sou · H5B357 · 2017-06-22 00:00:00 — Lagen innehåller generella regler för all behandling av person- uppgifter och behandlar även sådan verksamhet som faller utanför unionsrätten. Enligt 2 § gäller särreglering i lag eller förordning fram- för bestämmelserna i personuppgiftslagen. Sådan särreglering finns framför allt i olika registerförfattningar. Enligt 5 § ska lagen tillämpas på all helt eller delvis automatise- rad behandling av personuppgifter. Dessutom är den tillämplig på behandling av personuppgifter som ingår, eller är avsedda att ingå, i en strukturerad samling av personuppgifter vilka är till- gängliga för sökning eller sammanställning enligt särskilda kriterier. Behandling av uppgifter om juridiska personer, som definitions- mässigt inte utgör personuppgifter, omfattas inte av personuppgifts- lagen. Sådan behandling som en fysisk person utför i verksamhet av rent privat natur undantas också enligt 6 §. Grundläggande krav på behandlingen Vissa grundläggande krav för all behandling av personuppgifter slås fast i 9 § PUL. Där anges att personuppgifter alltid ska behandlas lagligt, på ett korrekt sätt och i enlighet med god sed. Personupp- gifter ska samlas in och behandlas bara för särskilda, uttryckligt an- givna ändamål. får uppgifterna inte behandlas för något annat ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in (den s.k. finalitetsprincipen). De personupp- gifter som behandlas ska vidare vara riktiga och relevanta i förhål- lande till ändamålen med behandlingen och får inte vara fler än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Om det är nödvändigt ska uppgifterna vara aktuella. För det fall per- sonuppgifterna inte uppfyller dessa krav, ska alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna uppgifterna. Personuppgifter får inte bevaras än nödvändigt med hänsyn till ändamålen med behandlingen. Därefter ska de avidenti- fieras eller förstöras. Eftersom personuppgiftslagen är subsidiär till annan lagstiftning får uppgifter inte avidentifieras eller förstöras om det strider mot annan lagstiftning, t.ex. tryckfrihetsförordningens bestämmelser om allmänna handlingar eller arkivlagstiftningen. Tillåten och otillåten behandling I 10–12 §§ PUL finns en uttömmande uppräkning av de fall där behandling av personuppgifter är tillåten. Den registrerades samtycke är alltid en legitim rättslig grund för behandling. Återkallar personen sitt samtycke får ytterligare uppgifter om honom eller henne inte behandlas. I vissa fall får personuppgifter behandlas även om den registre- rade inte har gett sitt samtycke. En förutsättning i dessa fall är att behandlingen är nödvändig för ändamålen. Personuppgifter får behandlas i samband med ett avtal med den registrerade, när det behövs för att fullgöra avtalet eller när det be- hövs för att på den registrerades begäran vidta åtgärder innan av- talet träffas. Som exempel på behandling som kan vara nödvändig för att fullgöra ett avtal kan nämnas fakturering och förande av kundregister. Vidare får behandling utföras om den är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig Dessutom får personuppgifter behandlas för att skydda vitala intressen för den registrerade. Likaså får personuppgifter be- handlas om det är nödvändigt för att den personuppgiftsansvarige, eller en tredje man till vilken personuppgifter lämnas ut, ska kunna utföra en arbetsuppgift i samband med myndighetsutövning. Slut- ligen får personuppgifter behandlas om en avvägning ger vid handen att den personuppgiftsansvariges berättigade intresse av behandling väger tyngre än den registrerades intresse av skydd. Behandling av känsliga personuppgifter I 13 § PUL förbjuds behandling av känsliga personuppgifter. Med detta avses uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Från förbudet mot behandling av känsliga uppgifter gäller ett flertal undantag som närmare regleras i 15–19 §§ PUL. Regeringen, eller den myndighet regeringen bestämmer, får en- ligt 20 § föreskriva ytterligare undantag från förbudet i 13 §, om det behövs med hänsyn till ett viktigt allmänt intresse. Information till den registrerade Personuppgiftslagen innehåller ett flertal bestämmelser som syftar till att genom information trygga den enskildes rätt att kontrollera om behandling av personuppgifter om honom eller henne pågår. Om uppgifter om en person samlas in från personen själv, ska den per- sonuppgiftsansvarige enligt 23 § självmant lämna den registrerade information om behandlingen av uppgifterna. Har uppgifterna samlats in från en annan källa, ska den personuppgiftsansvarige enligt 24 § självmant informera den registrerade