sou · H5B329 · 2017-04-05 00:00:00 — Enligt artikel 14 är det den registrerade som har rätt att få till- gång till personuppgifter som rör honom eller henne och informa- tion om behandlingen. Det uttrycks på samma sätt i artikel 12 i det nu gällande direktivet. I 26 § personuppgiftslagen har lagstiftaren i stället valt uttrycken var och en som ansöker respektive den sökande. Det är logiskt, eftersom den som begär besked om hans eller hennes personuppgifter behandlas kan få ett nekande svar. Vederbörande kan då inte betecknas som registrerad. Uttrycket sökanden bör därför användas i ramlagen. Enligt artikel 14 ska den registrerade få tillgång till personupp- gifterna som behandlas och viss information om behandlingen. Artikel 15 i dataskyddsförordningen är utformad på motsvarande sätt. Utredningen anser att för att syftet med artikel 14 ska uppnås – att den registrerade ska kunna kontrollera om hans eller hennes personuppgifter behandlas författningsenligt – bör han eller hon kunna få del av uppgifterna och inte bara få information om be- handlingen. Det bör därför föreskrivas att om uppgifter om sökan- den behandlas ska han eller hon få del av dem och få viss skriftlig i paragrafen uppräknad information om behandlingen. Att informa- tion och uppgifter behöver lämnas först när den registrerade begär det behandlas i avsnitt 11.2.5. Begränsning av tillgången behandlas i avsnitt 11.3. Vilka personuppgifter har sökanden rätt att få del av? Om den personuppgiftsansvarige behandlar personuppgifter om sökanden ska alltså han eller hon få del av uppgifterna. Enligt för- arbetena till personuppgiftslagen omfattar skyldigheten bara de be- handlade uppgifter som den personuppgiftsansvarige har i behåll när informationen lämnas. Enligt förarbetena finns det inget som hindrar att den personuppgiftsansvarige från det att an- sökan görs till dess att uppgifterna lämnas raderar uppgifterna eller slutar att behandla dem (prop. 1997/98:44 s. 132). Utredningen delar bedömningen att det är uppgifterna som behandlas vid tiden för utlämnandet som sökanden ska få del av, men vill understryka att det inte är acceptabelt att radera uppgifter som behandlades vid ansökan i syfte att undgå att behöva lämna ut dem. har i den s.k. Rijkeboer-domen behandlat frågan om rätten att få tillgång till uppgifter enligt artikel 12 a i det nu gällande direktivet endast avser nutid eller även förfluten tid. Dom- stolen slog fast att en enskilds rätt att få tillgång till uppgift om vilka personuppgifter som lämnats ut och till vilka mottagare eller mottagarkategorier även avser förfluten tid och innebär en skyldig- het för den personuppgiftsansvarige att spara sådan information. Enligt domstolen ankommer det på medlemsstaterna att fastställa , men domstolen uttalade att inte är tillräckligt om det inte visas att en längre lagring av personuppgif- terna utgör en orimlig börda för den personuppgiftsansvarige (dom av , Rijkeboer, C-553/07). Av avsnitt 9.3.2 framgår att personuppgifter inte får behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. EU- domstolens dom kan enligt utredningens mening inte tolkas så att personuppgifter ska sparas enbart i syfte att vid behov kunna läm- nas ut om en registrerad med stöd av reglerna om rätt till informa- tion frågar efter dem. Enligt skäl 43 är det tillräckligt att den registrerade får en kom- plett sammanfattning av uppgifterna i begripligt format, dvs. ett format som gör det möjligt för den registrerade att få kännedom om uppgifterna och kontrollera att de behandlas korrekt. Det har slagits fast av i ett mål där fråga var om artikel 12 a i det nu gällande direktivet innebar en skyldighet att till sökanden lämna ut en kopia av ett ansökningsprotokoll som innehöll person- uppgifter om sökanden. Domstolen konstaterade att artikel 12 a inte innebär en sådan skyldighet, utan att det var tillräckligt att lämna ut en fullständig sammanställning i begriplig form av upp- gifterna. Vidare konstaterade