prop · H30365 · 2015-12-07 00:00:00 — Det innebär att bestämmelserna i personuppgiftslagen inte ska tillämpas vid sådan behandling av personuppgifter som omfattas av lagen. Vissa utpekade paragrafer i personuppgiftslagen ska dock tillämpas. Uppräkningen är uttömmande. Enligt första stycket 1 ska de definitioner som anges i 3 § PUL tillämpas även vid behandling av personuppgifter som omfattas av lagen. Därigenom klargörs vad som menas med bl.a. uttrycken personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsombud och personuppgiftsbiträde. I 9 § finns dock en särskild bestämmelse om personuppgiftsansvar för den behandling av personuppgifter som utförs av , och utlandsmyndigheterna. Första stycket 2 hänvisar till 8 § PUL, där det i första stycket anges att bestämmelserna i personuppgiftslagen inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut handlingar. Genom hänvisningen till denna upplysningsbestämmelse klargörs att bestämmelserna i lagen – liksom de andra bestämmelser i personuppgiftslagen som lagen hänvisar till – inte ska tillämpas om det skulle inskränka den skyldigheten. Det innebär t.ex. att en myndighet inte kan vägra att lämna ut uppgifter i enlighet med tryckfrihetsförordningens bestämmelser enbart med hänvisning till att utlämnandet inte ryms inom de ändamål för behandling som är tillåtna enligt lagen. I sammanhanget bör dock understrykas att offentlighetsprincipen inte innebär någon skyldighet att lämna ut uppgifter i elektronisk form. Vid bedömningen av om en uppgift kan lämnas ut i elektronisk form måste alltså lagens regler beaktas. Vidare följer av hänvisningen till 8 § andra stycket PUL att bestämmelserna i lagen inte hindrar att en myndighet arkiverar eller bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. För personuppgifter som inte finns i en allmän handling gäller att uppgifterna som huvudregel inte får bevaras än vad som är nödvändigt med hänsyn till ändamålen för behandlingen. Se dock även andra stycket. I första stycket 3 hänvisas till 9 § PUL. Hänvisningen innebär bl.a. att den personuppgiftsansvarige ska se till att uppgifterna behandlas enbart om det är lagligt och att de behandlas på ett korrekt sätt. Den personuppgiftsansvarige ska också se till att de behandlade personuppgifterna är adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen (se 9 § första stycket e och f PUL). Vidare ska den personuppgiftsansvarige se till att de behandlade personuppgifterna är riktiga och, om det är nödvändigt, aktuella, samt att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen (9 § första stycket g och h PUL). Hänvisningen innebär vidare att den personuppgiftsansvarige ska se till att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål (9 § första stycket c PUL). Genom hänvisningen gäller dessutom att personuppgifter inte får behandlas för ett ändamål som är oförenligt med det ändamål för vilket de samlades in (9 § första stycket d PUL). Detta är ett uttryck för den s.k. Genom bestämmelsen uppställs en begränsning i fråga om hur uppgifter som redan finns i verksamheten får behandlas för De primära ändamålen anges uttömmande i 11 och 12 §§ medan det framgår av 13 § att det, utöver vad som framgår av första stycket i den paragrafen, är möjligt att lämna ut uppgifter för ett ändamål som inte kan anses oförenligt med det ändamål för vilket uppgifterna Den personuppgiftsansvarige ska alltså dels se till att personuppgifter inte behandlas för andra primära ändamål än de som anges i lagen, dels se till att vidarebehandling för andra sekundära ändamål än de i lagen angivna endast förekommer om det är förenligt Hänvisningen till 9 § andra stycket PUL innebär att vidarebehandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses oförenliga med de ändamål för vilka uppgifterna samlades in. Slutligen innebär hänvisningen att personuppgiftslagens bestämmelser om bevarande av uppgifter som inte finns i allmänna handlingar ska Således gäller som huvudregel att personuppgifter inte får bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen (9 § första stycket i PUL). får dock bevaras längre om det behövs för historiska, statistiska eller Vidare hänvisas i första stycket 4 till 22 § PUL. att uppgifter om personnummer eller samordningsnummer får behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat Genom hänvisningen i första stycket 5 till 23 och 25–27 §§ PUL säkerställs den registrerades rätt till information. Enligt 23 § PUL ska den personuppgiftsansvarige i samband med att personuppgifter