sou · H5B329 · 2017-04-05 00:00:00 — I den mån sådana undersökningar görs i syfte att utreda brott, t.ex. vid utredning om utlämning för brott, är lagen tillämplig. Görs de däremot i annat syfte, t.ex. för att ge underlag för bedömningar inom , är lagen inte till- lämplig. Med lagföra brott avses framför allt åklagares beslut i åtalsfrågor och beslut i fråga om åtalsunderlåtelse och brottmålsförfarandet i allmän domstol. Till brottmålsförfarandet räknas inte bara den rät- tegång och dom som följer på allmänt åtal utan även handlägg- ningen av förprocessuella frågor som exempelvis förordnande av målsägandebiträde och offentlig försvarare och beslut i fråga om häktning och andra straffprocessuella tvångsmedel. Även expedie- ring av domar och beslut hör till brottmålsförfarandet. Vid behand- ling av personuppgifter för sådana syften ska lagen tillämpas. Det- samma gäller vid personutredning inom ramen för brottmålet och i sådan stödverksamhet som avser att tillföra åklagare eller domstolar forensisk, medicinsk eller psykiatrisk kompetens. I begreppet lagföra brott ingår också de förenklade straffrätts- liga förfaranden som i huvudsak används vid bötesbrott, föreläg- gande av ordningsbot och strafföreläggande. Behandling av personuppgifter i syfte att verkställa straffrättsliga påföljder förekommer hos ett flertal myndigheter. Kriminalvården verkställer fängelsestraff, skyddstillsyn och samhällstjänst och ska då tillämpa lagen. Det är dock inte vid all behandling av person- uppgifter i Kriminalvården som lagen ska tillämpas. När Kriminal- vården exempelvis bedriver hälso- och sjukvård i fängelser och häkten ligger det utanför lagens tillämpningsområde. Kriminalvår- dens hantering av administrativa frihetsberövanden ligger också utanför tillämpningsområdet. När påföljden bestämts till böter behandlas personuppgifter av i egenskap av uppbördsmyndighet. Vid sådan behandling av personuppgifter är lagen tillämplig. Den ska däremot inte tillämpas i indrivningsverksamhet. verkställer sluten ungdomsvård och ska då tillämpa lagen. Även socialnämnder verkställer i viss ut- sträckning straffrättsliga påföljder när påföljden är ungdomsvård, ungdomstjänst eller vård av missbrukare. På motsvarande sätt verk- ställer rättspsykiatriska enheter rättspsykiatrisk vård. Vid behand- ling av personuppgifter för sådana syften ska lagen tillämpas. Lagen ska också tillämpas vid behandling av personuppgifter när frågor som rör verkställigheten eller ändring av en straffrättslig på- följd prövas. Den är också tillämplig vid internationellt samarbete för de syften som anges i paragrafen. Det innebär att den ska till- lämpas exempelvis vid informationsutbyte för brottsbekämpning och i ärenden om utlämning, övertagande av lagföring och över- förande av straffverkställighet. Det är framför allt som har till uppgift att upprätthålla allmän ordning och säkerhet. Lagen ska bl.a. tillämpas på behandling av personuppgifter vid ingripanden enligt 13–13 c §§ polislagen (1984:387), men inte vid förvaltningsbeslut enligt ord- ningslagen (1993:1617). Även har vissa ordnings- hållande uppgifter och ska då tillämpa lagen i samma utsträckning som . Den ska också tillämpas vid Polismyndig- hetens, åklagares och domstolars handläggning av frågor som rör tillträdesförbud vid idrottsarrangemang och på det register över sådana förbud som för. Däremot ska lagen inte tillämpas vid idrottsorganisationers behandling av uppgifter om sådana förbud, eftersom de inte är behöriga myndigheter. Lagen ska även tillämpas av militärpolisen, ordningsvakter och skyddsvakter när de ingriper i syfte att upprätthålla allmän ordning och säkerhet. Detsamma gäller sådana väktare som genom särskilt förordnande har fått i uppdrag att utöva myndighet i Polismyn- digheten eller Kriminalvården för något av de syften som gör lagen tillämplig. Avser förordnandet något annat syfte, t.ex. kontroll av flygpassagerare, är lagen inte