sou · H3B339 · 2015-04-08 00:00:00 — Enligt punkten 1 ska de definitioner som anges i 3 § PuL tilläm- pas även vid behandling av personuppgifter som omfattas av den nya lagen. Genom 3 § PuL definieras bl.a. följande begrepp: behand- ling (av personuppgifter), mottagare, personuppgifter, personupp- giftsansvarig, personuppgiftsbiträde, personuppgiftsombud, den regi- strerade, samtycke, tillsynsmyndighet och tredjeland. Genom hänvisningen i punkten 2 till 8 § PuL klargörs till en början att bestämmelserna i förevarande lag eller föreskrifter som meddelats i anslutning till lagen, liksom de bestämmelser i personuppgiftslagen som lagen hänvisar till, inte ska tillämpas om de skulle inskränka en myndighets skyldighet enligt 2 kap. TF att lämna ut personupp- gifter i allmänna handlingar (8 § första stycket PuL). Det innebär t.ex. att bestämmelserna i personuppgiftslagen och i förevarande lag om under vilka begränsade förutsättningar känsliga personupp- gifter får behandlas inte kan åberopas för att vägra behandla upp- gifterna genom att lämna ut en allmän handling där känsliga person- uppgifter förekommer. Det ska dock observeras att hänvisningen till 8 § första stycket inte innebär någon inskränkt räckvidd av regler om absoluta sökbegränsningar som finns i 12 § eller kan komma att föreskrivas i anslutning till lagen. Sådana omfattas alltså av begräns- ningsregeln i 2 kap. 3 § tredje stycket TF. Av hänvisningen till 8 § andra stycket PuL följer att varken de särskilda bestämmelserna i den förevarande lagen eller bestämmelser i personuppgiftslagen som ska tillämpas på motsvarande sätt hindrar att allmänna hand- lingar som innehåller personuppgifter arkiveras och bevaras eller tas om hand av arkivmyndighet för fortsatt långtidsbevarande i enlighet med arkivlagstiftningens reglering. Vidare framgår att 9 § fjärde stycket PuL inte gäller för en myndighets användning av person- uppgifter i allmänna handlingar. Enligt punkten 3 gäller de grundläggande kraven i 9 § PuL även vid behandling av personuppgifter enligt den nya lagen. De grund- läggande kraven i 9 § PuL behandlas tämligen ingående i av- snitt 9.2.1, 9.2.3 och 9.2.4. Det är den personuppgiftsansvariga myn- digheten som ska se till att personuppgifter behandlas enbart om det är lagligt och att de behandlas på ett korrekt sätt och i enlighet med god sed (9 § första stycket a och b PuL). Hänvisningen inne- bär vidare att den personuppgiftsansvariga myndigheten ansvarar för att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål (9 § första stycket c PuL). Det är vidare den personuppgiftsansvariga myndigheten som – inom ramen för sitt författningsreglerade eller på annat sätt bestämda uppdrag – har att närmare specificera för vilket eller vilka ändamål personupp- gifter behandlas i verksamheten. Alltför vida ändamålsbestämningar är inte tillåtna eftersom de inte lever upp till kravet på att vara sär- skilda. Genom hänvisningen gäller dessutom att personuppgifter inte får behandlas för ett ändamål som är oförenligt med det ändamål för vilket de samlades in (9 § första stycket d PuL). Detta är ett uttryck för den s.k. finalitetsprincipen. Genom bestämmelsen upp- ställs en begränsning i fråga om huruvida uppgifter som redan finns i verksamheten får behandlas för nya ändamål. Behandling i form av utlämnanden till andra myndigheter eller enskilda ska anses förenliga med ursprungliga ändamål så länge utlämnandena som sådana sker i överensstämmelse med lag, t.ex. offentlighets- och sekretesslagen, eller förordning enligt vilken uppgifterna får eller ska lämnas ut. I praktiken innebär detta att tillämpningen av finalitetsprincipen, som den uttrycks i 9 § första stycket d PuL, för myndigheternas del fram- för allt torde handla om att göra bedömningar av om myndighetens önskemål om att själv använda uppgifter i de egna informations- samlingarna för ett nytt ändamål är eller inte är oförenligt med de angivna syften som fanns