prop · GY03129 · 2011-04-14 00:00:00 — Lagen (2001:558) om vägtrafikregister gäller utöver personupp- giftslagen, varför 9 och 31 §§ i sistnämnda lag även är tillämpliga även i Transportstyrelsens verksamhet (2 § lagen om vägtrafikregister). I 5 § lagen om vägtrafikregister anges uttömmande för vilka ändamål upp- gifter får behandlas. Sammanfattningsvis krävs det enligt regeringens be- dömning inga lagstiftningsåtgärder, eftersom svensk rätt redan uppfyller rådsbeslutets krav på att det ska finnas en grundläggande dataskyddsnivå. Begränsningar i rätten att behandla uppgifter Rätten till behandling av personuppgifter är enligt artikel 26.1 i råds- beslutet begränsad på så sätt att behandling endast får ske för de syften för vilka uppgifterna har översänts i enlighet med beslutet. Vidarebe- handling är tillåten endast med förhandstillstånd från den stat som över- sänder uppgifterna. Enligt artikel 14.2 får de uppgifter som översänds i samband med ett större evenemang endast behandlas för att förebygga brott och upprätthålla ordningen vid det aktuella evenemanget. Av artikel 27 framgår att det endast är brottsbekämpande myndigheter som får han- tera översända uppgifter. I 3 § lagen om internationellt polisiärt samarbete finns en bestämmelse om skyldighet för svenska myndigheter att följa sådana villkor som har överenskommits med en främmande stat om hur uppgifter eller bevisning som har överlämnats från den andra staten får användas. Det innebär att svenska regler om hur myndigheter ska handla i olika avseenden, exem- pelvis förundersökningsplikt eller åtalsplikt, inte gäller i den utsträckning de strider mot villkoren i överenskommelsen med den andra staten. positionen Genomförande av delar av Prümrådsbeslutet uttalar regeringen att denna bestämmelse kan tillämpas på uppgifter som översänds till inom ramen för rådsbeslutet (prop. 2009/10:177 s. 12). Be- stämmelsen är tillämplig både för polisen och för när sist- nämnda myndighet medverkar i internationellt polisiärt samarbete. Svensk lagstiftning uppfyller därmed rådsbeslutets krav i denna del. I artikel 26.2 finns särskilda bestämmelser om rätten att behandla upp- gifter som översänds inom ramen för det automatiserade utbytet. Den sökande staten får enligt första stycket endast behandla de uppgifter den mottar för att fastställa om de jämförda DNA-profilerna eller fingerav- trycken överensstämmer, för att begära ut tillgängliga personuppgifter och ytterligare information med anknytning till de aktuella referensupp- gifterna och för registrering av uppgiftsutbytet. Enligt andra stycket i artikeln får den stat som administrerar uppgifterna behandla uppgifter som översänts endast om det är nödvändigt för att göra en jämförelse, svara på en automatisk sökning eller registrera uppgiftsutbytet. När jämförel- sen har avslutats eller den automatiska sökningen besvarats ska de översända uppgifterna utplånas, om de inte behöver behand- las ytterligare för att registrera sökningen. Eftersom artikel 26.2 gäller det automatiserade utbytet av DNA- profiler och fingeravtryck är den bara tillämplig på polisen. När det gäller begränsningar i hur uppgifterna får behandlas är som konstateras ovan 3 § lagen om internationellt polisiärt samarbete tillämplig och kraven i rådsbeslutet är därmed uppfyllda. När det gäller den omständigheten att de uppgifter som översänts ska utplånas gör regeringen föl- jande överväganden. Enligt 13 § i den nu gällande polisdatalagen ska personuppgifter gallras om de inte längre behövs för sitt ändamål. I 2 kap. 12 § i den nya polisdatalagen finns en liknande generell bestämmelse som anger att uppgifter inte får behandlas längre än vad som behövs för de i lagen angivna ändamålen. Därutöver finns särskilda gallringsregler, bl.a. för internationella register. I registret behandlas upp- gifter om det behövs för att ta emot och besvara ärenden som rör internationellt polissamarbete. Uppgifter i registret ska enligt 4 kap. 22 § gallras senast