sou · H5B329 · 2017-04-05 00:00:00 — Uppgifter om finger- avtryck som inte kan hänföras till en identifierbar person får också behandlas om uppgiften kommit fram vid utredning om brott. Även oidentifierade fingeravtryck omfattas således av definitionen av biometriska uppgifter, eftersom det är möjligt att med hjälp av sådana identifiera den person som har avsatt dem. Bilder av fysiska personer som bearbetas tekniskt och därige- nom är att betrakta som biometriska uppgifter kan också vara kän- sliga personuppgifter på andra grunder. Uppgifter om exempelvis hälsa, etniskt ursprung eller religiös övertygelse kan framgå av sådana bilder. Även de dna-profiler som finns i dna-registren är biometriska uppgifter. Det gäller även oidentifierade dna-profiler. Uppgifter om huruvida någon förekommer i fingeravtrycks- och signalementsregister eller dna-register är inte biometriska uppgifter. Däremot är den behandling som utförs vid jämförelse mellan olika fingeravtryck eller dna-profiler behandling av biometriska uppgifter. Uppgifter om sexualliv och sexuell läggning Enligt direktivet är uppgifter om fysiska personers sexualliv och sexuella läggning känsliga personuppgifter. I artikel 8 i det nu gäl- lande dataskyddsdirektivet och i 13 § personuppgiftslagen före- skrivs enbart att uppgifter om sexualliv är en känslig personuppgift. Uppräkningen i ramlagen av känsliga personuppgifter bör omfatta uppgifter om både sexualliv och sexuell läggning. Principer för behandling av personuppgifter Ras har länge ansetts vara en känslig personuppgift. I uppräkningen i direktivet av vad som utgör känsliga personuppgifter nämns också ras. I skäl 37 klargörs att användningen av ordet ras inte innebär att unionen godtar teorier som söker fastställa förekomsten av skilda människoraser. Frågan om utmönstring av ordet ras ur svensk lagstiftning har länge varit aktuell. har uttalat att det inte finns någon vetenskaplig grund för att dela in människor i skilda raser och ur biologisk synpunkt följaktligen inte heller någon grund för att an- vända ordet ras om människor. Enligt vad anförde ris- kerar användningen av ordet ras i författningstext att underblåsa fördomar. konstaterade dock, i anledning av en motion, att det inte var möjligt att utmönstra ordet ras ur all lagstiftning, eftersom det så gott som uteslutande används i författningar som grundas på internationella konventioner eller författningar som genomför direktiv. Regeringen uppmanades att gå igenom i vilken utsträckning ordet ras förekom i författningar som inte grundas på internationella texter och där så var möjligt föreslå en annan defini- tion (bet. 1997/98:KU29 s. 7). Ordet ras har ersatts med andra uttryck i rege- ringsformen och i diskrimineringslagen (2008:567) och medvetet utelämnats i ett antal lagar. Exempelvis ersattes ordet ras i rege- ringsformen genom att uttrycket ”annat liknande förhållande” lades till efter etniskt ursprung och hudfärg. Med ”annat liknande förhållande” åsyftas i första hand sådana föreställningar om ras som omfattas av ras enligt den tidigare lydelsen (prop. 2009/10:80 s. 152). Regeringen har i flera lagstiftningsärenden uttryckt sin ambition att se över frågan om utmönstring av ordet ras ur all lagstiftning (se exempelvis prop. 2009/10:85 s. 123). Utredningen om transperso- ners straffrättsliga skydd m.m. fick därför i uppdrag att bl.a. ta ställning till om orden ras och rasmässig bör utmönstras ur författ- ningstext och eventuellt ersättas med något annat uttryck. I be- tänkandet Ett utvidgat straffrättsligt skydd för transpersoner m.m. (SOU 2015:103) föreslås att ordet ras ska ersättas eller helt ut- mönstras. I den mån det ska ersättas föreslås att samma uttryck som i bl.a. regeringsformen ska väljas i så stor utsträckning som Principer för behandling av personuppgifter När ordet ras används i författningstext och det bygger på det nu gällande dataskyddsdirektivets definition av känsliga per- sonuppgifter, föreslår den utredningen