prop · GZ0345 · 2011-12-06 00:00:00 — Personuppgiftslagen gäller generellt för all behandling av personupp- gifter, såvida det inte finns avvikande regler i lag eller förordning. lagstiftningsärende som föregick personuppgiftslagen uttalade regeringen att lagen i princip bara bör innehålla generella regler och att behovet av undantag och särregler för mer speciella områden får tillgodoses genom andra författningar (prop. 1997/98:44 s. 40 f.). lering, främst i form av s.k. registerlagar, har skett utifrån det principiella ställningstagandet att myndighetsregister med ett stort antal registrerade personer och ett integritetskänsligt innehåll bör regleras i lag. är enskilda skyddade gentemot det allmänna mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär kartläggning eller övervakning av personliga för- hållanden (2 kap. 6 § regeringsformen). Inskränkningar i detta skydd kan enbart ske i lag och bara för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle (2 kap. 20 och 21 §§ regeringsformen). gångspunkten för behovet av och villkoren för lagregleringen av behand- ling av personuppgifter som utförs av myndigheter bör således numera tas i regeringsformens bestämmelser om integritetsskydd. till omfattningen och arten av verksamhet, den ingri- pande myndighetsutövning som ingår i uppgiften samt behovet av att kunna behandla personuppgifter även av känsligare slag inom främst den brottsbekämpande verksamheten anser regeringen att stora delar av personuppgiftsbehandling innefattar sådan integritets- känslig informationshantering som enskilda är skyddade mot enligt 2 kap. 6 § andra stycket regeringsformen. Det finns därför ett behov av en särskild författningsreglering i lag av behandlingen av personuppgifter Val av reglering och behovet av en teknikneutral författningsreglering I verksamhet behandlas en stor mängd uppgifter om enskilda personer i olika register eller datorsystem. flera fall vara känsliga och det är därför viktigt att de behandlas på ett sådant sätt att hänsyn tas till de registrerades personliga integritet. I promemorian har anförts, att en utgångspunkt vid utformningen av förslag till en lag för personuppgiftsbehandling i verk- samhet bör vara att skapa en så flexibel och teknikneutral lagstiftning Ingen remissinstans har ifrågasatt denna utgångspunkt. att åstadkomma detta föreslår regeringen, i likhet med promemorian, att lagen ska innehålla ramarna och de grundläggande principerna för den automatiserade behandlingen av personuppgifter som förekommer i Med en sådan lagstiftning skapas möjlig- Prop. 2011/12:45 heter bl.a. för en utvecklad och fortsatt samverkan mellan Kustbevak- ningen och andra myndigheter som den personliga integriteten värnas. Vidare måste det ställas höga krav på kontroll och tillsyn av verksamheten, både internt och externt. De bestämmelser som bör återfinnas i lagen är främst sådana som anger för vilka ändamål personuppgifter får behandlas, i vilken omfattning andra myndigheter ska tillåtas direktåtkomst, i vilken omfattning uppgifter ska få lämnas ut i elektronisk form, under vilka förutsättningar vissa känsliga uppgifter får behandlas, när uppgifter ska gallras samt vilka rättigheter enskilda har. I vissa fall bör sådana bestämmelser vara ovillkorliga, medan regeringen i andra fall har möjlighet att gå med på undantag och meddela vissa kompletterande bestämmelser. Härigenom undviks att detaljregler som kan komma att behöva ändras ofta, t.ex. som en följd av ändrade villkor för verksamheten, måste prövas av . Regeringen har då att förhålla sig till 2 kap. 6 § andra stycket regeringsformen, dvs. de föreskrifter regeringen meddelar får inte innebära ett betydande intrång i den personliga integriteten. En sådan åtgärd kräver författningsändring på lagnivå (2 kap. 20 § regeringsformen). Det kan i vissa fall även vara lämpligt att regeringen delegerar rätten att meddela