sou · H3B373 · 2015-08-03 00:00:00 — Om Datainspektionen efter en begäran enligt 43 § PUL inte kan få till- räckligt underlag för att konstatera att personuppgiftsbehandlingen är laglig, får myndigheten enligt 44 § PUL förbjuda den person- uppgiftsansvarige att behandla personuppgifter på något annat sätt än genom att lagra dem. Av 45 § första stycket PUL följer vidare att Datainspektionen genom påpekanden eller liknande förfaranden ska försöka åstadkomma rättelse om inspektionen konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt. Om det inte går att få rättelse på något annat sätt eller om saken är brådskande, får inspektionen förbjuda den personupp- giftsansvarige att fortsätta att behandla personuppgifterna på något annat sätt än genom att lagra dem. Datainspektionen har också möjlighet att hos förvaltningsrätten ansöka om att personuppgifter som har behandlats på ett olagligt sätt ska utplånas. Beslut om ut- plåning får dock inte fattas om det är oskäligt. I punkten 12 regleras den registrerades rätt till skadestånd. En hänvisning till 48 § PUL innebär att den personuppgiftsansvarige ska ersätta den registrerade för skada och kränkning av den person- liga integriteten som en behandling av personuppgifter i strid med utlänningsdatalagen eller bestämmelser som lagen hänvisar till har orsakat. Ersättningsskyldigheten kan i de fall det är skäligt jämkas, om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Slutligen hänvisas, i punkten 13, till 51 §, 52 § första stycket och 53 § PUL. Bestämmelserna rör överklagande. Av hänvisningen till 51 § första stycket PUL följer att Datainspektionens beslut med stöd av utlänningsdatalagen som rör annat än föreskrifter får över- klagas till allmän förvaltningsdomstol. Enligt 51 § andra stycket PUL får Datainspektionen bestämma att ett sådant beslut ska gälla även om det överklagas. Av 52 § första stycket PUL följer att en myndighets beslut om information enligt 26 § PUL om rättelse och underrättelse till tredje man enligt 28 § PUL och om upplysningar enligt 42 § PUL får överklagas hos allmän förvaltningsdomstol. Andra beslut än de ovannämnda får enligt 53 § PUL inte överklagas. I andra stycket anges hur gallringsbestämmelser i utlänningsdata- lagen eller föreskrifter som har meddelats i anslutning till lagen för- håller sig till bestämmelsen i 8 § andra stycket PUL. I 8 § andra stycket PUL slås fast att bestämmelserna i personuppgiftslagen inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av arkiveringsmyndighet. Utgångs- punkten är att personuppgifter i allmänna handlingar som behand- las i verksamhet enligt 2 och 3 §§ ska bevaras i enlighet arkivlagens bestämmelser. Dock finns det några särskilda bestämmelser om gallring i 3, 12 och 13 §§ i utredningens förslag till förordning med kompletterande föreskrifter rörande personuppgiftsbehandlingen. Förevarande bestämmelse innebär att dessa gallringsbestämmelser har företräde framför regler om arkivering och bevarande. I punkten 11 hänvisas till 44 och 45 §§ PUL. Förbud enligt dessa bestämmelser får enligt personuppgiftslagens lydelse förenas med vite. Av bestämmelsen i tredje stycket följer dock att förbud som meddelats i samband med tillsyn enligt utlänningsdatalagen inte får förenas med vite. 9 § Med undantag för vad som föreskrivs i andra stycket är den myndighet som anges i 2 och 3 §§ personuppgiftsansvarig för den behandling av per- sonuppgifter som myndigheten utför eller som det åligger den myndig- heten att utföra. är även personuppgiftsansvarig för utlandsmyndig- heternas automatiserade behandling av personuppgifter. I paragrafen regleras vilken myndighet som ska vara personuppgifts- ansvarig för behandlingen. Övervägandena finns i avsnitt 7.8. Av första stycket följer att , och Säkerhetspolisen är personuppgiftsansvariga för den behandling som respektive myndighet utför eller som det åligger myndigheten att utföra. Med detta menas