samlas in självmant lämna den registrerade information om behandlingen av Av 25 § första stycket PUL framgår att informationen ska omfatta uppgift om den personuppgiftsansvariges identitet, uppgift om ändamålen med behandlingen och all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och Enligt 25 § andra stycket PUL behöver dock information inte lämnas om sådant som den registrerade redan känner till. Av 26 och 27 §§ PUL följer att den personuppgiftsansvarige är skyldig att en gång efter skriftlig ansökan lämna gratis information om huruvida personuppgifter som rör den sökande behandlas. behandling sker, ska upplysning också lämnas om bl.a. ändamålet med Under vissa förutsättningar gäller undantag från informationsskyldigheten i fråga om personuppgifter i löpande text som inte fått sin slutliga utformning, minnesanteckningar och liknande. Informationsplikten gäller inte heller i den utsträckning det råder sekretess eller tystnadsplikt för informationen. Bestämmelserna innebär inga skyldigheter för myndigheterna att inrätta sök- eller andra sammanställningsfunktioner enbart i syfte att kunna lämna så fullständig information som möjligt till den registrerade. För att fullgöra sina skyldigheter enligt bestämmelserna är det tillräckligt att den personuppgiftsansvarige utnyttjar de sök- och sammanställningsmöjligheter som han eller hon har tillgång till för att få fram information att lämna till den registrerade (se prop. 1997/98:44 s. 81 och 82). I första stycket 6 görs en hänvisning till 28 § PUL, som innehåller bestämmelser om rättelse, blockering och utplåning av uppgifter. Den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med lagen eller de bestämmelser i personuppgiftslagen som lagen hänvisar till. Första stycket 7 hänvisar till 30 och 31 §§ samt 32 § första stycket PUL som rör säkerhet vid behandling av personuppgifter. Enligt 30 § första stycket PUL får ett personuppgiftsbiträde (dvs. den som behandlar personuppgifter för den personuppgiftsansvariges räkning) och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning behandla personuppgifter enbart i enlighet med instruktioner från den personuppgiftsansvarige. Om det i lag eller annan författning finns särskilda bestämmelser om behandlingen av personuppgifter i det allmännas verksamhet, gäller dock – enligt 30 § tredje stycket – dessa i stället. Den sistnämnda bestämmelsen syftar särskilt på bestämmelser om tystnadsplikt och sekretess (se prop. 1997/98:44 s. 136). Enligt 30 § andra stycket PUL ska det i fråga om personuppgiftsbiträden finnas ett skriftligt avtal om biträdets behandling för den personuppgiftsansvariges räkning. Det ska i avtalet särskilt föreskrivas att biträdet får behandla personuppgifter bara i enlighet med instruktioner från den personuppgiftsansvarige och att biträdet är skyldigt att vidta de åtgärder som avses i 31 § första stycket PUL. Av 31 § PUL följer bl.a. att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de behandlade personuppgifterna. Enligt 32 § första stycket PUL får tillsynsmyndigheten i enskilda fall besluta om vilka åtgärder som den personuppgiftsansvarige ska vidta enligt 31 § samma lag. Med tillsynsmyndigheten avses här tillsynsmyndigheten enligt personuppgiftslagen, dvs. Datainspektionen, se 2 § personuppgiftsförordningen (1998:1191). En hänvisning görs i första stycket 8 till 33–35 §§ PUL. Enligt 33 § PUL är det förbjudet att överföra personuppgifter till tredjeland om landet inte har en adekvat nivå för skyddet av personuppgifter. Med tredjeland avses enligt 3 § PUL en stat som inte ingår i EU eller är ansluten till EES. Frågan om en skyddsnivå är adekvat ska bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt ska fästas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen ska pågå, ursprungslandet, det slutliga bestämmelselandet och reglerna för behandlingen i tredjeland. Enligt 34 § PUL får uppgifter trots förbudet överföras dels om den registrerade har lämnat sitt samtycke till överföringen, dels om överföringen är nödvändig med hänsyn till vissa uppräknade syften. är också enligt den paragrafen tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till Av 35 § PUL framgår att regeringen, och för vissa fall även den myndighet som regeringen bestämmer, kan meddela föreskrifter om undantag från förbudet i 33 § PUL. Det framgår av 5 och 6 §§ att det i annan lagstiftning finns särskilda bestämmelser om överföring till bl.a. medlemsstater i EU som har företräde framför bestämmelserna i lagen. I 20 § finns vidare