sou · H5B329 · 2017-04-05 00:00:00 — Definitionen täcker alla sta- ter som inte är medlemsstater i lagens mening och utgår alltså från hur medlemsstat definieras. Uttrycket behandlas i avsnitt 15.2.3. Definitionen har ingen motsvarighet i direktivet. Tredje man defi- nieras som någon annan än den registrerade, den personuppgifts- ansvarige, dataskyddsombudet, personuppgiftsbiträdet och sådana personer som under den personuppgiftsansvarige eller personupp- giftsbiträdets direkta ansvar har rätt att behandla personuppgifter. Uttrycket behandlas i avsnitt 11.3.3. Uppgift som rör hälsa Definitionen motsvarar direktivets definition i artikel 3.14. Ut- trycket behandlas i avsnitt 6.2. Med uppgift som rör hälsa avses en personuppgift som rör en persons fysiska eller psykiska hälsa, in- kluderande information om tillhandahållande av hälso- och sjuk- vårdstjänster som ger upplysning om personens hälsostatus. Av 2 kap. 11 § framgår att uppgifter som rör hälsa är känsliga person- uppgifter som bara får behandlas under vissa förutsättningar. 2 kap. Behandling av personuppgifter Behandling för ändamål inom denna lags tillämpningsområde Tillåtna rättsliga grunder för behandling av personuppgifter Paragrafen reglerar, tillsammans med 2 §, de tillåtna rättsliga grun- derna för behandling av personuppgifter enligt lagen. Paragrafen genomför artikel 8.1 och delar av artikel 8.2. Den behandlas i av- snitt 9.1.2. En behörig myndighet får behandla personuppgifter om det är nödvändigt för att den ska kunna utföra en arbetsuppgift i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätt- hålla allmän ordning och säkerhet. Bestämmelsen bildar den yttre ramen för när behandling av personuppgifter är tillåten enligt lagen. Personuppgifter får behandlas bara om det är nödvändigt för att fullgöra en sådan arbetsuppgift. Behandling av personuppgifter och behörig myndighet definieras i 1 kap. 6 §. Vad som avses med före- bygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet och behörig myndighet redovisas i kommentaren till 1 kap. 2 §. Personuppgiftsbehandling måste alltid ha stöd i den behöriga myndighetens arbetsuppgifter så som de kommer till uttryck i unionsrätten eller i svensk lagstiftning och andra för verksamheten bindande beslut om arbetsuppgifter som regeringen meddelat. Paragrafen reglerar, tillsammans med 1 §, de tillåtna rättsliga grun- derna för behandling av personuppgifter enligt lagen. I paragrafen regleras två särskilt angivna fall där det är tillåtet att behandla per- sonuppgifter oberoende av om förutsättningarna för behandling enligt 1 § är för handen. Tillämpningsområdet för paragrafen är be- gränsat, eftersom det enbart är personuppgifter som lämnats till en behörig myndighet som får behandlas. Frågan behandlas i av- snitt 9.1.3. Enligt punkten 1 får personuppgifter alltid behandlas om be- handlingen är nödvändig för diarieföring. Normalt finns det en rättslig grund enligt 1 § för de behöriga myndigheternas diarie- föring, t.ex. att det är fråga om en handling som hänför sig till en förundersökning, ett mål eller ett ärende. Den nu aktuella punkten täcker behovet av att kunna diarieföra handlingar i andra fall. Det kan även röra sig om muntliga uppgifter som nedtecknas i en tjänsteanteckning eller liknande. Vilka uppgifter som måste noteras i samband med diarieföring av en handling framgår av 5 kap. 2 § offentlighets- och sekretesslagen (2009:400). Vid diarieföring av in- komna handlingar får det således alltid anges vem en handling har kommit från och i korthet vad handlingen rör. Någon annan be- handling än sådan som är nödvändig för diarieföringen får emeller- tid inte utföras med stöd av denna punkt. Den fortsatta behand- lingen ska således – utom i fall där andra punkten i denna paragraf blir tillämplig – alltid ha stöd i 1 §. Personuppgifter får enligt punkten 2 alltid behandlas om de har lämnats till den behöriga myndigheten