prop · H503232 · 2018-04-19 00:00:00 — Av 2 kap. 12 § framgår att biometriska uppgifter som används i syfte att identifiera en person är känsliga personuppgifter som bara får behand- las om det är särskilt föreskrivet och absolut nödvändigt. Fotografier och filmer som inte bearbetas tekniskt i syfte att åstad- komma unik identifiering faller utanför definitionen. Bearbetning av bilder av personer för att förbättra bildkvaliteten, förstärka detaljer och liknande omfattas alltså inte. Om bilder däremot bearbetas i exempelvis ett ansiktsigenkänningsprogram i syfte att identifiera personer omfattas de av definitionen. Att fotografier kan omfattas av regleringen av käns- liga personuppgifter på andra grunder behandlas i kommentaren till 2 kap. 11 §. Dataskyddsombud definieras inte i direktivet. Uttrycket behandlas i av- snitt 9.5.1. Ett dataskyddsombud är en fysisk eller juridisk person som utses av den personuppgiftsansvarige för att självständigt kontrollera att person- uppgifter behandlas författningsenligt och på ett korrekt sätt enligt vad som närmare anges i lagen. Ett dataskyddsombud kan antingen vara anställd hos den personuppgiftsansvarige eller en utomstående. Kravet på självständighet innebär att dataskyddsombud ska kunna utföra sina arbetsuppgifter på ett oberoende sätt. Ombuden förutsätts framför allt ha goda kunskaper om reglerna om personuppgiftsbehandling. Ombuden bör också ha sådan ställning i organisationen att deras synpunkter och råd tas på allvar. Dataskyddsombudens uppgifter regleras i 3 kap. 14 §. Definitionen utgår från hur genetiska uppgifter definieras i artikel 3.12. Uttrycket behandlas i avsnitt 6.2. All information som rör en persons nedärvda eller förvärvade genetiska kännetecken och som kan tas fram ur ett spår från t.ex. en brottsplats eller ett prov från människokroppen omfattas av definitionen. Det inne- bär att den är något vidare än direktivets definition, som enbart omfattar 2017/18:232 information om en persons fysiologi eller hälsa som härrör från en analys av ett prov från personen i fråga. Genetiska uppgifter behandlas vid dna-analyser i forensisk verksamhet för att ta fram dna-profiler eller forensiska uppslag. Behandlingen kan avse genetiska uppgifter från såväl identifierade som oidentifierade per- soner. Eftersom nedärvda eller förvärvade genetiska kännetecken för en person kan framgå av ett spår som påträffas vid utredning av ett brott, omfattas även analys av spåren av definitionen, trots att de vid den tid- punkten inte går att härleda till en identifierad person. Själva dna-pro- filen, som behandlas i exempelvis dna-register, utgör däremot inte en genetisk uppgift, eftersom inga nedärvda eller förvärvade genetiska kännetecken kan utläsas ur den. I 28 kap. 12–12 b §§ finns bestämmelser om provtag- ning för dna-analys. Av 2 kap. 12 § framgår att genetiska uppgifter är känsliga personupp- gifter som bara får behandlas om det är särskilt föreskrivet och absolut nödvändigt. Definitionen utgår från hur internationell organisation definieras i arti- kel 3.16. Uttrycket behandlas i avsnitt 14.2.4. Med internationell organisation avses dels organisationer och deras underställda organ som lyder under folkrätten, dels andra organ som inrättats genom eller på grundval av överenskommelser mellan två eller flera stater. och (World Customs Orga- nization) är exempel på internationella organisationer som omfattas av definitionen. Internationella domstolar och tribunaler som t.ex. Interna- brottmålsdomstolen, för det och Tribunalen för ska också betraktas som internationella organisationer. Definitionen har ingen motsvarighet i direktivet. Uttrycket behandlas i avsnitt 14.2.2. Med medlemsstat avses sådana stater som är bundna av direktivet, vil- ket gäller EU:s medlemsstater. Dessutom ska några stater utanför EU – , , och – tillämpa direktivet. Även de senare är medlemsstater