prop · GZ0345 · 2011-12-06 00:00:00 — Har uppgifterna inte samlats in från den registrerade själv behöver den registeransvarige dock inte lämna någon information, om det skulle visa sig vara omöjligt eller innebära en ansträngning som inte står i proportion till nyttan. Den registrerade har dock rätt att på begäran få information om de registrerade uppgifterna. Vidare har den registrerade rätt att få sådana uppgifter som inte har behandlats i enlighet med direktivet rättade, utplånade eller blockerade. Direktivet innehåller även regler om säkerhet vid behandlingen. Ge- nom lämpliga tekniska och organisatoriska åtgärder ska den registeransvarige skydda personuppgifter mot otillåten behandling samt mot förstöring, förlust, ändring eller otillåten spridning. Som ovan nämnts syftar direktivet bl.a. till att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. En överföring av personuppgifter till tredjeland dvs. till en stat som varken är medlem i EU eller är anslutet till EES, får dock som huvudregel endast ske om det mottagande landets lagstiftning kan säkerställa en adekvat skyddsnivå. Vad som är en adekvat skyddsnivå får avgöras med hänsyn taget till bl.a. de uppgifter som ska behandlas och ändamålet med behandlingen. Dataskyddsdirektivet har genomförts i svensk rätt genom personuppgiftslagen (1998:204). Till skillnad från dataskyddsdirektivet har dock personuppgiftslagen gjorts generellt tillämplig och omfattar således även verksamhet som faller utanför direktivets tillämpningsområde (prop. 1997/98:44, bet. 1997/98:KU18). Lagen innehåller de generella regler som krävs för genomförande av direktivet. Särreglering i annan lag eller i förordning gäller emellertid framför bestämmelserna i personuppgiftslagen. Att det krävs en särskild författning för att avvika från det integritetsskydd som personuppgiftslagen ger, är en garanti för att behovet av särregler övervägs noga i den ordning som gäller för författningsgivning. Personuppgifter i personuppgiftslagens mening är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Uppgifter om juridiska personer och avlidna omfattas således inte av lagen. Begreppet behandling av personuppgifter omfattar i stort sett allt man kan göra med sådana uppgifter, exempelvis att samla in, söka, bevara och sprida uppgifter. Lagen omfattar endast behandling av personuppgifter som är helt eller delvis automatiserad. Även behandling kan dock omfattas, nämligen om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Enligt personuppgiftslagen ska en personuppgiftsansvarig bl.a. se till att personuppgifter behandlas bara om det är lagligt. Den personuppgiftsansvarige ska vidare se till att personuppgifter behandlas på ett korrekt sätt och i enlighet med god sed, att personuppgifter samlas in bara för särskilda uttryckligt angivna och berättigade ändamål, att de inte behandlas för något ändamål som är oförenligt med det för vilket de samlades in, att de personuppgifter som behandlas är riktiga och om nödvändigt aktuella, att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen och att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till än- Prop. 2011/12:45 damålen med behandlingen. Enligt lagen är det vidare förbjudet att till tredjeland föra över personuppgifter om landet inte har en adekvat nivå för skyddet av personuppgifterna. Förbudet gäller inte stater som anslutit sig till dataskyddskonventionen. Förbudet gäller både uppgifter som är under behandling och uppgifter som ska undergå behandling. När det gäller att avgöra om skyddsnivån är adekvat ska alla omständigheter kring överföringen beaktas, varvid särskild vikt ska läggas vid uppgifternas art, ändamålet med behandlingen och de regler som finns för behandlingen i det tredjelandet. I vissa fall får dock överföring av personuppgifter till tredjeland ske även om det aktuella landet inte har en sådan adekvat skyddsnivå som avses i personuppgiftslagen, t.ex. om den registrerade har lämnat sitt samtycke eller för att rättsliga anspråk ska kunna fastställas. Efter en lagändring som trädde i kraft är de flesta av personuppgiftslagens detaljerade handlingsregler inte tvingande tillämpliga vid behandling av personuppgifter i ostrukturerat material, t.ex. löpande text och enstaka ljud- och bildupptagningar (prop. 2005/06:173). Sådan behandling får dock inte innebära att den registrerades personliga integritet kränks. Bestämmelserna i personuppgiftslagen redovisas närmare i samband med de förslag som lämnas i avsnitt 9.3. Den nuvarande regleringen av behandling av personuppgifter regleras genom bestämmelserna i personuppgiftslagen (1998:204) och förordningen (2003:188) om behandling av personuppgifter inom . Förordningen gäller utöver personuppgiftslagen i fråga om behandling av personuppgifter i verksamhet som rör brottsbekämp- ning, kontroll och tillsyn samt ärenden om vattenföroreningsavgift. I förordningen anges att får behandla personuppgifter i sin brottsbekämpande verksamhet. Detta förutsätter att behandlingen är nödvändig för att förhindra eller upptäcka brottslig verksamhet som enligt lag eller förordning har till uppgift att ingripa mot eller för att utreda sådana brott. Personuppgifter får också behandlas i den kontroll- och tillsynsverksamhet som enligt lag eller förordning har att genomföra, om det är nödvändigt för att inrikta och genomföra verksamheten. Personuppgifter får vidare behandlas vid handläggning av ärenden om vattenföroreningsavgift. Slutligen får även behandla personuppgifter om det är nödvändigt för att planera, följa upp eller utvärdera nämnda verksamhet- är personuppgiftsansvarig för den behandling av per- sonuppgifter som myndigheten utför. Uppgifter om en person får i verksamheterna brottsbekämpning samt kontroll och tillsyn inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa och filo- övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Om uppgifter om en person behandlas på annan grund får uppgifterna dock kompletteras med sådana uppgifter, om det är oundgängligen nödvändigt för syftet med behandlingen. I förordningen skiljer man mellan behandling av uppgifter som är gemensamt tillgängliga i verksamheten (kustbevakningsdatabasen) och sådan behandling där uppgifterna endast är tillgängliga för en enskild tjänsteman eller en begränsad grupp av tjänstemän. Tillgången till uppgifterna i databasen ska vara förbehållen de personer som på grund av sina arbetsuppgifter behöver ha tillgång till uppgifterna. Behandling av uppgifter i kustbevakningsdatabasen är också omgärdad av särskilda regler vad gäller de personer om vilka uppgifter får behandlas i databasen, vilka uppgifter som får behandlas i databasen samt sökbegrepp. I kustbevakningsdatabasen får uppgifter om personer som kan antas ha samband med brottslig verksamhet för vilken är föreskriven fängelse behandlas. Uppgifter om personer som är misstänkta för lindrigare brottslighet får behandlas endast om den brottsliga verksamheten har samband med sådan brottslighet som kan leda till fängelse . Vidare får i kustbevakningsdatabasen behandlas uppgifter om personer som förekommer i ärende om utredning av brott. För att inrikta och genomföra kontroll- och tillsynsverksamhet får i kustbevakningsdatabasen behandla uppgifter om personer som har anknytning till ett transportmedel eller en verksamhet som omfattas av kontrollen eller tillsynen. I kustbevakningsdatabasen får även uppgifter om personer som förekommer i ett ärende om vattenföroreningsavgift behandlas. I förordningen regleras också vilka andra myndigheter som kan få åtkomst till uppgifterna i kustbevakningsdatabasen. , polismyndigheterna, , , och får ha direktåtkomst till kustbevakningsdatabasen och uppgifter i databasen lämnas ut till dessa myndigheter på medium för automatiserad behandling. Även här anges att direktåtkomst till personuppgifter ska vara förbehållen de personer inom myndigheten som på grund av sina arbetsuppgifter behöver ha tillgång till dessa. Enligt förordningen ska personuppgifter gallras när de inte längre behövs med hänsyn till ändamålen med behandlingen. Uppgifter om personer som inte är misstänkta för brott ska gallras senast efter det att behandlingen inleddes. får föreskriva att personuppgifter trots detta får bevaras för historiska, statistiska eller vetenskapliga ändamål. Som nämnts i det föregående framgår det av förordningen vilka myndigheter som har direktåtkomst till kustbevakningsdatabasen. Däremot innehåller förordningen inga regler om vilka uppgifter som får lämnas ut från databasen på annat sätt än genom direktåtkomst eller annat datoriserat förfarande. Förordningen innehåller inte heller någon sekretessbrytande bestämmelse. Frågor om sekretess och uppgiftsskyldighet behandlas i avsnitt 13 och avsnitt 14.5. Regler för behandling av personuppgifter Vid sidan av personuppgiftslagen (1998:204) finns en mängd särskilda registerlagar som spänner över olika samhällsområden, bl.a. lagar och förordningar som innefattar regler om hur personuppgifter i brottsbekämpande verksamhet ska behandlas. Vad avser verksamhet finns lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet med anslutande förordningen (2005:791) om behandling av uppgifter i brottsbekämpande verksamhet. Vidare finns för verksamhet lagen (1999:90) om