prop · H40391 · 2017-02-07 00:00:00 — Den registrerade får därmed antas känna till vem den person- uppgiftsansvarige är och ändamålen med behandlingen. Även om undantaget i 25 § andra stycket personuppgiftslagen således vanligtvis är tillämpligt, bör det i en lagregel klart framgå att information aldrig ska behöva lämnas vid larm om det med hänsyn till omstän- digheterna inte finns tid att lämna informationen. I likhet med vad som gäller enligt polisdatalagen och kustbevaknings- datalagen bör det därför enligt regeringens mening finnas ett uttryckligt undantag från informationsskyldigheten enligt 23 § personuppgiftslagen när personuppgifter samlas in i samband med larm och det med hänsyn till omständigheterna inte finns tid att lämna informationen. Bedöm- ningen av om det finns tid att lämna information bör göras från fall till fall. Rättelse, 28 § I 28 § personuppgiftslagen anges att den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte behandlats i enlighet med personupp- giftslagens bestämmelser. När en personuppgiftsansvarig rättar en personuppgift, ska underrättelse lämnas till tredje man som har fått del av uppgiften, om den registrerade begär det eller om mer betydande skada eller olägenhet därigenom kan undvikas. Sådan underrättelse behöver dock inte lämnas om det visar sig vara omöjligt eller om det skulle inne- bära en oproportionerligt stor arbetsinsats. Det finns hänvisningar till 28 § personuppgiftslagen i den nuvarande tullbrottsdatalagen, polisdata- lagen och kustbevakningsdatalagen. Det är viktigt att personuppgifter som behandlas felaktigt hos en myndighet rättas. Bedömningen av om en uppgift har behandlats på ett felaktigt sätt måste göras mot bakgrund av de bestämmelser som gäller för behandlingen, oavsett om det är grundläggande regler i person- uppgiftslagen eller specialbestämmelser som gäller för brottsbekämpande verksamhet. Mot bakgrund av det angivna bör bestäm- melserna i 28 § personuppgiftslagen, liksom , gälla vid behandling av personuppgifter i brottsbekämpande verksamhet. I den nya lagen bör det därför tas in en hänvisning till 28 § personuppgifts- lagen. Säkerheten vid behandling, 30–32 §§ I 30–32 §§ personuppgiftslagen finns det regler om hur den person- uppgiftsansvarige ska organisera arbetet med behandling av person- uppgifter för att garantera säkerheten. Det rör sig om instruktioner till personalen samt tekniska och organisatoriska åtgärder. Hänvisningar till dessa bestämmelser finns i den nuvarande tullbrottsdatalagen samt i polisdatalagen och kustbevakningsdatalagen. Regeringen anser att bestämmelserna även fortsättningsvis ska vara tillämpliga i brottsbekämpande verksamhet, vilket innebär att det måste finnas bestämda rutiner för hanteringen av personuppgifter. Det kan t.ex. behövas såväl tekniska lösningar för datorsystemen som olika behörig- hetsnivåer för skilda personalkategorier, för att garantera att regleringen i den föreslagna lagen kan efterlevas. Med hänsyn till att tillsynsmyndigheten inte bör ha möjlighet att förena förbud med vite (se nedan under rubriken ) bör någon hänvisning till 32 § andra stycket person- uppgiftslagen inte göras i den nya lagen. Överföring av personuppgifter till tredjeland, 33–35 §§ Personuppgifter som är under behandling får enligt 33 § personupp- giftslagen inte föras över till tredjeland, dvs. en stat som inte ingår i EU eller är ansluten till Europeiska ekonomiska samarbetsområdet (defini- 2016/17:91 tionen anges i 3 § personuppgiftslagen), om inte det mottagande landet har en adekvat nivå för skyddet av personuppgifter. Från förbudet finns vissa undantag i 34 §, bl.a. för överföring till länder som har anslutit sig till dataskyddskonventionen. Enligt 35 § har regeringen också möjlighet att föreskriva ytterligare undantag från förbudet, bl.a. om det behövs med hänsyn till ett viktigt allmänt intresse. För att kunna uppfylla åtaganden enligt olika internationella överenskommelser