sou · GZB320 · 2011-03-15 00:00:00 — 2008/09: 16 s. 39 – att för det fall en vidarebehandling av person- uppgifter sker i syfte att uppfylla de krav som gäller offentlighets- principen enligt svensk rätt, kan en sådan vidarebehandling inte ses som oförenlig med dataskyddsrambeslutets bestämmelser om begränsningar i rätten att vidarebehandla uppgifter. Angående frågor om allmänhetens tillgång till uppgifterna och frågor om sekretessregleringen i svensk rätt i detta sammanhang, se kap. 6. 12.3.4Offentlighets- och sekretesslagens påverkan av dataskyddsrambeslutet Vår bedömning: Dataskyddsrambeslutets bestämmelser om användningsbegränsningar föranleder inte någon ändring i offentlighets- och sekretesslagen (2009:400). I avsnitt 6.5 ovan har redogjorts för bestämmelsen i 9 kap. 2 § offentlighets- och sekretesslagen (2009:400, OSL), som hänvisar till de bestämmelser i svensk rätt som begränsar möjligheten att använda vissa uppgifter som en svensk myndighet har fått från en myndighet i en annan stat. På sätt som anges nedan i avsnitt 12.3.5 har vi funnit skäl att föreslå att en ny lag – lagen om användningsbegränsningar vid behandling av personuppgifter vid polissamarbete och straff- rättsligt samarbete inom Europeiska unionen – ska införas. Mot bakgrund härav föreligger enligt vår mening inte något skäl att föreslå justeringar i OSL. Vår bedömning är att den av oss föreslagna nya lagen nedan (se vidare avsnitt 12.3.5) samt 9 kap. 2 § OSL tillsammans med övriga sekretessregler, är tillräckliga för att uppfylla dataskyddsram- beslutets krav. Sammanfattningsvis föranleder dataskyddsrambeslutets bestäm- melser således inte någon ändring i OSL. 12.3.5Ny lag om användningsbegränsningar vid behandling av personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen Våra förslag: En ny lag om användningsbegränsningar vid behandling av personuppgifter vid polissamarbete och straff- rättligt samarbete inom Europeiska unionen införs i svensk rätt. I lagens 1–3 §§ införs bestämmelser om lagens tillämpnings- område mm med följande innehåll. 1 § I denna lag finns bestämmelser om användnings- begränsningar vid behandling av personuppgifter enligt Rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (dataskyddsrambeslutet). 2 § Denna lag gäller endast vidarebehandling av person- uppgifter inom ramen för polissamarbete och straffrättsligt samarbete, som Kriminalvården, , , polisen utom Säkerhetspolisen, , allmänna domstolar, allmänna förvaltningsdomstolar, , eller har tagit emot från en annan medlemsstat i Europeiska unionen, eller som har gjorts tillgängliga av en sådan medlemsstat. 3 § Denna lag gäller för sådan vidarebehandling av person- uppgifter som är helt eller delvis automatiserad. Lagen gäller även för annan vidarebehandling av person- uppgifter, om uppgifterna ingår i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. För att uppfylla dataskyddsrambeslutets krav, föreslår vi att en ny lag – lagen om användningsbegränsningar vi behandling av personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen – ska införas. Denna nya lag föreslås innehålla bestämmelser om lagens tillämpningsområde m.m. (1-3 §§), ändamål för vidarebehandling av personuppgifter (4 §), överföring av personuppgifter till tredje land eller till internationella organ (5 §), överföring av person- uppgifter till privat part inom Europeiska unionen (6 §), nationella restriktioner för behandling av uppgifter (7 §), information till den registrerade (8 §), samt bevarande och gallring av personuppgifter (9 §). Lagens bestämmelser ska motsvara artikel 3.2 jämförd med artikel 11, samt artiklarna, 9, 12, 13, 14 och 16.2 i dataskydds- rambeslutet. Ett alternativ till att föreslå en ny lag hade i stället varit att föreslå att motsvarande bestämmelser skulle införas direkt i de för myndigheterna här aktuella internationella samarbetslagarna (jfr avsnitt 12.3.1 