sou · H5B329 · 2017-04-05 00:00:00 — Uttrycken syftet med behandlingen och behandlingens ändamål används ofta synonymt när man dis- kuterar personuppgiftsbehandling. Frågan är om det finns någon saklig skillnad mellan uttrycken. I den engelska språkversionen av direktivet används uttrycken ”objectives of processing” och ”pur- poses of the processing”. Orden objectives och purposes är också synonymer. Användningen av obestämd form i det första uttrycket men bestämd form i det senare kan tolkas som att det första ut- trycket avser bestämmelser om rättslig grund (brottsbekämpning, lagföring, straffverkställighet eller upprätthållande av allmän ord- ning och säkerhet), medan det andra avser ändamålen för behand- lingen i det enskilda fallet. Om någon skillnad är avsedd är det en- ligt utredningens mening den enda rimliga tolkningen. Den föreslagna generella bestämmelsen om rättslig grund i ram- lagen, tillsammans med bestämmelsen om att personuppgifter ska behandlas för särskilda, uttryckligt angivna och berättigade ända- mål, får därmed anses uppfylla kraven i direktivet på hur regle- ringen ska vara utformad. Frågan om det bör regleras vilka person- uppgifter som får behandlas diskuteras i avsnitt 9.2.5. En särskild fråga är vad som avses med att ändamålen ska vara ut- tryckligt angivna. Det finns inget generellt krav på att ända- målsbestämningen ska dokumenteras. Enligt 3 kap. 3 § polisdata- lagen och 4 kap. 2 § kustbevakningsdatalagen ska det dock genom Principer för behandling av personuppgifter en särskild upplysning eller på något annat sätt framgå för vilket närmare ändamål personuppgifter som har gjorts gemensamt till- gängliga behandlas. Bestämmelserna tillkom i samband med att möjligheten att göra uppgifter gemensamt tillgängliga reglerades. Syftet är att ge den som söker information motsvarande upplys- ningar som han eller hon skulle ha fått om uppgifterna hade be- handlats i traditionella register. Motsvarande föreslås gälla för och brottsbekämpande verksamhet. framgår det av sammanhanget för vilket ändamål person- uppgifter behandlas (t.ex. för förundersökningen om ett visst brott, handläggningen av ett visst mål eller ärende eller verkställig- heten av ett visst straff). Behovet av att upplysa om för vilka ända- mål personuppgifter behandlas gör sig framför allt gällande i den del av den brottsbekämpande verksamheten där det långtifrån alltid framgår av omständigheterna för vilket ändamål uppgifter behand- las. Det bör finnas möjlighet att kunna kontrollera för vilket eller vilka ändamål personuppgifter behandlas oavsett i vilken verksam- het det görs. Det underlättar både för den enskilde och för till- synsmyndigheten om ändamålet är tydligt. Om det ändamål för vilket personuppgifter behandlas inte framgår av sammanhanget eller på annat sätt bör det därför tydliggöras genom en särskild upplysning. En bestämmelse om det bör tas in i ramlagen. Det krav på att ändamålet för behandlingen ska framgå som gäller för några av de behöriga myndigheterna omfattar bara upp- gifter som har gjorts gemensamt tillgängliga. Uppgifter som endast ett fåtal personer har rätt att ta del av anses inte som gemensamt tillgängliga (se t.ex. 3 kap. 1 § polisdatalagen). Om uppgifter be- handlas av en liten, klart avgränsad grupp vet de inblandade perso- nerna som regel varifrån uppgifterna kommer och varför de be- handlas. I de fallen framgår det alltså normalt av sammanhanget för vilket ändamål personuppgifter behandlas. Det vore orimligt att då ställa upp ett krav på att ändamålet ska nedtecknas. Det finns där- för skäl att göra undantag från kravet på särskild upplysning för uppgifter som inte har gjorts gemensamt tillgängliga. Utredningen återkommer till det i slutbetänkandet. Principer för behandling av personuppgifter 9.1.6Behandling för nya ändamål Utredningens förslag: Innan personuppgifter får behandlas för ett nytt ändamål inom ramlagens tillämpningsområde ska det säkerställas att 