prop · H503232 · 2018-04-19 00:00:00 — Det vore inte rimligt att kräva en noggrannare prövning för behandling för nya ändamål inom ramlagens tillämpnings- område än utanför det. Det kan tilläggas att personuppgifter som behandlas med stöd av data- skyddsförordningen i regel endast får behandlas för nya ändamål om be- handlingen är förenlig med finalitetsprincipen. Det måste således göras en prövning av om det nya ändamålet är förenligt med det ändamål som uppgifterna samlades in för, när personuppgifter vidarebehandlas enligt förordningen. Som anges i avsnitt 7.6.3 blir finalitetsprincipen inte till- lämplig när personuppgifter som behandlas med stöd av ramlagen ska behandlas för nya ändamål inom dataskyddsförordningens tillämpnings- område, eftersom det då blir fråga om en ny behandling enligt förord- ningen. Även om det är olika prövningar som ska göras krävs det alltså en prövning innan personuppgifter behandlas för nya ändamål både inom ramlagens och inom dataskyddsförordningens tillämpningsområde. Mot den bakgrunden anser regeringen, i likhet med utredningen, att det är rimligt att kräva en prövning även när personuppgifter som behandlas med stöd av ramlagen ska behandlas för ändamål utanför lagens tillämp- ningsområde. En bestämmelse om det bör föras in i ramlagen. Med an- ledning av Datainspektionens och tveksamhet till att placera en sådan bestämmelse i ramlagen kan påpekas att prövningen ska göras innan behandlingen av personuppgifterna för det nya ändamålet påbörjas. Vidare är syftet med bestämmelsen att personuppgifter som behandlas med stöd av ramlagen inte används på ett integritetskränkande sätt. Mot den bakgrunden och då det inte finns någon annan naturlig placering av bestämmelsen anser regeringen att den bör införas i ram- lagen. Som framgår av avsnitt 7.6.1 innehåller de sekundära ändamålsbestäm- melserna som finns i de brottsbekämpande myndigheternas regis- terförfattningar särskilda regler om vad som gäller när redan insamlade uppgifter ska behandlas för nya ändamål. Dagens reglering innebär att det ska prövas om det är nödvändigt att tillhandahålla personuppgifterna i de situationer som räknas upp i de sekundära ändamålsbestämmelserna. För att och ska få lämna information till andra verksamheter inom respektive myndighet krävs det också särskilda skäl (se 2 kap. 8 § första stycket 4 polisdatalagen och 2 kap. 6 § första stycket 4 tullbrottsdatalagen). I förarbetena framhålls att kravet på sär- skilda skäl innebär att information inte får tillhandahållas rutinmässigt utan att det i det enskilda fallet måste finnas särskilda skäl som talar för att informationen bör tillhandahållas den andra verksamheten (prop. 2009/10:85 s. 322 och prop. 2016/17:91 s. 102). Som nämnts föreslår regeringen i avsnitt 7.6.2 att det ska prövas om det är nödvändigt och proportionerligt att personuppgifter behandlas för ett nytt ändamål inom ramlagens tillämpningsområde. Syftet med kravet på proportionalitet är att det ska göras en bedömning av behovet av att behandla personuppgifter för nya ändamål ställt i relation till intrånget i den personliga integriteten. Oavsett om man ställer krav på särskilda skäl eller nödvändighet och proportionalitet är det centrala att det görs en prövning av skälen för att behandla personuppgifter för ett nytt ändamål innan uppgifterna behand- las för det ändamålet. Det skulle skapa en enhetlig tillämpning och underlätta för myndigheterna om den prövning som ska göras innan personuppgifter behandlas för nya ändamål är densamma oavsett om det nya ändamålet ligger inom eller utanför ramlagens tillämpningsområde. Regeringen håller därför med utredningen om att den prövning som bör krävas innan personuppgifter behandlas för nya ändamål utanför ramlagens tillämpningsområde bör avse om det är nödvändigt och pro- portionerligt att personuppgifterna behandlas för det nya ändamålet. En sådan prövning utgör en lämplig avvägning mellan mottagarens behov