prop · H503248 · 2018-04-19 00:00:00 — I promemorian föreslås att personuppgifter ska få vidarebehandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen. Remissinstanserna: Kammarrätten i ifrågasätter att det används olika begrepp i kriminalvårdsdatalagen respektive förslaget till lag om kriminalvårdens behandling av personuppgifter på brottsdatalagens område. Övriga remissinstanser har inga invändningar mot förslagen. Skälen för regeringens förslag Av 3 § lagen om behandling av personuppgifter inom kriminalvården framgår att Kriminalvården får behandla personuppgifter bara om det behövs för att 1.myndigheten ska kunna fullgöra sina uppgifter i enlighet med vad som föreskrivs i lag eller förordning, 2.underlätta tillgången till sådana uppgifter om verkställighet av påföljd eller häktning som rättsväsendets myndigheter behöver, eller 3.upprätthålla säkerheten och förebygga brott som någon av åtgärderna enligt 1 § första stycket 2–9 pågår, t.ex. häktning. Personuppgifter som behandlas enligt 3 § första stycket får också behandlas om det behövs för tillsyn, planering, uppföljning och kvalitetssäkring av verksamheten. Ändamålsbestämmelserna anger den yttersta ram inom vilken uppgifter Bestämmelser om primära ändamål tillgodoser Kriminal- 2017/18:248 vårdens eget behov av att behandla personuppgifter medan sekundära ändamål bl.a. reglerar i vilken utsträckning uppgifter som samlas in för Kriminalvårdens egen verksamhet får vidarebehandlas för att lämnas ut till enskilda eller till andra myndigheter. Ändamålsbestämmelser är sådana specifika bestämmelser som anpass- ar tillämpningen av dataskyddsförordningen och säkerställer en laglig och rättvis behandling. Sådana bestämmelser är enligt artikel 6.2 och 6.3 i dataskyddsförordningen tillåtna i nationell rätt. Enligt artikel 23.2 a ska dessutom lagstiftning som begränsar tillämpningsområdet för förordning- ens rättigheter och skyldigheter innehålla specifika ändamålsbestämmel- ser, när så är relevant. Regeringen bedömer mot denna bakgrund att data- skyddsförordningen medger att det införs ändamålsbestämmelser i krimi- Tillämpningsområdet för kriminalvårdsdatalagen föreslås begränsas till personuppgiftsbehandling i Kriminalvårdens verksamhet som avser verk- ställande av frihetsberövanden och genomförande av transporter. att knyta ändamålsbestämmelsen till lagens tillämpningsområde blir Enligt promemorians förslag ska myndigheten få be- handla sådana personuppgifter om det behövs för att utföra en av dessa Kammarrätten i anser att det framstår som mindre lämpligt att använda begreppet ”behövs” i kriminalvårdsdata- lagen och ”nödvändigt” i lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område om det inte finns någon Det kan konstateras att det av dataskyddsförordningen följer att uppgifter får behandlas om behandlingen av olika angivna an- ledningar är nödvändig (artikel 6.1 c och e). Det är också begreppet nödvändig som föreslås i dataskyddslagen, se 2 kap. 1 och 2 §§ (prop. 2017/18:105). Vidare föreslås det i såväl brottsdatalagen, 2 kap. 1 § 2017/18:232), som lagen om kriminalvårdens behandling av per- sonuppgifter inom brottsdatalagens område, 2 kap. 1 § (lagrådsremissen Brottsdatalag - kompletterande lagstiftning). lag förs ett utförligt resonemang kring nödvändighetsrekvisitet (SOU 2017:29 s. 237 f.). Det konstateras där att kravet på nödvändighet bör tolkas som att det är fråga om något som behövs för att på ett effektivt sätt kunna utföra arbetsuppgiften. Regeringen instämmer i kammar- rättens synpunkt att det är lämpligare att använda samma begrepp i de lagar som Kriminalvården har att tillämpa och föreslår därför att be- greppet nödvändigt används även i kriminalvårdsdatalagen. instämmer vidare i den tolkning av begreppet som görs i betänkandet Personuppgiftsbehandling för tillsyn, kontroll, uppföljning och plane- ring av verksamheten är en sådan integrerad del av själva verksamheten att även detta faller in under bestämmelsen. Kriminalvårdens säkerhetsregister, som regleras i förordningen om behandling av personuppgifter inom kriminalvården, föreslås i lag- rådsremissen Brottsdatalag – kompletterande lagstiftning regleras i lagen om kriminalvårdens behandling av personuppgifter inom brottsdata- Inom ramen för Kriminalvårdens omfattande förebygg- ande säkerhetsarbete är det av yttersta vikt att Kriminalvården