sou · H3B373 · 2015-08-03 00:00:00 — I 8 § PUF har regeringen även föreskrivit att känsliga personuppgifter, utöver de undantag som anges i personuppgiftslagen, får behandlas av en myndighet i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. I registerlagstiftningen är känsliga personuppgifter ofta föremål för särskild reglering. I verksamhet enligt utlännings- och medborgar- skapslagstiftningen förekommer känsliga personuppgifter i stor ut- sträckning och omfattar alla de kategorier av uppgifter som anges i 13 § PUL. De undantag som finns i personuppgiftslagen eller dess förordning är dock inte tillräckliga för att täcka all den behandling som utförs av de myndigheter som omfattas av den föreslagna lagen. En reglering av behandlingen av känsliga personuppgifter krävs således i den kommande utlänningsdatalagen. Det finns olika möjliga modeller för en sådan reglering. I vissa registerförfattningar har exempelvis lagstiftaren specificerat vilka känsliga personuppgifter som får behandlas och för vilka ändamål behandling får ske. I vissa senare registerlagar, till exempel polisdata- lagen och kustbevakningsdatalagen, är däremot utgångspunkten att känsliga personuppgifter, liksom övriga personuppgifter, får be- handlas om det behövs för de ändamål som anges i lagen. Det finns dock en särskild bestämmelse som anger att uppgifter om en person inte får behandlas enbart på grund av vad som är känt om per- En ny lag om behandling av personuppgifter… sonens ras eller etniska ursprung, politiska åsikter, religiösa eller filo- sofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Om uppgifter om en person behandlas på annan grund, får de alltså kompletteras med sådana uppgifter som avses ovan när det är absolut nödvändigt för syftet med behandlingen. I polisdatalagen anges också att känsliga personuppgifter får behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till polisen i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. I nuvarande utlänningsdataförordning finns vissa särskilda be- stämmelser som rör behandling av känsliga personuppgifter. Enligt 4 § utlänningsdataförordningen får uppgifter om språk, religion, politisk åskådning, etnisk tillhörighet, hälsotillstånd och sexuell lägg- ning behandlas i verksamhetsregister, om uppgifterna är oundgäng- ligen nödvändiga för myndighetens handläggning av ärenden eller fullgörande av underrättelseskyldighet. Vidare får uppgifter om hälsotillstånd och andra personliga förhållanden behandlas, om upp- gifterna är oundgängligen nödvändiga för tagande i förvar eller verk- ställighet enligt utlänningslagen. I 5 § finns en generell bestämmelse som rör behandling av känsliga personuppgifter i verksamhets- register. Enligt bestämmelsen får sådana uppgifter behandlas endast om uppgifterna är oundgängligen nödvändiga för myndigheternas handläggning av ärenden och fullgörande av underrättelseskyldighet. Av 7 § följer vidare att känsliga personuppgifter inte får användas som sökbegrepp i myndigheternas verksamhetsregister. I Migrations- verkets landinformationsregister får känsliga personuppgifter endast behandlas i löpande text och under förutsättning att uppgifterna är oundgängligen nödvändiga för att fullgöra uppgifter i verksamhet inom utlännings- och medborgarskapslagstiftningen, se 12 § nuva- rande utlänningsdataförordningen. Utredningens förslag: Känsliga personuppgifter som anges i 13 § PUL får, förutom då den registrerade har lämnat sitt samtycke eller offentliggjort uppgifterna, behandlas endast om det är absolut nödvändigt för de ändamål som anges i lagen. En ny lag om behandling av personuppgifter… Känsliga personuppgifter får dock inte behandlas för åter- sökning av rättslig information. Vid återsökning av information rörande förhållanden i andra länder får känsliga personuppgifter behandlas bara i löpande text. Som ovan nämnts medför verksamhet på utlännings- och medborgar- skapslagsområdet behandling av känsliga personuppgifter i stor