sou · H5B329 · 2017-04-05 00:00:00 — Av skäl 49 och 107 framgår att direktivet inte hindrar medlems- staterna att i nationell straffprocesslagstiftning genomföra bestäm- melser dels om den registrerades rätt till information om behand- lingen av hans eller hennes personuppgifter, rättelse och radering av personuppgifter och begränsning av behandlingen i samband med straffrättsliga förfaranden, dels om begränsningar av dessa rät- tigheter. Behövs det någon ny reglering? Det finns som nämnts åtskilliga bestämmelser om enskildas rätt till insyn i brottsutredningar och straffrättsliga förfaranden. Av särskild betydelse är 23 kap. , som reglerar den misstänktes insyn under en förundersökning, 20 kap. rättegångs- balken som reglerar frågor som rör målsägande och förundersök- ningskungörelsen (1947:948) som framför allt reglerar underrättel- seskyldigheter till misstänkt, målsägande och andra som berörs av en förundersökning. Brottsförebyggande arbete, underrättelseverksamhet, förunder- sökningar och brottmålsprocesser kan genomföras på ett ändamålsenligt sätt, eftersom den processrättsliga lagstiftningen tillsammans med bestämmelser om sekretess och tystnadsplikt – när det finns skäl för det – begränsar enskildas rätt till information. Eftersom ramlagen föreslås vara subsidiär i förhållande till andra lagar och förordningar kommer reglerna i de processrättsliga regel- verken och sekretessregleringen att ta över vid en konflikt mellan regelverken (se avsnitt 6.1.2). Det innebär att om reglerna om rätt till partsinsyn eller tillgång till handlingar enligt eller andra författningar eller reglerna om sekretess eller tystnads- plikt kommer i konflikt med ramlagens bestämmelser ska de först- nämnda reglerna tillämpas i stället för ramlagens. Enligt utredningens uppfattning kommer således den ordning som gäller för enskildas rätt till information och tillgång till uppgifter i brottsutredningar och straffrättsliga förfaranden inte att påverkas när ramlagen träder ikraft. Några ytterligare regler för att säkerställa att brottsutredningar eller straffrättsliga förfaranden kan genomföras på samma sätt som behövs därmed inte. I direktivet finns det tre artiklar som reglerar vilken information som den personuppgiftsansvarige ska tillhandahålla den registre- rade, artiklarna 13.1, 13.2 och 14. För att kunna ta ställning till hur dessa artiklar ska genomföras i ramlagen krävs först en analys av vilka rättigheter och skyldigheter artiklarna slår fast och hur de för- håller sig till varandra. Artikel 13.1 är utformad som minimikrav. Den anger vilken in- formation den personuppgiftsansvarige alltid ska göra tillgänglig för registrerade. Det är fråga om allmän information om den per- sonuppgiftsansvarige och dataskyddsombudet, ändamålen med be- handlingen, rätten att lämna in klagomål, rätten att begära tillgång till personuppgifter och rätten att begära rättelse, radering och be- gränsning av behandling. Därutöver ska den personuppgiftsansvarige enligt artikel 13.2 i specifika fall lämna ytterligare information för att göra det möjligt för den registrerade att utöva sina rättigheter. Det gäller informa- tion om behandlingens rättsliga grund, hur länge personuppgifterna får behandlas, kategorier av mottagare av uppgifterna och den ytterligare information som det finns behov av. Enligt artikel 14 ska den registrerade ha rätt att få bekräftelse av den personuppgiftsansvarige om hans eller hennes personuppgifter behandlas. Om så är fallet ska den registrerade få tillgång till per- sonuppgifterna och information om vilka personuppgifter som be- handlas och varifrån de har hämtats. Den registrerade ska också informeras om ändamålen med behandlingen och dess rättsliga grund, kategorier av personuppgifter, mottagare eller kategorier av mottagare, hur länge uppgifterna får behandlas, rätten att begära rättelse, radering eller begränsning av behandlingen och möjlighe- ten att lämna in klagomål till tillsynsmyndigheten. Information som den