prop · H20363 · 2015-03-12 00:00:00 — En sådan lösning har valts i polisdatalagen (2010:361), lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamheten och kustbevakningsdatalagen (2012:145). Även utredningen föreslår denna lösning. förordar att lagen utformas så att den gäller utöver personuppgiftslagen. Enligt regeringens uppfattning finns det ett värde i att ge tillämparen tydlig vägledning när det gäller vilka bestämmelser i personuppgiftslagen som är tillämpliga. Till detta kommer att åklagare har ett nära samarbete med främst polisen i förundersökningar, men även med övriga brottsbekämpande myndigheter. Dessutom går utvecklingen allmänt mot ett ökat samarbete mellan de brottsbekämpande myndigheterna. Enligt regeringens uppfattning bör därför samma lagstiftningsteknik användas för behandling av personuppgifter inom den brottsbekämpande verksamheten, oavsett myndighet. Det betonas också av bl.a. , och Säkerhetspolisen. Åklagardatalagen bör därför utformas på samma sätt som polisdatalagen och därmed gälla i stället för personuppgiftslagen och innehålla hänvisningar till tillämpliga bestämmelser i den lagen. Vad det närmare innebär utvecklas i det följande. 7.4.2Tillämpliga bestämmelser i personuppgiftslagen Regeringens förslag: Följande bestämmelser i personuppgiftslagen ska vara tillämpliga vid behandling av personuppgifter i åklagarväsendets operativa verksamhet: –definitioner (3 §), –förhållandet till offentlighetsprincipen m.m. (8 §), –grundläggande krav på behandlingen av personuppgifter (9 §, med undantag för paragrafens första stycke i och tredje stycket), –behandling av personnummer (22 §), –information till den registrerade (23 och 25–27 §§), –rättelse (28 §), –säkerheten vid behandling (30 och 31 §§ samt 32 § första stycket), –överföring av personuppgifter till tredjeland (33–35 §§), –personuppgiftsombud m.m. (38–41 §§), –upplysningar till allmänheten om vissa behandlingar (42 §), –tillsynsmyndighetens befogenheter (43 §, 44 §, 45 § första stycket och 47 §), –skadestånd (48 §), och –överklagande (51 § första stycket, 52 § första stycket och 53 §). Bestämmelserna i 8 § andra stycket personuppgiftslagen ska dock inte tillämpas om personuppgifter ska gallras enligt bestämmelser i den nya lagen eller enligt föreskrifter som meddelats i anslutning till lagen. ska inte kunna förena ett förbud att utföra viss behandling med vite. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår inte någon hänvisning till 9 § första stycket c och d personuppgiftslagen. Utredningen föreslår däremot hänvisningar till 32 § andra stycket och 36 § andra stycket personuppgiftslagen. Remissinstanserna: och anser att en hänvisning till den s.k. finalitetsprincipen, 9 § första stycket d personuppgiftslagen, bör göras. Datainspektionen anför att det krävs en hänvisning till 9 § första stycket c och d personuppgiftslagen för att den föreslagna ändamålsregleringen ska anses godtagbar. Skälen för regeringens förslag Få ändringar i sak men en tydligare reglering tillämpar och många av personuppgiftslagens bestämmelser vid behandlingen av personuppgifter i sina verksamheter, eftersom förordningen om behandling av personuppgifter inom åklagarväsendet gäller utöver personuppgiftslagen. Förslagen i denna del innebär därför få förändringar gentemot de bestämmelser som gäller , men en tydligare reglering. Nedan redovisas i vilken utsträckning personuppgiftslagens bestämmelser bör vara tillämpliga vid behandling av personuppgifter i åklagarväsendets operativa verksamhet. Förslagen är utformade efter mönster av regleringen i polisdatalagen (2010:361) och kustbevakningsdatalagen (2012:145). Definitioner (3 §) I 3 § personuppgiftslagen definieras vissa begrepp som är centrala vid behandling av personuppgifter. Där definieras t.ex. vad personuppgifter är (”all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet”) och vad som utgör behandling av person- uppgifter (”varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. in- samling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring”). gäller för personuppgiftsbehandlingen i åklagarväsendet. att undvika missförstånd är det viktigt att terminologin i den nya lagen överensstämmer med personuppgiftslagens och att de begrepp som an- vänds i de båda författningarna har samma innebörd. 