att en myndighet ansvarar för den per- sonuppgiftsbehandling som sker inom ramen för myndighetens verksamhet. Hos vem personuppgiftansvaret ska förläggas och hur det ska avgränsas får bedömas utifrån de faktiska omständigheterna i det särskilda fallet, se vidare härom i SOU 2015: 39 s. 698 f. Av detta följer exempelvis att det är och inte Polis- myndigheten som ansvarar för den personuppgiftsbehandling som utför när myndigheten registrerar och kon- trollerar fingeravtryck åt i och mot Migrations- verkets eget fingeravtrycksregister (B-filen), se närmare härom i avsnitt 7.10 och kapitel 10. Av andra stycket följer att utöver vad som anges i första stycket även är ansvarigt för utlandsmyndigheternas auto- matiserade behandling av personuppgifter i den verksamhet som anges i 2 §. Detta personuppgiftsansvar åvilar enbart . Ett delat personuppgiftsansvar för utlandsmyndigheternas automa- tiserade behandling av personuppgifter åsyftas således inte. Däremot ansvarar utlandsmyndigheterna ensamma för annan behandling som myndigheterna utför. 10 § , och Säkerhetspolisen ska utse ett eller flera personuppgiftsombud för den personuppgiftsbehandling som myndigheten utför eller som det åligger myndigheten att utföra. Den per- sonuppgiftsansvarige ska anmäla till tillsynsmyndigheten enligt person- uppgiftslagen (1998:204) när ett personuppgiftsombud utses eller ent- ledigas. I paragrafen regleras , och Säkerhetspolisens skyldighet att utse personuppgiftsombud. Över- vägandena finns i avsnitt 7.8. Enligt 37 § PUL behöver en personuppgiftsansvarig inte anmäla helt eller delvis automatiserad personuppgiftsbehandling till Data- inspektionen om ett personuppgiftsombud utses och anmäls till in- spektionen. Paragrafen föreskriver emellertid att det är obligatoriskt för , och Säkerhetspolisen att utse ett eller flera personuppgiftsombud. Motsvarande skyldighet före- ligger dock inte för utlandsmyndigheterna. För utlandsmyndig- heterna är det istället frivilligt att utse personuppgiftsombud. Hänvisningen i 8 § första stycket 9 till 38–40 §§ PUL innebär att personuppgiftslagens bestämmelser om personuppgiftsombudets uppgifter blir tillämpliga vid , och Säkerhetspolisen. Den personuppgiftsansvarige ska anmäla till Datainspektionen när ett personuppgiftsombud utses eller entledigas. 11 § , , Säkerhetspolisen och utlands- myndigheterna får behandla personuppgifter om det är nödvändigt för 1.handläggning av ärenden eller en myndighets biträde i sådana ären- den i verksamhet som avses i 2 och 3 §§, 2.kontroll av utlänning i samband med inresa och utresa samt kontroll under vistelsen i , 3.utförande av arbetsuppgifter som gäller mottagande och bosättning av asylsökande och andra utlänningar, 4.tillsyn, kontroll, uppföljning, planering av verksamheten, framställ- ning av statistik samt testverksamhet eller 5.fullgörande av en rättslig skyldighet att registrera eller på annat sätt dokumentera en personuppgift. Paragrafen reglerar, tillsammans med 12 §, de primära ändamålen, dvs. de ändamål som personuppgifter får behandlas för vid de be- rörda myndigheterna i deras verksamhet enligt i 2 och 3 §§. De an- givna ändamålen är uttömmande (jfr 13 §). Övervägandena finns i avsnitt 7.9.3. En grundläggande förutsättning för att behandling ska vara tillåten är att den är nödvändig för ett eller flera i bestämmelsen angivna ändamål. Nödvändighetskravet i utlänningsdatalagen ska tolkas på samma sätt som motsvarande bestämmelse i 10 § PUL. I punkten 1 anges att personuppgiftsbehandling får ske om det är nödvändigt för handläggning av ärenden eller en myndighets biträde i sådana ärenden i verksamhet som avses i 2 och 3 §§. Migrations- verket, , Säkerhetspolisen och utlandsmyndigheter- na får således inhämta och behandla uppgifter som är nödvändiga för att de ska kunna handlägga ärenden enligt de författningar som omfattas av lagens verksamhetsområde som detta närmare precise- ras i 2 