när uppgifterna noteras, eller om avsikten med behandlingen är att lämna ut dem till tredje man, när uppgifterna lämnas ut första gången. Informationen behöver dock inte lämnas om det finns bestämmelser om registrerandet eller ut- lämnandet av personuppgifterna i lag eller annan författning. Infor- mation behöver heller inte lämnas om det skulle vara omöjligt eller kräva en oproportionerligt stor arbetsinsats. Informationen ska enligt 25 § omfatta uppgift om vem som är personuppgiftsansvarig, ändamålen med behandlingen och all övrig information som den registrerade behöver för att kunna ta till vara sina rättigheter i samband med behandlingen. Information behöver inte lämnas om sådant som den registrerade redan känner till. Enligt 26 § är den personuppgiftsansvarige vidare skyldig att på ansökan, en gång , gratis informera om uppgifter om sökan- den behandlas eller inte, ändamålen med behandlingen, vilka upp- gifter som behandlas, varifrån dessa kommer och till vem de lämnas ut. Någon information behöver dock inte lämnas om personupp- gifter som endast behandlas i löpande text som ännu inte fått sin slutliga utformning eller utgör minnesanteckning, utom i de fall där uppgifterna har lämnats till tredje man eller – i fråga om behandling i löpande text – har behandlats . Informationsskyldigheten gäller enligt 27 § inte om uppgifterna omfattas av sekretess eller tystnadsplikt. Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen, ska enligt 28 § på begäran av den registrerade rättas, blockeras eller utplånas av den personuppgiftsansvarige. Om felaktiga personuppgifter har lämnats till tredje man, ska denne i vissa fall informeras om korri- geringen. I 30 och 31 §§ PUL finns allmänna bestämmelser om säkerheten vid behandling av personuppgifter. Bestämmelserna avser att trygga både den tekniska säkerheten och att de personer som behandlar upp- gifterna har tillräckliga instruktioner för att behandla uppgifterna på ett korrekt sätt. Den personuppgiftsansvarige ansvarar för säker- heten. Överföring av personuppgifter till tredjeland Enligt 33 § PUL är det förbjudet att till tredjeland föra över per- sonuppgifter under behandling om landet i fråga inte har en adekvat nivå för skydd av personuppgifter. Förbudet gäller också överföring av personuppgifter för behandling i tredjeland. Frågan om skydds- nivån är adekvat ska bedömas med hänsyn till samtliga omständig- heter som har samband med överföringen. Särskild vikt ska läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behand- lingen ska pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredjelandet. I 34 § anges vissa undantag från förbudet i 33 §. Ett viktigt undantag är att det är tillåtet att föra över personuppgifter för an- vändning enbart i en stat som har anslutit sig till dataskyddskon- ventionen. I 35 § PUL finns vissa bemyndiganden som ger möjlig- het att besluta om ytterligare undantag i förbudet i 33 §. I bilagor till personuppgiftsförordningen anges vilka stater som enligt särskilda beslut av kommissionen anses ha en adekvat skyddsnivå för behand- lingen av personuppgifter vid överföring till vissa i besluten speci- ficerade mottagare. I 13 a § PUF finns en specialbestämmelse som reglerar transpor- törers överföring av flygpassageraruppgifter till tredjeland. Enligt bestämmelsen får en transportör som luftvägen transporterar passa- gerare till eller från ett tredjeland, till det landet föra över person- uppgifter som finns i transportörens passagerarförteckning, om det sker enligt villkor som framgår av en överenskommelse mellan tredje- landet och EU avseende behandling och överföring av uppgifter rörande flygpassagerare. I en bilaga till förordningen anges att sådana överenskommelser gäller mellan och respektive . Datainspektionen är enligt 2 § PUF tillsynsmyndighet enligt person- uppgiftslagen. Inspektionen är som regel också tillsynsmyndighet för sådan behandling av personuppgifter som regleras i särskilda re- gisterförfattningar. Datainspektionen har till uppgift att bl.a. verka för att människor skyddas mot att den personliga integriteten kränks genom behandling av personuppgifter. Inspektionen informerar bl.a. om gällande regler, utövar tillsyn över att reglerna efterlevs och ger råd och hjälp åt personuppgiftsombud. I 43–47 §§ PUL finns när- mare bestämmelser om tillsynsmyndighetens befogenheter, t.ex. om rätt att meddela vite och möjligheten att förbjuda viss behandling. I 48 § PUL regleras den registrerades rätt till skadestånd för den kränkning som en behandling av personuppgifter i strid med lagen har orsakat. Lagen innehåller också en straffbestämmelse. Enligt 