sou · H5B397 · 2017-12-08 00:00:00 — Personuppgifterna ska vidare vara adekvata och relevanta i för- hållande till ändamålen med behandlingen. Den personuppgifts- ansvarige ansvarar också för att inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behand- lingen. Därutöver ska de uppgifter som behandlas vara riktiga och, om det är nödvändigt, aktuella. Alla rimliga åtgärder ska också vid- tas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Slutligen anges i 9 § att personuppgifter inte får be- varas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Avgörande för hur länge personupp- gifterna får bevaras är det ursprungliga ändamålet som bestämdes vid insamlingen av uppgifterna. Därefter måste uppgifterna avidenti- fieras eller förstöras. För att behandling av personuppgifter ska vara tillåten krävs, ut- över de i 9 § uppställda kraven, att något av villkoren i 10 § före- ligger. Bestämmelsen anger uttömmande i vilka fall personuppgifter får behandlas. Personuppgifter får behandlas bara om den registre- rade har lämnat sitt samtycke till behandlingen eller om behand- lingen är nödvändig för vissa i lagen särskilt angivna fall. Att be- handlingen ska vara nödvändig kan inte rimligen innebära att det ska vara faktiskt omöjligt att utföra en arbetsuppgift utan sådan behand- ling av personuppgifter som omfattas av lagen. Kan en arbetsuppgift däremot utföras nästan lika enkelt och billigt utan att personupp- gifter behandlas, kan det inte anses nödvändigt att behandla person- uppgifterna. Det räcker sannolikt att det innebär en påtaglig förenk- ling för den personuppgiftsansvarige att personuppgifter behandlas på automatiserad väg (, , , H-O., Personuppgifts- lagen, 4 uppl., 2016, Zeteo, kommentaren till 10 §, härefter m.fl.). Om nödvändighetskravet är uppfyllt får personuppgifter behandlas utan den enskildes samtycke för att a)ett avtal med den registrerade ska kunna fullgöras eller åtgärder som den registrerade begärt ska kunna vidtas innan ett avtal träffas, b)den personuppgiftsansvarige ska kunna fullgöra en rättslig skyl- dighet, c)vitala intressen för den registrerade ska kunna skyddas, d)en arbetsuppgift av allmänt intresse ska kunna utföras, Gällande regler om personuppgiftsbehandling ... e)den personuppgiftsansvarige eller en tredje man till vilken person- uppgifter lämnas ut ska kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller f)ett ändamål som rör ett berättigat intresse hos den personupp- giftsansvarige eller hos en sådan tredje man till vilken personupp- gifterna lämnas ut ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Känsliga personuppgifter, dvs. uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i en fackförening eller som rör hälsa eller sexualliv får som huvudregel inte behandlas enligt personuppgiftslagen (13 §). Det kan dock vara tillåtet att behandla känsliga personuppgifter om den registrerade har lämnat sitt uttryckliga samtycke till behand- lingen eller på ett tydligt sätt offentliggjort uppgifterna (15 §). Behandling av känsliga personuppgifter kan också vara tillåten om den kan anses vara nödvändig enligt vissa i personuppgiftslagen an- givna förutsättningar, exempelvis för att skydda den registrerades eller någon annans vitala intressen om denne inte kan lämna sitt samtycke eller för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras (16 §). Behandling kan vidare vara nödvän- dig för förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling eller administration av hälso- och sjukvård (18 §). Slutligen kan känsliga personuppgifter under vissa förhåll- anden behandlas av ideella organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte inom ramen för sin verksamhet samt för forsknings- och statistikändamål (17 och 19 §§). Regeringen eller den myndighet som regeringen bestämmer, i det här fallet Datainspektionen, får meddela föreskrifter om ytter- ligare undantag från förbudet i 13 §, om det behövs med hänsyn till ett viktigt allmänt intresse (20 §). I 21 § regleras behandling av personuppgifter som rör lagöver- trädelser m.m. Det är enligt bestämmelsen förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Detta gäller även om den enskilde har lämnat sitt samtycke till annan behandling. Sådana uppgifter får dock behandlas för forskningsändamål av andra än Gällande regler om personuppgiftsbehandling ... myndigheter, om behandlingen