prop · H30365 · 2015-12-07 00:00:00 — Prövningen kan göras av domstol, men även prövning av en stats regering eller av en förvaltningsmyndighet kan vara tillräcklig. gäller som lag i . Av regeringsformen framgår att lag eller annan föreskrift inte får meddelas i strid med åtaganden på grund av konventionen (2 kap. 19 §). Även i FN:s konvention om medborgerliga och politiska rättigheter finns en bestämmelse till skydd mot godtyckligt eller olagligt ingripande i någons privat- och familjeliv (artikel 17). Reglering om automatiserad behandling av personuppgifter finns i bl.a. konvention om skydd för enskilda vid automatisk databehandling av personuppgifter (Dataskyddskonventionen) och dess tilläggsprotokoll. Konventionen trädde i kraft och har, i likhet med övriga medlemsstater i EU, anslutit sig till den. Ett arbete med att se över konventionen har inletts. Dataskyddskonventionens syfte är att säkerställa den enskildes rätt till personlig integritet i samband med automatiserad behandling av personuppgifter. Konventionens innehåll kan ses som en precisering av skyddet för den personliga integriteten som följer av artikel 8 i . Dataskyddskonventionen innehåller principer för dataskydd som de konventionsanslutna staterna måste iaktta i sin nationella lagstiftning. Personuppgifter som är föremål för automatiserad behandling ska samlas in och behandlas på ett korrekt sätt för särskilt angivna ändamål. Vidare måste uppgifterna vara relevanta för ändamålen med behandlingen och får inte senare användas på ett sätt som är oförenligt med dessa. Uppgifterna måste också vara riktiga och aktuella och de får inte bevaras längre än vad som är nödvändigt för ändamålen. Vissa kategorier av personuppgifter får, enligt konventionen, behandlas endast om den nationella lagstiftningen ger ett ändamålsenligt skydd. Till sådana personuppgifter hör uppgifter som avslöjar ras, politisk tillhörighet, religiös tro eller övertygelse i övrigt, sexualliv och uppgifter om brott. För att skydda personuppgifter mot bl.a. oavsiktlig eller otillåten förstörelse föreskriver konventionen att lämpliga skyddsåtgärder ska vidtas. Vidare föreskrivs att den registrerade bl.a. ska ha möjlighet till insyn i register och till att få uppgifter rättade. Under vissa förutsättningar får undantag göras från bestämmelserna i konventionen bl.a. i fråga om uppgifternas beskaffenhet och rätten till insyn. förutsätter stöd i den nationella lagstiftningen och att inskränkningen är nödvändig i ett demokratiskt samhälle för vissa angivna ändamål, t.ex. Prop. 2015/16:65 statens ekonomiska intressen och brottsbekämpning, och för att skydda enskildas fri- och rättigheter. Stadgan om de grundläggande rättigheterna Lissabonfördraget innebär att Europeiska unionens stadga om de grundläggande rättigheterna är rättsligt bindande. En referens till stadgan har införts i artikel 6.1 i det ändrade . I stadgan bekräftas de rättigheter som har sin grund i medlemsstaternas gemensamma författningstraditioner och internationella förpliktelser, Europa- konventionen, unionens och sociala stadgor och rättspraxis vid Europeiska unionens domstol och Europeiska domstolen för de Stadgans syfte är att kodifiera de grundläggande fri- och rättigheter som EU redan erkänner. I stadgans artikel 7 föreskrivs att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sin korrespondens. skrivs i artikel 8 att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Personuppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få En oberoende myndighet ska kontrollera att reglerna Av artikel 51 i stadgan framgår att den riktar sig till verksamhet som utförs av EU:s egna organ och institutioner och att den blir tillämplig för medlemsstaterna endast i de fall där de tillämpar . Stadgan är följaktligen inte tillämplig på nationell lagstiftning inom områden där EU inte har lagstiftningskompetens. När det gäller de garanterade rättigheternas räckvidd följer av artikel 52 i stadgan att varje begränsning i utövningen av de rättigheter och friheter som erkänns i stadgan ska vara föreskriven i lag och vara förenlig med proportionalitetsprincipen och det väsentliga innehållet i fri- och rättigheterna. I den mån rättigheterna i stadgan motsvarar rättigheter som skyddas av ska de ha samma innebörd och räckvidd som enligt konventionen. Av artikel 53 följer att stadgans artiklar inte får tolkas som att de inskränker eller inkräktar på rättigheter