prop · H503232 · 2018-04-19 00:00:00 — Regeringen håller med utred- ningen om att det inte är rimligt att tolka artikeln på det sättet att det i ramlagen eller i de särskilda registerförfattningarna måste räknas upp exakt vilka personuppgifter som får behandlas. Att i författning uttöm- mande reglera vilka personuppgifter, eller ens alla kategorier av person- uppgifter, som får behandlas är en närmast omöjlig uppgift, eftersom det inte på förhand går att bedöma vilka uppgifter som kan få betydelse. Sär- skilt i mångfacetterade verksamheter som polisens och domstolarnas skulle det behövas mycket omfångsrika uppräkningar av vilka uppgifter som skulle få behandlas. Inte bara för dessa utan även för övriga behö- riga myndigheter skulle det krävas omfattande och grundliga undersök- ningar innan det skulle kunna slås fast vilka personuppgifter som bör få behandlas. Saken kompliceras dessutom av att det skulle behöva precise- ras beträffande varje enskild personkategori vilka personuppgifter som får behandlas för just den kategorin. 2017/18:232 Behovet av att behandla personuppgifter skiljer sig åt beroende på om det är fråga om förundersökning, brottmålsrättegång, verkställighet av påföljd eller att upprätthålla allmän ordning och säkerhet. Vissa behöriga myndigheter har behov av att behandla fler typer av personuppgifter än andra. En allmängiltig förteckning skulle därför inte fungera. Skulle någon personkategori eller kategori av uppgifter saknas skulle det inte finnas rättsligt stöd för behandlingen även om den var nödvändig. För- utom att en detaljbetonad uppräkning av det slaget skulle strida mot svensk lagstiftningstradition skulle den försvåra möjligheterna för behö- riga myndigheter att bedriva en effektiv verksamhet. Den som behöver behandla personuppgifter skulle nämligen alltid behöva konsultera en omfattande förteckning för att kunna avgöra om behandlingen av en viss personuppgift var tillåten. En uppräkning av det slaget skulle också riske- ra att snabbt bli inaktuell och skulle därför behöva uppdateras ofta. Eftersom ett av syftena med direktivet enligt artikel 1.2 b är att säker- ställa att behöriga myndigheters utbyte av personuppgifter inte begränsas eller förbjuds av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter kan avsikten med artikel 8.2 enligt regeringens mening inte vara att det i nationell rätt ska finnas uttömman- de uppräkningar av vilka personuppgifter som får behandlas. Som framgår av avsnitt 7.4 och 8.1.2 föreslås att vissa grundläggande bestämmelser motsvarande dem som finns i 9 § personuppgifts- lagen ska tas in i ramlagen. Förslagen innebär att personuppgifter enbart får behandlas för särskilda, uttryckliga och berättigade ändamål. Person- uppgifterna ska vidare vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler personuppgifter än vad som är nöd- vändigt med hänsyn till ändamålen med behandlingen får inte behandlas och de personuppgifter som behandlas ska vara korrekta och, om nöd- vändigt, uppdaterade. Att behandla ovidkommande eller onödigt många personuppgifter i förhållande till de bestämda ändamålen strider därmed mot regelverket. Dessa grundläggande krav – tillsammans med bl.a. och regler – innebär därför såväl en kvantitativ som en kvalitativ begränsning av vilka personuppgifter som får behandlas. Till skillnad mot Datainspektionen håller regeringen med utredningen om att de föreslagna grundläggande kraven och regleringen av när käns- liga personuppgifter får behandlas, tillsammans med andra tillämpliga regler, därför innebär en tillräcklig avgränsning av vilka slags person- uppgifter som behöriga myndigheter får behandla. Det finns därför inget behov av ytterligare regler om det i ramlagen. Avidentifiering bör användas i så stor utsträckning som möjligt En fråga som särskilt bör uppmärksammas är det faktiska behovet av att använda namnuppgifter eller andra uppgifter som direkt identifierar en person, t.ex. personnummer. Kan