sou · H3B373 · 2015-08-03 00:00:00 — I utredningens förslag till en förordning med kompletterande föreskrifter rörande personuppgiftsbehandlingen finns dessa bestäm- melser i 4 och 5 §§. 17 § Känsliga personuppgifter som anges i 13 § personuppgiftslagen (1998:204) får inte användas som sökbegrepp vid behandling av person- uppgifter för ändamål som anges i 11 § 1−3 och 5 samt 13 § Vid behandling av personuppgifter för ändamål som anges i 12 § 2 får personuppgifter som direkt pekar ut den registrerade inte användas som sökbegrepp. Personuppgifter om lagöverträdelser m.m. som anges i 21 § person- uppgiftslagen får inte användas som sökbegrepp. Beslut om förvar enligt utlänningslagen (1989:529) får dock användas som sökbegrepp. I paragrafen finns bestämmelser som begränsar användningen av sökbegrepp vid behandling av personuppgifter som omfattas av utlänningsdatalagens tillämpningsområde. Övervägandena finns av- snitt 7.13.2. Bestämmelsen i första stycket medför att känsliga personuppgifter trots bestämmelsen i 15 § inte får användas som sökbegrepp för de ändamål som anges i 11 § 1−3 och 5 samt 13 §. Känsliga person- uppgifter får alltså däremot användas som sökbegrepp vid behand- ling av personuppgifter om det är nödvändigt för behandling av personuppgifter för tillsyn, kontroll, uppföljning, planering av verk- samheten, framställning av statistik eller testverksamhet (11 § 4). När det gäller återsökning av information rörande förhållanden i andra länder får enligt andra stycket personuppgifter som direkt pekar ut den registrerade inte användas som sökbegrepp. Känsliga personuppgifter får över huvud taget inte behandlas för återsökning av avgöranden, rättsutredningar och annan rättslig information och kan därför inte heller användas som sökbegrepp vid behandling för detta ändamål. Inte heller får personuppgifter om lagöverträdelser som inne- fattar brott, domar i brottmål, straffprocessuella tvångsmedel och administrativa frihetsberövanden användas som sökbegrepp. Upp- gifter om förvar får dock användas som sökbegrepp. 18 § Direktåtkomst till personuppgifter som behandlas automatiserat hos är tillåten endast i den utsträckning som anges i denna lag. Direktåtkomst till personuppgifter som behandlar får medges 1.Polismyndigheten för ändamål som anges i 11 § 1–3 och 14 §, 2.Säkerhetspolisen för ändamål som anges i 11 § 1–3 samt 3.utlandsmyndigheterna, , och för ändamål som anges i 11 § 1. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om om- fattningen av direktåtkomsten samt om behörighet och säkerhet. I paragrafen anges under vilka förutsättningar direktåtkomst till personuppgifter som behandlas automatiserat av får medges. Vad som avses med direktåtkomst redovisas i avsnitt 7.15.2. Paragrafen har ingen sekretessbrytande effekt. Av första stycket följer att regleringen när direktåtkomst får med- ges är uttömmande. Det innebär att inte kan medge ytterligare direktåtkomst utöver den som regleras i paragrafen, vare sig till andra myndigheter eller till enskilda. I andra stycket anges både vilka myndigheter som får medges direktåtkomst till personuppgifter som behandlar automatiserat och för vilka ändamål som detta får ske. De myndig- heter som får medges direktåtkomst är , Säker- hetspolisen, utlandsmyndigheterna, , Pensions- myndigheten och . De myndigheter som medges direktåtkomst får inte använda direktåtkomsten för andra ändamål än de som paragrafen tillåter myndigheterna att ha direktåtkomst för. Det innebär till exempel att i brottsutredande syfte inte får använda direkt- åtkomsten till uppgifter för att kontrollera en brottsmisstänkt utlänning. direktåtkomst för ändamålet kontroll av utlänning i samband med inresa och utresa samt kontroll under vistelsen i avser så- ledes utlänningskontroll utan samband med brottsbekämpning. I 14 § utlänningsdatalagen finns bestämmelser om bland annat fingeravtrycksregister. Det är som handhar, förvaltar och underhåller finger- avtrycksregister utan att verket har någon tillgång till sitt eget register. Det är således som registrerar och gör finger- avtrycksjämförelser i registret för räkning, se avsnitt 7.10. För att detta ska vara möjligt måste medges direktåtkomst till uppgifter för detta ända- mål. I tredje stycket finns en upplysning om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om omfattningen av direktåtkomsten samt om behörighet och säkerhet. I utredningens förslag till en förordning med kompletterande före- skrifter rörande personuppgiftsbehandlingen finns sådana bestäm- melser i 6−9§§. I dessa bestämmelser specificeras i viss utsträckning vilka uppgifter som får omfattas av direktåtkomsten. Överföring av personuppgifter till tredjeland 19 § Det är trots förbudet i 33 § personuppgiftslagen (1998:204) tillåtet att även utan den registrerades samtycke föra över personuppgifter till tredjeland om överföringen är absolut nödvändig för ändamål som anges i 11 § 1 och 2 samt 12 § 1. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om i vilken utsträckning personuppgifter får överföras till tredjeland. I paragrafen görs ytterligare undantag från personuppgiftlagens grundläggande förbud mot överföring av personuppgifter till tredje- land. Övervägandena finns i avsnitt 7.7.8. Som följer av 8 § första stycket 8 är 33−35 §§ PUL tillämpliga i verksamhet inom utlännings- och medborgarskapslagstiftningen. I 33 § PUL finns ett förbud mot överföring av personuppgifter till tredjeland för personuppgifter som är under behandling om inte det mottagande landet har en adekvat nivå för skyddet av person- uppgifterna. Bestämmelsen, som kompletterar undantagen i 34 § PUL, inne- bär att det utan den registrerades samtycke är tillåtet att även föra över personuppgifter till tredjeland om överföringen är absolut nöd- vändig för i paragrafen angivna ändamål. I andra stycket finns en upplysning om att ytterligare bestäm- melser om vilka personuppgifter som får föras över till tredjeland och om till vilka mottagare överföringen får ske meddelas av regeringen. I utredningens förslag till en förordning med kompletterande före- skrifter rörande personuppgiftsbehandlingen finns dessa bestäm- melser i 10 §. 20 § Personuppgifter som behandlas automatiserat för ändamål som anges i 11 § 1−3 och 13 § ska avskiljas från automatiserad behandling i myn- dighetens löpande verksamhet när uppgifterna är nödvändiga för denna verksamhet. Behörighet för åtkomst till avskilda personuppgifter får endast ges till de personer som är i absolut behov av uppgifterna för att kunna utföra sina arbetsuppgifter. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om av- skiljande av personuppgifter som behandlas av utlandsmyndigheterna under personuppgiftsansvar. I paragrafen regleras avskiljande av personuppgifter som är nödvändiga för verksamheten. Övervägandena finns i avsnitt 7.16.2. Enligt paragrafens första stycke ska den personuppgiftsansvariga myndigheten avskilja personuppgifter som behandlas automatiserat för ändamål som anges i 11 § 1−3 och 13 § när uppgifterna är nödvändiga för verksamheten. Elektroniskt bevarande av personuppgifter i den verksamhet som regleras i utlänningsdata- lagen ska styras av det arkivrättsliga regelverket. Det innebär att uppgifterna som huvudregel ska bevaras. Med hänsyn till integri- tetsintresset kan myndigheterna inte tillåtas ha en oförändrad åtkomst till personuppgifter som är nödvändiga för de uppgifter som det åligger respektive myndighet att utföra. När uppgifterna inte längre behövs för den löpande verksamheten ska de därför av- skiljas. Med avskiljande menas att personuppgifter tas bort från automatiserade uppgiftssamlingar