domstolen att, för att undvika att sökanden får tillgång till andra upplysningar än de personuppgifter som rör honom eller henne, sökanden kan få en kopia av den ur- sprungliga handlingen där de övriga upplysningarna har gjorts oläs- bara (dom av , YS m.fl., förenade målen C-141/12 och C-372/12). Regleringen i ramlagen bör mot den bakgrunden innebära att en kopia av en handling med de personuppgifter som rör sökanden kan lämnas ut till honom eller henne om det bedöms vara lämpligt, men det bör inte vara någon skyldighet. Om rättig- heterna kan säkerställas genom någon annan form av utlämnande, t.ex. en sammanfattning av personuppgifterna, är det tillräckligt. Det finns i sammanhanget anledning att påpeka att avvikande bestämmelser gäller beträffande rätten att få del av utdrag ur be- lastningsregistret och misstankeregistret. I 9 § lagen (1998:620) om belastningsregister och i 8 och 8 a § lagen (1998:621) om misstan- keregister regleras uttömmande enskilds rätt att få del av utdrag ur registren i fråga. Ramlagens bestämmelse om rätt till information blir därmed inte tillämplig på utdrag ur de registren. Vad krävs av den personuppgiftsansvarige? En viktig fråga är hur långtgående den personuppgiftsansvariges undersökningsplikt bör vara och vad som måste göras för att få fram alla personuppgifter som behandlas om en registrerad. I för- arbetena till personuppgiftslagen diskuterades vilka krav det nu gällande direktivet ställer. Regeringens slutsats var då att den per- sonuppgiftsansvarige endast är skyldig att utnyttja alla de sök- och sammanställningsmöjligheter som han eller hon har tillgång till (prop. 1997/98:44 s. 82 f.). Det förarbetsuttalandet måste sättas i sitt historiska sammanhang, där tillgången till datorer och sökmöj- ligheterna i den samlade verksamheten var begränsade och myndig- heterna var betydligt mindre än . Utgångspunkten är att sökanden ska få tillgång till all informa- tion som den personuppgiftsansvarige själv kan få fram om honom eller henne. Det förutsätter att det finns uppgifter som direkt kan hänföras till den person som begär informationen. Sökanden måste lämna sådana uppgifter om sin identitet att det blir möjligt att söka efter informationen. Det kan vara fullständigt namn eller person- eller samordningsnummer eller någon annan lika unik identitet. Utgångspunkten är att det är tillräckligt att den personuppgifts- ansvarige använder de möjligheter till sökning som är tillgängliga och tillåtna i verksamheten. Det är enligt utredningens mening rim- ligt att sökningar görs i myndighetens verksamhetsspecifika be- handlingssystem, t.ex. dokument- och ärendehanteringssystem, register och databaser. I den mån uppgifter är sökbara i standard- program som Word, Outlook och Excel bör de också omfattas. Det är däremot inte rimligt att alla anställda i myndigheter med hundratals eller tusentals anställda var och en ska söka efter even- tuella personuppgifter på egna lagringsytor vid varje förfrågan från en enskild (jfr avsnitt 10.2.2). Det kan dock anmärkas att en registrerad genom att utnyttja sin rätt att begära information enligt ramlagen inte i något fall kommer att kunna få en fullständig bild av vilka personuppgifter om honom eller henne som den personuppgiftsansvarige behandlar. Det beror på den tudelning av regelverket för personuppgiftsbehandling som EU:s dataskyddsreform innebär. Den som vänder sig till t.ex. Polis- myndigheten med en begäran om att få veta vilka personuppgifter som myndigheten behandlar om honom eller henne måste därför utnyttja sin rätt till information enligt både dataskyddsförord- ningen och ramlagen. Vilken övrig information ska lämnas? Den registrerade ska också informeras om behandlingen av per- sonuppgifterna. Informationen bör motsvara det som räknas upp i artikel 14. Informationen ska alltså omfatta vilka uppgifter om sökanden som behandlas och varifrån dessa kommer. Information om varifrån personuppgifterna kommer behöver bara avse den in- formation