efter utgången av det kalenderår då ärendet i vilket uppgifterna behandlades avslutades. Med hänsyn till att det enligt den aktuella bestämmelsen i rådsbeslutet krävs att de översända uppgifterna ska utplånas när sökningen har besvarats eller jämförelsen avslutats behövs en särskild gallringsbestämmelse. Övriga gallringsbestämmelser i rådsbeslutet har genomförts i förordningen om internationellt polisiärt samarbete, och även den nu aktuella bestämmelsen bör införas där. I artikel 26.3 finns motsvarande bestämmelse för det automatiserade utbytet av fordonsuppgifter. När det gäller sökningar i andra staters fordonsregister är 3 § lagen om internationellt polisiärt samarbete tillämplig. Eftersom denna bestämmelse och gallringsbestäm- melserna i förordningen om internationellt polisiärt samarbete inte gäller för Transportstyrelsen måste särskilda bestämmelser införas som gäller de uppgifter som utländska kontaktställen översänder vid sökningar i det . Regleringen bör göras i förordning. Korrigering och bevarande av personuppgifter I rådsbeslutet finns flera bestämmelser som syftar till att säkerställa att uppgifter som utbyts är korrekta och aktuella. tagande stat är enligt artikel 28.1 i rådsbeslutet skyldiga att underrätta varandra om det visar sig att uppgifterna var felaktiga eller om de inte borde ha översänts. Uppgifterna ska då rättas eller utplånas av berörda Även i övriga fall ska översända uppgifter rättas om det framgår att de är felaktiga. I artikel 28.3 första stycket anges att översända per- sonuppgifter ska utplånas om de inte borde ha översänts eller mottagits. Även uppgifter som har översänts och mottagits korrekt ska i vissa fall I artikel 14.2 finns en särskild gallringsregel för uppgifter som har översänts i samband med större evenemang med gränsöverskridande Uppgifterna ska enligt denna bestämmelse utplånas när det syfte för vilket uppgifterna översändes har uppnåtts eller kan uppnås, dock senast . Enligt artikel 28.3 andra stycket ska uppgifter spärras i stället för att utplånas om det finns skäl att anta att en utplåning skulle skada den berörda personens intressen. person bestrider att personuppgifter är korrekta och det inte är möjligt att fastställa om så är fallet, kan uppgifterna enligt artikel 28.2 i stället mär- Märkning hindrar, i motsats till spärrning, inte att uppgifterna an- Bestämmelserna om underrättelseskyldighet, utplåning (gallring), spärr- ning och märkning har genomförts i 3 kap. 57 och 1112 §§ förord- ningen om internationellt polisiärt samarbete. När det gäller uppgifter som har överskridit den längsta tillåtna tiden för bevarande i artikel 28.3.b rör det sig om ett villkor som är känt redan vid översändandet och som därmed kan sägas utgöra ett villkor för att uppgifterna ska få använ- Svenska myndigheter är bundna av sådana villkor enligt 3 § lagen om internationellt polisiärt samarbete. Genom den föreslagna hänvis- ningen till lagen och förordningen om internationellt polisiärt samarbete i polisdatalagen och lagen om behandling av uppgifter i brotts- bekämpande verksamhet tydliggörs att bestämmelserna i förordningen om internationellt polisiärt samarbete har företräde framför bestämmel- serna om bl.a. gallring i respektive myndighets registerförfattning. Hur rådsbeslutets bestämmelser om rättelse ska genomföras behandlas i det följande. Transportstyrelsen ska som kontaktställe automatiskt besvara sökningar från utländska kontaktställen i det . kommer inte att motta några andra uppgifter än dem som används vid Som redovisas i föregående avsnitt ska dessa uppgifter enligt artikel 26.3 i princip utplånas så snart sökningen har besvarats, vilket bör regleras i förordning. Övriga bestämmelser om utplåning är inte tillämpliga på Transportstyrelsens behandling av personuppgifter. Däremot bör även Transportstyrelsen åläggas att underrätta berörda kontaktställen om de uppgifter som har översänts är felaktiga eller inte borde ha översänts. Eftersom bestämmelserna om underrättelseskyldighet i förordningen om internationellt polisiärt samarbete inte är tillämpliga på Transportstyrelsen får denna skyldighet regleras särskilt för denna myndighet, vilket bör ske i förordning. Av artikel 28.1 i rådsbeslutet framgår att felaktiga uppgifter eller uppgif- ter som inte borde ha översänts ska rättas eller utplånas. 