att ordet ras tas bort och ersätts med uttrycket ”etniskt ursprung eller hudfärg eller något annat liknande förhållande hänförligt till personen”. Den omständigheten att direktivet använder ordet ras hindrar enligt utredningens mening inte att det i ramlagen används ett annat ord eller uttryck, förutsatt att det har samma betydelse. Att använda uttrycket ”etniskt ursprung, hudfärg eller annat liknande förhållande” som finns i bl.a. regeringsformen skulle emellertid inte fungera i ramlagen. Om hudfärg skulle räknas upp bland känsliga personuppgifter skulle det skapa problem för de brottsbekämpande myndigheterna, eftersom det skulle leda till att bilder på identifier- bara personer skulle utgöra känsliga personuppgifter om hudfärgen syns. Avsikten med dataskyddsreformen kan inte rimligen vara att alla bilder på personer ska anses utgöra känsliga personuppgifter. Det får stöd av skäl 51 i dataskyddsförordningen där det bl.a. anges att behandling av foton inte systematiskt bör anses utgöra behand- ling av känsliga personuppgifter, eftersom foton endast definieras som biometriska uppgifter när de behandlas med särskild teknik som möjliggör identifiering eller autentisering av en fysisk person. Det är enligt utredningens mening inte heller lämpligt att använda formuleringen ”etniskt urspung eller annat liknande förhållande”. Det skulle för det första leda till osäkerhet om det är någon skill- nad mellan de olika uttryckssätten. För det andra skulle det lämna ett alltför stort tolkningsutrymme och kunna leda till att de behö- riga myndigheterna antingen behandlar känsliga personuppgifter i för stor utsträckning eller inte behandlar sådana uppgifter trots att det är sakligt motiverat. Utredningen anser därför att det är nöd- vändigt att även fortsättningsvis använda ordet ras. Det innebär också att regleringen i ramlagen överensstämmer med artikel 9 i dataskyddsförordningen. Känsliga personuppgifter bör som huvudregel inte få behandlas i större utsträckning än Enligt direktivet ska behandling av särskilda kategorier av person- uppgifter vara tillåten endast om den är absolut nödvändig och om det finns lämpliga skyddsåtgärder. Dessutom ska behandlingen vara Principer för behandling av personuppgifter tillåten enligt unionsrätt eller nationell rätt, alternativt ska den göras för att skydda intressen av grundläggande betydelse för den registrerade eller någon annan fysisk person eller avse uppgifter som har offentliggjorts av den som personuppgifterna rör. Enligt gällande rätt får flertalet av de behöriga myndigheterna behandla känsliga personuppgifter om de behandlar uppgifter om personen i fråga på någon annan grund, men då bara om det är absolut nödvändigt för syftet med behandlingen. Domstolarna får emellertid behandla känsliga personuppgifter i större utsträckning. Enligt 13 § domstolsdatalagen får känsliga personuppgifter inte utgöra den enda grunden för behandlingen. Det behöver dock inte vara uppgifter om den person som de känsliga personuppgifterna rör som behandlas, utan det är enligt förarbetena tillräckligt att det finns en annan konkret grund för behandlingen. Det ställs inte heller något krav på att behandlingen ska vara absolut nödvändig. Skälet till denna mer generösa reglering är att det av principiella skäl ansågs uteslutet att genom bestämmelser i lag inskränka domarnas frihet att formulera domskäl i syfte att undvika att käns- liga personuppgifter behandlas. Det anges vidare att det strängt taget inte är någon skillnad mellan i vilken utsträckning domsto- larna behöver behandla känsliga personuppgifter och andra person- uppgifter (se Domstolsdatalag, prop. 2014/15:148, s. 49). Dagens regelverk är således betydligt mer restriktivt än direkti- vets reglering, eftersom känsliga personuppgifter i de flesta fall endast får behandlas tillsammans med andra uppgifter om personen i fråga. Även bestämmelsen i domstolsdatalagen är på ett sätt mer restriktiv genom att det sägs att känsliga