prop · H503232 · 2018-04-19 00:00:00 — får uppgifterna inte behandlas för något annat ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in (den s.k. finalitetsprincipen). De personuppgifter som be- handlas ska vidare vara adekvata och relevanta i förhållande till ändamå- len med behandlingen och får inte heller vara fler än vad som är nödvän- digt med hänsyn till ändamålen med behandlingen. Om det är nödvändigt ska uppgifterna vara aktuella. Om personuppgifterna är felaktiga eller ofullständiga, ska den personuppgiftsansvarige vidta alla rimliga åtgärder för att utplåna, blockera eller rätta uppgifterna. Personuppgifter får inte sparas längre än nödvändigt med hänsyn till de ändamål för vilka de behandlas. Tillåten och otillåten behandling I 10–12 §§ finns en uttömmande uppräkning av de fall där behandling av personuppgifter är tillåten. Personuppgifter får alltid behandlas om den registrerade har gett sitt samtycke. Återkallar personen sitt samtycke får ytterligare personuppgifter om honom eller henne inte behandlas. I vissa fall får personuppgifter behandlas även om den registrerade inte har gett sitt samtycke. En förutsättning i dessa fall är att behandlingen är nödvändig för ändamålen. Personuppgifter får behandlas i samband med ett avtal med den regi- strerade, när det behövs för att fullgöra avtalet eller när det behövs för att på den registrerades begäran vidta åtgärder innan avtalet träffas. Vidare får behandling utföras om den är nödvändig för att den personuppgiftsan- svarige ska kunna fullgöra en rättslig skyldighet. Dessutom får person- uppgifter behandlas för att skydda vitala intressen för den registrerade. Likaså får personuppgifter behandlas om det är nödvändigt för att den personuppgiftsansvarige, eller en tredje man till vilken personuppgifter lämnas ut, ska kunna utföra en arbetsuppgift i samband med myndighets- utövning. Slutligen får personuppgifter behandlas om en avvägning ger 2017/18:232 vid handen att den personuppgiftsansvariges berättigade intresse av be- handling väger tyngre än den registrerades intresse av skydd. Behandling av känsliga personuppgifter I 13 § personuppgiftslagen förbjuds behandling av känsliga personupp- gifter. Med det avses uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fack- förening och uppgifter som rör hälsa eller sexualliv. Förbudet mot behandling av känsliga personuppgifter är inte undan- tagslöst. I 14–19 §§ anges under vilka förutsättningar sådana uppgifter får behandlas. Om den registrerade har gett sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort de känsliga uppgifter- na får de enligt 15 § behandlas. Vidare görs i 16 § undantag för nödvän- dig behandling, bl.a. för att den personuppgiftsansvarige ska kunna full- göra skyldigheter eller utöva rättigheter inom arbetsrätten, för att den registrerades eller annans vitala intressen ska kunna skyddas i fall där den registrerade inte kan lämna samtycke till behandlingen eller för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. Undantag görs också i 17 § för ideella organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte, som får behandla uppgifter om bl.a. sina medlemmar. Likaså finns det undantag i 18 § för behandlingen av känsliga person- uppgifter för hälso- och sjukvårdsändamål och i 19 § för forskning och statistik. Regeringen, eller den myndighet regeringen bestämmer, får enligt 20 § föreskriva ytterligare undantag från förbudet i 13 §, om det behövs med hänsyn till ett viktigt allmänt intresse. Uppgifter om brott och behandling av personnummer Det är enligt 21 § personuppgiftslagen förbjudet för andra än myndighe- ter att behandla sådana personuppgifter om lagöverträdelser som innefat- tar brott, domar i brottmål, straffprocessuella tvångsmedel eller administ- rativa frihetsberövanden. Sådana uppgifter får dock behandlas för forsk- ningsändamål om behandlingen godkänts vid etikprövning. Regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare undantag från förbudet. Likaså kan i enskilda fall undantag medges. Uppgifter om personnummer och samordningsnummer får enligt 22 § behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Enligt 29 § personuppgiftslagen ska, om ett beslut som har rättsliga följ- der för en fysisk person eller annars har märkbara verkningar för honom eller henne och beslutet grundas enbart på automatiserad behandling av sådana personuppgifter som är avsedda att bedöma egenskaper hos per- sonen, den som berörs av beslutet ha möjlighet att på begäran få beslutet omprövat av någon person. Information