särskilda bestämmelser som medger överföring av uppgifter till tredjeland i större utsträckning än som medges med stöd av personuppgiftslagens undantagsbestämmelser. I första stycket 9 finns en hänvisning till 38–40 §§ PUL, där det framgår vilka närmare uppgifter ett personuppgiftsombud har. 10 §§ finns vissa särskilda bestämmelser om personuppgiftsansvar för , och utlandsmyndigheterna. hänvisning görs också till 41 § PUL. Enligt den paragrafen får regeringen meddela föreskrifter om att vissa särskilt känsliga behandlingar ska anmälas till Datainspektionen för förhandskontroll. En hänvisning görs i första stycket 10 till 42 § PUL. avser upplysningar till allmänheten om vissa behandlingar som inte anmälts till Datainspektionen. I första stycket 11 finns en hänvisning till 43 och 44 §§, 45 § första stycket och 47 § PUL. Genom hänvisningen görs det klart befogenheter tillsynsmyndigheten, dvs. Datainspektionen, har utöver möjligheten att besluta om säkerhetsåtgärder med stöd av hänvisningen till 32 §. Enligt 43 § PUL har Datainspektionen möjlighet att på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och dokumentation av behandlingen och säkerheten vid denna samt tillträde till den personuppgiftsansvariges lokaler. Om Datainspektionen efter en begäran enligt 43 § PUL inte kan få tillräckligt underlag för att konstatera att personuppgiftsbehandlingen är laglig, får myndigheten enligt 44 § PUL förbjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än genom att lagra dem. första stycket PUL följer vidare att Datainspektionen genom påpekanden eller liknande förfaranden ska försöka åstadkomma rättelse om inspektionen konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt. Om det inte går att få rättelse på något annat sätt eller om saken är brådskande, får inspektionen förbjuda den personuppgiftsansvarige att fortsätta att behandla personuppgifterna på något annat sätt än genom att lagra dem. möjlighet att hos förvaltningsrätten ansöka om att personuppgifter som har behandlats på ett olagligt sätt ska utplånas. Beslut om utplåning får dock inte fattas om det är oskäligt. När det gäller personuppgifter hos myndigheter är det i praktiken inte möjligt att utplåna uppgifter som behövs för handläggningen av ärenden eller som på grund av grundlagsbestämmelser eller bestämmelser i annan lag ska bevaras. I första stycket 12 regleras den registrerades rätt till skadestånd. Hänvisningen till 48 § PUL innebär att den personuppgiftsansvarige ska ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med Prop. 2015/16:65 utlänningsdatalagen eller bestämmelser som lagen hänvisar till har Ersättningsskyldigheten kan i de fall det är skäligt jämkas, om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Slutligen hänvisas, i första stycket 13, till 51 § första stycket, 52 § första stycket och 53 § PUL. Av hänvisningen till 51 § första stycket PUL följer att Datainspektionens beslut med stöd av utlänningsdatalagen som rör annat än föreskrifter får överklagas till allmän förvaltningsdomstol. Av 52 § första stycket PUL följer att en myndighets beslut om information enligt 26 § PUL om rättelse och underrättelse till tredje man enligt 28 § PUL och om upplysningar enligt 42 § PUL får överklagas hos allmän förvaltningsdomstol. Andra beslut får enligt 53 § PUL inte överklagas. I andra stycket anges att särskilda gallringsbestämmelser i lagen eller föreskrifter som har meddelats i anslutning till lagen har företräde framför bestämmelsen i 8 § andra stycket PUL, som anger att bestämmelserna i personuppgiftslagen inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkiveringsmyndighet. I avsaknad av särskilda gallringsregler i lagen är utgångspunkten att personuppgifter i allmänna handlingar som behandlas i verksamhet enligt 2 och 3 §§ ska bevaras i enlighet med arkivlagens bestämmelser. Regeringen kan dock i förordning komma att meddela särskilda föreskrifter om gallring. Bestämmelsen innebär att sådana gallringsbestämmelser kommer att ha företräde framför de regler om arkivering och bevarande som gäller till följd av hänvisningen till 8 § andra stycket PUL. Förbud enligt 44 eller 45 § PUL får normalt förenas med vite. Av tredje stycket följer dock att förbud som meddelats i samband med tillsyn enligt lagen inte får förenas med vite. 9 § , och en utlandsmyndighet är var och en personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. är dock personuppgiftsansvarigt för utlandsmyndigheternas automatiserade behandling av personuppgifter. I paragrafen, som