sou · GZB320 · 2011-03-15 00:00:00 — 9.2Definitioner i dataskyddsdirektivet och personuppgiftslagen I artikel 2 i dataskyddsdirektivet finns i flertalet fall motsvarande definitioner som i dataskyddsrambeslutet. b)behandling av personuppgifter (behandling) c)register med personuppgifter (register) f)tredje man g)mottagare, och h)den registrerades samtycke. I 3 § personuppgiftslagen (1998:204), som har sitt ursprung i dataskyddsdirektivet, finns i sin tur definitioner av i huvudsak motsvarande begrepp som ovan enligt följande; behandling (av personuppgifter), blockering (av personuppgifter), mottagare, den registrerade, samtycke, tillsynsmyndigheten, tredje land, och tredje man. 9.3Övergripande jämförelse mellan definitionerna Personuppgiftslagens definitioner av begreppen behandling (av personuppgifter), mottagare, personuppgifter, personuppgifts- ansvarig, personuppgiftsbiträde, den registrerade och tredje man är avsedda att ha samma innebörd som motsvarande uttryck har enligt artikel 2 i dataskyddsdirektivet (jfr /, Person- uppgiftslagen, en kommentar, 3 uppl., s. 69). Vad avser begreppet tredje man har i personuppgiftslagen gjorts en precisering att det inte omfattar ett av den personuppgifts- ansvarige utsett personuppgiftsombud. I dataskyddsrambeslutet finns inte någon specifik definition av begreppet tredje man. Begreppet register förekommer inte i personuppgiftslagen. Vad avser begreppen ovan föreligger sammantaget enligt vår mening inte skäl att föreslå någon komplettering av svensk rätt med anledning av definitionerna i dataskyddsrambeslutet. 9.4Närmare jämförelse av vissa begrepp I vissa fall föreligger utöver vad som anförts ovan skäl att närmare jämföra vissa begrepp som finns definierade i dataskyddsram- beslutet med de begrepp som finns definierade i dataskydds- direktivet och personuppgiftslagen, och i förekommande fall före- slå en komplettering av svensk rätt där så bedöms nödvändigt (jfr prop. 2008/09:16 s. 33). I dataskyddsrambeslutet definieras begreppet blockering enligt följande. Blockering: markering av lagrade personuppgifter med syftet att begränsa behandlingen av dessa . Dataskyddsrambeslutets engelska version anger följande. blocking means the marking of stored personal data with the aim of limiting their processing in future. Någon definition av detta begrepp finns inte i dataskydds- direktivet. Däremot finns en definition av begreppet blockering i person- uppgiftslagen enligt följande. En åtgärd som vidtas för att personuppgifterna skall vara förknippade med information om att de är spärrade och om anledningen till spärren och för att personuppgifterna inte skall lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen. Definitionen har utformats mot bakgrund av vad EG-kommis- sionen anfört i sina förklaringar till direktivförslagen (/, Personuppgiftslagen, en kommentar, 3 uppl., s. 71 och SOU 1993:10, En ny datalag, bil. s. 183). Av personuppgiftslagens definition framgår således att blockerade personuppgifter är spärrade och anledningen därtill och att de får användas internt hos den personuppgiftsansvarige och hos ett anlitat personuppgiftsbiträde, under förutsättning att det är där uppgifterna förekommer. Däremot får uppgifterna inte lämnas ut till tredje man, med undantag vad gäller utlämnande av allmänna handlingar enligt 2 kap. tryckfrihetsförordningen (jfr /s. 71). 2008/09:16 s. 33 har regeringen uppmärksammat skillnaden i definitionerna och framhållit att en närmare analys bör göras av om personuppgiftslagens definition av begreppet behöver anpassas till definitionen i rambeslutet. Angående denna definition har vi funnit skäl att göra en jämförelse med hur liknande begrepp har definierats i rådets beslut /615/RIF av om ett fördjupat gränsöver- skridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet (Prümrådsbeslutet). I artikel 24.1 d) i Prümrådsbeslutet finns en snarlik definition av begreppet ovan. Här används dock i stället begreppet spärrande. Artikeln har följande utformning. Spärrande: märkning av registrerade personuppgifter i syfte att begränsa den framtida behandlingen av dem. Denna definition har också förts in i 6 § förordningen (2010:705) om internationellt polisiärt samarbete som anger följande. I stället för att gallra personuppgifter enligt 5 § ska uppgifterna spärras, om det finns skäl att anta att gallring skulle innebära skada för den person som uppgifterna rör. Att uppgifterna är spärrade innebär att de endast får behandlas för att tillgodose det syfte som förhindrade gallring. Vi bedömer sammantaget att