av personuppgifterna och skyddet för enskildas personliga integritet. Eftersom prövningen är ett krav som ställs när personuppgifter som be- handlas med stöd av ramlagen ska behandlas för ändamål utanför den lagen, kommer kravet inte i konflikt med regleringen i dataskyddsförord- ningen. Innan personuppgifter behandlas för ett nytt ändamål inom ramlagens tillämpningsområde ska det enligt förslaget i avsnitt 7.6.2 även säkerstäl- las att det finns en tillåten rättslig grund för den nya behandlingen. Att det ska finnas en rättslig grund för behandlingen när personuppgifter behandlas för ändamål utanför ramlagens tillämpningsområde kommer i de allra flesta fall att regleras i artikel 6 i dataskyddsförordningen och bör inte upprepas i den nationella regleringen. Det bör därför framgå att det innan behandling påbörjas för ett nytt ändamål utanför ramlagens till- lämpningsområde – utöver de krav som gäller enligt förordningen – ska säkerställas att det är nödvändigt och proportionerligt att personuppgif- terna behandlas för det nya ändamålet. Lagrådet anser att det är oklart hur den nu aktuella prövningen förhål- ler sig rättsligt och praktiskt till den nya prövning som ska göras enligt dataskyddsförordningen och påpekar att den föreslagna regleringen sak- nar stöd i direktivet och dataskyddsförordningen. inte tillstyrka den föreslagna paragrafen utan anser att den ska utgå. det har konstaterats ovan innebär prövningen att innan behandling påbörjas för ett nytt ändamål utanför ramlagens tillämpningsområde ska det säkerställas att det är nödvändigt och proportionerligt att personupp- gifterna behandlas för det nya ändamålet. Regeringen bedömer därför att prövningen inte kommer i konflikt med regleringen i dataskyddsförord- Enligt regeringen hindrar inte heller regleringen i direktivet att en sådan prövning införs. Direktivet medger tvärtom att medlemsstaterna har starkare skyddsåtgärder än vad som krävs enligt direktivet (se bl.a. Som anförts ovan föreslår regeringen i avsnitt 7.6.2 att det ska göras en särskild prövning innan personuppgifter som behandlas enligt ramlagen ska behandlas för nya ändamål inom ramlagens tillämpningsområde. Genom prövningen ska det bl.a. säkerställas att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Enligt dataskyddsförordningen ska i motsvarande situation en prövning enligt finalitetsprincipen göras. Som anges i avsnitt 7.6.3 blir finalitets- principen dock inte tillämplig när personuppgifter som behandlas med stöd av ramlagen ska behandlas för nya ändamål inom dataskyddsförord- ningens tillämpningsområde, eftersom det då blir fråga om en ny behand- ling enligt förordningen. Om en prövning av nödvändighet och propor- tionalitet inte skulle krävas vid behandling för nya ändamål utanför ramlagens tillämpningsområde, skulle det uppstå en omotiverad skillnad mellan de två situationerna och en lucka i dataskyddsregelverket i den Regeringen föreslår mot denna bakgrund inte någon ändring i förhållande till lagrådsremissens lagförslag i det här avseendet. prövningen ska göras i praktiken bör överlämnas till rättstillämpningen. efterfrågar klargöranden i fråga om i vilka situatio- ner uppgifter kan lämnas för nya ändamål. I avsnitt 7.6.2 utvecklas vad kraven på nödvändighet och proportionalitet innebär. när det skulle kunna vara nödvändigt och proportionerligt att behandla uppgifter för nya ändamål utanför ramlagens tillämpningsområde kan Det kan finnas information i brotts- bekämpande verksamhet om att en person har sådana kontakter i krimi- nella kretsar att han eller hon vid en helhetsbedömning t.ex. ter sig olämplig för att få en viss befattning eller tillstånd att bedriva viss verk- Det kan då anses vara nödvändigt och proportionerligt att infor- mationen tillhandahålls för att användas vid prövningen av anställnings- Det kan på motsvarande sätt vara nödvändigt och proportionerligt att lämna information om det i brottsbekäm- pande verksamhet