prop · H503232 · 2018-04-19 00:00:00 — Det ger den enskilde möjlighet att begära information så ofta han eller hon önskar, men tvingar inte den personuppgiftsansvarige att behandla alla framställningar på samma sätt. Den personuppgiftsansvarige får med ut- gångspunkt i begäran avgöra om den ska besvaras mot avgift eller avslås. Närmare anvisningar för vad som gäller i fråga om avgifter bör kunna 2017/18:232 meddelas av regeringen eller den myndighet som regeringen bestämmer. Vad som kan vara en rimlig avgift för att lämna information kan regleras t.ex. i avgiftsförordningen (1992:191). Regeringen återkommer i avsnitt 10.5.7 och 10.5.8 till de formella kra- ven på besluten. 10.4Rättelse, radering och begränsning av behandlingen 10.4.1Rätten till rättelse och komplettering Regeringens förslag: Den personuppgiftsansvarige ska på begäran av den registrerade utan onödigt dröjsmål rätta eller komplettera person- uppgifter som rör honom eller henne om de är felaktiga eller ofullstän- diga med hänsyn till ändamålet med behandlingen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Den enda remissinstans som yttrar sig om försla- get är Kriminalvården som efterfrågar en utvecklad beskrivning av vilka krav som bör ställas på den personuppgiftsansvariges utredning kring personuppgifternas korrekthet. Skälen för regeringens förslag Artikel 16.1 reglerar den registrerades rätt att utan onödigt dröjsmål få felaktiga personuppgifter rättade och – med beaktande av ändamålet med behandlingen – att få ofullständiga personuppgifter kompletterade. Enligt skäl 47 ska särskilt felaktiga faktauppgifter rättas. Rätten gäller obero- ende av det grundläggande kravet i artikel 4.1 d att den personuppgifts- ansvarige på eget initiativ ska rätta felaktiga personuppgifter. I personuppgiftslagen finns det både en regel om skyldigheten för den personuppgiftsansvarige att självmant rätta felaktiga personuppgifter och en regel om rätten för den registrerade att begära rättelse. Enligt 28 § personuppgiftslagen, som genomför artikel 12 b dataskydds- direktiv, är den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller före- skrifter som har utfärdats med stöd av lagen. Det finns även regler om rättelse i förvaltningslagen, förvaltningspro- cesslagen samt 30 kap. 13 § och 48 kap. 12 a § . Reg- lerna om rättelse i förvaltningslagen och de processrättsliga regelverken medför emellertid, till skillnad från regeln om rättelse i personuppgifts- lagen, ingen skyldighet för myndigheten att rätta eller någon rätt för enskilda att begära rättelse. Reglerna gäller dessutom enbart rättelse av uppgifter i beslut och domar eller motsvarande (jfr SOU 2015:39 s. 564 f. och 569 f.). Rätten att begära rättelse Att de personuppgifter som behandlas är korrekta är av grundläggande betydelse både för myndigheternas verksamhet och för enskilda. I ram- lagen bör det därför finnas en regel om rätt för den registrerade att begära rättelse. Skyldigheten för den personuppgiftsansvarige att självmant vidta åtgärder när det upptäcks att personuppgifter är felaktiga, ofullständiga eller inaktuella behandlas i avsnitt 8.1.6. Här diskuteras således enbart rätten för registrerade att begära att den personuppgiftsansvarige rättar felaktiga eller ofullständiga uppgifter. Om en registrerad har begärt att få en ofullständig uppgift komplette- rad ska han eller hon enligt direktivet ha rätt att lämna en kompletterande inlaga. Regeringen håller med utredningen om att det är oklart vad be- stämmelsen syftar på. En möjlig tolkning är att den registrerade ska ha rätt att ge in en skrivelse till den personuppgiftsansvarige där den regi- strerade utvecklar skälen för begäran. Den rätten följer redan av för- valtningslagen och de processrättsliga regelverken och behöver därför inte regleras. Den personuppgiftsansvarige ska enligt direktivet vidta den begärda åt- gärden utan onödigt dröjsmål. Regeringen instämmer i