sou · H9B392 · 2021-11-30 00:00:00 — Personuppgifter ska vidare behandlas på ett öppet sätt i förhållande till den registrerade. Det bör alltså vara klart och tydligt för fysiska personer hur personuppgifter som rör dem behandlas. Principen om ändamålsbegränsning innebär att personuppgifter endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte behandlas på ett sätt som står i strid med dessa ända- mål. Ändamålet måste bestämmas redan när en personuppgift behand- las . Regeringen har uttalat att principen om att ända- målen ska vara berättigade innebär en direkt koppling till de rättsliga grunderna. Ett ändamål som inte är berättigat i förhållande till den tillämpliga rättsliga grunden är således inte förenligt med principen.2 Sådana författningsbestämmelser som anger för vilka ändamål person- uppgifter får behandlas i en viss verksamhet måste av naturliga skäl vara generellt utformade för att kunna fungera i en verksamhet . Att som grund för behandling av personuppgifter i ett visst fall endast ange ett sådant generellt ändamål uppfyller inte kraven på att 2017/18:105 Ny dataskyddslag s. 47. 2017/18:105 s. 47 och prop. 2017/18:232 Brottsdatalag s. 121. I de enskilda fallen måste ändamålet alltså ytter- ligare preciseras.3 Personuppgifter som samlas in och behandlas ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Detta följer av principen om uppgiftsminimering. Ovidkommande uppgifter får inte behandlas och det följer också av denna princip av uppgifter inte får behandlas i större omfattning än vad som är nödvändigt i förhållande till ändamålet. Principen om korrekthet innebär att de personuppgifter som be- handlas måste vara riktiga och om nödvändigt uppdaterade. Om fel- aktiga uppgifter upptäcks måste åtgärder vidtas för rättelse eller rader- ing . Enligt principen om lagringsminimering får personuppgifter inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka de behandlas. När det är nödvändigt med identifiering ska alltså uppgiften antingen avidentifieras eller raderas. Hur länge en per- sonuppgift behöver behandlas beror i varje enskilt fall på ändamålet med behandlingen. Principen om integritet och konfidentialitet innebär att personupp- gifter ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten be- handling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder. Principen om ansvarsskyldighet innebär slutligen att det är den per- sonuppgiftsansvarige som ska ansvara för och kunna visa att princi- perna efterlevs. Av artikel 1.1 framgår att direktivet innehåller bestämmelser om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personupp- gifter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Även sådan personuppgifts- behandling som utförs hos behöriga myndigheter för att skydda mot, förebygga och förhindra hot mot den allmänna säkerheten ingår i 2017/18:232 s. 115 och 123 f. Syftet med direktivet är, enligt artikel 1.2, att skydda fysiska personers grundläggande rättigheter och friheter, sär- skilt deras rätt till skydd av personuppgifter. Ytterligare ett syfte är att säkerställa att det utbyte av personuppgifter som krävs inom unio- nen mellan behöriga myndigheter varken begränsas eller förbjuds av skäl som rör skyddet för fysiska personer med avseende på behand- lingen av personuppgifter. Medlemsstaterna får, enligt artikel 1.3, före- skriva starkare skyddsåtgärder för skyddet av den registrerades rättig- heter och friheter än de som har fastställts i direktivet. Direktivet är således ett s.k. minimidirektiv. Dataskyddsdirektivet har som sagt huvudsakligen genomförts i svensk rätt genom en ramlag, brottsdatalagen (2018:1177). Lagen komplet- teras av en förordning – brottsdataförordningen (2018:1202) – som genomför vissa detaljbestämmelser i direktivet. I lagens första paragraf anges lagens syfte. Syftet med lagen är att skydda fysiska personers grundläggande rättigheter och friheter i samband med behandling av personuppgifter och att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt. Regleringen har således dubbla syften. Att fysiska personers grundläggande rättigheter och friheter ska skyddas vid behandling av personuppgifter är en central målsätt- ning för regleringen. är vissa intrång i den personliga integ- riteten nödvändiga för att myndigheterna ska kunna utföra sina upp- gifter och för att brottsoffer ska kunna få sin rätt tillgodosedd. Olika intressen ställs alltså mot varandra. Regeringen har framhållit att den omständigheten att en lags syfte uttryckligen anges kan få relevans i rättstillämpningen genom att det