sou · H3B373 · 2015-08-03 00:00:00 — Eftersom skadeståndsbestämmelsen i personuppgiftslagen enligt sin ordalydelse endast gäller vid behand- ling av personuppgifter i strid mot bestämmelserna i den lagen, bör det i utlänningsdatalagen även införas en bestämmelse som hänvisar till personuppgiftslagens bestämmelse om skadestånd. Personupp- giftslagens bestämmelse avser endast skadestånd till den registrerade, medan VIS-förordningens krets av skadeståndsberättigade är betyd- ligt vidare och omfattar bland annat varje person och medlemsstat. Om en ersättningsfråga inte berörs i personuppgiftslagen bör i stället allmänna skadeståndsrättsliga regler i skadeståndslagen (1972:207) tillämpas. Utredningens förslag: Behandling av personuppgifter som är tillåten enligt utlänningsdatalagen ska få utföras även om den enskilde motsätter sig den. Enligt 1 § tredje stycket nuvarande utlänningsdataförordning har en registrerad inte rätt att motsätta sig behandling av personuppgifter enligt förordningen. Bestämmelsen ska ses mot bakgrund av arti- En ny lag om behandling av personuppgifter… kel 14 a och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet), som föreskriver att den enskilde i vissa fall ska garanteras en rätt att motsätta sig en personuppgifts- behandling, om inte annat föreskrivs i nationell lagstiftning. I verk- samhet enligt utlännings- och medborgarskapslagstiftningen finns behov av att behandla personuppgifter även om den enskilde mot- sätter sig sådan behandling. I utlänningsdatalagen bör det därför införas en bestämmelse av vilken det framgår att personuppgifts- behandling som är tillåten enligt lagen får utföras även om den en- skilde motsätter sig den. Utredningens förslag: Utlänningsdatalagen ska gälla i stället för personuppgiftslagen inom sitt tillämpningsområde. I lagen hän- visas till de bestämmelser i personuppgiftslagen som ska gälla vid behandling av personuppgifter enligt lagen. Personuppgiftslagen är generellt tillämplig på all behandling av per- sonuppgifter. Av 2 § PUL följer dock att om det i annan lag eller förordning finns bestämmelser som avviker från lagen ska de bestäm- melserna gälla. Bestämmelserna i den nya lagen kommer således som huvudregel att ha företräde framför personuppgiftslagens bestäm- melser. Finns inga särskilda bestämmelser i lagen ska dock person- uppgiftslagens bestämmelser gälla. Frågan är hur de bestämmelser i personuppgiftslagen som ska gälla även för personuppgiftsbehand- ling i verksamhet enligt utlännings- och medborgarskapslagstift- ningen ska infogas i den nya lagen. I tidigare lagstiftning har olika lösningar valts. En modell är att ange att den särskilda författningen gäller utöver personuppgiftslagen eller att inte över huvud taget nämna person- uppgiftslagen i särlagstiftningen. Det innebär att personuppgifts- lagens bestämmelser automatiskt blir tillämpliga när den särskilda författningen inte innehåller någon särbestämmelse. Metoden har använts i bland annat i patientdatalagen och studiestödsdatalagen (2009:287). Metoden har kritiserats, eftersom det anses vara svårt En ny lag om behandling av personuppgifter… för den som ska tillämpa lagen att klart och tydligt se vilka bestäm- melser i personuppgiftslagen som är tillämpliga. En annan modell är en heltäckande modell som innebär att de bestämmelser i personuppgiftslagen som ska vara tillämpliga anges uttryckligen i registerförfattningen. Denna typ av reglering har till exempel valts i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst. Fördelen med denna modell är att alla relevanta bestämmelser framgår direkt av lagen. Nackdelen är att identiska bestämmelser upprepas i flera olika författningar och att lagtexten blir omfattande. Ett tredje sätt är att utöver de bestämmelser som avviker från personuppgiftslagen hänvisa till de lagrum i personuppgiftslagen som är tillämpliga. I förarbetena till polisdatalagen anges att fördelen med den hel- täckande modellen är att tillämparen snabbt kan få klart för sig vilka bestämmelser som gäller utan att behöva gå till personuppgiftslagen (se prop. 2009/10:85 s. 80). Problemet är att det i viss mån blir dubbelreglering, eftersom personuppgiftslagen ändå gäller och att lagstiftningen blir omfattande. Som ett alternativ föreslogs i polis- datapropositionen den modell som finns i lagen om brottsbekämpande verksamhet, nämligen reglering genom hänvis- ningar till de lagrum i personuppgiftslagen som är tillämpliga. Det konstaterades i propositionen att Lagrådet inte hade några invänd- ningar mot