sou · GZB320 · 2011-03-15 00:00:00 — I 10 § första stycket första meningen i förordningen (2006:937) om behandling av personuppgifter inom åklagarväsendet anges att känsliga personuppgifter, dvs. uppgifter om en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (jfr 13 § personuppgiftslagen), inte får behandlas enbart på grund av vad som är känt om en person om sådana förhållanden. Dessutom anges i 10 § andra stycket i samma förordning att om uppgifter om en person behandlas på annan grund får de kompletteras med känsliga personuppgifter, om det är absolut nödvändigt för syftet med behandlingen. Vid sökningar i åklagarväsendets ärendedatabas får vidare uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa eller sexualliv inte användas som sökbegrepp. Dataskyddsrambeslutets bestämmelser föranleder mot bakgrund härav inte några förslag till ändringar eller justeringar såvitt nu är ifråga. Härutöver anges i 10 § första stycket andra meningen i nämnda förordning att om uppgifterna finns i en handling som kommit in till eller i ett ärende får de dock behandlas. Angående detta undantag från huvudregeln i 10 § se vidare avsnitt 11.5.3 nedan. 11.5.3Närmare om behandling av känsliga personuppgifter vid handläggning av mål och ärenden samt vid diarieföring Våra förslag: Behandling av känsliga personuppgifter får ske dels vid diarieföring, dels om sådana uppgifter har lämnats i ett mål, ett ärende, en anmälan eller liknande, dels vid hand- läggningen av ett mål, ett ärende, en anmälan eller liknande – allt under förutsättning att detta är att se som absolut nödvändigt. Vi föreslår därför att ett tillägg med sistnämnda begrepp införs i följande författningar. –2 kap. 10 § polisdatalagen (2010:361), –11 § tredje stycket lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet, –1 kap. 6 § lagen (2001:184) om behandling av uppgifter i verksamhet, –10 § förordningen (2006:937) om behandling av person- uppgifter inom åklagarväsendet, –8 § förordningen (2001:641) om registerföring m.m. vid och kammarrätterna med hjälp av automatiserad behandling, –7 § förordningen (2001:640) om registerföring m.m. vid förvaltningsrätt med hjälp av automatiserad behandling, och –7 § förordningen (2001:639) om registerföring m.m. vid allmänna domstolar med hjälp av automatiserad behandling. Som ovan nämnts finns i vissa registerförfattningar bestämmelser som tillåter personuppgiftsbehandling av känsliga uppgifter vid t.ex. handläggning av mål och ärenden, samt vid diarieföring m.m. I 1 kap. 6 § lagen om behandling av uppgifter i Kronofogde- myndighetens verksamhet anges att känsliga personuppgifter som anges i 13 § personuppgiftslagen och uppgifter om lagöverträdelser m.m. som anges i 21 § samma lag får behandlas endast om uppgifterna har lämnats i ett mål eller ärende eller är nödvändiga för handläggningen. I 2 kap. 10 § andra stycket polisdatalagen jämfört med 2 kap. 9 § i samma lag stadgas att känsliga personuppgifter också ska få behandlas, om detta är nödvändigt för diarieföring eller om upp- gifterna har lämnats till polisen i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. Allmänna domstolar och allmänna förvaltningsdomstolar Vid annan automatiserad behandling av personuppgifter än vid verksamhets- och rättsfallsregister, anges – i de registerförfattningar som omfattar de allmänna domstolarnas och de allmänna förvaltningsdomstolarnas verksamhet – att känsliga personuppgifter som anges i 13 § personuppgiftslagen och uppgifter om lagöverträdelser m.m. som anges i 21 § samma lag får behandlas endast om uppgifterna har lämnats i ett mål eller ärende eller behövs för handläggningen av målet eller ärendet. I 11 § tredje stycket lagen om behandling av uppgifter i brottsbekämpande verksamhet anges att uppgifter som avses i paragrafens första stycke – känsliga personuppgifter – får behandlas om de förekommer i en handling som kommit in till i ett