prop · H40389 · 2017-02-07 00:00:00 — Sekretessen gäller mellan den brottsbekämpande verksamheten och övriga verksamheter inom , eftersom den brottsbekämpande verksamheten är självständig i förhållande till dessa (jfr 8 kap. 2 § offentlighets- och sekretesslagen). En sekretessbrytande bestämmelse måste därför vara tillämplig för att sekretessbelagda uppgifter ska få lämnas ut. T.ex. kan generalklausulen 10 kap. 27 § offentlighets- och sekretesslagen bli tillämplig. Förslaget genomförs genom 2 kap. 6 § första stycket 3 i den nya lagen. Tillhandahållande av information i vissa andra fall I polisdatalagen och kustbevakningsdatalagen finns reglering om att respektive får behandla personuppgifter när det är nödvändigt för att tillhandahålla information som behövs i en myndighets verksamhet under förutsättning att respektive enligt lag eller förordning är skyldig att bistå myndigheten med viss uppgift (2 kap. 8 § första stycket 7 a polisdatalagen och 3 kap. 3 § första stycket 4 a kustbevakningsdatalagen). En bestämmelse som täcker in dessa behov för bör enligt regeringens mening tas in i den nya lagen. Regeringen föreslår därför att en bestämmelse om att personuppgifter som behandlas enligt den föreslagna 2 kap. 5 § även ska få behandlas när det är nödvändigt för att tillhandahålla information som behövs i en myndighets verksamhet, om enligt lag eller förordning är skyldigt att bistå myndigheten med viss uppgift. Det bör i den nya lagen anges att personuppgifter får behandlas, om det är nödvändigt för att tillhandahålla information till och regeringen. Det bör även anges att uppgifter får behandlas för att lämnas ut till annan, om enligt lag eller förordning är skyldig att tillhandahålla sådan information. Förslaget genomförs genom 2 kap. 6 § första stycket 4 a och andra stycket i den nya lagen. Som framgår av avsnitt 9.10.1 anser regeringen att i fråga om behandling av personuppgifter för andra sekundära ändamål än de i lagen angivna ska den s.k. finalitetsprincipen tillämpas. Skälen för detta redovisas i det Regeringen föreslår därför en bestämmelse som motsvarar t.ex. Prop. 2016/17:89 vad som finns i 3 kap. 3 § tredje stycket kustbevakningsdatalagen och 2 kap. 8 § fjärde stycket polisdatalagen, nämligen att i ett enskilt fall ska personuppgifter som behandlas i brottsbekämpande verksamhet även få behandlas för att tillhandahålla information för något annat ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in. Förslaget genomförs genom 2 kap. 6 § tredje stycket i den nya lagen. 9.10.6Behandling som är nödvändig för diarieföring och handläggning Regeringens förslag: Personuppgifter ska alltid få behandlas i brottsbekämpande verksamhet om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. Promemorians förslag: Överensstämmer i sak med regeringens förslag. Promemorians förslag är något annorlunda utformat. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över förslaget. Skälen för regeringens förslag: Inkomna uppgifter kan utgöra allmän handling i tryckfrihetsförordningens mening. Skyldigheten att registrera allmänna handlingar enligt 5 kap. 1 § offentlighets- och sekretesslagen måste alltid kunna fullgöras. Vidare gäller enligt 5 § andra stycket förvaltningslagen (1986:223) att en myndighet ska se till att det är möjligt för enskilda att kontakta myndigheten med hjälp av bl.a. e-post och att svar kan lämnas på samma sätt. I likhet med hur bl.a. polisdatalagen är utformad anser regeringen att det bör införas en bestämmelse som säkerställer att alltid kan diarieföra allmänna handlingar och ta emot och behandla personuppgifter i en handling i enlighet med förvaltningslagens bestämmelser. Bestämmelsen tar sikte på behandling som inte ryms inom de primära ändamålen. Förslaget genomförs genom 2 kap. 7 § i den nya lagen. 