verkställighetsföreskrifter. Regeringen föreslår sammanfattningsvis en ny lag för personuppgiftsbehandling, i vilken de grundläggande principerna för personuppgiftsbehandling regleras. En eller flera lagar? Mot bakgrund av att har uppgifter inom flera olika områden (se avsnitt 6) finns det anledning för regeringen att överväga om personuppgiftsbehandling ska regleras i en eller flera lagar. Även om olika uppgifter skiljer sig åt innehållsmässigt är de i den operativa verksamheten integrerade och utförs ofta av samma tjänstemän. verksamheter är vidare inte organisatoriskt indelade i självständiga verksamhetsgrenar, på det sätt som är vanligt hos andra myndigheter med olika uppgifter. Det skulle därför, menar regeringen, försvåra tillämpningen om regleringen av personuppgiftsbehandling i myndighetens operativa verksamhet delades upp på flera lagar. Mot den bakgrunden anser regeringen, i likhet med vad som sagts i promemorian, att övervägande skäl talar för att den nya regleringen av personuppgiftsbehandling bör omfatta hela operativa verksamhet. När det gäller myndighetens interna administrativa förvaltning, t.ex. lokal- och personalfrågor, kan redan här emellertid nämnas att regeringen anser att personuppgiftslagens regler är fullt tillräckliga för att hantera behandlingen av personuppgifter. Regeringen kommer vidare att behandla frågan om lagens tillämpningsområde i avsnitt 9.1. Lagstiftningens systematik och struktur har, som tidigare framgått, ett stort antal uppgifter. Dessa omfattar bl.a. räddningstjänst och fiskerikontroll. ver myndigheten brottsbekämpande verksamhet. Detta får av nödvändig- het konsekvenser för lagens systematik. Förutom i fråga om vissa be- stämmelser som bör vara allmänt tillämpliga anser regeringen att lagen därför bör delas upp i regler som avser den brottsbekämpande verksam- heten och den övriga operativa verksamheten. bekämpande verksamhet är inte identisk med polisens men reglerna, efter anpassning till behov, bör följa den nya polisdatala- Ett rättssäkert och effektivt arbete förutsätter att reglerna för be- handling av personuppgifter inte skiljer sig alltför mycket åt mellan Inom den brottsbekämpande verksam- heten, där särskilt känsliga uppgifter kan komma att behandlas, krävs med hänsyn till skyddet för den personliga integriteten i större utsträck- ning regler som på ett eller annat sätt ytterligare begränsar möjligheten att behandla personuppgifter, än vad som är fallet för den del av Kustbe- vakningens verksamhet som innefattar övervakning av den allmänna ordningen och säkerheten till sjöss, kontroll, tillsyn och räddningstjänst. Det gäller särskilt förutsättningarna för att göra uppgifter gemensamt Med gemensamt tillgängliga menas att fler än ett fåtal per- soner har rätt att få ta del av uppgifterna i fråga. tillgängliga uppgifter kommer att behandlas i avsnitt 9.2. har även ett särskilt uppdrag att samordna civila be- hov av sjöövervakning och förmedla civil sjöinformation till berörda myndigheter, en verksamhet som kräver särskild reglering i vissa avse- I verksamhet som inte rör brottsbekämpning är risken för integritetsintrång inte lika påtaglig som i den brottsbekäm- Regeringen anser därför inte att det finns ett lika stort behov av skyddsregler i lagen för den personliga integriteten i den övriga operativa verksamheten. För det fall misstanke om brott eller brottslig verksamhet uppstår vid behandling i denna del av Kustbevak- ningens verksamhet bör dock de regler som gäller för den brottsbekäm- pande verksamheten tillämpas. På så sätt upprätthålls skyddet för den Lagrådet har haft synpunkter på lagens rubriker och föreslagit ändring- ar för att göra förhållandet mellan kapitlen tydligare. stämmer i att rubrikerna kan göras tydligare, men anser att detta främst bör ske genom att de kortas ned. 8.2 Lagens syfte och skyddet för den personliga integriteten Regeringens förslag: Syftet med lagen ska vara att ge möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin operativa verksamhet och att skydda människor mot att deras personliga integritet kränks vid behandlingen. Promemorians förslag överensstämmer med regeringens. Remissinstanserna har tillstyrkt eller har inget att invända mot försla- Skälen för regeringens förslag: För att ska kunna fullgöra sina uppgifter på ett effektivt sätt måste myndigheten ha lagliga förutsättningar att utnyttja en ändamålsenlig informationsteknik som gör det möjligt att samla in och i övrigt behandla stora informationsmängder. Det kan gälla personuppgifter som behandlas i brottsbekämpande verksamhet eller personuppgifter som behöver behandlas i annan operativa verksamhet. Exempelvis kan det handla om uppgifter om en misstänkt eller en målsägande, eller andra personer vilka kan ha blivit föremål för verksamhet i form av räddningstjänst, kontroll och tillsyn m.m. måste därför i olika sorters verksamhet ha möjlighet att registrera och lagra personuppgifter av vitt skilda slag. Uppgifterna måste vid behov kunna tillhandahållas ett större antal personer vid myndigheten på automatiserad väg. Dessutom måste i vissa fall andra myndigheter kunna få tillgång till uppgifter. Uppgifter måste också inom ramen för det internationella samarbetet kunna utbytas med myndigheter i andra länder. En effektiv verksamhet förutsätter alltså att har möjlighet att använda sig av en väl fungerande informationsteknik. Detta kan dock innebära en risk för intrång i den personliga integriteten. Sådana intrång måste stå i rimlig proportion till det intresse som ska tillgodoses med behandlingen. De grundläggande bestämmelserna till skydd för den personliga integriteten finns i regeringsformen (se närmare avsnitt 4.1). Av förarbetena till 2 kap. 6 § regeringsformen framgår att utgångspunkten för grundlagsregleringen har varit att kränkningen av den personliga integriteten kan sägas utgöra ett intrång i den fredade sfär som den enskilde bör vara tillförsäkrad och där intrång bör kunna avvisas (prop. 2009/10:80 s. 175). Regeringen ansåg dock att det inte var nödvändigt att formulera en allmängiltig definition av begreppet för att kunna bedöma vilka intressen det fanns att skydda från omotiverade intrång. Det torde stå klart att vissa faktorer är särskilt viktiga att ta hänsyn till när det gäller att bedöma intrånget i den personliga integriteten vid automatiserad behandling av personuppgifter. Det gäller arten av de personuppgifter som samlas in och registreras, för vilka ändamål detta görs, hur och av vem uppgifterna används, hur sökning får ske, hur länge uppgifterna sparas samt mängden av uppgifter som samlas på ett och samma ställe eller som på något annat sätt är tillgängliga för bearbetningar och sammanställningar. Stora informationsmängder som är samlade så att uppgifter är enkelt sökbara på elektronisk väg och som används vid myndighetsverksamhet medför typiskt sett en risk för att enskilda personer utsätts för intrång i den personliga integriteten. Rätten till skydd mot betydande intrång i den personliga integriteten enligt 2 kap. 6 § andra stycket regeringsformen är inte absolut. Som framgår av avsnitt 4.1 får denna rättighet begränsas i lag enligt de förutsättningar som framgår av 2 kap. 21 och 22 §§ regeringsformen. En begränsning av rätten till skydd mot sådana integritetsintrång får ske endast för att tillgodose ett ändamål som är godtagbart i ett demokratiskt samhälle och får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den. Av praxis följer för övrigt att en liknande proportionalitetsprincip också gäller enligt artikel 8 i , som reglerar rätten till skydd för privat- och familjeliv. Den närmare utformningen av de nya bestämmelserna måste alltså föregås av en avvägning mellan å ena sidan intresset av en effektiv verksamhet och å andra sidan intresset av skyddet