sou · H5B329 · 2017-04-05 00:00:00 — Enligt 15 kap. 3 § fängelselagen får Kriminalvården förordna en väktare i ett auktoriserat bevakningsföretag att utföra vissa bevakningsuppdrag när en intagen ska vistas utanför anstalt. Om det finns särskilda skäl, får ett sådant förordnande även avse vissa bevakningsuppgifter inom en anstalt. En motsvarande regler- ing finns för i 23 a § polislagen, som föreskriver att myndigheten får meddela förordnande att vara bl.a. arrestant- vakt för den som inte är anställd som sådan vid och inte heller är polisman. Ett förordnande som arrestantvakt får avse även bevakningsuppdrag utanför förvaringslokalen. De uppdrag som reglerna i fängelselagen och polislagen avser medför att väktarna anförtros viss myndighetsutövning. Den per- sonuppgiftsbehandling som en sådan väktare utför när han eller hon utövar myndighet inom eller Polismyndighe- ten omfattas därmed av ramlagens tillämpningsområde i samma ut- sträckning som gäller för myndighetens anställda. 8.5.5Lagstiftning av i huvudsak social karaktär Lagen om förstörande av vissa hälsofarliga missbrukssubstanser Lagen (2011:111) om förstörande av vissa hälsofarliga missbruks- substanser ger och möjlighet att ta om hand och förstöra vissa hälsofarliga missbrukssubstanser redan innan de har klassificerats som narkotika eller hälsofarlig vara. Om en sådan substans påträffas får den omhändertas i avvaktan på be- slut om förstöring. Innehav av sådana substanser är inte kriminali- serat, men däremot får substansen förstöras efter särskilt beslut av åklagare. Lagstiftningen har framför allt ett hälsoperspektiv. Syftet är att få bort farliga substanser för att skydda enskildas liv och hälsa. Däremot är det inte fråga om att förebygga brott eller att utföra någon annan arbetsuppgift som gör ramlagen tillämplig, eftersom innehav och annan hantering av substanserna i fråga inte är straffbar. Den personuppgiftsbehandling som kan förekomma vid handläggning enligt lagen ligger därmed utanför ramlagens till- lämpningsområde. Lagen om omhändertagande av berusade personer I lagen om omhändertagande av berusade personer m.m. ges poli- sen rätt att omhänderta den som anträffas så berusad av alkohol- drycker eller annat berusningsmedel att han eller hon inte kan ta hand om sig själv eller annars utgör en fara för sig själv eller för någon annan. Den omhändertagne ska ses till och vid behov ska han eller hon föras till sjukhus eller läkare tillkallas. Syftet med lagen, som tillkom när fylleri avkriminaliserades, är främst att värna enskildas liv och hälsa. Det är ett syfte utanför ramlagens tillämpningsområde. Det ligger i sakens natur att den som är så berusad att ett omhändertagande enligt lagen aktualiseras också kan vara ordningsstörande. Finns det skäl att omhänderta någon både för ordningsstörning enligt 13 § polislagen och för berusning enligt lagen om omhändertagande av berusade personer, ska sistnämnda lag tillämpas (se 9 § lagen om omhändertagande av berusade personer m.m.). Lagstiftaren har alltså ansett att omhän- dertagande för ordningsstörning i dessa fall får stå tillbaka för omhändertagande på grund av berusning. Ramlagen ska därför inte tillämpas på personuppgiftsbehandling enligt lagen om omhänder- tagande av berusade personer m.m. Vissa bestämmelser i polislagen Enligt 12 § polislagen får en polisman omhänderta någon som kan antas vara under och som påträffas under förhållanden som uppenbarligen innebär överhängande och allvarlig risk för hans eller hennes hälsa eller utveckling. Syftet med omhändertagandet är att den unge skyndsamt ska överlämnas till föräldrar eller annan vård- nadshavare eller till socialnämnden. Enligt 12 a § polislagen får en polisman omhänderta en person som det finns skälig anledning anta ska omhändertas med stöd av 13 § lagen om vård av missbru- kare och skyndsamt överlämna honom eller henne till sjukhus, om socialnämndens beslut om omhändertagande inte kan avvaktas med hänsyn till en överhängande eller allvarlig risk att personen kom- mer till skada. Dessa omhändertagandebestämmelser har ett socialt syfte och personuppgiftsbehandlingen ligger därmed utanför ram- lagens tillämpningsområde. Det som har sagts gäller också vid sådana omhändertaganden enligt 11 § polislagen som syftar till att bistå den som verkställer administrativa frihetsberövanden, t.ex. att omhänderta den som har rymt från psykiatrisk tvångsvård eller tvångsvård för missbrukare. 