prop · H503269 · 2018-06-19 00:00:00 — Behandling av personuppgifter för arkivändamål omfattas av dataskydds- förordningens tillämpningsområde (se prop. 2017/18:232 s. 167). kan mot den bakgrunden ifrågasättas om bestämmelser om gallring bör finnas i registerförfattningar som reglerar personuppgiftsbehandling inom brottsdatalagens tillämpningsområde. syftet med gallringsbestämmelserna att skydda enskildas personliga integritet genom att det föreskrivs när den automatiserade behandlingen av personuppgifter ska upphöra. Om informationen överförs från elektronisk form till pappersform och därefter inte finns kvar elek- troniskt, anses detta skydd ha tillgodosetts (se t.ex. prop. s. 171). Bestämmelserna reglerar således inte fullt ut i vilken utsträck- ning det är tillåtet att behandla personuppgifterna för arkivändamål, utan styr endast i vilken form det får göras genom att ange att automatiserad behandling för arkivändamål inte är tillåten. De hindrar alltså inte arkive- ring på papper. Om det inte längre skulle finns några bestämmelser i registerförfatt- ningarna som föreskriver när den automatiserade behandlingen av per- sonuppgifter ska upphöra, skulle arkivlagens huvudregel om bevarande behöva tillämpas om uppgifterna finns i allmänna handlingar. En del av dagens integritetsskydd går då förlorat. Bestämmelser som reglerar hur länge personuppgifter får behandlas automatiserat och vara digitalt tillgängliga är därför även fortsatt nödvändiga för att tillgodose skyddet för enskildas personliga integritet. Sådana bestämmelser bör därför införas i de nya registerförfattningarna. I enlighet med regeringens bedömning i föregående avsnitt bör be- stämmelser som motsvarar dagens bestämmelser om gallring emellertid formuleras om så att det framgår att de är dataskyddsbestämmelser. De bör utgå från hur länge personuppgifterna får behandlas automatiserat. Det gäller bestämmelserna i 7 § första stycket lagen om behandling av personuppgifter inom kriminalvården och de gallringsbestämmelser som finns i tillhörande förordning, 2 kap. 13 §, 3 kap. 14 §, 4 kap. 7, 14, 15, polisdatalagen, 3 kap. 2 kap. 10 § tredje 4 kap. 3, 9 4 kap. 3 och Som huvudregel bör den nu aktuella översynen inte föranleda någon annan bedömning av hur länge personuppgifterna får behandlas. anser att det är oklart om uttrycket längsta tid för behandling ska tolkas som sådana avvikande bestämmelser om gallring som avses i 10 § arkivlagen. Myndighetens synpunkt rör de uppgifter för vilka bestämmelsen i 2 kap. 17 § andra stycket brottsdatalagen inte gäller, dvs. de uppgifter som omfattas av de nuvarande bestämmelserna om gallring. har definierat gallring som förstöring av allmänna hand- lingar eller förstöring av uppgifter i allmänna handlingar. Det är också fråga om gallring när andra åtgärder vidtas med allmänna handlingar som medför förlust av t.ex. betydelsebärande data eller sökmöjligheter. När det gäller gallring av elektroniska upptagningar avses normalt att viss information raderas från databäraren (se exempelvis RA-FS 2009:1 och betänkandet Myndighetsdatalag, SOU 2015:39, s. 526). Reglerna om längsta tid för behandling innebär att man inte längre får behandla uppgifterna automatiserat för något ändamål. De får därmed samma verkan som en åtgärd för gallring av elektroniska upptagningar. Att behandlingen av personuppgifterna upphör får därmed i praktiken till följd att det inte kan bli aktuellt för att meddela gallringsfö- reskrifter avseende automatiserad behandling av samma uppgifter. Det ska även i fortsättningen vara tydligt att arkivlagstiftning inte har företräde Enligt 2 kap. 17 § första stycket brottsdatalagen får personuppgifter inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Det hindrar enligt andra stycket inte att en myndighet arkiverar och bevarar allmänna handlingar eller att arkiv- material lämnas till en arkivmyndighet. Av registerförfattningarna följer att