enligt andra konventioner eller överenskommelser om fri- och och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter och att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Medlemsstaterna får inom den ram som anges i närmare precisera villkoren för när behandling av 2015/16:65 personuppgifter får förekomma. Sådana preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. Direktivet gäller inte för sådan behandling av personuppgifter som rör allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Dataskyddsdirektivet är endast tillämpligt på behandling av uppgifter om fysiska personer och berör således inte skyddet för juridiska personer. Direktivet omfattar inte bara automatiserad behandling, utan också behandling av personuppgifter som ingår eller kommer att ingå i ett register. Direktivet omfattar inte behandling av personuppgifter för privat bruk. Enligt dataskyddsdirektivet måste all behandling av personuppgifter vara laglig och korrekt. Uppgifterna måste vara riktiga och, om nödvändigt, aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Ändamålen ska vara uttryckligt angivna vid tiden för insamling av uppgifterna. De ändamål för vilka uppgifterna senare behandlas får inte vara oförenliga med de ursprungliga ändamålen. Personuppgifter får enligt direktivet behandlas bara i vissa fall. Här kan nämnas att uppgifter får behandlas i första hand efter att den registrerade otvetydigt har lämnat sitt samtycke, men också om det är nödvändigt för att fullgöra en rättslig förpliktelse som åligger den registeransvarige eller för att utföra en arbetsuppgift som antingen är av allmänt intresse eller utgör ett led i myndighetsutövning. Personuppgifter får även behandlas om intresset av att den registeransvarige får behandla uppgifterna överväger den registrerades intresse av att de inte behandlas. Vissa särskilda i direktivet angivna kategorier av uppgifter får inte behandlas. Det gäller uppgifter som avslöjar den enskildes ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse eller medlemskap i fackförening och uppgifter som rör hälsa och sexualliv. I direktivet görs undantag från detta förbud i vissa särskilt angivna situationer, bl.a. om det finns ett uttryckligt samtycke av den registrerade. Medlemsstaterna får vidare under förutsättning att lämpliga skyddsåtgärder införs och av hänsyn till ett viktigt allmänt intresse besluta om undantag från förbudet. Dataskyddsdirektivet innehåller vidare regler om bl.a. information till den registrerade och om rätt för denne att få sådana personuppgifter som har behandlats på ett sätt som inte är i enlighet med direktivet rättade, utplånade eller blockerade. Direktivet innehåller även regler om säkerhet vid behandlingen och överföring av personuppgifter till tredjeland. presenterade ett förslag till en genomgripande reform av om skydd för personuppgifter. Förslaget innebär bl.a. att dataskyddsdirektivet ska ersättas av en ny allmän dataskyddsförordning (KOM(2012) 11). Det huvudsakliga syftet med förslaget är att ytterligare harmonisera och effektivisera skyddet av personuppgifter i syfte att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. Förordningsförslaget är dock till stor del baserat på den reglering som redan gäller enligt dataskyddsdirektivet. Förhandlingarna om dataskyddsförordningen pågår. Rådets rambeslut /977/RIF av om skydd för personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (dataskyddsrambeslutet) reglerar dataskyddet inom angivna områden. Rambeslutet är föranlett av ett antal EU- instrument rörande utvidgat polisiärt och rättsligt samarbete avseende Dataskyddsrambeslutet förpliktar medlemsstaterna att behandla uppgifter som utbyts mellan staterna inom ramen för det polisiära och rättsliga samarbetet på ett sådant sätt att skyddet för enskildas integritet Det innehåller bestämmelser som avser att förstärka skyddet vid behandling av personuppgifter som överförs. bestämmelser om allmänna utgångspunkter för behandlingen av person- uppgifter och känsliga personuppgifter, rättelse, radering och gallring av personuppgifter, information till den registrerade samt skadestånd och Till stora delar motsvarar innehållet dataskyddsdirektivet. Vidare finns bl.a. särskilda bestämmelser som begränsar möjligheterna att behandla personuppgifter som mottagits från en annan stat. Rambeslutet uppfylls redan till stora delar av befintliga dataskydds- regler i svensk