sou · H5B329 · 2017-04-05 00:00:00 — Att en felaktig eller ofullständig personuppgift rättas eller kompletteras kan innebära att den ersätts av en annan uppgift som är korrekt ur ett objektivt perspektiv eller kompletteras med en uppgift om de rätta förhållandena så att den blir fullständig i objek- tiv mening. Det kan vara fråga om t.ex. ett felaktigt namn eller att endast delar av ett namn har återgetts i en handling. Det kan även vara fråga om något fel som uppstått på grund av ett tekniskt förfarande. Det ska alltså röra sig om ett fel eller en ofullständighet på grund av något som inte bygger på en bedömning. I ramlagen bör det regleras att den personuppgiftsansvarige på begäran ska rätta eller komplettera personuppgifter som rör den registrerade om de är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen. Att den personuppgiftsansvarige ska ta hänsyn till ändamålet med behandlingen vid bedömningen av om felaktiga personuppgifter ska rättas framgår av artikel 4.1 d. Det är dessutom en nödvändig del av prövningen av om en personuppgift är felaktig. Den registrerade bör inte ges rätt att kräva att den personupp- giftsansvarige rättar inaktuella uppgifter. Rätten till rättelse i arti- kel 16.1 omfattar nämligen inte inaktuella uppgifter. Däremot är den personuppgiftsansvarige skyldig att – om det är nödvändigt – självmant uppdatera uppgifter som är inaktuella (se avsnitt 9.2.6). En felaktig uppgift kan också rättas på det sättet att den tas bort utan att ersättas. Om en uppgift om en person har antecknats fel- aktigt i ett register, t.ex. om förväxling med en annan person har lett till en felaktig anteckning i misstankeregistret eller belastnings- registret, ska uppgiften rättas genom att den tas bort från registret (jfr JO:s kritik mot bl.a Säkerhetspolisen för passivitet i ett ärende om rättelse av uppgifter i belastningsregistret i JO 2007/08 s. 67). Utredningens förslag: På begäran av den registrerade ska den personuppgiftsansvarige utan onödigt dröjsmål radera person- uppgifter som rör honom eller henne om de behandlas på otill- låtet sätt. Detsamma gäller om radering krävs för att den per- sonuppgiftsansvarige ska utföra en rättslig förpliktelse. Skälen för utredningens förslag Innehållet i direktivet och nuvarande reglering Enligt artikel 16.2 har den registrerade rätt att begära att den per- sonuppgiftsansvarige utan onödigt dröjsmål raderar personuppgif- ter som rör den registrerade dels om behandlingen står i strid med de bestämmelser som antas enligt artiklarna 4, 8 och 10, dels om det krävs för att den personuppgiftsansvarige ska utföra en rättslig förpliktelse. Enligt artikel 4.1 d är den personuppgiftsansvarige skyldig att på eget intiativ se till att vissa personuppgifter raderas. Enligt 28 § personuppgiftslagen, som genomför artikel 12 b i det nu gällande direktivet, är den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med per- sonuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen. Radering om personuppgifter behandlas i strid med ramlagen På samma sätt som när det gäller rättelse bör radering kunna göras dels på den personuppgiftsansvariges eget initiativ, dels på begäran av registrerade. I avsnitt 9.2.6 behandlas den personuppgiftsansva- riges skyldighet att självmant vidta åtgärder om personuppgifter behandlas i strid med vissa bestämmelser i ramlagen. Rätten för registrerade att i motsvarande fall begära att den personuppgiftsan- svarige raderar uppgifterna bör regleras i ramlagen. Hur personuppgifter ska behandlas diskuteras i kapitel 9. Där föreslås att det i ramlagen ska tas in bestämmelser om att person- uppgifter ska vara adekvata och relevanta, att inte fler personupp- gifter än nödvändigt får behandlas och att de bara får behandlas om det finns en rättslig grund och för särskilt angivna ändamål. Vidare föreslås att det ska regleras i vilken utsträckning känsliga person- uppgifter får behandlas och hur länge personuppgifter