prop · H503232 · 2018-04-19 00:00:00 — primärt gäller för andra myndigheter. Skyldigheten enligt 23 kap. 3 § andra stycket att biträda åklagare vid brottsutredning utgör rättslig grund för att polisen ska kunna överlämna personuppgifter till åklagare i det brottsbekämpande arbetet. finns för , och . Genom de författningar och regeringsbeslut som reglerar den verksam- het i vilken personuppgifterna behandlas, tillsammans med ramlagen och registerförfattningarna, är enligt regeringens mening kravet i direktivet på att behandlingen ska ha stöd i unionsrätt eller nationell rätt uppfyllt. anför att arbetet med att utveckla nya arbetsmetoder och samverkansformer inte bör motverkas genom otillräckliga förutsätt- För del anser regeringen att 2 § polislagen bör kunna ge rättsligt stöd för personuppgiftsbehandling i Eftersom stödet för arbetsuppgiften inte behöver finnas i lag utan även kan framgå av förordning eller annat beslut av regeringen bör det, som påpekar, finnas tillräckliga verktyg för att i övrigt möjliggöra flexibilitet. Här kan även påpekas att myndigheters verksamhet enligt den svenska legalitetsprincipen måste vara fastställd i enlighet med svensk rätt. om rättslig grund för behandling av personuppgifter i underrättelseverk- Även om underrättelseverksamheten i vissa avseenden inte är lika reglerad som t.ex. brottsutredande verksamhet så har de myndigheter som bedriver underrättelseverksamhet ålagts den uppgiften i författning, t.ex. framgår det av 3 § förordningen (2007:853) med instruktion för att ska förhindra och upptäcka brotts- Författningsstödet för uppgiften tillsammans med ram- lagen och registerförfattningarna, ger enligt regeringens mening rättslig grund för personuppgiftsbehandlingen. Lagrådet har uttalat att planering, uppföljning och utvärdering av verk- samhet är en integrerad del av själva verksamheten och inte någon fristå- ende aktivitet som behöver regleras särskilt i registerförfattningar. har därför ansetts att det inte behövs någon särskild bestämmelse som ger Prop. 2017/18:232 stöd för behandling av personuppgifter för bl.a. planering och uppfölj- ning av verksamheten (se t.ex. brottsbekämpning – Effekti- vare uppgiftsbehandling, prop. 2004/05:164, s. 179 och Åklagardatalag, prop. 2014/15:63, s. 63). Någon särskild bestämmelse om att sådan be- handling är tillåten behövs därför inte i ramlagen. Enligt utredningen bör motsvarande bedömning göras när det gäller registervård. Personupp- giftsansvariga måste kunna behandla personuppgifter om det behövs för att se till att bestämmelserna om personuppgiftsbehandling efterlevs. Regeringen håller med utredningen om att registervård måste anses vara en integrerad del av den personuppgiftsansvariges skyldigheter enligt ramlagen och registerförfattningarna och att det följaktligen inte behöver regleras särskilt att personuppgiftsbehandling för registervård är tillåten. Datainspektionen delar den bedömningen. 7.3Rättslig grund i undantagsfall för diarieföring och handläggning Regeringens förslag: Personuppgifter får alltid behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till en be- hörig myndighet i en anmälan, ansökan eller liknande och behand- lingen är nödvändig för myndighetens handläggning. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: tillstyrker förslaget. Data- anser att den bestämmelse som föreslås bör ändras på sådant sätt att den kräver användning av pseudonymiserade uppgifter i så hög utsträckning som möjligt. Övriga remissinstanser yttrar sig inte särskilt om förslaget. Skälen för regeringens förslag: De myndigheter som ska tillämpa ramlagen tar emot stora mängder information av vitt skilda slag, ofta i elektronisk form. De inkommande uppgifterna kan utgöra en del av en allmän handling i tryckfrihetsförordningens mening. Enligt 5 kap. 1 § offentlighets- och sekretesslagen ska som huvudregel allmänna hand- lingar som kommit in till en myndighet registreras, dvs. Syftet är bl.a. att garantera