tillämplig. Lagen ska inte tillämpas på allmän övervakning t.ex. via övervak- ningskameror i en kommunikationscentral, eftersom upprätthål- lande av allmän ordning och säkerhet tar sikte på fysisk närvaro på platsen för en händelse. Behandling av personuppgifter vid omhän- dertagande enligt lagen (1976:511) om omhändertagande av beru- sade personer m.m. är ett annat exempel på när lagen inte ska till- Informationssäkerhet ligger också utanför lagens tillämp- ningsområde. Om det ursprungliga syftet med att behandla personuppgifterna upphör, är lagen inte längre tillämplig. Ett exempel är att ett enskilt anspråk, som har behandlats tillsammans med ett brottmål, avskiljs för att i stället handläggas enligt den ordning som är föreskriven för tvistemål. Ett annat exempel är att det under en förundersökning klarläggs att det inte förelegat något brott, t.ex. att ett misstänkt dödsfall var naturligt. Någon grund för att behandla personupp- gifterna med stöd av lagen finns då inte längre. För att lagen ska vara tillämplig krävs både att myndigheten är behörig och att behandlingen i det enskilda fallet utförs för något av de tillåtna syftena. Det innebär att om t.ex. skickar samma personuppgift rörande en ung lagöverträ- dare till två olika mottagare (åklagaren respektive socialnämnden) är lagen tillämplig i det ena fallet men inte i det andra beroende på att behandlingen har olika syften (att redovisa underlag för åklaga- rens beslut i fråga om förundersökning respektive att fästa social- nämndens uppmärksamhet på att nämndens sociala insatser kan behövas). När det gäller tillämpningsområdet görs ingen skillnad mellan att uppgifter behandlas för en behörig myndighets egen verksam- het eller för att bistå en annan svensk eller utländsk behörig myn- dighet, så länge syftet med behandlingen är något av de som anges i lagen. bistår en utländsk myndighet med någon utredningsåtgärd inom ramen för internationell rättslig hjälp i brottmål eller i samband med att en arresteringsorder från en annan medlemsstat behandlas, ska lagen tillämpas. Lagen gäller inte vid behandling av person- uppgifter som rör nationell säkerhet eller om har övertagit en arbetsuppgift som rör nationell säkerhet från Säker- hetspolisen, vilket framgår av 4 §. Paragrafen begränsar lagens tillämpningsområde huvudsakligen till helt eller delvis automatiserad behandling av personuppgifter, men även viss behandling omfattas. Paragrafen genomför arti- kel 2.2 och behandlas i avsnitt 7.1.6. För att lagen ska vara tillämplig krävs att behandlingen är helt eller delvis automatiserad eller att personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier. När det gäller automatiserad behandling krävs det inte att de hanterade personuppgifterna finns i något som kan karaktärise- ras som ett register eller att de annars är ordnade på visst sätt. Även behandling av enstaka personuppgifter, t.ex. namn, i löpande text omfattas således av lagens tillämpningsområde. Helt be- handling av personuppgifter som inte ingår i någon samling och inte heller är avsedda att ingå i en sådan ligger däremot utanför till- lämpningsområdet. Paragrafen reglerar i enlighet med artikel 2.3 undantag från lagens tillämpningsområde. Paragrafen behandlas i avsnitt 7.2.1. I paragrafen undantas Säkerhetspolisens behandling av person- uppgifter som rör nationell säkerhet från tillämpningsområdet. Däremot undantas inte Säkerhetspolisens personuppgiftsbehand- ling i övrigt, exempelvis när myndigheten handlägger en förunder- sökning som den övertagit från med stöd av 30 § förordningen (2014:1102) med instruktion för . Något motsvarande generellt undantag för personuppgiftsbe- handling som rör nationell säkerhet gäller inte för andra myndig- heter som tillämpar lagen. Det innebär exempelvis att Åklagar- myndigheten och allmänna domstolar ska tillämpa lagen även vid handläggning av mål om brott mot säkerhet. Avvikande bestämmelser i annan författning Paragrafen reglerar förhållandet mellan lagen och annan reglering av behandling av personuppgifter hos behöriga myndigheter. Para- grafen genomför artiklarna 60 och 61 och behandlas i avsnitt 6.1.2 och 6.3. Lagen är subsidiär till annan lagstiftning. Det innebär att om det finns avvikande bestämmelser om behandlingen av personuppgifter t.ex. i en viss myndighets registerförfattning, som polisdatalagen (2010:361) eller domstolsdatalagen (2015:728), eller i en författ- ning som reglerar ett visst register, som lagen (1998:620) om be- lastningsregister, eller visst samarbete inom direktivets tillämp- ningsområde, gäller de i stället för bestämmelserna i lagen. Avvikande bestämmelser kan också finnas i författningar som genomför dataskyddsbestämmelser som har sin grund i rättsakter och avtal som enligt artiklarna 60 och 61 i direktivet ska ha före- träde därför att de har tillkommit före direktivet, t.ex. samarbete enligt Prümrådsbeslutet som regleras i 4 kap. i den föreslagna lagen (2017:000) om internationellt polisiärt samarbete. I paragrafen, som genomför artikel 3, definieras vissa uttryck som används i lagen. Definitionen motsvarar direktivets definition av behandling i arti- kel 3.2. Uttrycket behandlas i avsnitt 6.2. Uttrycket behandling av personuppgifter omfattar alla åtgärder som vidtas med sådana uppgifter. Så snart personuppgifter hanteras på något sätt är det fråga om behandling som omfattas av lagens bestämmelser, om den är helt eller delvis automatiserad eller avser behandling i en strukturerad samling av personuppgifter. Uppräkningen i definitionen av olika sätt att hantera personupp- gifter är således inte uttömmande. Definitionen motsvarar direktivets definition av behörig myndig- het i artikel 3.7. Uttrycket behandlas i avsnitt 7.1.4. Gränsdrag- ningsfrågor behandlas i kapitel 8. Det framgår inte direkt av lagen vilka myndigheter som är behö- riga myndigheter. Det avgörande är om myndigheten har till arbetsuppgift att förebygga, förhindra eller upptäcka brottslig verk- samhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Myndigheterna är behöriga myndigheter bara när de utför sådana arbetsuppgifter. Vad som ryms i de uppgifterna och i vilka fall någon kan vara behö- rig myndighet utvecklas i kommentaren till 2 §. En myndighet kan således vara både behörig och icke behörig i lagens mening bero- ende på vilka arbetsuppgifter som utförs. Även andra aktörer än myndigheter kan vara behöriga myndig- heter i lagens mening om de har anförtrotts myndighetsutövning för brottsbekämpning, lagföring, straffverkställighet eller upprätt- hållande av allmän ordning och säkerhet. Det utvecklas i kommen- taren till 2 §. Definitionen utgår från hur biometriska uppgifter definieras i arti- kel 3.13. Uttrycket behandlas i avsnitt 6.2. Biometri är ett samlingsnamn för sådan automatiserad teknik som syftar till att identifiera en person eller avgöra om en påstådd identitet är riktig. Den baseras på fysiska karaktärsdrag hos den som ska identifieras. Mönster av fingeravtryck, ansiktsgeometri, ögats iris, regnbågshinna och näthinna, röst, hand, blodkärl, dna eller gång är exempel på områden där sådan teknik kan användas. Gemensamt för teknikerna är att kroppen mäts elektroniskt. Bio- metriska uppgifter är den information som kan tas fram ur ett bio- metriskt underlag. Uppgifterna kan användas för att skapa en refe- rensmall eller för att jämföra med tidigare lagrade referensmallar i syfte att kontrollera en persons identitet. Fingeravtryck och dna- profiler är de vanligaste formerna av biometriska uppgifter. Biometriska uppgifter i form av fingeravtryck kan framgå av ett spår som påträffas vid utredning av ett brott. Även analys av spåren omfattas av definitionen, trots att de inte går att härleda till en identifierad person. Dna-spår behandlas i kom- mentaren till uttrycket genetiska uppgifter. Av 2 kap. 12 § framgår att biometriska uppgifter