31.1 ska enskild ha rätt att kräva sådana åtgärder och ha rätt till skade- I redovisningen av behovet av lagändringar i propositionen Genom- förandet av delar av Prümrådsbeslutet (prop. 2009/10:177 s. 15 och 17) nämns bl.a. bestämmelserna om rättelse och skadestånd i 28 respektive 48 §§ På motsvarande sätt som inom andra områden kan det inte uteslutas att personuppgifter som behandlas med stöd av de nya bestämmelserna i lagen om internationellt polisiärt samarbete vid en kontroll i efterhand visar sig vara behäftade med felaktigheter. För sådana fall bör den regist- rerade vara berättigad till rättelse och skadestånd under samma förutsätt- ningar som gäller för behandling som omfattas av personuppgiftslagen, enligt 28 och 48 §§ personuppgiftslagen. Med hänsyn till hur dessa regler är utformade bör en särskild hänvisning göras till dem i lagen om internationellt polisiärt samarbete för att de ska gälla för behandling som sker enligt bestämmelserna i den lagen och i tillhörande förordning (jfr 1997/98:97 s. 90). Även Transportstyrelsens behandling av person- uppgifter enligt Prümrådsbeslutet omfattas av personuppgiftslagens bes- tämmelser om rättelse och skadestånd. I 11 § lagen om vägtrafikregister anges att bestämmelserna ska gälla vid behandling av personuppgifter enligt den lagen och föreskrifter som meddelats i anslutning till den. För att det ska vara möjligt att kontrollera uppgiftsutbytet ska staterna enligt artikel 30.1 i rådsbeslutet registrera de uppgifter som översänds och mottas i samband med större evenemang. registreras: uppgift om skälet till översändandet, vilka uppgifter som översänts, datum för översändandet samt namn eller sifferbeteckning på det sökande organet och det organ som administrerar databasen. svarande registreringsskyldighet gäller för mottagna uppgifter. artikel 30.4 i rådsbeslutet ska de registrerade uppgifterna lagras och därefter utan dröjsmål utplånas. Av artikel 32 i rådsbeslutet framgår att den medlemsstat som tagit emot uppgifter på begäran ska ge den medlemsstat som har översänt uppgifter information om behandlingen av de översända uppgifterna och de resultat som erhållits. Registreringsskyldigheten har genomförts i 3 kap. 810 §§ förord- ningen om internationellt polisiärt samarbete. om behandlingen av översända uppgifter regleras i 3 kap. 12 § första stycket Registrerings- och informationsskyldigheten åvilar som kontaktställe och bestämmelserna berör därför Även det automatiserade uppgiftsutbytet som sker genom direktåt- komst ska enligt artikel 30.2 i rådsbeslutet registreras för att det ska vara möjligt att kontrollera hur de översända uppgifterna har behandlats. som ska registreras är uppgift om huruvida den automatiska sökningen eller jämförelsen har lett till träff eller inte, vilka uppgifter som har över- sänts och mottagits och exakt när detta skedde samt namn eller annan beteckning på det sökande organet och den som administrerar databasen. 2010/11:129 Det sökande kontaktstället ska dessutom registrera syftet med sökningen eller jämförelsen och vilken tjänsteman som har beslutat om den. Endast särskilt bemyndigade tjänstemän får utföra sökningar. Enligt promemorian åvilar registreringsskyldigheten både kontaktstäl- let och det organ som administrerar databasen. I artikel 30.2 b anges emellertid att varje medlemsstat ska garantera att varje översändande och mottagande av personuppgifter i det organ som administrerar data- basen och i det sökande organet registreras. Enligt regeringens mening bör denna skrivning tolkas som att ett utbyte av uppgifter ska registreras en gång i varje stat som deltar i