sou · H5B374 · 2017-10-04 00:00:00 — Utredningens förslag: De bestämmelser som reglerar gall- ring ska formuleras om så att de i stället anger den längsta tid som personuppgifterna får behandlas. Det ska alltjämt finnas bestämmelser om föreskriftsrätt avse- ende behandling av personuppgifter för vetenskapliga, statisti- ska eller historiska ändamål. Skälen för utredningens förslag Gallringsbestämmelserna ska finnas kvar men formuleras om I delbetänkandet konstaterar utredningen att behandling av person- uppgifter för arkivändamål omfattas av dataskyddsförordningens tillämpningsområde (se SOU 2017:29 s. 287). Det kan mot den bakgrunden ifrågasättas om bestämmelser om gallring bör finnas i registerförfattningar som reglerar personuppgiftsbehandling inom brottsdatalagens tillämpningsområde. Som konstaterats är gallringsbestämmelserna i registerförfattningarna emellertid inte gallringsbestämmelser i arkivrättslig mening, utan dataskyddsbe- stämmelser. Syftet är att skydda enskildas personliga integritet genom att det föreskrivs när den automatiserade behandlingen av personuppgifter ska upphöra. Om informationen överförs från elektronisk form till pappersform och därefter inte finns kvar elek- troniskt, anses detta skydd ha tillgodosetts (se t.ex. Tullbrottsdata- lag, prop. 2016/17:91, s. 171). Bestämmelserna reglerar således inte i vilken utsträckning det är tillåtet att behandla personuppgifterna för arkivändamål, utan styr endast i vilken form det får göras genom att ange att automatiserad behandling för arkivändamål inte är tillåten. De hindrar således inte arkivering på papper. Om det inte längre skulle finns några bestämmelser i register- författningarna som föreskriver när den automatiserade behand- lingen av personuppgifter ska upphöra, skulle arkivlagens huvud- regel om bevarande behöva tillämpas på om uppgifterna finns i allmänna handlingar. En del av dagens integritetsskydd går då för- lorat. Bestämmelser som reglerar hur länge personuppgifter får be- handlas automatiserat och vara digitalt tillgängliga är därför enligt utredningens mening nödvändiga för att tillgodose skyddet för enskildas personliga integritet. Sådana bestämmelser bör därför även fortsättningsvis finnas i registerförfattningarna. Bestämmelserna om gallring bör emellertid formuleras om så att det framgår att de är dataskyddsbestämmelser. De bör utgå från hur länge personuppgifterna får behandlas automatiserat. Det gäller 7 § första stycket lagen om behandling av personuppgifter inom kriminalvården och de gallringsbestämmelser som finns i tillhöran- de förordning, 2 kap. 13 §, 3 kap. 14 §, 4 kap. 7, 14, 15, 20 och 22 §§ polisdatalagen, 3 kap. 5 § och 4 kap. 13 § kustbevakningsdatalagen, 2 kap. 10 § tredje stycket åklagardatalagen, 4 kap. 3, 9 och 10 §§ tullbrottsdatalagen och 4 kap. 3 och 8 §§ skattebrottsdatalagen. Någon ändring av hur länge personuppgifterna får behandlas bör som huvudregel inte göras (se dock avsnitt 7.6 och 8.6). Arkivlagstiftningen ska inte ha företräde Enligt 2 kap. 17 § första stycket brottsdatalagen får personuppgif- ter inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Det hindrar enligt andra stycket inte att en myndighet arkiverar och bevarar allmänna hand- lingar eller att arkivmaterial lämnas till en arkivmyndighet. Av registerförfattningarna följer att arkivlagstiftningen inte har före- träde när gallringsbestämmelser är tillämpliga (se t.ex. 2 kap. 2 § andra stycket polisdatalagen). Syftet med regleringen är som nämnts att förtydliga att personuppgifter i dessa fall inte får be- handlas automatiserat för arkivändamål, det vill säga att uppgifterna inte får arkiveras digitalt. Uppgifterna får dock behandlas för arkiv- ändamål om de överförs till pappersform. För att tydliggöra att ingen förändring i det avseendet är avsedd, trots den ändrade termi- SOU 2017:74 Generella ändringar nologin, bör det i registerförfattningarna göras undantag från 2 kap. 17 § andra stycket brottsdatalagen i ovan nämnda paragrafer. Föreskriftsrätten ska finnas kvar I flertalet av registerförfattningarna upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela före- skrifter om att personuppgifter får bevaras för historiska, statisti- ska eller vetenskapliga ändamål. Sådana bestämmelser finns bl.a. i 2 kap. 13 § tredje stycket polisdatalagen, 3 kap. 5 § tredje stycket och 4 kap. 14 § andra stycket kustbevakningsdatalagen, 2 kap. 11 § 2 åklagardatalagen, 4 kap. 2 § 2 tullbrottsdatalagen och 4 kap. 2 § 2 skattebrottsdatalagen. Det finns även behov av att kunna meddela före- skrifter om att personuppgifter som behandlas med stöd av regis- terförfattningarna får fortsätta att behandlas automatiserat för så- dana ändamål när den längsta tillåtna tiden för behandling som anges i registerförfattningen löper ut. Sådana föreskrifter ger möj- lighet att tillgodose dels rätten att ta del av allmänna handlingar, dels rättskipningens, förvaltningens och forskningens behov. Be- stämmelserna bör dock formuleras om så att föreskriftsrätten avser hur länge personuppgifterna får behandlas. Utredningen återkom- mer till att de även bör formuleras om för att motsvara dataskydds- förordningens och dataskyddsdirektivets terminologi. Enligt 7 § andra stycket lagen om behandling av personuppgifter inom kriminalvården får, trots vad som föreskrivs om gallring i första stycket, personuppgifter bevaras för historiska, statistiska eller vetenskapliga ändamål. Kriminalvården har även i fortsätt- ningen behov av att kunna behandla personuppgifter för statistik- och forskningsändamål. I likhet med vad som föreslås beträffande övriga registerförfattningar bör det därför upplysas om att rege- ringen eller den myndighet som regeringen bestämmer kan med- dela föreskrifter om att personuppgifter får behandlas för histo- riska, statistiska eller vetenskapliga ändamål. Föreskriftsrätten bör ersätta den nuvarande regleringen. Det kan även här ifrågasättas om bestämmelser om föreskrifts- rätt som möjliggör fortsatt behandling av personuppgifter för his- toriska, statistiska eller vetenskapliga ändamål bör finnas i register- författningar som endast reglerar personuppgiftsbehandling inom brottsdatalagens tillämpningsområde. Eftersom föreskriftsrätten gäller personuppgifter som behandlas för ändamål som omfattas av registerförfattningens tillämpningsområde och inte för arkivända- mål kan föreskriftsrätten inte överföras till arkivlagstiftningen. Det finns inte heller någon annan naturlig plats för sådana bestämmel- ser. Utredningen anser därför att föreskriftsrätten även fortsätt- ningsvis bör regleras i registerförfattningarna. Behandling för historiska, statistiska och vetenskapliga ändamål Som nämnts kan enligt bestämmelser i polisdatalagen, kustbe- vakningsdatalagen, åklagardatalagen, tullbrottsdatalagen och skatte- brottsdatalagen regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. I 9 § tredje stycket personuppgiftslagen används samma uttryck. I dataskyddsförordningen används i stället uttrycken arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsända- mål eller statistiska ändamål. Historiska ändamål delas alltså upp i arkivändamål av allmänt intresse och historiska forskningsändamål. Avsikten med uppdelningen är att förtydliga vad som avses med historiska ändamål. Även i direktivet görs i artikel 4.3 skillnad mel- lan behandling för arkivändamål av allmänt intresse och vetenskap- lig, statistisk och historisk användning för ändamål som omfattas av direktivets tillämpningsområde. Som nämnts finns det även behov av att kunna meddela föreskrifter om att personuppgifter som behandlas med stöd av en viss registerförfattning får fortsätta att behandlas för vetenskapliga, statistiska och historiska ändamål när den längsta tiden för behandling enligt registerförfattningen löper ut. För att terminologin ska motsvara dataskyddsförordningens och data- skyddsdirektivets bör det framgå att föreskriftsrätten även omfat- tar behandling för arkivändamål av allmänt intresse. 