sou · H3B339 · 2015-04-08 00:00:00 — I tredje och fjärde stycket bemyndigas regeringen eller den myndig- het som regeringen bestämmer att meddela dels föreskrifter, dels beslut i enskilda fall om undantag från förbudet i första stycket. Datainspektionen har meddelat föreskrifter som medger enskilda att i vissa fall behandla personuppgifter om lagöverträdelser m.m. (2010:1). Som exempel kan nämnas att behandling är nöd- vändig för att fullgöra en föreskrift på socialtjänstområdet, för att föra anteckningar i fristående skolors elevvårdande verksamhet och för att kontrollera jävssituationer i advokatverksamhet. Enligt artikel 9.1 i Kommissionens förslag till uppgiftsskyddsförord- ning är det förbjudet att behandla personuppgifter om fällande domar i brottmål eller därmed sammanhängande säkerhetsåtgärder. I 9.2 j anges att förbudet i punkt 1 inte ska gälla om behand- lingen utförs antingen under kontroll av en officiell myndighet eller behandlingen är nödvändig för att fullgöra en förpliktelse i lagstift- ning eller bestämmelser som den registeransvarige omfattas av, eller för att genomföra en arbetsuppgift som utförs för viktiga ändamål av allmänt intresse, i den mån som den bemyndigas av unionslag- stiftningen eller en medlemsstats lagstiftning som föreskriver lämp- liga skyddsåtgärder. Ett fullständigt register över brottmålsdomar ska föras endast under kontroll av en myndighet. Av artikel 9.3 följer att kommissionen ska ha befogenhet att anta delegerade rättsakter i syfte att precisera kriterierna, villkoren och de lämpliga skyddsåtgärderna för behandlingen av även denna kategori av uppgifter och de undantag som fastställs i punkt 2. I resolution med ändringsförslag föreslås att förbudet i artikel 9.1 också ska ta sikte på administrativa åtgär- der, domar, brott eller misstänkta brott. Det föreslår också att det i artikel 9.2 anges att alla register över brottmålsdomar ska föras endast under kontroll av en myndighet. Bedömning: Det behövs ingen bestämmelse som generellt tillåter myndigheter att behandla personuppgifter om lagöverträdelser m.m. eftersom detta redan följer av dataskyddsdirektivets och personuppgiftslagens bestämmelser. Det finns inte heller något behov av att, utöver vad som redan följer av de grundläggande kraven i 9 § PuL, generellt begränsa myndigheters möjlighet att behandla denna kategori av personuppgifter. Gällande rätt uppställer inget krav på särskilt författningsstöd för myndigheters behandling av personuppgifter om lagöverträdelser m.m. Dataskyddsdirektivets förbud mot att behandla personuppgifter om lagöverträdelser m.m. och personuppgiftslagens motsvarande bestämmelse i 21 § riktar sig till andra än myndigheter. För myndigheter gäller således enligt direktivet och personupp- giftslagen inga särskilda krav för att de ska få behandla denna kate- gori av personuppgifter. Myndigheter har således möjlighet att be- handla sådana uppgifter under samma förutsättningar som gäller för övriga personuppgifter, dvs. att det är fråga om en tillåten be- handling enligt 9 och 10 §§ PuL. Det är emellertid vanligt att man i registerförfattningar reglerar i vilken utsträckning personuppgifter om lagöverträdelser m.m. får behandlas. Som exempel kan nämnas lagen (2001:181) om behand- ling av uppgifter i beskattningsverksamhet där det i 1 kap. 7 § och 2 kap. 4 § föreskrivs att personuppgifter om lagöver- trädelser m.m. och känsliga personuppgifter får behandlas under samma förutsättningar i beskattningsdatabasen och i annat samman- hang. I förarbetena till dessa bestämmelser nämns inte personupp- gifter om lagöverträdelser särskilt, utan de omtalas som ”känsliga personuppgifter m.m.” (prop. 2000/01:33 s. 100 f.). Motiven för att särreglera dessa kategorier av personuppgifter förefaller alltså vara desamma. En särreglering av känsliga personuppgifter är emellertid nödvändig för att det ska vara tillåtet för t.ex. att behandla den typen av uppgifter, medan detta alltså inte är fallet när det gäller