om utbyte av uppgifter måste det vara möjligt att i brottsbekämpande verksamhet lämna ut uppgifter utanför EU. I 3 § förordningen (2000:1222) om internationellt tullsamarbete finns det en bestämmelse om undantag från 33 § personuppgiftslagen: eller annan behörig myndighet får utan hinder av 33 § personuppgiftslagen överföra personuppgifter till tredjeland, om det behövs för att uppfylla skyldigheter som följer av sådana internationella överenskommelser som avses i lagen (2000:1219) om internationellt tullsamarbete. Den nuvarande tullbrottsdatalagen innehåller inte någon hänvisning till 33–35 §§ personuppgiftslagen. Med hänsyn till att bestämmelserna om överföring av uppgifter till tredjeland finns i lagstiftningen om interna- tionellt tullsamarbete, fanns det enligt regeringens mening inte skäl att också i den nuvarande tullbrottsdatalagen ta in sådana bestämmelser genom hänvisning till personuppgiftslagen (prop. 2004/05:164 s. 52 f.). I polisdatalagen och kustbevakningsdatalagen finns det däremot hänvis- ningar till 33–35 §§ personuppgiftslagen. Det förhållandet att det i annan tillämplig lagstiftning finns bestäm- melser som, i enlighet med 35 § personuppgiftslagen, gör undantag för förbudet mot överföring i 33 § personuppgiftslagen innebär enligt regeringens mening inte att det saknas skäl att i den nya lagen hänvisa till 33–35 §§ personuppgiftslagen. Det finns inte skäl för att avvika från det bättre skydd mot överföring av personuppgifter till länder med under- måligt integritetsskydd som gäller enligt polisdatalagen och kustbevak- ningsdatalagen. Det finns även uppgiftsutlämnande som sker med stöd av andra författningar än lagen om internationellt tullsamarbete. Regeringen föreslår därför att det i den nya lagen tas in en hänvisning till 33–35 §§ personuppgiftslagen. Upplysningar till allmänheten, personuppgiftsombudets uppgifter m.m., 38–42 §§ Automatiserade behandlingar av personuppgifter ska enligt 36 § första stycket personuppgiftslagen anmälas till tillsynsmyndigheten, Data- inspektionen. Anmälan behöver emellertid inte göras om behandlingen regleras genom särskilda föreskrifter i lag eller förordning, 3 § person- uppgiftsförordningen (1998:1191). Skyldighet att i detta sammanhang anmäla de behandlingar som utförs med stöd av den nya lagen finns således inte. Någon hänvisning till 36 § första stycket personuppgifts- lagen behövs därför inte. Det motsvarar vad som gäller enligt den nuvarande tullbrottsdatalagen, polisdatalagen och kustbevakningsdata- lagen. Den personuppgiftsansvarige kan utse ett personuppgiftsombud, 36 § andra stycket personuppgiftslagen. Ombudets skyldigheter framgår av 38–40 §§. I personuppgiftsombudets skyldigheter ingår bl.a. att se till att behandlingen av personuppgifter sker på ett lagligt sätt och att hjälpa registrerade att få rättelse. I den nya lagen föreslås en skyldighet för att utse personuppgiftsombud och anmäla detta till tillsyns- myndigheten. En hänvisning till 36 § andra stycket behövs därför inte. Den nya lagen bör dock hänvisa till ombudets skyldigheter i 38–40 §§. Såväl den nuvarande tullbrottsdatalagen som polisdatalagen och kustbevakningsdatalagen innehåller hänvisningar till 38–40 §§ person- uppgiftslagen. Enligt 41 § personuppgiftslagen har regeringen möjlighet att föreskriva att vissa särskilt känsliga behandlingar ska anmälas till Datainspektionen för förhandskontroll. Denna möjlighet bör regeringen även ha i fråga om sådana behandlingar som utförs i brottsbekämpande verk- samhet. Den nya lagen bör därför innehålla en hänvisning till denna paragraf. Enligt 42 § personuppgiftslagen ska den personuppgifts- ansvarige till den som begär det lämna upplysningar om de behandlingar av personuppgifter som inte har anmälts till Datainspektionen. Denna bestämmelse bör vara tillämplig. Bestämmelsen innebär ingen skyldighet att lämna ut sekretesskyddad information (se t.ex. prop. 2009/10:85 s. 89). Såväl den nuvarande