sou · H9B392 · 2021-11-30 00:00:00 — Enligt 3 kap. 8 § brottsdatalagen ska den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada (principen om integritet och konfidentialitet). Skydd mot obehörig eller otillåten behandling innebär att obehöriga personer ska vägras åtkomst till utrustning som används vid behand- ling, att obehörig läsning, kopiering, ändring eller radering av data- medier ska förhindras och att obehörig registrering av personupp- gifter och obehörig kännedom om, ändring eller radering av lagrade personuppgifter ska förhindras. Åtgärder ska också vidtas i syfte att säkerställa att personer som är behöriga att använda ett it-system endast har tillgång till personuppgifter som omfattas av deras behörighet. Som exempel på organisatoriska säkerhetsåtgärder nämns i författnings- kommentaren fastställandet av en säkerhetspolicy, kontroller och upp- följning av säkerheten, utbildning i datasäkerhet och information om vikten av att följa gällande säkerhetsrutiner.17 Den personuppgiftsansvarige ska slutligen, enligt 3 kap. 3 § brotts- dataförordningen, föra förteckning över de kategorier av personupp- giftsbehandlingar som denne ansvarar för. Förteckningen ska för varje kategori av behandling innehålla uppgifter om bl.a. den rättsliga grun- den och ändamålen, vilka kategorier av tjänstemän som har tillgång till personuppgifterna och vilka kategorier av mottagare uppgifterna kan komma att lämnas ut till. Ytterligare uppgifter som ska finnas i förteckningen är vilka kategorier av registrerade som berörs av be- handlingen samt – om det är möjligt – tidsfristerna för hur länge personuppgifter får behandlas och en allmän beskrivning av vilka säkerhetsåtgärder som har vidtagits. Brottsdatalagens 4 kap. innehåller bestämmelser om enskildas rättig- heter. Av 4 kap. 1 § framgår att viss allmän information ska göras till- gänglig för den registrerade. Det handlar exempelvis om den person- uppgiftsansvariges och dataskyddsombudets kontaktuppgifter samt information om kategorier av ändamål för behandlingen, rätten att begära information, rättelse eller radering och möjligheten att lämna in klagomål till tillsynsmyndigheten. Enligt förarbetena kan informa- tionen göras tillgänglig på t.ex. den behöriga myndighetens webb- plats.18 Av 4 kap. 2 § framgår att den personuppgiftsansvarige i ett enskilt fall ska lämna viss information till den registrerade, om det behövs för att han eller hon ska kunna ta till vara sina rättigheter. Av förarbe- tena framgår att det är fråga om personrelaterad information som på den personuppgiftsansvariges eget initiativ ska lämnas till den registre- rade. Där framgår också att det normalt bör krävas att det är fråga om överträdelser av regelverket som kan föranleda skadeståndsansvar, allvarlig kritik eller ingripande från tillsynsmyndigheten eller någon liknande reaktion för att informationsskyldigheten ska inträda.19 Den personuppgiftsansvarige ska, enligt 4 kap. 3 §, till den som begär det utan onödigt dröjsmål lämna skriftligt besked om huruvida personuppgifter som rör honom eller henne behandlas (s.k. register- utdrag). Om sådana uppgifter behandlas, ska sökanden få del av dem och få viss i bestämmelsen uppräknad information. Därutöver finns i 4 kapitlet bestämmelser om den personuppgiftsansvariges skyldig- het att på begäran av den registrerade rätta eller komplettera person- uppgifter som är felaktiga eller ofullständiga med hänsyn till ända- målet med behandlingen samt i vissa angivna situationer radera personuppgifter. Tillsyn, sanktionsavgifter och skadestånd (tidigare Datainspektionen) är huvud- saklig tillsynsmyndighet enligt den generella dataskyddsregleringen.20 Enligt 5 kap. 2 § brottsdatalagen ska tillsynsmyndigheten utöva all- män tillsyn över personuppgiftsbehandling inom lagens tillämpnings- område och handlägga klagomål från registrerade. Av 5 kap. 5–7 §§ framgår vilka