prop · H40389 · 2017-02-07 00:00:00 — Rättelse ska dock inte göras enbart därför att uppgifter som framstod som riktiga eller rimliga när de samlades in, t.ex. brottsmisstankar, senare har visat sig vara oriktiga. I första stycket punkten 7 görs en hänvisning till 30 och 31 §§ samt 32 § första stycket personuppgiftslagen. Enligt 30 § första stycket får ett personuppgiftsbiträde (dvs. den som behandlar personuppgifter för den personuppgiftsansvariges räkning) och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning behandla personuppgifter enbart i enlighet med instruktioner från den personuppgiftsansvarige. Om det i lag eller annan författning finns särskilda bestämmelser om behandlingen av personuppgifter i det allmännas verksamhet gäller dock – enligt 30 § tredje stycket – dessa i stället. Den sistnämnda bestämmelsen syftar särskilt på bestämmelser om tystnadsplikt och sekretess, se propositionen Personuppgiftslag (se prop. 1997/98:44 s. 136). Av 31 § framgår bl.a. att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de behandlade personuppgifterna. Enligt 32 § första stycket får tillsynsmyndigheten i enskilda fall besluta om vilka åtgärder som den personuppgiftsansvarige ska vidta enligt 31 §. Med tillsynsmyndigheten avses här tillsynsmyndigheten enligt personuppgiftslagen, dvs. Datainspektionen, se 2 § personuppgiftsförordningen (1998:1191). En hänvisning görs i första stycket punkten 8 till 33–35 §§ personuppgiftslagen. Enligt 33 § är det förbjudet att överföra personuppgifter till tredjeland om landet inte har en adekvat nivå för skyddet av personuppgifter. Frågan om en skyddsnivå är adekvat ska bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt ska fästas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen ska pågå, ursprungslandet, det slutliga bestämmelselandet och reglerna för behandlingen i tredjeland. I 34 och 35 §§ föreskrivs undantag från förbudet. Enligt 34 § får uppgifter trots förbudet överföras dels om den registrerade har lämnat sitt samtycke till överföringen, dels om överföringen är nödvändig med hänsyn till vissa Det är också enligt den paragrafen tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av personuppgifter (dataskyddskonven- I 35 § föreskrivs att regeringen, och för vissa fall även den myn- dighet som regeringen bestämmer, får meddela föreskrifter om undantag från förbudet i 33 §. I första stycket punkten 9 görs en hänvisning till 38–40 §§ person- uppgiftslagen, där det framgår vilka närmare uppgifter ett personupp- Se 4 § angående skyldigheten att utse personuppgifts- En hänvisning görs också till 41 § personuppgiftslagen. den paragrafen kan regeringen föreskriva att vissa särskilt känsliga behandlingar ska anmälas till Datainspektionen för förhandskontroll. Hänvisningen i första stycket punkten 10 till 42 § personuppgiftslagen innebär att den personuppgiftsansvarige ska till var och en som begär det skyndsamt och på lämpligt sätt lämna upplysningar om sådana behand- lingar av personuppgifter som inte har anmälts till tillsynsmyndigheten, Sekretessbelagda uppgifter behöver dock inte Första stycket punkten 11 hänvisar till 43 och 44 §§, 45 § första stycket och 47 § personuppgiftslagen. Av hänvisningen till 43 § följer att Datain- spektionen har rätt att för sin tillsyn på begäran få tillgång till de person- uppgifter som behandlas, upplysningar om och dokumentation av be- handlingen av personuppgifter och säkerheten vid denna och att få till- träde till sådana lokaler som har anknytning till behandlingen av person- Om inspektionen inte har tillräckligt underlag för att konsta- tera att behandlingen av personuppgifter är laglig, får den med stöd av hänvisningen till 44 § personuppgiftslagen förbjuda behandlingen. Datainspektionen konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, ska inspektionen genom påpe- kanden eller liknande förfaranden försöka