sou · GZB320 · 2011-03-15 00:00:00 — Dataskydd vid europeiskt plisiärt straffrättsligt samarbete Dataskydd vid europeiskt polisiärt och straffrättsligt samarbete Dataskyddsrambeslutet, Europolanställdas befattning med hemliga uppgifter Delbetänkande av Utredningen om informations- utbyte vid brottsbekämpning m.m. SOU och Ds kan köpas från kundtjänst. För remissutsändningar av SOU och Ds svarar på uppdrag av . Beställningsadress: kundtjänst 106 47 Orderfax: Ordertel: E-post: Internet: Svara på remiss. Hur och varför. Statsrådsberedningen (SB PM 2003:2, reviderad ) – En liten broschyr som underlättar arbetet för den som ska svara på remiss. Broschyren är gratis och kan laddas ner eller beställas på Textbearbetning och layout har utförts av , FA/kommittéservice. Till statsrådet och chefen för Regeringen beslutade att tillkalla en särskild utredare för att dels göra en analys av hur svensk rätt förhåller sig till bestämmelserna i rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (data- skyddsrambeslutet) och utarbeta nödvändiga författningsförslag för att ska leva upp till bestämmelserna i rambeslutet, dels analysera om det finns behov av särskilda regler om Europol- anställdas befattning med hemliga uppgifter för att ska leva upp till bestämmelserna i beslut /371/RIF av om inrättande av Europeiska polisbyrån, Europol (Europolrådsbeslutet) och vid behov utarbeta nödvändiga författningsförslag. förordnades kammarrättslagmannen som särskild utredare. Som experter att biträda utredningen förordnades rättsliga experten , , rådmannen , Förvaltningsrätten i , Kriminalvården, biträdande enhetschefen Förvaltningsrätten i , t.f. chefsjuristen , , juristen , , rättssakkunniga , , numera chefsjuristen , , ämnesrådet , , och chefsåklagaren , . förordnades vidare som experter att biträda utredningen verksjuristen , , rättssakkunniga , Justitie- departementet, verksjuristen , , rättslige experten , , stabsjuristen , , biträdande chefsjuristen , Säkerhetspolisen och verksjuristen , . förordnades också chefsjuristen , Datainspektionen, som expert att biträda utredningen. Ingen av de experter som förordnades eller har deltagit i arbetet med utredningens delbetänkande (se nedan). Som sekreterare anställdes kammarrättsassessorn . Regeringen beslutade om en utvidgning av och förlängd tid för uppdraget, varvid den särskilde utredaren gavs i uppdrag att – utöver det som omfattas av de ursprungliga direktiven – även se över de regler om sekretess och utbyte av information mellan myndigheter som gäller när myndigheterna samverkar i bekämpningen av grov organiserad brottslighet. Enligt tilläggsdirektiven beslutades att uppdraget skulle redovisas , i stället för den ursprungligen angivna tidpunkten . Den särskilde utredaren gavs dock frihet att välja att redovisa någon del av utredningen särskilt. Utredningen har antagit namnet Utredningen om informations- utbyte vid brottsbekämpning m.m. (Ju 2010:02). Utredningen överlämnar härmed delbetänkandet DATASKYDD VID EUROPEISKT POLISIÄRT OCH STRAFFRÄTTSLIGT SAMARBETE Dataskyddsrambeslutet, Europolanställdas befattning med hemliga uppgifter (SOU 2011:20). Arbetet har bedrivits i nära samråd med berörda experter. Betänkandet är därför skrivet i vi-form. Arbetet fortsätter nu med tilläggsdirektiven. Utredningens uppdrag och arbete ................................ BAKGRUNDEN TILL VÅRA FÖRSLAG Övergripande rättslig reglering av behandling av 2.4.2 Bestämmelser om när personuppgifter får 2.4.3 Information och rättelse m.m...................................... 2.4.5 Överföring av personuppgifter till tredje land............ Medlemsländernas nationella lagstiftning................... 2.6Europeiska unionens stadga om de grundläggande Personuppgiftslagen (1998:204).............................................. 2.7.1 Allmänt om lagen och dess tillämpningsområde ........ 2.7.2 Förutsättningar för behandling av 2.7.3 Information och rättelse m.m. ..................................... Säkerhet vid behandlingen............................................ 2.7.5 Överföring av personuppgifter till tredje land............ Datainspektionen som tillsynsmyndighet................... 2.7.7 Upplysningar till allmänheten om behandlingar som inte anmälts ........................................................... Allmänt om dataskyddsrambeslutet .............................. Dataskyddsrambeslutets inledande delar................................ 3.2Kortfattat om innehållet i dataskyddsrambeslutets olika Godkännande av dataskyddsrambeslutet i ................. Behandling av personuppgifter i brottsbekämpande 4.1Svenska myndigheter som påverkas av 4.2Behandling av personuppgifter vid brottsbekämpande 4.3Behandling av personuppgifter vid andra myndigheter i 5 Lagstiftning om internationellt samarbete ................... 