5.5.3Bestämmelser om längsta tid för behandling för ändamål inom tillämpningsområdet Utredningens förslag: Bestämmelser som reglerar hur länge personuppgifter får behandlas i den brottsbekämpande verksamheten ska formuleras om så att det framgår att de bara begränsar behandling för ändamål inom registerförfattningens tillämpningsområde. Bestämmelser om föreskriftsrätt avseende digital arkivering ska finnas kvar i registerförfattningarna, men det ska förtydligas att de endast omfattar behandling av personuppgifter för ända- mål inom tillämpningsområdet. Skälen för utredningens förslag Endast begränsning av behandlingen för ändamål inom registerförfattningens tillämpningsområde I 3 kap. 10 och 11 §§ polisdatalagen, 4 kap. 9 och 10 §§ kustbevak- ningsdatalagen, 4 kap. 6 och 7 §§ tullbrottsdatalagen och 4 kap. 5 och 6 §§ skattebrottsdatalagen anges hur länge vissa personupp- gifter får behandlas automatiserat i den brottsbekämpande verk- samheten. Enligt 2 kap. 10 § andra stycket åklagardatalagen gäller motsvarande vid behandling för ändamål i den operativa verksam- heten. Bestämmelserna hindrar inte att uppgifterna fortsätter att behandlas automatiserat för andra ändamål än vad som anges i dem, vilket innebär att personuppgifterna bl.a. får be- handlas automatiserat för arkivändamål. Bestämmelserna begränsar alltså enbart möjligheten till fortsatt behandling i den verksamhet som regleras i respektive registerförfattning. För att tydliggöra det bör det framgå att bestämmelserna enbart reglerar hur länge per- sonuppgifter får behandlas för ändamål inom respektive register- författnings tillämpningsområde. Den ändrade terminologin bör även medföra att 2 kap. 18 § brottsdatalagen ändras så att det tydliggörs att skyldigheten enligt den paragrafen att ompröva behovet av att behandla personuppgif- ter gäller om det inte finns en föreskrift i lag eller annan författning som anger när en viss kategori av personuppgifter inte längre får behandlas för ändamål inom brottsdatalagens tillämpningsområde. Konsekvenserna av att uppgifter har arkiverats Att uppgifter har arkiverats, oavsett om det görs digitalt eller i pappersform, innebär naturligtvis inte att det är förbjudet att på nytt behandla personuppgifterna för något av de ändamål som anges i en registerförfattning. Det förutsätter dock att det finns en tillåten rättslig grund för att göra det och att regleringen i övrigt tillåter den nya behandlingen. Ett typiskt exempel kan vara att det kommer fram uppgifter som gör att en nedlagd förundersökning som har arkiverats bör återupptas eller att fråga om resning eller annat extraordinärt rättsmedel aktualiseras beträffande en dom eller ett beslut som har fått laga kraft. Ny behandling av de arkiverade uppgifterna kan då påbörjas för det ändamålet. I de brottsbekämpande myndigheternas registerförordningar föreskrivs det att personuppgifterna ska avskiljas från myndighe- tens brottsbekämpande eller operativa verksamhet vid digital arki- vering. Syftet är att uppgifterna inte ska vara digitalt åtkomliga i den verksamheten. Det ska alltså inte vara möjligt för vem som helst att enkelt söka fram de digitalt arkiverade personuppgifterna. Normalt bör det bara vara arkivarier som förfogar över uppgifterna och kan göra sökningar i dem. Med hänsyn till att arkivlagen inte hindrar eller ställer upp några begränsningar för fortsatt automatiserad behandling av arkiverade uppgifter finns det även i fortsättningen behov av att kunna med- dela föreskrifter till skydd för den personliga integriteten vid digital arkivering. Det kan ifrågasättas om föreskrifter avseende arkiverade upp- gifter, som behandlas med stöd av dataskyddsförordningen, bör finnas i en registerförfattning som endast reglerar personuppgifts- behandling inom brottsdatalagens tillämpningsområde. Syftet med föreskrifterna är att reglera hur digitalt arkiverade uppgifter får be- handlas för ändamål inom respektive lags tillämpningsområde och att därigenom skydda enskildas integritet, t.ex. genom att ange vem som ska få ha tillgång till uppgifterna eller vilka sökningar som ska få göras. Mot den bakgrunden hör regleringen enligt utredningens mening hemma i personuppgiftslagstiftningen och inte i arkivlag- stiftningen. 