en uppgift utföras tillfredsställande även om personuppgifterna utelämnas är de grundläggande kraven på adekvans och personuppgifternas omfattning inte uppfyllda (jfr SOU 2015:39 s. 285). Prövningen av om en personuppgift är nödvändig för en viss behand- ling måste göras kontinuerligt av myndigheterna och inte bara då uppgif- ten registreras eller på annat sätt samlas in i verksamheten. Även vid en Prop. 2017/18:232 senare hantering ska personuppgiften behövas för ändamålet med just Det innebär exempelvis att även om uppgiften om en persons namn måste behandlas vid handläggningen av ett ärende i vilket personen är part eller annars direkt berörd, är det inte säkert att namn- uppgiften behöver behandlas i ett senare skede, t.ex. vid verksamhets- uppföljning eller vid publicering på myndighetens webbplats för att in- formera allmänheten om ett principiellt viktigt avgörande. Det ska alltså vid all behandling prövas om det går att avstå från att använda uppgifter som direkt går att hänföra till en viss person. Möjligheten till avidentifie- ring bör användas i så stor utsträckning som möjligt. 8.1.6Åtgärder för att säkerställa personuppgifternas kvalitet Regeringens förslag: Alla rimliga åtgärder ska vidtas för att person- uppgifter som med hänsyn till ändamålet med behandlingen är felak- tiga eller ofullständiga rättas utan onödigt dröjsmål. Detsamma gäller för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Personuppgifter som är inaktuella ska uppdateras om det är nöd- vändigt. När personuppgifter lämnas ut till en behörig myndighet, ska motta- garen så långt det är möjligt ges information som gör att det går att bedöma i vilken utsträckning uppgifterna är korrekta, fullständiga, uppdaterade och tillförlitliga. Alla rimliga åtgärder ska också vidtas för att personuppgifter som behandlas på ett otillåtet sätt utan onödigt dröjsmål raderas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Det- samma gäller om radering krävs för att utföra en rättslig förpliktelse. I stället för att personuppgifterna raderas, ska behandlingen av upp- gifterna begränsas utan onödigt dröjsmål om uppgifterna behöver fin- nas kvar av bevisskäl. Regeringens bedömning: Skyldigheten att underrätta mottagare av personuppgifterna om att de är felaktiga eller behandlas på otillåtet sätt kan regleras i förordning. Utredningens förslag överensstämmer i sak med regeringens förslag och bedömning. Remissinstanserna: Hovrätten för anser att formule- ringen ”så långt det är möjligt” inte tillför något konkret när det gäller in- formationsskyldigheten som gör det möjligt för mottagare av personupp- gifter att bedöma uppgifternas kvalitet, och är därför tveksam till om den behövs. efterlyser en ingående analys av när det kan bli aktuellt med radering inom ramlagens tillämpningsområde, mot bak- grund av att lagen nästan uteslutande kommer att tillämpas av myndig- heter och det följaktligen i de flesta fall kommer att bli fråga om att radera personuppgifter som finns i allmänna handlingar. efterfrågar också ett klargörande resonemang om vad som avses med rättelse och begränsning. Enligt finns det en överhängande risk för att brottsbekämpande myndigheter inte kommer 2017/18:232 att kontrollera riktigheten av personuppgifter som behandlas i brottsutre- dande verksamhet. anser därför att det bör införas regler om kontrollåtgärder i förordning. Skälen för regeringens förslag och bedömning Felaktiga uppgifter ska rättas och uppgifter som behandlas på otillåtet sätt ska raderas Av artikel 4.1 d framgår att alla rimliga åtgärder ska vidtas för att säker- ställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas utan dröjsmål raderas eller rättas. Av artikeln framgår inte i vilka fall uppgifterna ska rättas och i vilka fall de ska rade- ras. När det gäller korrigering på begäran av registrerade görs det där- emot skillnad mellan vilka åtgärder som ska vidtas med felaktiga uppgif- ter respektive