sou · GZB320 · 2011-03-15 00:00:00 — d)behandlingen utförs inom ramen för berättigad verksamhet hos en stiftelse, en förening eller ett annat icke vinstdrivande organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte, förutsatt att behandlingen endast rör sådana organs medlemmar eller personer som på grund av organets ändamål har regelbunden kontakt med detta och uppgifterna inte lämnas ut till tredje man utan den registrerades samtycke, eller e)behandlingen rör uppgifter som på ett tydligt sätt offentliggörs av den registrerade eller är nödvändiga för att kunna fastslå, göra gällande eller försvara rättsliga anspråk. 3.Punkt 1 gäller inte när behandlingen av uppgifterna är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling eller administration av hälso- eller sjukvård eller när dessa uppgifter behandlas av någon som är yrkesmässigt verksam på hälso- och sjukvårdsområdet och som enligt nationell lagstiftning eller bestämmelser som antagits av behöriga nationella organ är underkastad tystnadsplikt eller av en annan person som är ålagd en liknande tystnadsplikt. 4.Under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse får medlemsstaterna antingen i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag än de som nämns i punkt 2. 5.Behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder får utföras endast under kontroll av en myndighet eller om lämpliga skyddsåtgärder finns i nationell lag med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett fullständigt register över brottmålsdomar får dock föras endast under kontroll av en myndighet. Medlemsstaterna får föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också skall behandlas under kontroll av en myndighet. 6.De undantag från punkt 1 som anges i punkterna 4 och 5 skall anmälas till kommissionen. 7.Medlemsstaterna skall bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Dataskyddsdirektivets bestämmelser i artikel 8.1 om behandling av känsliga personuppgifter skiljer sig således från ovannämnda bestämmelser i dataskyddsrambeslutet. I svensk rätt finns en mot- svarighet till artikel 8.1 i 13 § personuppgiftslagen (1998:204). I artikel 8.2–8.4 i dataskyddsdirektivet ställs det upp andra typer av begränsningar för behandling av nämnda uppgifter. Dessa undantag återspeglas vidare i svensk rätt i 14–20 §§ personuppgiftslagen. Angående personuppgiftslagens bestämmelser, se nedan avsnitt 11.3.1. 11.3Behandling av känsliga uppgifter i svensk rätt 11.3.1Personuppgiftslagen (1998:204) I 13 § personuppgiftslagen finns bestämmelser som förbjuder behandling av känsliga personuppgifter. Känsliga personuppgifter definieras i lagen som uppgifter som avslöjar ras eller etniskt ursprung, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Förbudet mot behandling av känsliga uppgifter är inte undantags- löst. Det gäller inte personuppgifter som inte ingår i eller är avsedda att ingå i strukturerat material – dvs. en samling av personuppgifter som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier (5 a § personuppgiftslagen). I 14–19 §§ personuppgiftslagen anges också undantag från för- budet mot behandling av känsliga uppgifter med följande innehåll. 14 § Det är trots förbudet i 13 § tillåtet att behandla känsliga personuppgifter i de fall som anges i 15–19 §§. I 10 § finns det bestämmelser om i vilka fall behandling av person- uppgifter över huvud taget är tillåten. 15 § Känsliga personuppgifter får behandlas, om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna. 16 § Känsliga personuppgifter får behandlas om behandlingen är nödvändig för att a)den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, b)den registrerades eller någon annans vitala intressen skall kunna skyddas och den registrerade inte kan lämna sitt samtycke, eller c)rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. Uppgifter som behandlas med stöd av första stycket a får lämnas ut till tredje man bara om det inom arbetsrätten finns en skyldighet för den personuppgiftsansvarige att göra det eller den registrerade uttryckligen har samtyckt till utlämnandet. 