5.5.4Omständigheter som påverkar längsta tid för behandling i underrättelseverksamhet Utredningens förslag: Endast uppgifter om en persons anknyt- ning till brottslig verksamhet ska påverka längsta tid för behand- ling av personuppgifter i underrättelseverksamhet. Skälen för utredningens förslag: föreskrivs det i vissa be- stämmelser att den tid som personuppgifter får behandlas i under- rättelseverksamhet kan förlängas om en ny registrering avseende personen i fråga görs. Sådana bestämmelser finns bl.a. i 3 kap. 14 §, 4 kap. 20 § och 6 kap. 12 § polisdatalagen, 4 kap. 13 § kustbevak- ningsdatalagen och 4 kap. 9 § tullbrottsdatalagen. Det framgår emellertid inte av bestämmelserna vad den registrering som kan föranleda att personuppgifter får fortsätta att behandlas ska avse. Det kan knappast ha varit lagstiftarens avsikt att tiden för hur länge personuppgifter får behandlas ska kunna påverkas av vilka uppgif- ter som helst. Normalt saknar t.ex. ny folkbokföringsadress, nytt registreringsnummer på fordon som personen disponerar eller någon annan sådan uppgift betydelse för frågan om personen ut- övar eller kan komma att utöva brottslig verksamhet. Enligt utred- ningens mening bör det tydliggöras att endast sådana omständig- heter som har betydelse för personens anknytning till brottslig verksamhet bör påverka hur länge personuppgifterna får behandlas. En sådan omständighet kan vara att personen har begått brott, men det bör då vara fråga om ett brott som har någon anknytning till den brottsliga verksamheten. Att en person t.ex. gör sig skyldig till skadegörelse eller misshandel av en anhörig kan sällan ha betydelse för om personen kan antas vara inblandad i narkotikabrottslighet. har väckt ytterligare en fråga om hur bestämmelserna bör tolkas (nämndens uttalande , dnr 223-2016). Det gäller frågan om huruvida en ny registrering avseende en person förlänger tiden för behandling enbart avseende den personen, eller om den registreringen även på- verkar tiden för behandling avseende personer som har anknytning till samma brottsliga verksamhet. Utredningen har inte haft utrym- me att behandla den frågan. 5.6Särskilt om elektroniskt utlämnande 5.6.1Olika former av elektroniskt utlämnande Det finns inte någon legaldefinition av uttrycket direktåtkomst. Det som vanligtvis avses med direktåtkomst är att någon har direkt tillgång till någon annans register eller databas och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen. Enligt Informationshanteringsutred- ningen bör direktåtkomst anses föreligga om en myndighet hos en annan myndighet har sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § andra stycket tryckfrihetsförordningen, dvs. om upptagningen är tillgänglig för myndigheten med tekniskt hjälp- medel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas (se Myn- dighetsdatalag, SOU 2015:39, s. 390 f.). Högsta förvaltningsdom- stolen använde i rättsfallet HFD 2015 ref. 61 samma definition av direktåtkomst. I begreppet direktåtkomst ligger också att den som är personuppgiftsansvarig för registret eller databasen saknar kon- troll över vilka uppgifter som den som har direktåtkomst vid ett visst tillfälle tar del av. Från integritetssynpunkt har det därför an- setts viktigt att frågor om tillgång till uppgifter genom direktåt- komst regleras särskilt i registerlagstiftningarna (se Ökat informa- tionsutbyte mellan arbetslöshetsförsäkringen, socialförsäkringen och studiestödet, prop. 2000/01:129, s. 74, Lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten, prop. 2001/02:144, s. 