sou · H5B374 · 2017-10-04 00:00:00 — Det gäller bl.a. rätten att behandla personuppgifter för att fullgöra författningsreglerade uppgiftsskyldigheter. Utanför tillämpningsområdet ligger exempel- vis skyldighet att lämna personuppgifter enligt 14 kap. 1 § socialtjänstlagen (2001:453) och 6 kap. 12 § smitt- skyddslagen (2004:168). Även rätten att behandla personuppgifter för att tillhandahålla information som behövs i en annan myndig- hets verksamhet, om det åligger den brottsbekämpande myndig- heten att bistå den andra myndigheten med viss uppgift, kan avse ändamål utanför brottsdatalagens tillämpningsområde. Som exem- pel kan nämnas skyldigheten att bistå ombudsmän vid granskning av andra myndigheter, t.ex. socialförvaltningen. Det gäller också information som tillhandahålls inom ramen för myn- dighetsöverskridande samverkan mot brott, om syftet med utläm- nandet t.ex. är att bidrag eller andra utbetalningar ska kunna dras in. Även tillhandahållande av information till sådan verksamhet hos myndigheten som avser handräckning kan avse ändamål utanför brottsdatalagens tillämpningsområde, exem- Tillåtna rättsliga grunder och behandling för nya ändamål pelvis om handräckning lämnas åt någon som bedriver hälso- och sjukvård. Dataskyddsförordningen ska tillämpas redan vid utlämnandet I 2 kap. 21 § brottsdatalagen upplyses om att dataskyddsförord- ningen ska tillämpas när en behörig myndighet behandlar person- uppgifter för ändamål utanför lagens tillämpningsområde. Som anges i delbetänkandet ska förordningen tillämpas redan när en be- hörig myndighet tillhandahåller personuppgifter till andra, om ändamålet ligger utanför brottsdatalagens tillämpningsområde (se SOU 2017:29 s. 292). Det gäller när personuppgifter ska lämnas ut till myndigheter och andra aktörer som inte är behöriga myndig- heter för deras behov. Som exempel kan nämnas när Kustbevak- ningen lämnar personuppgifter till eller Transport- styrelsen efter en fartygskollision. Personuppgifter som en behörig myndighet behandlar enligt brottsdatalagen kan också behöva läm- nas till en enhet inom samma myndighet som bedriver verksamhet utanför lagens tillämpningsområde. Personuppgifter som behandlas i brottsbekämpande verksamhet kan t.ex. be- höva lämnas till den verksamhet inom myndigheten där frågor om pass eller olika typer av tillstånd behandlas. Dataskyddsförordningen utgår, på samma sätt som direktivet, från att varje behandling av personuppgifter måste vila på en rättslig grund. De rättsliga grunderna räknas uttömmande upp i artikel 6.1 i förordningen. Om ingen av dem är tillämplig är behandlingen inte laglig och får därmed inte utföras. De rättsliga grunder som räknas upp i artikel 6.1 är bl.a. följande: a)Den registrerade har lämnat sitt samtycke till behandlingen. b)Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. c)Behandlingen är nödvändig för att fullgöra en rättslig förplik- telse som den personuppgiftsansvarige har. Tillåtna rättsliga grunder och behandling för nya ändamål d)Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller en annan fysisk person. e)Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myn- dighetsutövning. Hur de olika punkterna ska tolkas utvecklas av Dataskyddsutred- ningen. Den utredningen uttalar bl.a. att det är rimligt att anta att alla uppgifter som utförs av statliga myndigheter i syfte att uppfylla ett uttryckligt uppdrag av riksdag eller regering är av allmänt intresse (se SOU 2017:39 s. 124). Det är därför framför allt arti- kel 6.1 e som kan bli relevant när behöriga myndigheter lämnar ut personuppgifter för ändamål utanför brottsdatalagens tillämpnings- område. Även artikel 6.1 c och d bör kunna aktualiseras. Enligt artikel 6.2 får medlemsstaterna i vissa fall behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen med hänsyn till behandling av per- sonuppgifter för att efterleva artiklarna 6.1 c eller e. I artikel 6.3 anges att den rättsliga grunden