vid insamlingstidpunkten. Generellt gäller att behandling av personuppgifter för historiska, statistiska eller veten- skapliga ändamål inte ska anses som oförenliga med de ändamål för vilka uppgifterna samlades in (9 § andra stycket PuL). Hänvisningen till 9 § PuL innebär också att myndigheten ska se till att de be- handlade personuppgifterna är adekvata och relevanta i förhållande till ändamålen för behandlingen, att inte fler personuppgifter behand- las än som är nödvändigt med hänsyn till ändamålen för behand- lingen, att de behandlade personuppgifterna är riktiga och, om det är nödvändigt, aktuella (9 § första stycket e–g). Härigenom sätts kvalitativa och kvantitativa gränser för vilka personuppgifter som får behandlas. Är det exempelvis tillräckligt för att en arbetsuppgift ska kunna utföras på ett tillfredsställande sätt att bara använda per- sonuppgifter som indirekt går att härleda till enskilda personer, är det i linje med de grundläggande kraven att så sker. Vidare är den personuppgiftsansvariga myndigheten skyldig att självmant vidta alla rimliga åtgärder för att t.ex. rätta sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med be- handlingen (9 § första stycket h PuL). Sådana åtgärder får dock inte strida mot annan reglering om dokumentationskrav eller liknande eller krav på bevarande av allmänna handlingar. Korrigering på be- gäran av den registrerade regleras i 24 och 25 §§ denna lag. Slutligen innebär hänvisningen att personuppgiftslagens bestämmelser rörande bevarande av uppgifter ska tillämpas på personuppgifter som inte finns i allmänna handlingar. Således gäller som huvudregel beträf- fande sådana personuppgifter att uppgifterna inte får bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen (9 § första stycket i PuL). Personuppgifter får dock bevaras för historiska, statistiska eller vetenskapliga ändamål så länge som behövs för dessa ändamål (9 § tredje stycket PuL). Bevarande av personuppgifter som inte ingår i allmän handling för sådana ändamål torde emellertid innebära att de i och med den användningen får anses omhändertagna för arkivering och därmed kommer att utgöra allmän handling. Genom punkten 4 blir personuppgiftslagens förbud mot behand- ling av känsliga personuppgifter tillämpligt även enligt förevarande lag. Det är också genom hänvisningen till 13 § PuL som det framgår vad som är känsliga personuppgifter. Genom punkten 4 görs vidare flertalet av personuppgiftslagens undantag från förbudet mot be- handling av känsliga personuppgifter tillämpliga vid myndigheters personuppgiftsbehandling enligt denna lag. Det ska emellertid obser- veras att även om ett undantag är tillämpligt, måste behandlingen dessutom vara tillåten enligt 8 § denna lag samt uppfylla de grund- läggande kraven enligt 9 § PuL. Undantaget enligt 15 § PuL avser det förhållandet att den registrerade uttryckligen samtycker till behandlingen eller på ett tydligt sätt offentliggjort uppgiften. Vad avser samtycket ska det, förutom att vara uttryckligt, också upp- fylla kriterierna på samtycke enligt 3 § PuL, dvs. vara en frivillig, särskild och otvetydig viljeyttring som föregåtts av information om behandlingen. Övriga tillämpliga undantag gäller vissa mer specifika verksamheter eller situationer och torde inte få någon omfattande eller generell tillämpning för myndigheterna vid behandling enligt denna lag. I 10 § finns bestämmelser om ytterligare undantag. Punkten 5 hänvisar till 23 och 25 §§ PuL vari regleras den person- uppgiftsansvariga myndighetens skyldighet att självmant lämna in- formation om behandlingen till den registrerade i samband med att uppgifter samlas in från denne. Informationen ska innehålla de upp- gifter som anges i 25 § första stycket PuL. Ett viktigt undantag från informationsskyldigheten följer av 25 § andra stycket samma lag enligt vilket information inte behöver lämnas om sådant som den registrerade redan känner till. Så kan ofta