prop · H40391 · 2017-02-07 00:00:00 — Det kommer även att krävas vissa utbildningsinsatser, vilka dock inte bedöms vara mer omfattande än att kostnaderna för dessa kan täckas av ordinarie anslag. Denna bedömning gäller även eventuella övriga merkostnader som kan komma att uppstå. Förslagen medför inte några offentligfinansiella effekter. Lagens syfte och tillämpningsområde I paragrafen anges det övergripande syftet med lagen. Bestämmelser med motsvarande innehåll finns i 1 kap. 1 § polisdatalagen (2010:361) och 1 kap. 1 § kustbevakningsdatalagen (2012:145). Övervägandena finns i avsnitt 8.1. I paragrafen anges lagens tillämpningsområde. Övervägandena finns i avsnitt 8.2. I paragrafen anges inledningsvis att lagen gäller vid behandling av personuppgifter. Med personuppgifter avses detsamma som i 3 § person- uppgiftslagen (1998:204), nämligen all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Också ordet behandling har samma innebörd som i den paragrafen. Därmed avses således varje åtgärd eller serie av åtgärder som vidtas i fråga om person- uppgifter, t.ex. insamling, registrering, organisering, lagring, bearbet- ning, användning, spridning eller annat tillhandahållande, sammanställ- ning eller samkörning samt utplåning eller förstöring. För att lagen ska vara tillämplig krävs att behandlingen är helt eller delvis automatiserad eller att personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier (jfr 5 § personuppgiftslagen som innehåller samma rekvisit). Utanför lagens tillämpningsområde faller således helt behandling av person- uppgifter som inte ingår eller är avsedd att ingå i någon sådan samling. Av paragrafen framgår vidare att lagen endast är tillämplig i Tull- verkets brottsbekämpande verksamhet. Med brottsbekämpande verk- samhet avses i detta sammanhang den verksamhet för vilken person- uppgifter får behandlas enligt 2 kap. 5 §. Lagen är därmed inte tillämplig på verksamhet under Effektiv handel. Behandling av upp- gifter i den verksamheten regleras i stället i lagen (2001:185) om behand- ling av uppgifter i verksamhet. Lagen gäller inte heller för rent administrativ verksamhet som t.ex. avser personalfrågor, där i stället personuppgiftslagen är tillämplig. Bestämmelser med motsvarande innehåll finns i 1 § första stycket lagen (2005:787) om behandling av uppgifter i brottsbekäm- pande verksamhet, 1 kap. 2 § polisdatalagen och 1 kap. 2 § första och andra styckena kustbevakningsdatalagen. Paragrafen anger lagens förhållande till vissa andra författningar som innehåller bestämmelser om behandling av personuppgifter. Övervägan- dena finns i avsnitt 8.2. Första stycket innehåller en upplysning om att det i lagen (2000:343) om internationellt polisiärt samarbete och tillhörande föreskrifter finns särskilda bestämmelser om behandling av personuppgifter som följer av internationella överenskommelser om polisiärt samarbete. I andra stycket upplyses om att det i lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen och tillhörande före- skrifter finns särskilda bestämmelser om behandling av personuppgifter som inom ramen för polissamarbete eller straffrättsligt samarbete har överförts från eller gjorts tillgängliga av bl.a. en annan medlemsstat. I tredje stycket klargörs förhållandet mellan författningarna. Avvikande bestämmelser i de angivna föreskrifterna ska tillämpas i stället för bestämmelserna i denna lag. Paragrafen överensstämmer med 1 a § lagen om behandling av upp- gifter i brottsbekämpande verksamhet, 1 kap. 4 och 5 §§ polisdatalagen och 1 kap. 2 § tredje stycket och 2 a § kustbevaknings- datalagen. Lagens tillämpning på juridiska personer Paragrafen innehåller bestämmelser om behandling av uppgifter om juridiska personer. Övervägandena finns i avsnitt 8.2. I förhållande till 2 § utvidgar paragrafen lagens tillämpningsområde genom att den föreskriver att vissa av lagens bestämmelser ska tillämpas vid behandling av uppgifter om juridiska personer. Detta ger ett skydd för uppgifter om juridiska personer som inte har någon motsvarighet i personuppgiftslagen. Med uppgifter om juridiska personer avses all slags information som direkt eller indirekt kan hänföras till en svensk eller utländsk juridisk person. Det gäller även uppgifter om juridiska personer som har upphört. 