befogenheter tillsynsmyndigheten har i tillsynsverksam- heten. Undersökningsbefogenheterna består bl.a. i att tillsynsmyndig- heten har rätt att av personuppgiftsansvariga få tillgång till alla per- sonuppgifter som behandlas, upplysningar om och dokumentation av behandlingen av personuppgifter samt säkerhets- och skyddsåtgärder, 202 a § förordningen (2007:975) med instruktion för . tillträde till lokaler som den personuppgiftsansvarige disponerar samt tillgång till utrustning och andra medel för behandling av personupp- gifter. De förebyggande befogenheterna innebär bl.a. att om tillsynsmyn- digheten bedömer att det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndig- heten genom råd, rekommendationer eller påpekanden försöka förmå den personuppgiftsansvarige att vidta åtgärder för att motverka den risken. får också utfärda en skriftlig varning för att en planerad eller pågående behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Om tillsynsmyndigheten konstaterar att personuppgifter behand- las i strid med lag eller annan författning eller att den personuppgifts- ansvarige på något annat sätt inte fullgör sina skyldigheter, får tillsyns- myndigheten utnyttja vissa korrigerande befogenheter. Dessa består bl.a. i att genom råd, rekommendationer eller påpekanden försöka förmå den personuppgiftsansvarige att vidta åtgärder för att behand- lingen ska bli författningsenlig, att förelägga den personuppgifts- ansvarige att vidta åtgärder, att förbjuda fortsatt behandling om bris- ten är allvarlig eller att besluta om en administrativ sanktionsavgift. Av 6 kap. 1 § brottsdatalagen framgår att en sanktionsavgift får tas ut av en personuppgiftsansvarig vid överträdelse av någon av brotts- datalagens bestämmelser om bl.a. rättsliga grunder eller ändamål, be- handling för nya ändamål, uppgiftsminimering och lagringsminimering. Sådan avgift får även tas ut bl.a. om den personuppgiftsansvarige inte har använt sig av inbyggt dataskydd eller dataskydd som standard, be- gränsat tillgången till personuppgifter, gjort en konsekvensbedöm- ning, genomfört ett förhandssamråd eller vidtagit lämpliga tekniska och organisatoriska åtgärder. En sanktionsavgift får också tas ut om en personuppgiftsansvarig inte följer tillsynsmyndighetens beslut om föreläggande eller förbud. Av 6 kap. 3 § framgår att sanktionsavgifter vid överträdelser av bestämmelserna om begränsning av tillgången till personuppgifter, om konsekvensbedömning eller förhandssamråd eller dokumentation av personuppgiftsincidenter ska bestämmas till högst 5 000 000 kro- nor. Vid överträdelser av övriga sanktionerade bestämmelser ska av- giften bestämmas till högst . Utöver sanktionsavgif- terna kan även skadestånd komma i fråga. Enligt 7 kap. 1 § ska den personuppgiftsansvarige ersätta den regi- strerade för den skada och kränkning av den personliga integriteten som behandling av personuppgifter i strid med den lagen, eller före- skrifter som har meddelats i anslutning till den, har orsakat. Dataskyddsförordningen började tillämpas . Mate- riellt är bestämmelserna i dataskyddsförordningen och dataskydds- direktivet respektive brottsdatalagen till stora delar överensstämmande. Bestämmelserna redovisas därför inte närmare i detta sammanhang. Precis som brottsdatalagen gäller dataskyddsförordningen bl.a. sådan behandling av personuppgifter som är helt eller delvis automa- tiserad (artikel 2.1). Av artikel 2.2.d framgår att förordningen inte gäller för sådan behandling av personuppgifter som behöriga myndig- heter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säker- heten (jfr artikel 1.1 i dataskyddsdirektivet). Dataskyddsförordningen är direkt tillämplig i . Den inne- håller dock vissa bestämmelser som tillåter eller förutsätter komplet- terande eller avvikande nationell lagstiftning. Sådana kompletterande bestämmelser finns främst i dataskyddslagen, men även i flera andra