uppgifter om lagöverträdelser m.m. Av förarbetena framgår inte vad särregleringen i fråga om den senare kategorin av uppgifter avses tillföra i förhållande till vad som annars gäller enligt personuppgiftslagen, exempelvis att regleringen skulle syfta till att begränsa den behandling som annars skulle vara tillåten. Det saknas behov av att införa en särskild reglering för myndigheters behandling av personuppgifter om lagöverträdelser m.m. Det finns alltså varken i dataskyddsdirektivet eller i personupp- giftslagen något förbud för myndigheter att behandla personupp- gifter om lagöverträdelser m.m. Det ställs således inget krav på att det införs särskilda regler för att det ska vara tillåtet för myndig- heter att behandla denna kategori av uppgifter. Någon generell be- stämmelse som tillåter myndigheter att behandla personuppgifter om lagöverträdelser m.m. behövs alltså inte. Vi föreslår därför inte någon sådan bestämmelse. Frågan blir därefter om det finns ett generellt behov av att be- gränsa myndigheters möjlighet att behandla denna kategori av personuppgifter i likhet med vad som ibland förekommer i register- författningar. Ett sådant behov skulle kunna föreligga om det finns en särskild anledning att anta att de grundläggande kraven i 9 § PuL inte utgör ett tillräckligt ”skydd” för denna kategori av uppgifter. I likhet med vad som gäller i fråga om känsliga personuppgifter kan uppgifter om lagöverträdelser m.m. komma in till myndigheten genom en inlaga från en person som har ett ärende aktuellt hos myndigheten, oavsett om myndigheten har bett om det eller inte. Det finns således ett generellt behov hos myndigheterna av att kunna behandla även denna kategori av uppgifter inom ramen för sina sedvanliga förvaltningsuppgifter. Till skillnad från vad som gäller i fråga om känsliga personuppgifter torde det däremot vara en relativt begränsad grupp myndigheter som har behov av att för egen del samla in och behandla personuppgifter om lagöverträdel- ser m.m. Om så är fallet, beror det på att myndigheten har fått i uppdrag att bedriva en verksamhet där denna typ av uppgifter behövs. Redan därigenom bör det således vara tydligt vilka myndig- heter som behöver behandla denna typ av uppgifter för att kunna utföra sina uppgifter. För dessa myndigheter bör det således redan vara särskilt uttryckt eller stå klart på annat sätt för vilka konkreta ändamål och på vilket sätt personuppgifter om lagöverträdelser m.m. får behandlas. Myndigheter som inte behöver behandla denna kate- gori av uppgifter för att kunna utföra sina uppgifter torde följakt- ligen inte heller kunna formulera något ändamål som kan motivera en sådan behandling. Enligt vår uppfattning innebär de grundlägg- ande kraven i 9 § således en tillräcklig begränsning för myndig- heters möjlighet att behandla personuppgifter om lagöverträdelser m.m., liksom beträffande övriga personuppgifter. Vi föreslår därför inte att det införs någon generell begränsning i fråga om myndig- heters möjlighet att behandla denna kategori av personuppgifter. Enligt artikel 8.7 ska medlemsstaterna bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Enligt 22 § PuL får uppgifter om personnummer eller samordnings- nummer behandlas utan samtycke bara när det är klart motiverat med hänsyn till a)ändamålen med behandlingen, b)vikten av en säker identifiering, eller c)något annat beaktansvärt skäl. Av förbetena till 22 § PuL framgår att bestämmelserna i princip oförändrade i sak har överförts från den tidigare datalagen (1973:289). Regeringen anförde i sammanhanget att om någon ger sitt sam- tycke är det självklart att personnummer också ska få behandlas (prop. 1997/98:44 s. 77). Vidare påpekades, med anledning av att datalagens bestämmelse om återgivande av personnummer på data- utskrifter inte hade överförts till nya lagen, att redan den överförda huvudregeln innebär att en uppgift om personnummer får behand- las bara när den behandlingen är klart motiverad med hänsyn till något