behandling av personuppgifter vid medverkan i brottsutredningar och förordningen (1999:105) med samma namn. Slutligen finns det ett flertal regelverk som berör polisens brottsbekämpande verksamhet. När översynen av regleringen av behandling av personuppgifter i utfördes hade Utredningen om personuppgiftsbehandling Integritet - Effektivitet som särskild förutsättning för uppdraget att beakta intresset av att regleringen av behandling av personuppgifter inom den brottsbekämpande verksamheten skulle vara enhetlig. för översynen hade lagen om behandling av brottsbekämpande verksamhet trätt i kraft (närmare bestämt ), liksom tillhörande förordning. Mot den bakgrunden har utredningen vid utformningen av förslagen till en lag och förordning om personuppgiftsbehandling i verksamhet haft dessa regler som förebild. Efter det att betänkandet överlämnades till regeringen har emellertid förändringar föreslagits och beslutats gällande registerlagstiftningen inom polisens område, vilka är av betydelse vid utarbetandet av förslag avseende personuppgiftsbehandling. Av den anledningen lämnas i detta avsnitt en kort redogörelse för särskilda registerlagstiftningar, då dessa är av stort intresse för denna proposition. I propositionen Integritet och effektivitet i polisens brottsbekämpande verksamhet (prop. 2009/10:85) föreslog regeringen en helt ny polisdata- Detta för att komma till rätta med vissa svagheter som uppmärk- sammats i systemet, bland annat att polisdatalagen (1998:622) endast täcker delar av personuppgiftsbehandlingen i polisens brottsbekämpande Vidare framhöll regeringen i propositionen behoven av en teknikneutral lagstiftning och av regler som ger förutsättningar för ett bättre samarbete mellan de brottsbekämpande myndigheterna genom utökade möjligheter till informationsutbyte (se prop. 2009/10:85 s. 59 f.). beslutade att anta regeringens förslag till en ny polisdatalag (bet. 2009/10:JuU19, rskr. 2009/10:255). Den nya polisdatalagen (2010:361) träder i kraft och ersätter då den nuvarande polisdatalagen . Den nya lagen ska gälla i stället för personuppgiftslagen. Lagen innehåller hänvisningar till de bestämmelser i personuppgiftslagen som ska vara tillämpliga i polisens brottsbekämpande verksamhet. Behandling av personuppgifter som sker med stöd av lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregister, lagen (2000:344) om Schengens informationssystem, lagen (2006:444) om passagerarregister eller lagen (2010:362) om polisens allmänna spaningsregister har uttryckligen undantagits från polisdatalagens område (1 kap. 2 § andra stycket). Lagen gäller inte heller när personuppgifter behandlas i vapenregister med stöd av vapenlagen, om inte detta särskilt har angetts i den lagen (1 kap. 2 § tredje stycket). Syftet med polisdatalagen är att ge polisen möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin brottsbekämpande verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling (1 kap. 1 §). Polisdatalagen reglerar, med några få undantag, all behandling av personuppgifter i polisens brottsbekämpande verksamhet vid , polismyndigheterna och (1 kap. 2 §). Personuppgiftsbehandling i sådan verksamhet som inte är brottsbekämpande, exempelvis hanteringen av förvaltningsärenden, regleras i huvudsak i personuppgiftslagen. Polisdatalagen gäller vid behandling av personuppgifter i polisens brottsbekämpande verksamhet och i sådan verksamhet vid om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra förpliktelser som följer av internationella åtaganden (2 kap. 7 §). Personuppgifter som behandlas för dessa ändamål får även behandlas när det är nödvändigt för att tillhandahålla information som behövs i bl.a. brottsbekämpande verksamhet hos , polismyndigheter, , , och eller brottsbekämpande verksamhet hos utländsk myndighet eller mellanfolklig organisation. Vidare får personuppgifter behandlas för att tillhandahålla information som behövs i en myndighets verksamhet om det enligt lag eller förordning åligger polisen att bistå myndigheten med viss uppgift (2 kap. 8 §). Personuppgifter får även behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till polisen i en anmälan eller liknande och behandlingen är nödvändig för handläggningen (2 kap. 9 §). Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (känsliga personuppgifter). Om uppgifter om en person behandlas på annan grund, får de emellertid kompletteras med känsliga personuppgifter när det är absolut nödvändigt för syftet med behandlingen (2 kap. 10 §). Lagen innehåller även bestämmelser om vad som gäller för t.ex. tillgången till personuppgifter, utlämnande av personuppgifter och uppgiftsskyldighet samt elektroniskt utlämnande av personuppgifter (2 kap. 1121 §§). För behandling av personuppgifter som fler än ett fåtal personer har åtkomst till, s.k. gemensamt tillgängliga uppgifter, finns det särskilda bestämmelser i lagen (3 kap. 115 §§). Huruvida uppgifter har gjorts gemensamt tillgängliga eller inte är av betydelse när det gäller möjligheten att medge vissa andra i lagen utpekade myndigheter direktåtkomst till Prop. 2011/12:45 personuppgifter i polisens brottsbekämpande verksamhet. gemensamt tillgängliga uppgifter innehåller lagen även andra begränsande bestämmelser för att värna den personliga integriteten, bl.a. sökbegränsningar. Slutligen ska nämnas att den nya polisdatalagen innehåller bestämmelser om ett fåtal register som regleras särskilt, bl.a. register över DNA- profiler, fingeravtrycks- eller signalementsregister, och penningtvättsregister (4 kap.). I polisdataförordningen (2010:1155) finns kompletterande föreskrifter om sådan behandling av personuppgifter som omfattas av polisdatalagen. Vid sidan av polisdatalagstiftningen finns det andra författningar som reglerar behandling av personuppgifter inom polisen. Några av dessa är s.k. registerförfattningar och innehåller uteslutande bestämmelser om personuppgiftsbehandling medan andra endast innehåller ett fåtal sådana bestämmelser, t.ex. om ett visst register. Bestämmelser om personuppgiftsbehandling finns i vapenlagen (1996:67), lagen om belastningsregister, lagen om misstankeregister, lagen (2000:343) om internationellt polisiärt samarbete, lagen om Schengens informationssystem, lagen om passagerarregister, efterlysningskungörelsen (1969:293), passförordningen (1979:664), förordningen (1997:902) om register över strafförelägganden och förordningen (1997:903) om register över förelägganden av ordningsbot. De aktuella författningarna har behandlats utförligt i prop. 2009/10:85 s. 462 f. De författningarna som har betydelse för personuppgiftsbehandling är följande. Ändamålet med belastningsregistret är att ge information om sådana belastningsuppgifter som behövs i verksamhet hos polismyndigheter, , och för att förebygga, upptäcka och utreda brott, hos åklagarmyndigheter för beslut om förundersökning och åtal och för utfärdande av strafföreläggande samt hos allmänna domstolar för straffmätning och val av påföljd. I 6 § lagen om belastningsregister föreskrivs bl.a. att polismyndighet, , och har rätt att få ut de uppgifter ur belastningsregistret som behövs i verksamhet för att förebygga, upptäcka och utreda brott. har enligt 19 § förordningen (1999:1134) om belastningsregister direktåtkomst till uppgifter i registret. ska föras för att underlätta tillgången till sådana uppgifter om skälig misstanke om brott som behövs i verksamhet hos polis- myndigheter, , och för att sam- ordna förundersökningar mot en misstänkt person och för att förebygga, upptäcka och utreda brott samt hos åklagarmyndigheter för beslut om förundersökning och åtal. Enligt 6 § förordningen (1999:1135) om misstankeregister får bl.a. ha direktåtkomst till uppgifter i registret. ska enligt 23 § passförordningen föra ett centralt pass- På begäran från bl.a. polismyndigheter, och Kustbe- vakningen ska lämna ut uppgifter i form av fotogra- fisk bild av enskild från registret. för, med stöd av förordningen om register över före- lägganden av ordningsbot, ett särskilt register över alla ordningsbotsföre- Registret omfattar även de förelägganden som beslutas inom Enligt 2 § får registret användas i ären- den om föreläggande av ordningsbot för handläggning, uppbörd och underrättelser till myndigheter samt för tillsyn, planering, uppföljning och framställning av statistik. Enligt 4 § får ha di- rektåtkomst till uppgifter i de ärenden i registret som handläggs hos är anslutet till (prop. 1997/98:42, bet. 1997/98:JuU15, rskr. 1997/98:121). Den första är den fria rörligheten för personer, i den bety- delsen att någon personkontroll vid nationsgränserna mellan Scheng- enstaterna inte ska förekomma. Den andra är att kampen mot internation- ell kriminalitet och illegal invandring ska stärkas. Ett hjälpmedel i detta sammanhang är dataregistret Schengens inform- ationssystem (SIS). SIS består av ett nationellt register för varje Scheng- enstat och en central teknisk stödfunktion, som är gemensam för Scheng- för med stöd av lagen om Schengens in- formationssystem ett register som utgör den svenska nationella enheten Registret är anslutet till den centrala enheten i SIS. Registrets syfte är att vara ett hjälpmedel för de andra Schengenstater- na att göra framställningar hos om bl.a. omhändertagande av personer