omfattning och behandlingen omfattar alla de kategorier av upp- gifter som anges i 13 § PUL. Till exempel kräver handläggningen av asylärenden hos behandling av känsliga person- uppgifter, eftersom den asylsökandens hälsotillstånd, etnicitet eller sexuella läggning är uppgifter som kan ha betydelse för en mängd beslut som fattas i asylprocessen. Uppgifterna härrör i sådana fall ofta från vad den sökande själv har uppgett till myndigheten. Ett annat exempel på ärenden som kräver behandling av känsliga person- uppgifter är verkställighetsärenden, där bland annat behandling av uppgifter om den enskildes hälsa kan vara nödvändig. Inte sällan ligger det i den registrerades eget intresse att sådana uppgifter om honom eller henne kan behandlas och beaktas. Myndigheterna måste således kunna behandla känsliga personuppgifter med hjälp av modern informationsteknik. Annat har inte framkommit än att myndigheternas behov av behandling av känsliga personuppgifter i huvudsak tillgodoses genom de undantag från det generella förbudet att behandla känsliga per- sonuppgifter som följer av nuvarande utlänningsdataförordning. Motsvarande undantag bör därför införas i den nya lagen. Behandling av känsliga personuppgifter bör alltså vara tillåten om den registrerade lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna. Det är troligt att samtycke till behandling av känsliga person- uppgifter på utlännings- och medborgarskapsområdet inte kommer att ha någon större praktisk betydelse. Ett giltigt samtycke förut- sätter nämligen en frivillig, särskild och otvetydig viljeyttring genom vilken de registrerade, efter att ha fått information, godtar behand- ling av personuppgifter som rör honom eller henne (3 § PUL). Det är inte heller så naturligt att tala om samtycke i dessa sammanhang. Det skulle därför kunna övervägas att i den nya lagstiftningen inte ge ett samtycke någon rättsverkan. Regler om samtycke till behand- ling av känsliga personuppgifter finns dock i artikel 8.2 punkt a En ny lag om behandling av personuppgifter… Dessa regler innebär att behandling av käns- liga personuppgifter är tillåten om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen. Eftersom ett syfte med data- skyddsdirektivet är att inte hindra det fria flödet av personuppgifter inom unionen, bör enligt utredningen motsvarande regler om sam- tycke gälla i utlänningsdatalagen. Därutöver bör känsliga personuppgifter endast få behandlas för handläggning av ärenden eller en myndighets biträde i sådana ären- den, kontroll av utlänning i samband med inresa och utresa samt kontroll under vistelsen i , utförande av arbetsuppgifter som gäller mottagande och bosättning av asylsökande och andra utlän- ningar, tillsyn, kontroll, uppföljning, planering av verksamheten, framställning av statistik, testverksamhet samt uppgiftsutlämnande i vissa fall, om uppgifterna är absolut nödvändiga för syftet med behandlingen. Känsliga personuppgifter bör även få behandlas av i löpande text för återsökning av information röran- de förhållanden i andra länder, om uppgifterna är absolut nöd- vändiga för att fullgöra arbetsuppgifter i verk- samhet såsom den anges i 2 § i utredningens förslag till kommande utlänningsdatalag. Vad gäller regleringen av i vilka fall som känsliga personupp- gifter får behandlas används i nuvarande utlänningsdataförordning rekvisitet om det är oundgängligen nödvändigt. Utredningen föreslår i stället, som ovan nämnts, att det mer moderna begreppet absolut nödvändigt ska används i den nya lagen. Syftet med rekvisiten är dock det samma, det vill säga att markera att behandlingen av käns- liga personuppgifter bör ske med försiktighet och aldrig slentrian- mässigt. Rekvisiten innebär emellertid inte att känsliga personupp- gifter endast får behandlas i undantagsfall. Som ovan anförs kräver verksamheten på utlännings- och medborgarskapsområdet ofta att känsliga personuppgifter behandlas. Genom rekvisitet markeras dock att behandling ska ske med