sou · H5B374 · 2017-10-04 00:00:00 — Där föreskrivs också att direktåtkomst endast får avse personuppgifter som gjorts gemensamt tillgängliga. Liknande bestämmelser finns i 2 kap. 9 § kustbevakningsdatalagen, 2 kap. 17 § åklagardatalagen, 2 kap. 17 § och 3 kap. 8 § tullbrotts- datalagen och 2 kap. 16 § och 3 kap. 8 § skattebrottsdatalagen. Även i kriminalvårdens registerlagstiftning finns det bestämmel- ser om direktåtkomst, men de finns i huvudsak i förordning (se 37, 43 och 44 §§ förordningen om behandling av personuppgifter inom kriminalvården). Reglerna om direktåtkomst behöver inte ändras anser att det även i fortsätt- ningen bör göras skillnad mellan direktåtkomst och annat elektro- niskt utlämnande, eftersom konsekvenserna av direktåtkomst till personuppgifter skiljer sig från annat elektroniskt utlämnande (se SOU 2015:39 s. 136 f.). Direktåtkomst kräver lagstöd enligt samtliga registerför- fattningar med undantag av kriminalvårdens. Enligt 10 § första stycket 2 lagen om behandling av personuppgifter inom kriminal- vården meddelar regeringen föreskrifter om vilka myndigheter som får ha direktåtkomst. ska således i de flesta fall ta ställ- ning till om en viss myndighet kan tillåtas att få direktåtkomst. Med något enstaka undantag är det endast myndigheter som till- lämpar brottsdatalagen som enligt registerförfattningarna får med- ges direktåtkomst. Enligt utredningens mening ger de nuvarande bestämmelserna om direktåtkomst ett tillräckligt skydd för den personliga integriteten och är även i övrigt förenliga med direktivet. Möjligheterna att tillhandahålla personuppgifter genom direktåt- komst behöver därför inte ändras. 5.6.4Annat elektroniskt utlämnande tillåts i större utsträckning Utredningens förslag: Personuppgifter ska få lämnas ut elekt- roniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Regeringen ska genom föreskrifter kunna begränsa möjligheten att tillhandahålla personuppgifter på det sättet. Skälen för utredningens förslag Registerförfattningarna för de brottsbekämpande myndigheterna innehåller bestämmelser om elektroniskt utlämnande. I 2 kap. 20 § polisdatalagen, 2 kap. 8 § kustbevakningsdatalagen, 2 kap. 16 § åklagardatalagen, 2 kap. 16 § tullbrottsdatalagen och 2 kap. 15 § skattebrottsdatalagen föreskrivs att enstaka personuppgifter får lämnas ut på medium för automatiserad behandling. Registerför- fattningarna innehåller dessutom bestämmelser om att regeringen kan meddela föreskrifter om att uppgifter får lämnas ut på medium för automatiserad behandling även i andra fall. I de förordningar som kompletterar registerlagarna finns det i varierande utsträck- ning bestämmelser om att uppgifter får lämnas ut på medium för automatiserad behandling i större utsträckning än vad som anges i respektive lag. Begränsningen till enstaka personuppgifter gäller t.ex. inte i förhållande till de myndigheter som får medges direkt- åtkomst. Det innebär att begränsningen inte gäller i förhållande till andra brottsbekämpande myndigheter. I domstolsdatalagen har en delvis annan reglering valts. Enligt 16 § domstolsdatalagen får personuppgifter lämnas ut på medium för automatiserad behandling om det inte är olämpligt. Dataskyddsdirektivet reglerar inte hur personuppgifter tillhandahålls Varken dataskyddsdirektivet eller dataskyddsförordningen innehål- ler några bestämmelser om elektroniskt utlämnande av personupp- gifter. Det gör inte heller det nu gällande dataskyddsdirektivet. Att lämna ut personuppgifter elektroniskt innebär behandling av per- sonuppgifter och utlämnande förutsätter därmed att reglerna om behandling av personuppgifter följs och att inte annan lagstiftning hindrar utlämnandet. Eftersom dataskyddsdirektivet inte reglerar på vilket sätt per- sonuppgifter får lämnas ut, finns det inget som hindrar att de nu- varande reglerna om elektroniskt utlämnande behålls. Kritik mot reglerna om utlämnande av enstaka personuppgifter Bestämmelserna om att bara enstaka