till sitt innehåll i allt väsentligt överensstämmer med 2 § förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen, regleras vilken myndighet som ska vara personuppgiftsansvarig. Övervägandena finns i avsnitt 6.7. Av första meningen följer att , eller en utlandsmyndighet är personuppgiftsansvarig för den behandling som respektive myndighet utför. Med detta menas att en myndighet ansvarar för den personuppgiftsbehandling som sker inom ramen för myndighetens verksamhet. Vem som ska ha personuppgiftsansvaret och hur det ska avgränsas får bedömas utifrån de faktiska omständigheterna i det enskilda fallet. Av detta följer exempelvis att det är , och inte , som ansvarar för den 2015/16:65 personuppgiftsbehandling som utför när myndigheten registrerar och kontrollerar fingeravtryck åt i och mot eget fingeravtrycksregister. I andra meningen finns ett undantag från huvudregeln. Där anges att är ansvarigt för utlandsmyndigheternas automatiserade behandling av personuppgifter i den verksamhet som anges i 2 §. Detta personuppgiftsansvar ligger enbart på . Det är alltså inte fråga om ett delat personuppgiftsansvar för utlandsmyndigheternas automatiserade behandling av personuppgifter. Utlandsmyndigheterna ansvarar ensamma för annan behandling som myndigheterna utför. 10 § och ska var och en utse ett eller flera personuppgiftsombud. Den personuppgiftsansvarige ska anmäla till tillsynsmyndigheten enligt personuppgiftslagen (1998:204) när ett personuppgiftsombud utses eller entledigas. I paragrafen regleras och skyldighet att utse personuppgiftsombud. Övervägandena finns i avsnitt 6.7. Bestämmelsen har sin förebild i bl.a. 2 kap. 4 § åklagardatalagen (2015:443). Första stycket innebär att det är obligatoriskt för och att utse ett eller flera personuppgiftsombud. Motsvarande skyldighet gäller dock inte för utlandsmyndigheterna enligt denna lag. För utlandsmyndigheterna är det i stället frivilligt att utse ett personuppgiftsombud. Hänvisningen i 8 § första stycket 9 till 38–40 §§ personuppgiftslagen (1998:204) innebär att personuppgiftslagens bestämmelser om personuppgiftsombudets uppgifter blir tillämpliga vid och , liksom i förekommande fall vid utlandsmyndigheterna. Den personuppgiftsansvarige ska enligt andra stycket anmäla till Datainspektionen när ett personuppgiftsombud utses eller entledigas. 11 § , och utlandsmyndigheterna får behandla personuppgifter om det behövs för 1.handläggning av ärenden eller en myndighets biträde i sådana ärenden i verksamhet som avses i 2 och 3 §§, 2.kontroll av utlänning i samband med inresa och utresa samt kontroll under vistelsen i , 3.utförande av arbetsuppgifter som gäller mottagande och bosättning av asylsökande och andra utlänningar, 4.framställning av statistik, 5.utförande av testverksamhet, eller 6.fullgörande av en rättslig skyldighet att registrera eller på annat sätt dokumentera en personuppgift. Paragrafen reglerar, tillsammans med 12 §, de primära ändamål för vilka personuppgifter får behandlas av myndigheterna i deras verksamhet enligt 2 och 3 §§. Övervägandena finns i avsnitt 6.9. En grundläggande förutsättning för att en personuppgift ska få behandlas med stöd av paragrafen är att det behövs för ett eller flera i bestämmelsen I punkt 1 anges att personuppgiftsbehandling får ske om det behövs för handläggning av ärenden eller en myndighets biträde i sådana ärenden i verksamhet som avses i 2 och 3 §§. och utlandsmyndigheterna får således inhämta och behandla uppgifter som behövs för att de ska kunna handlägga ärenden enligt de författningar som omfattas av lagens verksamhetsområde, som detta närmare precise- ras i 2 och 3 §§. Med handläggning avses alla åtgärder som myndig- heterna kan behöva vidta vid hantering av ett ärende eller vid biträde i en annan myndighets ärende. Bestämmelsen ger inte bara stöd för behandling av personuppgifter avseende den person som ärendet gäller utan även avseende andra personer om uppgifterna behövs för handläggningen av ärendet, såsom anhörig, referensperson eller ombud. Som en integrerad del av ärendehandläggningen anses också verksamhet hos myndigheterna som består i tillsyn, kontroll, uppföljning och planering av verksamheten. Punkten ger även stöd för behandling av fotografier som ges in vid ansökningar om exempelvis uppehållstillstånd Behandling av fotografier som tas med stöd av 9 kap. 8 § utlänningslagen regleras däremot uttömmande i 14 §. Enligt punkt 2 får behandling ske om det behövs för kontroll av utlänning i samband med inresa och utresa samt