sou · GZB320 · 2011-03-15 00:00:00 — För att uppfylla dataskyddsrambeslutets krav föreslår vi en ny lag – lagen om användningsbegränsningar vid behandling av person- uppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen. finns bestämmelser som reglerar situationer då en svensk myndighet erhåller information eller bevismaterial med användningsbegränsningar (villkor för användningen) från en utländsk myndighet. Sådana bestämmelser finns i de internationella samarbetslagarna – lagen (2000:562) om internationell rättslig hjälp i brottmål, lagen (2000:343) om internationellt polisiärt samarbete, lagen (2000:1174) om vissa former av internationellt samarbete i brotts- utredningar, lagen (2000:1219) om internationellt tullsamarbete, samt lagen (2000:344) om Schengens informationssystem. I samtliga dessa lagar föreskrivs att svenska myndigheter är skyldiga att följa de villkor som ställs i sammanhanget av en utländsk myndighet eller mellanfolklig organisation. De internationella samarbetslagarna ovan har dock ett mer vitt tillämpningsområde än dataskyddsrambeslutet. Samarbetslagarna täcker vidare inte allt samarbete i form av uppgiftsutbyte som myndigheterna utövar. Mot bakgrund härav föreslår vi därför att en ny lag ska införas inom området. Alternativet till att införa en ny lag hade i stället varit att föreslå att motsvarande bestämmelser skulle införas direkt i de ovan nämnda internationella samarbetslagarna. Då den av oss nu föreslagna lagen enbart omfattar personuppgiftsbehandling av uppgifter som är helt eller delvis automatiserad eller om uppgifter- na ingår i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, hade ett sådant alternativ varit mindre lämpligt. Ett annat alternativ till införandet av en ny lag hade varit att placera bestämmelserna i myndigheternas registerförfattningar. Vi anser dock att det för tillämparna blir tydligast att de nya bestämmelserna finns i en särskild lag. Enligt vår mening lämpar det sig bäst att specialregler inom ett visst område finns i en särskild lag till vilken sedan hänvisningar görs i de aktuella myndigheternas registerförfattningar (jfr 2 kap. 2 § tryckfrihets- förordningen). Dessutom ter det sig naturligt att reglera ett generellt rambeslut som täcker flera myndigheters verksamhet i en särskild lag. Vår föreslagna lag omfattar följande myndigheter; Kriminal- vården, , , polisen utom Säkerhetspolisen, , allmänna domstolar och allmänna förvaltningsdomstolar, , och . Vi föreslår att den nya lagen ska innehålla bestämmelser om lagens tillämpningsområde m.m. (1–3 §§), ändamål för vidare- behandling av personuppgifter (4 §), överföring av personuppgifter till tredje land eller till internationella organ (5 §), överföring av personuppgifter till privat part inom den Europeiska unionen (6 §), iakttagande av nationella restriktioner (7 §), information till den registrerade (8 §), samt bevarande och gallring av personuppgifter (9 §). Lagens bestämmelser motsvarar artikel 3.2 jämförd med artikel 11 samt artiklarna 9, 12, 13, 14 och 16.2 i dataskydds- rambeslutet. Dataskyddsrambeslutets regler (artikel 26) om förhållandet till avtal med tredjestater föranleder enligt vår mening inte någon ändring i lag eller förordning. Vad gäller dataskyddsrambeslutets regler (artikel 28) om förhållandet till tidigare antagna unionsakter anser vi dock att det bör tydliggöras i övergångsbestämmelserna till vår föreslagna lag att avvikande användningsbegränsningar i tidigare beslutade EU-akter ska gälla i stället för användnings- begränsningarna i vår föreslagna lag. Vi föreslår vidare att nya hänvisningsparagrafer till vår föreslagna lag ska införas i de registerförfattningar som enligt vår mening omfattas av dataskyddsrambeslutets regler (se ovan). Utlämnande med stöd av handlingsoffentligheten Bestämmelserna om användarbegränsningar m.m. i dataskydds- rambeslutet reglerar endast