sou · H5B329 · 2017-04-05 00:00:00 — Den artikeln har genomförts i 9 § personuppgiftslagen, som reglerar de grundläggande princi- perna för personuppgiftsbehandling. Stora delar av paragrafen gäl- ler för de behöriga myndigheterna, antingen för att deras register- författningar gäller utöver personuppgiftslagen eller för att det uttryckligen hänvisas till delar av paragrafen i de registerförfatt- ningar som gäller i stället för personuppgiftslagen. Regleringen i 9 § har således tillämpats länge och är väl inarbetad i myndigheternas verksamhet. Mot den bakgrunden skulle det kunna finnas skäl att ta in en motsvarande bestämmelse i ramlagen. Paragrafer som är allmänt hållna och bygger på uppräkningar av grundläggande principer med ett påtagligt abstrakt innehåll blir emellertid lätt intetsägande och riskerar därigenom att inte i alla avseenden tillämpas på det sätt som är avsett. För att göra regle- ringen klar och tydlig bör enligt utredningens mening artikel 4.1 vid genomförandet delas upp och principerna i de olika punkterna behandlas i direkt anslutning till regleringen av de frågor som respektive princip tar sikte på. På det sättet blir det uppenbart att principerna utgör materiella bestämmelser, vilket enligt utredning- ens mening både förbättrar skyddet för den enskilde och underlät- tar för tillämparen. Genomförandet av de grundläggande principerna Enligt utredningens mening bör det alltså inte tas in någon motsva- righet till personuppgiftslagens generella bestämmelse om grund- läggande krav på behandlingen i ramlagen. Principer för behandling av personuppgifter ven på behandling av personuppgifter bör i stället behandlas i sitt sammanhang. Ändamålen med behandlingen regleras i artikel 4.1 b. Principen har ett konkret och viktigt innehåll som bör lyftas fram. Den be- handlas i avsnitt 9.1.5. Kvaliteten på och omfattningen av de personuppgifter som be- handlas regleras i artikel 4.1 c och d. Uppgifterna ska vara adekvata, relevanta och korrekta. Den principen bör behandlas tillsammans med artikel 6, enligt vilken åtskillnad ska göras mellan personupp- gifter som rör olika kategorier av registrerade, och artikel 7.1, en- ligt vilken personuppgifter som grundar sig på fakta så långt möj- ligt ska skiljas från personuppgifter som grundar sig på personliga bedömningar. Frågorna behandlas i avsnitt 9.2.2 och 9.2.3. I artikel 4.1 d föreskrivs även att alla rimliga åtgärder måste vid- tas för att säkerställa att felaktiga personuppgifter raderas eller rättas utan dröjsmål. Den principen tas upp i anslutning till artik- larna 7.2 och 7.3, som behandlar åtgärder för att säkerställa att fel- aktiga, ofullständiga eller inaktuella personuppgifter inte överförs eller görs tillgängliga. Frågorna behandlas i avsnitt 9.2.6. Personuppgifter ska enligt artikel 4.1 e inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka de behandlas. Den principen hänger nära samman med artikel 5 som reglerar tidsgrän- ser för lagring. Hur länge personuppgifter får behandlas tas upp i avsnitt 9.3.2. Artikel 4.1 f behandlar säkerheten för personuppgifter och bör genomföras tillsammans med artikel 29, som också reglerar säker- het i samband med behandling. Den frågan diskuteras i avsnitt 10.3. Krav på författningsenlig och korrekt behandling Enligt artikel 4.1 a ska personuppgifter behandlas på ett lagligt och korrekt sätt. De grundläggande kraven på lagenlighet, saklighet och opartiskhet i offentlig verksamhet finns i regeringsformen. Att en myndighet ska agera i enlighet med lag framstår som en självklarhet och är djupt förankrat i den svenska förvaltningstraditionen. Det gäller också att handläggningen ska ske på ett korrekt sätt. Principer för behandling av personuppgifter emellertid tydliggöras i ramlagen att personuppgifter alltid ska be- handlas lagligt och på ett korrekt sätt. Principen om laglighet innefattar att det ska finnas en rättslig