personuppgiftsansvarige ska lämna självmant I 23–25 §§ personuppgiftslagen (1998:204) föreskrivs att den per- sonuppgiftsansvarige självmant ska informera den registrerade om behandlingen av hans eller hennes personuppgifter. I 23 § regleras vad som gäller om uppgifterna lämnats av den registrerade själv och i 24 § om uppgifterna hämtats från något annat håll. I 25 § första stycket anges vilken information som den personuppgiftsansvarige ska lämna självmant. Uppgift om den personuppgiftsansvariges identitet ska alltid lämnas och uppgift om ändamålen med behand- lingen. All annan information som behövs för att den registrerade ska kunna ta tillvara sina rättigheter i samband med behandlingen ska också lämnas, t.ex. information om mottagarna av uppgifterna, skyldigheten att lämna uppgifter och rätten att ansöka om infor- mation och att få rättelse. Enligt 25 § andra stycket personuppgiftslagen behöver informa- tion inte lämnas om sådant som den registrerade redan känner till. Undantaget har stor praktisk betydelse för omfattningen av den personuppgiftsansvariges skyldighet. Bestämmelserna i 23 och 25 §§ personuppgiftslagen gäller för myndigheterna i rättskedjan. För polisen och görs undantag från informationsskyldigheten i 23 § dels vid insam- ling av personuppgifter genom bilder eller ljud, dels om uppgifterna samlas in i samband med larm och det med hänsyn till omständig- heterna inte finns tid att lämna informationen (2 kap. 2 § tredje stycket polisdatalagen [2010:361] och 2 kap. 2 § tredje stycket kustbevakningsdatalagen [2012:145]). Myndigheternas registerförfattningar hänvisar däremot inte till 24 § personuppgiftslagen. Det beror på att informationsskyldighe- ten enligt den paragrafen inte gäller om det finns avvikande be- stämmelser i lag eller annan författning (se t.ex prop. 2014/15:63 s. 52 f. och prop. 2014/15:148 s. 87). Regeringen kan enligt 50 § e personuppgiftslagen (1998:1191) meddela närmare föreskrifter om vilken information som ska läm- nas till registrerade och hur den ska lämnas. Datainspektionen har motsvarande delegation enligt 16 § 5 personuppgiftsförordningen. Några sådana föreskrifter har inte utfärdats. Datainspektionen har dock gett ut allmänna råd om information (Information till regi- strerade, Datainspektionens allmänna råd, ). Information som den personuppgiftsansvarige ska lämna efter ansökan Enligt 26 § personuppgiftslagen är den personuppgiftsansvarige skyldig att till var och en som ansöker om det en gång per kalen- derår gratis lämna besked om personuppgifter som rör den sökande behandlas eller inte. Om sådana uppgifter behandlas ska också skriftlig information lämnas om vilka uppgifter om den sökande som behandlas, varifrån dessa uppgifter har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mot- tagare som uppgifterna lämnas ut. Paragrafen gäller för myndighe- terna i rättskedjan, antingen genom en uttrycklig hänvisning i registerförfattningarna eller genom att de registerförfattningar som gäller utöver personuppgiftslagen inte har några avvikande regler. 11.2.5Innebörden av artiklarna om information Utredningens bedömning: Artikel 13.1 avser allmän informa- tion som ska göras tillgänglig för registrerade. Artikel 13.2 avser personrelaterad information som den personuppgiftsansvarige på eget initiativ ska lämna till en registrerad i specifika fall, medan artikel 14 avser personrelaterad information som ska lämnas på begäran. Skälen för utredningens bedömning Allmän eller personrelaterad information? Artiklarna om information innehåller till viss del samma eller lik- nande krav på vilken information som den personuppgiftsansvarige ska tillhandahålla; t.ex. anges ”ändamålen med behandlingen” både i artiklarna 13.1 och 14 och ”behandlingens rättsliga grund” både i artiklarna 13.2 och 14. Bestämmelserna har emellertid enligt ut- redningens uppfattning olika syften. Artikel 13.1 avser allmän information som riktar sig till allmän- heten eller en obestämd, större krets av