit av tryckfrihetsförordningen framgår att allmänna handlingar ska bevaras, ordnas så att det går att hitta dem och vårdas så att de inte skingras. En explicit reglering av diarieföring medför osäkerhet om vad som gäller i t.ex. andra registerförfattningar där sådan reglering saknas. Det är vidare olämpligt att använda begreppet diarieföring eftersom regleringen i offentlighets- och sekretesslagen avser registrering även i andra register, databaser m.fl. än diarier. föreslår att uttrycket anmälan eller liknande i föreslagen paragraf andra stycke ersätts med handling. Skälen för regeringens förslag: I följande avsnitt redovisas för vilka ändamål regeringen föreslår att personuppgifter ska få behandlas i verksamhet. Bestämmelserna kommer att ge möjlighet att behandla uppgifter som behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet eller för att utreda eller beivra brott. De kommer också att ge möjlighet att behandla personuppgifter i bl.a. kontroll- och tillsynsverksamhet, räddningstjänst, samordning av civil sjöövervakning och förmedling av civil sjöinformation samt internationellt samarbete. Dessa ändamål täcker hela operativa verksamhet. De kommer dock inte med nödvändighet att ge stöd för behandling av alla de personuppgifter som kan komma in till i form av anmälningar, tips och meddelanden av olika slag. tar emot stora mängder av information av vitt skilda slag, ibland i elektronisk form. En del av denna information lämnas vidare för åtgärder inom ramen för brottsbekämpande eller annan operativ verksamhet, men den kan inte alltid anses behövlig för sådan verksamhet. Behandlingen av uppgifterna kommer i sådana fall inte att ligga inom ramen för de primära ändamål som diskuteras i det följande. De inkommande uppgifterna kan utgöra en del av en allmän handling i tryckfrihetsförordningens mening. Enligt 5 kap. 1 § offentlighets- och sekretesslagen (2009:400) gäller som huvudregel att allmänna handlingar som kommit in eller upprättats hos myndigheten ska registreras, dvs. Syftet med bestämmelsen är bl.a. att garantera allmänhetens rätt att få tillgång till allmänna handlingar. I 5 kap. 2 § offentlighets- och sekretesslagen uppställs vissa minimikrav beträffande uppgifterna i ett register. När en handling registreras ska det av registret framgå (1) datum då handlingen kom in eller upprättades, (2) diarienummer eller annan beteckning handlingen fått vid registreringen, (3) i förekommande fall från vem handlingen har kommit in eller till vem den har expedierats samt (4) i korthet vad handlingen rör. Utgångspunkten är att dessa uppgifter ska vara tillgängliga för allmänheten. Uppgifterna under punkterna 3 och 4 får utelämnas eller särskiljas, om det behövs för att registret i övriga delar ska kunna företes för allmänheten. Förutom skyldigheten att registrera allmänna handlingar gäller enligt 5 § andra stycket förvaltningslagen (1986:223) att en myndighet ska se till att det är möjligt för enskilda att kontakta myndigheten med hjälp av bl.a. e-post och att svar kan lämnas på samma sätt. När en personuppgift kommer in till en myndighet, t.ex. i ett e- postmeddelande, kan det vara svårt att avgöra för vilket ändamål, om något, som det finns behov av att behandla uppgiften. I den mån personuppgiften utgör en del av en allmän handling måste den ändå utan dröjsmål kunna behandlas för diarieföring. Därutöver måste myndigheten alltid kunna leva upp till de krav på kommunikation med enskilda som ställs i förvaltningslagen. Det måste alltså finnas en möjlighet att ta emot och diarieföra personuppgifter i elektronisk form, liksom att behandla dem i det ärende som handlingen föranleder, oavsett om myndigheten anser att personuppgifterna behövs eller inte. En sådan bestämmelse finns för polisens del i dess brottsbekämpande verksamhet, 2 kap. 9 § polisdatalagen, (prop. 2009/10:85 s. 111 f.). Även om mottar färre uppgifter av nu aktuellt slag än polisen bedömer regeringen att det finns ett behov av en uttrycklig bestämmelse som otvetydigt klargör att myndigheten alltid i enlighet med offentlighets- och sekretesslagens regler får diarieföra allmänna handlingar och vidta sådana åtgärder som har nämnts i det föregående. För att motverka osäkerhet är det av vikt med enhetlig reglering i brottsbekämpande myndigheters verksamhet. Regeringen föreslår därför att en bestämmelse införs av vilken det framgår att personuppgifter alltid ska få behandlas om behandlingen är nödvändig för diarieföring. I likhet med vad som föreslagits i promemorian anser regeringen också att personuppgifter alltid ska få behandlas om uppgifterna har lämnats i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. Avsikten