9Principer för behandling av personuppgifter 9.1Behandling för ändamål inom ramlagens tillämpningsområde 9.1.1Förutsättningarna för att få behandla personuppgifter Utredningens bedömning: I ramlagen bör det tas in bestäm- melser som anger vilka rättsliga grunder för behandling av per- sonuppgifter som är tillåtna. Skälen för utredningens bedömning: Dataskyddsregleringen utgår från att varje behandling av personuppgifter måste ha en rättslig grund för att vara laglig. Det är alltså endast om det finns en rättslig grund som personuppgifter överhuvudtaget får behandlas. De tillåtna rättsliga grunderna anges i artikel 8.1. Personuppgif- ter får endast behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra en arbetsuppgift i vissa syften. För att uppfylla direktivets krav måste nationell rätt ange ramarna för när behandling av personuppgifter är tillåten. Den rättsliga grunden bör enligt skäl 33 vara tydlig och precis och dess tillämpning förut- sägbar för dem som omfattas av den. I ramlagen bör det därför tas in bestämmelser som anger vad som är tillåtna rättsliga grunder för behandling av personuppgifter. Lagrådet har uttalat att planering, uppföljning och utvärdering av verksamhet är en integrerad del av själva verksamheten och inte någon fristående aktivitet som behöver regleras särskilt i register- författningar (se brottsbekämpning – Effektivare upp- giftsbehandling, prop. 2004/05:164, s. 179). Principer för behandling av personuppgifter stämmelse om att sådan behandling är tillåten behövs därför inte i ramlagen. Den omständigheten att det finns en rättslig grund innebär dock inte att vilka personuppgifter som helst får behandlas eller att det får göras på valfritt sätt. De övriga krav som framgår av direktivet måste också vara uppfyllda för att behandling ska vara tillåten. En- ligt artikel 4.1 b får personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål. De personuppgifter som behandlas ska dessutom vara adekvata och relevanta i förhål- lande till det ändamålet. Om det är känsliga personuppgifter som behandlas måste ytterligare villkor i artikel 10 vara uppfyllda för att behandlingen ska vara tillåten. I detta avsnitt behandlas kraven på rättslig grund och särskilda ändamål för behandlingen, medan kraven som ställs på de person- uppgifter som behandlas tas upp i avsnitt 9.2. 9.1.2Rättslig grund för behandling – huvudregeln Utredningens förslag: Personuppgifter får behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra en arbetsuppgift i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa en straffrättslig påföljd eller upprätthålla allmän ordning och säker- het. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket rege- ringen uppdragit åt den behöriga myndigheten att ansvara för en sådan uppgift. Skälen för utredningens förslag När finns det rättslig grund för behandlingen? Enligt artikel 8.1 är behandling av personuppgifter laglig endast om behandlingen är nödvändig för att en behörig myndighet ska kunna utföra en uppgift på grundval av unionsrätt eller nationell rätt i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder eller att skydda mot eller förebygga och förhindra hot mot den allmänna säkerheten. Principer för behandling av personuppgifter Tillämpningsområdet och den rättsliga grunden i direktivet korresponderar med varandra. Samma uttryckssätt som används för att avgränsa