registrerade. Det rör sig om upplysningar av generell karaktär som hänför sig till myndig- hetens personuppgiftsbehandling i allmänhet, exempelvis kontakt- uppgifter till personuppgiftsansvarig, dataskyddsombud och till- synsmyndigheten. Det rör sig också om allmänna upplysningar om hur man ansöker om rättelse, radering eller begränsning av behand- lingen av personuppgifter. Artikel 14 tar sikte på information rik- tad till en enskild registrerad om behandlingen av hans eller hennes personuppgifter (personrelaterad information). Då artikel 13.2 avser information som ska lämnas i specifika fall för att göra det möjligt för den registrerade att utöva sina rättig- heter, anser utredningen att artikeln inte kan syfta på upplysningar av generell karaktär. Utredningens bedömning är därför att arti- kel 13.2, i likhet med artikel 14, avser personrelaterad information. En annan möjlig tolkning är att artikel 13.2 riktar sig till lagstif- taren som i lag eller förordning ska föreskriva i vilka fall informa- tion enligt artikeln ska lämnas. Utredningen anser emellertid att en sådan tolkning inte är rimlig, eftersom det inte är möjligt att i för- fattning reglera specifika fall där information bör lämnas för att den registrerade ska kunna ta tillvara sina rättigheter. Till det kommer att artikel 11.1 c i det nu gällande direktivet, som har liknande ut- formning, har genomförts genom 25 § första stycket c personupp- giftslagen som riktar sig till den personuppgiftsansvarige. Ska informationen göras tillgänglig eller lämnas? Artikel 13.1 föreskriver att informationen ska göras tillgänglig för den registrerade, medan det i artikel 13.2 föreskrivs att informatio- nen ska lämnas till den registrerade. Enligt utredningens uppfatt- ning är det skillnad i sak mellan uttrycken. Som nämnts avser artikel 13.1 allmän information som riktar sig till en obestämd krets av registrerade. I kravet på att information ska vara tillgänglig ligger att de registrerade i princip ska ha möjlighet att ta del av informa- tionen när de önskar. Informationen kan t.ex. publiceras på myn- dighetens webbplats (jfr skäl 42) eller finnas i en broschyr, folder eller annan informationsskrift. Informationen i artikel 13.2 avser som nämnts personrela- terad information som ska lämnas till den registrerade. Kravet inne- bär enligt utredningens uppfattning att den personuppgiftsansva- rige ska ge information riktat till den registrerade, t.ex. genom att skicka sådan information med post eller e-post eller lämna muntlig information. Det är således enligt utredningens mening inte till- räckligt att enbart göra informationen tillgänglig på en webbplats, men den kan naturligtvis finnas där också. Enligt artikel 14 ska personrelaterad information lämnas till den registrerade i samband med ett besked om att hans eller hennes personuppgifter behandlas. Ska informationen lämnas på eget initiativ eller först på begäran? En annan fråga är om artiklarna 13 och 14 förutsätter att den per- sonuppgiftsansvarige informerar på eget initiativ eller om det krävs att den registrerade begär information. Eftersom artikel 13.1 avser allmän information som ska göras tillgänglig av den personupp- giftsansvarige på exempelvis en webbplats, framstår det som natur- ligt att den tillhandahålls på den personuppgiftsansvariges eget ini- tiativ. Det som talar för att även personrelaterad information enligt artikel 13.2 ska lämnas ex officio är punkten d, som nämner per- sonuppgifter som samlas in utan den registrerades vetskap. Om personuppgifter samlats in utan den registerades vetskap saknar han eller hon förutsättningar att begära information om behand- lingen. Då krävs det att den personuppgiftsansvarige agerar för att se till att den registrerade får informationen. Viss ledning för hur artiklarna 13.2 och 14 bör tolkas kan häm- tas från motvarande bestämmelser i personuppgiftslagen och i det nu gällande direktivet som har ett likartat innehåll och liknande struktur. Artikel 13 motsvaras av 25 § personuppgiftslagen, som tillsammans med 23 och 24 §§ genomför artiklarna 10 och 11 i det nu gällande direktivet. I förarbetena anför regeringen att artiklarna, trots att det inte sägs uttryckligen, innebär att den personuppgifts- ansvarige självmant ska lämna informationen till den registrerade (prop. 1997/98:44 s. 78). I 25 § personuppgiftslagen föreskrivs att informationen ska lämnas självmant. Utredningen anser mot den bakgrunden att den personuppgiftsansvarige på eget initiativ ska lämna sådan information som avses i artikel 13.2. När det gäller artikel 14 är artikel 12 a i det nu gällande direkti- vet och 26 § personuppgiftslagen, som genomför artikeln, av in- tresse. Paragrafen ger den registrerade rätt till information om de personuppgifter som rör honom eller henne. Regeringen anför i förarbetena att artikel 12 a innebär att informationen bara behöver lämnas på den registrerades begäran (prop. 1997/98:44 s. 81). I 26 § personuppgiftslagen föreskrivs därför att informationen ska lämnas efter ansökan. Artikel 12 a svarar mot artikel 14 i det nya direktivet, i vilken det anges att den registrerade ska få bekräftelse av den per- sonuppgiftsansvarige om personuppgifter som rör den registrerade behandlas och, om så är fallet, viss information om dessa uppgifter. Ordet bekräftelse tyder på att information enligt artikel 14 bara behöver lämnas på begäran. I motsvarande artikel i dataskyddsför- ordningen, artikel 15, används också ordet bekräftelse. Av skäl 63 i förordningen framgår att den registrerade ska göra en framställan, vilket ger ytterligare stöd för tolkningen att informationen i fråga bara behöver lämnas på begäran. Utredningen anser mot den bak- grunden att artikel 14 i direktivet avser personrelaterad information som ska lämnas först när den efterfrågas. 11.2.6Allmän information som ska göras tillgänglig Utredningens förslag: Den personuppgiftsansvarige ska göra viss allmän information tillgänglig för registrerade. Skälen för utredningens förslag Artikel 13.1 anger vilken information den personuppgiftsansvarige alltid ska göra tillgänglig för registrerade. Det är fråga om den per- sonuppgiftsansvariges identitet och kontaktuppgifter, dataskydds- ombudets kontaktuppgifter och ändamålen med behandlingen. Även information om rätten att begära tillgång till personuppgifter och att begära rättelse, radering och begränsning av behandlingen och möjligheten att lämna in klagomål till en tillsynsmyndighet och dess kontaktuppgifter ska göras tillgänglig. Vilken information ska göras tillgänglig? En bestämmelse i ramlagen bör reglera den allmänna information som ska göras tillgänglig enligt artikel 13.1. Den bör innehålla de uppgifter som räknas upp i artikeln. Hur uppgifterna bör göras till- gängliga diskuteras i avsnitt 11.2.5. Dataskyddsombudets kontaktuppgifter bör göras tillgängliga. Dataskyddsombud behandlas i avsnitt 10.5. Enligt utredningens mening behöver det inte vara en direkt kontaktuppgift till data- skyddsombudet, t.ex. hans eller hennes e-postadress, utan det är tillräckligt att ombudet går att nå via kontaktuppgiften. förutsätter inte att dataskyddsombudets identitet ska göras till- gänglig. finns det inte någon skyldighet att informera allmän- heten om personuppgiftsombudets identitet eller kontaktuppgifter, utan endast en skyldighet att anmäla uppgifterna till tillsynsmyn- digheten. Det finns inte skäl att nu införa krav på att dataskydds- ombudets identitet ska göras allmänt tillgänglig. Vidare ska den personuppgiftsansvarige enligt artikeln göra in- formation om ändamålen med behandlingen tillgänglig. Samma krav ställs i 25 § första stycket b personuppgiftslagen. Som utveck- las i avsnitt 11.2.5 anser utredningen att det är fråga om upplys- ningar av generell karaktär som gäller den behöriga myndighetens personuppgiftsbehandling i allmänhet. Det innebär att det inte är fråga om ändamålen för behandling i varje enskilt fall som avses utan för vilka typer av ändamål personuppgifter får behandlas t.ex. förundersökningar, ärenden om strafförelägganden eller brottmål. Enligt utredningens mening bör det inte krävas en uttömmande uppräkning av för vilka ändamål personuppgifter behandlas. Det bör vara tillräckligt att enskilda genom uppräkningen får en god bild av den personuppgiftsbehandling som den behöriga myndig- heten utför. Slutligen bör informationen också omfatta rätten att få informa- tion om behandlingen och att få del av personuppgifterna och rät- ten att begära rättelse, radering eller begränsning av behandlingen och möjligheten att lämna in klagomål till tillsynsmyndigheten. En allmän beskrivning av hur registrerade ska gå till väga för att kunna utöva dessa rättigheter, t.ex. hur man begär rättelse av personupp- gifter, bör också göras tillgänglig av den personuppgiftsansvarige. kontaktuppgifter bör anges. 11.2.7Information som ska lämnas i specifika fall Utredningens förslag: Den personuppgiftsansvarige ska i speci- fika fall lämna viss personrelaterad information till den registre- rade, om det behövs för att han eller hon ska kunna ta tillvara sina rättigheter. Skälen för utredningens förslag Utöver den allmänna information som avses i artikel 13.1, ska den personuppgiftsansvarige enligt artikel 13.2 i specifika fall lämna viss information, för att göra det möjligt för den registrerade att utöva sina rättigheter. Det gäller information om behandlingens rättsliga grund, hur länge personuppgifterna får behandlas eller kriterierna för att fastställa det, kategorier av mottagare av uppgifterna och den ytterligare information som det finns behov av, i synnerhet om personuppgifterna samlas in utan den registrerades vetskap. I skäl 42 anges att den registrerade bör informeras i den utsträckning som ytterligare information är nödvändig för att garantera att hans eller hennes personuppgifter behandlas korrekt. Vid den avväg- ningen ska de särskilda omständigheter under vilka personuppgif- terna behandlas beaktas. Vad är specifika fall? Ramlagen bör reglera vilken information som ska lämnas enligt artikel 13.2. Att informationen ska riktas till den registrerade och lämnas på den personuppgiftsansvariges eget initiativ behandlas i avsnitt 11.2.5. Det som då återstår att diskutera är vad som avses med specifika fall. Information behöver endast lämnas i de fall där den registrerade behöver informationen för att kunna ta tillvara sina rättigheter. Direktivet ger ingen ledning för när det kan bli aktuellt. Enligt ut- redningens uppfattning kan det vara om den enskilde riskerar att lida någon rättsförlust, t.ex om känsliga personuppgifter har be- handlats på otillåtet sätt. Ett annat exempel kan vara att person- uppgifter har lämnats till fel mottagare och att det kan komma att medföra negativa konsekvenser för den registrerade. Den person- uppgiftsansvarige bör i sådana fall informera den registrerade om vad som har hänt och vilka åtgärder som han eller hon kan vidta, t.ex. att lämna in klagomål till tillsynsmyndigheten eller väcka talan om skadestånd. Enligt utredningens mening bör det inte krävas att den personuppgiftsansvarige informerar vid sådana fel som inte kan antas ha någon negativ inverkan. Det bör normalt krävas att det är fråga om överträdelser av regelverket som skulle kunna föranleda skadeståndsansvar, allvarlig kritik eller ingripande från tillsynsmyn- digheten eller någon annan liknande reaktion. Information som rutinmässigt lämnas till en viss kategori av personer, t.ex. information till personer som lämnar salivprov för dna-analys enligt eller till vittnen om personupp- giftsbehandling i samband med ljud- och bildupptagning under domstolsförhandling, syftar i och för sig till att underlätta för dem att ta tillvara sina rättigheter. Eftersom informationen i dessa fall lämnas till alla berörda är den inte personrelaterad. Det rör sig så- ledes inte om specifika fall. I avsnitt 10.4.3 föreslås att registerade i vissa fall ska informeras om personuppgiftsincidenter. Sådan