sou · H5B329 · 2017-04-05 00:00:00 — får uppgifterna inte behandlas för något annat ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in (den s.k. finalitetsprin- cipen). De personuppgifter som behandlas ska vidare vara adekvata och relevanta i förhållande till ändamålen med behandlingen och får inte heller vara fler än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Om det är nödvändigt ska uppgif- terna vara aktuella. Om personuppgifterna är felaktiga eller ofull- ständiga, ska den personuppgiftsansvarige vidta alla rimliga åtgärder för att utplåna, blockera eller rätta uppgifterna. Personuppgifter får inte sparas längre än nödvändigt med hän- syn till de ändamål för vilka de behandlas. Tillåten och otillåten behandling I 10–12 §§ finns en uttömmande uppräkning av de fall där behand- ling av personuppgifter är tillåten. Personuppgifter får alltid be- handlas om den registrerade har gett sitt samtycke. Återkallar per- sonen sitt samtycke får ytterligare personuppgifter om honom eller henne inte behandlas. I vissa fall får personuppgifter behandlas även om den registre- rade inte har gett sitt samtycke. En förutsättning i dessa fall är att behandlingen är nödvändig för ändamålen. Personuppgifter får behandlas i samband med ett avtal med den registrerade, när det behövs för att fullgöra avtalet eller när det behövs för att på den registrerades begäran vidta åtgärder innan avtalet träffas. Vidare får behandling utföras om den är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldighet. Dessutom får personuppgifter behandlas för att skydda vitala intressen för den registrerade. Likaså får personuppgifter behandlas om det är nödvändigt för att den personuppgiftsansva- rige, eller en tredje man till vilken personuppgifter lämnas ut, ska kunna utföra en arbetsuppgift i samband med myndighetsutövning. Slutligen får personuppgifter behandlas om en avvägning ger vid handen att den personuppgiftsansvariges berättigade intresse av behandling väger tyngre än den registrerades intresse av skydd. Behandling av känsliga personuppgifter I 13 § personuppgiftslagen förbjuds behandling av känsliga person- uppgifter. Med det avses uppgifter som avslöjar ras eller etniskt ur- sprung, politiska åsikter, religiös eller filosofisk övertygelse, med- lemskap i fackförening och uppgifter som rör hälsa eller sexualliv. Förbudet mot behandling av känsliga personuppgifter är inte undantagslöst. I 14–19 §§ anges under vilka förutsättningar sådana uppgifter får behandlas. Om den registrerade har gett sitt uttryck- liga samtycke till behandlingen eller på ett tydligt sätt offentliggjort de känsliga uppgifterna får de enligt 15 § behandlas. 16 § undantag för nödvändig behandling, bl.a. för att den person- uppgiftsansvarige ska kunna fullgöra skyldigheter eller utöva rät- tigheter inom arbetsrätten, för att den registrerades eller annans vitala intressen ska kunna skyddas i fall där den registrerade inte kan lämna samtycke till behandlingen eller för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. Undantag görs också i 17 § för ideella organisationer med poli- tiskt, filosofiskt, religiöst eller fackligt syfte, som får behandla uppgifter om bl.a. sina medlemmar. Likaså finns det undantag i 18 § för behandlingen av känsliga personuppgifter för hälso- och sjukvårdsändamål och i 19 § för forskning och statistik. Regeringen, eller den myndighet regeringen bestämmer, får enligt 20 § föreskriva ytterligare undantag från för- budet i 13 §, om det behövs med hänsyn till ett viktigt allmänt in- tresse. Uppgifter om brott och behandling av personnummer Det är enligt 21 § personuppgiftslagen förbjudet för andra än myn- digheter att behandla sådana personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångs- medel eller administrativa frihetsberövanden. Sådana uppgifter får dock behandlas för forskningsändamål om behandlingen godkänts vid etikprövning. Regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare undantag från förbudet. Likaså kan i enskilda fall undantag medges. Uppgifter om personnummer och samordningsnummer får en- ligt 22 § behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Enligt 29 § personuppgiftslagen ska, om ett beslut som har rättsliga följder för en fysisk person eller annars har märkbara verkningar för honom eller henne och beslutet grundas enbart på automati- serad behandling av sådana personuppgifter som är avsedda att be- döma egenskaper hos personen, den som berörs av beslutet ha möjlighet att på begäran få beslutet omprövat av någon person. Information till den