prop · H503232 · 2018-04-19 00:00:00 — Enligt förarbetena till personuppgiftslagen omfattar skyldigheten bara de behandlade uppgifter som den personuppgiftsansvarige har i behåll när informationen lämnas. Enligt förarbetena finns det inget som hindrar att den personuppgifts- ansvarige från det att ansökan görs till dess att uppgifterna lämnas raderar uppgifterna eller slutar att behandla dem (prop. 1997/98:44 s. 132). Regeringen gör ingen annan bedömning . Det är alltså uppgifterna som behandlas vid tiden för utlämnandet som sökanden ska få del av, men bör understrykas att det inte är acceptabelt att radera uppgifter som behandlades vid ansökan i syfte att undgå att behöva lämna ut dem. har i den s.k. Rijkeboer-domen behandlat frågan om rät- ten att få tillgång till uppgifter enligt artikel 12 a dataskydds- direktiv endast avser nutid eller även förfluten tid. Domstolen slog fast att en enskilds rätt att få tillgång till uppgift om vilka personuppgifter som lämnats ut och till vilka mottagare eller mottagarkategorier även avser förfluten tid och innebär en skyldighet för den personuppgifts- ansvarige att spara sådan information. Enligt domstolen ankommer det på medlemsstaterna att fastställa , men dom- stolen uttalade att inte är tillräckligt om det inte visas att en längre lagring av personuppgifterna utgör en orimlig börda för den personupp- giftsansvarige (dom av , Rijkeboer, C-553/07). Av av- snitt 8.2.2 framgår att personuppgifter inte får behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. dom kan, vilket också utredningen menar, inte tolkas så att personuppgifter ska sparas enbart i syfte att vid behov kunna lämnas ut om en registrerad med stöd av reglerna om rätt till information frågar efter dem. Enligt skäl 43 är det tillräckligt att den registrerade får en komplett sammanfattning av uppgifterna i begripligt format, dvs. ett format som gör det möjligt för den registrerade att få kännedom om uppgifterna och kontrollera att de behandlas korrekt. Det har slagits fast av i ett mål där fråga var om artikel 12 a dataskyddsdirektiv inne- bar en skyldighet att till sökanden lämna ut en kopia av ett ansöknings- protokoll som innehöll personuppgifter om sökanden. terade att artikel 12 a inte innebär en sådan skyldighet, utan att det var Prop. 2017/18:232 tillräckligt att lämna ut en fullständig sammanställning i begriplig form Vidare konstaterade domstolen att, för att undvika att sökanden får tillgång till andra upplysningar än de personuppgifter som rör honom eller henne, sökanden kan få en kopia av den ursprungliga handlingen där de övriga upplysningarna har gjorts oläsbara (dom av , YS m.fl., förenade målen C-141/12 och C-372/12). Regle- ringen i ramlagen bör mot den bakgrunden innebära att en kopia av en handling med de personuppgifter som rör sökanden kan lämnas ut till honom eller henne om det bedöms vara lämpligt, men det bör inte vara någon skyldighet. Om rättigheterna kan säkerställas genom någon annan form av utlämnande, t.ex. en sammanfattning av personuppgifterna, är det tillräckligt. Vad krävs av den personuppgiftsansvarige? En viktig fråga är hur långtgående den personuppgiftsansvariges under- sökningsplikt bör vara och vad som måste göras för att få fram alla per- sonuppgifter som behandlas om en registrerad. I förarbetena till person- uppgiftslagen diskuterades vilka krav dataskyddsdirektiv ställer. Regeringens slutsats var då att den personuppgiftsansvarige endast är skyldig att utnyttja alla de sök- och sammanställningsmöjligheter som han eller hon har tillgång till (prop. 1997/98:44 s. 82 f.). Det förarbetsut- talandet måste sättas i sitt historiska sammanhang, där tillgången till datorer och sökmöjligheterna i den samlade verksamheten var begrän- sade och myndigheterna var betydligt mindre än . Utgångspunkten är att sökanden ska få tillgång till all information som den personuppgiftsansvarige själv kan få fram om honom eller henne. Det förutsätter