i lagens mening. Definitionen utgår från hur mottagare definieras i artikel 3.10. Uttrycket behandlas i avsnitt 6.2. Mottagare definieras som den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar till- syn, kontroll eller revision. Undantaget omfattar bl.a. myndigheter som tar del av personuppgifter i sin tillsyn över viss verksamhet, t.ex. Datain- spektionen och som båda ut- övar tillsyn över personuppgiftsbehandling. Även andra myndigheter som utövar tillsyn, t.ex. JO och Justitiekanslern, omfattas av undantaget. Definitionen utgår från hur personuppgift definieras i artikel 3.1. Med personuppgift avses varje upplysning om en identifierad eller identifier- bar fysisk person som är i livet. Uttrycket behandlas i avsnitt 6.2. Varje upplysning som kan hänföras till en fysisk person är en person- uppgift. Det gäller även upplysningar som kan hänföras till en individ om en fysisk person kan identifieras med hjälp av informationen. Det krävs inte att den personuppgiftsansvarige ska förfoga över samtliga uppgifter som gör identifieringen möjlig. Det innebär att t.ex. oidentifierade finger- avtryck och dna-profiler är personuppgifter, eftersom det är möjligt att identifiera en person med hjälp av dem. Även bild- eller ljudupptag- ningar kan utgöra personuppgifter, om man direkt eller indirekt kan av- göra vilken individ som upptagningen avser. Definitionen omfattar bara uppgifter om personer som är i livet. Det innebär att behandling av uppgifter om avlidna eller ännu inte födda per- soner inte omfattas av lagen. Av lagen (1987:269) om kriterier för be- stämmande av människans död och lagen (2005:130) om dödförklaring framgår när någon ska betraktas som avliden. Däremot omfattar defini- tionen uppgifter om vem som är släkt med den avlidne. Uppgifter om juridiska personer omfattas inte av definitionen. Definitionen utgår från hur personuppgiftsansvarig definieras i arti- kel 3.8. Uttrycket behandlas i avsnitt 9.1.1. Personuppgiftsansvarig är enligt definitionen den behöriga myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Att bestämma ändamålen med behandlingen innebär i princip att bestämma att en behandling ska utföras och varför. Att bestämma medlen för behandlingen avser främst att bestämma över de tekniska och organisatoriska medlen, dvs. hur be- handlingen ska gå till. Det kan handla om vilka personuppgifter som ska behandlas, vilka som ska få ta del av dem och hur länge personuppgif- terna får behandlas. Den personuppgiftsansvarige styr dock inte alltid själv över alla medel för behandlingen. Vid direktåtkomst bestämmer den som medger åtkomsten hur tillgången tekniskt ska lösas och vilka per- sonuppgifter som ska tillgängliggöras. Den som ges direktåtkomst är personuppgiftsansvarig för behandlingen av de personuppgifter som direktåtkomsten avser. Som framgår av definitionen kan endast behöriga myndigheter vara personuppgiftsansvariga. Det kan framgå av lag eller förordning vem som är personuppgiftsan- svarig. I annat fall avgör de faktiska omständigheterna vem som är per- sonuppgiftsansvarig. Definitionen utgår från hur personuppgiftsbiträde definieras i artikel 3.9. Uttrycket behandlas i avsnitt 9.6.1. Ett personuppgiftsbiträde är en fysisk eller juridisk person som behand- lar personuppgifter för den personuppgiftsansvariges räkning. Ett personuppgiftsbiträde behandlar personuppgifter endast enligt instruktioner från den personuppgiftsansvarige och har inte rätt att själv bestämma över personuppgiftsbehandlingen. Ett personuppgiftsbiträde finns alltid utanför den egna organisationen, t.ex. en servicebyrå eller en konsult. En myndighet kan också behandla personuppgifter som person- uppgiftsbiträde åt en annan myndighet, t.ex. vid utkontraktering av it- drift. En anställd eller någon annan som behandlar personuppgifter under den personuppgiftsansvariges direkta ansvar kan inte