i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens hand- läggning. Uttrycket ”anmälan, ansökan eller liknande” innefattar alla slag av framställningar till en behörig myndighet. Det gäller både skriftliga framställningar och uppgifter som lämnas muntligen men nedtecknas av någon hos den behöriga myndigheten. omfattas framställningar av detta slag av bestämmelsen om rättslig grund i 1 § och ska då behandlas med stöd av den bestämmelsen, men i vissa fall kan innehållet i handlingen vara sådant att nödvän- dighetsrekvisitet i den paragrafen inte är uppfyllt. Eftersom det vanligtvis krävs något slag av handläggning hos den behöriga myn- digheten för att hantera en framställan, har det ansetts nödvändigt med en särskild bestämmelse för personuppgiftsbehandling i dessa fall (jfr t.ex. prop. 2009/10:85 s. 324). Behandlingen måste vara nödvändig för handläggningen. Det kan i ett enskilt fall innebära att personuppgifter i ett e-postmeddelande inte får behandlas på annat sätt än att uppgifterna tas emot och därefter arki- veras eller gallras. I ett annat fall kan bestämmelsen innebära att personuppgifterna också får behandlas i samband med att fram- besvaras. Ändamål för behandling av personuppgifter I paragrafen föreskrivs att personuppgifter får behandlas bara för särskilda, uttryckligt angivna och berättigade ändamål och att det ska framgå för vilket ändamål uppgifterna behandlas. Paragrafen genomför delar av artiklarna 4.1 b och 8.2 och behandlas i av- snitt 9.1.5. Av första stycket framgår att ändamålen för behandling av per- sonuppgifter ska vara särskilda, uttryckligt angivna och berättigade. Ändamålen måste bestämmas redan när uppgiften behandlas första gången, eftersom det är i förhållande till dem som det ska prövas om personuppgifterna som behandlas är adekvata och relevanta och hur många personuppgifter som behöver behandlas (8 §). Ändamålet får inte blandas ihop med den rättsliga grunden för behandling. Ändamålet ska vara mer konkret. Att ändamålet ska vara särskilt innebär att det måste vara tillräckligt preciserat för att det ska kunna avgöras om de personuppgifter som behandlas är adekvata och relevanta för behandlingen eller om för många per- sonuppgifter behandlas. Ändamålet får alltså inte vara så vagt eller vittomfattande att någon sådan prövning i praktiken inte blir möj- lig. Ändamålet kan t.ex. vara förundersökningen om ett visst brott, åtalet för vissa gärningar eller handläggningen av en begäran om domstolsprövning av ett kontaktförbud eller tillträdesförbud. Det kan också vara fråga om verkställigheten av ett straff eller hand- läggningen av ett ingripande på grund av en ordningsstörning. Att ändamålet ska vara berättigat innebär en koppling till de rättsliga grunderna. Personuppgifter får inte behandlas för ett ända- mål som inte är berättigat i förhållande till den tillämpliga rättsliga Personuppgifter som avser en förundersökning får t.ex. inte längre behandlas för det ändamålet när brottet har preskribe- rats. Uppgifter om verkställigheten av en påföljd får inte behandlas om påföljden har bortfallit. Däremot kan det vara berättigat för åklagare och domstolar att fortsätta att behandla personuppgifter efter en dom till dess att det står klart att den fått laga kraft. Om det ändamål för vilket personuppgifterna behandlas inte framgår av sammanhanget eller på annat sätt ska det enligt andra stycket tydliggöras genom en särskild upplysning. Behandlas upp- gifterna i en förundersökning eller i ett mål eller ärende framgår ändamålet av sammanhanget. Det gäller också om uppgifterna finns i ett särskilt reglerat register. I paragrafen regleras förutsättningarna för att personuppgifter ska få behandlas för ett nytt ändamål inom lagens tillämpningsområde. Paragrafen genomför artikel 4.2 och behandlas i avsnitt 9.1.6. Personuppgifter får enligt paragrafen inte behandlas innan det har säkerställts att det finns en rättslig grund för den nya behand- lingen