17 § Ideella organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte får inom ramen för sin verksamhet behandla känsliga personuppgifter, om organisationens medlemmar och sådana andra personer som på grund av organisationens syfte har regelbunden kontakt med den. Känsliga personuppgifter får dock lämnas ut till tredje man bara om den registrerade uttryckligen har samtyckt till det. 18 § Känsliga personuppgifter får behandlas för hälso- och sjukvårds- ändamål, om behandlingen är nödvändig för a)förebyggande hälso- och sjukvård, b)medicinska diagnoser, c)vård eller behandling, eller d)administration av hälso- och sjukvård. Den som är yrkesmässigt verksam inom hälso- och sjukvårds- området och har tystnadsplikt får även behandla känsliga person- uppgifter som omfattas av tystnadsplikten. Detsamma gäller den som är underkastad en liknande tystnadsplikt och som har fått känsliga personuppgifter från verksamhet inom hälso- och sjukvårdsområdet. 19 § Känsliga personuppgifter får behandlas för forskningsändamål om behandlingen godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor. Känsliga personuppgifter får behandlas för statistikändamål, om behandlingen är nödvändig på sätt som sägs i 10 § och om samhälls- intresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Har behandlingen godkänts av en forskningsetisk kommitté, skall förutsättningarna enligt andra stycket anses uppfyllda. Med forskningsetisk kommitté avses ett sådant särskilt organ för prövning av forskningsetiska frågor som har företrädare för såväl det allmänna som forskningen och som är knutet till ett universitet eller en hög- skola eller till någon annan instans som i mera betydande omfattning finansierar forskning. Personuppgifter får lämnas ut för att användas i sådana projekt som avses i andra stycket, om inte något annat följer av regler om sekretess och tystnadsplikt. Lag (2003:466). Bemyndigande att föreskriva ytterligare undantag 20 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om ytterligare undantag från förbudet i 13 §, om det behövs med hänsyn till ett viktigt allmänt intresse. Lag (1998:1436). Undantagen från förbudet att behandla känsliga uppgifter kan således sammanfattas enligt följande med hänvisningar till respektive paragraf i personuppgiftslagen. Den registrerades samtycke (15 §) Den registrerades offentliggörande (15 §) Behandling inom arbetsrätten (16 §) För att skydda vitala intressen (16 §) För att kunna fastställa, göra gällande eller försvara rättsliga anspråk (16 §) Behandling inom ideella organisationer (17 §) Behandling för hälso- och sjukvårdsändamål (18 §) Behandling av personuppgifter som omfattas av hälso- och sjukvårdssekretess (18 §) Behandling för forsknings- och statistikändamål (19 §) Det finns också utrymme för regeringen, eller den myndighet regeringen bestämmer, att meddela föreskrifter om ytterligare undantag från förbudet i 13 § personuppgiftslagen , om det behövs med hänsyn till ett viktigt allmänt intresse (20 § personuppgifts- lagen). Sådana föreskrifter finns i 8 § personuppgiftsförordningen (1998:1191). Av den bestämmelsen följer att myndigheter generellt även får behandla känsliga personuppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ärendet. Innehållet i registerförfattningarna vad avser Kriminalvården, , , polisen, , allmänna domstolar, allmänna förvaltningsdomstolar, och åklagarväsendet (se vidare kap. 4) avviker i flera fall från personuppgiftslagens regler om behandling av känsliga uppgifter. Däremot finns det inga sådana regler i de registerförfattningar som reglerar enskilda register. Detta ska ses mot bakgrund av att dessa normalt har preciserade bestämmelser om vilka typer av uppgifter som får finnas i registren och att bestämmelserna om innehållet i praktiken inte tillåter registrering av känsliga uppgifter. 11.4Ändringar i personuppgiftslagen? Vår bedömning: Skäl att föreslå ändringar i personuppgifts- lagens (1998:204) bestämmelser om känsliga uppgifter föreligger inte. Personuppgiftslagen är subsidiär i förhållande till annan författningsreglering. Då det rättsliga område som reglerar behandlingen av person- uppgifter inom ramen för polissamarbete och straffrättsligt sam- arbete är specificerat till registerförfattningarna för ovan nämnda myndigheter samt domstolarna (se avsnitt 11.3.2) och då dessa författningar helt eller delvis ersätter nämnda lag, finns enligt vår bedömning inte – med anledning av dataskyddsrambeslutet – skäl att föreslå någon ändring i personuppgiftslagen. Detta gäller oavsett om en registerförfattning gäller i stället för eller utöver personuppgiftslagens bestämmelser. Vissa begrepp som används som beskrivning av vad som utgör s.k. känsliga uppgifter har tidigare kritiserats. Främst avser detta begreppet ras (jfr prop. 2007/08:95 s. 117 och 2009/10:80). Att i detta lagstiftningssammanhang utmönstra detta ord har inte ansetts vara möjligt (jfr 2009/10:85 s. 123 och bet. 1997/98:KU 29 s. 