att det finns uppgifter som direkt kan hänföras till den person som begär informationen. Sökanden måste lämna sådana upp- gifter om sin identitet att det blir möjligt att söka efter informationen. Det kan vara fullständigt namn eller person- eller samordningsnummer eller någon annan lika unik identitet. Utgångspunkten är att det är tillräckligt att den personuppgiftsansva- rige använder de möjligheter till sökning som är tillgängliga och tillåtna i verksamheten. Som utredningen menar är det rimligt att sökningar görs i myndighetens verksamhetsspecifika behandlingssystem, t.ex. dokument- och ärendehanteringssystem, register och databaser. I den mån uppgifter är sökbara i standardprogram som Word, Outlook och Excel bör de också omfattas. Det är däremot inte rimligt att alla anställda i myndigheter med hundratals eller tusentals anställda var och en ska söka efter eventuella personuppgifter på egna lagringsytor vid varje förfrågan från en enskild (jfr avsnitt 9.2.2). Det kan dock anmärkas att en registrerad genom att utnyttja sin rätt att begära information enligt ramlagen inte i något fall kommer att kunna få en fullständig bild av vilka personuppgifter om honom eller henne som den personuppgiftsansvarige behandlar. Det beror på den tudelning av regelverket för personuppgiftsbehandling som EU:s dataskyddsreform innebär. Den som vänder sig till t.ex. med en begäran om att få veta vilka personuppgifter som myndigheten behandlar om 2017/18:232 honom eller henne måste därför utnyttja sin rätt till information enligt både dataskyddsförordningen och ramlagen. Vilken övrig information ska lämnas? Den registrerade ska också informeras om behandlingen av personupp- gifterna. Informationen bör motsvara det som räknas upp i artikel 14. Informationen ska alltså omfatta vilka uppgifter om sökanden som be- handlas och varifrån dessa kommer. Information om varifrån personupp- gifterna kommer behöver bara avse den information som finns tillgäng- lig. Sådan information behöver alltså inte sparas i syfte att på begäran kunna lämnas till enskilda. Som utredningen anger bör informationen avse förhållandena för utlämnandet. Enligt artikel 14 ska den registrerade informeras om de kategorier av personuppgifter som behandlingen gäller. Kategorier av personuppgifter kan t.ex. vara adressuppgifter eller fordonsuppgifter. Regeringen anser i likhet med utredningen att kategorier av personuppgifter ingår i det större begreppet personuppgifter som behandlas och därför, på samma sätt som , inte kräver någon särskild reglering. Även behandlingens rättsliga grund bör framgå. Den personuppgiftsansvarige bör vidare informera om ändamålen med behandlingen. Det som avses är ändamålen med behand- lingen i det enskilda fallet. Information om mottagare eller kategorier av mottagare av personupp- gifterna bör också lämnas. Med mottagare avses i ramlagen den till vil- ken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision (se avsnitt 6.2). Den personuppgiftsansvarige behöver således inte informera sökanden om att uppgifter har lämnats ut till myndigheter för tillsyn, t.ex. till Justi- tiekanslern eller . Eftersom en myndighet enligt 2 kap. 14 § tryckfrihetsförordningen varken får efter- fråga eller dokumentera vilka som tar del av allmänna handlingar med personuppgifter behöver inte heller uppgifter om sådana mottagare läm- nas ut (SOU 2015:39 s. 500). För att uppfylla kravet i direktivet bör det räcka att information om kategorier av mottagare lämnas. Exempel på kategorier av mottagare kan vara åklagare eller domstol. Om mottagaren finns i ett tredjeland eller är en internationell organisation ska det anges. Vidare bör det framgå hur länge personuppgifterna får behandlas. Om det inte är möjligt att ange hur länge de får behandlas i det enskilda fallet ska i stället kriterierna för att fastställa det anges. Det kan exempelvis vara den föreskrivna tidpunkten i en myndighets registerlagstiftning när de