personuppgifter får lämnas ut på medium för automatiserad behandling har kritiserats. Redan när de infördes framförde vissa remissinstanser invändningar mot att begränsa det elektroniska utlämnandet till enstaka uppgifter. Det ansågs otidsenligt och i alltför hög grad begränsa myndigheternas möjlighet att utnyttja de fördelar som elektronisk kommunikation kan ge (se bl.a. prop. 2009/10:85 s. 184 f.). Det var också omfat- tande kritik mot begränsningen till enstaka uppgifter som ledde till att en annan lösning valdes i domstolsdatalagen (se Domstolsdata- lag, prop. 2014/15:148, s. 75 f.) Till kritikerna hör , som föreslår att det i myndighetsdatalagen tas in en bestämmelse som medger elektroniskt utlämnande till enskilda om det inte är olämp- Däremot bör det enligt den utredningen inte gälla några lagliga begränsningar för att tillhandahålla myndigheter personuppgifter i elektronisk form (se SOU 2015:39 s. 447). De myndigheter som har en reglering som föreskriver att endast enstaka personuppgifter får tillhandahållas på medium för automa- tiserad behandling har instämt i kritiken och under utrednings- arbetet framfört önskemål om en reglering som motsvarar den som finns i domstolsdatalagen. Mot det har Datainspektionen anfört att det av integritetsskäl alltjämt bör vara lagstiftaren som avgör om utlämnande i viss form är lämpligt. Även uttrycket ”utlämnande på medium för automatiserad be- handling” har kritiserats, bl.a. på den grunden att det är otydligt (se SOU 2012:90 s. 198 f. och SOU 2015:39 s. 442). Bör regleringen ändras? förväntar sig både myndigheter och enskilda att hand- lingar i stor utsträckning kan förmedlas elektroniskt. Frågan är om den utvecklingen bör mötas med bestämmelser som förenklar för myndigheterna i rättskedjan att kunna kommunicera elektroniskt. I avsnitt 5.6.2 framhålls att de brottsbekämpande myndigheter- na behöver kommunicera elektroniskt med andra myndigheter och med enskilda. Det är en utveckling som kan antas fortsätta. Elek- tronisk kommunikation är som regel kostnadseffektiv om man jämför med postbefordran. I vissa avseenden är elektronisk kom- munikation säkrare än traditionell befordran, eftersom spårbarhe- ten är större. Elektronisk kommunikation gör det också enkelt att sända större informationsmängder. För mottagaren är skillnaden mellan att få uppgifter på papper och i elektronisk form inte heller så stor . Med modern teknik kan nämligen text på papper enkelt omvandlas till elektroniska uppgifter. I förarbetena till bl.a. polisdatalagen och kustbevakningsdatala- gen framhålls att när ordet enstaka används i bestämmelsen om utlämnande av uppgifter på medium för automatiserad behandling har ordet en annan innebörd än i vanligt språkbruk. När person- uppgifter förekommer i en eller ett fåtal handlingar är bestämmel- sen inte avsedd att utgöra ett hinder mot att handlingen lämnas ut t.ex. via e-post. Det förhållandet att en handling, t.ex. en lista över telefonnummer, innehåller ett stort antal personuppgifter hindrar inte att handlingen lämnas ut med stöd av bestämmelsen. Bestäm- melsen ger också stöd för utlämnande av t.ex. ett ärende eller delar av ett ärende där personuppgifter förekommer. Ett förundersök- ningsprotokoll kan således ofta lämnas ut elektroniskt. Däremot får inte en större mängd uppgifter, t.ex. ett helt register eller delar av ett register, lämnas ut med stöd av en sådan bestämmelse (se prop. 2009/10:85 s. 333 och prop. 2011/12:45 s. 98). Det finns uppenbara nackdelar med en reglering som gång på gång föranleder samma kritik. Det finns enligt utredningens mening risk att bestämmelser – som enligt sin ordalydelse talar för en mer restriktiv tillämpning av elektroniskt utlämnade än vad som förefaller vara avsedd – kan motverka statsmakternas strävanden att myndigheterna ska dra nytta av effektivitetsvinsterna med ny tek- nik. Det är också olyckligt om förarbetena ger uttryck för att lag- regler ska tolkas annorlunda än sin