sou · H5B374 · 2017-10-04 00:00:00 — Skyldigheten att diarieföra inkomna handlingar regleras i 5 kap. offentlighets- och sekretesslagen (2009:400). I 2 kap. 2 § brotts- datalagen föreskrivs att personuppgifter får behandlas om det är nödvändigt för diarieföring eller om uppgifterna lämnats till en be- hörig myndighet i en anmälan, ansökan eller liknande och behand- lingen är nödvändig för handläggningen. Att behandlingen är rättsligt grundad räcker inte Den omständigheten att viss behandling är rättsligt grundad inne- bär inte att vilka personuppgifter som helst får behandlas eller att det får göras på valfritt sätt. Den personuppgiftsansvarige måste också iaktta de krav som föreskrivs i övriga bestämmelser i brotts- datalagen. Personuppgifter får enbart behandlas för särskilda, ut- tryckligt angivna och berättigade ändamål. Bara de personuppgifter som är adekvata och relevanta för ändamålet med behandlingen får behandlas. För behandling av känsliga personuppgifter gäller sär- skilda krav. Dessutom ska den personuppgiftsansvarige iaktta even- tuella särregler och andra bestämmelser i registerförfattningar som också gäller för personuppgiftsbehandlingen i fråga. 6.1.3Primära och sekundära ändamålsbestämmelser är bestämmelser om rättslig grund Utredningens bedömning: De bestämmelser i polisdatalagen, kustbevakningsdatalagen, åklagardatalagen, tullbrottsdatalagen och skattebrottsdatalagen som kallas primära och sekundära ändamålsbestämmelser är en del av den rättsliga grunden för be- handling av personuppgifter. Tillåtna rättsliga grunder och behandling för nya ändamål Skälen för utredningens bedömning Utredningen anser att det finns fog för Informationshanterings- utredningens uppfattning att vad som i dataskyddsrättslig mening är tillåtna rättsliga grunder för behandling och vad som är renod- lade ändamålsbestämmelser ibland har blandats samman. Det kan leda till att tillämparen förväxlar ändamål med rättslig grund och godtar ett i författning angivet allmänt ändamål som ett särskilt och tillräckligt preciserat ändamål i det enskilda fallet. Ett exempel är uppgiftssamlingen benämnd ”Kringresande” som fördes av Polis- myndigheten i . kritiserade vid sin granskning bl.a. att ändamålet med personupp- giftsbehandlingen var alldeles för vitt. Personuppgifterna hade sam- lats in för specifika ändamål men lagrades och behandlades sedan i uppgiftssamlingen för ändamålet länsövergripande brottslighet. Ändamålet låg visserligen inom ramen för sådan underrättelseverk- samhet som avses i 2 kap. 7 § 1 polisdatalagen. Det uppfyllde dock inte det grundläggande kravet på att behandling bara ska utföras för särskilda, uttryckligt angivna och berättigade ändamål (uttalande , dnr 173-2013). Enligt 2 kap. 3 § brottsdatalagen ska all behandling av person- uppgifter utföras för särskilda, uttryckligt angivna och berättigade ändamål. Det är i förhållande till ändamålen som det ska prövas vilka personuppgifter som är adekvata och relevanta för behand- lingen, att inte för många personuppgifter behandlas och att de inte behandlas än nödvändigt. Ändamålen måste där- med vara tillräckligt specifika för att ge ledning för den bedöm- ningen. Författningsbestämmelser som anger för vilket eller vilka ända- mål personuppgifter får behandlas i en viss verksamhet måste vara generellt utformade, eftersom de ska kunna tåla utvecklingen av ny teknik och vissa förändringar i myndighetens sätt att arbeta. En ändamålsbestämmelse bör dock enligt utredningens mening ge någon ledning för prövningen av vilka personuppgifter som är ade- kvata och relevanta för behandlingen. De primära ändamålsbestämmelserna i registerförfattningarna ger enligt utredningens mening inte någon egentlig ledning för prövningen av vilka personuppgifter som får behandlas. Tillåtna rättsliga grunder och behandling för nya ändamål pelvis 2 kap. 7 § polisdatalagen anges endast att får behandla personuppgifter för att utföra vissa av sina huvudsak- liga arbetsuppgifter, bl.a. utreda