och att kraven i övrigt är uppfyllda. Det nya ändamålet ska alltså bestämmas innan behandlingen för det ändamålet påbörjas. Av punkten 1 framgår att det alltid ska finnas en rättslig grund för att behandla personuppgifterna för det nya ändamålet. I 1 § anges vilka rättsliga grunder som är tillåtna. Om personuppgifter behandlas för att utreda ett brott finns det rättslig grund för att behandla dem t.ex. om det upptäcks att samma person har begått ett annat brott. Av punkten 2 framgår att behandlingen ska vara nödvändig och proportionerlig för det nya ändamålet. Behandlingen kan vara nöd- vändig exempelvis om det i en förundersökning finns uppgifter som avslöjar planer på fritagning av en häktad och uppgiften därför behöver lämnas till Kriminalvården. Att behandlingen ska vara pro- portionerlig i förhållande till det nya ändamålet innebär att skälen för behandlingen ska väga tyngre än det intrång som behandlingen innebär för enskilda. Det har också betydelse vilka personuppgifter det är fråga om och i vilken verksamhet de ska användas. Bara om alla de förutsättningar som räknas upp i paragrafen är uppfyllda får personuppgifter behandlas för ett nytt ändamål. Någon prövning av om behandlingen för det nya ändamålet är för- enlig med det ändamål för vilket uppgifterna ursprungligen be- handlades behöver däremot inte göras. Det saknar också betydelse om det är samma eller en annan personuppgiftsansvarig som ska behandla uppgifterna för ett nytt ändamål, så länge det nya ända- målet omfattas av lagens tillämpningsområde. I paragrafen föreskrivs att en behörig myndighet får behandla per- sonuppgifter för vetenskapliga, statistiska eller historiska ändamål inom lagens tillämpningsområde. Den genomför delar av artikel 4.3 och behandlas i avsnitt 9.1.7. Vid behandling för vetenskapliga, statistiska eller historiska ändamål ska lagens övriga bestämmelser tillämpas på samma sätt som vid annan behandling enligt lagen. De uppgifter som behandlas ska vara adekvata och relevanta och inte för omfattande i förhål- lande till det vetenskapliga, statistiska eller historiska ändamålet. På samma sätt som man vid behandling för andra ändamål inom lagens tillämpningsområde måste se till att uppgifterna inte behandlas än vad som behövs för de ändamålen, får uppgifter som behandlas för statistiska, vetenskapliga eller historiska ändamål inte behandlas än vad som behövs för dessa ända- mål. Paragrafen reglerar bara behöriga myndigheters behandling för statistiska, vetenskapliga eller historiska ändamål och gäller inte för exempelvis Brottsförebyggande rådets statistikverksamhet. Grundläggande krav på behandlingen av personuppgifter Laglig och korrekt behandling I paragrafen föreskrivs att personuppgifter alltid ska behandlas för- fattningsenligt och på ett korrekt sätt. Paragrafen genomför arti- kel 4.1 a och behandlas i avsnitt 9.2.1. När det är tillåtet att behandla personuppgifter och vilka krav som ställs på behandlingen framgår inte bara av denna lag och före- skrifter som har meddelats med stöd av den, utan också av de behö- riga myndigheternas registerförfattningar och andra författningar som reglerar särskilda register eller särskilda samarbeten inom lagens tillämpningsområde. Även regler om personuppgifts- behandling i andra författningar kan vara tillämpliga, t.ex. 26 och 27 §§ lagen (1988:688) om kontaktförbud. Regler av nu aktuellt slag har betydelse både för om behandlingen är författningsenlig och vad som är ett korrekt sätt att behandla personuppgifter. I det ligger bl.a. kravet på att det ska göras en kontinuerlig bedömning av att personuppgiftsbehandlingen uppfyller alla formella krav. Vilka personuppgifter som får behandlas, och som därmed gör behandlingen författningsenlig, styrs av andra regler. Det kan fram- gå av t.ex. , häkteslagen eller lagar om straffpro- cessuella tvångsmedel vilka personuppgifter som ska behandlas och därigenom indirekt när