till den registrerade Personuppgiftslagen innehåller ett flertal bestämmelser som syftar till att genom information trygga den enskildes rätt att kontrollera om hans eller hennes personuppgifter behandlas. Den personuppgiftsansvariges skyl- dighet att självmant lämna information till registrerade gäller enligt 23 § i första hand uppgifter som den registrerade själv har lämnat. Har uppgif- terna samlats in från annan källa, föreskrivs i 24 § att den personuppgifts- ansvarige självmant ska informera den registrerade när uppgifterna regi- streras, eller om avsikten med behandlingen är att lämna ut dem till tredje man, när uppgifterna lämnas ut första gången. Information behöver dock inte lämnas om det finns bestämmelser om registrerandet eller utlämnan- det av uppgifterna i lag eller annan författning. Information behöver hel- ler inte lämnas om det skulle vara omöjligt eller kräva en oproportioner- ligt stor arbetsinsats. Informationen ska enligt 25 § omfatta uppgift om vem som är person- uppgiftsansvarig, ändamålen med behandlingen och all övrig information som den registrerade behöver för att kunna ta till vara sina rättigheter i samband med behandlingen. Informationsskyldigheten omfattar bara så- dana uppgifter som den registrerade inte redan känner till. Den personuppgiftsansvarige är vidare enligt 26 § skyldig att på ansö- kan, en gång , gratis informera om uppgifter om sökanden behand- las, ändamålen med behandlingen, vilka uppgifter som behandlas, vari- från dessa kommer och till vem de lämnas ut. Någon information behö- ver dock inte lämnas om personuppgifter som endast behandlas i löpande text som ännu inte fått sin slutliga utformning eller utgör minnesanteck- ning, utom i de fall där uppgifterna har lämnats ut till tredje man eller – i fråga om behandling i löpande text – har behandlats längre än . Informationsskyldigheten gäller enligt 27 § inte heller om uppgifterna omfattas av sekretess eller tystnadsplikt. Personuppgifter som har behandlats i strid med personuppgiftslagen eller föreskrifter som har meddelats med stöd av den, ska enligt 28 § på begä- ran av den registrerade rättas, utplånas eller blockeras av den personupp- giftsansvarige. Om felaktiga personuppgifter har lämnats ut till tredje man, ska denne i vissa fall informeras om korrigeringen. I 30 och 31 §§ personuppgiftslagen finns allmänna bestämmelser om säkerheten vid behandling av personuppgifter. Bestämmelserna avser att trygga både den tekniska säkerheten och att de personer som behandlar personuppgifterna har tillräckliga instruktioner för att behandla uppgif- terna på ett korrekt sätt. Den personuppgiftsansvarige ansvarar för säker- heten. Överföring av personuppgifter till tredjeland Enligt 33 § personuppgiftslagen är det förbjudet att till tredjeland föra över personuppgifter under behandling om landet i fråga inte har en ade- kvat nivå för skyddet av personuppgifter. Förbudet gäller också överfö- 2017/18:232 ring av personuppgifter för behandling i tredjeland. Frågan om skyddsni- vån är adekvat ska bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. I paragrafen anges vilka omständig- heter som ska tillmätas särskild vikt. I 34 § anges vissa undantag från förbudet i 33 §. Ett viktigt undantag är att det är tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till konvention om skydd för en- skilda vid automatisk behandling av personuppgifter (i fortsättningen dataskyddskonventionen). Enligt 35 § personuppgiftslagen har regering- en möjlighet att besluta om ytterligare undantag från förbudet i 33 §. I bilagor till personuppgiftsförordningen (1998:1191) anges vilka stater som enligt beslut av Europeiska kommissionen (i fortsättningen kom- missionen) anses ha en adekvat skyddsnivå för behandlingen av person- uppgifter vid överföring till vissa i besluten specificerade mottagare. Datainspektionen är enligt 2 § personuppgiftsförordningen tillsynsmyn- dighet enligt personuppgiftslagen. Datainspektionen är som regel också tillsynsmyndighet för sådan behandling av personuppgifter som regleras i särskilda registerförfattningar. Inspektionen har bl.a. till uppgift att verka för att människor skyddas mot att den personliga integriteten kränks genom behandling av personuppgifter. Datainspektionen informerar bl.a. om gällande regler, utövar tillsyn över att reglerna efterlevs och ger råd och hjälp åt personuppgiftsombud. I 43–47 §§ personuppgiftslagen regle- ras tillsynsmyndighetens befogenheter, t.ex. rätten att meddela vite och möjligheten att förbjuda viss behandling. Om