prop · H20363 · 2015-03-12 00:00:00 — Bestämmelsen bör vara tillämplig vid behandling av uppgifter enligt den nya lagen. En hänvisning till bestämmelsen bör därför, som utredningen föreslår, tas in i lagen. Frågor om tillsyn behandlas även i avsnitt 14. Skadestånd och straff (48 och 49 §§) Enligt 48 § personuppgiftslagen ska den personuppgiftsansvarige ersätta den registrerade för den skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med den lagen har orsakat. Bestämmelsen gäller vid personuppgiftsbehandling i åklagarväsendets verksamhet. Utredningen föreslår att den nya lagen ska innehålla en hänvisning till bestämmelsen. Det bör givetvis finnas en rätt till skadestånd vid skada och kränkning som uppstår när uppgifter behandlas i strid med bestämmelserna i den föreslagna lagen. En hänvisning till 48 § personuppgiftslagen bör därför tas in i den nya lagen. Hänvisningen innebär att skadestånd enligt 48 § personuppgiftslagen ska betalas om personuppgifterna inte har behandlats i enlighet med de bestämmelser i personuppgiftslagen som ska tilllämpas eller i enlighet med de bestämmelser som finns i den föreslagna lagen. En annan fråga är om den nya lagen bör hänvisa till bestämmelsen om straffansvar för överträdelser av olika bestämmelser i personuppgiftslagen (49 § personuppgiftslagen). Behandlingen av personuppgifter enligt den nya lagen kommer att utföras av personer som är anställda vid statliga myndigheter och som därför omfattas av bestämmelserna om tjänstefel m.m. i . De omfattas också av reglerna om disciplinansvar för tjänsteförseelse i lagen (1994:260) om offentlig anställning. Något behov en hänvisning till 49 § personuppgiftslagen ansågs inte finnas vid tillkomsten av vare sig lagen om behandling av uppgifter i brottsbekämpande verksamhet Prop. 2014/15:63 (prop. 2004/05:164 s. 55) eller polisdatalagen (prop. 2009/2010:85 s. 91). Det finns inte skäl att nu göra någon annan bedömning än den som gjorts i tidigare lagstiftningsärenden. Någon hänvisning till bestämmelsen om straffansvar bör därför inte göras i den nya lagen. Utredningen föreslår inte heller någon sådan hänvisning. Överklagande (51–53 §§) I 51 § första stycket personuppgiftslagen anges att Datainspektionens beslut enligt lagen om annat än föreskrifter får överklagas till allmän förvaltningsdomstol. Förslaget om att Datainspektionen ska kunna meddela förbud enligt 44 § och 45 § första stycket personuppgiftslagen innebär att en hänvisning också bör göras till 51 § första stycket. Enligt 51 § andra stycket får Datainspektionen bestämma att dess beslut ska gälla även om det överklagas. Frågan är om denna bestämmelse bör gälla för åklagarmyndigheternas personuppgiftsbehandling. Det finns skäl som talar både för och emot detta. Systematiska skäl talar för att regleringen bör utformas på samma sätt, oavsett vem beslutet gäller. Verksamhetsskäl talar dock mot införandet av en sådan möjlighet. Vid införandet av polisdatalagen gjordes bedömningen att Datainspektionen inte borde ges en möjlighet att meddela interimistiska beslut i dessa fall (prop. 2009/10:85 s. 91). Det finns inte skäl att göra någon annan bedömning för åklagarväsendets del. Inte heller utredningen föreslår någon sådan hänvisning. Någon hänvisning till 51 § andra stycket personuppgiftslagen bör därför inte göras. En myndighets beslut om information, rättelse och underrättelse till tredje man om rättelseåtgärder, information om automatiserade beslut och allmänna upplysningar om pågående behandlingar får, enligt 52 § första stycket personuppgiftslagen, överklagas till allmän förvaltningsdomstol. Andra beslut enligt personuppgiftslagen får enligt 53 § inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. I förarbetena till dessa bestämmelser (prop. 2005/06:173 s. 53) uttalas att det efter införandet av en bestämmelse om överklagande i personuppgiftslagen inte är nödvändigt att ta in några överklagandebestämmelser