och 5 kap.). Ett sådant alternativ hade dock medfört att omfattningen av användningsbegränsningarna hade blivit större än vad som är fallet, detta på grund av att den av oss nu föreslagna lagstiftningen enbart omfattar behandling av personuppgifter som är helt eller delvis automatiserad eller om uppgifterna ingår i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. En placering av motsvarande bestämmelser i de internationella samarbetslagarna hade således inneburit att användningsbegräns- ningarna inte hade begränsats till det som omfattas av dataskyddsrambeslutet. Mot bakgrund av det ovan anförda föreligger alltså enligt vår mening skäl att föreslå att en ny lag ska införas. Ett annat alternativ till vår föreslagna nya lag hade varit att placera bestämmelserna i var och en av de registerförfattningar som gäller för de aktuella myndigheter som anges i 2 § i vår föreslagna lag. Vi anser dock att det för tillämparna blir tydligast att ifråga- varande regler finns i en särskild lag. Det lämpar sig nämligen enligt vår mening bäst att specialregler inom ett visst område finns i särskild lag till vilken man sedan gör hänvisningar (jfr 2 kap. 2 § tryckfrihetsförordningen). Dessutom ter det sig naturligt att reglera ett generellt rambeslut som täcker flera myndigheters verksamhet i en särskild lag. Mot bakgrund härav och av tydlighetsskäl föreslår vi också att ett antal hänvisningsparagrafer till vår nya lag ska införas i myndigheternas registerförfattningar (se vidare kap. 15). Vad gäller lagens tillämpningsområde m.m. finns bestämmelser i 1–3 §§. I 1 § anges att lagen avser bestämmelser om användnings- begränsningar enligt dataskyddsrambeslutet. I 2 § anges dels att lagen gäller vidarebehandling av person- uppgifter, dels att lagen enbart ska tillämpas inom ramen för polissamarbete och straffrättsligt samarbete vad gäller person- uppgifter som har tagits emot från en annan medlemsstat i Europeiska unionen, eller som har gjorts tillgängliga av en sådan medlemsstat (jfr kap. 8 ovan). I paragrafen anges också vilka myndigheter som omfattas av lagens bestämmelser. Dessa myndigheter är Kriminalvården, , , polisen utom Säkerhetspolisen, , allmänna domstolar, allmänna förvaltningsdomstolar, samt och (jfr kap. 4 ovan). Vad gäller undantaget för Säkerhetspolisen, se avsnitt 8.3.1 ovan. I 3 § stadgas att lagen gäller för sådan vidarebehandling av personuppgifter som är helt eller delvis automatiserad samt för annan vidarebehandling av uppgifter under förutsättning att uppgifterna ingår i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (jfr avsnitt 8.2.6 ovan). Angående vårt ställningstagande vad gäller uppgifter som tagits emot från en eller ett informationssystem inom EU, se avsnitt 8.2.5. Nedan (se kap. 12.5–12.10 samt i kap. 13.1.5) följer en genom- gång av artiklarna i dataskyddsrambeslutet vad gäller användnings- begränsningarna, samt förslag till ändringar och kompletteringar av svensk rätt. 12.4Vidarebehandling – gemensamma bestämmelser Vår bedömning: Bestämmelserna i artikel 3.2 dataskyddsram- beslutet föranleder inte någon ändring i lag eller förordning. Vad avser vidarebehandling för historiska, statistiska eller vetenskapliga ändamål se vidare kap. 12.6 nedan. När det gäller annan vidarebehandling än för historiska, statistiska eller vetenskapliga ändamål ställer dataskyddsrambeslutet mer preciserade krav än dataskyddsdirektivet. Artikel 3.2 i dataskyddsrambeslutet innehåller bestämmelser om vidarebehandling av personuppgifter som omfattas av rambeslutet, när det gäller andra ändamål än det ursprungliga ändamålet, eller historiska, statistiska eller vetenskapliga ändamål. Följande förutsättningar anges. Behandlingen ska inte vara oförenlig med det ändamål för vilket uppgifterna samlades in. Den behandlande myndigheten ska vara behörig att utföra behandlingen. Behandlingen ska vara nödvändig och stå i proportion