har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor. Regeringen eller den myndighet som regeringen bestämmer, dvs. Datainspek- tionen, får dock meddela föreskrifter om undantag från förbudet och de får även besluta om undantag i enskilda fall. Dataskyddsdirektivet ställer krav på att medlemsstaterna ska reglera användningen av personnummer i lag. Enligt 22 § får upp- gifter om personnummer eller samordningsnummer behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Bestämmelser om i vilka fall information om behandling av personuppgifter ska lämnas till den enskilde finns i 23–27 §§. Om personuppgifter samlas in från den enskilde själv, ska den person- uppgiftsansvarige självmant lämna den registrerade information om behandlingen av uppgifterna (23 §). Om uppgifterna har samlats in från någon annan källa, ska sådan information lämnas till den regi- strerade när uppgifterna registreras (24 §). Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen dock inte ges förrän uppgifterna lämnas ut första gången. Informationskravet gäller inte om det finns bestämmelser om registrerandet eller utläm- nandet av personuppgifterna i en lag eller någon annan författning. Information behöver inte heller lämnas om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Om upp- gifterna används för att vidta åtgärder som rör den registrerade, ska dock information lämnas senast i samband med att åtgärden vidtas. Den information som lämnas till den registrerade ska innehålla all information som kan behövas för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen, t.ex. upp- gift om den personuppgiftsansvariges identitet och ändamålet med behandlingen (25 §). Den personuppgiftsansvarige är också skyldig att till den som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande behandlas eller inte (26 §). Behandlas sådana uppgifter ska skriftlig information lämnas om vilka uppgifter som behandlas, varifrån de har hämtats, ändamålen med behandlingen och till vem de lämnas ut. Sådan information behöver dock inte lämnas när det gäller personupp- gifter i löpande text som inte fått sin slutliga utformning när ansö- kan gjordes eller som utgör en minnesanteckning eller liknande. Gällande regler om personuppgiftsbehandling ... Vad som sagts gäller dock inte om uppgifterna har lämnats ut till tredje man, om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats . Bestämmelserna om informationsplikt gäller dock inte om sekre- tess eller tystnadsplikt är föreskriven för uppgifterna (27 §). På begäran av den registrerade är den personuppgiftsansvarige skyldig att rätta, blockera eller utplåna sådana personupp- gifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen (28 §). Om felaktiga uppgifter har lämnats ut till tredje man är den person- uppgiftsansvarige i vissa fall skyldig att underrätta denne om rättelsen. Det ska ske om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Tredje man behöver dock inte underrättas om det visar sig vara omöjligt eller skulle innebära en oproportio- nerligt stor arbetsinsats. För att säkerställa en hög säkerhetsnivå vid behandling av per- sonuppgifter finns särskilda bestämmelser om detta i 30–32 §§. Det är förbjudet att föra över personuppgifter till tredje land, dvs. en stat utanför EU eller EES, som inte har en adekvat nivå för skyddet av personuppgifterna (33 §). Förbudet gäller i princip alla personuppgifter. Under vissa förutsättningar är det dock tillåtet att föra över uppgifter till tredje land under förutsättning att den regi- strerade antingen gett sitt samtycke eller överföringen är nödvändig bl.a. för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras, eller för att vitala intressen för den registrerade ska kunna skyddas (34 §). Det är också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till konvention av om skydd för enskilda vid automatisk databehandling av personuppgifter (dataskyddskonven- tionen). Regeringen får meddela föreskrifter om ytterligare undantag från förbudet mot överföring (35 §). Behandling av personuppgifter ska som huvudregel anmälas till Datainspektionen i dess egenskap av tillsynsmyndighet. En anmälan behöver dock inte göras om det finns ett personuppgiftsombud eller om något av de i personuppgiftsförordningen (1998:1191) före- skrivna undantagen är tillämpligt (36 och 37 §§). Gällande regler om personuppgiftsbehandling ... Vidare finns det i personuppgiftslagen