får behand- las. Frågan om en personuppgift bör raderas får bedömas mot bak- grund av dessa bestämmelser. Vid bedömningen ska även 2 kap. tryckfrihetsförordningen och det arkivrättsliga regelverket beaktas. Radering för att utföra en rättslig förpliktelse Utredningen föreslår i avsnitt 9.2.6 att den personuppgiftsansvarige ska vara skyldig att på eget initiativ radera personuppgifter om det krävs för att utföra en rättslig förpliktelse. Den registrerade bör därför också kunna begära att personuppgifter raderas på denna grund, vilket bör framgå av ramlagen. Uttrycket rättslig förpliktel- se syftar enligt utredningens mening på en skyldighet som åligger den personuppgiftsansvarige enligt ramlagen, den behöriga myn- dighetens registerförfattning eller andra författningar med be- stämmelser om personuppgiftsbehandling. Ett domstolsbeslut som innebär att personuppgiften ska raderas kan också vara en rättslig förpliktelse (jfr mot ). Även i dessa fall ska 2 kap. tryckfrihetsförordningen och det arkivrättsliga regelver- ket beaktas. Uppgifter i allmänna handlingar En grundläggande princip i svensk rätt är att allmänheten ska ha insyn i det allmännas verksamhet. I 2 kap. 18 § tryckfrihetsförord- ningen föreskrivs därför att grundläggande bestämmelser om hur allmänna handlingar ska bevaras och om gallring och annat avhän- dande av sådana handlingar ska meddelas i lag. Det som åsyftas är arkivlagen (1990:782), vilken kompletteras av arkivförordningen (1991:446) och föreskrifter. Många av de behöriga myndigheternas handlingar är allmänna och omfattas därmed av offentlighetsprincipen. Arkivlagstiftningen har företräde framför personuppgiftslagstiftningen på så sätt att intresset av att bevara allmänna handlingar har prioritet framför skyddet för personlig integritet. Det framgår av 8 § andra stycket personuppgiftslagen. I avsnitt 9.3.2 föreslås att en motsvarande be- stämmelse ska tas in i ramlagen. Utrymmet för att radera uppgifter i allmänna handlingar begränsas därmed av arkivlagstiftningen. Eftersom radering av uppgifter innebär att personuppgifter tas bort från informationssamlingar på ett sådant sätt att de inte kan åter- skapas, bör en sådan åtgärd bara vidtas om den är förenlig med arkivlagstiftningen. För att radera personuppgifter i allmänna hand- lingar krävs därför författningsstöd för gallring. Utrymmet för att radera personuppgifter i allmänna handlingar på grund av att per- sonuppgifterna inte har behandlats författningsenligt förefaller därför vara begränsat (jfr bl.a. SOU 2015:39 s. 529 och 573 f.). Utredningens förslag: Om förutsättningarna för att radera per- sonuppgifter är uppfyllda, men uppgifterna behöver finnas kvar som bevisning, ska den personuppgiftsansvarige på begäran av den registrerade i stället utan onödigt dröjsmål begränsa be- handlingen av dem. Om den registrerade bestrider att personuppgifter som rör honom eller henne är korrekta och det inte kan fastställas, ska den personuppgiftsansvarige utan onödigt dröjsmål begränsa behandlingen av uppgifterna. Skälen för utredningens förslag Enligt artikel 16.3 ska den personuppgiftsansvarige, i stället för att radera personuppgifterna, kunna begränsa behandlingen av dem dels om den registrerade bestrider att personuppgifterna är kor- rekta och det rätta förhållandet inte kan fastställas, dels om person- uppgifterna ska sparas som bevisning. Uttrycket begränsning av behandling definieras i artikel 3.3 som en markering av lagrade per- sonuppgifter med syftet att begränsa behandlingen av dem i fram- tiden. Dagens motsvarighet till begränsning av behandling är blockering. Blockering av personuppgifter definieras i 3 § personuppgiftslagen som en åtgärd som vidtas för att personuppgifterna ska vara för- knippade med information om att de är spärrade och om anled- ningen till spärren, för att personuppgifterna inte ska lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen. Det innebär att blockerade