åstadkomma rättelse. inte går att få till stånd rättelse, eller om saken är brådskande, får Datain- spektionen förbjuda behandlingen, vilket följer av hänvisningen till 45 § första stycket personuppgiftslagen. Vidare hänvisas till 47 § personupp- giftslagen där Datainspektionen ges rätt att hos förvaltningsrätten ansöka om att personuppgifter som har behandlats på ett olagligt sätt ska ut- Av hänvisningen i första stycket punkten 12 till 48 § personuppgifts- lagen följer att den personuppgiftsansvarige ska ersätta den registrerade för sådan skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med skattebrottsdatalagen och de bestämmelser i personuppgiftslagen till vilka lagen hänvisar har orsakat. Första stycket punkten 13 hänvisar till 51 § första stycket, 52 § första stycket och 53 § personuppgiftslagen. Av hänvisningen till 51 § första stycket följer att Datainspektionens beslut får överklagas till allmän Som framgår av hänvisningen till 52 § första stycket personuppgiftslagen kan den personuppgiftsansvariga myndig- hetens beslut om information enligt 26 §, om rättelse och om under- rättelse till tredje man enligt 28 § och om upplysningar enligt 42 § personuppgiftslagen också överklagas till allmän förvaltningsdomstol. Av hänvisningen till 53 § personuppgiftslagen följer att andra beslut inte får överklagas. I andra stycket regleras hur gallringsregler i lagen, och i föreskrifter som har meddelats i anslutning till lagen, förhåller sig till hänvisningen i första stycket 2. Bestämmelsen innebär att skattebrottsdatalagen ges företräde framför bestämmelserna i 8 § andra stycket personuppgiftslagen. Det tredje stycket innehåller ett undantag från informationsskyldigheten i 23 § personuppgiftslagen. Information behöver inte lämnas om uppgifterna samlas in genom bild- eller ljudupptagning. Förbud enligt 44 eller 45 § personuppgiftslagen får normalt förenas med vite. I fjärde stycket föreskrivs dock att förbud som meddelas i samband med tillsyn av personuppgiftsbehandling enligt denna lag får inte förenas med vite. Paragrafen överensstämmer till stor del med 2 kap. 2 § polisdatalagen och 2 kap. 2 § kustbevakningsdatalagen. Paragrafen innehåller bestämmelser om personuppgiftsansvar. Övervägandena finns i avsnitt 9.7. I paragrafen anges att är personuppgiftsansvarigt för den behandling av personuppgifter som myndigheten utför. Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter (3 § personuppgiftslagen). Flera bestämmelser i personuppgiftslagen, till vilka det hänvisas i 2 §, ålägger den personuppgiftsansvarige särskilda skyldigheter. Så är det t.ex. enligt 9 § första stycket personuppgiftslagen den personuppgiftsansvariges skyldighet att se till att de behandlade personuppgifterna är adekvata och relevanta i förhållande till ändamålen för behandlingen och att inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen för behandlingen. Det ankommer också på den personuppgiftsansvarige att se till att information lämnas till den registrerade och att uppgifter gallras i rätt tid. Av 1 kap. 4 § 1 följer att personuppgiftsansvaret även omfattar behandling av uppgifter om juridiska personer. Huvudregeln är att den myndighet som samlar in och lagrar personuppgifter är personuppgiftsansvarig för den behandlingen. Om en uppgift lämnas ut till en annan myndighet, genom direktåtkomst eller på annat sätt, blir den mottagande myndigheten personuppgiftsansvarig för den fortsatta behandlingen av uppgiften hos den myndigheten. När uppgifter lämnas ut till olika myndigheter kan alltså personuppgiftsansvaret för en och samma uppgift komma att ligga hos flera myndigheter. Var och en av dessa ansvarar för den egna behandlingen. Motsvarande bestämmelser finns i 2 kap. 4 § polisdatalagen och 2 kap. 4 § kustbevakningsdatalagen. Paragrafen innehåller bestämmelser om personuppgiftsombud. Övervägandena finns i avsnitt 9.8. I