prop · H503232 · 2018-04-19 00:00:00 — Vid behandling för vetenskapliga, statistiska eller historiska ändamål inom lagens tillämpningsområde ska lagens övriga bestämmelser tilläm- pas på samma sätt som vid annan behandling enligt lagen. De uppgifter som behandlas ska vara adekvata och relevanta och inte för omfattande i förhållande till det vetenskapliga, statistiska eller historiska ändamålet. På samma sätt som man vid behandling för andra ändamål inom lagens tillämpningsområde måste se till att uppgifterna inte behandlas än vad som behövs för de ändamålen, får uppgifter som be- handlas för statistiska, vetenskapliga eller historiska ändamål inte be- handlas än vad som behövs för dessa ändamål. Författningsenlig och korrekt behandling 6 § I paragrafen föreskrivs att personuppgifter alltid ska behandlas författ- ningsenligt och på ett korrekt sätt. Paragrafen genomför artikel 4.1 a och behandlas i avsnitt 8.1.1. När det är tillåtet att behandla personuppgifter och vilka krav som ställs på behandlingen framgår inte bara av denna lag och föreskrifter som har meddelats med stöd av den, utan också av de behöriga myndig- heternas registerförfattningar och andra författningar som reglerar sär- skilda register eller särskilda samarbeten inom lagens tillämpnings- område. Även regler om personuppgiftsbehandling i andra författningar kan vara tillämpliga, t.ex. 26 och 27 §§ lagen (1988:688) om kontakt- förbud. Regler av nu aktuellt slag har betydelse för bedömningen av både om behandlingen är författningsenlig och vad som är ett korrekt sätt att behandla personuppgifter. I det ligger bl.a. kravet på att det ska göras en kontinuerlig bedömning av att personuppgiftsbehandlingen uppfyller alla formella krav. Vad som är ett korrekt sätt för behandling styrs emellertid inte bara av författningsregler och den praxis som utbildas kring dem. dighetens allmänna råd och uttalanden i fråga om personuppgiftsbehand- ling har också betydelse, liksom myndigheternas interna regler. Otillåten behandling av personuppgifter kan i vissa fall vara straffbar enligt bestämmelser i , bl.a. regeln om dataintrång i 4 kap. 9 c §. Det kan då röra sig om externa angrepp eller om att någon som har tillgång till ett it-system överskrider sina befogenheter. Personuppgifternas kvalitet 7 § Paragrafen reglerar hur personuppgifter som behandlas ska vara beskaf- fade. Den genomför delar av artikel 4.1 d och behandlas i avsnitt 8.1.2. I första stycket föreskrivs att de personuppgifter som behandlas ska vara korrekta och, om det är nödvändigt, uppdaterade. En personuppgift är korrekt om den stämmer överens med de verkliga förhållandena. För att bestämma vilka de verkliga förhållandena är får man söka ledning i ändamålen med behandlingen. Det är ändamålen i det enskilda fallet som avses, exempelvis utredningen av en misshandel eller rättspsykiatrisk undersökning av en viss person. Inom lagens tillämp- ningsområde måste frågan om en personuppgift är korrekt inte bara vägas mot ändamålen med behandlingen utan även ses mot bakgrund av vad uppgiften rör, när den lämnas och vem som lämnar den. För att kunna avgöra om personuppgifterna är korrekta är det också av stor bety- delse att veta om de grundar sig på fakta eller på personliga bedömning- ar. Kravet på att personuppgifter ska vara korrekta innebär inte något hinder mot att samla in exempelvis osäkra underrättelseuppgifter, under förutsättning att personuppgifterna är relevanta för arbetet (se 8 §) och att det framgår att det är osäkert om uppgiften är riktig (se exempelvis 3 kap. 4 § andra stycket polisdatalagen [2010:361]). Att personuppgifter som grundar sig på fakta i så stor utsträckning som möjligt ska särskiljas från uppgifter som grundar sig på personliga bedömningar framgår av 10 §. Det krav som kan ställas när det gäller personuppgifter som be- handlas vid utsagor (t.ex. förhör med misstänkta) måste inskränkas till att utsagorna återges på ett korrekt sätt, dvs. så som de har