ramlagens tillämpningsområde bör därför användas i bestämmelsen om rättslig grund (se avsnitt 7.1.2 och 7.1.3). Det innebär att den arbetsuppgift som ska ligga till grund för person- uppgiftsbehandlingen ska utföras av en behörig myndighet i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätt- hålla allmän ordning och säkerhet. Personuppgifsbehandlingen ska vara nödvändig för arbetsuppgiften och ha stöd i unionsrätt eller nationell rätt. Personuppgiftsbehandlingen ska vara nödvändig för att den behö- riga myndigheten ska kunna utföra sina arbetsuppgifter. Enligt betyder ordet nödvändig att någon- ting absolut fordras eller inte kan underlåtas. I unionsrätten har kravet på nödvändighet inte samma strikta innebörd. Artikel 7 i det nu gällande direktivet har inte ansetts utgöra ett krav på att det ska vara omöjligt att fullgöra förpliktelsen eller utföra uppgiften utan att personuppgifter behandlas (se Integritet – Offentlighet – Infor- mationsteknik, SOU 1997:39, s. 359). Den slutsatsen får stöd av ett avgörande av i vilket domstolen uttalade att en myndighets förande av ett centralt register över uppgifter som redan fanns i regionala register är nödvändigt om det bidrar till att effektivisera tillämpningen av relevanta bestämmelser (dom av , Huber, C-524/06). Domen bör kunna utgöra stöd även för tolkningen av det nya direktivet. Ordet nödvändig bör därför tolkas som att det är fråga om något som behövs. I ändamålsbestämmelserna i flertalet registerförfattningar inom ramlagens tillämpningsområde ställs det krav på att be- handlingen ska vara nödvändig. Där uttrycks det på det sättet att personuppgifter får behandlas om det behövs i vissa angivna fall. I bestämmelsen om rättslig grund i artikel 6.1 i dataskyddsförord- ningen anges att behandling är laglig om den är nödvändig i vissa angivna fall. Ordet nödvändigt bör därför användas i ramlagen. Principer för behandling av personuppgifter sonuppgifter ska alltså få behandlas bara om det är nödvändigt för att utföra en arbetsuppgift i vissa syften. I kravet på nödvändighet ligger att personuppgifter inte får be- handlas om syftet med behandlingen kan uppnås med andra medel, t.ex. genom att anonymisera uppgifterna. Stöd för behandlingen i unionsrätt eller nationell rätt Den arbetsuppgift som den behöriga myndigheten ska utföra ska ha stöd i unionsrätt eller nationell rätt. Frågan är vad som avses med det. Det kan enligt utredningens mening inte vara person- uppgiftsbehandlingen i sig som avses. Om så skulle vara fallet skulle de behöriga myndigheterna endast kunna behandla person- uppgifter för att utföra sina arbetsuppgifter i den utsträckning det, utöver den reglering som fastställer arbetsuppgiften, också finns uttryckliga bestämmelser om att personuppgifter får behandlas för att utföra den arbetsuppgiften. Artikeln bör i stället tolkas så att personuppgiftsbehandlingen alltid ska ha stöd i den behöriga myn- dighetens arbetsuppgifter så som de kommer till uttryck i unions- rätten eller i nationell lagstiftning och andra för verksamheten bindande beslut om arbetsuppgifter. Det bör framgå av ramlagen. Det kan hävdas att det inte behöver anges uttryckligen att arbetsuppgiften ska framgå av en unionsrättsakt, eftersom de enligt lagen (1994:1500) med anledning av anslutning till Euro- peiska unionen gäller här i landet med den verkan som följer av . Utredningen anser dock att det blir tydligare om det framgår av bestämmelsen att arbetsuppgiften även kan ha sin grund i en unionsrättsakt. En myndighets arbetsuppgifter styrs i huvudsak av dess instruk- tion, medan vilken personuppgiftsbehandling som kan aktualiseras inom ramlagens tillämpningsområde styrs av de materiella bestäm- melserna för verksamheten. Inom ramlagens tillämpningsområde rör det sig framför allt om reglerna om utredning av brott, brott- målsprocess och straffverkställighet. Genom de författningar som reglerar den