49 § kan den som uppsåtligen eller av grov oaktsamhet överträder vissa bestämmelser i lagen dömas för brott mot personuppgiftslagen. Polisdatalagen (2010:361) är tillämplig vid behandling av personupp- gifter i brottsbekämpande verksamhet vid och Säkerhetspolisen. Lagen gäller även för den polisiära verksamheten vid . Kompletterande bestämmelser finns i polisdataförordningen (2010:1155). Syftet med lagen är att ge polisen möjlighet att behandla person- uppgifter på ett ändamålsenligt sätt i sin brottsbekämpande verk- samhet och att skydda enskilda mot att deras personliga integritet kränks vid sådan behandling. Lagen är tillämplig endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter. Enligt 1 kap. 6 § tillämpas lagen även i viss utsträckning på behandling av uppgifter om juridiska personer. Lagen är generellt utformad. Det finns dock även andra författ- ningar som reglerar personuppgiftsbehandling i polisens brottsbekäm- pande verksamhet, framför allt lagstiftning som reglerar behandling i särskilda register. I 1 kap. 3 § undantas från lagens tillämpnings- område behandling av personuppgifter enligt bl.a. lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregister, lagen (2000:344) om Schengens informationssystem och lagen (2006:444) om passagerarregister. Polisdatalagen gäller enligt 2 kap. 1 § i stället för personuppgifts- lagen. I 2 kap. 2 § hänvisas dock till ett betydande antal bestäm- melser i personuppgiftslagen som gäller vid behandling av person- uppgifter i polisens brottsbekämpande verksamhet. Det gäller bl.a. personuppgiftslagens definitioner, vissa grundläggande bestämmelser om behandlingen av personuppgifter, information till den registrerade, tillsyn och sanktioner. Ändamål för behandling och utlämnande av uppgifter I 2 kap. PDL anges för vilka ändamål personuppgifter får behandlas i polisens brottsbekämpande verksamhet. Enligt 2 kap. 7 § får per- sonuppgifter behandlas om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott, eller fullgöra förpliktelser som följer av internationella åtaganden. Bestäm- melsen innehåller de primära ändamål för vilka personuppgifter en- ligt lagen får behandlas. I 2 kap. 8 § anges de sekundära ändamålen för vilka personupp- gifter får behandlas enligt lagen. De ändamålen aktualiseras när per- sonuppgifter som behandlas i polisens brottsbekämpande verksam- het lämnas ut till andra myndigheter eller organisationer för deras behov. Enligt bestämmelsen får personuppgifter behandlas genom sådant utlämnande när det är nödvändigt för att tillhandahålla infor- mation som behövs i brottsbekämpande verksamhet hos Säkerhets- polisen, , , , och eller hos utländsk myndighet eller mellanfolklig organisation. Personuppgifter får också behandlas för att lämnas ut för vissa andra i paragrafen specificerade ändamål eller för något annat ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in (finalitetsprincipen). Enligt 2 kap. 9 § får personuppgifter också behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till eller i en anmälan eller lik- nande och behandlingen är nödvändig för handläggningen. I 2 kap. 15 § finns sekretessbrytande bestämmelser som anger i vilken utsträckning personuppgifter får lämnas ut till bl.a. och Europol, utländsk underrättelse- eller säkerhetstjänst och annan utländsk myndighet eller mellanfolklig organisation. Sekretessbry- tande bestämmelser som gäller i förhållande till vissa andra myndig- heter finns i 2 kap. 16–18 §§. Behandling av känsliga personuppgifter För behandling av känsliga personuppgifter finns särskilda begräns- ningar i 2 kap. 10 § PDL. Enligt bestämmelsen får uppgifter om en person inte behandlas enbart på grund av vad som är känt om per- sonens ras eller etniska ursprung, politiska åsikter, religiösa eller filo- sofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Om uppgifter om en person behandlas på annan grund får de kompletteras med sådana uppgifter om det är absolut nödvändigt för syftet med behandlingen. Register som regleras särskilt i polisdatalagen Några register regleras särskilt i 4 kap. PDL. Dessa är register över dna-profiler, dvs. dna-registret, utredningsregistret och spårregistret, fingeravtrycks- och signalementsregister, penningtvättsregister och det internationella registret. För dessa register finns särskilda be- stämmelser om ändamål, gallring och direktåtkomst. Behandling av personuppgifter i Säkerhetspolisens brottsbekämpande verksamhet I 6 kap. PDL finns bestämmelser om behandling av personuppgifter i Säkerhetspolisens brottsbekämpande verksamhet. Bestämmelser- na reglerar framför allt ändamålen för