prop · H40389 · 2017-02-07 00:00:00 — Enligt polisdatalagen och kustbevakningsdatalagen gäller vissa bestämmelser om tillgången till personuppgifter, ändamålen för behandlingen, gemensamt tillgängliga personuppgifter och bevarande och gallring även vid behandling av uppgifter om juridiska personer. Även i den nu föreslagna lagen bör motsvarande bestämmelser tillämpas på uppgifter om juridiska personer. I likhet med vad som gäller enligt kustbevakningsdatalagen anser regeringen vidare att bestämmelserna om personuppgiftsansvar ska omfatta även uppgifter om juridiska personer. anser att innebörden av personuppgiftsansvaret vid behandling av uppgifter om juridiska personer måste förklaras i det fortsatta lagstiftningsarbetet. Ansvaret innebär motsvarande skyldigheter som personuppgiftsansvaret i fråga om de krav som lagen ställer på behandling av uppgifter om juridiska personer. Dit hör att uppgifterna endast får behandlas för tillåtna ändamål och ska gallras i rätt tid. Däremot bör bestämmelserna om enskildas rättigheter inte vara tillämpliga, vilket innebär att ansvar gentemot juridiska personer inte omfattar exempelvis skyldighet att lämna information enligt personupp- 2016/17:89 giftslagen. Reglerna om skadestånd och rättelse bör inte heller tillämpas på juridiska personer, eftersom dessa regler syftar till att ge ersättning för respektive minimera den personliga kränkning som en felaktig personuppgiftsbehandling kan innebära. Bestämmelserna om sökbegränsningar i polisdatalagen och kustbevakningsdatalagen gäller inte vid sökning på uppgifter om juridiska personer. Vid utredning och kartläggning av brott är sökning på firma eller organisationsnummer för att hitta samband och kopplingar mellan olika personer en viktig del i det brottsbekämpande arbetet. Det finns därför ett tydligt behov av att kunna söka på uppgifter om juridiska personer. Behovet av integritetsskydd är inte lika stort för juridiska personer som för fysiska personer. Till detta kommer att uppgifter om juridiska personer i stor utsträckning redan förekommer i offentliga register, bl.a. hos . är det även möjligt att få tillgång till sådana uppgifter via internet. Bestämmelserna i den nya lagen om sökning (se avsnitt 9.14.4) bör därför inte tillämpas i fråga om juridiska personer. Undantag från lagens tillämpningsområde I lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen med tillhörande föreskrifter finns bestämmelser som begränsar möjligheterna att behandla uppgifter som inom ramen för polissamarbete eller straffrättsligt samarbete har överförts från eller gjorts tillgängliga av en EU-medlemsstat, , , , , ett EU-organ eller ett EU-informationssystem. Lagen gäller för behandling av personuppgifter i verksamhet som har till syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller verkställa straffrättsliga påföljder. Den är således tillämplig när behandlar de aktuella uppgifterna i sin brottsbekämpande verksamhet. I lagen regleras bl.a. för vilka ändamål uppgifterna får behandlas och vad som gäller för den fortsatta behandlingen. I lagen om behandling av personuppgifter vid medverkan i brottsutredningar finns en bestämmelse om att avvikande bestämmelser i de aktuella författningarna gäller i stället för bestämmelserna i lagen. Regeringen anser att en motsvarande bestämmelse bör införas även i den föreslagna lagen. En bestämmelse om lagens innehåll I kapitlet om lagens tillämpningsområde anser regeringen att det ska finnas en bestämmelse som upplyser om lagens innehåll. Förslagen genomförs genom 1 kap. 2–5 §§ i den nya lagen. 9.6Den nya lagen och personuppgiftslagen 9.6.1Den nya lagen ska gälla i stället för personuppgiftslagen Regeringens förslag: Den nya lagen ska gälla i stället för personuppgiftslagen. I lagen ska det hänvisas till de bestämmelser i personuppgiftslagen som ska gälla vid behandling av personuppgifter i brottsbekämpande verksamhet. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över Skälen för regeringens förslag: Personuppgiftslagen är, som nämnts i avsnitt 5.3, generellt tillämplig och bygger på EU:s dataskyddsdirektiv, och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 23.11.1995, s. 31, Celex 31995L0046), kallat dataskyddsdirektivet. Eftersom direktivet bl.a. inte omfattar behandling av personuppgifter som utförs på området för statens brottsbekämpande verksamhet, finns det ur EU-rättslig synvinkel i och för sig inte något som hindrar att den nya lagen utformas på annat sätt än vad som anges i dataskyddsdirektivet. I sammanhanget kan dock påpekas att direktivet i huvudsak bygger på och vidareutvecklar de bestämmelser som finns i dataskyddskonventionen. Konventionen gäller även i statens brottsbekämpande verksamhet. är folkrättsligt bundet av konventionen med dess tilläggsprotokoll. Vidare bör beaktas att dataskyddsrambeslutet, Rådets rambeslut /977/RIF av om skydd för personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete, som genomförts i svensk rätt, se avsnitt 5.2, i stora delar liknar dataskyddsdirektivet. Rambeslutet har ersatts av ett direktiv och dataskyddsdirektivet av en förordning, som båda ska börja tillämpas , se avsnitt 5.2. Systematiska skäl talar för att den nya regleringen bör ansluta till personuppgiftslagen. Motsvarande lösning har valts i polisdatalagen och kustbevakningsdatalagen (prop. 2009/10:85 s. 79 f. och prop. 2011/12:45 s. 75 f.). Regeringen anser därför att personuppgiftslagens bestämmelser i väsentliga delar ska gälla även i brottsbekämpande verksamhet. I denna verksamhet finns emellertid särskilda behov av att kunna behandla personuppgifter automatiserat och verksamhetens särdrag gör dessutom att personuppgiftslagens bestämmelser inte alltid är ändamålsenliga. I vissa delar bör det därför införas bestämmelser som avviker från den lagen. 2016/17:89 I polisdatalagen, kustbevakningsdatalagen, åklagardatalagen och domstolsdatalagen (2015:728) har valts en lösning som innebär att dessa lagar gäller i stället för personuppgiftslagen. Dessa författningar är konstruerade på så sätt att lagen innehåller en hänvisning till de lagrum i personuppgiftslagen som är tillämpliga. Utvecklingen går mot ökat samarbete mellan de brottsbekämpande myndigheterna. Det ligger därför ett värde i att så långt möjligt använda samma lagstiftningsteknik för all behandling av personuppgifter inom den brottsbekämpande verksamheten, oavsett myndighet. Den nya skattebrottsdatalagen bör, mot bakgrund av det sagda, gälla i stället för personuppgiftslagen och innehålla tydliga hänvisningar till tillämpliga lagrum i den lagen. Förslaget genomförs genom 2 kap. 1 § i den nya lagen. 9.6.2De bestämmelser i personuppgiftslagen som ska gälla Regeringens förslag: Följande bestämmelser i personuppgiftslagen ska gälla när personuppgifter behandlas enligt den nya lagen eller enligt föreskrifter som har meddelats i anslutning till lagen: 1.3 § om definitioner, 2.8 § om förhållandet till offentlighetsprincipen, 3.9 § om grundläggande krav på behandling av personuppgifter, dock med undantag för första stycket i och tredje stycket, 4.22 § om behandling av personnummer och samordningsnummer, 5.23 och 25–27 §§ om information till den registrerade, 6.28 § om rättelse, 7.30 och 31 §§ samt 32 § första stycket om säkerheten vid behandling, 8.33–35 §§ om överföring av personuppgifter till tredjeland, 9.38–41 §§ om personuppgiftsombud m.m., 10.42 § om upplysningar till allmänheten om vissa behandlingar, 11.43 och 44 §§, 45 § första stycket och 47 § om tillsynsmyndighetens befogenheter, 12.48 § om skadestånd, och 13.51 § första stycket, 52 § första stycket och 53 § om överklagande. Om personuppgifter ska gallras enligt den nya lagen eller enligt föreskrifter som har meddelats i anslutning till lagen, ska inte 8 § andra stycket personuppgiftslagen gälla. Information enligt 23 § personuppgiftslagen ska inte behöva lämnas vid behandling som består av insamling av personuppgifter genom bilder eller ljud. ska inte kunna förena ett förbud att utföra viss behandling med vite. Promemorians förslag: Överensstämmer i sak med regeringens förslag. Promemorians förslag är något annorlunda utformat. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över förslaget. Skälen för regeringens förslag Nedan redovisas de bestämmelser i personuppgiftslagen som föreslås vara tillämpliga vid behandling av personuppgifter i brottsbekämpande verksamhet. Det är fråga om samma bestämmelser som gäller vid behandling enligt polisdatalagen och kustbevakningsdatalagen. Regeringen ser inga skäl för att i den nya lagen avvika från vad som gäller enligt polisdatalagen och kustbevakningsdatalagen. Definitioner, 3 § I 3 § personuppgiftslagen definieras vissa begrepp som är centrala vid behandling av personuppgifter. Där definieras t.ex. vad personuppgifter är (”all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet”) och vad som utgör behandling av personuppgifter (”varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring”). För att undvika missförstånd är det viktigt att terminologin