med uppgifter som behandlas på ett otillåtet sätt. Enligt artikel 16.1 ska felaktiga personuppgifter rättas, medan uppgifter som behandlas i strid med vissa uppräknade bestämmelser i direktivet enligt artikel 16.2 ska raderas. Regeringen anser i likhet med utredningen att de två korrigeringsalternativen bör användas under samma förutsättningar oavsett om korrigering görs på den personuppgiftsansvariges eget ini- tiativ eller på begäran av registrerade. Regleringen i ramlagen bör därför utgå från att felaktiga personuppgifter ska rättas och att personuppgifter som behandlas på otillåtet sätt ska raderas. Enligt artikel 4.1 d är det enbart felaktiga personuppgifter som omfattas av kravet på korrigering. Med hänsyn till att den personuppgiftsansvarige enligt artikel 7.2 ska se till att inte bara felaktiga utan även ofullständiga och inaktuella personuppgifter inte överförs eller görs tillgängliga, bör kravet på rättelse i ramlagen även omfatta ofullständiga och inaktuella uppgifter. I avsnitt 8.1.2 föreslås att personuppgifter bara behöver vara uppdaterade om det är nödvändigt. Därför bör det inte krävas att inak- tuella uppgifter korrigeras annat än om det är nödvändigt. Radering anges som ett korrigeringsalternativ i artikel 4.1 d. Rege- ringen anser som nämnts att de förutsättningar som gäller för rade- ring på begäran av enskild bör gälla även när frågan om radering väcks av den personuppgiftsansvarige. Av artikel 16.2 framgår att radering kan komma i fråga dels om behandlingen av personuppgifter står i strid med de bestämmelser som genomför artiklarna 4, 8 och 10, dels om det krävs för att den personuppgiftsansvarige ska uppfylla en rättslig förpliktelse. Frågan som väcker, när det i praktiken kan bli aktuellt att använda radering inom ramlagens tillämpningsområde, utvecklas i av- snitt 10.4.2. Enligt artikel 16.3 ska den personuppgiftsansvarige begränsa behand- lingen av personuppgifterna i stället för att radera dem, om den registre- rade bestrider att de är korrekta och det inte kan fastställas eller om per- sonuppgifterna behöver sparas som bevisning. Begränsning av behand- lingen nämns inte som ett korrigeringsalternativ i artikel 4.1 d. Som tidi- gare nämnts medger direktivet att medlemsstaterna har starkare skyddsåt- gärder än vad som krävs enligt direktivet. Mot den bakgrunden bör be- gränsning av behandlingen läggas till som ett korrigeringsalternativ, eftersom personuppgifter kan behöva sparas som bevisning till skydd för den registrerade även när den personuppgiftsansvarige själv upptäcker att uppgifterna behandlas på otillåtet sätt. Begränsning av behandlingen på den grunden att det inte kan fastställas om personuppgifterna är korrekta blir däremot inte aktuell när korrigering görs på den personuppgiftsan- svariges eget initiativ (jfr avsnitt 10.4.3). efterfrågar ett klargörande av vad som avses med rät- telse och begränsning. I avsnitt 8.1.2 diskuteras vad som avses med att en uppgift är korrekt. Som redogörs för närmare i avsnitt 10.4.1 kan rättelse innebära att en felaktig eller ofullständig personuppgift ersätts av en annan uppgift som är korrekt ur ett objektivt perspektiv eller komplette- ras med en uppgift om de rätta förhållandena så att den blir fullständig i objektiv mening. En felaktig uppgift kan också rättas på det sättet att den tas bort utan att ersättas. Begränsning av behandling kan, som beskrivs i avsnitt 10.4.3, ske bl.a. genom att uppgifterna avskiljs från det data- system där de behandlas eller genom att tillgången till uppgifterna in- skränks. Har behandlingen av en personuppgift begränsats får uppgiften som utgångspunkt inte längre behandlas utom för det ändamål som för- anledde begränsningen. Spridning av felaktiga uppgifter och uppgifter som behandlas på otillåtet sätt ska förhindras Enligt artikel 7.2 ska de behöriga myndigheterna vidta alla rimliga åtgär- der för att se till att personuppgifter som är felaktiga, ofullständiga