och beivra brott. Syftet med be- stämmelsen är att precisera när personuppgifter alls får behandlas i myndighetens brottsbekämpande verksamhet. Den utgör den yttre ramen inom vilken de särskilda, uttryckliga och berättigade ända- målen med behandlingen i enskilda fall ska bestämmas. Utred- ningen anser därför att de bestämmelser i myndigheternas regis- terförfattningar som kallas primära ändamålsbestämmelser inte är ändamålsbestämmelser i egentlig mening. De är däremot på samma sätt som 2 kap. 1 § brottsdatalagen en del av den rättsliga grunden och tydliggör att personuppgiftsbehandling är tillåten när arbetsuppgifterna fullgörs. I avsnitt 6.3.1 diskuteras om innehållet i de primära ändamålsbestämmelserna bör behållas. De sekundära ändamålsbestämmelserna reglerar i vilken utsträck- ning personuppgifter som behandlas för något primärt ändamål även får behandlas för att lämnas till andra för att tillgodose deras behov. De reglerar alltså behandling för nya ändamål. Enligt be- stämmelserna får personuppgifter behandlas framför allt för att ge andra myndigheter information som behövs i viss typ av verksam- het där eller för att lämna information till andra verksamheter inom den egna myndigheten för att de ska kunna utföra en viss arbets- uppgift. På samma sätt som de primära ändamålsbestämmelserna är de sekundära i stor utsträckning allmänt hållna och ger inte någon egentlig ledning för prövningen av vilka personuppgifter som får behandlas. I 2 kap. 8 § polisdatalagen anges i punkten 1 att person- uppgifter får lämnas ut om de behövs i brottsbekämpande verk- samhet hos , , Åklagar- myndigheten, , och . Det motsvarar de primära ändamålsbestämmelserna i de mottagande myndigheternas registerförfattningar. Enligt punkten 2 får person- uppgifter också lämnas ut om uppgifterna behövs i brottsbekäm- pande verksamhet hos utländska myndigheter eller mellanfolkliga organisationer. Personuppgifter får alltså lämnas ut till andra Tillåtna rättsliga grunder och behandling för nya ändamål brottsbekämpande myndigheter för att tillgodose behov i deras motsvarande verksamhet. Punkterna 3, 4, 5 och 7 anger att person- uppgifter som behandlar i den brottsbekäm- pande verksamheten under vissa förutsättningar får behandlas för att lämnas till andra verksamheter inom myndigheten och till andra myndigheter för att tillgodose informationsbehov där. Samtliga nu nämnda punkter, som endast anger att personuppgifter får behand- las om det behövs för någon annans verksamhet, är enligt utred- ningens mening bestämmelser om rättslig grund. Det är endast punkten 6, där det anges att personuppgifter får lämnas till Migra- tionsverket för att verket ska kunna kontrollera fingeravtryck som tagits med stöd av 9 kap. 8 § utlänningslagen (2005:716) mot Polis- myndighetens fingeravtrycks- och signalementsregister, som enligt utredningens mening är så konkret att den är en ändamålsbestäm- melse. Den bestämmelsen behandlas i avsnitt 7.7.2. I avsnitt 6.3.2 och 6.4.2 diskuteras om de övriga punkterna kan och bör behållas. Regleringen i 2 kap. 8 § polisdatalagen har utgjort mönster för övriga brottsbekämpande myndigheters sekundära ändamålsbe- stämmelser. Motsvarande bedömning som har gjorts i fråga om den paragrafen görs beträffande de sekundära ändamålsbestämmelserna i de övriga registerförfattningarna. 6.2Ny utgångspunkt i brottsdatalagen Som framgår av avsnitt 6.1 skiljer regleringen i registerförfattning- arna mellan behandling för den egna brottsbekämpande verksam- hetens behov och behandling för att tillhandahålla information för andras behov. När personuppgifter lämnas ut som ett led i myndig- hetens egen brottsbekämpande verksamhet, inte i syfte att tillgo- dose någon annans behov, anses utlämnandet omfattas av de pri- mära ändamålen. Enligt 2 kap. 3 § brottsdatalagen får som nämnts person- uppgifter behandlas bara för särskilda, uttryckligt angivna och be- rättigade ändamål. Innan personuppgifter behandlas för ett nytt ändamål inom