grund för behandlingen (se avsnitt 9.1.2 och 9.1.3). Att använda ordet laglig kan lätt leda till motsatsslut. Eftersom det finns behov av att i andra bestämmelser i ramlagen reglera att behandlingen ska stå i överensstämmelse inte bara med lag utan även med föreskrifter på lägre nivåer anser utredningen att uttrycket författningsenlig är lämpligare att använda i ramlagen. När det gäller principen om korrekthet kan det vid en jämfö- relse med andra språkversioner ifrågasättas om den svenska termen korrekt motsvarar avsikten med bestämmelsen. I den danska språk- versionen anges i stället att uppgifterna ska behandlas rimeligt. I den engelska används termen fairly, vilket betyder rättvist, skäligt eller rimligt. Den franska språkversionen använder termen loyale som har motsvarande betydelse. Användningen av dessa termer tyder enligt utredningens mening på att en intresseavvägning ska göras, vilket inte lika tydligt framgår av den svenska termen kor- rekt. Utredningen tolkar artikeln så att det som avses med korrekt sätt är att behandlingen inte bara formellt ska vara i enlighet med regleringen utan också spegla intentionerna med lagstiftningen. 9.2.2Personuppgifter ska vara korrekta och adekvata Utredningens förslag: De personuppgifter som behandlas ska vara korrekta och, om det är nödvändigt, uppdaterade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. De personuppgifter som behandlas ska också vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler personuppgifter än vad som är nödvändigt med hänsyn till ändamålen med behandlingen får inte behandlas. Principer för behandling av personuppgifter Skälen för utredningens förslag Personuppgifter ska vara korrekta och uppdaterade Enligt artikel 4.1 d ska personuppgifter vara korrekta och, om nöd- vändigt, uppdaterade. Motsvarande bestämmelse finns i arti- kel 6.1 d i det nu gällande direktivet. Artikeln har genomförts i 9 § första stycket g personuppgiftslagen, enligt vilken personuppgifter som behandlas ska vara riktiga och, om nödvändigt, aktuella. En bestämmelse med det innehållet bör tas in i ramlagen. Utredningen anser att direktivets formulering bör användas. En uppgift är korrekt om den stämmer överens med de verkliga förhållandena. För att bestämma vilka de verkliga förhållandena är som personuppgifterna ska spegla får man söka ledning i ändamå- len med behandlingen. I vissa fall är avsikten med behandlingen bara att registrera uppgifter som kommit in, t.ex. i en brottsanmä- lan. De behandlade personuppgifterna får då betraktas som kor- rekta om de stämmer överens med de inkomna uppgifterna, oavsett hur de förhåller sig till de verkliga förhållandena (jfr och , Personuppgiftslagen, En kommentar, 4:e uppl. 2011, i fortsättningen m.fl., s. 206). Frågan om en personuppgift är korrekt ska inte bara vägas mot ändamålen för behandlingen. Att uppgifter som förekommer i bl.a. brottsbekämpande verksamhet och vid annan behandling av upp- gifter om lagöverträdelser har en särskild karaktär måste också be- aktas. Frågan om en uppgift är korrekt måste därför även ses mot bakgrund av vad uppgiften rör, när den lämnas och vem som läm- nar den. Om t.ex. en person anmäler en annan för brott är uppgif- terna i anmälan korrekta om de återspeglar vad anmälaren har upp- gett. Det förhållandet att det senare hålls ett förhör vid vilket vissa uppgifter tas tillbaka eller ändras innebär inte att de först lämnade uppgifterna är felaktiga. Om det sedan vid en rättegång visar sig att personen i fråga lämnar nya uppgifter eller ändrar tidigare påståen- den återspeglar ändå det förhör som hölls vad som sades vid det tillfället och är därigenom korrekt. Särskilt när det gäller utsagor från personer som hörs under en förundersökning eller vid en rät- tegång och som har ett personligt intresse av resultatet av hand- läggningen utgår lagstiftningen från att uppgifterna kan komma att ändras. Det