utbytet. Eftersom uppgiftsutbytet enligt rådsbeslutet ska ske via kontaktställen är det kontaktstället som är regist- reringsskyldigt, både när kontaktstället söker i utländska register och när utländska kontaktställen söker i svenska register. I och med att både Riks- polisstyrelsen och Transportstyrelsen kommer att vara kontaktställe vid utbyte av fordonsuppgifter (se avsnitt 11.4.3) kommer registrerings- skyldighet att åvila båda myndigheterna. Som nämnts ovan har motsvarande registreringsskyldighet för det icke- automatiserade uppgiftsutbytet genomförts i förordningen om internatio- nellt polisiärt samarbete. Även registreringsskyldigheten för det automa- tiserade uppgiftsutbytet bör regleras i förordning. Enskildas rätt till information Enligt artikel 31.1 har en registrerad person rätt att på begäran informeras om de uppgifter om vederbörande som är eller har varit föremål för be- handling. De närmare formerna för information, däribland frågan i vilken utsträckning sekretess kan begränsa rätten till information, regleras nationellt. I 23 och 2527 §§ personuppgiftslagen finns generella bestämmelser om information till den registrerade. Enligt 26 § har berörda personer som huvudregel rätt att få information om de uppgifter som finns regist- rerade om dem. Var och en som ansöker om det har rätt att en gång gratis få information från den personuppgiftsansvarige om vilka per- sonuppgifter som har behandlats, varifrån de har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare uppgifterna lämnats. Rätten till information gäller dock enligt 27 § inte om uppgifterna omfattas av sekretess eller tystnadsplikt. Bestämmelserna är tillämpliga på behandling av personuppgifter i polisens verksamhet, eftersom det inte finns några särbestämmelser i den nu gällande polis- datalagen och den nya polisdatalagen innehåller en uttrycklig hänvisning till dem (2 kap. 2 § första stycket 5 i nya polisdatalagen). ska också tillämpa bestämmelserna (6 § första stycket 4 lagen om behandling av uppgifter i brottsbekämpande verksamhet). De är även tillämpliga på Transportstyrelsen, eftersom lagen om vägtrafikregister inte innehåller några avvikande bestämmelser. Eftersom rådsbeslutet medger att rätten till information begränsas i enlighet med nationell rätt behövs det inte några lagändringar i detta avseende. Tillsyn och rätten att överklaga Medlemsstaternas dataskyddsmyndigheter eller de rättsliga myndigheter- na i medlemsstaterna ska enligt artikel 30.5 i rådsbeslutet övervaka ut- bytet av personuppgifter ur ett rättsligt perspektiv. Var och en ska hos en sådan myndighet, i enlighet med nationell rätt, kunna ansöka om att få lagligheten av personuppgiftsbehandlingen granskad. Myndigheterna ska även genom stickprov kontrollera lagligheten. Den person som uppgif- terna berör ska vidare ha rätt att kräva att felaktiga uppgifter korrigeras och att uppgifter som har behandlats på ett otillbörligt sätt utplånas. Per- soner, vars rätt till dataskydd har kränkts, ska också enligt artikel 31.1 kunna överklaga till en domstol eller en oberoende dataskyddsmyndighet och ha möjlighet att kräva skadestånd eller annan ersättning. Förfarandet för att hävda dessa rättigheter och skälen till eventuella begränsningar följer nationell rätt i den stat där personen gör sina rättigheter gällande. Datainspektionen är tillsynsmyndighet enligt personuppgiftslagen med uppgift att bl.a. verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter (1 och 2 § förord- ningen [2007:975] med instruktion för Datainspektionen och 2 § person- uppgiftsförordningen [1998:1191]). Inspektionen granskar myndigheters behandling av personuppgifter, bl.a. efter anmälan av enskilda. Myndig- heten kan även, inom ramen för sin tillsyn, göra tillsynsbesök och egen- initierade granskningar. Denna tillsyn omfattar även den behandling av personuppgifter som sker i polisens verksamhet (den nu gällande polis- datalagen innehåller inga avvikande bestämmelser och bestämmelserna