ärende. Vid åklagarväsendet får, enligt 10 § förordningen om behandling av personuppgifter inom åklagarväsendet, behandling av känsliga personuppgifter ske om de finns i en handling som kommit in till eller i ett ärende. Vår bedömning i denna del Utgångspunkten är, som angetts tidigare, att dataskyddsram- beslutet ställer upp krav på att behandling av känsliga person- uppgifter enbart ska få ske när det är absolut nödvändigt och när det genom svensk rätt tillhandahålls tillräckliga och adekvata skyddsåtgärder. Som en följd härav föreslås språkliga justeringar i flertalet registerförfattningar (se avsnitt 11.5.2). Frågan är nu om de i registerförfattningarna ovan redovisade reglerna angående handläggningen av mål och ärenden samt diarie- föring kan anses stå i överensstämmelse med dataskydds- rambeslutets krav. Av promemoria, Ds 2008:30, Antagande av rambeslut om skydd för personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete, s. 166, framgår bl.a. följande. Att tillåta behandling av en inkommen handling torde ändå vara förenligt med kravet på att behandlingen är absolut nödvändig, så som den svenska lagstiftningen reglerar hanteringen av allmänna handlingar. Däremot kan det behövas mer begränsande regler för annan behandling. En föreskrift om att känsliga personuppgifter får behandlas därför att de behövs för handläggningen torde inte ensamt uppfylla kraven i rambeslutet på att behandlingen ska vara absolut nödvändig och att det ska finnas adekvata skyddsåtgärder. En vägledning kan fås genom förarbetena till polisdatalagen (2010:361), vari det i prop. 2009/10:85, s. 122, anförs bl.a. följande. Känsliga personuppgifter ska också få behandlas, om detta är nödvändigt för diarieföring eller om uppgifterna har lämnats till polisen i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. Polisen måste alltid ha möjlighet att diarieföra och handlägga inkommande anmälningar och liknande skrivelser. bör vara tillåten även i de fall där inkommande anmälningar innehåller känsliga personuppgifter. Detta bör komma till uttryck i lagtexten som ett undantag från förbudet att behandla känsliga personuppgifter. I propositionen anges vidare (s. 324 ff.). Känsliga personuppgifter får alltid behandlas i de fall som avses i 9 §, dvs. om det är nödvändigt för diarieföring eller, i fråga om uppgifter i en anmälan eller liknande, om det är nödvändigt för handläggningen. Det innebär bl.a. att det är möjligt för polisen att ta emot och besvara anmälningar och liknande skrifter som lämnas i elektronisk form även om dessa innehåller känsliga personuppgifter. -- Vilka uppgifter som måste noteras i samband med diarieföring av en handling framgår av 5 kap. 2 § offentlighets- och sekretesslagen (2009:400). Vid diarie- föring av inkomna handlingar får således alltid anges vem handlingen har kommit från och i korthet vad handlingen rör. Någon annan behandling än sådan som är nödvändig för diarieföringen får emellertid inte utföras med stöd av [9 §] första punkten. Vidare får, enligt [9 §] andra punkten, personuppgifter alltid behandlas om de har lämnats till polisen i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. Uttrycket anmälan eller liknande innefattar alla slag av framställningar till polisen. -- Eftersom en framställan vanligtvis påfordrar något slag av handläggning hos myndigheten, har det ansetts nödvändigt med en särskild bestämmelse för personuppgiftsbehandling i dessa fall. Behandlingen måste vara nödvändig för handläggningen. Det kan i ett enskilt fall innebära att personuppgifter i ett e-postmeddelande inte får behandlas på annat sätt än att uppgifterna tas emot och därefter arkiveras eller gallras. I ett annat fall kan bestämmelsen innebära att personuppgifterna också får behandlas i samband med att framställan besvaras. Motsvarande resonemang vad avser diarieföring och uppgifter som har lämnats i en anmälan eller liknande, har