förutsättas vara fallet, t.ex. då en registrerad själv gör en ansökan till en myndighet vilken leder till viss dokumentation m.m. i myndighetens handläggning av ären- det eller då en enskild kontaktar myndigheter via e-post. I andra fall kan det vara mindre troligt att den registrerade redan känner till informationen. Vad som kan antas i olika fall får dock bedömas utifrån vad som förefaller naturligt med tanke på förhållandena i den särskilda verksamheten i fråga m.m. Undantag från informa- tionsplikten gäller vidare vid sekretess som gäller gentemot den registrerade, se 23 § första stycket denna lag. Enligt punkten 6 gäller 26 § PuL om information som på begäran ska ges till den registrerade. Av detta följer att det krävs en egen- händigt undertecknad ansökan av den registrerade och att rätten till information är begränsad till en gång per kalenderår. Även denna skyldighet för myndigheter, och den registrerades rätt i motsvarande mån, är begränsad om sekretess gäller gentemot den registrerade, se kommentaren till 23 § första stycket. Dessutom behöver det inte ges någon information om personuppgifter som finns i s.k. ostruk- turerat material, se kommentaren till 23 § andra stycket. I punkten 7 hänvisas till personuppgiftslagens bestämmelser om överföring till tredjeland, 33–35 §§ PuL. Därmed gäller förbudet enligt 33 § PuL att överföra personuppgifter till tredjeland om landet inte har en adekvat nivå för skyddet av personuppgifter. en skyddsnivå är adekvat ska bedömas med hänsyn till samtliga om- ständigheter som har samband med överföringen. Särskild vikt ska fästas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen ska pågå, ursprungslandet, det slutliga bestämmelse- landet och reglerna för behandlingen i tredjeland. Enligt 34 § PuL får uppgifter trots förbudet överföras dels om den registrerade har lämnat sitt samtycke till överföringen, dels om överföringen är nöd- vändig med hänsyn till vissa uppräknade omständigheter. Det är också enligt den paragrafen tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till dataskyddskonvention. Genom 35 § PuL bemyndigas regeringen, eller i vissa fall den myndighet regeringen bestämmer, att meddela föreskrifter om ytterligare undantag. Sådana undantag finns för när- varande i 12–14 §§ PuF samt i anslutande bilagor. Genom hänvis- ningen till 35 § PuL framgår att dessa föreskrifter, samt i förekom- mande fall även tillsynsmyndighetens föreskrifter, gäller även vid behandling enligt denna lag. Vidare gäller att regeringen, eller efter vidarebemyndigande tillsynsmyndigheten, kan besluta om undantag i enskilda fall, 35 § tredje stycket PuL. Ytterligare undantag från förbudet mot överföring till tredjeland finns i 16 § denna lag. Enligt punkten 8 gäller bestämmelserna i 38 och 40 §§ PuL om personuppgiftsombudets uppgifter. Ett personuppgiftsombud har dock inte motsvarande skyldighet som enligt 39 § PuL att föra en förteckning över den personuppgiftsansvariga myndighetens behand- lingar. Den skyldigheten åvilar enligt denna lag den personuppgifts- ansvariga myndigheten, se 22 §. Det är inte obligatoriskt för myn- digheter att utse personuppgiftsombud. Det finns inget som hindrar att en myndighet utser flera personuppgiftsombud eller att en person är personuppgiftsombud åt flera myndigheter som exempelvis sam- arbetar i ett avgränsat e-förvaltningssystem. Genom hänvisningen i punkten 9 till 48 § PuL regleras den re- gistrerades rätt till skadestånd. Genom att 48 § PuL ska tillämpas på ”motsvarande sätt” klargörs att rätten till skadestånd är vidare än vad som föreskrivs i 48 § PuL. Rätt till skadestånd kan således upp- komma på grund av behandling i strid med både särskilda bestämmel- ser i denna lag och mot bestämmelser i personuppgiftslagen som denna lag hänvisar till. Den registrerades rätt till skadestånd omfattar ersättning för skada eller för kränkning av den personliga integriteten. Med skada kan avses personskada, sakskada