prop · H503232 · 2018-04-19 00:00:00 — I artikel 4.1 d föreskrivs även att alla rimliga åtgärder måste vidtas för att säkerställa att felaktiga personuppgifter raderas eller rättas utan dröjs- mål. Den principen tas upp i anslutning till artiklarna 7.2 och 7.3, som behandlar åtgärder för att säkerställa att felaktiga, ofullständiga eller in- aktuella personuppgifter inte överförs eller görs tillgängliga. Frågorna behandlas i avsnitt 8.1.6. Personuppgifter ska enligt artikel 4.1 e inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka de behandlas. Den principen hänger nära samman med artikel 5 som reglerar tidsgränser för lagring. Hur länge personuppgifter får behandlas tas upp i avsnitt 8.2.2. Artikel 4.1 f behandlar säkerheten för personuppgifter och bör genom- föras tillsammans med artikel 29, som också reglerar säkerhet i samband med behandling. Den frågan diskuteras i avsnitt 9.3. Krav på författningsenlig och korrekt behandling Enligt artikel 4.1 a ska personuppgifter behandlas på ett lagligt och kor- rekt sätt. De grundläggande kraven på lagenlighet, saklighet och opar- tiskhet i offentlig verksamhet finns i regeringsformen. Att en myndighet ska agera i enlighet med lag framstår som en självklarhet och är djupt förankrat i den svenska förvaltningstraditionen. Det gäller också att handläggningen ska ske på ett korrekt sätt. Det bör emellertid tydliggöras i ramlagen att personuppgifter alltid ska behandlas lagligt och på ett korrekt sätt. Principen om laglighet innefattar att det ska finnas en rättslig grund för behandlingen (se avsnitt 7.2 och 7.3). Att använda ordet laglig kan lätt leda till motsatsslut. Eftersom det finns behov av att i andra bestämmel- ser i ramlagen reglera att behandlingen ska stå i överensstämmelse inte bara med lag utan även med föreskrifter på lägre nivåer anser regeringen, i likhet med utredningen, att uttrycket ”författningsenlig” är lämpligare att använda i ramlagen. När det gäller principen om korrekthet kan det vid en jämförelse med andra språkversioner ifrågasättas om den svenska termen korrekt motsva- rar avsikten med bestämmelsen. I den danska språkversionen anges i stäl- let att uppgifterna ska behandlas ”rimeligt”. I den engelska används ter- Prop. 2017/18:232 men ”fairly”, vilket betyder rättvist, skäligt eller rimligt. språkversionen använder termen ”loyale” som har motsvarande bety- delse. Användningen av dessa termer tyder enligt utredningens mening på att en intresseavvägning ska göras, vilket inte lika tydligt framgår av den svenska termen ”korrekt”. Utredningen tolkar artikeln så att det som avses med korrekt sätt är att behandlingen inte bara formellt ska vara i enlighet med regleringen utan också spegla intentionerna med lagstift- ningen. Regeringen tolkar artikeln på samma sätt. Eftersom ordet ”kor- rekt” används i både direktivet och i motsvarande bestämmelse i arti- kel 5.1 a i dataskyddsförordningen bör ordet dock inte, som Havs- och vattenmyndigheten tycker, ersättas med något annat ord. 8.1.2Personuppgifter ska vara korrekta och adekvata Regeringens förslag: De personuppgifter som behandlas ska vara korrekta och, om det är nödvändigt, uppdaterade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. De personuppgifter som behandlas ska också vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler person- uppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot förslaget. Skälen för regeringens förslag Personuppgifter ska vara korrekta och uppdaterade Enligt artikel 4.1 d ska personuppgifter vara korrekta och, om nödvän- digt, uppdaterade. Motsvarande bestämmelse finns i artikel 6.1 d dataskyddsdirektiv. Artikeln har genomförts i 9 § första stycket g per- sonuppgiftslagen, enligt vilken personuppgifter som behandlas ska vara riktiga och, om nödvändigt, aktuella. En bestämmelse med det innehållet bör tas in i ramlagen. Regeringen anser att direktivets formulering bör användas. En uppgift är korrekt om den stämmer överens med de verkliga för- hållandena. För att bestämma vilka de verkliga förhållandena är som per- sonuppgifterna ska spegla får man söka ledning i ändamålen med be- handlingen. I vissa fall är avsikten med behandlingen bara att registrera uppgifter som kommit in, t.ex. i en brottsanmälan. De behandlade per- sonuppgifterna får då betraktas som korrekta om de stämmer överens med de inkomna uppgifterna, oavsett hur de förhåller sig till de verkliga förhållandena (jfr och , Personupp- giftslagen, En kommentar, 4:e uppl. 2011, i fortsättningen m.fl., s. 206). Bedömningen av om en personuppgift är korrekt ska inte bara utgå från ändamålen för behandlingen. Att uppgifter som förekommer i bl.a. brottsbekämpande verksamhet och vid annan behandling av uppgifter om 2017/18:232 lagöverträdelser har en särskild karaktär måste också beaktas. Frågan om en uppgift är korrekt måste därför även ses mot bakgrund av vad uppgif- ten rör, när den lämnas och vem som lämnar den. Om t.ex. en person anmäler en annan för brott är uppgifterna i anmälan korrekta om de åter- speglar vad anmälaren har uppgett. Det förhållandet att det senare hålls ett förhör vid vilket vissa uppgifter tas tillbaka eller ändras innebär inte att de först nedtecknade uppgifterna i anmälan är felaktiga. Om det sedan vid en rättegång visar sig att personen i fråga lämnar nya uppgifter eller ändrar tidigare påståenden återspeglar ändå en uppteckning av tidigare förhör vad som sades vid det tillfället och är därigenom korrekt. Särskilt när det gäller utsagor från personer som hörs under en förundersökning eller vid en rättegång och som har ett personligt intresse av resultatet av handläggningen utgår lagstiftningen från att uppgifterna kan komma att ändras. Det krav på korrekthet som kan ställas när det gäller personupp- gifter som behandlas vid utsagor måste därför inskränkas till att utsa- gorna återges så som de har lämnats och att dokumentationen av dem följer gällande regler. För att kunna avgöra om uppgifterna är korrekta är det också av stor betydelse att veta om de grundar sig på fakta eller på personliga bedöm- ningar. Att uppgifter som grundar sig på fakta i så stor utsträckning som möjligt ska skiljas från uppgifter som grundar sig på personliga bedöm- ningar behandlas i avsnitt 8.1.3. De behandlade uppgifterna behöver bara vara uppdaterade om det är nödvändigt. Frågan om det är nödvändigt att uppgifterna är uppdaterade får avgöras med hänsyn till ändamålen med behandlingen (jfr m.fl. s. 206). Exempelvis kan adressuppgifter ändras under handläggningen av ett ärende och därmed behöva uppdateras. När ärendet har avslutats är det dock inte nödvändigt att uppdatera en adressuppgift. I flera av myndigheternas registerförfattningar anges att uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt och med respekt för människovärdet. En bestämmelse med motsvarande innehåll bör tas in i ramlagen. Bestämmelserna finns i de paragrafer som reglerar användningen av känsliga personuppgifter (se bl.a. 2 kap. 10 § tredje stycket polisdatalagen och 2 kap. 7 § tredje stycket kustbevak- ningsdatalagen). Regleringen har lett till viss osäkerhet om signalements- uppgifter är känsliga personuppgifter. Bestämmelsen i ramlagen bör därför placeras tillsammans med reglerna om personuppgifters kvalitet för att tydliggöra att uppgifter om utseende inte i sig ska betraktas som känsliga personuppgifter. Ett signalement kan dock innehålla uppgifter ur vilka man kan utläsa uppgifter om t.ex. hälsa eller etniskt ursprung. Sådana uppgifter ska hanteras enligt reglerna om känsliga personupp- gifter (se avsnitt 8.1.4). Personuppgifter ska vara adekvata och relevanta Enligt artikel 4.1 c ska personuppgifter vara adekvata och relevanta och inte för omfattande i förhållande till de syften för vilka de behandlas. En bestämmelse