prop · GZ0345 · 2011-12-06 00:00:00 — 14 § Regeringen meddelar föreskrifter om att vissa kategorier av personuppgifter får bevaras än vad som anges i 13 §. Regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om att personuppgifter, med undantag från 13 §, får bevaras för historiska, statistiska eller vetenskapliga ändamål. 5 kap. Behandling av personuppgifter i annan operativ verksamhet Ändamål och gemensamt tillgängliga uppgifter 1 § Personuppgifter får behandlas i annan operativ verksamhet än den brottsbekämpande om det behövs för att 1.bedriva sjöövervakning för att övervaka den allmänna ordningen och säkerheten till sjöss samt bedriva den kontroll och tillsyn som är skyldig att utföra, 3.samordna civila behov av sjöövervakning och förmedla civil sjöinformation till berörda myndigheter, 4.utreda och besluta i ärenden om vattenföroreningsavgift samt ta emot sådana avgifter, eller 5.fullgöra skyldigheter inom ramen för internationellt samarbete med sjöövervakning och räddningstjänst. Personuppgifter som får behandlas enligt första stycket får göras gemensamt tillgängliga. 2 § Personuppgifter som behandlas enligt 1 § får även behandlas om det är nödvändigt för att tillhandahålla information som behövs i 1.Kustbevakningens brottsbekämpande verksamhet, 2.en annan myndighets verksamhet a)om enligt lag eller förordning är skyldig att bistå myndigheten med viss uppgift, eller b)om informationen tillhandahålls inom ramen för myndighetsöverskridande samverkan, och 3. likartad verksamhet hos en utländsk myndighet. Personuppgifter som behandlas enligt 1 § får även behandlas om det är nödvändigt för att tillhandahålla information till och regeringen samt, i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning, till annan. I ett enskilt fall får personuppgifter som behandlas enligt 1 § även behandlas för att tillhandahålla information för något annat ändamål än de som anges i första och andra styckena, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in. 3 § Uppstår misstanke om brott eller brottslig verksamhet när personuppgifter behandlas i verksamhet enligt 1 §, tillämpas 3 och 4 kap. 4 § Vid sökning i personuppgifter får uppgifter som avses i 2 kap. 7 § första stycket inte användas som sökbegrepp. Första stycket hindrar inte att uppgifter som beskriver en persons utseende används som sökbegrepp. 5 § Regeringen meddelar föreskrifter om vilka svenska myndigheter som får ha direktåtkomst till personuppgifter som behandlas med stöd av 1 §. Direktåtkomsten får endast avse personuppgifter som har gjorts gemen- Direktåtkomsten får inte avse personuppgifter som anges i 2 kap. 7 § första stycket. En myndighet som medgetts direktåt- komst ansvarar för att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen meddelar föreskrifter om att utländska myndigheter får ha direktåtkomst till personuppgifter som behandlas med stöd av 1 §. rektåtkomsten får endast avse personuppgifter som har gjorts gemensamt Direktåtkomsten får inte avse personuppgifter som anges i 2 kap. 7 § första stycket. Regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om omfattningen av direktåtkomsten samt om behörighet och 6 § Regeringen meddelar föreskrifter om i vilken utsträckning person- uppgifter får lämnas ut till svenska och utländska myndigheter. Bestämmelser om att uppgifter får lämnas ut finns även i offentlighets- och sekretesslagen (2009:400). 7 § Personuppgifter som behandlas automatiserat ska gallras så snart uppgifterna inte längre behövs för det ändamål för vilket de behandlas, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om att gallring ska ske senast eller att uppgifter får bevaras för historiska, statistiska eller vetenskapliga Regeringen meddelar föreskrifter om digital arkivering. Denna lag träder i kraft . 2.2Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400) Härigenom föreskrivs att 18 kap. 2 § och 35 kap. 10 § offentlighets- och sekretesslagen (2009:400) ska ha följande lydelse. Lydelse enligt SFS 2010:369 Sekretess gäller för uppgift som hänför sig till sådan verksamhet som avses i 2 kap. 7 § 1 eller 5 kap. 1 § 1 polisdatalagen (2010:361), om det inte står klart att uppgiften kan röjas utan att syftet med beslutade eller förutsedda åtgärder motverkas eller den framtida verksamheten skadas. Sekretess gäller, under motsvarande förutsättningar som anges i första stycket, för uppgift som hänför sig till het som avses i 2 § lagen het som avses i 2 § lagen (1999:90) om behandling