sou · GZB320 · 2011-03-15 00:00:00 — Den personuppgiftsansvarige är skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande behandlas eller ej. Behandlas sådana uppgifter skall skriftlig information lämnas också om a)vilka uppgifter om den sökande som behandlas, b)varifrån dessa uppgifter har hämtats, c)ändamålen med behandlingen, och d)till vilka mottagare eller kategorier av mottagare som upp- gifterna lämnas ut. En ansökan enligt första stycket skall göras skriftligen hos den personuppgiftsansvarige och vara undertecknad av den sökande själv. Information enligt första stycket skall lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får informa- tion dock lämnas senast efter det att ansökan gjordes. Information enligt första stycket behöver inte lämnas om personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Vad som sagts gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats . Undantag från informationsskyldigheten vid sekretess och tystnadsplikt I den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade gäller inte bestämmelserna i 23–26 §§. En personuppgiftsansvarig som inte är en myndighet får därvid i motsvarande fall som avses i offentlighets- och sekretesslagen (2009:400) vägra att lämna ut uppgifter till den registrerade. 13.1.4Jämförelse mellan EU-bestämmelser och svensk rätt Vår bedömning: Bestämmelserna i artiklarna 16.1 och 17 i data- skyddsrambeslutet föranleder inte någon ändring i lag eller förordning. I regeringens proposition Godkännande av Dataskyddsram- beslutet, 2008/09:16 s. 45 f. har angetts att de befintliga reglerna om användningsbegränsningar i svensk rätt i huvudsak är tillräckliga för att uppfylla dataskyddsrambeslutet i dessa delar, men att behovet av lagändringar kan behöva analyseras närmare. Kraven i dataskyddsrambeslutet angående regler om informa- tion är mindre långtgående än de krav som enligt svensk rätt följer av personuppgiftslagens bestämmelser. Inom de områden där personuppgiftslagen är tillämplig finns således inte några skäl att föreslå tillägg eller justeringar i svensk rätt. Kriminalvården, , , allmänna domstolar, allmänna förvaltningsdomstolar och åklagarväsendet Registerförfattningarna för Kriminalvården, , , allmänna domstolar, allmänna förvaltningsdomstolar och åklagarväsendet innehåller inte några särskilda bestämmelser angående information till den registrerade. Då personuppgiftslagen gäller utöver dessa registerförfattningar är de i avsnitt 13.1.3 angivna reglerna – 23–26 §§ personuppgifts- lagen – därmed gällande för verksamheten i nämnda myndigheter samt domstolar. Att göra tillägg eller ändringar i dessa registerförfattningar blir mot bakgrund härav inte aktuellt. I sammanhanget kan framhållas att för flera myndigheter – och åklagarväsendet – har i olika betänkanden (Utredningens om personuppgiftsbehandling betänkande SOU 2006:18 och betänkande SOU 2008:87) föreslagits en ändrad utformning av registerförfattningarna på så sätt att reglerna föreslås ska gälla i stället för personuppgiftslagen. I bägge fallen har då i denna del föreslagits införandet av direkta hänvisningar till personuppgifts- lagens bestämmelser om information. I detta sammanhang kan också uppmärksammas att bestäm- melserna i 24 § personuppgiftslagen ålägger den personuppgifts- ansvarige att, om uppgifterna har samlats in från någon annan källa än den registrerade, självmant informera den registrerade om denna behandling. Detta gäller inte om det finns särskild reglering. Ovan nämnda betänkanden och nedan nämnda lagstiftning angående polisen och har en sådan särskild reglering. Polisdatalagen (2010:361) gäller i stället för personuppgiftslagen. I 2 kap. 2 § 5. i den förstnämnda lagen finns en direkt hänvisning till bestämmelserna i 23 och 25–27 §§ personuppgiftslagen. Skäl att föreslå ändringar i denna del föreligger därför inte. Lagen (2001:184) om behandling av uppgifter i Kronofogde- myndighetens verksamhet gäller i stället för personuppgiftslagen. I 3 kap. 1 § i den förstnämnda lagen finns en direkt hänvisning till bestämmelserna i 23 § och 25–27 §§ personuppgiftslagen. Information som ska lämnas enligt 26 § personuppgiftslagen behöver inte, enligt 3 kap. 2 § i lagen om behandling av uppgifter i verksamhet, omfatta uppgift i en handling som avses i 2 kap. 24 § samma lag, om den enskilde har tagit del av handlingens innehåll. Om den enskilde begär det ska dock informationen även omfatta uppgift i en sådan handling. Mot bakgrund av det ovan anförda anser vi sammantaget att det inte finns skäl att föreslå några ändringar i denna del. Angående – vars registerförfattning gäller i stället för personuppgiftslagen – finns i 6 § lagen (2005:787) om brottsbekämpande verksamhet också en direkt hänvisning till 23 och 25–27 §§ i personuppgiftslagen. Detta innebär att person- uppgiftslagens bestämmelser om information till den registrerade också är gällande för . Ej heller här föreligger därför skäl att införa ändringar i registerförfattningen. Vissa författningar om enskilda register I vissa fall finns i författningar om enskilda register särskilt angivna regler om information till den registrerade. I 9 § lagen (1998:620) om belastningsregister anförs följande. En enskild har rätt att på begäran skriftligen få ta del av samtliga uppgifter ur registret om sig själv. Sådana uppgifter skall på begäran lämnas ut utan avgift en gång per kalenderår. En enskild som behöver ett registerutdrag om sig själv har rätt att få ett begränsat utdrag ur registret 1.för att kunna ta till vara sin rätt i ett främmande land eller få tillstånd att resa in, bosätta sig eller arbeta där, 2.enligt bestämmelser i lagen (2000:873) om registerkontroll av personal inom förskoleverksamhet, skola och skolbarnsomsorg, 3.enligt bestämmelser i lagen (2005:405) om försäkrings- förmedling, eller 4.enligt bestämmelser i lagen (2007:171) om registerkontroll av personal vid sådana hem för vård eller boende som tar emot barn. Regeringen, eller i fråga om andra stycket punkterna 1–3 den myndighet regeringen bestämmer, får meddela föreskrifter om vilka uppgifter ett sådant utdrag skall innehålla. En begäran om uppgifter ur registret skall vara skriftlig och undertecknad av den sökande. Den enskilde har alltså, enligt nämnda lag, rätt att få del av samtliga uppgifter ur registret om sig själv (en gång per kalenderår avgifts- fritt) samt rätt att erhålla registerutdrag i andra situationer. Även lagen (1998:621) om misstankeregister innehåller bestäm- melser om utlämnande av uppgifter till enskilda. I denna lag finns restriktioner för den registrerade att erhålla viss information. Att lämna ut informationen till den enskilde skulle bl.a. kunna skada den brottsbekämpande verksamheten. Eftersom både belastningsregistret och misstankeregistret gäller utöver personuppgiftslagen är 23–27 §§ personuppgiftslagen (se avsnitt 13.1.3) gällande även i dessa sammanhang. Motsvarande bedömning kan göras vad avser förordningen (1997:902) om register över strafförelägganden och förordningen (1998:903) om register över föreläggande av ordningsbot. Sammantaget uppfyller därmed nämnda regelverk dataskydds- rambeslutets krav. Skäl att införa kompletterande bestämmelser i svensk rätt i dessa delar föreligger därmed inte. Schengens informationssystem (SIS) Av förarbetena till lagen (2000:344) om Schengens informations- system framgår, enligt prop. 1999/2000:64 s. 135, följande. Schengens informationssystem (SIS) är ett efterlysnings- och spaningsregister, som har till syfte att främja samarbetet avseende polisiära och rättsliga frågor samt frågor om inresa och uppehållstill- stånd mellan Schengenstaterna. De personuppgifter som får registreras i SIS är i huvudsak sådana polisiära uppgifter som enligt person- uppgiftslagen endast får registreras av myndigheter. Uppgifterna i SIS är typiskt sett sådana som förekommer i polisregister. En författnings- reglering av det måste därför utgå från de lagar och andra författningar som reglerar behandling av personuppgifter i polisens verksamhet, dvs. främst personuppgiftslagen (1998:204), polisdatalagen (1998:622)1, PDL, lagen (1998:620) om belastnings- register, BRL, och lagen (1998:621) om misstankeregister, MRL. Det innebär att får registrera uppgifter i SIS endast i den ut- sträckning som behandling av motsvarande slag av uppgifter är tillåten enligt dessa lagar eller annan författning. Då även dessa regler således gäller utöver personuppgiftslagen finns, på sätt som anges ovan avseende författningar om enskilda register, inte heller skäl att föreslå ändringar i denna del. 13.1.5Närmare om artikel 16.2 i dataskyddsrambeslutet Vårt förslag: I den av oss föreslagna nya lagen om användnings- begränsningar vid behandling av personuppgifter vid polis- samarbete och straffrättsligt samarbete inom Europeiska unionen införs en bestämmelse om information till den registrerade (8 §) med följande innehåll. Om personuppgifter har överförts eller gjorts tillgängliga får den överförande medlemsstaten begära att den mottagande medlems- staten inte informerar den registrerade om behandlingen. I sådana fall ska den registrerade inte informeras utan förhandsmedgivande från den överförande medlemsstaten. I artikel 16.2 finns bestämmelser om skyldighet att iaktta den över- förande statens nationella rätt i fråga om information till den registrerade. I artikel 12 finns vidare bestämmelser om iakttagande av nationella restriktioner för behandling av uppgifter (se avsnitt 12.7 ovan). I artikel 16.2 föreskrivs att om den överförande staten begär det i enlighet med sin nationella lagstiftning, så ska den mottagande staten inte lämna någon information till den registrerade. 