sou · GZB320 · 2011-03-15 00:00:00 — Vi har i denna del ansett att svensk rätt i detta sammanhang har en tillräcklig reglering och om- fattning, genom bestämmelserna i personuppgiftslagen (1998:204), myndigheternas registerförfattningar och offentlighets- och sekretesslagen (2009:400), för att kunna säkerställa skyddet av enskildas personliga integritet mm. och för att därigenom leva upp till dataskyddsrambeslutets syfte och krav. Vi anser därför att den enda rimliga tolkningen av artikelns innehåll är att den ska reglera situationen om överföring som rör annan medlemsstat i Europeiska unionen än . Genom en ändamålstolkning av artikeltexten anser vi därför att den författningstext som vi föreslår ska införas med anledning dataskyddsrambeslutet i denna del ska utformas på sådant sätt att den tydliggör att detta enbart avser överföring av personuppgifter till en privat part i en annan medlemsstat. I skäl 18 i dataskyddsrambeslutets inledande delar framhålls att regleringen i artikel 14 inte berör personuppgifter som lämnas från domstolar, polisen eller till privata parter i brottmål. Som exempel på sådana privata parter nämns här försvarsadvokater och brottsoffer. Det kan övervägas om undantaget i skäl 18 från bestämmelserna i artikel 14 i dataskyddsrambeslutet uttryckligen bör tas in i vår föreslagna nya lag. Enligt vår mening är detta undantag dock en självklar förutsättning i svensk rätt. Lika självklart som att den enskilde själv ska ha rätt att ta del av sina egna uppgifter. Vi noterar även att undantaget inte heller har förts in direkt i artikeltexten utan enbart i de inledande delarna av dataskydds- rambeslutet. Sammantaget anser vi därför att det inte finns skäl att uttryckligen föra in undantaget i vår föreslagna lag. I skäl 17 i dataskyddsrambeslutets inledande delar nämns vidare som exempel på när det kan vara nödvändigt att lämna uppgifter för att avvärja en omedelbar och allvarlig fara för allmän säkerhet och förhindra att enskilda personers rättigheter lider allvarlig skada. Exemplen som nämns är varningar till banker eller kreditinstitut om förfalskade värdepapper. Dessutom anges i samma skäl – i fråga om fordonsstölder – uppgiftslämnande till försäkringsbolag för att hindra olaglig handel med stulna motorfordon och för att återföra stulna motorfordon från utlandet. 2008/09:16 s. 44 anförs att svensk rätt i huvudsak bedöms uppfylla dataskyddsrambeslutet i denna del. I förarbetena anges även att möjligheten till utlämnande av uppgifter med stöd av offentlighetsprincipen bör uppmärksammas i sammanhanget. Det framhålls också att det i artikeln görs undantag från huvudregeln för sådant uppgiftslämnande som utgör ett normalt led i brottmålsprocessen, dvs. uppgifter till parter i brottmål, brottsoffer och försvarare. Bestämmelserna i artikel 14 ovan har dock inte någon uttrycklig motsvarighet i registerförfattningarna i svensk rätt, varför skäl till att införa kompletterande bestämmelser föreligger i denna del. Vi föreslår att i den av oss föreslagna nya lagen om användnings- begränsningar vid behandling av personuppgifter vid polis- samarbete och straffrättsligt samarbete inom Europeiska unionen ska införas en bestämmelse om överföring till privata parter i medlemsstaterna (6 §) med följande innehåll. Personuppgifter som har överförts från eller gjorts tillgängliga av en myndighet i en annan medlemsstat får föras över till en privat part i en annan medlemsstat under förutsättning att 1.myndigheten i den medlemsstat från vilken uppgifterna har tagits emot har samtyckt till överföringen, 2.inga berättigade intressen för den som omfattas av uppgifterna hindrar överföringen, och 3.överföringen är absolut nödvändig för att a)utföra en författningsenlig uppgift, b)förebygga, utreda, avslöja eller lagföra brott, eller verkställa straffrättsliga påföljder, c)avvärja en omedelbar och allvarlig fara för den allmänna säkerheten, eller d)förhindra att enskildas rättigheter lider allvarlig skada. Vid överföringen ska mottagaren underrättas om för vilka ändamål uppgifterna uteslutande får användas. Angående vårt ställningstagande vad gäller uppgifter som har tagits emot från en , ett EU-organ eller ett informa- tionssystem inom EU, se avsnitt 8.2.5 ovan. Formuleringen i artikel 14 i dataskyddsrambeslutet – vilken även återfinns i 6 § i vårt förslag till ny lag på området – att personuppgifter har gjorts tillgängliga för medlemsstaten, anser vi dessutom tillräckligt tydliggörande i denna del. Eftersom personuppgifterna i grunden är hänförliga till medlemsstaterna är det enligt vår mening i detta sammanhang tillräckligt att i vår nya lag ovan enbart referera till medlemsstaterna. 