lämnats, och att dokumentationen av dem följer gällande regler. De personuppgifter som behandlas behöver bara vara uppdaterade om det är nödvändigt. Frågan om det är nödvändigt att de är uppdaterade får avgöras med hänsyn till ändamålen med behandlingen. Exempelvis kan uppgifter om telefonnummer eller andra kontaktuppgifter ändras under handläggningen av ett ärende och därmed behöva uppdateras. När ären- det har avslutats eller arkiverats är det dock inte nödvändigt att uppdatera kontaktuppgifter. I andra stycket föreskrivs att uppgifter som beskriver en persons ut- seende ska utformas på ett objektivt sätt med respekt för människovärdet. Motsvarande bestämmelser finns i exempelvis 2 kap. 10 § tredje stycket polisdatalagen och 2 kap. 8 § tredje stycket åklagardatalagen (2015:433). Syftet med bestämmelsen är att förhindra att personers utseende beskrivs i ordalag som kan vara kränkande för individen. Exempel på signale- mentsbeteckningar som anses acceptabla finns bl.a. i föreskrifter och allmänna råd om fingeravtryck och annan signalements- upptagning (RPSFS 2005:12, FAP 473–1). Utformningen av bestämmelsen innebär att en behörig myndighet alltid är oförhindrad att, när den får ett tips från allmänheten om en person som kan misstänkas för brott, göra de anteckningar som är nödvändiga för att underlätta identifieringen av personen, t.ex. anteckningar om fysiska kän- netecken. I anslutning till dessa anteckningar får även sådana känsliga personuppgifter som avses i 11 § första stycket antecknas, om det är absolut nödvändigt för det arbete som tipset kan komma att leda till. Paragrafen reglerar omfattningen av behandlingen av personuppgifter. Den genomför artikel 4.1 c och behandlas i avsnitt 8.1.2. Av paragrafen framgår att de personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen och att fler personuppgifter inte får behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Det är ändamålen i det enskilda fallet som avses, exempelvis utredningen av en stöld eller ett ärende om förordnande av offentlig försvarare. Att personuppgifterna ska vara adekvata och relevanta innebär att ovidkommande uppgifter inte får behandlas. En prövning av om en personuppgift är nödvändig för be- handlingen ska göras kontinuerligt av den behöriga myndigheten, inte bara när uppgiften registreras eller på annat sätt samlas in. Även vid en senare behandling ska personuppgiften behövas för just den behandling- en, annars är kravet på adekvans och relevans inte uppfyllt. Förutom att uppgifterna ska vara adekvata och relevanta får de inte hel- ler vara fler än nödvändigt. Det understryker kravet på att en fortlöpande bedömning görs. Vid all behandling måste det alltså prövas om det går att utelämna per- sonuppgifter, eller i vart fall att endast använda uppgifter som indirekt går att hänföra till en viss person. Om fullständig avidentifiering är ett fullgott alternativ till att använda direkta eller indirekta personuppgifter är förutsättningarna för att behandla personuppgifterna inte uppfyllda. Åtskillnad mellan olika slag av personuppgifter 9 § I paragrafen, som i allt väsentligt har utformats i enlighet med Lagrådets förslag, ställs krav på att personuppgifter som rör olika kategorier av registrerade så långt det är möjligt ska särskiljas. Paragrafen genomför artikel 6. Den behandlas i avsnitt 8.1.3. I paragrafen anges personer som är misstänkta för brott, dömda för brott, brottsoffer och andra som berörs av ett brott som exempel på kate- gorier av registrerade. Andra som berörs av ett brott kan vara t.ex. vittnen eller vårdnadshavare för målsägande, misstänkta eller vittnen. Det är särskilt viktigt att det framgår om någon är misstänkt för brott eller inte. Det gäller oavsett misstankegrad. Om det framgår av sammanhanget eller på annat sätt vilken kategori en person tillhör behöver någon särskild upplysning inte lämnas. Om en per- son har hörts under en förundersökning eller under en brottmålsrättegång och det av sammanhanget framgår att han eller hon har hörts som t.ex. målsägande, tilltalad eller vittne, behöver uppgifterna inte förses med någon tilläggsupplysning. 