1.det finns en tillåten rättslig grund för den nya behandlingen, och 2.behandlingen är nödvändig och proportionerlig för det nya ändamålet. Skälen för utredningens förslag Nya ändamål inom ramlagens tillämpningsområde Som framgår av avsnitt 7.1.1 gäller dataskyddsförordningen för all personuppgiftsbehandling som omfattas av unionsrätt men som inte ligger inom ramlagens tillämpningsområde. En behörig myn- dighet måste därför alltid avgöra om ändamålen med behandlingen av personuppgifter omfattas av ramlagens tillämpningsområde, oav- sett om det är första gången en uppgift behandlas eller om den ska behandlas för nya ändamål. I detta avsnitt diskuteras behandling för nya ändamål inom ramlagens tillämpningsområde. Behandling för ändamål utanför ramlagens tillämpningsområde diskuteras i av- snitt 9.6. Nuvarande reglering av behandling för nya ändamål I 9 § första stycket d personuppgiftslagen finns en generell bestäm- melse om vidarebehandling. Där regleras finalitetsprincipen, enligt vilken personuppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in. Be- stämmelsen gäller för alla myndigheter i rättskedjan utom Tullver- ket, antingen genom uttryckliga hänvisningar i registerförfattning- arna eller för att registerförfattningarna gäller utöver personupp- giftslagen och inte innehåller någon avvikande bestämmelse. Enligt förslaget till tullbrottsdatalag ska bestämmelsen bli tillämplig även i brottsbekämpande verksamhet. Principer för behandling av personuppgifter Flera av myndigheternas registerförfattningar innehåller sär- skilda regler om vidarebehandling. I s.k. sekundära ändamålsbe- stämmelser regleras när det är tillåtet att behandla personuppgifter för att tillhandahålla information till andra myndigheter eller andra verksamheter inom myndigheten. En sådan bestämmelse är 2 kap. 6 § åklagardatalagen, som föreskriver att personuppgifter som be- handlas i åklagarväsendets operativa verksamhet även får behandlas när det är nödvändigt för att tillhandahålla information som behövs i brottsbekämpande verksamhet hos , Eko- brottsmyndigheten, , Säkerhetspolisen, Tullver- ket, och eller en utländsk myndig- het, ett EU-organ eller en mellanfolklig organisation. I ett enskilt fall får personuppgifter även behandlas för att tillhandahålla infor- mation för något annat ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in. Syftet med de sekundära ändamålsbestämmelserna är att under- lätta för tillämparen. Han eller hon behöver endast avgöra om det är nödvändigt att lämna information som behövs i en annan brotts- bekämpande myndighets verksamhet men tvingas inte att i de situationer som anges i den sekundära ändamålsbestämmelsen av- göra om utlämnandet är förenligt med det ursprungliga ändamålet med personuppgiftsbehandlingen. Behandling för nya ändamål inom ramlagens tillämpningsområde är förenlig med det ursprungliga ändamålet I artikel 4.1 b regleras finalitetsprincipen, enligt vilken personupp- gifter inte får behandlas på ett sätt som står i strid med de ändamål som uppgifterna samlades in för. framgår det av arti- kel 4.2 att behandling för andra ändamål inom direktivets tillämp- ningsområde än det för vilket personuppgifterna samlades in ska tillåtas, om den personuppgiftsansvarige enligt unionsrätten eller nationell rätt är bemyndigad att behandla personuppgifter för ett sådant ändamål och behandlingen är nödvändig och står i propor- tion till detta andra ändamål i enlighet med unionsrätten eller nationell rätt. Det måste enligt utredningens mening innebära att all behandling för ändamål som ligger inom direktivets tillämp- ningsområde ska anses vara förenlig med insamlingsändamålen, under förutsättning att behandlingen är nödvändig och står i pro- Principer för behandling av personuppgifter portion till det nya ändamålet. Det saknar alltså betydelse om det är den personuppgiftsansvarige som ursprungligen samlat in person- uppgifterna som utför behandlingen för det nya ändamålet