och 3 §§. Med handläggning avses här alla åtgärder myndig- heterna kan behöva vidta vid hantering av ett ärende eller vid biträde av en annan myndighets ärende. Bestämmelsen ger inte bara stöd åt behandling av personuppgifter avseende den person som ärendet gäller utan även avseende andra personer om uppgifterna är nödvändiga för handläggningen av ärendet, såsom anhörig, referens- person eller ombud. Enligt punkten 2 får behandling ske om det är nödvändigt för kontroll av utlänning i samband med inresa och utresa samt kon- troll under vistelsen i . Detta ändamål innefattar den inre och yttre utlänningskontroll som utförs av , Polismyn- digheten och Säkerhetspolisen med stöd av utlänningslagen. Inom ändamålet ryms exempelvis behandling av uppgifter för att planera nära förestående kontroller av utlänningar som förväntas resa in i landet. När det gäller och Säkerhetspolisen om- fattas inte sådan personuppgiftsbehandling som utförs i den brotts- bekämpande verksamheten. Den regleras i stället av polisdatalagen. Punkten 3 föreskriver att personuppgiftsbehandling är tillåten om den är nödvändig för utförande av arbetsuppgifter som gäller mottagande och bosättning av asylsökande och andra utlänningar. Med asylsökande och andra utlänningar avses utlänningar som omfattas av lagen (1994:137) om mottagande av asylsökande m.fl. Enligt punkten 4 får personuppgiftsbehandling utföras om den är nödvändig för tillsyn, kontroll, uppföljning, planering av verk- samheten, framställning av statistik samt testverksamhet. Bestäm- melsen omfattar såväl myndigheternas granskning av handläggning av enskilda ärenden som mer övergripande översyn och utvärdering av myndighetens arbete. Under punkten faller även framställning av statistik, både sådan som ska användas inom den egna verk- samheten och sådan som ska användas av andra myndigheter. Den mesta behandlingen av personuppgifter enligt denna punkt torde vara tillåten även utan denna uttryckliga bestämmelse, eftersom den kan anses utgöra en integrerad del av de berörda myndigheternas verksamhet och behandling av statistik får ske genom hänvisningen till 9 § PUL i 8 § ovan. Syftet med bestämmelsen är att tydliggöra dessa ändamål för både myndigheter som ska tillämpa bestämmel- serna och för dem vars uppgifter behandlas. Av punkten 5 följer att personuppgifter även får behandlas för fullgörande av en rättslig skyldighet att registrera eller på annat sätt dokumentera en personuppgift. Exempel på sådan behandling kan vara diarieföring. 12 § får därutöver behandla personuppgifter om det är nödvändigt för återsökning av 1.avgöranden, rättsutredningar och annan rättslig information eller 2.information rörande förhållanden i andra länder. Paragrafen, som tillsammans med 11 § anger de primära ändamålen, reglerar möjlighet att behandla personuppgifter för ändamålen återsökning av avgöranden, rättsutredningar och annan rättslig information samt återsökning av information rörande för- hållanden i andra länder. Övervägandena finns i avsnitt 7.9.3. Se när- mare om nödvändighetskravet i samma avsnitt. I avsnitt 5.2.10 beskrivs Lifos, informations- system för rättsfall och landinformation. har be- hov av att samla in och behandla personuppgifter för ändamålen återsökning av avgöranden, rättsutredningar och annan rättslig infor- mation samt återsökning av information rörande förhållanden i andra länder. Sådan behandling förekommer företrädelsevis i samband med handläggning av enskilda ärenden på myndigheten, men också i utbildningssammanhang. Bestämmelsen ger stöd för sådan behand- ling av personuppgifter. 