behandlingen är författningsenlig. Kraven på dokumentation i protokoll över polisiära ingripanden eller straffprocessuella tvångsmedel, förundersökningsprotokoll, beslut och domar är exempel på det. Vad som är ett korrekt sätt för behandling styrs emellertid inte bara av författningsregler och den praxis som utbildas kring dem. allmänna råd och uttalanden i fråga om per- sonuppgiftsbehandling har också betydelse, liksom myndigheternas interna regler. Otillåten behandling av personuppgifter kan i vissa fall vara straffbar enligt bestämmelser i , bl.a. regeln om data- intrång i 4 kap. 9 c §. Det kan då röra sig om externa angrepp eller om att någon som har tillgång till ett it-system överskrider sina befogenheter. Paragrafen reglerar hur personuppgifter som behandlas ska vara be- skaffade. Den genomför delar av artikel 4.1 d och behandlas i av- snitt 9.2.2. I första stycket föreskrivs att de personuppgifter som behandlas ska vara korrekta och, om det är nödvändigt, uppdaterade. En personuppgift är korrekt om den stämmer överens med de verkliga förhållandena. För att bestämma vilka de verkliga förhål- landena är får man söka ledning i ändamålen med behandlingen. Det är ändamålen i det enskilda fallet som avses, exempelvis utred- ningen av en misshandel eller rättpsykiatrisk undersökning av en viss person. Inom lagens tillämpningsområde måste frågan om en personuppgift är korrekt inte bara vägas mot ändamålen med be- handlingen utan även ses mot bakgrund av vad uppgiften rör, när den lämnas och vem som lämnar den. För att kunna avgöra om personuppgifterna är korrekta är det också av stor betydelse att veta om de grundar sig på fakta eller på personliga bedömningar. Kravet på att personuppgifter ska vara korrekta innebär inte något hinder mot att samla in exempelvis osäkra underrättelseuppgifter, under förutsättning att personuppgifterna är relevanta för arbetet (se 8 §) och att det framgår att det är osäkert om uppgiften är riktig (se exempelvis 3 kap. 4 § andra stycket polisdatalagen [2010:361]). Att personuppgifter som grundar sig på fakta i så stor utsträckning som möjligt ska skiljas från uppgifter som grundar sig på personliga bedömningar framgår av 10 §. Det krav som kan ställas när det gäl- ler personuppgifter som behandlas vid utsagor (t.ex. förhör med misstänkta) måste inskränkas till att utsagorna återges på ett kor- rekt sätt, dvs. så som de har lämnats och att dokumentationen av dem följer gällande regler. De personuppgifter som behandlas behöver bara vara uppdate- rade om det är nödvändigt. Frågan om det är nödvändigt att de är uppdaterade får avgöras med hänsyn till ändamålen med behand- lingen. Exempelvis kan uppgifter om telefonnummer eller andra kontaktuppgifter ändras under handläggningen av ett ärende och därmed behöva uppdateras. När ärendet har avslutats eller arkive- rats är det dock inte nödvändigt att uppdatera kontaktuppgifter. I andra stycket föreskrivs att uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för män- niskovärdet. Motsvarande bestämmelser finns i exempelvis 2 kap. 10 § tredje stycket polisdatalagen och 2 kap. 8 § tredje stycket åkla- gardatalagen (2015:433). Syftet med bestämmelsen är att förhindra att personers utseende beskrivs i ordalag som kan vara kränkande för individen. Exempel på signalementsbeteckningar som anses acceptabla finns bl.a. i föreskrifter och allmänna råd om fingeravtryck och annan signalementsupptagning (RPSFS 2005:12, FAP 473–1). Utformningen av bestämmelsen innebär att en behörig myndig- het alltid är oförhindrad att, när den får ett tips från allmänheten om en person som kan misstänkas för brott, göra de anteckningar som är nödvändiga för att underlätta identifieringen av personen, t.ex. anteckningar om fysiska kännetecken. Anteckningarna måste dock utformas på ett objektivt sätt. I anslutning till dessa anteck- ningar får även sådana känsliga personuppgifter som avses i 11 § första stycket