prop · H40389 · 2017-02-07 00:00:00 — Någon möjlighet för Datainspektionen att förena ett beslut om att förbjuda behandling eller ett beslut om säkerhetsåtgärder enligt 32 § med vite har dock, i likhet med vad som i allmänhet gäller mellan statliga myndigheter, inte föreskrivits i t.ex. polisdatalagen eller kustbevakningsdatalagen (se prop. 2009/10:85 s. 90 och prop. 2011/12:45 s. 85). En sådan möjlighet bör inte finnas heller vid behandling av personuppgifter enligt skattebrottsdatalagen. Det bör anges särskilt i den nya lagen att ett förbud enligt 44 eller 45 § inte får förenas med vite. Enligt 47 § personuppgiftslagen har Datainspektionen rätt att hos allmän förvaltningsdomstol ansöka om att sådana uppgifter som har behandlats på ett olagligt sätt ska utplånas. Bestämmelsen bör vara tillämplig vid behandling enligt den nya lagen. Skadestånd, 48 §, m.m. Enligt 48 § personuppgiftslagen ska den personuppgiftsansvarige ersätta den registrerade för den skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med den lagen har orsakat. Rätten till skadestånd vid skada och kränkning bör gälla när personuppgifter har behandlats i strid med personuppgiftslagen eller de bestämmelser som finns i den föreslagna lagen. Detta framgår genom att det tas in en hänvisning till 48 § personuppgiftslagen. Enligt 49 § personuppgiftslagen gäller straffansvar vid överträdelser av vissa bestämmelser i personuppgiftslagen. Behandlingen av personuppgifter enligt den nya lagen kommer att utföras av personer som är anställda vid en statlig myndighet och som redan omfattas av bestämmelserna om tjänstefel m.m. i . Något behov av en hänvisning till 49 § personuppgiftslagen ansågs inte finnas vid tillkomsten av vare sig polisdatalagen (prop. 2009/10:85 s. 91) eller kustbevakningsdatalagen (prop. 2011/12:45 s. 87). Det finns inte skäl att nu göra någon annan bedömning än den som gjorts i dessa lagstiftningsärenden. Någon hänvisning till bestämmelsen om straffansvar bör därför inte göras. Överklagande, 51–53 §§ I 51 § första stycket personuppgiftslagen anges att Datainspektionens beslut enligt lagen om annat än föreskrifter får överklagas till allmän förvaltningsdomstol. Förslaget om att Datainspektionen ska kunna meddela förbud enligt 44 § och 45 § första stycket personuppgiftslagen innebär att en hänvisning också bör göras till 51 § första stycket. Enligt 51 § andra stycket får Datainspektionen bestämma att dess beslut ska gälla även om det överklagas. Vid polisdatalagens tillkomst gjordes bedömningen att Datainspektionen inte skulle medges någon möjlighet att meddela interimistiska beslut i de aktuella fallen. Verksamhetsskäl talade emot en sådan möjlighet (prop. 2009/10:85 s. 91). Samma skäl gör sig gällande för brottsbekämpande verksamhet. Någon hänvisning till 51 § andra stycket personuppgiftslagen bör därför inte göras. En myndighets beslut om information, rättelse och underrättelse till Prop. 2016/17:89 tredje man om rättelseåtgärder, information om automatiserade beslut och allmänna upplysningar om pågående behandlingar får, enligt 52 § första stycket personuppgiftslagen, överklagas till allmän förvaltningsdomstol. Andra beslut enligt personuppgiftslagen får enligt 53 § inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. I förarbetena till dessa bestämmelser, se propositionen Översyn av personuppgiftslagen (prop. 2005/06:173 s. 53), uttalas att det efter införandet av en bestämmelse om överklagande i personuppgiftslagen inte är nödvändigt att ta in några överklagandebestämmelser i särskilda registerförfattningar, som hänvisar till personuppgiftslagen. I konsekvens med detta bör den nya lagen inte innehålla någon särskild bestämmelse om överklagande utan i stället enbart hänvisa till personuppgiftslagens bestämmelser om överklagande. Förslaget genomförs genom 2 kap. 2 § i den nya lagen. 9.7Skatteverket ska vara personuppgiftsansvarigt Regeringens förslag: ska vara personuppgiftsansvarigt för den behandling av personuppgifter som myndigheten utför. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över Skälen för regeringens förslag: Enligt 3 § personuppgiftslagen är det den personuppgiftsansvarige som ensam eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Det är vanligt att i en registerförfattning tydligt peka ut vem som är ansvarig för den behandling av uppgifter som regleras i författningen. I den nya lagen bör det anges att det är som är personuppgiftsansvarigt för den behandling som myndigheten utför enligt lagen. Som framgår av avsnitt 9.5 föreslår regeringen att personuppgiftsansvaret ska omfatta även behandling av uppgifter om juridiska personer. Förslaget genomförs genom 2 kap. 3 § i den nya lagen. Regeringens förslag: ska utse ett eller flera personuppgiftsombud. Myndigheten ska anmäla till tillsynsmyndigheten enligt personuppgiftslagen när ett personuppgiftsombud utses eller entledigas. Promemorians förslag: Överensstämmer i sak med regeringens förslag. Promemorians förslag är något annorlunda utformat. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över 2016/17:89 Skälen för regeringens förslag: Enligt 36 § andra stycket personuppgiftslagen kan myndigheterna välja om de vill utse ett personuppgiftsombud eller inte. Behandlingen av personuppgifter i brottsbekämpande verksamhet rör i många fall uppgifter som är integritetskänsliga, vilket gör det särskilt angeläget med den kontroll som kan utövas av ett personuppgiftsombud. Det är också viktigt att enskilda registrerade enkelt kan vända sig till rätt person hos myndigheten, bl.a. i frågor om information om behandlingen och om rättelse av felaktiga uppgifter. Mot den bakgrunden bör det ställas krav på att ska utse ett eller flera personuppgiftsombud och anmäla dessa till Datainspektionen. Det bör framgå direkt av lagen. Förslaget genomförs genom 2 kap. 4 § i den nya lagen. 9.9Den interna tillgången till personuppgifter ska begränsas Regeringens förslag: Tillgången till personuppgifter ska begränsas till vad varje tjänsteman behöver för att fullgöra sina arbetsuppgifter. Det ska föras in en bestämmelse som upplyser om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om tillgången till personuppgifter. Promemorians förslag: Överensstämmer i sak med regeringens förslag. Promemorians förslag är något annorlunda utformat. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över förslaget. Skälen för regeringens förslag: Stora informationsmängder som är samlade så att uppgifter är enkelt sökbara på elektronisk väg medför allmänt sett en risk för intrång i den personliga integriteten. Risken för sådant intrång är särskilt stor om det – som ofta är fallet i brottsbekämpande verksamhet – rör sig om integritetskänsliga uppgifter. Vem som har rätt att använda uppgifterna och hur de sprids är omständigheter som påverkar risken för intrång i den personliga integriteten. Det är därför viktigt att det säkerställs att integritetskänsliga uppgifter görs tillgängliga bara för dem som behöver uppgifterna för sitt arbete. Av den anledningen bör det i lagen införas en bestämmelse om att tillgången till personuppgifter måste begränsas till vad varje tjänsteman behöver för att fullgöra sina arbetsuppgifter. Bestämmelsen omfattar både direkt tillgång till automatiserade uppgiftssamlingar och tillgång i allmänhet. En tjänsteman som inte arbetar med just den utredning i vilken en viss personuppgift förekommer kan i vissa fall ha behov av tillgång till personuppgiften. Den person som uppgiften rör kan t.ex. förekomma även i en annan utredning. Om det finns ett klart behov av uppgifter kan det alltså vara motiverat att ge tillgång till dem i ett sådant fall. Det ankommer på att organisera sin verksamhet så att obefogad spridning av personuppgifter motverkas. Det behöver fortlöpande göras bedömningar av behovet av att ha tillgång till personuppgifter och behörigheten att ha åtkomst till dem. Det kan även finnas behov av att ange detaljerade riktlinjer för hur tillgången till personuppgifter bör avgränsas för de enskilda tjänstemännen. Det bör därför införas en Prop. 2016/17:89 bestämmelse i den nya lagen, som upplyser om att regeringen eller den myndighet som regeringen bestämmer kan meddela ytterligare föreskrifter om tillgången till personuppgifter. Det görs därvid en uttrycklig hänvisning till 8 kap. 7 § regeringsformen. Förslaget genomförs genom 2 kap. 10 § i den nya lagen. 