sou · H5B329 · 2017-04-05 00:00:00 — Behovet av att behandla personuppgifter skiljer sig åt beroende på om det är fråga om förundersökning, brottmålsrättegång, verk- ställighet av straff eller att upprätthålla allmän ordning och säker- het. Vissa behöriga myndigheter har behov av att behandla fler typer av personuppgifter än andra. En allmängiltig förteckning skulle därför inte fungera. Skulle någon personkategori eller kate- gori av uppgifter saknas skulle det inte finnas rättsligt stöd för be- handlingen även om den var nödvändig. Förutom att en detaljbeto- Principer för behandling av personuppgifter nad uppräkning av det slaget skulle strida mot svensk lagstift- ningstradition skulle den försvåra möjligheterna för behöriga myn- digheter att bedriva en effektiv verksamhet. Den som behöver be- handla personuppgifter skulle nämligen alltid behöva konsultera en omfattande förteckning för att kunna avgöra om behandlingen av en viss personuppgift var tillåten. En uppräkning av det slaget skulle också riskera att snabbt bli inaktuell och skulle därför be- höva uppdateras ofta. Eftersom ett av syftena med direktivet enligt artikel 1.2 b är att säkerställa att behöriga myndigheters utbyte av personuppgifter inte begränsas eller förbjuds av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter kan av- sikten med artikel 8.2 enligt utredningens mening inte vara att det i nationell rätt ska finnas uttömmande uppräkningar av vilka person- uppgifter som får behandlas. Som framgår av avsnitt 9.1.5 och 9.2.2 föreslås att vissa grund- läggande bestämmelser motsvarande dem som finns i 9 § per- sonuppgiftslagen ska tas in i ramlagen. Förslagen innebär att per- sonuppgifter enbart får behandlas för särskilda, uttryckliga och berättigade ändamål. Personuppgifterna ska vidare vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler personuppgifter än vad som är nödvändigt med hänsyn till ända- målen med behandlingen får inte behandlas och de personuppgifter som behandlas ska vara korrekta och, om nödvändigt, uppdaterade. Att behandla ovidkommande eller onödigt många personuppgifter sett till de bestämda ändamålen strider därmed mot regelverket. Dessa grundläggande krav – tillsammans med bl.a. rättegångsbal- kens och regler – innebär därför såväl en kvantitativ som en kvalitativ begränsning av vilka personuppgifter som får be- handlas. De föreslagna grundläggande kraven och regleringen av när känsliga personuppgifter får behandlas innebär därför enligt utred- ningens mening tillsammans med andra tillämpliga regler en till- räcklig avgränsning av vilka slags personuppgifter som behöriga myndigheter får behandla. Det finns därför inget behov av ytterli- gare regler om det i ramlagen. Principer för behandling av personuppgifter Avidentifiering bör användas i så stor utsträckning som möjligt En fråga som särskilt bör uppmärksammas är det faktiska behovet av att använda namnuppgifter eller andra uppgifter som direkt identifierar en person som t.ex. personnummer. Kan en arbetsupp- gift utföras tillfredsställande även om personuppgifterna utelämnas är de grundläggande kraven på adekvans och personuppgifternas omfattning inte uppfyllda (jfr SOU 2015:39 s. 285). Prövningen av om en personuppgift är nödvändig för en viss behandling måste göras kontinuerligt av myndigheterna och inte bara då uppgiften registreras eller på annat sätt samlas in i verksam- heten. Även vid en senare hantering ska personuppgiften behövas för ändamålet med just den hanteringen. Det innebär exempelvis att även om uppgiften om en persons namn måste behandlas vid handläggningen av ett ärende i vilket personen är part eller annars direkt berörd, är det inte säkert att namnuppgiften behöver be- handlas i ett senare skede, t.ex. vid verksamhetsuppföljning eller vid publicering på myndighetens webbplats för att informera all- mänheten om ett principiellt viktigt avgörande. Det ska alltså vid all behandling prövas om det går att avstå från att använda uppgif- ter som direkt går att hänföra till en viss person. Möjligheten till avidentifiering bör användas i så stor utsträckning som möjligt. 