utredningens ställningstagande att den personuppgiftsansvarige skyndsamt bör utreda frågan och, om det är motiverat, så fort som möjligt genomföra rättelse eller korrigering. Den personuppgiftsansvarige får således inte av be- kvämlighetsskäl vänta med att rätta och korrigera uppgifter till dess att de ändå ska uppdateras, om det är möjligt att göra det tidigare (jfr m.fl. s. 417). Kriminalvården efterfrågar en närmare beskrivning av vilka krav som bör ställas på den personuppgiftsansvariges utredning kring personuppgifters korrekthet. Enligt regeringen är det svårt att uppställa några generella krav på utredningen. Den information som finns tillgäng- lig för den personuppgiftsansvarige, bl.a. den information som framgår av begäran om rättelse, bör tas i beaktande, men vilka utredningsåtgärder som i övrigt bör vidtas får bedömas i varje enskilt fall. Felaktiga och ofullständiga uppgifter I avsnitt 8.1.2 diskuteras vad som avses med att en personuppgift är kor- rekt. Att en felaktig eller ofullständig personuppgift rättas eller komplet- teras kan innebära att den ersätts av en annan uppgift som är korrekt ur ett objektivt perspektiv eller kompletteras med en uppgift om de rätta förhållandena så att den blir fullständig i objektiv mening. Det kan vara fråga om t.ex. ett felaktigt namn eller att endast delar av ett namn har återgetts i en handling. Det kan även vara fråga om något fel som upp- stått på grund av ett tekniskt förfarande. Det ska alltså röra sig om ett fel eller en ofullständighet på grund av något som inte bygger på en bedöm- ning. I ramlagen bör det regleras att den personuppgiftsansvarige på begäran ska rätta eller komplettera personuppgifter som rör den registrerade om de är felaktiga eller ofullständiga med hänsyn till ändamålet med behand- lingen. Att den personuppgiftsansvarige ska ta hänsyn till ändamålet med behandlingen vid bedömningen av om felaktiga personuppgifter ska rättas framgår av artikel 4.1 d. Det är dessutom en nödvändig del av prövningen av om en personuppgift är felaktig. 2017/18:232 Den registrerade bör inte ges rätt att kräva att den personuppgiftsansva- rige rättar inaktuella uppgifter. Rätten till rättelse i artikel 16.1 omfattar nämligen inte inaktuella uppgifter. Däremot är den personuppgiftsansva- rige skyldig att – om det är nödvändigt – självmant uppdatera uppgifter som är inaktuella (se avsnitt 8.1.6). En felaktig uppgift kan också rättas på det sättet att den tas bort utan att ersättas. Om en uppgift om en person har antecknats felaktigt i ett regis- ter, t.ex. om förväxling med en annan person har lett till en felaktig anteckning i misstankeregistret eller belastningsregistret, ska uppgiften rättas genom att den tas bort från registret (jfr JO:s kritik mot bl.a. Säker- hetspolisen för passivitet i ett ärende om rättelse av uppgifter i belast- ningsregistret i JO 2007/08 s. 67). Regeringens förslag: På begäran av den registrerade ska den person- uppgiftsansvarige utan onödigt dröjsmål radera personuppgifter som rör honom eller henne om de behandlas på otillåtet sätt. Detsamma gäller om det krävs radering för att den personuppgiftsansvarige ska utföra en rättslig förpliktelse. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Den enda remissinstans som kommenterar försla- get är Justitiekanslern som anser att det är oklart vad som avses med att personuppgifter ska raderas om det krävs för att den personuppgiftsan- svarige ska utföra en rättslig förpliktelse. Skälen för regeringens förslag Innehållet i direktivet och nuvarande reglering Enligt artikel 16.2 har den registrerade rätt att begära att den personupp- giftsansvarige utan onödigt dröjsmål raderar personuppgifter som rör den registrerade dels om behandlingen står i strid med de bestämmelser som antas enligt artiklarna 4, 8 och 10, dels om det krävs för att den person- uppgiftsansvarige ska utföra en rättslig förpliktelse. Enligt artikel 