till det andra ändamålet. Begreppet vidarebehandling finns inte definierat i artikel 2 i data- skyddsrambeslutet (jfr kap. 9 ovan). Begreppet – som inte heller förekommer i personuppgiftslagen eller registerförfattningarna – får enligt vår mening anses utgöra vidare behandling av person- uppgifter som har överförts eller gjorts tillgänglig av bl.a. annan medlemsstat. Då begreppet förekommer i dataskyddsrambeslutet (se artikel 3 och 11 samt i skäl 20 och 21 i dataskyddsrambeslutets inledande delar) har vi funnit skäl att använda oss av samma begrepp i vår nya föreslagna lag om användningsbegränsningar (se nedan avsnitt 12.3.5). Enligt artikel 11 i dataskyddsrambeslutet begränsas vidare- behandlingen av uppgifter som har överförts eller gjorts tillgängliga ytterligare genom att avse vissa däri särskilt uppräknade ändamål, bl.a. för att förebygga, utreda, avslöja eller lagföra andra brott eller verkställa andra straffrättsliga påföljder än de för vilka uppgifterna överfördes eller gjordes tillgängliga eller för andra rättsliga eller administrativa förfaranden med direkt anknytning till sådan verksamhet (se vidare kap. 12.5). I artikel 3.2 b) och c) ställs upp villkor för vidarebehandling genom att de berörda myndigheterna ska ha befogenhet att behandla uppgifterna för det andra ändamålet enligt nationell rätt och att behandlingen ska vara nödvändig och stå i proportion till det ursprungliga ändamålet. Dessa villkor får anses uppfyllda genom bestämmelserna i 9 § a) och e) personuppgiftslagen om grundläggande krav på behandling- en av personuppgifter. Vi bedömer mot bakgrund härav inte att, med anledning enbart av bestämmelserna i artikel 3.2, det föreligger skäl att föreslå något tillägg till eller justering av svensk rätt. Vad avser vidarebehandling för historiska, statistiska eller vetenskapliga ändamål se vidare kap. 12.6 nedan. 12.5Behandling av personuppgifter som har överförts från eller gjorts tillgängliga av en annan medlemsstat (artikel 11) Artikel 11 i dataskyddsrambeslutet har följande lydelse. Behandling av personuppgifter som överförts från eller gjorts tillgängliga av en annan medlemsstat Personuppgifter som överförts från eller gjorts tillgängliga av den behöriga myndigheten i en annan medlemsstat får, i enlighet med kraven i artikel 3.2, endast vidarebehandlas för följande ändamål, utöver dem för vilka de överfördes eller gjordes tillgängliga: a)För att förebygga, utreda, avslöja eller lagföra andra brott eller verkställa andra straffrättsliga påföljder än de för vilka uppgifterna överfördes eller gjordes tillgängliga. b)För andra rättsliga eller administrativa förfaranden med direkt anknytning till förebyggande, utredning, avslöjande eller lagföring av brott eller verkställighet av straffrättsliga påföljder. c)För att avvärja en omedelbar och allvarlig fara för den allmänna säkerheten. d)För varje annat syfte endast med förhandsmedgivande från den överförande medlemsstaten eller med den registrerades samtycke givet i överensstämmelse med nationell lagstiftning. Dessutom får de överförda personuppgifterna behandlas vidare av de behöriga myndigheterna för historiska, statistiska eller vetenskap- liga ändamål under förutsättning att medlemsstaterna föreskriver lämpliga säkerhetsåtgärder som exempelvis avidentifiering av upp- gifterna. Artikeln innehåller enligt vår mening mer preciserade begränsningar än vad som anges i artikel 3 (se vidare kap. 10 om Ändamålsbestämmelser). Enligt artikel 11 första stycket måste förutsättningarna enligt artikel 3.2 a – bl.a. att behandlingen inte är oförenlig med det ändamål för vilket uppgifterna samlades in – alltid vara uppfyllda. Reglerna om begränsningar vad gäller vidarebehandling är i huvudsak aktuella i de situationer där den mottagande myndigheten själv vill vidarebehandla uppgifter för ett helt annat ändamål än brottsbekämpning eller vill lämna uppgifterna vidare till en myndighet som varken sysslar med brottsbekämpning, lagföring eller verkställighet av straff. I praktiken torde därför detta inte ha så stor påverkan på de berörda myndigheternas verksamhet (jfr prop. 2008/09:16 s. 38). I artikel 11 anges, under punkterna a)–d), de syften för vilka personuppgifter som omfattas av dataskyddsrambeslutet får vidare- behandlas, i enlighet med kraven i artikel 3.2 och för andra ändamål än de för vilka personuppgifterna överfördes eller gjordes tillgängliga. 