3 § personuppgiftslagen bör därför tas in i den nya lagen. Förhållandet till offentlighetsprincipen och arkivering (8 §) I 8 § första stycket personuppgiftslagen upplyses om att personuppgifts- lagen inte ska tillämpas i den utsträckning det skulle inskränka en myn- dighets skyldighet att lämna ut personuppgifter enligt 2 kap. tryckfrihets- I paragrafens andra stycke anges att bestämmelserna inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. I klargörande syfte och i överensstämmelse med polisdatalagen bör, som utredningen föreslår, en hänvisning till bestämmelserna i 8 § per- sonuppgiftslagen tas in i den nya lagen. Det bör tydliggöras att bestämmelserna i 8 § andra stycket inte är tillämpliga när uppgifter ska gallras enligt särskilda bestämmelser i den nya lagen. ter bör inte få bevaras i ett digitalt arkiv och vara åtkomliga för arkivän- damål om det inte finns särskilda föreskrifter om det. Den frågan tas upp i avsnitt 13. Grundläggande krav på behandlingen av personuppgifter (9 §) Några av personuppgiftslagens viktigaste bestämmelser om behandling av personuppgifter finns i 9 §. Där ställs vissa grundläggande krav på den I första stycket a och b anges att den person- uppgiftsansvarige ska se till att personuppgifter endast behandlas om det är lagligt och att personuppgifter alltid ska behandlas på ett korrekt sätt och i enlighet med god sed. Enligt första stycket e–h ska den person- uppgiftsansvarige se till att de personuppgifter som behandlas är ade- kvata och relevanta i förhållande till ändamålen med behandlingen, att inte fler personuppgifter behandlas än som är nödvändigt, att de person- uppgifter som behandlas är riktiga och om nödvändigt aktuella samt att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Det är naturligt att dessa krav gäller även vid behandling av person- uppgifter inom åklagarväsendet. Den nya lagen bör därför, som utred- ningen föreslår, hänvisa till 9 § första stycket a, b och e–h personuppgiftslagen. I 9 § första stycket c anges att den personuppgiftsansvarige även ska se till att personuppgifter samlas in bara för särskilda, uttryckligt angivna ändamål och i punkten d att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, den s.k. finalitetsprincipen. Utredningen föreslår att det i lagen uttömmande anges för vilka ändamål personuppgifter får behandlas och anser att en hänvisning till 9 § första stycket c eller d därför inte behövs. Datainspektionen anför att de föreslagna ändamålen för vilka personuppgifter får behandlas är mycket vida och att det därför kan ifrågasättas om den föreslagna regleringen på egen hand kan anses uppfylla kraven på särskilda och uttryckligt angivna ändamål. Enligt Datainspektionen krävs en hänvisning i lagen till 9 § första stycket c och d personuppgiftslagen för att den föreslagna ändamålsregleringen ska anses godtagbar. En skyldighet för och att ha ett preciserat ändamål för insamlingen av personuppgifter kan i och för sig sägas följa redan av de materiella bestämmelser om t.ex. hur förundersökningar ska bedrivas som styr åklagarmyndigheternas verksamhet. Regeringen delar dock Datainspektionens uppfattning att en hänvisning till 9 § första stycket c personuppgiftslagen bör göras i den nya lagen, för att tydliggöra att personuppgifter får samlas in endast för preciserade ändamål. Den