som används i syfte att identifiera en person är känsliga personuppgifter som bara får behandlas om det är särskilt föreskrivet och absolut nödvändigt. Fotografier och filmer som inte bearbetas tekniskt i syfte att åstadkomma unik identifiering faller utanför definitionen. Bearbet- ning av bilder av personer för att förbättra bildkvaliteten, förstärka detaljer och liknande omfattas alltså inte. Om bilder däremot bear- betas i exempelvis ett ansiktsigenkänningsprogram i syfte att iden- tifiera personer omfattas de av definitionen. Att fotografier kan omfattas av regleringen av känsliga personuppgifter på andra grun- der behandlas i kommentaren till 2 kap. 11 §. Dataskyddsombud definieras inte i direktivet. Uttrycket behandlas i avsnitt 10.5.1. Ett dataskyddsombud är en fysisk person som utses av den per- sonuppgiftsansvarige att självständigt utföra vissa uppgifter i syfte att se till att personuppgifter behandlas författningsenligt och på ett korrekt sätt. Ett dataskyddsombud kan antingen vara anställd hos den personuppgiftsansvarige eller en utomstående. Kravet på självständighet innebär att dataskyddsombud ska kunna utföra sina arbetsuppgifter på ett oberoende sätt. Ombuden förutsätts framför allt ha goda kunskaper om reglerna om personuppgiftsbehandling. Ombuden bör också har sådan ställning i organisationen att deras synpunkter och råd tas på allvar. Dataskyddsombudens uppgifter regleras i 3 kap. 14 och 15 §§. Definitionen utgår från hur genetiska uppgifter definieras i arti- kel 3.12. Uttrycket behandlas i avsnitt 6.2. All information som rör en persons nedärvda eller förvärvade genetiska kännetecken och som kan tas fram ur ett spår från t.ex. en brottsplats eller ett prov från människokroppen omfattas av definitionen. Det innebär att den är något vidare än direktivets definition, som enbart omfattar information om en persons fysio- logi eller hälsa som härrör från en analys av ett prov från personen i fråga. Genetiska uppgifter behandlas vid dna-analyser i forensisk verk- samhet för att ta fram dna-profiler eller forensiska uppslag. Be- handlingen kan avse genetiska uppgifter från såväl identifierade som oidentifierade personer. Eftersom nedärvda eller förvärvade genetiska kännetecken för en person kan framgå av ett spår som påträffas vid utredning av ett brott, omfattas även analys av spåren av definitionen, trots att de inte går att härleda till en identifierad person. Själva dna-profilen, som behandlas i exempelvis dna-register, utgör däremot inte en genetisk uppgift, eftersom inga nedärvda eller förvärvade genetiska kännetecken kan utläsas ur den. Dna-profilen är i stället en biomet- risk uppgift, eftersom den tas fram genom en särskild teknisk be- handling av en persons arvsmassa för att möjliggöra eller bekräfta unik identifiering av personen i fråga. I 28 kap. 12–12 b §§ finns bestämmelser om provtagning för dna-analys. Av 2 kap. 12 § framgår att genetiska uppgifter är känsliga per- sonuppgifter som bara får behandlas om det är särskilt föreskrivet och absolut nödvändigt. Definitionen utgår från hur internationell organisation definieras i artikel 3.16. Uttrycket behandlas i avsnitt 15.2.4. Med internationell organisation avses dels organisationer och deras underställda organ som lyder under folkrätten, dels andra organ som inrättats genom eller på grundval av överenskommelser mellan två eller flera stater. () är exempel på internationella orga- nisationer som omfattas av definitionen. Internationella domstolar och tribunaler som t.ex. , Inter- nationella krigsförbrytartribunalen för det och Tribunalen för ska också betraktas som internationella organisationer. Definitionen har ingen motsvarighet i direktivet. Uttrycket be- handlas i avsnitt 15.2.2. Med medlemsstat avses sådana stater som är bundna av direkti- vet, vilket gäller EU:s medlemsstater. Dessutom ska några stater utanför EU – , , och – tillämpa direktivet. Även de senare är