första stycket föreskrivs att ska utse ett eller flera personuppgiftsombud. Hänvisningen i 2 § första stycket 9 till 38–40 §§ personuppgiftslagen innebär att personuppgiftslagens bestämmelser om personuppgiftsombudets uppgifter blir tillämpliga i brottsbekämpande verksamhet. Enligt andra stycket ska myndigheten anmäla till tillsynsmyndigheten enligt personuppgiftslagen, dvs. Datainspektionen, när ett personuppgiftsombud utses eller entledigas. Paragrafen överensstämmer med 2 kap. 5 § polisdatalagen och i sak även med 2 kap. 5 § kustbevakningsdatalagen. Paragrafen anger de primära ändamål för vilka personuppgifter får behandlas i brottsbekämpande verksamhet. Övervägandena finns i avsnitt 9.10.1–9.10.4. Personuppgifter som behandlas med stöd av paragrafen får också behandlas för ett antal ytterligare ändamål. Behandlingen av dessa sekundära ändamål regleras i 6 §. Av 7 § framgår att personuppgiftsbehandling dessutom får ske för diarieföring och inom ramen för viss ärendehantering. Vidare får enligt 6 § tredje stycket personuppgifter behandlas för ett annat sekundärt ändamål än de i lagen angivna, om det nya ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in. Ramarna för sådan vidarebehandling sätts således av den s.k. finalitetsprincipen. Som framgår av hänvisningen i 2 § första stycket 2 till 8 § personuppgiftslagen får behandling också ske i den mån den är nödvändig för att verket ska kunna fullgöra sina skyldigheter enligt 2 kap. tryckfrihetsförordningen. Tillsammans avgränsar de nu nämnda bestämmelserna för vilka ändamål behandling av personuppgifter är tillåten i brottsbekämpande verksamhet. En grundläggande förutsättning för att en personuppgift ska vara tillåten att behandla är att den behövs för viss verksamhet hos . Med detta avses att det ska finnas ett konkret behov av att genomföra behandlingen och att detta behov svarar mot ändamålet med denna. Som exempel kan nämnas att det i en förundersökning kan vara nödvändigt att sammanställa uppgifter om vilka personer som har haft en ledande ställning eller arbetat i en näringsverksamhet, för att klarlägga ansvarsfrågor och säkerställa att alla presumtiva vittnen har hörts i saken. Likaså måste självfallet många personuppgifter om misstänkta behandlas för att tillgodose åklagarens behov av underlag för sitt ställningstagande i åtalsfrågan. Om ändamålet är att förebygga eller förhindra brott, kan det t.ex. vara nödvändigt att sammanställa uppgifter om samband mellan olika personer och bolag eller vem som äger eller disponerar ett fordon som misstänker används i den brottsliga verksamheten. Personuppgifter får behandlas för planering, uppföljning och utvärdering av den brottsbekämpande verksamheten. utgöra en del av själva verksamheten och behöver inte regleras särskilt, se propositionen brottsbekämpning – Effektivare uppgiftsbehandling (prop. 2004/05:164 s. 179). Av punkten 1 framgår att personuppgifter får behandlas om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet. Den verksamhet som åsyftas är framför allt det som normalt kallas underrättelseverksamhet, dvs. arbete med insamling, bearbetning och analys av information för att förebygga, förhindra eller upptäcka brottslig verksamhet när det ännu inte finns konkreta misstankar om att ett visst brott redan har begåtts. Arbete som är inriktat på en redan begången individualiserad brottslig gärning faller in under punkten 2, se nedan. Av punkten 2 framgår att personuppgifter får behandlas för att utreda brott. Med brott avses ett konkret brott. Det kan vara fråga om såväl brott som bevisligen har begåtts som brott som det enbart finns misstankar om. Misstankarna behöver inte vara riktade mot någon bestämd person. Om misstankarna enbart gäller icke preciserad brottslig verksamhet, är det dock i stället fråga om sådan ”brottslig verksamhet” som avses i punkten 1. Rör misstanken ett visst brott