personuppgiftsansvarige bör också, på samma sätt som , ha till uppgift att se till att uppgifter inte behandlas för ändamål som är oförenliga med insamlingsändamålet. Det finns därför skäl att göra en hänvisning även till 9 § första stycket d personuppgiftslagen. Som en följd av det bör en hänvisning göras även till paragrafens andra och fjärde stycken. Enligt 9 § andra stycket personuppgiftslagen är det förenligt med finalitetsprincipen att behandla personuppgifter för bl.a. historiska ändamål. I 9 § fjärde stycket anges i vilka situationer personuppgifter som behandlas för bl.a. arkivändamål får behandlas för andra ändamål. Förhållandet mellan den nya lagens ändamålsreglering och finalitetsprincipen behandlas närmare i avsnitt 8.1. I 9 § första stycket i och tredje stycket personuppgiftslagen finns bestämmelser om hur länge uppgifter får bevaras. Frågor om gallring och bevarande av uppgifter bör regleras särskilt i den nya lagen. Någon hänvisning till personuppgiftslagens bestämmelser i 9 § första stycket i och tredje stycket om hur länge uppgifter får bevaras behövs därför inte. Frågan behandlas vidare i avsnitt 13. Behandling av personnummer (22 §) I 22 § personuppgiftslagen föreskrivs att uppgifter om personnummer eller samordningsnummer får behandlas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Personnummer bör således inte användas av ren slentrian. Bestämmelserna innebär att den personuppgiftsansvarige måste göra en intresseavvägning. Tyngden av de skäl som talar för att behandlingen av personnummer är påkallad måste således vägas mot behovet av skydd för den personliga integriteten. 2014/15:63 bör enligt regeringens mening gälla även vid behandling i åklagarväsendet. Den nya lagen bör därför hänvisa även till 22 § personuppgiftslagen. Information till den registrerade (23 och 25–27 §§) Personuppgiftslagens bestämmelser om sådan information som ska lämnas självmant till den registrerade och om information som ska lämnas efter ansökan av den registrerade (23 och 25–27 §§) tillämpas enligt gällande reglering vid behandling av personuppgifter i åklagarväsendet. Av 23 § personuppgiftslagen framgår att den personuppgiftsansvarige självmant ska informera en enskild om behandling av uppgifter som samlas in från den enskilde själv. Den information som ska lämnas är enligt 25 § uppgift om den personuppgiftsansvariges identitet, ändamålen med behandlingen och övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Information ska också, enligt 26 § personuppgiftslagen, lämnas på begäran av den registrerade. Om uppgifter behandlas ska information lämnas till den registrerade om vilka uppgifter det rör sig om, varifrån uppgifterna har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Under förutsättning att uppgifterna inte har lämnats ut till tredje man behöver dock information inte lämnas om personuppgifter i löpande text som inte fått sin slutliga utformning när frågan väcktes eller som utgör minnesanteckning eller liknande. I 26 § finns även bestämmelser om inom vilken tid en förfrågan ska besvaras. Enligt 27 § personuppgiftslagen gäller inte rätten till information om det i lag eller annan författning eller i beslut som har meddelats med stöd av författning särskilt har föreskrivits att uppgifter inte får lämnas ut till den registrerade. Information behöver alltså inte lämnas om sådana förhållanden för vilka det gäller sekretess. Bestämmelserna utgör i allt väsentligt en lämplig avvägning mellan den enskildes intresse av att få information om behandling av uppgifter om honom eller henne och åklagarmyndigheternas intresse av effektiva medel för sin verksamhet. En hänvisning till bestämmelserna bör därför införas i den nya lagen. För åklagarmyndigheterna torde det vanligaste vara att personuppgifterna samlats in från någon annan källa än