eller inaktuella inte överförs eller görs tillgängliga. Varje behörig myndighet ska också, i den mån det är praktiskt möjligt, kontrollera kvaliteten på personuppgifterna innan de överförs eller görs tillgängliga. Regleringen hänger naturligt samman med kravet på rättelse av felaktiga personupp- gifter. I kravet på att den personuppgiftsansvarige ska göra allt för att rätta felaktiga, ofullständiga eller inaktuella personuppgifter i den egna verksamheten ligger också ett ansvar för att se till att sådana uppgifter inte lämnas ut eller görs tillgängliga. Det bör tydliggöras genom en be- stämmelse i ramlagen. Däremot finns det inget behov av att särskilt reglera att den personuppgiftsansvarige ska kontrollera kvaliteten på personuppgifter innan de lämnas ut eller görs tillgängliga. Det får anses följa av det generella kravet på att den personuppgiftsansvarige ska vidta alla rimliga åtgärder för att rätta felaktiga uppgifter. Artikel 7.2 gäller felaktiga, ofullständiga eller inaktuella personuppgif- ter, medan artikel 7.3 föreskriver att mottagaren ska underrät- tas om det visar sig att felaktiga personuppgifter har överförts eller att personuppgifter har överförts olagligen. I sådana fall ska personuppgif- terna rättas eller raderas eller behandlingen begränsas i enlighet med artikel 16. Vad som avses med att uppgifter olagligen överförts är inte helt klart, men i och med att radering och begränsning av behandlingen nämns som korrigeringsalternativ bör, som utredningen konstaterar, underrättelseskyldigheten omfatta också personuppgifter som behandlas på otillåtet sätt. Den personuppgiftsansvarige bör alltså vara skyldig att se till att inte heller personuppgifter som behandlas på ett otillåtet sätt lämnas ut eller görs tillgängliga. 2017/18:232 Om det upptäcks att felaktiga personuppgifter eller personuppgifter som behandlas på otillåtet sätt har lämnats ut är det naturligt att den som har fått uppgifterna underrättas, så att uppgifterna kan rättas eller raderas eller behandlingen av dem begränsas. Skyldigheten för mottagaren att rätta, radera eller begränsa behandlingen av uppgifterna behöver inte regleras särskilt, eftersom alla behöriga myndigheter omfattas av den föreslagna skyldigheten att korrigera uppgifter som är felaktiga eller behandlas på otillåtet sätt. Underrättelseskyldigheten kan regleras i för- ordning. ser en risk för att de brottsbekämpande myn- digheterna inte kommer att efterkomma de regler som föreslås om personuppgifters kvalitet och förespråkar därför regler om kontrollåtgär- der på förordningsnivå. Det är naturligtvis viktigt att de föreslagna reg- lerna kommer att få genomslag i praktiken. Regeringen förutsätter att behöriga myndigheter kommer att följa regelverket och anser inte att det, utöver den kontroll som kommer att ligga i tillsynsmyndighetens uppdrag (se avsnitt 11), behöver införas några förordningsbestämmelser om kon- trollåtgärder. Information i samband med utlämnande eller tillgängliggörande av personuppgifter Vid all överföring av personuppgifter ska enligt artikel 7.2 så långt möj- ligt sådan nödvändig information läggas till som gör det möjligt för den mottagande behöriga myndigheten att bedöma i vilken grad uppgifterna är korrekta, fullständiga och tillförlitliga och i vilken utsträckning de är aktuella. Bestämmelsen kompletterar skyddet för den enskilde när det gäller kvaliteten på personuppgifter genom att den som tar emot uppgif- terna ges möjlighet att göra en egen bedömning av deras kvalitet. Motta- garen kan då fullgöra sin skyldighet att kontrollera kvaliteten på person- uppgifter som kommer från andra behöriga myndigheter. En bestämmel- se om att sådan information så långt det är möjligt ska lämnas i samband med att personuppgifter lämnas ut bör tas in i ramlagen. Informationen till mottagaren kan exempelvis avse information om var personuppgif- terna kommer från, vad man vet om uppgiftslämnaren, när och för vilket