personuppgifter får användas internt av den personuppgiftsansvarige och av personuppgiftsbiträdet, under förutsättning att det framgår att uppgifterna är spärrade och anled- ningen till åtgärden. Däremot får personuppgifterna inte lämnas ut till tredje man, förutom enligt 2 kap. tryckfrihetsförordningen (prop. 1997/98:44 s. 117). Enligt 28 § personuppgiftslagen är, som tidigare nämnts, den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller före- skrifter som har utfärdats med stöd av lagen. Vad avses med begränsning av behandling? Frågan är vad som i direktivet åsyftas med att behandling av per- sonuppgifter begränsas. Där definieras begränsning av behandling som en markering av lagrade personuppgifter i syfte att begränsa behandlingen av dem . Det skiljer sig från blockering, som innebär att personuppgifterna förses med information om att de inte ska lämnas ut till tredje man (annat än med stöd av offent- lighetsprincipen) och om anledningen till det. Sådana personupp- gifter får dock fortfarande behandlas av den personuppgiftsansva- rige eller av personuppgiftsbiträden. Av skäl 47 framgår att om behandlingen av personuppgifter har begränsats i stället för att de raderas, bör uppgifterna endast be- handlas för det ändamål som förhindrade raderingen. Som exempel på begränsning av behandling anges att personuppgifterna flyttas till ett annat databehandlingssystem, t.ex. ett system för arkivering, eller att uppgifterna görs otillgängliga med hjälp av tekniska medel. Det talar för att begränsning av behandling i direktivets mening är något utöver enbart en markering av personuppgifterna. Utred- ningen anser att behandlingen ska begränsas redan i samband med markeringen för att åtgärden ska bli effektiv. Det innebär att direktivets definition blir missvisande. En definition som uttalar att begränsning av behandling är en åtgärd som visar att behandlingen av personuppgifter har begränsats tillför inte något i sak. Uttrycket bör därför inte definieras. Begränsning när personuppgifterna behöver finnas kvar som bevisning Begränsning av behandling kan aktualiseras om personuppgifterna behöver finnas kvar som bevisning. Begränsningen ska då göras i stället för att radera personuppgifterna. Radering kan bara komma i fråga om uppgifterna behandlas otillåtet (se avsnitt 11.4.2). I skäl 47 framhålls att behandlingen av personuppgifter bör begrän- sas snarare än att uppgifterna raderas, om det finns rimliga skäl att anta att en radering skulle kunna påverka den registrerades legitima intressen. Ett exempel kan vara att uppgifterna kan behövas som bevisning i en rättsprocess om skadestånd för otillåten personupp- giftsbehandling. Det kan ligga både i den registrerades och i det allmännas intresse att personuppgifter i vissa fall behålls i stället för att raderas. Det är oklart vad som avses i direktivet med att person- uppgifterna behöver sparas som bevisning. Det kan tolkas som att uppgifterna behövs som bevisning om vad som förekommit vid personuppgiftsbehandlingen. Det skulle dock även kunna syfta på att det är fråga om uppgifter som behövs som bevisning i det all- männas intresse, dvs. för något av direktivets huvudsyften brotts- bekämpning, lagföring eller straffverkställighet. Mot det talar skäl 47, som enbart hänvisar till den registrerades legitima intres- sen. Utredningen anser därför att begränsning av behandlingen i stället för radering bara bör komma ifråga när personuppgifterna behöver sparas som bevisning om hur de har behandlats. Om per- sonuppgifter behålls i bevissyfte bör enligt utredningens mening uppgifterna endast få behandlas för det ändamål som förhindrade radering. Ett exempel på att personuppgifter har sparats som bevisning är det s.k. kringresanderegistret där uppgifter behandlades i strid med polisdatalagen och där uppgifterna därför togs bort. Två kopior sparades dock för att myndigheten skulle kunna besvara frågor om vilka som förekom i