2017/18:232 Kravet på att olika kategorier av uppgifter ska särskiljas innebär att det krävs rutiner hos behöriga myndigheter för att följa upp om en tidigare brottsmisstanke avskrivs i sin helhet, exempelvis i samband med att en förundersökning läggs ned eller om rätten meddelar en frikännande dom. Varje enskild uppgift måste inte förses med en särskild upplysning, vil- ket inte heller torde vara praktiskt möjligt. Vid behandling av uppgifter i bild- eller ljudupptagningar eller i löpande text framgår det som regel av sammanhanget till vilka personkategorier olika personer hör. kan dock en sådan upptagning eller text behöva förses med en upplysning som förtydligar det. Kravet på att olika uppgifter ska särskiljas gäller så långt det är möjligt. Om en misstänkt fotograferas i stadsmiljö förekommer ofta andra per- soner på samma fotografi. De kan vara helt okända och då kan det inte krävas att de kategoriseras på något sätt. Det är tillräckligt att det i stället anges vem som är den misstänkte. I paragrafen ställs krav på att personuppgifter som grundar sig på fakta så långt det är möjligt ska särskiljas från personuppgifter som grundar sig på personliga bedömningar. Paragrafen genomför artikel 7.1. Den be- handlas i avsnitt 8.1.3. Om det framgår av sammanhanget eller på annat sätt om uppgiften grundar sig på fakta eller personliga bedömningar behöver någon särskild upplysning inte lämnas. Det som uttalas vid ett förhör eller vittnesmål kan grunda sig på bedömningar eller vara faktabaserat. Det kan då ut- läsas av sammanhanget om det är fråga om fakta eller bedömningar. Detsamma gäller innehållet i intyg och andra liknande handlingar. Kravet gäller också uppgifter som finns i promemorior och analyser. Tas uppgif- terna ur sitt sammanhang måste de förses med en särskild upplysning. Kravet på att personuppgifter som grundar sig på fakta ska särskiljas från personuppgifter som grundar sig på personliga bedömningar gäller så långt det är möjligt. Det kan t.ex. vara omöjligt att värdera vad som är fakta respektive bedömningar i en anmälan om brott som har skickats med post till . Det räcker då att det framgår från vem eller på vilket sätt personuppgifterna kommit till . Känsliga personuppgifter 11 § Paragrafen reglerar tillsammans med 12–14 §§ i vilken utsträckning känsliga personuppgifter får behandlas. Att uppgifterna betecknas som känsliga personuppgifter framgår av 13 §. Paragrafen genomför delar av artikel 10 och behandlas i avsnitt 8.1.4. Enligt första stycket får personuppgifter som avslöjar ras, etniskt ur- sprung, politiska åsikter, religiös eller filosofisk övertygelse eller med- lemskap i fackförening eller som rör hälsa, sexualliv eller sexuell lägg- ning inte behandlas. Det innebär att det inte är tillåtet att föra register över eller på annat sätt göra anteckningar om enskilda på den grunden att de utifrån etniskt ursprung, politiska åsikter eller något annat i paragrafen angivet förhållande kan hänföras till en viss kategori av människor. En uppgift om utseende är normalt inte en känslig personuppgift och den får alltså behandlas, med den begränsning som följer av 7 § andra stycket. Om en sådan uppgift innebär uppgift om etniskt ur- sprung omfattas den dock av förbudet. Bestämmelsen hindrar inte att uppgifter om en persons nationalitet behandlas, eftersom en sådan upp- gift normalt inte ger upplysning om etniskt ursprung (se prop. 2009/10:85 s. 325). Uppgifter om att en viss person kommer från en viss världsdel eller ett visst land faller också som regel utanför förbudet mot behandling av känsliga personuppgifter. Skulle en sådan personuppgift i det enskilda fallet t.ex. avslöja etniskt ursprung är dock förbudet tillämp- ligt. Avbildningar av personer, t.ex. fotografier, kan avslöja många detaljer. Man kan t.ex. se hudfärg eller