9.10Tillåtna ändamål för behandlingen Regeringens bedömning: I lagen bör det anges ändamål för vilka behandling av personuppgifter får förekomma i brottsbekämpande verksamhet. Ändamålen bör delas in i primära och sekundära. De primära ändamålen bör avse behandling av personuppgifter för att tillgodose de behov som finns inom brottsbekämpande verksamhet. Dessa ändamål bör vara uttömmande angivna i lagen. De sekundära ändamålen bör avse behandling för olika typer av utlämnande av personuppgifter från brottsbekämpande verksamhet. I fråga om behandling av personuppgifter för andra sekundära ändamål än de som anges i lagen bör den s.k. finalitetsprincipen tillämpas. Promemorians bedömning: Överensstämmer med regeringens bedömning. Remissinstanserna: Datainspektionen ifrågasätter, liksom vid remissbehandlingen av förslagen till polisdatalag och kustbevakningsdatalag, om bestämmelserna om ändamål uppfyller kraven på att personuppgifter endast får samlas in för specifika ändamål och att personuppgifterna därefter inte får användas på ett sätt som är oförenligt med ändamålet. Detta gör sig enligt Datainspektionen särskilt starkt gällande mot bakgrund av att uppgifter kan komma att flöda mellan brottsbekämpande verksamhet och den fiskala verksamheten. Datainspektionen anser även att den systematik som valts för regleringen av ändamålsbestämmelserna i polisdatalagen och kustbevakningsdatalagen är att föredra framför den lösning som valts i promemorian. Även anser att det så långt som möjligt bör eftersträvas att lagens utformning överensstämmer med polisdatalagen, för att inte skapa onödig osäkerhet vid samverkan och att den struktur som har valts i promemorian förefaller mer svårtillämpad och otydlig. anser att promemorian inte i tillräcklig utsträckning behandlar vad som faktiskt utgör ett behov. anser att behovet av flexibilitet inte får öppna upp för en reglering som bygger på alltför skönsmässiga bedömningar av . anför även att vissa andra rekvisit inte behandlas och saknar klargöranden. anser att förslagen måste kompletteras med en tydligare analys och fler exemplifieringar. Skälen för regeringens bedömning Primära och sekundära ändamål Personuppgiftslagens regler om för vilka ändamål personuppgifter får behandlas har en central roll i registerförfattningar. Syftet med ändamålsbestämmelser är i princip att ange ramen inom vilken personuppgifter får behandlas. Det följer av allmänna principer för dataskydd att uppgifter endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Enligt den s.k. finalitetsprincipen får insamlade uppgifter sedan inte behandlas för något ändamål som är oförenligt med det ursprungliga ändamålet. Dessa principer kommer till uttryck i 9 § första stycket c och d personuppgiftslagen. I fråga om efterföljande behandling sägs i 9 § andra stycket personuppgiftslagen att en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Det är vanligt att man i registerförfattningar som reglerar myndigheters personuppgiftsbehandling delar upp ändamålen med behandlingen av personuppgifter i primära och sekundära. De primära ändamålen avser att tillgodose de behov som finns att behandla personuppgifter i den berörda myndighetens egen verksamhet. De sekundära ändamålen reglerar i vilken utsträckning personuppgifter, som myndigheten samlat in för ett primärt ändamål, får behandlas för att lämnas ut till annan verksamhet inom den egna