Säkerhetspolisens personupp- giftsbehandling, som delvis avviker från regleringen för Polismyn- digheten. Det finns även särskilda bestämmelser om bevarande och gallring. När det gäller utlämnande av personuppgifter och uppgifts- skyldighet gäller i huvudsak samma bestämmelser som för Polis- myndigheten. En ny lag för personuppgiftsbehandling Lagen (2005:787) om behandling av uppgifter i brotts- bekämpande verksamhet gäller för person- uppgiftsbehandling i denna verksamhet. Lagen kommer att ersättas av en ny lag, tullbrottsdatalagen (prop. 2016/17:91) . Mot den bakgrunden redovisas här enbart förslaget till tullbrotts- datalag. Tullbrottsdatalagen har utformats i nära anslutning till andra data- skyddslagar på det brottsbekämpande området, t.ex. polisdatalagen. Lagen ska reglera all behandling av personuppgifter i brottsbekämpande verksamhet. Enligt 1 kap. 2 § ska lagen endast gälla om behandlingen är helt eller delvis automatiserad eller om person- uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter. Lagen ska enligt 1 kap. 4 § i viss utsträckning även tillämpas på behandling av uppgifter om juridiska personer. Tullbrottsdatalagen ska gälla i stället för personuppgiftslagen, men hänvisningar görs i 2 kap. 2 § till vissa bestämmelser i personuppgifts- lagen som ändå ska tillämpas. Det gäller bl.a. personuppgiftslagens definitioner, vissa grundläggande bestämmelser om behandlingen av personuppgifter, information till den registrerade, tillsyn och skade- stånd. Ändamål för behandling och utlämnande av uppgifter De ändamål för vilka personuppgifter ska få behandlas i brottsbekämpande verksamhet är uppdelade i primära och sekundära ändamål. Personuppgifter ska enligt 2 kap. 5 § TBL få behandlas om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, för att utreda eller beivra brott eller för att fullgöra för- pliktelser som följer av internationella åtaganden. Personuppgifter som behandlas enligt den paragrafen ska också få behandlas när det är nödvändigt för att tillhandahålla information som behövs i brotts- bekämpande verksamhet hos , , , , och eller en utländsk myndighet eller mellanfolklig organi- sation. Personuppgiftsbehandling genom utlämnande ska också en- ligt 2 kap. 6 § vara tillåten om den är nödvändig för att tillhanda- hålla information som behövs i verksamhet hos för att förebygga brott och upprätthålla säkerheten och i annan verk- samhet som ansvarar för, om det finns särskilda skäl för att tillhandahålla informationen. Likaså får personuppgifter i ett enskilt fall behandlas för något annat ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgift- erna samlades in (finalitetsprincipen). Särskilda regler föreslås gälla för behandling av vissa personuppgifter från transportföretag, se avsnitt 5.2.2. Personuppgifter ska enligt 2 kap. 7 § också få behandlas om det är nödvändigt för diarieföring, eller om uppgifterna har lämnats till i en anmälan eller liknande och behandlingen är nödvän- dig för handläggningen. I 2 kap. 12 § finns en sekretessbrytande bestämmelse som anger i vilken utsträckning personuppgifter får lämnas ut till bl.a. och Europol, utländsk polismyndighet eller åklagarmyndighet och tullmyndighet eller kustbevakning inom Europeiska ekonomiska sam- arbetsområdet (EES). En sekretessbrytande bestämmelse som gäller i förhållande till vissa myndigheter finns i 2 kap. 13 §. Behandling av känsliga personuppgifter Känsliga personuppgifter, dvs. uppgifter som avslöjar en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening eller som rör hälsa eller sexualliv, ska enligt 2 kap. 10 § TBL inte få behandlas enbart på grund av vad som är känt om en persons sådana förhållanden. Om uppgifter om en person behandlas på annan grund ska de dock få kompletteras med känsliga personuppgifter när det är absolut nöd- vändigt för syftet med behandlingen. 6.4.3Lagen om internationellt polisiärt samarbete Lagen (2000:343) om internationellt polisiärt samarbete tillämpas på polisiärt samarbete mellan och andra medlemsstater i EU och mellan och , , och i den utsträckning som följer av internationella överenskommelser. Enligt 1 a § gäller polisdatalagen för polisens behandling av person- uppgifter vid sådant internationellt polisiärt samarbete som regleras i lagen, om den inte innehåller särskilda regler. Lagen innehåller bestämmelser om informationsutbyte enligt Prümrådsbeslutet1, CBE-direktivet2 och VIS-rådsbeslutet3. Lagen innehåller också vissa bestämmelser rörande . Den nuvarande lagen om internationellt polisiärt samarbete kom- mer att upphävas och ersättas av en ny lag i samma ämne. Lagen kommer att delas in i kapitel. Det införs också fem kapitel som reglerar olika former av personuppgiftsbehandling vid polisiärt samarbete med andra stater inom och utanför EU. Några ändringar i sak ska dock inte ske när det gäller regleringen av behand- ling av personuppgifter. (Se prop. 2016/17:139.) 