rätt. De återstående delarna av rambeslutet har genomförts i svensk rätt genom lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Lagen trädde i kraft . Som en del av det förslag till genomgripande reform av om skydd för personuppgifter som presenterade den 25 har kommissionen föreslagit att rambeslutet ska ersättas av ett särskilt dataskyddsdirektiv för de brottsbekämpande myndigheterna (KOM(2012) 10). Förhandlingarna om direktivet pågår. Personuppgiftslagen (1998:204) har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Genom lagen, som trädde i kraft , genomfördes dataskyddsdirektivet i svensk rätt. Personuppgiftslagen kompletteras av personuppgiftsförordningen (1998:1191). Personuppgiftslagen syftar till att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter (1 §). Lagen är teknikneutral och tillämpas på helt eller delvis automatiserad behandling av personuppgifter och på behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (5 §). Personuppgifter i personuppgiftslagens mening är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Begreppet behandling av personuppgifter omfattar i stort sett allt man kan göra med sådana uppgifter, exempelvis att samla in, bearbeta, lagra, sammanställa och förstöra (3 §). I personuppgiftslagen anges vissa grundläggande krav behandling av personuppgifter. Personuppgifter får bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål och de får inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in (den s.k. finalitetsprincipen). som behandlas ska vara adekvata och relevanta i förhållande till ändamålet med behandlingen, och fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Vidare ska de personuppgifter som behandlas vara riktiga och, om nödvändigt, aktuella och alla rimliga åtgärder ska vidtas för att rätta, blockera eller utplåna sådana uppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Personuppgifter får som regel inte heller bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen (9 §). I lagen finns en uppräkning av under vilka förutsättningar behandling av personuppgifter är tillåten. Personuppgifter får alltid behandlas om den registrerade har gett sitt samtycke. I vissa fall får personuppgifter behandlas även utan samtycke. En förutsättning i dessa fall är att behandlingen är nödvändig för ändamålen. Personuppgiftslagen innehåller ett förbud att behandla känsliga Med känsliga uppgifter avses ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i en fackförening eller uppgifter som rör hälsa eller sexualliv (13 §). är dock inte undantagslöst. Om den registrerade har gett sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort de känsliga uppgifterna får de behandlas. Vidare görs undantag för behandling som är nödvändig bl.a. för att den registrerades eller annans vitala intressen ska kunna skyddas eller rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. Undantag görs också för behandlingen av känsliga personuppgifter för t.ex. hälso- och sjukvårdsändamål samt forskning och statistik. Regeringen, eller den myndighet som regeringen bestämmer, får också föreskriva ytterligare undantag från förbudet, om det behövs med hänsyn till ett viktigt allmänt intresse (14–20 §§). Personuppgiftslagen ställer också upp begränsningar i möjligheterna att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden och personnummer eller samordningsnummer (21 och 22 §§). Personuppgiftslagen innehåller flera bestämmelser som syftar till att genom information trygga den enskildes rätt att kontrollera om behandling av personuppgifter om honom eller henne pågår (23–27 §§). Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen, ska på begäran av den registrerade rättas, blockeras eller utplånas av den personuppgifts- ansvarige (28 §). Lagen innehåller vidare bestämmelser om säkerheten vid behandling av personuppgifter (30–32 §§). Enligt personuppgiftslagen är det förbjudet att till tredjeland föra över personuppgifter om landet inte har en adekvat nivå för skyddet av Förbudet gäller inte stater som anslutit I vissa fall får dock överföring av uppgifter till tredjeland ske även om det aktuella landet inte har en sådan Prop. 2015/16:65 adekvat skyddsnivå som avses i personuppgiftslagen, t.ex. om den registrerade har lämnat sitt samtycke eller för att rättsliga anspråk ska kunna fastställas (33–35 §§). Personuppgiftslagen innehåller också bestämmelser om bl.a. tillsyn, skadestånd, straff