antecknas, om det är absolut nödvändigt för det arbete som tipset bör föranleda. Paragrafen reglerar omfattningen av behandlingen av personupp- gifter. Den genomför artikel 4.1 c och behandlas i avsnitt 9.2.2. Av paragrafen framgår att de personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med be- handlingen och att fler personuppgifter inte får behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Det är ändamålen i det enskilda fallet som avses, exempelvis ut- redningen av en stöld eller ett ärende om förordnande av offentlig försvarare. Att personuppgifterna ska vara adekvata och relevanta innebär att ovidkommande uppgifter inte får behandlas. En pröv- ning av om en personuppgift är nödvändig för behandlingen ska göras kontinuerligt av den behöriga myndigheten, inte bara när uppgiften registreras eller på annat sätt samlas in. Även vid en senare behandling ska personuppgiften behövas för just den be- handlingen, annars är kravet på adekvans och relevans inte uppfyllt. Förutom att uppgifterna ska vara adekvata och relevanta får de inte heller vara fler än nödvändigt. Det understryker kravet på att en fortlöpande bedömning görs. Vid all behandling måste det alltså prövas om det går att ute- lämna personuppgifter, eller i vart fall att endast använda uppgifter som indirekt går att hänföra till en viss person. Om fullständig avidentifiering är ett fullgott alternativ till att använda direkta eller indirekta personuppgifter är förutsättningarna för att behandla personuppgifterna inte uppfyllda. Åtskillnad mellan olika slag av personuppgifter I paragrafen ställs krav på att personuppgifter som rör olika kate- gorier av registrerade så långt det är möjligt ska särskiljas. Paragra- fen genomför artikel 6. Den behandlas i avsnitt 9.2.3. I paragrafen anges personer som är misstänkta för brott, dömda för brott, brottsoffer och andra som berörs av ett brott som exem- pel på kategorier av registrerade. Andra som berörs av ett brott kan vara t.ex. vittnen eller vårdnadshavare för målsägande, misstänkta eller vittnen. Det är särskilt viktigt att det framgår om någon är misstänkt för brott eller inte. Det gäller oavsett misstankegrad. Om det framgår av sammanhanget eller på annat sätt vilken kategori en person tillhör behöver någon särskild upplysning inte lämnas. Om en person har hörts under en förundersökning eller under en brottmålsrättegång och det av sammanhanget framgår att han eller hon har hörts som t.ex. målsägande, tilltalad eller vittne, behöver uppgifterna inte förses med någon tilläggsupplysning. Kravet på att olika kategorier av uppgifter ska särskiljas innebär att det krävs rutiner hos behöriga myndigheter för att följa upp om en tidigare brottsmisstanke avskrivs i sin helhet, exempelvis i sam- band med att en förundersökning läggs ned eller om rätten medde- lar en frikännande dom. Varje enskild uppgift måste inte förses med en särskild upplys- ning, vilket inte heller torde vara praktiskt möjligt. Vid behandling av uppgifter i bild- eller ljudupptagningar eller i löpande text fram- går det som regel av sammanhanget till vilka personkategorier olika personer hör. kan dock en sådan upptagning eller text be- höva förses med en upplysning som förtydligar det. Kravet på att olika uppgifter ska särskiljas gäller så långt det är möjligt. Om en misstänkt fotograferas i stadsmiljö förekommer ofta andra personer på samma fotografi. De kan vara helt okända och då kan det naturligtvis inte krävas att de kategoriseras på något sätt. Det är tillräckligt att det i stället anges vem som är den miss- tänkte. I paragrafen ställs krav på att personuppgifter som som grundar sig på fakta så långt det är möjligt ska skiljas från personuppgifter som grundar sig på personliga bedömningar. Paragrafen genomför arti- kel 7.1. Den behandlas i avsnitt 9.2.3. Om det framgår av sammanhanget eller på annat sätt om upp- giften grundar sig på fakta eller personliga