inget hindrar att den nu befintliga definitionen i personuppgiftslagen – som utöver definitionen även innehåller ytterligare information om hanteringen av blockerade/spärrade uppgifter – kan kvarstå. Varken innehållet i dataskyddsrambeslutet eller i Prümrådsbeslutet anser vi utgör tillräckliga skäl för att ändra eller komplettera svensk rätt i denna del. I dataskyddsrambeslutet definieras begreppet mottagare enligt följande. Mottagare: organ till vilken uppgifterna utlämnas. I den engelska versionen av dataskyddsrambeslutet har i sin tur definitionen följande utformning. Recipient means any body to which data are disclosed. I dataskyddsdirektivet definieras mottagare enligt följande. Mottagare: Den fysiska eller juridiska person, den myndighet, den institution eller det andra organ till vilket uppgifterna utlämnas, vare sig det är en tredje man eller inte. Myndigheter som kan komma att motta uppgifter inom ramen för ett särskilt uppdrag skall dock inte betraktas som mottagare. I personuppgiftslagen anges vidare begreppet mottagare enligt följande. Mottagare: Den till vilken personuppgifter lämnas ut. När personuppgifter lämnas ut för att en myndighet skall kunna utföra sådan tillsyn, kontroll eller revision som den är skyldig att sköta, anses dock inte myndigheten som mottagare. Som anförts ovan är begreppet i personuppgiftslagen avsett att ha samma innebörd som begreppet i dataskyddsdirektivet. Vid en jämförelse framstår dataskyddsrambeslutets definition som snävare än dataskyddsdirektivets och därmed även person- uppgiftslagens definitioner. Då det inte föreligger några regler som hindrar medlemsstaterna att införa strängare regler finns, enligt vår mening, inte skäl att föreslå någon justering eller komplettering av svensk rätt. I dataskyddsrambeslutet definieras begreppet den registrerades samtycke enligt följande. den registrerades samtycke: varje slag av frivillig, uttrycklig och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom. Motsvarande definition finns i dataskyddsdirektivet. Personuppgiftslagens definition av begreppet samtycke är också avsedd att ha samma innebörd som definitionen i dataskydds- direktivet. I lagen har det dock tagits in ett krav på att samtycket ska vara otvetydigt. I de fall där samtycket enligt dataskydds- direktivet dessutom ska vara uttryckligt anges detta direkt i de aktuella paragraferna. Begreppen otvetydigt och uttryckligt har en EG-gemensam innebörd (jfr /s. 69). Enligt vår bedömning är skillnaderna mellan dessa definitioner inte så betydande att det finns skäl att föreslå en komplettering i personuppgiftslagen eller annan svensk författning. Dataskyddsrambeslutet innehåller även definitioner av begreppen behörig myndighet (engelsk version: competent authorities), markering (engelsk version: referencing) och avidentifiering (engelsk version: to make anonymous). Nämnda begrepp återfinns inte definierade i dataskydds- direktivet eller personuppgiftslagen. 2008/09:16 s.33 är dock dessa definitioner inte av den arten att de måste införas i svensk lagstiftning. Vi gör motsvarande bedömning. Skäl att komplettera person- uppgiftslagen eller annan svensk författning i dessa delar föreligger därför inte. Vad gäller begreppet vidarebehandling, som förekommer i data- skyddsrambeslutets artikel 3.2 samt i skäl 20 och 21 i dataskydds- rambeslutets inledande delar, se vidare avsnitt 12.4 nedan. I kommittédirektivet Genomförande av dataskyddsrambeslutet (dir. 2010:17) anges att utredningen bl.a. närmare ska analysera behovet av lagändringar vad gäller frågan om behandlingen av känsliga personuppgifter. På sätt som anges i avsnitt 10.5.1 anser vi att förslagen till kompletterande bestämmelser angående registerförfattningarnas behandling av känsliga uppgifter ska läsas tillsammans med utformningen av registerförfattningarnas ändamålsbestämmelser. Bestämningen av ändamål för behandlingen av personuppgifter anses vara av central betydelse från integritetssynpunkt. Skäl före- ligger därför att närmare undersöka hur ändamålsbestämmelserna är utformade i EU-författningar respektive svensk rätt. I artikel 3 i rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (dataskyddsram- beslutet) anges följande angående bl.a. ändamålen. Principerna om lagenlighet, proportionalitet och ändamål 1.De behöriga myndigheterna får inom ramen för sina uppgifter samla in personuppgifter endast för särskilda, uttryckligt angivna och berättigade ändamål och uppgifterna får endast behandlas för det ändamål som låg till grund för insamlingen av dem. Behandlingen av