5.1Allmänt om författningar om internationellt samarbete i Närmare om regler för användningsbegränsningar ............. Lagstiftning om samarbete i den brottsbekämpande 5.3.1 Lagen (2000:343) om internationellt polisiärt 5.3.2 Lagen (2003:1174) om vissa former av internationellt samarbete i brottsutredningar........... 5.3.3 Lagen (2000:344) om Schengens 5.3.4 Förordningen (2008:1396) om förenklat informations- och underrättelseutbyte mellan brottsbekämpande myndigheter i Europeiska Lagstiftning om internationellt tullsamarbete ..................... Lagstiftning om internationellt rättsligt samarbete............. 5.6Lagstiftning om samarbete i fråga om verkställighet av Samarbete rörande kriminalvård i frihet............................... Samarbetet med vissa internationella organ ......................... Specifikt angående olika myndigheter.................................. 5.9.6 Allmänna domstolar och allmänna Vårt uppdrag i denna del........................................................ Allmänt om sekretess och tystnadsplikt............................... Sekretess i brottsbekämpande verksamhet ........................... 6.3.1 Sekretess till skydd för brottsbekämpningen 6.3.2 Sekretess för vissa register.......................................... 6.3.3 Sekretess vid handläggning i domstol........................ 6.3.4 Sekretess för verkställighet av straffrättsliga 6.3.5 Sekretess för personuppgifter ................................... 6.3.6 Utlämnande av sekretessbelagda uppgifter .............. 6.4Särskilda sekretessåtgärder på grund av internationella 6.4.1 Allmänt om behovet av särskilda sekretessåtgärder vid internationellt samarbete ........ 6.4.2 Sekretessåtaganden och internationella avtal ............ 6.4.4 Exempel på andra internationella avtalsformer......... 6.4.5Tillämpning av offentlighets- och sekretesslagen (2009:400) vid internationella förbindelser utan att särskilda åtgärder vidtas ........................................ 6.4.6Särskilda bestämmelser i offentlighets- och sekretesslagen (2009:400) med anledning av 6.4.7 Särskilt sekretessförordnande i domstol ................... 6.4.8 Rättslig hjälp som avser förundersökning m.m. ....... 6.5 Särskilda sekretessbestämmelser i andra lagar ...................... 6.5.1 Lagen (2000:343) om internationellt polisiärt samarbete och lagen (2000:562) om internationell rättslig hjälp i brottmål ............................................... 6.5.2 Lagen (2000:344) om Schengens 6.5.3 Lagen (2000:1219) om internationellt 6.6 Övrig gällande rätt inom området......................................... Tystnadsplikt i registerförfattningar.......................... Regler om informationssäkerhet................................ 7 Övergripande frågeställningar .................................... 7.1Utgångspunkter för vårt arbete med Lag, förordning eller myndighetsföreskrifter ...................... Dataskyddsrambeslutets tillämpningsområde m.m....... Allmänt om dataskyddsrambeslutets syfte och 8.2.1 Syftet med dataskyddsrambeslutet............................ 8.2.2 Skydd enbart för fysiska personer? 8.2.3 Enbart personuppgifter som förts över eller har gjorts tillgängliga?....................................................... 8.2.4 Behandling av personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder .............................. 8.2.5 Personuppgifter som gjorts tillgängliga av eller för myndighet eller informationssystem som 8.2.6 Behandling av personuppgifter som utförs helt eller delvis automatiserat och som ingår i eller är avsedda att ingå i register ........................................... 8.3Verksamhet som undantas från dataskyddsrambeslutets 8.3.1 Frågor rörande nationell säkerhet ............................. 8.3.2 Övriga undantag ......................................................... Definitioner i dataskyddsrambeslutet .................................. Definitioner i dataskyddsdirektivet och Övergripande jämförelse mellan definitionerna................... Närmare jämförelse av vissa begrepp .................................... Blockering/Spärrande ................................................. Den registrerades samtycke........................................ 10.4.1 Ändamålsbestämning och finalitetsprincipen ........... 10.5.2 Primära och sekundära ändamål................................. 10.5.8 Allmänna domstolar och allmänna 10.6.1 Nya ändamålsbestämmelser ....................................... Behandling av känsliga uppgifter i svensk rätt...................... 11.3.1 Personuppgiftslagen (1998:204) ................................ Ändringar i personuppgiftslagen?......................................... 11.4.2 Närmare om begreppsanvändningen......................... Ändringar i registerförfattningarna ...................................... 11.5.1 Allmänt om kompletteringar ..................................... 11.5.2 Språkliga justeringar ................................................... 11.5.3 Närmare om behandling av känsliga personuppgifter vid handläggning av mål och ärenden samt vid diarieföring..................................... Allmänt om dataskyddsrambeslutet ..................................... 12.2.1 Begränsning av vårt uppdrag...................................... 12.2.2 Märkning av uppgifter................................................ Vad innebär användningsbegränsningar? 12.3.1 Svensk rätt – användningsbegränsningar i författningar om internationellt samarbete............... 12.3.2 Reglering av utlämnande av uppgifter ....................... 12.3.3 Utlämnande med stöd av handlingsoffentligheten... 12.3.4 Offentlighets- och sekretesslagens påverkan av 12.3.5 Ny lag om användningsbegränsningar vid behandling av personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska Vidarebehandling – gemensamma bestämmelser................. 12.5Behandling av personuppgifter som har överförts från eller gjorts tillgängliga av en annan medlemsstat (artikel 11).............................................................................. 12.5.1 Allmänt innehåll ......................................................... 12.5.2 Artikel 11 a) ................................................................ 12.5.3 Artikel 11 b)................................................................ 12.5.4 Artikel 11 c) ................................................................ 12.5.5 Artikel 11 d)................................................................ 12.6Vidarebehandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål (artikel 3 sista stycket och artikel 11 sista stycket) .......................................................... Iakttagande av nationella restriktioner för behandling av uppgifter (artikel 12).............................................................. Överföring till behöriga myndigheter i tredjestater eller till internationella organ (artikel 13)..................................... 12.8.1 Allmänt om artikel 13................................................. 12.8.2 Jämförelse med svensk rätt......................................... 12.8.3 Närmare om vissa begrepp i artikel 13....................... Överföring till privata parter i medlemsstaterna (artikel 14) .............................................................................. 12.10 Skyldighet att iaktta överförande stats gallringsfrister (artikel 9) .............................................................................. Rätt till information .................................................. Registrerade personers rätt till information ......................... 13.1.3 Personuppgiftslagen (1998:204) ................................ 13.1.4 Jämförelse mellan EU-bestämmelser och 13.1.5 Närmare om artikel 16.2 i dataskyddsrambeslutet ... Rättelse, tillsyn, skadestånd, sanktioner och 14.1.3 Personuppgiftslagen (1998:204) ................................ 14.1.4 Val av metod för korrigering av uppgifter................. 14.1.5 Jämförelse mellan EU-rätt och svensk rätt ............... 14.1.6 Särskilt om vissa förordningar i svensk rätt .............. 14.2.3 Personuppgiftslagen (1998:204)................................ 14.2.4 Jämförelse mellan EU-rätt och svensk rätt............... 14.2.5 Föregående samråd med tillsynsmyndigheten.......... 14.3.3 Personuppgiftslagen (1998:204)................................ 14.3.4 Regressrätt mellan stater ............................................ 14.3.5 Personuppgiftslagens jämkning av skadestånd ......... 14.3.6 Särskilt om vissa förordningar i svensk rätt.............. 14.4.2 Personuppgiftslagen (1998:204)................................ 14.4.3 Övriga straffansvarsbestämmelser i svensk rätt........ 14.4.4 Jämförelse mellan EU-rätt och svensk rätt............... 14.5.3 Personuppgiftslagen (1998:204)................................ Förhållande till avtal med tredjestater och tidigare Följdändringar i svensk rätt ....................................... DEL II EUROPOLANSTÄLLDAS BEFATTNINGAR BAKGRUNDEN TILL VÅRA FÖRSLAG Utredningens uppdrag och arbete .............................. Europol och Europolrådsbeslutet ................................ Allmänt om Europol .............................................................. 17.1.2 Behörighet och arbetsformer ..................................... 17.1.3 Organisation och olika anställningsformer ............... 