kan an- vända sig av uppgifterna i säkerhetsregistret. Det behöver därför förtyd- ligas att Kriminalvården har rätt att behandla personuppgifter i säkerhets- registret även vid verkställighet av frihetsberövanden och genomförande av transporter för att förebygga och förhindra incidenter av betydelse för enskildas säkerhet. Sekundära ändamålsbestämmelser och finalitetsprincipen Av 9 § lagen om behandling av personuppgifter inom kriminalvården framgår att uppgifter som är nödvändiga för att framställa rättsstatistik ska lämnas ut till den myndighet som ansvarar för att framställa sådan statistik. Därutöver kan personuppgifter vidarebehandlas i den mån det är tillåtet enligt 9 § personuppgiftslagen. Enligt den s.k. finalitetsprincipen får personuppgifter inte vidarebehandlas för något annat ändamål som är oförenligt med insamlingsändamålen. Detta kommer till uttryck bl.a. i 9 § första stycket c och d personuppgiftslagen. Av 9 § andra stycket följer dock att en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska ses som oförenlig med de ändamål för vilka uppgifterna samlades in. Av 8 § andra stycket personuppgiftslagen följer att lagen inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Finalitetsprincipen kommer till uttryck i artiklarna 5.1 b och 6.4 i dataskyddsförordningen. Enligt de artiklarna ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen. Av artikel 89.1 framgår att sådan behandling ska omfattas av lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. En allmän förutsättning för sådan behandling som sker för utlämnande till andra bör vara att uppgiftslämnandet sker i överenstämmelse med lag eller förordning, dvs. med stöd av bestämmelser som påbjuder eller tillåter utlämnande. När bestämmelser som påbjuder eller tillåter utlämnande har införts får det förutsättas att det har gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet, och att man vid denna avvägning funnit att uppgiften ska eller får lämnas ut. I promemorian föreslås att personuppgifter ska få vidarebehandlas om det behövs för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen. Detta bedöms vara ett sådant införlivande av dataskyddsförordningen som är tillåtet enligt skäl 8 i förordningen. Regeringen anser emellertid att bestämmelsen bör ta sin utgångspunkt i att finalitetsprincipen gäller och att behandling som är förenlig med denna är tillåten. Det bör därför införas en bestämmelse som tydliggör att personuppgifter som behandlas enligt de primära ändamålsbestämmelserna även får behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Med en sådan utformning 2017/18:248 anser regeringen, till skillnad från Datainspektionen, att bestämmelsen inte behöver innehålla någon uttrycklig hänvisning till artikel 5.1 b i dataskyddsförordningen. En konsekvens av den lagtekniska lösning som regeringen föreslår är att de sekundära ändamålsbestämmelserna inte kan betraktas som uttömmande. En nackdel med en sådan reglering är att det kan bli mindre tydligt för Kriminalvården och enskilda vilken personuppgiftsbehandling som får förekomma med stöd av kriminalvårdsdatalagen. Regeringen bedömer dock att finalitetsprincipen i sig innebär ett integritetsskydd eftersom den förbjuder ytterligare behandling av personuppgifter som är oförenlig med ursprungsändamålen och att den föreslagna ordningen är godtagbar ur integritetssynpunkt. Det är inte ovanligt att sekundära ändamålsbestämmelser i registerförfattningar innehåller hänvisningar till finalitetsprincipen. En sådan lösning föreslås även i 7 § andra stycket domstolsdatalagen (prop. 2017/18:113). Den praktiska skillnaden mellan promemorians och regeringens förslag är sannolikt mycket begränsad. Därtill kommer den begränsning som följer av att de primära ändamålsbestämmelserna är uttömmande. Behandling av känsliga personuppgifter Regeringens förslag: Känsliga personuppgifter ska få behandlas endast om det är absolut nödvändigt för syftet med behandlingen. Promemorians förslag överensstämmer i huvudsak med regeringens. I promemorian föreslås även att känsliga personuppgifter inte får utgöra den enda grunden för behandling av uppgifter om en person. Remissinstanserna: Datainspektionen avstyrker promemorians för- slag och anser dels att det inte är förenligt med dataskyddsförordningen att förutsätta att proportionalitetsbedömningar och övriga