prop · H00373 · 2013-02-27 00:00:00 — den finns särreglering som i stor utsträckning ersätter personuppgiftsla- Motsvarande gäller registerförfattningen för brottsbe- För polisen, och har 2012/13:73 en annan lagstiftningsmodell valts, men resultatet är detsamma, nämligen att personuppgiftslagens bestämmelser delvis gäller. Personuppgiftslagen reglerar hur personuppgifter får hanteras. Lagen ska tillämpas på all helt eller delvis automatiserad behandling av person- uppgifter. Dessutom är den tillämplig på behandling av sådana personuppgifter som ingår, eller är avsedda att ingå, i en strukturerad samling av personuppgifter vilka är tillgängliga för sökning eller sam- manställning enligt särskilda kriterier. Kompletterande bestämmelser till personuppgiftslagen finns i person- uppgiftsförordningen (1998:1191). 4.6.2Grundläggande krav för behandlingen I 9 § personuppgiftslagen slås vissa grundläggande krav fast för all be- handling av personuppgifter. Sådana uppgifter ska alltid behandlas på ett korrekt och lagligt sätt samt i enlighet med god sed. Personuppgifter ska samlas in och behandlas för särskilda, uttryckligt angivna ändamål. får uppgifterna inte behandlas för något annat ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in (den s.k. finalitetsprincipen). De personuppgifter som behandlas ska vidare vara riktiga och relevanta i förhållande till ändamålen med behandlingen och får inte heller vara fler än vad som är nödvändigt med hänsyn till ända- målen med behandlingen. Om det är nödvändigt ska uppgifterna vara aktuella. Om personuppgifterna inte uppfyller dessa krav, ska den per- sonuppgiftsansvarige vidta alla rimliga åtgärder för att utplåna, blockera eller rätta uppgifterna. Personuppgifter får inte sparas längre än nödvändigt med hänsyn till de ändamål för vilka de behandlas. Därefter ska de avidentifieras eller för- störas. Behandling som sker för att bevara uppgifter för historiska, statis- tiska eller vetenskapliga ändamål får dock ske än vad som är nödvändigt för de ursprungliga ändamålen. Det möjliggör t.ex. behandling i form av elektronisk arkivering av personuppgifter. Personuppgiftslagen innehåller en uttömmande uppräkning av under förutsättningar behandling av personuppgifter är tillåten (10 12 §§ personuppgiftslagen). Av särskilt intresse i detta sammanhang är 13 § som förbjuder behandling av känsliga personuppgifter. personuppgifter definieras i lagen som uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Förbudet mot behandling av känsliga uppgifter är inte undantagslöst. omfattar enligt 5 a § personuppgiftslagen inte personuppgifter som inte ingår i eller är avsedda att ingå i strukturerat material, dvs. personuppgifter som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier. I 1419 §§ personuppgiftslagen anges under vilka förutsättningar känsliga uppgifter får behandlas trots förbudet i Känsliga personuppgifter får således behandlas om det är nödvän- digt med hänsyn till vissa särskilt angivna ändamål, t.ex. för att den regi- strerades eller någon annans vitala intressen ska kunna skyddas och den Prop. 2012/13:73 registrerade inte kan lämna samtycke till behandlingen. utrymme för regeringen, eller den myndighet regeringen bestämmer, att enligt 20 § personuppgiftslagen meddela föreskrifter om ytterligare undantag från förbudet i 13 §, om det behövs med hänsyn till ett viktigt allmänt intresse. Sådana föreskrifter finns i 8 § personuppgiftsförord- ningen. Enligt den bestämmelsen får myndigheter generellt behandla känsliga personuppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ärendet. Enligt 21 § personuppgiftslagen är det som huvudregel förbjudet för andra än myndigheter att behandla sådana personuppgifter om lagöver- trädelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Uppgifter om per- sonnummer och