förts i Åklagardata- utredningens betänkande (SOU 2008:87, Åklagarväsendets brotts- bekämpning, Integritet – Effektivitet, s. 210 f.). I förarbetena till lagen om behandling av uppgifter i brottsbekämpande verksamhet (prop. 2004/05:164) har vidare avseende syftet i 11 § tredje stycket framhållits att inte har möjlighet att påverka vilka uppgifter som ingår i handlingar vilka inkommer till myndigheten. Vidare har anförts följande. Normalt diarieförs dessa handlingar och åsätts ett ärendenummer, vilka därefter får behandlas av även om de innehåller känsliga personuppgifter. Bestämmelsen avser således endast de handlingar som är av sådan karaktär att de behandlas som ett ärende av myndigheten. I likhet med vad som anförts ovan i citerade förarbeten är vår utgångspunkt att en myndighet – med stöd av offentlighets- principen – ska kunna behandla känsliga uppgifter dels vid diarie- föringen, dels om sådana uppgifter har lämnats i ett mål, ett ärende, en anmälan eller liknande, dels vid handläggningen av ett mål, ett ärende, en anmälan eller liknande. Även vår bedömning är således att , allmänna domstolar, allmänna förvaltningsdomstolar, polisen och åklagarväsendet, i de situationer som anges ovan, alltid ska ha möjlighet att diarieföra och handlägga inkommande anmälningar eller liknande skrivelser i mål och ärenden m.m. – även i de fall där sådana handlingar innehåller känsliga personuppgifter. Liknande bedömning anser vi kunna göras vad gäller ärenden i Dataskyddsrambeslutets krav att behandlingen av känsliga personuppgifter endast får ske när det är absolut nödvändigt och när tillräckliga och adekvata skyddsåtgärder i den nationella lagstiftningen tillhandahålls får, enligt vår mening, anses uppfyllas genom övriga bestämmelser i registerförfattningarna och person- uppgiftslagen i form av bl.a. sökbegränsningar och gallrings- bestämmelser m.m. samt även i denna del genom ett förtydligande att behandlingen av känsliga personuppgifter vid diarieföring, handläggning av mål m.m. enbart ska ske när detta är att se som absolut nödvändigt. Genom att utforma likalydande bestämmelser i register- författningarna stärks även skyddet av den enskildes integritet. Det har i sammanhanget framhållits att diarieföring och hand- läggning givetvis även förekommer vid andra brottsbekämpande myndigheter såsom Kriminalvården, och . I registerförfattningarna för nämnda myndigheter finns inte några bestämmelser som särskilt reglerar behandling av känsliga uppgifter vid t.ex. diarieföring eller handläggning av ärenden. är således reglerna för Kriminalvården, Kustbevakning- en och än mer begränsande än för tidigare nämnda myndigheter. Då medlemsstaterna kan ha ett starkare nationellt skydd än vad som framgår av dataskyddsrambeslutet (jfr artikel 1 punkten 5 dataskyddsrambeslutet och skäl 8 i rambeslutets inledande delar) har vi valt att inte föreslå införandet av några nya bestämmelser i registerförfattningarna för Kriminalvården, och , utan enbart justerat de registerförfattningar som innehåller bestämmelser om diarieföring, handläggning av mål och ärenden m.m. I kommittédirektivet Genomförande av dataskyddsrambeslutet (dir. 2010:17) anges bl.a. att utredningen närmare ska analysera behovet av lagändringar angående rambeslutets användnings- begränsningar. Det föreligger mot bakgrund härav skäl att först undersöka vilka regler i dataskyddsrambeslutet som berör olika användnings- begränsningar, därefter undersöka vilka motsvarande begränsningar som finns i svensk rätt och slutligen lämna eventuella förslag på hur svensk rätt ska kompletteras i dessa delar för att motsvara dataskyddsrambeslutets krav. Rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polis- samarbete och straffrättsligt samarbete (dataskyddsrambeslutet) innehåller – förutom regler om begränsningar av den behandling av personuppgifter som är en följd av vissa angivna ändamål (se vidare kap. 10) – regler om vidarebehandling och användningsbegränsning- ar, vad avser uppgifter som erhållits från en annan medlemsstat eller som har gjorts tillgängliga av en annan medlemsstat, nämligen Artikel 3.2 (se vidare avsnitt 12.4). Artikel 11 – Behandling av personuppgifter som överförts från eller gjorts tillgängliga av en annan medlemsstat (se vidare avsnitt 12.5). Artikel 3 sista stycket och artikel 11 sista stycket – Vidare- behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål (se avsnitt 12.6). Artikel 12 – Iakttagande av nationella restriktioner för behandling av uppgifter (se vidare avsnitt 12.7). Artikel 13 – Överföring till behöriga myndigheter i tredjestater eller till internationella organ (se vidare avsnitt 12.8). Artikel 14 – Överföring till privata parter i medlemsstaterna (se vidare avsnitt 12.9). Artikel 16.2 – Information till den registrerade (se vidare avsnitt 13.1.5). Artikel 9 – Skyldighet att iaktta överförande stats gallrings- frister (se vidare avsnitt 12.10). Dataskyddsrambeslutet innehåller därmed en rad bestämmelser som på olika sätt begränsar rätten att behandla personuppgifter som omfattas av dataskyddsrambeslutet. Artiklarna kräver till viss del lagändringar. Ändringarna redo- görs för avsnitten 12.5–12.10 nedan. 12.2.1Begränsning av vårt uppdrag Vår bedömning: Frågan om att ta fram förslag till bestämmelser som reglerar möjligheten för svenska myndigheter att ställa villkor för användningen av uppgifter som överförs till andra stater och medge undantag från sådana villkor, ligger utanför vårt uppdrag. Ett genomförande av dataskyddsrambeslutet ställer krav på att det finns en reglering som säkerställer att svenska myndigheter inte behandlar uppgifter på ett sätt som inte dataskyddsrambeslutet tillåter. Däremot kräver inte dataskyddsrambeslutet att det finns nationella regler som reglerar möjligheten för svenska myndigheter att ställa villkor för användningen av uppgifter som överförs till andra stater och medge undantag från sådana villkor. I detta sammanhang kan inledningsvis konstateras att det är möjligt att lämna användningsbegränsningar generellt (jfr propositionen Genomförande av delar av Prümrådsbeslutet, prop. 2009/10:177, s. 12–13). I propositionen Godkännande av dataskyddsrambeslutet, prop. 2008/09: 16, s. 40 har i denna del anförts att frågan, om en sådan reglering bör införas för svenska myndigheter att ställa villkor för användningen av uppgifter som förs över till andra stater, inte bör behandlas i propositionen. Däremot kan det enligt propositionen vara lämpligt att se över denna fråga i det fortsatta lagstiftnings- arbetet. Enligt vår bedömning faller emellertid denna frågeställning utanför det uppdrag som vi enligt våra direktiv är ålagda att utreda. Några skäl att ändå utreda nämnda frågeställning föreligger inte heller. Vår bedömning: Vi bedömer att en märkning, varifrån upp- gifter härstammar, är både nödvändig och möjlig för att reglerna i dataskyddsrambeslutet om exempelvis användningsbegräsning- ar ska kunna tillämpas på rätt sätt. Frågan om utarbetandet av ett system med märkning av uppgifter får överlämnas till de myndigheter som utbyter de aktuella uppgifterna. Något krav på att myndigheterna även ska märka uppgifter som har inkommit före tidpunkten för ikraftträdandet av de nya och justerade regler som föreslås med anledning av dataskydds- rambeslutet, bör inte föreligga. Dataskyddsrambeslutets bestämmelser omfattar personuppgifter som en svensk myndighet har erhållit från, eller som har gjorts tillgängliga av, en annan medlemsstat. När det gäller regler om användningsbegränsningar är det av vikt att veta varifrån en viss uppgift kommer för att klargöra om en uppgift lyder under dataskyddsrambeslutets tillämpningsområde. 