7). Regeringen har klargjort att den har som ambition att i ett annat sammanhang se över frågan om huruvida ordet ras bör utmönstras i all lagstiftning. I de ändringar som införts i regeringsformen har detta begrepp tagits bort och i stället anges tillämpningsområdet för bl.a. diskrimineringsskyddet som etniskt ursprung, hudfärg eller annat liknande förhållande. Trots detta bedömer vi att det inte finns möjlighet för oss i den aktuella utredningen att föreslå någon ändring av begreppet. Ej heller finns i detta sammanhang enligt vår mening skäl att vad gäller övriga begrepp föreslå någon ändring eller något tillägg i gällande svensk rätt. Registerförfattningarnas bestämmelser tillåter generellt behandling i större utsträckning än personuppgiftslagen, men författningarnas utformning medför att möjligheten att behandla känsliga person- uppgifter är mycket begränsad (jfr prop. 2008/09:16 s. 36). Att uppmärksamma är att dataskyddsrambeslutet ställer upp kraven för behandling av känsliga personuppgifter på ett sådant sätt att behandling endast får ske när det är absolut nödvändigt och när det , genom svensk rätt, tillhandahålls tillräckliga och adekvata skyddsåtgärder. Bedömningen av eventuella justeringar i registerförfattningarna nedan får därmed enligt vår mening göras mot bakgrund av vilket skydd som personuppgiftslagen och aktuella registerförfattningar ställer upp vad gäller bl.a. sökbegränsningar och gallring. Dessutom får beaktas vilka sekretessbestämmelser som finns inom området (se vidare kap. 6). Förslagen till ändringar i registerförfattningarna nedan ska även läsas tillsammans med våra förslag till komplettering av register- författningarnas ändamål (se vidare kap. 10). Våra förslag: För att, vid regleringen av känsliga uppgifter i registerförfattningar, få till stånd en språklig likformighet föreslår vi en ändring från begreppet oundgängligen nödvändigt till absolut nödvändigt i följande författningar; –4 § lagen (1999:90)om behandling av personuppgifter vid medverkan i brottsutredningar, –9 § förordningen (2003:188) om behandling av person- uppgifter inom , och –4, 7 och 12 §§, 18 § andra stycket, 23, 27 och 32 §§, 41 § andra stycket samt 48 § förordningen (2001:682) om behandling av personuppgifter inom kriminalvården. Av samma skäl som ovan föreslås en ändring från begreppet nödvändigt till absolut nödvändigt i följande författningar; –1 kap. 6 § lagen (2001:184) om behandling av uppgifter i verksamhet, –4 § förordningen (2001:641) om registerföring m.m. vid och kammarrätterna med hjälp av automatiserad behandling, –3 § förordningen (2001:640) om registerföring m.m. vid förvaltningsrätt med hjälp av automatiserad behandling, och –3 § förordningen (2001:639) om registerföring m.m. vid allmänna domstolar med hjälp av automatiserad behandling. Reglerna i registerförfattningarna får i dessa delar – med de språkliga justeringar som föreslås – anses motsvara de krav som ställs på utformningen av bestämmelserna i dataskyddsrambeslutet. Kriminalvårdens behandling av känsliga uppgifter regleras i 5 § lagen (2001:617) om behandling av personuppgifter inom kriminal- vården samt i 4, 7 och 12 §§, 18 § andra stycket, 23, 27 och 32 §§, 41 § andra stycket samt 48 § förordningen (2001:682) i samma ämne. Av 5 § i nämnda lag framgår att känsliga personuppgifter, dvs. uppgifter om en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fack- förening, hälsa eller sexualliv (jfr 13 § personuppgiftslagen), inte får behandlas enbart på grund av det förhållandet. Vidare anges att om uppgifter om en person behandlas på annan grund får uppgifterna kompletteras med sådana uppgifter, om det är absolut nödvändigt för syftet med behandlingen. Sådana uppgifter får, enligt 5 § tredje stycket samma lag, inte användas som sökbegrepp, om inte regeringen har föreskrivit det. I (39–45 §§ förordningen om behandling av personuppgifter inom kriminalvården) finns möjlighet att söka på känsliga uppgifter. I 4, 7, 12, 18, 23, 27, 32, 41 och 48 §§ i ovannämnda förordning regleras också behandlingen av känsliga personuppgifter inom området, men där används begreppet oundgängligen nödvändigt i stället för absolut nödvändigt. Begreppen är likvärdiga. För att få till stånd en språklig likformighet föreslår vi därför en ändring i förordningen (4, 7 och 12 §§, 18 § andra stycket, 23, 27 och 32 §§, 41 § andra stycket samt 48 §) till det sistnämnda begreppet. Vad gäller behandling av känsliga personuppgifter inom Kust- bevakningen anges i 9 § förordningen (2003:188) om behandling