krav på ett undantag enligt artikel 9 har gjorts i tidigare lagstiftningsarbete, dels att det bör göras en hänvisning till artikel i dataskyddsförordningen för att klargöra med vilket stöd behandlingen av känsliga personuppgifter Kriminalvården anser att myndigheten bör ha möjlighet att behand- la biometriska uppgifter. Övriga remissinstanser har inga invändningar Skälen för regeringens förslag: Känsliga personuppgifter får enligt 5 § första stycket lagen om behandling av personuppgifter inom krimi- nalvården inte behandlas enbart på grund av vad som är känt om person- ens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. stycket framgår att om uppgifter om en person behandlas på annan grund får uppgifterna kompletteras med sådana uppgifter som avses i första stycket, men bara om det är absolut nödvändigt för syftet med behand- Enligt 4, 12 och 32 §§ förordningen om behandling av person- uppgifter inom kriminalvården får känsliga personuppgifter i vissa fall behandlas om det är oundgängligen nödvändigt för syftet med behand- Därutöver finns viss reglering i personuppgiftslagen. Behandling av känsliga personuppgifter är förbjuden enligt huvudreg- eln i artikel 9.1 i dataskyddsförordningen. avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Artikel 9.1 i förordningen omfattar nya kategorier av uppgifter jämfört med motsvarande bestämmelse dataskyddsdirektiv (artikel 8.1). Tillägget av genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person utgör en utvidgning jämfört med den nuvarande ordningen. Dataskyddsförordningens förbud mot behandling av känsliga personuppgifter kompletteras med en rad undantag som tillåter sådan behandling i vissa fall. Ett av undantagen innebär att förbudet inte gäller om det är nödvändigt att behandla känsliga personuppgifter med hänsyn till ett viktigt allmänt intresse (artikel i förordningen). I promemorian görs bedömningen att den del av Kriminalvårdens verksamhet som faller inom lagens tillämpningsområde är sådan där undantaget i artikel i förordningen är tillämpligt. Regeringen instämmer i den bedömningen. I propositionen Brottsdatalag föreslås att känsliga personuppgifter endast ska få behandlas om det är absolut nödvändigt med hänsyn till syftet med behandlingen (2 kap. 11 § andra stycket i förslaget till brottsdatalag). I promemorian föreslås att motsvarande begränsning ska införas i kriminalvårdsdatalagen. Bestämmelser om begränsning av behandling av känsliga personuppgifter utgör enligt regeringen sådana specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen som är tillåtna enligt artikel 6.2 i förordningen. I skäl 10 i dataskyddsförordningen anges att medlemsstaternas handlingsutrymme att specificera sina bestämmelser även gäller för behandling av känsliga personuppgifter. Regeringen gör bedömningen att samma behov av att kunna behandla vissa känsliga personuppgifter gör sig gällande både inom den del av Kriminalvårdens personuppgiftsbehandling som faller inom brottsdatalagens tillämpningsområde som den del som faller under dataskyddsförordningen. Det är också en fördel för Kriminalvården om samma förutsättningar för att behandla känsliga personuppgifter gäller enligt de båda regelverken. Det bör därför endast vara tillåtet att behandla känsliga personuppgifter om det är absolut nödvändigt för syftet med behandlingen, även avseende personuppgiftsbehandling som faller under kriminalvårdsdatalagens tillämpningsområde. I promemorian föreslås även att känsliga personuppgifter inte ska få utgöra den enda grunden för behandling av personuppgifter. Regeringen gör dock bedömningen att det är tillräckligt med den begränsning som följer av att känsliga personuppgifter bara får behandlas om det är absolut nödvändigt. Regeringen konstaterar vidare att varken dataskyddsförordningen eller dataskyddslagen innehåller begränsningen att biometriska och genetiska uppgifter endast får behandlas om det är särskilt föreskrivet, vilket föreslås i brottsdatalagen (prop. 2017/18:232, avsnitt 8.1.4). Kriminalvården kan således behandla biometriska uppgifter om det är absolut nödvändigt för syftet med behandlingen. Det finns därför inte behov av en sådan särskild bestämmelse som möjliggör behandling av biometriska personuppgifter som Kriminalvården har efterfrågat. 