2008/09:16 s. 44 har med anledning härav framhållits att det i sammanhanget krävs någon typ av märkning av varifrån uppgifterna härstammar, så att reglerna om användningsbegräns- ningar ska kunna tillämpas på ett korrekt sätt. Av förarbetena framgår närmare följande. Även om det krävs lagändringar kan regleringen därför utformas så att den inte hämmar det informationsutbyte som äger rum nationellt. Det som i så fall krävs är någon form av märkning av uppgifter som härrör från en annan medlemsstat, som gör den behandlande myndigheten uppmärksam på att uppgifterna inte får användas fritt. Varje överföring från en annan stat eller tillgängliggörande kommer nämligen att bära med sig begränsningar i fråga om behandling. Om uppgifter som bär med sig en användarbegränsning inte är märkta finns det en uppenbar risk att någon annan än den som tog emot uppgifterna oavsiktligt använder dessa i strid med användnings- begränsningen. I det fortsatta lagstiftningsarbetet bör även denna fråga uppmärksammas. Vi bedömer att en sådan märkning, varifrån uppgifterna här- stammar, är både nödvändig och möjlig för att reglerna i data- skyddsrambeslutet ska kunna tillämpas i svensk rätt. Något integritetsintrång för den enskilde i dessa delar kan inte anses föreligga. Vi är medvetna om att problem i sammanhanget kan komma att uppstå när uppgifter flyter in och ut hos myndighet- erna och att det i sådana fall kan bli svårigheter att utröna varifrån uppgifterna ursprungligen kommer. I de flesta fall bedömer vi dock att det torde finnas en möjlighet att ta reda på varifrån uppgifterna härstammar. Hos vissa myndigheter – t.ex. och Eko- brottsmyndigheten – förekommer viss märkning varifrån uppgifter ursprungligen kommer. Frågan om utarbetandet av ett system med märkning av uppgifter får överlämnas till de myndigheter som utbyter de aktuella uppgifterna. Någon författningsreglering på lag- eller förordningsnivå är inte nödvändig. Att myndigheterna även ska märka uppgifter som har inkommit före tidpunkten för ikraftträdandet av de nya och justerade regler som föreslås med anledning av dataskyddsrambeslutet framstår inte som realistiskt eller genomförbart. Något krav härpå kan enligt vår bedömning inte heller föreligga genom dataskyddsrambeslutet. 12.3Vad innebär användningsbegränsningar? 12.3.1Svensk rätt – användningsbegränsningar i författningar om internationellt samarbete På sätt som redogjorts för i kap 5 finns bestämmelser i svensk rätt som reglerar situationerna då en svensk myndighet erhåller information eller bevismaterial med s.k. användningsbegränsningar (villkor för användningen) från en utländsk myndighet. Bestämmelser i svensk rätt om internationellt samarbete, med s.k. användningsbegränsningar, tar över vad som är gällande i andra fall, t.ex. angående åtalsplikt (se vidare kap. 5). Bestämmelser om användningsbegränsningar finns i 5 kap. 1 § lagen (2000:562) om internationell rättslig hjälp i brottmål, 3 § lagen (2000:343) om internationellt polisiärt samarbete, 5, 13 och 16 §§ lagen (2000:1174) om vissa former av interna- tionellt samarbete i brottsutredningar, 4 kap. 2 § lagen (2000:1219) om internationellt tullsamarbete, samt 10 § andra stycket lagen (2000:344) om Schengens informa- tionssystem. I samtliga dessa lagar föreskrivs att svenska myndigheter är skyldiga att följa de villkor som ställs i sammanhanget av en utländsk myndighet eller mellanfolklig organisation. Ett sätt att se på dataskyddsrambeslutets användningsbegräns- ningar är att den typ av begränsningar som t.ex. anges i artikel 11 a)–d) torde kunna betraktas som sådana användningsbegränsningar som motsvaras av reglerna i ovan nämnda författningar, jfr prop. 2007/08:83 s. 41 f. avseende artikel 26 i Prümrådsbeslutet (se avsnitt 5.3.5) samt prop. 2008/09:16 s. 40. Av sistnämnda förarbeten framgår dessutom i huvudsak följande. Bestämmelserna i de nämnda författningarna innebär att personuppgifter, som behandlas av , polisen, och åklagarväsendet i enlighet med dessa författningar, omfattas av