tullbrottsdatalagen som polisdatalagen och kustbevakningsdatalagen innehåller hänvisningar till 41 och 42 §§ personuppgiftslagen. befogenheter, 43–45 och 47 §§ För att kunna säkerställa att personuppgifter behandlas på ett korrekt sätt har Datainspektionen vissa befogenheter gentemot personuppgifts- ansvariga. Enligt 43 § personuppgiftslagen har Datainspektionen möjlig- het att på begäran få tillgång till personuppgifter, upplysningar och dokumentation om behandlingen och säkerheten samt tillträde till lokaler. I likhet med vad som gäller enligt nuvarande tullbrottsdatalagen bör denna bestämmelse gälla. I 44 § personuppgiftslagen finns en bestämmelse om rätt för Data- inspektionen att förbjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än genom att lagra dem, för det fall att myndigheten vid en begäran enligt 43 § inte kan få tillräckligt underlag för att konstatera att behandlingen av personuppgifter är laglig. Om Datainspektionen konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, ska myndigheten enligt 45 § första stycket första meningen personuppgiftslagen genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. Går det inte att få rättelse på något annat sätt eller är saken brådskande, får myndigheten enligt första stycket andra meningen vid vite förbjuda den person- uppgiftsansvarige att fortsätta att behandla personuppgifterna på något annat sätt än genom att lagra dem. Enligt nuvarande tullbrottsdatalagen gäller inte 44 § och inte heller 45 § förutom första stycket första meningen. I flera andra författningar om behandling av personuppgifter i brottsbekämpande verksamhet har Datainspektionen dock getts möjlighet att förbjuda behandling av person- uppgifter, t.ex. i polisdatalagen, kustbevakningsdatalagen och lagen (1990:90) om behandling av personuppgifter vid med- 2016/17:91 verkan i brottsutredningar. Det är enligt regeringens mening rimligt att Datainspektionen har i stort sett samma befogenheter vid tillsyn över behandling av personuppgifter i den brottsbekämpande verksamheten som enligt personuppgiftslagen. Regeringen föreslår därför att bestämmelserna i 44 § och 45 § första stycket ska gälla i den nya lagen. Någon möjlighet för Datainspektionen att förena ett beslut om att förbjuda behandling eller ett beslut om säkerhetsåtgärder enligt 32 § med vite har, i likhet med vad som i allmänhet gäller mellan statliga myndig- heter, inte föreskrivits i t.ex. polisdatalagen eller kustbevaknings- datalagen (se prop. 2009/10:85 s. 90 och prop. 2011/12:45 s. 85 och även prop. 2004/05:164 s. 54). En sådan möjlighet bör inte finnas heller vid behandling av personuppgifter enligt denna lag. Det bör anges särskilt i den nya lagen att ett förbud enligt 44 eller 45 § inte får förenas med vite. Enligt 47 § personuppgiftslagen har Datainspektionen rätt att hos allmän förvaltningsdomstol ansöka om att sådana uppgifter som har behandlats på ett olagligt sätt ska utplånas. Denna bestämmelse gäller även enligt nuvarande tullbrottsdatalagen. Bestämmelsen bör gälla även vid behandling enligt den nya lagen. Det sagda innebär sammanfattningsvis att det i den nya lagen bör införas en hänvisning till 43 och 44 §§, 45 § första stycket och 47 § personuppgiftslagen och dessutom en bestämmelse om att förbud enligt 44 eller 45 § inte får förenas med vite. Skadestånd, 48 §, m.m. Enligt 48 § personuppgiftslagen ska den personuppgiftsansvarige ersätta den registrerade för den skada och kränkning av den personliga inte- griteten som en behandling av personuppgifter i strid med den lagen har orsakat. Det finns hänvisningar till 48 § personuppgiftslagen i den nuvarande tullbrottsdatalagen, polisdatalagen och kustbevaknings- datalagen. Det finns ingen anledning att ändra på den gällande ordningen och en hänvisning till 48 § personuppgiftslagen bör därför tas in i den nya lagen. Rätten till skadestånd vid skada och kränkning bör gälla när personuppgifter har behandlats i strid