kommer fram uppgifter om hur personer kringgår regelverket som har betydelse för hur verksamheten Effektiv handel bör inrikta sina kontroller. Vidare får det anses både nödvändigt och propor- tionerligt att personuppgifter som behandlas i brottsbekämpande verk- samhet behandlas för arkivering. Av avsnitt 7.5 framgår att dagens bestämmelser i de brottsbekämpande myndigheternas registerförfattningar om primära och sekundära ändamål inte bör ses som ändamålsbestämmelser, utan snarare bestämmelser om Prop. 2017/18:232 rättslig grund för behandling av personuppgifter. även att regeringen avser att ta ställning till frågan om bestämmelserna bör behållas i samband med att registerförfattningarna anpassas till ram- lagen. Oavsett om bestämmelserna kommer att behållas eller inte gör regeringen samma bedömning i fråga om utlämnanden för ändamål utan- för ramlagens tillämpningsområde som i fråga om utlämnanden för ända- mål inom ramlagens tillämpningsområde, nämligen att den nya regle- ringen inte kommer att påverka möjligheterna för myndigheterna att lämna ut uppgifter i de fall som räknas upp i de sekundära ändamålsbe- stämmelserna. Som anges i avsnitt 7.6.2 måste det enligt regeringen som regel anses både nödvändigt och proportionerligt att behandla personupp- gifter för att tillhandahålla information i de situationer som räknas upp i de sekundära ändamålsbestämmelserna. Regeringens förslag: I den utsträckning skyldighet att lämna uppgif- ter följer av lag eller förordning ska någon prövning av om det är nöd- vändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet inte göras. Utredningens förslag överensstämmer delvis med regeringens. Utred- ningen föreslår att en prövning av om behandlingen är nödvändig och proportionerlig för det nya ändamålet ska göras innan uppgifter lämnas med stöd av 6 kap. 5 § offentlighets- och sekretesslagen (2009:400). Remissinstanserna: Ingen av remissinstanserna yttrar sig särskilt om förslaget. Skälen för regeringens förslag Enligt de sekundära ändamålsbestämmelserna är det tillåtet att lämna uppgifter i den utsträckning det finns skyldighet att göra det enligt lag eller förordning. Sådana skyldigheter kan avse ändamål både inom och utanför ramlagens tillämpningsområde. Både i förundersöknings- och brottmålsförfarandet finns det omfat- tande skyldigheter att informera myndigheter och andra. I förundersök- ningskungörelsen (1947:948) finns ingående bestämmelser om uppgifts- skyldighet. Sådana skyldigheter föreskrivs också i bl.a. förordningen (1996:271) om mål och ärenden i allmän domstol, förordningen (1990:893) om underrättelse om dom i vissa brottmål, m.m. och 12 § strafföreläggandekungörelsen (1970:60), där det regleras till vilka fysiska eller juridiska personer domar, beslut och underrättelser i brottmål ska expedieras. Liknande skyldigheter finns även på andra områden. Enligt 36 § förordningen (2001:682) om behandling av personuppgifter inom kriminalvården har en vidsträckt skyldighet att lämna underrättelser till Kriminalvården. Även i andra fall är behöriga myndigheter skyldiga att lämna viss Ett exempel är 14 kap. 1 § 2 socialtjänstlagen (2001:453) 2017/18:232 enligt vilken rättspsykiatrisk undersökningsverksamhet, Kriminalvården, och Säkerhetspolisen är skyldiga att genast anmäla till socialnämnden om de i sin verksamhet får kännedom om eller misstänker att barn far illa. Ett annat exempel är 2 § lagen (2016:774) om uppgifts- skyldighet vid samverkan mot viss organiserad brottslighet enligt vilken myndigheter som samverkar enligt lagen i vissa fall är skyldiga att lämna uppgifter till varandra. När det i lag eller förordning föreskrivs att uppgifter ska lämnas har lagstiftaren tagit ställning till att det dels är så viktigt att det ska införas en skyldighet att lämna information, dels att eventuell sekretess ska bry- tas. Lagstiftaren får då också anses ha tagit ställning till att uppgiftsläm- nandet är nödvändigt och