vidarebehandling av personuppgifter som är helt eller delvis automatiserad eller om uppgifterna ingår i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Detta innebär bl.a. att de bestämmelser om t.ex. användarbegränsningar som ställs upp i rambeslutet – och som ligger till grund för vårt förslag till ny lagstiftning inom området (se ovan) – endast avser en inskränkning för enskilda att få del av personuppgifter i en viss form. Dataskyddsrambeslutets bestämmelser strider således inte mot allmänhetens rätt att ta del av allmänna handlingar. Dataskyddsrambeslutets bestämmelser om användnings- begränsningar m.m. föranleder vidare inte någon ändring i offentlighets- och sekretesslagen (2009:400). Tillägg i ändamålsbestämmelserna i myndigheternas registerförfattningar Dataskyddsrambeslutet innehåller regler om bl.a. ändamålen för insamling och behandling av personuppgifter (artikel 3). Som anförts ovan anser vi att svensk lagstiftning ska anpassas till dataskyddsrambeslutet där det är möjligt och lämpligt. I svensk rätt saknas – i stort sett – uttryckliga ändamålsbestämmelser som särskilt reglerar den personuppgiftsbehandling som följer av myndigheternas internationella åtaganden. För att tydliggöra myndigheternas fullgöranden av förpliktelser som följer av sådana åtaganden, föreslår vi att kompletterande ändamålsbestämmelser införs i de registerförfattningar som reglerar , , , och åklagarväsendet. Den kompletterande ändamåls- bestämmelsen föreslås ska få lydelsen fullgöra förpliktelser som följer av internationella åtaganden. Vad avser Kriminalvården samt de allmänna domstolarna och de allmänna förvaltningsdomstolarna, bedömer vi inte att det finns behov av kompletterande bestämmelser. Ändringar i bestämmelserna om behandlingen av känsliga uppgifter i myndigheternas registerförfattningar Dataskyddsrambeslutets bestämmelser (artikel 6) innehåller regler för behandling av känsliga uppgifter som rör ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, samt hälsa och sexualliv. Enligt artikeln får sådana uppgifter behandlas endast när det är absolut nödvändigt och om det tillhandahålls tillräckliga adekvata skyddsåtgärder i den nationella lagstiftningen. Mot bakgrund härav – och för att få till stånd en språklig likformighet mellan myndigheternas registerförfattningar – föreslår vi därför att justeringar görs i de paragrafer i registerförfattningarna som reglerar känsliga uppgifter, på så sätt att begreppet absolut nödvändigt genomgående införs. Vidare föreslår vi att ett motsvarande tillägg av begreppet absolut nödvändigt ska införas i registerförfattningarna för , de allmänna domstolarna och de allmänna förvaltningsdomstolarna, polisen, åklagarväsendet och vad gäller behandlingen av känsliga uppgifter vid dels diarieföring, dels då uppgifterna har lämnats i ett mål, ett ärende, en anmälan eller liknande och dels vid själva handläggningen. Vissa justeringar i övriga författningar Dataskyddsrambeslutets regler om rättelse och skadestånd föranleder tillägg i förordningen (1997:902) om register över strafförelägganden och förordningen (1997:903) om register över förelägganden av ordningsbot, vari det anges att bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd ska tillämpas. Eftersom dataskyddsrambeslutets bestämmelser omfattar person- uppgifter som en svensk myndighet har erhållit från, eller som har gjorts tillgängliga av, en annan medlemsstat, bedömer vi att en märkning varifrån uppgifterna härstammar är både nödvändig och möjlig, för att reglerna i dataskyddsrambeslutet, om t.ex. användningsbegränsningar ska kunna tillämpas på rätt sätt. Utarbetandet av ett system med märkning av uppgifter över- lämnas till de myndigheter som utbyter de aktuella uppgifterna. Något krav på att myndigheterna även ska märka uppgifter som har inkommit före tidpunkten för ikraftträdandet av de nya och justerade regler som