eller ren Det krävs dock att den lagstridiga behandlingen orsakat skadan eller kränkningen. Eventuellt skadestånd beräknas utifrån de allmänna bestämmelserna i 5 kap. SkL. Det är den per- sonuppgiftsansvariga myndigheten som har det skadeståndssanktio- nerade ansvaret för att behandling av personuppgifter utförs i enlig- het med lagens krav. Talan om skadestånd måste emellertid riktas mot den juridiska person, dvs. staten, eller kommunen, i vilken den personuppgiftsansvariga myndigheten ingår. Hänvis- ningen innebär att jämkningsregeln i 48 § andra stycket PuL i prin- cip är tillämplig även på myndighetsområdet. Andra stycket i paragrafen innehåller en upplysning om att det i 23 § finns bestämmelser om undantag från informationsskyldig- heten enligt 23, 25 och 26 §§ PuL, se kommentaren till 23 §. 7 § En myndighet är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Personuppgiftsansvaret enligt första stycket omfattar även behand- ling som en myndighet utför genom direktåtkomst till personuppgifter hos en annan myndighet eller enskild. Paragrafen innehåller bestämmelser om personuppgiftsansvar. Frågan behandlas i avsnitt 10.1.4. Bestämmelsen i första stycket kompletterar definitionen i 3 § PuL av begreppet personuppgiftsansvarig, enligt vilken det är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för personuppgiftsbehandlingen som är personuppgifts- ansvarig. Innebörden av personuppgiftsansvaret framgår av lagens övriga bestämmelser och av de bestämmelser i personuppgiftslagen som denna lag hänvisar till. Genom bestämmelsen klargörs att per- sonuppgiftsansvaret ligger hos myndigheten, inte hos den juridiska person som myndigheten är en del av. Vidare anges att en myndig- het är personuppgiftsansvarig för den behandling som myndigheten utför. Med detta menas att en myndighet ansvarar för den person- uppgiftsbehandling som sker inom ramen för myndighetens verk- samhet. Personuppgiftsansvaret knyts därmed till utförandet av urskiljbara personuppgiftsbehandlingar. ansvaret ska förläggas och hur det ska avgränsas får bedömas utifrån de faktiska omständigheterna i det särskilda fallet, där en central fråga är vem som har faktisk möjlighet att påverka om en viss be- handling ska ske och hur den ska gå till. En personuppgiftsansvarig myndighet anses utföra en behandling även om den faktiska hante- ringen av personuppgifter överlämnats till ett personuppgiftsbiträde. Bestämmelsen utesluter inte att en myndighet kan ha ett med andra myndigheter eller enskilda gemensamt personuppgiftsansvar. Genom bestämmelsen i andra stycket förtydligas att personupp- giftsansvaret enligt första stycket även omfattar sådan behandling som en mottagande myndighet utför när den vid direktåtkomst hos en annan myndighet eller enskild utnyttjar en möjlighet att via direktåtkomst genom faktisk överföring behandla en tillgänglig per- sonuppgift, t.ex. genom att göra en sökning för att läsa eller ladda ned uppgiften till det egna informationssystemet. Huvudregeln i första stycket gäller alltså även vid direktåtkomst. Detta innebär bl.a. att det är den utlämnande myndigheten som har personupp- giftsansvaret för den behandling som myndigheten utför genom det initiala utlämnandet av personuppgifterna då direktåtkomsten faktiskt etableras. Däremot ansvarar alltså denna myndighet inte för den behandling som därefter utförs av en mottagande myndighet. När behandling kan tillåtas 8 § Personuppgifter får behandlas om det är nödvändigt för att en myn- dighet ska kunna utföra sin verksamhet. I paragrafen regleras när behandling av personuppgifter är tillåten. Frågan behandlas i avsnitt 9.2.4. I bestämmelsen anges en heltäckande rättslig grund för myndig- heters behandling av personuppgifter. Bestämmelsen motsvarar i sakligt hänseende de rättsliga grunderna för behandling utan den registrerades samtycke enligt 10 § a–f PuL. Enligt bestämmelsen krävs, för att en myndighet alls ska få behandla