som finns tillgänglig. Sådan information behöver alltså inte sparas i syfte att på begäran kunna lämnas till enskilda. Enligt utredningens uppfattning bör informationen avse förhållandena för utlämnandet. Enligt artikel 14 ska den registrerade informeras om de katego- rier av personuppgifter som behandlingen gäller. Kategorier av per- sonuppgifter kan t.ex. vara adressuppgifter eller fordonsuppgifter. Utredningen anser att kategorier av personuppgifter ingår i det större begreppet personuppgifter som behandlas och därför, på samma sätt som , inte kräver någon särskild reglering. Även behandlingens rättsliga grund bör framgå, dvs. regleringen av den arbetsuppgift som föranleder personuppgiftsbehandlingen. Den personuppgiftsansvarige bör vidare informera om ändamå- len med behandlingen. Det som avses är ändamålen med behand- lingen i det enskilda fallet. Information om mottagare eller kategorier av mottagare av per- sonuppgifterna bör också lämnas. Med mottagare avses i ramlagen den till vilken personuppgifter lämnas ut, med undantag av en myn- dighet som, med stöd av författning, utövar tillsyn, kontroll eller revision (se avsnitt 6.2). Den personuppgiftsansvarige behöver så- ledes inte informera sökanden om att uppgifter har lämnats ut till myndigheter för tillsyn, t.ex. till JK eller Säkerhets- och integritets- skyddsnämnden. Eftersom en myndighet enligt 2 kap. 14 § tryck- frihetsförordningen varken får efterfråga eller dokumentera vilka som tar del av allmänna handlingar med personuppgifter behöver inte heller uppgifter om sådana mottagare lämnas ut (SOU 2015:39 s. 500). För att uppfylla kravet i direktivet bör det räcka att information om kategorier av mottagare lämnas. Exempel på kategorier av mot- tagare kan vara åklagare eller domstol. Om mottagaren finns i ett tredjeland eller är en internationell organisation ska det anges. Vidare bör det framgå hur länge personuppgifterna får behand- las. Om det inte är möjligt att ange hur länge de får behandlas i det enskilda fallet ska i stället kriterierna för att fastställa det anges. Det kan exempelvis vara den föreskrivna tidpunkten i en myndig- hets registerlagstiftning när de personuppgifter som saken gäller inte längre får behandlas. Den personuppgiftsansvarige ska även underrätta den registre- rade om rätten att begära rättelse, radering eller begränsning av be- handlingen och om möjligheten att lämna in klagomål till tillsyns- myndigheten och kontaktuppgifterna till den. Det bör enligt utredningens mening inte preciseras vad informa- tionen bör innehålla eller hur den bör lämnas. Det kan göras av regeringen eller den myndighet som regeringen bestämmer. Att en registrerads rätt till information om vilka personuppgif- ter om honom eller henne som behandlas inte gäller i den utsträck- ning personuppgifterna inte får lämnas ut behandlas i avsnitt 11.3.1. Personuppgifter i ofärdig text eller som utgör minnesanteckningar behandlas i avsnitt 11.3.3. När ska informationen lämnas? Artikel 14 anger inte när en ansökan senast ska besvaras av den personuppgiftsansvarige. Artikel 12.3 reglerar bl.a. skyldigheten för den personuppgiftsansvarige att utan onödigt dröjsmål informera den registrerade om uppföljningen av hans eller hennes begäran om information enligt artikel 14, men inte när informationen ska läm- nas. Som framgår av avsnitt 11.5.6 anser utredningen att det inte bör införas någon särskild regel om information om handlägg- ningen. Däremot bör den personrelaterade informationen lämnas utan onödigt dröjsmål. Det framgår inte heller av artikel 14 hur ofta en enskild har rätt att få information om hur hans eller hennes personuppgifter be- handlas. I skäl 43 anges att fysiska personer bör kunna utöva rätten till information med rimliga intervall. Eftersom det i artikel 12.4 bl.a. anges när en personuppgiftsansvarig får vägra att tillmötesgå en begäran om information på grund av att den är återkommande, behandlas frågan i samband med att den artikeln