bedömningar behöver någon särskild upplysning inte lämnas. Det som uttalas vid ett för- hör eller vittnesmål kan grunda sig på bedömningar eller vara fak- tabaserat. Det kan då utläsas av sammanhanget om det är fråga om fakta eller bedömningar. Detsamma gäller innehållet i intyg och andra liknande handlingar. Kravet gäller också uppgifter som finns i promemorior och analyser. Tas uppgifterna ur sitt sammanhang måste de förses med en särskild upplysning. Kravet på att personuppgifter som grundar sig på fakta ska skil- jas från personuppgifter som grundar sig på personliga bedöm- ningar gäller så långt det är möjligt. Det kan t.ex. vara omöjligt att värdera vad som är fakta respektive bedömningar i en anmälan om brott som har skickats med post till . Det räcker då att det framgår från vem personuppgifterna kommer. Det är särskilt viktigt att det kan utläsas om den som lämnar en uppgift själv har fått den av någon annan person och i så fall under vilka omständigheter. Paragrafen reglerar tillsammans med 12–14 §§ i vilken utsträckning känsliga personuppgifter får behandlas. Att uppgifterna betecknas som känsliga personuppgifter framgår av 13 §. Paragrafen genom- för delar av artikel 10 och behandlas i avsnitt 9.2.4. Enligt första stycket får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexu- ell läggning inte behandlas. Det innebär att det inte är tillåtet att föra register över eller på annat sätt göra anteckningar om enskilda på den grunden att de utifrån etniskt ursprung, politiska åsikter eller något annat i paragrafen angivet förhållande kan hänföras till en viss kategori av människor. En uppgift om utseende är normalt inte en känslig personupp- gift och den får alltså behandlas, med den begränsning som följer av 7 § andra stycket. Om en sådan uppgift innebär uppgift om etniskt ursprung omfattas den dock av förbudet. Bestämmelsen hindrar inte att uppgifter om en persons nationalitet behandlas, eftersom en sådan uppgift normalt inte ger upplysning om etniskt ursprung (se prop. 2009/10:85 s. 325). Uppgifter om att en viss person kommer från en viss världsdel eller ett visst land faller också som regel utanför förbudet mot behandling av känsliga personupp- gifter. Skulle en sådan personuppgift i det enskilda fallet t.ex. av- slöja etniskt ursprung är dock förbudet tillämpligt. Avbildningar av personer, t.ex. fotografier, kan avslöja många detaljer. Man kan t.ex. se hudfärg eller om personen bär klädsel eller andra kännetecken som är typiska för utövare av en viss reli- gion. Även fysiska handikapp kan avslöjas av bilder och det kan framgå att en person kan vara sjuk eller skadad. Bilder på männi- skor i mera normala sammanhang torde inte avslöja känsliga per- sonuppgifter, medan bilder på människor som utövar religiösa, politiska eller sexuella aktiviteter som regel utgör känsliga person- uppgifter (jfr m.fl. s. 288). I andra stycket görs det undantag från huvudregeln att känsliga personuppgifter inte får behandlas. Uppgifter om en person som behandlas på annan grund får kompletteras med känsliga person- uppgifter, om det är absolut nödvändigt för ändamålet med be- handlingen. Det innebär att om andra uppgifter om en person sam- las in i samband med t.ex. en förundersökning får de kompletteras med uppgifter om religiös övertygelse eller etniskt ursprung om det är av stor betydelse för utredningen, exempelvis för att utreda hets mot folkgrupp. Under utredning av sexualbrott kan det ibland vara befogat att anteckna uppgifter om den misstänktes sexualliv. Med hänsyn till den restriktivitet som ligger i uttrycket ”absolut nödvändigt” måste dock behovet av att göra sådana komplette- ringar prövas noga i det enskilda fallet. Känsliga personuppgifter kan också förekomma i behöriga myn- digheters verksamhet på grund av att någon under ett förhör har lämnat en sådan uppgift eller i en inlaga nämnt uppgiften. Det kan vara fråga om helt grundlösa påståenden.