ändamål uppgifterna hämtades in och om uppgifterna grundar sig på fakta eller personliga bedömningar. Det kan också vara av värde för mottagaren att få veta om personuppgifterna är eller har varit föremål för domstolsbehandling och om förfarandet i så fall är avslutat. Hovrätten för är tveksam till om formuleringen ”så långt det är möj- ligt” behövs. Eftersom formuleringen finns i artikel 7.2 ställer direktivet inte något krav på att informationsskyldigheten är absolut. Regeringen gör bedömningen att skyldigheten att lämna information bara bör gälla så långt det är möjligt, eftersom det torde variera från fall till fall i vilken utsträckning den utlämnande myndigheten har information som gör det möjligt att bedöma personuppgifternas kvalitet. Längsta tid som personuppgifter får behandlas Regeringens bedömning: För att skilja mellan arkivrättsliga regler och regler om dataskydd bör orden bevarande och gallring bara användas i den betydelse de har i arkivlagstiftningen. Regleringen i ramlagen bör utgå från hur länge personuppgifter får behandlas för ändamål inom lagens tillämpningsområde. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: , , och är positiva till att terminologin renodlas och anser att det bidrar till ett tydligare regelverk. Övriga remissinstanser yttrar sig inte särskilt om bedömningen. Skälen för regeringens bedömning: Regleringen av bevarande av personuppgifter är komplex. Arkivreglerna innebär att allmänna hand- lingar ska bevaras i arkiv och bär på så sätt upp handlingsoffentligheten. Enligt 3 § arkivlagen (1990:782) ska myndigheters arkiv bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättsskipningen och förvaltningen och forskningens behov. Allmänna handlingar får enligt 10 § samma lag gallras, men det ska då beaktas att det arkivmaterial som återstår ska kunna tillgodose ändamålen med arkiven. Enligt 14 § arkivförordningen (1991:446) får statliga myndigheter gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av eller enligt särskilda gallringsföreskrifter i lag eller förordning. Gallring enligt föreskrifter görs för att begränsa arkivens omfattning. Med gallring avses att handlingar eller uppgifter sorteras ut och förstörs. Gallring av elektro- niska upptagningar innebär normalt att information raderas från data- bäraren. Som gallring räknas enligt föreskrifter förstöring av allmänna handlingar och uppgifter i allmänna handlingar (se t.ex. 2 kap. 1 § RA-FS 2009:1). Överföring till annan databärare räknas som gallring om överföringen medför informationsförlust, förlust av sökmöjligheter eller förlust av möjligheter att fastställa informationens autenticitet (SOU 2015:39 s. 526). Informationen behöver således inte förstöras för att det ska vara fråga om gallring. Regeringen gav en särskild utredare i uppdrag att göra en bred översyn av arkivområdet, bl.a. mot bakgrund av den ökande digitaliseringen. Utredaren ska bl.a. se över arkivlagstiftningen och när- liggande lagstiftning och vid behov lämna förslag på hur lagstiftningen kan anpassas till utvecklingen på området. Uppdraget ska redovisas (dir 2017:106). I flertalet registerförfattningar finns det bestämmelser om bevarande och gallring (se bl.a. 3 kap. 9–15 §§ polisdatalagen, 2 kap. 10 § åklagar- datalagen, 4 kap. 8–14 §§ kustbevakningsdatalagen och 7 § lagen om behandling av personuppgifter inom kriminalvården). Gallring enligt dessa författningar görs för att skydda den enskildes integritet. Sådana regler finns också i 4 kap. tullbrottsdatalagen och 4 kap. skattebrottsdata- lagen. 