i den nya lagen överensstämmer med personuppgiftslagens och att de begrepp som används i de båda författningarna har samma innebörd. En hänvisning till 3 § personuppgiftslagen bör därför tas in i den nya lagen. Förhållandet till offentlighetsprincipen, 8 § I 8 § första stycket personuppgiftslagen upplyses om att personuppgiftslagen inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet att lämna ut personuppgifter enligt 2 kap. tryckfrihetsförordningen. I paragrafens andra stycke anges att bestämmelserna inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. I klargörande syfte och i överensstämmelse med bl.a. polisdatalagen bör en hänvisning till bestämmelserna i 8 § personuppgiftslagen tas in i den nya lagen. För att uppnå överensstämmelse med regleringen i polisdatalagen och kustbevakningsdatalagen bör det anges att bestämmelserna i 8 § andra stycket inte gäller när uppgifter ska gallras enligt särskilda bestämmelser i den nya lagen. Grundläggande krav på behandling av personuppgifter, 9 § Några av personuppgiftslagens viktigaste bestämmelser om behandling av personuppgifter finns i 9 §. Där uppställs vissa grundläggande krav på den personuppgiftsansvarige. I första stycket a och b anges att den personuppgiftsansvarige ska se till att personuppgifter endast behandlas om det är lagligt och att personuppgifter alltid ska behandlas på ett korrekt sätt och i enlighet med god sed. Enligt första stycket e–h ska den personuppgiftsansvarige se till att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, att inte fler personuppgifter behandlas än vad som är nödvändigt, att de personuppgifter som behandlas är riktiga och, om nödvändigt, aktuella samt att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen. Det är naturligt att dessa grundläggande krav gäller även vid behandling av personuppgifter i brottsbekämpande verksamhet. Så är också fallet när uppgifter behandlas i verksamheten . Den nya lagen bör därför, i likhet med polisdatalagen och kustbevakningsdatalagen, hänvisa till 9 § första stycket a, b och e–h personuppgiftslagen. I 9 § första stycket c personuppgiftslagen anges att personuppgifter får samlas in bara för särskilda, uttryckligt angivna ändamål. Regeringen anser att en hänvisning bör göras till den punkten, för att tydliggöra att personuppgifter får samlas in endast för preciserade ändamål. I första stycket d anges att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (den s.k. finalitetsprincipen). Den personuppgiftsansvarige bör, på samma sätt som , ha till uppgift att se till att uppgifter inte behandlas för ändamål som är oförenliga med insamlingsändamålet. En hänvisning bör därför göras även till den punkten. Som en följd av det bör också en hänvisning göras till paragrafens andra och fjärde stycken. I 9 § första stycket i och tredje stycket personuppgiftslagen finns det bestämmelser om hur länge personuppgifter får bevaras. Frågan om gallring och bevarande av personuppgifter bör regleras särskilt i den nya lagen, och någon hänvisning till personuppgiftslagens bestämmelser om hur länge personuppgifter får bevaras behövs därför inte. Frågor om bevarande och gallring berörs i avsnitt 9.16. Behandling av personnummer och samordningsnummer, 22 § Personnummer ska inte användas slentrianmässigt. Av 22 § personuppgiftslagen framgår att uppgifter om personnummer och samordningsnummer får behandlas bara när det är motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Det innebär att den personuppgiftsansvarige ska göra en intresseavvägning mellan behov som finns för att hantera ärendet och den enskildes integritet. Den nya lagen bör hänvisa till paragrafen. Information till den registrerade, 23 och 25–27 §§ Personuppgiftslagens bestämmelser om sådan information som ska lämnas självmant till den registrerade och om information som ska lämnas efter ansökan av den registrerade (23 och 25–27 §§) tillämpas enligt gällande reglering vid behandling av personuppgifter i brottsbekämpande verksamhet. Av 23 § personuppgiftslagen framgår att den personuppgiftsansvarige självmant ska informera en enskild om behandling av uppgifter som samlas in från den enskilde själv. Den information som ska lämnas är enligt 25 § uppgift om den personuppgiftsansvariges identitet, ändamålen med behandlingen och övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Information ska också, enligt 26 § personuppgiftslagen, lämnas på begäran av Om uppgifter behandlas ska information lämnas till den registrerade om vilka uppgifter det rör