arkivlagstiftningen inte har företräde när gallringsbestämmelser är tillämpliga (se t.ex. 2 kap. 2 § andra stycket polisdatalagen). Syftet med regleringen är som nämnts att förtydliga att personuppgifter i dessa fall inte får behandlas automatiserat för arkivändamål, det vill säga att uppgifterna inte får arkiveras digitalt. Uppgifterna får dock behandlas för arkivändamål om de överförs till pappersform. För att tydliggöra att ingen förändring i det avseendet är avsedd, trots den ändrade termino- login, bör det i registerförfattningarna göras undantag från 2 kap. 17 § andra stycket brottsdatalagen i ovan nämnda paragrafer. Såväl som framför synpunkter gällande arkivering på papper och framhållit fördelarna med elektronisk sådan. bedömer vidare att integritetskänsliga personuppgifter som huvudregel inte borde gallras. Med anledning av dessa synpunkter finns det skäl att framhålla att syftet med förslaget i denna del inte har varit att åstadkomma någon förändring i sak utan främst att göra vissa förtydli- ganden avseende skillnaden mellan regler om dataskydd och arkivrätts- liga regler. Det pågår en bred översyn av den arkivrättsliga regleringen (dir. 2017:106). Något utrymme att se över förutsättningarna för digital arkivering finns inte inom ramen för detta lagstiftningsärende. Det finns dock anledning att peka på att registerförfattningarna även fortsättnings- vis föreslås innehålla bestämmelser om föreskriftsrätt som ger utrymme för digital arkivering (se vidare avsnittet nedan). Bestämmelser om föreskriftsrätt avseende behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål I flertalet av registerförfattningarna upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Sådana bestämmelser finns bl.a. i 2 kap. 13 § tredje stycket polisdatalagen, 3 kap. 5 § tredje stycket och 4 kap. 14 § andra stycket kustbevakningsdatalagen, 2 kap. 11 § 2 åklagardatalagen, 4 kap. 2 § 2 tullbrottsdatalagen och 4 kap. 2 § 2 skattebrottsdatalagen (se vidare exempelvis 17 § tullbrottsdataförordningen och 3 § RA-MS 2010:68). I 9 § tredje stycket personuppgiftslagen användes samma uttryck, det vill säga historiska, statistiska eller vetenskapliga ändamål. I dataskydds- förordningen används i stället uttrycken arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Historiska ändamål delas alltså upp i arkivändamål av allmänt intresse och historiska forskningsändamål. Avsikten med uppdelningen är att förtydliga vad som avses med historiska ändamål. Även i direktivet görs i artikel 4.3 skillnad mellan behandling för arkivändamål av allmänt intresse och vetenskaplig, statistisk och historisk användning för ändamål som omfattas av direktivets tillämpningsområde. Det finns även fortsättningsvis behov av att kunna meddela föreskrifter Prop. 2017/18:269 om att personuppgifter som behandlas med stöd av registerförfattning- arna får fortsätta att behandlas automatiserat för historiska, statistiska eller vetenskapliga ändamål när den längsta tillåtna tiden för behandling som anges i registerförfattningen löper ut. Sådana föreskrifter ger möj- lighet att tillgodose dels rätten att ta del av allmänna handlingar, dels rättskipningens, förvaltningens och forskningens behov och bör föras in i de nya registerförfattningarna. Bestämmelserna bör dock formuleras om så att föreskriftsrätten avser hur länge personuppgifterna får behandlas. För att terminologin ska motsvara dataskyddsförordningens och data- skyddsdirektivets bör det vidare framgå att föreskriftsrätten även omfat- tar behandling för arkivändamål av allmänt intresse. I lagen om behandling av personuppgifter inom kriminalvården har man valt en annan lösning än föreskriftsrätt för att tillgodose myndighe- tens behov av att kunna behandla personuppgifter för historiska, statisti- ska och vetenskapliga ändamål. I 7 § andra stycket den lagen föreskrivs en generell möjlighet för myndigheten att behandla personuppgifter för angivna