lagens tillämpningsområde ska det enligt 2 kap. 4 § säkerställas dels att det finns en tillåten rättslig grund för den nya behandlingen, dels att behandlingen är både nödvändig och pro- portionerlig för det nya ändamålet. Som utredningen konstaterar i Tillåtna rättsliga grunder och behandling för nya ändamål delbetänkandet saknar det betydelse om det är den personuppgifts- ansvarige som ursprungligen har samlat in personuppgifterna som utför behandlingen för det nya ändamålet eller om det är en annan personuppgiftsansvarig, så länge de båda är behöriga myndigheter och ändamålet med behandlingen ligger inom lagens tillämpnings- område. Även behandling för att lämna ut personuppgifter till någon som inte är en behörig myndighet kan omfattas av lagen, om ändamålet med behandlingen ligger inom tillämpningsområdet (se SOU 2017:29 s. 247 f.). Det saknar således betydelse om behand- lingen för det nya ändamålet utförs för behov i myndighetens egen brottsbekämpande verksamhet eller för att tillgodose en annan myndighets behov av information, så länge ändamålet med behand- lingen ligger inom lagens tillämpningsområde. Det centrala är i stäl- let den prövning som alltid ska göras innan personuppgifter får be- handlas för ett nytt ändamål. Regleringen i 2 kap. 4 § brottsdatalagen gäller dock bara vid be- handling för nya ändamål inom lagens tillämpningsområde. Av 2 kap. 21 § framgår att dataskyddsförordningen ska tillämpas vid behandling för ändamål utanför brottsdatalagens tillämpningsom- råde. I utredningens uppdrag ingår att analysera om det finns ut- rymme för och behov av att inom dataskyddsförordningens till- lämpningsområde införa eller behålla specifik reglering i svensk rätt om behandling av personuppgifter för att tillhandahålla informa- tion (dir. 2016:21 s. 10 f.). I avsnitt 6.3.2 diskuteras behandling för nya ändamål inom brottsdatalagens tillämpningsområde. Behand- ling för ändamål utanför tillämpningsområdet tas upp i avsnitt 6.4. 6.3Behandling för ändamål inom brottsdatalagens tillämpningsområde 6.3.1Tillåtna rättsliga grunder för behandling Utredningens förslag: Det ska finnas bestämmelser i register- författningarna om vad som utgör tillåtna rättsliga grunder för behandling. Tillåtna rättsliga grunder och behandling för nya ändamål Skälen för utredningens förslag Bestämmelser om tillåtna rättsliga grunder för behandling Som konstateras i avsnitt 6.1.3 bör dagens primära ändamålsbe- stämmelser ses som en del av den rättsliga grunden som ger stöd för att behandla personuppgifter för att utföra vissa arbetsuppgif- ter. Frågan är om det alltjämt finns behov av sådana bestämmelser i registerförfattningarna när 2 kap. 1 § brottsdatalagen innehåller en generell bestämmelse om tillåtna rättsliga grunder för behandling av personuppgifter. Ingen av de behöriga myndigheterna har en registerförfatt- ning som gäller för hela brottsdatalagens tillämpningsområde. Även om det finns bestämmelser som avgränsar tillämpningsområdet för de olika registerförfattningarna fyller bestämmelser som tydliggör inom vilka ramar var och en av myndigheterna får behandla per- sonuppgifter en viktig funktion både för tillämpare och för enskil- da. Bestämmelser som sätter ramar för personuppgiftsbehandlingen innebär också att lagstiftaren tvingas överväga behovet av ändrad reglering av personuppgiftsbehandlingen om myndigheten tillförs nya arbetsuppgifter. Det är enligt utredningens mening till fördel från integritetsskyddssynpunkt (jfr SOU 2015:39 s. 281). Innehål- let i de bestämmelser som kallas primära ändamålsbestäm- melser bör därför behållas. Det bör dock tydliggöras att bestämmelserna i fråga är en del av den rättsliga grunden. För att det inte ska uppstå någon tvekan om hur regleringarna förhåller sig till varandra bör bestämmelserna där- för ersätta 2 kap. 1 § brottsdatalagen inom respektive registerför- fattnings tillämpningsområde. I vilken utsträckning bestämmelser- na i registerförfattningarna behöver anpassas till