i särskilda registerförfattningar, som hänvisar till personuppgiftslagen. I konsekvens med detta bör den nya lagen inte innehålla någon särskild bestämmelse om överklagande utan i stället enbart hänvisa till personuppgiftslagens bestämmelser om överklagande. Regeringens förslag: och ska var och en vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Motsvarande ansvar ska gälla vid behandling av uppgifter om juridiska personer. och ska var och en utse ett eller flera personuppgiftsombud. Det – liksom entledigande av personuppgiftsombud – ska anmälas till Datainspektionen. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår dock en annan lagteknisk lösning. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens förslag: Enligt 3 § personuppgiftslagen är det den personuppgiftsansvarige som ensam eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Personuppgiftsansvaret kan alltså delas mellan flera. Det är vanligt att i en registerförfattning tydligt peka ut vem som är ansvarig för den be- handling av uppgifter som regleras i författningen. behandling av personuppgifter inom åklagarväsendet finns en bestäm- melse som anger att och är personuppgiftsansvariga för den behandling av personuppgifter som respektive myndighet utför enligt bestämmelserna i förordningen. polisdatalagen och lagen om behandling av uppgifter i brottsbekämpande verksamhet finns bestämmelser som anger vem som är personuppgiftsansvarig för personuppgiftsbehandlingen enligt respek- I den nya lagen bör det anges att och ska vara personuppgiftsansvarig för den behand- ling som respektive myndighet utför enligt lagen. Enligt 36 § andra stycket personuppgiftslagen kan myndigheterna välja om de vill utse ett personuppgiftsombud eller inte (se avsnitt 7.4.2). handlingen av personuppgifter i åklagarväsendets verksamhet rör i stor utsträckning uppgifter som är integritetskänsliga, vilket gör det särskilt angeläget med den kontroll som kan utövas av ett personuppgiftsombud. Det är också viktigt att enskilda registrerade enkelt kan vända sig till rätt person hos myndigheten bl.a. i frågor om information om behandlingen och om rättelse av felaktiga uppgifter. Mot den bakgrunden bör det stäl- las krav på att och ska utse personuppgiftsombud och anmäla dessa till Datainspektionen. framgå direkt av lagen. Begreppet personuppgifter avser endast uppgifter om levande fysiska Det innebär att personuppgiftslagen inte gäller för juridiska Den lag som föreslås bör enligt regeringens bedömning emel- lertid i vissa delar vara tillämplig även på behandling av uppgifter om juridiska personer (se avsnitt 7.3). Utredningen föreslår att åklagarvä- sendet ska ha ett visst personuppgiftsansvar även för sådana uppgifter. Ingen remissinstans invänder mot detta förslag. sådant ansvar enligt 1 § tredje stycket förordningen (2006:937) om be- handling av personuppgifter inom åklagarväsendet. därför att åklagarväsendet även bör ha ett visst ansvar för uppgifter om juridiska personer, dvs. sådana uppgifter som inte utgör Ansvaret innebär motsvarande skyldigheter som per- sonuppgiftsansvaret i fråga om de krav som lagen ställer på behandling av uppgifter om juridiska personer. Dit hör att uppgifterna endast får behandlas för tillåtna ändamål och ska gallras i rätt tid. bestämmelserna om enskildas rättigheter inte vara tillämpliga, vilket innebär att åklagarväsendets ansvar gentemot juridiska personer inte omfattar exempelvis skyldighet att lämna information enligt personupp- Som tidigare nämnts bör inte heller reglerna om skadestånd och rättelse tillämpas på juridiska personer, eftersom dessa regler syftar till att ge ersättning för respektive minimera den personliga kränkning som en felaktig personuppgiftsbehandling kan innebära. 