allmänhetens tillgång till allmänna handlingar. En myndighet måste därför alltid ha möjlighet att behandla personuppgifter för att diarieföra och handlägga inkommande anmälningar, ansökningar och liknande. Det gäller även i de fall där den behöriga myndigheten inte behöver behandla personuppgifterna för att utföra sina uppgifter (prop. 2009/10:85 s. 112 f.). Det bör i ramlagen tydliggöras att det är en tillåten rättslig grund för behandling. I skäl 16 finns det stöd för att ha en sådan bestämmelse om rättslig grund. Där uttalas nämligen att direktivet inte påverkar principen om all- mänhetens rätt att få tillgång till allmänna handlingar. förespråkar ett krav på pseudonymisering vid diariefö- ring och handläggning i syfte att öka dataskyddet. Som utvecklas i av- snitt 8.1.5 följer det av de grundläggande kraven på behandling av per- sonuppgifter att avidentifiering bör användas i så stor utsträckning som 2017/18:232 möjligt. Kan en uppgift utföras tillfredsställande även om personuppgif- terna utelämnas är de grundläggande kraven på adekvans och personupp- gifternas omfattning inte uppfyllda (jfr SOU 2015:39 s. 285). Som sagts ovan förutsätter emellertid myndigheternas skyldighet att bl.a. garantera allmänhetens tillgång till allmänna handlingar att de handlingar som in- kommit diarieförs och behandlas i oförändrat skick. Mot denna bakgrund finns det enligt regeringen inte skäl att införa ett krav på pseudonymise- ring i den bestämmelse som föreslås. 7.4Behandling bara för särskilda, uttryckligt angivna och berättigade ändamål Regeringens förslag: Personuppgifter får behandlas bara för sär- skilda, uttryckligt angivna och berättigade ändamål. Om det ändamål som personuppgifterna behandlas för inte framgår av sammanhanget eller på annat sätt, ska det tydliggöras genom en särskild upplysning. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Majoriteten av remissinstanserna yttrar sig inte särskilt om förslaget. Justitiekanslern anser att bestämmelsen är mycket allmänt hållen och har svårt att förstå innebörden av den och hur den kommer att förhålla sig till registerförfattningarna. Även tycker att det bör klargöras vad som avses med ändamål i bestämmelsens mening. Enligt ställer direktivet krav på att det i författ- ning regleras för vilka specifika ändamål en behörig myndighet får be- handla personuppgifter. anser att utredningens tolk- ning av direktivets krav på reglering av ändamål förefaller rimlig, liksom förslaget att ändamålet ska dokumenteras särskilt om det inte framgår av sammanhanget. Skälen för regeringens förslag Behandling för särskilda, uttryckligt angivna och berättigade ändamål Den omständigheten att viss behandling är rättsligt grundad innebär inte att vilka personuppgifter som helst får behandlas eller att det får göras på valfritt sätt. Den personuppgiftsansvarige måste också iaktta övriga krav som gäller för behandling av personuppgifter. I artikel 4.1 b i direktivet anges bl.a. att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Liknande reg- lering finns i artikel 6.1 b dataskyddsdirektiv, som har genom- förts genom 9 § första stycket c personuppgiftslagen. En liknande be- stämmelse bör tas in i ramlagen. Att ändamålen ska vara särskilda innebär att de måste vara tillräckligt specificerade för att ge ledning för bedömningen av vilka uppgifter som är adekvata och relevanta för den aktuella behandlingen och för att det ska kunna avgöras att inte för många uppgifter behandlas (se av- snitt 8.1.2). Något hinder mot att ange flera parallella ändamål för be- handlingen finns inte. Ändamålen ska anges uttryckligen redan när per- sonuppgifterna samlas in. Att ändamålen ska vara berättigade innebär enligt regeringens mening en koppling till den rättsliga grunden. Personuppgifter får således inte be- handlas för ett ändamål som inte är berättigat i förhållande till den till- lämpliga rättsliga grunden. Kravet på att ändamålet för behandlingen ska vara berättigat kan