vi föreslår med anledning av dataskydds- rambeslutet, föreligger enligt vår mening inte. Framtagande av sådana system för märkning av uppgifter hos myndigheterna kan komma att innebära vissa kostnader. Europolanställdas befattning med hemliga uppgifter Några allmänna utgångspunkter för uppdraget Vårt uppdrag i denna del har varit att analysera om det finns behov av särskilda regler om Europolanställdas befattning med hemliga uppgifter för att svensk rätt ska vara förenlig med Rådets beslut /371/RIF av om inrättande av Europeiska polisbyrån (Europol), Europolrådsbeslutet, och vid behov utarbeta nödvändiga författningsförslag. Allmänt om Europol och Europolrådsbeslutet Europol är Europeiska unionens gemensamma polisbyrå och utgör en del av det polisiära samarbetet i unionen. Genom Europolrådsbeslutet förändrades den rättsliga grunden för Europols verksamhet och Europol fick ställning som EU- myndighet. I samband härmed gjordes också en del sakliga förändringar, bl.a. av Europols mandat samt vad avser bestämmelser om informationsbehandling och dataskydd. I varje medlemsstat finns en nationell enhet som är förbindelselänk mellan Europol och medlemsstaten. Vid Europols huvudkontor arbetar särskilda sambandsmän som är utsända från respektive medlemsland. Sambandsmännen är inte anställda av Europol utan är utskickade från medlemsländerna och lyder under sitt medlemslands nationella enhet. Frågan om tystnadsplikten m.m. för sambandsmännen är inte föremål för vår prövning (jfr vårt ursprungliga kommittédirektiv, 2010:17, s. 6). Inom Europol finns även personal som är direkt anställd av Europol (Europoltjänstemän). Eftersom dessa Europoltjänstemän är anställda av Europol, arbetar de under EU:s särskilda bestäm- melser och är inte knutna till medlemsländernas regler. Enligt artikel 41.2 i Europolrådsbeslutet får Europols anställda och sambandsmännen samt andra som uttryckligen ålagts diskretions- och tystnadsplikt -- inte till någon obehörig person eller till allmänheten sprida sakförhållanden eller upplysningar som kommer till deras kännedom i deras tjänsteutövning eller vid utövandet av deras verksamhet. I artikel 41.3 finns vidare bestämmelser som reglerar vad Europols anställda och sambandsmännen samt andra personer som är underkastade den skyldighet som anges i punkt 2 har att rätta sig efter inför ett eventuellt avläggande av vittnesmål i eller utom domstol eller uttalande om de uppgifter som har kommit till deras kännedom i deras tjänsteutövning eller vid utövandet av deras verksamhet. I artikel 41.4 första stycket anges att medlemsstaterna ska behandla alla överträdelser av diskretions- eller tystnadsplikten enligt artiklarna 41.2 och 41.3 som överträdelse av skyldigheter i staternas egen lagstiftning om tystnadsplikt eller skydd av sekretessbelagt material. I artikel 41.4 andra stycket anges vidare att medlemsstaterna ska säkerställa att dessa regler och bestämmelser är tillämpliga även på deras egna tjänstemän som i samband med sin tjänsteutövning har kontakt med Europol. För anställda vid de olika EU-organen gäller även interna tjänsteföreskrifter, av vilka framgår att tjänstemännen har rätt till yttrandefrihet med hänsyn tagen till principer om lojalitet och opartiskhet. Från gemenskapens sida förväntas att varje medlemsstat beivrar de brott mot tystnadsplikten som dess medborgare begår. Reglering om tystnadsplikt m.m. i svensk rätt Enligt 2 kap. 1 § offentlighets- och sekretesslagen gäller förbud för myndighet att röja eller utnyttja en uppgift enligt lagen, eller lag eller förordning som lagen hänvisar till. Brott mot tystnadsplikten är kriminaliserat enligt 20 kap. 3 § . I nämnda bestämmelse är det således kriminaliserat när någon röjer en uppgift som han eller hon är förpliktad att hålla hemlig enligt lag eller annan författning eller enligt förordnande eller förbehåll som har meddelats med stöd