för den personliga integriteten. Vid den avvägningen finns det anledning att hålla i minnet att de uppgifter som kan bli aktuella för verksamhet, framförallt i den brottsbekämpande delen, kan vara särskilt integritetskänsliga, dels därför att de kan peka ut personer såsom misstänkta för brott, dels därför att de inte sällan rör enskildas personliga sfär. För den enskilde kan enbart det förhållandet att omfattande uppgifter om hans eller hennes privata förhållanden kan komma att sammanställas och göras tillgängliga uppfattas som ett allvarligt integritetsintrång. Nedan redovisas några allmänna utgångspunkter för avvägningen mellan behov av att behandla personuppgifter och skyddet för den personliga integriteten. Dessa överväganden, liksom de synpunkter som bl.a. Datainspektionen har framfört vad gäller denna proportionalitetsbedömning¸ kommer att behandlas ytterligare i de följande avsnitten. Inledningsvis vill regeringen framhålla att det är viktigt att den nya lagen tydligt anger för vilka ändamål behandling av personuppgifter ska få ske. Särskilda bestämmelser som begränsar möjligheterna att behandla s.k. känsliga personuppgifter, dvs. uppgifter som avslöjar exempelvis etniskt ursprung eller politiska åsikter (13 § personuppgiftslagen [1998:204]), bör även fortsättningsvis finnas för att upprätthålla skyddet för den personliga integriteten. I lagen bör det vidare, då det gäller den brottsbekämpande verksamheten, införas mer inskränkande bestämmelser för behandling av personuppgifter som görs tillgängliga för en större krets av tjänstemän än när uppgifterna är åtkomliga för enbart ett fåtal personer. För att ska kunna bedriva ett effektivt brottsförebyggande arbete förutsätts att kan behandla uppgifter om personer som inte är misstänkta för något konkret brott men som ändå misstänks ägna sig åt brottslig verksamhet, s.k. underrättelseverksamhet. Ur ett integritetsskyddsperspektiv bör större restriktivitet gälla för behandling av uppgifter som inte har samband med ett konkret brott. Ur integritetsskyddssynpunkt är det vidare viktigt att det inte uppstår oklarheter om huruvida en person som en uppgift rör är misstänkt för brott eller inte. I den nya lagen bör det därför regleras att det av uppgifterna ska framgå huruvida behandlingen sker för att personen är misstänkt eller inte. Även tillförlitligheten av behandlade uppgifter bör kunna utläsas, exempelvis om informationen består av kontrollerade fakta eller bara obekräftade påståenden. Regler om sökning, sammanställning och gallring bör också utformas så att skyddet för den personliga integriteten upprätthålls. Större enhetlighet i regelverket för brottsbekämpande myndigheter leder vidare till ökad förutsebarhet vilket är av vikt ur ett integritetsskyddsperspektiv. I 1 § personuppgiftslagen finns en bestämmelse som anger den lagens syfte. Syftet anges vara att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. ens mening finns det skäl för att även låta den nya lagen om Kustbevak- Prop. 2011/12:45 ningens personuppgiftsbehandling innehålla en bestämmelse i vilken förtydligas att lagens syfte är att skydda den personliga integriteten. Som nämnts i det föregående finns det emellertid även andra intressen som ska vägas mot detta skydd. Även dessa är enligt regeringens mening väsentliga för den nya lagen. Mot denna bakgrund föreslår regeringen, vilket även föreslagits i promemorian, att det i den nya lagen införs en inledande bestämmelse som uttrycker att lagens övergripande syfte är att ge möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. I de följande avsnitten kommer det att redovisas närmare hur behovet av att kunna behandla vissa uppgifter lämpligen bör vägas mot intresset av skyddet för den personliga integriteten. Regeringens förslag: Lagen ska gälla vid behandling av personuppgifter i operativa verksamhet som rör 4.samordning av civila behov av