personuppgifter inte får utgöra enda grund för behandlingen. Bestämmelsen i domstols- datalagen uppfyller ändå inte direktivets krav, eftersom den inte föreskriver att behandlingen ska vara absolut nödvändig. Det kravet i direktivet är undantagslöst och måste därför gälla för alla behöriga myndigheter. Enligt artikel 1.3 är det tillåtet att ha starkare skyddsåtgärder än dem som fastställs i direktivet. Den nuvarande regleringen har fun- gerat väl för de berörda myndigheterna och kravet på att känsliga personuppgifter bara får behandlas om uppgifter om personen behandlas av annat skäl är enligt utredningens mening en sådan lämplig skyddsåtgärd som direktivet fordrar. Känsliga personupp- gifter bör därför bara få behandlas om uppgifter om personen sam- Principer för behandling av personuppgifter tidigt behandlas på någon annan grund och det är absolut nödvän- digt för ändamålet med behandlingen. Regleringen i ramlagen bör dock utformas på ett något annorlunda sätt än i myndigheternas registerförfattningar för att det ska bli tydligare vilka uppgifter som utgör känsliga personuppgifter och när dessa får behandlas. De behöriga myndigheterna behandlar i stor utsträckning vissa typer av känsliga personuppgifter. Det gäller framför allt uppgifter om hälsa, t.ex. i förundersökningar och mål om vålds- och sexual- brott och i personutredningar. För sådana ändamål är behandling av uppgifter om hälsa givetvis absolut nödvändig. Utredningen vill därför understryka att någon förändring av synen på vad som är absolut nödvändigt vid behandling av känsliga personuppgifter inte är avsedd. Känsliga personuppgifter ska alltjämt användas restrik- tivt och en bedömning av om kravet är uppfyllt ska göras i det en- skilda fallet. Den närmare innebörden av uttrycket kan dock variera mellan myndigheterna, eftersom deras verksamheter och behov av att behandla känsliga personuppgifter skiljer sig åt. I vilken ut- sträckning de bör få behandla känsliga personuppgifter kommer att diskuteras i slutbetänkandet, i samband med anpassningarna av myndigheternas registerförfattningar. Som framgår av avsnitt 7.1.4 kommer fler myndigheter och andra aktörer att tillämpa ramlagen. Flera av dem har ingen särskild registerförfattning utan tillämpar personuppgiftslagen med tillhörande förordning. Eftersom huvudregeln enligt personupp- giftslagen är att det är förbjudet att behandla känsliga personupp- gifter och 8 § personuppgiftsförordningen bara medger undantag för vissa typer av behandling kan det inte undvikas att dessa myn- digheter och aktörer sannolikt kommer att kunna behandla käns- liga personuppgifter i större utsträckning med den nya regleringen. Det gäller dock bara när de utför uppgifter inom ramlagens tillämp- ningsområde och är en rimlig konsekvens av att de anses vara behöriga myndigheter i ramlagens mening. Behandling av genetiska och biometriska uppgifter Som nämnts har genetiska och biometriska uppgifter inte tidi- gare ingått i uppräkningen av vad som är känsliga personuppgifter. I förarbetena till lagen (2006:351) om genetisk integritet m.m. ut- Principer för behandling av personuppgifter talas att genetisk information kan avslöja såväl hälsotillstånd som etnisk tillhörighet och därför är att betrakta som känsliga person- uppgifter (Genetisk integritet m.m., prop. 2005/06:64, s. 63). Det är osäkert vilket genomslag det uttalandet har fått i praktiken och om de särskilda restriktioner som gäller för behandlingen av käns- liga personuppgifter därför tillämpas på genetiska och biometriska uppgifter. Fingeravtryck men framför allt dna-spår får en allt större bety- delse i den brottsutredande verksamheten. Tekniken utvecklas och möjliggör dels analyser av oerhört små mängder dna, dels att nya typer av uppgifter kan tas fram ur dna-spår. Det är därför viktigt att behandling av personuppgifter i samband med hanteringen av fingeravtryck, dna-spår och dna-profiler är tydligt reglerad. Det är vanligt att polisen hittar fingeravtryck