beaktansvärt skäl. Att ha en särskild regel med annat rekvisit – särskilda skäl – om just den behandling som själva återgivandet utgör skulle enligt regeringen bara grumla regleringen. Av 50 § c PuL följer att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om i vilka fall användning av personnummer är tillåten. Bemyndigandet har utnyttjats av regeringen bl.a. på så sätt att det i 12 § tredje stycket PuF föreskrivs att en kommun, ett lands- ting eller ett kommunalförbund aldrig får föra över personnummer eller samordningsnummer till tredjeland. Kommissionens förslag till uppgiftsskyddsförordning innehåller inte någon motsvarande bestämmelse som den i dataskyddsdirektivet. Den uppställer alltså inget krav på medlemsstaterna att bestämma på vilka villkor ett nationellt identifikationsnummer m.m. får behand- las. Våra överväganden och förslag Förslag och bedömning: Bestämmelsen i 22 § PuL bör inte gälla för myndigheter utan 9 § innebär tillräckliga krav för när behandling av personnummer eller samordningsnummer är tillåten. Däremot bör det införas en ny bestämmelse som innebär att denna kategori av uppgifter får tas in i ett beslut endast om be- slutet rör frågan om någons identitet eller motsvarande person- liga förhållanden, det är nödvändigt för att beslutet ska kunna verkställas eller om det krävs med hänsyn till beslutande myndighets behov av identifieringsuppgifter. Regeringen eller den myndighet som regeringen bestämmer bör också i fortsättningen ha möjlighet att meddela bestämmel- ser om i vilka fall behandling av personnummer och samord- ningsnummer är tillåten. Vad innebär gällande rätt i fråga om myndigheters möjlighet att behandla uppgifter om personnummer och samordningsnummer? Det kan konstateras att dataskyddsdirektivet ställer upp ett krav på att medlemsstaterna ska bestämma på vilka villkor som ett natio- nellt identifikationsbegrepp får behandlas. Direktivet föreskriver dock inte hur dessa villkor ska se ut. Det står alltså medlems- staterna fritt att bestämma detta. Enligt 22 § PuL gäller att myndigheter får behandla uppgifter om personnummer och samordningsnummer under samma förut- sättningar som gäller för enskilda. Sådan behandling får utan sam- tycke ske bara när det är klart motiverat med hänsyn till ändamålen med behandlingen (a), vikten av en säker identifiering (b) eller något annat beaktansvärt skäl (c). I registerförfattningar hänvisas ofta till att 22 § PuL gäller även vid en behandling enligt den författningen. Om en registerförfatt- ning innehåller särskilda bestämmelser som tar sikte på behandling av personuppgifter i en databas, ingår ofta personnummer i den uppräkning av personuppgifter som får behandlas i databasen med hänvisning till de ändamål för vilka behandling av personuppgifter får ske. Som exempel på sådan reglering kan nämnas registerför- fattningarna på skatte- respektive socialförsäkringsområdet (1 kap. 3 § andra stycket och 2 kap. 3 § lagen [2001:181] om behandling av uppgifter i beskattningsverksamhet samt 114 kap. 15 § första stycket SFB). Genom särregleringen har det således gjort klart att behandling av personnummer och samordnings- nummer i databasen är klart motiverad om den sker för de ändamål som gäller för behandling av personuppgifter i den aktuella verk- samheten. Bestämmelserna i 22 § PuL om när personnummer får användas har alltså överförts från den tidigare datalagen. Motsvarande bestäm- melser fanns i 7 § andra stycket datalagen. Den paragrafens första stycke föreskrev de allmänna villkoren för att ett personregister skulle få inrättas och hur det skulle föras. I fråga om registrering av personnummer gällde dessutom att registrering fick ske endast när det var klart motiverat med hänsyn till registrets ändamål, vikten av en säker identifiering eller av annat beaktansvärt skäl. Vidare gällde att personnummer fick återges på datautskrifter endast när det fanns särskilda skäl. Denna sista mening överfördes inte till person- uppgiftslagen eftersom den