9.2.6Åtgärder för att säkerställa personuppgifternas kvalitet Utredningens förslag: Alla rimliga åtgärder ska vidtas för att personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen rättas utan onödigt dröjsmål. Detsamma gäller för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Personuppgifter som är inaktuella ska uppdateras om det är nödvändigt. När personuppgifter lämnas ut till en behörig myndighet, ska mottagaren så långt det är möjligt ges information som gör det möjligt att bedöma i vilken utsträckning uppgifterna är kor- rekta, fullständiga, uppdaterade och tillförlitliga. Alla rimliga åtgärder ska också vidtas för att personuppgifter som behandlas på ett otillåtet sätt utan onödigt dröjsmål raderas och för att förhindra att sådana uppgifter lämnas ut eller görs Principer för behandling av personuppgifter Detsamma gäller om radering krävs för att utföra en rättslig förpliktelse. I stället för att radera personuppgifterna, ska den personupp- giftsansvarige utan onödigt dröjsmål begränsa behandlingen av dem om de behöver finnas kvar som bevisning. Skyldigheten att underrätta mottagare av personuppgifterna om att de är felaktiga eller behandlas på otillåtet sätt ska regleras i förordning. Skälen för utredningens förslag Felaktiga uppgifter ska rättas och uppgifter som behandlas på otillåtet sätt ska raderas Av artikel 4.1 d framgår att alla rimliga åtgärder ska vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas utan dröjsmål raderas eller rättas. Av artikeln framgår inte i vilka fall uppgifterna ska rättas och i vilka fall de ska raderas. När det gäller korrigering på begäran av registre- rade görs det däremot skillnad mellan vilka åtgärder som ska vidtas med felaktiga uppgifter respektive med uppgifter som behandlas på ett otillåtet sätt. Enligt artikel 16.1 ska felaktiga personuppgifter rättas, medan uppgifter som behandlas i strid med vissa uppräknade bestämmelser i direktivet enligt artikel 16.2 ska raderas. Utred- ningen anser att de två korrigeringsalternativen bör användas under samma förutsättningar oavsett om korrigering görs på den person- uppgiftsansvariges eget initiativ eller på begäran av registrerade. Regleringen i ramlagen bör därför utgå från att felaktiga person- uppgifter ska rättas och att personuppgifter som behandlas på otill- låtet sätt ska raderas. Enligt artikel 4.1 d är det enbart felaktiga personuppgifter som om- fattas av kravet på korrigering. Med hänsyn till att den personupp- giftsansvarige enligt artikel 7.2 ska se till att inte bara felaktiga utan även ofullständiga och inaktuella personuppgifter inte överförs eller görs tillgängliga, bör enligt utredningens mening kravet på Principer för behandling av personuppgifter rättelse i ramlagen även omfatta ofullständiga och inaktuella upp- gifter. I avsnitt 9.2.2 föreslås att personuppgifter bara behöver vara uppdaterade om det är nödvändigt. Därför bör det inte krävas att inaktuella uppgifter korrigeras annat än om det är nödvändigt. Radering anges som ett korrigeringsalternativ i artikel 4.1 d. Ut- redningen anser som nämnts att de förutsättningar som gäller för radering på begäran av enskild bör gälla även när frågan om radering väcks av den personuppgiftsansvarige. Av artikel 16.2 framgår att radering kan komma i fråga dels om behandlingen av personuppgifter står i strid med de bestämmelser som genomför artiklarna 4, 8 och 10, dels om det krävs för att den personuppgifts- ansvarige ska uppfylla en rättslig förpliktelse. Förutsättningarna för att använda radering utvecklas i avsnitt 11.4.2. Enligt artikel 16.3 ska den personuppgiftsansvarige begränsa be- handlingen av personuppgifterna i stället för att radera dem, om den registrerade bestrider att de är korrekta och det inte kan fast- ställas eller om personuppgifterna behöver sparas som bevisning. Begränsning av behandlingen nämns inte som ett korrigeringsalter- nativ i artikel 4.1 d. Som tidigare nämnts medger direktivet att medlemsstaterna har starkare skyddsåtgärder än vad som krävs enligt direktivet. Mot den bakgrunden bör begränsning av behand- lingen läggas till som ett korrigeringsalternativ, eftersom person- uppgifter kan behöva sparas som bevisning till skydd för den regi- strerade även när den personuppgiftsansvarige själv upptäcker att uppgifterna behandlas på otillåtet sätt. Begränsning av behand- lingen på den grunden att det inte kan fastställas om personupp- gifterna är korrekta blir däremot inte aktuell när korrigering görs på den personuppgiftsansvariges eget initiativ (jfr avsnitt 11.4.3). Spridning av felaktiga uppgifter och uppgifter som behandlas på otillåtet sätt ska förhindras Enligt artikel 7.2 ska de behöriga myndigheterna vidta alla rimliga åtgärder för att se till att personuppgifter som är felaktiga, ofull- ständiga eller inaktuella inte överförs eller görs tillgängliga. Varje behörig myndighet ska också, i den mån det är praktiskt möjligt, kontrollera kvaliteten på personuppgifterna innan de överförs eller görs tillgängliga. Regleringen hänger naturligt samman med kravet på rättelse av felaktiga personuppgifter. I kravet på att den person- Principer för behandling av personuppgifter uppgiftsansvarige ska göra allt för att rätta felaktiga, ofullständiga eller inaktuella personuppgifter i den egna verksamheten ligger också ett ansvar för att se till att sådana uppgifter inte lämnas ut eller görs tillgängliga. Det bör tydliggöras genom en bestämmelse i ramlagen. Däremot finns det inget behov av att särskilt reglera att den personuppgiftsansvarige ska kontrollera kvaliteten på person- uppgifter innan de lämnas ut eller görs tillgängliga. Det får anses följa av det generella kravet på att den personuppgiftsansvarige ska vidta alla rimliga åtgärder för att rätta felaktiga uppgifter. Artikel 7.2 gäller felaktiga, ofullständiga eller inaktuella person- uppgifter, medan artikel 7.3 föreskriver att mottagaren ska underrättas om det visar sig att felaktiga personuppgifter har överförts eller att personuppgifter har överförts olagligen. I sådana fall ska personuppgifterna rättas eller raderas eller behandlingen begränsas i enlighet med artikel 16. Vad som avses med att uppgif- ter olagligen överförts är inte helt klart, men i och med att radering och begränsning av behandlingen nämns som korrigeringsalternativ bör underrättelseskyldigheten enligt utredningens mening omfatta också personuppgifter som behandlas på otillåtet sätt. Den person- uppgiftsansvarige bör alltså vara skyldig att se till att inte heller personuppgifter som behandlas på ett otillåtet sätt lämnas ut eller görs tillgängliga. Om det upptäcks att felaktiga personuppgifter eller personupp- gifter som behandlas på otillåtet sätt har lämnats ut är det naturligt att den som har fått uppgifterna underrättas, så att uppgifterna kan rättas eller raderas eller behandlingen av dem begränsas. Skyldighe- ten för mottagaren att rätta, radera eller begränsa behandlingen av uppgifterna behöver inte regleras särskilt, eftersom alla behöriga myndigheter omfattas av den föreslagna skyldigheten att korrigera uppgifter som är felaktiga eller behandlas på otillåtet sätt. Under- rättelseskyldigheten kan regleras i förordning. Underrättelseskyldigheten i direktivet gäller bara när uppgifter har lämnats ut. Det kan vara betydligt svårare att informera dem som har tagit del av en personuppgift som har gjorts tillgänglig, eftersom det inte alltid är känt vem som tagit del av uppgifterna och vilka uppgifter som vederbörande tagit del av. Underrättelse- skyldigheten bör dock så långt möjligt gälla även i förhållande till dem