som kan komma att begås kan personuppgiftsbehandling vara tillåten med stöd av punkten 1. Har den förväntade gärningen nått den punkt där den är straffbar såsom försök, förberedelse, stämpling eller anstiftan – dvs. om det finns grund för att inleda förundersökning – är det däremot fråga om personuppgiftsbehandling som faller under punkten 2. I praktiken omfattar punkten 2 den behandling hos som sker inom ramen för en förundersökning eller en s.k. förutredning. Hantering av en brottsanmälan hör också hit, även om denna inte leder till något beslut om att inleda förundersökning. Av punkten 3 följer att behandling av personuppgifter i vissa fall får ske i syfte att gagna utländsk brottsbekämpande verksamhet. I den utsträckning ett internationellt åtagande innebär en skyldighet för att fullgöra vissa förpliktelser och den konkreta arbetsuppgiften kräver att behandlar personuppgifter, är behandlingen tillåten enligt denna punkt. Detta gäller oavsett om den brottslighet som den utländska brottsbekämpande verksamheten avser faller in under svensk jurisdiktion eller inte. Sådana förpliktelser kan följa dels av vissa lagar som genomför internationella överenskommelser, dels direkt av vissa internationella överenskommelser. Någon internationell överenskommelse som innebär att är skyldigt att fullgöra sådana förpliktelser som avses i denna punkt finns inte . Det förekommer dock att biträder åklagare i ett ärende om rättslig hjälp åt utländsk myndighet. Sådan behandling omfattas av denna punkt. Paragrafen överensstämmer till stor del med 2 kap. 7 § polisdatalagen och 3 kap. 2 § kustbevakningsdatalagen. I paragrafen anges de sekundära ändamål för vilka personuppgifter får behandlas i den brottsbekämpande verksamheten. Övervägandena finns i avsnitt 9.10.5. Behandling enligt denna paragraf förutsätter att uppgifterna redan är föremål för behandling enligt 5 §. Det är alltså inte tillåtet att samla in personuppgifter enbart i syfte att behandla dem enligt denna paragraf. Det förhållandet att uppgifter får behandlas för utlämnande av informa- tion påverkar inte de bestämmelser som gäller om sekretess. melserna i offentlighets- och sekretesslagen (2009:400) om sekretess mellan och inom myndigheter liksom bestämmelser i andra författningar som bryter sekretess ska således beaktas på vanligt sätt. Av första stycket punkten 1 framgår att personuppgifter som behandlas med stöd av 5 § även får behandlas för att tillhandhålla information som behövs i brottsbekämpande verksamhet hos vissa andra myndigheter, nämligen , , , I första stycket punkten 2 regleras möjligheten att behandla person- uppgifter som behandlas enligt 5 § för att tillhandahålla en utländsk myndighet eller en mellanfolklig organisation den information som behövs i dess brottsbekämpande verksamhet. stöd för själva behandlingen av personuppgifterna. Hur stort utrymmet är för utlämnande av uppgifter bestäms som nämnts av reglerna om sekretess, se också kommentaren till 11 §. uppgifterna genom att lämna ut dem kan också begränsas av t.ex. reglerna i 33–35 §§ personuppgiftslagen som inskränker möjligheten att överföra uppgifter till tredjeland. Första stycket punkten 3 tar sikte på behandling av personuppgifter för att tillhandahålla uppgifter till annan verksamhet hos än den Sådan verksamhet bedrivs inom andra självständiga Personuppgifter som behandlas enligt 5 § får enligt denna punkt behandlas för att tillhandahålla information som behövs i annan verksamhet som ansvarar för, om det kan antas att informationen behövs i ett ärende i den verksamheten. Det kan t.ex. röra sig om information som talar för att en verksamhet inte alls har beskattats eller beskattats på ett felaktigt sätt, eller att en registrerad uppgift i folkbokföringen är felaktig. Sekretessen i den brottsbekämpande verksamheten gäller i förhållande till andra självständiga verksamhets- grenar inom