Brottsbekämpande myndigheter – Beslut mot Åklagarmyndigheten

Åklagarmyndigheten Box 5553 114 85 Stockholm

Tillsyn enligt brottsdatalagen (2018:1177) – Åklagarmyndighetens förteckning över behandlingar

Datainspektionens beslut

1. Datainspektionen konstaterar att Åklagarmyndighetens förteckning över behandlingar saknar namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud enligt 3 kap. 3 § brottsdataförordningen (2018:1202).

Datainspektionen förelägger enligt 5 kap. 7 § 2 brottsdatalagen Åklagarmyndigheten att i förteckningen över behandlingar ange namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud, senast den 31 december 2019.

2. Datainspektionen konstaterar att Åklagarmyndighetens förteckning över behandlingar, för varje kategori av behandling, anger ändamålen med behandlingen enligt 3 kap. 3 § 2 brottsdataförordningen på ett opreciserat sätt.

Datainspektionen förelägger enligt 5 kap. 7 § 2 brottsdatalagen Åklagarmyndigheten att i förteckningen över behandlingar, för varje kategori av behandling, precisera ändamålen med behandlingen på så sätt som anges i motiveringen till detta beslut, senast den 31 december 2019.

3. Åklagarmyndigheten föreläggs att senast den 31 december 2019 lämna en skriftlig redovisning till Datainspektionen av de åtgärder som Åklagarmyndigheten har vidtagit med anledning av föreläggandena i punkterna 1-2.

Redogörelse för tillsynsärendet

Datainspektionen har den 11 februari 2019 inlett tillsyn mot Åklagarmyndigheten i syfte att granska om Åklagarmyndighetens förteckning över behandlingar av personuppgifter är i överensstämmelse med 3 kap. 3 § brottsdataförordningen.

Datainspektionen har vid sin granskning av Åklagarmyndighetens förteckning över behandlingar iakttagit huvudsakligen följande. Förteckningen över behandlingar innehåller följande kolumner. - den rättsliga grunden för behandlingen, - ändamålen med behandlingen, - de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas, - de kategorier av mottagare som uppgifterna kan komma att lämnas ut till, även i tredjeland eller internationella organisationer - de kategorier av registrerade som berörs av behandlingen, - de kategorier av personuppgifter som kan komma att behandlas, - samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer, - användning av profilering, - om det är möjligt, tidsfrister för hur länge kategorierna av personuppgifter får behandlas och - allmän beskrivning av vilka säkerhetsåtgärder som har vidtagits.

Motivering av beslutet

Vad Datainspektionen har att ta ställning till

Datainspektionen har i tillsynsärendet att ta ställning till om Åklagarmyndighetens förteckning över behandlingar, uppfyller kraven i

3 kap. 3 § brottsdataförordningen. Tillämpliga bestämmelser

Den 1 augusti 2018 trädde brottsdatalagen i kraft med kompletterande bestämmelser i brottsdataförordningen. Brottsdatalagen gäller enligt 1 kap. 2 § för behandling av personuppgifter som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också vid behandling av personuppgifter som utförs i syfte att upprätthålla allmän ordning och säkerhet. För Åklagarmyndigheten gäller utöver brottsdatalagen sedan den 1 januari 2019 även lagen (2018:1697) om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område (åklagarväsendets brottsdatalag) med kompletterande bestämmelser i förordningen (2018:1738) om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område.

Enligt 3 kap. 3 § brottsdataförordningen ska den personuppgiftsansvarige föra en förteckning över de kategorier av behandlingar av personuppgifter som denne ansvarar för. Förteckningen ska innehålla namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud. Förteckningen ska dessutom, för varje kategori av behandling, innehålla följande uppgifter: 1. den rättsliga grunden för behandlingen, 2. ändamålen med behandlingen, 3. de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas, 4. de kategorier av mottagare som uppgifterna kan komma att lämnas ut till, även i tredjeland eller internationella organisationer, 5. de kategorier av registrerade som berörs av behandlingen, 6. de kategorier av personuppgifter som kan komma att behandlas, 7. samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer, 8. användning av profilering,

9. om det är möjligt, tidsfrister för hur länge kategorierna av personuppgifter får behandlas, och 10. om det är möjligt, en allmän beskrivning av vilka säkerhetsåtgärder som har vidtagits.

Enligt 5 kap. 7 § brottsdatalagen får Datainspektionen använda de korrigerande befogenheterna om det konstateras att personuppgifter behandlas i strid med lag eller annan författning eller att den personuppgiftsansvarige eller personuppgiftsbiträdet på något annat sätt inte fullgör sina skyldigheter.

Åklagarmyndighetens förteckning över behandlingar

Åklagarmyndigheten för en förteckning enligt 3 kap. 3 § brottsdataförordningen över de kategorier av behandlingar av personuppgifter som myndigheten ansvarar för enligt brottsdatalagen. För varje kategori av behandling ska det enligt bestämmelsen anges vissa uppräknade uppgifter (punkterna 1-10). Åklagarmyndighetens förteckning över behandlingar innehåller för varje kategori av behandling punkterna 1-10. Datainspektionen har inte några synpunkter avseende punkterna 1 samt 3-10.