med personuppgiftslagen eller de bestämmelser som finns i den föreslagna lagen. Enligt 49 § personuppgiftslagen gäller straffansvar vid överträdelser av vissa bestämmelser i personuppgiftslagen. Behandlingen av person- uppgifter enligt den nya lagen kommer att utföras av personer som är anställda vid en statlig myndighet och som redan omfattas av bestäm- melserna om tjänstefel m.m. i . Något behov en hänvisning till 49 § personuppgiftslagen ansågs inte finnas vid tillkomsten av vare sig polisdatalagen (prop. 2009/10:85 s. 91) eller kustbevakningsdatalagen (prop. 2011/12:45 s. 87) och inte heller vid tillkomsten av den nuvarande tullbrottsdatalagen (prop. 2004/05:164 s. 55). Det finns inte skäl att nu göra någon annan bedömning än den som gjorts i tidigare dessa lagstift- ningsärenden. Någon hänvisning till bestämmelsen om straffansvar bör därför inte göras. Överklagande, 51–53 §§ I 51 § första stycket personuppgiftslagen anges att Datainspektionens beslut enligt lagen om annat än föreskrifter får överklagas till allmän Förslaget om att Datainspektionen ska kunna med- dela förbud enligt 44 § och 45 § första stycket personuppgiftslagen innebär att en hänvisning också bör göras till 51 § första stycket. Enligt 51 § andra stycket får Datainspektionen bestämma att dess beslut ska gälla även om det överklagas. gjordes bedömningen att Datainspektionen inte skulle medges någon möjlighet att meddela interimistiska beslut i de aktuella fallen. hetsskäl talade emot en sådan möjlighet (prop. 2009/10:85 s. 91). skäl gör sig gällande för brottsbekämpande verksamhet. Någon hänvisning till 51 § andra stycket personuppgiftslagen bör därför En myndighets beslut om information, rättelse och underrättelse till tredje man om rättelseåtgärder, information om automatiserade beslut och allmänna upplysningar om pågående behandlingar får, enligt 52 § första stycket personuppgiftslagen, överklagas till allmän förvaltnings- Andra beslut enligt personuppgiftslagen får enligt 53 § inte Prövningstillstånd krävs vid överklagande till kammarrätten. I förarbetena till dessa bestämmelser, se propositionen Översyn av personuppgiftslagen (prop. 2005/06:173 s. 53), uttalades att det efter införandet av en bestämmelse om överklagande i personuppgiftslagen inte är nödvändigt att ta in några överklagandebestämmelser i särskilda registerförfattningar, som hänvisar till personuppgiftslagen. med detta bör den nya lagen inte innehålla någon särskild bestämmelse om överklagande utan i stället enbart hänvisa till personuppgiftslagens bestämmelser om överklagande. Förslaget genomförs genom 2 kap. 2 § i den nya lagen. 9.3 ska vara personuppgiftsansvarigt Regeringens förslag: ska vara personuppgiftsansvarigt för den behandling av personuppgifter som myndigheten utför. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över Skälen för regeringens förslag: I den nuvarande tullbrottsdatalagen anges att är personuppgiftsansvarigt för den behandling av personuppgifter som myndigheten utför, om inte annat framgår av särskild lag eller förordning (10 § första meningen). En liknande bestämmelse finns även i kustbevakningsdatalagen (2 kap. 4 §). I polis- datalagen är personuppgiftsansvaret uppdelat beroende på om det är som utför behandling eller om den utförs i polisiär verksamhet vid (2 kap. 4 §). 2016/17:91 Regeringen anser att även fortsättningsvis bör vara person- uppgiftsansvarigt för den behandling av personuppgifter som myndig- heten utför. På det sättet markeras att det finns ett ansvar för att utförd behandling är korrekt. Med personuppgiftsansvaret följer en rad skyldig- heter. Den personuppgiftsansvarige ska bl.a. se till att behandlingen av personuppgifter sker på ett korrekt och säkert sätt, att information lämnas till den registrerade och att personuppgifter gallras i rätt tid. I den nuvarande tullbrottsdatalagen anges i paragrafen som reglerar personuppgiftsansvar också att motsvarande ansvar även