ändamål. Kriminalvården har även i fortsättningen behov av att kunna behandla personuppgifter för historiska, statistiska eller veten- skapliga ändamål. Detta behov bör dock, i likhet med vad som föreslås i övriga registerförfattningar, tillgodoses genom föreskrifter meddelade av regeringen eller den myndighet som regeringen bestämmer. Den nuvarande regleringen bör därför ersättas av en bestämmelse om föreskriftsrätt i den nya registerförfattningen. Det kan även här ifrågasättas om bestämmelser om föreskriftsrätt som möjliggör fortsatt behandling av personuppgifter för arkivändamål av allmänt intresse och för historiska, statistiska eller vetenskapliga ändamål bör finnas i registerförfattningar som endast reglerar personuppgifts- behandling inom brottsdatalagens tillämpningsområde. Eftersom före- skriftsrätten gäller enbart personuppgifter som behandlas för ändamål som omfattas av registerförfattningens tillämpningsområde kan före- skriftsrätten inte regleras i den generellt tillämpliga arkivlagstiftningen. Det finns inte heller någon annan naturlig plats för sådana bestämmelser. Föreskriftsrätten bör därför även fortsättningsvis regleras i registerförfattningarna även om det, som framför, skulle kunna framstå som mer ändamålsenligt att endast låta dem inne- hålla bestämmelser som reglerar personuppgiftsbehandling inom brotts- datalagens tillämpningsområde. Bestämmelser som innebär att behandling inte längre får ske för ändamål inom Regeringens förslag: Bestämmelser som motsvarar befintliga bestämmelser om hur länge personuppgifter får behandlas i den brottsbekämpande verksamheten ska införas även i de nya registerförfattningarna, men formuleras om så att det framgår att de bara begränsar behandling för ändamål inom registerförfattningens Bestämmelser som motsvarar befintliga bestämmelser om föreskriftsrätt avseende fortsatt behandling av vissa kategorier av personuppgifter ska införas även i de nya registerförfattningarna, men det ska förtydligas att de endast omfattar behandling av personuppgifter för ändamål inom tillämpningsområdet. Bestämmelser som motsvarar befintliga bestämmelser om föreskriftsrätt avseende digitalt arkiverade uppgifter ska införas även i de nya registerförfattningarna. Det ska dock förtydligas att de bestämmelserna endast omfattar behandling av personuppgifter för ändamål inom tillämpningsområdet och att föreskriftsrätten avser begränsning av behandlingen av arkiverade uppgifter. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: menar att utredningen antyder att myndigheternas arkivhantering omfattas av tillämpningsområdet för polisens brottsdatalag och att det inte är ett lämpligt angreppssätt eftersom behandling för arkivändamål endast ska regleras av dataskydds- förordningen. Myndigheten har även redogjort för vad som krävs enligt dataskyddsförordningen för att på nytt få behandla personuppgifter som har arkiverats och efterfrågar, i likhet med Kriminalvården, ett förtydli- gande av vad som krävs för återförande av personuppgifter för något av de ändamål som anges i en registerförfattning. Enligt föreligger det vidare ett starkt behov av att frågor som rör förhållandet mellan dataskyddsregler och arkivregler utreds närmare. Övriga remiss- instanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag Det är bara behandlingen för ändamål inom registerförfattningens tillämpningsområde som begränsas I 3 kap. 10 och 11 §§ polisdatalagen, 4 kap. 9 och 10 §§ kustbevaknings- datalagen, 4 kap. 6 och 7 §§ tullbrottsdatalagen och 4 kap. 5 och 6 §§ skattebrottsdatalagen anges hur länge vissa personuppgifter får behandlas automatiserat i den brottsbekämpande verksamheten. Enligt 2 kap. 10 § andra stycket åklagardatalagen gäller motsvarande vid behandling för ändamål i den operativa verksamheten. Bestämmelserna hindrar inte att uppgifterna fortsätter att behandlas automatiserat för andra ändamål än vad som anges i dem, vilket innebär