35 f. och Elektronisk informationsöverföring hos arbetslöshetskassorna och inom , prop. 2005/06:52, s. 8). Vid direktåtkomst fattas beslutet om överföring i varje enskilt fall av mottagaren. Den faktiska begränsningen av direktåtkomsten görs med hjälp av olika tekniska lösningar, beroende på hur om- fattningen av direktåtkomsten har begränsats i det enskilda fallet. Det kan göras exempelvis genom olika behörighetsnivåer. Direkt- åtkomst anses således föreligga inte bara när tillgång ges utan be- gränsning, utan även vid mer eller mindre förfinade avgränsningar av åtkomst till enstaka eller ett flertal uppgifter (se E-delegationens rapport och utlämnande på medium för automatise- rad behandling, s. 8). Den personuppgiftsansvarige ska se till att åtkomsten rent faktiskt begränsas på det sätt som föreskrivs. Utlämnande på medium för automatiserad behandling I princip anses allt elektroniskt utlämnande som inte görs genom direktåtkomst göras genom utlämnande på medium för automatise- rad behandling. Sådant utlämnande kan göras på många olika sätt. Det kan vara fråga om att personuppgifter lämnas t.ex. via e-post eller dvd-skiva eller genom direkt överföring från ett datasystem till ett annat via elektroniska kommunikationsnät. Begreppet ut- lämnande på medium för automatiserad behandling har dock i takt med att tekniken utvecklats ibland getts en vidare innebörd. Det används numera för överlämnande av elektroniskt lagrade uppgifter via alla slags medium för lagring och överföring (se Överskotts- information vid direktåtkomst, SOU 2012:90, s. 198). I förarbets- uttalanden har som exempel på sådant utlämnande bl.a. nämnts s.k. batchkörningar. Med det avses visst automatiskt utlämnande efter sökningar och sammanställningar där svar lämnas med viss tidsför- dröjning (se prop. 2000/01:129 s. 76 och Utökat elektroniskt infor- mationsutbyte, prop. 2007/08:160, s. 60). 5.6.2Behovet av att kommunicera elektroniskt Myndigheter som sysslar med brottsbekämpning, lagföring och straffverkställighet har stora behov av att kommunicera med såväl andra myndigheter som enskilda. Det kan röra sig om att begära eller utbyta information, att begära eller lämna yttranden, att ge insyn i en förundersökning, att delge handlingar under förunder- sökningsförfarandet eller brottmålsprocessen eller att expediera strafförelägganden och andra beslut. Tyngdpunkten ligger på kom- munikation mellan behöriga myndigheter, men det rör sig också om kommunikation med andra. När det gäller andra myndigheter kan det exempelvis vara fråga om kontakter med Transportsty- relsen (trafikutredningar, expediering av strafförelägganden och be- slut), Arbetsförmedlingen (brottsutredningar, personutredning och straffverkställighet) eller (brottsutred- ningar, personutredning, straffverkställighet). När det gäller kom- munikation med enskilda kan som exempel nämnas att Polismyn- digheten i sin brottsbekämpande verksamhet har stort behov av att kunna kommunicera med bl.a. banker och försäkringsbolag och att ofta har kontakt med finansiella aktörer. Det finns också skäl att framhålla att behovet av kommunika- tion utanför ordinarie kontorstid är betydande, eftersom brotts- bekämpande verksamhet pågår även . Det kan då vara nödvändigt att t.ex. kunna förse offentliga försvarare med hand- lingar elektroniskt. sköttes kommunikationsbehovet i huvudsak på papper, bl.a. därför att regelverket i förutsatte sådan hantering. Framför allt det har dock inne- burit att kommunikationen i allt större utsträckning kan skötas i elektronisk form. Elektroniskt utlämnande ger effektivitetsvinster , som hade i uppdrag att gene- rellt se över frågor om elektroniskt utlämnande, framhåller att frå- gan om hur den bästa effektiviteten kan uppnås inte synes handla så mycket om vilken elektronisk utlämnandeform som bör väljas utan mer om myndigheternas möjlighet att över- huvudtaget åstadkomma det informationsutbyte som regeringen eller de