gäller för behandling av uppgifter om juridiska personer (10 § andra meningen). I avsnitt 8.2 har regeringen med en annan författningsteknisk lösning föreslagit att bestämmelserna om personuppgiftsansvar ska gälla även för juridiska personer. Därför behöver det inte i nu aktuell bestämmelse anges att ansvaret även gäller för juridiska personer. Förslaget genomförs genom 2 kap. 3 § i den nya lagen. Regeringens förslag: ska utse ett eller flera personupp- Myndigheten ska anmäla till tillsynsmyndigheten enligt personuppgiftslagen när ett personuppgiftsombud utses eller entle- Promemorians förslag: Överensstämmer i sak med regeringens Promemorians förslag är något annorlunda utformat. Remissinstanserna: Kammarrätten i anser att hänvisningen till personuppgiftslagen bör tas bort. I promemorian har, i stället för att hänvisa till 36 § personuppgiftslagen, valts att i den nya lagen särskilt reglera att ska utse ett eller flera personuppgiftsombud och att den personuppgiftsansvarige till tillsynsmyndigheten ska anmäla när ett personuppgiftsombud utses eller entledigas. kommit att utformas som en hänvisning till personuppgiftslagen. Skälen för regeringens förslag: Regleringen i 36 § andra stycket personuppgiftslagen ger den personuppgiftsansvarige valfrihet när det gäller frågan om personuppgiftsombud ska utses. Vid införandet av den nuvarande tullbrottsdatalagen ansågs det att det borde åligga att ta ställning till den frågan (prop. 2004/05:164 s. 53). het att utse personuppgiftsombud finns således inte enligt den nuvarande En sådan skyldighet finns däremot enligt polisdatalagen och kust- Motsvarande skyldighet finns även i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens för- svarsunderrättelseverksamhet och militära säkerhetstjänst och lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet, se propositionen Personuppgiftsbehandling hos Försvarsmakten och Försvarets radio- anstalt (prop. 2006/07:46 s. 98). I brottsbekämpande verksamhet rör behandlingen av personuppgifter i stor utsträckning uppgifter som får anses integritets- vilket gör det särskilt angeläget med den kontroll som kan utövas av ett personuppgiftsombud. Det är också viktigt att enskilda Prop. 2016/17:91 registrerade enkelt kan vända sig till rätt person hos myndigheterna bl.a. i frågor om information om behandlingen och om rättelse av felaktiga uppgifter. Det finns således starka skäl som talar för att det ska finnas personuppgiftsombud. har också självmant valt att utse personuppgiftsombud. Regeringen bedömer det därför vara lämpligt att införa en uttrycklig skyldighet för att i fråga om behandling av personuppgifter i den brottsbekämpande verksamheten utse personuppgiftsombud. I likhet med vad som gäller enligt polisdatalagen och kustbevakningsdatalagen bör det då också särskilt föreskrivas i den nya lagen att myndigheten ska anmäla till tillsynsmyndigheten enligt personuppgiftslagen när ett personuppgiftsombud utses eller entledigas. Bestämmelsen har efter synpunkten från Kammarrätten i getts en något annorlunda utformning. Förslaget genomförs genom 2 kap. 4 § i den nya lagen. 9.5Den interna tillgången till personuppgifter ska begränsas Regeringens förslag: Tillgången till uppgifter ska begränsas till vad varje tjänsteman behöver för att fullgöra sina arbetsuppgifter. Det ska föras in en bestämmelse som upplyser om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare före- skrifter om tillgången till personuppgifter. Promemorians förslag: Överensstämmer i sak med regeringens förslag. Promemorians förslag är något annorlunda utformat och annor- lunda placerat. Remissinstanserna: anger att utifrån integritets- synpunkt är promemorians förslag väl avvägt när det gäller den interna tillgången till personuppgifter. I övrigt yttrar sig ingen remissinstans särskilt över förslaget. Skälen för regeringens förslag: Stora informationsmängder som är samlade så att uppgifter är enkelt sökbara på elektronisk