registret och för att uppgifterna eventuellt skulle kunna användas som bevisning (se bl.a. SOU 2015:39 s. 574 och 645 f.). Begränsning när personuppgifternas korrekthet bestrids Begränsning av behandlingen kan också komma i fråga om den registrerade bestrider att personuppgifterna är korrekta, men det inte är möjligt att fastställa om så är fallet. En felaktig personupp- gift ska rättas utan onödigt dröjsmål. Om den personuppgiftsan- svariges utredning om den omstridda personuppgiften inte kan slutföras tillräckligt snabbt bör behandlingen begränsas under ut- redningstiden. Uppgifterna får då inte behandlas av den personupp- giftsansvarige eller personuppgiftsbiträden annat än för det ända- mål som föranledde begränsningen. Om det efter utredning visar sig att personuppgifterna är korrekta kan behandlingen av dem fortsätta som . Begränsningen bör då upphävas. ska dock den registrerade underrättas om att begränsningen upp- hör (se avsnitt 11.5.8). Skulle det visa sig att personuppgifterna är felaktiga ska den personuppgiftsansvarige rätta dem, varefter be- gränsningen kan upphöra. Begränsning på denna grund ska enligt direktivet användas i stället för radering. Åtgärden kan emellertid enligt utredningens uppfattning inte vara ett alternativ till radering, eftersom den ska användas när uppgifters korrekthet bestrids och därför knyter an till rättelseförfarandet. Åtgärd som visar att behandlingen har begränsats Den personuppgiftsansvarige ska vidta en åtgärd med personupp- gifterna som visar att behandlingen har begränsats. Hur begräns- ningen bör göras får bedömas med utgångspunkt i vad som är lämpligt i det enskilda fallet. En naturlig åtgärd kan vara att avskilja uppgifterna från det datasystem där de behandlas. Begränsningen kan också ha formen av en teknisk begränsning, vilket kan vara en lämplig åtgärd medan personuppgifternas korrekthet utreds. En tredje möjlighet att begränsa behandlingen är att inskränka till- gången till uppgifterna. Har behandlingen av en personuppgift begränsats får uppgiften som utgångspunkt inte längre behandlas av vare sig den person- uppgiftsansvarige eller ett personuppgiftsbiträde utom för det syfte som har föranlett begränsningen. Har en personuppgift behandlats på otillåtet sätt måste den ändå kunna behandlas inom ramen för en utredning av om brott har begåtts i samband med behandlingen eller om någon tjänsteman vid behandlingen gjort sig skyldig till fel som kan föranleda disciplinansvar eller skadestånd. Det beror på felets karaktär om all behandling av personuppgiften måste upp- höra eller om det bara gäller behandlingen i viss verksamhet. Oavsett vilken åtgärd som vidtas för att begränsa behandlingen är den inte avsedd att vara permanent. När personuppgifterna inte längre behöver finnas kvar som bevisning ska de raderas och när ut- redningen om personuppgifternas korrekthet är avslutad ska be- gränsningen av behandlingen upphöra och uppgifterna antingen fortsätta att behandlas eller rättas. Begränsning av behandlingen bör i likhet med de andra korrige- rande åtgärderna genomföras utan onödigt dröjsmål. Rätten att begära begränsning av behandlingen Det är inte tydligt i direktivet om enskilda ska ha rätt att begära begränsning av behandlingen. Av artikel 16.3 kan inte en sådan rätt utläsas. Å andra sidan föreskrivs det i artiklarna 13.1 e och 14 e att den registrerade ska informeras om rätten att begära begränsning av behandlingen. Även skäl 40 och 42 ger intryck av att den registre- rade ska ha en sådan rätt. Utredningen anser att registrerade bör ha den rätten om personuppgifterna behöver finnas kvar som bevis- ning. Registrerade får i sådana fall begära radering och bör därför också kunna begära den mindre ingripande åtgärden begränsning av behandlingen. Det är tillåtet att ha starkare skyddsåtgärder än dem som fastställs i direktivet och i det här fallet anser utredningen att det är motiverat. I ramlagen bör det således tas in