proportionerligt. Enligt regeringens mening bör sådan uppgiftsskyldighet ersätta den föreslagna prövningen av om det är nödvändigt och proportionerligt att personuppgifter behandlas för nya ändamål, oavsett om det gäller ändamål inom eller utanför ramlagens tillämpningsområde. Det bör tydliggöras i bestämmelserna. Om det i lag eller förordning bara föreskrivs en möjlighet, men ingen skyldighet, att lämna uppgifter ska myndigheten däremot pröva om det är nödvändigt och proportionerligt att lämna dem, eftersom lagstiftaren då inte har gjort den prövningen. En annan sak är att myndighetens pröv- ning i sådana fall ofta torde mynna ut i att det är nödvändigt och propor- tionerligt att lämna uppgifterna. Uppgiftslämnande enligt 6 kap. 5 § offentlighets- och sekretesslagen En särskild fråga är hur man ska se på uppgiftslämnande med stöd av 6 kap. 5 § offentlighets- och sekretesslagen. Enligt den paragrafen ska en myndighet på begäran av en annan myndighet lämna uppgift som den förfogar över, i den mån hinder inte möter på grund av bestämmelse om sekretess eller av hänsyn till arbetets behöriga gång. Bestämmelsen anses innebära en skyldighet att lämna uppgifter (se t.ex. Behandling av per- sonuppgifter inom studiestödsområdet, prop. 2008/09:96 s. 80 och prop. 2009/10:85 s. 120 f.). Trots att uppgiftslämnande enligt paragrafen be- traktas som en uppgiftsskyldighet anser utredningen att den inte gör prövningen av nödvändighet och proportionalitet enligt ramlagen obe- hövlig. Som skäl för ställningstagandet anges att bestämmelser om sekre- tess har ett annat syfte än bestämmelser om skydd av personuppgifter. Enligt regeringen bör dock en myndighets skyldighet enligt 6 kap. 5 § offentlighets- och sekretesslagen att på begäran av en annan myndighet lämna ut uppgift som den förfogar över omfattas av undantaget när en prövning av om det är nödvändigt och proportionerligt att personuppgif- ter behandlas för nya ändamål inte ska göras. I annat fall finns risk att det uppstår en normkollision mellan 6 kap. 5 § offentlighets- och sekretess- lagen och den nu föreslagna bestämmelsen. 7.7Behandling för vetenskapliga, statistiska och historiska ändamål inom ramlagens tillämpningsområde Regeringens förslag: En behörig myndighet får behandla personupp- gifter för vetenskapliga, statistiska eller historiska ändamål inom ram- lagens tillämpningsområde. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: tillstyrker förslaget. ställer sig frågande till förslaget då det ger intryck av att det författningsstöd som finns för att behandla personuppgifter i den ordina- rie verksamheten skulle vara tillräckligt för att behandla uppgifterna även för vetenskapliga, statistiska och historiska ändamål, som EU:s dataskyddsreform kräver att det finns lämpliga skyddsåtgärder för de registrerades rättigheter och friheter och svenska regler inom forsknings- området kräver att forskning på personuppgifter om lagöverträdelser genomgår etikprövning av en etikprövningsnämnd. anser att lagförslaget bör kompletteras med ett krav på att uppgifterna ska pseudonymiseras om det inte finns särskilda skäl till varför detta vore olämpligt. Övriga remissinstanser yttrar sig inte särskilt om förslaget. Skälen för regeringens förslag: Enligt artikel 4.3 kan behandling inbegripa arkivändamål av allmänt intresse och vetenskaplig, statistisk eller historisk användning för de ändamål som omfattas av direktivets tillämpningsområde, under förutsättning att det finns lämpliga skyddsåt- gärder för de registrerades rättigheter och friheter. Generella frågor om arkivering tas upp i avsnitt 8.2. Som framgår av det avsnittet faller be- handling av personuppgifter för arkivändamål av allmänt intresse in under dataskyddsförordningen. I detta avsnitt diskuteras enbart behand- ling för vetenskapliga, statistiska och historiska ändamål inom direktivets tillämpningsområde. Att det i direktivet lyfts fram att behandling kan inbegripa vetenskap- lig, statistisk