12.10Skyldighet att iaktta överförande stats gallringsfrister (artikel 9) Våra förslag: I den av oss föreslagna nya lagen om användnings- begränsningar vid behandling av personuppgifter vid polis- samarbete och straffrättsligt samarbete inom Europeiska unionen införs en bestämmelse om bevarande och gallring (9 §) med följande innehåll. Om en överförande myndighet har ställt upp krav på tidsfrister för bevarande och gallring av personuppgifter, som är kortare än vad som följer av svensk rätt, ska dessa tidsfrister följas. Första stycket gäller inte om dessa uppgifter vid utgången av tidsfristerna krävs för en pågående utredning, lagföring av brott eller verkställighet av straffrättsliga påföljder. Artikel 9 i dataskyddsrambeslutet har följande lydelse. När den överförande myndigheten överför uppgifter eller gör dessa tillgängliga, får den enligt nationell lagstiftning och i enlighet med artiklarna 4 och 5 meddela de tidsfrister för lagring av uppgifterna efter vilka mottagaren ska radera eller blockera uppgifterna eller kontrollera om dessa fortfarande behövs. Denna skyldighet ska inte tillämpas, om dessa uppgifter vid ut- gången av tidsfristerna krävs för en pågående utredning, lagföring av brott eller verkställighet av straffrättsliga påföljder. Om den överförande myndigheten inte har angivit en tidsfrist enligt punkt 1 ska de tidsfrister som avses i artiklarna 4 och 5 för lagring av uppgifterna enligt de mottagande medlemsstaternas nationella lagstiftning tillämpas. Artikeln anger således att mottagaren av personuppgifter som huvudregel är skyldig att – när de tidsfrister för gallring m.m. som meddelats av den överförande staten löper ut – radera eller blockera uppgifterna eller att göra en bedömning av om uppgifterna fortfarande behövs. Om uppgifterna vid tidsfristens utgång behövs för en pågående utredning, lagföring av brott eller verkställighet av straffrättsliga påföljder gäller inte gallringsskyldigheten. 2008/09:16 s 41f framgår följande. Även här är det alltså fråga om bestämmelser i den överförande statens nationella rätt som följer med uppgifter som överförs. den överförande statens gallringsfrister ska iakttas kan innebära en begränsning i rätten att använda eller på annat sätt vidarebehandla uppgifter för ett ändamål som annars skulle ha varit tillåtet, t.ex. för att inleda en brottsutredning. Ett villkor om att en överförd uppgift ska gallras efter en bestämd tid som uppställs i samband med överförandet skulle därför kunna ses som en sådan användningsbegränsning som anges i de olika författningar som innehåller bestämmelser om användnings- begränsningar --- --- Ett sådant synsätt kan emellertid ifrågasättas. Syftet med bestäm- melserna om användningsbegränsningar är att begränsa rätten att använda uppgifter till vissa bestämda ändamål. Skyldighet att gallra en uppgift sträcker sig längre än så eftersom det innebär ett förbud mot att låta uppgiften finnas kvar tillgänglig , således även ett förbud mot att använda uppgiften för det ändamål som den över- fördes för. Syftet med att underrätta mottagarstaten om en gallrings- frist torde snarare vara att på ett mera allmänt plan upprätthålla ett önskat dataskydd än att styra användningsområdet för den uppgift som överförs. I det fortsatta lagstiftningsarbetet bör därför närmare analyseras om det behövs kompletterande lagstiftning (jfr prop. 2007/08:83 s. 48). En jämförelse kan i detta sammanhang göras med Rådets beslut /615/RIF av om ett fördjupat gränsöver- skridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet (Prümrådsbeslutet, jfr avsnitt 5.3.5). Artikel 28.3 b) i Prümrådsbeslutet har följande innehåll. Översända personuppgifter ska utplånas om de inte borde ha översänts eller mottagits. Uppgifter som har översänts och mottagits korrekt ska utplånas –- efter det att den tidsfrist som fastställs för lagring av uppgifterna enligt den översändande medlemsstatens nationella lagstiftning har löpt ut, när det översändande organet har informerat det mottagande organet om denna maximala lagringstid i samband med att uppgifterna översändes. I propositionen Genomförande av delar av Prümrådsbeslutet (prop. 2009/10:177 s. 15) anges att när det gäller uppgifter som har överskridit den längsta tillåtna tiden för bevarande i artikel 28.3 rör det sig om ett villkor som är känt redan vid översändandet och som därmed kan sägas utgöra ett villkor för att uppgifterna ska få användas. Gallringsregler av personuppgifter finns som regel i de olika registerförfattningarna. I annat fall