väg utgör allmänt sett en betydande risk för intrång i den personliga integriteten. Risken för integritetsintrång är givetvis särskilt stor om det – såsom ofta är fallet i brottsbekämpande verksamhet – rör sig om känsliga uppgifter. Risken påverkas bl.a. av hur uppgifterna sprids och vem som har rätt att använda dem. Den nuvarande tullbrottsdatalagen innehåller dels en bestämmelse om att åtkomsten till tullbrottsdatabasen ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter (4 §), dels bestäm- melser om att direkt tillgång till uppgifter i vissa ärenden bara får medges de personer som arbetar med det specifika ärendet (12 § andra stycket och 14 § andra stycket). Liknande bestämmelser finns också när det gäller uppgifter avseende internationella åtaganden (15 § andra stycket). I polisdatalagen och kustbevakningsdatalagen finns enbart en reglering som liknar den förstnämnda bestämmelsen, nämligen en generellt utfor- 2016/17:91 mad, åtkomstbegränsande bestämmelse som i princip överlåter till myndigheten att, utifrån respektive myndighets organisation och struktur, säkerställa att åtkomsten till personuppgifter begränsas till vad varje tjänsteman behöver för att fullföra sina arbetsuppgifter (2 kap. 11 § polisdatalagen respektive 2 kap. 3 § kustbevakningsdatalagen). Enligt 30 § personuppgiftslagen får de personer som arbetar under den personuppgiftsansvariges ledning behandla personuppgifter bara i enlig- het med instruktioner från den personuppgiftsansvarige. Den personupp- giftsansvarige måste alltså utarbeta instruktioner för personalens behand- ling av personuppgifter. Enligt 31 § personuppgiftslagen är den person- uppgiftsansvarige vidare skyldig att vidta lämpliga tekniska och organi- satoriska åtgärder för att skydda de personuppgifter som behandlas så att det åstadkoms en säkerhetsnivå som är lämplig med beaktande av vissa i paragrafen angivna faktorer. Dessa bestämmelser i personuppgiftslagen ska enligt regeringens förslag gälla vid behandling av personuppgifter enligt den nya lagen (se avsnitt 9.2). Den nya lagen bör bygga på principen att enbart de personer som behöver uppgifterna för att fullgöra sitt arbete ska ha tillgång till dem. En bestämmelse med denna innebörd bör enligt regeringens mening, i stor likhet med vad som gäller enligt nuvarande tullbrottsdatalag, tas in i den nya lagen. Bestämmelsen omfattar både direkt tillgång till automatise- rade uppgiftssamlingar och tillgång i allmänhet. ska således organisera sin verksamhet och ordna sitt arbetssätt på ett sådant sätt att obefogad intern spridning av personuppgifter motverkas. Bestämmelsen får också till följd att enskilda tjänstemän blir förhindrade att ge den som inte behöver vissa personuppgifter för sitt arbete tillgång till uppgifterna. Den föreslagna bestämmelsen om tillgång till personuppgifter innebär en generell begränsning av åtkomsten till uppgifter för att förhindra att tjänstemän får tillgång till mer information än vad de behöver för att kunna fullgöra sina arbetsuppgifter. Därefter är det uppgift att, utifrån myndighetens organisation och arbetssätt, säkerställa att åtkomsten till personuppgifter begränsas i enlighet med bestämmelsen. För att kunna säkerställa detta kan det finnas behov av närmare före- skrifter på området. Det bör därför föras in en bestämmelse i den nya lagen som upplyser om att regeringen eller den myndighet som rege- ringen bestämmer kan meddela närmare föreskrifter om tillgången till personuppgifter. Det görs därvid en uttrycklig hänvisning till 8 kap. 7 § regeringsformen. Förslaget genomförs genom 2 kap. 11 § i den nya lagen. Tillåtna ändamål för behandlingen Regeringens bedömning: I lagen bör det anges för vilka ändamål behandling av personuppgifter får förekomma i brotts- Ändamålen bör delas in i primära och sekun- De primära ändamålen bör avse behandling av personuppgifter för att tillgodose de behov som finns inom brottsbekämpande verk- samhet.