12.5.2Artikel 11 a) Punkt a) avser vidarebehandling av personuppgifter för att förebygga, upptäcka, utreda eller lagföra andra brott än de som föranledde att uppgifterna överfördes eller gjordes tillgängliga samt för verkställighet av annan påföljd. Dessa ändamål torde ha stor praktisk betydelse från verksam- hetssynpunkt. Vidarebehandling i syfte att förebygga, upptäcka, utreda eller lagföra ett annat brott är således alltid tillåten. 2008/09:16 s. 39 framgår följande. Vidarebehandling får alltså ske om uppgifterna behövs för att hand- lägga konkreta brottsmisstankar. Vidarebehandling för att förebygga brott skapar också utrymme för att behandla uppgifter även utan konkreta brottsmisstankar. Likaså måste uppgifter få användas t.ex. för att berika pågående underrättelsearbete eller för att verkställa en existerande påföljd. Det kan också vara nödvändigt för polisen att bevara och behandla information om brott och brottstyper för specifika ändamål, t.ex. att jämföra tillvägagångssättet vid allvarliga brott eller att övervaka seriebrottslingar. 12.5.3Artikel 11 b) Punkt b) avser vidarebehandling av personuppgifter för andra rättsliga eller administrativa förfaranden som har direkt anknytning till förebyggande, avslöjande, utredning eller lagföring av brott eller till verkställigheten. 2008/09:16 s. 37 anges följande exempel på när person- uppgifterna i detta sammanhang får, alternativt bör, kunna vidarebehandlas. För indrivning av skadestånd, företagsbot eller andra ekono- miska åligganden i en brottmålsdom. I nådeärenden samt i ärenden som rör ändring av påföljd. I ärenden angående särskild förverkandetalan vad gäller utbyte av brottslig verksamhet. För att ta ut skatt, tull eller andra avgifter som är direkt relaterade till det brott för vilket de överfördes. Härutöver kan som ytterligare exempel anges polisens egen tillståndsverksamhet i s.k. tillståndsärenden vid bl.a. stora evenemang. 12.5.4Artikel 11 c) Punkt c) avser vidarebehandling av personuppgifter för att avvärja en överhängande och allvarlig fara för allmän säkerhet. 2008/09:16 s. 38 anges att utrymmet för tillämpningen av denna bestämmelse torde vara begränsat och komma i fråga framför allt i de fall där man inte hinner kontakta den andra staten därför att behovet av att agera har uppkommit plötsligt. 12.5.5Artikel 11 d) Punkt d) avser vidarebehandling av personuppgifter för vilket annat ändamål som helst, under förutsättning att den överförande staten har lämnat medgivande till detta i enlighet med sin nationella lagstiftning. Av skäl 20 i dataskyddsrambeslutets inledande delar framgår vidare att ett medgivande till vidarebehandling av uppgifter som har överförts från en annan stat, beroende på den enskilda statens nationella lagstiftning, kan lämnas i form av ett allmänt samtycke till vidarebehandling av kategorier av information eller för en viss typ av behandling. Våra förslag: I den av oss föreslagna nya lagen om användnings- begränsningar vid behandling av personuppgifter vid polis- samarbete och straffrättsligt samarbete inom Europeiska unionen införs en bestämmelse om ändamål för vidare- behandling av personuppgifter(4 §, första och andra styckena) med följande innehåll. Utöver de ändamål för vilka personuppgifter har överförts eller gjorts tillgängliga får vidarebehandling av personuppgifter endast ske a)för att förebygga, utreda, avslöja eller lagföra