om personen bär klädsel eller andra känne- tecken som är typiska för utövare av en viss religion. Även fysiska funk- tionsnedsättningar kan framgå av bilder och det kan även framgå att en person är sjuk eller skadad. Bilder på människor i mera normala sam- manhang torde inte avslöja känsliga personuppgifter, medan bilder på människor som utövar religiösa, politiska eller sexuella aktiviteter som regel utgör känsliga personuppgifter (jfr m.fl. s. 288). I andra stycket görs det undantag från huvudregeln att känsliga person- uppgifter inte får behandlas. Uppgifter om en person som behandlas på annan grund får kompletteras med känsliga personuppgifter, om det är absolut nödvändigt för ändamålet med behandlingen. Det innebär att om andra uppgifter om en person samlas in i samband med t.ex. en förunder- sökning får de kompletteras med uppgifter om religiös övertygelse eller etniskt ursprung om det är av betydelse för utredningen, exempelvis för att utreda hets mot folkgrupp. Under utredning av sexualbrott kan det ibland vara befogat att anteckna uppgifter om den misstänktes sexualliv. Med hänsyn till den restriktivitet som ligger i uttrycket ”absolut nödvän- digt” måste dock behovet av att göra sådana kompletteringar prövas noga i det enskilda fallet. Känsliga personuppgifter kan också förekomma i behöriga myndighe- ters verksamhet på grund av att någon under ett förhör har lämnat en sådan uppgift eller i en inlaga nämnt uppgiften. Det kan vara fråga om helt grundlösa påståenden eller påståenden som inte har någon relevans i sammanhanget. Eftersom myndigheterna inte kan hindra någon från att yttra sig vare sig muntligen eller skriftligen kan känsliga personuppgifter på detta sätt komma att ingå i t.ex. en förundersökning eller en dom. Om det nedtecknade förhöret eller den inkomna handlingen ingår i förunder- sökningen eller uppgiften antecknas i domen omfattas behandlingen av den känsliga personuppgiften även i dessa fall av undantaget i detta stycke. Paragrafen reglerar tillsammans med 13 och 14 §§ i vilken utsträckning två särskilda typer av känsliga personuppgifter får behandlas. Paragrafen genomför delar av artikel 10 och behandlas i avsnitt 8.1.4. Enligt paragrafen får biometriska uppgifter och genetiska uppgifter endast behandlas om det är särskilt föreskrivet och det är absolut nödvän- digt för ändamålen med behandlingen. I t.ex. 4 och 5 kap. polisdata- 2017/18:232 lagen (2010:361) finns sådana särskilda föreskrifter som avses i föreva- rande paragraf. I kommentaren till 11 § ges exempel på vad som avses med kravet på att behandlingen är absolut nödvändig. I 1 kap. 6 § defi- nieras vad som avses med biometriska respektive genetiska uppgifter. Paragrafen reglerar tillsammans med 11, 12 och 14 §§ i vilken utsträck- ning känsliga personuppgifter får behandlas. Paragrafen behandlas i av- snitt 8.1.4. I paragrafen klargörs att sådana personuppgifter som avses i 11 och 12 §§ utgör känsliga personuppgifter. Vidare tydliggörs att sådana upp- gifter alltid får behandlas i de fall som avses i 2 §, dvs. om det är nöd- vändigt för diarieföring eller, i fråga om uppgifter i en anmälan, ansökan eller liknande, om det är nödvändigt för myndighetens handläggning. Det innebär bl.a. att det är möjligt för en behörig myndighet att ta emot och besvara anmälningar, ansökningar och liknande skrifter som lämnas i elektronisk form även om de innehåller känsliga personuppgifter. Regle- ringen innebär också att sådana uppgifter får arkiveras om det är nödvän- digt. Som framgår av kommentaren till 2 § är den behandling som är tillåten begränsad. Paragrafen reglerar användningen av känsliga personuppgifter vid sök- ning. Frågan behandlas i avsnitt 8.1.4. Av 11 och 12 §§ framgår vilka personuppgifter som är känsliga personuppgifter. Enligt paragrafen är det förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Därmed för- bjuds sökningar som görs för att få fram ett urval av personer som t.ex. har viss politisk eller