2014/15:63 förslag i denna del överensstämmer med vad som gäller för verksamhet (prop. 2004/05:164 s. 58) och för verksamhet (prop. 2011/12:45 s. 89–90). Regeringens förslag: Tillgången till personuppgifter ska begränsas till det som varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. I lagen ska det upplysas om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om tillgången till personuppgifter. Utredningens förslag överensstämmer huvudsakligen med regeringens. Utredningen föreslår inte någon upplysningsbestämmelse om regeringens föreskriftsrätt. Remissinstanserna: Datainspektionen anser att det i lagen bör införas en bestämmelse med innebörd att närmare föreskrifter om omfattningen av tjänstemännens behörighet till personuppgifter ska meddelas. Skälen för regeringens förslag: Stora informationsmängder som är samlade så att uppgifter är enkelt sökbara på elektronisk väg medför allmänt sett en risk för intrång i den personliga integriteten. Risken för sådant intrång är särskilt stor om det – som ofta är fallet i åklagarverksamhet – rör sig om integritetskänsliga uppgifter. Vem som har rätt att använda uppgifterna och hur de sprids är omständigheter som påverkar risken för intrång i den personliga integriteten. Det är därför viktigt att det säkerställs att integritetskänsliga uppgifter görs tillgängliga bara för dem som behöver uppgifterna för sitt arbete. Då det är en hörnsten i skyddet av enskildas personliga integritet att åtkomst endast medges till de personuppgifter som den enskilde tjänstemannen behöver för att kunna fullgöra sina arbetsuppgifter bör en sådan bestämmelse införas i lagen. Det åligger och att begränsa tillgången till uppgifter för myndighetens tjänstemän i enlighet härmed. Det kan även finnas behov av att ange detaljerade riktlinjer för hur tillgången till personuppgifter bör avgränsas för de enskilda tjänstemännen. Sådana riktlinjer är inte lämpliga att införa i lag. Som Datainspektionen förordar bör det i lagen upplysas om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om tillgången till personuppgifter. Tillåtna ändamål för behandlingen Primära och sekundära ändamål Regeringens förslag: I lagen ska det anges för vilka ändamål be- handling av personuppgifter får förekomma. Ändamålen ska delas in i primära och sekundära. De primära ändamålen avser behandling av personuppgifter för att tillgodose de behov som finns inom åklagar- väsendets operativa verksamhet. Dessa ändamål är uttömmande an- givna i lagen. De sekundära ändamålen avser behandling för olika typer av utlämnande av personuppgifter. I fråga om behandling av per- sonuppgifter för andra sekundära ändamål än de som anges i lagen Utredningens förslag överensstämmer delvis med regeringens. ningen föreslår att även de sekundära ändamålen ska anges uttömmande. Remissinstanserna: Majoriteten av remissinstanserna har inga in- vändningar mot förslaget. är kritisk mot att den föreslagna lagen uttömmande anger ändamålen för behandlingen. sådan lagstiftningsteknik kan varje personuppgiftsbehandling som inte klart faller in under ändamålsbeskrivningen ifrågasättas eller skapa till- Det gäller särskilt behandlingsändamålen planering, uppföljning och utvärdering som inte anges i lagen eftersom de anses vara integrerade delar av verksamheten. Kriminalvården anser att ett utelämnande av ändamålen planering, uppföljning och utvärdering kan medföra en otydlighet rörande för vilka ändamål personuppgifter får behandlas. att den personuppgiftsbehandling som förekommer inom åklagarväsen- dets tillsyns- och överprövningsverksamhet kan behöva anges i lagens Datainspektionen anser att de tillåtna ändamålen för behandling av personuppgifter är så vida att en hänvisning till per- sonuppgiftslagens 9 § c och d bör göras. handling med stöd av finalitetsprincipen bör tillåtas. framhåller att man inom RIF-arbetet enats om att finalitetsprincipen bör gälla för myndigheternas registerförfattningar. Skälen för regeringens förslag Personuppgiftslagens regler om ändamål Bestämmelser om för vilka ändamål personuppgifter får behandlas har en