av personuppgifter inom att känsliga person- uppgifter, dvs. uppgifter om en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (jfr 13 § personuppgiftslagen), inte får behandlas enbart på grund av vad som är känt om en person om sådana förhållanden. I paragrafen anges vidare att om uppgifter om en person behandlas på annan grund får de dock kompletteras med känsliga personuppgifter, om det är oundgängligen nödvändigt för syftet med behandlingen. I 21 § samma lag anges utöver detta att vid sökning i kust- bevakningsdatabasen får uppgifter som avslöjar ras, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fack- förening, eller som rör sexualliv inte användas som sökbegrepp. På motsvarande sätt som för Kriminalvården ovan föreslår vi även i registerförfattningen angående en språklig ändring av begreppet oundgängligen till absolut. Behandlingen av känsliga uppgifter i brottsbekämp- ande verksamhet regleras i 4 § lagen (1999:90) om behandling av personuppgifter vid medverkan i brottsutredningar. Av ovannämnda paragraf framgår att känsliga personuppgifter, dvs. uppgifter om en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fack- förening, hälsa eller sexualliv (jfr 13 § personuppgiftslagen), inte får behandlas enbart på grund av vad som är känt om en person om sådana förhållanden. Vidare anges i paragrafen att om uppgifter om en person behandlas på annan grund får de kompletteras med känsliga personuppgifter, om det är oundgängligen nödvändigt för syftet med behandlingen. Känsliga personuppgifter får dock aldrig behandlas i under- rättelseverksamhet. Vid sökningar i beskattningsdatabasen får, enligt 14 a § lagen om behandling av personuppgifter vid medverkan i brottsutredningar, endast uppgift om namn, person- eller samordningsnummer användas som sökbegrepp. På motsvarande sätt som för myndigheterna ovan föreslås även i denna registerförfattning en språklig ändring av begreppet oundgängligen till absolut. Allmänna domstolar och allmänna förvaltningsdomstolar Behandlingen av känsliga personuppgifter regleras i 3 § förordning- en (2001:639) om registerföring m.m. vid allmänna domstolar med hjälp av automatiserad behandling, 3 § förordningen (2001:640) om registerföring m.m. vid förvaltningsrätt med hjälp av automatiserad behandling, samt 4 § förordningen (2001:641) om registerföring m.m. vid och kammarrätterna med hjälp av automatiserad behandling. I förordningarna anges att domstolarna får föra automatiserade register över mål eller ärenden som handläggs vid rätten (verksamhetsregister) samt föra automatiserade register för åter- sökning av vägledande avgöranden, rättsutredningar och liknande rättslig information (rättsfallsregister). De ovan nämnda paragraferna har likadan utformning och däri anges – vad avser verksamhetsregister – att vid angivande av vad saken gäller (ärendemening) får sådana känsliga personuppgifter som anges i 13 § personuppgiftslagen och uppgifter om lag- överträdelser m.m. som anges i 21 § personuppgiftslagen behandlas endast om det är nödvändigt för att saken ska kunna återges på ett ändamålsenligt sätt. I paragraferna (se 7 respektive 8 § i ovan nämnda förordningar) anges också att – vid annan automatiserad behandling av person- uppgifter – får sådana uppgifter behandlas endast om uppgifterna har lämnats i ett mål eller ärende eller om de behövs för handläggningen av målet eller ärendet (se vidare avsnitt 11.5.3). Känsliga personuppgifter får vidare inte användas som sökbegrepp, jfr 4 § förordningen om registerföring m.m. vid allmänna domstolar med hjälp av automatiserad behandling, 4 § förordningen om registerföring m.m. vid förvaltningsrätt med hjälp av automatiserad behandling och 5 § förordningen om register- föring m.m. vid och kammar- rätterna med hjälp av automatiserad behandling. Utformningen av de bestämmelser ovan som reglerar behandlingen av känsliga personuppgifter för domstolarna innehåller således begreppet nödvändigt. Som en konsekvens av utformningen av dataskyddsrambeslutet och övriga register- författningar som har anknytning till polissamarbete och straff- rättsligt samarbete, bör – enligt vår bedömning – en justering göras av detta begrepp för att uppnå en språklig enhetlighet mellan registerförfattningarna. Vi har inte funnit andra skäl för att det nuvarande begreppet i detta sammanhang ska kvarstå. Vi föreslår därför även i denna del en språklig ändring av begreppet nödvändigt till absolut nödvändigt. Ändringen gäller endast behandlingen av känsliga personupp- gifter. Ingen