av per- (1999:90) om behandling av per- medverkan i brottsutredningar, 2. sådan verksamhet som avses i 2. sådan verksamhet som avses i 7 § 1 lagen (2005:787) om be- 7 § 1 lagen (2005:787) om be- handling av uppgifter i handling av uppgifter i 3. sådan verksamhet som avses i 3 kap. 2 § 1 kustbevakningsdata- lagen (2011:000). Sekretess enligt första stycket gäller inte för uppgift som hänför sig till verksamhet hos och som har förts in i en allmän handling . För uppgift i en allmän handling gäller sekretessen i högst . Sekretessen enligt 1 § hindrar inte att en uppgift lämnas ut 1.till en enskild enligt vad som föreskrivs i lagen (1964:167) med särskilda bestämmelser om unga lagöverträdare, 2.till en enskild enligt vad som föreskrivs i säkerhetsskyddslagen (1996:627) samt i förordning som har meddelats med stöd i den lagen, 3.enligt vad som föreskrivs i lagen (1998:621) om misstankeregister, polisdatalagen (2010:361), lagen (1999:90) om behandling av personuppgifter vid medverkan i brottsutredningar, lagen (2005:787) om behandling av uppgifter i brotts- Prop. 2011/12:45 bekämpande verksamhet, kustbevakningsdatalagen (2011:000), förordningar som har stöd i dessa lagar, eller 4. till en enskild enligt vad som föreskrivs i 27 kap. 8 § . Denna lag träder i kraft . Förslag till lag om ändring i lagen (2000:343) om Härigenom föreskrivs att 1 a § lagen (2000:343) om internationellt polisiärt samarbete (2000:343) ska ha följande lydelse. Lydelse enligt SFS 2011:905 Polisdatalagen (2010:361) gäller för polisens behandling av personuppgifter vid internationellt polisiärt samarbete, om inte annat följer av denna lag eller föreskrifter som regeringen har meddelat i anslutning till denna. Lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet gäller för behandling av personuppgifter vid internationellt polisiärt samarbete, om inte annat följer av denna lag eller föreskrifter som regeringen har meddelat i anslutning till denna. Kustbevakningsdatalagen (2011:000) gäller för behandling av personuppgifter vid internationellt polisiärt samarbete, om inte annat följer av denna lag eller föreskrifter som regeringen har meddelat i anslutning till denna. Denna lag träder i kraft . Ärendet och dess beredning Regeringen beslutade att tillkalla en särskild utredare för att se över regleringen av behandling av personuppgifter i verksamhet och föreslå en författningsreglering. I uppdraget ingick att kartlägga behandlingen av personuppgifter och analysera behovet av särskilda bestämmelser. Utgångspunkten för uppdraget var att verksamhet ska kunna bedrivas effektivt med rationellt datorstöd som nödvändig respekt visas för enskildas personliga integritet. Utredningen, som antog namnet Utredningen om personuppgiftsbehandling, överlämnade betänkandet personuppgiftsbehandling, Integritet Effektivitet (SOU 2006:18). En sammanfattning av betänkandet finns i bilaga 1. Utredningens lagförslag finns i bilaga 2. Betänkandet har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. En sammanställning över remissyttrandena finns tillgänglig i Försvarsdepartementet (dnr Fö2006/618/RS). Sedan betänkandet remissbehandlats bedömdes att den fortsatta beredningen av förslaget skulle samordnas med beredningen av förslag Behandling av personuppgifter i polisens verksamhet (SOU 2001:92). Under den fortsatta beredningen i det ärendet framkom att förslag behövde ändras och kompletteras i olika avseenden. () utarbetades därför departementspromemorian Behandling av personuppgifter i polisens brottsbekämpande verksamhet (Ds 2007:43). I promemorian togs vissa principiella överväganden om regleringen av personuppgiftsbehandling upp, i syfte att åstadkomma en mer enhetlig reglering av förutsättningarna för personuppgiftsbehandling hos brottsbekämpande myndigheter. Promemorian innehåller dock inga lagförslag om personuppgiftsbehandling. Den del av promemorian som rör vilka grundläggande principer som föreslås gälla för i dess brottsbekämpande verksamhet finns i bilaga 4. Promemorian har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 5. Remissvaren och remissammanställningen finns tillgängliga i (dnr Ju2007/9805/PO). Det förslag till polisdatalag som lades fram i propositionen Integritet och effektivitet i polisens brottsbekämpande verksamhet, prop. 2009/10:85, medförde behov av att ändra och komplettera förslaget till den lag om behandling av personuppgifter i verksamhet som föreslagits i SOU 2006:18. Det bedömdes nödvändigt att nå