s.k. registerförfattningar som gäller särskilt i viss verksamhet eller viss myndighet. Dataskyddslagen kompletteras av förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning samt föreskrifter från som publiceras i myn- dighetens författningssamling. Lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område (polisens brottsdatalag) gäller utöver brotts- datalagen bl.a. vid behandling av personuppgifter om uppgifterna behandlas i syfte att förebygga, förhindra eller upp- täcka brottslig verksamhet, utreda eller lagföra brott, verkställa upp- börd eller upprätthålla allmän ordning och säkerhet. gäller även behandling av personuppgifter i syfte att utreda brott om det inte är fråga om åklagarverksamhet och Säkerhetspolisens behandling av personuppgifter i frågor som inte rör nationell säkerhet, om uppgifterna behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lag- föra brott. Lagen gäller alltså för polisens personuppgiftsbehandling inom ramen för den brottsbekämpande verksamheten, men innehål- ler endast preciseringar, undantag eller avvikelser från brottsdatalagen. Polisens brottsdatalag måste därför läsas tillsammans med regleringen i brottsdatalagen och tolkas i ljuset av sistnämnda.21 I lagens 2 och 3 §§ anges i vilken omfattning annan lagstiftning rörande behandling av personuppgifter har företräde. I lagens inledande kapitel finns allmänna bestämmelser om be- handling av personuppgifter. Kapitel 3 innehåller bestämmelser om gemensamt tillgängliga uppgifter, bl.a. under vilka förutsättningar upp- gifter får göras gemensamt tillgängliga i polisens datasystem och hur sökningar får göras bland sådana uppgifter. I 4 kap. finns bestämmelser om längsta tid för behandling av personuppgifter. Särskilda bestäm- melser finns för personuppgifter som behandlas i register över dna- profiler, fingeravtrycks- och signalementsregister, penningtvätts- register, det internationella registret och tillträdesförbudsregistret, liksom för behandling av personuppgifter för forensiska ändamål i lagens 5 och 6 kap. Lagen innehåller slutligen bestämmelser om administrativa sanktionsavgifter, skadestånd och överklagande i 7 kap. Bestämmelserna i 2–4 kap. redovisas närmare nedan. Grundläggande krav på behandlingen I lagens 2 kap. 1 § anges de tillåtna rättsliga grunderna för behandling av personuppgifter inom lagens tillämpningsområde. Bestämmelsen gäller i stället för 2 kap. 1 § första stycket brottsdatalagen. Således får uppgifterna behandlas om det är nödvändigt för att Polismyndig- heten, eller Säkerhetspolisen ska kunna utföra följande uppgifter: 2017/18:269 Brottsdatalag – kompletterande lagstiftning s. 291. 1.förebygga, förhindra eller upptäcka brottslig verksamhet, 2.utreda eller lagföra brott, 4.upprätthålla allmän ordning och säkerhet, eller 5.fullgöra förpliktelser som följer av internationella åtaganden. Första, andra och fjärde ledet har samma innebörd som den som redo- visats i samband med 2 kap. 1 § brottsdatalagen ovan i avsnitt 9.4. Punkten tre tar främst sikte på polisens uppbörd av böter, och femte punkten tar sikte på behandling som krävs för att genomföra för- pliktelser som syftar till att främja utländsk brottsbekämpande verk- samhet. Förutsättningarna för att behandla personuppgifter som behand- las på någon av dessa grunder för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen. Bestämmelserna redovisas ovan i avsnitt 9.4. Biometriska uppgifter är känsliga personuppgifter och får enligt 2 kap. 12 § brottsdatalagen behandlas endast om det är särskilt före- skrivet och om det är absolut nödvändigt för ändamålet med behand- lingen. Polisens brottsdatalag innehåller en sådan särskild föreskrift som ger och Säkerhetspolisen rätt att behandla bio- metriska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen (2 kap. 4 §). Kravet på absolut nödvändighet innebär att behovet måste prövas särskilt noga. Paragrafen