registrerade Personuppgiftslagen innehåller ett flertal bestämmelser som syftar till att genom information trygga den enskildes rätt att kontrollera om hans eller hennes personuppgifter behandlas. Den personupp- giftsansvariges skyldighet att självmant lämna information till regi- strerade gäller enligt 23 § i första hand uppgifter som den registre- rade själv har lämnat. Har uppgifterna samlats in från annan källa, föreskrivs i 24 § att den personuppgiftsansvarige självmant ska in- formera den registrerade när uppgifterna registreras, eller om av- sikten med behandlingen är att lämna ut dem till tredje man, när uppgifterna lämnas ut första gången. Information behöver dock inte lämnas om det finns bestämmelser om registrerandet eller ut- lämnandet av uppgifterna i lag eller annan författning. Information behöver heller inte lämnas om det skulle vara omöjligt eller kräva en oproportionerligt stor arbetsinsats. Informationen ska enligt 25 § omfatta uppgift om vem som är personuppgiftsansvarig, ändamålen med behandlingen och all övrig information som den registrerade behöver för att kunna ta tillvara sina rättigheter i samband med behandlingen. Informationsskyldig- heten omfattar bara sådana uppgifter som den registrerade inte redan känner till. Den personuppgiftsansvarige är vidare enligt 26 § skyldig att på ansökan, en gång , gratis informera om uppgifter om sökan- den behandlas, ändamålen med behandlingen, vilka uppgifter som behandlas, varifrån dessa kommer och till vem de lämnas ut. Någon information behöver dock inte lämnas om personuppgifter som endast behandlas i löpande text som ännu inte fått sin slutliga ut- formning eller utgör minnesanteckning, utom i de fall där uppgif- terna har lämnats ut till tredje man eller – i fråga om behandling i löpande text – har behandlats längre än . Informationsskyldigheten gäller enligt 27 § inte heller om upp- gifterna omfattas av sekretess eller tystnadsplikt. Personuppgifter som har behandlats i strid med personuppgiftsla- gen eller föreskrifter som har meddelats med stöd av den, ska enligt 28 § på begäran av den registrerade rättas, utplånas eller blockeras av den personuppgiftsansvarige. Om felaktiga personuppgifter har lämnats ut till tredje man, ska denne i vissa fall informeras om kor- rigeringen. I 30 och 31 §§ personuppgiftslagen finns allmänna bestämmelser om säkerheten vid behandling av personuppgifter. Bestämmelserna avser att trygga både den tekniska säkerheten och att de personer som behandlar personuppgifterna har tillräckliga instruktioner för att behandla uppgifterna på ett korrekt sätt. Den personuppgiftsan- svarige ansvarar för säkerheten. Överföring av personuppgifter till tredjeland Enligt 33 § personuppgiftslagen är det förbjudet att till tredjeland föra över personuppgifter under behandling om landet i fråga inte har en adekvat nivå för skyddet av personuppgifter. Förbudet gäller också överföring av personuppgifter för behandling i tredjeland. Frågan om skyddsnivån är adekvat ska bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. I paragrafen anges vilka omständigheter som ska tillmätas särskild vikt. I 34 § anges vissa undantag från förbudet i 33 §. Ett viktigt undantag är att det är tillåtet att föra över personuppgifter för an- vändning enbart i en stat som har anslutit sig till konvention om skydd för enskilda vid automatisk behandling av personuppgifter (i fortsättningen dataskyddskonventionen). Enligt 35 § personuppgiftslagen har regeringen möjlighet att besluta om ytterligare undantag från förbudet i 33 §. I bilagor till personupp- giftsförordningen (1998:1191) anges vilka stater som enligt beslut av Europeiska kommissionen (i fortsättningen kommissionen) an- ses ha en adekvat skyddsnivå för behandlingen av personuppgifter vid överföring till vissa i besluten specificerade mottagare. Datainspektionen är enligt 2 § personuppgiftsförordningen till- synsmyndighet enligt personuppgiftslagen. Datainspektionen är som regel också tillsynsmyndighet för sådan behandling av person- uppgifter som regleras i särskilda registerförfattningar. Inspektio- nen har bl.a. till uppgift att verka för att människor skyddas mot att den personliga integriteten kränks genom behandling av person- uppgifter. Datainspektionen informerar bl.a. om gällande regler, utövar tillsyn över att reglerna efterlevs och ger råd och hjälp åt personuppgiftsombud. I 43–47 §§ personuppgiftslagen regleras till- synsmyndighetens befogenheter, t.ex. rätten att meddela vite och möjligheten att förbjuda viss behandling. Om behandling av personuppgifter i strid med personuppgiftslagen orsakar skada och kränkning av den personliga integriteten för den registrerade, har han eller hon enligt 48 § personuppgiftslagen rätt till skadestånd från den personuppgiftsansvarige. Ersättningsrätten omfattar både personskada, sakskada och ren förmögenhetsskada som kränkningen av den personliga integriteten kan ha medfört. Skadeståndsansvaret är i princip strikt. Den registrerade behöver bara visa att det förekommit en felaktig behandling och att den skadat eller kränkt honom eller henne. En straffbestämmelse finns i 49 §. Till böter eller fängelse döms bl.a. den som behandlar personuppgifter i strid med bestämmelserna om behandling av känsliga personupp- gifter eller för över personuppgifter till tredjeland i strid med be- stämmelserna i 33–35 §§. I ringa fall döms inte till ansvar. Vidare får ansvar inte utkrävas för en gärning som omfattas av ett vites- föreläggande enligt lagen. 3.1.3Personuppgiftslagens förhållande till annan lagstiftning I 2 § personuppgiftslagen föreskrivs, som nämnts, att om det i en annan lag eller en förordning finns bestämmelser som avviker från lagen ska de bestämmelserna gälla. Sådan särreglering finns för de flesta av de verksamhetsområden som berörs av det nya data- skyddsdirektivet, vilket redovisas närmare i det följande. Regle- ringen har, av de skäl som anges i avsnitt 3.1.1, normalt lagform. Författningar som reglerar personuppgiftsbehandling är ofta konstruerade så att de gäller utöver personuppgiftslagen. Det inne- bär att författningarna i fråga bara innehåller de bestämmelser som avviker från olika bestämmelser i personuppgiftslagen. Inom det nya direktivets tillämpningsområde är lagen (2001:617) om be- handling av personuppgifter inom kriminalvården ett exempel på det. Det finns emellertid även författningar som gäller i stället för personuppgiftslagen. Det innebär att de i sin helhet ersätter per- sonuppgiftslagen inom sitt tillämpningsområde. I vissa av dessa an- ges genom hänvisningar vilka bestämmelser i personuppgiftslagen som ändå ska tillämpas. Den lagstiftningstekniken används inom det nya direktivets tillämpningsområde för flertalet av de centrala författningarna. Det gäller t.ex. polisdatalagen (2010:361), kustbe- vakningsdatalagen (2012:145) och åklagardatalagen (2015:433). 3.2Särregler för brottsbekämpande verksamhet Polisdatalagen är generellt utformad och gäller i polisens brotts- bekämpande verksamhet. Det finns dock även andra författningar som reglerar personuppgiftsbehandling i polisens brottsbekäm- pande verksamhet, framför allt lagstiftning som reglerar behandling i särskilda register. I 1 kap. 3 § polisdatalagen undantas från lagens tillämpningsområde behandling av personuppgifter enligt vapen- lagen (1996:67), lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregister, lagen (2000:344) om Schengens informationssystem, lagen (2006:444) om passagerarregister och lagen (2015:51) om register över tillträdesförbud vid idrottsarran- gemang. Eftersom det, med undantag för den sistnämnda lagen, inte ingår i utredningens uppdrag att se över de författningar som undantas från polisdatalagens tillämpningsområde berörs de inte vidare här. Polisdatalagen gäller vid behandling av personuppgifter i brottsbe- kämpande verksamhet vid och Säkerhetspolisen och i polisiära verksamhet, med undantag för behandling i de register som anges i 1 kap. 3 §. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter. Lagen tillämpas enligt 1 kap. 6 § även i viss utsträckning på behandling av uppgifter om juridiska personer. I annan verksamhet än den brottsbekämpande tillämpar Polis- myndigheten personuppgiftslagen, om det inte finns en specialreg- lering. Myndigheten tillämpar t.ex. utlänningsdatalagen (2016:27) i verksamhet som den bedriver enligt utlännings- och medborgar- skapslagstiftningen, om det inte är fråga om brottsbekämpning. Polisdatalagen gäller enligt 2 kap. 1 § i stället för personuppgiftsla- gen. I 2 kap. 2 § hänvisas dock till ett betydande antal bestämmelser i personuppgiftslagen som ska tillämpas vid behandling av person- uppgifter i polisens brottsbekämpande verksamhet. Det gäller bl.a. personuppgiftslagens definitioner, vissa grundläggande bestämmel- ser om behandlingen av personuppgifter, information till den regi- strerade, tillsyn och skadestånd. Ändamål för behandling och utlämnande av uppgifter I 2 kap. polisdatalagen anges för vilka ändamål personuppgifter får behandlas. Ändamålen delas in i primära och sekundära ändamål. De primära ändamålen avser behandling