av lag eller annan författning Reglerna i 2 kap. 2 § möjliggör en reglering av brott som begåtts utom riket, t.ex. i Europols huvudkvarter i , . Vår bedömning i denna del De Europolanställda tjänstemännen omfattas inte av samma regler som de som handhar Europolfrågor vid nationella enheten i eller sambandsmännen i Europol. För att svensk rätt ska anses motsvara de krav som ställs i artikel 41.1 i Europolrådsbeslutet anser vi att det krävs kompletteringar i svenska författningar. Det är således inte tillräckligt att frågorna regleras i ett rådsbeslut, utan detta måste också genomföras i svensk lagstiftning. En ny lag är enligt vår mening att föredra jämfört med ändringar i 20 kap. 3 § . Vi föreslår därför införandet av en ny lag med följande lydelse. En svensk medborgare får inte obehörigen röja eller utnyttja en uppgift som han eller hon har fått kännedom om genom att delta i Europeiska polisbyråns (Europols) verksamhet på grund av anställning vid Europol. Vi finner i denna del inte att det kan anses vara rimligt att svensk lagstiftning ska utsträckas längre än vad avser svenska medborgare. Vår föreslagna lag ska omfatta personer som både är och har varit anställda vid . Då bestämmelsen således enbart utgör en reglering av tystnadsplikt och inte en begränsning av rätten att ta del av allmänna handlingar enligt 2 kap. 2 § tryckfrihetsförordningen, krävs inte någon följdändring i offentlighets- och sekretesslagen. lag om användningsbegränsningar vid behandling av personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen Härigenom föreskrivs följande. 1 § I denna lag finns bestämmelser om användningsbegränsningar vid behandling av personuppgifter enligt Rådets rambeslut /977/RIF av om skydd av person- uppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (dataskyddsrambeslutet). 2 § Denna lag gäller endast vidarebehandling av personuppgifter inom ramen för polissamarbete och straffrättsligt samarbete, som Kriminalvården, , , polisen utom Säkerhetspolisen, , allmänna domstolar, allmänna förvaltningsdomstolar, , eller har tagit emot från en annan medlemsstat i Europeiska unionen, eller som har gjorts tillgängliga av en sådan medlemsstat. 3 § Denna lag gäller för sådan vidarebehandling av personuppgifter som är helt eller delvis automatiserad. Lagen gäller även för annan vidarebehandling av person- uppgifter, om uppgifterna ingår i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier. Ändamål för vidarebehandling av personuppgifter 4 § Utöver de ändamål för vilka personuppgifter har överförts eller gjorts tillgängliga får vidarebehandling av personuppgifter endast ske a)för att förebygga, utreda, avslöja eller lagföra andra brott eller verkställa andra straffrättsliga påföljder än de för vilka uppgifterna överfördes eller gjordes tillgängliga, b)för andra rättsliga eller administrativa förfaranden med direkt anknytning till förebyggande, utredning, avslöjande eller lagföring av brott eller verkställighet av straffrättsliga påföljder, c)för att avvärja en omedelbar och allvarlig fara för den allmänna säkerheten, eller d)för varje annat syfte endast om den överförande medlems- staten har givit ett förhandsmedgivande eller den registrerade har samtyckt till det. Vidarebehandling enligt första stycket får endast ske om behandlingen inte är oförenlig med de ändamål för vilka upp- gifterna samlades in och behandlingen är nödvändig och står i proportion till de andra ändamålen. Personuppgifter får vidarebehandlas för historiska, statistiska eller vetenskapliga ändamål. Överföring av personuppgifter till tredje land eller till internationella organ 5 § Personuppgifter som har överförts eller gjorts tillgängliga av en myndighet i en annan medlemsstat får föras över till ett tredje land eller ett internationellt organ om a)det är nödvändigt för att förebygga, utreda, avslöja eller lagföra brott, eller verkställa