för behandling som avses i punk- terna i fråga ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt. Artikel 6.3 ger också ett visst utrym- me för medlemsstaterna att specificera villkoren för när personupp- gifter får behandlas och hur det ska gå till. I artikeln anges att den rättsliga grund som fastställer en rättslig förpliktelse, myndighets- utövning eller en uppgift av allmänt intresse kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen. Som exempel nämns bl.a. de allmänna villkor som ska gälla för behandlingen, vilken typ av personuppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka per- sonuppgifterna får lämnas ut och för vilka ändamål. Av skäl 10 framgår att förordningen inte utesluter att det i medlemsstaternas nationella rätt fastställs närmare omständigheter för specifika situa- tioner där personuppgifter behandlas, inbegripet mer exakta villkor för laglig behandling. Bestämmelser som specificerar villkoren för laglig behandling måste dock uppfylla ett mål av allmänt intresse och vara proportionerliga mot det legitima mål som eftersträvas. Det innebär enligt att lagstiftaren måste göra en avvägning mellan å ena sidan behovet av att uppgiften kan Tillåtna rättsliga grunder och behandling för nya ändamål utföras på ett effektivt och rättssäkert sätt och å andra sidan den enskildes rätt till skydd för sina personuppgifter (SOU 2017:39 s. 134). 6.4.2En prövning ska göras innan personuppgifter lämnas ut Utredningens förslag: Det ska inte längre anges i vilka situatio- ner personuppgifter som behandlas med stöd av registerförfatt- ningarna får lämnas ut. Regleringen ska i stället bygga på att det ska göras en prövning innan uppgifterna lämnas ut. De sekundära ändamålsbestämmelserna i polisdatalagen, kustbevakningsdatalagen, åklagardatalagen, tullbrottsdatalagen och skattebrottsdatalagen ska upphävas även i de delar de avser behandling för ändamål utanför brottsdatalagens tillämpnings- område. Skälen för utredningens förslag Kan den nuvarande regleringen behållas? Det råder enligt utredningens mening ingen tvekan om att det är tillåtet att i registerförfattningar reglera utlämnandefrågor på data- skyddsförordningens tillämpningsområde. Till skillnad från vad som gäller vid behandling för nya ändamål inom brottsdatalagens tillämpningsområde skulle det därmed vara möjligt att behålla inne- hållet i de sekundära ändamålsbestämmelserna när det är fråga om behandling för nya ändamål utanför tillämpningsområdet. I förarbetena till de brottsbekämpande myndigheternas register- författningar har regeringen gjort bedömningen att det inte är möj- ligt att uttömmande reglera alla de situationer där vidarebehandling av personuppgifter kan komma att aktualiseras. De sekundära ändamålen har därför uttryckts så preciserat och fullständigt som möjligt, men kompletteras av en möjlighet att i enskilda fall till- handahålla personuppgifter för andra ändamål än de angivna, om det nya ändamålet inte kan anses oförenligt med insamlingsända- målet (se t.ex. prop. 2009/10:85 s. 98 f. och prop. 2016/17:91 s. 89). Målsättningen är enligt förarbetena att de sekundära ändamålen ska omfatta merparten av myndigheternas uppgiftslämnande. Tillåtna rättsliga grunder och behandling för nya ändamål Det är inte heller nu möjligt att reglera alla de situationer där personuppgifter kan behöva behandlas för nya ändamål för att tillhandahållas annan verksamhet inom myndigheten eller lämnas till andra myndigheter eller enskilda. Om regleringen ska behållas måste den således kompletteras med en bestämmelse som ger möj- lighet att tillhandahålla personuppgifter även i andra fall än de som räknas upp i de sekundära ändamålsbestämmelserna. Som anges i delbetänkandet bedömer utredningen att den behandling som görs då blir en ursprungsbehandling enligt dataskyddsförordningen, vilket gör att finalitetsprincipen inte ska tillämpas på den behand- lingen (se SOU 2017:29 s. 292 f.). Även om