som har tagit del av en tillgängliggjord uppgift som visat sig vara felaktig eller som behandlas på otillåtet sätt. Principer för behandling av personuppgifter t.ex. finns i ett register till vilket andra behöriga myndigheter har direktåtkomst kan den rättade uppgiften förses med en upplysning om rättelsen och när den gjordes. På så sätt uppmärksammas de andra myndigheterna på att uppgiften har rättats och kan då kon- trollera vilken version av uppgiften som finns hos dem. Information i samband med utlämnande eller tillgängliggörande av personuppgifter Vid all överföring av personuppgifter ska enligt artikel 7.2 så långt möjligt sådan nödvändig information läggas till som gör det möjligt för den mottagande behöriga myndigheten att bedöma i vilken grad uppgifterna är korrekta, fullständiga och tillförlitliga och i vilken utsträckning de är aktuella. Bestämmelsen kompletterar skyddet för den enskilde när det gäller kvaliteten på personuppgifter genom att den som tar emot uppgifterna ges möjlighet att göra en egen bedömning av deras kvalitet. Mottagaren kan då fullgöra sin skyl- dighet att kontrollera kvaliteten på personuppgifter som kommer från andra behöriga myndigheter. En bestämmelse om att sådan in- formation så långt det är möjligt ska lämnas i samband med att per- sonuppgifter lämnas ut bör tas in i ramlagen. Informationen till mottagaren kan exempelvis avse information om var personuppgif- terna kommer från, vad man vet om uppgiftslämnaren, när och för vilket ändamål uppgifterna hämtades in och om uppgifterna grun- dar sig på fakta eller personliga bedömningar. Det kan också vara av värde för mottagaren att få veta om personuppgifterna är eller har varit föremål för domstolsbehandling och om förfarandet i så fall är avslutat. 9.3Längsta tid som personuppgifter får behandlas Utredningens bedömning: För att skilja mellan arkivrättsliga regler och regler om dataskydd bör orden bevarande och gall- ring bara användas i den betydelse de har i arkivlagstiftningen. Regleringen i ramlagen bör utgå från hur länge personuppgifter får behandlas för andra ändamål än arkivändamål. Principer för behandling av personuppgifter Skälen för utredningens bedömning: Regleringen av bevarande av personuppgifter är komplex. Arkivreglerna innebär att allmänna handlingar ska bevaras i arkiv och bär på så sätt upp handlings- offentligheten. Enligt 3 § arkivlagen (1990:782) ska myndigheters arkiv bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rätts- skipningen och förvaltningen och forskningens behov. Allmänna handlingar får enligt 10 § samma lag gallras, men det ska då beaktas att det arkivmaterial som återstår ska kunna tillgodose ändamålen med arkiven. Enligt 14 § arkivförordningen (1991:446) får statliga myndigheter gallra allmänna handlingar endast i enlighet med före- skrifter eller beslut av eller enligt särskilda gallrings- föreskrifter i lag eller förordning. Gallring enligt före- skrifter görs för att begränsa arkivens omfattning. Med gallring avses att handlingar eller uppgifter sorteras ut och förstörs. Gall- ring av elektroniska upptagningar innebär normalt att information raderas från databäraren. Som gallring räknas enligt föreskrifter förstöring av allmänna handlingar och uppgifter i all- männa handlingar (se t.ex. 2 kap. 1 § RA-FS 2003:3). Överföring till annan databärare räknas som gallring om överföringen medför informationsförlust, förlust av sökmöjligheter eller förlust av möj- ligheter att fastställa informationens autenticitet (jfr Ordning och reda bland allmänna handlingar, SOU 2002:97, s. 73). Informatio- nen behöver således inte förstöras för att det ska vara fråga om gallring. I flertalet registerförfattningar finns det bestämmelser om beva- rande och gallring (se bl.a. 3 kap. 9–15 §§ polisdatalagen, 2 kap. 10 § åklagardatalagen, 4 kap. 8–14 §§ kustbevakningsdatalagen och 7 § lagen om behandling av personuppgifter