om tillsyn är enligt 2 kap. 2 § första stycket 11 i den nya polisdatalagen tillämpliga i polisens verksamhet), i brottsbekämpande verk- samhet (6 § första stycket 9 lagen om behandling av uppgifter i Tull- verkets brottsbekämpande verksamhet med hänvisning till 43 §, 45 § första stycket första meningen och 47 § personuppgiftslagen) och i Transportstyrelsens verksamhet (lagen om vägtrafikregister innehåller inga särbestämmelser om tillsyn). Eftersom 44 § och 45 § första stycket andra meningen personuppgiftslagen inte är tillämplig i brottsbekämpande verksamhet får tillsynsmyndigheten inte förbjuda behandling av personuppgifter i de fall man inte får in tillräckligt under- lag för tillsynen och inte heller förbjuda personuppgiftsbehandling som sker på ett olagligt sätt och där rättelse inte sker. Datainspektionen har, i ett särskilt yttrande över medverkan i uppgiftsutbytet, på- pekat att inspektionen bör ha samma tillsynsbefogenheter när det gäller medverkan i informationsutbyte enligt Prümrådsbeslutet som när det gäller polisen. Enligt regeringens mening utgör dessa befogen- heter inget krav enligt rådsbeslutet. Mot den bakgrunden och med hänsyn till att en ändring av Datainspektionens befogenheter att utöva tillsyn över personuppgiftsbehandling inte bör genomföras utan att frågan utreds närmare, bör frågan inte behandlas i detta lagstiftnings- ärende. Därutöver har till uppgift att granska Säkerhetspolisens behandling av uppgifter enligt polisdatalagen (1 § lagen [2007:980] om tillsyn över viss brottsbekämpande verksam- het). Det ingår i nämndens uppgifter att på begäran av enskild kontrollera bl.a. om han eller hon varit föremål för otillåten personuppgiftsbehand- Nämnden är skyldig att utföra kontrollen och att underrätta den enskilde som begärt kontrollen om att den har utförts. När den nya polisdatalagen träder i kraft kommer även den personupp- giftsbehandling som förekommer i öppna polisens brottsbekämpande verksamhet stå under tillsyn av både Datainspektionen och , se 2 kap. 6 § i den nya polisdatalagen och 1 § lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet i dess lydelse enligt SFS 2010:367. Datainspektionen har i 3 kap. 13 § förordningen om internationellt polisiärt samarbete utsetts till tillsynsmyndighet för den behandling av personuppgifter som sker enligt Prümrådsbeslutet. I 3 kap. 13 och 14 §§ samma förordning regleras de särskilda tillsynsuppgifter som Data- inspektionen har enligt rådsbeslutet (jfr artikel 30.5 andra stycket). Dessa bestämmelser bör även tillämpas på Transportstyrelsens behandling av personuppgifter enligt rådsbeslutet, vilket bör regleras på förordnings- nivå. Datainspektionen har efterfrågat ett tydliggörande av hur gränsen mellan Datainspektionens och Säkerhets- och integritetsskyddsnämndens verksamhet bör dras när det gäller personuppgiftsbehandling som sker med stöd av rådsbeslutet. I propositionen som föregick den nya polis- datalagen berörs gränsdragningen mellan myndigheterna generellt (prop. 2009/10:85 s. 274 f.). Att Datainspektionen har särskilda tillsynsupp- gifter för samarbetet enligt Prümrådsbeslutet påverkar inte Säkerhets- och integritetsskyddsnämndens kommande allmänna tillsynsansvar över polisens verksamhet som redogjorts för ovan. Det bör i det fortsatta författningsarbetet övervägas om detta behöver tydliggöras i förordning. Enligt 51 § personuppgiftslagen får tillsynsmyndighetens beslut enligt den lagen om annat än föreskrifter överklagas hos allmän förvaltnings- domstol. Säkerhets- och integritetsskyddsnämndens avgöranden får en- ligt 6 § lagen om tillsyn över viss brottsbekämpande verksamhet inte överklagas. Av 52 § personuppgiftslagen följer att en myndighets beslut om information och rättelse, underrättelse till tredje man samt upplys- ningar till allmänheten överklagas till förvaltningsdomstol. Dessa bes- tämmelser är tillämpliga på tillsyn och behandling av personuppgifter som sker med stöd av polisdatalagen, eftersom den nu