uppgifterna ska vara lagenlig och adekvat, relevant och inte orimlig i förhållande till det ändamål för vilket de samlades in. 2.Vidare behandling för ett annat ändamål är tillåten om a)denna vidare behandling inte är oförenlig med det ändamål för vilket uppgifterna samlades in, b)de behöriga myndigheterna i enlighet med tillämpliga rättsliga bestämmelser är bemyndigade att behandla sådana uppgifter för ett sådant annat ändamål, och c)denna behandling är nödvändig och står i proportion till det andra ändamålet. Dessutom får de överförda personuppgifterna behandlas vidare av den behöriga myndigheten för historiska, statistiska eller vetenskapliga ändamål, under förutsättning att medlemsstaterna föreskriver lämpliga säkerhetsåtgärder, som avidentifiering av uppgifterna. Personuppgifter får, enligt artikel 3 i dataskyddsrambeslutet, således endast samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Som huvudregel får uppgifterna endast behandlas för det ändamål som låg till grund för insamlingen av dem. Personuppgifter får dock också vidarebehandlas för andra ändamål, om dessa inte är oförenliga med dem för vilka uppgifterna först samlades in, allt under förutsättning att de berörda myndigheterna får behandla uppgifterna för givna ändamål enligt nationell rätt och behandlingen dessutom är nödvändig och står i proportion till de ursprungliga ändamålen. Angående vidarebehandling och användningsbegränsningar se kap. 12. Som ett allmänt undantag från huvudregeln om att uppgifter bara får behandlas för det ursprungliga ändamålet finns bestäm- melsen i artikel 3 sista stycket i dataskyddsrambeslutet där det anges att uppgifter alltid får vidarebehandlas för historiska, statistiska eller vetenskapliga ändamål, under förutsättning att medlemsstaterna föreskriver lämpliga skyddsåtgärder, såsom avidentifiering av uppgifterna (se vidare avsnitt 12.6 nedan). Behandlingen av personuppgifter måste alltid vara lagenlig och adekvat, relevant och inte orimlig i förhållande till det ändamål för vilket uppgifterna samlades in. I artikel 15 i dataskyddsrambeslutet finns vidare regler som ålägger mottagaren av uppgifter att på begäran av den myndighet som har överfört uppgifterna ge besked om hur uppgifterna behandlas. Då det i nämnda artikel anges att personuppgifter får samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål och behandlas för det ändamål som låg till grund för insamlingen av dem, är det enligt vår mening av vikt att utreda om det i svensk rätt (personuppgiftslagen respektive de aktuella registerförfattning- arna) finns sådana ändamålsbestämmelser som motsvarar dataskyddsrambeslutets krav. Av skäl 6 i dataskyddsrambeslutets inledande delar framgår vidare att det får avgöras på nationell nivå vilka ändamål som ska anses vara oförenliga med det ändamål för vilket personuppgifterna ursprungligen insamlades. Som tidigare anförts (se kap. 7) är dataskyddsrambeslutet tillämpligt endast vad gäller personuppgifter som samlas in, bearbetas eller behandlas i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Nedan följer således en genomgång av dataskyddsdirektivet, svensk rätt och förslag till införande av kompletterande ändamåls- bestämmelser (se kap. 10.3–10.5). och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) innehåller bestämmelser om ändamål med följande innehåll Varje behandling av personuppgifter måste vara laglig och korrekt gentemot berörda personer. Uppgifterna måste särskilt vara adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Dessa ändamål skall vara uttryckligt angivna, berättigade och bestämda vid tiden för insamling av uppgifterna. Sådana ändamål med behandlingen som läggs fast sedan uppgifterna samlats in får inte vara oförenliga med de ändamål som ursprungligen angavs. behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål kan - förutsatt att medlemsstaterna ger lämpliga garantier - inte allmänt sett anses oförenliga med de ändamål för vilka uppgifterna tidigare samlades in. Dessa garantier skall särskilt hindra att uppgifterna används för att vidta åtgärder mot eller fatta beslut som rör en viss person. 