restriktivitet och att behovet av att behandla den känsliga personuppgiften ska prövas noga i det en- skilda ärendet. En sådan prövning ska inte bara göras när uppgiften samlas in eller behandlas utan även vid senare behandling av redan insamlade uppgifter. Känsliga personuppgifter får alltså inte behandlas för ända- målen tillsyn, kontroll, uppföljning, planering av verksamheten, fram- ställning av statistik eller testverksamhet, se 5 § nuvarande utlän- En ny lag om behandling av personuppgifter… har dock uppgett att det föreligger ett behov av att kunna behandla känsliga personuppgifter även för dessa ändamål för att kunna tillgodose både externa och interna intressen i vissa fall. Som tidigare nämnts är det nödvändigt i verksamheten på utlän- nings- och medborgarskapsområdet att behandla känsliga person- uppgifter i stor omfattning. Ofta är ärendena hos verket av det slag att känsliga personuppgifter måste behandlas för att verksamheten ska fungera, vilket som ovan nämnts även är tillåtet. Verksamhet som syftar till ändamålen tillsyn, kontroll, uppföljning, planering av verksamheten, framställning av statistik eller testverksamhet är starkt integrerad med ärendehantering. Verket ska fort- löpande bevaka effektiviteten och kvaliteten i verksamheten. Detta åtagande förutsätter uppföljning och kontroll av olika slag och då kan känsliga personuppgifter vara relevanta. Migrations- verket har vidare krav på sig att föra statistik över utlänningar i landet i den utsträckning som behövs för verksamheten. Vidare kan utländska organ, exempelvis UNCHR, begära viss statistik som bygger på känsliga personuppgifter (exempelvis rörande verkets hand- läggning av asylärenden som rör HBTQ-personer, dvs. homosexuella, bisexuella, trans- och queerpersoner). Rimligen finns det enligt ut- redningens bedömning ett lika stort behov för att kunna behandla känsliga personuppgifter för tillsyn, kontroll, upp- följning, planering av verksamheten, framställning av statistik eller testverksamhet som för ärendehanteringen. En effektiv hantering av dessa frågor torde därför förutsätta att verket får behandla även känsliga personuppgifter i sådan verksamhet. Behandlingen av känsliga personuppgifter kan dock även i detta fall medföra integritetsrisker. Utredningen anser emellertid att rutiner för dataskydd och säkerhet vid behand- lingen bör kunna utgöra en tillräcklig garanti för att hanteringen av känsliga personuppgifter blir lika god vid aktuella ändamål som vid ärendehanteringen. bör därför enligt utredningen ges rätt att behandla känsliga personuppgifter även för ändamålen tillsyn, kontroll, uppföljning, planering av verksamheten, framställ- ning av statistik eller testverksamhet. Känsliga personuppgifter som behandlas för dessa ändamål bör dock genast gallras när behand- lingen är nödvändig för ändamålet. En föreskrift om detta bör tas in i den nya utlänningsdataförordningen. En ny lag om behandling av personuppgifter… Stora samlingar av information som lagras på ett sätt som gör dem enkelt sökbara på elektronisk väg medför generellt sett en ökad risk för intrång i den personliga integriteten. Ett sätt att stärka integ- ritetsskyddet är att begränsa antalet personer som har tillgång till uppgifterna samt att begränsa deras hantering av uppgifterna. Modern teknik har gjort det möjligt att begränsa en enskild tjänste- mans tillgång till personuppgifter som behandlas automatiserat till en viss information så att denne endast har behörighet till de upp- gifter som han eller hon behöver för att utföra sina arbetsuppgifter. I registerförfattningar av senare datum är det vanligt att det finns en särskild bestämmelse som reglerar tillgången till personuppgifter. Exempel på detta är polisdatalagen och kustbevakningsdatalagen i vilka det finns bestämmelser om att tillgången till personuppgifter ska begränsas till vad varje tjänsteman behöver för att kunna full- göra sina arbetsuppgifter. Myndigheterna som behandlar personuppgifter