2017/18:248 Till skillnad mot Datainspektionen anser regeringen inte att det behövs någon hänvisning till artikel i dataskyddsförordningen för att klargöra med vilket stöd behandlingen av känsliga personuppgifter sker. Regeringens förslag: Det ska vara förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Sökförbudet ska dock inte hindra sökning i personuppgifter i säkerhetsregistret i syfte att få fram ett urval av personer grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning. Promemorians förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: ser problem med att förbjuda sök- ningar som sker i ett visst syfte, eftersom det enligt verket kan vara svårt att såväl när en sökning genomförs som i efterhand bedöma syftet med sökningen. Datainspektionen bedömer att det föreslagna sökförbudet inte träffas av begränsningsregeln i 2 kap. 3 § tredje stycket tryckfrihetsförordningen och att frågan om Kriminalvårdens skyldighet att ta fram och lämna ut integritetskänsliga sammanställningar behöver övervägas vidare. Övriga remissinstanser har inga invändningar mot förslagen. Skälen för regeringens förslag: Enligt 5 § tredje stycket lagen om behandling av personuppgifter inom kriminalvården får sådana personuppgifter som anges i första stycket, t.ex. uppgifter om politiska åsikter eller hälsa, inte användas som sökbegrepp om inte regeringen har föreskrivit det. I förarbetena till lagen framhölls att det med hänsyn till den dömde, andra intagna och kriminalvårdens personal är helt nödvändigt att kriminalvården vid placeringen av den dömde får behandla alla uppgifter av betydelse för säkerheten. Det kan då vara nödvändigt att behandla känsliga uppgifter, t.ex. om etnisk tillhörighet, sexuell läggning och medlemskap i vissa extrema organisationer eller anknytning till sådana rörelser. Samma intressen bedömdes göra sig gällande när det gäller behandling av personuppgifter för häktade (prop. 2000/01:126 s 31–32). Enligt 41 § tredje stycket andra meningen förordningen om behandling av personuppgifter inom kriminalvården får känsliga personuppgifter användas som sökbegrepp för sökning i säkerhetsregistret. Regeringen gör bedömningen att sökbegränsningar utgör sådana specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen som är tillåtna enligt artikel 6.2 i förordningen. Av skäl 10 i förordningen framgår att medlemsstaternas handlingsutrymme att specificera sina bestämmelser även gäller för behandling av känsliga personuppgifter. En sökbegränsning utgör även en sådan skyddsåtgärd som avses i artikel i dataskyddsförordningen. I promemorian föreslås att det, på samma sätt som i förslaget till en ny brottsdatalag enligt propositionen Brottsdatalag (prop. 2017/18:232, avsnitt 8.1.4), ska införas ett sökförbud avseende känsliga personuppgifter. Vissa sökningar i säkerhetsregistret förslås dock få göras i likhet med vad som föreslås gälla enligt lagen om kriminalvårdens behandling av per- sonuppgifter inom brottsdatalagens område (lagrådsremissen Brottsdatalag – kompletterande lagstiftning). Regeringen instämmer i promemorians bedömning att det bör vara förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Kriminalvården har dock även i fortsättningen behov av att kunna använda känsliga personuppgifter vid sökning i personuppgifter i säkerhetsregistret. Det bör därför införas ett undantag från det generella sökförbudet. Samma behov av att kunna behandla vissa känsliga personuppgifter gör sig gällande både inom den del av Kriminalvårdens personuppgiftsbehandling som faller inom brottsdatalagens tillämpningsområde som inom den del som faller under dataskyddsförordningen. Det är en fördel för Kriminalvården att i huvudsak samma förutsättningar för att behandla känsliga personuppgifter gäller enligt båda regelverken. Den lagtekniska lösning som föreslås i promemorian är att det genom en hänvisning till 3 kap. 5 § lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område ska framgå att sökning i säkerhetsregistret får göras enligt vad som framgår av den särskilda regleringen av kriminalvårdens säkerhetsregister som finns i den lagen. Mot bakgrund av att lagen om behandling av personuppgifter inom kriminalvården, som föreslås byta namn till lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område, ännu inte har ändrats är det inte möjligt med någon sådan hänvisning. I lagrådsremissen Brottsdatalag – kompletterande lagstiftning föreslås att