diskuteras (av- snitt 11.3.4). Bör hanteringen av informationslämnandet underlättas? Det har både i tidigare lagstiftningsärenden och vid utvärdering av 26 § personuppgiftslagen visat sig att personuppgiftsansvariga upp- lever det som betungande att lämna information till registrerade enligt paragrafen (se t.ex. EG-direktivet om personuppgifter – en offentlig utvärdering, Ds 2001:27, s. 65 f. och Översyn av person- uppgiftslagen, prop. 2005/06:173, s. 40 f.). För att underlätta de personuppgiftsansvarigas hantering föreslog Personuppgiftslagsut- redningen att det skulle införas ett undantag från informationsskyl- digheten om det var omöjligt eller skulle innebära en oproportio- nerligt stor arbetsinsats för den personuppgiftsansvarige att lämna informationen (Översyn av personuppgiftslagen, SOU 2004:6, s. 195 f.). Regeringen valde emellertid att inte genomföra förslaget. I stället begränsades informationsskyldigheten för uppgifter i ostrukturerat material genom att 5 a § personuppgiftslagen inför- des (prop. 2005/06:173 s. 40 f. och 49 f.). Direktivet medger inte att informationsskyldigheten begränsas på det sättet. Informations- skyldigheten i ramlagen kommer således att omfatta även person- uppgifter i ostrukturerat material, med undantag för personupp- gifter i ofärdig löpande text eller som utgör minnesanteckningar (se avsnitt 11.3.3). Utredningen anser att hänsyn ändå måste tas till att informa- tionsskyldigheten i vissa fall kan vara betungande för myndighe- terna. Det finns därför skäl att överväga om det finns någon annan möjlighet att underlätta för de personuppgiftsansvariga, utan att det inkräktar på den grundläggande rätten för enskilda att få infor- mation om hur deras personuppgifter behandlas. Rätten till infor- mation är nämligen som tidigare nämnts en förutsättning för att enskilda ska kunna kontrollera om behandlingen är författningsen- lig och kunna begära rättelse eller radering av uppgifterna. En möjlighet är att införa en begränsning som motsvarar 3 kap. 2 § lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet. Av bestämmelsen följer att uppgift i en elektronisk handling inte behöver lämnas ut till den registrerade i samband med att myndigheten fullgör sin informationsskyldighet enligt 26 § personuppgiftslagen, om han eller hon redan har tagit del av handlingens innehåll. Undantaget förutsätter att den regi- strerade får information om att handlingen behandlas. Den regi- strerade har också rätt att få information om uppgift i en sådan handling om han eller hon begär det. I förarbetena framhålls att förfarandet torde vara tillräckligt för att uppfylla det nu gällande direktivets krav på att den registrerade ska kunna kontrollera om uppgifterna är korrekta eller inte (Behandling av personuppgifter inom skatt, tull och exekution, prop. 2000/01:33, s. 106 f.). Enligt utredningens uppfattning finns det inga sakliga skäl för att den registrerade ska behöva informeras om behandlingen av personuppgifter som han eller hon redan har tagit del av, om upp- gifterna inte har förändrats. Det kan t.ex. vara personuppgifter i handlingar som den registrerade själv har skickat in till myndig- heten eller som har expedierats till honom eller henne av myndig- heten, antingen elektroniskt eller på papper. Enligt utredningens mening skulle en ordning där den person- uppgiftsansvarige inte behöver informera om personuppgifter som den registrerade redan känner till bespara myndigheterna onödigt arbete. En bestämmelse som medger att informationen inte be- höver omfatta personuppgifter som sökanden redan tagit del av bör därför tas in i ramlagen. För att leva upp till informationsskyl- digheten bör dock den personuppgiftsansvarige tydligt ange vilka personuppgifter som behandlas och ge sökanden en förteckning över dem. Om sökanden begär det, bör den personuppgiftsansva- rige vara skyldig att låta honom eller henne få del även av person- uppgifter som han eller hon tidigare tagit del av. En förutsättning för att en sådan bestämmelse ska vara godtag- bar är dock att den inte begränsar en parts rätt till insyn i mål och ärenden enligt de processrättsliga regelverken. Eftersom ramlagens bestämmelser om rätt till eller begränsning av information inte in- verkar på en parts rätt till insyn enligt eller andra författningar bedömer utredningen att det inte är något problem. Utredningen återkommer i avsnitt 11.3 till andra undantag från informationsskyldigheten. 11.2.9Information om automatiserade beslut Utredningens förslag: Den som har varit föremål för ett auto- matiserat beslut får begära närmare information om beslutet. Skälen för utredningens förslag: I artikel 11 regleras automatise- rade beslut. Som anges i avsnitt 9.4 förekommer det inga automatiserade beslut inom ramlagens tillämpningsområde, men utredningen föreslår ändå en bestämmelse om sådana beslut. Det innebär att det också bör tas in en bestämmelse i ramlagen om den information som den personuppgiftsansvarige är skyldig att på begäran lämna vid sådana beslut. 11.3Begränsning av rätten till information 11.3.1Rätten till information får begränsas Utredningens förslag: Skyldigheten att lämna personrelaterad information gäller inte i den utsträckning det är särskilt före- skrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut av hänsyn till intresset av att 1.förebygga, förhindra eller upptäcka brottslig verksamhet, ut- reda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet, 2.andra rättsliga utredningar eller undersökningar inte hindras, 3.nationell säkerhet skyddas, eller 4.annans fri- och rättigheter skyddas. Om det finns grund för att begränsa informationen är den per- sonuppgiftsansvarige inte heller skyldig att lämna ut skälen för beslut att begränsa informationen eller för beslut i fråga om be- gäran om rättelse, radering eller begränsning av behandlingen. Undantagen från informationsskyldigheten gäller även för en personuppgiftsansvarig som inte är en myndighet i motsvarande fall som avses i offentlighets- och sekretesslagen. Skälen för utredningens förslag Direktivet ger möjlighet att i nationell rätt begränsa den registrera- des rätt till information om personuppgiftsbehandling som avser honom eller henne. Det framgår dels av artikel 13.3 som ger möj- lighet att senarelägga, begränsa eller utelämna sådan information som den personuppgiftsansvarige ska lämna enligt artikel 13.2, dels av artikel 15.1 som ger möjlighet att begränsa den registrerades rätt till sådan information som avser behandling av hans eller hennes personuppgifter som den personuppgiftsansvarige ska lämna på begäran. I artikel 16.4 ges möjlighet att begränsa information till den registrerade om skälen för att den personuppgiftsansvarige inte har rättat, raderat eller begränsat behandlingen. Syftet med att begränsa informationen ska enligt direktivet vara att undvika att officiella eller rättsliga utredningar, förundersök- ningar eller förfaranden hindras eller att undvika menlig inverkan på brottsbekämpande åtgärder, lagföring eller verkställighet av straffrättsliga påföljder och att skydda allmän eller nationell säker- het eller andra personers rättigheter och friheter. Begränsning får vidtas endast i den utsträckning och så länge som den är nödvändig och proportionerlig. Vid bedömningen ska hänsyn tas till den be- rörda fysiska personens grundläggande rättigheter och berättigade intressen. Enligt artikel 13.1 i det nu gällande direktivet får medlemsstaterna genom lagstiftning begränsa omfattningen av vissa skyldigheter och rättigheter som följer av direktivet. En sådan begränsning ska vara en nödvändig åtgärd med hänsyn till bl.a. statens säkerhet, allmän säkerhet, förebyggande, undersökning, avslöjande av brott eller åtal för brott och skydd av den registrerades eller andras fri- och rättig- heter. Artikeln har åberopats till stöd för bl.a. undantaget i 27 § personuppgiftslagen från skyldigheten att lämna information enligt 23–26 §§ personuppgiftslagen till den registrerade vid sekretess och tystnadsplikt. Enligt förarbetena får bestämmelsen anses vara upp- ställd till skydd för sådana fri- och rättigheter som avses i arti- kel i det nu gällande direktivet (prop. 1997/98:44 s. 84). Vid en översyn av personuppgiftslagen åberopades artikel 13.1 även till stöd för en bestämmelse om delegation till regeringen. Enligt 8 a § personuppgiftslagen får regeringen meddela föreskrif- ter om undantag bl.a. från bestämmelserna om information till den registrerade i 23–26 §§, om det behövs med hänsyn till bl.a. rikets säkerhet, allmän säkerhet, förebyggande, undersökning eller avslöj- ande av brott, åtal för brott och skyddet av fri- och rättigheter. Hur bör artiklarna om begränsning av information genomföras? Bestämmelser som begränsar rätten till information är nödvändiga för att de behöriga myndigheterna ska kunna utföra sina uppdrag på ett effektivt sätt. Artiklarna 13.3, 15.1 och 16.4 ger möjlighet att begränsa rätten till information. I förarbetena till 8 a § personuppgiftslagen diskuterades om undantagen i artikel 13.1 i det nu gällande direktivet borde införas direkt i personuppgiftslagen. Regeringen ansåg att undantagen var alltför generella och vaga för att kunna ligga till grund för reglering. Bedömningen av om ett sådant undantag är tillämpligt borde enligt förarbetena inte göras av varje enskild personuppgiftsansvarig. Som huvudregel borde undantagsbestämmelser tas in i särlagstiftning med bestämmelser som avviker från personuppgiftslagen. I vissa fall krävs dock undantag och då behövs en möjlighet för regeringen att föreskriva om undantag, t.ex. i avvaktan på att särlagstiftning hinner utarbetas eller ändras (prop. 2005/06:173 s. 55 f.). Förarbetsuttalandena är av intresse för hur artiklarna 13.3, 15.1 och 16.4 ska genomföras. De undantag som görs i artiklarna är lika generella och vaga som motsvarande bestämmelser i det nu gällande direktivet. Utredningen anser därför att det inte är lämpligt att per- sonuppgiftsansvariga med det som enda utgångspunkt avgör om det i ett enskilt fall kan finnas skäl för att begränsa informationen. Undantagen bör preciseras i lag eller förordning. Begränsning av information enligt artiklarna 13.3, 15.1 och 16.4 får bara göras i syfte att undvika att förundersökningar eller andra rättsliga utredningar, brottsbekämpande åtgärder, lagföring eller verkställighet av straffrättsliga påföljder hindras eller i syfte att skydda allmän eller nationell säkerhet eller andra personers fri- och rättigheter. Bestämmelser till skydd för bl.a. dessa intressen finns redan i offentlighets- och sekretesslagen och i vissa andra författningar. På samma sätt som i 27 § personuppgiftslagen bör möjligheten att begränsa information enligt ramlagen utgå från den regleringen. I ramlagen bör det tas in en regel om att den registrerades rätt till information inte gäller om personuppgifterna inte får lämnas ut av hänsyn till något av de intressen som nämnts. Utredningen anser inte att det finns något behov av en bestämmelse motsva- rande 8 a § personuppgiftslagen. Prövningen av om informationen kan begränsas Det är, som framgår av avsnitt 11.2.1, viktigt att hålla isär reglerna om rätt till information och tillgång till allmänna handlingar. Syftet med reglerna i tryckfrihetsförordningen är att ge var och en insyn i den offentliga verksamheten, dvs. att skapa en möjlighet för alla, inte specifikt en viss person, att kunna ta del av handlingar och uppgifter som rör en viss fråga. Sekretessregleringen syftar till att värna viktiga intressen, bl.a. det allmännas intresse av brotts- bekämpning, lagföring och straffverkställighet. Sekretess värnar också enskildas intresse av att känsliga uppgifter om deras person- liga eller ekonomiska förhållanden inte sprids. De i sig mycket komplexa regelverken om tillgång till handlingar och begräns- ningen av rätten att ta del av dem har ett helt annat fokus än lag- stiftningen om personuppgiftsbehandling.