behandling av personuppgifter i strid med personuppgiftslagen orsa- kar skada och kränkning av den personliga integriteten för den registre- rade, har han eller hon enligt 48 § personuppgiftslagen rätt till skadestånd från den personuppgiftsansvarige. Ersättningsrätten omfattar både per- sonskada, sakskada och ren förmögenhetsskada som kränkningen av den personliga integriteten kan ha medfört. Skadeståndsansvaret är i princip strikt. Den registrerade behöver bara visa att det förekommit en felaktig behandling och att den skadat eller kränkt honom eller henne. En straffbestämmelse finns i 49 §. Till böter eller fängelse döms bl.a. den som behandlar personuppgifter i strid med be- stämmelserna om behandling av känsliga personuppgifter eller för över personuppgifter till tredjeland i strid med bestämmelserna i 33–35 §§. I ringa fall döms inte till ansvar. Vidare får ansvar inte utkrävas för en gär- ning som omfattas av ett vitesföreläggande enligt lagen. 4.1.3Personuppgiftslagens förhållande till annan lagstiftning I 2 § personuppgiftslagen föreskrivs, som nämnts, att om det i en annan lag eller en förordning finns bestämmelser som avviker från lagen ska de bestämmelserna gälla. Sådan särreglering finns för de flesta av de verksamhetsområden som berörs av det nya dataskyddsdirektivet, vilket Prop. 2017/18:232 redovisas närmare i det följande. Regleringen har, av de skäl som anges i avsnitt 4.1.1, normalt lagform. Författningar som reglerar personuppgiftsbehandling är ofta konstrue- rade så att de gäller utöver personuppgiftslagen. Det innebär att författ- ningarna i fråga bara innehåller de bestämmelser som avviker från olika bestämmelser i personuppgiftslagen. Inom det nya direktivets tillämp- ningsområde är lagen (2001:617) om behandling av personuppgifter inom kriminalvården ett exempel på det. Det finns emellertid även författningar som gäller i stället för person- uppgiftslagen. Det innebär att de i sin helhet ersätter personuppgiftslagen inom sitt tillämpningsområde. I vissa av dessa anges genom hänvisningar vilka bestämmelser i personuppgiftslagen som ändå ska tillämpas. Den lagstiftningstekniken används inom det nya direktivets tillämpningsom- råde för flertalet av de centrala författningarna. Det gäller t.ex. polisdata- lagen (2010:361), kustbevakningsdatalagen (2012:145) och åklagardata- lagen (2015:433). 4.2Särregler för brottsbekämpande verksamhet Polisdatalagen är generellt utformad och gäller i polisens brottsbekäm- pande verksamhet. Det finns dock även andra författningar som reglerar personuppgiftsbehandling i polisens brottsbekämpande verksamhet, framför allt lagstiftning som reglerar behandling i särskilda register. I 1 kap. 3 § polisdatalagen undantas från lagens tillämpningsområde be- handling av personuppgifter enligt vapenlagen (1996:67), lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregis- ter, lagen (2000:344) om Schengens informationssystem, lagen (2006:444) om passagerarregister och lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang. Eftersom det, med undantag för den sistnämnda lagen, inte har ingått i utredningens uppdrag att se över de författningar som undantas från polisdatalagens tillämpningsområde berörs de inte vidare här. Polisdatalagen gäller vid behandling av personuppgifter i brottsbekäm- pande verksamhet vid och Säkerhetspolisen och i Eko- brottsmyndighetens polisiära verksamhet, med undantag för behandling i de register som anges i 1 kap. 3 §. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter. Lagen tillämpas enligt 1 kap. 6 § även i viss utsträckning på behandling av upp- gifter om juridiska personer. I annan verksamhet än den brottsbekämpande tillämpar Polismyndig- heten personuppgiftslagen, om det inte finns en specialreglering. digheten tillämpar t.ex. utlänningsdatalagen (2016:27) i verksamhet som 2017/18:232 den bedriver enligt utlännings- och medborgarskapslagstiftningen, om det inte är fråga om brottsbekämpning. Polisdatalagen gäller enligt 2 kap. 1 § i stället för personuppgiftslagen. I 2 kap. 2 § hänvisas dock till ett betydande antal bestämmelser i person- uppgiftslagen som ska tillämpas vid behandling av personuppgifter i polisens brottsbekämpande verksamhet. Det gäller bl.a. personuppgifts- lagens definitioner, vissa grundläggande bestämmelser om behandlingen av personuppgifter, information till den registrerade, tillsyn och skade- stånd. Ändamål för behandling och utlämnande av uppgifter I 2 kap. polisdatalagen anges för vilka ändamål personuppgifter får be- handlas. Ändamålen delas in i