4.1 d är den personuppgiftsansvarige skyldig att på eget initiativ se till att vissa personuppgifter raderas. Enligt 28 § personuppgiftslagen, som genomför artikel 12 b dataskyddsdirektiv, är den personuppgiftsansvarige skyldig att på begä- ran av den registrerade rätta, blockera eller utplåna sådana per- sonuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen. Radering om personuppgifter behandlas i strid med ramlagen På samma sätt som när det gäller rättelse bör radering kunna göras dels på den personuppgiftsansvariges eget initiativ, dels på begäran av regi- strerade. I avsnitt 8.1.6 behandlas den personuppgiftsansvariges skyldig- het att självmant vidta åtgärder om personuppgifter behandlas i strid med vissa bestämmelser i ramlagen. Rätten för registrerade att i motsvarande fall begära att den personuppgiftsansvarige raderar uppgifterna bör regle- ras i ramlagen. Hur personuppgifter ska behandlas diskuteras i avsnitt 7 och 8. Där föreslås att det i ramlagen ska tas in bestämmelser om att personuppgifter ska vara adekvata och relevanta, att inte fler personuppgifter än nöd- vändigt får behandlas och att de bara får behandlas om det finns en rätt- slig grund och för särskilt angivna ändamål. Vidare föreslås att det ska regleras i vilken utsträckning känsliga personuppgifter får behandlas och hur länge personuppgifter får behandlas. Frågan om en personuppgift bör raderas får bedömas mot bakgrund av dessa bestämmelser. Vid bedöm- ningen ska även 2 kap. tryckfrihetsförordningen och det arkivrättsliga regelverket beaktas. Radering för att utföra en rättslig förpliktelse Regeringen föreslår i avsnitt 8.1.6 att den personuppgiftsansvarige ska vara skyldig att på eget initiativ radera personuppgifter om det krävs för att utföra en rättslig förpliktelse. Den registrerade bör därför också kunna begära att personuppgifter raderas på denna grund, vilket bör framgå av ramlagen. Justitiekanslern anser att det är oklart vad som avses med radering på grund av en rättslig förpliktelse. I likhet med utredningen gör regeringen bedömningen att uttrycket ”rättslig förpliktelse” syftar på en skyldighet som åligger den personuppgiftsansvarige enligt ramlagen, den behöriga myndighetens registerförfattning eller andra författningar med bestämmelser om personuppgiftsbehandling. Ett domstolsbeslut som innebär att personuppgiften ska raderas kan också vara en rättslig förplik- telse (jfr mot ). Vidare kan ett föreläggande från tillsynsmyndigheten om att uppgifter ska raderas vara en rättslig förpliktelse (se avsnitt 11.7.6). Även i dessa fall ska 2 kap. tryckfrihets- förordningen och det arkivrättsliga regelverket beaktas. Uppgifter i allmänna handlingar En grundläggande princip i svensk rätt är att allmänheten ska ha insyn i det allmännas verksamhet. I 2 kap. 18 § tryckfrihetsförordningen före- skrivs därför att grundläggande bestämmelser om hur allmänna handling- ar ska bevaras och om gallring och annat avhändande av sådana hand- lingar ska meddelas i lag. Det som åsyftas är arkivlagen (1990:782), vilken kompletteras av arkivförordningen (1991:446) och föreskrifter. Många av de behöriga myndigheternas handlingar är allmänna och om- fattas därmed av offentlighetsprincipen. Arkivlagstiftningen har som ut- gångspunkt företräde framför personuppgiftslagstiftningen på så sätt att intresset av att bevara allmänna handlingar har prioritet framför skyddet för personlig integritet. Det framgår av 8 § andra stycket personuppgifts- lagen. I avsnitt 8.2.2 föreslås att en motsvarande bestämmelse ska tas in i ramlagen. Utrymmet för att radera uppgifter i allmänna handlingar be- gränsas därmed av arkivlagstiftningen. Eftersom radering av uppgifter innebär att personuppgifter tas bort från informationssamlingar på ett sådant sätt att de inte kan återskapas, bör en sådan åtgärd bara vidtas om den är förenlig med arkivlagstiftningen. För att radera personuppgifter i allmänna handlingar krävs därför författningsstöd för gallring. 