ändring föreslås vad gäller uppgifter om lag- överträdelser m.m., eftersom dataskyddsrambeslutet inte innehåller något sådant krav. Ur ett integritetsskyddsperspektiv kan det vidare diskuteras om det finns skäl att göra ytterligare ändringar i de aktuella författningarna rörande ifrågavarande domstolar så att det, på mot- svarande sätt som i de övriga i avsnittet ovan nämnda författningar- na, direkt av författningstexten ska framgå vilka personuppgifter som är känsliga och inte framgå genom en hänvisning till personuppgiftslagens motsvarande bestämmelse. Vi har dock inte ansett detta som en förutsättning för dataskyddsrambeslutets genomförande i svensk rätt och därför valt att inte föreslå någon ändring i denna del. behandling av känsliga uppgifter regleras i 1 kap. 6 § lagen (2001:184) om behandling av uppgifter i verksamhet. I paragrafen anges att känsliga personuppgifter som anges i 13 § personuppgiftslagen och uppgifter om lagöverträdelser m.m. som anges i 21 § samma lag får behandlas endast om – i den del som är aktuell – uppgifterna är nödvändiga för handläggningen. Utöver vad som anförts ovan anges i 1 kap. 6 § att känsliga personuppgifter också ska få behandlas om uppgifterna har lämnats i ett mål eller ärende (se vidare avsnitt 11.5.3). I den del i samma lag som innehåller gemensamma bestäm- melser om databaser anges särskilda regler om elektroniska handlingar (24 §) och sökbegrepp (29 §). I den sistnämnda paragrafen stadgas att som sökbegrepp i handlingar enligt 24 § får inte uppgift som avses i 1 kap. 6 § samma lag (känsliga personuppgifter) användas. På motsvarande sätt som för domstolarna ovan föreslår vi – för att uppnå en språklig enhetlighet mellan registerförfattningarna – en ändring i 1 kap. 6 § i ovan nämnda lag av begreppet nödvändiga Känsliga uppgifter SOU 2011:20 till absolut nödvändiga vad gäller behandling av känsliga personuppgifter. Ingen ändring föreslås vad gäller uppgifter om lagöverträdelser m.m., eftersom dataskyddsrambeslutet inte innehåller något sådant krav. I 2 kap. 10 § polisdatalagen (2010:361) anges att uppgifter om en person inte får behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (känsliga personuppgifter) I paragrafen stadgas vidare att om uppgifter om en person redan behandlas på annan grund, får uppgifterna kompletteras med sådana uppgifter, när det är absolut nödvändigt för syftet med behandlingen. I 3 kap. 5 § samma lag finns vidare bestämmelser som reglerar sökning i personuppgifter. Av första stycket i nämnda paragraf framgår att vid sökning i personuppgifter som har gjorts gemen- samt tillgängliga får uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller som rör hälsa eller sexualliv inte användas som sökbegrepp. Då polisdatalagen således är anpassad till dataskyddsram- beslutets bestämmelser finns inte skäl att föreslå några ändringar eller justeringar i denna del. Utöver vad som anförts ovan anges i 2 kap. 10 § andra stycket polisdatalagen jämfört med 2 kap. 9 § i samma lag att känsliga personuppgifter också ska få behandlas, om detta är nödvändigt för diarieföring eller om uppgifterna har lämnats till polisen i en anmälan eller liknande och behandlingen är nödvändig för handläggningen (se vidare avsnitt 11.5.3). I 11 § första stycket lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet anges att känsliga personuppgifter, dvs. uppgifter om en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (jfr 13 § personuppgiftslagen), inte får behandlas enbart på grund av vad som är känt om en person om sådana förhållanden. I paragrafens andra stycke anges att om uppgifter om en person behandlas på annan grund får de, enligt andra stycket samma paragraf, dock kompletteras med känsliga personuppgifter när det är absolut nödvändigt för syftet med behandlingen. I 20 § i samma lag finns bestämmelser om sökförbud vad gäller känsliga personuppgifter vari stadgas att uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk över- tygelse, medlemskap i fackförening, eller som rör hälsa eller sexual- liv inte får användas som sökbegrepp. Då registerförfattningarna angående i ovan nämnda delar motsvarar dataskyddsrambeslutets bestämmelser föranleder inte detta oss att lämna några förslag till ändringar eller justeringar i svensk rätt. I 11 § tredje stycket lagen om behandling av uppgifter i brottsbekämpande verksamhet anges härutöver att uppgifter som avses i paragrafens första stycke får behandlas om de förekommer i en handling som kommit in till i ett ärende (se vidare avsnitt 11.5.3).