den valda metoden samt att samma lösning också har föreslagits för personuppgiftsbehandling och för åklagarväsendets personuppgiftsbehandling (se SOU 2006:18 och SOU 2008:87). Fördelarna med en sådan lösning är enligt pro- positionen att lagstiftningen blir mer överskådlig, tydlig och lättilläm- pad jämfört med om inga hänvisningar görs till personuppgiftslagen. undviks en omfattande dubbelreglering. För denna modell talar också, enligt propositionen, att det ligger ett värde i att så långt möjligt använda samma lagstiftningsteknik för all behandling av personuppgifter inom den brottsbekämpande verksamheten, oavsett myndighet. Samma argument som anförs ovan rörande polisdatalagen är giltiga även när det gäller utformningen av bestämmelserna i en ny utlänningsdatalag. I den nya lagen bör därför hänvisning göras till En ny lag om behandling av personuppgifter… de bestämmelser i personuppgiftslagen som är tillämpliga utöver utlänningsdatalagens bestämmelser. 7.7Tillämpliga bestämmelser i personuppgiftslagen Utredningens förslag: Följande bestämmelser i personuppgifts- lagen ska tillämpas på motsvarande sätt vid behandling av person- uppgifter enligt utlänningsdatalagen eller enligt föreskrifter som meddelats i anslutning till lagen: 1.definitioner (3 §), 2.förhållandet till offentlighetsprincipen (8 §), 3.grundläggande krav på behandlingen av personuppgifter (9 §), 4.behandling av uppgifter om personnummer (22 §), 5.information till den registrerade (23 och 25–27 §§), 6.rättelse (28 §), 7.säkerheten vid behandling (30 och 31 §§ samt 32 § första stycket), 8.överföring av personuppgifter till tredjeland (33–35 §§), 9.personuppgiftsombudets uppgifter m.m. (38–41 §§), 10.upplysningar till allmänheten om vissa behandlingar (42 §), 11.tillsynsmyndighetens befogenheter (43 och 44 §§, 45 § första stycket och 47 §), 12.skadestånd (48 §) och 13.överklagande (51 § första stycket, 52 § första stycket och 53 §). Om personuppgifter ska gallras enligt utlänningsdatalagen eller enligt föreskrifter som har meddelats i anslutning till lagen, gäller inte 8 § andra stycket personuppgiftslagen. Datainspektionen ska inte kunna förena ett förbud att utföra viss behandling med vite. En ny lag om behandling av personuppgifter… I 3 § PUL finns definitioner av vissa för personuppgiftsbehandling grundläggande begrepp, bland annat behandling, personuppgift, personuppgiftsansvarig, den registrerade och samtycke. Med behand- ling (av personuppgifter) avses till exempel varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, oavsett om det sker på automatisk väg eller inte. Exempel på detta är insamling, registre- ring, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, sprid- ning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Personuppgifter definieras som all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Definitionerna i 3 § PUL gäller vid personuppgiftsbehandling med stöd av nuvarande utlän- ningsdataförordning. Det har inte framkommit skäl att ändra på denna ordning. Vidare är det lämpligt att de begrepp som används i den nya lagen har samma innebörd som i personuppgiftslagen. En hänvisning till 3 § PUL bör därför tas in i den nya lagen. Av 8 § första stycket PUL följer att personuppgiftslagen inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyl- dighet att lämna ut personuppgifter enligt 2 kap. tryckfrihetsför- ordningen (TF). TF finns bestämmelser om allmänna hand- lingars offentlighet. Även om grundlagens bestämmelser alltid har företräde framför bestämmelser i vanlig lag, anfördes i förarbetena till personuppgiftslagen att det i klargörande syfte bör tas in en bestämmelse som uttryckligen anger detta förhållande i lagen (se prop. 1997/98:44 s. 46). För tydlighetens skull bör en hänvisning till 8 § första stycket PUL göras i den nya lagen. En myndighet är således alltid skyldig att ta fram och lämna ut uppgifter i enlighet med tryckfrihetsförordningens bestämmelser. Tryckfrihetsförord- ningen innebär dock ingen skyldighet för en myndighet att lämna ut uppgifter i elektronisk form. I 8 § andra stycket PUL anges att bestämmelserna i personupp- giftslagen inte hindrar att en myndighet arkiverar och bevarar allmän- na handlingar eller att arkivmaterial tas om hand av en arkivmyndig- En ny lag om behandling av personuppgifter… I förarbetena till personuppgiftslagen anges att bestämmelsen rör det bevarande av allmänna handlingar som utgör en förutsätt- ning för att offentlighetsprincipen i 2 kap. TF ska kunna uppfylla sina syften (se prop. 1997/98:44 