2017/18:232 för att radera personuppgifter i allmänna handlingar på grund av att per- sonuppgifterna inte har behandlats författningsenligt förefaller därför vara begränsat (jfr bl.a. SOU 2015:39 s. 529 och 573 f.). Regeringens förslag: Om förutsättningarna för att radera personupp- gifter är uppfyllda, men uppgifterna behöver finnas kvar av bevisskäl, personuppgiftsansvarige på begäran av den registrerade i stället utan onödigt dröjsmål begränsa behandlingen av dem. Om den registrerade bestrider att personuppgifter som rör honom eller henne är korrekta och det inte kan fastställas, ska den personupp- giftsansvarige utan onödigt dröjsmål begränsa behandlingen av upp- Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt om för- Skälen för regeringens förslag Enligt artikel 16.3 ska den personuppgiftsansvarige, i stället för att radera personuppgifterna, begränsa behandlingen av dem dels om den registre- rade bestrider att personuppgifterna är korrekta och det rätta förhållandet inte kan fastställas, dels om personuppgifterna ska sparas som bevisning. Uttrycket begränsning av behandling definieras i artikel 3.3 som en mar- kering av lagrade personuppgifter med syftet att begränsa behandlingen Som framgår av avsnitt 10.2.2 följer av artikel 18 att den rätt som avses i bl.a. artikel 16 kan utövas i enlighet medlemsstaternas nationella rätt, om personuppgifterna ingår i ett domstolsbeslut eller ett rättsligt proto- koll eller ärende som behandlas i samband med brottsutredningar och Dagens motsvarighet till begränsning av behandling är blockering. Blockering av personuppgifter definieras i 3 § personuppgiftslagen som en åtgärd som vidtas för att personuppgifterna ska vara förknippade med information om att de är spärrade och om anledningen till spärren, för att personuppgifterna inte ska lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen. Det innebär att blockerade personuppgif- ter får användas internt av den personuppgiftsansvarige och av person- uppgiftsbiträdet, under förutsättning att det framgår att uppgifterna är spärrade och anledningen till åtgärden. inte lämnas ut till tredje man, förutom enligt 2 kap. tryckfrihetsförord- ningen (prop. 1997/98:44 s. 117). Enligt 28 § personuppgiftslagen är, som tidigare nämnts, den person- uppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats Prop. 2017/18:232 med stöd av lagen. Vad avses med begränsning av behandling? Frågan är vad som i direktivet åsyftas med att behandling av personupp- gifter begränsas. Där definieras begränsning av behandling som en mar- kering av lagrade personuppgifter i syfte att begränsa behandlingen av dem . Det skiljer sig från blockering, som innebär att person- uppgifterna förses med information om att de inte ska lämnas ut till tredje man (annat än med stöd av offentlighetsprincipen) och om an- ledningen till det. Sådana personuppgifter får dock fortfarande behandlas av den personuppgiftsansvarige eller av personuppgiftsbiträden. Av skäl 47 framgår att om behandlingen av personuppgifter har be- gränsats i stället för att de raderas, bör uppgifterna endast behandlas för det ändamål som förhindrade raderingen. Som exempel på begränsning av behandling anges att personuppgifterna flyttas till ett annat data- behandlingssystem, t.ex. ett system för arkivering, eller att uppgifterna görs otillgängliga med hjälp av tekniska medel. Det talar för att begräns- ning av behandling i direktivets mening är något utöver enbart en marke- ring av personuppgifterna. Utredningen anser att behandlingen ska be- gränsas redan i samband med markeringen för att åtgärden ska bli effek- tiv. Regeringen har ingen annan uppfattning. Det innebär att direktivets definition blir missvisande. En definition som uttalar att begränsning av behandling är en åtgärd som visar att behandlingen av personuppgifter har begränsats tillför inte något i