krav på korrekthet som kan ställas när det gäller per- sonuppgifter som behandlas vid utsagor måste därför inskränkas Principer för behandling av personuppgifter till att utsagorna återges så som de har lämnats och att dokumenta- tionen av dem följer gällande regler. För att kunna avgöra om uppgifterna är korrekta är det också av stor betydelse att veta om de grundar sig på fakta eller på person- liga bedömningar. Att uppgifter som grundar sig på fakta i så stor utsträckning som möjligt ska skiljas från uppgifter som grundar sig på personliga bedömningar behandlas i avsnitt 9.2.3. De behandlade uppgifterna behöver bara vara uppdaterade om det är nödvändigt. Frågan om det är nödvändigt att uppgifterna är uppdaterade får avgöras med hänsyn till ändamålen med behand- lingen (jfr m.fl. s. 206). Exempelvis kan adressuppgifter änd- ras under handläggningen av ett ärende och därmed behöva upp- dateras. När ärendet har avslutats är det dock inte nödvändigt att uppdatera en adressuppgift. I flera av myndigheternas registerförfattningar anges att uppgif- ter som beskriver en persons utseende ska utformas på ett objektivt sätt och med respekt för människovärdet. En bestämmelse med motsvarande innehåll bör tas in i ramlagen. Bestämmelserna finns i de paragrafer som reglerar användningen av känsliga person- uppgifter (se bl.a. 2 kap. 10 § tredje stycket polisdatalagen och 2 kap. 7 § tredje stycket kustbevakningsdatalagen). Regleringen har lett till viss osäkerhet om signalementsuppgifter är känsliga person- uppgifter. Bestämmelsen i ramlagen bör därför placeras tillsam- mans med reglerna om personuppgifters kvalitet för att tydliggöra att uppgifter om utseende inte i sig ska betraktas som känsliga per- sonuppgifter. Ett signalement kan dock innehålla uppgifter ur vilka man kan utläsa uppgifter om t.ex. hälsa eller etniskt ursprung. Så- dana uppgifter ska hanteras enligt reglerna om känsliga personupp- gifter (se avsnitt 9.2.4). Personuppgifter ska vara adekvata och relevanta Enligt artikel 4.1 c ska personuppgifter vara adekvata och relevanta och inte för omfattande i förhållande till de syften för vilka de be- handlas. En bestämmelse med det innehållet bör tas in i ramlagen. Att uppgifterna ska vara adekvata och relevanta innebär att ovid- kommande uppgifter inte får behandlas. Vilka uppgifter som är adekvata och relevanta ska bedömas i förhållande till ändamålen Principer för behandling av personuppgifter Detsamma gäller hur många personuppgifter det finns behov av att behandla. Det får betydelse för hur s.k. över- skottsinformation ska hanteras, dvs. uppgifter som samlas in och som visar sig inte vara adekvata eller relevanta för det bestämda ändamålet. Om uppgifterna inte behöver behandlas för något annat tillåtet ändamål får de inte lagras för framtida behov. Det finns regler om i vilken utsträckning överskottsinformation över huvud taget får behandlas i vissa sammanhang (se t.ex. 27 kap. 23 a § rätte- gångsbalken). 9.2.3Olika typer av personuppgifter ska skiljas från varandra Utredningens förslag: Personuppgifter som rör olika katego- rier av registrerade, t.ex. personer som är misstänkta eller dömda för brott, brottsoffer eller andra som berörs av ett brott, ska så långt det är möjligt särskiljas. Om det inte framgår av samman- hanget eller på annat sätt vilken kategori personen tillhör, ska det tydliggöras genom en särskild upplysning. Personuppgifter som grundar sig på fakta ska också så långt det är möjligt skiljas från personuppgifter som grundar sig på personliga bedömningar. Om grunden inte framgår av samman- hanget eller på annat sätt ska den tydliggöras genom en särskild upplysning. Skälen för utredningens förslag: Enligt artikel 6 ska den person- uppgiftsansvarige i tillämpliga fall och så långt det är möjligt skilja mellan personuppgifter som rör olika kategorier av registrerade. Som exempel på olika kategorier av