myndigheten eller till enskilda eller till andra myndigheter i syfte att tillgodose deras behov. I promemorian föreslås att det i lagens inledande bestämmelse införs en definition av vad som avses med brottsbekämpande verksamhet (se avsnitt 9.5). Regleringen av de primära ändamålen sker i promemorians förslag genom att det anges att personuppgifter får behandlas om det behövs i brottsbekämpande verksamhet. I polisdatalagen och kustbevakningsdatalagen finns ingen definition av brottsbekämpande verksamhet. I stället räknas det upp vissa primära ändamål, som avser sådan verksamhet som är brottsbekämpande. Datainspektionen och är tveksamma till den i promemorian föreslagna lösningen. Som framgår ovan anser regeringen att den nya skattebrottsdatalagen bör vara uppbyggd enligt samma systematik som polisdatalagen och kustbevakningsdatalagen. De primära ändamålen bör därför räknas upp på det sätt som görs i de lagarna (se också avsnitt 9.5). En utgångspunkt för den nya lagen bör vara att de tillåtna ändamålen för behandling av personuppgifter anges så tydligt och fullständigt som är möjligt att göra på lagnivå. De primära ändamålen, dvs. de ändamål för vilka får samla in personuppgifter i den brottsbekämpande verksamheten, bör därför i likhet med de primära ändamålen i polisdatalagen och kustbevakningsdatalagen anges utömmande. När det gäller de sekundära ändamålen finns det skäl för en annan typ av reglering. Behovet av samverkan med andra myndigheter och med andra verksamheter inom myndigheten kan variera och förändras. Det är inte möjligt att åstadkomma en reglering som på ett preciserat sätt anger alla de situationer där ett utlämnande av uppgifter kan komma att aktualiseras. Enligt regeringens mening bör även de sekundära ändamålen uttryckas så preciserat och uttömmande som möjligt. Dessa ändamål bör dock inte vara uttömmande. Vidare är det i sammanhanget viktigt att komma ihåg att ett utlämnande av personuppgifter även kan ske inom ramen för något av de primära ändamålen. Utlämnande av uppgifter till andra kan i många fall vara ett led i den egna brottsbekämpande verksamheten och således omfattas av de primära ändamålen. Hänvisningen till 9 § första stycket c personuppgiftslagen innebär att personuppgifter endast får samlas in för särskilda uttryckligt angivna ändamål. Detta innebär ett krav på ett preciserat ändamål med insamling av personuppgifter. Av hänvisningen till 9 § första stycket d följer att personuppgifterna sedan inte får behandlas för ändamål som är oförenliga med det ursprungliga ändamålet, den s.k. finalitetsprincipen. Har personuppgifter samlats in av för att utreda ett visst brott kan det enligt regeringens mening generellt sett inte anses vara oförenligt med det ursprungliga ändamålet att behandla samma uppgifter för att utreda annat brott eller bekämpa brottslig verksamhet. En grundtanke med förslaget är således att det inom bör vara tillåtet att använda sig av uppgifter som samlats in för ett visst brottsbekämpande ändamål för ett annat sådant ändamål. Under sistnämnda förutsättning bör vidarebehandling också få ske om det behövs för brottsbekämpande ändamål hos andra myndigheter eller för vissa andra sekundära ändamål som kan förutses och som anses förenliga med finalitetsprincipen. Genom att ange de primära och sekundära ändamålen i lagförslaget görs ställningstagandet att vidarebehandling för dessa ändamål är förenligt med finalitetsprincipen. Behandling för ett sekundärt ändamål som i ett enskilt fall inte kan anses vara oförenligt med insamlingsändamålet bör få ske även i andra fall än de som räknas upp i lagen. Det bör dock framhållas att lagstiftaren i vissa fall kan ha bedömt att vidarebehandling för ett nytt ändamål inte är tillåten. Reglering om detta har då införts. Vidare kan det – när svenska myndigheter mottar uppgifter från andra stater – finnas villkor som på grund av en internationell överenskommelse är bindande