samordningsnummer får enligt 22 § personuppgiftslagen behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Personuppgiftslagen innehåller ett flertal bestämmelser som syftar till att genom information trygga den enskildes rätt att kontrollera om behand- ling av personuppgifter om honom eller henne pågår. Har uppgifterna samlats in från någon annan än den enskilde, ska han eller hon informe- ras när uppgifterna registreras, eller, om avsikten med behandlingen är att lämna ut dem till tredje man, när uppgifterna lämnas ut första gången (24 § personuppgiftslagen). Information behöver dock inte lämnas om det finns bestämmelser om registrerandet eller utlämnande av uppgifterna i författning eller om det skulle vara omöjligt eller kräva en opro- portionerligt stor arbetsinsats att informera. Informationen ska omfatta uppgift om vem som är personuppgiftsansvarig, ändamålet med behandlingen samt all övrig information som den registrerade behöver för att kunna ta tillvara sina rättigheter i samband med behandlingen (25 § personuppgiftslagen). Den personuppgiftsansvarige är vidare skyldig att efter ansökan, en gång , gratis informera om huruvida och i så fall vilka uppgifter om sökanden som behandlas, ändamålet med behandlingen, varifrån uppgifterna kommer och till vem de lämnas ut (26 § personuppgiftslagen). Det bör anmärkas att uppgiftsskyldigheten inte omfattar alla uppgifter, bl.a. inte uppgifter som omfattas av sekretess eller tystnadsplikt gentemot den registrerade (27 § personuppgiftslagen). Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen, ska på begäran av den registrerade rättas, utplånas eller blockeras av den personuppgifts- ansvarige. Om felaktiga personuppgifter har lämnats ut till tredje man, ska denne i vissa fall informeras om korrigeringen (28 § personupp- giftslagen). 2012/13:73 4.6.5 I 30 och 31 §§ personuppgiftslagen finns allmänna bestämmelser om säkerheten vid behandling av personuppgifter. Bestämmelserna avser att trygga både den tekniska säkerheten och att de personer som behandlar uppgifterna har tillräckliga instruktioner för att behandla uppgifterna på ett korrekt sätt. Den personuppgiftsansvarige har ett stort ansvar för säkerheten. 4.6.6Överföring av personuppgifter till tredjeland Enligt 33 § personuppgiftslagen är det förbjudet att föra över personupp- gifter till tredjeland om landet inte har en adekvat nivå för skyddet av personuppgifter. Förbudet gäller också överföring av personuppgifter för behandling i tredjeland. Frågan om skyddsnivån är adekvat ska bedömas med hänsyn till samtliga omständigheter som har samband med överfö- ringen. I paragrafen anges vilka omständigheter som ska tillmätas sär- skild vikt. I 34 § anges vissa undantag från förbudet i 33 §. Ett viktigt undantag är att det är tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till dataskyddskonventionen. I 35 § finns be- myndiganden som framför allt ger regeringen möjlighet att besluta om ytterligare undantag från förbudet i 33 §. I bilagor till personuppgiftsför- ordningen anges vissa länder som enligt särskilt beslut av Europeiska gemenskapernas kommission anses ha en adekvat skyddsnivå för be- handlingen av personuppgifter eller som har slutit avtal med EU om överföring av vissa uppgifter om flygpassagerare. Datainspektionen är enligt 2 § personuppgiftsförordningen tillsynsmyn- dighet enligt personuppgiftslagen. De registerförfattningar som gäller utöver personuppgiftslagen och som är aktuella i detta sammanhang innehåller inte några avvikande bestämmelser i fråga om tillsynsmyndig- Datainspektionen är således tillsynsmyndighet även enligt dessa författningar (se t.ex. prop. 2004/05:164 s. 53 f.). andra särskilda registerförfattningar som berörs av dataskyddsrambeslu- Datainspektionen har enligt 43 § personuppgiftslagen för sin tillsyn rätt att på begäran