personuppgifter, dels att det sker i en verksamhet som myndigheten ska eller har befogenhet att bedriva, dels att personuppgiftsbehandlingen är nöd- vändig för att den verksamheten ska kunna bedrivas. Vad myndig- heter ska eller har befogenhet att göra styrs i allt väsentligt genom författningsreglering eller särskilda beslut. Inom den gräns som därvid sätts – dvs. om det är en verksamhet som myndigheten ska eller får bedriva – får myndigheter enligt bestämmelsen behandla personuppgifter oberoende av den registrerades samtycke. Dock krävs att personuppgiftsbehandlingen är nödvändig för verksam- heten. Myndigheten ska alltså inför en planerad behandling, t.ex. i ett utvecklingsprojekt, först ställa sig frågan om behandlingen kommer att ske som en del i en verksamhet som myndigheten ska eller har getts befogenhet att bedriva. Därefter uppkommer frågan om det är nödvändigt att behandla personuppgifter i projektet. Behövs inte personuppgifterna eller kan en arbetsuppgift utföras nästan lika bra eller billigt utan behandling av personuppgifter är nödvändighetskravet inte uppfyllt och behandlingen därmed inte tillåten (jfr SOU 1997:39 s. 359). 9 § Behandling som är tillåten enligt denna lag eller föreskrifter som meddelats med stöd av den får utföras även om den registrerade mot- sätter sig behandlingen. I paragrafen regleras frågan om den enskilde har någon möjlighet att med rättslig verkan motsätta sig behandlingen. Frågan har be- handlats i avsnitt 9.2.4. Enligt paragrafen får en personuppgiftsbehandling, som är tillåten enligt lagen, utföras även om den enskilde motsätter sig den. Bestäm- melsen ska ses mot bakgrund av artikel 14 a dataskyddsdirektivet, som föreskriver att den enskilde åtminstone i vissa fall ska garan- teras en rätt att motsätta sig en personuppgiftsbehandling, om inte annat föreskrivs i nationell lagstiftning. Särskilda kategorier av personuppgifter 10 § Utöver vad som följer av 15, 16, 18 och 19 §§ personuppgifts- lagen (1998:204) får känsliga personuppgifter behandlas om uppgifter- na har lämnats i ett ärende eller är nödvändiga för handläggningen av det eller om uppgifterna behandlas endast i löpande text. I paragrafen anges i vilken utsträckning känsliga personuppgifter får behandlas. Frågan behandlas i avsnitt 9.3.1. Enligt första stycket får känsliga personuppgifter behandlas i viss utsträckning utöver de särskilda undantag från förbudet i 13 § PuL som regleras i 15, 16, 18 och 19 §§ samma lag. Att 13, 15, 16, 18 och 19 §§ PuL tillämpas på motsvarande sätt när personuppgifter behandlas enligt denna lag eller föreskrifter som meddelats med stöd av den framgår av 6 § första stycket 4. Med känsliga personupp- gifter avses således detsamma som enligt 13 § PuL. Utöver de nämnda särskilda undantagen som gäller enligt personuppgiftlagen får känsliga personuppgifter behandlas om uppgifterna har lämnats i ett ärende. Något krav på att det är nödvändigt att behandla upp- giften i ärendet uppställs inte i det fallet. Det är således tillåtet att även på automatiserad väg behandla känsliga personuppgifter som exempelvis en enskild har lämnat i en inlaga i ett ärende, även om uppgiften inte är nödvändig för att myndigheten ska kunna hand- lägga ärendet. Om myndigheten av något annat skäl behöver be- handla en känslig personuppgift, exempelvis för att den själv samlat in uppgiften, krävs emellertid att uppgiften är nödvändig för hand- läggningen av ett ärende. Det är tillåtet att behandla en känslig personuppgift så länge den är nödvändig för handläggningen av ett ärende, oavsett på vilket sätt behandlingen sker. Om den förut- sättningen är uppfylld, ger bestämmelsen således stöd för att exem- pelvis hantera känsliga personuppgifter inom ramen för ett ärende- hanteringssystem. Känsliga personuppgifter kan vidare med stöd av paragrafen be- handlas i verksamhet som inte innebär handläggning av ett ärende om det sker i löpande text. Något krav på nödvändighet uppställs inte, eftersom en myndighet inte heller i en annan verksamhet än handläggning av ärenden kan ha full kontroll över vilka uppgifter som lämnas till myndigheten. För att en viss behandling ska vara tillåten krävs också att behand- lingen sker i enlighet med lagens övriga bestämmelser, exempelvis att de grundläggande kraven i 9 § PuL är uppfyllda (jfr 6 § första stycket 3). 