enhetlighet i personuppgiftsbehandlingen i myndigheternas brottsbekämpande verksamheter och tydligare reglera vad som bör gälla i annan operativ verksamhet hos . Ändringarna och kompletteringarna bedömdes vara av sådan art att ett nytt underlag skulle tas fram och remitteras. Departementspromemorian Kustbevakningsdatalag (Ds 2011:16) utarbetades därför inom (Försvarsdepartementet), med förslagen i SOU 2006:18 som utgångspunkt. fattning av promemorian finns i bilaga 6, och dess lagförslag i bilaga 7. Promemorian har remissbehandlats. En förteckning över remissinstan- Prop. 2011/12:45 serna finns i bilaga 8. Remissvaren och remissammanställningen finns tillgängliga i Försvarsdepartementet (dnr Fö2011/760/RS). Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 9. Lagrådets yttrande finns i bilaga 10. Lagrådet har i allt väsentligt godtagit förslagen men också föreslagit vissa ändringar. Regeringens lagförslag har i huvudsak utformats i enlighet med vad Lagrådet har förordat. Lagrådets synpunkter behandlas i avsnitten 8.1, 9.1, 9.9 och 10.1 samt i författningskommentaren. Vidare har vissa språkliga och redaktionella ändringar gjorts. 4Gällande rätt och internationella överenskommelser Grundläggande bestämmelser till skydd för den personliga integriteten finns i regeringsformen. I målsättningsstadgandet i 1 kap. 2 § första stycket slås det fast att den offentliga makten ska utövas med respekt bl.a. för den enskilda människans frihet och i fjärde stycket anges bl.a. att det allmänna ska värna den enskildes privatliv och familjeliv. Av 2 kap. 6 § andra stycket regeringsformen följer vidare att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (prop. 2009/10:80, bet. 2009/10:KU19 och 2010/11:KU4, rskr. 2010/11:130). Begränsningar i denna rättighet får göras endast i lag i den ordning som föreskrivs i 2 kap. 21 och 22 §§ regeringsformen. Vidare följer av 2 kap. 19 § regeringsformen att lag eller annan föreskrift inte får meddelas i strid med åtaganden på grund av den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, förkortad . gäller som lag i (se närmare avsnitt 4.2.1). Personuppgiftslagen (1998:204) har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Lagen trädde i kraft . Genom lagen genomfördes och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 23.11.1995, s. 31, Celex 31995L0046) förkortat dataskyddsdirektivet, i svensk rätt. Personuppgiftslagen är tillämplig om det inte i någon annan lag eller i en förordning har meddelats avvikande bestämmelser. Då gäller dessa. Direktivet omfattar däremot inte all personuppgiftsbehandling. Verksamhet som rör allmän säkerhet, försvar, statens säkerhet och sta- tens verksamhet på straffrättens område omfattas till exempel inte. 2011/12:45 sonuppgiftslagen innehåller dock inte något undantag för dessa områden. har det utöver personuppgiftslagen utarbetats en stor mängd specialförfattningar med bestämmelser om behandling av personuppgifter, däribland förordningen (2003:188) om behandling av personuppgifter inom . Detta avsnitt innehåller en beskrivning av gällande rätt och en redogörelse för aktuella internationella överenskommelser och rekommendationer på dataskyddsområdet. Dessa instrument utgör en utgångspunkt för en ny reglering gällande behandlingen av personuppgifter i verksamhet och respekten för och medvetenheten om dessa rättigheter ska vara tydlig i denna verksamhet. Vidare redovisas ett antal antagna beslut inom Europeiska unionen (EU) som rör informationsutbyte mellan medlemsstaterna. Redovisningen fokuserar på överenskommelser som har bäring på personuppgiftsbehandling inom verksamhet. 4.2Internationella överenskommelser och personuppgiftslagen 4.2.1 och om medborgerliga och politiska rättigheter antog () den allmänna förklaringen om de De rättigheter som räknas upp i förklaringen har därefter vidareutvecklats bl.a. i och FN:s konvention om medborgerliga och politiska rättigheter . Enligt artikel 8 i har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. myndighet får inte inskränka åtnjutandet av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekono- miska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Såvitt gäller laglighetskriteriet krävs bl.a. att den nationella rättighets- inskränkande författningen uppfyller vissa minimikrav i fråga om kvali- tet och tydlighet. Reglerna ska vara tillräckligt tydliga för att tillämp- ningen ska vara förutsebar och den ska vara allmänt tillgänglig. att ett ingripande ska