registrerade nämns personer som har begått eller är på väg att begå brott, personer som har dömts för brott, brottsoffer eller personer som p.g.a. vissa omstän- digheter kan antas vara brottsoffer och andra som berörs av ett brott, t.ex. vittnen, personer som kan lämna information om brott eller personer som har kontakter med eller band till personer som misstänks för eller är dömda för brott. Enligt artikel 7.1 ska per- sonuppgifter som grundar sig på fakta så långt det är möjligt skiljas från personuppgifter som grundar sig på personliga bedömningar. Syftet med bestämmelserna är att säkerställa att den som söker eller får del av information också får veta varför uppgifter om en Principer för behandling av personuppgifter viss person behandlas. Inom ramlagens tillämpningsområde är det särskilt viktigt att det framgår om en uppgift rör en icke misstänkt person och hur tillförlitlig en underrättelseuppgift bedöms vara. Ofta framgår det redan av det sammanhang i vilket personuppgif- terna behandlas, men om en uppgift tas ur sitt sammanhang för att behandlas för ett nytt ändamål blir informationen viktig (jfr prop. 2009/10:85 s. 146 f.). Ju längre ett brottmålsförfarande fortskrider, desto tydligare blir det vilken roll olika personer har och varför deras personuppgifter behandlas. Vid handläggningen i domstol anges det tydligt vem som är misstänkt, tilltalad, målsägande, vittne eller anhörig till någon av dessa. En sådan uppdelning uppfyller enligt utredningens mening kravet på särskiljande. I förundersökningsprotokoll görs på motsvarande sätt skillnad mellan olika personkategorier (se 20 och 21§§ förundersökningskungörelsen [1947:948]). Det är framför allt i det inledande skedet av en förundersökning och i underrättelseverksamhet som det kan vara otydligt vilken roll en person har och varför uppgifter om honom eller henne behand- las. I 3 kap. 3 § polisdatalagen anges därför att det vid behandling av gemensamt tillgängliga uppgifter genom en särskild upplysning eller på annat sätt ska framgå för vilket närmare ändamål person- uppgifter behandlas och om en personuppgift har gjorts gemen- samt tillgänglig som ett led i övervakningen av en allvarligt krimi- nellt belastad person. Om uppgifterna kan hänföras till en person som inte är misstänkt för brott eller för att ha utövat brottslig verksamhet ska det enligt 3 kap. 4 § framgå att personen inte är misstänkt. Vidare föreskrivs att uppgifter om en person som kan antas ha samband med misstänkt brottslig verksamhet, dvs. där ändamålet inte är att utreda ett konkret brott, ska förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak, om det inte på grund av särskilda omständigheter är onödigt. Motsvarande gäller i brottsbekämpande verksamhet enligt 4 kap. 2 och 3 §§ kustbevakningsdatalagen och föreslås gälla för och i deras brottsbekäm- pande verksamhet. Även enligt 3 kap. 3 § åklagardatalagen ska det framgå om de uppgifter som behandlas rör en person som inte är misstänkt. De bestämmelser som finns i dessa registerförfattningar är in- arbetade men uppfyller inte helt direktivets krav. Principer för behandling av personuppgifter regler för övriga behöriga myndigheter. Det bör därför tas in be- stämmelser i ramlagen om att den personuppgiftsansvarige så långt det är möjligt ska skilja mellan personuppgifter som rör olika kate- gorier av registrerade. Om det inte framgår av sammanhanget eller på annat sätt till vilken kategori en person hör bör det tydliggöras genom en särskild upplysning. Det är framför allt när uppgifter behandlas utanför sitt ur- sprungliga sammanhang som en särskild upplysning kan behövas (jfr prop. 2009/10:85 s. 146 f.). Kraven på särskild upplysning i polisdatalagen och kustbevakningsdatalagen gäller uppgifter som har gjorts gemensamt tillgängliga. Om uppgifter behandlas av en liten, klart avgränsad grupp vet de inblandade personerna som regel varifrån