är att samtliga framställningar till ska omfattas av bestämmelsen, exempelvis även uppgifter lämnade vid telefonsamtal. Att som föreslagit ersätta uttrycket anmälan eller liknande med handling skulle därmed inte vara ändamålsenligt. Regeringen vill i sammanhanget framhålla att syftet med den nu aktuella ändamålsbestämmelsen inte är att möjliggöra behandling av personuppgifter i verksamhet i sig. Det är i stället fråga om en särreglering som tar sikte på sådan behandling av personuppgifter som inte ryms inom lagens ändamålsbestämmelser men som Kustbevakning- Prop. 2011/12:45 en ändå måste kunna utföra för att hantera inkommande handlingar m.m. 9.7Behandling av känsliga personuppgifter Regeringens förslag: Uppgifter om en person ska inte få behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (känsliga personuppgifter). Uppgifter om en person som behandlas på annan grund ska dock få kompletteras med känsliga personuppgifter, om det är absolut nödvändigt för syftet med behandlingen. Känsliga personuppgifter ska också få behandlas, om detta är nödvändigt för diarieföring eller om uppgifterna har lämnats till i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Flera remissinstanser har tillstyrkt eller har inte haft något att invända mot förslaget. har noterat att det i betänkandet Dataskydd vid europeiskt polisiärt och straffrättsligt samarbete (SOU 2011:20 s. 274) föreslås att begreppet absolut nödvändigt ska införas i vissa myndigheters registerförfattningar, bl.a. i 2 kap. 10 § polisdatalagen (2010:361), vad gäller behandlingen av känsliga uppgifter vid dels diarieföring, dels då uppgifterna lämnats i ett ärende, en anmälan eller liknande och dels vid själva handläggningen. Om förslaget genomförs bör det också i 2 kap. 7 § förslaget till kustbevakningsdatalag införas motsvarande tillägg. har, med hänvisning till sitt remissvar över betänkandet personuppgiftsbehandling (SOU 2006:18), ifrågasatt om det är nödvändigt att ta med en bestämmelse om att personers utseende ska beskrivas objektivt eftersom kravet på objektivitet bör avse alla uppgifter. anser vidare att det inte är nödvändigt att invänta en samlad översyn för att utmönstra ordet ras. Skälen för regeringens förslag: I lagstiftning om behandling av personuppgifter har känsliga personuppgifter en särställning. Enligt 13 § personuppgiftslagen (1998:204) är det i princip förbjudet att behandla känsliga personuppgifter utan enskildas samtycke. Med känsliga personuppgifter avses uppgifter som avslöjar en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Om sådana uppgifter måste behandlas i offentlig verksamhet utan samtycke, behövs det särskilda och avvikande bestämmelser för i vilka fall detta får göras. I 9 § förordningen (2003:188) om behandling av personuppgifter inom finns en från personuppgiftslagen avvikande bestämmelse om känsliga personuppgifter. Av bestämmelsen, som definierar känsliga personuppgifter på samma sätt som 13 § personuppgiftslagen, framgår att om uppgifter om en person redan behandlas på annan grund, får dessa kompletteras med känsliga personuppgifter, om det är oundgängligen nödvändigt för syftet med behandlingen. Enligt regeringens mening bör ha samma möjligheter som att registrera och på annat sätt behandla känsliga personuppgifter i verksamheten. Regeringen föreslår därför, i likhet med promemorian, att det i den nya lagen ska finnas en bestämmelse av vilken framgår att uppgifter om en person inte ska få behandlas enbart på grund av vad som är känt om en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Det innebär t.ex. att det inte är tillåtet att i verksamhet föra register över, eller på annat sätt göra anteckningar om, enskilda personer enbart på den grunden att de tillhör en viss etnisk grupp. Såvitt avser begreppet ras vill regeringen särskilt framhålla följande. har uttalat att det inte finns någon vetenskaplig grund för att dela in människor i skilda raser och ur biologisk synpunkt följaktligen heller ingen grund för att använda ordet ras om människor. Användningen av ordet ras i författningstexter riskerar enligt att underblåsa fördomar. har dock, med anledning av ett krav i en motion, konstaterat att den inte har möjlighet att besluta att ordet ska utmönstras ur all lagstiftning, eftersom det så gott som uteslutande används i författningar som grundas på internationella överenskommelser eller författningar som genomför EU-direktiv (bet. 1997/98:KU29 s. 7). I propositionen till den nya diskrimineringslagen (2008:567) bedömde regeringen att det tillgängliga utredningsunderlaget inte gav tillräckligt stöd för att ta bort begreppet ras ur alla författningar (prop. 2007/08:95 s. 120).