13 § Personuppgifter som behandlas enligt 11 och 12 §§ får även behand- las om det är nödvändigt för att tillhandahålla information 1.till en annan myndighet eller enskild, om utlämnandet sker med stöd av lag eller förordning eller 2.till en utländsk myndighet, ett EU-organ eller en mellanfolklig orga- nisation, om utlämnande följer av medlemskap i union- en eller av uppgiftsskyldighet enligt internationell konvention som tillträtt eller av godkänt avtal med främmande stat eller mellan- folklig organisation. I ett enskilt fall får personuppgifter som behandlas enligt 11 och 12 §§ även behandlas för att tillhandahålla information för något annat ändamål än de som anges i första stycket under förutsättning att ändamålet inte är oförenligt med det ändamål som uppgifterna samlades in för. Paragrafen reglerar för vilka sekundära ändamål som personupp- gifter får behandlas i de berörda myndigheternas verksamhet. Be- handling enligt denna paragraf förutsätter att uppgifterna har samlats in för något primärt ändamål som följer av 11 eller 12 §§. Det är alltså inte tillåtet att samla in personuppgifter enbart i syfte att be- handla dem enligt förevarande paragraf. Övervägandena och avgräns- ningen av dessa ändamål finns redovisade i avsnitt 7.9.3. I samma avsnitt analyseras även nödvändighetskravet närmare. Av första stycket punkten 1 framgår att personuppgifter som behandlats med stöd av 11 och 12 §§ även får behandlas om det är nödvändigt för att tillhandahålla information till en annan myndig- het eller enskild, om utlämnandet sker med stöd av lag eller förord- ning. Uppgiftsutlämnande kan ske av olika anledningar. I vissa fall sker utlämnandet på grund av en skyldighet att lämna ut uppgifter till vissa utpekade myndigheter enligt olika författningar. Till exempel har enligt 17 kap. 3 § UtlL och Pensionsmyndig- heten rätt att ta del av uppgifter om enskilda hos . Se även förslaget till 17 kap. 4 § UtlL. I andra fall är myndigheterna enligt lag eller förordning skyldiga att på begäran lämna ut upp- gifter till andra. Den grundlagsfästa skyldigheten i 2 kap. TF att lämna ut all- männa handlingar som inte innehåller några sekretessbelagda upp- gifter gäller oavsett vad som föreskrivs i författningar av lägre rang. Vidare finns det ett antal författningar med bestämmelser som medger att uppgifter får lämnas ut även om någon skyldighet att göra så inte föreligger. Ett exempel på en sådan bestämmelse är 10 kap. 15 § offentlighets- och sekretesslagen (2009:400, OSL). I bestäm- melsen anges att sekretess inte hindrar att uppgift lämnas till rege- ringen eller . Ett annat exempel är 10 kap. 27 § i samma lag som innebär att en sekretessbelagd uppgift får lämnas till en annan myndighet, om det är uppenbart att intresset av att uppgiften lämnas ut har företräde framför det intresse som sekretessen ska skydda. Av första stycket punkten 2 framgår att personuppgifter som be- handlats med stöd av 11 och 12 §§ även får behandlas om det är nödvändigt för att tillhandahålla information till en utländsk myn- dighet, ett EU-organ eller en mellanfolklig organisation, om utläm- nandet följer av medlemskap i unionen eller av uppgiftsskyldighet enligt internationell konvention som tillträtt eller av godkänt avtal med främmande stat eller mellanfolklig organisation. Bestämmelse ger således stöd för själva behandlingen av personuppgifterna, medan utrymmet för att utläm- na dem kan begränsas av bestämmelser om sekretess. Om uppgifterna är sekretessbelagda, måste det vara fråga om ett tillåtet utlämnande enligt offentlighets- och sekretesslagen, jfr 8 kap. 3 § OSL angående utlämnande till utländska myndigheter eller mellan- folkliga organisationer. Är det fråga om en särskilt föreskriven upp- giftsskyldighet i lag eller förordning följer av 8 kap. 3 § första punkten OSL att sekretess inte hindrar ett utlämnande. Med lag eller för- ordning likställs en EU-förordning, se SOU 2015:39 s. 490. Utgångspunkten är att de nu redovisade sekundära ändamålen i allt väsentligt ska täcka in det tillhandahållande av information som kan komma i fråga för de berörda myndigheterna. I andra stycket tydliggörs dock att de sekundära ändamålen inte är uttömmande. För att en uppgift ska få vidarebehandlas för något annat ändamål än de som anges i första stycket måste det emellertid i det enskilda fallet göras en bedömning att det nya ändamålet inte är oförenligt med det ändamål som uppgifterna samlades in för. Det innebär att den nya behandlingen ska stå i överensstämmelse med finalitets- principen. Någon annan vidarebehandling än den nu beskrivna är inte tillåten. 