myndigheten. Innan uppgifter lämnas ut måste således en Första stycket punkten 4 a är avsedd att tillgodose behov av att fullgöra författningsenliga skyldigheter att direkt biträda en annan svensk myndighet i dess verksamhet, exempelvis att bistå åklagaren i en Denna punkt ger verket rätt att behandla personupp- gifter inom ramen för sådant biträde i en annan myndighets verksamhet. Av första stycket punkten 4 b framgår att har möjlighet att behandla personuppgifter för att tillhandahålla information till svenska myndigheter, inklusive annan verksamhet inom , i syfte att samverka mot brott. Det rör sig om tillhandahållande av uppgifter till andra myndigheter eller verksamheter inom som inte har till uppgift att bekämpa brott, men där tillhandahållandet är till nytta för Punkten omfattar utlämnande inom ramen för myndighetsöverskridande samverkan mot brott. t.ex. ske vid arbetet i ett regionalt underrättelsecentrum (RUC). nande vid arbetet i ett sådant underrättelsecentrum kan ibland ske med stöd av lagen (2016:774) om uppgiftsskyldighet vid samverkan mot viss Den gäller vid viss särskilt beslutad samverkan mellan myndigheterna och innehåller bestämmelser om uppgiftsskyl- Annat samarbete inom RUC kan dock komma att ske med stöd av första stycket punkten 4 b. En sedvanlig sekretessprövning krävs emellertid också innan uppgifter kan lämnas ut. Av andra stycket framgår att personuppgifter får behandlas, om det är nödvändigt för att tillhandahålla information till eller regeringen samt, i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning, till andra. Med andra avses såväl myndigheter som enskilda. Även annan verksamhetsgren inom omfattas. Exempel på uppgiftsskyldighet gentemot annan myndighet finns i 13 kap. 6 § regeringsformen och 6 § lagen (2002:1022) om revision av statlig verksamhet m.m., där det föreskrivs skyldighet att tillhandahålla ombudsmän respektive begärda upplysningar. Vidare omfattas t.ex. en myndighets skyldighet enligt 6 kap. 5 § offentlighets- och sekretesslagen att på begäran av en annan myndighet lämna ut uppgift som den förfogar över, i den mån hinder inte möter på grund av bestämmelse om sekretess eller av hänsyn till arbetets behöriga gång. I tredje stycket tydliggörs att de sekundära ändamålen inte är uttömmande. För att en uppgift ska få vidarebehandlas för något annat ändamål än de som anges i första och andra styckena måste det emellertid i det enskilda fallet göras en bedömning att det nya ändamålet inte är oförenligt med det ursprungliga ändamål för vilket uppgifterna samlades in. Liknande bestämmelser om sekundära ändamål finns i 2 kap. 8 § polisdatalagen och 3 kap. 3 § kustbevakningsdatalagen. Paragrafen reglerar behandling av personuppgifter i två särskilt angivna fall och gäller oavsett om förutsättningarna för behandling enligt 5 eller 6 § är för handen. Övervägandena finns i avsnitt 9.10.6. Enligt punkten 1 får personuppgifter alltid behandlas om behandlingen är nödvändig för diarieföring. Vilka uppgifter som måste noteras i samband med diarieföring av en handling framgår av 5 kap. 2 § offentlighets- och sekretesslagen. Vid diarieföring av inkomna handlingar får således alltid anges vem handlingen har kommit från och i korthet vad handlingen rör. Någon annan behandling än sådan som är nödvändig för diarieföringen får emellertid inte utföras med stöd av första punkten. Den fortsatta behandlingen ska således – utom i fall där andra punkten i denna paragraf blir tillämplig – alltid ha stöd i någon av lagens övriga ändamålsbestämmelser. Vidare får, enligt punkten 2, personuppgifter alltid behandlas om de har lämnats till i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. Uttrycket ”anmälan eller liknande” innefattar alla slag av framställningar till . ryms framställningar av detta slag inom de i 5 § angivna ändamålen och ska då behandlas med stöd av den paragrafen, men