andra brott eller verkställa andra straffrättsliga påföljder än de för vilka uppgifterna överfördes eller gjordes tillgängliga, b)för andra rättsliga eller administrativa förfaranden med direkt anknytning till förebyggande, utredning, avslöjande eller lagföring av brott eller verkställighet av straffrättsliga påföljder, c)för att avvärja en omedelbar och allvarlig fara för den allmänna säkerheten, eller d)för varje annat syfte endast om den överförande medlems- staten har givit ett förhandsmedgivande eller den registrerade har samtyckt till det. Vidarebehandling enligt första stycket får endast ske om behandlingen inte är oförenlig med de ändamål för vilka uppgifterna samlades in och behandlingen är nödvändig och står i proportion till de andra ändamålen. Som anförts ovan måste, enligt artikel 11 första stycket, förutsättningarna enligt artikel 3.2 a) – att exempelvis behandlingen inte är oförenlig med det ändamål för vilket uppgifterna samlades in (finalitetsprincipen) – alltid vara uppfyllda. I artikel 11 d) anges härutöver – vad gäller vidarebehandling i vissa fall – att även i de situationer då ett ändamål för vidare- behandling är förenligt med det ursprungliga ändamålet, kan sådan vidarebehandling ändå inte få ske, om samtycke inte har givits. 2008/09:16 s. 39 har mot bakgrund härav anförts att finalitetsprincipen i 9 § d) personuppgiftslagen (jfr avsnitt 10.4.1) inte i sig är tillräcklig för att följa de krav som dataskydds- rambeslutet ställer upp i denna del. Bestämmelser i svensk rätt om internationellt samarbete, med s.k. användningsbegränsningar, tar över vad som är gällande i andra fall, t.ex. angående åtalsplikt (se vidare kap. 5). Som anförts ovan (se avsnitt 12.3.2) reglerar dataskydds- rambeslutet enbart vidarebehandling av personuppgifter som är helt eller delvis automatiserad eller om uppgifterna ingår i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Bestämmelserna i artikel 11 har inte i detalj någon motsvarighet i registerförfattningarna i svensk rätt. Skäl att införa kompletterande bestämmelser i denna del föreligger därför. Vi föreslår mot bakgrund härav att det i den av oss föreslagna nya lagen om användningsbegränsningar vid behandling av personuppgifter vid polissamarbete och straffrättligt samarbete inom Europeiska unionen införs en bestämmelse om ändamål för vidarebehandling av personuppgifter(4 § första och andra styckena) med följande innehåll. Utöver de ändamål för vilka personuppgifter har överförts eller gjorts tillgängliga får vidarebehandling av personuppgifter endast ske a)för att förebygga, utreda, avslöja eller lagföra andra brott eller verkställa andra straffrättsliga påföljder än de för vilka uppgifterna överfördes eller gjordes tillgängliga, b)för andra rättsliga eller administrativa förfaranden med direkt anknytning till förebyggande, utredning, avslöjande eller lagföring av brott eller verkställighet av straffrättsliga påföljder, c)för att avvärja en omedelbar och allvarlig fara för den allmänna säkerheten, eller d)för varje annat syfte endast om den överförande medlemsstaten har givit ett förhandsmedgivande eller den registrerade har samtyckt till det. Vidarebehandling enligt första stycket får endast ske om behandlingen inte är oförenlig med de ändamål för vilka uppgifterna samlades in och behandlingen är nödvändig och står i proportion till de andra ändamålen. 