det är möjligt att be- hålla innehållet i de sekundära ändamålsbestämmelserna kan de alltså inte ha samma utformning som . Bör regleringen behållas? Ett syfte med dagens sekundära ändamålsbestämmelser är att underlätta bedömningen av om kraven enligt finalitetsprincipen är uppfyllda. Lagstiftaren har bedömt att det är förenligt med det ursprungliga ändamålet med behandlingen att vidarebehandla per- sonuppgifterna i de angivna situationerna (se bl.a. prop. 2009/10:85 s. 99 och prop. 2016/17:91 s. 102). Tillämparen behöver därför i de flesta fall bara pröva om det är nödvändigt att tillhandahålla infor- mationen som någon annan har behov av. För och gäller en ytterligare begränsning i de fall där per- sonuppgifter behövs i annan verksamhet som respektive myndighet ansvarar för. Då får personuppgifter tillhandahållas endast om det finns särskilda skäl för det (se 2 kap. 8 § första stycket 4 polisdata- lagen och 2 kap. 6 § första stycket 4 tullbrottsdatalagen). Om behandling för ändamål utanför brottsdatalagens tillämp- ningsområde skulle regleras ungefär på samma sätt som , dvs. att de situationer där det är tillåtet att tillhandahålla information räknas upp så fullständigt som möjligt så att merparten av upp- giftslämnandet omfattas, skulle det innebära att tillämparen i de flesta fall inte behöver göra någon annan prövning än om det är nödvändigt att lämna uppgifterna. I 2 kap. 4 § brottsdatalagen före- skrivs att det innan personuppgifter behandlas för ett nytt ändamål inom lagens tillämpningsområde ska säkerställas att det finns en Tillåtna rättsliga grunder och behandling för nya ändamål tillåten rättslig grund för den nya behandlingen och att behand- lingen är nödvändig och proportionerlig för det nya ändamålet. Det skulle enligt utredningens mening skapa en omotiverad skillnad att kräva en noggrannare prövning för behandling för nya ändamål inom brottsdatalagens tillämpningsområde än utanför det. Det borde snarare ställas högre krav för att få behandla personuppgifter som förekommer i den brottsbekämpande verksamheten för nya ändamål utanför brottsdatalagens tillämpningsområde. Det kan tilläggas att personuppgifter som behandlas med stöd av dataskyddsförordningen får behandlas för nya ändamål endast om behandlingen är förenlig med finalitetsprincipen. Det måste således göras en prövning av om det nya ändamålet är förenligt med det ändamål som uppgifterna samlades in för när personuppgifter vidarebehandlas enligt förordningen. Även om det är olika prövningar som ska göras så krävs det alltså en prövning innan personuppgifter behandlas för nya ända- mål både inom brottdatalagens och inom dataskyddsförordningens tillämpningsområde. Mot den bakgrunden anser utredningen att är rimligt att kräva en prövning även när personuppgifter som be- handlas med stöd av brottsdatalagen ska behandlas för ändamål utanför lagens tillämpningsområde. De situationer där personupp- gifter som redan behandlas bör få behandlas för att tillhandahållas andra bör därför inte längre räknas upp. Regleringen bör i stället utgå från att det alltid ska göras en prövning innan uppgifter be- handlas för nya ändamål. De sekundära ändamålsbestämmelserna i polisdatalagen, kustbevakningsdatalagen, åklagardatalagen, tull- brottsdatalagen och skattebrottsdatalagen bör därför upphävas även i de delar de avser behandling för ändamål utanför brottsdata- lagens tillämpningsområde. Tillåtna rättsliga grunder och behandling för nya ändamål Utredningens förslag: Innan personuppgifter, som behandlas med stöd av brottsdatalagen, behandlas för ändamål utanför lagens tillämpningsområde ska det säkerställas att behandlingen är nödvändig och proportionerlig för det nya ändamålet. Överträdelse av bestämmelsen om behandling för nya ända- mål utanför brottsdatalagens tillämpningsområde ska kunna för- anleda sanktionsavgift. Skälen för utredningens förslag En prövning av nödvändighet och proportionalitet ska