en bestämmelse om rätt för den registrerade att begära begränsning av behandlingen i de fall där personuppgifterna behöver finnas kvar som bevisning. Utredningens förslag: Den personuppgiftsansvarige avgör vil- ken åtgärd som ska vidtas med anledning av en begäran om rät- telse, radering eller begränsning av behandlingen. Skälen för utredningens förslag: Enligt förarbetena till person- uppgiftslagen väljer den personuppgiftsansvarige själv vilket alter- nativ som ska användas av rättelse, utplånande eller blockering (prop. 1997/98:44 s. 87). Den ordningen bör även gälla i fråga om rättelse, radering eller begränsning av behandlingen enligt ram- lagen. Den personuppgiftsansvarige bör därför inte endast pröva om den åtgärd som begärs av den registrerade ska vidtas eller inte, utan är fri att välja en annan åtgärd om den är lämpligare. Det följer av att den personuppgiftsansvarige ska vara skyldig att vidta alla rimliga åtgärder för att rätta personuppgifter som är felaktiga eller ofullständiga och för att radera eller begränsa behandlingen av personuppgifter som har behandlats otillåtet. För att det ska vara tydligt bör det framgå av ramlagen att den personuppgiftsansvarige inte är bunden av begäran utan självständigt avgör vilken åtgärd som bör vidtas. Den personuppgiftsansvarige ska alltså se till att den lämpligaste åtgärden vidtas oavsett vad som begärs. En åtgärd kan emellertid inte vidtas om den strider mot annan lagstiftning. Det innebär t.ex. att en myndighet inte kan radera uppgifter i en allmän handling utan författningsstöd för gallring. 11.5Hur informationen ska begäras och lämnas 11.5.1Kraven på informationen och på den som begär information I direktivet anges vissa allmänna krav på hur den personuppgiftsan- svarige ska tillhandahålla information. Det handlar om att den in- formation som lämnas ska vara kortfattad, lättillgänglig och lättbe- griplig och lämnas i lämplig form. Information om handläggningen ska lämnas. Vidare ska informationen som huvudregel vara avgifts- fri. Reglerna syftar till att underlätta den registrerades möjligheter att ta tillvara sina rättigheter. Direktivet innehåller även bestäm- melser om den personuppgiftsansvariges skyldighet att underrätta såväl enskilda som andra om vissa beslut. Det ställs däremot få krav i direktivet på den som begär att få information av den personuppgiftsansvarige. Indirekt kan det ut- läsas vissa sådana krav, t.ex. genom att den personuppgiftsansvarige har rätt att vägra att lämna information i vissa fall. Utredningens förslag: Kraven på en begäran om information eller att en åtgärd ska vidtas ska regleras i förordning. Skälen för utredningens förslag: Direktivet innehåller som nämnts inga direkta bestämmelser om vad som krävs av den som begär information eller att en korrigeringsåtgärd ska vidtas. I 26 § andra stycket personuppgiftslagen föreskrivs att en ansökan ska göras skriftligen hos den personuppgiftsansvarige och vara under- tecknad av sökanden. Kravet på egenhändigt undertecknande inne- bär att ett ombud inte kan underteckna ansökan. Däremot kan vårdnadshavare och andra ställföreträdare underteckna ansökan för den som inte har rätt att själv begära information eller åtgärder. Något krav på egenhändigt undertecknad ansökan ställs inte i det nu gällande direktivet. Det härrör i stället från en bestämmelse om registerutdrag i 10 § datalagen (1973:289). Syftet med kravet är att säkerställa att det är den registrerade som får tillgång till informa- tionen (SOU 1997:39 s. 389 och prop. 1997/98:44 s. 82). Enligt Datainspektionens allmänna råd medför kravet på att an- sökan ska vara undertecknad av sökanden att ansökan måste göras på papper (Information till registrerade, Datainspektionens all- männa råd, ). menar att det viktiga i sammanhanget är att kunna kontrollera att begäran verkligen härrör från den registrerade själv (SOU 2015:39 s. 500). Utredningen delar den uppfattningen. I dagens