2016/17:91 Bestämmelser med liknande innehåll finns i 1 § andra stycket och 10 § andra meningen lagen om behandling av uppgifter i brotts- bekämpande verksamhet, 1 kap. 6 § polisdatalagen och 1 kap. 3 § kust- bevakningsdatalagen. Till skillnad från polisdatalagen men i likhet med kustbevakningsdatalagen och lagen om behandling av uppgifter i Tull- verkets brottsbekämpande verksamhet är bestämmelsen om personupp- giftsansvar tillämplig även på juridiska personer. Paragrafen anger hur lagen är uppbyggd. Övervägandena finns i avsnitt 8.2. I 2 kap. finns allmänna bestämmelser och bestämmelser om behandling av personuppgifter, som gäller all behandling av personuppgifter som omfattas av lagen. För personuppgifter som görs eller har gjorts gemen- samt tillgängliga gäller även 3 kap. Vad som avses med ”gemensamt tillgängliga uppgifter” berörs i kommentaren till 3 kap. 1 §. I 4 kap. har bestämmelser om bevarande och gallring av uppgifter, oavsett hur personuppgifterna har behandlats, samlats. I 1 kap. 7 § polisdatalagen och 1 kap. 5 § kustbevakningsdatalagen finns liknande bestämmelser som anger dessa lagars uppbyggnad. 2 kap. Allmänna bestämmelser Paragrafen reglerar lagens förhållande till personuppgiftslagen. Över- vägandena finns i avsnitt 9.1. Om något annat inte anges i 2 § gäller tullbrottsdatalagen i stället för personuppgiftslagen. Vid sådan behandling av personuppgifter som om- fattas av lagen ska alltså bestämmelser i personuppgiftslagen tillämpas endast om det finns en hänvisning till dem i 2 §. Paragrafen överensstämmer med 5 § lagen om behandling av uppgifter i brottsbekämpande verksamhet, 2 kap. 1 § polisdatalagen och 2 kap. 1 § kustbevakningsdatalagen. Paragrafen anger vilka bestämmelser i personuppgiftslagen som gäller i brottsbekämpande verksamhet. Övervägandena finns i avsnitt 9.2. I första stycket anges vilka bestämmelser i personuppgiftslagen som gäller vid behandling av personuppgifter i tullbrottsdatalagen eller före- skrifter som har meddelats i anslutning till den. Utgångspunkten är att tullbrottsdatalagen gäller i stället för personuppgiftslagen, varför bestäm- melserna i personuppgiftslagen inte ska tillämpas vid sådan behandling av personuppgifter som omfattas av tullbrottsdatalagen eller föreskrifter som meddelats i anslutning till den. Vissa utpekade paragrafer i person- uppgiftslagen gäller dock. Uppräkningen är uttömmande. Enligt första stycket punkten 1 gäller de definitioner som anges i 3 § personuppgiftslagen även vid behandling av personuppgifter som omfattas av tullbrottsdatalagen. Genom hänvisningen i första stycket punkten 2 till 8 § personuppgifts- lagen klargörs att bestämmelserna i tullbrottsdatalagen – eller de bestäm- melser till vilka lagen hänvisar – inte gäller om det skulle inskränka skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter (8 § första stycket personuppgiftslagen). Det innebär t.ex. att inte kan vägra att ta fram och lämna ut uppgifter i enlighet med tryckfrihetsförordningens bestämmelser enbart med hänvis- ning till att utlämnandet inte ryms inom de i 5–7 §§ angivna ändamålen för behandling. I sammanhanget bör dock understrykas att offentlighets- principen inte innebär någon skyldighet att lämna ut uppgifter i elektro- nisk form. Vid bedömningen av om en uppgift kan lämnas ut i elektro- nisk form måste alltså tullbrottsdatalagens