sjöövervakning och förmedling av civil sjöinformation, och Lagen ska emellertid endast gälla om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Avvikande bestämmelser om behandling av personuppgifter i lagen om internationellt polisiärt samarbete och i föreskrifter som regeringen har meddelat i anslutning till den lagen ska gälla i stället för kustbevakningsdatalagen. De regler som gäller för personuppgiftsbehandling ska gälla även vid behandling av personuppgifter enligt lagen och förordningen om internationellt polisiärt samarbete, om annat inte följer av dessa författningar. Lagens bestämmelser ska till viss del även gälla vid behandling av uppgifter om juridiska personer. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanserna har inte haft några synpunkter i denna del. har anfört att det endast bör vara de grundläggande bestämmelserna i personuppgiftslagens hanteringsregler som ska tillämpas i fråga om behandling av uppgifter om juridiska personer. Skälen för regeringens förslag Som framgår av avsnitt 6 består verksamhet främst av sjöövervakning och räddningstjänst. Dessutom finns, som vid alla myndigheter, en intern administrativ verksamhet. Enligt 1 § förordningen (2007:853) med instruktion för har myndigheten till uppgift att bedriva sjöövervakning och utföra räddningstjänst till sjöss. ska också ha förmåga att förebygga, motstå och hantera krissituationer inom sitt ansvarsområde. Verksamheten bedrivs inom Sveriges sjöterritorium och ekonomiska zon samt på land i anslutning till dessa vatten. Med sjöövervakning avses att ansvara för eller bistå andra myndigheter med övervakning, brottsbekämpande verksamhet samt kontroll och tillsyn enligt vad som närmare anges i förordningen. Att utreda och besluta i vattenföroreningsärenden ingår t.ex. i denna verksamhet. Enligt bestämmelsen har vidare till särskild uppgift att samordna de civila behoven av sjöövervakning och förmedla civil sjöinformation till berörda myndigheter. ska också delta i internationellt samarbete inom sitt verksamhetsområde. Samtliga dessa verksamhetsområden innehåller uppgifter som främst är av operativ karaktär. Enligt regeringens mening talar detta för att den verksamhet som nämns i förordningens 1 § bör omfattas av den nya lagens tillämpningsområde. Emellertid förutsätter ett sådant förslag att det verkligen utförs personuppgiftsbehandling i all den verksamhet som nämns i bestämmelsen. Regeringen konstaterar att så inte är fallet när det gäller uppgift att ha förmåga att förebygga, motstå och hantera krissituationer inom sitt ansvarsområde. Detta uppdrag ger uttryck för ansvar att dimensionera verksamheten för att ha förmågan att vidta åtgärder i en uppkommen krissituation. Den behandling av personuppgifter som kan förekomma här är av administrativ karaktär varvid personuppgiftslagens (1998:204) bestämmelser äger tillämpning. Exempel på sådan personuppgiftsbehandling är beredskapslistor och förteckningar över tjänstemän på andra myndigheter som ska kontaktas vid behov. Mot denna bakgrund och med beaktande av vad som sagts i avsnitt 8.1 om behovet av ny lagstiftning föreslår regeringen att lagens tillämpningsområde ska omfatta brottsbekämpande verksamhet och övrig sjöövervakning, räddningstjänst, samordning av civila behov av sjöövervakning och förmedling av civil sjöinformation samt internationellt samarbete. Detta överensstämmer också med det förslag som lämnats i promemorian. I avsnitten 10 och 14 lämnar regeringen förslag till bestämmelser om för vilka ändamål som personuppgifter får behandlas. Då dessa ändamål föreslås korrespondera med det föreslagna tillämpningsområdet för lagen, kommer regeringen att ge den närmare beskrivningen av vad som omfattas av lagens tillämpningsområde i de avsnitten. Lagrådet är av uppfattningen att lagen vinner i tydlighet om det av lagtexten, bl.a. i den bestämmelse som reglerar lagens tillämpningsområde, klart