informationssam- hälle, där allt fler privatärenden utförs elektroniskt, är det enligt utredningens mening av vikt att ansökan kan göras på olika sätt, även elektroniskt. Det ligger också i linje med avsikten att under- lätta för den registrerade att utöva sina rättigheter (jfr artikel 12). Det är en generell målsättning inom EU är att undanröja hinder mot elektroniska transaktioner, se t.ex. och rådets förordning (EU) nr 910/2014 av om elek- tronisk identifiering och betrodda tjänster för elektroniska transak- tioner på den inre marknaden och om upphävande av direktiv /93/EG. Regleringen bör därför vara teknikneutral. Begäran bör liksom vara skriftlig, men kunna göras både på papper och elektro- niskt. Det kan regleras i förordning. Det kan också vara en fördel om det utformas gemensamma krav för olika typer av framställ- ningar, men det kan regleras på lägre föreskriftsnivå. 11.5.3Åtgärder för att säkerställa att begäran görs av en behörig person Utredningens förslag: Att det ska säkerställas att begäran görs av en behörig person ska regleras i förordning. Skälen för utredningens förslag: Om det finns skäl att ifrågasätta den registrerades identitet vid en begäran om information eller en korrigeringsåtgärd, får den personuppgiftsansvarige enligt arti- kel 12.5 kräva den ytterligare information som är nödvändig för att bekräfta identiteten. Sådan information bör endast behandlas för det specifika ändamålet och inte lagras längre än vad som krävs för det ändamålet. Som nämnts är syftet med kravet på egenhändigt under- tecknande att garantera att det är den registrerade som får tillgång till personuppgifter och information eller begär att en åtgärd ska vidtas med personuppgifter som behandlas. Det bör givetvis undvi- kas att obehöriga får kännedom om integritetskänslig information om andra. Det finns emellertid möjlighet att fastställa den registre- rades identitet på annat sätt än genom en egenhändigt underteck- nad handling, t.ex. genom avancerad elektronisk underskrift. En annan möjlighet att säkerställa från vem begäran kommer kan vara att kontakta den registrerade. Utredningen anser som framgått att det inte bör ställas krav på att en begäran ska vara undertecknad av den registrerade. Det bör även kunna godtas att den registrerade företräds av ett ombud. Det bör däremot enligt utredningens mening ställas krav på att den per- sonuppgiftsansvarige på lämpligt sätt säkerställer att begäran gjorts av en behörig person. Den personuppgiftsansvarige kan exempelvis ställa kontrollfrågor som bekräftar identiteten vid direktkontakt med den registrerade. Hur det närmare bör göras finns det inte an- ledning att gå in på här, men utgångspunkten bör vara att dels underlätta för den registrerade, dels ha en teknikneutral lösning. Det kan regleras i förordning att den personuppgiftsansvarige bör säkerställa att begäran görs av en behörig person. 11.5.4Lättbegriplig information i lämplig form Utredningens förslag: Det ska regleras i förordning vilka krav som ställs på information till enskilda. Skälen för utredningens förslag Enligt artikel 12.1 är den personuppgiftsansvarige skyldig att vidta rimliga åtgärder för att informationen till den registrerade om hans eller hennes rättigheter tillhandahålls i en koncis, begriplig och lättillgänglig form och på ett klart och tydligt språk. Det handlar om den information som den registrerade har rätt till enligt dels artikel 13, dels artiklarna 11, 14–18 och 31. Informationen ska tillhandahållas på lämpligt sätt. Den person- uppgiftsansvarige ska i allmänhet lämna informationen i samma form som begäran. Av skäl 39 framgår att information till den regi- strerade bör vara lättåtkomlig, t.ex. genom att tillhandahållas på den personuppgiftsansvariges webbplats. ställs inte några särskilda krav på hur information till den registrerade ska utformas och lämnas, utöver att den i vissa fall ska lämnas på den personuppgiftsansvariges eget initiativ.