ordalydelse. Det riskerar att undergräva förtroendet för lagstiftningen. En annan risk med hur bestämmelserna är formulerade är att de ger sken av att ge ett starkare integritetsskydd än vad som i praktiken är fallet. Mot den nu angivna bakgrunden anser utredningen att bestäm- melserna om utlämnande av personuppgifter på medium för auto- matiserad behandling i registerförfattningarna bör ses över, trots att har godkänt sådana bestämmelser i tullbrotts- datalagen och skattebrottsdatalagen. Samma reglering som för domstolarna Utredningen delar uppfattningen att tiden nu är mogen att lämna större utrymme för utlämnande i elektronisk form för de brottsbe- kämpande myndigheterna. Även om det i relativt stor utsträckning förekommer integritetskänsliga personuppgifter i framför allt brottsbekämpande verksamhet och vid straffverkställighet måste riskerna med att överföra sådana uppgifter elektroniskt vägas mot behovet av snabb och effektiv kommunikation. Sekretessbestäm- melserna tillsammans med regleringen av personuppgiftsbehand- ling skyddar enskilda mot att möjligheten att lämna ut personupp- gifter elektroniskt missbrukas. Den som överväger att lämna ut personuppgifter, oavsett i vilken form det görs, måste alltid över- väga om sekretessregleringen lägger hinder i vägen och, om så inte är fallet, om regelverket för personuppgiftsbehandling gör det möj- ligt att lämna uppgifterna i elektronisk form. För polisen, , åklagarväsendet, och har regeringen redan i förordning öppnat för elektro- niskt uppgiftslämnande på annat sätt än genom direktåtkomst om det inte är olämpligt. Det gäller dock enbart i förhållande till vissa i förordningarna uppräknade kategorier av mottagare, framför allt sådana till vilka det förekommer frekvent uppgiftslämnande. Mot den bakgrunden bör enligt utredningens mening samma lagtekniska lösning som i domstolsdatalagen väljas i de brottsbe- kämpande myndigheternas registerförfattningar. Utredningen före- slår således att bestämmelserna ändras på det sättet att personupp- gifter ska få lämnas ut elektroniskt om det inte är olämpligt. anser att uttrycket ”utläm- nande på medium för automatiserad behandling” bör utmönstras och föreslår att uttrycket ”utlämnande i elektronisk form” ska an- vändas i stället (se SOU 2015:39 s. 442). Ett modernare uttryckssätt är enligt utredningens mening att föredra. Eftersom registerförfattningarna ses över är det lämpligt att göra den förändringen . Även fortsättningsvis bör det i regis- terförfattningarna göras tydlig skillnad mellan elektroniskt utläm- nande i form av direktåtkomst och elektroniskt utlämnande på annat sätt. När kan elektroniskt utlämnande komma i fråga? I fråga om elektroniskt utlämnande på annat sätt än genom direkt- åtkomst bör enligt utredningens mening skillnad göras mellan ut- lämnande till myndigheter och utlämnande till enskilda. Det bör normalt inte anses olämpligt att lämna personuppgifter elektro- niskt till myndigheter (jfr SOU 2015:39 s. 447 f.). Om det i ett enskilt fall skulle bedömas vara olämpligt bör emellertid person- uppgifterna lämnas på annat sätt. Även när det gäller utlämnande till enskilda har lagstiftaren redan tagit ställning till att sådant utlämnande är godtagbart till vissa kategorier av mottagare, om det inte är olämpligt. Det gäller t.ex. uppgifter som lämnas till konkursförvaltare i vissa fall. uppgifter bör kunna lämnas ut elektroniskt till sådana kategorier i samma utsträckning som . När det gäller andra enskilda än de som pekas ut i förord- ning kan det krävas närmare överväganden bl.a. med hänsyn till vem mottagaren är och vilken säkerhet mottagaren har för sin per- sonuppgiftsbehandling. I de fallen är det svårare att göra en generell bedömning av om elektroniskt utlämnande kan vara lämpligt. Ut- redningen anser att regeringen bör kunna meddela föreskrifter som begränsar möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst. 5.7Frågor om föreskriftsrätt m.m. Utredningens bedömning: Bestämmelserna om föreskriftsrätt bör samlas i registerförfattningarna. Utredningens förslag: Sådan föreskriftsrätt som inte längre fyller någon funktion ska tas bort. Innan en myndighet utfärdar föreskrifter i frågor som berör särskilda risker för intrång i den personliga integriteten ska den samråda med Datainspektionen. Det ska regleras i förordning. Skälen för utredningens bedömning och förslag I registerförfattningarna finns det ett flertal bestämmelser där det upplyses att regeringen själv kan meddela föreskrifter i en viss fråga, eller delegera den uppgiften till en myndighet. är dessa bestämmelser utspridda i registerförfattningarna. Utredningen an- ser att regleringen blir lättare att överblicka och enklare att till- lämpa om bestämmelserna om föreskriftsrätt samlas i slutet av varje kapitel i registerförfattningarna. En annan fråga som aktualiserats vid genomgången av register- författningarna är om alla bestämmelser om föreskriftsrätt fyller någon praktisk funktion. I en del fall rör det sig om föreskriftsrätt som är knuten till bestämmelser som inte längre ska finnas kvar i registerförfattningarna. Sådana bestämmelser bör upphävas. finns också vissa bestämmelser om vidaredelegation av föreskrifts- rätt som inte bör behållas därför att det som regleringen avser enbart rör myndighetsinterna frågor eller därför att det är uppgifter som följer med rollen som personuppgiftsansvarig. Myndigheterna bör alltså inte ha någon föreskriftsrätt om det är fråga om interna förhållanden som kan regleras på annat sätt än i föreskrifter. Det gäller exempelvis föreskriftsrätten i 3 § polisdataförordningen om tillgången till personuppgifter, i 5 § andra stycket om begränsning av tillgången till vissa uppgifter och 8 § om sökning. Motsvarande bestämmelser i övriga registerförordningar bör också upphävas. Samråd inför utfärdande av föreskrifter I 29 § polisdataförordningen föreskrivs att innan eller Säkerhetspolisen meddelar föreskrifter i frågor som berör sär- skilda risker för intrång i den personliga integriteten, ska myndig- heten samråda med Datainspektionen och Säkerhets- och integri- tetsskyddsnämnden. Motsvarande bestämmelser, som föreskriver samrådsskyldighet med enbart Datainspektionen, finns i 20 § kust- bevakningsdataförordningen, 12 § åklagardataförordningen, 19 § tullbrottsdataförordningen och 18 § skattebrottsdataförordningen. Bestämmelserna är lite olika utformade. I vissa av paragraferna talas det om samråd och i andra om att Datainspektionen ska ges tillfälle att yttra sig. Enligt utredningens mening är samarbetet mellan de person- uppgiftsansvariga och tillsynsmyndigheten av stor betydelse. Reg- lerna om samrådsskyldighet bör vara likalydande, för att det inte ska råda någon tvekan om omfattningen av skyldigheten. I 3 kap. 7 § brottsdatalagen regleras samarbetet mellan personuppgiftsan- svariga och tillsynsmyndigheten vid s.k. förhandssamråd. Utred- ningen anser att även det samarbete som bör föregå att föreskrifter utfärdas bör ha formen av samråd med tillsynsmyndigheten. I 6 och 7 §§ kustbevakningsdataförordningen finns det bestäm- melser om att får meddela föreskrifter. Enligt ut- redningens förslag tas föreskriftsrätten bort. Någon samrådsskyl- dighet med Datainspektionen bör då inte heller finnas. 6Tillåtna rättsliga grunder och behandling för nya ändamål 6.1Ändamål eller tillåtna rättsliga grunder? Primära och sekundära ändamål En grundläggande princip för all personuppgiftsbehandling är att personuppgifter får samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. De får inte heller behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in. I registerförfattningar finns det därför normalt bestämmelser om för vilka ändamål personuppgifter får behandlas. Syftet är att ange ramen för vilken behandling som är tillåten. På så sätt kan användning och spridning av personuppgifter begränsas. I de brottsbekämpande myndigheternas registerförfattningar delas ändamålen upp i primära och sekundära (se 2 kap. 7 och 8 §§ polisdatalagen, 3 kap. 2 och 3 §§ kustbevakningsdatalagen, 2 kap. 5 och 6 §§ åklagardatalagen, 2 kap. 5 och 6 §§ tullbrottsdatalagen och 2 kap. 5 och 6 §§ skattebrottsdatalagen). Bestämmelserna har sam- ma utformning och liknande innehåll. När ändamålsbestämmelser diskuteras i detta kapitel avses dessa bestämmelser. De primära ändamålen i de brottsbekämpande myndigheternas registerförfattningar reglerar behandlingen av de personuppgifter som behövs i den berörda myndighetens egen brottsbekämpande verksamhet. De sekundära ändamålen reglerar i vilken utsträckning personuppgifter som behandlas för något av de primära ändamålen får behandlas för att lämnas ut till andra myndigheter eller till en- skilda för att tillgodose deras behov. Det kan också vara fråga om att personuppgifter i den brottsbekämpande verksamheten behöver Tillåtna rättsliga grunder och behandling för nya ändamål lämnas till verksamhet i samma myndighet som inte är brottsbe- kämpande för den verksamhetens behov. Syftet med uppdelningen i primära och sekundära ändamål är att göra det tydligt både hur personuppgifter får användas i den brotts- bekämpande verksamheten och för vilka ändamål och till vem upp- gifterna får lämnas ut. Även de ändamålsbestämmelser som gäller för Säkerhetspolisen och domstolarna är uppdelade i primära och sekundära. De har dock en annan utformning och ett annat innehåll och behandlas därför inte i detta kapitel. Ändamålsbestämmelserna i kriminalvår- dens registerlagstiftning är också annorlunda utformade och be- handlas inte heller i detta kapitel. anser att det har skett en sam- manblandning mellan vad som i dataskyddsrättslig mening är sär- skilda bestämda ändamål respektive tillåtna rättsliga grunder för behandling. Det finns enligt den utredningen risk att tillämparen blandar samman ändamål med rättslig grund och godtar ett i för- fattning bestämt allmänt ändamål som ett särskilt och tillräckligt preciserat ändamål och drar den felaktiga slutsatsen att kravet på att det ska finnas särskilda, uttryckligt angivna och berättigade ända- mål för behandlingen därmed är uppfyllt. Informationshanterings- utredningen anser att det skulle ge ett bättre integritetsskydd om personuppgiftsansvariga enbart vore hänvisade till att, utifrån de grundläggande kraven i 9 § första stycket c personuppgiftslagen, på eget ansvar formulera ändamål som är tillräckligt specifika för att ge ledning för vilka personuppgifter som är adekvata och inte för många för den aktuella behandlingen. Därför innehåller förslaget till myndighetsdatalag inga ändamålsbestämmelser och förutsätter inte heller att sådana ska finnas. I förslaget anges endast att person- uppgifter får behandlas om det är nödvändigt för att en myndighet ska kunna utföra sin verksamhet (se SOU 2015:39 s. 277 f.). Förslaget har fått ett blandat mottagande. Vissa remissinstanser anser att ändamålsbestämmelser har betydelse för att göra det tyd- ligt för enskilda inom vilka ramar myndigheter får samla in och behandla personuppgifter och menar att den föreslagna bestämmel- Tillåtna rättsliga grunder och behandling för nya ändamål sen är alltför vag. Andra är positiva till förslaget och framhåller att det förenklar bedömningen av vilken personuppgiftsbehandling som är tillåten. 6.1.2Bestämmelser om rättslig grund Det måste alltid finnas en rättslig grund för behandling Både dataskyddsdirektivet och dataskyddsförordningen utgår från att varje behandling av personuppgifter måste vila på en rättslig grund för att vara laglig. Det är alltså endast om det finns en rättslig grund som personuppgifter överhuvudtaget får behandlas. Kravet på att det alltid ska finnas en rättslig grund för behand- lingen av personuppgifter är inte nytt. Det framgår av artikel 7 i det nu gällande dataskyddsdirektivet och kommer till uttryck i bl.a. 10 § personuppgiftslagen. Det förs dock inga resonemang kring kravet på rättslig grund i förarbetena till de brottsbekämpande myndigheternas registerförfattningar. Det finns därför skäl att nu lyfta fram den frågan och diskutera hur kravet på rättslig grund förhåller sig till de primära och sekundära ändamålen i registerför- fattningarna. I artikel 6.1 i dataskyddsförordningen finns det en uttömmande uppräkning av de rättsliga grunderna för behandling av personupp- gifter enligt förordningen. Utredningen återkommer till dem i av- snitt 6.4.1. Någon motsvarande uppräkning finns inte i direktivet. Däremot anges förutsättningarna för att en behandling ska vara lag- lig i artikel 8.1. Brottsdatalagen innehåller bestämmelser om tillåtna rättsliga grun- der för behandlingen. Enligt 2 kap. 1 §, som genomför artikel 8.1 i direktivet, får personuppgifter behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra en arbetsuppgift i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa en straffrättslig påföljd eller upprätt- hålla allmän ordning och säkerhet. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett Tillåtna rättsliga grunder och behandling för nya ändamål särskilt beslut i vilket regeringen uppdragit åt den behöriga myn- digheten att ansvara för en sådan uppgift. Grunden för att behandla personuppgifter finns alltså i regle- ringen av den behöriga myndighetens arbetsuppgifter. Som exem- pel kan nämnas att det i 2 § polislagen (1984:387) anges att en av huvuduppgifter är att utreda och beivra brott. Den arbetsuppgiften preciseras av bestämmelser i framför allt rät- tegångsbalken som reglerar hur förundersökning ska bedrivas och i vilka fall en polisman får utfärda föreläggande om ordningsbot. Ytterligare bestämmelser finns i bl.a. lagen (1964:167) med sär- skilda bestämmelser om unga lagöverträdare och olika lagar om användningen av straffprocessuella tvångsmedel. På motsvarande sätt anges det i 3 § förordningen (2007:853) med instruktion för att myndigheten bl.a. ska bedriva övervakning för att förebygga och ingripa mot störningar i sjötrafiken, förhindra och upptäcka brottslig verksamhet, ingripa vid misstanke om brott och utreda och beivra eller bistå med utredningen av brott. Vilka brott har till uppgift att ingripa mot framgår bl.a. av lagen (1982:395) om medverkan vid polisiär övervakning och lagen (2000:1225) om straff för smuggling. Hur det ska göras regleras framför allt i och nämnda lagar. Regleringar av motsvarande slag finns för övriga be- höriga myndigheter. Grunden för att behandla personuppgifter kan även finnas i regler som primärt gäller för andra myndigheter. Skyldigheten en- ligt 23 kap. 3 § andra stycket att biträda åklagare vid brottsutredning utgör den rättsliga grunden för att polisen ska kunna överlämna personuppgifter till åklagare i det brottsbekäm- pande arbetet. Motsvarande bestämmelser finns för , och . Regleringen i 2 kap. 1 § brottsdatalagen är således en del av den rättsliga grunden genom att de behöriga myndigheterna där ges rättsligt stöd för att behandla personuppgifter automatiserat för att utföra sina arbetsuppgifter. Ett sådant stöd krävs, eftersom regle- ringen av arbetsuppgiften i sig (t.ex. att hålla vittnesförhör) inte ger någon rätt att behandla personuppgifter. Det behöver dock inte finnas uttryckliga bestämmelser om att personuppgifter får be- handlas automatiserat för att utföra en viss arbetsuppgift. Det är tillräckligt att behandlingen är ett nödvändigt led för att kunna Tillåtna rättsliga grunder och behandling för nya ändamål utföra arbetsuppgiften, om arbetsuppgiften ligger inom brottsdata- lagens tillämpningsområde och täcks av myndighetens registerför- fattning. Regleringen av personuppgiftsbehandling är i sig inte till- räcklig, om det saknas författningsstöd för själva arbetsuppgiften (se SOU 2017:29 s. 238 f.). Att behandlingen av personuppgifter är rättsligt grundad innebär alltså att det finns både en reglerad arbets- uppgift och bestämmelser om att personuppgifter får behandlas för att utföra arbetsuppgiften.