1 polisdatalagen (2010:361). Eventuella begränsningar i rätten till användning av uppgifter på nationell nivå efter överföring av uppgifter till en annan stat bör beaktas. Detta får anses utgöra användningsbegränsningar på grund av nationell lagstiftning om internationellt samarbete, jfr vad som anförts ovan i avsnitt 12.2. Vad gäller det som anges i artikel 16.2 i dataskyddsrambeslutet finns inte någon motsvarighet i svensk rätt. Vi föreslår därför att en motsvarande bestämmelse införs i den av oss föreslagna nya lagen om användningsbegränsningar vid behandling av personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen med följande innehåll. Om personuppgifter har överförts eller gjorts tillgängliga får den överförande medlemsstaten begära att den mottagande medlemsstaten inte informerar den registrerade om behandlingen. I sådana fall ska den registrerade inte informeras utan förhandsmedgivande från den överförande medlemsstaten. Vad gäller frågor om sekretess, se kap. 6 och kap. 12.3.4. 14Rättelse, tillsyn, skadestånd, sanktioner och överklagande I artikel 4 i Rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (dataskyddsram- beslutet) anges följande under rubriken , radering och blockering 1.Personuppgifter ska rättas om de är felaktiga samt, om så är möjligt och nödvändigt, kompletteras eller aktualiseras. 2.Personuppgifter ska raderas eller avidentifieras när dessa inte längre behövs för de ändamål för vilka de lagligen insamlades eller lagligen vidare bearbetas. Arkivering av de uppgifter som införts i ett separat dataset i överensstämmelse med national lagstiftning ska inte påverkas av denna bestämmelse. 3.Personuppgifter ska inte raderas utan blockeras, om det finns skälig grund att anta att en radering skulle kunna påverka den registrerades legitima intressen. Blockerade uppgifter får endast behandlas för det ändamål som hindrade att de raderades. 4.Om personuppgifterna ingår i ett domstolsbeslut eller akten i samband med utfärdandet av ett rättsligt beslut ska rättelse, radering eller blockering utföras i enlighet med nationella bestämmelser om rättsliga förfaranden. Artikel 8 i dataskyddsrambeslutet – Kontroll av kvaliteten på de uppgifter som överförs eller görs tillgängliga – har följande lydelse. De behöriga myndigheterna ska vidta alla rimliga åtgärder för att se till att personuppgifter som är felaktiga, ofullständiga eller inaktuella inte överförs eller görs tillgängliga. De behöriga myndigheterna ska därför i görligaste mån kontrollera kvaliteten på personuppgifterna innan dessa överförs eller görs tillgängliga. Vid all överföring av Rättelse, tillsyn, skadestånd, sanktioner och överklagande uppgifter ska, så långt detta är möjligt, sådan tillgänglig information läggas till som gör att den mottagande medlemsstaten kan bedöma graden av korrekthet, fullständighet, aktualitet och tillförlitlighet. Om personuppgifter överförs utan att någon begäran har gjorts ska den mottagande myndigheten utan dröjsmål bedöma huruvida dessa uppgifter är nödvändiga för det ändamål som låg till grund för överföringen. Om det visar sig att felaktiga uppgifter har överförts eller att uppgifter olovligen har överförts ska mottagaren under- rättas om detta. Uppgifterna måste ofördröjligen rättas, raderas eller blockeras i enlighet med artikel 4. I artikel 18 i dataskyddsrambeslutet – Rätt till rättelse, radering eller blockering av uppgifter – anges följande. Den registrerade ska ha rätt att förvänta sig att den registeransvarige fullgör sin skyldighet enligt artiklarna 4, 8 och 9 att rätta, radera eller blockera personuppgifter som registrerats inom ramen för detta rambeslut. Medlemsstaterna ska fastställa huruvida den registrerade får göra anspråk på denna rättighet direkt gentemot den registeransvarige eller via den behöriga nationella tillsynsmyndigheten. Om den registeransvarige vägrar att rätta, radera eller blockera måste vägran