eller om det är en annan personuppgiftsansvarig, så länge de båda är behö- riga myndigheter och behandlingen ligger inom direktivets tillämp- ningsområde. Även behandling för att lämna ut personuppgifter till någon som inte är en behörig myndighet kan omfattas av direkti- vet, om ändamålet för den behandlingen ligger inom direktivets tillämpningsområde. Så kan vara fallet exempelvis om Polismyndig- heten vid utredningen av ett bidragsbrott behöver skicka person- uppgifter till för att få information för utredningen av brottet. Om utlämnandet däremot enbart görs för att ska kunna återkräva felaktigt utbetalda lån eller bidrag ligger ändamålet utanför ramlagens till- lämpningsområde. Frågan är om det, trots att ny behandling alltid är tillåten om den utförs av en behörig myndighet för ett ändamål inom ram- lagens tillämpningsområde, ändå finns skäl att reglera finalitetsprin- cipen i ramlagen. Det kan hävdas att en sådan reglering krävs för att genomföra direktivet på ett korrekt sätt, eftersom finalitetsprin- cipen finns uttryckt i direktivet. För att tydliggöra att någon pröv- ning mot det ursprungliga ändamålet för behandling inte behöver göras så länge ramlagen är tillämplig, skulle en reglering av finali- tetsprincipen behöva kompletteras med en bestämmelse som klar- gör att all behandling inom ramlagens tillämpningsområde är för- enlig med ursprungsändamålet. En sådan reglering framstår enligt utredningens mening som meningslös och riskerar dessutom att skapa osäkerhet om finalitetsprincipen ska tillämpas eller inte. Det bör därför inte finnas någon bestämmelse om finalitetsprincipen i ramlagen. När personuppgifter behandlas för nya ändamål brukar man tala om vidarebehandling. Uttrycket vidarebehandling är kopplat till finalitetsprincipen och den prövning som görs mot ursprungsända- målen. Eftersom någon sådan prövning inte ska göras vid behand- ling för nya ändamål inom ramlagens tillämpningsområde bör termen vidarebehandling inte användas för sådan behandling. Principer för behandling av personuppgifter Behandling för nya ändamål förutsätter en annan prövning Som framgår av avsnitt 9.1.2 och 9.1.5 ska det alltid finnas en rätts- lig grund och särskilda, uttryckligt angivna och berättigade ändamål för den personuppgiftsbehandling som utförs. Ändamålen har framför allt betydelse för att kunna kontrollera att de personupp- gifter som behandlas är relevanta och adekvata för behandlingen och att inte för många personuppgifter behandlas (se avsnitt 9.2.2). Det är dock inte tillräckligt att kontrollera om personuppgifterna är adekvata och relevanta enbart när behandlingen påbörjas, utan det måste göras kontinuerligt. Finns det inte längre behov av att behandla personuppgifterna ska behandlingen av dem upphöra (se avsnitt 9.3.2). Om personuppgifter behandlas för nya ändamål kan det leda till ökad spridning av uppgifterna genom att fler får tillgång till dem. Det kan också leda till att uppgifterna behandlas än vad som var avsett från början. Behandling för nya ändamål kan därmed medföra ökat intrång i enskildas personliga integritet. Det är därför viktigt att en noggrann prövning görs innan personupp- gifter behandlas för ett nytt ändamål. Enligt artikel 4.2 får personuppgifter behandlas för ett nytt ändamål om behandlingen är nödvändig och står i proportion till det nya ändamålet. Det innebär att det behöver prövas om behand- lingen är nödvändig och proportionerlig för det nya ändamålet innan behandlingen påbörjas. Det är enligt utredningens mening en annan prövning än den som ska göras fortlöpande vid all person- uppgiftsbehandling. För att tydliggöra att det är en särskild pröv- ning som krävs när personuppgifter ska behandlas för nya ändamål bör det tas in en bestämmelse i ramlagen som anger under vilka förutsättningar behandling för nya ändamål inom lagens tillämp- ningsområde är tillåten. Det ska finnas en tillåten rättslig grund för den nya behandlingen Artikel 4.2 