18.1.2 Övriga EU-bestämmelser........................................... Offentlighets- och sekretesslagen (2009:400) ......... 18.2.3 20 kap. 3 § ............................................. Tillägg i svensk rätt................................................... Jämförelse mellan Europolrådsbeslutet och svensk rätt...... 19.1.1 Anställda i och sambandsmän ....................... 19.1.3 Behov av särskilda regler?........................................... 19.1.4 Utformningen av nya bestämmelser.......................... DEL III GEMENSAMMA ÖVERVÄGANDEN Ikraftträdande och övergångsbestämmelser ................. Konsekvenser av våra förslag...................................... 22.1Förslaget till lag om användningsbegränsningar vid behandling av personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen............. Förslaget till lag om Europolanställda svenska medborgares befattning med hemliga uppgifter .................. Förslaget till lag om ändring i lagen (2010:362) om polisens allmänna spaningsregister ....................................... Förslaget till lag om ändring i polisdatalagen (2010:361).... 22.5Förslaget till lag om ändring i lagen (2005:787) om behandling av uppgifter i brottsbekämpande 22.6 Förslaget till lag om ändring i lagen (2001:617) om behandling av personuppgifter inom kriminalvården.......... 22.7Förslaget till lag om ändring i lagen (2001:184) om behandling av uppgifter i 22.8 Förslaget till lag om ändring i lagen (2000:344) om 22.9Förslaget till lag om ändring i lagen (1999:90) om behandling av personuppgifter vid medverkan i brottsutredningar ............................................. Förslaget till lag om ändring i lagen (1998:621) om Förslaget till lag om ändring i lagen (1998:620) om 22.12Förslaget till förordning om ändring i förordningen (2006:937) om behandling av personuppgifter inom 22.13Förslaget till förordning om ändring i förordningen (2003:188) om behandling av personuppgifter inom 22.14Förslaget till förordning om ändring i förordningen (2001:682) om behandling av personuppgifter inom 22.15 Förslaget till förordning om ändring i förordningen (2001:641) om registerföring m.m. vid Högsta förvaltningsdomstolen och kammarrätterna med hjälp av automatiserad behandling................................................ 22.16Förslaget till förordning om ändring i förordningen (2001:640) om registerföring m.m. vid förvaltningsrätt med hjälp av automatiserad behandling .............................. 22.17Förslaget till förordning om ändring i förordningen (2001:639) om registerföring m.m. vid allmänna domstolar med hjälp av automatiserad behandling ............ 22.18Förslaget till förordning om ändring i förordningen (1997:903) om register över förelägganden av 22.19 Förslaget till förordning om ändring i förordningen (1997:902) om register över strafföreläggande................... Kommittédirektiv, dir. 2010:17....................................... Tilläggsdirektiv, dir. 2010:112 ......................................... Rådets rambeslut /977/RIF (dataskyddsrambeslutet).................................................. Utdrag ur Rådets beslut /171/RIF......................... Några allmänna utgångspunkter för uppdraget Vårt uppdrag i denna del har varit att analysera hur svensk rätt förhåller sig till bestämmelserna i rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (dataskyddsrambeslutet), och utarbeta nödvändiga författningsförslag för att ska leva upp till bestämmelserna i rambeslutet. Dataskyddsrambeslutet utgör ett komplement till olika instrument om utvidgat polisiärt och rättsligt samarbete inom Europeiska unionen, med inriktning på utökat gränsöverskridande informationsutbyte. Dataskyddsrambeslutets bestämmelser innehåller i huvudsak följande. Syfte och tillämpningsområde (artikel 1), definitioner (artikel 2), grundläggande principer för personuppgiftsbehandling- en, bl.a. principer om ändamål (artikel 3), rättelse, radering och blockering samt regelbunden kontroll av nödvändigheten av lagringen av uppgifterna (artiklarna 4 och 5), behandling av känsliga uppgifter (artikel 6), bestämmelser som stadgar att ett automatiserat beslutsförfarande är tillåtet endast om det föreskrivs i en lag där det även föreskrivs bestämmelser till skydd för den registrerades legitima intressen (artikel 7), kvalitetskontroll (artikel 8), registrering och dokumentation (artikel 10), bestämmelser om begränsningar i rätten att behandla uppgifter, däribland tidsfrister för gallring av uppgifter, iakttagande av nationella restriktioner och andra användarbegränsningar (artiklarna 9 och 12), förutsättningar för överföring av uppgifter till tredjeland, internationella organ och privata