primära och sekundära ändamål. De pri- mära ändamålen avser behandling av personuppgifter för att tillgodose de behov som finns i polisens brottsbekämpande verksamhet. Dessa ända- mål är uttömmande angivna i 2 kap. 7 § polisdatalagen. Personuppgifter får enligt denna paragraf behandlas om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra de förpliktelser som följer av internationella åtaganden. De sekundära ändamålen aktualiseras när personuppgifter som behand- las i polisens brottsbekämpande verksamhet lämnas ut till andra myndig- heter eller organisationer för deras behov eller till andra delar av polis- verksamheten. Enligt de sekundära ändamålen, som anges i 2 kap. 8 § polisdatalagen, får personuppgifter behandlas genom sådant utlämnande när det är nödvändigt för att tillhandahålla information som behövs i brottsbekämpande verksamhet hos , Ekobrottsmyndig- heten, , , och Skatte- verket eller hos utländsk myndighet eller mellanfolklig organisation. Personuppgiftsbehandling genom utlämnande är också tillåtet om den är nödvändig för att tillhandahålla information som behövs i Polismyndig- hetens handräckningsverksamhet eller, om det finns särskilda skäl, att tillhandahålla informationen i annan verksamhet som myndigheten an- svarar för. Likaså får personuppgifter i ett enskilt fall behandlas för att lämnas ut för vissa andra i paragrafen specificerade ändamål eller för något annat ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in (finalitetsprincipen). Personuppgifter får enligt 2 kap. 9 § också behandlas om det är nöd- vändigt för diarieföring, eller om uppgifterna har lämnats till Polismyn- digheten eller i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. I 2 kap. 15 § finns sekretessbrytande bestämmelser som anger i vilken utsträckning personuppgifter får lämnas ut till bl.a. och Europol, utländsk underrättelse- eller säkerhetstjänst och annan utländsk myndig- het eller mellanfolklig organisation. Sekretessbrytande bestämmelser som gäller i förhållande till Säkerhetspolisen, , , , och finns i 2 kap. 16–18 §§ polisdatalagen. Behandling av känsliga personuppgifter Behandling av känsliga personuppgifter regleras i 2 kap. 10 § polisdata- lagen. Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Om uppgifter om en person behandlas på annan grund får de kompletteras med sådana uppgifter om det är absolut nödvändigt för syftet med behandlingen. Register som regleras särskilt i polisdatalagen Några register regleras särskilt i 4 kap. polisdatalagen. Dessa är register över dna-profiler, dvs. dna-registret, utredningsregistret och spårregistret, fingeravtrycks- och signalementsregister, penningtvättsregister och det internationella registret. För dessa register finns särskilda bestämmelser om ändamål, gallring och direktåtkomst. Behandling av personuppgifter för forensiska ändamål I 5 kap. polisdatalagen finns bestämmelser om personuppgiftsbehandling vid för forensiska ändamål. Där regleras framför allt ändamålen med sådan personuppgiftsbehandling som avviker från regle- ringen i övrigt i lagen, på grund av att avdelningen Nationellt forensiskt centrum har en särskild roll som expertmyndighet åt hela rättsväsendet. Kapitlet innehåller även särskilda bestämmelser om bevarande och gall- ring. När det gäller behandling av känsliga personuppgifter, utlämnande av personuppgifter och uppgiftsskyldighet gäller i huvudsak samma be- stämmelser som för . Behandling av personuppgifter i Säkerhetspolisens brottsbekämpande verksamhet I 6 kap. polisdatalagen finns bestämmelser om behandling av personupp- gifter i Säkerhetspolisens brottsbekämpande verksamhet. Där regleras framför allt ändamålen för Säkerhetspolisens personuppgiftsbehandling, som delvis avviker från regleringen för . Det finns även särskilda bestämmelser om bevarande och gallring. När det gäller utläm- nande av personuppgifter och uppgiftsskyldighet gäller i huvudsak samma bestämmelser som för . Tullbrottsdatalagen (2017:447), som har utformats i nära anslutning till polisdatalagen, kustbevakningsdatalagen och åklagardatalagen, reglerar all behandling av personuppgifter i brottsbekämpande verk- samhet. Lagen gäller enligt 1 kap. 2 § endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är av- sedda att ingå i en strukturerad samling av personuppgifter. Lagen tilläm- pas enligt 1 kap. 4 § i viss utsträckning även på behandling av uppgifter om juridiska personer. Lagen gäller i stället för personuppgiftslagen, men hänvisningar görs i 2 kap. 2 § till vissa bestämmelser i personuppgiftslagen som