eller dna-spår från någon som inte förekommer i fingeravtrycks- eller dna-registren. Som tidigare nämnts utgör sådana oidentifierade fingeravtryck eller dna-profiler biometriska uppgifter, eftersom det går att identifiera en person med hjälp av dem. Regeln om att känsliga personupp- gifter endast får behandlas om någon annan uppgift om personen i fråga behandlas fungerar därmed inte när det gäller oidentifierade avtryck eller spår. Det finns därför skäl att reglera behandlingen av genetiska och biometriska uppgifter särskilt. Sådana uppgifter bör få behandlas endast om det är särskilt före- skrivet och det är absolut nödvändigt för ändamålet med behand- lingen. Att dessa kategorier av uppgifter regleras särskilt är en lag- teknisk fråga och innebär inte att de ska betraktas på något annat sätt än övriga kategorier av känsliga personuppgifter. Behandling för diarieföring eller liknande Som framgår av avsnitt 9.1.3 måste en myndighet alltid ha möjlig- het att behandla personuppgifter för att diarieföra och handlägga inkommande anmälningar, ansökningar och andra liknande hand- lingar. De som ska tillämpa ramlagen föreslås därför få behandla personuppgifter för diarieföring och för att utföra andra nödvän- diga handläggningsuppgifter. Det bör gälla även i de fall där sådana handlingar innehåller känsliga personuppgifter, eftersom det ligger Principer för behandling av personuppgifter utanför myndighetens kontroll om sådana uppgifter finns i hand- lingarna. Det bör framgå att sådan behandling är tillåten. Sökning på känsliga personuppgifter kan möjliggöra exempelvis kartläggning av personer med viss politisk ståndpunkt eller religiös uppfattning. Sökningar för sådana ändamål bör som huvudregel inte tillåtas. I flera av de behöriga myndigheternas registerförfatt- ningar finns förbud mot att som sökbegrepp använda uppgifter som avslöjar känsliga personuppgifter (se t.ex. 3 kap. 5 § polisdata- lagen). Det kan dock i vissa fall vara befogat att använda känsliga personuppgifter vid sökningar. Flera registerförfattningar ger där- för möjlighet att i begränsad utsträckning använda sådana uppgifter som sökbegrepp (se t.ex. 14 och 15 §§ domstolsdatalagen). För , , och gäller förbuden att använda känsliga per- sonuppgifter som sökbegrepp dock endast vid sökningar i person- uppgifter som har gjorts gemensamt tillgängliga. De får alltså an- vända känsliga personuppgifter som sökbegrepp vid sökningar i uppgifter som endast ett fåtal personer har tillgång till. Enligt direktivet krävs det inget förbud mot att använda känsliga personuppgifter vid sökning, men däremot får sådana uppgifter behandlas endast om det finns lämpliga skyddsåtgärder för be- handlingen. En verkningsfull skyddsåtgärd är att som huvudregel förbjuda att känsliga personuppgifter används vid sökning och att sedan reglera eventuella undantag från den regeln. Det bör därför enligt utredningens mening även i fortsättningen vara förbjudet att använda känsliga personuppgifter för sökning. Eftersom inte alla behöriga myndigheter har en registerförfattning bör ett generellt sökförbud tas in i ramlagen. Användningen av ordet sökbegrepp i bestämmelserna om sök- förbud har lett till problem i tillämpningen. Vid en strikt tolkning av dessa bestämmelser skulle t.ex. en sökning på ordet islam inte få göras, eftersom uppgifter som avslöjar religiös övertygelse inte får användas som sökbegrepp. är emellertid också ett vanligt personnamn som det måste vara möjligt att få använda vid sökning. Ett annat exempel är att ett sjukhus eller en kyrka, där ett brott Principer för behandling av personuppgifter begåtts, används som sökbegrepp av utredningsskäl. Sökningen kan ge träff på personer och därigenom avslöja uppgifter som rör hälsa eller religiös uppfattning som det finns utredningsskäl att använda platsen som sökbegrepp. Förbudet i ramlagen bör därför i stället utgå från syftet med sökningen. Det bör inte vara tillåtet att göra sökningar i syfte att få fram