personuppgifter som saken gäller inte längre får behandlas. Den personuppgiftsansvarige ska även underrätta den registrerade om rätten att begära rättelse, radering eller begränsning av behandlingen och om möjligheten att lämna in klagomål till tillsynsmyndigheten och kon- taktuppgifterna till den. Regeringen instämmer i utredningens uppfattning att det inte i lag bör preciseras vad informationen bör innehålla eller hur den bör lämnas. Det kan göras av regeringen eller den myndighet som regeringen bestämmer. Att en registrerads rätt till information om vilka personuppgifter om honom eller henne som behandlas inte gäller i den utsträckning person- uppgifterna inte får lämnas ut behandlas i avsnitt 10.3.1. Personuppgifter i ofärdig text eller som utgör minnesanteckningar behandlas i av- snitt 10.3.3. När ska informationen lämnas? Artikel 14 anger inte när en ansökan senast ska besvaras av den person- uppgiftsansvarige. Artikel 12.3 reglerar bl.a. skyldigheten för den per- sonuppgiftsansvarige att utan onödigt dröjsmål informera den regi- strerade om uppföljningen av hans eller hennes begäran om information enligt artikel 14, men inte när informationen ska lämnas. Som framgår av avsnitt 10.5.6 anser regeringen att det inte bör införas någon särskild regel om information om handläggningen. Däremot anser utredningen att den personrelaterade informationen bör lämnas utan onödigt dröjsmål. Enligt bör en bestämd bortre gräns anges i författnings- texten så att inte informationslämnandet drar ut . Angivandet av en bortre gräns skulle dock kunna få motsatt effekt. I stället för att tjäna som en sällan utnyttjad maximigräns finns risk att behöriga myndigheter dröjer med att lämna information eftersom lagstiftningen skulle ge ut- rymme för det. Mot den bakgrunden, och då direktivet inte kräver att en exakt tidsgräns anges, instämmer regeringen i utredningens förslag. Det framgår inte heller av artikel 14 hur ofta en enskild har rätt att få information om hur hans eller hennes personuppgifter behandlas. I skäl 43 anges att fysiska personer bör kunna utöva rätten till information med rimliga intervall. Eftersom det i artikel 12.4 bl.a. anges när en per- sonuppgiftsansvarig får vägra att tillmötesgå en begäran om information på grund av att den är återkommande, behandlas frågan i samband med att den artikeln diskuteras (avsnitt 10.3.4). Bör hanteringen av informationslämnandet underlättas? Det har både i tidigare lagstiftningsärenden och vid utvärdering av 26 § personuppgiftslagen visat sig att personuppgiftsansvariga upplever det som betungande att lämna information till registrerade enligt paragrafen (se t.ex. Ds 2001:27 s. 65 f. och prop. 2005/06:173 s. 40 f.). För att underlätta de personuppgiftsansvarigas hantering föreslog Personupp- giftslagsutredningen att det skulle införas ett undantag från informations- skyldigheten om det var omöjligt eller skulle innebära en oproportio- nerligt stor arbetsinsats för den personuppgiftsansvarige att lämna informationen (SOU 2004:6 s. 195 f.). Regeringen valde emellertid att inte genomföra förslaget. I stället begränsades informationsskyldigheten för uppgifter i ostrukturerat material genom att 5 a § personuppgiftslagen infördes (prop. 2005/06:173 s. 40 f. och 49 f.). Direktivet medger inte att informationsskyldigheten begränsas på det sättet. Informationsskyldig- heten i ramlagen kommer således att omfatta även personuppgifter i ostrukturerat material, med undantag för personuppgifter i ofärdig löpan- de text eller som utgör minnesanteckningar (se avsnitt 10.3.3). Som utredningen påpekar måste hänsyn ändå tas till att informations- skyldigheten i vissa fall kan vara betungande för myndigheterna. Det finns därför skäl att överväga om det finns någon annan möjlighet att underlätta för de personuppgiftsansvariga, utan att det inkräktar på den grundläggande rätten för enskilda att få information om hur deras per- 2017/18:232 sonuppgifter