sig om, varifrån uppgifterna har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Under förutsättning att uppgifterna inte har lämnats ut till tredje man behöver dock information inte lämnas om personuppgifter i löpande text som inte fått sin slutliga utformning när frågan väcktes eller som utgör minnesanteckning eller liknande. I 26 § finns även bestämmelser om inom vilken tid en förfrågan ska besvaras. Enligt 27 § personuppgiftslagen gäller inte rätten till information om det i lag eller annan författning eller i beslut som har meddelats med stöd av författning särskilt har föreskrivits att uppgifter inte får lämnas ut till den registrerade. Information behöver alltså inte lämnas om sådana förhållanden för vilka det gäller sekretess. Bestämmelserna utgör enligt regeringens mening en lämplig avvägning mellan den enskildes intresse av att få information om behandling av uppgifter om honom eller henne och intresse av effektiva medel för sin verksamhet. En hänvisning till bestämmelserna bör därför införas i den nya lagen. I 24 § första stycket personuppgiftslagen anges att den personuppgiftsansvarige självmant ska lämna information till den registrerade om uppgifterna har samlats in från någon annan källa än den registrerade. Av paragrafens andra stycke följer att sådan information inte behöver lämnas om det finns bestämmelser om registrerande eller utlämnande av personuppgifterna i en lag eller annan författning. När behandling av personuppgifter hos en myndighet regleras i särskild lagstiftning på det sätt som föreslås i lagen, med särskilda bestämmelser om vad som får registreras och hur uppgifter i övrigt får hanteras, krävs det enligt personuppgiftslagen inte att sådan information ges. Det finns inte några skäl för att trots detta ska lämna sådan information. Regeringen anser därför att 24 § personuppgiftslagen inte bör gälla vid personuppgiftsbehandling enligt den nya lagen. Vid insamling av uppgifter genom ljud och bild är ofta något av undantagen i 25 eller 27 § tillämpliga. För det fall det förekommer insamling av uppgifter genom ljud och bild som inte omfattas av dessa undantag kan i vissa fall framstå som både orimligt och praktiskt ogörligt att informera t.ex. alla personer som fångas på bild (se t.ex. prop. 2009/10:85 s. 86). I den nya lagen bör det därför, i likhet med vad som gäller enligt polisdatalagen och kustbevakningsdatalagen, föras in ett undantag från informationsskyldigheten enligt 23 § vid behandling som består av insamling av personuppgifter genom bilder eller ljud. Rättelse, 28 § I 28 § personuppgiftslagen anges att den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte behandlats i enlighet med personuppgiftslagens bestämmelser. När en personuppgiftsansvarig rättar en personuppgift, ska underrättelse lämnas till tredje man som har fått del av uppgiften, om den registrerade begär det eller om mer betydande skada eller olägenhet därigenom kan undvikas. Sådan underrättelse behöver dock inte lämnas om det visar sig vara omöjligt eller om det skulle inne- bära en oproportionerligt stor arbetsinsats. Dessa bestämmelser gäller vid personuppgiftsbehandling i brottsbekämpande verksamhet. Det är viktigt att personuppgifter som behandlas felaktigt hos en myndighet rättas. Bedömningen av om en uppgift har behandlats på ett felaktigt sätt måste göras mot bakgrund av de bestämmelser som gäller för behandlingen, oavsett om det är grundläggande regler i personuppgiftslagen eller specialbestämmelser som gäller för brottsbekämpande verksamhet. Mot bakgrund av det angivna bör bestämmelserna i 28 § personuppgiftslagen, liksom , gälla vid behandling av personuppgifter i brottsbekämpande verksamhet. I den nya lagen bör det därför tas in en hänvisning till 28 § personuppgiftslagen. Säkerheten vid behandlingen, 30–32 §§ I 30–32 §§ personuppgiftslagen finns regler om hur den personuppgiftsansvarige ska organisera arbetet med behandling av personuppgifter för att garantera säkerheten. Det rör sig om instruktioner till personalen samt tekniska och organisatoriska åtgärder. Dessa bestämmelser ska vara tillämpliga i brottsbekämpande verksamhet, vilket innebär att det måste finnas bestämda rutiner för hanteringen av personuppgifter. Det kan t.ex. behövas såväl tekniska lösningar för datorsystemen som olika behörighetsnivåer för skilda personalkategorier, för att garantera att regleringen i den föreslagna lagen kan efterlevas. Med hänsyn till att tillsynsmyndigheten inte bör ha möjlighet att förena förbud med vite (se