också sägas innebära ett krav på att behandlingen ska vara förenlig med konstitutionella och andra rättsliga principer. Genom att det i stor utsträckning är reglerat vilken personuppgiftsbehandling som kan aktualiseras på området för brottsbekämpning, lagföring, straff- verkställighet och upprätthållande av allmän ordning och säkerhet har lagstiftaren redan tagit ställning till att personuppgiftsbehandlingen är berättigad i de fallen. Det är dock inte bara när personuppgifter samlas in som det ska finnas ett särskilt, uttryckligt angivet och berättigat ändamål för behandlingen. Varje åtgärd som vidtas med insamlade uppgifter ska naturligtvis också uppfylla de kraven (jfr prop. 2009/10:85 s. 98). I ramlagen bör det därför tydliggöras att all behandling ska utföras för särskilda, uttryckligt an- givna och berättigade ändamål. Bestämmelsen tar sikte på ändamålen i det enskilda fallet som t.ex. en förundersökning om ett visst brott eller ett ärende om förordnande av målsägandebiträde i ett visst fall. I avsnitt 9.2.7 föreslås att ändamålen med behandlingen ska förtecknas i det register som myndigheten ska föra och i avsnitt 10.2.6 att den personuppgiftsansvarige ska tillhandahålla allmän information om ändamålen med behandlingen. Det innebär inte att den personuppgiftsansvarige måste förteckna respektive lämna infor- mation om alla de enskilda fall där myndigheten behandlar personupp- gifter. Det som avses är de typer av ändamål som myndigheten behandlar personuppgifter för. Som exempel kan nämnas att behandlar personuppgifter bl.a. för att ta emot anmälningar om brott, genomföra förundersökningar, verkställa uppbörd av bötesstraff och dokumentera ingripanden vid ordningsstörningar och att Kriminalvården behandlar personuppgifter för att verkställa olika straffrättsliga påföljder och hantera vissa andra frihetsberövanden. I artikel 8.2 anges att nationell rätt åtminstone ska specificera syftet med behandlingen, vilka personuppgifter som ska behandlas och behand- lingens ändamål. Uttrycken ”syftet med behandlingen” och ”behandling- ens ändamål” används ofta synonymt när man diskuterar personupp- giftsbehandling. Frågan är om det finns någon saklig skillnad mellan uttrycken. I den engelska språkversionen av direktivet används uttrycken ”objectives of processing” och ”purposes of the processing”. Orden objectives och purposes är också synonymer. Användningen av obestämd form i det första uttrycket men bestämd form i det senare kan tolkas som att det första uttrycket avser bestämmelser om rättslig grund (brottsbe- kämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet), medan det andra avser ändamålen för behand- lingen i det enskilda fallet. Om någon skillnad är avsedd är det enligt regeringens mening den enda rimliga tolkningen. Regeringen anser därmed, i likhet med men till skillnad mot , att den föreslagna generella bestämmelsen om rättslig grund i ramlagen tillsammans med bestämmelsen om att per- sonuppgifter ska behandlas för särskilda, uttryckligt angivna och berätti- gade ändamål, uppfyller kraven i direktivet på hur regleringen ska vara 2017/18:232 utformad. Innebörden av den nu föreslagna bestämmelsen och hur den förhåller sig till registerförfattningarna, frågor som Justitiekanslern och väcker, utvecklas vidare i avsnitt 7.5. Frågan om det bör regleras vilka personuppgifter som får behandlas diskuteras i av- snitt 8.1.5. En särskild fråga är vad som avses med att ändamålen ska vara uttryck- ligt angivna. Det finns inget generellt krav på att ändamålsbestäm- ningen ska dokumenteras. Enligt 3 kap. 3 § polisdatalagen och 4 kap. 2 § kustbevakningsdatalagen ska det dock genom en särskild upplysning eller på något annat sätt framgå för vilket närmare ändamål personupp- gifter som har gjorts gemensamt tillgängliga behandlas. Bestämmelserna tillkom i samband med att möjligheten att göra uppgifter gemensamt tillgängliga reglerades. Syftet är att ge den som söker information mot- svarande