behandlas. Rätten till information är nämligen som tidigare nämnts en förutsättning för att enskilda ska kunna kontrollera om be- handlingen är författningsenlig och kunna begära rättelse eller radering En möjlighet är att införa en begränsning som motsvarar nuvarande 3 kap. 2 § lagen (2001:181) om behandling av uppgifter i Av bestämmelsen följer att uppgift i vissa elekt- roniska handlingar inte behöver lämnas ut till den registrerade i samband med att myndigheten fullgör sin informationsskyldighet enligt 26 § per- sonuppgiftslagen, om han eller hon redan har tagit del av handlingens Undantaget förutsätter att den registrerade får tydlig informa- tion om att handlingar som han eller hon har skickat in till eller fått från myndigheten finns registrerade samt att han eller hon får en förteckning över dessa handlingar. Den registrerade har också rätt att få information om uppgift i en sådan handling om han eller hon begär det (prop. 2000/01:33 s. 204). I förarbetena framhålls att förfarandet torde vara tillräckligt för att uppfylla dataskyddsdirektivs krav på att den registrerade ska kunna kontrollera om uppgifterna är korrekta eller inte (a. prop. s. 106 f.). Enligt utredningens uppfattning finns det inga sakliga skäl för att den registrerade ska behöva få del av personuppgifter som han eller hon redan har tagit del av, om uppgifterna inte har förändrats. instämmer i den uppfattningen. Det kan t.ex. vara personuppgifter i hand- lingar som den registrerade själv har skickat in till myndigheten eller som har expedierats till honom eller henne av myndigheten, antingen elektro- niskt eller på papper. Regeringen håller med utredningen om att en ordning där den person- uppgiftsansvarige inte behöver lämna ut personuppgifter som den regi- strerade redan tagit del av skulle bespara myndigheterna onödigt arbete. En bestämmelse som medger att informationen inte behöver omfatta personuppgifter som sökanden redan tagit del av bör därför tas in i ram- I motsats till Datainspektionen anser regeringen att det inte råder någon tvekan om att en sådan bestämmelse är förenlig med data- Enskildas rätt till information är kopplad till att enskil- da ska kunna bevaka sina intressen och bl.a. kunna kontrollera om behandlingen är författningsenlig. För att kunna bevaka sina intressen behöver enskilda inte få del av personuppgifter som de redan har tagit del För att leva upp till informationsskyldigheten bör dock den person- uppgiftsansvarige tydligt ange vilka personuppgifter som behandlas och ge sökanden en förteckning över dem. också lämna sådan övrig information om behandlingen som räknas upp i artikel 14, bl.a. information om rättslig grund, ändamål och mottagare. Om sökanden begär det, bör den personuppgiftsansvarige vara skyldig att låta honom eller henne få del även av personuppgifter som han eller hon tidigare tagit del av. En förutsättning för att en sådan bestämmelse ska vara godtagbar är dock att den inte begränsar en parts rätt till insyn i mål och ärenden enligt de processrättsliga regelverken. Eftersom ramlagens bestämmelser om rätt till eller begränsning av information inte inverkar på en parts rätt till insyn enligt eller andra författningar bedömer rege- ringen, i likhet med utredningen, att det inte är något problem. Regeringen återkommer i avsnitt 10.3 till andra undantag från informa- Prop. 2017/18:232 tionsskyldigheten. 