personurval grundade på känsliga personuppgifter. Att förbudet utformas på ett annat sätt än innebär inte att möjligheterna att använda känsliga personuppgifter för sökning utvidgas. Om exempelvis en uppgift om etniskt ursprung används för sökning kommer resultatet att bli ett personurval grundat på etniskt ursprung. En sådan sökning är varken tillåten enligt den nu gällande eller den föreslagna regleringen. Genom att förbudet mot att använda känsliga personuppgifter vid sökningar placeras i ram- lagen kommer det tvärtom att gälla i större utsträckning än , eftersom sökförbuden i flera av registerförfattningarna enbart gäl- ler vid sökningar i uppgifter som har gjorts gemensamt tillgängliga. När syftet blir avgörande för om en sökning är tillåten eller inte kommer vidare olika former av kodning av personuppgifter för att möjliggöra sammanställningar grundade på känsliga personuppgif- ter inte längre att vara tillåtna. Om uppgifter om muslimer skulle markeras med exempelvis (m) är det med den nuvarande regle- ringen tillåtet att göra en sökning med användande av beteckningen (m) och på så sätt få fram en sammanställning av alla som registre- rats med den koden, eftersom sökbegreppet då inte avslöjar käns- liga personuppgifter. En sökning för att få fram en motsvarande sammanställning genom att använda en kod skulle däremot inte vara tillåten med den föreslagna utformningen av sökförbudet. Skyddet mot missbruk av sökmöjligheterna förstärks därmed väsentligt. Däremot kommer sökningar på t.ex. egennamn som också kan avslöja känsliga personuppgifter att vara tillåtna, eftersom syftet med sökningen då är att få fram närmare information om en person med ett visst namn, inte att få fram ett urval av personer grundat på känsliga personuppgifter. Det blir därför viktigt att dokumentera syftet med en sökning av det slaget både för intern kontroll och tillsyn över verksamheten. Även vid tillåtna sökningar kan sökningen resultera i ett per- sonurval grundat på känsliga personuppgifter. Principer för behandling av personuppgifter namnet kan en sökning på egennamnet ge träffar både på personer med det namnet och personer som bekänner sig till en viss tro. I vilken utsträckning det sedan är tillåtet att behandla upp- gifterna i sammanställningen får prövas mot huvudregeln för be- handling av känsliga personuppgifter. Om uppgifter om en person behandlas får den eller de uppgifter från sökningen som är adekvata och absolut nödvändiga för syftet med behandlingen fortsätta att behandlas. Är de kraven inte uppfyllda får de känsliga personupp- gifterna inte behandlas. I de allra flesta fall kommer det således att vara tillåtet att behålla och fortsätta behandla endast någon eller några av de personuppgifter som framkommit vid sökningen. I de behöriga myndigheternas registerförfattningar tillåts i viss utsträckning användning av känsliga personuppgifter vid sökning. Bestämmelserna kommer att behöva anpassas till att sökförbudet i ramlagen är annorlunda utformat än dagens reglering. Utgångs- punkten är att de behöriga myndigheterna inte ska få använda känsliga personuppgifter vid sökning i större utsträckning än . För någon eller några av de behöriga myndigheterna kan dock för- budet vara för snävt. Vid utredning av brott kan de brottsbe- kämpande myndigheterna ha behov av att kunna söka på andra uppgifter än brottsrubriceringar eller uppgifter som beskriver en persons utseende, exempelvis uppgifter om sexualliv vid utred- ningen av en våldtäkt. Utredningen återkommer till frågan om sökning med användande av känsliga personuppgifter i slutbetän- kandet. Omfattas förbudet av begränsningsregeln i tryckfrihetsförordningen? Vid utformningen av sökförbud måste också den s.k. begränsnings- regeln i 2 kap. 3 § tredje stycket tryckfrihetsförordningen beaktas. Offentlighetsprincipen innebär bl.a. att var och en har rätt att ta del av allmänna handlingar. Vad som avses med allmän handling framgår av 2 kap. tryckfrihetsförordningen. Med