vara personupp- giftsbiträde. Definitionen utgår från hur personuppgiftsincident definieras i arti- kel 3.11. Uttrycket behandlas i avsnitt 9.4.1. Med personuppgiftsincident avses en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller obehörigt röjande av eller obehörig åtkomst till personuppgifter. Det är som regel fråga om en oplanerad händelse som påverkar säkerheten för personupp- gifterna på ett negativt sätt och som medför allvarliga konsekvenser för skyddet av uppgifterna. En personuppgiftsincident kan exempelvis upp- stå vid fel eller störningar i system, komponenter eller programvara eller vid haveri i ett tekniskt system eller en komponent i infrastrukturen. En personuppgiftsincident kan också orsakas av en säkerhetsbrist i tekniska hjälpmedel. Det kan även vara fråga om handhavandefel, dvs. internt fel- aktigt bruk eller felaktig implementering av tekniska system eller kompo- nenter. En informationsförlust eller ett informationsläckage kan också bedömas som en personuppgiftsincident. Det kan orsakas av exempelvis brand eller annan yttre påverkan, men kan också bero på felaktig avytt- ring av teknisk utrustning som innehåller information som inte ska vara allmänt tillgänglig, eller otillåtet eller oavsiktligt offentliggörande av sådan information. Personuppgiftsincidenter kan också vara olika typer av angrepp på och intrång i systemen, t.ex. överbelastningsattacker, infö- rande av skadliga koder, hackning, olovligt nyttjande eller annat miss- bruk av lösenord, olovlig åtkomst till information genom skadliga pro- gram och obehörig användning av informationssystem. Även angrepp som möjliggjorts eller utförts av den personuppgiftsansvariges personal eller andra som har anknytning till myndigheten, exempelvis inhyrd personal, kan utgöra personuppgiftsincidenter. Det saknar betydelse för definitionen av en personuppgiftsincident hur händelsen började och vem som ansvarade för att den uppkom. Det avgö- rande är i stället effekten av incidenten. Definitionen har ingen direkt motsvarighet i direktivet, men ordet regi- strerad ingår i definitionen av personuppgifter i artikel 3.1. Uttrycket behandlas i avsnitt 6.2. Med registrerad avses den fysiska person som en personuppgift rör. Av definitionen av personuppgift framgår bl.a. att personen ska vara i livet. Definitionen utgår från hur en tillsynsmyndighet definieras i artikel 3.15 och har i allt väsentligt utformats i enlighet med Lagrådets förslag. Ut- trycket behandlas i avsnitt 11.3.1. är enligt definitionen en myndighet som utses av Prop. 2017/18:232 regeringen enligt direktivet för att utöva tillsyn över behandling av per- sonuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Genom att tillsynsområdet knutits till de grundläggande syftena med lagen omfattar tillsynen inte bara behandling enligt lagen utan även enligt den förordning som kompletterar lagen. Dessutom omfattar till- synsområdet personuppgiftsbehandling med stöd av de registerförfatt- ningar som gäller för behöriga myndigheter eller för ett särskilt register som förs för brottsbekämpning, lagföring, straffverkställighet eller upp- rätthållande av allmän ordning och säkerhet. Tillsyn över bestämmelser om personuppgiftsbehandling i andra författningar omfattas också, om bestämmelserna reglerar personuppgiftsbehandling som utförs av en behörig myndighet för något av de syften som ligger inom lagens till- lämpningsområde. Exempel på bestämmelser av sådant slag är 26 och 27 §§ lagen (1988:688) om kontaktförbud. Tredjeland definieras inte i direktivet. Definitionen täcker alla stater som inte är medlemsstater i lagens mening och utgår alltså från hur medlems- stat definieras. Uttrycket behandlas i avsnitt 14.2.3. Definitionen har ingen motsvarighet i direktivet. Tredje man definieras som någon annan än den registrerade, den personuppgiftsansvarige, data- skyddsombudet, personuppgiftsbiträdet