av personuppgifter för att tillgodose de behov som finns i polisens brottsbekämpande verk- samhet. Dessa ändamål är uttömmande angivna i 2 kap. 7 § polis- datalagen. Personuppgifter får enligt denna paragraf behandlas om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra de förpliktelser som följer av internationella åtaganden. De sekundära ändamålen aktualiseras när personuppgifter som behandlas i polisens brottsbekämpande verksamhet lämnas ut till andra myndigheter eller organisationer för deras behov eller till andra delar av polisverksamheten. Enligt de sekundära ändamålen, som anges i 2 kap. 8 § polisdatalagen, får personuppgifter behandlas genom sådant utlämnande när det är nödvändigt för att tillhanda- hålla information som behövs i brottsbekämpande verksamhet hos , , , , och eller hos utländsk myndighet eller mellanfolklig organisation. Personuppgiftsbehand- ling genom utlämnande är också tillåtet om den är nödvändig för att tillhandahålla information som behövs i handräckningsverksamhet eller, om det finns särskilda skäl, att till- handahålla informationen i annan verksamhet som myndigheten ansvarar för. Likaså får personuppgifter i ett enskilt fall behandlas för att lämnas ut för vissa andra i paragrafen specificerade ändamål eller för något annat ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in (finalitetsprincipen). Personuppgifter får enligt 2 kap. 9 § också behandlas om det är nödvändigt för diarieföring, eller om uppgifterna har lämnats till eller i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. I 2 kap. 15 § finns sekretessbrytande bestämmelser som anger i vilken utsträckning personuppgifter får lämnas ut till bl.a. och Europol, utländsk underrättelse- eller säkerhetstjänst och annan utländsk myndighet eller mellanfolklig organisation. Sekre- tessbrytande bestämmelser som gäller i förhållande till Säkerhets- polisen, , , , och finns i 2 kap. 16–18 §§ polis- datalagen. Behandling av känsliga personuppgifter Behandling av känsliga personuppgifter regleras i 2 kap. 10 § polis- datalagen. Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Om uppgifter om en person behandlas på annan grund får de kompletteras med sådana uppgif- ter om det är absolut nödvändigt för syftet med behandlingen. Register som regleras särskilt i polisdatalagen Några register regleras särskilt i 4 kap. polisdatalagen. Dessa är register över dna-profiler, dvs. dna-registret, utredningsregistret och spårregistret, fingeravtrycks- och signalementsregister, pen- ningtvättsregister och det internationella registret. För dessa regi- ster finns särskilda bestämmelser om ändamål, gallring och direkt- åtkomst. Behandling av personuppgifter för forensiska ändamål I 5 kap. polisdatalagen finns bestämmelser om personuppgiftsbe- handling vid för forensiska ändamål. Där regle- ras framför allt ändamålen med sådan personuppgiftsbehandling som avviker från regleringen i övrigt i lagen, på grund av att avdel- ningen Nationellt forensiskt centrum har en särskild roll som expertmyndighet åt hela rättsväsendet. Kapitlet innehåller även särskilda bestämmelser om bevarande och gallring. När det gäller behandling av känsliga personuppgifter, utlämnande av personupp- gifter och uppgiftsskyldighet gäller i huvudsak samma bestämmel- ser som för . Behandling av personuppgifter i Säkerhetspolisens brottsbekämpande verksamhet I 6 kap. polisdatalagen finns bestämmelser om behandling av per- sonuppgifter i Säkerhetspolisens brottsbekämpande verksamhet. Där regleras framför allt ändamålen för Säkerhetspolisens person- uppgiftsbehandling, som delvis avviker från regleringen för Polis- myndigheten. Det finns även särskilda bestämmelser om bevarande och gallring. När det gäller utlämnande av personuppgifter och uppgiftsskyldighet gäller i huvudsak samma bestämmelser som för . En ny tullbrottsdatalag har föreslagits Lagen (2005:787) om behandling av uppgifter i brotts- bekämpande verksamhet – som gäller för person- uppgiftsbehandling i den del av verksamhet som ligger inom direktivets tillämpningsområde – föreslås ersättas av en ny lag, tullbrottsdatalagen (Tullbrottsdatalag, prop. 2016/17:91). En- ligt förslaget ska den nya lagen träda i kraft . Mot den bakgrunden redovisas här enbart förslaget till tullbrottsdatalag. Tullbrottsdatalagen, som har utformats i nära anslutning till polis- datalagen, kustbevakningsdatalagen och åklagardatalagen, föreslås reglera all behandling av personuppgifter i brottsbe- kämpande verksamhet. Lagen föreslås enligt 1 kap. 2 § endast gälla om behandlingen är helt eller