9.11Behandling av känsliga personuppgifter Regeringens förslag: Uppgifter om en person ska inte få behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (känsliga personuppgifter). Uppgifter om en person som behandlas på annan grund ska dock få kompletteras med känsliga personuppgifter när det är absolut nödvändigt för syftet med behandlingen. Känsliga personuppgifter ska också få behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. 2016/17:89 Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Promemorians förslag: Överensstämmer i sak med regeringens förslag. Promemorians förslag är något annorlunda utformat. Remissinstanserna: Datainspektionen anför att det inte framgår av promemorian vilka skäl som motiverar en utvidgning av möjligheter att behandla känsliga personuppgifter inom ramen för underrättelseverksamheten. Säkerhetspolisen anser att det är oklart vad som utgör ”annat liknande förhållande” i promemorians lagförslag. Skälen för regeringens förslag: I lagstiftning om behandling av personuppgifter intar känsliga personuppgifter en särställning. Enligt 13 § personuppgiftslagen är det i princip förbjudet att behandla känsliga personuppgifter utan enskildas samtycke. Med känsliga personuppgifter avses i den bestämmelsen uppgifter som avslöjar en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Enligt dagens reglering i 4 § lagen om behandling av personuppgifter vid medverkan i brottsutredningar får uppgifter om en person inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Om uppgifter om en person behandlas på annan grund får uppgifterna kompletteras med sådana uppgifter om det är oundgängligen nödvändigt för syftet med behandlingen. Känsliga personuppgifter får dock inte behandlas i underrättelseverksamheten. Skälet till att sådan behandling inte tillåts är att det har bedömts finnas större möjligheter i underrättelseverksamhet att undvara känsliga personuppgifter utan att det påverkar den pågående undersökningen, se propositionen Behandling av personuppgifter i skattemyndigheternas brottsutredande verksamhet, m.m. (prop. 1998/99:34 s. 35). Datainspektionen anser att det inte framgår vilka skäl som motiverar möjligheten att behandla känsliga personuppgifter i underrättelseverksamhet. Det bör framhållas att det är mycket ovanligt att det finns ett behov att behandla känsliga personuppgifter i underrättelseverksamhet. Regeringen anser dock att dagens reglering är alltför begränsande. I de fall det bedöms vara absolut nödvändigt för att syftet med en behandling av personuppgifter ska kunna uppnås bör det vara tillåtet att komplettera uppgifterna med känsliga personuppgifter, även vid behandling som sker i underrättelseverksamhet. Ett sådant behov kan t.ex. uppstå vid myndighetsöverskridande samverkan. Som framhållits tidigare bör regleringen för de olika brottsbekämpande myndigheterna utformas på ett sätt som inte försvårar samarbete mellan myndigheterna. Det finns ett stort värde i en enhetlig lagstiftning kring vilka typer av uppgifter som får behandlas. Regeringen anser mot den bakgrunden att behandling av känsliga personuppgifter ska vara tillåten även i underrättelseverksamheten. Vidare måste känsliga personuppgifter få behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. I promemorians förslag används uttrycket ”personens etniska ursprung Prop. 2016/17:89 eller annat liknande förhållande”. Begreppet ras förekommer inte i Säkerhetspolisen anser att det är oklart vad som utgör ett sådant annat förhållande. Såvitt avser begreppet ras har i andra lagstiftningsärenden uttalat att det inte finns någon vetenskaplig grund för att dela in människor i skilda raser och ur biologisk synpunkt följaktligen heller ingen grund för att använda ordet ras om människor. Ordet ras förekommer dock förutom i personuppgiftslagen även t.ex. i polisdatalagen och