ger vägledning för tolkningen av de materiella bestämmelserna i lagen.4 Av 1 kap. 3 § brottsdatalagen framgår att lagen gäller vid bl.a. så- dan behandling av personuppgifter som är helt eller delvis automati- serad. Enligt 1 kap. 2 § gäller lagen vid behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också vid behandling 2017/18:232 s. 82. av personuppgifter som en behörig myndighet utför i syfte att upp- rätthålla allmän ordning och säkerhet. Med behörig myndighet avses, enligt 1 kap. 6 §, bl.a. en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ord- ning och säkerhet, när myndigheten behandlar personuppgifter för ett sådant syfte. Brottsdatalagen gäller dock inte vid behandling av personuppgifter som rör nationell säkerhet eller om har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspolisen. Detta framgår av 1 kap. 4 §. Det framgår således inte direkt av lagen vilka som är behöriga myn- digheter. Det avgörande är i vilket syfte myndigheten behandlar per- sonuppgifterna och att behandlingen sker i syftena brottsbekämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet. Om en myndighet, exempelvis , be- handlar personuppgifter i andra syften ska dataskyddsförordningen i stället tillämpas. Det är bl.a. och andra myndigheters under- rättelseverksamhet som avses när formuleringen förebygga, förhindra eller upptäcka brottslig verksamhet används. Med underrättelseverk- samhet avses arbete med insamling, bearbetning och analys av infor- mation i syfte att förhindra eller upptäcka brottslig verksamhet när det ännu inte finns misstankar om att ett visst konkret brott har begåtts. Om det finns misstankar om ett konkret brott kan personuppgifter behandlas för att utreda brottet. Även behandling av överskottsinfor- mation med stöd av 27 kap. 23 a § omfattas, om syftet med behandlingen är att förhindra brott. Med att utreda brott avses framför allt att genomföra förundersökning enligt 23 kap. rättegångs- balken. Med brott avses ett konkret brott. Det kan vara fråga om såväl brott som bevisligen har begåtts som brott som det enbart finns miss- tankar om. Misstankarna behöver inte vara riktade mot någon bestämd person. Om misstankarna enbart avser icke-preciserad brottslighet, är det i stället fråga om underrättelseverksamhet.5 Spaningsverksamhet som inte är kopplad till brottsutredande verk- samhet är normalt underrättelsestyrd, exempelvis när spaning bedrivs för att kartlägga droghandel, prostitution eller någon annan typ av Sådan spaningsverksamhet bedrivs framför allt av och omfattas av lagens tillämpningsområde.6 Lagen gäller även vid behandling av personuppgifter i syfte att upp- rätthålla allmän ordning och säkerhet. Härmed avses bl.a. behandling av personuppgifter i samband med ingripanden enligt 13–13 c §§ polis- lagen (1984:387). Eftersom det är syftet med behandlingen av personuppgifter i det enskilda fallet som styr om lagen är tillämplig eller inte kan en behörig myndighets behandling av samma uppgift antingen styras av ramlagens eller dataskyddsförordningens regler. Det kan också vara så att en del av myndighetens verksamhet faller under ramlagens tillämpnings- område medan andra delar faller utanför. Lagen ska exempelvis inte tillämpas vid sådan kontrollverksamhet som vissa myndigheter som också har ett brottsbekämpande uppdrag utför med stöd av sina kon- trollbefogenheter, t.ex. vid gränskontroll, utlänningskontroll eller tull- kontroll. Här kan en del svåra gränsdragningsfrågor uppstå. Exempel- vis gränskontroll kan ha olika syften. Frågor som rör migration, asyl, medborgarskap och liknande ligger utanför ramlagens tillämpnings- område. I den mån kontrollverksamheten utförs i brottsbekämpande syfte är dock lagen tillämplig.7 Med behandling av personuppgifter avses enligt 1 kap. 6 § en åtgärd eller kombination av åtgärder som vidtas i fråga om personuppgifter eller uppsättningar av personuppgifter, oavsett om det görs automati- serat eller inte, t.ex. insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämnande, spridning eller tillhandahållande på annat sätt, justering, sammanföring, begränsning, radering eller förstöring. Så snart person- uppgifter hanteras på något sätt är det alltså fråga om behandling som omfattas av lagens bestämmelser. Av 1 kap. 5 § brottsdatalagen framgår att avvikande bestämmelser i annan lag eller förordning gäller i stället för bestämmelserna i den lagen. Brottsdatalagen kompletteras också med särskilda register- författningar som gäller för den personuppgiftsbehandling som utförs av olika myndigheter inom