bestämmelser om person- uppgiftsombud (38–40 §§), krav på förhandskontroll i vissa fall (41 §), allmän informationsskyldighet (42 §) och tillsynsmyndig- hetens befogenheter (43–47 §§). Det finns också bestämmelser om skadestånd och straff (48–49 §§) samt om överklagande (51–53 §§). Syftet med särskilda registerförfattningar är att anpassa skyddet för enskildas personliga integritet vid myndigheters personuppgifts- behandling när det finns ett behov av att avvika från eller komplet- tera personuppgiftslagens bestämmelser. Inom olika verksamhets- områden i den offentliga sektorn är det inte ovanligt att myndigheter har särskilda behov som tillgodoses genom att i en registerför- fattning ge ett anpassat integritetsskydd vid myndighetens hantering av personuppgifter. har också gett uttryck för uppfattningen att myndighetsregister med ett stort antal registrerade och med ett känsligt innehåll ska regleras särskilt i lag (prop. 1990/91:60, s. 50, KU 1990/91:11 s. 11 och prop. 1997/98:44, s. 41). Det finns ett stort antal lagar om behandling av personuppgifter som gäller i viss verksamhet eller för ett visst register. Exempel på sådana särskilda registerförfattningar är patientdatalagen (2008:355), polisdatalagen (2010:361) och domstolsdatalagen (2015:728). Rekry- teringsmyndighetens behandling av personuppgifter om totalför- svarspliktiga regleras också i en särskild registerförfattning som be- skrivs vidare nedan. Offentlighets- och sekretesslagen (2009:400) innehåller ett flertal bestämmelser om sekretess till skydd för uppgifter om enskildas personliga förhållanden, vilka också medför ett skydd för enskildas personliga integritet. I 21 kap. 7 § anges att sekretess gäller för en personuppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. Bestäm- melsen är tillämplig hos sådana myndigheter som är personupp- giftsansvariga eller som annars har tillgång till personuppgifter. Gällande regler om personuppgiftsbehandling ... dömningen tar dock inte sikte på om myndighetens eget utläm- nande av uppgifter skulle strida mot personuppgiftslagen utan på om det kan antas att mottagaren efter utlämnandet kommer att behandla uppgiften i strid med personuppgiftslagen (Lenberg, E., , U., Tansjö, A., Offentlighets- och sekretesslagen, , Zeteo, kommentaren till 21 kap. 7 §, härefter Lenberg m.fl.). 3.2Internationell reglering till skydd för den personliga integriteten Den allmänna regleringen om behandling av personuppgifter inom EU finns i dataskyddsdirektivet. Direktivet har genomförts i medlemsstaterna genom nationell lagstiftning och i främst genom personuppgiftslagen. På EU-nivå finns andra rättsakter som kompletterar dataskyddsdirektivet, bl.a. rådets rambeslut /977/RIF av om skydd av personupp- gifter som behandlas inom ramen för polissamarbete och straff- rättsligt samarbete, det s.k. dataskyddsrambeslutet. Dataskyddsdirektivet syftar till att garantera en hög och likvärdig skyddsnivå i alla medlemsstater när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter och att främja ett fritt flöde av personuppgifter mellan medlems- staterna i EU. Medlemsstaterna får inom direktivets ram närmare precisera villkoren för när behandling av personuppgifter får före- komma under förutsättning att de inhemska reglerna inte hindrar det fria flödet av personuppgifter inom unionen. Direktivet gäller dock inte för behandling av personuppgifter på områden som faller utanför gemenskapsrätten, t.ex. allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Dataskyddsdirektivet är tillämpligt på all behandling av uppgif- ter om fysiska personer som sker helt eller delvis på automatiserad väg. Direktivet omfattar även behandling av personupp- gifter som ingår i eller kommer att ingå i ett register. Med register avses varje strukturerad samling av personuppgifter som är tillgäng- lig enligt särskilda kriterier. Direktivet omfattar inte behandling av personuppgifter för privat bruk. Gällande regler om personuppgiftsbehandling ... Enligt direktivet måste all behandling av personuppgifter vara laglig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Ändamålen ska vara uttryckligt angivna vid tid- punkten för insamling av uppgifterna och uppgifterna får inte senare användas på ett sätt som är oförenligt med de ursprungliga ända- målen. Under förutsättning att lämpliga skyddsåtgärder finns, anses dock senare behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål inte vara oförenligt med dessa ändamål. Personuppgifter får behandlas när den enskilde otvetydigt har lämnat sitt samtycke därtill. Därutöver får personuppgifter endast behandlas i vissa särskilt angivna fall, bl.a. om behandlingen är nöd- vändig för att fullgöra en rättslig förpliktelse som åligger den registeransvarige eller för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning. Personuppgifter får även behandlas om intresset av att den registeransvarige får be- handla uppgifterna väger tyngre än den registrerades intresse av att de inte behandlas. Enligt direktivet ska behandling av vissa kategorier av uppgifter (känsliga personuppgifter) som huvudregel förbjudas av medlems- staterna. Det gäller uppgifter som avslöjar den enskildes ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska över- tygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. Det finns dock i direktivet vissa angivna undantag från denna huvudregel, bl.a. om det finns ett uttryckligt samtycke från den registrerade, för ideella organisationers medlemsregister och för hälso- och sjukvårdens administration. Medlemsstaterna får också i sin nationella lagstiftning eller genom ett beslut av tillsynsmyn- digheten besluta om andra undantag från förbudet än dem som anges i direktivet, dock under förutsättning att det sker av hänsyn till ett viktigt allmänt intresse och att lämpliga skyddsåtgärder vidtas. När personuppgifter samlas in ska den registrerade informeras om bl.a. vem som är registeransvarig och vad uppgifterna ska an- vändas till. Har uppgifterna inte samlats in från den registrerade själv behöver den registeransvarige dock inte lämna någon informa- tion i de fall den registrerade redan känner till informationen eller om det skulle visa sig vara omöjligt eller innebära en arbetsinsats som inte står i proportion till nyttan. Den registrerade har dock rätt att på begäran få information om de registrerade uppgifterna. Gällande regler om personuppgiftsbehandling ... Har uppgifterna inte behandlats i enlighet med direktivet, har den registrerade också rätt att få uppgifterna rättade, utplånade eller blockerade. Direktivet innehåller även regler om säkerhet vid behand- lingen. All behandling av personuppgifter ska enligt huvudregeln i direk- tivet anmälas till en tillsynsmyndighet. Medlemsstaten kan dock genom bransch- och sektorsspecifik reglering eller motsvarande undanta sådan behandling av personuppgifter som inte kränker en- skildas fri- och rättigheter från anmälningsskyldigheten. Den regi- strerade har också rätt att få sina rättigheter enligt nationell lag prövad av tillsynsmyndigheten och av domstol. ska vara ett oberoende organ med befogenhet att undersöka och ingripa effektivt mot otillåten behandling av personuppgifter. Överföring av personuppgifter till ett tredje land får i princip endast ske om det mottagande landet har en adekvat skyddsnivå. Europeiska unionens stadga om de grundläggande rättigheterna Europeiska unionens stadga om de grundläggande rättigheterna (EU- stadgan) antogs av EU:s medlemsstater i . Lissabon- fördraget, som trädde 2009, innebär att EU-stadgan numera är rättsligt bindande för medlemsstaterna vid tillämpning av unions- rätten. Stadgan ska således inte tillämpas på nationell lagstiftning inom områden där EU inte har lagstiftningskompetens. Genom stadgan kodifierades de grundläggande fri- och rättigheterna som EU redan hade erkänt. I EU-stadgan anges de sex grundläggande rättigheterna: värdig- het, frihet, jämlikhet, solidaritet, medborgarskap och rättvisa. I likhet med bestämmelserna i den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grund- läggande friheterna () förbjuder stadgan bl.a. tortyr, slaveri och tvångsarbete och ger ett skydd för människans rätt till frihet och säkerhet samt rätten till en rättvis rättegång. Stadgan innehåller dessutom ytterligare rättigheter som inte finns med i , t.ex. personuppgiftsskydd. Skyddet för den personliga integriteten beskrivs som en rätt för var och en till fysisk och mental integritet (artikel 3). Alla har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kom- Gällande regler om personuppgiftsbehandling ... munikationer (artikel 7). I artikel 8 anges att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Person- uppgifterna ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim grund. Vidare ska var och en ha