nedan under rubriken ) bör någon hänvisning till 32 § andra stycket personuppgiftslagen inte göras i den nya lagen. Överföring av personuppgifter till tredjeland, 33–35 §§ Personuppgifter som är under behandling får enligt 33 § personuppgiftslagen inte föras över till tredjeland, dvs. en stat som inte ingår i EU eller är ansluten till Europeiska ekonomiska samarbetsområdet (definitionen anges i 3 § personuppgiftslagen), om inte det mottagande landet har en adekvat nivå för skyddet av personuppgifter. Från förbudet finns vissa undantag i 34 §, bl.a. för överföring till länder som har anslutit sig till dataskyddskonventionen. Enligt 35 § har regeringen också möjlighet att föreskriva ytterligare undantag från förbudet, bl.a. om det behövs med hänsyn till ett viktigt allmänt intresse. Förbudet mot överföring till tredjeland som inte har tillfredsställande skyddsnivåer, och de undantag från förbudet som föreskrivs, bör vara tillämpliga även vid behandling enligt den här föreslagna lagen. Regeringen bör även ha möjlighet att föreskriva om undantag från förbudet. Regeringen anser således att en hänvisning bör göras till 33–35 §§ personuppgiftslagen. Upplysningar till allmänheten, personuppgiftsombudets uppgifter m.m., 38–42 §§ Automatiserade behandlingar av personuppgifter ska enligt 36 § första stycket personuppgiftslagen anmälas till tillsynsmyndigheten, Data- Anmälan behöver emellertid inte göras om behandlingen regleras genom särskilda föreskrifter i lag eller förordning, 3 § personuppgiftsförordningen (1998:1191). Skyldighet att i detta sammanhang anmäla de behandlingar som utförs med stöd av den nya lagen finns således inte. Hänvisning till 36 § första stycket personuppgiftslagen behövs därför inte. Den personuppgiftsansvarige, , kan utse ett personuppgiftsombud, 36 § andra stycket personuppgiftslagen. Ombudets skyldigheter framgår av 38–40 §§. I personuppgiftsombudets skyldigheter ingår bl.a. att se till att behandlingen av personuppgifter sker på ett lagligt sätt och att hjälpa registrerade att få rättelse. I den nya lagen föreslås en skyldighet för att utse personuppgiftsombud och anmäla detta till tillsynsmyndigheten. En hänvisning till 36 § andra stycket behövs därför inte. Den nya lagen bör dock hänvisa till ombudets skyldigheter i 38–40 §§. Enligt 41 § personuppgiftslagen har regeringen möjlighet att föreskriva att vissa särskilt känsliga behandlingar ska anmälas till Datainspektionen för förhandskontroll. Denna möjlighet bör regeringen även ha i fråga om sådana behandlingar som utförs i brottsbekämpande verksamhet. Den nya lagen bör därför innehålla en hänvisning till denna paragraf. Enligt 42 § personuppgiftslagen ska den personuppgiftsansvarige till den som begär det lämna upplysningar om de behandlingar av personuppgifter som inte har anmälts till Datainspektionen. Denna bestämmelse bör vara tillämplig. Bestämmelsen innebär ingen skyldighet att lämna ut sekretesskyddad information (se t.ex. prop. 2009/10:85 s. 89). befogenheter, 43–45 och 47 §§ För att kunna säkerställa att personuppgifter behandlas på ett korrekt sätt har Datainspektionen vissa befogenheter gentemot personuppgiftsansvariga. Enligt 43 § personuppgiftslagen har Datainspektionen möjlighet att på begäran få tillgång till personuppgifter, upplysningar och dokumentation om behandlingen och säkerheten samt tillträde till lokaler. I likhet med vad som gäller för brottsbekämpande verksamhet bör denna bestämmelse vara tillämplig. I 44 § personuppgiftslagen finns en bestämmelse om rätt för Datainspektionen att förbjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än genom att lagra dem, för det fall att myndigheten vid en begäran enligt 43 § inte kan få tillräckligt underlag för att konstatera att behandlingen av personuppgifter är laglig. Om Datainspektionen konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, ska myndigheten enligt 45 § första stycket personuppgiftslagen genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. Går det inte att få rättelse på något annat sätt eller är saken brådskande, får myndigheten vid vite förbjuda den personuppgiftsansvarige att fortsätta att behandla personuppgifterna på något annat sätt än genom att lagra dem. I flera andra författningar om behandling av personuppgifter i brottsbekämpande verksamhet har Datainspektionen getts möjlighet att förbjuda behandling av personuppgifter. Bestämmelserna om detta i 44 och 45 §§ gäller redan 2016/17:89 i brottsbekämpande verksamhet och bör gälla även fortsättningsvis.