möjliggör använd- ning av särskild teknisk behandling för att bekräfta unik identifiering av en person. Det innebär att t.ex. fingeravtryck, ansiktsgeometri, röstigenkänning eller rörelsemönster får användas för att identifiera en person.22 Lagen gör vidare i 2 kap. 5–6 §§ vissa undantag från det i brottsdatalagen föreskrivna sökförbudet. Lagen anger under vilka förutsättningar personuppgifter får läm- nas ut till , Europol eller utländska staters myndigheter samt vissa organisationer. Lagen innehåller också bestämmelser om utläm- nande av uppgifter mellan vissa nationella myndigheter. Således har exempelvis , , och Kust- bevakningen, trots vissa sekretessbestämmelser, rätt att ta del av vissa personuppgifter som har gjorts gemensamt tillgängliga om uppgif- terna behövs för ett syfte som anges i 1 kap. 2 § brottsdatalagen; i huvudsak i den brottsbekämpande verksamheten (2 kap. 9–10 §§ polisens brottsdatalag). Personuppgifterna får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Direktåtkomst får endast tillåtas i den uträckning som särskilt anges i lagen (2 kap. 12 §). Särskilt om personuppgifter från transportföretag I 2 kap. 13–14 §§ anges hur och i vilka syften personuppgifter som tillhandahålls av transportföretag enligt 25 § polislagen får behand- las. Av 13 § framgår att sådana personuppgifter endast får behandlas för att förebygga, förhindra eller upptäcka brottslig verksamhet samt för att utreda eller lagföra brott. Det framgår också att personupp- gifterna endast i ett enskilt fall får behandlas för nya ändamål 2 kap. 4 och 22 §§ brottsdatalagen. Ett exempel kan vara att ett brott upp- täcks och att uppgifterna behövs för att utreda och lagföra brottet. Det kan också vara så att uppgifterna behövs i ett underrättelse- ärende.23 Vidare framgår av 14 § att vid terminalåtkomst enligt 26 § polislagen får personuppgifterna inte ändras eller bearbetas på annat sätt. kan exempelvis inte föra över en hel uppgifts- samling till sina egna it-system för att bearbeta, ändra och lagra per- sonuppgifterna där.24 Polisens brottsdatalag gör skillnad mellan behandlingen av gemen- samt tillgängliga uppgifter och behandlingen av uppgifter som inte gör eller har gjorts gemensamt tillgängliga. En sådan skillnad gjordes redan i polisdatalagen och i förarbetena till den lagen utvecklades när uppgifter skulle höra till den ena eller andra kategorin.25 Sammanfattningsvis är det avgörande för bedömningen av om per- sonuppgifter är att anse som gemensamt tillgängliga eller inte om upp- gifterna är åtkomliga för en bestämd och begränsad personkrets i stunden och . Om avsikten är att uppgifterna ska vara åtkom- liga för en i förväg obestämd krets av anställda inom polisen, får upp- 2009/10:85 Integritet och effektivitet i polisens brottsbekämpande verksamhet s. 334 f. gifterna alltid anses vara gemensamt tillgängliga. Uppgifter som en annan brottsbekämpande myndighet har tillgång till genom direkt- åtkomst är vidare alltid gemensamt tillgängliga. Om uppgifterna å andra sidan lagras på ett sådant sätt att endast en viss person har till- gång till dem, kan uppgifterna normalt inte anses gemensamt tillgäng- liga. Detta gäller även om syftet är att uppgifterna senare ska lagras så att andra får tillgång till dem. Det är alltså först när insamlade upp- gifter görs tillgängliga för fler än ett fåtal personer i den brottsbekäm- pande verksamheten som bestämmelserna om gemensam tillgängliga uppgifter ska tillämpas. I vad mån uppgifter som är tillgängliga enbart för en bestämd krets av personer är att anse som gemensamt tillgängliga får bedömas med hänsyn till främst hur många personer som har tillgång till uppgifterna. Enligt uttalanden i förarbetena till polisdatalagen kan en tumregel vara att uppgifterna är att anse som gemensamt tillgängliga om antalet deltagare i en viss grupp med tillgång till uppgifterna överstiger ett tiotal. Även