upplysningar som han eller hon skulle ha fått om uppgifterna hade behandlats i traditionella register. Motsvarande gäller för Tullver- kets och brottsbekämpande verksamhet. framgår det av sammanhanget för vilket ändamål personuppgif- ter behandlas (t.ex. för förundersökningen om ett visst brott, handlägg- ningen av ett visst mål eller ärende eller verkställigheten av ett visst straff). Behovet av att upplysa om för vilka ändamål personuppgifter behandlas gör sig framför allt gällande i den del av den brottsbekäm- pande verksamheten där det långtifrån alltid framgår av omständighe- terna för vilket ändamål uppgifter behandlas, t.ex. i underrättelseverk- samheten. Det bör finnas möjlighet att kunna kontrollera för vilket eller vilka ändamål personuppgifter behandlas oavsett i vilken verksamhet det görs. Det underlättar både för den enskilde och för tillsynsmyndigheten om ändamålet är tydligt. Om det ändamål för vilket personuppgifter behandlas inte framgår av sammanhanget eller på annat sätt bör det där- för tydliggöras genom en särskild upplysning. En bestämmelse om det bör tas in i ramlagen. Det krav på att ändamålet för behandlingen ska framgå som gäller för några av de behöriga myndigheterna omfattar bara uppgifter som har gjorts gemensamt tillgängliga. Uppgifter som endast ett fåtal personer har rätt att ta del av anses inte som gemensamt tillgängliga (se t.ex. 3 kap. 1 § polisdatalagen). Om uppgifter behandlas av en liten, klart av- gränsad grupp vet de inblandade personerna som regel varifrån uppgif- terna kommer och varför de behandlas. Mot den bakgrunden kan det finnas skäl att göra undantag från kravet på särskild upplysning för upp- gifter som inte har gjorts gemensamt tillgängliga. Regeringen återkom- mer till den frågan i samband med att de brottsbekämpande myndighe- terna registerförfattningar anpassas till den nya ramlagen. 7.5 Är dagens primära och sekundära Prop. 2017/18:232 ändamålsbestämmelser snarare bestämmelser om rättslig grund? Regeringens bedömning: Bestämmelserna i de brottsbekämpande myndigheternas registerförfattningar som kallas primära och sekun- dära ändamålsbestämmelser bör snarare ses som en del av den rätts- liga grunden för behandling av personuppgifter. Utredningens bedömning stämmer överens med regeringens. Remissinstanserna: Ingen remissinstans invänder mot bedömningen. Skälen för regeringens bedömning Som framgår av avsnitt 7.1 anser regeringen att det finns fog för Infor- mationshanteringsutredningens uppfattning att vad som i dataskydds- rättslig mening är tillåtna rättsliga grunder för behandling och vad som är renodlade ändamålsbestämmelser ibland har blandats samman. Det kan leda till att tillämparen förväxlar ändamål med rättslig grund och godtar ett i författning angivet allmänt ändamål som ett särskilt och tillräckligt preciserat ändamål i det enskilda fallet. Ett exempel som utredningen tar upp är uppgiftssamlingen benämnd ”Kringresande” som fördes av Polis- myndigheten i . kritise- rade vid sin granskning bl.a. att ändamålet med personuppgiftsbehand- lingen var alldeles för vitt. Personuppgifterna hade samlats in för speci- fika ändamål men lagrades och behandlades sedan i uppgiftssamlingen för ändamålet länsövergripande brottslighet. Ändamålet låg visserligen inom ramen för sådan underrättelseverksamhet som avses i 2 kap. 7 § 1 polisdatalagen. Det uppfyllde dock enligt Säkerhets- och integritets- nämnden inte det grundläggande kravet på att behandling bara ska utföras för särskilda, uttryckligt angivna och berättigade ändamål (utta- lande , dnr 173–2013). Enligt förslaget i avsnitt 7.4 ska all behandling av personuppgifter utfö- ras för särskilda, uttryckligt angivna och berättigade ändamål. Som anges i det avsnittet är det i förhållande till ändamålen som det ska prövas vilka personuppgifter som är adekvata och relevanta för behandlingen och att inte för många personuppgifter behandlas. Prövningen av att personupp- gifter inte behandlas