2017/18:232 De personuppgifter som behöriga myndigheter behandlar ingår i mycket stor utsträckning i upptagningar som är eller kommer att bli all- männa handlingar. Utgångspunkten i det arkivrättsliga regelverket är att uppgifter ska bevaras, medan presumtionen enligt reglerna om skydd för personuppgifter är den motsatta. I 8 § andra stycket personuppgiftslagen har arkivlagstiftningen getts företräde genom att det anges att bestäm- melser om längsta tid för bevarande inte hindrar att en myndighet arkive- rar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Den principen bör som utredningen föreslår, som utgångspunkt, gälla även fortsättningsvis. Som nämnts syftar gallringsbestämmelserna i myndigheternas registerförfattningar till att skydda enskildas integritet. För att tydligare skilja mellan arkivrättsliga regler och regler om skydd för personuppgif- ter bör begreppen bevarande och gallring enbart användas i den betydelse de har i arkivlagstiftningen. I ramlagen bör regleringen i stället utgå från hur länge personuppgifter får behandlas för ändamål inom ramlagens tillämpningsområde. Regeringen återkommer till de ändringar som kan behövas i registerförfattningarna i samband med att dessa anpassas till ramlagen. 8.2.2Hur länge får personuppgifter behandlas? Regeringens förslag: Personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behand- lingen. Det hindrar inte att en behörig myndighet arkiverar och beva- rar allmänna handlingar eller att arkivmaterial lämnas till en arkiv- myndighet. Om det inte är föreskrivet i lag eller annan författning när en viss kategori av personuppgifter inte längre får behandlas för ändamål inom ramlagens tillämpningsområde, ska den personuppgiftsansvarige se över behovet av att fortsätta behandla personuppgifterna. Regeringens bedömning: Att behöriga myndigheter ska ha rutiner för att säkerställa att reglerna om längsta tid för behandling av person- uppgifter respekteras kan regleras i förordning. Utredningens förslag överensstämmer med regeringens förslag och bedömning. Remissinstanserna: ifrågasätter att behandling av per- sonuppgifter för arkivändamål ska omfattas av dataskyddsförordningens tillämpningsområde. Enligt är det inte lämpligt att olika regler ska gälla beroende på om domstolarna behandlar uppgifterna medan målet fortfarande pågår eller efter det att målet har avlutats och arkiverats. efterfrågar också en närmare diskussion om vad det innebär att den personuppgiftsansvarige ska se över be- hovet av att fortsätta behandla personuppgifter. Eftersom ramlagen endast kommer att vara tillämplig på pågående mål och ärenden kan inte verket se att det kan komma att finnas personuppgifter som behandlas av domstolarna än nödvändigt. anser, mot bakgrund av att det ofta finns behov av att få tillgång till personuppgifter som finns i avslutade mål, att det noga bör analyseras om en årlig över- syn är ändamålsenlig i de allmänna domstolarnas verksamhet. 2017/18:232 remissinstanser yttrar sig inte särskilt i denna del. Skälen för regeringens förslag och bedömning Innehållet i direktivet och nuvarande reglering Enligt artikel 4.1 e ska personuppgifter inte förvaras i en form som möj- liggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka de behandlas. Det ska enligt artikel 5 föreskrivas lämpliga tidsgränser för radering av personuppgifter eller för periodisk översyn av behovet av att lagra personuppgifter. Procedurrela- terade åtgärder ska säkerställa att tidsgränserna efterlevs. Behandling kan enligt artikel 4.3 inbegripa arkivändamål av allmänt intresse. En bestämmelse som motsvarar artikel 4.1 e finns i artikel 6.1 e dataskyddsdirektiv, som har genomförts genom 9 § första stycket i personuppgiftslagen. Där anges att personuppgifter inte får bevaras än vad som är nödvändigt med hänsyn till ändamålen med be- handlingen. Bestämmelsen är inte tillämplig för polisen, Kustbevak- ningen och åklagarväsendet. Den är inte heller tillämplig för eller i deras brottsbekämpande verksamhet. I dessa myndig- heters registerförfattningar finns det i stället särskilda bestämmelser med motsvarande innehåll. Personuppgifter får bara behandlas så länge de behövs för ändamål inom ramlagens tillämpningsområde För de behöriga myndigheterna gäller att personuppgifter inte får bevaras än vad som är nödvändigt för de ändamål för vilka de behandlas.