kustbevakningsdatalagen. I samband med lagstiftningsärendet om kustbevakningsdatalagen kom regeringen efter omfattande överväganden fram till att det inte var lämpligt att i ett enstaka specifikt lagstiftningsärende utmönstra ordet ras och därmed ändra den vedertagna beskrivningen av känsliga personuppgifter. Även ordet ras skulle därför föras över till den nya lagen. Regeringen avser inte att i detta lagstiftningsärende behandla frågan om en översyn av begreppet. Det kan dock nämnas att frågan behandlas i betänkandet SOU 2015:103 Ett utvidgat straffrättsligt skydd för transpersoner m.m. och även kan komma att aktualiseras i samband med genomförandet av det nya dataskyddsdirektivet. Uppgifter om en persons utseende omfattas normalt inte av definitionen av känslig personuppgift. I 2 kap. 10 § polisdatalagen och 2 kap. 7 § kustbevakningsdatalagen anges att uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Regeringen bedömer att det är lämpligt att införa en sådan bestämmelse även i den föreslagna lagen. Förslaget genomförs genom 2 kap. 8 § i den nya lagen. 9.12.1Utlämnande på medium för automatiserad behandling Regeringens förslag: Enstaka personuppgifter ska få lämnas ut på medium för automatiserad behandling. I lagen ska det också upplysas om att regeringen kan meddela föreskrifter om att uppgifter får lämnas ut på ett sådant medium även i andra fall. Promemorians förslag: Överensstämmer delvis med regeringens förslag. I promemorians förslag anges i lagen att begränsningen till enstaka personuppgifter inte gäller myndigheter som har rätt att ta del av personuppgifter som gjorts gemensamt tillgängliga. Promemorians förslag är också något annorlunda utformat. Remissinstanserna: anser att en reglering som ger parter och deras ombud, biträde eller försvarare rätt att få ut uppgifter elektroniskt är att föredra, eftersom den ger försvararen samma möjlighet som åklagaren att få tillgång till omfattande förundersökningar elektroniskt. Säkerhetspolisen anser, mot bakgrund av uttalanden i promemorian, att det är oklart vad som anses vara enstaka personuppgifter och ser gärna en tolkning som överensstämmer med den i polisdatalagen. Skälen för regeringens förslag: Av effektivitetsskäl kan uppgifter behöva lämnas ut i elektronisk form på medium för automatiserad Inte bara direktåtkomst utan även utlämnande av person- uppgifter på medium för automatiserad behandling anses dock medföra särskilda risker från integritetssynpunkt. Ett sådant utlämnande innebär nämligen som regel att mottagaren kan bearbeta informationen, t.ex. genom att samköra den mot elektroniska uppgifter som har hämtats från Det ökar riskerna för att uppgifterna ska behandlas i strid med de grundläggande kraven på dataskydd. nande i elektronisk form skapar också möjlighet för myndigheter att inrätta rutiner som innefattar dagliga överföringar av större mängder av I lagen om behandling av personuppgifter vid medverkan i brottsutredningar finns inga bestämmelser som reglerar när uppgifter får lämnas ut på medium för automatiserad behandling. polisdatalagen och kustbevakningsdatalagen finns dock särskilda bestämmelser om möjligheten att lämna ut uppgifter på sådant sätt. den bakgrunden anser regeringen att förutsättningarna för utlämnande på medium för automatiserad behandling bör författningsregleras även när det gäller brottsbekämpande verksamhet. Enligt de ovan nämnda lagarna om behandling av personuppgifter i andra brottsbekämpande verksamheter gäller som huvudregel att endast enstaka personuppgifter får lämnas ut på medium för automatiserad behandling, t.ex. genom e-post, när förutsättningarna för ett utlämnande i övrigt är uppfyllda. En bestämmelse med samma innehåll finns även i lagen om behandling av uppgifter i brottsbekämpande Regeringen anser inte att det finns skäl när det gäller just