ansågs obehövlig. I förarbetena till 7 § andra stycket datalagen (prop. 1990/91:60 s. 69) anfördes bl.a. följande. Användningen av personnummer i registersammanhang bör alltid prövas från integritetssynpunkt, och onödig användning ska betraktas som integritetsintrång. Registre- ringen ska vara påkallad av något skäl. Det ska vara fråga om ett skäl som objektivt framstår som befogat. Fall då det kan finnas sådana objektiva skäl är bl.a. vissa forskningsregister och andra register där det är särskilt viktigt med en säker identifiering, t.ex. för att tillgodose förutsedda framtida forskningsbehov. Av 7 § andra stycket datalagen framgick att en registrering av personnummer var tillåten om det var klart motiverat antingen med hänsyn till registrets ändamål eller på grund av vikten av en säker identifiering eller av annat beaktansvärt skäl. Om ändamålet med registret i sig inte motiverade att personnummer registrerades kunde alltså en registrering ändå vara tillåten, om den var klart motiverad med hänsyn till vikten av en säker identifiering eller något annat beaktansvärt skäl. Formuleringen i 7 § andra stycket datalagen överfördes till 22 § PuL i princip oförändrad med undantag för att ordet register byttes ut mot ordet behandling. Det innebär att bestämmelsen i person- uppgiftslagen har fått ett betydligt vidare tillämpningsområde än bestämmelsen i datalagen, som bara omfattade användning av per- sonnummer i personregister. Den ska nu tillämpas vid all behand- ling av personnummer och samordningsnummer (/, s. 348). En konsekvens av att bestämmelsen nu riktar sig mot all behandling av sådana uppgifter, och inte bara i personregister, är att vad som sägs i 22 § a PuL även torde innefatta det som föreskrivs i b och c. Att personnummer och samordningsnummer kan få be- handlas om det är klart motiverat med hänsyn till vikten av en säker identifiering eller något annat beaktansvärt skäl har således inte längre någon självständig betydelse, utan får uppfattas som en exemplifiering av vad som kan vara ett godtagbart ändamål. Enligt 9 § första stycket f PuL får inte fler uppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålet, vilket också kan uttryckas som att det ska vara klart motiverat att en uppgift om personnummer behandlas. Vidare sägs i samma stycke c att person- uppgifter bara får samlas in för särskilda, uttryckligt angivna och Berättigade ändamål torde innebära detsamma som beaktansvärda skäl. I 22 § nämns dock uttryckligen att vikten av en säker identifiering är ett beaktansvärt skäl som kan motivera att uppgifter om personnummer eller samordningsnummer får be- handlas. Det utgör alltså en komplettering i förhållande till de krav som annars redan gäller enligt 9 § PuL. Eftersom det är fråga om att använda personuppgifter som ut- gör hjälpmedel för identifikation, kan man fråga sig om inte vikten av en säker identifiering är ett så självklart godtagbart ändamål att det inte behöver nämnas särskilt i lagtexten. Att det nämndes ut- tryckligen i 7 § datalagen hade däremot en särskild betydelse, eftersom det markerade att detta ändamål kunde utgöra ett själv- ständigt och beaktansvärt skäl att registrera personnummer även om ändamålet med registret i sig inte kunde motivera detta. Mot bakgrund av ovanstående kan det alltså sättas ifråga om be- stämmelserna i 22 § PuL egentligen har någon självständig betydelse vid sidan av vad som redan gäller enligt de grundläggande kraven i 9 §. Finns det behov av en särskild bestämmelse på myndighetsområdet? Det kan alltså konstateras att innebörden av 22 § PuL är oklar både vad avser hur de uppräknande fallen i a–c förhåller sig till varandra och i vilken utsträckning bestämmelserna i sak innebär några andra krav än de som redan följer av 9 §. På myndighetsområdet används personnummer och samordnings- nummer i mycket stor utsträckning. Om personuppgifter används i en myndighets verksamhet förekommer i princip alltid också upp- gifter för att fastställa den enskildes