s. 118). Som ovan angetts finns det i nuvarande utlänningsdataförord- ning med undantag för en särbestämmelse avseende fingeravtrycks- registret inga bestämmelser om gallring. Utgångspunkten är således att allmänna handlingar i verksamhet enligt utlännings- och med- borgarskapslagstiftningen som omfattas av utlänningsdataförord- ningen ska bevaras. Utredningen gör i avsnitt 7.16.2 därför bedöm- ningen att utgångspunkten även fortsättningsvis bör vara att arkiv- lagens (1990:782) bestämmelser om bevarande ska gälla i den nya utlänningsdatalagen. Om det i särförfattningar för myndigheters behandling av personuppgifter saknas gallringsbestämmelser, tilläm- pas arkivlagens bestämmelser om bevarande som huvudprincip och gallring som undantag. Någon särskild bestämmelse om bevarande behövs således egentligen inte i utlänningsdatalagen. I klargörande syfte bör dock en hänvisning till bestämmelserna i 8 § andra stycket PUL tas in i den nya lagen. Utredningen anser dock att det i den nya lagstiftningen finns behov av gallringsföreskrifter på vissa områden. Som framgår av av- snitt 7.10.3 föreslår utredningen att det även i fortsättningen ska gälla särskilda regler för gallring av uppgifter i fingeravtrycks- och fotografiregister. Vidare anser utredningen att särskilda gallringsbestämmelser ska gälla för personuppgifter som behandlar automatiskt därför att ett offentligt biträde, en tolk, en översättare eller språkanalytiker kan vara olämp- lig för framtida uppdrag, se kapitel 8. Utredningen anser också att särskilda bestämmelser om gallring ska gälla för känsliga person- uppgifter som har behandlats för ändamålen tillsyn, kontroll, uppfölj- ning, planering av verksamheten, framställning av statistik eller test- verksamhet, se avsnitt 7.16.2 och 7.17. Av den nya utlännings- datalagen bör det således framgå att 8 § andra stycket PUL inte ska tillämpas om personuppgifter ska gallras enligt bestämmelser i den nya lagen eller enligt föreskrifter som meddelats i anslutning till lagen. En ny lag om behandling av personuppgifter… 7.7.3Grundläggande krav på behandlingen av personuppgifter I 9 § PUL föreskrivs vissa grundläggande krav på behandlingen av personuppgifter. Den personuppgiftsansvarige ska se till att person- uppgifter behandlas bara om det är lagligt och att personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed (a och b). Vad som är god sed vid behandling av personuppgifter får enligt förarbetena till personuppgiftslagen avgöras i rättstillämp- ningen mot bakgrund av bland annat de mer preciserade föreskrifter som kan utfärdas med stöd av personuppgiftslagen, de branschregler på området som kan ha utarbetats av etablerade branschorganisa- tioner eller andra representativa sammanslutningar och hur ansvars- fulla personuppgiftsansvariga som regel beter sig (se prop. 1997/98:44 s. 143). Den nya lagen bör hänvisa till 9 § första stycket a) och b) PUL. Personuppgifter får bara samlas in för särskilda, uttryckligt an- givna och berättigade ändamål (c). Bestämmelsen innebär att ända- målen med en behandling måste bestämmas redan när uppgifterna samlas in (se SOU 1997:39 s. 350, prop. 1997/98:44 s 120 f.) Det bör göras en hänvisning även till denna bestämmelse i personupp- giftslagen. får uppgifterna inte behandlas för något ända- mål som är oförenligt med det för vilket uppgifterna samlades in (d). I denna bestämmelse kommer den s.k. finalitetsprincipen till uttryck. Bestämmelsen är av central betydelse vid behandling av personupp- gifter. Den innebär att vidarebehandling av redan insamlade person- uppgifter inte får ske för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Utredningen kommer att i av- snitt 7.9 föreslå att den nya lagen bör ange vissa primära och sekun- dära ändamål, att de primära ändamålen ska vara uttömmande samt att vidarebehandling ska vara tillåten förutsatt att behandlingen inte är oförenlig med insamlingsändamålet. Vad som är oförenligt med de ursprungliga ändamålen får enligt förarbetena till personuppgifts- lagen bestämmas genom praxis och kompletterande föreskrifter (se SOU 1997:39 s. 351). Det bör finnas en hänvisning även till 9 § första stycket d PUL. Personuppgifterna ska vidare vara adekvata och relevanta i för- hållande till ändamålen med behandlingen (e). En ny lag om behandling av personuppgifter… ansvarige ansvarar också för att behandlingen inte omfattar fler personuppgifter än som är nödvändigt med hänsyn till ändamålen med behandlingen samt att uppgifterna är riktiga och aktuella (f och g). Alla