meddelas skriftligen och den registrerade måste informeras om de möjligheter som tillhandahålls inom den nationella lagstiftningen att anföra klagomål eller begära prövning. När klagomålet eller begäran om prövning behandlats ska den registrerade informeras om huruvida den registeransvarige handlat korrekt eller ej. Medlemsstaterna får även föreskriva att den registrerade ska informeras av den behöriga nationella tillsynsmyndigheten om att en översyn har utförts. Om den registrerade bestrider korrektheten av en personuppgift och det inte kan fastställas huruvida denna är korrekt får denna uppgift markeras. Av artikel 6 d) i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) framgår följande (del av artikeln anges nedan). Medlemsstaterna skall föreskriva att personuppgifter --- --- d) skall vara riktiga och, om nödvändigt, aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlades in eller för vilka de senare behandlas, utplånas eller rättas, Rättelse, tillsyn, skadestånd, sanktioner och överklagande Det åligger den registeransvarige att säkerställa att punkt 1 efterlevs. I artikel 12 b) finns ytterligare bestämmelser i direktivet angående - Rätt till tillgång – med följande innehåll. Medlemsstaterna skall säkerställa att varje registrerad har rätt att från den registeransvarige -- b)i förekommande fall få sådana uppgifter som inte behandlats i enlighet med bestämmelserna i detta direktiv rättade, utplånade eller blockerade, särskilt om dessa är ofullständiga eller felaktiga, c)få genomfört att en tredje man till vilken sådana uppgifter utlämnats underrättas om varje rättelse, utplåning eller blockering som utförts i enlighet med punkt b), om detta inte visar sig vara omöjligt eller innebär en oproportionerligt stor ansträngning. 14.1.3Personuppgiftslagen (1998:204) 9 § personuppgiftslagen (1998:204) innehåller bl.a. de grund- läggande kraven på den personuppgiftsansvarige. Av 9 § första stycket h) framgår att det är ett grundläggande krav vid behandling av personuppgifter att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. I 9 § första stycket e) och g) finns det vidare bestämmelser som innebär krav på den personuppgiftsansvarige att se till att de person- uppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen och att de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella. Redan av de grundläggande kraven i 9 § framgår det således att den person- uppgiftsansvarige på egen hand måste vara aktiv för att se till att de behandlade uppgifterna är korrekta. I 28 § personuppgiftslagen finns vidare regler om rättigheter för den registrerade, bl.a. att påkalla den personuppgiftsansvariges aktivitet att korrigera uppgifter. Den sistnämnda paragrafen har följande lydelse. Den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana person- uppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har utfärdats med stöd av lagen. Den personuppgifts- ansvarige skall också underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna Rättelse, tillsyn, skadestånd, sanktioner och överklagande undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Rättelse kan göras genom att en uppgift rättas, blockeras eller utplånas. Att en personuppgift rättas innebär att den ersätts eller kompletteras med korrekta uppgifter. Med blockering avses här en åtgärd som vidtas för att person- uppgifter ska vara förknippade med information om att de är spärrade och om anledningen till spärren (jfr även vad som anförts om begreppet i avsnitt 9.4.1). Att en uppgift utplånas innebär att den förstörs så att den inte kan återskapas. Endast fysiska personer kan åberopa bestämmelsen om rättelse i personuppgiftslagen (detsamma gäller skadestånd, jfr avsnitt 14.3.3). Förutom möjligheterna till korrigering i 28 § personuppgifts- lagen har den registrerade, enligt 47 § personuppgiftslagen, också möjlighet att anmäla saken till tillsynsmyndigheten som i sin tur bl.a. kan föra talan i domstol om att uppgifterna ska utplånas (angående tillsyn se vidare avsnitt 14.2). Den registrerade har även själv, enligt 52 § samma lag, möjlighet att överklaga den person- uppgiftsansvariges beslut vad gäller rättelse. 