den registrerade, eftersom förundersökningarna praktiskt bedrivs av främst polisen. I 24 § första stycket personuppgiftslagen anges att den personuppgiftsansvarige självmant ska lämna information till den registrerade om uppgifterna har samlats in från någon annan källa än den registrerade. Av paragrafens andra stycke följer att sådan information inte behöver lämnas om det finns bestämmelser om registrerande eller utlämnande av personuppgifterna i en lag eller annan författning. När behandling av personuppgifter hos en myndighet regleras i särskild lagstiftning på det sätt som föreslås i lagen, med särskilda bestämmelser om vad som får registreras och hur uppgifter i övrigt får hanteras, krävs det enligt personuppgiftslagen inte att sådan information ges. Det finns inte några skäl för att och trots detta ska lämna sådan information. Regeringen instämmer därför i utredningens slutsats att bestämmelsen i 24 § personuppgiftslagen inte bör tillämpas på personuppgiftsbehandling enligt den nya lagen. Rättelse (28 §) I 28 § personuppgiftslagen anges att den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte behandlats i enlighet med personuppgiftslagens bestämmelser. När en personuppgiftsansvarig rättar en personuppgift, ska underrättelse lämnas till tredje man som har fått del av uppgiften, om den registrerade begär det eller om mer betydande skada eller olägenhet därigenom kan undvikas. Sådan underrättelse behöver dock inte lämnas om det visar sig vara omöjligt eller om det skulle innebära en oproportionerligt stor arbetsinsats. Dessa bestämmelser gäller vid personuppgiftsbehandling i åklagarväsendets verksamhet. Det är viktigt att personuppgifter som behandlas felaktigt hos en myndighet rättas. Bedömningen av om en uppgift har behandlats på ett felaktigt sätt måste göras mot bakgrund av de bestämmelser som gäller för behandlingen, oavsett om det är grundläggande regler i personuppgiftslagen eller specialbestämmelser som gäller för åklagarväsendet. Mot bakgrund av det angivna bör bestämmelserna i 28 § personuppgiftslagen även i fortsättningen tillämpas vid behandling av personuppgifter i åklagarväsendets verksamhet. I den nya lagen bör det alltså, som utredningen föreslår, tas in en hänvisning till 28 § personuppgiftslagen. Säkerheten vid behandling (30–32 §§) I 30 och 31 §§ personuppgiftslagen finns bestämmelser om hur den personuppgiftsansvarige ska organisera arbetet med behandling av personuppgifter för att garantera säkerheten. I 32 § personuppgiftslagen regleras Datainspektionens behörighet att i ett enskilt fall besluta om säkerhetsåtgärder. Dessa bestämmelser är tillämpliga vid personuppgiftsbehandling i åklagarväsendets verksamhet och de bör, som utredningen föreslår, gälla även fortsättningsvis. En hänvisning till bestämmelserna bör alltså föras in i den nya lagen. Det innebär att det måste finnas bestämda rutiner för behandlingen av personuppgifter. Regeringen instämmer i utredningens bedömning att Datainspektionen inte bör ha möjlighet att förena beslut om säkerhetsåtgärder med vite (se avsnittet befogenheter nedan). Med hänsyn till det gör regeringen, till skillnad mot utredningen, bedömningen att någon hänvisning till 32 § andra stycket personuppgiftslagen inte bör göras i den nya lagen. Överföring av personuppgifter till tredjeland (33–35 §§) Personuppgifter som är under behandling får enligt 33 § personuppgiftslagen inte föras över till tredjeland, dvs. en stat som inte ingår i EU eller är ansluten till Europeiska ekonomiska samarbetsområdet (definitionen anges i 3 § personuppgiftslagen), om inte det mottagande landet har en adekvat nivå för skyddet av personuppgifter. Från förbudet finns vissa undantag i 34 §, bl.a. för överföring till länder som har anslutit sig till dataskyddskonventionen. Enligt 35 § har regeringen också