på utlännings- och medborgarskapsområdet har behörighetssystem som ska reglera de anställdas tillgång till personuppgifter. Behörigheterna kan anpassas till den anställdes behov med hänsyn till tjänstenivå och arbetsuppgifter. har till exempel system för autentisering som innebär att det krävs ett ”smartkort” med en tillhörande pinkod för att få tillgång till interna datasystem. Vidare finns ett system för auktorisering, genom vilket behörigheten till olika datasystem begränsas till vad varje enskild person behöver med hänsyn till hans eller hennes befattning, vilken uppgift han eller hon utför och var i arbetsprocessen han eller hon befinner sig. granskade Datainspektionen hur ett antal stora statliga myndigheter behandlar personuppgifter i sina verksamheter (Datainspektionens åtkomstprojekt). Inom ramen för detta projekt genomförde Datainspektionen en inspektion av personuppgiftsbehandling. Vid inspektionen granskade Datainspektionen i huvudsak rutiner för behörighetsstyr- ning, rutiner för behandlingshistorik (logg) och åtkomstkontroll (logguppföljning) samt omfattningen av anställdas åtkomst till in- skannat material i elektroniska ärendehanteringssystem (ärende dnr En ny lag om behandling av personuppgifter… Härefter har Datainspektionen gjort uppföljningar (ärende dnr 1601-2011, dnr 1332-2012 och dnr 761-2013). Data- inspektionen har förelagt att inkomma med skrift- liga åtgärdsplaner avseende bland annat vilka åtgärder myndigheten avser vidta för att begränsa åtkomsten till skyddade personupp- gifter och skriftliga redogörelser för vilka konkreta åtgärder Migra- tionsverket är berett att vidta för att säkerställa verkningsfulla logg- kontroller m.m. Samtliga ärenden har numera avslutats då Data- inspektionen fått in den redovisning som begärts. Utredningens förslag: Tillgången till personuppgifter ska begrän- sas till vad varje tjänsteman behöver för att fullgöra sina arbets- uppgifter. Regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om tillgången till personuppgifter. I verksamhet enligt utlännings- och medborgarskapslagstiftningen behandlas en stor mängd personuppgifter. Många av dessa är känsliga personuppgifter enligt 13 § PUL eller i övrigt av integritetskänslig karaktär. Det är viktigt att så långt som möjligt motverka att upp- gifterna sprids till någon som inte är behörig att ta del av dem. Enligt utredningens bedömning är det lämpligt att en sådan bestämmelse som beskrivs ovan införs även i den nya utlänningsdatalagen. Det är dock svårt att i detalj förutse och reglera vilken information varje anställd bör få tillgång till i olika sammanhang. Bestämmelsen måste därför bli allmänt formulerad. Det bör i stället vara den enskilda myndighetens ansvar att, med utgångspunkt i den egna myndighetens organisation och behov, se till att tillgången till personuppgifter begränsas i enlighet med den föreslagna bestämmelsen. Regeringen eller den myndighet som regeringen bestämmer bör därför ha möjlig- het att meddela närmare föreskrifter om tillgången till person- uppgifter. , och Säkerhetspolisen bör således få möjlighet att meddela närmare föreskrifter om till- gången till personuppgifter för personer som är verksamma inom respektive myndighet. bör också få meddela sådana föreskrifter för utlandsmyndigheterna när det gäller uppgifter som En ny lag om behandling av personuppgifter… Enligt utredningens förslag till förordning ska vid tilldelning av behörighet för åtkomst till personuppgifter särskilt beaktas att det, utöver behovet av uppgifterna, ställs krav på utbildning och erfarenhet. , , Säkerhetspolisen och utlandsmyndigheterna ansvarar vidare enligt utredningens förslag för att det inom den egna myndigheten finns rutiner för tilldelning, förändring, borttagning och regelbunden upp- följning av behörigheter för åtkomst till personuppgifter. Migrations- verket bör vidare ansvara för utlandsmyndigheternas rutiner för tilldelning, förändring, borttagning och regelbunden