rimliga åtgärder ska vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen (h). Enligt utred- ningen bör den nya lagen hänvisa även till dessa bestämmelser i personuppgiftslagen. Av 9 § första stycket i PUL följer slutligen att personuppgifter inte får bevaras än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Denna bestämmelse har betydelse för hur personuppgifter som behandlas elektroniskt ska arkiveras och gallras. Personuppgiftslagen innehåller två undantag från bestämmelsen. För det första hindrar personuppgiftslagens be- stämmelser aldrig att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet (8 § andra stycket PUL). För det andra följer det av 9 § tredje stycket PUL att personuppgifter får bevaras än som anges i punkten i, om bevarandet sker för historiska, statistiska eller veten- skapliga ändamål. Detta undantag gäller för alla personuppgifter, oavsett om det rör sig om uppgifter i en allmän handling eller inte. Som utredningen närmare kommer att utveckla i avsnitt 7.16 gäller arkivlagens regler om bevarande och gallring för personuppgifter på det aktuella verksamhetsområdet, både de som behandlas helt eller delvis automatiserat och de som behandlas manuellt. Utgångspunkten är således att allmänna handlingar ska bevaras. För personuppgifter som inte är allmänna handlingar gäller däremot bestämmelserna i 9 § första stycket i och tredje stycket PUL, dvs. de ska som huvudregel förstöras om de är nödvändiga för det ändamål de behandlas för. Av skäl som redo- visas närmare i avsnitt 7.16.2 anser utredningen att den nuvarande ordningen bör upprätthållas även i den nya lagen. Utredningen före- slår dock särskilda bestämmelser om avskiljande av personuppgifter som inte längre behövs i den löpande verksamheten (se avsnitt 7.16.2). Avskiljande får inte innebära att uppgifterna gallras. En stor del av den personuppgiftsbehandling som den nya lagen ska reglera torde avse uppgifter i allmänna handlingar. Det enklaste sättet att reglera frågan om bevarande och gallring skulle därför eventuellt vara att i utlänningsdatalagen bara hänvisa till 8 § andra En ny lag om behandling av personuppgifter… En hänvisning till den bestämmelsen innebär att person- uppgifter i allmänna handlingar kan bevaras elektroniskt och be- handlas för arkivering utan hinder av personuppgiftslagen. Det kan dock förekomma fall av automatiserad personuppgiftsbehandling som inte rör uppgifter i allmänna handlingar. För att regleringen ska bli heltäckande bör därför en hänvisning till bestämmelserna i 9 § första stycket i) och tredje stycket PUL också göras. Det inne- bär att personuppgifter som inte finns i en allmän handling kan bevaras elektroniskt så länge det är nödvändigt med hänsyn till ända- målen med behandlingen eller om bevarandet sker för historiska, statistiska eller vetenskapliga ändamål. Därefter ska uppgiften för- störas. Av 9 § andra stycket PUL följer att senare behandling som sker för historiska, statistiska eller vetenskapliga ändamål inte anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Som anges ovan får enligt tredje stycket sådana uppgifter bevaras än andra uppgifter, dock inte än vad som behövs för historiska, statistiska eller vetenskapliga ändamål. Fjärde stycket föreskriver att personuppgifter som behandlas för histo- riska, statistiska eller vetenskapliga ändamål får användas för att vidta åtgärder i fråga om den registrerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. En hänvisning bör finnas i den nya lagen även till dessa bestämmelser i personuppgiftslagen. Enligt 22 § PUL får uppgifter om personnummer eller samordnings- nummer behandlas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Dataskyddsdirektivet ställer krav på att medlemsländerna ska reglera användningen av personnummer i lag. Medlemsländerna får dock fritt besluta hur de materiella regler- na ska utformas. Bestämmelsen i personuppgiftslagen har utformats med motsvarande bestämmelse i den tidigare datalagen (1973:289) som förebild. Uppgift om personnummer eller samordningsnummer utgör inte en känslig personuppgift enligt personuppgiftslagens definition, En ny lag om behandling av personuppgifter… men är ändå en typ av uppgift som bör behandlas med försiktighet. Bestämmelsen i 22 § PUL ger uttryck för att behandlingen av person- nummer och samordningsnummer bör vara restriktiv och föregås av en avvägning mellan behovet och de integritetsrisker som behand- lingen innebär. I nuvarande utlänningsdataförordning finns inga särskilda bestäm- melser som rör