möjlighet att föreskriva ytterligare undantag från förbudet, bl.a. om det behövs med hänsyn till ett viktigt allmänt intresse. Förbudet mot överföring till tredjeland som inte har tillfredsställande skyddsnivåer, och de undantag från förbudet som föreskrivs, bör vara tillämpliga även vid behandling enligt den här föreslagna lagen. Regeringen bör även ha möjlighet att föreskriva om undantag från förbudet. Regeringen instämmer således i utredningens uppfattning att en hänvisning bör göras till 33–35 §§ personuppgiftslagen. Personuppgiftsombudets uppgifter m.m. (38–41 §§) Automatiserade behandlingar av personuppgifter ska enligt 36 § första stycket personuppgiftslagen anmälas till tillsynsmyndigheten enligt lagen, dvs. Regeringen har med stöd av bemyndigandet i 36 § andra stycket personuppgiftslagen föreskrivit att sådan anmälan inte behöver göras för behandlingar som regleras genom särskilda föreskrifter i lag eller förordning (3 § personuppgiftsförordningen [1998:1191]). Den nu föreslagna lagen är en sådan särskild föreskrift. Någon skyldighet att anmäla de behandlingar som utförs med stöd av den nya lagen skulle således inte finnas oavsett om en hänvisning till 36 § första stycket skulle göras eller inte. I likhet med utredningen gör regeringen bedömningen att någon hänvisning till 36 § första stycket personuppgiftslagen inte bör göras. Den personuppgiftsansvarige kan enligt 36 § andra stycket personuppgiftslagen utse ett personuppgiftsombud. Om ett ombud utses ska den personuppgiftsansvarige anmäla ombudet hos Datainspektionen. Även ett entledigande ska anmälas hos inspektionen. När ett ombud utses, ska bestämmelserna om ombudets skyldigheter i 38–40 §§ personuppgiftslagen tillämpas. I personuppgiftsombudets skyldigheter ingår bl.a. att se till att behandlingen av personuppgifter sker på ett lagligt sätt och att hjälpa registrerade att få rättelse. I avsnitt 7.5 föreslås att det införs en skyldighet för och att utse personuppgiftsombud och att anmäla till Datainspektionen när ett sådant ombud utses och entledigas. Någon hänvisning till 36 § andra stycket personuppgiftslagen behövs därför inte. Den nya lagen bör dock, som utredningen föreslår, hänvisa till bestämmelserna om personuppgiftsombudets uppgifter i 38–40 §§ personuppgiftslagen. Regeringen har enligt 41 § personuppgiftslagen möjlighet att föreskriva att vissa särskilt känsliga behandlingar ska anmälas till Datainspektionen för förhandskontroll. Denna bestämmelse gäller vid personuppgiftsbehandling i åklagarväsendets verksamhet. Denna ordning bör gälla även fortsättningsvis. Den nya lagen bör därför, som utredningen föreslår, innehålla en hänvisning till 41 §. Vissa uppgifter till allmänheten (42 §) Enligt 42 § personuppgiftslagen ska den personuppgiftsansvarige till den som begär det lämna upplysningar om de behandlingar av personuppgifter som inte har anmälts till Datainspektionen. Bestämmelsen är tillämplig på de behandlingar som utförs i åklagarväsendets verksamhet men innebär självfallet ingen skyldighet att lämna ut sekretesskyddad information. Det är från integritetsskyddssynpunkt viktigt att den enskilde på ett snabbt och enkelt sätt kan få besked av och om vilka behandlingar som utförs i den operativa verksamheten även för sådana fall där behandlingen inte omfattas av någon anmälningsskyldighet till Datainspektionen. En hänvisning till 42 § personuppgiftslagen bör därför, som utredningen föreslår, tas in i den nya lagen. befogenheter (43–45 §§ och 47 §) För att kunna säkerställa att personuppgifter behandlas på ett korrekt sätt har Datainspektionen vissa befogenheter gentemot personuppgiftsansvariga. Datainspektionen har i polisdatalagen getts i stort sett samma befogenheter vid tillsyn över polisens personuppgiftsbehandling i den brottsbekämpande verksamheten som enligt