identitet, dvs. personnummer eller samordningsnummer. Det är därför inte tillfredsställande att den bestämmelse som ska tillämpas vid användning av denna typ av uppgifter inte är klar till sin innebörd. Enligt vår uppfattning bör 22 § PuL därför inte gälla på myndighetsområdet, utan vilka grund- läggande krav som ska vara uppfyllda för att ett personnummer eller samordningsnummer ska få behandlas bör i stället framgå, lik- som för övriga personuppgifter, av 9 §. Att vikten av en säker identifiering kan utgöra ett berättigat ändamål får i det samman- hanget anses självklart. Vad som däremot kan vara motiverat att införa i en samlad reglering för myndigheternas behandling av personuppgifter är en bestämmelse som syftar till att utgöra ett särskilt skydd vid sprid- ning av personnummer eller samordningsnummer. Det kan konsta- teras att sekretessbestämmelser som syftar till att skydda uppgifter om enskildas personliga eller ekonomiska förhållanden ofta inte gäller för en myndighets eller domstols beslut. Den möjlighet som finns att skydda personnummer eller samordningsnummer inom ramen för den verksamhet som myndigheten bedriver, vilken inne- bär att uppgifter i handlingar från verksamheten kan skyddas med hänsyn till sekretess, finns alltså vanligen inte när det gäller myn- digheters eller domstolars avgöranden. Bestämmelsen i 7 § andra stycket andra meningen datalagen med särskilda regler om återgivande av personnummer i datautskrifter syftade till att utgöra ett särskilt skydd i samband med spridning av personnummer. I förarbetena (prop. 1990/91:60 s. 69) anfördes att särskilda skäl för att tillåta spridning av personnummer på detta sätt kan vara att en viss mottagare behöver uppgifterna för identi- tetskontroll, registersökning eller registrering. Det var enligt före- dragande statsrådet helt klart att mantalsskrivningsbevis, person- bevis och liknande intyg fick innehålla personnummer även i fort- sättningen. Mottagaren använder normalt dessa intyg för sådana ändamål att kravet på särskilda skäl är uppfyllt. Från praxis rörande tillämpningen av 7 § andra stycket andra meningen datalagen kan nämnas regeringens beslut (Dnr Ju 94/1) om att inte fick ange person- nummer på utskrifter från assistansersättningsregistret. Utskrift- erna skulle användas för utbetalning av ersättning. Ett annat exem- pel är regeringens beslut (Dnr Ju 95/2469) om att uni- versitet och högskolor inte fick använda personnummer på tenta- menslistor och liknande utskrifter som ska anslås. En utförlig redo- visning av praxis rörande tillämpning av 7 § andra stycket datalagen finns i /, s. 356 f. I samband med att 22 § PuL infördes bedömdes det inte finnas något behov av att låta bestämmelsen i 7 § andra stycket andra meningen datalagen med särskilda regler om återgivande av person- nummer i datautskrifter få någon motsvarighet i personuppgifts- lagen. Detta innebar enligt regeringen inte någon ändring i sak (prop. 1997/98:44 s. 77). Det kan konstateras att ett personnummer eller samordnings- nummer i sig inte kan anses integritetskränkande. Däremot kan denna kategori av uppgifter användas på ett sätt som innebär risker för den enskildes integritet. tids debatt kring bedrägerier genom s.k. identitetsstöld är ett exempel på detta. En särskild risk i det sammanhanget är när denna typ av uppgifter öppet exponeras och blir föremål för spridning utan att det kan anses motiverat. En behandling av personnummer eller samordningsnummer kan alltså vara klart motiverad med hänsyn till den personuppgiftsansvariges ändamål med att behandla uppgifterna, medan det däremot inte alls är motiverat att uppgifterna sprids utanför verksamheten. De grund- läggande kraven i 9 § PuL, liksom de nuvarande bestämmelserna i 22 §, innebär visserligen att personnummer eller samordnings- nummer inte får behandlas genom att återges i ett beslut och där- igenom öppet exponeras och spridas, om det inte är nödvändigt med hänsyn till ändamålet med att göra uppgifterna i