10.2.9Information om automatiserade beslut Regeringens förslag: Den som har varit föremål för ett automatiserat beslut ska ha rätt att på begäran få närmare information om beslutet av den personuppgiftsansvarige. Utredningens förslag överensstämmer i sak med regeringens. Enligt utredningens formulering av lagtexten har dock den som varit föremål för ett automatiserat beslut endast rätt att begära närmare information om beslutet. Remissinstanserna: anser att det bör övervägas att i bestämmelsen uttryckligen inte bara reglera en rätt att begära information utan också en rätt att få information. Skälen för regeringens förslag: I artikel 11 regleras automatiserade beslut. Som anges i avsnitt 8.3 förekommer det inga automatiserade beslut inom ramlagens tillämpningsområde, men regeringen föreslår ändå en bestämmelse om sådana beslut. Det innebär att det också bör tas in en bestämmelse i ramlagen om den information som den personupp- giftsansvarige är skyldig att på begäran lämna vid sådana beslut. påpekar bör det av bestämmel- sen framgå att den enskilde inte bara har rätt att begära information, utan också rätt att få information av den personuppgiftsansvarige. väcker även frågan om rätten till informa- tion enligt bestämmelsen bör kunna begränsas med stöd av den bestäm- melse som föreslås i avsnitt 10.3.1. Enligt regeringen bör rätten att få närmare information om automatiserade beslut inte gå att begränsa med stöd av den bestämmelse som föreslås i avsnitt 10.3.1. 10.3Begränsning av rätten till information 10.3.1Rätten till information får begränsas Regeringens förslag: Skyldigheten att lämna personrelaterad infor- mation ska inte gälla i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har medde- lats med stöd av författning, att uppgifter inte får lämnas ut av hänsyn till intresset av att 1.förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätt- hålla allmän ordning och säkerhet, 2.andra rättsliga utredningar eller undersökningar inte hindras, 3.nationell säkerhet skyddas, eller 4.någon annans rättigheter och friheter skyddas. Om det finns grund för att begränsa informationen ska den person- uppgiftsansvarige inte heller vara skyldig att lämna ut skälen för be- slut att begränsa informationen eller för beslut i fråga om begäran om rättelse, radering eller begränsning av behandlingen. Om den personuppgiftsansvarige inte är en myndighet ska undanta- gen från informationsskyldigheten gälla även för uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt offentlighets- och sekretesslagen. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Kammarrätten i föreslår att hänvisning- en till de olika intressena utesluts alternativt att en hänvisning till ram- lagen förs in i offentlighets- och sekretesslagen (2009:400), eftersom ramlagen ska vara subsidiär i förhållande till andra lagar och förord- ningar och offentlighets- och sekretesslagen således ska tillämpas i sin helhet. Övriga remissinstanser yttrar sig inte särskilt om förslaget. Skälen för regeringens förslag Direktivet ger möjlighet att i nationell rätt begränsa den registrerades rätt till information om personuppgiftsbehandling som avser honom eller henne. Det framgår dels av artikel 13.3 som ger möjlighet att senare- lägga, begränsa eller utelämna sådan information som den personupp- giftsansvarige ska lämna enligt artikel 13.2, dels av artikel 15.1 som ger möjlighet att begränsa den registrerades rätt till sådan information som avser behandling av hans eller hennes personuppgifter som den person- uppgiftsansvarige ska lämna på begäran. I artikel 16.4 ges möjlighet att begränsa information till den registrerade om skälen för att den person- uppgiftsansvarige inte har rättat, raderat eller begränsat behandlingen. Syftet med att begränsa informationen ska enligt direktivet vara att undvika att officiella eller rättsliga utredningar, förundersökningar eller förfaranden hindras eller att undvika menlig inverkan på brottsbekäm- pande åtgärder, lagföring eller verkställighet av straffrättsliga påföljder och att skydda allmän eller nationell säkerhet eller andra personers rät- tigheter och friheter. Begränsning får vidtas endast i den utsträckning och så länge som den är nödvändig och proportionerlig. Vid bedömningen ska hänsyn tas till den berörda fysiska personens grundläggande rättig- heter och berättigade intressen. Enligt artikel 13.1 dataskyddsdirektiv får medlemsstaterna genom lagstiftning begränsa omfattningen av vissa skyldigheter och rät- tigheter som följer av