rättsväsendet. Dessa författningar gäller utöver brottsdatalagen och innehåller enbart bestämmelser som inne- bär preciseringar, undantag eller avvikelser från den lagen. kan också finnas i t.ex. och offentlighets- och sekre- tesslagen (2009:400). Grundläggande krav på behandlingen I andra kapitlet anges de grundläggande kraven på behandlingen av personuppgifter inom lagens tillämpningsområde. Bestämmelserna i kapitlet ger uttryck för de flesta av de ovan redovisade allmänna prin- ciperna. I 2 kap. 1 § anges att personuppgifter får behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra sin upp- gift att förebygga, förhindra eller upptäcka brottslig verksamhet, ut- reda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätt- hålla allmän ordning och säkerhet. Uppgiften ska ha stöd i unionsrätten eller nationell rätt. Bestämmelsen bildar den yttre ramen för när be- handling av personuppgifter är tillåten enligt lagen. I myndigheternas registerförfattningar finns mer detaljerade bestämmelser om rättslig grund. Nödvändighetsrekvisitet i bestämmelsen innebär att personupp- giftsbehandlingen ska behövas för att uppgiften ska gå att fullgöra på ett effektivt sätt. I kravet på nödvändighet ligger också att person- uppgifter inte får behandlas om syftet med behandlingen kan uppnås med andra medel, t.ex. genom att uppgifterna anonymiseras.8 I 2 kap. 3 § brottsdatalagen föreskrivs att personuppgifter får be- handlas bara för särskilda, uttryckligt angivna och berättigade ända- mål och att det ska framgå för vilket ändamål uppgifterna behandlas (principen om ändamålsbegränsning). I förarbetena till brottsdatalagen lyftes det fram att vad som i data- skyddsrättlig mening är tillåtna rättsliga grunder för behandling och vad som är renodlade ändamålsbestämmelser ibland hade blandats samman. Det hade, med den lagstiftning som gällde , funnits en risk för att tillämparen blandade samman ändamål med rättslig grund och godtog ett i författning bestämt allmänt ändamål som ett särskilt och tillräckligt preciserat ändamål och med hänvis- ning till ett sådant ansåg att kravet på att det ska finnas särskilda, uttryckligt angivna och berättigade ändamål för behandlingen var upp- I den nya lagen gjordes därför tydligare skillnad mellan bestäm- melser om rättslig grund och ändamålsbestämmelser.9 Ändamålet ska enligt förarbetsuttalandena inte blandas ihop med den rättsliga grunden för behandling. Ändamålet ska vara mer kon- kret. Att ändamålet ska vara särskilt innebär vidare att det måste vara tillräckligt preciserat för att det ska kunna avgöras om de personupp- gifter som behandlas är adekvata och relevanta för ändamålet med be- handlingen eller om för många personuppgifter behandlas. Bestäm- melsen tar sikte på ändamålet i det enskilda fallet som kan vara t.ex. förundersökningen om ett visst brott eller ett pågående underrättelse- arbete om viss, närmare angiven, brottslig verksamhet. Det finns inget hinder mot att ange flera parallella ändamål. Regeringen har uttalat att kravet på att ändamålet ska vara berät- tigat innebär en koppling till de rättsliga grunderna. Behandling får således inte ske för ett ändamål som inte är berättigat i förhållande till den rättsliga grunden. Ändamålet måste bestämmas redan när upp- giften behandlas första gången, eftersom det är i förhållandet till det som det sedan kan prövas om personuppgifterna som behandlas är adekvata och relevanta samt i vilken omfattning personuppgifter be- höver behandlas (2 kap. 8 §). Kravet gäller för all behandling, det räcker alltså inte med att det finns ett särskilt, uttryckligt angivet och berättigat ändamål för insamling av uppgifter, det måste finnas på samma sätt för all efterföljande behandling. I 2 kap. 4 § regleras förutsättningarna för att personuppgifter ska få behandlas för ett nytt ändamål inom lagens tillämpningsområde. Av bestämmelsen följer att det alltid måste finnas en rättslig grund för att behandla personuppgifterna för det nya ändamålet samt att det ska vara nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Med nödvändigt avses även här att det är fråga om att det ska behövas snarare än att något som absolut fordras. Behandling för nya ändamål kan exempelvis vara nödvändig om det i en förundersökning finns uppgifter som avslöjar planer på en fritagning av en häktad och uppgiften därför behöver lämnas till Kriminalvården. För att kravet på proportionalitet ska vara uppfyllt ska skälen för att behandla uppgifterna för det nya ändamålet väga tyngre än det intrång som behandlingen innebär för