delvis automatiserad eller om per- sonuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter. Lagen föreslås enligt 1 kap. 4 § i viss utsträckning även tillämpas på behandling av uppgifter om juridiska personer. Lagen föreslås gälla i stället för personuppgiftslagen, men hänvis- ningar görs i 2 kap. 2 § till vissa bestämmelser i personuppgiftsla- gen som ändå ska tillämpas. Det gäller bl.a. personuppgiftslagens definitioner, vissa grundläggande bestämmelser om behandlingen av personuppgifter, information till den registrerade, tillsyn och skadestånd. Ändamål för behandling och utlämnande av uppgifter De ändamål för vilka personuppgifter föreslås få behandlas i Tull- verkets brottsbekämpande verksamhet är uppdelade i primära och sekundära ändamål. Personuppgifter ska enligt 2 kap. 5 § få be- handlas om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, för att utreda eller beivra brott eller för att fullgöra förpliktelser som följer av internationella åtaganden. Per- sonuppgifter som behandlas enligt den paragrafen föreslås också få behandlas när det är nödvändigt för att tillhandahålla information som behövs i brottsbekämpande verksamhet hos Polismyndighe- ten, Säkerhetspolisen, , Åklagarmyndighe- ten, och eller en utländsk myndig- het eller mellanfolklig organisation. Personuppgiftsbehandling genom utlämnande föreslås också enligt 2 kap. 6 § vara tillåten om den är nödvändig för att tillhandahålla information som behövs i verksamhet hos för att förebygga brott och upp- rätthålla säkerheten och i annan verksamhet som ansva- rar för, om det finns särskilda skäl för att tillhandahålla informatio- nen. Likaså föreslås personuppgifter i ett enskilt fall få behandlas för något annat ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in (finalitetsprincipen). Särskilda regler föreslås gälla för behandling av vissa personuppgifter från transportföretag. Personuppgifter ska enligt 2 kap. 7 § också få behandlas om det är nödvändigt för diarieföring, eller om uppgifterna har lämnats till i en anmälan eller liknande och behandlingen är nödvän- dig för handläggningen. I 2 kap. 12 § föreslås en sekretessbrytande bestämmelse som anger i vilken utsträckning personuppgifter får lämnas ut till bl.a. och Europol, utländsk polismyndighet eller åklagarmyn- dighet och tullmyndighet eller kustbevakning inom Europeiska ekonomiska samarbetsområdet (EES). En sekretessbrytande be- stämmelse som gäller i förhållande till , Säker- hetspolisen, , , Kustbe- vakningen och föreslås i 2 kap. 13 §. Behandling av känsliga personuppgifter Känsliga personuppgifter, dvs. uppgifter som avslöjar en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening eller som rör hälsa eller sexualliv, föreslås enligt 2 kap. 10 § inte få behandlas enbart på grund av vad som är känt om en persons sådana förhållanden. Om uppgifter om en person behandlas på annan grund ska de dock få kompletteras med känsliga personuppgifter när det är absolut nöd- vändigt för syftet med behandlingen. För behandling av personuppgifter gäller kust- bevakningsdatalagen. Lagen reglerar i princip all behandling av per- sonuppgifter i operativa verksamhet. I 3 och 4 kap. regleras behandling av personuppgifter i brottsbekämpande verksamhet och i 5 kap. behandling av person- uppgifter i annan operativ verksamhet som be- driver. Behandling för de ändamål som anges i 5 kap. ligger i allt väsentligt utanför direktivets tillämpningsområde och berörs därför inte vidare här. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är av- sedda att ingå i en strukturerad samling av personuppgifter. Kustbevakningsdatalagen gäller enligt 2 kap. 1 § i stället för person- uppgiftslagen, men i 2 kap. 2 § finns hänvisningar till vissa bestäm- melser i personuppgiftslagen som ändå ska tillämpas. Det gäller bl.a. personuppgiftslagens definitioner, vissa grundläggande be- stämmelser om behandlingen av personuppgifter, information till den registrerade, tillsyn och skadestånd. Ändamålen för behandling och utlämnande av uppgifter Kustbevakningsdatalagen är uppbyggd på i princip samma sätt som polisdatalagen. De ändamål för vilka personuppgifter får behandlas är indelade i primära och sekundära ändamål. De primära ändamå- len avser behandling av personuppgifter för att tillgodose de behov som finns inom . De primära ändamålen för den brottsbekämpande verksamheten anges uttömmande i 3 kap. 2 § lagen. Enligt den paragrafen får per- sonuppgifter behandlas om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra förpliktelser som följer av internationella åtaganden.