eller historisk användning gör det tydligt att direktivets övriga bestämmelser ska tillämpas även vid behandling för sådana ända- mål. Det ska alltså finnas en rättslig grund för behandlingen (se av- snitt 7.2). De personuppgifter som behandlas ska vidare vara adekvata och relevanta och de får inte heller vara för omfattande i förhållande till de vetenskapliga, statistiska eller historiska ändamålen (se avsnitt 8.1.2). På samma sätt som den personuppgiftsansvarige vid behandling för andra ändamål inom ramlagens tillämpningsområde ska se till att personuppgif- terna inte behandlas än vad som behövs för de ändamå- len (se avsnitt 8.2.2), får behandling för historiska, statistiska eller veten- skapliga ändamål inte heller pågå längre än vad som behövs för dessa ändamål. En bestämmelse som genomför artikel 4.3 bör tas in i ram- lagen. Artikel 4.3 reglerar bara behandling för historiska, statistiska och vetenskapliga ändamål inom direktivets tillämpningsområde. Eftersom endast behöriga myndigheter får behandla personuppgifter enligt ram- lagen är det bara dessa myndigheters behandling av uppgifter för sådana ändamål som kan omfattas av ramlagen. Det gäller dock bara behöriga 2017/18:232 myndigheters vetenskapliga, statistiska eller historiska användning av personuppgifter för sådana ändamål som rör brottsbekämpning, lagfö- ring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet. Som exempel kan nämnas statistikbehandling som en uppföl- jande åtgärd till brottsbekämpande verksamhet. Statistikbehandling som rör t.ex. vapenärenden eller ärenden enligt ordningslagen ligger däremot utanför ramlagens tillämpningsområde. Andra myndigheters behandling av statistik rörande brottsbekämpning, lagföring och straffverkställighet, exempelvis Brottsförebyggande rådets sammanställning av rättsstatistik, ligger också utanför ramlagens tillämpningsområde. påpekar ställer artikel 4.3 krav på lämpliga skyddsåtgärder för de registrerades rättigheter och friheter. Eftersom direktivets övriga bestämmelser ska tillämpas även vid behandling för historiska, statistiska och vetenskapliga ändamål kommer bl.a. de be- stämmelser som föreslås om grundläggande krav på behandling av per- sonuppgifter, personuppgiftsansvarigas skyldigheter och enskildas rättig- heter att vara tillämpliga vid behandling för sådana ändamål. Vidare kommer det sökförbud som föreslås gälla i fråga om känsliga personupp- gifter att vara tillämpligt även vid behandling för nu nämnda ändamål (avsnitt 8.1.4). Enligt regeringen är kravet på lämpliga skyddsåtgärder därmed uppfyllt. väcker även frågan hur den föreslagna bestämmel- sen förhåller sig till regelverket på forskningsområdet. Som framgått ovan gäller bestämmelsen behöriga myndigheters historiska, statistiska eller vetenskapliga användning av personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. När de behöriga myndigheterna behandlar personuppgifter för syften utanför ramlagens tillämpningsområde ska i de flesta fall data- skyddsförordningen tillämpas (avsnitt 7.6.3). I dataskyddsförordningen finns bestämmelser som rör behandling av personuppgifter för veten- skapliga och historiska forskningsändamål och förordningen både förut- sätter och gör det möjligt att införa nationella bestämmelser som närmare preciserar förutsättningarna för behandling av personuppgifter för sådana forskningsändamål (se bl.a. artikel 9.2 j och 89.1 i dataskyddsförord- ningen). Den personuppgiftsbehandling som avses i bestämmelsen i ramlagen ska alltså skiljas från personuppgiftsbehandling för forsknings- ändamål. När t.ex. statistiska undersökningar utgör en integrerad del av ett forskningsprojekt där behandlingen av personuppgifter sker för veten- skapliga eller historiska forskningsändamål blir ramlagen inte tillämplig. Viss ledning till vad som avses med forskningsändamål enligt data- skyddsförordningen finns i skäl 159 och 160 i förordningen. I Forsk- ningsdatautredningens