och om dold övervakning eller särskilda kontrollåtgärder. lagen finns bestämmelser om vilka uppgifter som får förekomma i regist- ret och om vem som har rätt att få ut uppgifter ur detta. Enligt lagens 9 § har bl.a. polismyndigheter, , och Migrat- ionsverket rätt att få ut uppgifter ur registret när de utför gränskontroller eller bistår i sådan verksamhet samt när de utför undersökningar och andra kontroller än gränskontroller i sin verksamhet för att förebygga och Enligt 10 § får en svensk myndighet inte utnyttja en uppgift i registret för något annat syfte än det som den registrerande Scheng- enstaten har angivit vid registreringen, om inte den staten samtycker till Prop. 2011/12:45 att uppgiften används för annat ändamål. Enligt 10 § förordningen (2000:836) om Schengens informationssystem får polismyndigheterna, och ha direktåtkomst till uppgifter ur . har förändringar skett i lagen om Schengens informationssystem. Förändringarna, som träder i kraft den dag regeringen bestämmer, är föranledda av ett rådsbeslut och två EU-förordningar om inrättandet av en andra generation av Schengens informationssystem (prop. 2009/10:86, bet. 2009/10:JuU20, rskr. 2009/10:107). Rådsbeslutet gäller inom det som före Lissabonsfördragets ikraftträdande benämndes tredjepelarområdet (polissamarbete och straffrättsligt samarbete) medan förordningarna reglerar frågor inom det som tidigare kallades första pelaren (gränskontroll och immigrationskontroll). Grunden för inrättandet av SIS II är att det nuvarande systemet anses vara tekniskt föråldrat och sakna den kapacitet som krävs med hänsyn till kommande behov. Rättsakterna innebär att ett antal nya kategorier av uppgifter ska kunna registreras, vilket syftar till att öka effektiviteten i brottsbekämpningen. innehåller de bestämmelser som syftar till att ge en bättre kontroll av att de uppgifter som registreras används på föreskrivet sätt, vilket förstärker skyddet för enskildas personliga integritet. 4.5Vissa EU-beslut och lagstiftningsförslag Rådets rambeslut /977/RIF av om skydd för personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete, förkortat dataskyddsrambeslutet, reglerar dataskyddet inom angivna områden. Rambeslutet är föranlett av ett antal nya EU-instrument rörande utvidgat polisiärt och rättsligt samarbete avseende gränsöverskridande informationsutbyte. Dataskyddsrambeslutet förpliktar medlemsstaterna att behandla uppgifter som utbyts mellan staterna inom ramen för det angivna samarbetet på ett sådant sätt att skyddet för enskildas integritet värnas. Det innehåller bestämmelser som avser att förstärka skyddet vid behandling av personuppgifter som överförs. Rambeslutet utgör ett komplement till andra instrument om informationsutbyte inom ramen för polisiärt och straffrättsligt samarbete. Det innehåller bl.a. bestämmelser om allmänna utgångspunkter för behandlingen av personuppgifter och känsliga personuppgifter, rättelse, radering och gallring av personuppgifter, information till den registrerade samt skadestånd och sanktioner. Till stora delar motsvarar innehållet dataskyddsdirektivet, som i svensk rätt har genomförts i personuppgiftslagen (1998:204). Vidare finns bl.a. särskilda bestämmelser som begränsar möjligheterna att behandla personuppgifter som mottagits från en annan stat. Regeringen har i propositionen Godkännande av dataskyddsrambeslutet (prop. 2009/09:16) på ett övergripande plan övervägt vilka lagänd- ringar som kan krävas. godkände utkastet till rambeslutet (bet. 2008/09:JuU7, rskr. 2008/09:41), som därefter har antagits av rådet. Rambeslutet har ännu inte genomförts i svensk rätt. beslutade regeringen att tillkalla en särskild utredare för att bl.a. göra en analys av hur svensk rätt förhåller sig till bestämmelserna i dataskyddsrambeslutet och utarbeta nödvändiga författningsförslag för att ska leva upp till bestämmelserna i rambeslutet (dir. 2010:17). överlämnades delbetänkandet Dataskydd vid europeiskt polisiärt och straffrättsligt samarbete (SOU 2011:20), vilket bereds inom . 4.5.2Rådsbeslutet om tillgång till informationssystemet för viseringar och rådets förordning (EG) nr 767/2008 av om informationssystemet för viseringar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse, förkortad VIS-förordningen, trädde i kraft . I enlighet med kommissionens beslut togs VIS i drift . De övergripande målen för inrättandet av VIS är att förbättra genomförandet av den gemensamma viseringspolitiken, det konsulära samarbetet och samrådet mellan viseringsmyndigheter. VIS ska underlätta utbytet av uppgifter om viseringsansökningar och beslut med anledning av sådana ansökningar.