och sådana personer som under den personuppgiftsansvarige eller personuppgiftsbiträdets direkta ansvar har rätt att behandla personuppgifter. Uttrycket behandlas i av- snitt 10.3.3. Uppgift som rör hälsa Definitionen motsvarar direktivets definition i artikel 3.14. Uttrycket be- handlas i avsnitt 6.2. Med uppgift som rör hälsa avses en personuppgift som rör en persons fysiska eller psykiska hälsa, inklusive information om tillhandahållande av hälso- och sjukvårdstjänster som ger upplysning om personens hälsostatus. Av 2 kap. 11 § framgår att uppgifter som rör hälsa är känsliga personuppgifter som bara får behandlas under vissa förutsätt- ningar. 2 kap. Behandling av personuppgifter Grundläggande krav på behandlingen Rättsliga grunder 1 § Paragrafen reglerar, tillsammans med 2 §, de tillåtna rättsliga grunderna för behandling av personuppgifter enligt lagen. Paragrafen, som i allt 2017/18:232 väsentligt har utformats i enlighet med Lagrådets förslag, genomför artikel 8.1 och delar av artikel 8.2. Den behandlas i avsnitt 7.2. Enligt första stycket får en behörig myndighet behandla personuppgif- ter om det är nödvändigt för att den ska kunna utföra sin uppgift att före- bygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Bestämmelsen bildar den yttre ramen för när behandling av personuppgifter är tillåten enligt lagen. Personuppgifter får behandlas bara om det är nödvändigt för att fullgöra en sådan uppgift. Nödvändig- hetsrekvisitet innebär att personuppgiftsbehandlingen ska behövas för att uppgiften ska gå att fullgöra på ett effektivt sätt. Behandling av person- uppgifter och behörig myndighet definieras i 1 kap. 6 §. Vad som avses med förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla all- män ordning och säkerhet och behörig myndighet redovisas i kommen- taren till 1 kap. 2 §. Av andra stycket framgår att personuppgiftsbehandling alltid måste gå att härleda till den behöriga myndighetens uppgifter så som de kommer till uttryck i unionsrätten eller i svensk lagstiftning och andra för verk- samheten bindande beslut om uppgifter som regeringen meddelat. Enligt lagen (1994:1500) med anledning av anslutning till Europeiska unionen gäller EU-rättsakter här i landet med den verkan som följer av . EU-förordningar är att jämställa med svensk lag. Paragrafen reglerar, tillsammans med 1 §, de tillåtna rättsliga grunderna för behandling av personuppgifter enligt lagen. I paragrafen regleras två särskilt angivna fall där det är tillåtet att behandla personuppgifter obero- ende av om förutsättningarna för behandling enligt 1 § är för handen. Tillämpningsområdet för paragrafen är begränsat, eftersom det enbart är personuppgifter som lämnats till en behörig myndighet som får behand- las. Frågan behandlas i avsnitt 7.3. Enligt punkt 1 får personuppgifter alltid behandlas om behandlingen är nödvändig för diarieföring. Normalt finns det en rättslig grund enligt 1 § för de behöriga myndigheternas diarieföring, t.ex. att det är fråga om en handling som hänför sig till en förundersökning, ett mål eller ett ärende. Den nu aktuella punkten täcker behovet av att kunna diarieföra hand- lingar i andra fall. Det kan även röra sig om muntliga uppgifter som ned- tecknas i en tjänsteanteckning eller liknande. Vilka uppgifter som måste noteras i samband med diarieföring av en handling framgår av 5 kap. 2 § offentlighets- och sekretesslagen (2009:400). Vid diarieföring av in- komna handlingar får det således alltid anges vem en handling har kommit från och i korthet vad handlingen rör. Någon annan behandling än sådan som är nödvändig för diarieföringen får emellertid inte utföras med stöd av denna punkt. Den fortsatta behandlingen ska således – utom i fall där andra punkten i denna paragraf blir tillämplig – alltid ha stöd i 1 §. Personuppgifter får enligt punkt 2 alltid behandlas om de har lämnats