som används i verksamheten en- ligt 2 och 3 §§. Det åligger den personuppgiftsansvariga myndig- heten att införa rutiner för när avskiljande ska ske och på vilket sätt. Avskiljandet får inte innebära att uppgifter gallras i strid med arkiv- lagens (1990:782) bestämmelser eller föreskrifter som har meddelats med stöd av den lagen. I andra stycket anges att behörighet för åtkomst till avskilda per- sonuppgifter endast får ges till de personer som är i absolut behov av uppgifterna för att kunna utföra sina arbetsuppgifter. Genom kravet på att det ska föreligga ett absolut behov för att få tillgång till uppgifterna betonas att åtkomsten ska vara starkt begränsad. I främst verksamhet finns dock ett behov av att kunna komma åt uppgifter i redan avslutade ärenden. Det kan till exempel vara aktuellt när en person åberopar anknytning som skäl för uppehållstillstånd och en tjänsteman därför behöver komma åt uppgifter som rör anknytningspersonen i ett avslutat ärende. Åt- komst ska därför inte bara beviljas arkiveringspersonal utan även handläggare som kan vara i behov av uppgifter som är avskilda i sitt dagliga arbete. Det åligger den personuppgiftsansvariga myndig- heten att se till att tillgången till avskilda uppgifter begränsas på redo- visat sätt. Avskilda uppgifter får inte omfattas av direktåtkomst enligt 18 §. I tredje stycket finns en upplysning om att regeringen, eller den myndighet som regeringen bestämmer, meddelar föreskrifter om av- skiljande såvitt avser personuppgifter som behandlas av annan myn- dighet men för vars behandling verket är personuppgiftsansvarig. Med annan myndighet avses här i praktiken . Be- stämmelsen ger stöd för den personuppgiftsansvariga myndigheten att meddela närmare föreskrifter om avskiljande avseende de upp- gifter som behandlas i den egna verksamheten. är enligt 9 § emellertid personuppgiftsansvarig myndighet även för utlandsmyndigheternas automatiserade behandling av personupp- gifter. Eftersom inte är överordnat utlandsmyn- digheterna, krävs en uttrycklig bestämmelse om föreskriftsrätt. I utredningens förslag till en förordning med kom- pletterande föreskrifter rörande personuppgiftsbehandlingen finns bestämmelser härom i 11 §. 21 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om gallring av känsliga personuppgifter och av per- sonuppgifter som har behandlats därför att offentliga biträden, tolkar, över- sättare och språkanalytiker kan vara olämpliga för framtida uppdrag. Övervägandena finns i avsnitten 7.11.4 och 8.3.7. Paragrafen upplyser om regeringens möjlighet att meddela föreskrifter om gallring av känsliga personuppgifter och av personuppgifter som har behandlats därför att offentliga biträden, tolkar, översättare och språkanalytiker kan vara olämpliga för framtida uppdrag. Föreskrifter härom finns i 12 och 13 §§ i utredningens förslag till en ny utlänningsdataförord- ning. 22 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om säker- hetsåtgärder till skydd för personuppgifter som behandlas av utlandsmyn- digheterna under personuppgiftsansvar. Övervägandena finns i avsnitt 7.17. Paragrafen upplyser om rege- ringens möjlighet att meddela föreskifter om säkerhetsåtgärder till skydd för personuppgifter som behandlas av utlandsmyndigheterna under ansvar. Föreskriftsmöjligheten kan överlåtas till myndighet som regeringen bestämmer, i praktiken Migrations- verket. I utredningens förslag till en förordning med kompletterande föreskrifter rörande personuppgiftsbehandlingen finns bestämmelser härom i 14 §. 13.2Förslaget till lag om ändring i lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet 8 b § får medges direktåtkomst till uppgifter som avses i 3 § 1–5 och 11 om uppgifterna behövs vid 1.handläggning av ansökningar om uppehållstillstånd för att bedriva näringsverksamhet enligt 5 kap. utlänningslagen (2005:716), 2.handläggning av ansökningar om arbetstillstånd enligt 6 kap. 2 § första stycket utlänningslagen eller 3.kontroll av arbetstillstånd enligt 6 kap. 2 § första stycket utlänningslagen. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om omfattningen av direktåtkomsten samt om behörighet och säkerhet. Paragrafen är ny. Paragrafen har sin bakgrund i behov av uppgifter vid verkets handläggning av ärenden som rör uppe- hållstillstånd för arbete och arbetstillstånd. Övervägandena finns i avsnitt 9.3. I första stycket regleras vilka uppgifter i beskattningsdatabasen som får medges direktåtkomst till och under vilka förutsättningar direktåtkomst får förekomma. Uppgifterna ska be- hövas vid handläggning av sådana ärenden som anges i paragrafen. I andra stycket finns en upplysning om att ytterligare bestämmel- ser om omfattningen av direktåtkomsten samt om behörighet och säkerhet meddelas av regeringen. Utredningen föreslår att sekretessbrytande bestämmelser och bestämmelser som preciserar omfattningen av direktåtkomsten och som rör behörighet och säkerhet tas in i förordningen (2001:588) om behandling av uppgifter i beskattningsverksamhet. 13.3Förslaget till lag om ändring i lagen (2001:184) om behandling av uppgifter i verksamhet 27 a § får medges direktåtkomst till uppgifter som avses i 5 § första stycket 3 om uppgifterna behövs vid 1.handläggning av ansökningar om uppehållstillstånd för att bedriva näringsverksamhet enligt 5 kap. utlänningslagen (2005:716), 2.handläggning av ansökningar om arbetstillstånd enligt 6 kap. 2 § första stycket utlänningslagen eller 3.kontroll av arbetstillstånd enligt 6 kap. 2 § första stycket utlännings- Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om omfattningen av direktåtkomsten samt om behörighet och säkerhet. Paragrafen är ny. Paragrafen har sin bakgrund i behov av uppgifter vid verkets handläggning av ärenden som rör uppehållstillstånd för arbete och arbetstillstånd. Övervägandena finns i avsnitt 9.3. I första stycket regleras vilka uppgifter i utsöknings- och indriv- ningsdatabasen som får medges direktåtkomst till och under vilka förutsättningar direktåtkomst får förekomma. Upp- gifterna ska behövas vid handläggning av sådana ärenden som anges i paragrafen. I andra stycket finns en upplysning om att ytterligare bestämmel- ser om omfattningen av direktåtkomsten samt om behörighet och säkerhet meddelas av regeringen. Utredningen föreslår att sekretessbrytande bestämmelser och be- stämmelser som preciserar omfattningen av direktåtkomsten och som rör behörighet och säkerhet tas in i förordningen (2001:590) om behandling av uppgifter i verksamhet. 13.4Förslaget till lag om ändring av utlänningslagen (2005:716) 8 c § Den som har en Schengenvisering är vid in- eller utresekontroll enligt artikel 7.3 i kodexen om Schengengränserna skyldig att låta en polis- man, en särskilt förordnad passkontrollant eller en tjänsteman vid Tull- verket, eller ta hans eller hennes finger- avtryck för kontroll av identiteten och av viseringens äkthet i enlighet med artikel 18 i och rådets förordning (EG) nr 767/2008 av om informationssystemet för viseringar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS-förordningen), i den ursprungliga lydelsen. Skyldighet att lämna fingeravtryck enligt första stycket gäller även för en utlänning som vid en sådan in- eller utresekontroll inte kan styrka sin identitet och som får kontrolleras i identifieringssyfte i enlighet med arti- kel 20 i VIS-förordningen. När en kontroll enligt första eller andra stycket har genomförts, ska de fingeravtryck som tagits för kontrollen förstöras. Det gäller också de biometriska data som tagits fram i samband med kontrollen. Om den myndighet som har utfört kontrollen enligt första och andra styckena inte förstör fingeravtryck