verksamhet i vilken personuppgifterna behandlas, till- sammans med ramlagen och registerförfattningarna, är enligt utred- ningens mening kravet i direktivet på att behandlingen ska ha stöd i unionsrätt eller nationell rätt uppfyllt. Principer för behandling av personuppgifter Kravet på att arbetsuppgiften ska vara reglerad innebär att det inte är givet att en behörig myndighet får behandla personuppgifter när den utför en arbetsuppgift för ett syfte som ligger inom ram- lagens tillämpningsområde, om det skulle saknas författningsstöd för uppgiften. Det bör särskilt uppmärksammas t.ex. om en myn- dighet påbörjar försöksverksamhet eller en ny form av myndig- hetssamverkan som kräver att personuppgifter behandlas. 9.1.3Rättslig grund i undantagsfall för diarieföring och handläggning Utredningens förslag: Personuppgifter får alltid behandlas om det är nödvändigt för diarieföring eller om uppgifterna har läm- nats till en behörig myndighet i en anmälan, ansökan eller lik- nande och behandlingen är nödvändig för myndighetens hand- läggning. Skälen för utredningens förslag: De myndigheter som ska tilläm- pa ramlagen tar emot stora mängder information av vitt skilda slag, ofta i elektronisk form. De inkommande uppgifterna kan utgöra en del av en allmän handling i tryckfrihetsförordningens mening. Enligt 5 kap. 1 § offentlighets- och sekretesslagen ska som huvudregel allmänna handlingar som kommit in till en myndighet registreras, dvs. Syftet är bl.a. att garantera allmänhetens tillgång till allmänna handlingar. En myn- dighet måste därför alltid ha möjlighet att behandla personuppgif- ter för att diarieföra och handlägga inkommande anmälningar, an- sökningar och liknande. Det gäller även i de fall där den behöriga myndigheten inte behöver behandla personuppgifterna för att utföra sina arbetsuppgifter (se prop. 2009/10:85 s. 112 f.). Det bör i ramlagen tydliggöras att det är en tillåten rättslig grund för be- handling. I skäl 16 finns det stöd för att ha en sådan bestämmelse om rättslig grund. Där uttalas nämligen att direktivet inte påverkar principen om allmänhetens rätt att få tillgång till allmänna hand- lingar. Principer för behandling av personuppgifter 9.1.4Skillnad mellan bestämmelser om rättslig grund för behandling och ändamålsbestämmelser Utredningens bedömning: Det bör göras tydligare skillnad mellan bestämmelser om rättslig grund för behandling och ändamålsbestämmelser. Skälen för utredningens bedömning Bestämmelser om för vilka ändamål personuppgifter får behandlas har en central roll i registerförfattningar. Genom ändamålen sätts ramen för vilken behandling som är tillåten och på så sätt kan an- vändning och spridning av personuppgifter begränsas. I de behöriga myndigheternas registerförfattningar finns det särskilda ändamålsbestämmelser. får enligt 2 kap. 7 § polisdatalagen (2010:361) behandla personuppgifter om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra förpliktelser som följer av internationella åtaganden. Motsvarande bestämmelser finns i 3 kap. 2 § kustbevakningsdatalagen (2012:145) och i 2 kap. 5 § åklagardatalagen (2015:433) och föreslås i tullbrottsdatalagen (se avsnitt 3.2.2). En liknande bestämmelse föreslås även i skatte- brottsdatalagen (se avsnitt 3.2.4). Domstolarna får enligt 6 § dom- stolsdatalagen (2015:728) behandla personuppgifter om det behövs för handläggning av mål och ärenden. Enligt 3 § lagen (2001:617) om behandling av personuppgifter inom kriminalvården får Krimi- nalvården behandla personuppgifter om det behövs för att myndig- heten ska kunna fullgöra sina uppgifter i enlighet med vad som föreskrivs i lag eller förordning, underlätta tillgången till sådana uppgifter om verkställighet av påföljd eller häktning som rättsvä- sendets myndigheter behöver eller upprätthålla säkerheten och förebygga brott någon är bl.a. häktad eller verkställer påföljd. Enligt 9 § första stycket c