att personuppgif- terna bl.a. får behandlas automatiserat för arkivändamål. Bestämmelserna begränsar alltså enbart möjligheten till fortsatt behandling i den verk- samhet som regleras i respektive registerförfattning. Motsvarande bestämmelser bör införas i de nya registerförfattningarna men det bör förtydligas att bestämmelserna enbart reglerar hur länge personuppgifter får behandlas för ändamål inom respektive registerförfattnings tillämpningsområde. Bestämmelser om föreskriftsrätt avseende fortsatt behandling inom tillämpningsområdet Av registerförfattningarna framgår att regeringen, i några fall också den myndighet som regeringen bestämmer, kan meddela föreskrifter om att vissa kategorier av personuppgifter får behandlas i den brottsbekämpande verksamheten än vad som framgår av lag, se exem- Prop. 2017/18:269 pelvis 4 kap. 2 § 1 tullbrottsdatalagen och 3 kap. 12 § polisdatalagen. finns även fortsättningsvis behov av att kunna meddela sådana föreskrifter. Upplysningsbestämmelser om sådana föreskrifter bör därför finnas även i de nya registerförfattningarna, men det bör förtydligas att de endast omfattar behandling av personuppgifter för ändamål inom registerförfattningarnas tillämpningsområde. Konsekvenserna av att uppgifter har arkiverats Att uppgifter har arkiverats, oavsett om det görs digitalt eller i pappers- form, innebär inte att det är förbjudet att på nytt behandla personuppgif- terna för något av de ändamål som anges i en registerförfattning. Polis- myndigheten har efterfrågat ett förtydligande av vad som krävs för åter- förande av personuppgifter för något av de ändamål som anges i en regis- terförfattning, mot bakgrund av skillnader i tolkning av finalitetsprinci- pens tillämplighet på dataskyddsförordningen respektive dataskyddsdi- rektivets område. Även Kriminalvården efterfrågar ett klargörande om hur frågor om bevarande av personuppgifter ska hanteras när uppgifter som behandlats under ett regelverk övergår till att behandlas under ett annat regelverk. När uppgifter avskiljs och behandlas uteslutande för arkivändamål be- handlas de inte längre enligt brottsdatalagen och omfattas inte av data- skyddsdirektivets reglering, utan behandlingen styrs av dataskyddsför- ordningen och dataskyddslagen. Om uppgifter därefter återförs till den operativa verksamheten sker en ny insamling av uppgifter på brottsdata- lagens område, och någon bedömning enligt finalitetsprincipen ska där- för inte göras. Insamlingen förutsätter dock att det finns en tillåten rätts- lig grund och att regleringen i övrigt tillåter den nya behandlingen. typiskt exempel kan vara att det kommer fram uppgifter som gör att en nedlagd förundersökning som har arkiverats bör återupptas eller att fråga om resning eller annat extraordinärt rättsmedel aktualiseras beträffande en dom eller ett beslut som har fått laga kraft. Ny behandling av de arki- verade uppgifterna kan då påbörjas för det ändamålet. Bestämmelser om föreskriftsrätt avseende fortsatt användning av digitalt Som nämnts tidigare framgår av registerförfattningarna att regeringen eller den myndighet som regeringen bestämmer har möjlighet att med- dela föreskrifter om digital arkivering, se exempelvis 4 kap. 2 § 3 tullbrottsdatalagen och 2 kap. 12 § andra stycket polisdatalagen. brottsbekämpande myndigheternas registerförordningar föreskrivs det att personuppgifterna ska avskiljas från myndighetens brottsbekämpande eller operativa verksamhet vid digital arkivering, se exempelvis 11 § tullbrottsdataförordningen och 19 § polisdataförordningen. uppgifterna inte ska vara digitalt åtkomliga i den verksamheten. alltså inte vara möjligt för vem som helst att enkelt söka fram de digitalt Normalt bör det bara vara arkivarier som förfogar över uppgifterna och kan göra sökningar i dem. Med hänsyn till att arkivlagen inte hindrar eller ställer upp några be- gränsningar för fortsatt automatiserad behandling av arkiverade