inom kriminalvården). Gallring enligt dessa författningar görs för att skydda den enskildes integritet. Sådana regler föreslås också i 4 kap. tullbrottsdatalagen och 4 kap. skattebrottsdatalagen. De personuppgifter som behöriga myndigheter behandlar ingår i mycket stor utsträckning i upptagningar som är eller kommer att bli allmänna handlingar. Utgångspunkten i det arkivrättsliga regel- verket är att uppgifter ska bevaras, medan gallring är presumtionen enligt reglerna om skydd för personuppgifter. I 8 § andra stycket personuppgiftslagen har arkivlagstiftningen getts företräde genom att det anges att bestämmelser om längsta tid för bevarande inte Principer för behandling av personuppgifter hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Den prin- cipen bör enligt utredningens mening gälla även fortsättningsvis. Som nämnts syftar gallringsbestämmelserna i myndigheter- nas registerförfattningar till att skydda enskildas integritet. För att tydligare skilja mellan arkivrättsliga regler och regler om skydd för personuppgifter bör begreppen bevarande och gallring enbart an- vändas i den betydelse de har i arkivlagstiftningen. I ramlagen och i myndigheternas registerförfattningar bör regleringen i stället utgå från hur länge personuppgifter får behandlas för andra ändamål än arkivändamål. Utredningen återkommer i slutbetänkandet till den anpassning som behövs av registerförfattningarna. 9.3.2Hur länge får personuppgifter behandlas? Utredningens förslag: Personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Det hindrar inte att en behörig myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. Om det inte är föreskrivet i lag eller annan författning när en viss kategori av personuppgifter inte längre får behandlas för andra ändamål än arkivändamål, ska den personuppgiftsansva- rige se över behovet av att fortsatt behandla personupp- gifterna. Att behöriga myndigheter ska ha rutiner för att säkerställa att reglerna om längsta tid för behandling av personuppgifter respekteras ska regleras i förordning. Skälen för utredningens förslag Innehållet i direktivet och nuvarande reglering Enligt artikel 4.1 e ska personuppgifter inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka de behandlas. Det ska enligt artikel 5 föreskrivas lämpliga tidsgränser för radering av per- sonuppgifter eller för periodisk översyn av behovet av att lagra Principer för behandling av personuppgifter Procedurrelaterade åtgärder ska säkerställa att tidsgränserna efterlevs. Behandling kan enligt artikel 4.3 inbegripa arkivändamål av allmänt intresse. En bestämmelse som motsvarar artikel 4.1 e finns i artikel 6.1 e i det nu gällande dataskyddsdirektivet, som har genomförts genom 9 § första stycket i personuppgiftslagen. Där anges att personupp- gifter inte får bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Bestämmelsen är inte tillämplig för polisen, , och åkla- garväsendet. I dessa myndigheters registerförfattningar finns det i stället särskilda bestämmelser med motsvarande innehåll. Personuppgifter får bara behandlas så länge de behövs för annat än arkivändamål För de behöriga myndigheterna gäller att personupp- gifter inte får bevaras än vad som är nödvändigt för de ändamål för vilka de behandlas. Det gäller antingen för att de tillämpar 9 § i personuppgiftslagen eller för att deras registerför- fattningar innehåller en motsvarande bestämmelse. En bestämmelse om hur länge personuppgifter får behandlas bör tas in i ramlagen. För att tydliggöra att det inte är fråga om bevarande i arkivlagens mening bör ordet behandlas användas i stället för bevaras. Person- uppgifter bör alltså inte få behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Om en behörig myndighet behandlar en personuppgift för flera ändamål varierar tiden för hur länge uppgiften behöver behandlas. Att det inte längre finns behov av att behandla personuppgiften för ett