själva vill ska förekomma. Problemen med att uppnå öns- kad effektivisering förefaller enligt den utredningen till viss del handla om legala förutsättningar för ett visst informationsutbyte (se SOU 2015:39 s. 148). Både i och inom EU uppmuntras myndigheter att i så stor utsträckning som möjligt dra nytta av de effektivitetsvinster som modern teknik kan ge. Det pågår ett utvecklings- arbete under ledning av , det s.k. RIF-arbetet, som syftar till att myndigheterna i rättskedjan i ökande utsträck- ning ska kunna dra nytta av personuppgifter som har lagrats elek- troniskt av de myndigheter som ligger tidigare i kedjan. Genom registerförfattningarna har myndigheterna i rättskedjan lagstöd för att kunna utbyta personuppgifter elektroniskt med varandra och att medge övriga myndigheter tillgång till vissa uppgifter genom direktåtkomst. Av effektivitetsskäl kan de emellertid behöva lämna ut personuppgifter i elektronisk form även till andra. Den möjlig- heten begränsas genom reglerna om utlämnande på medium för automatiserad behandling. Risker med elektroniskt utlämnande När det gäller elektroniskt utlämnande brukar utlämnande genom direktåtkomst förknippas med särskilda risker. Ett skäl till det är att de upptagningar som direktåtkomsten avser blir allmänna hand- lingar hos den mottagande myndigheten (se SOU 2012:90 s. 64 f. och 123 f. och SOU 2015:39 s. 134 f.). Sammanställningar av upp- gifter som i samband med direktåtkomst görs tekniskt tillgängliga för den mottagande myndigheten anses enligt 2 kap. 3 § andra stycket tryckfrihetsförordningen förvarade hos den mottagande myndigheten och utgör således allmänna handlingar där. Ju fler myndigheter som har direktåtkomst till uppgifter i ett datasystem, desto större blir allmänhetens möjlighet att få tillgång till uppgif- terna (se Utlänningsdatalag, SOU 2003:40, s. 201 och Personupp- giftsbehandling på utlännings- och medborgarskapsområdet, SOU 2015:73, s. 304). Ett annat skäl till att direktåtkomst anses innebära särskilda risker är att den typiskt sett innebär att uppgifter blir tillgängliga för fler personer och att den utlämnande myndighetens möjligheter att kontrollera användningen av uppgifterna minskar (se Utlänningsdatalag, prop. 2015/16:65, s. 89 f.). Det förhållandet att en myndighet får tillgång till uppgifter genom direktåtkomst ger dock inte mottagaren rätt att behandla personuppgifterna. Mottagaren måste ha rättsligt stöd i sin egen registerlagstiftning för personuppgiftsbehandlingen och även i övrigt uppfylla alla skyldigheter som är förenade med den. Inte bara direktåtkomst utan även utlämnande av personupp- gifter på medium för automatiserad behandling anses medföra ris- ker från integritetssynpunkt. Sådant utlämnande innebär nämligen som regel att mottagaren kan bearbeta informationen, t.ex. genom att samköra den mot elektroniska uppgifter som har hämtats från andra informationskällor. Det ökar risken för att uppgifterna be- handlas i strid med de grundläggande kraven på dataskydd. För att minska de risker som ökat elektroniskt utlämnande an- ses medföra har det bl.a. införts en ny sekretessbestämmelse. Enligt 21 kap. 7 § offentlighets- och sekretesslagen gäller sekretess för personuppgift, om det kan antas att utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. Syftet med bestämmelsen är att det ska vara möjligt att hindra s.k. massuttag, om det finns skäl att anta att uppgifterna skulle missbrukas. Utredningens bedömning: Möjligheterna att tillhandahålla per- sonuppgifter genom direktåtkomst behöver inte ändras. Skälen för utredningens bedömning Av 2 kap. 21 § polisdatalagen framgår att utlämnande genom direktåtkomst bara är tillåtet i den utsträckning som följer av lagen. Sådana bestämmelser finns bl.a. i 4 kap., där vissa register särregle- ras. I 3 kap. 8 § polisdatalagen anges vilka myndigheter som får medges direktåtkomst till andra personuppgifter än de som be- handlas i särskilda register.