och de biometriska data som föreskrivs i tredje stycket, gäller 48 § personuppgiftslagen (1998:204) om skadestånd på motsvarande sätt. Enligt paragrafen är vissa personer vid in- eller utresekontroll skyl- diga att låta en polisman, en särskilt förordnad passkontrollant eller en tjänsteman vid , eller Migrations- verket ta hans eller hennes fingeravtryck för olika kontroller. I fjärde stycket, som är nytt, regleras visst skadeståndsansvar. Över- vägandena finns i avsnitt 11.3. Regleringen innebär att bestämmel- serna om skadestånd i 48 § personuppgiftslagen (1998:204) ska tilläm- pas på motsvarande sätt om en myndighet som utfört kontroller enligt första eller andra stycket inte förstör fingeravtryck och bio- metriska data på sätt som föreskrivs i tredje stycket. Hänvisningen innebär att en person som lider skada och drabbas av en kränkning av den personliga integriteten därför att uppgifterna inte förstörs kan få skadestånd. 4 § , Säkerhetspolisen och utlandsmyndigheterna har rätt att ta del av sådana uppgifter som myndigheterna får medges direktåtkomst till enligt utlänningsdatalagen (0000:00). Paragrafen är ny. Övervägandena finns i avsnitten 7.10.3, 7.15.2 och 10.3. Paragrafen innehåller en uppgiftsskyldighet för gentemot , Säkerhetspolisen och utlandsmyndig- heterna. Uppgiftsskyldigheten bryter den sekretess som kan gälla för uppgifterna hos , se 10 kap. 28 § OSL. Genom paragrafen har , Säkerhetspolisen och utlands- myndigheterna rätt att ta del av sådana uppgifter som myndigheter- na får medges direktåtkomst till enligt 18 § utlänningsdatalagen (0000:00). Paragrafen innebär bland annat att kan lämna fingeravtryck som verket har tagit till för registrering i verkets fingeravtrycksregister (B-filen). Fingeravtryck kan också lämnas till för kontroll mot verkets eget fingeravtrycksregister och fingeravtycksregister. Frågan om och person- uppgiftsansvar behandlas närmare i kapitel 10. 13.5Förslaget till lag om ändring i socialförsäkringsbalken (2010:110) 1 § I detta kapitel finns allmänna bestämmelser i 2−5 §§. Vidare finns bestämmelser om –personuppgiftslagen och personuppgiftsansvar i 6 §, –ändamål för behandling av personuppgifter i 7–10 §§, –behandling av känsliga personuppgifter m.m. i 11–13 §§, –behandling av personuppgifter i socialförsäkringsdatabasen i 14–16 §§, –tilldelning av behörighet i 17 §, –direktåtkomst i 18–23 a §§, –utlämnande på medium för automatisk behandling i 24–26 a §§, –sökbegrepp i 27 och 28 §§, –överföring av personuppgifter till tredjeland i 29 §, –information i 30 §, –gallring i 31 §, –avgifter i 32 §, –rättelse och skadestånd i 33 §, –kontrollverksamhet i 34 §, –tystnadsplikt i 35 § och –överklagande i 36 § Paragrafen utgör en innehållsförteckning till kapitlet, som reglerar behandling av personuppgifter i verksamhet som bland annat gäller förmåner enligt socialförsäkringsbalken. Övervägandena finns i av- snitt 9.3. Sjätte strecksatsen i paragrafen har utökats med en hänvisning till en ny paragraf i kapitlet, 23 a §. 17 § Behörighet för åtkomst till socialförsäkringsdatabasen ska inom social- försäkringens administration tilldelas genom en särskild handling i enlig- het med föreskrifter som meddelas av regeringen eller den myndighet som regeringen bestämmer. Behörighet för åtkomst till socialförsäkringsdatabasen och till person- uppgifter hos ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter. Paragrafen reglerar tilldelning av behörighet. Övervägandena finns i avsnitt 9.3. Första stycket är oförändrat. I andra stycket, som reglerar åtkomst- behörighet, har en ny begränsning vad gäller den enskilde tjänste- mannens åtkomst till personuppgifter införts. Ändringen innebär att behörigheten för åtkomst till personuppgifter hos och Pensionsmyndighten ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter. Ändringen är föranledd av att och får medges direktåtkomst till personuppgifter hos i vissa fall, se 18 § utlänningsdatalagen (0000:00). 