rätt att få tillgång till in- samlade uppgifter som rör honom eller henne och att få dem rättade. En oberoende myndighet ska kontrollera att reglerna efterlevs. Varje begränsning av stadgans fri- och rättigheter ska vara före- skriven i lag och förenlig med det väsentliga innehållet i stadgan. Proportionalitetsprincipen ska beaktas och begränsningar får endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors fri- och rättigheter. I de fall stadgan omfattar rättigheter som motsvarar sådana som garanteras av Europakonven- tionen ska de ha samma innebörd och räckvidd som i konventionen (artikel 52). Bestämmelsen hindrar dock inte unionsrätten från att tillförsäkra ett mer långtgående skydd. I syfte att ytterligare harmonisera och effektivisera skyddet av per- sonuppgifter har ett omfattande reformarbete pågått inom EU . antog rådet och en dataskyddsförordning med en generell reglering som ska ersätta dataskyddsdirektivet. och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flö- det av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), härefter dataskyddsförordningen, ska börja tillämpas i medlemsstaterna . Dataskydds- förordningen gäller dock inte för sådan behandling av person- uppgifter som utförs av behöriga myndigheter för ändamålen att förebygga, utreda, upptäcka eller lagföra brott eller verkställa straffrättsliga påföljder. Sådan behandling regleras i stället genom det nya dataskyddsdirektivet, och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av person- uppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra Gällande regler om personuppgiftsbehandling ... brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. Det nya direktivet ersätter alltså dataskyddsram- beslutet. Dataskyddsförordningen är direkt tillämplig i medlemsstaterna och kommer därför att ersätta såväl dataskyddsdirektivet som den nationella lagstiftning som antagits för att genomföra direktivet, dvs. i framför allt personuppgiftslagen. En särskild utredare har fått i uppdrag att föreslå de anpassningar och kompletterande författningsbestämmelser på generell nivå som förordningen ger upphov till. Utredaren redovisade sitt uppdrag ge- nom betänkandet Ny dataskyddslag. Kompletterande bestämmelser till EU:s dataskyddsförordning. (SOU 2017:39). Även registerförfatt- ningar och annan sektorsspecifik nationell lagstiftning som berörs av dataskyddsförordningens tillämpningsområde är föremål för en översyn. Förordningen lämnar ett visst utrymme för medlemssta- terna att behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av förordningen. Den nya regleringen för personuppgiftsbehandling och dess för- hållande till dataskyddsförordningen och den kompletterande data- skyddslagen behandlas i kapitel 6–11. 3.2.3Övriga internationella åtaganden och överenskommelser allmänna förklaring om de mänskliga rättigheterna m.m. () allmänna förklaring om de mänskliga rättigheterna antogs av . Förklar- ingen omfattar politiska, medborgerliga, sociala, ekonomiska och kulturella rättigheter. Även om den allmänna förklaringen inte är bindande för medlemsstaterna ses den som ett uttryck för den inter- nationella opinionens krav. Skyddet för den personliga integriteten behandlas i artikel 12. Där anges att ingen får utsättas för godtyckligt ingripande i fråga om privatliv, familj, hem eller korrespondens och inte heller för angrepp på sin heder eller sitt anseende. Var och en har rätt till lagens skydd mot sådana ingripanden och angrepp. Gällande regler om personuppgiftsbehandling ... artikel 29 att en person endast får underkastas sådana inskränk- ningar som har fastställts i lag och enbart i syfte att trygga tillbörlig hänsyn till och respekt för andras fri- och rättigheter samt för att tillgodose ett demokratiskt samhälles berättigade krav på moral, allmän ordning och allmän välfärd. FN har också antagit den internationella konventionen om med- borgerliga och politiska rättigheter som trädde 1976, till vilken är ansluten. Skyddet för den personliga integriteten regleras i artikel 17 i konventionen, vilken till sitt innehåll är lik- värdig med ovan nämnda artikel 12 i den allmänna förklaringen. mänskliga rättigheterna (Human Rights Com- mittee) har inrättats för att övervaka att medlemsstaterna efterlever sina skyldigheter enligt konventionen. I sammanhanget bör också nämnas att antog riktlinjer om datoriserade register med personupp- gifter.