brottsbekämpande verksamhet att ha en annan utgångspunkt. regeln bör därför vara att endast enstaka personuppgifter får lämnas ut på medium för automatiserad behandling, t.ex. genom e-post. föreslår därmed i likhet med promemorian att enstaka personuppgifter ska få lämnas ut på medium för automatiserad behandling. Säkerhetspolisen anser att det är oklart vad som anses vara enstaka personuppgifter och ser gärna en tolkning som överensstämmer med den I samband med lagstiftningsärendena om polisdatalagen och kustbevakningsdatalagen har regeringen angett att det är svårt att i lagtext närmare ange innebörden av begreppet enstaka. sammanhanget även påpekats att begreppet enstaka har en annan innebörd än i vanligt språkbruk (prop. 2009/10:85 s. 333 och prop. 2011/12:45 s. 98). Regeringen har inte någon annan syn i frågan när det gäller nu aktuellt lagstiftningsärende. Uttrycket enstaka i nu föreslagen bestämmelse i den nya lagen ska ha samma innebörd som i polisdata- lagen och kustbevakningsdatalagens motsvarande bestämmelser om I lagen bör upplysas om att regeringen kan meddela föreskrifter om att personuppgifter får lämnas ut på medium för automatiserad behandling även i andra fall. Det görs därvid en uttrycklig hänvisning till 8 kap. 7 § Med hänsyn till att lagen ska vara teknikneutral bör det t.ex. inte gälla några begränsningar i fråga om utlämnande på medium för automatiserad behandling för de myndigheter som medges direktåtkomst. Regeringen avser att i förordning meddela föreskrifter om detta. ankommer på att avgöra vilken form av elektroniskt utläm- Prop. 2016/17:89 nande som bäst tillgodoser det behov som finns och som är mest lämplig. Vid den bedömningen behöver utvecklingen beträffande begreppet direktåtkomst beaktas (se t.ex. avsnitt 5.4.2). anser att en reglering som ger parter och deras ombud, biträde eller försvarare rätt att få ut uppgifter elektroniskt är att föredra, eftersom den ger försvararen samma möjlighet som åklagaren att få tillgång till omfattande förundersökningar elektroniskt. Regeringen vill med anledning av detta framhålla följande. Det kan uppkomma behov för att kunna lämna ut större mängder med uppgifter i vissa fall. Det finns därför skäl att överväga att i förordning medge utlämnande på medium för automatiserad behandling även i andra fall. Som exempel kan nämnas just utlämnande av en förundersökning eller annan utredning enligt bestämmelserna i 23 kap. till t.ex. försvarare eller annat juridiskt biträde. Bestämmelser som möjliggör sådant utlämnande har införts i t.ex. 18 § polisdataförordningen (2010:1155) och 8 § åklagardataförordningen (2015:575). Även utlämnande av statistik till kan komma att regleras. Förslaget genomförs genom 2 kap. 15 § i den nya lagen. Regeringens förslag: Utlämnande av personuppgifter genom direktåtkomst ska vara tillåtet bara i den utsträckning som följer av lagen. Det ska införas en bestämmelse som hänvisar till var i lagen det finns bestämmelser om direktåtkomst. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över Skälen för regeringens förslag: I lagen om behandling av personuppgifter vid medverkan i brottsutredningar finns inga bestämmelser om direktåtkomst. Bestämmelserna om direktåtkomst i polisdatalagen och kustbevakningsdatalagen innefattar en uttömmande reglering av möjligheten till direktåtkomst, genom att det anges när det är tillåtet med direktåtkomst. För att uppnå tydlighet bör det enligt regeringens mening i den nya lagen finnas en sådan uttrycklig bestämmelse som finns i 2 kap. 21 § polisdatalagen och 2 kap. 9 § kustbevakningsdatalagen. Det ska alltså anges att utlämnande genom direktåtkomst bara är tillåtet i den utsträckning som följer av lagen. Vidare bör det upplysas om var i lagen det finns bestämmelser om direktåtkomst. Förslaget genomförs genom 2 kap. 16 § i den nya lagen. Regeringens förslag: Bestämmelsen i lagen om behandling av personuppgifter vid medverkan i brottsutredningar om sökbegränsningar vid skattebrottsenhetens sökning i beskattnings- databasen, ska oförändrad i sak föras över till den nya lagen. Vid sökning i beskattningsdatabasen som görs i brottsbekämpande verksamhet ska således endast uppgift om namn, personnummer eller samordningsnummer få användas som sökbegrepp. Promemorians förslag: Överensstämmer inte med regeringens förslag. Promemorian innehåller ingen motsvarande bestämmelse. Remissinstanserna: Ingen remissinstans har uttalat sig i frågan. Skälen för regeringens förslag: Av 2 kap. 7 § lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet framgår att skattebrottsenheten får ha direktåtkomst till vissa kategorier av uppgifter i beskattningsdatabasen. Sekretessbrytande regler finns i förordningen (2001:588) om behandling av uppgifter i beskattningsverksamhet. Vissa särskilda sökbegränsningar gäller för skattebrottsenheten vid direktåtkomsten. Av 14 a § lagen om behandling av personuppgifter vid medverkan i brottsutredningar följer att endast uppgifter om namn, person- eller samordningsnummer får användas som sökbegrepp rörande fysiska personer. Av bestämmelsen följer att det inte är möjligt för skattebrottsenheterna att använda sig av urvalsprogram eller liknande vid sökningarna, se propositionen Effektivare skattekontroll m.m. (prop. 2005/06:169 s. 133). Några skäl att ändra den aktuella bestämmelsen om sökbegränsningar har inte framkommit. Eftersom lagen om behandling av personuppgifter vid medverkan i brottsutredningar föreslås upphävas, förs bestämmelsen oförändrad i sak över till den nya lagen. Förslaget genomförs genom 2 kap. 9 § i den nya lagen. 9.14Särskilda bestämmelser för gemensamt tillgängliga uppgifter Regeringens förslag: Den nya lagen ska innehålla särskilda bestämmelser om behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga. Uppgifter som endast ett fåtal personer har rätt att ta del av ska inte anses som gemensamt tillgängliga. De särskilda bestämmelserna om gemensamt tillgängliga uppgifter ska inte gälla när personuppgifter behandlas med stöd av bestämmelserna om diarieföring m.m. Promemorians förslag: Överensstämmer i sak med regeringens förslag. Bestämmelsen om gemensamt tillgängliga uppgifter är dock något annorlunda utformad. Remissinstanserna: Kammarrätten i anser att det behov av noggranna riktlinjer för tillämpningen av uttrycket ”gemensamt tillgängliga uppgifter” som Kammarrätten i underströk i sitt remissyttrande beträffande polisdatalagen alltjämt är av vikt vid det fortsatta arbetet med att reformera lagstiftningen avseende de brottsbekämpande myndigheternas behandling av personuppgifter. inspektionen anser att det är tveksamt om dataskyddsnivån i den känsliga brottsbekämpande verksamheten ska vara beroende av hur många som faktiskt har tillgång till uppgifterna. Det är enligt Datainspektionens mening rimligt att uppgifternas art, struktur och antal på något sätt beaktas i fråga om regleringen av hur de ska hanteras. kan också innebära svårigheter för de befattningshavare som behandlar uppgifter att avgöra om uppgifterna är att anse som gemensamt tillgäng- liga eller inte och vilket regelverk som ska tillämpas. regleringen av vad som utgör gemensamt tillgängliga uppgifter bör följa den struktur som finns i polisdatalagen. Skälen för regeringens förslag Det bör finnas särskilda bestämmelser för uppgifter som flera personer Den nya lagen kommer att gälla för all automatiserad behandling av personuppgifter i brottsbekämpande verksamhet. innebär att inte bara uppgifter som behandlas i för verksamheten gemensamma uppgiftssamlingar, t.ex. register eller ärendehanterings- system, kommer att omfattas utan även sådan behandling som utförs av en enskild