enskilda.10 Någon pröv- ning av om behandlingen för det nya ändamålet är förenlig med det s. 115 och 120 ff. ändamål för vilket uppgifterna ursprungligen behandlades behöver dock inte göras. Av 2 kap. 22 § brottsdatalagen följer vidare att innan personupp- gifter som behandlas med stöd av den lagen behandlas för ett ända- mål utanför lagens tillämpningsområde ska det säkerställas att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det ändamålet. Bestämmelsen aktualiseras när t.ex. en myndighet be- handlar personuppgifter i sin brottsbekämpande verksamhet men be- höver lämna över uppgifterna till en annan enhet inom myndigheten som bedriver verksamhet utanför brottsdatalagens tillämpnings- område. Vid behandling för att lämna ut personuppgifter för sådana ändamål ska dataskyddsförordningen tillämpas i stället för denna lag. Bestämmelsen föreskriver en prövning av nödvändighet och propor- tionalitet som går utöver den prövning av behandlingen som alltså ska göras med utgångspunkt i dataskyddsförordningens bestämmel- ser.11 Någon prövning av nödvändighet och proportionalitet behöver inte göras i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning. Av 2 kap. 6 § brottsdatalagen framgår att personuppgifter ska be- handlas författningsenligt och på ett korrekt sätt (principerna om lag- lighet och korrekthet). De personuppgifter som behandlas ska, enligt 2 kap. 8 § brottsdatalagen, vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler personuppgifter får inte heller behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen (principen om uppgiftsminimering). Bestämmelserna i 2 kap. 11–14 §§ reglerar i vilken utsträckning känsliga personuppgifter får behandlas. Utgångspunkten är att person- uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning inte får behandlas. Vad som kan utgöra känsliga personuppgifter redovisas närmare i avsnitt 16.2. Biometriska och genetiska uppgifter får behandlas endast om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. Biometriska uppgifter är exempelvis fingeravtryck och dna-profiler. I de särskilda registerförfattningarna finns bestämmel- ser om i vilken utsträckning sådana uppgifter får behandlas. Enligt 2 kap. 14 § är det förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Även från denna regel görs undantag i de särskilda registerförfatt- ningarna som gäller för brottsbekämpande myndigheter. Personuppgifter får inte, enligt 2 kap. 17 §, behandlas än vad som är nödvändigt med hänsyn till ändamålet med be- handlingen (principen om lagringsminimering). Det som avses är ända- målet i det enskilda fallet. behandlas personuppgifter för flera olika ändamål. Att det inte längre finns behov av att behandla person- uppgiften för ett visst ändamål medför inte att behandlingen av den måste upphöra för alla andra ändamål . Å andra sidan inne- bär det förhållandet att personuppgiften fortfarande behövs för ett visst ändamål inte att den får fortsätta att behandlas för alla ändamål . Behovet av att fortsätta att behandla uppgifterna måste prövas kontinuerligt. Om det är tillräckligt att behandla avidentifie- rade uppgifter är det inte längre tillåtet att behandla personuppgif- terna. Om det inte är föreskrivet i lag eller annan författning när en viss kategori av personuppgifter inte längre får behandlas för ända- mål inom brottsdatalagens tillämpningsområde, ska den personupp- giftsansvarige se över behovet av att fortsätta behandla per- sonuppgifterna. Detta framgår av 2 kap. 18 §. Mer detaljerade regler om tider för behandling finns i myndig- heternas registerlagstiftning. Brottsdatalagens 3 kap. reglerar den personuppgiftsansvariges skyl- digheter. Av 3 kap. 1 § framgår att den personuppgiftsansvarige är an- svarig för all behandling av personuppgifter som utförs under dennes ledning eller på dennes vägnar. Den personuppgiftsansvarige ska vidare, enligt 3 kap. 2 §, genom lämpliga tekniska och organisatoriska åtgär- der, säkerställa och kunna visa att behandlingen av personuppgifter är författningsenlig och att den registrerades rättigheter skyddas (prin- cipen om ansvarsskyldighet). I 3 kap. 3 och 4 §§ finns bestämmelser om inbyggt dataskydd respektive dataskydd som standard. Genom inbyggt dataskydd ska den personuppgiftsansvarige, när medlen för behandlingen bestäms och vid behandlingen, med hjälp av lämpliga tekniska och organisa- toriska åtgärder se till att nödvändiga skyddsåtgärder integreras i be- handlingen. Av förarbetena framgår att bestämmelsen även innebär att den personuppgiftsansvarige ska vidta åtgärder för