central roll i registerförfattningar. Syftet med en ändamålsbestämmelse är att ange ramen inom vilken personuppgifter får behandlas. allmänna principer för dataskydd att uppgifter endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att insamlade uppgifter inte får behandlas för något ändamål som är oförenligt med det Dessa principer kommer till uttryck i 9 § första stycket c och d personuppgiftslagen. I fråga om efterföljande behandling sägs i 9 § andra stycket personuppgiftslagen att en behandling av person- uppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Allmänt om ändamålsreglering i registerförfattningar Det är vanligt att man i registerförfattningar som reglerar myndigheters personuppgiftsbehandling delar upp ändamålen med behandlingen av personuppgifter i primära och sekundära. De primära ändamålen avser att tillgodose de behov som finns att behandla personuppgifter i den berörda myndighetens egen verksamhet. De sekundära ändamålen reglerar i vilken utsträckning personuppgifter, som myndigheten samlat in för ett primärt ändamål, får behandlas för att lämnas ut till annan verksamhet inom den egna myndigheten eller till enskilda eller till andra myndigheter i syfte att tillgodose deras behov. Bestämmelserna om ändamål med behandling av personuppgifter bildar i registerförfattningar en yttre ram för personuppgiftsbehandlingen. Denna ram kan anges genom en uttömmande uppräkning av tillåtna ändamål för personuppgiftsbehandlingen eller genom att man förutom de tillåtna ändamålen även tillåter behandling av uppgifter som inte är oförenliga med det ändamål för vilket uppgiften samlades in. Polisdatalagen (2010:361) är uppbyggd enligt den senare modellen med en uttömmande uppräkning av de primära ändamålen och en icke uttömmande uppräkning av de sekundära ändamålen. Utredningen föreslår en lösning enligt det förra alternativet med en uttömmande uppräkning både av de primära och sekundära ändamålen. Regleringen av de primära ändamålen Oavsett vilken modell för ändamålsreglering som väljs bör utgångspunkten vara att de tillåtna ändamålen anges så tydligt och fullständigt som möjligt. En stor del av de personuppgifter som behandlas inom åklagarväsendet är typiskt sett av integritetskänsligt slag, vilket talar för att de primära ändamålen bör anges uttömmande. kritiserar att de föreslagna ändamålsbestämmelserna är uttömmande. Datainspektionen anser å sin sida att de föreslagna primära ändamålen är mycket vida och ifrågasätter om dessa på egen hand kan uppfylla kraven på särskilda och uttryckligt angivna ändamål. För att den föreslagna mycket vida ändamålsregleringen ska anses godtagbar krävs, enligt inspektionen, att en hänvisning görs i lagen till 9 § c och d personuppgiftslagen. Ändamålsbestämmelserna bör enligt regeringens mening utformas så att de återspeglar åklagarverksamheten och ger myndigheterna möjlighet att utföra de arbetsuppgifter som åligger dem. En snävare omfattning av ändamålen än så skulle försämra myndigheternas möjlighet att kunna bedriva en effektiv verksamhet. bör bestämmelserna tillgodose befogade integritetsintressen (se mer om denna avvägning i avsnitt 7.2). Regeringen föreslår mot denna bakgrund att de primära ändamålen, i likhet med vad som gäller enligt polisdatalagen, ska anges uttömmande. För att undvika att personuppgifter ska kunna flöda helt fritt inom den yttre ram som bildas av ändamålsregleringen föreslår regeringen, som framgår ovan, att en hänvisning till 9 § första stycket c och d personuppgiftslagen ska göras i lagen (se avsnitt 7.4.2). Denna hänvisning innebär att personuppgifter endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Enligt finalitetsprincipen får insamlade uppgifter sedan inte behandlas för ändamål som är oförenliga med det 2014/15:63 ursprungliga ändamålet. Hänvisningen till finalitetsprincipen utvidgar emellertid inte den yttre ramen för tillåten behandling av personuppgifter (se Lagrådets yttrande i prop. 2009/10:85 s. 520–521). Om personuppgifter har samlats in för att utreda ett visst brott kan det generellt sett – mot bakgrund av åklagares övergripande uppgift – inte anses vara oförenligt med det ursprungliga ändamålet att behandla samma uppgifter för att utreda annat brott eller bekämpa brottslig verksamhet. I vissa undantagsfall har lagstiftaren dock bedömt att behandling för sådana nya ändamål inte bör tillåtas. Uttrycklig reglering om detta har då införts. Sådan reglering finns i bl.a. 27 kap. 23 a § som begränsar användningen av s.k. överskottsinformation från hemliga tvångsmedel till enbart de situationer som anges i paragrafen. Vidare kan det – när svenska myndigheter mottar uppgifter från andra stater – finnas villkor som på grund av en internationell överenskommelse är bindande för de svenska myndigheterna och som begränsar möjligheterna att använda uppgifterna eller bevisningen. I bl.a. 5 kap. 1 § lagen (2000:562) om internationell rättslig hjälp i brottmål finns bestämmelser som innebär att svenska myndigheter ska följa sådana villkor oavsett vad som annars är föreskrivet i lag eller annan författning. En grundtanke med förslaget är således att det inom eller bör vara tillåtet att använda sig av uppgifter som samlats in för ett visst ändamål, t.ex. att utreda om en person har begått ett visst brott, för ett annat sådant ändamål, t.ex. utreda om en annan person varit delaktig i brottsligheten eller om den förstnämnda personen har begått andra brott, om åklagare har behov av detta och det är tillåtet enligt den reglering som gäller för åklagarverksamheten. Likaså bör det vara tillåtet att använda information som samlats in i en förundersökning för att senare utreda om gärningsmannen bör åläggas kontaktförbud, näringsförbud eller någon annan motsvarande reaktion på hans eller hennes brottslighet. Regleringen av de sekundära ändamålen En annan fråga är om de sekundära ändamålen, som syftar till att beskriva för vilka ändamål uppgifter får tillhandahållas andra också, som utredningen föreslår, bör anges uttömmande. Det finns fördelar med en sådan reglering. Lagstiftaren kan då sägas en gång för alla ha bestämt i vilken utsträckning uppgifter ska få behandlas för att spridas till andra. Under förutsättning att ändamålen är tydligt avgränsade står det genom en sådan reglering klart både för tillämpare och för andra vilken personuppgiftsbehandling som får förekomma med stöd av den aktuella lagen. I förarbetena till flera registerförfattningar har man dock gjort bedömningen att det inte är möjligt att i en lag om personuppgiftsbehandling på ett tillräckligt preciserat sätt ange alla de situationer där utlämnande av uppgifter kan komma att aktualiseras. Det finns alltid en risk att något välmotiverat ändamål faller utanför, särskilt om de anges detaljerat. Vi- dare kan det, som framhåller, uppkomma tolkningsproblem. I polisdatalagen har de sekundära ändamålen i linje härmed kompletterats med en bestämmelse som möjliggör vidarebehandling utöver dessa ändamål om den är förenlig med finalitetsprincipen (2 kap. 8 § fjärde stycket polisdatalagen). En motsvarande reglering finns i kust- Regeringen gör, i likhet med bl.a. , bedömningen att en vidarebehandling av uppgifter för andra än de angivna sekundära ändamålen bör vara möjlig även inom åklagarväsendet under förutsättning att den är förenlig med finalitetsprincipen. För andra sekundära ändamål än de som anges i lagen bör utlämnande alltså tillåtas under förutsättning att det i det enskilda fallet inte kan anses oförenligt med insamlingsändamålet att lämna ut uppgifterna. Det bör framgå uttryckligen i den paragraf i den nya lagen där de sekundära ändamålen anges. Som exempel på när ett uppgiftslämnande med stöd av finalitetsprincipen kan aktualiseras kan nämnas att det i en förundersökning om ett visst brott kommer fram information som är viktig för