än nödvändigt ska också ske i för- hållande till ändamålen (avsnitt 8.2.2). Ändamålen måste därmed vara tillräckligt specifika för att ge ledning för dessa bedömningar. Som utredningen påpekar måste författningsbestämmelser som anger för vilket eller vilka ändamål personuppgifter får behandlas i en viss verksamhet vara generellt utformade, eftersom de ska kunna tåla utveck- lingen av ny teknik och vissa förändringar i myndighetens sätt att arbeta. En ändamålsbestämmelse bör dock ge ledning för prövningen av vilka personuppgifter som är adekvata och relevanta för behandlingen. Regeringen delar mot denna bakgrund utredningens bedömning att de primära ändamålsbestämmelserna i de brottsbekämpande myndigheter- nas registerförfattningar snarare bör ses som bestämmelser om rättslig 2017/18:232 grund. Bestämmelserna tydliggör att personuppgiftsbehandling är tillåten när arbetsuppgifterna fullgörs. När de brottsbekämpande myndigheternas registerförfattningar anpassas till den nya ramlagen kommer regeringen att ta ställning till om innehållet i de primära ändamålsbestämmelserna bör behållas. Av avsnitt 7.1 framgår att de sekundära ändamålsbestämmelserna regle- rar i vilken utsträckning personuppgifter som behandlas för något primärt ändamål även får behandlas för att lämnas till andra för att tillgodose deras behov. Enligt bestämmelserna får personuppgifter behandlas fram- för allt för att ge andra myndigheter information som behövs i viss typ av verksamhet där, eller för att lämna information till andra verksamheter inom den egna myndigheten för att de ska kunna utföra en viss arbets- uppgift. På samma sätt som de primära ändamålsbestämmelserna är de sekun- dära i stor utsträckning allmänt hållna. I 2 kap. 8 § polisdatalagen anges t.ex. i punkten 1 att personuppgifter får lämnas ut om de behövs i brotts- bekämpande verksamhet hos , , , , och . Det motsvarar de primära ändamålsbestämmelserna i de mottagande myndigheternas registerförfattningar. Även de sekundära ändamålsbe- stämmelserna bör därför enligt regeringens mening snarare ses som be- stämmelser om rättslig grund. I samband med att de brottsbekämpande myndigheternas registerförfattningar anpassas till ramlagen, kommer regeringen att även ta ställning till om innehållet i de sekundära ända- målsbestämmelserna bör behållas. 7.6Behandling för nya ändamål 7.6.1Nuvarande reglering av behandling för nya ändamål I 9 § första stycket d personuppgiftslagen finns en generell bestämmelse om vidarebehandling. Där regleras finalitetsprincipen, enligt vilken per- sonuppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in. Bestämmelsen gäller för alla myndigheter i rättskedjan. De sekundära ändamålsbestämmelserna i de brottsbekämpande myn- digheternas registerförfattningar innehåller särskilda regler om vidarebe- handling. De reglerar, som framgår av avsnitt 7.5, när det är tillåtet att behandla personuppgifter som behandlas för något av de primära ända- målen för att tillhandahålla information till andra myndigheter eller till andra verksamheter inom den egna myndigheten för deras behov. Det handlar alltså alltid om behandling av redan insamlade uppgifter för nya ändamål. Av t.ex. 2 kap. 6 § skattebrottsdatalagen följer att personupp- gifter som behandlas i brottsbekämpande verksamhet även får behandlas när det är nödvändigt för att tillhandahålla information som behövs i brottsbekämpande verksamhet hos andra brottsbekämpande Syftet med de sekundära ändamålsbestämmelserna är att Prop. 2017/18:232 underlätta för tillämparen. Han eller hon behöver endast avgöra om det är nödvändigt att lämna information som behövs i en annan brottsbekäm- pande myndighets verksamhet men tvingas inte att i de situationer som anges i den sekundära ändamålsbestämmelsen avgöra om utlämnandet är förenligt med det ursprungliga ändamålet med personuppgiftsbehand- lingen. De sekundära ändamålen är inte uttömmande. För att personupp- gifter som behandlas för ett primärt ändamål ska få vidarebehandlas för något annat ändamål än de sekundära, måste det emellertid göras en be- dömning att vidarebehandlingen är förenlig med finalitetsprincipen. De sekundära ändamålen omfattar behandling för ändamål som ligger både inom och utanför den föreslagna ramlagens tillämpningsområde. I av- snitt 7.6.2 behandlas vad som föreslås gälla i fråga om behandling för nya ändamål inom ramlagens tillämpningsområde. Behandling för nya ändamål utanför ramlagens tillämpningsområde behandlas i avsnitt 7.6.3 och 7.6.4. 