till den behöriga myndigheten i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning. ”anmälan, ansökan eller liknande” innefattar alla slag av framställningar till en behörig myndighet. Det gäller både skriftliga framställningar och uppgifter som lämnas muntligen men nedtecknas av någon hos den behö- riga myndigheten. omfattas framställningar av detta slag av be- stämmelsen om rättslig grund i 1 § och ska då behandlas med stöd av den bestämmelsen, men i vissa fall kan innehållet i handlingen vara sådant att nödvändighetsrekvisitet i den paragrafen inte är uppfyllt. Eftersom det vanligtvis krävs något slag av handläggning hos den behöriga myndig- heten för att hantera en framställan, har det ansetts nödvändigt med en särskild bestämmelse för personuppgiftsbehandling i dessa fall (jfr t.ex. prop. 2009/10:85 s. 324). Behandlingen måste vara nödvändig för hand- läggningen. Det kan i ett enskilt fall innebära att personuppgifter i ett e- postmeddelande inte får behandlas på annat sätt än att uppgifterna tas emot och därefter arkiveras eller gallras. I ett annat fall kan bestämmelsen innebära att personuppgifterna också får behandlas i sam- band med att framställningen besvaras. I paragrafen föreskrivs att personuppgifter får behandlas bara för sär- skilda, uttryckligt angivna och berättigade ändamål och att det ska framgå för vilket ändamål uppgifterna behandlas. Paragrafen genomför delar av artiklarna 4.1 b och 8.2 och behandlas i avsnitt 7.4. Av första stycket framgår att ändamålen för behandling av personupp- gifter ska vara särskilda, uttryckligt angivna och berättigade. Ändamålen måste bestämmas redan när uppgiften behandlas första gången, eftersom det är i förhållande till dem som det ska prövas om personuppgifterna som behandlas är adekvata och relevanta och hur många personuppgifter som behöver behandlas (8 §). Ändamålet får inte blandas ihop med den rättsliga grunden för behand- ling. Ändamålet ska vara mer konkret. Att ändamålet ska vara särskilt innebär att det måste vara tillräckligt preciserat för att det ska kunna avgöras om de personuppgifter som behandlas är adekvata och relevanta för ändamålet med behandlingen eller om för många personuppgifter behandlas. Ändamålet får alltså inte vara så vagt eller vittomfattande att någon sådan prövning i praktiken inte blir möjlig. Ändamålet kan t.ex. vara förundersökningen om ett visst brott, åtalet för vissa gärningar eller handläggningen av en begäran om domstolsprövning av ett kontakt- förbud eller tillträdesförbud. Vidare kan det vara fråga om ett pågående underrättelsearbete om viss, närmare angiven, brottslig verksamhet. Det kan också vara fråga om verkställigheten av ett straff eller hand- läggningen av ett ingripande på grund av en ordningsstörning. Att ändamålet ska vara berättigat innebär en koppling till de rättsliga grunderna. Personuppgifter får inte behandlas för ett ändamål som inte är berättigat i förhållande till den tillämpliga rättsliga grunden. Personupp- gifter som avser en förundersökning får t.ex. inte längre behandlas för det ändamålet när brottet har preskriberats. Uppgifter om verkställigheten av en påföljd får inte behandlas om påföljden har bortfallit. Däremot kan det vara berättigat för åklagare och domstolar att fortsätta att behandla per- sonuppgifter efter en dom till dess att det står klart att den fått laga kraft. 