personuppgiftslagen (1998:204) får personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. Den bestämmelsen gäller för berörda myndigheter utom , antingen genom att registerförfatt- Principer för behandling av personuppgifter ningarna gäller utöver personuppgiftslagen och inte innehåller någon avvikande bestämmelse, eller genom att författningarna ut- tryckligen hänvisar till den. Den föreslås bli tillämplig även i Tull- verkets brottsbekämpande verksamhet. anser att det har skett en sammanblandning mellan vad som i dataskyddsrättslig mening är särskilt bestämda ändamål och tillåtna rättsliga grunder för behand- ling. Det finns enligt den utredningen risk att tillämparen blandar samman ändamål med rättslig grund och godtar ett i författning bestämt allmänt ändamål som ett särskilt och tillräckligt preciserat ändamål och drar den felaktiga slutsatsen att personuppgiftslagens krav därmed är uppfyllda. an- ser att det skulle ge ett bättre integritetsskydd om personuppgifts- ansvariga enbart vore hänvisade till att, utifrån de grundläggande kraven i 9 § första stycket c personuppgiftslagen, på eget ansvar formulera ändamål som är tillräckligt specifika för att ge ledning för vilka personuppgifter som är adekvata och inte för många för den aktuella behandlingen. Förslaget till myndighetsdatalag inne- håller därför inga ändamålsbestämmelser och förutsätter inte heller att sådana ska finnas. I förslaget anges endast att personuppgifter får behandlas om det är nödvändigt för att en myndighet ska kunna utföra sin verksamhet (se SOU 2015:39 s. 278 f.). Förslaget har fått ett blandat mottagande. Vissa remissinstanser anser att ändamålsbestämmelser har betydelse för att göra det tyd- ligt för enskilda inom vilka ramar myndigheter får samla in och behandla personuppgifter och menar att den föreslagna bestämmel- sen är alltför vag. Andra är positiva till förslaget och framhåller att det förenklar bedömningen av vilken personuppgiftsbehandling som är tillåten. Det bör göras skillnad mellan bestämmelser om rättslig grund och ändamålsbestämmelser Utredningen anser att det finns fog för Informationshanteringsut- redningens uppfattning att vad som i dataskyddsrättslig mening är tillåtna rättsliga grunder för behandling och vad som är renodlade ändamålsbestämmelser ibland har blandats samman. En sådan sam- manblandning kan leda till att tillämparen förväxlar rättslig grund med ändamål och godtar ett i författning angivet allmänt ändamål Principer för behandling av personuppgifter som ett särskilt och tillräckligt preciserat ändamål. Det är därför viktigt att det görs tydligare skillnad mellan bestämmelser om rättslig grund och ändamålsbestämmelser. I avsnitt 9.1.2 föreslås att den arbetsuppgift som ligger till grund för personuppgiftsbehandlingen ska framgå av en bindande unions- rättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt den behöriga myndigheten att ansvara för viss arbetsuppgift. Det kan ifrågasättas om bestämmelser som exempelvis 2 kap. 7 § polisdatalagen, där det endast anges att Polis- myndigheten får behandla personuppgifter för att utföra vissa av sina arbetsuppgifter, faktiskt är ändamålsbestämmelser eller om de i stället bör betraktas som en precisering av den rättsliga grunden. Man kan också fråga sig om det finns behov av att behålla den typen av bestämmelser när ramlagen innehåller en generell bestäm- melse om rättslig grund. Ingen av de behöriga myndigheterna har en registerför- fattning som gäller inom alla de verksamhetsområden som ram- lagen omfattar. Utredningen anser att bestämmelser som tydliggör inom vilka ramar var och en av myndigheterna får behandla per- sonuppgifter kan fylla en viktig funktion. Sådana bestämmelser innebär att lagstiftaren tvingas överväga behovet av reglering av personuppgiftsbehandlingen, om myndigheten tillförs nya arbets- uppgifter. Frågan om hur man ska se på de bestämmelser som betecknas som primära ändamålsbestämmelser och om det finns behov av att anpassa dem kommer att behandlas i slutbetänkandet. Kravet på att det vid all behandling av personuppgifter ska finnas särskilda, uttryckligt angivna och berättigade ändamål för behand- lingen påverkas inte av om det finns ändamålsbestämmelser. 