tjänsteman eller en begränsad grupp personer, t.ex. vanlig ordbehandling och e-postkommunikation. Som regeringen framhållit i bl.a. lagstiftningsärendet om polisdatalagen är risken för otillbörliga intrång i den personliga integriteten större när personuppgifter används av flera gemensamt i verksamheten än när personuppgifter behandlas av en enskild tjänsteman vid den egna datorn, utan att någon annan har åtkomst till uppgifterna (prop. 2009/10:85 s. 68). Det har därför ansetts nödvändigt att införa särskilda och mer begränsande regler för behandling av uppgifter som används av eller i vart fall är tillgängliga för fler än ett fåtal personer. I polisdatalagen och kustbevakningsdatalagen används uttrycket gemensamt tillgängliga uppgifter för att ringa in och beskriva sådan behandling. Datainspektionen anser att det är tveksamt om dataskyddsnivån i den känsliga brottsbekämpande verksamheten ska vara beroende av hur många som faktiskt har tillgång till uppgifterna. inte skäl att i detta sammanhang göra någon annan bedömning än den som gjorts i tidigare lagstiftningsärenden. För behandling av uppgifter som inte har gjorts gemensamt tillgängliga gäller grundläggande dataskyddsbestämmelser och vissa allmänna bestämmelser i den nya Som framhålls i avsnitt 9.10.2 kommer den allra största delen av den personuppgiftsbehandling som sker i brottsbekäm- pande verksamhet att omfattas av bestämmelserna om gemensamt Regeringen anser mot den bakgrunden att även den nya lagen bör innehålla särskilda bestämmelser om behandling av gemensamt tillgängliga uppgifter. Med sådana uppgifter avses uppgifter som fler än endast ett fåtal personer inom myndigheten har rätt att ta del Det bör införas en inledande bestämmelse i kapitlet om gemensamt tillgängliga uppgifter som upplyser om innehållet i kapitlet och av vilken det framgår vad som avses med gemensamt tillgängliga uppgifter. anser att regleringen av vad som utgör gemensamt tillgäng- liga uppgifter bör följa den struktur som finns i polisdatalagen. 2016/17:89 rätten i framhåller behovet av noggranna riktlinjer för tillämpningen av uttrycket gemensamt tillgängliga uppgifter. Uttrycket gemensamt tillgängliga uppgifter i den nya lagen är avsett att ha samma betydelse i den nya lagen som i de övriga författningarna om behandling av personuppgifter i brottsbekämpande verksamheter. Nedan behandlas frågan om gränsdragningen mellan sådana uppgifter och andra uppgifter som behandlas. Gränsdragningen mellan gemensamt tillgängliga uppgifter och andra personuppgifter I förarbetena till polisdatalagen (prop. 2009/10:85 s. 127 f.) och kustbevakningsdatalagen (prop. 2011/12:45 s. 73 f.) har gjorts uttalanden om den närmare gränsdragningen mellan behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga och annan behandling. Att en uppgift ”är tillgänglig” för en viss person bör förstås så att personen har såväl faktisk möjlighet att ta del av uppgiften som rättslig behörighet till det. Det bör däremot inte spela någon roll hur många personer som faktiskt tar del av de aktuella uppgifterna. Det bör inte heller ha någon betydelse om den som har tillgång till uppgiften kan påverka den eller bara läsa den. Detta innebär till att börja med att personuppgifter blir att anse som gemensamt tillgängliga om de behandlas för att en obestämd krets ska kunna ta del av uppgifterna. Om den införda uppgiften genom tekniska begränsningar har åtkomstskyddats i sådan utsträckning så att den rent faktiskt inte är tillgänglig för fler än en eller ett fåtal tjänstemän är uppgiften inte att anse som gemensamt tillgänglig. Även i vissa fall där den personkrets som har tillgång till uppgifterna är bestämd och avgränsad bör personuppgifterna anses vara gemensamt tillgängliga. Det gäller t.ex. då uppgifterna är tillgängliga för ett större antal bestämda personer.