sak. Uttrycket bör därför inte definieras. Begränsning när personuppgifterna behöver finnas kvar av bevisskäl Begränsning av behandling kan aktualiseras om personuppgifterna behö- ver finnas kvar av bevisskäl. Begränsningen ska då göras i stället för att radera personuppgifterna. Radering kan bara komma i fråga om uppgif- terna behandlas otillåtet (se avsnitt 10.4.2). I skäl 47 framhålls att be- handlingen av personuppgifter bör begränsas snarare än att uppgifterna raderas, om det finns rimliga skäl att anta att en radering skulle kunna påverka den registrerades legitima intressen. Ett exempel kan vara att uppgifterna kan behövas som bevisning i en rättsprocess om skadestånd för otillåten personuppgiftsbehandling. Det kan ligga både i den registrerades och i det allmännas intresse att personuppgifter i vissa fall behålls i stället för att raderas. Det är oklart vad som avses i direktivet med att personuppgifterna behöver sparas som bevisning. Det kan tolkas som att uppgifterna behövs som bevisning om vad som förekommit vid personuppgiftsbehandlingen. Det skulle dock även kunna syfta på att det är fråga om uppgifter som behövs som bevisning i det allmännas intresse, dvs. för något av direktivets huvudsyften brottsbekämpning, lagföring eller straffverkställighet. Mot det talar skäl 47, som enbart hänvisar till den registrerades legitima intressen. Regeringen instämmer i utredningens bedömning att begräns- ning av behandlingen i stället för radering därför bara bör komma ifråga när personuppgifterna behöver sparas som bevisning om hur de har be- handlats. Om personuppgifter behålls i bevissyfte bör, som utgångspunkt, uppgifterna endast få behandlas för det ändamål som förhindrade rade- ring. Ett exempel på att personuppgifter har sparats av bevisskäl är det s.k. kringresanderegistret där uppgifter enligt Säkerhets- och integritets- skyddsnämnden (uttalande , dnr 173-2013) be- handlades i strid med polisdatalagen och där uppgifterna därför togs bort. Två kopior sparades dock för att myndigheten skulle kunna besvara frå- gor om vilka som förekom i registret och för att uppgifterna eventuellt skulle kunna användas som bevis (se bl.a. SOU 2015:39 s. 574 och 645 f.). Begränsning när personuppgifternas korrekthet bestrids Begränsning av behandlingen kan också komma i fråga om den registre- rade bestrider att personuppgifterna är korrekta, men det inte är möjligt att fastställa om så är fallet. En felaktig personuppgift ska rättas utan onödigt dröjsmål. Om den personuppgiftsansvariges utredning om den omstridda personuppgiften inte kan slutföras tillräckligt snabbt bör be- handlingen begränsas . Uppgifterna får då inte be- handlas av den personuppgiftsansvarige eller personuppgiftsbiträden annat än för det ändamål som föranledde begränsningen. Om det efter utredning visar sig att personuppgifterna är korrekta kan behandlingen av dem fortsätta som . Begränsningen bör då upphävas. ska dock den registrerade underrättas om att begränsningen upphör (se avsnitt 10.5.8). Skulle det visa sig att personuppgifterna är felaktiga ska den personuppgiftsansvarige rätta dem, varefter begränsningen kan upp- höra. Begränsning på denna grund ska enligt direktivet användas i stället för radering. Åtgärden kan emellertid som utredningen konstaterar inte vara ett alternativ till radering, eftersom den ska användas när uppgifters kor- rekthet bestrids och därför knyter an till rättelseförfarandet. Åtgärd som visar att behandlingen har begränsats Den personuppgiftsansvarige ska vidta en åtgärd med personuppgifterna som visar att behandlingen har begränsats. Hur begränsningen bör göras får bedömas med utgångspunkt i vad som är lämpligt i det enskilda fallet. En naturlig åtgärd kan vara att avskilja uppgifterna från det datasystem där de behandlas. Begränsningen kan också ha formen av en teknisk begränsning, vilket kan vara en lämplig åtgärd medan personuppgifternas korrekthet