I Åklagarmyndighetens förteckning över behandlingar anges samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer (punkten 7) för vissa kategorier av behandlingar som ”uppgifter som lämnas ut med anledning av ansökan från annan stat om rättslig hjälp eller arresteringsorder”. Enligt förarbetena till brottsdatalagen tar 3 kap. 3 § 7 brottsdataförordningen sikte på vissa överföringar som har gjorts till tredjeland eller internationella organisationer (se SOU 2017:29 s. 323 och s. 621-624). Datainspektionen förutsätter att sådana överföringar, om de inträffar, kommer att förtecknas i Åklagarmyndighetens förteckning över behandlingar.

Kontaktuppgifter

Datainspektionens bedömning

Datainspektionen konstaterar att Åklagarmyndighetens förteckning över behandlingar saknar namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud.

Skälen för Datainspektionens bedömning är följande

En förteckning över behandlingar ska enligt 3 kap. 3 § brottsdataförordningen innehålla namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud.

Datainspektionen konstaterar att Åklagarmyndighetens förteckning över behandlingar saknar namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud. Inspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i 5 kap. 7 § brottsdatalagen.

Datainspektionen förelägger enligt 5 kap. 7 § 2 brottsdatalagen Åklagarmyndigheten att i förteckningen över behandlingar ange namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud.

Punkten 2 – ändamålen med behandlingen

Datainspektionens bedömning

Datainspektionen konstaterar att Åklagarmyndighetens förteckning över behandlingar, för varje kategori av behandling, anger ändamålen med behandlingen på ett opreciserat sätt.

Skälen för Datainspektionens bedömning är följande

Enligt 3 kap. 3 § 2 brottsdataförordningen ska en förteckning över behandlingar, för varje kategori av behandling, innehålla uppgifter om ändamålen med behandlingen.

I Åklagarmyndighetens förteckning över behandlingar anges ändamålen med behandlingen, för varje kategori av behandling, antingen som ”1. förebygga eller förhindra brottslig verksamhet”, ”2. utreda eller lagföra brott”, ”3. handlägga frågor om ändring eller verkställighet av straffrättsliga påföljder”, ”4. handlägga frågor som rör upprätthållande av allmän ordning och säkerhet” eller ”5. fullgöra förpliktelser som följer av internationella åtaganden”. Punkterna 1-5 i kolumnen ”ändamålen med behandlingen” motsvarar de rättsliga grunder som anges i 2 kap. 1 § åklagarväsendets brottsdatalag. Bestämmelsen i 2 kap. 1 § åklagarväsendets brottsdatalag anges i kolumnen ”den rättsliga grunden för behandlingen” för varje kategori av behandling, utom en, i Åklagarmyndighetens förteckning över behandlingar.

I 3 kap. 3 § brottsdataförordningen görs en uppdelning mellan den rättsliga grunden för behandlingen (punkten 1) och ändamålen med behandlingen (punkten 2). I förarbetena till brottsdatalagen anges att ändamålen med behandlingen ska förtecknas i det register som myndigheten ska föra men att det inte innebär att den personuppgiftsansvarige måste förteckna alla de enskilda fall där myndigheten behandlar personuppgifter. Det som avses är de typer av ändamål som myndigheten behandlar personuppgifter för. Som exempel nämns att Polismyndigheten behandlar personuppgifter bl.a. för att ta emot anmälningar om brott, genomföra undersökningar, verkställa uppbörd av bötesstraff och dokumentera ingripanden vid ordningsstörningar (jfr prop. 2017/18:232 s. 121).

På det sätt som Åklagarmyndigheten angett ”ändamålen med behandlingen” i sin förteckning över behandlingar, för varje kategori av behandling utom en, innebär att samma uppgifter anges för ”ändamålen med behandlingen” som för ”den rättsliga grunden för behandlingen”. Datainspektionen anser, med anledning av hur 3 kap. 3 § brottsdataförordningen är utformad, att det inte är tillräckligt att ange samma uppgifter under ”den rättsliga grunden för behandlingen” som för ”ändamålen med behandlingen” för att uppfylla kravet i 3 kap. 3 § 2 brottsdataförordningen. Vid sin granskning av Åklagarmyndighetens förteckning över behandlingar kan Datainspektionen inte heller se att ”ändamålen med behandlingen” har angetts för kategorin av behandling benämnd ”Cåsa - Statistiksystem”. Att inte ange ”ändamålen med behandlingen” för en kategori av behandling uppfyller inte heller kravet i 3 kap. 3 § 2 brottsdataförordningen.

Datainspektionen konstaterar mot denna bakgrund att Åklagarmyndighetens förteckning över behandlingar, för varje kategori av behandling, anger ändamålen med behandlingen på ett opreciserat sätt. Inspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i 5 kap. 7 § brottsdatalagen.

Datainspektionen förelägger enligt 5 kap. 7 § 2 brottsdatalagen Åklagarmyndigheten att i förteckningen över behandlingar, för varje kategori av behandling, precisera ändamålen med behandlingen. Ledning för hur ändamålen med en behandling kan förtecknas ges i de ovan angivna förarbetsuttalandena.

Detta beslut har fattats av enhetschefen Charlotte Waller Dahlberg efter föredragning av juristen Max Blidberg .

Charlotte Waller Dahlberg

Max Blidberg

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.