terminologin i brottsdatalagen behandlas i kapitlen om de särskilda registerför- fattningarna. Det kan tillfogas att den närmare innebörden av de tillåtna rätts- liga grunderna i respektive myndighets registerförfattning måste uttolkas tillsammans med regleringen av arbetsuppgifterna. Polis- myndighetens uppgift att utreda brott är generell, medan Tull- verket, och bara har till uppgift att utreda vissa typer av brott. På motsvarande sätt har Polismyndig- heten ett generellt uppdrag att förebygga, förhindra och upptäcka Tillåtna rättsliga grunder och behandling för nya ändamål brottslig verksamhet, medan de andra myndigheterna endast har den uppgiften när det gäller vissa typer av brottslighet. För åklagarväsendets del innefattar lagföra brott både beslut om åtalsunderlåtelse, åtalsbeslut och beslut om strafföreläggande. För , som har vissa åklagarfunktioner, innebär begreppet i huvudsak detsamma men bara såvitt avser sådana brott som myn- digheten får lagföra. Till det kommer att utfärda förelägganden av ordningsbot för sådana brott. För och Kustbe- vakningen är tillämpningsområdet smalare. Där innefattar lagföra brott enbart utfärdande av förelägganden av ordningsbot. Polis- myndighetens rätt att utfärda ordningsbot är generell, men för är rätten begränsad till vissa brottstyper. Även när det gäller straffverkställighet och ordningshållning finns det vissa skillnader i fråga om arbetsuppgifterna som påverkar vilken personuppgiftsbehandling som är tillåten. Behandling i registervårdande syfte behöver inte regleras Både och Datainspektio- nen har påtalat att myndigheter behöver rättsligt stöd för att kunna behandla personuppgifter i registervårdande syfte. Det gäller fram- för allt möjligheterna att använda känsliga personuppgifter som sökbegrepp (se nämndens uttalande , dnr 112- 2015, och inspektionens samrådsyttrande , dnr 1047- 2016). Det är givetvis viktigt att personuppgiftsansvariga kan göra sök- ningar och på annat sätt behandla personuppgifter om det behövs för att kunna se till att bestämmelserna om personuppgiftsbehand- ling efterlevs. Det kan exempelvis krävas för att kontrollera att per- sonuppgifter inte behandlas för länge eller att sökningar med användande av känsliga personuppgifter inte utförs i strid med regelverket. I kontrollarbetet kan sökningar eller annan personupp- giftsbehandling som hade varit förbjuden i den operativa verksam- heten vara nödvändig. Enligt utredningens mening måste sådan registervård anses vara en integrerad del av den personuppgifts- ansvariges skyldigheter enligt brottsdatalagen och registerförfatt- ningarna. Det bör också noteras att det är få personer som arbetar med registervård och att de behandlar personuppgifterna enbart i Tillåtna rättsliga grunder och behandling för nya ändamål syfte att kontrollera att regelverket efterlevs, vilket knappast påver- kar enskildas integritet negativt. Lagrådet har vid granskning av registerlagstiftning uttalat att planering, uppföljning och utvärdering av verksamheten är en inte- grerad del av själva verksamheten och inte någon fristående aktivi- tet som behöver regleras särskilt. Det har därför ansetts att det inte behövs någon särskild ändamålsbestämmelse som ger stöd för be- handling av personuppgifter för bl.a. planering och uppföljning av verksamheten (se t.ex. brottsbekämpning – Effektivare uppgiftsbehandling, prop. 2004/05:164, s. 179 och Åklagardatalag, 2014/15:63, s. 63). Motsvarande bedömning bör enligt utredning- ens mening göras när det gäller registervård. Det behöver således inte regleras särskilt att personuppgiftsbehandling för registervård är tillåten. 