uppgifterna kommer, varför de behandlas och om en om- nämnd person är misstänkt för brott eller för att utöva brottslig verksamhet eller om han eller hon tillhör någon annan kategori. I de fallen framgår det normalt av sammanhanget till vilken kategori personen hör. Det vore orimligt att då ställa upp ett krav på särskild upplysning och det finns därför skäl att göra undantag från det kravet för uppgifter som inte har gjorts gemensamt tillgängliga. Utredningen återkommer till det i slutbetänkandet. På motsvarande sätt bör personuppgifter som grundar sig på fakta skiljas från uppgifter som grundar sig på personliga bedöm- ningar. Om grunden inte framgår av sammanhanget eller på annat sätt bör den tydliggöras genom en särskild upplysning. Det som sagts om undantaget från kravet på särskilda upplysningar bör gälla även för nu aktuella uppgifter som inte gjorts gemensamt tillgängliga. Det utvidgade kravet på särskilda upplysningar väcker frågan om de behöriga myndigheterna blir skyldiga att förse alla äldre person- uppgifter som saknar sådana upplysningar med det. Eftersom kra- vet är att så långt möjligt skilja mellan olika typer av uppgifter anser utredningen att det inte kan krävas av myndigheterna att de går igenom alla äldre personuppgifter för att kontrollera om det finns särskilda upplysningar. Om tveksamhet uppstår i ett enskilt fall och det är möjligt att tillfoga en särskild upplysning bör det dock göras. Principer för behandling av personuppgifter Utredningens förslag: Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. Om uppgifter om en person behandlas får de dock kompletteras med sådana personuppgifter när det är absolut nödvändigt för ändamålet med behandlingen. Biometriska uppgifter som används för att identifiera en per- son och genetiska uppgifter får behandlas endast om det är sär- skilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. Känsliga personuppgifter får alltid behandlas om det är nöd- vändigt för diarieföring eller om uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning. Det är förbjudet att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. Skälen för utredningens förslag I lagstiftning om behandling av personuppgifter har känsliga per- sonuppgifter en särställning. Med känsliga personuppgifter avses enligt 13 § personuppgiftslagen uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk överty- gelse eller medlemskap i fackförening och uppgifter som rör hälsa eller sexualliv. Som huvudregel är det förbjudet att behandla käns- liga personuppgifter. Från förbudet görs i 14–19 §§ personupp- giftslagen undantag för vissa situationer, t.ex. när den enskilde har samtyckt till behandlingen eller om behandlingen är nödvändig på grund av vissa särskilt angivna skäl. Enligt 8 § personuppgiftsför- ordningen (1998:1191) får känsliga personuppgifter behandlas av en myndighet i löpande text om uppgifterna har lämnats i ett ären- de eller är nödvändiga för handläggningen av det. Definitionen av känsliga personuppgifter i personuppgiftslagen bildar utgångspunkten för regleringen i de behöriga myndigheter- nas registerförfattningar. Enligt registerförfattningarna får känsliga Principer för behandling av personuppgifter personuppgifter inte behandlas enbart på grund av vad som är känt om en person i dessa avseenden (se t.ex. 2 kap. 8 § åklagardatala- gen). Om uppgifter om en person redan behandlas på någon annan grund, får de dock enligt de flesta registerförfattningarna kom- pletteras med känsliga personuppgifter, om det är absolut nödvän- digt för syftet med behandlingen (se t.ex. 2 kap. 10 § polisdatala- gen). Innebörden av bestämmelserna är att det t.ex. inte är tillåtet att föra särskilda register över personer baserat på deras politiska åsikter. Förekommer en person i en förundersökning eller något annat ärende, får dock uppgifter om politisk åskådning behandlas, om det bedöms vara absolut