14 § får föra automatiserade register över fingeravtryck och fotografier som tas med stöd av 9 kap. 8 § utlänningslagen (2005:716). Registren får användas vid prövning av ansökningar om uppehållstillstånd där skäl som avses i 4 kap. 1–2 a §§ utlänningslagen åberopas, i ärenden om avvisning och utvisning samt i testverksamhet. fotografiregister får, om det behövs, också användas för att kontrollera en persons identitet på ett till verket inkommet foto- grafi. Uppgift om fingeravtryck får även behandlas när det är nödvändigt för att ska kunna kontrollera fingeravtryck som tagits med stöd av 9 kap. 8 § utlänningslagen (2005:716) mot det fingeravtrycksregister som för enligt 4 kap. 11–17 §§ polisdatalagen (2010:361). Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela när- mare föreskrifter om vilka uppgifter som får behandlas och om gallring. I paragrafen anges att får behandla personupp- gifter i automatiserade register över de fingeravtryck och fotografier som tas med stöd av 9 kap. 8 § UtlL. Övervägandena finns i av- snitt 7.10.3. Av skäl som anges i avsnitt 7.10.3 regleras behandling av person- uppgifter i fingeravtrycks- och fotografiregister särskilt. Att har möjlighet att behandla uppgifter om fingeravtryck och fotografier följer redan av bestämmelserna i 2 och 11 §§. Paragrafen innebär dock att möjligheten till behandling inskränks i förhållande till vad som gäller enligt dessa bestämmel- ser. Registren får endast innehålla fingeravtryck och fotografier som har tagit med stöd av 9 kap. 8 § UtlL, dvs. om utlänningen fyllt och inte kan styrka sin identitet när han eller hon kommer till , ansöker om uppehållstillstånd som flykting eller som annan skyddsbehövande eller det finns grund för att be- sluta om förvar. Paragrafen anger även uttömmande för vilka ändamål uppgifterna i registret får användas. I sista meningen i paragrafens första stycke anges att registren endast får användas vid prövning av ansökningar om uppehållstillstånd där utlänningen åberopar att han eller hon är flykting, alternativt skyddsbehövande eller övrig skyddsbehövande, i ärenden om avvisning och utvisning samt i test- verksamhet. I andra stycket anges att fotografiregister även vid behov får användas för att kontrollera identiteten av en person på ett till verket inkommet fotografi, se närmare härom i avsnitt 7.10.2 och 7.10.3. I tredje stycket anges att personuppgifter som behandlas enligt första stycket även får behandlas när det är nödvändigt för att till- handahålla information för att verket ska kunna kontrollera finger- avtryck mot fingeravtrycksregister som för en- ligt 4 kap. 11–17 §§ polisdatalagen (2010:361), se närmare härom i kapitel 10. I fjärde stycket finns en upplysning om att ytterligare bestämmel- ser om vilka uppgifter som får behandlas och om gallring meddelas av regeringen. I utredningens förslag till en förordning med kom- pletterande föreskrifter rörande personuppgiftsbehandlingen finns dessa bestämmelser i 2 och 3 §§. Behandling av känsliga personuppgifter 15 § Känsliga personuppgifter som anges i 13 § personuppgiftslagen (1998:204) får behandlas om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifter- na. Därutöver får känsliga personuppgifter behandlas endast 1.för de ändamål som anges i 11 och 13 §§ om uppgifterna är absolut nödvändiga för syftet med behandlingen eller 2.i löpande text för det ändamål som anges i 12 § 2, om uppgifterna är absolut nödvändiga för att fullgöra arbetsuppgifter i sådan verksamhet som anges i 2 §. Paragrafen reglerar personuppgiftsbehandling av känsliga