visst ändamål medför inte att behandlingen av den måste upp- höra för alla andra ändamål . Å andra sidan innebär det förhållandet att personuppgiften fortfarande behövs för ett visst ändamål inte att den får fortsätta att behandlas för alla ändamål . Artikel 5 ger två möjligheter att säkerställa att personuppgifter inte behandlas längre än nödvändigt. Antingen ska det fastställas lämpliga tidsgränser för radering av personuppgifter eller för perio- disk översyn av behovet av att lagra personuppgifter. Eftersom det enligt artikel 4.3 är tillåtet att behandla personuppgifter för arkiv- ändamål av allmänt intresse kan det inte rimligen krävas att upp- Principer för behandling av personuppgifter gifterna ska raderas. Enligt utredningens mening bör artikeln tolkas så att det ska finnas frister för när behandlingen av personuppgif- terna för annat än arkivändamål ska upphöra. De flesta registerförfattningar föreskriver som nämnts frister för när behandlingen av personuppgifterna för andra ända- mål än arkivändamål ska upphöra. I bestämmelserna anges att per- sonuppgifterna ska gallras senast . Utredningen avser att i slutbetänkandet se över terminologin för att renodla den (se avsnitt 9.3.1). De frister som finns täcker dock inte all personuppgiftsbehand- ling som utförs av de behöriga myndigheterna. Det är enligt utred- ningens mening varken möjligt eller lämpligt att i ramlagen ställa upp en generell frist för när behandlingen av personuppgifter för andra ändamål än arkivändamål ska upphöra, eftersom det varierar hur länge myndigheterna behöver kunna behandla olika typer av personuppgifter. Regleringen i ramlagen bör därför utgå från möj- ligheten att föreskriva tidsgränser för periodisk översyn av behovet av att behandla personuppgifter. Enligt huvudregeln får personuppgifter inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Om den regeln kompletteras med en bestämmelse om att den behöriga myndigheten – om det saknas frist för när uppgifter inte längre får behandlas för annat än arkivändamål – en gång ska se över behovet av att fortsatt behandla person- uppgifterna, säkerställs att behandlingen upphör när det inte längre finns behov av den. För de behöriga myndigheter som inte har en registerförfattning, eller där registerförfattningen inte innehåller någon särskild frist för när personuppgifter inte längre får behand- las, kommer sistnämnda regel att gälla. Det är viktigt att de behöriga myndigheterna ser till att de frister för längsta tid för behandling som finns respekteras och skapar rutiner för att se över behovet av att fortsatt behandla personupp- gifter. Om de särskilda fristerna och den föreslagna bestämmelsen om periodisk översyn kompletteras med föreskrifter på lägre nivå om att de behöriga myndigheterna ska ha rutiner för att se till att bestämmelserna efterlevs, är direktivets krav på procedurrelaterade åtgärder enligt utredningens mening uppfyllt. Principer för behandling av personuppgifter Enligt 8 § andra stycket personuppgiftslagen hindrar bestämmel- serna i lagen om hur länge personuppgifter får bevaras inte att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Bestämmelsen gäller för några av de behöriga myndigheterna. Arkivlagstiftningen har alltså i fråga om allmänna handlingar företräde framför person- uppgiftslagens bestämmelser om längsta bevarandetid. För polisen, åklagarväsendet och har det gjorts undantag från 8 § andra stycket. I de myndigheternas registerförfattningar finns i stället som nämnts särskilda regler om gallring. Motsvarande reglering föreslås för och brottsbekäm- pande verksamhet. Enligt artikel 4.3 kan behandling inbegripa arkivändamål av all- mänt intresse. För att tydliggöra att personuppgifter får arkiveras när de inte längre behövs för något av de andra i ramlagen tillåtna ändamålen bör det tas in en bestämmelse i ramlagen som motsvarar 8 § andra stycket personuppgiftslagen.