få tillgång till de personuppgifter som behandlas och upp- lysningar och dokumentation av behandlingen och säkerheten vid denna samt tillträde till sådana lokaler som har anknytning till behandlingen av Om tillsynsmyndigheten inte efter begäran kan få till- räckligt underlag för att konstatera att behandlingen är laglig, får myn- digheten enligt 44 § vid vite förbjuda den personuppgiftsansvarige att behandla personuppgifter på annat sätt än att lagra dem. vara en allmän rättsgrundsats att vite inte bör användas mot statliga myn- digheter (prop. 2004/05:164 s. 54 och 2006/07:46 s. 105). Enligt 45 § personuppgiftslagen ska tillsynsmyndigheten, om den kon- staterar att uppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, genom påpekanden eller liknande förfaranden försöka Prop. 2012/13:73 åstadkomma rättelse. Går det inte att få rättelse på annat sätt, eller om saken är brådskande, får myndigheten på motsvarande sätt förbjuda annan behandling än lagring. får också, enligt 47 §, ansöka hos förvaltningsrätten om att sådana uppgifter som har behandlats på olagligt sätt ska utplånas. Om behandling av personuppgifter i strid med personuppgiftslagen orsa- kar skada för den registrerade har vederbörande, enligt 48 § personupp- giftslagen, rätt till skadestånd från den personuppgiftsansvarige. Skade- ståndsansvaret är i princip strikt. Den registrerade behöver bara visa att det förekommit en felaktig behandling och att denna skadat eller kränkt honom eller henne. Ersättningen kan dock i skälig utsträckning jämkas om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Lagen innehåller också en straffbestämmelse i 49 §. Till böter eller fängelse döms bl.a. den som uppsåtligen eller av grov oaktsamhet behandlar personuppgifter i strid med bestämmelserna om behandling av känsliga personuppgifter eller för över personuppgifter till tredjeland i strid med bestämmelserna i 3335 §§ personuppgiftsla- gen. 4.7Polisens behandling av personuppgifter Polisdatalagen (2010:361) gäller vid behandling av personuppgifter i polisens brottsbekämpande verksamhet. Utgångspunkten för lagstift- ningen har varit att skapa en modern, flexibel och teknikneutral lag, som i så liten utsträckning som möjligt reglerar detaljer och enskilda register. Polisdatalagen gäller i stället för personuppgiftslagen (1 kap. 1 § polis- datalagen). I lagen hänvisas dock till ett antal bestämmelser i personupp- giftslagen som gäller vid behandling av personuppgifter i polisens brotts- bekämpande verksamhet (2 kap. 2 § polisdatalagen). Som exempel kan nämnas personuppgiftslagens bestämmelser om definitioner och om förhållandet till offentlighetsprincipen. Polisen har, något förenklat, tre kategorier av register vilket hör sam- man med vilka bestämmelser som styr behandlingen. register som förs med stöd av allmänna bestämmelser i polisdatala- gen och personuppgiftslagen, register som förs med stöd av bestämmelser om särskilda register i polisdatalagen eller annan särskild registerlagstiftning, och register som enligt övergångsbestämmelserna till polisdatalagen förs med stöd av den numera upphävda datalagen och Datainspektionens tillstånd. Andra registerförfattningar som är av intresse i detta sammanhang är lagen (1998:620) om belastningsregister, lagen (1998:621) om misstan- 2012/13:73 keregister, lagen (2000:344) om Schengens informationssystem, lagen (2006:444) om passagerarregister och lagen (2010:362) om polisens allmänna spaningsregister. Den nuvarande polisdatalagen trädde i kraft . gäller vid behandling av personuppgifter i polisens brottsbekämpande verksamhet vid och polismyndigheterna samt i Eko- brottsmyndighetens polisiära verksamhet. Den personuppgiftsbehandling som sker med stöd av de särskilda lagarna om belastningsregister, misstankeregister, Schengens informa- tionssystem, passagerarregister