religiös åskådning eller sexuell läggning. Uppgifter som beskriver en persons utseende, t.ex. uppgifter om längd, hudfärg eller tatueringar, får användas som sökbegrepp så länge syftet med sök- ningen inte är att göra en sammanställning av en viss grupp av personer grundat på exempelvis etniskt ursprung eller politisk åskådning. Även tillåtna sökningar kan resultera i ett urval av personer grundat på känsliga personuppgifter, t.ex. sökningar som görs i registervårdande syfte. I vilken utsträckning det sedan är tillåtet att behandla någon eller några av personuppgifterna i sammanställningen får prövas mot huvud- regeln för behandling av känsliga personuppgifter i 11 §. Rättelse, uppdatering och radering 15 § I paragrafen föreskrivs vad den personuppgiftsansvarige ska göra för att förhindra att felaktiga eller ofullständiga personuppgifter behandlas, läm- nas ut eller görs tillgängliga. Den genomför delar av artiklarna 4.1 d, 7.2 och 7.3 och behandlas i avsnitt 8.1.6. I 4 kap. 9 § regleras vad som gäller när den registrerade begär att personuppgifter ska rättas eller komplet- teras. I första stycket föreskrivs att alla rimliga åtgärder ska vidtas för att per- sonuppgifter som med hänsyn till ändamålet med behandlingen är felak- tiga eller ofullständiga utan onödigt dröjsmål rättas och för att förhindra Prop. 2017/18:232 att sådana uppgifter lämnas ut eller görs tillgängliga. Vad som avses med att uppgifter är korrekta framgår av kommentaren till 7 §. Den person- uppgiftsansvarige ska också utan onödigt dröjsmål uppdatera uppgifter som är inaktuella om det är nödvändigt. Bestämmelsen innebär att den personuppgiftsansvarige självmant måste vidta åtgärder för att säkerställa personuppgifternas kvalitet. Vad som utgör rimliga åtgärder skiljer sig åt beroende på om person- uppgifterna är felaktiga, ofullständiga eller inaktuella, eftersom person- uppgifter alltid ska vara korrekta men endast behöver vara uppdaterade om det är nödvändigt. Vilka åtgärder som är rimliga att vidta får bedö- mas mot bakgrund av omständigheterna i varje enskilt fall, som t.ex. ändamålet med behandlingen, vilka personuppgifter som behandlas och vilka konsekvenser en felaktig eller ofullständig uppgift kan få för den enskilde. När personuppgifter lämnas ut till en behörig myndighet ska motta- garen enligt andra stycket så långt det är möjligt ges information som gör att det går att bedöma i vilken utsträckning uppgifterna är korrekta, full- ständiga, uppdaterade och tillförlitliga. Det gör att mottagaren kan full- göra sin skyldighet att kontrollera kvaliteten på personuppgifter som kommer från andra behöriga myndigheter. Informationen kan exempelvis ange varifrån personuppgifterna kommer, vad som är känt om uppgifts- lämnaren, när och för vilket ändamål personuppgifterna hämtades in och om de grundar sig på fakta eller personliga bedömningar. Andra exempel på information som kan vara relevant för mottagaren är om person- uppgiften grundas på misstanke om brott, saken är föremål för domstols- prövning eller avser en lagakraftvunnen dom. Mottagare definieras i 1 kap. 6 §. I paragrafen föreskrivs vilka åtgärder som ska vidtas om personuppgifter behandlas på ett otillåtet sätt. Den genomför delar av artiklarna 4.1 d, 7.2 och 7.3 och behandlas i avsnitt 8.1.6. I 4 kap. 10 § regleras vad som gäller när den registrerade begär att motsvarande åtgärder ska vidtas. I första stycket föreskrivs att alla rimliga åtgärder ska vidtas för att per- sonuppgifter som behandlas i strid med 1, 2, 3 § första stycket, 4–6, 8, 11, 12, 14 eller 17 § första stycket utan onödigt dröjsmål raderas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Det- samma gäller när radering krävs för att den personuppgiftsansvarige ska utföra en rättslig förpliktelse. När radering kan komma i fråga, förutsätt- ningarna för det och vad som kan vara en rättslig förpliktelse utvecklas i kommentaren till 4 kap. 10 §. I stället för att personuppgifter som behandlas