är inte utformad på samma sätt som artikel 8.1, där den tillåtna rättsliga grunden för behandling regleras. Artiklarna inne- håller dock enligt utredningens mening i grunden samma krav. Eftersom det alltid måste finnas en tillåten rättslig grund för be- handling av personuppgifter gäller det naturligtvis även vid behand- Principer för behandling av personuppgifter ling för nya ändamål. En första förutsättning för att behandling för ett nytt ändamål ska vara tillåten bör därför vara att det finns en tillåten rättslig grund för den nya behandlingen. Det krävs alltså att den nya behandlingen är nödvändig för att en behörig myndighet ska kunna utföra en arbetsuppgift i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verk- ställa en straffrättslig påföljd eller upprätthålla allmän ordning och säkerhet. Ett vanligt exempel är att det vid utredningen av ett brott upptäcks att brottet i fråga har betydelse för underrättelseverk- samhet om annan brottslighet, t.ex. att vapen påträffas som skulle kunna ha samband med andra händelser. Ett annat exempel är att ett rutinmässigt dna-prov leder till att det blir träff på ett annat brott med tidigare okänd gärningsman. Arkiverade personuppgifter kan också behöva behandlas om det kommer fram nya omständig- heter som gör att en nedlagd brottsutredning bör tas upp på nytt. För att behandling för ett nytt ändamål ska vara tillåten ska den också vara nödvändig för det nya ändamålet. I bedömningen av om det finns en tillåten rättslig grund för behandling ingår övervägan- den om behandlingen är nödvändig för att en behörig myndighet ska kunna utföra vissa angivna arbetsuppgifter (se avsnitt 9.1.2). Det är inte klart om kravet på nödvändighet i artikel 4.2 innebär något annat än det krav som ingår i bedömningen av om det finns rättslig grund för behandlingen. För en åklagare kan det t.ex. vara nödvändigt att behandla personuppgifter både i en förundersök- ning om ett visst brott och för att ta ställning till om ett nyupp- täckt brott behöver utredas. Det innebär att det finns en rättslig grund för att behandla personuppgifter för att avgöra frågan om förundersökning ska påbörjas om det nya brottet. Behandlingen av personuppgifter är också nödvändig för det ändamålet, eftersom åklagaren bl.a. ska ta ställning till om det nya brottet skulle påverka påföljden och då behöver inhämta information om personens samlade brottsbelastning. Även om resultatet av bedömningarna av om behandlingen är nödvändig i de allra flesta fall blir detsamma går det inte att utesluta att resultaten blir olika. Man kan tänka sig att det vid Principer för behandling av personuppgifter utredningen av ett visst brott upptäcks nya brott men att de är be- gångna utomlands. Det finns då i och för sig rättslig grund för att behandla personuppgifter för att utreda brotten. I och med att brotten är begångna utomlands är det dock inte alltid nödvändigt att göra det. Eftersom direktivet ställer upp ett krav på nödvändig- het både när det gäller rättslig grund och när det gäller behandling för nya ändamål anser utredningen att bestämmelsen om behand- ling för nya ändamål bör innehålla ett nödvändighetsrekvisit. Direktivet ställer även krav på att behandling för ett nytt ändamål ska stå i proportion till det nya ändamålet. Att det ska göras en proportionalitetsbedömning för att behandling för ett nytt ändamål ska vara tillåten är en nyhet. Kravet på proportionalitet innebär enligt utredningens mening att skälen för den nya behandlingen ska väga tyngre än det intrång som behandlingen innebär för den enskilde. Vad som står att vinna med behandlingen ska alltså vägas mot intrånget i enskildas integri- tet. Om det har inträffat ett allvarligt brott behöver Polismyndig- heten t.ex. göra sökningar i olika register där det förekommer upp- gifter om personer som kan ha begått likartade brott tidigare. En sådan sökning innebär naturligtvis att en bredare krets av registre- rade kan drabbas av