dataskyddsrambeslutet och att de villkor som data- skyddsrambeslutet föreskriver, t.ex. kravet på samtycke ska följas. Vidare omfattas, enligt samma förarbeten, personuppgifter som kommit in genom nämnda författningar och som därefter kommit någon av de ovan nämnda myndigheterna eller Kriminalvården, eller allmänna domstolar eller allmänna förvaltnings- domstolar till del (jfr JO 2007/08 s. 57). De internationella samarbetslagarna ovan innehåller den materiella lagstiftningen vad avser samarbete m.m. Med andra ord reglerar dessa samarbetslagar enbart de generella regler som tydliggör det internationella samarbetet och villkor för användningen av viss information och bevismaterial. Vi kan härigenom konstatera att de internationella samarbets- lagarna har ett mer vitt tillämpningsområde än dataskyddsram- beslutet. Flera av lagarna, t.ex. lagen om internationellt tull- samarbete, reglerar inte enbart polisiärt samarbete, utan även samarbete inom andra områden. Samarbetslagarna täcker vidare långt ifrån allt samarbete i form av uppgiftsutbyte som myndigheterna utövar (jfr kap. 5 ovan). 12.3.2Reglering av utlämnande av uppgifter Vår bedömning: Bestämmelserna om användningsbegränsning- ar m.m. i dataskyddsrambeslutet reglerar endast vidare- behandling av personuppgifter som är helt eller delvis automatiserad eller om uppgifterna ingår i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. I artikel 1.3 dataskyddsrambeslutet – syfte och tillämpningsområde – stadgas att rambeslutet gäller för sådan behandling av person- uppgifter som utförs helt eller delvis automatiskt samt för annan behandling än automatisk av sådana personuppgifter som ingår i eller kommer att ingå i ett register. Enligt vår bedömning utgör således dataskyddsrambeslutets bestämmelser endast en reglering av automatiserad spridning av behandlade personuppgifter eller personuppgifter som ingår eller kommer att ingå i ett register. Detta innebär bl.a. att de bestämmelser om t.ex. användar- begränsningar som ställs upp i dataskyddsrambeslutet avser en inskränkning för enskilda att få del av personuppgifter i viss form. 12.3.3Utlämnande med stöd av handlingsoffentligheten Vår bedömning: För det fall en vidarebehandling av personupp- gifter sker i syfte att uppfylla de krav som gäller offentlighets- principen enligt tryckfrihetsförordningen, kan en sådan vidare- behandling givetvis inte ses som oförenlig med dataskydds- rambeslutets bestämmelser om begränsningar i rätten att vidarebehandla uppgifter. I skäl 31 i dataskyddsrambeslutets inledande delar anges att data- skyddsrambeslutet -- gör att principen om allmänhetens tillgång till offentliga handlingar kan tillgodoses vid tillämpningen av principerna i detta. Det nämnda syftar på reglerna om utlämnande av person- uppgifter med stöd av offentlighetsprincipen. Ett uttryck för offentlighetsprincipen är principen om handlingsoffentlighet som garanterar insyn i , regeringens och myndigheternas arbete. Enligt 2 kap. 1 § tryckfrihetsförordningen framgår att -- till främjande av ett fritt meningsutbyte och en allsidig upplysning skall varje svensk medborgare ha rätt att ta del av allmänna handlingar. Handlingsoffentligheten ger således var och en rätt att begära att få del av allmänna handlingar. Som har anförts (se avsnitt 12.3.2) innehåller data- skyddsrambeslutet enbart regler om vidarebehandling av person- uppgifter som är helt eller delvis automatiserad eller om uppgifter- na ingår i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Allmänheten har inte rätt att med stöd av offentlighetsprincipen kräva att uppgifter lämnas ut på visst sätt, t.ex. automatiserat (jfr 2 kap. 13 § tryckfrihetsförordningen). Detta innebär att dataskyddsrambeslutets bestämmelser inte strider mot allmänhetens rätt till insyn och rätt att ta del av allmänna offentliga handlingar. Vi bedömer i likhet med vad som sägs i förarbetena – prop.