Brottsbekämpande myndigheter – Beslut mot Polismyndigheten

Polismyndigheten Rättsavdelningen Enheten för rättslig styrning och stöd Box 122 56 102 26 Stockholm

Tillsyn enligt brottsdatalagen (2018:1177) - Polismyndighetens förteckning över behandlingar

Datainspektionens beslut

1. Datainspektionen konstaterar att Polismyndighetens förteckning över behandlingar, för vissa kategorier av behandlingar, saknar uppgifter om de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas och de kategorier av mottagare som uppgifterna kan komma att lämnas ut till enligt 3 kap. 3 § 3 och 4 brottsdataförordningen (2018:1202).

Datainspektionen förelägger enligt 5 kap. 7 § 2 brottsdatalagen Polismyndigheten att i förteckningen över behandlingar, för varje kategori av behandling, ange de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas och de kategorier av mottagare som uppgifterna kan komma att lämnas ut till, senast den 31 oktober 2019.

2. Polismyndigheten föreläggs att senast den 31 oktober 2019 lämna en skriftlig redovisning till Datainspektionen av de åtgärder som Polismyndigheten har vidtagit med anledning av föreläggandet i punkten 1.

Övrigt

Utöver vad som framgår av punkterna 1-2 lämnar Datainspektionen rekommendationer, enligt 5 kap. 7 § 1 brottsdatalagen, till Polismyndigheten gällande tidsfrister för hur länge kategorierna av personuppgifter får behandlas enligt 3 kap. 3 § 9 brottsdataförordningen.

Redogörelse för tillsynsärendet

Datainspektionen har den 17 oktober 2018 inlett tillsyn mot Polismyndigheten i syfte att granska om Polismyndighetens förteckning över behandlingar av personuppgifter överensstämmer med 3 kap. 3 § brottsdataförordningen.

Polismyndigheten har i huvudsak uppgett följande. Polismyndigheten har valt att dela upp förteckningen i två delar: en för behandlingar som förs med stöd av dataskyddsförordningen och en för behandlingar som förs med stöd av brottsdatalagen. De två delarna utgörs av två separata flikar i en Excelfil. Förteckningen innehåller även en flik med allmän information om personuppgiftsansvar och kontaktuppgifter till dataskyddsombud. Utöver förteckningen har Polismyndigheten ytterligare dokumentation om varje personuppgiftsbehandling. Dokumentationen betraktas dock inte som en del av förteckningen.

Vid skapandet av Polismyndighetens förteckning över behandlingar migrerades uppgifterna från personuppgiftsombudets förteckning. I samband med det togs en del obsoleta behandlingar och dubbletter bort. Det gjordes även en övergripande kvalitetssäkring av tillämplig lag, med hänsyn till bland annat brottsdatalagens utvidgade tillämpningsområde jämfört med polisdatalagens (2010:361).

När det gäller kolumnerna ”tjänstemän med tillgång” och ”kategorier av mottagare” har dessa setts över så att rätt information står i rätt kolumn. Det är dock många rader som fortfarande saknar information. Denna information

finns i den bakomliggande dokumentationen ”Anmälan till PUO:s förteckning”.

När det gäller kolumnen ”tidsfrister” har inget arbete ännu påbörjats. Polismyndigheten har bedömt att den information som finns i de gamla anmälningarna inte är tillräckligt bra för att det ska vara möjligt att uppdatera förteckningen i större utsträckning än som hittills har gjorts. Istället ska ett större arbete initieras för att uppdatera alla äldre anmälningar och ersätta dem med nya.

Datainspektionen har vid sin granskning av Polismyndighetens förteckning över behandlingar iakttagit huvudsakligen följande. Polismyndighetens förteckning över behandlingar innehåller följande kolumner. - Namn, - rättslig grund, - ansvarig för behandlingen, - ändamål, - kategorier av tjänstemän med tillgång, - kategorier av mottagare som uppgifterna kan komma att lämnas ut till, - kategorier av registrerade och personuppgifter, - samling av överföringar till tredje land, - användning av profilering, - tidsfrister för hur länge kategorierna av personuppgifter får behandlas samt - allmän beskrivning av säkerhetsåtgärder.

Motivering av beslutet

Vad Datainspektionen har att ta ställning till

Datainspektionen har i tillsynsärendet att ta ställning till om Polismyndighetens förteckning över behandlingar, uppfyller kraven 3 kap. 3 § brottsdataförordningen. Tillsynen avser bara den förteckning som Polismyndigheten för enligt brottsdatalagen.