kommer till uttryck att det är den operativa verksamheten som avses. Regeringen delar Lagrådets bedömning. Utanför lagens tillämpningsområde bör, som konstaterats i avsnitt 8.1, Prop. 2011/12:45 falla sådan behandling av personuppgifter som kan förekomma i Kustbe- vakningens verksamhet i samband med interna och administrativa åtgärder. Som exempel på administrativa arbetsområden kan nämnas personal- och lokalfrågor. För att kunna hantera behandlingen av personuppgifter i den administrativa verksamheten anser regeringen att bestämmelserna i personuppgiftslagen är tillräckliga. Den nya lagen om behandling av personuppgifter i verksamhet bör gälla för sådan behandling som omfattas av personuppgiftslagen. Härmed avses behandling av personuppgifter som är helt eller delvis automatiserad samt annan behandling av personuppgifter om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Med personuppgifter avses enligt personuppgiftslagen all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Det innebär att behandling av uppgifter om juridiska personer och avlidna inte omfattas av lagen. behandlar i sin verksamhet stora mängder uppgifter som rör andra än levande fysiska personer, t.ex. uppgifter om företag, myndigheter och andra organisationer. Även om juridiska personer inte har samma behov av integritetsskydd som fysiska personer bör enligt regeringens mening vissa grundläggande bestämmelser tillämpas även på juridiska personer. En av orsakerna till detta är att det kan vara svårt att i den elektroniska hanteringen skilja uppgifter om juridiska personer från uppgifter om fysiska personer som är ägare av eller ställföreträdare för dessa. Även lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet och den nya polisdatalagen är delvis tillämpliga på behandling av uppgifter om juridiska personer. Regeringen föreslår därför att även juridiska personer ska omfattas av de bestämmelser i lagen om behandling av uppgifter i verksamhet som reglerar personuppgiftsansvar, tillåtna ändamål för behandlingen, tillgången till personuppgifter, bevarande och gallring samt vissa bestämmelser om gemensamt tillgängliga uppgifter i verksamheten. Starka verksamhetsskäl talar dock, enligt regeringens uppfattning, för att undanta juridiska personer från bestämmelserna om sökbegränsningar. Den frågan tas upp i avsnitt 11.3. Bestämmelserna om personuppgiftsansvar för juridiska personer överensstämmer med vad som föreslogs i betänkandet personuppgiftsbehandling, Integritet Effektivitet (SOU 2006:18) och vad som gäller för verksamhet (jfr 10 § lagen [2005:787] om behandling av uppgifter i brottsbekämpande verksamhet och 1 kap. och 6 § lagen [2001:185] om behandling av uppgifter i verksamhet). Undantag från lagens tillämpningsområde I den nya polisdatalagen anges att den lagen inte omfattar bl.a. personuppgiftsbehandling som sker med stöd av lagen om belastningsregister, lagen om misstankeregister, lagen om Schengens informationssystem, lagen om passagerarregister eller lagen om polisens allmänna spaningsregister. Orsaken till det är att dessa lagar har väl avgränsade tillämpningsområden när det är fråga om behandling av personuppgifter som gäller i stället för polisdatalagen. Regeringen uttalar i förarbetena till lagen att det inte har framkommit att det finns några påtagliga tillämpningssvårigheter eller problem med en fortsatt särreglering. Regeringen påpekar även att den nuvarande polisdatalagen inte heller omfattar personuppgiftsbehandling som sker med stöd av dessa författningar (prop. 2009/10:85 s. 76). Det är som med hjälp av automatiserad behandling för de register som undantagits från polisdatalagens tillämpningsområde enligt ovan. Det är även som i dessa fall är personuppgiftsansvarig för hanteringen. När behandlar uppgifter som myndigheten har fått från dessa register blir regler om behandling av personuppgifter tillämpliga.