straffrättsliga påföljder, b)mottagaren har ansvar för sådan verksamhet som anges i a), c)den stat från vilken uppgifterna har tagits emot har samtyckt till överföringen, och d)mottagaren har en adekvat skyddsnivå för den avsedda databehandlingen. Uppgifter får föras över utan samtycke enligt första stycket om det är absolut nödvändigt, antingen för att avvärja en omedelbar och allvarlig fara för allmän säkerhet eller för en medlemsstats väsentliga intresse, och ett sådant samtycke inte kan erhållas . Överföring av personuppgifter till privat part inom Europeiska unionen 6 § Personuppgifter som har överförts från eller gjorts tillgängliga av en myndighet i en annan medlemsstat får föras över till en privat part i en annan medlemsstat under förutsättning att 1.myndigheten i den medlemsstat från vilken uppgifterna har tagits emot har samtyckt till överföringen, 2.inga berättigade intressen för den som omfattas av uppgifterna hindrar överföringen, och 3.överföringen är absolut nödvändig för att a)utföra en författningsenlig uppgift, b)förebygga, utreda, avslöja eller lagföra brott, eller verkställa straffrättsliga påföljder, c)avvärja en omedelbar och allvarlig fara för den allmänna säkerheten, eller d)förhindra att enskildas rättigheter lider allvarlig skada. Vid överföringen ska mottagaren underrättas om för vilka ändamål uppgifterna uteslutande får användas. Nationella restriktioner för behandling av uppgifter 7 § Om den överförande medlemsstatens nationella lagstiftning innehåller bestämmelser i fråga om utbyte av uppgifter mellan behöriga myndigheter inom den medlemsstaten, ska den över- förande myndigheten informera mottagaren om dessa begräns- ningar. I sådana fall ska mottagaren följa begränsningarna för behandlingen. Medlemsstaterna får inte tillämpa några andra begränsningar när det gäller överföring av uppgifter till en annan stat än de som gäller motsvarande nationella överföringar av uppgifter. Information till den registrerade 8 § Om personuppgifter har överförts eller gjorts tillgängliga får den överförande medlemsstaten begära att den mottagande medlemsstaten inte informerar den registrerade om behandlingen. I sådana fall ska den registrerade inte informeras utan förhands- medgivande från den överförande medlemsstaten. Bevarande och gallring av personuppgifter 9 § Om en överförande myndighet har ställt upp krav på tidsfrister för bevarande och gallring av personuppgifter, som är kortare än vad som följer av svensk rätt, ska dessa tidsfrister följas. Första stycket gäller inte om dessa uppgifter vid utgången av tidsfristerna krävs för en pågående utredning, lagföring av brott eller verkställighet av straffrättsliga påföljder. 1.Denna lag träder i kraft . 2.Avvikande användningsbegränsningar i tidigare beslutade EU-rättsakter ska gälla i stället för användningsbegränsningarna i denna lag. lag om Europolanställda svenska medborgares befattning med hemliga uppgifter Härigenom föreskrivs följande. En svensk medborgare får inte obehörigen röja eller utnyttja en uppgift som han eller hon har fått kännedom om genom att delta i Europeiska polisbyråns (Europols) verksamhet på grund av anställning vid Europol. Denna lag träder i kraft . lag om ändring i lagen (2010:362) om polisens allmänna spaningsregister Härigenom föreskrivs i fråga om lagen (2010:362) om polisens allmänna spaningsregister dels att det i lagen ska införas en ny paragraf, 2 a §, av följande lydelse, dels att det närmast före den paragrafen ska införas en ny rubrik, med följande lydelse. (2011:000) om begränsningar vid behandling av samarbete och straffrättsligt sam- arbete inom Europeiska unionen. Denna lag träder i kraft . Om uppgifter om en person behandlas på annan grund får de kompletteras med sådana upp- gifter som avses i första stycket när det är absolut nödvändigt för syftet med behandlingen. Uppgifter som avses i första stycket får också behandlas med stöd av 9 § om behandlingen är absolut nödvändig för syftet med behandlingen. lag om ändring i polisdatalagen (2010:361) Härigenom föreskrivs i fråga om polisdatalagen (2010:361) dels att 2 kap. 10 § ska ha följande lydelse, dels att det i lagen ska införas en ny paragraf, 1 kap. 5 §, av följande lydelse. Bestämmelser om använd- ningsbegränsningar finns i lagen (2011:000) om användnings- begränsningar vid behandling av personuppgifter vid polissam- arbete och straffrättsligt samarbete inom Europeiska unionen. Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Om uppgifter om en person behandlas på annan grund får de kompletteras med sådana upp- gifter som avses i första stycket när det är absolut nödvändigt för syftet med behandlingen. Upp- gifter som avses i första stycket får också behandlas med stöd av 9 §. Denna lag träder i kraft . lag om ändring i lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet Härigenom föreskrivs i fråga om lagen (2005:787) om behand- ling av uppgifter i brottsbekämpande verksamhet dels att 7 och 11 §§ samt rubriken närmast före 15 § ska ha följande lydelse, dels att det i lagen ska införas en ny paragraf, 2 a §, av följande lydelse. Bestämmelser om använd- ningsbegränsningar finns i lagen (2011:000) om användnings- begränsningar vid behandling av personuppgifter vid polis- samarbete och straffrättsligt samarbete inom Europeiska unionen. Uppgifter får behandlas i brottsbekämpande verksamhet om det behövs för att 1. förebygga, förhindra upptäcka brottslig verksamhet, 2. utreda eller beivra visst brott, eller är skyldigt att utföra Om uppgifter om en person behandlas på annan grund får de kompletteras med sådana upp- gifter som avses i första stycket när det är absolut nödvändigt för syftet med behandlingen. Upp- gifter som beskriver en persons utseende ska alltid utformas på ett objektivt sätt med respekt för människovärdet.Dessutom får uppgifter som avses i första stycket behandlas om de förekommer i en handling som kommit in till i ett ärende och behandlingen är absolut nödvändig.Behandling av uppgifter för att fullgöra förpliktelser som följer av internationella åtaganden Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Om uppgifter om en person behandlas på annan grund får de kompletteras med sådana upp- gifter som avses i första stycket när det är absolut nödvändigt för syftet med behandlingen. Upp- gifter som beskriver en persons utseende skall alltid utformas på ett objektivt sätt med respekt för människovärdet. Dessutom får uppgifter som avses i första stycket behandlas om de förekommer i en handling som kommit in till i ett ärende. Behandling av uppgifter för internationellt tullsamarbete Utöver vad som följer av 12–14 §§ får behandla uppgifter för sådant ändamål som anges i 7 § 3. Endast de personer som arbetar med tullsamarbete får ha direkt tillgång till uppgifterna. Denna lag träder i kraft . lag om ändring i lagen (2001:617) om behandling av personuppgifter inom kriminalvården Härigenom föreskrivs att det i lagen (2001:617) om behandling av personuppgifter inom kriminalvården ska införas en ny paragraf, 1 a §, av följande lydelse. ningsbegränsningar finns i lagen (2011:000) om begränsningar vid behandling av arbete och straffrättsligt samarbete inom Europeiska unionen. Denna lag träder i kraft . lag om ändring i lagen (2001:184) om behandling av uppgifter i verksamhet Härigenom föreskrivs i fråga om lagen (2001:184) om behandling av uppgifter i verksamhet dels att 1 kap. 6 § och 2 kap. 2 §, ska ha följande lydelse, dels att det i lagen ska införas en ny paragraf, 1 a §, av följande lydelse. begränsningar vid behandling av arbete och straffrättsligt samarbete inom Europeiska unionen. anges i 13 § personuppgiftslagen (1998:204) och (1998:204) får behandlas endast om uppgifterna har lämnats i ett m.m. som anges i 21 § samma