1.Medlemsstaterna skall föreskriva att personuppgifter a)skall behandlas på ett korrekt och lagligt sätt, b)skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål; senare behandling får inte ske på ett sätt som är oförenligt med dessa ändamål. behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål skall inte anses oförenlig med dessa ändamål förutsatt att medlemsstaterna beslutar om lämpliga skyddsåtgärder, c)skall vara adekvata och relevanta och inte får omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas, d)skall vara riktiga och, om nödvändigt, aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlades in eller för vilka de senare behandlas, utplånas eller rättas, e)förvaras på ett sätt som förhindrar identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Medlemsstaterna skall vidta lämpliga skyddsåtgärder för de personuppgifter som lagras för historiska, statistiska eller vetenskapliga ändamål. 2.Det åligger den registeransvarige att säkerställa att punkt 1 efterlevs. Artikel 3 i dataskyddsrambeslutet motsvaras delvis av bestäm- melserna i 9 § personuppgiftslagen (1998:204). För behandling som omfattas av personuppgiftslagen gäller vissa grundläggande krav. I exempelvis 9 § personuppgiftslagen finns bestämmelser om krav på behandling av personuppgifter som en personuppgiftsansvarig alltid måste följa. När det gäller ändamål anges i 9 § första stycket personuppgiftslagen att personuppgifter får samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål (punkt c). De insamlade personuppgifterna får inte senare behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (punkt d). Denna sistnämnda bestämmelse kallas för finalitetsprincipen. Finalitetsprincipen medför att det är väsentligt att alla de ändamål för vilka man kan tänkas behöva använda de insamlade personuppgifterna finns angivna redan då uppgifterna samlas in. Något hinder mot att ange flera ändamål vid insamlingen finns alltså inte. Uppgifterna ska också vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Personuppgiftslagens regler om grundläggande krav på behandlingen i dessa delar gäller inom de nu aktuella verksamhetsområdena. Enligt 9 § andra stycket personuppgiftslagen ska senare behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål dock inte anses som oförenliga med de ändamål för vilka uppgifterna samlades in. Med behandling avses enligt 3 § personuppgiftslagen i detta sammanhang varje typ av åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatiserad väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhanda- hållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Registerförfattningar innehåller i regel bestämmelser om ändamål för behandlingar av de uppgifter som omfattas av den särskilda regleringen. I registerförfattningarna finns ofta en hänvisning till 9 § personuppgiftslagen eller en bestämmelse i själva register- författningen med samma innehåll. Den ram för tillåtna behandlingar som ges genom en angivelse av ändamål definieras i regel av 9 § första stycket c) och d) personuppgiftslagen i förening med den aktuella registerförfattningen (jfr SOU 2003:99, Ny sekretesslag, s. 236 och prop. 2002/03:135 s. 55). Finalitetsprincipens innehåll är något oklar och har varit föremål för diskussion. Det har bl.a. diskuterats i vad mån ändamålsbestämningar i registerförfattningar ska anses vara uttömmande eller inte. Med andra ord om andra med ändamålsbestämningen inte oförenliga ändamål ska anses vara tillåtna eller inte vid sidan av de uttryckliga ändamålen, då det handlar om en behandling av redan insamlade personuppgifter. – Att myndigheten inom ramen för register- författningens tillämpningsområde inte får behandla person- uppgifter för helt andra ändamål än de i författningen angivna, trots att det om författningen inte funnits skulle ha varit tillåtet enligt 10 § personuppgiftslagen (se avsnitt 2.7.2 ovan), torde stå klart. Det är likaså klart att myndigheten oberoende av ändamålsangivelserna och registerförfattningen i övrigt ska uppfylla sina skyldigheter att enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen söka efter, sammanställa och lämna ut personuppgifter. Det följer om inte annat av att grundlag tar över författningar av lägre rang. I de särskilda registerförfattningarna anges de tillåtna ändamålen, men av 9 § personuppgiftslagen – som normalt gäller vid behandling som omfattas av en registerförfattning – framgår indirekt (första stycket punkt d) att det inte är otillåtet att personuppgifterna också behandlas för alla ändamål som inte är oförenliga med det för vilket uppgifterna samlades in och (andra stycket) under alla förhållanden för historiska, statistiska och vetenskapliga ändamål. till , 2006 s. 700). I dessa sammanhang har det uttolkats (bl.a. av Patientdata- utredningen 2006:82) att – om det inte framgår av den aktuella registerförfattningen att ändamålsbestämmelsen syftar till att vara uttömmande och personuppgiftslagen gäller utöver den särskilda registerförfattningen – även andra