6.3.2Behandling för nya ändamål Utredningens bedömning: Enligt brottsdatalagen ska det, in- nan personuppgifter behandlas för nya ändamål, säkerställas att det finns en rättslig grund för behandlingen och att den är nödvändig och proportionerlig för det nya ändamålet. Någon annan begränsning av utlämnande av personuppgifter bör inte införas. Utredningens förslag: De sekundära ändamålsbestämmelserna i polisdatalagen, kustbevakningsdatalagen, åklagardatalagen, tull- brottsdatalagen och skattebrottsdatalagen ska upphävas i de delar de avser behandling för ändamål inom brottsdatalagens tillämpningsområde. Skälen för utredningens bedömning och förslag Nuvarande reglering av behandling för nya ändamål I 9 § första stycket d personuppgiftslagen finns en generell bestäm- melse om vidarebehandling. Där regleras finalitetsprincipen, enligt vilken personuppgifter inte får behandlas för något ändamål som är Tillåtna rättsliga grunder och behandling för nya ändamål oförenligt med det ändamål för vilket uppgifterna samlades in. Be- stämmelsen gäller för alla myndigheter i rättskedjan. De sekundära ändamålsbestämmelserna i de brottsbekämpande myndigheternas registerförfattningar innehåller särskilda regler om vidarebehandling. De reglerar när det är tillåtet att behandla per- sonuppgifter som behandlas för något av de primära ändamålen för att tillhandahålla information till andra myndigheter eller till andra verksamheter inom den egna myndigheten för deras behov. Det handlar alltså alltid om behandling av redan insamlade uppgifter för nya ändamål. De sekundära ändamålen omfattar behandling för ändamål som ligger både inom och utanför brottsdatalagens till- lämpningsområde. I detta avsnitt behandlar utredningen de delar av bestämmelserna som avser ändamål inom brottsdatalagens tillämp- ningsområde. Behandling för ändamål utanför tillämpningsområdet behandlas i avsnitt 6.4.2. Enligt de sekundära ändamålsbestämmelserna får de brottsbe- kämpande myndigheterna för det första lämna ut personuppgifter som redan behandlas, om uppgifterna behövs i brottsbekämpande verksamhet hos övriga brottsbekämpande myndigheter och hos utländsk myndighet eller mellanfolklig organisation. Polismyndig- heten och får dessutom tillhandahålla information till Kriminalvården för att den myndigheten ska kunna förebygga brott och upprätthålla säkerheten i sin verksamhet. får även lämna personuppgifter ur en förundersökning till konkursför- valtare. I kapitel 8 i delbetänkandet behandlar utredningen olika gräns- dragningsfrågor (se SOU 2017:29 s. 181 f.). Där framgår att det på vissa områden inte går att säga att all behandling omfattas av brottsdatalagens tillämpningsområde eller ligger utanför det, utan att syftet med behandlingen i det enskilda fallet blir avgörande för vilket regelverk som ska tillämpas. Det innebär att vissa punkter i en sekundär ändamålsbestämmelse kan omfatta ändamål som ligger både inom och utanför tillämpningsområdet för brottsdatalagen. Det gäller t.ex. rätten att behandla personuppgifter för att fullgöra författningsreglerade uppgiftsskyldigheter. Exempel på sådan upp- giftsskyldighet som ligger inom brottsdatalagens tillämpningsom- råde är omfattande skyldighet att lämna per- sonuppgifter enligt 36 § förordningen (2001:682) om behandling av personuppgifter inom kriminalvården. Även rätten att behandla Tillåtna rättsliga grunder och behandling för nya ändamål personuppgifter för att tillhandahålla information som behövs i en annan myndighets verksamhet, om det åligger den brottsbekäm- pande myndigheten att bistå den andra myndigheten med viss upp- gift, kan avse ändamål både inom och utanför brottsdatalagens till- lämpningsområde. Detsamma gäller information som tillhandahålls inom ramen för myndighetsöverskridande samverkan mot brott och tillhandahållande av information till sådan verksamhet hos myndigheten som avser handräckning. Kan nuvarande reglering av utlämnande behållas? Innan personuppgifter behandlas för ett nytt ändamål inom brotts- datalagens tillämpningsområde ska det enligt 2 kap. 4 § säkerställas dels att det finns en tillåten rättslig grund för behandlingen, dels att behandlingen är nödvändig och proportionerlig för det nya ända- målet. Frågan är om det vid sidan av den regeln kan finnas bestäm- melser som motsvarar de sekundära ändamålsbestämmelserna. Behandling