prop · H00373 · 2013-02-27 00:00:00 — hålls vidare att det behöver tydliggöras vilka delar av Säkerhetspolisens personuppgiftsbehandling som faller utanför rambeslutets tillämpnings- Vidare behöver enligt godkännandepropositionen vissa andra artiklar i rambeslutet analyseras närmare för att ge underlag att bedöma om det i något annat avseende behövs lagändringar eller kompletterande bestäm- melser för att svensk rätt ska uppfylla kraven i rambeslutet. Utredningen finner att artiklarna 1.2 a, 1.3 och 1.4 (om tillämpnings- området) samt artiklarna 3.2 (om vidarebehandling för annat ändamål), 9 (om tidsfrister), 1114 (om bl.a. överföring till tredjeland och till enskil- da) och 16.2 (om information till den registrerade) kräver lagstiftnings- åtgärder och föreslår att det införs en ny lag om användningsbegräns- Utredningen anser vidare att artikel 6, som behandlar känsliga personuppgifter, bör föranleda ändringar i befintliga registerförfattningar för de berörda myndigheterna. Utredningen anser också att det i alla myndigheters registerförfattningar bör anges att personuppgiftsbehand- ling får ske för att fullgöra förpliktelser som följer av internationella åta- Dessutom krävs det enligt utredningen följdändringar i form av hänvisningar till den nya lagen i myndigheternas registerförfattningar. övrigt anser utredningen att dataskyddsrambeslutets bestämmelser inte kräver några lagstiftningsåtgärder. Regeringen instämmer i stora delar i de bedömningar utredningen gör när det gäller behovet av författningsändringar och återkommer i det följande till hur dessa bör genomföras. Till skillnad från utredningen anser dock regeringen att vissa delar av artikel 3.2 och artikel 9 inte krä- ver någon lagstiftningsåtgärd. Detsamma gäller artikel 6, vilket rege- ringen återkommer till. Däremot kräver ett par artiklar, utöver de som utredningen har angett, författningsreglering. Det gäller ytterligare delar Prop. 2012/13:73 av artikel 1.2 (om tillämpningsområdet), artikel 13.3 (om överföring i vissa fall till tredjeland och internationella organ), artikel 19.2 (om ska- destånd) och artikel 28 (om förhållandet till tidigare rättsakter). Även innehållet i skälen 4547 (om förhållandet till , , och ) och skäl 18 (överföring till enskilda i sam- band med brottmål) bör återspeglas i den nya lagen. Utöver detta krävs det inte någon författningsreglering. Regeringens förslag: De återstående delarna av dataskyddsrambe- slutet genomförs i huvudsak genom en ny lag med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har något att invända mot utredningens förslag. Kriminalvården delar utredningens slutsats att det finns anledning att införa en ny lag med generella bestämmelser om användningsbegränsningar. anser att för överskådlig- hetens skull är en särskild lag att föredra framför ändringar i de olika lagar som reglerar behandlingen av personuppgifter. har inget att invända mot att rambeslutet genomförs på det sätt som föreslagits, men framhåller att bör aktuella användningsbegränsningar regle- ras i registerförfattningarna för att underlätta tillämpningen. anser dock att den föreslagna regleringen kommer att fortsätta att bidra till att området blir svåröverskådligt. Skilda regler för personuppgiftsbehandling beroende på om det handlar om rent natio- nell behandling eller om gränsöverskridande personuppgiftsbehandling kan leda till tillämpningsproblem, eftersom samma uppgifter och infor- mation kan förekomma i skilda sammanhang och en uppgift som härrör från en stat kan blandas med och kompletteras av uppgifter från andra stater. Vidare är det enligt en brist att flera av de gällande regleringarna på området har formen av förordning, trots att skyddet för den personliga integriteten i 2 kap. 6 § andra stycket regeringsformen jämförd med 2 kap. 20 § regeringsformen motiverar att lagform används. framstår det som angeläget att dessa brister beaktas i lagstiftningsarbetet. Utkastet till lagrådsremiss överensstämmer med regeringens förslag. Remissinstanserna: tillstyr- ker den utformning lagen fått i utkastet till lagrådsremiss men framhåller att regleringen blir komplex och svåröverskådlig. Nämnden anser vidare att en mer precis benämning på lagen bör övervägas eftersom den före- slagna benämningen ger intryck av att lagen har ett vidare tillämpnings- område än den faktiskt har. Skälen för regeringens förslag En ny lag bör införas har åtagit sig att genomföra dataskyddsrambeslutet i nationell rätt. En grundläggande fråga är om de delar av dataskyddsrambeslutet som återstår att genomföra bör regleras i befintlig lagstiftning, framför- allt i berörda myndigheters registerförfattningar och i de författningar som rör internationellt samarbete, eller om de ska sammanföras i en sepa- rat, ny reglering. En annan viktig fråga är i vilken utsträckning regle- ringen kräver lagform. är enskilda skyddade gentemot det allmänna mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär kartläggning eller övervakning av personliga för- hållanden (2 kap. 6 § andra stycket regeringsformen). Inskränkningar i detta skydd kan enbart ske genom lag och bara för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle (2 kap. 20 och 21 §§ rege- ringsformen). Dataskyddsrambeslutets bestämmelser innebär inte några inskränkningar i enskildas personliga integritet utan är tvärtom avsedda att stärka den enskildes integritetsskydd. Även om genomförandet av dataskyddsrambeslutet inte i sig innebär något utökat informationsutbyte anser regeringen att regleringen är av den arten att den lämpligen bör ha lagform. Av betydelse i sammanhanget är att de författningar som styr myndigheternas hantering av sådana personuppgifter som kan komma att utbytas inom ramen för dataskyddsrambeslutet i stor utsträckning redan finns i lag (bl.a. registerförfattningarna för polisen, , Kustbe- vakningen, och i viss utsträckning Kriminalvården) eller är föremål för översyn med sikte på framtida lagreglering (bl.a. registerför- fattningarna för åklagarväsendet och domstolarna). Dataskyddsrambeslutet innehåller en generell reglering, men har bara relevans för vissa myndigheter. Personuppgiftslagen (1998:204) gäller för all behandling av personuppgifter, om inte avvikande bestämmelser har meddelats i lag eller förordning. Som nämnts finns det särskilda registerförfattningar inom de områden som dataskyddsrambeslutet om- fattar. Att införa de ytterligare lagbestämmelser som krävs för att genom- föra dataskyddsrambeslutet i personuppgiftslagen bör därför inte komma i fråga, även om reglerna till viss del anknyter till sådana bestämmelser i personuppgiftslagen som gäller för de berörda myndigheterna. Ett alternativ skulle kunna vara att föra in de nya bestämmelserna i myndigheternas registerförfattningar. Ett skäl som talar för en sådan lösning är det som tar upp, nämligen att man bör undvika att göra personuppgiftsregleringen ännu mer komplicerad än den är . Utredningen anger som skäl för att införa en särskild lag att be- stämmelserna ska tillämpas av flera olika myndigheter. Regeringen, som delar utredningens uppfattning att det bör införas en ny sektorsgemensam lag, anser att ett tungt vägande skäl för en ny lag är rambeslutets tillämp- ningsområde. Rambeslutet gäller för överföring av uppgifter från och till andra stater, EU-organ och EU-informationssystem. De myndigheter som berörs av regleringen kommer att tillämpa den i varierande utsträckning. Polisen kommer troligen att tillämpa lagen i betydligt större utsträckning än exempelvis Kriminalvården. Att då tynga varje myndighets register- författning med samma regler är en mindre lyckad lösning. Det är därför Prop. 2012/13:73 bättre att införa en ny, sektorsgemensam lag. Som redovisas i avsnitt 4 pågår lagstiftningsarbete för att utforma nya eller ändrade registerförfattningar inom flera av de aktuella områdena. Det mer omfat- tande lagstiftningsarbete som efterlyst för att komma till rätta med att vissa av registerförfattningarna endast har förordnings- form är varken lämpligt eller möjligt att genomföra inom ramen för detta lagstiftningsärende. tar upp frågan hur regleringen bör se ut på . Mot bakgrund av det reformarbete som pågår inom EU och (se avsnitt 4.2 och 4.3) finns det inte anledning att nu binda sig för hur regleringen bör se ut . Utredningen föreslår att den nya lagen ska benämnas lag om använd- ningsbegränsningar vid behandling av personuppgifter vid polissamar- bete och straffrättsligt samarbete inom Europeiska unionen. Regeringen anser att en annan benämning bör väljas och instämmer i Säkerhets- och integritetsskyddsnämndens uppfattning om behovet av en preciserad rubrik. Skälen för att utredningens förslag inte bör väljas är dels att lagen reglerar även annat än användningsbegränsningar, dels att benämningen bör spegla lagens huvudsyfte. Regeringen anser att den nya lagen bör benämnas Lag med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unio- nen". 6.4Den nya lagens tillämpningsområde Regeringens förslag: Den nya lagen ska gälla för behandling av per- sonuppgifter i verksamhet som har till syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller verkställa straffrättsliga påföljder, om uppgifterna inom ramen för po- lissamarbete och straffrättsligt samarbete görs eller har gjorts tillgäng- liga eller överförs eller har överförts mellan en svensk myndighet och en stat som är medlem i EU, eller , , eller Liech- tenstein, eller ett EU-organ eller ett EU-informationssystem. Lagen ska gälla för behandling av personuppgifter som är helt eller delvis automatiserad samt annan behandling, om uppgifterna som be- handlas ingår i en strukturerad samling av personuppgifter som är till- gängliga för sökning eller sammanställning enligt särskilda kriterier. Lagen ska i viss utsträckning också gälla när svenska myndigheter överför till eller gör personuppgifter tillgängliga för en annan stat som är medlem i EU, , , eller , ett EU- organ eller ett EU-informationssystem. En justering av de tillåtna ändamålen för behandling görs i lagen om behandling av uppgifter i brottsbekämpande verksamhet. Den tydliggör att , i likhet med andra brottsbekämpande 2012/13:73 myndigheter, får behandla personuppgifter också i syfte att förebygga brottslig verksamhet. Utredningens förslag överensstämmer delvis med regeringens. Utred- ningen, som anser att lagens tillämpningsområde ska knytas till de myn- digheter som kommer att tillämpa lagen, behandlar inte frågan om ram- beslutets tillämpning på personuppgifter som överförs till eller från , , eller . Vidare lämnar utredningen inget förslag om lagens tillämpning på svenska myndigheters överföring av personuppgifter till andra stater. Eftersom utredningen inte bedömer det vara nödvändigt att reglera behandling av personuppgifter som över- förs till eller från ett EU-organ eller ett EU-informationssystem lämnar utredningen inte något förslag i denna del. Utredningen tar inte heller upp frågan om tillämpningsområdet bör påverkas av tidigare beslutade rättsakter. Remissinstanserna: Den övervägande delen av remissinstanserna till- styrker förslaget eller lämnar det utan invändningar. Ett antal remissin- stanser anser att begränsningen till helt eller delvis automatiserad be- handling medför otydligheter. Förvaltningsrätten i framhåller att en definition av begreppet automatiserad är av stor vikt då domstolen går mot att i större utsträckning använda och acceptera användningen av digital form av överklaganden, yttranden och andra skrivelser. anser att avgränsningen av lagen till att inte om- fatta personuppgifter som överförs från EU-myndigheter, EU-organ eller EU-gemensamma informationssystem framstår som omotiverad. Univer- sitetet menar också att det faktum att olika regler gäller för rent nationell personuppgiftsbehandling och gränsöverskridande personuppgiftsbe- handling kan leda till vissa tillämpningsproblem. Även anser att det skulle underlätta för tillämparen om det direkt av lagtexten fram- gick att personuppgifter också kan ha tagits emot från eller gjorts till- gängliga av aktuella informationssystem och inte enbart direkt från medlemsstater. välkomnar förslaget att lagen om behandling av uppgifter i brottsbekämpande verksamhet kompletteras med begreppet förebygga eftersom detta både förtydligar bestämmelsen och harmoniserar den i förhållande till vad som gäller för polisen enligt polisdatalagen (2010:361). framhåller att de i den föreslagna bestämmelsen om tillämpningsområdet uppräknade myndig- heterna bör anges i den ordning som är vedertagen i författningstext. påpekar att utredningen inte anger hur uppgifter som Sve- rige har tagit emot från bl.a. en EES-stat ska behandlas. Utkastet till lagrådsremiss överensstämmer i sak med regeringens förslag. Remissinstanserna: konstaterar att den i det tidigare ytt- randet framförda synpunkten att en så enhetlig reglering som möjligt inom EU och bör eftersträvas är helt tillgodosedd genom ut- formningen av 2 § i utkastet till lagrådsremiss. Säkerhets- och integritets- skyddsnämnden tillstyrker den utvidgning av lagens tillämpningsområde som förslaget i utkastet till lagrådsremiss innebär i förhållande till utred- ningens förslag. Nämnden anser dock att en erinran om att det finns andra författningar som också innehåller bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom EU Prop. 2012/13:73 bör införas i den föreslagna lagen. verket faller utanför lagens tillämpningsområde. Om regeringens avsikt är att myndigheten ska omfattas av den föreslagna lagen, anser verket att detta behöver analyseras ytterligare i lagstiftningsärendet. Skälen för regeringens förslag Rambeslutet syftar till att stärka skyddet för personuppgifter som över- förs inom ramen för polissamarbete och straffrättsligt samarbete. Därmed är det endast vissa myndigheter som berörs. Begreppet polissamarbete omfattar inte bara polisens verksamhet utan tar sikte på all brottsbekäm- pande verksamhet oavsett vilken myndighet som bedriver den. I bedrivs brottsbekämpning av såväl polisen som av , Kustbe- vakningen och i viss utsträckning samt av åklagare. Straff- rättsligt samarbete involverar åklagare och domstolar samt, när det gäller verkställighet av straffrättsliga påföljder, Kriminalvården och Kronofog- demyndigheten. Mot bakgrund av att regleringen i rambeslutet endast omfattar uppgif- ter som överförts inom ramen för nyssnämnda samarbete och därmed också bara berör ett fåtal myndigheter och endast delar av deras verk- samhet är avgränsningen av den nya lagens tillämpningsområde en vital fråga. Utredningen väljer att knyta tillämpningsområdet till vissa namngivna myndigheter. Regeringen anser, av skäl som utvecklas när- mare i det följande, att rambeslutet förutsätter en djupare analys när det gäller tillämpningsområdet. Artikel 1 i rambeslutet, som reglerar rambeslutets syfte och tillämp- ningsområde, innehåller inte några bestämmelser som i sig kräver lag- stiftningsåtgärder. Olika delar av artikeln, framför allt punkterna 2, 3 och 4, har dock betydelse för hur den nya lagens tillämpningsområde bör avgränsas. De behandlas därför i det följande. Förebygga, utreda, avslöja eller lagföra brott samt verkställa påföljder Enligt den inledande delen av artikel 1.2 omfattar rambeslutet bara sådan personuppgiftsbehandling som sker när personuppgifter överförs eller har överförts eller görs tillgängliga eller har gjorts tillgängliga i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Utredningen föreslår att lagen endast ska gälla för vidarebehandling av personuppgifter inom ramen för polissamarbete och straffrättsligt samar- bete och att lagen ska innehålla en uppräkning av de myndigheter som ska tillämpa den. Syftet med rambeslutet är att skapa ett enhetligt skydd för personupp- gifter som överförs inom ramen för polissamarbete och straffrättsligt samarbete. Rambeslutet utgår från att det ska tillämpas av myndigheter som bedriver sådan verksamhet och på informationssystem som inrättats i enlighet med avdelning VI i fördraget om Europeiska unionen eller för- draget om upprättande av Europeiska gemenskapen. Rambeslutet innehåller bestämmelser både om hur sådana uppgifter får samlas in för vissa ändamål och hur de får vidarebehandlas för andra ändamål. Regleringen får indirekt betydelse även för behand- lingen nationellt genom att svenska uppgifter som ska