beslutet offentliga. Denna typ av uppgifter återges emellertid i myn- digheters och domstolars beslut i en utsträckning som i varje en- skilt fall knappast kan anses vara motiverad. Enligt vår uppfattning finns det därför skäl för att införa en bestämmelse som särskilt skyddar personnummer eller samordningsnummer i samband med upprättandet av beslut. Bestämmelsen bör inte utformas så att den hindrar spridning av avgöranden på grund av att de innehåller uppgifter om personnummer eller samordningsnummer. I stället bör skyddet för en onödig spridning åstadkommas genom en reg- lering som innebär en begränsning i myndigheternas möjlighet att återge personnummer eller samordningsnummer i sina avgöranden i förhållande till de grundläggande kraven i 9 § PuL, dvs. det ska gälla särskilda restriktioner även om behandlingen som sådan är tillåten. En sådan bestämmelse knyter an till den bestämmelse som tidigare fanns i 7 § andra stycket andra meningen datalagen. Där- med åstadkommer man, i likhet med syftet med den bestämmelsen, ett särskilt skydd i samband med öppen exponering av person- nummer och samordningsnummer genom myndigheters och dom- stolars avgöranden. Vi föreslår därför att det införs en bestämmelse som innebär att det i myndigheters avgöranden får tas in personnummer eller samordningsnummer endast när det är nödvändigt med hänsyn till vissa skäl som uttryckligen framgår av bestämmelsen. bestämmelse förhindrar därigenom ett slentrianmässigt eller inte till- räckligt övervägt återgivande av sådana uppgifter. måste bestämmelsen fånga upp de skäl som kan anses motivera att denna typ av uppgifter tas in i myndighetens avgörande i en viss fråga. Den fråga som har avgjorts genom myndighetens eller dom- stolens beslut kan vara av sådant slag att det är av särskild vikt att partens identitet så långt det är möjligt klargörs i avgörandet. Så kan självklart vara fallet när avgörandet i vidare mening rör frågor om parts identitet eller status, såsom t.ex. beslut rörande folkbok- föring eller uppehållstillstånd. Särskilda skäl kan också finnas när det i avgörandet behandlas frågor om lagöverträdelser eller tvångsåtgärder av olika slag, då det inte får uppstå någon risk för förväxling av vilken person som berörs av avgörandet i fråga. Detsamma kan sägas om ett avgörande som i sig utgör en exeku- tionstitel (jfr 3 kap. 1 § utsökningsbalken) eller som t.ex. utgör ett individuellt tillstånd till något. Det förekommer vidare att det i en myndighets eller domstols avgörande anges personnummer, men inte övriga uppgifter som återger personens namn och adress. Det är då fråga om en person som har skyddade personuppgifter enligt 22 kap. 1 § OSL, s.k. folkbokföringssekretess. I de nu nämna fallen är det således frågan om situationer då personnummer eller sam- ordningsnummer behöver återges för att beslutet ska kunna verk- ställas. Det finns också myndigheter vars verksamhet är uppbyggd kring användning av personnummer och där t.ex. domstolsavgöran- den därför måste innehålla personnummer för att kunna knytas till rätt ärende. I sådana fall handlar det alltså om att det är nödvändigt att återge denna typ av uppgifter i beslutet för ett behov som är hänförligt till den beslutande myndigheten. Även i sådana fall kan det finnas tillräckliga skäl för att personnummer eller samordnings- nummer kan tas in i beslutet. Däremot torde det inte kunna hävdas att tredje man kan ha ett sådant behov av att känna till en parts personnummer eller samord- ningsnummer, utöver de situationer då sådana uppgifter behövs för att kunna verkställa beslutet, att det särskilt kan motivera att så- dana uppgifter återges i ett myndighetsbeslut. Vi föreslår därför att personnummer eller samordningsnummer får återges i en myndighets beslut endast om beslutet i vidare mening rör frågan om någons identitet eller det är nödvändigt för att beslutet ska kunna verkställas eller om det krävs med hänsyn till den beslutande myndighetens behov av identifieringsuppgifter.