alltid göras Frågan är då vad som bör krävas för att personuppgifter, som be- handlas för ändamål inom brottsdatalagens tillämpningsområde, ska få behandlas för ändamål utanför det. Redan dagens reglering innebär att det ska prövas om det är nödvändigt att tillhandahålla personuppgifterna i de situationer som räknas upp i de sekundära ändamålsbestämmelserna. För att och ska få lämna information till andra verksamheter inom respektive myndighet krävs det också särskilda skäl (se 2 kap. 8 § första stycket 4 polisdatalagen och 2 kap. 6 § första stycket 4 tullbrotts- datalagen). I förarbetena framhålls att kravet på särskilda skäl inne- bär att information inte får tillhandahållas rutinmässigt utan att det i det enskilda fallet måste finnas särskilda skäl som talar för att informationen bör tillhandahållas den andra verksamheten (prop. 2009/10:85 s. 322 och prop. 2016/17:91 s. 102). Det krävs alltså en individuell prövning. Som nämnts ska det enligt 2 kap. 4 § brottsdatalagen prö- vas om behandlingen är nödvändig och proportionerlig innan per- sonuppgifter får behandlas för ett nytt ändamål inom lagens till- lämpningsområde. I delbetänkandet anges att syftet med kravet på proportionalitet är att det ska göras en bedömning i det enskilda fallet av behovet av den nya behandlingen ställt i relation till in- trånget i den personliga integriteten (se SOU 2017:29 s. 252). Oavsett om man ställer krav på särskilda skäl eller nödvändighet och proportionalitet är det centrala enligt både polisdatalagen, tull- brottsdatalagen och brottsdatalagen att det görs en noggrann pröv- Tillåtna rättsliga grunder och behandling för nya ändamål ning av skälen för den nya behandlingen innan personuppgifter behandlas för ett nytt ändamål. Det skulle skapa en enhetlig till- lämpning och underlätta för myndigheterna om den prövning som ska göras innan personuppgifter behandlas för nya ändamål är den- samma oavsett om det nya ändamålet ligger inom eller utanför brottsdatalagens tillämpningsområde. Den prövning som bör krävas innan personuppgifter behandlas för nya ändamål utanför brottsdatalagens tillämpningsområde bör därför enligt utredningens mening avse om den nya behandlingen är nödvändig och proportionerlig. En sådan prövning utgör en lämplig avvägning mellan mottagarens behov av personuppgifterna och skyddet för enskildas personliga integritet. Ett krav på sådan prövning är också förenligt med regleringen i dataskyddsförord- ningen. I de flesta fall som räknas upp i dagens sekundära ändamålsbe- stämmelser ställs det inte krav på särskilda skäl för att personupp- gifter ska få tillhandahållas. En proportionalitetsprövning kommer därmed att ställa ökade krav. Som regel måste det dock anses proportionerligt att behandla personuppgifter för att tillhandahålla information i de situationer som räknas upp i de sekundära ändamålsbestämmelserna. Den nya regleringen kommer därmed enligt utredningens bedömning inte att påverka omfattningen av uppgiftslämnandet i de fallen. Utgångspunkten för regleringen är alltså att samma prövning bör göras oavsett om personuppgifterna ska behandlas för nya ändamål inom eller utanför brottsdatalagens tillämpningsområde. Innan per- sonuppgifter behandlas för ett nytt ändamål inom lagens tillämp- ningsområde ska det enligt 2 kap. 4 § brottsdatalagen säkerställas dels att det finns en tillåten rättslig grund för den nya behand- lingen, dels att behandlingen är nödvändig och proportionerlig för det nya ändamålet. Att det ska finnas en rättslig grund för behand- lingen när personuppgifter behandlas för ändamål utanför brotts- datalagens tillämpningsområde regleras i artikel 6 i dataskyddsför- ordningen och bör inte upprepas i den nationella regleringen. Det bör därför framgå att det innan behandling påbörjas för ett nytt Tillåtna rättsliga grunder och behandling för nya ändamål ändamål utanför brottsdatalagens tillämpningsområde – utöver de krav som gäller enligt