uppföljning av behörigheter för åtkomst till personuppgifter vid automatiserad be- handling av personuppgifter. I nuvarande utlänningsdataförordning finns vissa bestämmelser som rör sökbegrepp. Enligt 7 § får känsliga personuppgifter som anges i 13 § PUL inte användas som sökbegrepp i verksamhetsregister. I fråga om register som förs för ändamålet att återsöka information om förhållanden i andra länder (landinformationsregister) får person- uppgifter som direkt pekar ut den registrerade, till exempel namn, inte användas som sökbegrepp, se 13 § utlänningsdataförordning. Vid behandling av personuppgifter är det från ett integritets- perspektiv viktigt i vilken utsträckning uppgifter kan sökas och sam- manställas. Generellt kan sägas att ju större möjligheter det finns att på olika sätt sammanställa uppgifter om enskilda, desto större blir riskerna för intrång i enskildas integritet. Ett förbud mot att använda vissa sökbegrepp kan å andra sidan försvåra en myndighets effektiva arbete. En ny lag om behandling av personuppgifter… Utredningens förslag: Känsliga personuppgifter som anges i 13 § PUL får användas som sökbegrepp vid behandling för ända- målet tillsyn, kontroll, uppföljning, planering av verksamheten, framställning av statistik eller testverksamhet. I övrigt får känsliga personuppgifter inte användas som sökbegrepp. Personuppgifter som direkt pekar ut den registrerade får inte användas som sökbegrepp vid behandling av personuppgifter för återsökning av information rörande förhållanden i andra länder. Personuppgifter om lagöverträdelse m.m. får inte användas som sökbegrepp. Uppgift om beslut om förvar enligt utlänningslagen bör dock få användas som sökbegrepp. Sökningar på känsliga personuppgifter är typiskt sett förknippade med särskilda risker i integritetshänseende. I många registerlagar är det därför förbjudet att använda känsliga personuppgifter som sök- begrepp. Skälet till detta är att det inte helt kan uteslutas att sam- manställningar över känsliga personuppgifter kan komma att miss- brukas med risk för allvarliga intrång i enskildas personliga integritet. Ett annat viktigare skäl till att vissa sökbegrepp ofta är förbjudna att använda har samband med den s.k. begränsnings- regeln i 2 kap. 3 § tredje stycket TF. Den innebär att en potentiell handling inte är förvarad hos myndigheten, och den är därmed inte en allmän handling, om sammanställningen innehåller personupp- gifter och myndigheten inte enligt lag eller förordning har rättslig befogenhet att göra sammanställningen tillgänglig. Syftet med be- gränsningsregeln är att hindra allmänheten från att göra anspråk på att få del av sammanställningar av uppgifter ur upptagningar hos myndigheten som myndigheten själv, av integritetsskäl, är rättslig- en förhindrad att ta fram i sin egen verksamhet. Integritetsskyddet ska alltså upprätthållas även om 2 kap. TF åberopas (se SOU 2010:4 s. 143 och SOU 2012:90 s. 115). Inskränkningar i myndigheternas möjligheter att söka i sina upp- giftssamlingar behövs således för att skydda den enskildes integritet. Men följden av sådana inskränkningar blir också att användbar- heten av myndigheternas uppgiftssamlingar begränsas. Enligt utredningens förslag får känsliga personuppgifter över huvud taget inte behandlas för återsökning av avgöranden, rättsut- En ny lag om behandling av personuppgifter… redningar och annan rättslig information, se avsnitt 7.11.4. Det innebär att känsliga personuppgifter inte heller kan användas som sökbegrepp för detta ändamål. har framhållit att användningen av känsliga personuppgifter som sökbegrepp kan utgöra ett viktigt verktyg för tillsyn, kontroll, uppföljning, planering av verksamheten, framställ- ning av statistik eller testverksamhet. Verket har som exempel pekat på UNCHR:s framställningar om information om verkets hand- läggning av asylärenden som rör HBTQ-personer (se avsnitt 7.11.6). För att tillhandahålla begärd statistik anser sig verket behöva söka på känsliga