att säkerställa bl.a. principerna om uppgifts- och lagringsminimering. Integrering av skyddsåtgärder kan avse funktioner för autentisering, t.ex. lösen- ord, möjlighet att använda kryptering vid kommunikation över inter- net och på mobila enheter, funktioner för loggning och säkerhets- kopiering.12 Dataskydd som standard innebär att den personuppgiftsansvarige ska se till att det i automatiserade behandlingssystem som regel inte är möjligt att behandla andra personuppgifter än de som är nödvän- diga för varje särskilt angivet ändamål med behandlingen. Detta medför att systemet automatiskt styr användaren mot att arbeta integritets- säkert. Grundinställningarna ska vara satta så att inte mer information än nödvändigt samlas in eller visas. Med automatiserade behandlings- system avses särskilt för verksamheten utformade eller anpassade behandlingssystem där personuppgifter behandlas mer eller mindre strukturerat, t.ex. olika typer av register och databaser. Den person- uppgiftsansvarige är skyldig att införa dataskydd som standard oav- sett vilken behandling det rör sig om eller vad kostnaderna uppgår till.13 Den personuppgiftsansvarige ska vidare, enligt 3 kap. 6 §, se till att tillgången till personuppgifter begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. I 3 kap. 5 § finns också en skyldighet för den personuppgiftsansvarige att säkerställa att det i automatiserade behandlingssystem förs loggar över personuppgifts- behandling i den utsträckning det är särskilt föreskrivet. Av 3 kap. 4 § brottsdataförordningen framgår vad denna skyldighet närmare omfattar. I 3 kap. 7 § första stycket brottsdatalagen finns bestämmelser om konsekvensbedömningar. Om en ny typ av behandling eller bety- dande förändringar av redan pågående behandling kan antas medföra särskild risk för intrång i den registrerades personliga integritet ska den personuppgiftsansvarige bedöma konsekvenserna för skyddet av personuppgifter. Vid riskbedömningen bör bl.a. användningen av ny teknik och behandlingens art, omfattning, sammanhang och ända- mål beaktas. Som exempel på riskfylld behandling som bör föranleda konse- kvensbedömningar anger regeringen inrättandet av storskaliga register som innehåller känsliga personuppgifter eller vissa former av profi- Bedömningen ska göras innan behandlingen påbörjas eller för- ändringen genomförs. Konsekvensbedömningarna bör omfatta rele- vanta system och processer för behandling men inte enskilda fall.14 I förarbetena till kamerabevakningslagen gör regeringen bedöm- ningen att exempelvis bör kunna ta fram en kon- sekvensbedömning som kan användas vid ett stort antal bevaknings- situationer.15 Av 3 kap. 8 § brottsdataförordningen framgår att konsekvensbedömningar ska dokumenteras relativt ingående och vilka uppgifter en sådan dokumentation ska innehålla. Enligt 3 kap. 7 § andra stycket brottsdatalagen ska den personupp- giftsansvarige samråda med tillsynsmyndigheten innan be- handlingen påbörjas eller betydande förändringar genomförs, om konsekvensbedömningen visar att det finns särskild risk för intrång i registrerades personliga integritet eller om typen av behandling inne- bär särskild risk för intrång (s.k. förhandssamråd). Genom 3 kap. 9 § andra stycket brottsdataförordningen förtyd- ligas att vid bedömningen av om typen av behandling innebär sådan risk att förhandssamråd ska äga rum ska ny teknik, nya rutiner eller nya förfaranden särskilt beaktas. I förarbetena till brottsdatalagen uttalades följande.16 Samråd blir främst aktuellt när den personuppgiftsansvarige har gjort en konse- kvensbedömning som visar att behandlingen innebär en särskild risk för intrång i registrerades personliga integritet. Vid samrådet bör den personuppgiftsansvarige redovisa vilka åtgärder som planeras för att minska risken. Det kan vara svårt för den personuppgiftsansvarige att på egen hand avgöra vilka åtgärder som är tillräckliga. Regeringen ute- sluter dock inte att vidtagna åtgärder från den personuppgiftsansva- riges sida kan befria från samrådsskyldigheten. I vilken utsträckning samråd inte bör krävas, för att den personuppgiftsansvarige har vid- tagit åtgärder som minskat risken för intrång till en godtagbar nivå, har överlämnats åt rättstillämpningen att avgöra. Om samråd aktualiseras på grund av att typen av behandling i sig innebär särskild risk för intrång i registrerades personliga integritet är resultatet av konsekvensbedömningen inte avgörande för om sam- råd med tillsynsmyndigheten ska äga rum. 2017/18:231 Ny kamerabevakningslag s. 73. 2017/18:232 s. 184.