regler beaktas. Av hänvisningen till 8 § personuppgiftslagen följer också att tullbrotts- datalagen inte hindrar att arkiverar eller bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet (8 § andra stycket personuppgiftslagen). Bestämmelserna om gallring i tullbrottsdatalagen gäller dock, vilket tydliggörs genom regleringen i andra stycket, framför bestämmelsen i 8 § andra stycket personuppgifts- lagen. Utgallrade uppgifter bör som utgångspunkt inte få bevaras i ett digitalt arkiv och vara elektroniskt åtkomliga för arkivändamål, om inte särskilda föreskrifter meddelas med undantag från den nya lagens gallringsbestämmelser som tillåter ett bevarande. I första stycket punkten 3 hänvisas till 9 § personuppgiftslagen, med undantag för första stycket i och tredje stycket. Hänvisningen innebär t.ex. att den personuppgiftsansvarige (se 3 §) ska se till att uppgifterna behandlas enbart om det är lagligt och att de behandlas på ett korrekt sätt. Den personuppgiftsansvarige ska också se till att de behandlade personuppgifterna är adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler personuppgifter behandlas än de som är nödvändiga med hänsyn till ändamålen för behandlingen. Den person- uppgiftsansvarige ska härutöver se till att de behandlade personupp- gifterna dels är riktiga och, om det är nödvändigt, aktuella, dels att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Kravet på att uppgifterna ska vara riktiga innebär inte något krav på att en uppgift ska rättas enbart för att det senare – när fler fakta kommit fram – visar sig att uppgiften inte är korrekt eller att t.ex. en förhörsperson ändrat sina uppgifter. Hänvis- ningen innebär vidare att den personuppgiftsansvarige ska se till att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. Hänvisningen till 9 § första stycket d personuppgiftslagen innebär att den personuppgiftsansvarige ska se till att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (den s.k. finalitetsprincipen). De primära ändamålen är uttömmande angivna i 5 § medan det framgår av 6 § att det, utöver vad som framgår av första och andra styckena i den paragrafen, är möjligt att lämna ut uppgifter för ett ändamål som inte kan anses oförenligt med det ändamål för vilket uppgifterna samlades in. ska alltså dels se till att personuppgifter inte behandlas för andra primära ändamål än de som anges i lagen, dels att vidarebehandling för andra sekundära ändamål än de i lagen angivna endast förekommer om det är förenligt med finalitetsprincipen. Hänvisningen till 9 § andra stycket personuppgiftslagen innebär att vidarebehandling för historiska, statistiska eller vetenskapliga ändamål inte ska anses oförenlig med finalitetsprincipen. Hänvisningen till 9 § fjärde stycket personuppgiftslagen innebär att personuppgifter som behandlas för sådana ändamål får behandlas för andra ändamål endast i I första stycket punkten 4 hänvisas till 22 § personuppgiftslagen. Bestämmelsen innebär att uppgifter om personnummer eller samord- ningsnummer får behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identi- fiering eller något annat beaktansvärt skäl. Första stycket punkten 5 hänvisar till 23 och 25–27 §§ personuppgifts- Av hänvisningen till 23 § följer att den myndighet som samlar in uppgifter om en enskild person från personen själv självmant ska informera honom eller henne om behandlingen. I 25 § personuppgifts- lagen anges att informationen ska omfatta uppgift om den personupp- giftsansvariges identitet, uppgift om ändamålen med behandlingen och övrig information som personen behöver för att ta till vara sina rättig- heter i samband med behandlingen av uppgifterna. Bestämmelserna om informationsplikt i 23 och 25 §§ personuppgifts- lagen modifieras emellertid av andra bestämmelser. hänvisningen till 27 § personuppgiftslagen gäller informationsplikten inte i den utsträckning det gäller sekretess eller tystnadsplikt för informa- Som framgår av hänvisningen till 26 § personuppgiftslagen är den personuppgiftsansvarige skyldig att på begäran lämna information till en registrerad om huruvida personuppgifter som rör honom eller henne behandlas eller inte. Om uppgifter behandlas, ska upplysning också lämnas om bl.a. ändamålet med behandlingen. tionsskyldighet modifieras genom bestämmelserna i 27 § personuppgifts- Om det gäller sekretess för uppgiften behöver någon information Enligt hänvisningen i första stycket punkten 6 till 28 § personupp- giftslagen gäller också den lagens bestämmelser om rättelse. uppgiftsansvarige är alltså skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med tullbrottsdatalagen – inklusive de bestämmel- ser i personuppgiftslagen till vilka lagen hänvisar – eller föreskrifter som har utfärdats i anslutning till lagen. Rättelse ska dock inte göras enbart därför att uppgifter som framstod som riktiga eller rimliga när de samlades in, t.ex. brottsmisstankar, senare har visat sig vara oriktiga. I första stycket punkten 7 görs en hänvisning till 30 och 31 §§ samt 32 § första stycket personuppgiftslagen. Enligt 30 § första stycket får ett personuppgiftsbiträde (dvs. den som behandlar personuppgifter för den personuppgiftsansvariges räkning) och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning behandla personuppgifter enbart i enlighet med instruktioner från den person- uppgiftsansvarige. Om det i lag eller annan författning finns särskilda bestämmelser om behandlingen av personuppgifter i det allmännas verksamhet gäller dock – enligt 30 § tredje stycket – dessa i stället. Den sistnämnda bestämmelsen syftar särskilt på bestämmelser om tystnads- plikt och sekretess, se propositionen Personuppgiftslag (prop. 1997/98:44 s. 136). Av 31 § framgår bl.a. att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de behandlade personuppgifterna. Enligt 32 § första stycket får tillsyns- myndigheten i enskilda fall besluta om vilka åtgärder som den person- uppgiftsansvarige ska vidta enligt 31 §. Med tillsynsmyndigheten avses här tillsynsmyndigheten enligt personuppgiftslagen, dvs. Datainspek- tionen, se 2 § personuppgiftsförordningen (1998:1191). En hänvisning görs i första stycket punkten 8 till 33–35 §§ person- uppgiftslagen. Enligt 33 § är det förbjudet att överföra personuppgifter till tredjeland om landet inte har en adekvat nivå för skyddet av personuppgifter. Frågan om en skyddsnivå är adekvat ska bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt ska fästas vid uppgifternas art, ändamålet med behand- lingen, hur länge behandlingen ska pågå, ursprungslandet, det slutliga bestämmelselandet och reglerna för behandlingen i tredjeland. I 34 och 35 §§ föreskrivs undantag från förbudet. Enligt 34 § får uppgifter trots förbudet överföras dels om den registrerade har lämnat sitt samtycke till överföringen, dels om överföringen är nödvändig med hänsyn till vissa uppräknade omständigheter. Det är också enligt den paragrafen tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av personuppgifter (dataskyddskonventio- nen). I 35 § föreskrivs att regeringen, och för vissa fall även den myndighet som regeringen bestämmer, får meddela föreskrifter om undantag från förbudet i 33 §. I första stycket punkten 9 görs en hänvisning till 38–40 §§ person- uppgiftslagen, där det framgår vilka närmare uppgifter ett personupp- giftsombud har. Se 4 § angående skyldigheten att utse personuppgifts- ombud. En hänvisning görs också till 41 § personuppgiftslagen. Enligt den paragrafen kan regeringen föreskriva att vissa särskilt känsliga behandlingar ska anmälas till Datainspektionen för förhandskontroll. Hänvisningen i första stycket punkten 10 till 