2017/18:232 Om det ändamål för vilket personuppgifterna behandlas inte framgår av sammanhanget eller på annat sätt ska det enligt andra stycket tydlig- göras genom en särskild upplysning. Behandlas uppgifterna i en förun- dersökning eller i ett mål eller ärende framgår ändamålet av sammanhan- get. Det gäller också om uppgifterna finns i ett särskilt register eller i en viss uppgiftssamling som skapats för ett visst ändamål. I paragrafen regleras förutsättningarna för att personuppgifter ska få be- handlas för ett nytt ändamål inom lagens tillämpningsområde. Paragrafen genomför artikel 4.2 och behandlas i avsnitt 7.6.2 och 7.6.5. Personuppgifter får enligt första stycket inte behandlas innan det har säkerställts att det finns en rättslig grund för den nya behandlingen och att kraven i övrigt är uppfyllda. Det nya ändamålet ska alltså bestämmas innan behandlingen för det ändamålet påbörjas. Av punkt 1 framgår att det alltid ska finnas en rättslig grund för att be- handla personuppgifterna för det nya ändamålet. I 1 § anges vilka rätts- liga grunder som är tillåtna. Om personuppgifter behandlas för att utreda ett brott och det upptäcks att personen i fråga har begått ett annat brott, finns det rättslig grund för att behandla personuppgifterna även för att utreda det andra brottet. Av punkt 2 framgår att det ska vara nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Med nödvändig avses att det är fråga om något som behövs snarare än något som absolut fordras. Behandlingen kan vara nödvändig exempelvis om det i en förun- dersökning finns uppgifter som avslöjar planer på fritagning av en häktad och uppgiften därför behöver lämnas till Kriminalvården. Att det ska vara proportionerligt att personuppgifterna behandlas för det nya ända- målet innebär att skälen för att behandla uppgifterna för det nya ändamå- let ska väga tyngre än det intrång som behandlingen innebär för enskilda. Det har också betydelse vilka personuppgifter det är fråga om och i vil- ken verksamhet de ska användas. Som utgångspunkt torde det anses både nödvändigt och proportionerligt att uppgifter från en förundersökning används för att motverka ny misstänkt brottslig verksamhet eller för att uppfylla en internationell förpliktelse. Bara om de förutsättningar som räknas upp i första stycket är uppfyllda får personuppgifter behandlas för ett nytt ändamål. Någon prövning av om behandlingen för det nya ändamålet är förenlig med det ändamål för vilket uppgifterna ursprungligen behandlades behöver däremot inte göras. Det saknar också betydelse om det är samma eller en annan per- sonuppgiftsansvarig som ska behandla uppgifterna för ett nytt ändamål, så länge det nya ändamålet omfattas av lagens tillämpningsområde. I andra stycket föreskrivs att någon prövning enligt första stycket inte ska göras i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning. Exempel på uppgiftsskyldighet gentemot andra myndig- heter finns i förordningen (1990:893) om underrättelse om dom i vissa brottmål, m.m. som föreskriver skyldighet att expediera domar, beslut och underrättelser i brottmål till bl.a. , Kriminalvården och socialnämnden. Vidare omfattas en myndighets skyldighet enligt 6 kap. 5 § offentlighets- och sekretesslagen (2009:400) att på begäran av en annan myndighet lämna ut uppgift som den förfogar över, i den mån Prop. 2017/18:232 hinder inte möter på grund av bestämmelse om sekretess eller av hänsyn till arbetets behöriga gång. I de fall där det i lag eller förordning bara föreskrivs en möjlighet, men ingen skyldighet, att lämna personuppgifter ska det däremot prövas om uppgiftslämnandet är nödvändigt och propor- tionerligt. Prövningen bör dock i sådana fall som regel mynna ut i att det är nödvändigt och proportionerligt att lämna uppgifterna. I paragrafen föreskrivs att en behörig myndighet får behandla personupp- gifter för vetenskapliga, statistiska eller historiska ändamål inom lagens tillämpningsområde. Den genomför delar av artikel 4.3 och behandlas i avsnitt 7.7. Paragrafen reglerar bara behöriga myndigheters behandling för statisti- ska, vetenskapliga eller historiska ändamål inom lagens tillämpningsom- råde och gäller inte för exempelvis Brottsförebyggande rådets statistik- verksamhet. Den gäller heller inte behöriga myndigheters behandling av personuppgifter för syften utanför lagens tillämpningsområde, t.ex. för forskningsändamål.