icke angivna ändamål torde vara tillåtna, om dessa andra ändamål är förenliga med de i författningen angivna ändamålen eller om det är fråga om behandling för historiska, statistiska eller vetenskapliga ändamål. För den brottsbekämpande verksamheten som bedrivs av , och åklagarväsendet, finns bestäm- melser om personuppgiftsbehandling som innebär att bestämmel- sen i 9 § första stycket d) personuppgiftslagen i princip är tillämplig. I 2 kap. 2 § 3. polisdatalagen (2010:361) regleras bl.a. för- hållandet mellan denna lag och personuppgiftslagen varvid framgår att när personuppgifter behandlas enligt polisdatalagen eller enligt föreskrifter som har meddelats i anslutning till lagen gäller 9 §, med undantag för första stycket i) och tredje stycket personuppgifts- lagen, om grundläggande krav på behandling av personuppgifter. En motsvarande hänvisning finns för del i 6 § första stycket 3. lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet, men där hänvisningen till personuppgiftslagens bestämmelser om grundläggande krav på behandling i 9 § första stycket är begränsad till punkterna a), b) och e)–h). Vad särskilt gäller för möjlighet till vidare- behandling för historiska, vetenskapliga och statistiska ändamål, se avsnitt 12.6. 10.5.2Primära och sekundära ändamål Ett av de grundläggande kraven i personuppgiftslagen är att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. I registerförfattningarna förekommer ofta även en indelning i primära och sekundära ändamål för behandling av personuppgifter. Primära ändamål är sådana som är direkt anpassade till den verksamhet som bedrivs av personuppgiftsansvarig myndighet. Sekundära ändamål är i stället sådana som kan hänföras till andra myndigheters eller enskildas verksamhet; t.ex. att tillhandahålla information som behövs i författningsreglerad verksamhet hos någon annan. Eftersom personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket det samlades in, fyller de sekundära ändamålen sin plats i och med att de anger för vilka andra ändamål än de primära, som uppgifter får behandlas genom, lagring och annan behandling inom den aktuella myndighetens verksamhet (jfr betänkande, Skyddet för den personliga integriteten – kartläggning och analys, SOU 2007:22 s. 465). I vissa fall har uppdelningen mellan primära och sekundära ändamål undvikits. Av 3 § lagen (2001:617) om behandling av personuppgifter inom kriminalvården framgår följande. Kriminalvården får behandla personuppgifter bara om det behövs för att 1.myndigheten skall kunna fullgöra sina uppgifter i enlighet med vad som föreskrivs i lag eller förordning, 2.underlätta tillgången till sådana uppgifter om verkställighet av påföljd eller häktning som rättsväsendets myndigheter behöver, eller 3.upprätthålla säkerheten och förebygga brott som en åtgärd enligt 1 § första stycket 2-9 pågår. Personuppgifter som behandlas enligt första stycket får också behandlas om det behövs för tillsyn, planering, uppföljning och kvalitetssäkring av verksamheten. De av verksamhetsgrenar som omfattas av dataskyddsrambeslutets tillämpningsområde är verkställighet av straff i form av böter och förverkanden som ska indrivas. Dessa områden utgör delar av utsöknings- och indrivningsverksamhet. Bestämmelserna i 2 kap. lagen (2001:184) om behandling av uppgifter i verksamhet omfattar utsöknings- och indrivningsdatabas. I 2 kap. 2 § i nämnda lag stadgas följande. Uppgifter får behandlas i databasen för tillhandahållande av informa- tion som behövs i och verksamhet för 1.verkställighet eller annan åtgärd som särskilt åligger Kronofogde- myndigheten enligt utsökningsbalken eller annan författning, 2.indrivning av statliga fordringar m.m., 3.avräkning vid återbetalning av skatter och avgifter, 4.ansökan om och tillsyn över näringsförbud, 5.ärenden om ansvar för någon annans skatter och avgifter, och 6.tillsyn, kontroll, uppföljning och planering av verksamheten. Av 4–7 §§ förordningen (2003:188) om behandling av person- uppgifter inom framgår följande. Personuppgifter får behandlas i brottsbekämpande verksamhet, om det är nödvändigt för att förhindra eller upptäcka brottslig verksamhet som innefattar brott som enligt lag eller förordning har som uppgift att ingripa mot eller för att utreda sådana brott. Personuppgifter får behandlas i den kontroll- och tillsynsverksamhet som enligt lag eller förordning har att genomföra, om det är nödvändigt för att inrikta och genomföra verksamheten. Personuppgifter får behandlas vid handläggning av ärenden om vattenföroreningsavgift enligt lagen (1980:424) om åt-