utreds. En tredje möjlighet att begränsa behandlingen är att inskränka tillgången till uppgifterna. Har behandlingen av en personuppgift begränsats får uppgiften som ut- gångspunkt inte längre behandlas av vare sig den personuppgiftsansva- rige eller ett personuppgiftsbiträde utom för det syfte som har föranlett begränsningen. Har en personuppgift behandlats på otillåtet sätt måste den ändå kunna behandlas inom ramen för en utredning av om brott har begåtts i samband med behandlingen eller om någon tjänsteman vid behandlingen gjort sig skyldig till fel som kan föranleda disciplinansvar eller skadestånd. Det beror på felets karaktär om all behandling av per- sonuppgiften måste upphöra eller om det bara gäller behandlingen i viss verksamhet. Vidare bör beaktas vad som följer av artikel 18 och skäl 49 att nationella bestämmelser om straffrättsliga förfaranden kan påverka Prop. 2017/18:232 rätten till begränsning av behandling. Oavsett vilken åtgärd som vidtas för att begränsa behandlingen är den inte avsedd att vara permanent. När personuppgifterna inte längre behö- ver finnas kvar som bevisning ska de raderas och när utredningen om personuppgifternas korrekthet är avslutad ska begränsningen av behand- lingen upphöra och uppgifterna antingen fortsätta att behandlas eller rättas. Begränsning av behandlingen bör i likhet med de andra korrigerande åtgärderna genomföras utan onödigt dröjsmål. Rätten att begära begränsning av behandlingen Det är inte tydligt i direktivet om enskilda ska ha rätt att begära begräns- ning av behandlingen. Av artikel 16.3 kan inte en sådan rätt utläsas. Å andra sidan föreskrivs det i artiklarna 13.1 e och 14 e att den registrerade ska informeras om rätten att begära begränsning av behandlingen. Även skäl 40 och 42 ger intryck av att den registrerade ska ha en sådan rätt. Regeringen håller med utredningen om att registrerade bör ha den rätten om personuppgifterna behöver finnas kvar som bevis. Registrerade får i sådana fall begära radering och bör därför också kunna begära den mindre ingripande åtgärden begränsning av behandlingen. Det är tillåtet att ha starkare skyddsåtgärder än dem som fastställs i direktivet och i det här fallet anser regeringen att det är motiverat. I ramlagen bör det således tas in en bestämmelse om rätt för den registrerade att begära begränsning av behandlingen i de fall där personuppgifterna behöver finnas kvar som bevis. Regeringens förslag: Den personuppgiftsansvarige avgör vilken åt- gärd som ska vidtas med anledning av en begäran om rättelse, rade- ring eller begränsning av behandlingen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: tillstyrker förslaget. Data- anser att bestämmelsen inte tillför någonting till de förslag som behandlas i avsnitten 10.4.1–10.4.3 och ser därför inget behov av den. Övriga remissinstanser yttrar sig inte särskilt i denna del. Skälen för regeringens förslag: Enligt förarbetena till personuppgifts- lagen väljer den personuppgiftsansvarige själv vilket alternativ som ska användas av rättelse, utplånande eller blockering (prop. s. 87). Den ordningen bör även gälla i fråga om rättelse, radering eller begränsning av behandlingen enligt ramlagen. rige bör därför inte endast pröva om den åtgärd som begärs av den regi- strerade ska vidtas eller inte, utan är fri att välja en annan åtgärd om den Det följer av att den personuppgiftsansvarige ska vara skyldig att vidta alla rimliga åtgärder för att rätta personuppgifter som är felaktiga eller ofullständiga och för att radera eller begränsa behand- lingen av personuppgifter som har behandlats otillåtet. För att det ska vara tydligt bör det, i motsats till vad tycker, framgå av 2017/18:232 ramlagen att den personuppgiftsansvarige inte är bunden av begäran utan självständigt avgör vilken åtgärd som bör vidtas. Den personuppgiftsansvarige ska alltså se till att den lämpligaste åtgär- den vidtas oavsett vad som begärs.