förordningen – ska säkerställas att behand- lingen är nödvändig och proportionerlig för det nya ändamålet. I kravet på proportionalitet ligger att skälen för den nya behand- lingen ska väga tyngre än det intrång som behandlingen innebär för den enskilde. Det som står att vinna med behandlingen ska alltså vägas mot intrånget i enskildas integritet (jfr SOU 2017:29 s. 251 f.). Det kan exempelvis finnas information i Polismyndig- hetens brottsbekämpande verksamhet om att en person har sådana kontakter i kriminella kretsar att han eller hon vid en helhetsbe- dömning t.ex. ter sig olämplig för att få en viss befattning eller till- stånd att bedriva viss verksamhet. Det kan då anses vara propor- tionerligt att informationen tillhandahålls för att användas vid prövningen av anställnings- eller tillståndsärendet. Det kan på mot- svarande sätt vara proportionerligt att lämna information om det i brottsbekämpande verksamhet kommer fram uppgifter om hur personer kringgår regelverket som har betydelse för hur verksamheten under Effektiv handel bör inrikta sina kontroller. Det är också av betydelse vilken typ av personuppgifter det är fråga om och i vilken verksamhet de ska användas. Att en uppgift om var någon uppehåller sig lämnas från brotts- bekämpande verksamhet till delgivningsverksamheten är generellt sett harmlöst. Däremot kan det finnas andra uppgifter som det inte är proportionerligt att lämna för tillgodose någon annans behov. Det krävs starkare skäl för att tillhandahålla exempelvis känsliga personuppgifter, men även det kan vara motiverat om det motstå- ende intresset är tillräckligt starkt. Regleringen bör vara densamma för alla brottsbekämpande myndigheter. Den bör därför placeras i brottsdatalagen och inte i respektive myndighets registerförfattning. Om den även bör gälla i domstolarnas och Kriminalvårdens verksamhet återkommer utred- ningen till i avsnitt 12.4.2 och 13.3.1. Annat skydd för den personliga integriteten Det är dock inte enbart prövningen av om det är nödvändigt och proportionerligt att behandla personuppgifterna för det nya ända- målet som sätter gränser för när uppgifterna får tillhandahållas Tillåtna rättsliga grunder och behandling för nya ändamål Mottagaren måste självfallet också ha rätt att behandla dem. Det måste finnas en tillåten rättslig grund för behandlingen enligt dataskyddsförordningen och alla principer för behandling av per- sonuppgifter ska iakttas för att den nya behandlingen ska vara till- låten, t.ex. att personuppgifterna är adekvata och relevanta för ändamålet med behandlingen och att de inte behandlas längre än nödvändigt med hänsyn till ändamålet med behandlingen. Den prövningen kan endast göras av mottagaren och är inget som den som tillhandahåller information behöver beakta vid överväganden av om informationen kan tillhandahållas. Dessutom sätter sekretessregleringen gränser för i vilken ut- sträckning uppgifter får lämnas ut. Det gäller framför allt när upp- gifter lämnas mellan myndigheter. Enligt 8 kap. 2 § offentlighets- och sekretesslagen kan sekretess emellertid gälla även mellan olika verksamhetsgrenar inom en myndighet, om de är att anse som självständiga i förhållande till varandra. Så är fallet i t.ex. Skattever- ket, där bl.a. den brottsbekämpande verksamheten utgör en själv- ständig verksamhetsgren i förhållande till andra verksamheter. Överträdelse ska kunna föranleda sanktionsavgift I 6 kap. 1 och 2 §§ brottsdatalagen föreskrivs vilka överträdelser som kan föranleda sanktionsavgift. Enligt 6 kap. 1 § 1 får sank- tionsavgift tas ut bl.a. vid överträdelse av bestämmelsen i 2 kap. 4 § om behandling för nya ändamål inom lagens tillämpningsområde. Med hänsyn till att utredningen nu föreslår att samma prövning ska göras innan personuppgifter behandlas för ett nytt ändamål – oav- sett om det ligger inom eller utanför lagens tillämpningsområde – bör även överträdelse av bestämmelsen om behandling för nytt ändamål