blir personuppgiftslagens och arkivlagens bestämmelser tillämpliga. De olika register- författningarnas gallringsbestämmelser går huvudsakligen ut på att uppgifter ska gallras efter att de inte längre behövs för sina ursprungliga ändamål. Vi finner inget skäl att – med anledning av vad som anges i dataskyddsrambeslutet – göra några ändringar vad gäller de allmänna gallringsbestämmelserna i registerförfattningarna, person- uppgiftslagen eller arkivlagen. Däremot anser vi att om ett villkor för användning av personuppgifter ställs upp redan vid översändandet av sådana uppgifter är detta att se som en användningsbegränsning som bör regleras särskilt i svensk rätt. Artikel 9.1 i dataskyddsrambeslutet är enligt vår mening att se som en sådan användningsbegränsning. Vi föreslår mot bakgrund härav att det i den av oss föreslagna nya lagen om användningsbegränsningar vid behandling av person- uppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen ska införas en bestämmelse om tidsfrister för bevarande och gallring (9 §). Ur ett integritetsskyddsperspektiv föreslås denna bestämmelse begränsas till kortare tidsfrister än vad som följer av svensk rätt. Paragrafen föreslås få följande innehåll. Om en överförande myndighet har ställt upp krav på tidsfrister för bevarande och gallring av personuppgifter, som är kortare än vad som följer av svensk rätt, ska dessa tidsfrister följas. Första stycket gäller inte om dessa uppgifter vid utgången av tidsfristerna krävs för en pågående utredning, lagföring av brott eller verkställighet av straffrättsliga påföljder. 13 Rätt till information 13.1Registrerade personers rätt till information I artikel 16.1 i Rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (dataskyddsram- beslutet) finns regler om information till den registrerade vari det anges följande. Medlemsstaterna ska se till att den registrerade informeras om insamling eller behandling av personuppgifter av deras behöriga myndigheter i enlighet med nationell lagstiftning. I skäl 27 i inledningen till dataskyddsrambeslutet anges i denna del vidare följande. Medlemsstaterna bör se till att den registrerade personen informeras om att personuppgifter kan eller håller på att samlas in, behandlas eller överföras till en annan medlemsstat för att förebygga, utreda, avslöja och lagföra brott eller verkställa straffrättsliga påföljder. De närmare villkoren för den registrerade personens rätt att bli informerad och undantag från denna rätt bör fastställas i den nationella lagstiftningen. Detta kan genomföras på ett generellt sätt, t.ex. genom lagstiftning eller offentliggörande av en förteckning över olika typer av uppgifts- behandling. I artikel 16.2 i dataskyddsrambeslutet anges följande. Om personuppgifter har överförts eller gjorts tillgängliga mellan medlemsstaterna, får varje medlemsstat i enlighet med bestämmelserna i sin nationella lagstiftning enligt punkt 1, begära att den andra medlemsstaten inte informerar den registrerade. I sådana fall ska den senare medlemsstaten inte informera den registrerade utan förhands- medgivande från den andra medlemsstaten. Artikel 17 i dataskyddsrambeslutet innehåller vidare bestämmelser om rätt till tillgång och har följande innehåll. 1.Varje registrerad ska ha rätt att på begäran, med rimliga intervall, utan hinder och utan större tidsutdräkt eller kostnader erhålla a)åtminstone en bekräftelse från den registeransvarige eller från den behöriga nationella tillsynsmyndigheten på huruvida uppgifter som rör honom eller henne har överförts eller gjorts tillgängliga samt information om till vilka mottagare eller mottagarkategorier uppgifter- na har lämnats ut och information om vilka uppgifter som behandlas, eller b)åtminstone en bekräftelse från den behöriga nationella tillsyns- myndigheten på att alla nödvändiga kontroller har utförts. 2.Medlemsstaterna får anta lagstiftning som begränsar tillgången till information enligt punkt 1 a, om denna begränsning med vederbörligt beaktande av vederbörandes legitima intressen är en nödvändig och rimlig åtgärd för att a)hindra obstruktion mot officiella eller rättsliga utredningar, för- undersökningar eller förfaranden, b)inte inverka menligt på förebyggande, upptäckt, utredning och lagföring av brott eller verkställighet av straffrättsliga påföljder, c)skydda allmän säkerhet, d)skydda nationell säkerhet, e)skydda den registrerade eller andra personers fri- och rättigheter. 