ändå ska tillämpas. Det gäller bl.a. personuppgiftslagens definitioner, vissa grund- läggande bestämmelser om behandlingen av personuppgifter, informa- tion till den registrerade, tillsyn och skadestånd. Ändamål för behandling och utlämnande av uppgifter De ändamål för vilka personuppgifter får behandlas i brotts- bekämpande verksamhet är uppdelade i primära och sekundära ändamål. Personuppgifter får enligt 2 kap. 5 § behandlas om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, för att utreda eller beivra brott eller för att fullgöra förpliktelser som följer av interna- åtaganden. Personuppgifter som behandlas enligt den paragrafen får enligt 2 kap. 6 § också behandlas för vissa sekundära ändamål. Sådan behandling får ske när det är nödvändigt för att tillhandahålla informa- tion som behövs i brottsbekämpande verksamhet hos , , , , Kustbe- vakningen och eller en utländsk myndighet eller mellanfolk- lig organisation. Personuppgiftsbehandling genom utlämnande är enligt samma paragraf också tillåten om den är nödvändig för att tillhandahålla information som behövs i verksamhet hos för att före- bygga brott och upprätthålla säkerheten och i annan verksamhet som ansvarar för, om det finns särskilda skäl för att tillhandahålla informationen. Likaså får personuppgifter i ett enskilt fall behandlas för att tillhandahålla information för något annat ändamål, under förutsätt- ning att ändamålet inte är oförenligt med det ändamål för vilket uppgif- terna samlades in (finalitetsprincipen). Särskilda regler finns för behand- ling av vissa personuppgifter från transportföretag. Personuppgifter får enligt 2 kap. 7 § också behandlas om det är nöd- vändigt för diarieföring, eller om uppgifterna har lämnats till i en anmälan eller liknande och behandlingen är nödvändig för handlägg- ningen. I 2 kap. 12 § finns en sekretessbrytande bestämmelse som anger i vil- ken utsträckning personuppgifter får lämnas ut till bl.a. och Europol, polismyndighet eller åklagarmyndighet i en stat som är ansluten till och tullmyndighet eller kustbevakning inom Europeiska ekonomiska samarbetsområdet (EES). En sekretessbrytande bestämmelse som gäller i förhållande till , Säkerhetspolisen, Eko- brottsmyndigheten, , och Skatte- verket finns i 2 kap. 13 §. Behandling av känsliga personuppgifter Känsliga personuppgifter, dvs. uppgifter som avslöjar en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening eller som rör hälsa eller sexualliv, får enligt 2 kap. 10 § inte behandlas enbart på grund av vad som är känt om en per- sons sådana förhållanden. Om uppgifter om en person behandlas på annan grund får de dock kompletteras med känsliga personuppgifter när det är absolut nödvändigt för syftet med behandlingen. För behandling av personuppgifter gäller kustbevak- ningsdatalagen. Lagen reglerar i princip all behandling av personuppgif- ter i operativa verksamhet. I 3 och 4 kap. regleras behandling av personuppgifter i brottsbekämpande verksamhet och i 5 kap. behandling av personuppgifter i annan operativ verksamhet som bedriver. Behandling för de ändamål som anges i 5 kap. ligger i allt väsentligt utanför direktivets tillämpnings- område och berörs därför inte vidare här. Lagen gäller endast om be- handlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av person- uppgifter. Kustbevakningsdatalagen gäller enligt 2 kap. 1 § i stället för personupp- giftslagen, men i 2 kap. 2 § finns hänvisningar till vissa bestämmelser i personuppgiftslagen som ändå ska tillämpas. Det gäller bl.a. personupp- giftslagens definitioner, vissa grundläggande bestämmelser om behand- lingen av personuppgifter, information till den registrerade, tillsyn och skadestånd. Ändamålen för behandling och utlämnande av uppgifter Kustbevakningsdatalagen är uppbyggd på i princip samma sätt som polisdatalagen. De ändamål för vilka personuppgifter får behandlas är indelade i primära och sekundära ändamål. De primära ändamålen avser behandling av personuppgifter för att tillgodose de behov som finns inom . De primära ändamålen för den brottsbekämpande verksamheten anges uttömmande i 3 kap. 2 § lagen. Enligt den paragrafen får personuppgifter behandlas om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra förpliktelser som följer av internationella åtaganden. Personuppgifter som behandlas i brottsbekämpande verksamhet får enligt 3 kap. 3 § också behandlas när det är nödvändigt för att tillhandahålla information som behövs i brottsbekämpande verk- samhet hos , , , , och eller utländsk myn- dighet eller mellanfolklig organisation.