personuppgiftslagen. Det är rimligt att Datainspektionen får samma möjligheter till tillsyn över åklagarväsendets personuppgiftsbehandling. Enligt 43 § personuppgiftslagen har Datainspektionen för sin tillsyn möjlighet att på begäran få tillgång till personuppgifter, upplysningar och dokumentation om behandlingen och säkerheten vid denna och att få tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. Paragrafen gäller för åklagarväsendet och bör vara tillämplig även fortsättningsvis. En hänvisning till 43 § ska alltså, som utredningen föreslår, tas in i den nya lagen. Om Datainspektionen inte efter en begäran enligt 43 § personuppgiftslagen kan få tillräckligt underlag för att konstatera att personuppgiftsbehandlingen är laglig, får myndigheten med stöd av 44 § vid vite förbjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än att lagra dem. Denna bestämmelse gäller för åklagarmyndigheterna. Beträffande andra myndigheters personuppgiftsbehandling har lagstiftaren valt olika lösningar när det gäller Datainspektionens möjlighet att meddela sådana förbud. Datainspektionen har getts möjlighet att meddela förbud enligt lagen (1999:90) om behandling av personuppgifter vid medverkan i brottsutredningar. Enligt polisdatalagen har Datainspektionen möjlighet att förbjuda viss personuppgiftsbehandling, men ett sådant förbud kan inte förenas med vite. Däremot finns det inte någon möjlighet för Datainspektionen att meddela förbud rörande personuppgiftsbehandling i brottsbekämpande verksamhet. Den föreslagna lagen kommer, liksom den nu gällande förordningen, att ge och stort utrymme att behandla vissa typer av personuppgifter. Datainspektionen har möjlighet att förbjuda personuppgiftsbehandling i åklagarväsendets verksamhet. Detta talar för att Datainspektionen även fortsättningsvis bör kunna förbjuda viss behandling, om det skulle inträffa att inspektionen inte får tillgång till tillräckligt underlag för att kunna bedöma personuppgiftsbehandlingen. En hänvisning bör därför, som utredningen föreslår, göras till 44 §. En annan fråga är om det bör vara möjligt för Datainspektionen att förena ett sådant förbud med vite. I flera lagstiftningsärenden har en lösning valts som inte ger Datainspektionen en sådan möjlighet. Detta har motiverats med grundsatsen att regler om vite inte bör tillämpas i förhållandet mellan statliga myndigheter (prop. 2004/05:164 s. 54 och 2006/07:46 2014/15:63 s. 105). Regeringen instämmer i utredningens bedömning att det inte finns skäl att göra någon annan bedömning i detta lagstiftningsärende. I 45 § första stycket personuppgiftslagen anges att Datainspektionen, om den konstaterar att personuppgifter behandlas felaktigt, ska försöka åstadkomma rättelse genom påpekanden eller liknande förfaranden. Om det inte går att få till stånd rättelse, eller om saken är brådskande, får Datainspektionen förbjuda behandlingen. Bestämmelsen gäller redan i åklagarväsendets verksamhet och bör, som utredningen föreslår, gälla även fortsättningsvis. En hänvisning bör därför göras till bestämmelsen. Någon hänvisning till paragrafens andra stycke eller till 46 §, som båda behandlar frågor om vite, bör inte göras. Däremot bör det, som utredningen föreslår, anges särskilt i den nya lagen att ett förbud enligt 44 eller 45 § inte får förenas med vite. Enligt 47 § personuppgiftslagen har Datainspektionen rätt att hos allmän förvaltningsdomstol ansöka om att sådana uppgifter som har behandlats på ett olagligt sätt ska utplånas. Bestämmelsen, som gäller i åklagarväsendets verksamhet, har sin grund i artikel 28.3 i dataskyddsdirektivet. Där anges att varje nationell tillsynsmyndighet ska ha särskild befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av direktivet har överträtts eller att uppmärksamma de rättsliga myndigheterna på dessa överträdelser.