i vissa fall kan innehållet i framställan vara sådant att behovsrekvisitet i 5 § inte är uppfyllt. Eftersom en framställan vanligtvis kräver något slag av handläggning hos myndigheten, har det införts en särskild bestämmelse för personuppgiftsbehandling i dessa fall. Behandlingen måste vara ”nödvändig för handläggningen”. Det kan i ett enskilt fall innebära att personuppgifter i ett e- 2016/17:89 postmeddelande inte får behandlas på annat sätt än att uppgifterna tas emot och därefter arkiveras eller gallras. I ett annat fall kan bestämmelsen innebära att personuppgifterna också får behandlas i samband med att framställan besvaras. Paragrafen överensstämmer till stor del med 2 kap. 9 § polisdatalagen och 2 kap. 6 § kustbevakningsdatalagen. Paragrafen anger i vilken utsträckning känsliga personuppgifter får behandlas i brottsbekämpande verksamhet. Övervägandena finns i avsnitt 9.11. Enligt första stycket får personuppgifter inte behandlas enbart på grund av vad som är känt om en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Det är således inte tillåtet att föra register över eller på annat sätt göra anteckningar om enskilda enbart på den grunden att de utifrån etniskt ursprung, politiska åsikter eller något annat i paragrafen angivet kriterium kan hänföras till en viss kategori av människor. En uppgift om utseende utgör normalt inte en sådan personuppgift som avses i första stycket och den får alltså behandlas, med den begränsning som följer av tredje stycket. Om en sådan uppgift innefattar uppgift om t.ex. etniskt ursprung, omfattas den dock av bestämmelsen. Bestämmelsen i första stycket hindrar inte heller att uppgifter om en persons nationalitet behandlas, eftersom en sådan uppgift normalt inte ger upplysning om etniskt ursprung. Likaså faller som regel uppgifter om att en viss person närmast kommer från en viss världsdel eller ett visst land utanför förbudet mot behandling av känsliga personuppgifter. Skulle emellertid en sådan uppgift i det enskilda fallet t.ex. avslöja etniskt ursprung faller den in under förbudet. Andra stycket innehåller två undantag från huvudregeln. För det första får uppgifter om en person som behandlas på annan grund kompletteras med sådana uppgifter som avses i första stycket, om det är absolut nödvändigt för syftet med behandlingen. Bestämmelsen innebär att om andra uppgifter om en person samlas in i samband med t.ex. en förundersökning får dessa kompletteras med uppgifter om religiös övertygelse eller etniskt ursprung om det är av avgörande betydelse för utredningen. Med hänsyn till den restriktivitet som ligger i begreppet “absolut nödvändigt” måste dock behovet av att göra sådana kompletteringar prövas noga i det enskilda ärendet. Det kan bl.a. handla om känsliga personuppgifter som är av avgörande betydelse för utredningen. Känsliga personuppgifter kan också förekomma i förundersökningar på grund av att någon under ett förhör har lämnat en sådan uppgift eller i en inlaga nämnt uppgiften. Det kan vara fråga om helt grundlösa påståenden. Eftersom myndigheten inte kan hindra någon från att yttra sig vare sig muntligen eller skriftligen kan känsliga personuppgifter på detta sätt komma att ingå i undersökningen. Om det nedtecknade förhöret eller den inkomna handlingen ingår i en förundersökning omfattas behand- lingen av den känsliga personuppgiften även i dessa fall av undantaget i andra stycket. För det andra får känsliga personuppgifter alltid behandlas i de fall som avses i 7 §, dvs. om det är nödvändigt för diarieföring eller, i fråga om uppgifter i anmälan eller liknande, om det är nödvändigt för handläggningen. Det innebär bl.a. att det är möjligt att ta emot och besvara anmälningar och liknande skrifter i elektronisk form även om dessa innehåller känsliga personuppgifter. I tredje stycket föreskrivs att uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet.