prop · H00373 · 2013-02-27 00:00:00 — Efter en jämförelse mellan dataskyddsrambeslutet och gällande svensk rätt har vi lämnat förslag till nya eller kompletterande bestämmelser för att ska leva upp till dataskyddsrambeslutets krav. I vårt arbete har vi utgått från gällande svenska författningar, med undantag av polisdatalagen (2010:361) som träder i kraft . Vi har inte beaktat arbetet med justeringar av gällande registerför- fattningar som pågår inom , eftersom någon proposition till ny lagstiftning ännu inte har beslutats. Frågan om att ta fram förslag till bestämmelser som reglerar möjlig- heten för svenska myndigheter att ställa villkor m.m. för användningen av uppgifter som överförs till andra stater, har vi bedömt ligga utanför vårt uppdrag. Nedan redogörs kortfattat för de delar av dataskyddsrambeslutet som vi anser bör föranleda ändringar och tillägg i svensk rätt samt våra förslag i dessa delar. Övriga delar av dataskyddsrambeslutet bedömer vi inte ska föranleda någon ändring i lag eller förordning. Avgränsningen av dataskyddsrambeslutets tillämpningsområde Behandling av personuppgifter vid polisiärt eller straffrättsligt samarbete i annat syfte än att förebygga, utreda, avslöja eller lagföra brott, eller verkställa straffrättsliga påföljder, faller utanför dataskyddsrambeslutets tillämpningsområde. Dataskyddsrambeslutets tillämpningsområde omfattar uppgifter som överförs eller görs tillgängliga m.m. mellan medlemsstater. 2012/13:73 I artikel 1.3 i dataskyddsrambeslutet klargörs att bestämmelserna om- Bilaga 3 fattar behandling av personuppgifter som utförs helt eller delvis automa- tiserat eller som ingår i eller är avsedda att ingå i register. Enligt vår bedömning ska svensk lagstiftning anpassas till dataskydds- rambeslutet när detta är möjligt och lämpligt för att beslutet ska följas. Enligt artikel 1.4 i dataskyddsrambeslutet undantas från rambeslutet viktiga nationella säkerhetsintressen och särskild underrättelseverksam- het inom området nationell säkerhet. Vad gäller Säkerhetspolisen anser vi att hela dess verksamhet bör om- fattas av begreppet nationell säkerhet, i den mening som avses i data- skyddsrambeslutet. Säkerhetspolisen ska därför enligt vår bedömning vara undantagen från dataskyddsrambeslutets tillämpningsområde. Annan verksamhet än Säkerhetspolisens föreslås inte ska undantas från tillämpningsområdet. Ny lagstiftning om användarbegränsningar vid behandling av person- uppgifter För att uppfylla dataskyddsrambeslutets krav föreslår vi en ny lag lagen om användningsbegränsningar vid behandling av personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen. finns bestämmelser som reglerar situationer då en svensk myn- dighet erhåller information eller bevismaterial med användningsbegräns- ningar (villkor för användningen) från en utländsk myndighet. Sådana bestämmelser finns i de internationella samarbetslagarna lagen (2000:562) om internationell rättslig hjälp i brottmål, lagen (2000:343) om internationellt polisiärt samarbete, lagen (2000:1174) om vissa former av internationellt samarbete i brottsutredningar, lagen (2000:1219) om internationellt tullsamarbete, samt lagen (2000:344) om Schengens informationssystem. I samtliga dessa lagar föreskrivs att svenska myndigheter är skyldiga att följa de villkor som ställs i sammanhanget av en utländsk myndighet eller mellanfolklig organisation. De internationella samarbetslagarna ovan har dock ett mer vitt tillämp- ningsområde än dataskyddsrambeslutet. Samarbetslagarna täcker vidare inte allt samarbete i form av uppgiftsutbyte som myndigheterna utövar. Mot bakgrund härav föreslår vi därför att en ny lag ska införas inom området. Alternativet till att införa en ny lag hade i stället varit att föreslå att motsvarande bestämmelser skulle införas direkt i de ovan nämnda inter- nationella samarbetslagarna. Då den av oss nu föreslagna lagen enbart omfattar personuppgiftsbehandling av uppgifter som är helt eller delvis automatiserad eller om uppgifterna ingår i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, hade ett sådant alternativ varit mindre lämpligt. Ett annat alternativ till införandet av en ny lag hade varit att placera be- stämmelserna i myndigheternas registerförfattningar. Vi anser dock att det för tillämparna blir tydligast att de nya bestämmelserna finns i en särskild lag. Enligt vår mening lämpar det sig bäst att specialregler inom ett visst område finns i en särskild lag till vilken sedan hänvisningar görs i de aktuella myndigheternas registerförfattningar (jfr 2 kap. 2 § tryckfri- Dessutom ter det sig naturligt att reglera ett generellt rambeslut som täcker flera myndigheters verksamhet i en särskild lag. Vår föreslagna lag omfattar följande myndigheter; Kriminalvården, , , polisen utom Säkerhetspoli- sen, , allmänna domstolar och allmänna förvaltningsdom- stolar, , och . Vi föreslår att den nya lagen ska innehålla bestämmelser om lagens tillämpningsområde m.m. (13 §§), ändamål för vidarebehandling av personuppgifter (4 §), överföring av personuppgifter till tredje land eller till internationella organ (5 §), överföring av personuppgifter till privat part inom den Europeiska unionen (6 §), iakttagande av nationella re- striktioner (7 §), information till den registrerade (8 §), samt bevarande och gallring av personuppgifter (9 §). Lagens bestämmelser motsvarar artikel 3.2 jämförd med artikel 11 samt artiklarna 9, 12, 13, 14 och 16.2 i dataskyddsrambeslutet. Dataskyddsrambeslutets regler (artikel 26) om förhållandet till avtal med tredjestater föranleder enligt vår mening inte någon ändring i lag eller förordning. Vad gäller dataskyddsrambeslutets regler (artikel 28) om förhållandet till tidigare antagna unionsakter anser vi dock att det bör tydliggöras i övergångsbestämmelserna till vår föreslagna lag att avvi- kande användningsbegränsningar i tidigare beslutade EU-akter ska gälla i stället för användningsbegränsningarna i vår föreslagna lag. Vi föreslår vidare att nya hänvisningsparagrafer till vår föreslagna lag ska införas i de registerförfattningar som enligt vår mening omfattas av dataskyddsrambeslutets regler (se ovan). Utlämnande med stöd av handlingsoffentligheten Bestämmelserna om användarbegränsningar m.m. i dataskyddsrambe- slutet reglerar endast vidarebehandling av personuppgifter som är helt eller delvis automatiserad eller om uppgifterna ingår i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sam- manställning enligt särskilda kriterier. Detta innebär bl.a. att de bestäm- melser om t.ex. användarbegränsningar som ställs upp i rambeslutet och som ligger till grund för vårt förslag till ny lagstiftning inom området (se ovan) endast avser en inskränkning för enskilda att få del av per- sonuppgifter i en viss form. Dataskyddsrambeslutets bestämmelser strider således inte mot allmänhetens rätt att ta del av allmänna handlingar. Dataskyddsrambeslutets bestämmelser om användningsbegränsningar m.m. föranleder vidare inte någon ändring i offentlighets- och sekretess- lagen (2009:400). Tillägg i ändamålsbestämmelserna i myndigheternas registerförfattningar Dataskyddsrambeslutet innehåller regler om bl.a. ändamålen för in- samling och behandling av personuppgifter (artikel 3). Som anförts ovan anser vi att svensk lagstiftning ska anpassas till dataskyddsrambeslutet där det är möjligt och lämpligt. I svensk rätt saknas i stort sett uttryckliga ändamålsbestämmelser som särskilt reglerar den personupp- giftsbehandling som följer av myndigheternas internationella åtaganden. För att tydliggöra myndigheternas fullgöranden av förpliktelser som följer av sådana åtaganden, föreslår vi att kompletterande ändamålsbe- stämmelser införs i de registerförfattningar som reglerar Kronofogde- myndigheten, , , och åklagarvä- sendet. Den kompletterande ändamålsbestämmelsen föreslås ska få lydelsen fullgöra förpliktelser som följer av internationella åtaganden. Vad avser Kriminalvården samt de allmänna domstolarna och de all- männa förvaltningsdomstolarna, bedömer vi inte att det finns behov av kompletterande bestämmelser. Ändringar i bestämmelserna om behandlingen av känsliga uppgifter i myndigheternas registerförfattningar Dataskyddsrambeslutets bestämmelser (artikel 6) innehåller regler för behandling av känsliga uppgifter som rör ras eller etniskt ursprung, poli- tiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackföre- ning, samt hälsa och sexualliv. Enligt artikeln får sådana uppgifter be- handlas endast när det är absolut nödvändigt och om det tillhandahålls tillräckliga adekvata skyddsåtgärder i den nationella lagstiftningen. Mot bakgrund härav och för att få till stånd en språklig likformighet mellan myndigheternas registerförfattningar föreslår vi därför att juste- ringar görs i de paragrafer i registerförfattningarna som reglerar känsliga uppgifter, på så sätt att begreppet absolut nödvändigt genomgående in- förs. Vidare föreslår vi att ett motsvarande tillägg av begreppet absolut nöd- vändigt ska införas i registerförfattningarna för , de allmänna domstolarna och de allmänna förvaltningsdomstolarna, poli- sen, åklagarväsendet och vad gäller behandlingen av känsliga uppgifter vid dels diarieföring, dels då uppgifterna har lämnats i ett mål, ett ärende, en anmälan eller liknande och dels vid själva handläggningen. Vissa justeringar i övriga författningar Dataskyddsrambeslutets regler om rättelse och skadestånd föranleder tillägg i förordningen (1997:902) om register över strafförelägganden och förordningen (1997:903) om register över förelägganden av ord- ningsbot, vari det anges att bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd ska tillämpas. Eftersom dataskyddsrambeslutets bestämmelser omfattar personuppgifter som en svensk myndighet har erhållit från, eller som har gjorts tillgäng- liga av, en annan medlemsstat, bedömer vi att en märkning varifrån upp- gifterna härstammar är både nödvändig och möjlig, för att reglerna i dataskyddsrambeslutet, om t.ex. användningsbegränsningar ska kunna tillämpas på rätt sätt. Utarbetandet av ett system med märkning av upp- gifter överlämnas till de myndigheter som utbyter de aktuella uppgif- terna. Något krav på att myndigheterna även ska märka uppgifter som har in- kommit före tidpunkten för ikraftträdandet av de nya och justerade regler som vi föreslår med anledning av dataskyddsrambeslutet, föreligger enligt vår mening inte. Framtagande av sådana system för märkning av uppgifter hos myndig- heterna kan komma att innebära vissa kostnader. Europolanställdas befattning med hemliga uppgifter Några allmänna utgångspunkter för uppdraget Vårt uppdrag i denna del har varit att analysera om det finns behov av särskilda regler om Europolanställdas befattning med hemliga uppgifter för att svensk rätt ska vara förenlig med Rådets beslut /371/RIF av om inrättande av Europeiska polisbyrån (Europol), Europolrådsbeslutet, och vid behov utarbeta nödvändiga författningsför- slag. Allmänt om Europol och Europolrådsbeslutet Europol är Europeiska unionens gemensamma polisbyrå och utgör en del av det polisiära samarbetet i unionen. Genom Europolrådsbeslutet för- ändrades den rättsliga grunden för Europols verksamhet och Europol fick ställning som . I samband härmed gjordes också en del sakliga förändringar, bl.a. av Europols mandat samt vad avser bestäm- melser om informationsbehandling och dataskydd. I varje medlemsstat finns en nationell enhet som är förbindelselänk mellan Europol och medlemsstaten. Vid Europols huvudkontor arbetar särskilda sambandsmän som är ut- sända från respektive medlemsland. Sambandsmännen är inte anställda av Europol utan är utskickade från medlemsländerna och lyder under sitt medlemslands nationella enhet. Frågan om tystnadsplikten m.m. för sambandsmännen är inte föremål för vår prövning (jfr vårt ursprungliga kommittédirektiv, 2010:17, s. 6). Inom Europol finns även personal som är direkt anställd av Europol (Europoltjänstemän). Eftersom dessa Europoltjänstemän är anställda av Europol, arbetar de under EU:s särskilda bestämmelser och är inte knutna till medlemsländernas regler. Enligt artikel 41.2 i Europolrådsbeslutet får Europols anställda och sambandsmännen samt andra som uttryckligen ålagts diskretions- och tystnadsplikt - inte till någon obehörig person eller till allmänheten sprida sakförhållanden eller upplysningar som kommer till deras känne- dom i deras tjänsteutövning eller vid utövandet av deras verksamhet. I artikel 41.3 finns vidare bestämmelser som reglerar vad Europols anställda och sambandsmännen samt andra personer som är underkastade den skyldighet som anges i punkt 2 har att rätta sig efter inför ett eventuellt avläggande av vittnesmål i eller utom domstol eller uttalande om de uppgifter som har kommit till deras kännedom i deras tjänsteutöv- ning eller vid utövandet av deras verksamhet. I artikel 41.4 första stycket anges att medlemsstaterna ska behandla alla överträdelser av diskretions- eller tystnadsplikten enligt artiklarna 41.2 och 41.3 som överträdelse av skyldigheter i staternas egen lagstiftning om tystnadsplikt eller skydd av sekretessbelagt material. I artikel 41.4 andra stycket anges vidare att medlemsstaterna ska säker- ställa att dessa regler och bestämmelser är tillämpliga även på deras egna tjänstemän som i samband med sin tjänsteutövning har kontakt med För anställda vid de olika EU-organen gäller även interna tjänsteföre- skrifter, av vilka framgår att tjänstemännen har rätt till yttrandefrihet med hänsyn tagen till principer om lojalitet och opartiskhet. Från gemenskapens sida förväntas att varje medlemsstat beivrar de brott mot tystnadsplikten som dess medborgare begår. Reglering om tystnadsplikt m.m. i svensk rätt Enligt 2 kap. 1 § offentlighets- och sekretesslagen gäller förbud för myn- dighet att röja eller utnyttja en uppgift enligt lagen, eller lag eller förord- ning som lagen hänvisar till. Brott mot tystnadsplikten är kriminaliserat enligt 20 kap. 3 § brottsbal- I nämnda bestämmelse är det således kriminaliserat när någon röjer en uppgift som han eller hon är förpliktad att hålla hemlig enligt lag eller annan författning eller enligt förordnande eller förbehåll som har med- delats med stöd av lag eller annan författning Reglerna i 2 kap. 2 § möjliggör en reglering av brott som begåtts utom riket, t.ex. i Europols huvudkvarter i , . Vår bedömning i denna del De Europolanställda tjänstemännen omfattas inte av samma regler som de som handhar Europolfrågor vid nationella enheten i eller sambandsmännen i Europol. För att svensk rätt ska anses motsvara de krav som ställs i artikel 41.1 i Europolrådsbeslutet anser vi att det krävs kompletteringar i svenska författningar. Det är således inte tillräckligt att frågorna regleras i ett rådsbeslut, utan detta måste också genomföras i svensk lagstiftning. En ny lag är enligt vår mening att föredra jämfört med ändringar i 20 kap. 3 § . Vi föreslår därför införandet av en ny lag med följande lydelse. En svensk medborgare får inte obehörigen röja eller utnyttja en uppgift som han eller hon har fått kännedom om genom att delta i Europeiska polisbyråns (Europols) verksamhet på grund av anställning vid Europol. Vi finner i denna del inte att det kan anses vara rimligt att svensk lag- stiftning ska utsträckas längre än vad avser svenska medborgare. Vår föreslagna lag ska omfatta personer som både är och har varit an- ställda vid Europol. Då bestämmelsen således enbart utgör en reglering av tystnadsplikt och inte en begränsning av rätten att ta del av allmänna handlingar enligt 2 kap. 2 § tryckfrihetsförordningen, krävs inte någon följdändring i offentlighets- och sekretesslagen. Förslag till lag om användningsbegränsningar vid behandling av personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen Härigenom föreskrivs följande. 1 § I denna lag finns bestämmelser om användningsbegränsningar vid behandling av personuppgifter enligt Rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (dataskydds- rambeslutet). 2 § Denna lag gäller endast vidarebehandling av personuppgifter inom ramen för polissamarbete och straffrättsligt samarbete, som Kriminalvår- den, , , polisen utom Säker- hetspolisen, , allmänna domstolar, allmänna förvaltnings- domstolar, , eller har tagit emot från en annan medlemsstat i Europeiska unionen, eller som har gjorts tillgängliga av en sådan medlemsstat. 3 § Denna lag gäller för sådan vidarebehandling av personuppgifter som är helt eller delvis automatiserad. Lagen gäller även för annan vidarebehandling av personuppgifter, om uppgifterna ingår i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Ändamål för vidarebehandling av personuppgifter 4 § Utöver de ändamål för vilka personuppgifter har överförts eller gjorts tillgängliga får vidarebehandling av personuppgifter endast ske a)för att förebygga, utreda, avslöja eller lagföra andra brott eller verk- ställa andra straffrättsliga påföljder än de för vilka uppgifterna överfördes eller gjordes tillgängliga, b)för andra rättsliga eller administrativa förfaranden med direkt an- knytning till förebyggande, utredning, avslöjande eller lagföring av brott eller verkställighet av straffrättsliga påföljder, c)för att avvärja en omedelbar och allvarlig fara för den allmänna säkerheten, eller d)för varje annat syfte endast om den överförande medlemsstaten har givit ett förhandsmedgivande eller den registrerade har samtyckt till det. Vidarebehandling enligt första stycket får endast ske om behandlingen inte är oförenlig med de ändamål för vilka uppgifterna samlades in och behandlingen är nödvändig och står i proportion till de andra ändamålen. Personuppgifter får vidarebehandlas för historiska, statistiska eller vetenskapliga ändamål. Överföring av personuppgifter till tredje land eller till internatio- nella organ 5 § Personuppgifter som har överförts eller gjorts tillgängliga av en myn- dighet i en annan medlemsstat får föras över till ett tredje land eller ett internationellt organ om a)det är nödvändigt för att förebygga, utreda, avslöja eller lagföra brott, eller verkställa straffrättsliga påföljder, b)mottagaren har ansvar för sådan verksamhet som anges i a), c)den stat från vilken uppgifterna har tagits emot har samtyckt till överföringen, och d)mottagaren har en adekvat skyddsnivå för den avsedda databehand- lingen. Uppgifter får föras över utan samtycke enligt första stycket om det är absolut nödvändigt, antingen för att avvärja en omedelbar och allvarlig fara för allmän säkerhet eller för en medlemsstats väsentliga intresse, och ett sådant samtycke inte kan erhållas . Överföring av personuppgifter till privat part inom Europeiska unionen 6 § Personuppgifter som har överförts från eller gjorts tillgängliga av en myndighet i en annan medlemsstat får föras över till en privat part i en annan medlemsstat under förutsättning att 1.myndigheten i den medlemsstat från vilken uppgifterna har tagits emot har samtyckt till överföringen, 2.inga berättigade intressen för den som omfattas av uppgifterna hind- rar överföringen, och 3.överföringen är absolut nödvändig för att a)utföra en författningsenlig uppgift, b)förebygga, utreda, avslöja eller lagföra brott, eller verkställa straff- rättsliga påföljder, c)avvärja en omedelbar och allvarlig fara för den allmänna säkerheten, d)förhindra att enskildas rättigheter lider allvarlig skada. Vid överföringen ska mottagaren underrättas om för vilka ändamål uppgifterna uteslutande får användas. Nationella restriktioner för behandling av uppgifter 7 § Om den överförande medlemsstatens nationella lagstiftning innehål- ler bestämmelser i fråga om utbyte av uppgifter mellan behöriga myn- digheter inom den medlemsstaten, ska den överförande myndigheten informera mottagaren om dessa begränsningar. I sådana fall ska motta- garen följa begränsningarna för behandlingen. Medlemsstaterna får inte tillämpa några andra begränsningar när det gäller överföring av uppgifter till en annan stat än de som gäller motsva- rande nationella överföringar av uppgifter. Information till den registrerade 8 § Om personuppgifter har överförts eller gjorts tillgängliga får den överförande medlemsstaten begära att den mottagande medlemsstaten inte informerar den registrerade om behandlingen. I sådana fall ska den registrerade inte informeras utan förhandsmedgivande från den överfö- rande medlemsstaten. Bevarande och gallring av personuppgifter 9 § Om en överförande myndighet har ställt upp krav på tidsfrister för bevarande och gallring av personuppgifter, som är kortare än vad som följer av svensk rätt, ska dessa tidsfrister följas. Första stycket gäller inte om dessa uppgifter vid utgången av tidsfris- terna krävs för en pågående utredning, lagföring av brott eller verkstäl- lighet av straffrättsliga påföljder. 1.Denna lag träder i kraft . 2.Avvikande användningsbegränsningar i tidigare beslutade EU-rätts- akter ska gälla i stället för användningsbegränsningarna i denna lag. Förslag till lag om ändring i lagen (2010:362) om Härigenom föreskrivs i fråga om lagen (2010:362) om polisens allmänna spaningsregister dels att det i lagen ska införas en ny paragraf, 2 a §, av följande lydelse, dels att det närmast före den paragrafen ska införas en ny rubrik, med följande lydelse. Bestämmelser om användnings- begränsningar finns i lagen (2011:000) om användningsbe- gränsningar vid behandling av personuppgifter vid polissamar- bete och straffrättsligt samarbete inom Europeiska unionen. Denna lag träder i kraft . Förslag till lag om ändring i polisdatalagen (2010:361) Härigenom föreskrivs i fråga om polisdatalagen (2010:361) dels att 2 kap. 10 § ska ha följande lydelse, dels att det i lagen ska införas en ny paragraf, 1 kap. 5 §, av följande lydelse. Bestämmelser om användnings- begränsningar finns i lagen (2011:000) om användningsbe- gränsningar vid behandling av personuppgifter vid polissamar- bete och straffrättsligt samarbete inom Europeiska unionen. Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, reli- giösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Om uppgifter om en person be- handlas på annan grund får de kompletteras med sådana uppgifter som avses i första stycket när det är absolut nödvändigt för syftet med behandlingen. Uppgifter som avses i första stycket får också behandlas med stöd av 9 §. Om uppgifter om en person be- handlas på annan grund får de kompletteras med sådana uppgifter som avses i första stycket när det är absolut nödvändigt för syftet med behandlingen. Uppgifter som avses i första stycket får också behandlas med stöd av 9 § om behandlingen är absolut nödvän- dig för syftet med behandlingen Denna lag träder i kraft . Förslag till lag om ändring i lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet Härigenom föreskrivs i fråga om lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet dels att 7 och 11 §§ samt rubriken närmast före 15 § ska ha följande lydelse, dels att det i lagen ska införas en ny paragraf, 2 a §, av följande lydelse. bete och straffrättsligt samarbete inom Europeiska unionen. Uppgifter får behandlas i brottsbekämpande verksamhet om det behövs för att upptäcka brottslig verksamhet, 2. utreda eller beivra visst brott, eller fullgöra det arbete som Tull- verket är skyldigt att utföra enligt följer av internationella åtagan- lagen (2000:1219) om internatio- Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, reli- giösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv.