sou · H5B329 · 2017-04-05 00:00:00 — De personuppgifter som be- handlas ska vara korrekta och, om det är nödvändigt, uppdaterade. De ska också vara adekvata och relevanta i förhållande till ändamå- len med behandlingen. Fler uppgifter än nödvändigt får inte be- handlas och inga uppgifter får behandlas längre än vad som är nöd- vändigt med hänsyn till ändamålen med behandlingen. Det är tillåtet att behandla personuppgifter för ett nytt ändamål som ligger inom lagens tillämpningsområde, men det måste alltid först prövas om det finns en tillåten rättslig grund för den nya be- handlingen och om den är nödvändig och proportionerlig för det nya ändamålet. Det behöver däremot inte prövas om det nya ända- målet är förenligt med det ursprungliga. Lagen föreskriver att olika typer av personuppgifter ska särskil- jas – t.ex. uppgifter om misstänkta respektive brottsoffer – och att personuppgifter som grundar sig på fakta ska skiljas från person- uppgifter som grundar sig på personliga bedömningar. Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackföre- ning eller som rör hälsa, sexualliv eller sexuell läggning betecknas känsliga personuppgifter. Enligt huvudregeln får sådana uppgifter inte behandlas, men om uppgifter om en person redan behandlas får de, på samma sätt som , kompletteras med känsliga person- uppgifter, under förutsättning att det är absolut nödvändigt för ändamålet med behandlingen. Biometriska uppgifter som används i identifieringssyfte och genetiska uppgifter är också känsliga personuppgifter. Sådana upp- gifter får enbart behandlas om det är särskilt föreskrivet. Det är förbjudet att utföra sökningar i syfte att få fram ett per- sonurval grundat på känsliga personuppgifter. För att det inte ska vara möjligt att med stöd av offentlighetsprincipen få tillgång till en sådan sammanställning, föreslår utredningen en särskild sekretess- regel som innebär att det gäller absolut sekretess för uppgifter i sådana sammanställningar. Personuppgiftsansvariga åläggs att vidta alla rimliga åtgärder för att rätta personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Det regleras också under vilka förutsättningar personuppgifter som behandlas på ett otillåtet sätt ska raderas och när behandlingen av dem i stället ska begränsas. De skyldigheter som personuppgiftsansvariga har kommer till stor del att gälla även i fortsättningen. Vissa regler blir dock mer preciserade och det tillkommer också vissa nya skyldigheter. Kra- ven på säkerhets- och skyddsåtgärder blir mer preciserade, liksom kravet på att det ska finnas en behandlingshistorik. Det ställs exempelvis krav på inbyggt dataskydd och dataskydd som standard. Det införs också en generell bestämmelse om att tillgången till per- sonuppgifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Till de nya skyldigheterna hör att personuppgiftsansvariga ska dokumentera alla personuppgiftsincidenter och anmäla de inciden- ter som kan antas påverka registrerades integritet till tillsynsmyn- digheten. Det gäller dock inte sådana incidenter som rör nationell säkerhet. Det införs också ett generellt krav på att personuppgiftsansva- riga som planerar en ny typ av behandling eller att genomföra be- tydande förändringar i pågående behandling ska göra en bedöm- ning av konsekvenserna för registrerades personliga integritet och, beroende på framför allt risken för intrång, samråda med tillsyns- myndigheten innan behandlingen påbörjas eller förändras. Alla personuppgiftsansvariga ska utse dataskyddsombud. Om- budens arbetsuppgifter anges i lagen. En annan nyhet är att förutsättningarna för gemensamt person- uppgiftsansvar regleras. Utredningen föreslår att gemensamt per- sonuppgiftsansvar endast får förekomma om det följer av lag eller förordning eller om regeringen i ett enskilt fall har beslutat om det. När det gäller enskildas rättigheter kommer till stora delar samma reglering som att gälla, men rätten till information blir tydli- gare i vissa avseenden. Genom att lagen är subsidiär kommer reg- lerna om information i straffrättsliga förfaranden att ha företräde framför ramlagens bestämmelser om information. Utgångspunkten är att den som vill kontrollera om hans eller hennes personuppgifter behandlas får vända sig till den personupp- giftsansvarige, som utan onödigt dröjsmål ska lämna skriftligt be- sked om uppgifterna behandlas. Om så är fallet har den registrerade rätt att få del av uppgifterna och få viss information om behand- lingen. Informationsskyldigheten gäller dock inte om uppgifterna inte får lämnas ut på grund av att vissa i lagen angivna intressen kan skadas. Om det finns grund för att inte lämna informationen får även skälen för det utelämnas. Personuppgifter i ofärdig text eller som utgör minnesanteck- ningar omfattas som regel inte av informationsskyldigheten. Det- samma gäller personuppgifter som sökanden redan har tagit del av. Den personuppgiftsansvarige ska på begäran av den registrerade utan onödigt dröjsmål rätta eller komplettera personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med be- handlingen. En motsvarande skyldighet gäller i fråga om radering av personuppgifter som behandlas på ett otillåtet sätt eller om rade- ring krävs för att den personuppgiftsansvarige ska fullgöra en rätts- lig förpliktelse. I vissa fall ska behandlingen av personuppgifterna i stället begränsas. Om det finns stöd för att begränsa informa- tionen till den registrerade får den personuppgiftsansvarige också utelämna skälen för beslut om korrigeringsåtgärder. Utredningen tar inte ställning till vilken myndighet som ska utses till tillsynsmyndighet eller hur myndigheten ska organiseras, efter- som det har utretts i annan ordning. Utredningen behandlar enbart frågan hur verksamheten ska bedrivas. dubbla perspektiv – att både verka för att fysiska personers grundläggande rättigheter och friheter skyddas och att underlätta det fria flödet av personuppgifter – lyfts fram. Myndighetens uppdrag, huvuduppgifter och befogenheter regleras i ramlagen. En viktig utgångspunkt är att tillsynsmyndighetens obe- roende ska värnas, vilket görs bäst om det inte regleras när och hur tillsyn ska inledas respektive avslutas och hur den ska bedrivas. ska utöva allmän tillsyn över personupp- giftsbehandling, handlägga klagomål från registrerade, på begäran av fysiska personer kontrollera om deras personuppgifter behandlas författningsenligt, på begäran bistå utländska tillsynsmyndigheter och ge råd och stöd åt personuppgiftsansvariga och personupp- giftsbiträden. undersökningsbefogenheter, som inklu- derar rätt att få tillgång till personuppgifter som behandlas och dokumentation om behandlingen och om säkerhets- och skyddsåt- gärder, tillträde till lokaler där personuppgifter behandlas och rätt till biträde av den personuppgiftsansvarige eller personuppgiftsbi- trädet vid tillsynen, blir tydligare. Det görs också tydlig skillnad mellan tillsynsmyndighetens förebyggande och korrigerande befogenheter. befogenheterna, som inte är bindande, hör råd, rekommendationer och påpekanden. får också möjlighet att ut- färda skriftlig varning om att det finns risk för att viss behandling kan komma att stå i strid med regelverket. Till de korrigerande befogenheterna, som är bindande för den personuppgiftsansvarige eller personuppgiftsbiträdet, hör föreläg- ganden, förbud mot fortsatt behandling och beslut om sanktions- avgift. internationella samarbete regleras också i ramlagen. I anslutning till det föreslås en sekretessbrytande regel som ger myndigheten möjlighet att, om det ligger i svenskt intres- se, lämna ut uppgifter som är sekretessbelagda när tillsynsmyndig- heten begär bistånd av en utländsk tillsynsmyndighet. Vidare före- slås en ny sekretessregel som ska gälla hos tillsynsmyndigheten i tillsynsverksamhet enligt lagen för uppgifter som en utländsk till- synsmyndighet har lämnat i samband med en begäran om svenskt bistånd med tillsyn. Sekretessen gäller om det kan antas att möjlig- heterna för den svenska tillsynsmyndigheten att bedriva tillsyn motverkas om uppgiften röjs. Utredningen anser att överträdelser av bestämmelserna om per- sonuppgiftsbehandling i ramlagen inte ska straffsanktioneras. Det ska i stället införas en ny administrativ sanktion i form av sank- tionsavgift. Det motsvarar vad som gäller vid överträdelse av be- stämmelserna i dataskyddsförordningen. Sanktionsavgift får tas ut av personuppgiftsansvariga och i vissa fall av personuppgiftsbiträden. Sanktionsavgift får tas ut av person- uppgiftsansvariga vid överträdelse av de grundläggande bestämmel- serna till skydd för enskildas integritet. Det gäller bl.a. om person- uppgifter behandlas utan rättslig grund eller utan ett särskilt angi- vet och berättigat ändamål, om personuppgifterna inte uppfyller kraven på att vara korrekta, aktuella, adekvata och relevanta eller om fler uppgifter än nödvändigt behandlas eller om de behandlas längre än vad som är nödvändigt med hänsyn till ändamålen. Det gäller också om den personuppgiftsansvarige inte vidtar tillräckliga säkerhets- och skyddsåtgärder eller om personuppgifter överförs till tredjeland eller internationella organisationer i strid med regel- verket. Sanktionsavgift får också tas ut om den personuppgiftsansvarige inte bistår tillsynsmyndigheten vid tillsyn eller inte rättar sig efter tillsynsmyndighetens förelägganden eller beslut. Regleringen av sanktionsavgift bygger på strikt ansvar, men sanktionsavgift behöver inte tas ut vid varje överträdelse. Vid be- dömningen av om sanktionsavgift ska tas ut och till vilket belopp den ska bestämmas ska särskild hänsyn tas till bl.a. om överträdel- sen varit uppsåtlig eller berott på oaktsamhet, den skada, fara eller kränkning som överträdelsen inneburit, överträdelsens karaktär, svårhetsgrad och varaktighet och vad som gjorts för att begränsa skadan. Sanktionsavgiften ska bestämmas till lägst och högst för mindre allvarliga överträdelser och det dubbla vid andra överträdelser. ska besluta om sanktionsavgift och sank- tionsavgiften ska tillfalla staten. Den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning som behandling av personuppgifter i strid med ramlagen med tillhörande förordning har orsakat. Jämkning av skadeståndsskyldigheten ska, i motsats till vad som är fallet , inte vara möjlig. Vissa beslut som en myndighet fattat i egenskap av personupp- giftsansvarig ska kunna överklagas. Det gäller beslut i fråga om rättelse, komplettering, radering eller begränsning av behandlingen, beslut att inte lämna ut information på begäran av en registrerad, att ta ut avgift för sådan information eller att inte medge ompröv- ning av automatiserade beslut. Regleringen motsvarar i allt väsent- ligt det som gäller . beslut enligt lagen får också överklagas. Vid överklagande till kammarrätten ska det krävas prövningstill- stånd vid överklagande av både personuppgiftsansvariga myndig- heters och tillsynsmyndighetens beslut. Det införs också en möjlighet för registrerade att föra s.k. dröjs- målstalan om tillsynsmyndigheten dröjer med att handlägga kla- gomål. Om en registrerad har lämnat in ett klagomål till tillsyns- myndigheten och den inte har tagit ställning till om klagomålet ska föranleda tillsyn, har den registrerade rätt att antingen få ett skriftligt besked i den frågan eller ett särskilt beslut om att begäran om besked avslås. Om tillsyns- myndigheten har avslagit begäran får den registrerade överklaga beslutet till allmän förvaltningsdomstol. Om domstolen bifaller talan ska den förelägga tillsynsmyndigheten att inom en bestämd tid lämna den registrerade besked i frågan om tillsyn kommer att utövas. Domstolen ska däremot inte ta ställning i frågan om tillsyn ska utövas. Överföring till tredjeland och internationella organisationer I ramlagen regleras vad som ska gälla vid överföring av personupp- gifter till tredjeland och internationella organisationer. Med tredje- land avses i lagen andra stater än EU:s medlemsstater, , , och . Behöriga myndigheter får överföra personuppgifter som be- handlas automatiserat till ett tredjeland eller en internationell orga- nisation eller överföra uppgifterna dit för att de ska behandlas auto- matiserat där. Det ställs upp en rad villkor för att uppgifterna ska få överföras. Personuppgifter får endast överföras om överföringen är nödvändig för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga på- följder eller upprätthålla allmän ordning och säkerhet. Överföring- en ska enligt huvudregeln riktas till en behörig myndighet i ett tredjeland eller en internationell organisation som är en behörig myndighet. Dessutom krävs det att kommissionen har meddelat ett beslut om att det tredjelandet eller den internationella organisatio- nen har adekvat skyddsnivå för personuppgifter eller, om det inte finns ett sådant beslut, personuppgifterna omfattas av tillräckliga skyddsåtgärder. I vissa särskilda undantagssituationer får dock per- sonuppgifter överföras även om det inte finns ett beslut om ade- kvat skyddsnivå eller tillräckliga skyddsåtgärder. Det gäller bl.a. om det är nödvändigt för att skydda den registrerades eller en annan fysisk persons vitala intressen, för att en behörig myndighet i ett enskilt fall ska kunna förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga på- följder eller upprätthålla allmän ordning och säkerhet eller för att avvärja en omedelbar eller allvarlig fara för allmän säkerhet. Vidare regleras vad som ska göras om ett tredjeland eller en in- ternationell organisation vill vidareöverföra personuppgifter till ett tredjeland eller en internationell organisation och möjligheten att i vissa fall överföra personuppgifter till andra än behöriga myndig- heter. Förslagen bedöms förbättra skyddet för enskildas integritet. För- bättrat dataskydd ger möjlighet till ökat informationsut- byte mellan brottsbekämpande myndigheter både nationellt och mellan medlemsstaterna, vilket är positivt för det brottsförebyg- gande arbetet. De ekonomiska konsekvenserna för berörda myn- digheter bedöms rymmas inom de befintliga ekonomiska ramarna. Den nya lagen föreslås träda i kraft . Det krävs sär- skilda övergångsbestämmelser, dels för det nya sanktionssystemet, dels för mål och ärenden som rör behandlingen av personuppgifter som har påbörjats före lagens ikraftträdande men inte hunnit slut- föras. Det krävs också övergångsbestämmelser för mål som har överklagats men inte hunnit slutföras och för ersättning för skador som har vållats före ikraftträdandet. brottsdatalag (2018:000) Härigenom föreskrivs följande. 1 kap. Allmänna bestämmelser 1 § Syftet med denna lag är att skydda fysiska personers grundläg- gande fri- och rättigheter i samband med behandling av personupp- gifter och att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt. Genom denna lag genomförs och rådets direk- tiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgif- ter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgif- ter och om upphävande av rådets rambeslut /977/RIF (data- skyddsdirektivet). 2 § Denna lag gäller för behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straff- rättsliga påföljder. Den gäller också för behandling av personuppgifter som en behörig myndighet utför i syfte att upprätthålla allmän ord- ning och säkerhet. 3 § Lagen gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personupp- gifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. 4 § Lagen gäller inte vid behandling av personupp- gifter som rör nationell säkerhet eller om har över- tagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspoli- sen. Avvikande bestämmelser i annan författning 5 § Om det i en annan lag eller en förordning finns bestämmelser som avviker från denna lag, ska de bestämmelserna gälla. 6 § I denna lag används följande uttryck med nedan angiven betydelse. En åtgärd eller kombination av åtgärder som vidtas i fråga om ningar av personuppgifter, oavsett om det görs automatiserat eller inte, t.ex. insamling, registrering, organisering, strukturering, framtagning, läsning, användning, utlämnande, spridning eller till- handahållande på annat sätt, jus- tering, sammanföring, ning, radering eller förstöring. En myndighet som har till a) förebygga, upptäcka brottslig verksamhet, b) utreda eller lagföra brott, d) upprätthålla allmän ordning och säkerhet, eller 2. en annan aktör som utövar myndighet för något av de syften som anges i 1. beteendemässiga kännetecken, som tagits fram genom särskild teknisk behandling och som möjliggör eller personen i fråga. En fysisk person som utses av att självständigt se till att person- enligt och på ett korrekt sätt. persons nedärvda eller förvärvade härrör från analys av ett spår av eller ett prov från personen i En organisation och dess un- derställda organ som lyder under folkrätten eller ett annat organ som inrättats genom eller på grundval av en överenskommelse mellan två eller flera stater. En stat som är medlem i Euro- peiska unionen och , Liech- tenstein, och . Den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av för- Varje upplysning om en iden- person som är i livet. Den behöriga myndighet som andra bestämmer ändamålen med och medlen för behandlingen av Den som, med stöd av ett skriftligt avtal eller annan skriftlig överenskommelse, behandlar per- sonuppgifter för den personupp- En säkerhetsincident som leder till oavsiktlig eller olaglig för- störing, förlust eller ändring eller obehörigt röjande av eller obehörig åtkomst till personuppgifter. Den fysiska person som per- Myndighet som regeringen ut- ser att enligt dataskyddsdirektivet utöva tillsyn över behandling av personuppgifter som utförs av be- höriga myndigheter i syfte att före- lagföra brott, verkställa straffrätts- liga påföljder eller upprätthålla all- män ordning och säkerhet. En stat som inte är en med- Någon annan än den registre- rige, dataskyddsombudet, person- uppgiftsbiträdet och sådana per- soner som under den personupp- rätt att behandla personuppgifter. Uppgift som rör hälsa Personuppgift som rör en per- sons fysiska eller psykiska hälsa, inkluderande information om till- handahållande av hälso- och sjuk- vårdstjänster som ger upplysning om personens hälsostatus. 2 kap. Behandling av personuppgifter Behandling för ändamål inom denna lags tillämpningsområde Tillåtna rättsliga grunder för behandling av personuppgifter 1 § Personuppgifter får behandlas om det är nödvändigt för att en be- hörig myndighet ska kunna utföra en arbetsuppgift i syfte att före- bygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lag- föra brott, verkställa en straffrättslig påföljd eller upprätthålla allmän ordning och säkerhet. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt den behöriga myndigheten att ansvara för en sådan uppgift. 2 § Utöver vad som sägs i 1 § får personuppgifter behandlas om 1.det är nödvändigt för diarieföring, eller 2.uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndig- hetens handläggning. Ändamål för behandling av personuppgifter 3 § Personuppgifter får behandlas bara för särskilda, uttryckligt an- givna och berättigade ändamål. Om det ändamål som personuppgifterna behandlas för inte framgår av sammanhanget eller på annat sätt, ska det tydliggöras genom en sär- skild upplysning. 4 § Innan personuppgifter får behandlas för ett nytt ändamål inom denna lags tillämpningsområde ska det säkerställas att 1.det finns en tillåten rättslig grund enligt 1 § för den nya behand- lingen, och 2.behandlingen är nödvändig och proportionerlig för det nya ända- målet. 5 § En behörig myndighet får behandla personuppgifter för veten- skapliga, statistiska eller historiska ändamål inom denna lags tillämp- ningsområde. Grundläggande krav på behandlingen av personuppgifter Laglig och korrekt behandling 6 § Personuppgifter ska behandlas författningsenligt och på ett kor- rekt sätt. 7 § Personuppgifter som behandlas ska vara korrekta och, om det är nödvändigt, uppdaterade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. 8 § Personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Åtskillnad mellan olika slag av personuppgifter 9 § Så långt det är möjligt ska personuppgifter som rör olika katego- rier av registrerade, som personer som är misstänkta eller dömda för brott, brottsoffer eller andra som berörs av ett brott, särskiljas. Om det inte framgår av sammanhanget eller på annat sätt till vilken kate- gori personen hör, ska det tydliggöras genom en särskild upplysning. 10 § Så långt det är möjligt ska personuppgifter som grundar sig på fakta skiljas från personuppgifter som grundar sig på personliga be- dömningar. Om grunden inte framgår av sammanhanget eller på annat sätt ska den tydliggöras genom en särskild upplysning. 11 § Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsik- ter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. Om uppgifter om en person behandlas får de dock kompletteras med sådana uppgifter som anges i första stycket när det är absolut nödvändigt för ändamålet med behandlingen. 12 § Biometriska uppgifter som används för att identifiera en person och genetiska uppgifter får behandlas endast om det är särskilt före- skrivet och det är absolut nödvändigt för ändamålet med behand- lingen. 13 § Personuppgifter som avses i 11 och 12 §§ betecknas i denna lag som känsliga personuppgifter. Känsliga personuppgifter får behandlas med stöd av 2 §. 14 § Det är förbjudet att utföra sökningar i syfte att få fram ett per- sonurval grundat på känsliga personuppgifter. Åtgärder för att säkerställa personuppgifternas kvalitet 15 § Alla rimliga åtgärder ska vidtas för att personuppgifter som är fel- aktiga eller ofullständiga med hänsyn till ändamålet med behandlingen utan onödigt dröjsmål rättas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Personuppgifter som är inaktuella ska uppdateras om det är nödvändigt. När personuppgifter lämnas ut till en behörig myndighet ska mot- tagaren så långt det är möjligt ges information som gör det möjligt att bedöma i vilken utsträckning uppgifterna är korrekta, fullständiga, uppdaterade och tillförlitliga. 16 § Alla rimliga åtgärder ska vidtas för att personuppgifter som be- handlas i strid med 1, 2, 3 § första stycket, 4–6, 8, 11, 12, 14 eller 17 § första stycket utan onödigt dröjsmål raderas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Detsamma gäller om radering krävs för att utföra en rättslig förpliktelse. Om förutsättningarna i första stycket för att radera personuppgif- ter är uppfyllda men de behöver finnas kvar som bevisning, ska den personuppgiftsansvarige i stället utan onödigt dröjsmål begränsa be- handlingen av uppgifterna. Längsta tid som personuppgifter får behandlas