3.Varje vägran till tillgång eller begränsning av denna ska skriftligen meddelas den registrerade. De sakliga och rättsliga skäl som beslutet grundar sig på ska därvid också meddelas. Det sistnämnda med- delandet kan underlåtas om skäl enligt punkt 2 a-e föreligger. I samtliga dessa fall ska den registrerade meddelas att han eller hon kan överklaga till den behöriga nationella tillsynsmyndigheten, en rättslig myndighet eller domstol. I artiklarna 10–13 i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) finns regler som behandlar frågan om registrerade personers rätt till information m.m. Artiklarna, som sorterar under avdelningarna i direktivet vad gäller informationsplikt till den registrerade (artiklarna 10 och 11), den registrerades rätt att få tillgång till uppgifter (artikel 12), samt undantag och begränsningar (artikel 13), har följande innehåll. Information vid insamling av uppgifter från den registrerade Medlemsstaterna skall föreskriva att den registeransvarige eller hans företrädare i vart fall skall ge den person från vilken uppgifter om honom själv samlas in följande information, utom i fall då han redan känner till informationen: a)Den registeransvariges och dennes eventuella företrädares identitet. b)Ändamålen med den behandling för vilken uppgifterna är avsedda. c)All ytterligare information, exempelvis –mottagarna eller de kategorier som mottar uppgifterna, –huruvida det är obligatoriskt eller frivilligt att besvara frågorna samt eventuella följder av att inte svara, –förekomsten av rättigheter att få tillgång till och att erhålla rättelse av uppgifter som rör honom, i den utsträckning som den ytterligare informationen – med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling. Information när uppgifterna inte har samlats in från den registrerade Om uppgifterna inte har samlats in från den registrerade, skall medlemsstaterna föreskriva att den registeransvarige eller hans företrädare vid tiden för registreringen av personuppgifter eller, om utlämnande till en tredje man kan förutses, inte senare än då uppgifterna först lämnas ut, skall ge den registrerade åtminstone följande information, utom när den registrerade redan känner till informationen: a)Den registeransvariges och dennes eventuella företrädares identitet. b)Ändamålen med behandlingen. c)All ytterligare information, exempelvis –de kategorier av uppgifter som behandlingen gäller, –mottagarna eller de kategorier som mottar uppgifterna, –förekomsten av rättigheter att få tillgång till och att erhålla rättelse av de uppgifter som rör honom, i den utsträckning som den ytterligare informationen – med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling. 2.Bestämmelserna i punkt 1 skall inte gälla när det – särskilt i samband med behandling för statistiska ändamål eller historiska eller vetenskap- liga forskningsändamål – visar sig omöjligt eller innebära en opropor- tionerligt stor ansträngning att ge information eller om registrering eller utlämnande uttryckligen föreskrivs i författning. I sådana fall skall medlemsstaterna föreskriva lämpliga skyddsåtgärder. Medlemsstaterna skall säkerställa att varje registrerad har rätt att från den registeransvarige a)utan hinder och med rimliga intervall samt utan större tids- utdräkt eller kostnader – få bekräftelse på om uppgifter som rör honom behandlas eller inte och information om åtminstone ändamålen med behandlingen, de berörda uppgiftskategorierna och mottagarna eller mottagar- kategorierna till vilka uppgifterna utlämnas, – få begriplig information om vilka uppgifter som behandlas och all tillgänglig information om varifrån dessa uppgifter kommer, – få kännedom om den logik som används när uppgifter som rör honom behandlas på automatisk väg åtminstone såvitt avser sådana automatiska beslut som avses i artikel 15.1, b)i förekommande fall få sådana uppgifter som inte behandlats i enlighet med bestämmelserna i detta direktiv rättade, utplånade eller blockerade, särskilt om dessa är ofullständiga eller felaktiga, c)få genomfört att en tredje man till vilken sådana uppgifter utlämnats underrättas om varje rättelse, utplåning eller blockering som utförts i enlighet med punkt b), om detta inte visar sig vara omöjligt eller innebär en oproportionerligt stor ansträngning. Medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa omfattningen av de skyldigheter och rättigheter som anges i artiklarna 6.1, 10, 11.1, 12 och 21 i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till a)statens säkerhet, b)försvaret, c)allmän säkerhet, d)förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagreglerade yrken, e)ett viktigt ekonomiskt eller finansiellt intresse hos en medlems- stat eller hos Europeiska unionen, inklusive monetära frågor, budget- frågor och