9.1.5Behandling bara för särskilda, uttryckligt angivna och berättigade ändamål Utredningens förslag: Personuppgifter får behandlas bara för särskilda, uttryckligt angivna och berättigade ändamål. Om det ändamål som personuppgifterna behandlas för inte framgår av sammanhanget eller på annat sätt, ska det tydliggöras genom en särskild upplysning. Principer för behandling av personuppgifter Skälen för utredningens förslag Behandling för särskilda, uttryckligt angivna och berättigade ändamål I artikel 4.1 b i direktivet anges bl.a. att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Lik- nande reglering finns i artikel 6.1 b i det nu gällande dataskydds- direktivet, som har genomförts genom 9 § första stycket c person- uppgiftslagen. En liknande bestämmelse bör tas in i ramlagen. Att ändamålen ska vara särskilda innebär att de måste vara till- räckligt specificerade för att ge ledning för bedömningen av vilka uppgifter som är adekvata och relevanta för den aktuella behand- lingen och för att det ska kunna avgöras att inte för många uppgif- ter behandlas (se avsnitt 9.2.2). Något hinder mot att ange flera parallella ändamål för behandlingen finns inte. Ändamålen ska an- ges uttryckligen redan när personuppgifterna samlas in. Att ändamålen ska vara berättigade innebär enligt utredningens mening en koppling till den rättsliga grunden. Personuppgifter får således inte behandlas för ett ändamål som inte är berättigat i för- hållande till den tillämpliga rättsliga grunden. Kravet på att ända- målet för behandlingen ska vara berättigat kan också sägas innebära ett krav på att behandlingen ska vara förenlig med konstitutionella och andra rättsliga principer. Genom att det i stor utsträckning är reglerat vilken personuppgiftsbehandling som kan aktualiseras på området för brottsbekämpning, lagföring, straffverkställighet och upprätthållande av allmän ordning och säkerhet har lagstiftaren redan tagit ställning till att personuppgiftsbehandlingen är berätti- gad i de fallen. Det är dock inte bara när personuppgifter samlas in som det ska finnas ett särskilt, uttryckligt angivet och berättigat ändamål för behandlingen. Varje åtgärd som vidtas med insamlade uppgifter ska naturligtvis också uppfylla de kraven (jfr prop. 2009/10:85 s. 98). I ramlagen bör det därför tydliggöras att all behandling ska utföras för särskilda, uttryckligt angivna och berättigade ändamål. Bestämmelsen tar sikte på ändamålen i det enskilda fallet som t.ex. förundersökningen om ett visst brott eller ärendet om förord- nande av målsägandebiträde. I avsnitt 10.2.7 föreslås att ändamålen med behandlingen ska förtecknas i det register som myndigheten ska föra och i avsnitt 11.2.6 att den personuppgiftsansvarige ska tillhandahålla allmän information om ändamålen med behand- Principer för behandling av personuppgifter Det innebär inte att den personuppgiftsansvarige måste för- teckna respektive lämna information om alla de enskilda fall där myndigheten behandlar personuppgifter. Det som avses är de typer av ändamål som myndigheten behandlar personuppgifter för. Som exempel kan nämnas att behandlar personupp- gifter bl.a. för att ta emot anmälningar om brott, genomföra för- undersökningar, verkställa uppbörd av bötesstraff och dokumen- tera ingripanden vid ordningsstörningar och att Kriminalvården behandlar personuppgifter för att verkställa olika straffrättsliga påföljder och hantera vissa andra frihetsberövanden. I artikel 8.2 anges att nationell rätt åtminstone ska specificera syftet med behandlingen, vilka personuppgifter som ska behandlas och behandlingens ändamål.