Tillämpliga bestämmelser

Den 1 augusti 2018 trädde brottsdatalagen i kraft med kompletterande bestämmelser i brottsdataförordningen. Brottsdatalagen gäller enligt 1 kap. 2 § för behandling av personuppgifter som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också vid behandling av personuppgifter som utförs i syfte att upprätthålla allmän ordning och säkerhet. För Polismyndigheten gäller utöver brottsdatalagen sedan den 1 januari 2019 även lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område (polisens brottsdatalag) med kompletterande bestämmelser i förordningen (2018:1942) om polisens behandling av personuppgifter inom brottsdatalagens område. I och med att polisens brottsdatalag trädde ikraft så upphörde polisdatalagen att gälla.

Enligt 3 kap. 3 § brottsdataförordningen ska den personuppgiftsansvarige föra en förteckning över de kategorier av behandlingar av personuppgifter som denne ansvarar för. Förteckningen ska innehålla namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud. Förteckningen ska dessutom, för varje kategori av behandling, innehålla följande uppgifter: 1. den rättsliga grunden för behandlingen, 2. ändamålen med behandlingen, 3. de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas, 4. de kategorier av mottagare som uppgifterna kan komma att lämnas ut till, även i tredjeland eller internationella organisationer, 5. de kategorier av registrerade som berörs av behandlingen, 6. de kategorier av personuppgifter som kan komma att behandlas, 7. samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer, 8. användning av profilering, 9. om det är möjligt, tidsfrister för hur länge kategorierna av personuppgifter får behandlas, och 10. om det är möjligt, en allmän beskrivning av vilka säkerhetsåtgärder som har vidtagits.

Enligt 5 kap. 7 § brottsdatalagen får Datainspektionen använda de korrigerande befogenheterna om det konstateras att personuppgifter behandlas i strid

med lag eller annan författning eller att den personuppgiftsansvarige eller personuppgiftsbiträdet på något annat sätt inte fullgör sina skyldigheter.

Polismyndighetens förteckning över behandlingar

Datainspektionens bedömning

Datainspektionen konstaterar att Polismyndighetens förteckning över behandlingar, för vissa kategorier av behandlingar, saknar uppgifter om de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas och de kategorier av mottagare som uppgifterna kan komma att lämnas ut till.

Skälen för Datainspektionens bedömning är följande

Polismyndigheten för en förteckning enligt 3 kap. 3 § brottsdataförordningen över de kategorier av behandlingar av personuppgifter som myndigheten ansvarar för enligt brottsdatalagen. För varje kategori av behandling ska det enligt bestämmelsen anges vissa uppräknade uppgifter (punkterna 1-10). Polismyndighetens förteckning över behandlingar innehåller i separata kolumner de i bestämmelsen uppräknade punkterna. Datainspektionen har inte några synpunkter avseende punkterna 1-2, 5-8 samt 10.

Kolumnerna för att ange de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas (punkten 3) och de kategorier av mottagare som uppgifterna kan komma att lämnas ut till (punkten 4) saknar uppgifter för vissa kategorier av behandlingar. Datainspektionen konstaterar därför att Polismyndighetens förteckning över behandlingar, för vissa kategorier av behandlingar, saknar uppgifter enligt 3 kap. 3 § 3 och 4 brottsdataförordningen. Datainspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i 5 kap. 7 § brottsdatalagen.

Datainspektionen förelägger enligt 5 kap. 7 § 2 brottsdatalagen Polismyndigheten att i förteckningen över behandlingar, för varje kategori av behandling, ange de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas och de kategorier av mottagare som uppgifterna kan komma att lämnas ut till.

Kolumnen för tidsfrister för hur länge kategorierna av personuppgifterna får behandlas är, för varje kategori av behandling, tom. Enligt 3 kap. 3 § 9 brotts-

dataförordningen ska det, om det är möjligt, anges tidsfrister. Polismyndigheten har angett att det ska initieras ett större arbete för att uppdatera alla äldre anmälningar till den tidigare förteckningen och ersätta dem med nya.

Datainspektionen konstaterar att Polismyndighetens förteckning över behandlingar saknar uppgifter om tidsfrister enligt 3 kap. 3 § 9 brottsdataförordningen. Datainspektionen får enligt 5 kap. 7 § 1 brottsdatalagen genom råd, rekommendationer eller påpekanden (som anges i 5 kap. 6 § första stycket samma lag) försöka förmå Polismyndigheten att vidta åtgärder. Datainspektionen anser att det i nuläget är tillräckligt att rekommendera Polismyndigheten att göra en bedömning av om det är möjligt att ange tidsfrister i förteckningen över behandlingar.

Detta beslut har fattats av enhetschefen Charlotte Waller Dahlberg efter föredragning av juristen Maria Andersson.

Charlotte Waller Dahlberg

Maria Andersson

Kopia till:

Säkerhets- och integritetsskyddsnämnden

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.