kontroll under vistelsen i Detta ändamål innefattar den inre utlänningskontroll och yttre gränskontroll som utförs av och med stöd av utlänningslagen. Inom ändamålet ryms exempelvis behandling av uppgifter för att planera nära förestående kontroller av utlänningar som förväntas resa in i landet. När det gäller omfattas inte sådan personuppgiftsbehandling som utförs i den brottsbekämpande Den regleras i stället av polisdatalagen (2010:361), se 3 och 5 §§ ovan. Punkt 3 föreskriver att personuppgiftsbehandling är tillåten om den behövs för utförande av arbetsuppgifter som gäller mottagande och bosättning av asylsökande och andra utlänningar. andra utlänningar avses utlänningar som omfattas av lagen (1994:137) om mottagande av asylsökande m.fl. I punkt 4 anges att personuppgiftsbehandling får ske om det behövs för att myndigheterna ska kunna framställa statistik. Det gäller både statistik som behövs för den egna verksamheten och statistik som tas fram för att tillgodse andras behov. Enligt punkt 5 får personuppgiftsbehandling utföras om den behövs för att testverksamhet ska kunna bedrivas. Det kan t.ex. handla om att kontrollera att befintliga it-system fungerar och att göra prov av ny teknik i syfte att kunna delta i det internationella samarbetet. Av punkt 6 följer att personuppgifter även får behandlas för fullgörande av en rättslig skyldighet att registrera eller på annat sätt dokumentera en personuppgift. Exempel på sådan behandling kan vara 12 § får också behandla personuppgifter om det behövs för 2015/16:65 1. avgöranden, rättsutredningar och annan rättslig information, eller 2. information som rör förhållanden i andra länder. Paragrafen reglerar, tillsammans med 11 §, de primära ändamål för vilka personuppgifter får behandlas av i myndighetens verksamhet enligt 2 och 3 §§. Övervägandena finns i avsnitt 6.9. Paragrafen ger stöd för sådan personuppgiftsbehandling som görs av i verkets informationssystem för rättsfall och landinformation, Lifos. får med stöd av paragrafen samla in och behandla personuppgifter för ändamålen återsökning av avgöranden, rättsutredningar och annan rättslig information samt återsökning av information som rör förhållanden i andra länder. Sådan behandling förekommer främst i samband med handläggning av enskilda ärenden på myndigheten, men också i utbildningssammanhang. 13 § Personuppgifter som behandlas enligt 11 och 12 §§ får även behandlas när det är nödvändigt för att tillhandahålla information till 1.riksdagen eller regeringen, 2.en annan myndighet eller en enskild, om uppgifterna lämnas med stöd av lag eller förordning, eller 3.en utländsk myndighet, ett EU-organ eller en mellanfolklig organisation, om utlämnandet av uppgifterna följer av medlemskap i unionen eller av uppgiftsskyldighet enligt en internationell konvention som har tillträtt eller enligt ett av godkänt avtal med främmande stat eller mellanfolklig organisation. I ett enskilt fall får personuppgifter som behandlas enligt 11 och 12 §§ även behandlas för att tillhandahålla information för något annat ändamål än de som anges i första stycket under förutsättning att ändamålet inte är oförenligt med det ändamål som uppgifterna samlades in för. Paragrafen reglerar för vilka sekundära ändamål som personuppgifter får behandlas i de berörda myndigheternas verksamhet. Övervägandena finns i avsnitt 6.9. Behandling enligt denna paragraf förutsätter att uppgifterna har samlats in för något primärt ändamål som följer av 11 eller 12 §. Det är alltså inte tillåtet att samla in personuppgifter enbart i syfte att behandla dem enligt förevarande paragraf. Av första stycket 1 och 2 framgår att personuppgifter som behandlas med stöd av 11 och 12 §§ även får behandlas om det är nödvändigt för att tillhandahålla information till eller regeringen eller, om uppgifterna lämnas med stöd av lag eller förordning, till en annan myndighet eller en enskild. Med enskild avses även en juridisk person. Uppgiftslämnandet kan ske av olika anledningar. I vissa fall sker utlämnandet på grund av en skyldighet att lämna ut uppgifter till vissa utpekade myndigheter enligt olika författningar. Till exempel har, enligt 17 kap. 3 § utlänningslagen (2005:716), och rätt att ta del av uppgifter om enskilda hos . I andra fall är myndigheterna enligt lag eller förordning skyldiga att på begäran lämna ut uppgifter till andra. Genom lagens hänvisning till 8 § personuppgiftslagen (1998:204), se 8 § första stycket 2, tydliggörs att det alltid är tillåtet att utföra sådana behandlingar av