den tid under vilken uppgifter avses bli behandlade kan ha betydelse för frågan eftersom de personer som får tillgång till uppgifterna kan vara många även om det inte vid varje given tid- punkt överstiger ett mindre antal. Särskilda bestämmelser om gemensamt tillgängliga uppgifter finns i 3 kap. polisens brottsdatalag. När personuppgifter görs gemensamt tillgängliga anses det typiskt sett innebära ökade risker för intrång i den personliga integriteten. Därför har det ansetts behöva anges i lag vilka slag av personuppgifter som får göras gemensamt tillgängliga. I 3 kap. 2 § finns en uttömmande uppräkning och det är alltså inte tillåtet att göra personuppgifter gemensamt tillgängliga i andra fall.26 Uppräkningen omfattar bl.a. uppgifter som kan antas ha samband med misstänkt brottslig verksamhet av viss kvalificerad art, uppgifter som behövs för övervakningen av grovt kriminella personer och uppgifter som förekommer i vissa ärenden, t.ex. ärenden om utredning av eller lagföring för brott eller ärenden om kontaktförbud. Kapitlet innehåller också bestämmelser om när personuppgifterna ska följas av särskilda upplysningar, t.ex. om uppgiften rör en person som inte är misstänkt, samt bestämmelser som innebär begränsningar i möjligheterna till sökningar i uppgifterna. I 3 kap. 7 § anges vilka andra myndigheter som kan medges direktåtkomst till uppgifter som 2017/18:269 s. 300 f. med hänvisning till prop. 2009/10:85 s. 336 f. gjorts gemensamt tillgängliga och under vilka förutsättningar detta kan ske. Längsta tid som personuppgifter får behandlas Av 2 kap. 17 § första stycket brottsdatalagen framgår det att person- uppgifter inte får behandlas än vad som är nödvän- digt med hänsyn till ändamålet med behandlingen. Polisens brotts- datalag innehåller därutöver närmare bestämmelser för längsta tid som personuppgifter får behandlas i 4 kap., samt bestämmelser om längsta tid för behandling i olika register som enligt lagen har rätt att föra i 5 och 6 kap., som register över dna-profiler, eller fingeravtrycks- och signalementsregister. Bestämmelserna om hur länge personuppgifterna får behandlas gäller automatiserad behandling och är relativt detaljerade. Bestäm- melserna i 4 kap. ser olika ut bl.a. beroende på om uppgifterna gjorts gemensamt tillgängliga i polisens datasystem eller inte. För person- uppgifter som inte gjorts gemensamt tillgängliga och som inte ingår i något särskilt register gäller som huvudregel att dessa inte får be- handlas längre än efter att ärendet avslutats, om uppgifterna behandlats i ett ärende, eller annars efter det att de behandlades automatiserat första gången (4 kap. 2 §). Den tillåtna längsta tiden för behandling beror alltså på om personuppgifterna behandlas inom ramen för ett ärende eller inte. I motiven till polisdatalagen angavs att begreppet ärende där hade en särskild innebörd som kan avvika från den gängse innebörden av begreppet i den då gällande förvaltnings- lagen (1986:223). Med ärende avsågs en serie åtgärder som är avsedda att leda fram till ett bestämt slut. Särskilda underrättelseprojekt kunde t.ex. omfattas. Underrättelseprojekt med en obestämd varaktighet, exempelvis ett projekt som syftar till att fortlöpande undersöka ung- domsbrottsligheten på en viss ort, ansågs dock inte som ett ärende i den mening som avsågs i paragrafen.27 Ingenting tyder på att begreppet har någon annan innebörd . För personuppgifter som gjorts gemensamt tillgängliga och som inte ingår i något särskilt reglerat register gäller i flera fall för rätten till behandling än för uppgifter som inte gjorts gemensamt tillgängliga. Inom denna grupp finns flera särskilda fall reglerade och 2009/10:85 s. 328. tiderna för längsta behandling kan variera från i huvudsak till . Bestämmelserna i 4 kap. innebär också att personuppgifterna inte får arkiveras digitalt. All automatiserad behandling av uppgifterna ska i princip