betänkande Personuppgiftsbehandling för forsk- ningsändamål (SOU 2017:50) föreslås en forskningsdatalag som ska komplettera dataskyddsförordningen och gälla vid behandling av person- uppgifter för forskningsändamål. Förslaget bereds inom . Vad gäller synpunkten från så anser regeringen av samma skäl som anges i avsnitt 7.3 att det saknas behov av att införa ett krav på pseudonymisering i den föreslagna bestämmelsen. Övriga principer för behandling av 8.1Grundläggande krav på behandlingen Ingen generell bestämmelse om grundläggande Regeringens förslag: Personuppgifter ska behandlas författningsen- ligt och på ett korrekt sätt. Regeringens bedömning: Ramlagen bör inte innehålla någon gene- rell bestämmelse om de grundläggande principerna för behandling av Principerna bör i stället regleras i sitt sammanhang. Utredningens förslag och bedömning överensstämmer med regering- Remissinstanserna: Den enda remissinstans som yttrar sig i denna del är Havs- och vattenmyndigheten som tycker att ordet korrekt i lagför- slaget bör ersättas med skäligt eller rimligt eller något annat ord som bättre speglar syftet med bestämmelsen. Skälen för regeringens förslag och bedömning De grundläggande principerna regleras i sitt sammanhang Som framgår av avsnitt 7 krävs det en rättslig grund för att personuppgif- ter överhuvudtaget ska få behandlas. Är behandlingen rättsligt grundad ska särskilda, uttryckligt angivna och berättigade ändamål bestämmas för Utifrån de ändamålen får det sedan avgöras vilka personuppgifter som får behandlas och vilka övriga krav som ställs. I artikel 4.1 anges allmänna principer för behandling av personuppgif- Artikeln överensstämmer i allt väsentligt med artikel 6 i 1995 års Den artikeln har genomförts i 9 § personuppgifts- lagen, som reglerar de grundläggande principerna för personuppgiftsbe- Stora delar av paragrafen gäller för de behöriga myndigheterna, antingen för att deras registerförfattningar gäller utöver personuppgifts- lagen eller för att det uttryckligen hänvisas till delar av paragrafen i de registerförfattningar som gäller i stället för personuppgiftslagen. ringen i 9 § har således tillämpats länge och är väl inarbetad i myndig- Mot den bakgrunden skulle det kunna finnas skäl att ta in en motsvarande bestämmelse i ramlagen. Paragrafer som är allmänt hållna och bygger på uppräkningar av grundläggande principer med ett påtagligt abstrakt innehåll blir emeller- tid lätt intetsägande och riskerar därigenom att inte i alla avseenden till- lämpas på det sätt som är avsett. För att regleringen ska bli klar och tyd- lig håller regeringen med utredningen om att artikel 4.1 vid genomföran- det bör delas upp och principerna i de olika punkterna bör behandlas i direkt anslutning till regleringen av de frågor som respektive princip tar På det sättet blir det uppenbart att principerna utgör materiella bestämmelser, vilket både förbättrar skyddet för den enskilde och under- lättar för tillämparen. Genomförandet av de grundläggande principerna Enligt regeringen bör det alltså inte tas in någon motsvarighet till person- uppgiftslagens generella bestämmelse om grundläggande krav på be- handlingen i ramlagen. De grundläggande kraven på behandling av per- sonuppgifter bör i stället behandlas i sitt sammanhang. Ändamålen med behandlingen regleras i artikel 4.1 b. Principen har ett konkret och viktigt innehåll som bör lyftas fram. Den behandlas i av- snitt 7.4. Kvaliteten på och omfattningen av de personuppgifter som behandlas regleras i artikel 4.1 c och d. Uppgifterna ska vara adekvata, relevanta och korrekta. Den principen bör behandlas tillsammans med artikel 6, enligt vilken åtskillnad ska göras mellan personuppgifter som rör olika kategorier av registrerade, och artikel 7.1, enligt vilken personuppgifter som grundar sig på fakta så långt möjligt ska skiljas från personuppgifter som grundar sig på personliga bedömningar. Frågorna behandlas i av- snitt 8.1.2 och 8.1.3.