medlemsstater i lagens mening. Definitionen utgår från hur mottagare definieras i artikel 3.10. Ut- trycket behandlas i avsnitt 6.2. Mottagare defineras som den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision. Undantaget omfattar bl.a. myndigheter som tar del av personuppgifter i sin tillsyn över viss verksamhet, t.ex. Datainspektionen och Säkerhets- och integritets- skyddsnämnden som båda utövar tillsyn över personuppgiftsbe- handling. Även andra myndigheter som utövar tillsyn, t.ex. JO och JK, omfattas av undantaget. Definitionen utgår från hur personuppgift definieras i artikel 3.1. Med personuppgift avses varje upplysning om en identifierad eller identifierbar fysisk person som är i livet. Uttrycket behandlas i av- snitt 6.2. Varje information som kan hänföras till en fysisk person är en personuppgift. Det gäller även information som kan hänföras till en individ om en fysisk person kan identifieras med hjälp av informa- tionen. Det krävs inte att den personuppgiftsansvarige ska förfoga över samtliga uppgifter som gör identifieringen möjlig. Det innebär att t.ex. oidentifierade fingeravtryck och dna-profiler är personupp- gifter, eftersom det är möjligt att identifiera en person med hjälp av dem. Även bild- eller ljudupptagningar kan utgöra personuppgifter, om man direkt eller indirekt kan avgöra vilken individ som upptag- ningen avser. Definitionen omfattar bara uppgifter om personer som är i livet. Det innebär att behandling av uppgifter om avlidna eller ännu inte födda personer inte omfattas av lagen. Av lagen (1987:269) om kriterier för bestämmande av människans död och lagen (2005:130) om dödförklaring framgår när någon ska betraktas som avliden. Däremot omfattar definitionen uppgifter om vem som är släkt med den avlidne. Uppgifter om juridiska personer omfattas inte av definitionen. Definitionen utgår från hur personuppgiftsansvarig definieras i artikel 3.8. Uttrycket behandlas i avsnittt 10.1.1. Personuppgiftsansvarig är enligt definitionen den behöriga myn- dighet som ensam eller tillsammans med andra bestämmer ändamå- len med och medlen för behandlingen av personuppgifter. Att be- stämma ändamålen med behandlingen innebär i princip att bestäm- ma att en behandling ska utföras och varför. Att bestämma medlen för behandlingen avser främst att bestämma över de tekniska och organisatoriska medlen, dvs. hur behandlingen ska gå till. Det kan handla om vilka personuppgifter som ska behandlas, vilka som ska få ta del av dem och hur länge personuppgifterna får behandlas. Den personuppgiftsansvarige styr dock inte alltid själv över alla medel för behandlingen. Vid direktåtkomst bestämmer den som medger åtkomsten hur tillgången tekniskt ska lösas och vilka per- sonuppgifter som ska tillgängliggöras. Den som ges direktåtkomst är personuppgiftsansvarig för behandlingen av de personuppgifter som direktåtkomsten avser. Som framgår av definitionen kan en- dast behöriga myndigheter vara personuppgiftsansvariga. Det kan framgå av lag eller förordning vem som är personupp- giftsansvarig. I annat fall avgör de faktiska omständigheterna vem som är personuppgiftsansvarig. Två eller flera behöriga myndighe- ter får enligt 3 kap. 21 § vara gemensamt personuppgiftsansvariga endast om det anges särskilt i lag eller förordning eller i ett rege- ringsbeslut i ett enskilt fall. Förutsättningarna för gemensamt per- sonuppgiftsansvar behandlas i avsnitt 10.7.2. Definitionen utgår från hur personuppgiftsbiträde definieras i arti- kel 3.9. Uttrycket behandlas i avsnitt 10.6.1. Ett personuppgiftsbiträde är en fysisk eller juridisk person som behandlar personuppgifter för den personuppgiftsansvariges räk- ning med stöd av ett skriftligt avtal eller en annan skriftlig överens- kommelse. Kravet på att det ska finnas ett avtal eller en överens- kommelse framgår av 3 kap. 18 §. Ett personuppgiftsbiträde behandlar personuppgifter endast en- ligt instruktioner från den