för de svenska myndigheterna och som begränsar möjligheten att använda uppgifterna. Ett utlämnande av personuppgifter måste givetvis också vara förenligt med offentlighets- och sekretesslagen för att det ska kunna ske. anser att promemorian inte i tillräcklig utsträckning behandlar vad som faktiskt utgör ett behov av att behandla personuppgifter och menar att även vissa andra begrepp behöver klargöras. Det är inte möjligt att ge en uttömmande beskrivning av de behov av att behandla personuppgifter som finns i den brottsbekämpande verksamheten. Regleringen måste därför ge möjlighet att, inom ramen för sitt uppdrag och de ramar för personuppgiftsbehandling som ställs upp i den nya lagen, bedöma vilka behov som föreligger. Behandling av en personuppgift får endast ske när det i enskilda fallet föreligger ett konkret behov av att behandla uppgiften för ett visst ändamål. I följande avsnitt och i författningskommentaren ges vissa exempel på uppgifter som behöver behandlas i brottsbekämpande verksamhet samt när det är nödvändigt att tillhandahålla information till andra verksamheter. 2016/17:89 Regleringen ska vara förenlig med dataskyddsprinciper Datainspektionen anser att det kan ifrågasättas om bestämmelserna om ändamål i promemorians förslag uppfyller kraven enligt grundläggande dataskyddsprinciper på att personuppgifter endast får samlas in för specifika och legitima ändamål och att de inte får användas på ett sätt som är oförenligt med dessa ändamål. I det följande presenteras förslagen på reglering avseende de primära och sekundära ändamålsbestämmelserna, samt förslaget avseende finalitetsprincipen. Regeringen bedömer att förslagen uppfyller kraven på förenlighet med relevanta dataskyddsprinciper. Förebygga, förhindra eller upptäcka brottslig Regeringens förslag: Personuppgifter ska få behandlas i Skatte- verkets brottsbekämpande verksamhet om det behövs för att före- bygga, förhindra eller upptäcka brottslig verksamhet. Promemorians förslag: Överensstämmer i sak med regeringens I promemorian föreslås en annan lagteknisk lösning. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över förslaget, utöver vad som framgår av avsnitt 9.10.1. Skälen för regeringens förslag: Vid avgränsningen av de primära ändamålen i brottsbekämpande verksamhet brukar i moderna författ- ningar dras en skiljelinje mellan verksamhet med att förebygga, förhindra eller upptäcka brottslig verksamhet och verksamhet som innefattar att utreda eller beivra konkreta brott. Verksamheten med att utreda brott eller beivra brott utförs med anledning av att ett konkret brott misstänks ha begåtts, medan verksamhet som avser att förebygga, förhindra eller upptäcka brottslig verksamhet utförs med anledning av misstankar om pågående brottslig verksamhet som inte kan konkretiseras, eller allmänna misstankar om framtida brott. Den sistnämnda verksamheten avser framför allt s.k. underrättelseverksamhet. I sådan verksamhet samlas uppgifter in om t.ex. förhållanden eller omständigheter som tyder på brottslig verksamhet eller om personer eller företag som eventuellt kan vara inblandade i brott. Informationen kan bearbetas och ligga till grund för analyser när det gäller förväntad eller pågående brottslighet. med underrättelseverksamhet är i huvudsak att ta fram underlag för vilken inriktning en verksamhet ska ha eller för att initiera konkreta För del lämnas underrättelseinformation till andra brottsbekämpande myndigheter, andra verksamheter inom eller till andra myndigheter. Som framgår av avsnitt 8.1 föreslås att den del av brotts- bekämpande verksamhet som inte är hänförlig till en brottsutredning, och som omfattar underrättelseverksamheten, ska beskrivas som verksamhet för att förebygga, förhindra och upptäcka brottslig verksamhet. I lagen om behandling av personuppgifter vid medverkan i brottsutredningar finns bestämmelser om när personuppgifter får behandlas i underrättelseverksamhet (se