11 § Personnummer eller samordningsnummer får tas in i ett beslut endast om beslutet rör en enskilds identitet eller motsvarande person- liga förhållanden, det är nödvändigt för att beslutet ska kunna verk- ställas eller det krävs med hänsyn till beslutande myndighets behov av identifieringsuppgifter. I paragrafen regleras under vilka förutsättningar personnummer eller samordningsnummer får återges i ett beslut. Frågan behandlas i av- snitt 9.3.3. I paragrafen anges uttömmande för vilka ändamål personnum- mer eller samordningsnummer får tas in i ett beslut. Det kan för det första vara frågan om att beslutet rör frågan om den registrera- des identitet eller motsvarande personliga förhållanden – t.ex. namn eller civilstånd – exempelvis inom ramen för ett folkbokförings- ärende. Något särskilt krav på att det är nödvändigt att personnumret eller samordningsnumret tas in i beslutet uppställs inte i det fallet. Ett personnummer eller samordningsnummer kan också behöva tas in i ett beslut för att beslutet ska kunna verkställas. I det fallet upp- ställs emellertid ett krav på nödvändighet. Det kan exempelvis handla om beslut som rör lagöverträdelser eller tvångsåtgärder av olika slag, beslut som i sig utgör en exekutionstitel mot den registrerade eller att personnumret eller samordningsnumret behöver återges eftersom den registrerades personuppgifter i övrigt är skyddade av sekretess. Det är också tillåtet att ta in ett personnummer eller samordnings- nummer i ett beslut om det krävs med hänsyn till den beslutande myndighetens behov av identifieringsuppgifter. Så kan exempelvis vara fallet om en myndighet har byggt upp sin ärendehantering kring användning av personnummer eller samordningsnummer. Det kan då krävas att en sådan uppgift tas in i beslutet för att myn- digheten ska kunna knyta det till rätt ärende. 12 § Uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening lik- som uppgifter som rör hälsa eller sexualliv får användas som sökbegrepp endast om det är tillåtet enligt föreskrifter som tagits in i bilaga till denna lag eller i annan lag eller förordning. Vad som sägs i första stycket gäller inte vid en sökning i en viss handling eller i ett visst ärende. I paragrafen anges under vilka förutsättningar sökbegrepp får an- vändas som avslöjar känsliga personuppgifter. Frågan behandlas i avsnitt 9.4.2. Enligt första stycket får uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening liksom uppgifter som rör hälsa eller sexualliv användas som sökbegrepp endast om det har tillåtits enligt särskild föreskrift i lag eller förordning. Bestämmelsen är alltså tillämplig på sökbegrepp som avslöjar eller rör känsliga personupp- gifter i den mening som avses i 13 § PuL. Som huvudregel gäller därmed ett förbud för alla myndigheter som behandlar person- uppgifter enligt lagen mot att använda sökbegrepp som avslöjar eller rör sådana uppgifter. Förbudet är av ett sådant absolut slag som innebär att myndigheten som sådan saknar befogenhet att göra en sammanställning. Den s.k. begränsningsregeln i 2 kap. 3 § tredje stycket TF är därmed tillämplig. Det innebär att myndigheten saknar befogenhet att göra en sammanställning som innehåller per- sonuppgifter genom att använda ett sökbegrepp som avslöjar eller rör känsliga personuppgifter både för den egna verksamheten och för att uppfylla en begäran om en sådan sammanställning med stöd av 2 kap. 3 § andra stycket TF. Bestämmelsen är enbart tillämplig på en sökning som sker i syfte att göra en sammanställning som innehåller personuppgifter.