person- uppgifter enligt 13 § PUL. Övervägandena finns i avsnitt 7.11.4. Enligt 13 § PUL är det förbjudet att behandla personuppgifter om ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Sådana uppgifter betecknas som känsliga personupp- gifter. I 15 § PUL görs undantag från förbudet om den registrerade har lämnat sitt samtycke eller på ett tydligt sätt offentliggjort upp- gifterna. I 16−20 §§ PUL finns ytterligare undantag från förbudet. Paragrafen gör undantag från förbudet genom att tillåta behand- ling av känsliga personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen i sådan verksamhet som anges i 2 och 3 §§. Känsliga personuppgifter får behandlas om den registrerade har lämnat sitt samtycke eller på ett tydligt sätt offentliggjort upp- gifterna. Vad gäller den praktiska betydelsen av kravet på samtycke, se avsnitt 7.11.4. Bestämmelserna motsvarar 15 § PUL. Därutöver får känsliga personuppgifter endast behandlas för de ändamål som anges i punkterna 1 och 2. Enligt punkten 1 får känsliga personuppgifter behandlas för ända- målen handläggning av ärenden eller en myndighets biträde i sådana ärenden, inre och yttre utlänningskontroll, mottagande och bosätt- ning av asylsökande och andra utlänningar, tillsyn, kontroll, uppfölj- ning, planering av verksamheten eller framställning av statistik och testverksamhet, dokumenteringsskyldighet samt uppgiftsutlämnan- de i vissa fall. Ett ytterligare krav är att behandling endast är tillåten om uppgifterna är absolut nödvändiga för syftet med behandlingen. Vad som avses med rekvisitet absolut nödvändig har preciserats i avsnitt 7.11.4. I behandling av personuppgifter som rör för- hållanden i andra länder är det av vikt att kunna behandla även känsliga personuppgifter, till exempel uppgifter om sexuell läggning. Punkten 2 ger stöd för behandling av känsliga personuppgifter i löpande text för återsökning av information rörande förhållanden i andra länder. Behandling får dock endast ske om uppgifterna är absolut nödvändiga för att fullgöra arbetsupp- gifter i sådan verksamhet som anges i 2 §. Däremot är det över huvud taget inte tillåtet att behandla känsliga personuppgifter för återsökning av avgöranden, rättsutredningar och annan rättslig in- formation. I 21 § finns en upplysning om att regeringen kan meddela när- mare föreskrifter om gallring av känsliga personuppgifter. 16 § Tillgången till personuppgifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om till- gången till personuppgifter. Paragrafen reglerar den interna tillgången till personuppgifter för per- sonal som arbetar inom , , Säker- hetspolisen och utlandmyndigheterna i verksamhet som faller under lagens tillämpningsområde. Övervägandena finns i avsnitt 7.12.2. I första stycket slås fast att tillgången till personuppgifter hos ovannämnda myndigheter ska begränsas till vad varje tjänsteman be- höver för att kunna fullgöra sina arbetsuppgifter. Bakgrunden till bestämmelsen är att integritetsrisken vid behandling av personupp- gifter är större ju fler personer som har tillgång till uppgifterna. Till- gången till uppgifter ska därför i så stor utsträckning som möjligt begränsas till den krets av personer som är i behov av dem för att kunna utföra sina arbetsuppgifter. Det är den personuppgiftsansva- riga myndigheten som har ansvar för att avgöra vilka uppgifter respektive anställd behöver för att kunna fullgöra sina uppgifter. Myndigheten ansvarar också för att datasystemen utformas så att det är möjligt att på ett ändamålsenligt sätt begränsa tillgången till in- formation på individnivå. Bestämmelsen har särskilt stor betydelse i de fall som myndigheterna medges direktåtkomst till andra myn- digheters personuppgifter, se avsnitten 7.15.2 och 9.3.2. I andra stycket finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer har möjlighet att meddela när- mare föreskrifter om förutsättningarna för tillgången till personupp- gifter.