handling förstås en framställning i skrift eller bild och en upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälp- medel. Handlingen är allmän bl.a. om den förvaras hos en myndig- het. En upptagning anses enligt 2 kap. 3 § andra stycket första meningen förvarad hos en myndighet, om upptagningen är tillgäng- Principer för behandling av personuppgifter lig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyss- nas eller på annat sätt uppfattas. När det gäller förvaringskriteriet görs det skillnad mellan färdiga elektroniska handlingar, t.ex. pdf- filer och e-postmeddelanden, och potentiella elektroniska hand- lingar, dvs. handlingar som kan sammanställas av uppgifter ur en upptagning för automatiserad behandling. En sammanställning av uppgifter anses enligt den s.k. begränsningsregeln i 2 kap. 3 § tredje stycket tryckfrihetsförordningen inte förvarad hos myndigheten om sammanställningen innehåller personuppgifter och myndig- heten enligt lag eller förordning saknar befogenhet att göra sam- manställningen tillgänglig. Syftet med begränsningsregeln är att allmänheten inte med stöd av offentlighetsprincipen ska kunna ta del av sammanställningar av uppgifter ur upptagningar som myndigheten med hänsyn till skyd- det för enskildas integritet är rättsligt förhindrad att ta fram i sin egen verksamhet. Tolkningen av begränsningsregeln har behandlats i flera lagstiftningsärenden som rör direktåtkomst. Det har bl.a. konstaterats att villkorade sökförbud, dvs. sökbegränsningar som endast tillåter sökningar under vissa angivna förutsättningar, inte anses inskränka en myndighets skyldighet att lämna ut allmänna handlingar (se exempelvis 3 kap. 6 och 7 §§ polisdatalagen och prop. 2009/10:85 s. 154 f.). Däremot anses s.k. absoluta sökförbud, dvs. förbud som innebär att en myndighet inte under några förhål- landen får använda en uppgift som sökbegrepp, inskränka hand- lingsbegreppet (se t.ex. 3 kap. 5 § polisdatalagen). Det kan i frågasättas om det sökförbud som utredningen före- slår uppfyller kraven för att omfattas av begränsningsregeln, efter- som förbudet är knutet till syftet med sökningen. För att säker- ställa att allmänheten inte med stöd av offentlighetsprincipen ska kunna få ut sammanställningar grundade på känsliga personupp- gifter föreslår utredningen en bestämmelse om absolut sekretess för dem (se avsnitt 16.4). Principer för behandling av personuppgifter 9.2.5Inga ytterligare regler om vilka personuppgifter som får behandlas Utredningens bedömning: Utöver reglerna om känsliga per- sonuppgifter bör det inte tas in några regler i ramlagen om vilka personuppgifter som får behandlas. Skälen för utredningens bedömning Ingen uttömmande reglering av vilka personuppgifter som får behandlas Enligt artikel 8.2 ska det i nationell rätt bl.a. föreskrivas vilka per- sonuppgifter som ska behandlas. Ur ett integritetsperspektiv är det naturligtvis väsentligt att en myndighet inte behandlar andra per- sonuppgifter än vad som behövs för myndighetens verksamhet. Det är dock inte rimligt att tolka artikeln på det sättet att det i ram- lagen eller i de särskilda registerförfattningarna måste räknas upp exakt vilka personuppgifter som får behandlas. Att i författning ut- tömmande reglera vilka personuppgifter, eller ens alla kategorier av personuppgifter, som får behandlas är en närmast omöjlig uppgift, eftersom det inte på förhand går att bedöma vilka uppgifter som kan få betydelse. Särskilt i mångfacetterade verksamheter som poli- sens och domstolarnas skulle det behövas mycket omfångsrika uppräkningar av vilka uppgifter som skulle få behandlas. Inte bara för dessa utan även för övriga behöriga myndigheter skulle det krä- vas omfattande och grundliga undersökningar innan det skulle kunna slås fast vilka personuppgifter som bör få behandlas. Saken kompliceras dessutom av att det skulle behöva preciseras beträf- fande varje enskild personkategori vilka personuppgifter som får behandlas för just den kategorin.