23 a § får medges direktåtkomst till uppgifter i socialförsäk- ringsdatabasen om uppgifterna behövs vid 1.handläggning av ansökningar om uppehållstillstånd för att bedriva näringsverksamhet enligt 5 kap. utlänningslagen (2005:716), 2.handläggning av ansökningar om arbetstillstånd enligt 6 kap. 2 § första stycket utlänningslagen eller 3. kontroll av arbetstillstånd enligt 6 kap. 2 § första stycket utlännings- lagen. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om om- fattningen av direktåtkomsten samt om behörighet och säkerhet. Paragrafen är ny. Paragrafen har sin bakgrund i behov av uppgifter vid verkets handläggning av ärenden som rör uppe- hållstillstånd för arbete och arbetstillstånd. Övervägandena finns i avsnitt 9.3. I första stycket föreskrivs att får medges direkt- åtkomst till uppgifter i socialförsäkringsdatabasen och under vilka förutsättningar direktåtkomst får förekomma. Uppgifterna ska be- hövas vid handläggning av sådana ärenden som anges i paragrafen. I andra stycket finns en upplysning om att ytterligare bestämmel- ser om omfattningen av direktåtkomsten samt om behörighet och säkerhet meddelas av regeringen. Utredningen föreslår att sekretessbrytande bestämmelser och bestämmelser som preciserar omfattningen av direktåtkomsten och som rör behörighet och säkerhet tas in i förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens admi- nistration. 13.6Förslaget till lag om ändring i polisdatalagen (2010:361) 8 § Personuppgifter som behandlas enligt 7 § får även behandlas när det är nödvändigt för att tillhandahålla information som behövs i 1.brottsbekämpande verksamhet hos , Ekobrottsmyn- digheten, , , och Skatte- verket, 2.brottsbekämpande verksamhet hos utländsk myndighet eller mellan- folklig organisation, 3.sådan verksamhet hos som avser handräcknings- uppdrag, 4.annan verksamhet som ansvarar för, om det finns särskilda skäl att tillhandahålla informationen, 5.verksamhet hos för att förebygga brott och upp- rätthålla säkerheten, 6.verksamhet hos för att verket ska kunna kontrollera fingeravtryck som verket tagit enligt 9 kap. 8 § utlänningslagen (2005:716) mot fingeravtrycksregister som för enligt 4 kap. 11–17 §§ eller a)om det enligt lag eller förordning åligger att bistå myndigheten med viss uppgift eller b)om informationen tillhandahålls inom ramen för myndighetsöverskri- dande samverkan mot brott. Personuppgifter som behandlas enligt 7 § får även behandlas om det är nödvändigt för att tillhandahålla information till och regeringen samt, i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning, till andra. Regeringen meddelar föreskrifter om att personuppgifter som behand- las enligt 7 § och som avser efterlysta personer och avlägsnanden ur landet får behandlas för att tillhandahålla information till vissa särskilt angivna myndigheter och att uppgifter som behandlas i en förundersökning får till- handahållas konkursförvaltare. I ett enskilt fall får personuppgifter som behandlas enligt 7 § även behandlas för att tillhandahålla information för något annat ändamål än de som anges i första−tredje styckena, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in. Paragrafen reglerar de s.k. sekundära ändamålen för behandling av personuppgifter i brottsbekämpande verksamhet. Övervägandena finns i avsnitt 10.3. I första stycket 6 har en ny bestämmelse införts som ger stöd för att får behandla personuppgifter för att tillhanda- hålla information, som fått fram då myndigheten har jämfört fingeravtryck tagna av mot fingeravtrycksregister. Den bestämmelsen som tidigare fanns i första stycket 6 har placerats i första stycket 7. I övrigt har endast redaktionella ändringar gjorts.