vara nödvändigt i ett demokratiskt samhälle innebär att det ska föreligga ett angeläget samhälleligt behov av åtgärden i I det ligger bl.a. en begränsning som innebär att åtgärden inte får gå längre än vad som är erforderligt med beaktande av proportionalitets- principen, dvs. den ska stå i rimlig relation till det intresse åtgärden är avsedd att tillgodose. Vid denna avvägning har staterna ett visst hand- lingsutrymme att inom rimliga gränser avgöra vilka åtgärder som kan anses nödvändiga för att tillgodose det eftersträvade ändamålet. I artikel 13 i föreskrivs att var och en, vars i kon- ventionen angivna fri- och rättigheter kränkts, ska ha tillgång till ett ef- fektivt rättsmedel inför en nationell myndighet. Detta gäller även om kränkningen förövats av någon under utövning av offentlig myndighet. Innebörden av artikeln är att den enskilde ska ha tillgång till en nationell Prop. 2011/12:45 instans för att kunna få saken prövad och kunna få rättelse. kan utföras av domstol, men något krav på domstolsprövning uppställs inte. Prövning av en stats regering eller av en förvaltningsmyndighet kan vara tillräckligt för att uppfylla konventionens krav på tillgång till ett effektivt rättsmedel. Även i FN:s konvention om medborgerliga och politiska rättigheter finns en bestämmelse till skydd mot godtyckligt eller olagligt ingripande i någons privat- och familjeliv (artikel 17). 4.2.2Europeiska unionens stadga om de grundläggande rättigheterna Lissabonfördraget innebär att Europeiska unionens stadga om de grundläggande rättigheterna, tillkännagiven av parlamentet, rådet och kommissionen och anpassad , är rättsligt bindande. En referens till stadgan har införts i artikel 6.1 i det ändrade (prop. 2007/08:168 s. 58). I stadgan bekräftas de rättigheter som har sin grund i medlemsstaternas gemensamma författningstraditioner och internationella förpliktelser, , unionens och sociala stadgor samt rättspraxis vid Europeiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna. Stadgans syfte är att kodifiera de grundläggande fri- och rättigheter som EU redan erkänner. I stadgans artikel 7 föreskrivs, efter förebild i artikel 8 i , att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sin korrespondens. I artikel 8 i stadgan föreskrivs vidare att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Personuppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få dem rättade. En oberoende myndighet ska kontrollera att reglerna efterlevs. Av artikel 51 i stadgan följer att den riktar sig till verksamhet som utförs av EU:s egna organ och institutioner och att den blir tillämplig för medlemsstaterna endast i de fall där de tillämpar . När det gäller de garanterade rättigheternas räckvidd följer av artikel 52 i stadgan att varje begränsning i utövningen av de rättigheter och friheter som erkänns i stadgan ska vara föreskriven i lag och vara förenlig med proportionalitetsprincipen och det väsentliga innehållet i fri- och rättigheterna. I den mån rättigheterna i stadgan motsvarar rättigheter som skyddas av ska de ha samma innebörd och räckvidd som enligt konventionen. Stadgans artiklar får inte tolkas som att de inskränker eller inkräktar på rättigheter enligt andra konventioner eller överenskommelser om fri- och rättigheter. Reglering om automatiserad behandling av personuppgifter finns i bl.a. konvention om skydd för enskilda vid automatisk databehandling av personuppgifter, förkortad dataskyddskonventionen. Dataskyddskonventionen trädde i kraft . Samtliga medlemsstater i EU har ratificerat konventionen. Dataskyddskonventionens innehåll kan ses som en precisering av skyddet vid användning av automatiserad behandling av personuppgifter enligt artikel 8 i . Dataskyddskonventionens syfte är att säkerställa den enskildes rätt till personlig integritet i samband med automatiserad behandling av personuppgifter. Dataskyddskonventionen innehåller principer för dataskydd som de konventionsanslutna staterna måste iaktta i sin nationella lagstiftning. Personuppgifter som är föremål för automatiserad behandling ska samlas in och behandlas på ett korrekt sätt för särskilt angivna ändamål. Vidare måste uppgifterna vara relevanta för ändamålen med behandlingen och får inte senare användas på ett sätt som är oförenligt med dessa. Uppgifterna måste också vara riktiga och aktuella och de får inte bevaras längre än vad som är nödvändigt för ändamålen. Vissa kategorier av personuppgifter får, enligt konventionen, behandlas