direktivet. En sådan begränsning ska vara en nöd- vändig åtgärd med hänsyn till bl.a. statens säkerhet, allmän säkerhet, förebyggande, undersökning, avslöjande av brott eller åtal för brott och skydd av den registrerades eller andras fri- och rättigheter. Artikeln har åberopats till stöd för bl.a. undantaget i 27 § personuppgiftslagen från skyldigheten att lämna information enligt 23–26 §§ personuppgiftslagen till den registrerade vid sekretess och tystnadsplikt. Enligt förarbetena får bestämmelsen anses vara uppställd till skydd för sådana fri- och rättig- heter som avses i artikel direktiv (prop. 1997/98:44 s. 84). Vid en översyn av personuppgiftslagen åberopades artikel 13.1 även Prop. 2017/18:232 till stöd för en bestämmelse om delegation till regeringen. Enligt 8 a § personuppgiftslagen får regeringen meddela föreskrifter om undantag bl.a. från bestämmelserna om information till den registrerade i 23– 26 §§, om det behövs med hänsyn till bl.a. rikets säkerhet, allmän säker- het, förebyggande, undersökning eller avslöjande av brott, åtal för brott och skyddet av fri- och rättigheter. Hur bör artiklarna om begränsning av information genomföras? Bestämmelser som begränsar rätten till information är nödvändiga för att de behöriga myndigheterna ska kunna utföra sina uppdrag på ett effektivt sätt. Artiklarna 13.3, 15.1 och 16.4 ger möjlighet att begränsa rätten till information. I förarbetena till 8 a § personuppgiftslagen diskuterades om undan- tagen i artikel 13.1 direktiv borde införas direkt i personupp- giftslagen. Regeringen ansåg att undantagen var alltför generella och vaga för att kunna ligga till grund för reglering. Bedömningen av om ett sådant undantag är tillämpligt borde enligt förarbetena inte göras av varje enskild personuppgiftsansvarig. Som huvudregel borde undantagsbe- stämmelser tas in i särlagstiftning med bestämmelser som avviker från personuppgiftslagen. I vissa fall krävs dock undantag och då behövs en möjlighet för regeringen att föreskriva om undantag, t.ex. i avvaktan på att särlagstiftning hinner utarbetas eller ändras (prop. 2005/06:173 s. 55 f.). Förarbetsuttalandena är av intresse för hur artiklarna 13.3, 15.1 och 16.4 ska genomföras. De undantag som görs i artiklarna är lika generella och vaga som motsvarande bestämmelser direktiv. Regeringen håller med utredningen om att det därför inte är lämpligt att personupp- giftsansvariga med det som enda utgångspunkt avgör om det i ett enskilt fall kan finnas skäl för att begränsa informationen. Undantagen bör pre- ciseras i lag eller förordning. Begränsning av information enligt artiklarna 13.3, 15.1 och 16.4 får bara göras i syfte att undvika att förundersökningar eller andra rättsliga utredningar, brottsbekämpande åtgärder, lagföring eller verkställighet av straffrättsliga påföljder hindras eller i syfte att skydda allmän eller nationell säkerhet eller andra personers rättigheter och friheter. Bestämmelser till skydd för bl.a. dessa intressen finns redan i offentlig- hets- och sekretesslagen och i vissa andra författningar. På samma sätt som i 27 § personuppgiftslagen bör möjligheten att begränsa information enligt ramlagen utgå från den regleringen. I ramlagen bör det tas in en regel om att den registrerades rätt till information inte gäller om det är särskilt föreskrivet att personuppgifterna inte får lämnas ut av hänsyn till något av de intressen som nämnts. I likhet med utredningen anser regeringen att det inte finns något behov av en bestämmelse motsvarande 8 a § personuppgiftslagen. Prövningen av om informationen kan begränsas Det är, som framgår av avsnitt 10.2.1, viktigt att hålla isär reglerna om rätt till information och tillgång till allmänna handlingar. Syftet med reglerna i tryckfrihetsförordningen är att ge var och en insyn i den offentliga verksamheten, dvs. att skapa en möjlighet för alla, inte specifikt en viss person, att kunna ta del av handlingar och uppgifter som rör en viss fråga.