uppgifter 2017/18:269 finns det även i fortsättningen behov av att kunna meddela föreskrifter till skydd för den personliga integriteten vid digital arkivering. Bestäm- melserna om föreskriftsrätt avseende fortsatt behandling av digitalt arki- verade uppgifter bör därför finnas kvar. Frågan är dock om bestämmel- serna ska finnas kvar i registerförfattningarna eller placeras i annan reg- lering. Behandling av uppgifter som görs för arkivändamål styrs av data- skyddsförordningen. Det kan därför ifrågasättas, så som gör, om bestämmelser om föreskriftsrätt avseende fortsatt behandling av uppgifter som har arkiverats digitalt bör placeras i registerförfattningar som reglerar personuppgiftsbehandlingen inom brottsdatalagens tillämpningsområde. Syftet med föreskrifterna om digital arkivering är att förhindra att upp- gifterna fortsätter att behandlas på samma sätt som trots att beva- randet inte längre sker för verksamhetsändamål utan för arkivändamål. Föreskrifterna utgör därmed en del av det skydd för enskildas integritet som övriga bestämmelser i registerförfattningarna för med sig. Dessa omständigheter, i kombination med att det inte finns någon annan mer naturlig placering av bestämmelserna, ger tillräckliga skäl för att placera bestämmelserna i registerförfattningarna. Det bör dock tydliggöras att föreskriftsrätten avser begränsningar av den behandling som sker av arkiverade uppgifter inom registerförfattningarnas tillämpningsområde. Med anledning av invändning om att det finns ett behov av att närmare utreda frågor som rör förhållandet mellan data- skyddsregler och arkivrättsliga regler finns det skäl att återigen nämna att det pågår en utredning med uppdrag att se över arkivområdet (se av- snitt 5.5.2). 5.5.4Omständigheter som påverkar längsta tid för behandling i underrättelseverksamhet Regeringens förslag: Det är bara uppgifter om en persons anknytning till brottslig verksamhet som ska påverka längsta tid för behandling av personuppgifter i underrättelseverksamhet. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen tillstyrker utredningens förslag att endast uppgifter om en persons anknytning till brottslig verksamhet ska påverka längsta tid för behandling av personuppgifter i underrättelse- verksamhet och bedömningen att tiden för hur länge personuppgifter får behandlas inte ska kunna påverkas av vilka uppgifter som helst. Säker- hets- och integritetsskyddsnämnden och bedömer att det är angeläget att det tydliggörs om en ny registrering avseende en person förlänger tiden för behandling enbart avseende den personen, eller om registreringen även påverkar tiden för behandling avseende personer som har anknytning till samma brottsliga verksamhet. ser positivt på att det förtydligas vilka omständigheter som kan påverka längsta tid för behandling i underrättelseverksamhet. stanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: föreskrivs det i vissa bestäm- Prop. 2017/18:269 melser att den tid som personuppgifter får behandlas i underrättelseverk- samhet kan förlängas om en ny registrering avseende personen i fråga 3 kap. 14 §, 4 kap. 20 § 4 kap. 9 § tullbrottsdatalagen. Det framgår emellertid inte av bestämmel- serna vad den registrering som kan föranleda att personuppgifter får fort- sätta att behandlas ska avse. Tiden för hur länge personuppgifter får behandlas ska inte kunna påverkas av vilka uppgifter som helst. En upp- gift i form av en anteckning om att någon begärt ut en allmän handling som innehåller personuppgifter är ett exempel på en sådan uppgift som inte ska kunna föranleda förlängning av den tid som personuppgifterna får behandlas. Vidare saknar normalt t.ex. ny folkbokföringsadress, nytt registreringsnummer på fordon som personen disponerar eller någon annan sådan uppgift betydelse för frågan om personen utövar eller kan komma att utöva brottslig verksamhet. Det bör därför tydliggöras att endast sådana omständigheter som har