intrång än om man har en utpekad miss- tänkt. Proportionalitetsbedömningen ska inte göras i förhållande till varje enskild uppgift i registren, utan behovet av sökningen ska vägas mot det samlade intrånget av att sökningen görs. För proportionalitetsbedömningen har det också betydelse vilka personuppgifter det är fråga om och i vilken verksamhet de an- vänds. Att behandla en adressuppgift för nya ändamål är t.ex. gene- rellt sett mer harmlöst än att behandla en uppgift som rör hälsa eller sexualliv. Det kan vara särskilt svårt att bedöma om det är proportioner- ligt att använda information från exempelvis förundersökningar för underrättelseverksamhet eller brottsförebyggande arbete, eftersom sådan verksamhet till sin natur inte är lika konkret. Det är då svå- rare att avgöra vad som står att vinna med behandlingen. kan det vara av avgörande betydelse för möjligheten att avslöja och Principer för behandling av personuppgifter utreda pågående eller framtida brottslighet att uppgifter om vissa personers brottsliga aktivitet eller kontakter får föras över från t.ex. den brottsutredande verksamheten till underrättelseverksamheten. Att bedömningen kan vara svår innebär inte att det finns skäl att avstå från att pröva proportionaliteten utan understryker tvärtom vikten av att det görs en prövning i det enskilda fallet. Tillämparen måste alltså ställa sig frågan vilken betydelse per- sonuppgifterna kan få för den nya behandlingen. Om t.ex. en per- son redan är misstänkt för brott och misstanke uppkommer om att han eller hon begått ytterligare brott som kan ha betydelse för på- följden, utgår lagstiftningen från att brotten ska utredas tillsam- mans och att en gemensam påföljd för brotten ska kunna dömas ut. Den misstänktes intresse av att uppgifterna inte behandlas vid ut- redningen om det senare brottet väger då normalt inte lika tungt som intresset av att brotten utreds och behandlas i domstol samti- digt. En närliggande fråga är om personuppgifter som har samlats in om den som har utsatts för brott bör få användas för att utreda om han eller hon själv har begått brott. Där är svaret kanske inte lika givet. Är det fråga om ett allvarligt brott väger sannolikt intres- set av att utreda det brottet tyngre än den enskildes intresse av uppgifterna inte behandlas, men om det är fråga om ett lindrigare brott kanske avvägningen inte utfaller på samma sätt. Syftet med ett krav på proportionalitet är alltså att det ska göras en bedömning i det enskilda fallet av behovet av den nya behand- lingen ställt i relation till intrånget. Ett sådant krav tillåter inte att vissa typer av nya ändamål generellt sett anses vara av så stort värde att de alltid väger upp integritetsintrånget. En behörig myndighet kan ha behov av att behandla personupp- gifter för nya ändamål både för att använda uppgifterna i den egna verksamheten och för att lämna ut dem till någon annan. Så länge ändamålet med behandlingen ligger inom ramlagens tillämpnings- område saknar det betydelse om uppgifterna lämnas till en behörig eller en icke behörig myndighet, under förutsättning att behand- lingen är nödvändig och proportionerlig för det ändamål som upp- Principer för behandling av personuppgifter giften lämnas ut för. Det aktualiserar frågan om hur de sekundära ändamålsbestämmelserna i registerförfattningarna bör hanteras. Att uppgiftslämnande är tillåtet enligt direktivet hindrar enligt utredningens mening i och för sig inte att man i nationell rätt sätter gränser för i vilken utsträckning personuppgifter får lämnas mellan myndigheter. Sådana begränsningar kan bidra till skyddet av enskil- das integritet och göra det tydligt och förutsebart i vilken utsträck- ning en behörig myndighet får lämna personuppgifter till andra. Frågan är då om det finns skäl att behålla de sekundära ändamåls- bestämmelserna eller om det räcker med den prövning av nödvän- dighet och proportionalitet som föreslås. På samma sätt som det i avsnitt 9.1.5 beträffande primära ändamålsbestämmelser diskuteras vad de innebär, kan det enligt utredningens mening ifrågasättas om de sekundära ändamålsbestämmelserna faktiskt är bestämmelser om ändamål (jfr SOU 2015:39 s. 281 f.). Utredningen återkommer till dessa frågor i slutbetänkandet. Sekundära ändamålsbestämmel- ser behandlas även i avsnitt 9.6. 