avsnitt 6). verksamhet avses enligt 2 § verksamhet som består i att samla, bearbeta och analysera information för att klarlägga om brottslig verksamhet har utövats eller kan komma att utövas och som inte utgör förundersökning enligt 23 kap. . Behandling av personuppgifter i underrättelseverksamhet är enligt lagen tillåten i två fall, dels inom ramen för en särskild undersökning, dels i ett särskilt underrättelseregister. Särskilda undersökningar kan sägas utgöra projekt inom vilka olika slag av brottslig verksamhet och brottsliga fenomen utreds. Har en särskild undersökning inletts får personuppgifter behandlas, om det finns anledning att anta att allvarlig brottslighet har utövats eller kan komma att utövas. Med allvarlig brottslig verksamhet avses verksamhet som innefattar brott för vilket är föreskrivet fängelse eller däröver. Ett underrättelseregister får föras för beslut om särskilda undersökningar avseende allvarlig brottslig verksamhet, eller för att underlätta tillgången till allmänna uppgifter med anknytning till underrättelseverksamhet. Ett underrättelseregister får, med vissa undantag, innehålla uppgifter som kan hänföras till en enskild person endast om uppgifterna ger anledning att anta att allvarlig brottslig verksamhet har utövats eller kan komma att utövas och den som avses med uppgifterna skäligen kan misstänkas för att ha utövat eller komma att utöva den allvarliga brottsliga verksamheten. Den tidigare polisdatalagen (1998:622) var uppbyggd på ett sätt som liknar lagen om behandling av personuppgifter vid medverkan i brottsutredningar. Även i den lagen användes begreppet kriminalunderrättelseverksamhet enligt samma definition som gäller för underrättelseverksamhet i lagen som reglerar personuppgiftsbehandling. I kriminalunderrättelseverksamhet fick personuppgifter behandlas endast inom ramen för särskilda undersökningar eller i kriminalunderrättelseregister. Samma krav på allvarlig brottslighet gällde även enligt den tidigare polisdatalagen. Vid införandet av den nya polisdatalagen gjordes bedömningen att den dittills gällande regleringen hade gett upphov till tillämpningssvårigheter. Bland annat täckte definitionen av underrättelseverksamhet in även sådan behandling av personuppgifter som rimligen inte var så känslig att den behövde regleras särskilt. Den omfattade, utöver det arbete som skedde inom ramen för särskilda undersökningar, även polisens dagliga löpande arbete med att hantera information som på olika sätt kan bidra till att förebygga, förhindra eller upptäcka brottslig verksamhet. Eftersom den gällande lagstiftningen utgick ifrån att all behandling av uppgifter för de aktuella ändamålen skulle ske inom ramen för särskilda undersökningar eller kriminalunderrättelseregister, hade lagen kommit att försvåra polisens arbete med att arbeta brottsförebyggande (prop. 2009/10:85 s. 102 f.). Begreppet underrättelseverksamhet kom inte att användas i den nya polisdatalagen. Den lagen innehåller, i likhet med kustbevakningsdatalagen och lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet, i stället bestämmelser om behandling av personuppgifter för ändamålen förebygga, förhindra eller upptäcka brottslig verksamhet. Polisdatalagen bygger inte heller på någon skiljelinje mellan uppgifter som behandlas i projektform, motsvarande bestämmelserna om särskilda undersökningar, och annan behandling. Däremot gäller olika regler för behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga och annan 2016/17:89 behandling. För behandling av uppgifter som har gjorts gemensamt tillgängliga gäller ett flertal begränsande bestämmelser som syftar till att åstadkomma en väl avvägd balans mellan verksamhetsintressen och integritetsskyddsintressen. För övrig behandling som behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet har det bedömts vara tillräckligt från integritetssynpunkt att grundläggande dataskyddsbestämmelser gäller (s. 103).