skattefrågor, f)en tillsyns-, inspektions- eller regleringsfunktion som, även om den är av övergående karaktär, är förbunden med myndighetsutövning ide under punkterna c), d) och e) nämnda fallen, g)skydd av den registrerades eller andras fri- och rättigheter. Under förutsättning av lämpliga rättsliga garantier får medlems- staterna, i synnerhet om uppgifterna inte används för åtgärder eller beslut som avser särskilda registrerade personer, i fall då det uppenbarligen inte föreligger någon risk att den berörda personens privatliv kränks, genom lagstiftning begränsa de rättigheter som anges i artikel 12 när uppgifterna endast behandlas för ändamål som har med vetenskaplig forskning att göra eller när uppgifterna endast lagras i form av personuppgifter som inte överstiger den tid som är nödvändig för att framställa statistik. I dataskyddsdirektivet har vidare i ingresspunkterna 41–44 anförts följande. 41)Alla måste kunna utöva sin rätt att få tillgång till uppgifter som rör dem och som är föremål för behandling, för att i detalj kunna försäkra sig om att uppgifterna är korrekta och om att behandlingen är tillåten. Av samma anledning måste var och en ha rätt att få reda på den logik som gäller för den automatiska databehandlingen av uppgifter som rör honom, åtminstone såvitt avser sådana automatiska beslut som avses i artikel 15.1. Denna rättighet får inte kränka affärshemligheten eller upphovsrätten, särskilt inte den upphovsrätt som skyddar program- varan. Detta bör dock inte få resultera i att den registrerade nekas all information. 42)Medlemsstaterna kan av hänsyn till intresset hos den registrerade eller till andras fri- och rättigheter begränsa rätten till tillgång till uppgifter och information. De kan till exempel besluta att tillgång till uppgifter av medicinsk art endast får erhållas genom förmedling av någon som är yrkesmässigt verksam inom hälso- och sjukvården. 43)Rätten till tillgång till uppgifter och information samt vissa skyldigheter hos den registeransvarige kan inskränkas av medlems- staterna i den utsträckning som det är nödvändigt för att skydda till exempel statens säkerhet, försvaret, allmän säkerhet eller viktiga ekonomiska eller finansiella intressen som är av betydelse för en medlemsstat eller för unionen, liksom för brottsutredningar och åtal och åtgärder som rör överträdelser av etiska regler som gäller för sådana yrken som särskilt regleras i lagstiftning. På förteckningen över undantag och begränsningar bör upptas de uppgifter för övervakning, tillsyn eller reglering som är nödvändiga på de tre sistnämnda områdena, nämligen allmän säkerhet, ekonomiska och finansiella intressen samt beivrande av brott. Uppräkningen av uppgifter på dessa tre områden påverkar inte undantag eller begränsningar av hänsyn till statens säkerhet och försvaret. 44)För att uppfylla vissa av de nämnda målsättningarna kan medlems- staterna på grund av bestämmelser i gemenskapsrätten tvingas att avvika från bestämmelserna i detta direktiv om rätten till tillgång till uppgifter, skyldigheten att informera enskilda personer och kvaliteten på uppgifterna. 13.1.3Personuppgiftslagen (1998:204) Dataskyddsdirektivets bestämmelser ovan har införts i svensk rätt under rubriken information till den registrerade genom bestämmel- serna i 23–27 §§ i personuppgiftslagen (1998:204) som har följande innehåll. Information skall lämnas självmant Om uppgifter om en person samlas in från personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den registrerade information om behandlingen av uppgifterna. Om personuppgifterna har samlats in från någon annan källa än den registrerade, skall den personuppgiftsansvarige självmant lämna den registrerade information om behandlingen av uppgifterna när de registreras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen dock inte ges förrän uppgifterna lämnas ut . Information enligt första stycket behöver inte lämnas, om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifter- na i en lag eller någon annan författning. Information behöver inte heller lämnas enligt första stycket, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall dock information lämnas senast i samband med att så sker. Den information som skall lämnas självmant Information enligt 23 eller 24 § skall omfatta a)uppgift om den personuppgiftsansvariges identitet, b)uppgift om ändamålen med behandlingen, och c)all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna upp- gifter och rätten att ansöka om information och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Information skall lämnas efter ansökan