personnummer och samordningsnummer. Person- uppgiftslagens bestämmelser är således tillämpliga i verksamhet inom utlännings- och medborgarskapslagstiftningen. Vikten av en säker identifiering medför att personnummer och samordningsnummer ofta måste behandlas i den verksamhet som omfattas av utlännings- datalagen. Utredningen bedömer därför att det inte bör införas några inskränkningar i rätten att behandla personnummer eller samord- ningsnummer i förhållande till personuppgiftslagens bestämmelse. Den nya lagen bör därför hänvisa till 22 § PUL. 7.7.5Information till den registrerade Information till den registrerade regleras i 23−27 §§ PUL. Enligt 23 § PUL ska den personuppgiftsansvarige självmant in- formera en enskild om behandling av uppgifter som samlas in från den enskilde själv. Den information som ska lämnas är enligt 25 § PUL uppgift om den personuppgiftsansvariges identitet, ändamålen med behandlingen samt övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Information ska också, enligt 26 § PUL, lämnas på begäran av den registrerade. Om uppgifter behandlas, ska information lämnas till sökanden om vilka uppgifter det rör sig om, varifrån uppgifterna har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Sådan infor- mation ska lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast efter det att ansökan gjordes. Information be- höver inte lämnas om personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnes- anteckning eller liknande. Undantaget gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart En ny lag om behandling av personuppgifter… för historiska, statistiska eller vetenskapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om upp- gifterna har behandlats . Undantag från informationsskyldigheten föreligger enligt 27 § PUL vid sekretess och tystnadsplikt. Bestämmelserna i 23 och 25−27 §§ PUL är tillämpliga vid myndigheternas behandling av personuppgifter inom utlännings- och medborgarskapsverksamheten. Annat har inte framkommit än att bestämmelserna bör tillämpas även vid en lagreglering av person- uppgiftsbehandlingen på utlännings- och medborgarskapsområdet. En hänvisning till bestämmelserna bör därför införas i den nya lagen. Någon hänvisning till 24 § PUL är emellertid inte nödvändig enligt utredningen, eftersom personuppgiftsbehandlingen i den nya lagen är reglerad på sätt som artikel 11 i dataskyddsdirektivet föreskriver, se vidare härom i SOU 2015:39 s. 494 f. Den personuppgiftsansvarige är enligt 28 § PUL skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana person- uppgifter som inte har behandlats i enlighet med lagen eller före- skrifter som har utfärdats med stöd av lagen. Den personuppgifts- ansvarige ska vidare underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade därigenom kan undvikas. Någon sådan underrättelse behöver dock inte lämnas, om detta visar sig vara omöjligt eller skulle innebära en opropor- tionerligt stor arbetsinsats. I förarbetena till personuppgiftslagen konstateras att redan bestämmelserna i 9 § första punkten e och g PUL medför en skyl- dighet för den personansvariga myndigheten att vara aktiv för att se till att de behandlade uppgifterna är korrekta (se prop. 1997/98:44 s. 87). Bestämmelsen i 28 § PUL ger dock den registrerade rätt att påkalla den personuppgiftsanvariges aktivitet för att korrigera upp- gifter, som gäller utöver de grundläggande kraven i 9 § PUL. I person- uppgiftslagen anges inte vilken av metoderna rättelse, blockering och utplånande som ska väljas i olika situationer. Det är enligt för- En ny lag om behandling av personuppgifter… arbetena den personuppgiftsansvarige som avgör vilken åtgärd som är lämpligast i varje enskilt fall (se prop. 1997/98:44 s. 87). Bestämmelsen i 28 § PUL gäller vid behandling av person- uppgifter i verksamhet enligt utlännings- och medborgarskapslag- stiftningen. Det är viktigt att det även i fortsättningen finns en möjlig- het för enskilda att se till att personuppgifter som behandlas felak- tigt rättas, blockeras eller utplånas. En hänvisning till 28 § PUL bör därför göras i den nya utlänningsdatalagen. En sådan hänvisning är även nödvändig med hänsyn till dataskyddsdirektivet. I 30–32 §§ PUL finns bestämmelser om hur den personuppgifts- ansvarige ska organisera arbetet med behandling av personuppgifter för att garantera säkerheten. Av 30 § följer bland annat att ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning får behandla personuppgifter bara i enlighet med instruktioner från den person- uppgiftsansvarige.