42 § personuppgiftslagen innebär att den personuppgiftsansvarige ska till var och en som begär det skyndsamt och på lämpligt sätt lämna upplysningar om sådana behand- lingar av personuppgifter som inte har anmälts till tillsynsmyndigheten, dvs. Sekretessbelagda uppgifter behöver dock inte lämnas ut. Första stycket punkten 11 hänvisar till 43 och 44 §§, 45 § första stycket och 47 § personuppgiftslagen. Av hänvisningen till 43 § följer att Datainspektionen har rätt att för sin tillsyn på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och dokumentation av behandlingen av personuppgifter och säkerheten vid denna och att få tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. Om inspektionen inte har tillräckligt underlag för att konstatera att behandlingen av personuppgifter är laglig, får den med stöd av hänvisningen till 44 § personuppgiftslagen förbjuda behand- lingen. Om Datainspektionen konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, ska inspektionen genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. Om det inte går att få till stånd rättelse, eller om saken är brådskande, får Datainspektionen förbjuda behandlingen, vilket följer av hänvisningen till 45 § första stycket personuppgiftslagen. Vidare hän- visas till 47 § personuppgiftslagen där Datainspektionen ges rätt att hos förvaltningsrätten ansöka om att personuppgifter som har behandlats på ett olagligt sätt ska utplånas. Av hänvisningen i första stycket punkten 12 till 48 § personuppgifts- lagen följer att den personuppgiftsansvarige ska ersätta den registrerade för sådan skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med tullbrottsdatalagen och de bestämmelser i personuppgiftslagen till vilka lagen hänvisar har orsakat. Första stycket punkten 13 hänvisar till 51 § första stycket, 52 § första stycket och 53 § personuppgiftslagen. Av hänvisningen till 51 § första stycket följer att Datainspektionens beslut får överklagas till allmän förvaltningsdomstol. Som framgår av hänvisningen till 52 § första stycket personuppgiftslagen kan den personuppgiftsansvariga myndig- hetens beslut om information enligt 26 §, om rättelse och om underrättel- se till tredje man enligt 28 § och om upplysningar enligt 42 § person- uppgiftslagen också överklagas till allmän förvaltningsdomstol. Av hänvisningen till 53 § personuppgiftslagen följer att andra beslut inte får överklagas. I andra stycket regleras hur gallringsregler i lagen, och i föreskrifter som har meddelats i anslutning till lagen, förhåller sig till hänvisningen i första stycket 2. Bestämmelsen innebär att tullbrottsdatalagen ges företräde framför bestämmelserna i 8 § andra stycket personuppgifts- lagen. Det tredje stycket innehåller två undantag från informationsskyldig- heten i 23 § personuppgiftslagen. För det första behöver information inte lämnas om uppgifterna samlas in genom bild- eller ljudupptagning. För det andra behöver information enligt 23 § inte lämnas om uppgifterna samlas in i samband med ett larm och det med hänsyn till omstän- digheterna inte finns tid att lämna information. Förbud enligt 44 eller 45 § personuppgiftslagen får normalt förenas med vite. I fjärde stycket föreskrivs dock att förbud som meddelas i samband med tillsyn enligt denna lag inte får förenas med vite. Paragrafen överensstämmer i allt väsentligt med 2 kap. 2 § polisdata- lagen och 2 kap. 2 § kustbevakningsdatalagen. En liknande bestämmelse finns i 6 § lagen om behandling av uppgifter i brottsbekäm- pande verksamhet. Paragrafen innehåller bestämmelser om personuppgiftsansvar. Över- vägandena finns i avsnitt 9.3. I paragrafen anges att är personuppgiftsansvarigt för den behandling av personuppgifter som myndigheten utför. Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av person- uppgifter (3 § personuppgiftslagen). Flera bestämmelser i personupp- giftslagen, till vilka det hänvisas i 2 §, ålägger den personuppgifts- ansvarige särskilda skyldigheter. Så är det t.ex. enligt 9 § första stycket personuppgiftslagen den personuppgiftsansvariges skyldighet att se till att de behandlade personuppgifterna är adekvata och relevanta i för- hållande till ändamålen för behandlingen och att inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen för behand- lingen. Det ankommer också på den personuppgiftsansvarige att se till att information lämnas till den registrerade och att uppgifter gallras i rätt tid. Av 1 kap. 4 § 1 framgår att personuppgiftsansvaret även omfattar behandling av uppgifter om juridiska personer. Huvudregeln är att den myndighet som samlar in och lagrar person- uppgifter är personuppgiftsansvarig för den behandlingen. Om en uppgift lämnas ut till en annan myndighet, genom direktåtkomst eller på annat sätt, blir den mottagande myndigheten personuppgiftsansvarig för den fortsatta behandlingen av uppgiften hos den myndigheten. När uppgifter lämnas ut till olika myndigheter kan alltså personuppgiftsansvaret för en och samma uppgift komma att ligga hos flera myndigheter. Var och en av dessa ansvarar för den egna behandlingen. Motsvarande bestämmelser finns i 2 kap. 4 § polisdatalagen och 2 kap. 4 § kustbevakningsdatalagen. Paragrafen innehåller bestämmelser om personuppgiftsombud. Över- vägandena finns i avsnitt 9.4. I första stycket föreskrivs att ska utse ett eller flera person- uppgiftsombud. Hänvisningen i 2 § första stycket 9 till 38–40 §§ person- uppgiftslagen innebär att personuppgiftslagens bestämmelser om person- uppgiftsombudets uppgifter blir tillämpliga i brottsbekäm- pande verksamhet. Enligt andra stycket ska myndigheten anmäla till tillsynsmyndigheten enligt personuppgiftslagen, dvs. Datainspektionen, när ett personupp- giftsombud utses eller entledigas. Paragrafen överensstämmer med 2 kap. 5 § polisdatalagen och i sak även med 2 kap. 5 § kustbevakningsdatalagen. Paragrafen anger de primära ändamål för vilka personuppgifter får behandlas i brottsbekämpande verksamhet. Övervägandena finns i avsnitt 10.2. Personuppgifter som behandlas med stöd av paragrafen får också behandlas för ett antal ytterligare ändamål. Behandlingen för dessa sekundära ändamål regleras i 6 §. Av 7 § framgår att behandling av personuppgifter dessutom får ske för diarieföring och inom ramen för viss ärendehantering. Vidare får enligt 6 § tredje stycket personuppgifter behandlas för ett annat sekundärt ändamål än de i lagen angivna, om det nya ändamålet inte är oförenligt med det ändamål för vilket uppgifterna Ramarna för sådan vidarebehandling sätts således av den Som framgår av hänvisningen i 2 § första stycket 2 till 8 § personuppgiftslagen får behandling också ske i den mån den är nödvändig för att ska kunna fullgöra sina skyldigheter enligt 2 kap. tryckfrihetsförordningen. Tillsammans avgränsar de nu nämnda bestämmelserna för vilka ändamål behandling av personuppgifter är tillåten i brottsbekämpande verksamhet. En grundläggande förutsättning för att en personuppgift ska vara tillåten att behandla är att den behövs för viss särskild verksamhet hos Med detta avses att det ska finnas ett konkret behov av att genomföra behandlingen och att detta behov svarar mot ändamålet med Som exempel kan nämnas att det i en förundersökning kan vara nödvändigt att sammanställa uppgifter om vilka personer som har befunnit sig på platsen för brottet för att säkerställa att alla presumtiva vittnen har hörts i saken. Likaså måste självfallet många personuppgifter om misstänkta behandlas för att tillgodose åklagarens behov av underlag för sitt ställningstagande i åtalsfrågan. Om ändamålet är att förebygga eller förhindra brott, kan det t.ex. vara nödvändigt att sammanställa