nödvändigt för syftet med behand- lingen. Det kan t.ex. vara fallet om motivet för ett brott är poli- tiskt. Något krav på att behandlingen är absolut nödvändig gäller enligt 13 § domstolsdatalagen inte i domstolarnas rättsskipande och rättsvårdande verksamhet. Fler kategorier av uppgifter blir känsliga personuppgifter Enligt artikel 10 ska behandling av vissa kategorier av personupp- gifter vara tillåten endast om det är absolut nödvändigt och om det finns lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. Dessutom krävs det att behandlingen är tillåten enligt unionsrätten eller nationell rätt, utförs för att skydda intressen som är av grundläggande betydelse för den registrerade eller en annan fysisk person eller rör uppgifter som på ett tydligt sätt har offent- liggjorts av den registrerade. De kategorier av personuppgifter som räknas upp i artikel 10 är till största delen de som betecknas som känsliga personupp- gifter, dvs. personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlem- skap i fackförening eller som rör hälsa eller sexualliv. Dessutom anges biometriska uppgifter för att unikt identifiera en fysisk per- son, genetiska uppgifter och uppgifter om sexuell läggning i arti- keln. De nya kategorierna behandlas i det följande. Det finns även skäl att diskutera om ordet ras bör användas i ramlagen. I artikel 10 benämns uppgifterna särskilda kategorier av person- uppgifter. Samma uttryck används i det nu gällande dataskydds- direktivet. I personuppgiftslagen benämns sådana personuppgifter Principer för behandling av personuppgifter känsliga personuppgifter utan att det kommenteras i motiven. Det uttrycket är enligt utredningens mening tydligare än särskilda kate- gorier av uppgifter och bör därför användas i ramlagen. Med genetiska uppgifter avses enligt den definition som föreslås i avsnitt 6.2 personuppgifter som rör sådana nedärvda eller förvär- vade kännetecken för en fysisk person som kan tas fram ur ett prov från personen i fråga. Det handlar framför allt om information som kan tas fram vid dna-analyser, men även motsvarande information som tas fram genom andra analyser omfattas. Eftersom nedärvda eller förvärvade genetiska kännetecken för en fysisk person kan framgå av ett spår som påträffas vid utredning av ett brott, omfattas även analys av spåren, trots att de då inte går att härleda till en identifierad person. Genetiska uppgifter behandlas vid dna-analyser för att ta fram dna-profiler eller forensiska uppslag. Sådan behandling förekom- mer enbart i den forensiska verksamheten, som i sköts av Nationellt forensiskt centrum. Även kan göra sådana analyser på begäran av eller en annan myndighet som omfattas av ramlagens tillämpningsområde. Behandlingen kan avse genetiska uppgifter från såväl identifierade som oidentifierade personer. Själva dna-profilen, som behandlas i framför allt Polismyndighe- tens dna-register, är endast en sifferkombination och är därmed ingen genetisk uppgift. Dna-profilen är i stället en biometrisk upp- gift, eftersom den tas fram genom en särskild teknisk behandling av en persons arvsmassa för att möjliggöra eller bekräfta unik identi- fiering av personen i fråga. Med biometriska uppgifter avses enligt den föreslagna definitionen personuppgifter som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken som tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar unik identi- fiering av personen i fråga. Som konstateras i avsnitt 6.2 omfattas Principer för behandling av personuppgifter inte fotografier och filmer som inte bearbetas tekniskt i det syftet av definitionen av biometriska uppgifter. Definitionen omfattar brottsbekämpande myndigheters hante- ring av fingeravtryck. Fingeravtryck som har tagits med stöd av eller lagen (1991:572) om särskild utlännings- kontroll får behandlas i de fingeravtrycks- och signalementsregister som förs enligt 4 kap. 11 § polisdatalagen.