på ett otillåtet sätt rade- ras ska enligt andra stycket behandlingen av uppgifterna utan onödigt dröjsmål begränsas om uppgifterna behöver finnas kvar av bevisskäl. Vad det innebär utvecklas i kommentaren till 4 kap. 10 §. Längsta tid som personuppgifter får behandlas Paragrafen reglerar hur länge behöriga myndigheter får behandla person- uppgifter för ändamål inom lagens tillämpningsområde. Där framgår också hur bestämmelsen förhåller sig till arkivlagstiftningen. Paragrafen genomför artikel 4.1 e och behandlas i avsnitt 8.2.2. I första stycket föreskrivs att personuppgifter inte får behandlas än vad som är nödvändigt med hänsyn till ändamålet med be- handlingen. Det som avses är ändamålet i det enskilda fallet. be- handlas personuppgifter för flera olika ändamål. Att det inte längre finns behov av att behandla personuppgiften för ett visst ändamål medför inte att behandlingen av den måste upphöra för alla andra ändamål . Å andra sidan innebär det förhållandet att personuppgiften fortfarande behövs för ett visst ändamål inte att den får fortsätta att behandlas för alla ändamål . Behovet av att fortsätta att behandla uppgifterna måste prövas kontinuerligt. Om det är tillräckligt att behandla avidenti- fierade uppgifter är det inte längre tillåtet att behandla personuppgifterna. Av andra stycket framgår att bestämmelsen om längsta tid för behand- ling inte hindrar att personuppgifterna arkiveras av den behöriga myndig- heten eller att arkivmaterial lämnas till en arkivmyndighet. Behandling för arkivändamål omfattas av dataskyddsförordningens tillämpnings- område. Paragrafen reglerar vad som gäller om det inte är föreskrivet hur länge behöriga myndigheter får behandla personuppgifter för ändamål inom lagens tillämpningsområde. Paragrafen genomför artikel 5 och behandlas i avsnitt 8.2.2. Enligt paragrafen ska den personuppgiftsansvarige en gång se över behovet av att behandla personuppgifter. Det gäller dock bara om det inte finns någon författningsbestämmelse som reglerar när uppgif- terna inte längre får behandlas för ändamål inom lagens tillämpningsom- råde. Sådana bestämmelser finns i vissa behöriga myndigheters register- författningar. Bestämmelser om hur länge personuppgifter får behandlas finns inte bara i lag eller förordning utan kan även finnas i myndighets- föreskrifter som har stöd i bemyndiganden. Paragrafen, som har utformats i enlighet med Lagrådets förslag, reglerar automatiserade beslut. Paragrafen genomför delar av artikel 11 och be- handlas i avsnitt 8.3. Av första stycket framgår att den som berörs av ett beslut som enbart grundas på automatiserad behandling av personuppgifter som är avsedda att bedöma hans eller hennes egenskaper har rätt att få beslutet prövat på nytt av någon fysisk person. Rätten till information regleras i 4 kap. 4 §. I andra stycket förbjuds automatiserade beslut som enbart grundas på känsliga personuppgifter. Vilka uppgifter som är känsliga personupp- gifter framgår av 11 och 12 §§. Överföring av personuppgifter till en annan medlemsstat Paragrafen reglerar möjligheten att ställa upp villkor för behandlingen av personuppgifter. Paragrafen genomför artikel 9.4 och behandlas i av- snitt 8.4. Om det inte är särskilt föreskrivet får en utlämnande myndighet inte ställa upp villkor i förhållande till en mottagare i en annan medlemsstat eller ett EU-organ, om myndigheten inte i motsvarande fall får ställa upp samma typ av villkor i förhållande till en mottagare inom . Para- grafen är bara tillämplig vid utlämnande för ändamål inom lagens till- lämpningsområde. Paragrafen, som behandlas i avsnitt 8.5, reglerar behandling av person- uppgifter som är nödvändiga för att framställa rättsstatistik. Sådana upp- gifter ska enligt paragrafen lämnas till den som ansvarar för att framställa sådan statistik. Enligt 2 § förordningen (2016:1201) med instruktion för ansvarar myndigheten för kriminalstatistiken. Behandling för ändamål utanför denna lags tillämpningsområde