gällande polisdata- lagen inte innehåller någon avvikande bestämmelse och den nya polis- datalagen innehåller en uttrycklig hänvisning till bestämmelserna (2 kap. 2 § första stycket 13). beslut om rättelse och om utlämnande av information får enligt 30 § lagen om behandling av uppgifter i Tull- verkets brottsbekämpande verksamhet överklagas hos allmän förvalt- ningsdomstol. Datainspektionen har, i ett särskilt yttrande över Tullver- kets medverkan i uppgiftsutbytet, ifrågasatt om inspektionens beslut i tillsynsärenden avseende personuppgiftsbehandling i den brottsbekämpande verksamheten kan överklagas, eftersom det inte finns någon hänvisning till 51 § personuppgiftslagen i lagen om behandling av uppgifter i brottsbekämpande verksamhet. Bestämmelsen i personuppgiftslagen om överklagande av tillsynsmyndighetens beslut måste dock anses tillämplig även när det gäller dessa tillsynsärenden, i och med att tillsynsmyndighetens befogenheter, som regleras i personuppgifts- lagen, är tillämpliga i brottsbekämpande verksamhet (6 § första stycket 9 lagen om behandling av uppgifter i brottsbekämpande verksamhet med hänvisning till 43 §, 45 § första stycket första meningen och 47 § personuppgiftslagen). När det gäller Transportstyrelsen följer det av 34 § lagen om vägtrafikregister att myndighetens beslut om rättelse eller information enligt personuppgiftslagen får överklagas till Förvaltningsrätten i om inte något annat följer av andra före- skrifter. Lagen om vägtrafikregister innehåller inga regler om överklagande av tillsynsmyndighetens beslut, varför 51 § personuppgiftslagen är tillämplig. I promemorian konstateras att svensk lagstiftning redan lever upp till kraven på tillgång till rättsmedel enligt och råds- beslutet. anser inte att kontrollen av informa- tionsutbytet är tillräcklig. Även och Datainspektionen har ifrågasatt promemorians bedömning bl.a. mot bakgrund av dom i målet Segerstedt- m.fl. mot . I det målet fann domstolen att varken Riks- dagens ombudsmän, , den dåvarande eller Datainspektionen, ens sammantagna, uppfyllde kravet på effektiva rättsmedel enligt artikel 13 i i fråga om Säkerhets- polisens registrering. dom var ett av huvudskälen till att inrättades. Regeringen gjorde i propositionen Godkännande av Prümrådsbeslutet bedömningen att svensk lagstiftning lever upp till kraven på tillgång till rättsmedel. I propositionen Genomförande av delar av Prümrådsbeslutet konstaterade regeringen att det mot bakgrund av Säkerhets- och inte- gritetsskyddsnämndens utökade mandat i den nya polisdatalagen inte krävdes några lagändringar för att leva upp till kraven på tillgång till rättsmedel. Det saknas skäl att göra någon annan bedömning i detta lag- stiftningsärende. Det faktum att även andra myndigheter förutom polisen i viss begränsad utsträckning kommer att utbyta uppgifter enligt råds- beslutet påverkar inte denna bedömning. Ändring i lagen om internationellt polisiärt Regeringens förslag: Användningsbegränsande villkor ska kunna ställas upp i förhållande till andra stater än medlemsstater i Europeiska unionen samt , och . Promemorian har inte lämnat något förslag i denna del. Remissinstanserna har inte yttrat sig över förslaget. Skälen för regeringens förslag: I 3 § lagen (2000:343) om internatio- nellt polisiärt samarbete finns en bestämmelse om skyldighet för svenska myndigheter att följa sådana villkor som har överenskommits med främ- mande stat om hur uppgifter eller bevisning som har överlämnats från den andra staten får användas. Genom propositionen Genomförande av delar av Prümrådsbeslutet (prop. 2009/10:177) infördes i 3 a § samma lag en motsvarande möjlighet för svenska myndigheter att ställa upp an- vändningsbegränsande villkor när uppgifter eller bevisning lämnas till en annan stat eller mellanfolklig organisation. Lagen om internationellt polisiärt samarbete tillämpas enligt 1 § första stycket på polisiärt samarbete mellan och andra medlemsstater i Europeiska unionen samt , och .