12.6Vidarebehandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål (artikel 3 sista stycket och artikel 11 sista stycket) Våra förslag: I den av oss föreslagna nya lagen om användnings- begränsningar vid behandling av personuppgifter vid polis- samarbete och straffrättligt samarbete inom Europeiska unionen införs en bestämmelse om uppgifter för historiska, statistiska eller vetenskapliga ändamål (4 § tredje stycket) med följande innehåll. Personuppgifter får vidarebehandlas för historiska, statistiska eller vetenskapliga ändamål. Enligt artikel 3 sista stycket och artikel 11 sista stycket dataskydds- rambeslutet är behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål generellt tillåten enligt ram- beslutet, men bara under förutsättning att medlemsstaterna föreskriver lämpliga skyddsåtgärder. Motsvarande krav ställs i dataskyddsdirektivet. Enligt 9 § första stycket punkten i) i personuppgiftslagen får inte personuppgifter bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Person- uppgifter får dock enligt 9 § tredje stycket samma lag, bevaras för historiska, statistiska eller vetenskapliga ändamål. Att behandla personuppgifter som bevaras för sådana ändamål är dock begränsad. Dessa personuppgifter får användas för att vidta åtgärder mot den registrerade bara om denne har samtyckt till det eller om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. I propositionen till personuppgiftslagen (prop. 1997/98:44 s. 47 f.) diskuterades ingående huruvida den svenska arkivlag- stiftningen uppfyllde kraven i dataskyddsdirektivet i detta avseende. Regeringen ansåg att så var fallet och anslöt sig till detta. 2008/09:16 s. 34 anförs att dataskyddsrambeslutet inte bedöms, med något enstaka undantag (se nedan angående ), kräva några lagändringar när det gäller bl.a. vidare- behandling för historiska, statistiska eller vetenskapliga ändamål. till det ovan anförda föreligger skäl att anse att bestämmelsen i artikel 3, sista stycket, inte ska föranleda några författningsförslag från vår sida. Vi har dock ändå, för tydlighets skull, valt att i 4 § om ändamål för vidarebehandling av person- uppgifter i den av oss föreslagna nya lagen om användnings- begränsningar vid behandling av personuppgifter vid polis- samarbete och straffrättsligt samarbete inom Europeiska unionen införa en bestämmelse med följande innehåll. Personuppgifter får vidarebehandlas för historiska, statistiska eller vetenskapliga ändamål. I sistnämnda proposition framhålls vidare att de flesta av register- författningarna har, i fråga om vidarebehandling för historiska, statistiska eller vetenskapliga ändamål, regleringar motsvarande personuppgiftslagens. författningar lämnar dock utrymme för att handlingar bevaras i stället för att gallras, men anger inte för vilka ändamål dessa får bevaras. Dessa författningar kan därför behöva ses över. Härutöver har i propositionen (s. 38) vad gäller och vidarebehandling av personuppgifter, anförts följande. För del uttrycks i lagen uttömmande de ändamål för vilka behandling får ske och någon hänvisning till 9 § första stycket d) personuppgiftslagen finns inte. Emellertid är ändamålsbestämmelserna för tullens brotts- bekämpande verksamhet angivna på ett sådant sätt att i stort sett torde ha samma möjlighet att vidarebehandla och lämna ut uppgifter till andra myndigheter som om verket haft att tillämpa en bestämmelse motsvarande den i 9 § första stycket d) personuppgifts- lagen. Det kan dock inte uteslutas att det kan uppkomma situationer i vilka ändamålsbestämmelserna inte täcker en upptänklig vidare- behandling, som får ske enligt bestämmelserna i rambeslutet. Det kan därför finnas behov av att se över om ändamålsbestämmelserna för del överensstämmer med rambeslutet. De ovan nämnda ändamålsbestämmelserna för brotts- bekämpande verksamhet kan enligt vår mening inte anses avse frågor som berör genomförandet av dataskyddsrambeslutet i svensk rätt. Vi anser därför inte att det inom ramen för vårt uppdrag föreligger skäl att beröra denna fråga. 12.7Iakttagande av nationella restriktioner för behandling av uppgifter (artikel 12) Våra förslag: I den av oss föreslagna nya lagen om användnings- begränsningar vid behandling av personuppgifter vid polis- samarbete och straffrättsligt samarbete inom Europeiska unionen införs en bestämmelse om nationella restriktioner för behandling av uppgifter (7 §) med följande innehåll.