endast om den nationella lagstiftningen ger ett ändamålsenligt skydd. Till sådana personuppgifter hör uppgifter som avslöjar ras, politisk tillhörighet, religiös tro eller övertygelse i övrigt, sexualliv samt uppgifter om brott. För att skydda personuppgifter mot bl.a. oavsiktlig eller otillåten förstörelse föreskriver konventionen att lämpliga skyddsåtgärder ska vidtas. Vidare föreskrivs att den registrerade bl.a. ska ha möjlighet till insyn i register och till att få uppgifter rättade. Under vissa förutsättningar får undantag göras från bestämmelserna i konventionen bl.a. i fråga om uppgifternas beskaffenhet och rätten till insyn. Sådana inskränkningar förutsätter, enligt konventionen, stöd i den nationella lagstiftningen och att inskränkningen är nödvändig i ett demokratiskt samhälle för vissa angivna ändamål, t.ex. statens ekonomiska intressen och brottsbekämpning, samt för att skydda enskildas fri- och rättigheter. Dataskyddskonventionens roll som riktmärke för automatiserad behandling av personuppgifter inom Europeiska unionen har emellertid i princip övertagits av dataskyddsdirektivet inom dess tillämpningsområde i och med att detta har införlivats i medlemsstaternas nationella lagstiftningar. Direktivet omfattar dock inte behandling av personuppgifter inom områden som allmän säkerhet, försvar och statens säkerhet. På dessa områden är dataskyddskonventionen således fortfarande av betydelse. antog ett tilläggsprotokoll till dataskyddskonventionen. Det innehåller bestämmelser om tillsynsmyndigheter och överföring av personuppgifter till länder som inte är bundna av konventionen. Tilläggsprotokollet trädde i kraft . Internationella riktlinjer i fråga om integritetsskydd och persondataflöde över gränserna har även utarbetats inom och utveckling (). Ett antal internationella organisationer och företag har antagit egna regler om dataskydd som bygger på riktlinjer. Riktlinjerna motsvarar i princip de bestämmelser som finns i dataskyddskonventionen. Dataskyddsdirektivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter och att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Medlemsstaterna får inom den ram som anges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Sådana preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. Direktivet gäller inte för sådan behandling av personuppgifter som rör allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Direktivet omfattar således inte statens behandling av personuppgifter i brottsbekämpande verksamhet. Dataskyddsdirektivet är endast tillämpligt på behandling av uppgifter om fysiska personer och berör således inte skyddet för juridiska personer. Direktivet omfattar inte bara automatiserad behandling, utan också behandling av personuppgifter som ingår eller kommer att ingå i ett register. Dataskyddsdirektivet omfattar inte behandling av personuppgifter för privat bruk. Enligt dataskyddsdirektivet måste all behandling av personuppgifter vara laglig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Ändamålen ska vara uttryckligt angivna vid tiden för insamling av uppgifterna. De ändamål för vilka uppgifterna senare behandlas får inte vara oförenliga med de ursprungliga ändamålen. Personuppgifter får enligt direktivet behandlas bara i vissa fall. Här kan nämnas att uppgifter får behandlas i första hand efter att den registrerade otvetydigt har lämnat sitt samtycke, men också om det är nödvändigt för att fullgöra en rättslig förpliktelse som åligger den registeransvarige eller för att utföra en arbetsuppgift som antingen är av allmänt intresse eller utgör ett led i myndighetsutövning. Personuppgifter får även behandlas om intresset av att den registeransvarige får behandla uppgifterna överväger den registrerades intresse av att de inte behandlas. Vissa särskilda i direktivet angivna kategorier av uppgifter får som huvudregel inte behandlas. Det gäller uppgifter som avslöjar den enskildes ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. Enligt direktivet får dock behandling av sådana uppgifter ske i vissa undantagsfall, bl.a. med uttryckligt samtycke av den registrerade. Medlemsländerna får vidare under förutsättning att lämpliga skyddsåtgärder införs och av hänsyn till ett viktigt allmänt intresse besluta om undantag från förbudet. Dataskyddsdirektivet föreskriver att den registeransvarige ska informera den registrerade om att personuppgifter är föremål för behandling och därvid redogöra för ändamålet med behandlingen.