9.1.7Behandling för vetenskapliga, statistiska och historiska ändamål Utredningens förslag: En behörig myndighet får behandla per- sonuppgifter för vetenskapliga, statistiska eller historiska ända- mål inom ramlagens tillämpningsområde. Skälen för utredningens förslag: Enligt artikel 4.3 kan behandling inbegripa arkivändamål av allmänt intresse och vetenskaplig, statis- tisk eller historisk användning för de ändamål som omfattas av direktivets tillämpningsområde, under förutsättning att det finns lämpliga skyddsåtgärder för de registrerades rättigheter och frihe- ter. Generella frågor om arkivering tas upp i avsnitt 9.3. I detta av- snitt diskuteras enbart behandling för vetenskapliga, statistiska och historiska ändamål inom direktivets tillämpningsområde. Att det i direktivet lyfts fram att behandling kan inbegripa vetenskaplig, statistisk eller historisk användning gör det tydligt att direktivets övriga bestämmelser ska tillämpas även vid behandling för sådana ändamål. Det ska alltså finnas en rättslig grund för be- handlingen (se avsnitt 9.1.2). De personuppgifter som behandlas Principer för behandling av personuppgifter ska vidare vara adekvata och relevanta och de får inte heller vara för omfattande i förhållande till de vetenskapliga, statistiska eller histo- riska ändamålen (se avsnitt 9.2.2). På samma sätt som den person- uppgiftsansvarige vid behandling för andra ändamål inom ram- lagens tillämpningsområde ska se till att personuppgifterna inte behandlas än vad som behövs för de ändamålen (se avsnitt 9.3), får behandling för historiska, statistiska eller veten- skapliga ändamål inte heller pågå längre än vad som behövs för dessa ändamål. En bestämmelse som genomför artikel 4.3 bör tas in i ramlagen. Artikel 4.3 reglerar bara behandling för historiska, statistiska och vetenskapliga ändamål inom direktivets tillämpningsområde. Eftersom endast behöriga myndigheter får behandla personupp- gifter enligt ramlagen är det bara dessa myndigheters behandling av uppgifter för sådana ändamål som kan omfattas av ramlagen. Det gäller dock bara behandling för sådana ändamål som rör brottsbe- kämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet. Det innebär att statistikbehandling som rör t.ex. vapenärenden eller ärenden enligt ordningslagen lig- ger utanför tillämpningsområdet. Andra myndigheters behandling av statistik rörande brottsbekämpning, lagföring och straffverkstäl- lighet, exempelvis Brottsförebyggande rådets sammanställning av rättsstatistik, ligger också utanför ramlagens tillämpningsområde. 9.2Grundläggande krav på behandlingen 9.2.1Ingen generell bestämmelse om grundläggande principer Utredningens förslag: Personuppgifter ska behandlas författ- ningsenligt och på ett korrekt sätt. Utredningens bedömning: Ramlagen bör inte innehålla någon generell bestämmelse om de grundläggande principerna för be- handling av personuppgifter. Principerna bör i stället regleras i sitt sammanhang. Principer för behandling av personuppgifter Skälen för utredningens förslag och bedömning De grundläggande principerna regleras i sitt sammanhang Som framgår av avsnitt 9.1 krävs det en rättslig grund för att per- sonuppgifter överhuvudtaget ska få behandlas. Är behandlingen rättsligt grundad ska särskilda, uttryckligt angivna och berättigade ändamål bestämmas för den. Utifrån de ändamålen får det sedan avgöras vilka personuppgifter som får behandlas och vilka övriga krav som ställs. I artikel 4.1 anges allmänna principer för behandling av person- uppgifter. Artikeln överensstämmer i allt väsentligt med artikel 6 i det nu gällande dataskyddsdirektivet.