subjekt i medlemsstaterna (artiklarna 13 och 14), den registrerades rättigheter i olika avseenden, bl.a. rätt till information, rättelse, skadestånd och tillgång till rättsmedel (artiklarna 16–20), tystnadsplikt samt krav på säkerhet i samband med behandlingen av uppgifter (artiklarna 21 och 22), föregående samråd (artikel 23), påföljder (artikel 24), nationella tillsynsmyndigheter (artikel 25), förhållandet mellan dataskyddsrambeslutet och andra överens- kommelser med tredjeland respektive befintliga rättsakter (artiklarna 26 och 28). har genom beslut av (bet. 2008/09:JuU7, rskr. 2008/09:41) godkänt utkastet till dataskyddsrambeslutet. Som grund för beslutet har regeringens proposition om Godkännande av data- skyddsrambeslutet (2008/09:16) legat, i vilken det gjordes en preliminär bedömning av vilka lagändringar som kunde bli nöd- vändiga med anledning av dataskyddsrambeslutet. Propositionen innehöll dock inte några lagförslag. I våra kommittédirektiv (dir 2010:17) har regeringen framhållit att de frågeställningar som är i behov av närmare analys är avgränsningen av dataskyddsrambeslutets tillämpningsområde, behandlingen av känsliga uppgifter samt användningsbegränsningar. Vi har dock vid en genomgång av prop. 2008/09:16 funnit att det, förutom dessa områden, även finns ett tjugotal andra frågor som regeringen i nämnda proposition har påpekat bör utredas ytterligare. Vårt arbete har därför omfattat samtliga frågeställningar. Vilka svenska myndigheter omfattas av dataskyddsrambeslutet? I vårt arbete har vi inledningsvis gjort bedömningen att data- skyddsrambeslutets regelverk har påverkan på följande myndigheter som ägnar sig helt eller delvis åt brottsbekämpande verksamhet; Dessutom har vi ansett att följande andra myndigheter i rättskedjan också påverkas av dataskyddsrambeslutets regler; Allmänna domstolar och allmänna förvaltningsdomstolar Närmare om utredningens arbete Utöver genomgången av dataskyddsrambeslutet har vi i vårt arbete gjort jämförelser med svensk rätt, främst i form av personuppgifts- lagens bestämmelser och de aktuella registerförfattningar som rör ovan nämnda myndigheter. Vi har vidare gjort en kartläggning av den lagstiftning om internationellt samarbete som föreligger inom området för dessa myndigheter, samt gjort en genomgång av aktuella sekretessbestämmelser inom området. Efter en jämförelse mellan dataskyddsrambeslutet och gällande svensk rätt har vi lämnat förslag till nya eller kompletterande bestämmelser för att ska leva upp till dataskydds- rambeslutets krav. I vårt arbete har vi utgått från gällande svenska författningar, med undantag av polisdatalagen (2010:361) som träder i kraft . Vi har inte beaktat arbetet med justeringar av gällande registerförfattningar som pågår inom , eftersom någon proposition till ny lagstiftning ännu inte har beslutats. Frågan om att ta fram förslag till bestämmelser som reglerar möjligheten för svenska myndigheter att ställa villkor m.m. för användningen av uppgifter som överförs till andra stater, har vi bedömt ligga utanför vårt uppdrag. Nedan redogörs kortfattat för de delar av dataskydds- rambeslutet som vi anser bör föranleda ändringar och tillägg i svensk rätt samt våra förslag i dessa delar. Övriga delar av dataskyddsrambeslutet bedömer vi inte ska föranleda någon ändring i lag eller förordning. Avgränsningen av dataskyddsrambeslutets tillämpningsområde Behandling av personuppgifter vid polisiärt eller straffrättsligt samarbete i annat syfte än att förebygga, utreda, avslöja eller lagföra brott, eller verkställa straffrättsliga påföljder, faller utanför data- skyddsrambeslutets tillämpningsområde. Dataskyddsrambeslutets tillämpningsområde omfattar uppgifter som överförs eller görs tillgängliga m.m. mellan medlemsstater. I artikel 1.3 i dataskyddsrambeslutet klargörs att bestäm- melserna omfattar behandling av personuppgifter som utförs helt eller delvis automatiserat eller som ingår i eller är avsedda att ingå i register. Enligt vår bedömning ska svensk lagstiftning anpassas till dataskyddsrambeslutet när detta är möjligt och lämpligt för att beslutet ska följas. Enligt artikel 1.4 i dataskyddsrambeslutet undantas från rambeslutet viktiga nationella säkerhetsintressen och särskild underrättelseverksamhet inom området nationell säkerhet. Vad gäller Säkerhetspolisen anser vi att hela dess verksamhet bör omfattas av begreppet nationell säkerhet, i den mening som avses i dataskyddsrambeslutet. Säkerhetspolisen ska därför enligt vår bedömning vara undantagen från dataskyddsrambeslutets tillämpningsområde. Annan verksamhet än Säkerhetspolisens föreslås inte ska undantas från tillämpningsområdet. Ny lagstiftning om användarbegränsningar vid behandling av personuppgifter