14.1.4Val av metod för korrigering av uppgifter Angående vilken metod för korrigering av uppgifter som den personuppgiftsansvarige ska använda sig av, finns i dataskydds- rambeslutet endast specifika regler i artikel 4 punkten 3 i vilken anförs att en uppgift inte ska raderas utan att den i stället ska blockeras om det finns skälig grund att anta att en radering skulle kunna påverka den registrerades legitima intressen. Härutöver finns inte några regler i dataskyddsrambeslutet som anger vilken av metoderna i artikel 18 som den personuppgifts- ansvarige ska använda sig av för att korrigera uppgifter i olika situationer. Motsvarande synsätt föreligger i dataskyddsdirektivet. I personuppgiftslagen finns inte heller några bestämmelser om när en viss form av rättelse ska vidtas, utan det bör vara upp till den Rättelse, tillsyn, skadestånd, sanktioner och överklagande personuppgiftsansvarige att avgöra om en uppgift ska rättas, blockeras/spärras eller utplånas (jfr prop. 1997/98:44 s. 87). 14.1.5Jämförelse mellan EU-rätt och svensk rätt Vår bedömning: Bestämmelserna i artiklarna 4 och 8 respektive 18 i dataskyddsrambeslutet föranleder inte någon ändring i lag eller förordning, förutom vad som anges i avsnitt 14.1.6. Artiklarna 4 och 8 jämförda med 9 § personuppgiftslagen Artiklarna 4 och 8 i dataskyddsrambeslutet har delvis mot- svarigheter i artikeln 6 d) i dataskyddsdirektivet och motsvaras i sin tur i svensk rätt av 9 § personuppgiftslagen. 9 § personuppgiftslagen är tillämplig på de myndigheter som omfattas av dataskyddsrambeslutets bestämmelser, dels – genom avsaknad av särreglering – på Kriminalvården, Kronofogde- myndigheten, , polisen, , allmänna domstolar, allmänna förvaltningsdomstolar samt åklagarväsendet, dels på , genom en hänvisning till 9 § e)–h) i 6 § 3. i lagen (2005:787) om behandling av uppgifter i brotts- bekämpande verksamhet samt hänvisning till 28 § personuppgifts- lagen i 6 § 5. I artikel 4 punkten 4 dataskyddsrambeslutet stadgas att för det fall personuppgifterna ingår i ett domstolsbeslut eller akten i samband med utfärdandet av ett rättsligt beslut ska rättelse, radering eller blockering utföras i enlighet med nationella bestämmelser om rättsliga förfaranden. Från rättelsekravet i artikel 4 görs således genom ovan nämnda punkt ett undantag som innebär att felaktiga uppgifter i domstolsbeslut och underlagen för dem inte behöver raderas. Motsvarande begränsningar finns inte i 9 § personuppgiftslagen. Dataskyddsrambeslutet ställer inte krav på ändring av svensk rätt i denna del. I detta sammanhang kan beaktas att det i skäl 31 i dataskydds- rambeslutets inledande delar anges att rambeslutet gör att principerna om allmänhetens tillgång till offentliga handlingar kan tillgodoses vid tillämpningen av principerna i detta. Rättelse, tillsyn, skadestånd, sanktioner och överklagande Rambeslutet får därmed inte anses inskränka på den rätt till insyn som allmänheten har genom rätten att ta del av allmänna offentliga handlingar. Då svenska regler i detta fall således inte – på sätt som det finns möjligheter till i dataskyddsrambeslutet – begränsar den registre- rades rätt till korrigering av uppgifterna, finns inte anledning att föreslå några ändringar eller tillägg i svensk rätt i denna del. Artikel 18 jämförd med 28 § personuppgiftslagen Artikel 18 i dataskyddsrambeslutet motsvaras delvis av artikel 12 b) i dataskyddsdirektivet som i sin tur har 28 § i personuppgiftslagen som motsvarighet i svensk rätt. Flertalet av de registerförfattningar som avser de myndigheter som berörs av dataskyddsrambeslutet innehåller hänvisningar till personuppgiftslagens bestämmelser om rättelse. I lagen (2000:344) om Schengens informationssystem finns vidare en särskild rättelseregel där det föreskrivs att Rikspolis- styrelsen är skyldig att på begäran av den registrerade, eller om det annars finns anledning till det, rätta, blockera eller utplåna en personuppgift som styrelsen har registrerat, om uppgiften är rättsligt eller sakligt felaktig. Denna bestämmelse får också anses motsvara dataskyddsram- beslutets krav. Skäl att i denna del föreslå kompletteringar i svensk rätt före- ligger därför i huvudsak inte. I något enstaka fall saknas dock denna hänvisning varför ett tillägg då föreslås, se avsnitt 14.1.6 nedan angående förordningen (1997:902) om register över strafförelägganden och förordningen (1997:903) om register över förelägganden av ordningsbot. 14.1.6Särskilt om vissa förordningar i svensk rätt Våra förslag: Nya paragrafer ska införas, dels i förordningen (1997:902) om register över strafförelägganden, dels i förordningen (1997:903) om register över förelägganden av ordningsbot, där det anges att bestämmelserna i personuppgifts- lagen (1998:204) om rättelse ska tillämpas vid behandling av personuppgifter enligt respektive förordning. Rättelse, tillsyn, skadestånd, sanktioner och överklagande