1Rådets beslut /615/RIF av om ett fördjupat gränsöverskridande sam- arbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet. 2Europaparlamentets och rådets direktiv (EU) 2015/413 av om under- lättande av gränsöverskridande informationsutbyte om trafiksäkerhetsrelaterade brott. 3Rådets beslut /633/RIF av om åtkomst till informationssystemet för viseringar (VIS) för sökningar för medlemsstaternas utsedda myndigheter och för Europol i syfte att förhindra, upptäcka och utreda terroristbrott och andra grova brott. 6.4.4Lagen om internationellt tullsamarbete Lagen (2000:1219) om internationellt tullsamarbete tillämpas bl.a. på internationellt tullsamarbete som följer av vissa internationella åtaganden och har till syfte att förhindra, upptäcka, utreda eller beivra överträdelser av tullbestämmelser. I 2 kap. 6–8 §§ finns bestämmelser om utbyte av uppgifter. Enligt 6 § får en behörig svensk myndig- het, när det är nödvändigt för genomförande av internationellt tull- samarbete på eget initiativ eller på ansökan lämna ut uppgifter till behörig utländsk myndighet eller mellanfolklig organisation, även om uppgiften är sekretessbelagd enligt offentlighets- och sekretess- lagen (2009:400). Lagen (2013:329) med vissa bestämmelser om skydd för personupp- gifter vid polissamarbete och straffrättsligt samarbete inom Euro- peiska unionen (lag) genomför dataskyddsrambeslutet. Kompletterande bestämmelser finns i förordningen (2013:343) med i övrigt samma namn. Lagen gäller för behandling av personuppgifter i verksamhet som har till syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller verkställa straff- rättsliga påföljder, om uppgifterna inom ramen för polissamarbete eller straffrättsligt samarbete görs eller har gjorts tillgängliga eller överförs eller har överförts mellan en svensk myndighet och en med- lemsstat i EU eller mellan en svensk myndighet och , , eller eller mellan en svensk myndighet och ett EU-organ eller EU-informationssystem. Lagen är tillämplig endast om behandlingen är helt eller delvis automatiserad eller om person- uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter. Från lagens tillämpningsområde undantas i 4 § dels behandling av personuppgifter som rör nationell säkerhet, dels personuppgifter som görs eller har gjorts tillgängliga eller överförs eller har överförts genom visst informationsutbyte som specificeras i bestämmelsen. Personuppgifter som en svensk myndighet har erhållit får enligt 5 § endast behandlas för andra ändamål än det som uppgifterna först överfördes eller gjordes tillgängliga för, om syftet med behandlingen är att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott, verkställa straffrättsliga påföljder eller att vidta rättsliga eller administrativa åtgärder med direkt anknytning till något av dessa ändamål eller att avvärja en omedelbar och allvarlig fara för allmän säkerhet. Personuppgifter får även behandlas för andra ändamål om den som överfört eller gjort uppgifterna tillgängliga har lämnat sitt med- givande eller den som uppgifterna avser har samtyckt till det. Särskilda begränsningar gäller för överföring av personuppgifter som en svensk myndighet har erhållit enligt 6 § för överföring till enskilda och enligt 7 § för överföring till tredjeland eller internatio- nella organ. Lagen reglerar också villkor för användningen av personuppgifter. Utredningen om 2016 års dataskyddsdirektiv (Ju 2016:06) har föreslagit att lagen upphävs i samband med genomförandet av det presenterade kommissionen ett förslag till en genom- gripande reform av om skydd för personuppgifter. Paket- et omfattade en förordning med en generell reglering som skulle ersätta det nu gällande dataskyddsdirektivet samt ett nytt direktiv med särregler för främst den brottsbekämpande sektorn som skulle ersätta dataskyddsrambeslutet men ha ett bredare tillämpningsområde. Det huvudsakliga syftet med kommissionens förslag var att ytter- ligare harmonisera och effektivisera skyddet av personuppgifter inom EU för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. förhandlingar enades och rådet om en ny reglering av skyddet för enskilda vid behandling av personuppgifter. Den består av två rättsliga instrument, en förordning och ett direktiv. Regleringen antogs tillsammans med PNR-direktivet och var en förutsättning för att skulle rösta genom det förslaget.