personuppgifter som rör sexuell läggning av aktuellt slag. Det är enligt verket knappast möjligt att genom sökningar få fram begärd information. Utredningen har förståelse för att det högst avsevärt skulle under- lätta för verket om det var möjligt att söka på känsliga person- uppgifter vid framställning om statistik av berört slag. Det finns enligt utredningen goda skäl för att verket bör ha möjlighet att söka på beskrivna uppgifter för att kunna efterkomma kraven på stati- stik. Det finns också andra liknande situationer då det framstår som lika rimligt att för ändamålet tillsyn, kontroll, upp- följning, planering av verksamheten, framställning av statistik eller testverksamhet bör få behandla känsliga personuppgifter. Verket bör således enligt utredningen ha möjlighet att mäta tendenser som är av betydelse för verksamheten. Det kan till exempel finnas an- ledning att följa upp och planera för flyktingströmmar från en viss etnisk konflikt eller för att kunna bereda verksamheten på att ta emot stora strömmar av asylsökande som är HIV-bärare eller drab- bade av svåra miljökatastrofer. Sammanfattningsvis menar utredningen att känsliga personupp- gifter bör få användas som sökbegrepp när det gäller personuppgifter för ändamålen tillsyn, kontroll, uppföljning och planering, fram- ställning av statistik samt testverksamhet. Med tanke på att person- uppgifterna normalt torde omfattas av sekretess och på att endast ett fåtal anställda är sysselsatta med den verksamhet som det här är fråga om bör detta vara acceptabelt från integritetssynpunkt. Utred- ningen föreslår även att en särskild bestämmelse om gallring ska införas för sådana personuppgifter, se avsnitt 7.11.4. En ny lag om behandling av personuppgifter… får personuppgifter som direkt pekar ut den registrerade inte användas som sökbegrepp vid behandling av personuppgifter för återsökning av information rörande förhållanden i andra länder. Enligt utredningen bör den sökbegränsningen gälla fortfarande. Enligt utredningen bör vidare sökningar inte få göras på andra personuppgifter om lagöverträdelser m.m. som avses i 21 § PUL än uppgifter som avser beslut om förvar enligt utlänningslagen. Förvar är ett frihetsberövande som vidtas inom det egna verksamhetsområ- det. Det är därför naturligt och acceptabelt utifrån integritetssyn- punkt att uppgifter om förvar får sökas och sammanställas av myn- digheter som är inbegripna i verksamheten. 7.14Annat elektroniskt utlämnande än genom direktåtkomst 7.14.1Allmänt om annat elektroniskt utlämnande än genom direktåtkomst Personuppgifter som behandlas hos myndigheter kan lämnas ut på olika sätt, till exempel muntligen, på papper eller i elektronisk form. Alla dessa sätt utgör behandling av personuppgifter enligt person- uppgiftslagens definition. Utlämnande i elektronisk form, dvs. på medium för automatiserad behandling, kan innebära att elektronisk information till exempel överförs via e-post, genom utlämnande av uppgifter på cd-rom, DVD, USB-minne eller genom direkt överföring från ett datorsystem till ett annat via allmänna kommunikationsnät. Begreppet utlämnande på medium för automatiserad behandling har dock i takt med att tekniken utvecklats ibland getts en vidare innebörd (se SOU 2012:90 s. 198). I förarbetsuttalanden har som exempel på sådant utlämnande exempelvis framhållits s.k. batch- körningar, ett automatiskt utlämnande efter sökningar och samman- ställningar där svar lämnas med viss tidsfördröjning (se prop. 2000/01:129 s. 76 och prop. 2007/08:160 s. 60). Begreppet utläm- nande på medium för automatiserad behandling får anses som omodernt och bör därför inte användas, se SOU 2015:39 s. 442. Personuppgiftslagen skiljer inte på elektroniskt utlämnande och utlämnande i annan form och innehåller inga särskilda regler för utlämnande i elektronisk form. Något krav på särskild reglering för utlämnande på medium för automatiserad behandling i författningar En ny lag om behandling av personuppgifter…