upphöra när den angivna tidsfristen har löpt ut. Det innebär att uppgifterna som huvudregel ska raderas. Lagen (2018:1694) om behandling av personuppgifter inom brottsdatalagens område (brottsdatalag) är uppbyggd på i huvudsak samma sätt som polisens brottdatalag. Lagen innehåller förutom allmänna och grundläggande bestämmelser om behandling ett kapitel om gemensamt tillgängliga uppgifter, ett kapitel om längsta tid för behandling av personuppgifter och ett kapitel med bestäm- melser om sanktionsavgifter, skadestånd och rätten till överklagande. Lagen gäller utöver brottsdatalagen när i egenskap av be- hörig myndighet behandlar personuppgifter i syfte att förebygga, för- hindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa uppbörd. I övriga verksamhet gäller lagen (2001:185) om behandling av uppgifter i verksamhet, som kompletterar dataskyddsförordningen. Enligt lagens 2 kap. 1 § får behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra följande upp- gifter: –förebygga, förhindra eller upptäcka brottslig verksamhet, –utreda eller lagföra brott, –verkställa uppbörd, eller –fullgöra förpliktelser som följer av internationella åtaganden. För behandling av uppgifter för nya ändamål gäller samma förutsätt- ningar som enligt polisens brottsdatalag. Lagen ger rätt att behandla biometriska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen. Vidare görs samma undantag som i polisens brottsdatalag från sökförbudet i brottsdatalagen i 2 kap. 4–5 §§. Lagen anger under vilka förutsättningar personuppgifter får läm- nas ut till , Europol eller utländska staters myndigheter samt vissa organisationer. Lagen innehåller också bestämmelser om utläm- nande av uppgifter mellan vissa nationella myndigheter. Bestämmel- serna överensstämmer i huvudsak med motsvarande bestämmelser i polisens brottsdatalag (se ovan). I2 kap. 10–12 §§ finns bestämmelser om behandling av person- uppgifter som tillhandahållits av transportföretag enligt 15 § lagen (1996:701) om befogenheter vid gräns mot ett an- nat land inom Europeiska unionen eller 4 kap. 6 § tullagen (2016:253). Enligt 2 kap. 10 § får personuppgifter som har lämnats till Tull- verket enligt de nämnda bestämmelserna behandlas endast för att planera kontroller och välja ut kontrollobjekt för att förebygga, för- hindra eller upptäcka brottslig verksamhet, eller utreda eller lagföra brott. Det innebär att arbetet inriktas på att få fram kontrollobjekt för vilka det råder förhöjd risk för smuggling eller andra brott. Om det vid den behandling som görs, eller vid kontroll vid ankomsten till , uppkommer skäl att behandla personuppgifterna för ett nytt ändamål får det enligt 10 § andra stycket bara göras om förut- sättningarna för behandling för nya ändamål i 2 kap. 4 eller 22 §§ brottsdatalagen är uppfyllda i det enskilda fallet. Ett typiskt exempel är enligt uttalanden i förarbetena att ett brott upptäcks när någon har tagits ut för en kontroll och att uppgifterna behövs för att utreda och lagföra brottet. Det kan också visa sig att vissa av uppgifterna behövs iett underrättelseärende, t.ex. för kartläggning av nya smugglings- metoder.28 Av 11 § framgår att vid terminalåtkomst får personuppgifterna inte ändras eller bearbetas på annat sätt. kan exempelvis inte föra över en hel uppgiftssamling till sina egna it-system för att bearbeta, ändra och lagra personuppgifterna där.29 I2 kap. 12 § finns bestämmelser om i vilka fall identitetsbeteck- ningar såsom namn, personnummer och samordningsnummer får användas som sökbegrepp vid sökning i sådana personuppgifter som lämnats till enligt 10 § första stycket. Sådana sökbegrepp får användas bara om uppgifterna avser en person som är eller har varit misstänkt för brott eller kan antas ha samband med viss brotts- 2017/18:269 s. 322 f. lig verksamhet eller som övervakas på grund av misstanke om att personen kan komma att utöva brottslig verksamhet.