betydelse för personens anknyt- ning till brottslig verksamhet ska påverka hur länge personuppgifterna får behandlas. En sådan omständighet kan vara att personen har begått brott, men det bör då vara fråga om ett brott som har någon anknytning till den brottsliga verksamheten. Att en person gör sig skyldig till en helt annan typ av brottslighet torde sällan ha en sådan betydelse. och efter- frågar ett tydliggörande av om en ny registrering avseende en person kan förlänga tiden för behandling även för andra personer med anknytning till samma brottsliga verksamhet. Det är inte uteslutet att så kan vara fallet. Till exempel kan ett brott begånget av en person innebära att miss- tankarna mot en annan person stärks eftersom det tydliggör att båda har starka kopplingar till en viss plats, en viss annan person eller en viss företeelse. I vilka fall en ny registrering avseende en person ska påverka tiden för behandling avseende personer som har anknytning till samma brottsliga verksamhet måste dock avgöras från fall till fall. 5.6Särskilt om elektroniskt utlämnande 5.6.1 Olika former av elektroniskt utlämnande Det finns inte någon legaldefinition av uttrycket direktåtkomst. vanligtvis avses med direktåtkomst är att någon har direkt tillgång till någon annans register eller databas och på egen hand kan söka efter in- formation, dock utan att kunna påverka innehållet i registret eller databa- Enligt bör direktåtkomst anses föreligga om en myndighet hos en annan myndighet har sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § andra stycket tryckfri- hetsförordningen, dvs. om upptagningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas (se Myndighetsdatalag, SOU 2015:39, s. 390 f.). 2017/18:269 stolen använde i avgörandet HFD 2015 ref. 61, som avsåg utlämnande av uppgifter i form av upptagning mellan myndigheter, samma definition av direktåtkomst. I begreppet direktåtkomst ligger också att den som är personuppgiftsansvarig för registret eller databasen saknar kontroll över vilka uppgifter som den som har direktåtkomst vid ett visst tillfälle tar del av. Från integritetssynpunkt har det därför ansetts viktigt att frågor om tillgång till uppgifter genom direktåtkomst regleras särskilt i register- lagstiftningarna (se Ökat informationsutbyte mellan arbetslöshetsförsäk- ringen, socialförsäkringen och studiestödet, prop. 2000/01:129, s. 74, Lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten, prop. 2001/02:144, s. 35 f. och Elektronisk informations- överföring hos arbetslöshetskassorna och inom , prop. 2005/06:52, s. 8). Vid direktåtkomst fattas beslutet om överföring i varje enskilt fall av mottagaren. Den faktiska begränsningen av direktåtkomsten görs med hjälp av olika tekniska lösningar, beroende på hur omfattningen av direktåtkomsten har begränsats i det enskilda fallet. Utlämnande på medium för automatiserad behandling I princip anses allt elektroniskt utlämnande som inte sker genom direkt- åtkomst ske genom utlämnande på medium för automatiserad behand- ling. Som nämnts ovan har ansett att gränsdragningen mellan vad som är direktåtkomst och annat utlämnande på medium för automatiserad behandling beror på om den aktuella upp- giften kan anses förvarad hos den mottagande myndigheten enligt 2 kap. 3 § andra stycket tryckfrihetsförordningen (HFD 2015 ref. 61). Utlämnande av personuppgifter på medium för automatiserad behand- ling kan alltså göras på många olika sätt. Det kan vara fråga om att per- sonuppgifter lämnas t.ex. via upptagningar mellan myndigheter, e-post eller USB-minne. Begreppet anses omfatta överlämnande av elektroniskt lagrade uppgifter via alla slags medium för lagring och överföring (se Överskottsinformation vid direktåtkomst, SOU 2012:90, s. 198). 5.6.2 Behovet av att kommunicera elektroniskt Myndigheter som sysslar med brottsbekämpning, lagföring och straff- verkställighet har stora behov av att kommunicera med såväl andra myn-