med det innehållet bör tas in i ramlagen. Att uppgifterna ska vara adekvata och relevanta innebär att ovidkommande uppgifter inte får behandlas. Vilka uppgifter som är adekvata och relevanta ska bedö- mas i förhållande till ändamålen med behandlingen. många personuppgifter det finns behov av att behandla. Det får betydelse Prop. 2017/18:232 för hur s.k. överskottsinformation ska hanteras, dvs. las in och som visar sig inte vara adekvata eller relevanta för det be- stämda ändamålet. Om uppgifterna inte behöver behandlas för något annat tillåtet ändamål får de inte lagras för framtida behov. Det finns regler om i vilken utsträckning överskottsinformation över huvud taget får behandlas i vissa sammanhang (se t.ex. 27 kap. 23 a § rättegångs- balken). 8.1.3Olika typer av personuppgifter ska skiljas från varandra Regeringens förslag: Så långt det är möjligt ska personuppgifter som rör olika kategorier av registrerade särskiljas så att det framgår om personen är misstänkt, dömd för brott, brottsoffer eller någon annan som berörs av ett brott. Om det inte framgår av sammanhanget eller på annat sätt till vilken kategori personen hör, ska det tydliggöras genom en särskild upplysning. Personuppgifter som grundar sig på fakta ska så långt det är möjligt särskiljas från personuppgifter som grundar sig på personliga bedöm- ningar. Om det inte framgår av sammanhanget eller på annat sätt vad uppgiften grundas på ska det tydliggöras genom en särskild upplys- ning. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: anser att det bör övervägas att införa en ny särskild beteckning för den kategori av registrerade som, utan att vara misstänkta för brott, är misstänkta för att ha utövat eller komma att utöva brottslig verksamhet och uttryckligen nämna den kategorin i lagtexten. Syftet skulle vara att uppnå en tillfred- ställande åtskillnad mellan sådana personer och personer som det inte finns några som helst misstankar mot. tycker däremot inte att det bör krävas olika kategorier av misstänkta, utan med miss- tänkta bör avses såväl de som är misstänkta för visst brott som de som är misstänkta för att ha utövat eller komma att utöva brottslig verksamhet. Datainspektionen saknar resonemang kring innebörden av förslaget att uppgifter som grundar sig på fakta ska skiljas från uppgifter som grundar sig på bedömning och betonar att förslaget inte får innebära någon för- sämring jämfört med dagens reglering. Hovrätten för anser att formuleringen ”så långt det är möjligt” inte tillför något och ifrågasätter därför om den behöver finnas i lagtexten. Skälen för regeringens förslag Särskiljande mellan olika typer av personuppgifter Enligt artikel 6 ska den personuppgiftsansvarige i tillämpliga fall och så långt det är möjligt skilja mellan personuppgifter som rör olika katego- rier av registrerade. Som exempel på olika kategorier av registrerade nämns personer som har begått eller är på väg att begå brott, personer som har dömts för brott, brottsoffer eller personer som p.g.a. vissa om- 2017/18:232 ständigheter kan antas vara brottsoffer och andra som berörs av ett brott, t.ex. vittnen, personer som kan lämna information om brott eller personer som har kontakter med eller band till personer som misstänks för eller är dömda för brott. Enligt artikel 7.1 ska personuppgifter som grundar sig på fakta så långt det är möjligt skiljas från personuppgifter som grundar sig på personliga bedömningar. Syftet med bestämmelserna är att säkerställa att den som söker eller får del av information också får veta varför uppgifter om en viss person be- Inom ramlagens tillämpningsområde är det särskilt viktigt att det framgår om en uppgift rör en icke misstänkt person och hur tillförlit- lig en underrättelseuppgift bedöms vara. Ofta framgår det redan av det sammanhang i vilket personuppgifterna behandlas, men om en uppgift tas ur sitt sammanhang för att behandlas för ett nytt ändamål blir infor- mationen viktig (jfr prop. 2009/10:85 s. 146 f.). Ju längre ett brottmålsförfarande fortskrider, desto tydligare blir det vilken roll olika personer har och varför deras personuppgifter behandlas. Vid handläggningen i domstol anges det tydligt vem som är misstänkt, tilltalad, målsägande, vittne eller anhörig till någon av dessa. uppdelning uppfyller enligt regeringen kravet på särskiljande. sökningsprotokoll görs på motsvarande sätt skillnad mellan olika person- kategorier (se 20 och 21 §§ förundersökningskungörelsen [1947:948]). Det är framför allt i det inledande skedet av en förundersökning och i underrättelseverksamhet som det kan vara otydligt vilken roll en person har och varför uppgifter om honom eller henne behandlas. I 3 kap. 3 § polisdatalagen anges därför att det vid behandling av gemensamt till- gängliga uppgifter genom en särskild upplysning eller på annat sätt ska framgå för vilket närmare ändamål personuppgifter behandlas och om en personuppgift har gjorts gemensamt tillgänglig som ett led i övervak- ningen av en allvarligt kriminellt belastad person. hänföras till en person som inte är misstänkt för brott eller för att ha utövat brottslig verksamhet ska det enligt 3 kap. 4 § framgå att personen inte är misstänkt. Vidare föreskrivs att uppgifter om en person som kan antas ha samband med misstänkt brottslig verksamhet, dvs. målet inte är att utreda ett konkret brott, ska förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak, om det inte på grund av särskilda omständigheter är onödigt. gäller i brottsbekämpande verksamhet enligt 4 kap. 2 och 3 §§ kustbevakningsdatalagen samt för och i deras brottsbekämpande verksamhet (se 3 kap. 3 och 4 §§ i både tull- brottsdatalagen och skattebrottsdatalagen). Även enligt 3 kap. 3 § åkla- gardatalagen ska det framgå om de uppgifter som behandlas rör en per- son som inte är misstänkt. De bestämmelser som finns i dessa registerförfattningar är inarbetade men uppfyller inte helt direktivets krav. Det krävs också regler för övriga Det bör därför tas in en bestämmelse i ramlagen om att den personuppgiftsansvarige så långt det är möjligt ska skilja mel- lan personuppgifter som rör olika kategorier av registrerade. framgår av sammanhanget eller på annat sätt till vilken kategori en per- son hör bör det tydliggöras genom en särskild upplysning. Det är framför allt när uppgifter behandlas utanför sitt ursprungliga sammanhang som en särskild upplysning kan behövas (jfr prop. 2009/10:85 s. 146 f.). Kraven på särskild upplysning i de brottsbekäm- Prop. 2017/18:232 pande myndigheternas registerförfattningar gäller uppgifter som har gjorts gemensamt tillgängliga. Om uppgifter behandlas av en liten, klart avgränsad grupp vet de inblandade personerna som regel varifrån uppgif- terna kommer, varför de behandlas och om en omnämnd person är miss- tänkt för brott eller för att utöva brottslig verksamhet eller om han eller hon tillhör någon annan kategori. Mot den bakgrunden kan det finnas skäl att göra undantag från kravet på särskild upplysning för uppgifter som inte har gjorts gemensamt tillgängliga. Regeringen återkommer till den frågan i samband med att de brottsbekämpande myndigheternas registerförfattningar anpassas till den nya ramlagen. Det bör också tas in en bestämmelse i ramlagen om att personuppgifter som grundar sig på fakta bör skiljas från uppgifter som grundar sig på personliga bedömningar. Om det inte framgår av sammanhanget eller på annat sätt vad uppgiften grundas på bör det tydliggöras genom en sär- skild upplysning. Det som sagts om att det kan finnas skäl att göra undantag från kravet på särskilda upplysningar bör gälla även för nu aktuella uppgifter som inte gjorts gemensamt tillgängliga. Det utvidgade kravet på särskilda upplysningar väcker frågan om de be- höriga myndigheterna blir skyldiga att förse alla äldre personuppgifter som saknar sådana upplysningar med det. Eftersom kravet är att så långt möjligt skilja mellan olika typer av uppgifter anser regeringen, i likhet med utredningen, att det inte kan krävas av myndigheterna att de går igenom alla äldre personuppgifter för att kontrollera om det finns sär- skilda upplysningar. Om tveksamhet uppstår i ett enskilt fall och det är möjligt att tillfoga en särskild upplysning bör det dock göras. Formule- ringen ”så långt det är möjligt” kan alltså få betydelse i bl.a. de fall då det är fråga om äldre personuppgifter. Med det i beaktande, och då direktivet endast kräver att åtskillnad görs mellan olika typer av uppgifter så långt det är möjligt, anser regeringen till skillnad mot Hovrätten för att formuleringen behövs. och framför synpunkter som rör den kategori av registrerade som benämns miss- tänkta. Den föreslagna uppräkningen i lagtexten av olika kategorier av registrerade är endast exemplifierande, varför det enligt regeringen sak- nas skäl att lägga till ytterligare kategorier. Som Säkerhets- och integri- tetsskyddsnämnden påpekar är det av stor vikt att det framgår om en person inte är misstänkt vare sig för brott eller för att utöva brottslig verksamhet. Om den bestämmelse som föreslås i ramlagen därför bör kompletteras av bestämmelser i registerförfattningarna motsvarande den bestämmelse som finns i 3 kap. 4 § polisdatalagen, är en fråga som regeringen avser att återkomma till när anpassningen av registerförfatt- ningarna sker. Som Datainspektionen betonar är tanken inte att förslaget ska innebära någon försämring för enskilda jämfört med dagens regle- ring. Med det som utgångspunkt kommer regeringen, när registerförfatt- 2017/18:232 ningarna anpassas till den nya regleringen, även att se över övriga be- stämmelser om särskilda upplysningar som finns i dem. Lagrådet föreslår att ”tilltalad” läggs till i lagtexten som exempel på en kategori av registrerade. Som just har nämnts är uppräkningen av katego- rier av registrerade exemplifierande och därför finns det enligt regeringen inte skäl att lägga till tilltalad som ytterligare en kategori. Detta hindrar dock inte att det i sammanhang där det är relevant tydliggörs att personuppgifter som behandlas rör tilltalade. Regeringens förslag: Personuppgifter som avslöjar ras, etniskt ur- sprung, politiska åsikter, religiös eller filosofisk övertygelse, medlem- skap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. Om uppgifter om en person behandlas får de dock kompletteras med sådana personuppgifter när det är absolut nödvän- digt för ändamålet med behandlingen. Biometriska uppgifter och genetiska uppgifter får behandlas endast om det är särskilt föreskrivet och det är absolut nödvändigt för ända- målet med behandlingen. Känsliga personuppgifter får alltid behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till en behörig myn- dighet i en anmälan, ansökan eller liknande och behandlingen är nöd- vändig för myndighetens handläggning. Det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Det stora flertalet remissinstanser kommenterar anser att ordet ras kan ersättas med formuleringen nationellt eller etniskt ursprung. Hovrätten för Västra Sve- rige anser att ordet ”absolut” inte tillför något. Justitiekanslern ifrågasät- ter, mot bakgrund av att andra författningar ska innehålla bestämmelser om behandling av biometriska och genetiska uppgifter, om ramlagen bör innehålla ett krav på att sådan behandling ska vara absolut nödvändig eller om förutsättningarna för att behandla sådana uppgifter i stället ut- tömmande bör anges i de andra författningarna. menar att det saknas skäl för att utvidga begreppet känsliga personuppgifter till att omfatta biometriska och genetiska uppgifter och att samlingsbegrep- pet i stället bör vara särskilda kategorier av personuppgifter. Polismyn- digheten tillstyrker vidare förslaget om ett