information syftar till att de registrerade ska kunna vidta åtgärder för att skydda sig och sina personuppgifter. En personuppgiftsincident kan vara ett sådant specifikt fall som avses i artikel 13.2. Den registrerade ska då få information både för att det är fråga om ett specifikt fall och på grund av personuppgiftsincidenten. Vilken information ska lämnas? Informationen som ska lämnas bör motsvara det som räknas upp i artikel 13.2. Den personuppgiftsansvarige bör således informera om den rättsliga grunden för behandlingen, dvs. regleringen av den arbetsuppgift som föranleder personuppgiftsbehandlingen. Den personuppgiftsansvarige bör även informera om vilka kate- gorier som mottar personuppgifterna. Det bör räcka att ange vilken typ av myndighet som personuppgifterna lämnas ut till, t.ex. social- nämnd eller åklagare. Enligt kommentaren till 26 § personupp- giftslagen, där motsvarande uttryck diskuteras, kan förhållandevis allmän information om mottagare godtas (m.fl. s. 401). Om mottagarkategorin finns i ett tredjeland eller är en internationell organisation bör det anges. Vidare bör det framgå hur länge personuppgifterna får behand- las. Om det inte är möjligt att fastställa hur länge uppgifterna får behandlas i det enskilda fallet bör i stället kriterierna för att fast- ställa det anges. Det kan vara upplysningar om vilka omständighe- ter eller tidpunkter som styr hur länge personuppgifterna får be- handlas, t.ex. nedläggning av förundersökning eller att ett visst antal år förflutit efter det att uppgifterna registrerades. Den personuppgiftsansvarige bör också lämna övrig nödvändig information om behandlingen. Vad som är nödvändig information får bedömas med utgångspunkt i om den registrerade har behov av den för att kunna ta tillvara sina rättigheter. Det kan t.ex. vara in- formation om rätten att få del av personuppgifterna och rätten att begära rättelse, radering eller begränsning av behandlingen. Ett annat exempel är information om möjligheten att lämna in klago- mål till tillsynsmyndigheten. Vid bedömningen av om sådan övrig information bör lämnas ska det särskilt beaktas om personuppgif- terna samlats in utan den registrerades vetskap. Det ligger i sakens natur att behovet av information är större om den registrerade inte känner till att hans eller hennes personuppgifter behandlas. 11.2.8Information som ska lämnas på begäran Utredningens förslag: Den personuppgiftsansvarige ska till den som begär det utan onödigt dröjsmål lämna skriftligt besked om personuppgifter som rör honom eller henne behandlas. Behand- las sådana uppgifter ska sökanden få del av dem och få viss skriftlig information om behandlingen. Sökanden behöver inte få del av personuppgifter som han eller hon har tagit del av, om det inte begärs. Det ska dock fram- gå av informationen att personuppgifterna i fråga behandlas. Skälen för utredningens förslag Enligt artikel 14 ska den registrerade ha rätt att få bekräftelse av den personuppgiftsansvarige om den registrerades personuppgifter behandlas. I så fall ska han eller hon få tillgång till personuppgif- terna och viss annan information. Det gäller vilka personuppgifter som behandlas och all tillgänglig information om varifrån de här- stammar. Den registrerade ska också få information om ändamålen med behandlingen och dess rättsliga grund, kategorier av person- uppgifter, mottagare eller kategorier av mottagare, hur länge upp- gifterna får behandlas eller kriterierna för att fastställa det, rätten att begära rättelse, radering eller begränsning av behandlingen och möjligheten att lämna in klagomål till tillsynsmyndigheten och kontaktuppgifterna till den. Rätten att få del av personuppgifter För att den enskilde ska kunna hålla sig underrättad om hans eller hennes personuppgifter behandlas och kunna kontrollera om be- handlingen utförs författningsenligt bör ramlagen innehålla en be- stämmelse som motsvarar artikel 14. Den bör räkna upp de typer av information som anges i artikeln.