sökförbudet i brottsdatalagen inte ska hindra sökning i personuppgifter i syfte att få fram ett personurval grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning. I stället för en hänvisning till lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område bör det framgå av kriminalvårdsdatalagen att sökbudet inte ska hindra sökning i personuppgifter i säkerhetsregistret i syfte att få fram ett urval av personer grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning. ser problem med det sökförbud som föreslås eftersom det enligt verket kan vara svårt att bedöma syftet med en viss sökning. Det exempel tar upp är att om allmänheten begär att en behörig myndighet ska ta fram vissa uppgifter för ett utlämnande, får myndigheten som regel inte efterfråga vad syftet med begäran är. Regeringen gör här följande överväganden. Vid utlämnande av en allmän handling som sker på begäran av en enskild har tryckfrihetsförordningens bestämmelser företräde framför dataskyddsregelverket (prop. 2017/18:105 s. 40 f.). Den behöriga myndigheten har att i varje enskilt fall bedöma om den sammanställning av uppgifter som efterfrågas utgör en allmän handling hos myndigheten. Utgör sammanställningen en allmän handling ska den lämnas ut, såvida inte uppgifterna i den omfattas av sekretess. Detta gäller även om det är fråga om känsliga personuppgifter som har sammanställts genom sökning. Sekretessbestämmelser som kan vara tillämpliga i sammanhanget är bl.a. 18 kap. 11 § och 35 kap. 15 § offentlighets- och sekretesslagen (2009:400), OSL. Datainspektionen, som bedömer att det föreslagna sökförbudet inte träffas av begränsningsregeln i 2 kap. 3 § tredje stycket tryckfrihetsför- 2017/18:248 ordningen, menar att frågan om Kriminalvårdens skyldighet att ta fram och lämna ut integritetskänsliga sammanställningar behöver övervägas vidare. Regeringen har i propositionen Brottsdatalag gjort bedömningen att den befintliga sekretessregleringen ger ett väl avvägt skydd för både enskilda och allmänna intressen i där aktuellt avseende och att en regel om absolut sekretess för uppgifter i sammanställningar av känsliga personuppgifter hos behöriga myndigheter därför inte behöver införas (prop. 2017/18:232, avsnitt 15.4). Regeringen gör även här bedömningen att befintliga sekretessregler är ett tillräckligt skydd när det gäller sammanställningar av känsliga personuppgifter och att det mot den bakgrunden inte finns behov av en bestämmelse om absolut sekretess. Regeringens förslag: Tillgången till personuppgifter ska begränsas till det som var och en behöver för att fullgöra sina arbetsuppgifter inom . Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens förslag: Enligt 6 § första stycket lagen om behandling av personuppgifter inom kriminalvården ska direktåtkomst till de personuppgifter som behandlas enligt den lagen vara förbehållen de personer som på grund av sina arbetsuppgifter inom kriminalvården behöver tillgång till uppgifterna. I förarbetena till lagen framhöll regeringen att det ur integritetssynpunkt är angeläget att åtkomsten till de uppgifter som behandlas inte är vidare än nödvändigt. Endast personer som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna bör därför ha direktåtkomst till dem (prop. 2000/01:126 s. 35). Den personuppgiftsansvarige har enligt artiklarna 24.1 och 32 i dataskyddsförordningen skyldighet att se till att en lämplig säkerhetsnivå för behandling av personuppgifter upprätthålls genom lämpliga tekniska och organisatoriska åtgärder. I promemorian görs bedömningen att bestämmelser om vilka säkerhetsåtgärder som ska vidtas i en viss verksamhet utgör sådana specifika krav på personuppgiftsbehandling som kan föreskrivas i nationell rätt (artikel 6.2 i dataskyddsförordningen). Regeringen instämmer i den bedömningen. Att det finns lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen är vidare en förutsättning för att känsliga personuppgifter ska få behandlas för ett viktigt allmänt intresse (artikel i dataskyddsförordningen). Förordningen ger alltså möjlighet att reglera tillgången till personuppgifter i författning. Regeringen bedömer mot den bakgrunden att en bestämmelse som motsvarar den nuvarande 6 § första stycket lagen om behandling av personuppgifter inom bör finnas i den nya lagen. 5.9Sekretess ska gå före skyldigheten att informera om personuppgiftsincidenter