för nya ändamål kan leda till ökad spridning av per- sonuppgifter genom att fler får tillgång till dem. Det kan också leda till att uppgifterna behandlas än vad som var avsett från början. Behandling för nya ändamål kan därmed medföra ökat intrång i enskildas personliga integritet. Som utredningen framhål- ler i delbetänkandet är det därför viktigt att en noggrann prövning görs innan personuppgifter behandlas för ett nytt ändamål (se SOU 2017:29 s. 249). Om den nuvarande utformningen av de sekundära ändamålsbestämmelserna skulle behållas, där utlämnande av personuppgifter i de flesta fall är tillåtet utan någon annan pröv- ning än om det är nödvändigt att tillhandahålla informationen, skulle prövningen enligt 2 kap. 4 § brottsdatalagen sättas ur spel. En sådan prövning krävs enligt artikel 4.2 i direktivet. Det är därför inte förenligt med direktivet att behålla de sekundära ändamålsbe- stämmelserna med den utformning de har . Tillåtna rättsliga grunder och behandling för nya ändamål Bör möjligheterna att lämna ut personuppgifter begränsas på annat sätt? Utredningen konstaterar i delbetänkandet att direktivet inte hind- rar att man i nationell rätt sätter gränser för i vilken utsträckning personuppgifter får lämnas mellan myndigheter. Sådana begräns- ningar kan bidra till att skydda enskildas personliga integritet och göra det tydligt och förutsebart i vilken utsträckning behöriga myndigheter får lämna personuppgifter till andra (se SOU 2017:29 s. 253). I förarbetena till flera av registerförfattningarna framhåller regeringen emellertid att det från brottsbekämpande synpunkt är angeläget att samhällets samlade resurser används på ett så ratio- nellt och effektivt sätt som möjligt. Brottsligheten känner inga geo- grafiska gränser eller myndighetsgränser och det framstår därför som självklart att brottsbekämpande myndigheter ska samverka med varandra. Sådan samverkan förutsätter möjligheter till effek- tivt utbyte av information (se bl.a. prop. 2009/10:85 s. 166 f. och prop. 2016/17:91 s. 96 f.). Ett av syftena med brottsdatalagen är att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varan- dra på ett ändamålsenligt sätt. Den prövning som enligt 2 kap. 4 § brottsdatalagen ska göras innan personuppgifter behandlas för ett nytt ändamål ska alltid göras innan en behörig myndighet får lämna ut information. Enligt utredningens mening är den prövningen tillräcklig för att skydda enskildas integritet. Det finns därför inte skäl att föreslå någon annan begränsning i möjligheten att tillhan- dahålla information för ändamål inom brottsdatalagens tillämp- ningsområde. Det innebär att de sekundära ändamålsbestämmel- serna i polisdatalagen, kustbevakningsdatalagen, åklagardatalagen, tullbrottsdatalagen och skattebrottsdatalagen bör upphävas i de delar de avser behandling för ändamål inom brottsdatalagens till- lämpningsområde. Utredningen återkommer i avsnitt 6.5 till vad som bör gälla vid författningsreglerad uppgiftsskyldighet. Tillåtna rättsliga grunder och behandling för nya ändamål 6.4Behandling för ändamål utanför brottsdatalagens tillämpningsområde Nuvarande reglering av behandling för nya ändamål Som anges i avsnitt 6.3.2 regleras vidarebehandling av personupp- gifter dels i 9 § första stycket d personuppgiftslagen, dels i de sekundära ändamålsbestämmelserna i registerförfattningarna. De sekundära ändamålsbestämmelserna reglerar behandling för ända- mål som både ligger inom och utanför brottsdatalagens tillämp- ningsområde. I detta avsnitt behandlas de delar som reglerar ända- mål utanför tillämpningsområdet. och får behandla personuppgifter för att tillhandahålla information som behövs i annan verksamhet som respektive myndighet ansvarar för, om det finns särskilda skäl för det. Motsvarande bestämmelser finns för och , men de är mer preciserade. Flera av punkterna i de sekundära ändamålsbestämmelserna om- fattar som nämnts ändamål som ligger både inom och utanför brottsdatalagens tillämpningsområde.