7.6.2Nya ändamål inom ramlagens tillämpningsområde Regeringens förslag: Innan personuppgifter får behandlas för ett nytt ändamål ska det säkerställas att 1.det finns en rättslig grund för den nya behandlingen, och 2.det är nödvändigt och proportionerligt att personuppgifterna be- handlas för det nya ändamålet. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: anser att den föreslagna pröv- ningen stoppar upp processen med tröghet och ökad administration som följd, särskilt som utredningen anger att bedömningen inte bara ska göras för viss typsituation, utan även i det enskilda fallet. Enligt Polismyndig- heten är det tillräckligt från integritetssynpunkt att de övriga kraven på behandling av personuppgifter följs även vid behandling för nya ändamål inom ramlagens tillämpningsområde. Myndigheten undrar vidare vad som avses med begreppet nödvändig i det här förslaget och tycker att det framstår som märkligt att ställa ett krav på proportionalitet just för be- handling för nya ändamål, eftersom det kan tolkas som att annan behand- ling inte behöver vara proportionerlig. Datainspektionen anser att försla- get är en viktig begränsning av behöriga myndigheters möjligheter att behandla personuppgifter för nya ändamål, mot bakgrund av att finali- tetsprincipen inte längre kommer att sätta gränsen för när behandling för nya ändamål får ske. anser, med hänvisning till regeringsformen, att förslaget bör kompletteras på så sätt att det i lagtex- ten även anges att det nya ändamålet ska vara godtagbart i ett demokra- tiskt samhälle. Övriga remissinstanser yttrar sig inte i denna del. Skälen för regeringens förslag Behandling för nya ändamål inom ramlagens tillämpningsområde är förenlig med det ursprungliga ändamålet Som framgår av avsnitt 6.4.1 gäller dataskyddsförordningen för all per- sonuppgiftsbehandling som omfattas av unionsrätt men som inte ligger inom ramlagens tillämpningsområde. En behörig myndighet måste därför alltid avgöra om ändamålen med behandlingen av personuppgifter omfat- tas av ramlagens tillämpningsområde, oavsett om det är första gången en uppgift behandlas eller om den ska behandlas för nya ändamål. I detta avsnitt diskuteras behandling för nya ändamål inom ramlagens tillämp- ningsområde. I artikel 4.1 b i direktivet regleras finalitetsprincipen, enligt vilken per- sonuppgifter inte får behandlas på ett sätt som står i strid med in- samlingsändamålet. framgår det av artikel 4.2 att behandling för andra ändamål inom direktivets tillämpningsområde än det för vilket personuppgifterna samlades in ska tillåtas, om den personuppgiftsansva- rige enligt unionsrätten eller nationell rätt är bemyndigad att behandla personuppgifter för ett sådant ändamål och behandlingen är nödvändig och står i proportion till detta andra ändamål i enlighet med unionsrätten eller nationell rätt. Regeringen håller med utredningen om att det måste innebära att all behandling för ändamål som ligger inom direktivets till- lämpningsområde ska anses vara förenlig med insamlingsändamålen, under förutsättning att behandlingen är nödvändig och står i proportion till det nya ändamålet. Det saknar alltså betydelse om det är den person- uppgiftsansvarige som ursprungligen samlat in personuppgifterna som utför behandlingen för det nya ändamålet eller om det är en annan per- sonuppgiftsansvarig, så länge de båda är behöriga myndigheter och be- handlingen ligger inom direktivets tillämpningsområde.