och överklagande (43–49 och 51–53 §§). Datainspektionen är tillsynsmyndighet. Personuppgiftslagen innehåller en särskild regel om behandling av personuppgifter i ostrukturerat material som gör undantag från ett flertal av lagens bestämmelser (5 a §). Sådan behandling får dock inte innebära att den registrerades personliga integritet kränks. Personuppgiftslagen innehåller generella regler och är tillämplig endast om det inte i någon annan lag eller i en förordning har meddelats avvikande bestämmelser (2 §). har det införts en stor mängd s.k. registerförfattningar med bestämmelser om behandling av personuppgifter. Syftet med registerförfattningarna är att anpassa regleringen till de särskilda behov som myndigheterna har i sina respektive verksamheter samt att göra avvägningar mellan behovet av effektivitet i berörd verksamhet och behovet av skydd för den enskildes personliga integritet. Personuppgiftslagen är generellt tillämplig, men om det i en annan lag eller förordning har meddelats avvikande bestämmelser har de företräde, se 2 §. har det utöver personuppgiftslagen utarbetats en stor mängd specialförfattningar med bestämmelser som rör behandling av personuppgifter, s.k. särskilda registerförfattningar. När det gäller verksamhet enligt utlännings- och medborgarskapslagstiftningen gäller förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Exempel på andra registerförfattningar är patientdatalagen (2008:355), polisdatalagen (2010:361), kustbevakningsdatalagen (2012:145) och den nya åklagardatalagen (2015:433), som träder i kraft . Syftet med de särskilda registerförfattningarna är att anpassa lagstiftningen efter de särskilda behov som finns inom olika verksamhetsområden i den offentliga sektorn. kan det finnas behov av att avvika från eller komplettera det integritetsskydd som personuppgiftslagen ger. Det kan till exempel röra sig om en typ av behandling som inte är tillåten enligt personuppgiftslagen eller att det finns ett behov av att precisera den reglering som finns i personuppgiftslagen. I sådana fall kan en registerförfattning ge ett anpassat integritetsskydd vid en myndighets hantering av personuppgifter. Det bör i sammanhanget noteras att det länge har varit ett uttalat mål från att myndighetsregister med ett stort antal registrerade och med ett känsligt innehåll ska regleras särskilt i lag (se bland annat prop. 1990/91:60 s. 58, KU 1990/91:11 s. 11 och 1997/98:44 s. 41). 4.6Förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen Personuppgiftsbehandling i verksamhet enligt utlännings- och medborgarskapsområdet regleras i förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Enligt 1 § gäller förordningen utöver personuppgiftslagen vid automatiserad behandling av personuppgifter i , , Säkerhetspolisens och utlandsmyndigheternas verksamhet enligt utlännings- och medborgarskapslagstiftningen. Med sådan verksamhet avses enligt förordningen följande. 1.Verksamhet som gäller utlänningars vistelse i och avlägsnande från landet, 2.verksamhet som gäller utlänningars rätt att arbeta i landet, 3.mottagande av asylsökande och vissa andra utlänningar, 4.verksamhet som rör bistånd och stöd till utlänningar som enligt lag eller annan författning handläggs av , 5.verksamhet som avser förvärv, förlust eller bibehållande av svenskt medborgarskap och 6.verksamhet som gäller ersättning för och bosättning av utlänningar som enligt lag eller annan författning handläggs av . En registrerad har inte rätt att motsätta sig behandling av personuppgifter som sker i enlighet med förordningen. I 1 § finns också en upplysning om att det i och rådets förordning (EG) nr 767/2008 av om informationssystemet för viseringar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS- förordningen) finns bestämmelser om behandling av personuppgifter i VIS för viseringsmyndigheter, myndigheter som ansvarar för kontroll av personers gränspassage, myndigheter som ansvarar för kontroll av utlänningars rätt att uppehålla sig i medlemsstaten samt för den centrala utlänningsmyndigheten, dvs. , och Säkerhetspolisen är enligt 2 § personuppgiftsansvariga för den personuppgiftsbehandling som respektive myndighet utför. är även personuppgiftsansvarigt för den behandling som en utlandsmyndighet utför. Enligt 3 § får automatiserade register föras i ärenden som handläggs av respektive myndighet (s.k. verksamhetsregister). I ett verksamhetsregister får personuppgifter behandlas för myndighetens handläggning av ärenden i enlighet med vad som föreskrivs i lag eller annan författning eller fullgörande av underrättelseskyldighet som följer av lag eller annan författning. Personuppgifter får också behandlas för tillsyn, kontroll, uppföljning och planering av verksamheten, framställning av statistik samt testverksamhet. Personuppgifter får enligt 4 § endast behandlas om det är nödvändigt för det ändamål för vilket behandlingen utförs. De uppgifter som får behandlas i verksamhetsregistret delas in i sex kategorier. Till identitetsuppgifter hör bl.a. namn, person- eller samordningsnummer, födelsetid, kön, vårdnadshavare och civilstånd. Med uppgifter som behövs för handläggningen av ärenden avses t.ex. uppgifter som rör utlänningens resa och ankomst till och uppgifter om språk, religion, politisk åskådning, etnisk tillhörighet och hälsotillstånd om uppgifterna är oundgängligen nödvändiga för de ändamål som anges i 3 §. Till kategorin uppgifter som behövs för mottagandet av asylsökande m.fl. hör uppgifter om inskrivning vid boendeenhet och om utbildning, yrke och anställning. Under uppgifter som behövs för förvar och andra tvångsåtgärder enligt utlänningslagen (2005:716) anges uppgifter om inskrivning vid förvarsenhet och uppgifter om hälsotillstånd och andra personliga förhållanden om uppgifterna är oundgängligen nödvändiga för förvarstagandet. Även uppgifter som behövs för verkställighet enligt 12 kap. utlänningslagen får behandlas. Dit hör uppgifter om utresan och uppgifter om hälsotillstånd och andra personliga förhållanden om uppgifterna är oundgängligen nödvändiga för verkställigheten. Slutligen får också uppgifter om beslut registreras, exempelvis beslut i frågor om uppehålls- och arbetstillstånd, återreseförbud eller visering. Känsliga personuppgifter får enligt 5 § behandlas endast om uppgifterna är oundgängligen nödvändiga för myndighetens handläggning av ärenden i enlighet med vad som föreskrivs i lag eller annan författning och fullgörande av underrättelseskyldighet som följer av lag eller annan författning. Vid sökning i myndigheternas datasamlingar får enligt 7 § känsliga personuppgifter inte användas som sökbegrepp. Enligt 6 § får , Säkerhetspolisen och utlandsmyndigheterna ha direktåtkomst till verksamhetsregister. Myndigheternas direktåtkomst ska begränsas till att endast avse personuppgifter som är nödvändiga för att en tjänsteman ska fullgöra sina arbetsuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. I 6 a § anges att även och får ha direktåtkomst till uppgifter i verksamhetsregister. Direktåtkomsten ska begränsas till uppgifter som behövs inom respektive myndighets verksamhet som underlag för att bedöma eller fastställa förmån, ersättning eller annat stöd åt en enskild eller som behövs i ett 2015/16:65 ärende om motsvarande stöd. och får ha direktåtkomst först sedan har försäkrat sig om att handläggare hos de mottagande myndigheterna bara kan ta del av uppgifter om personer som är aktuella i ärenden eller verksamhet som avser registrering av enskilda. I bestämmelsen anges också vilka kategorier av uppgifter och får ges tillgång till. Slutligen får, enligt 6 b §, även ha direktåtkomst till uppgifter i verksamhetsregister. Direktåtkomsten ska begränsas till uppgifter som behövs för handläggning av ansökan om identitetskort. Direktåtkomsten får endast avse uppgift om namn och personnummer, längd, fotografi, underskrift, typ av resehandling, resehandlingens nummer och giltighetstid samt bevis om uppehållstillstånd. får enligt 8 § föra automatiserade register för återsökning av vägledande avgöranden, rättsutredningar och liknande rättslig information, s.k. rättsfallsregister. Ett rättsfallsregister får inte innehålla personuppgifter som direkt pekar ut den registrerade. De personuppgifter som finns i ett rättsfallsregister får föras över till en stat som inte ingår i EU och heller inte är ansluten till EES. I 9 § anges att får föra ett register över fingeravtryck och fotografier som tas med stöd av 9 kap. 8 § utlänningslagen (2005:716). Enligt bestämmelsen i utlänningslagen får eller fotografera en utlänning och, om utlänningen fyllt , ta hans eller hennes fingeravtryck om utlänningen inte kan styrka sin identitet när han eller hon kommer till , utlänningen ansöker om uppehållstillstånd som flykting eller som annan skyddsbehövande eller det finns grund för att besluta om förvar.