generellt sökförbud, men på- pekar att myndighetens registerförfattning kommer att behöva innehålla omfattande undantag från förbudet och att ramlagen bör innehålla ett generellt undantag för sökningar som sker i registervårdande syfte. understryker vikten av att registervårdande åtgärder regleras i de författningar som genomför direk- tivet. ser problem med att förbjuda sökningar som sker i ett visst syfte, eftersom det enligt verket kan vara svårt att såväl när en sökning genomförs som i efterhand bedöma syftet med sökningen. Datainspektionen får det föreslagna sökförbudet inte innebära någon utvidgning i förhållande till dagens möjligheter att söka på känsliga per- Prop. 2017/18:232 sonuppgifter. Inspektionen ser det även som viktigt att syftet med sök- ningar på känsliga personuppgifter dokumenteras, både ur ett verksam- hets- och tillsynsperspektiv. anser att sökför- budet blir mer ändamålsenligt och träffsäkert när det utgår från syftet med sökningen. Myndigheten lyfter fram att det föreslagna för- budet torde öka möjligheterna att söka på känsliga personuppgifter på så sätt att det blir möjligt att söka på sådana uppgifter om sökningen be- gränsas till en viss person. Vid sökningar på känsliga personuppgifter i en persons journal går det inte att få fram något urval av personer. Skälen för regeringens förslag I lagstiftning om behandling av personuppgifter har känsliga personupp- gifter en särställning. Med känsliga personuppgifter avses enligt 13 § personuppgiftslagen uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och uppgifter som rör hälsa eller sexualliv. Som huvudregel är det förbjudet att behandla känsliga personuppgifter. Från förbudet görs i 14–19 §§ personuppgiftslagen undantag för vissa situationer, t.ex. när den enskilde har samtyckt till behandlingen eller om behandlingen är nödvändig på grund av vissa särskilt angivna skäl. Enligt 8 § personupp- giftsförordningen (1998:1191) får känsliga personuppgifter behandlas av en myndighet i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Definitionen av känsliga personuppgifter i personuppgiftslagen bildar utgångspunkten för regleringen i de behöriga myndigheternas registerför- fattningar. Enligt registerförfattningarna får känsliga personuppgifter inte behandlas enbart på grund av vad som är känt om en person i dessa av- seenden (se t.ex. 2 kap. 8 § åklagardatalagen). Om uppgifter om en per- son redan behandlas på någon annan grund, får de dock enligt de flesta registerförfattningarna kompletteras med känsliga personuppgifter, om det är absolut nödvändigt för syftet med behandlingen (se t.ex. 2 kap. 10 § polisdatalagen). Innebörden av bestämmelserna är att det t.ex. inte är tillåtet att föra särskilda register över personer baserat på deras poli- tiska åsikter. Förekommer en person i en förundersökning eller något annat ärende, får dock uppgifter om politisk åskådning behandlas, om det bedöms vara absolut nödvändigt för syftet med behandlingen. Det kan t.ex. vara fallet om motivet för ett brott är politiskt. Något krav på att behandlingen är absolut nödvändig gäller enligt 13 § domstolsdatalagen inte i domstolarnas rättskipande och rättsvårdande verksamhet. Fler kategorier av uppgifter blir känsliga personuppgifter Enligt artikel 10 ska behandling av vissa kategorier av personuppgifter vara tillåten endast om det är absolut nödvändigt och om det finns lämp- liga skyddsåtgärder för den registrerades rättigheter och friheter. Dess- utom krävs det att behandlingen är tillåten enligt unionsrätten eller nationell rätt, utförs för att skydda intressen som är av grundläggande betydelse för den registrerade eller en annan fysisk person eller rör upp- gifter som på ett tydligt sätt har offentliggjorts av den registrerade. De kategorier av personuppgifter som räknas upp i artikel 10 är till största delen de som betecknas som känsliga personuppgifter, dvs.