en myndighet att känna till för att förhindra framtida brott, t.ex. om hur ett system för exempelvis ekonomiska ersättningar har missbrukats, eller uppgifter som har betydelse för hur Kriminalvården bör agera (se avsnitt 8.7). I syfte att åstadkomma ett fullgott integritetsskydd kompletteras den föreslagna ändamålsregleringen vidare med andra bestämmelser som sätter gränser för behandlingen, bl.a. bestämmelser om tillgången till uppgifter och om gallring. Det bör vidare framhållas att ett utlämnande alltid måste vara förenligt med reglerna i offentlighets- och sekretesslagen (2009:400), vilket ger ett grundläggande integritetsskydd i åklagarverksamheten. Det behövs inget särskilt ändamål för planering, uppföljning och tillsyn Några remissinstanser, däribland , väcker frågan om det behövs en särskild ändamålsbestämmelse som ger stöd för behandling av personuppgifter för bl.a. planering och uppföljning av verksamheten. I lagstiftningsärendet om behandling av personuppgifter i brottsbekämpande verksamhet uttalade Lagrådet att en sådan bestämmelse är obehövlig (prop. 2004/05:164 s. 179). Lagrådet ansåg att planering, uppföljning och utvärdering av verksamheten är en integrerad del av själva verksamheten och inte någon fristående aktivitet som behöver regleras särskilt. Någon motsvarande bestämmelse har av det skälet inte införts i polisdatalagen och inte heller i kustbevakningsdatalagen. Mot denna bakgrund föreslår regeringen inte någon sådan ändamålsbestämmelse för åklagarväsendets del. ombudsmän påpekar att den personuppgiftsbehandling som förekommer inom åklagarväsendets tillsyns- och överprövningsverksamhet kan behöva anges i lagens ändamålsbestämmelser. Regeringen gör emellertid bedömningen att överprövning av åklagarbeslut och den tillsyn som avser frågan om åklagare gjort sig skyldiga till tjänstefel faller under ändamålet utreda och beivra brott, eller något av de andra primära ändamålen, och att tillsynsverksamheten i övrigt – till den del som den inte är administrativ – ingår i begreppet uppföljning och utvärdering av verksamheten. Den behöver därför inte anges särskilt i lagens ändamålsbestämmelser. I de följande avsnitten diskuteras dels vilka de primära ändamålen för behandling av personuppgifter i åklagarväsendets operativa verksamhet bör vara, se avsnitt 8.2–8.5, dels vilka de sekundära ändamålen bör vara, se avsnitt 8.7. 8.2Förebygga eller förhindra brottslig verksamhet Regeringens förslag: Personuppgifter ska få behandlas i åklagarväsendets brottsbekämpande verksamhet, om det behövs för att förebygga eller förhindra brottslig verksamhet. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår dock inte att personuppgiftsbehandling ska vara tillåten i syfte att förhindra brottslig verksamhet. Remissinstanserna: Datainspektionen anser att det är oklart om för ändamålet ”förebygga brottslig verksamhet” behandlar uppgifter om någon som är misstänkt för brottslig verksamhet utan att det finns misstanke om något konkret brott. Om så är fallet krävs ytterligare begränsningar i den tillåtna behandlingen. Om det endast är som behandlar personuppgifter för att ”förebygga brottslig verksamhet” bör det framgå av lagen. ifrågasätter om de föreslagna ändamålen omfattar alla de uppgifter som åklagarväsendet har att utföra. Skälen för regeringens förslag: Inledningsvis måste ställning tas till i vilken utsträckning personuppgifter bör få behandlas inom ramen för brottsbekämpande verksamhet som inte avser utredning eller beivrande av ett bestämt brott. Utredningen föreslår att förebygga brottslig verksamhet ska vara ett primärt ändamål. Utredningen redogör i detta sammanhang för brottsförebyggande arbete. I uppgifter ingår enligt 3 § förordningen (2007:972) med instruktion för brottsförebyggande arbete. Myndigheten ska också analysera utvecklingen och rättstillämpningen när det gäller ekonomisk brottslighet och utarbeta förslag till åtgärder.