utanför tillämpningsområdet kunna föranleda sanktions- avgift. Tillåtna rättsliga grunder och behandling för nya ändamål Utredningens förslag: I den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning behöver någon prövning av om behandlingen är nödvändig och proportionerlig för det nya ändamålet inte göras. En prövning ska dock göras innan uppgifter lämnas med stöd av 6 kap. 5 § offentlighets- och sekretesslagen. Skälen för utredningens förslag Enligt de sekundära ändamålsbestämmelserna är det tillåtet att lämna uppgifter i den utsträckning det finns skyldighet att göra det enligt lag eller förordning. Som nämnts kan sådana skyldig- heter avse ändamål både inom och utanför brottsdatalagens till- lämpningsområde. Både i förundersöknings- och brottmålsförfarandet finns det omfattande skyldigheter att informera myndigheter och andra. I förundersökningskungörelsen (1947:948) finns ingående bestäm- melser om uppgiftsskyldighet. Sådana skyldigheter föreskrivs också i bl.a. 12 § strafföreläggandekungörelsen (1970:60), där det regleras till vilka fysiska eller juridiska personer domar, beslut och under- rättelser i brottmål ska expedieras. Liknande skyldigheter finns även på andra områden. Enligt 36 § förordningen om behandling av personuppgifter inom kriminalvården har en vidsträckt skyldighet att lämna underrättelser till Kriminalvården. Även i andra fall är behöriga myndigheter skyldiga att lämna viss information. Ett exempel är 14 kap. 1 § 2 socialtjänstlagen enligt vilken rättspsykiatrisk undersökningsverksamhet, Kriminalvården, och Säkerhetspolisen är skyldiga att genast an- mäla till socialnämnden om de i sin verksamhet får kännedom om eller misstänker att barn far illa. När det i lag eller förordning föreskrivs att uppgifter ska lämnas har lagstiftaren tagit ställning till att det dels är så viktigt att det ska införas en skyldighet att lämna information, dels att eventuell sek- retess ska brytas. Lagstiftaren får då också anses ha tagit ställning Tillåtna rättsliga grunder och behandling för nya ändamål till att uppgiftslämnandet är nödvändigt och proportionerligt. En- ligt utredningens mening bör sådan uppgiftsskyldighet ersätta den föreslagna prövningen av om behandlingen är nödvändig och pro- portionerlig för det nya ändamålet, oavsett om det gäller ändamål inom eller utanför brottsdatalagens tillämpningsområde. Det bör tydliggöras i bestämmelserna. Om det i lag eller förordning bara föreskrivs en möjlighet, men ingen skyldighet, att lämna uppgifter ska myndigheten däremot pröva om det är nödvändigt och proportionerligt att lämna dem, eftersom lagstiftaren då inte har gjort den prövningen. Uppgiftslämnande enligt 6 kap. 5 § offentlighets- och sekretesslagen En särskild fråga är hur man ska se på uppgiftslämnande med stöd av 6 kap. 5 § offentlighets- och sekretesslagen. Enligt den paragra- fen ska en myndighet på begäran av en annan myndighet lämna uppgift som den förfogar över, i den mån hinder inte möter på grund av bestämmelse om sekretess eller av hänsyn till arbetets behöriga gång. Bestämmelsen anses innebära en skyldighet att lämna uppgifter (se t.ex. Behandling av personuppgifter inom stu- diestödsområdet, prop. 2008/09:96, s. 80 och prop. 2009/10:85 s. 120 f.). Bestämmelser om sekretess har ett annat syfte än bestäm- melser om skydd av personuppgifter. Sekretess kan skydda enskil- das integritet, men det är långt ifrån alltid det primära syftet med lagstiftningen. Att det konstateras att sekretess inte gäller för en uppgift och att den därmed kan lämnas till en myndighet med stöd av 6 kap. 5 § offentlighets- och sekretesslagen innebär inte att lag- stiftaren har tagit ställning till att tillhandahållandet är nödvändigt och proportionerligt i brottsdatalagens mening. Trots att uppgifts- lämnande enligt paragrafen betraktas som en uppgiftsskyldighet gör den inte prövningen av nödvändighet och proportionalitet en- ligt brottsdatalagen obehövlig.