samt polisens allmänna spaningsregister undantas från polisdatalagens tillämpningsområde. heller när personuppgifter behandlas i polisens vapenregister enligt vapenlagen (1996:67), om inte annat anges i den lagen. I polisdatalagen anges för vilka ändamål personuppgifter får behandlas i polisens brottsbekämpande verksamhet. Ändamålen delas in i primära och sekundära ändamål. De primära ändamålen avser behandling av personuppgifter för att tillgodose de behov som finns inom polisens Dessa ändamål är uttömmande angivna i 2 kap. 7 § polisdatalagen. Personuppgifter får enligt denna bestämmelse behandlas om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott, eller fullgöra förpliktelser som följer av internationella åtaganden. De sekundära ändamålen aktualiseras när personuppgifter som får be- handlas i polisens brottsbekämpande verksamhet lämnas ut till andra myndigheter eller organisationer för dessas behov. ändamålen, som anges i 2 kap. 8 § polisdatalagen, får personuppgiftsbe- handling genom sådant utlämnande ske när det är nödvändigt för att tillhandahålla information som behövs i brottsbekämpande verksamhet hos , , och , eller hos utländsk myndighet eller mellanfolklig organisation. uppgiftsbehandling genom utlämnande får vidare ske om det är nödvän- digt för att tillhandahålla information som behövs i polisens handräck- ningsverksamhet eller, om det finns särskilda skäl, att tillhandahålla informationen i annan verksamhet som polisen svarar för. uppgiftsbehandling får även ske om det är nödvändigt för att tillhanda- hålla information som behövs i verksamhet hos för att förebygga brott och upprätthålla säkerheten, eller i en myndighets verk- samhet i övrigt, om det åligger polisen att bistå myndigheten med viss uppgift, eller informationen tillhandahålls inom ramen för myndighets- överskridande samverkan mot brott. Uppgifter som behandlas för ett primärt ändamål får även behandlas om det är nödvändigt för att lämna information till och regeringen samt, i den utsträckning upp- giftsskyldighet följer av lag eller förordning, till andra. I ett enskilt fall får personuppgifter behandlas genom att lämnas ut även för något annat ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in (finalitetsprincipen). Slutligen anges att personuppgifter får behandlas om det är nödvändigt för diarie- föring, eller uppgifterna har lämnats till polisen i en anmälan eller lik- nande och behandlingen är nödvändig för handläggningen (2 kap. 9 § polisdatalagen). Det finns vidare särskilda sekretessbrytande bestämmelser som anger i vilken utsträckning personuppgifter får lämnas ut till bl.a. och Europol, utländsk underrättelse- och säkerhetstjänst samt utländsk myn- dighet eller mellanfolklig organisation (2 kap. 15 § polisdatalagen). Per- sonuppgifter får lämnas ut till eller Europol, eller till en polis- myndighet eller åklagarmyndighet i en stat som är ansluten till , om det är förenligt med svenska intressen och det behövs för att myndig- heten eller organisationen ska kunna förebygga, förhindra, upptäcka, utreda eller beivra brott. Personuppgifter får även lämnas till utländsk underrättelse- eller säkerhetstjänst. Uppgifter får vidare lämnas till en utländsk myndighet eller mellanfolklig organisation, om utlämnandet följer av en internationell överenskommelse som efter godkännande har tillträtt. Det finns även sekretessbrytande bestämmelser som gäller i förhållande till svenska myndigheter (2 kap. 1618 §§ polis- datalagen). Lagen innehåller också bestämmelser om elektroniskt utlämnande av, tillgång till, bevarande och gallring av personuppgifter (2 kap. 2021 §§ polisdatalagen). Behandling av känsliga personuppgifter Behandling av känsliga personuppgifter regleras i 2 kap. 10 § polisdata- lagen. Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Om uppgifter om en person behandlas på annan grund får de kompletteras med sådana uppgifter om det är absolut nödvändigt för syftet med behandlingen. Register som regleras särskilt i polisdatalagen Några register regleras särskilt i 4 kap. polisdatalagen. Dessa är register över DNA-profiler, dvs. , utredningsregistret och spårre- gistret, fingertrycks- och signalementsregister, penningtvättsregister samt det internationella registret. För dessa register finns särskilda bestämmel- ser om ändamål, gallring och direktåtkomst. Behandling av personuppgifter i Säkerhetspolisens brottsbekämpande verksamhet Polisdatalagen har ett särskilt kapitel med bestämmelser om behandling av personuppgifter i Säkerhetspolisens brottsbekämpande verksamhet (5 kap. polisdatalagen). Dessa bestämmelser reglerar framförallt ända- målen för Säkerhetspolisens personuppgiftsbehandling, som delvis avvi- ker från regleringen för den övriga polisen. Det finns även särskilda bestämmelser om bevarande och gallring. När det gäller behandlingen av 2012/13:73 känsliga uppgifter, utlämnande av personuppgifter och uppgiftsskyldig- het gäller samma bestämmelser som för polisen i övrigt. Skadestånd, rättelse och överklagande Personuppgiftslagens regler om skadestånd och rättelse gäller vid be- handling med stöd av polisdatalagen (2 kap. 2 § första stycket punkterna 12 och 13 polisdatalagen). I fråga om överklagande hänvisas till överkla- ganderegler i personuppgiftslagen (2 kap. 2 § första stycket punkt 13 polisdatalagen). Som tidigare nämnts finns det också några registerförfattningar som reglerar enskilda register som förs helt eller delvis inom ramen för poli- sens brottsbekämpande verksamhet, men som har undantagits från polis- datalagens tillämpningsområde. Detta gäller lagen om belastningsregis- ter, lagen om misstankeregister, lagen om polisens allmänna spaningsre- gister, lagen om Schengens informationssystem och lagen om passage- rarregister. I var och en av författningarna regleras bl.a. ändamålet med registret, vilka uppgifter som får finnas i registret och när de ska gallras. Motsvarande bestämmelser finns i vapenlagen (1996:67) när det gäller vapenregister. 4.8Andra myndigheters behandling av personuppgifter för brottsbekämpning Lagen (2005:787) om behandling av uppgifter i brottsbekäm- pande verksamhet behandlar i stort sett samma frågor som polisdatala- gen. Den gäller i stället för personuppgiftslagen, men hänvisar till vissa bestämmelser i personuppgiftslagen som ska tillämpas på personupp- giftsbehandling inom brottsbekämpande verksamhet. Till lagen hör förordningen (2005:791) om behandling av uppgifter i Tullver- kets brottsbekämpande verksamhet. har också en registerlag med tillhörande förordning som gäller i den s.k. fiskala verksamheten, lagen (2001:185) och förordningen (2001:646) om behandling av upp- gifter i verksamhet. Författningarna i fråga är inte tillämpliga i detta lagstiftningsärende och kommer därför inte att beröras närmare här. När det i det följande talas om registerförfattning avses alltså regleringen för brottsbekämpande verksamhet. Lagen om behandling av uppgifter i brottsbekämpande verksamhet innehåller dels allmänna regler om behandling av personupp- gifter, dels bestämmelser om en särskild databas, tullbrottsdatabasen. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukture- rad samling av personuppgifter. Lagen tillämpas även i viss utsträckning på behandling av uppgifter om juridiska personer. De ändamål för vilka personuppgifter får behandlas i brottsbekämpande verksamhet är uppdelade i primära (7 §) och sekun- dära (8 §) ändamål. Personuppgifter får behandlas om det behövs för att förhindra eller upptäcka brottslig verksamhet, för att utreda eller beivra visst brott, eller för att fullgöra det arbete som är skyldigt att utföra enligt lagen (2000:1219) om internationellt tullsamarbete (7 §). Vidare får personuppgifter behandlas när det är nödvändigt för att till- handahålla information som behövs hos andra, i bestämmelsen uppräk- nade, svenska brottsbekämpande myndigheter (8 §). Uppgifter får som huvudregel inte behandlas för några andra ändamål än de som anges i 7 och 8 §§ (jfr 9 § d personuppgiftslagen, som inte gäller i denna verk- samhet). Uppgifter får dock lämnas ut till och regeringen samt, i den utsträckning uppgiftsskyldighet följer av lag eller förordning, till andra (9 §). Känsliga personuppgifter, dvs. uppgifter om en persons ras eller et- niska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv, får inte behandlas en- bart på grund av vad som är känt om en persons sådana förhållanden. Om uppgifter om en person behandlas på annan grund får de dock komplette- ras med känsliga personuppgifter när det är absolut nödvändigt för syftet med behandlingen (11 §). I 1215 §§ anges de närmare förutsättningarna för behandling av upp- gifter för de tre huvudsyften som anges i 7 §. För ändamålet att förhindra eller upptäcka brottslig verksamhet får en- ligt 12 § uppgifter behandlas i följande fall om uppgifterna dels ger anledning att anta att brottslig verksamhet, som innefattar brott för vilket är föreskrivet fängelse har utövats eller kan komma att utövas, eller som innefattar andra brott om verksamheten sker systematiskt, dels kan hänföras till en person som skäligen kan misstänkas för verksamheten i fråga, om uppgifterna avser sådana transportmedel, varor eller hjälpmedel som kan antas ha samband med sådan verksamhet som sagts och inte kan hänföras till en person, eller om uppgifterna avser en person som, utan att vara skäligen misstänkt, kan antas ha samband med sådan verksamhet. Dessutom får uppgifter om passagerare, importörer, exportörer och transportörer samt varor och transportmedel behandlas för planering av kontrollverksamheten och urval av kontrollobjekt i syfte att förhindra eller upptäcka brottslig verksamhet (13 §). För ändamålet att utreda och beivra brott får enligt 14 § uppgifter om den som kan misstänkas för brottet och om andra personer behandlas när det behövs för att utreda eller beivra brottet. Enligt 15 § får , utöver vad som följer av 1214 §§, behandla uppgifter för sådant ändamål som anges i 7 § 3, dvs. för att fullgöra det arbete som verket är skyldigt att utföra enligt lagen (2000:1219) om internationellt tullsamarbete. Som huvudregel ska uppgifter om personer som inte är misstänkta eller kan komma att misstänkas för brott förses med en särskild upplysning om detta. Uppgifter om en person som kan ha samband med brottslig verksamhet ska förses med upplysning om uppgiftslämnarens trovärdig- het och uppgifternas riktighet i sak (16 §). 2012/13:73 I 19 § anges i detalj vilka typer av personuppgifter som får behandlas i tullbrottsdatabasen och i 2022 §§ anges vilka sökbegrepp som får an- vändas. Lagen innehåller också regler om när gallring av olika uppgifter ska ske (27 och 28 §§). I 27 § finns ett bemyndigande för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter om att uppgifter ska bevaras än de frister som annars gäller. I bestämmelsen anges inte för vilka ändamål det får föreskrivas att upp- gifter ska bevaras längre. I 4 § förordningen om behandling av uppgifter i brottsbekämpande verksamhet föreskrivs att uppgifter och handlingar i ett ärende som avser prövning av om förundersökning ska inledas får bevaras längre än vad som anges i 27 § i lagen men att de ska gallras senast vid utgången av det kalenderår då påföljd kan dömas ut för de brott som omfattades av prövningen av om förundersök- ning ska inledas. Lagen innehåller även bestämmelser om information till den registre- rade och överklagande. I fråga om skadestånd och rättelse gäller be- stämmelserna i personuppgiftslagen.