personuppgiftsansvarige och har inte rätt att själv bestämma över personuppgiftsbehandlingen. Ett per- sonuppgiftsbiträde finns alltid utanför den egna organisationen, t.ex. en servicebyrå eller en konsult. En myndighet kan också be- handla personuppgifter som personuppgiftsbiträde åt en annan myndighet, t.ex. vid utkontraktering av it-drift. En anställd eller någon annan som behandlar personuppgifter under den personupp- giftsansvariges direkta ansvar kan inte vara personuppgiftsbiträde. Definitionen utgår från hur personuppgiftsincident definieras i artikel 3.11. Uttrycket behandlas i avsnitt 10.4.1. Med personuppgiftsincident avses en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller obehörigt röjande av eller obehörig åtkomst till personuppgifter. Det är som regel fråga om en oplanerad händelse som påverkar säkerheten för personuppgifterna på ett negativt sätt och som medför allvarliga konsekvenser för skyddet av uppgifterna. En per- sonuppgiftsincident kan exempelvis uppstå vid fel eller störningar i system, komponenter eller programvara eller vid haveri i ett tek- niskt system eller en komponent i infrastrukturen. En personupp- giftsincident kan också orsakas av en säkerhetsbrist i tekniska hjälpmedel. Det kan även vara fråga om handhavandefel, dvs. in- ternt felaktigt bruk eller felaktig implementering av tekniska sys- tem eller komponenter. En informationsförlust eller ett informa- tionsläckage kan också bedömas som en personuppgiftsincident. Det kan orsakas av exempelvis brand eller annan yttre påverkan, men kan också bero på felaktig avyttring av teknisk utrustning som innehåller information som inte ska vara allmänt tillgänglig, eller otillåtet eller oavsiktligt offentliggörande av sådan information. Personuppgiftsincidenter kan också vara olika typer av angrepp på och intrång i systemen, t.ex. överbelastningsattacker, införande av skadliga koder, hackning, olovligt nyttjande eller annat missbruk av lösenord, olovlig åtkomst till information genom skadliga program och obehörig användning av informationssystem. Även angrepp som möjliggjorts eller utförts av den personuppgiftsansvariges per- sonal eller andra som har anknytning till myndigheten, exempelvis inhyrd personal, kan utgöra personuppgiftsincidenter. Det saknar betydelse för definitionen av en personuppgiftsinci- dent hur händelsen började och vem som ansvarade för att den uppkom. Det avgörande är i stället effekten av incidenten. Definitionen har ingen direkt motsvarighet i direktivet, men ordet registrerad ingår i definitionen av personuppgifter i artikel 3.1. Uttrycket behandlas i avsnitt 6.2. Med registrerad avses den fysiska person som en personuppgift rör. Av definitionen av personuppgift framgår bl.a. att personen ska vara i livet. Definitionen utgår från hur en tillsynsmyndighet definieras i arti- kel 3.15. Uttrycket behandlas i avsnitt 12.4.1. är enligt definitionen en myndighet som ut- ses av regeringen att enligt direktivet utöva tillsyn över behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätt- hålla allmän ordning och säkerhet. Genom att tillsynsområdet knu- tits till de grundläggande syftena med lagen omfattar tillsynen inte bara behandling enligt lagen utan även enligt den förordning som kompletterar lagen. Dessutom omfattar tillsynsområdet person- uppgiftsbehandling med stöd av de registerförfattningar som gäller för behöriga myndigheter eller för ett särskilt register som förs för brottsbekämpning, lagföring, straffverkställighet eller upprätthål- lande av allmän ordning och säkerhet. Tillsyn över bestämmelser om personuppgiftsbehandling i andra författningar omfattas också, om bestämmelserna reglerar personuppgiftsbehandling som utförs av en behörig myndighet för något av de syften som ligger inom lagens tillämpningsområde. Exempel på bestämmelser av sådant slag är 26 och 27 §§ lagen (1988:688) om kontaktförbud. Tredjeland definieras inte i direktivet.