överföras till en annan medlemsstat måste hanteras så att kraven i rambeslutet kan upp- Lagens tillämpningsområde bör därför inte, som utredningen före- slår, begränsas till vidarebehandling av sådana uppgifter som svenska myndigheter har tagit emot. Den närmare avgränsningen av vilka typer av uppgifter som rambe- slutet omfattar regleras i artikel 1.2, av vilken framgår att rambeslutet ska tillämpas på uppgifter som överförs i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. anser att det är en bättre lagteknisk lösning att knyta an till uppräkningen av verksamhetsuppgifter i rambeslutet än att, som utredningen föreslår, i lag räkna upp de myndigheter som ska tillämpa lagen. det slaget riskerar snabbt att bli inaktuell. Dessutom kan en sådan upp- räkning ge intryck av att den är uttömmande och att lagen således inte gäller för andra myndigheter som eventuellt kan komma att få tillgång till uppgifter som har överförts enligt rambeslutets bestämmelser, t.ex. myn- digheter som endast i liten utsträckning fullgör åklagaruppgifter eller verkställer straffrättsliga påföljder. Eftersom det inte finns någon defi- nition av begreppet polisiärt samarbete, medför utredningens förslag dessutom en risk för att informationsutbyte av annat slag som sker via framför allt polisiära kanaler kan komma att träffas av regleringen trots att det inte är avsikten. Utöver polisen och åklagarväsendet är det som nämnts framförallt , , , Kriminalvården, Kronofog- demyndigheten och de allmänna domstolarna som kommer att utföra personuppgiftsbehandlingar som träffas av rambeslutets tillämpningsom- råde och som därför bör omfattas av den nya lagen. heter, t.ex. , kan i undantagsfall komma att utföra sådana personuppgiftsbehandlingar som bör omfattas av lagen för att rambeslutets krav ska tillgodoses. Denna myndighet kan exempelvis komma att få del av överförda personuppgifter i samband med verkstäl- lighet av sluten ungdomsvård. Det kan inte heller uteslutas att även andra myndigheter i något fall kan komma att få del av personuppgifter som omfattas av den föreslagna lagen. kommer verket inte att direkt omfattas av lagen eftersom myndighetens verksamhet inte utgör brottsbekämpning eller verkställighet av påföljder. Även om andra myndigheter inte får sådana uppgifter som omfattas av lagen direkt från en annan medlemsstat eller ett EU-organ, så kan de få dem via någon av de myndigheter som är det primära målet för regle- Rambeslutet förutsätter att personuppgifterna ska vara skyddade hos alla myndigheter, om uppgifterna och behandlingen omfattas av Enligt regeringens mening bör den föreslagna lagen därför inte begränsas till att gälla enbart hos vissa upp- räknade myndigheter utan gälla generellt för personuppgiftsbehandling i verksamhet som har till syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa påföljder, oavsett hos vilken myndighet behand- Genom att myndigheterna inte namnges så saknar den av framförda synpunkten om hur myndigheterna bör räknas upp betydelse. I sammanhanget kan noteras att rambeslutet i flera bestämmelser an- vänder uttrycket behörig myndighet. Även utredningens förslag innehål- ler detta uttryck. Enligt svensk rätt är det en grundläggande förutsättning för rätten att behandla personuppgifter att behandlingen ryms inom myn- dighetens uppdrag. Utgångspunkten måste ur svenskt perspektiv vara densamma när det gäller myndigheter i andra länder. Svenska myndig- heter ska således inte behöva ta ställning till om den myndighet som överför personuppgifter är att betrakta som behörig i sin hemstat. Rege- ringen anser mot denna bakgrund att det inte är nödvändigt att använda uttrycket behörig myndighet i lagtexten. När det gäller den närmare avgränsningen kan vidare konstateras att man i svensk lagstiftning brukar skilja mellan underrättelseverksamhet för att förebygga, förhindra eller upptäcka brottslig verksamhet och verk- samhet som går ut på att utreda och beivra konkreta brott. Då begreppet brott i rambeslutet bör tolkas så att det omfattar såväl konkreta brott som sådan icke-preciserad brottslig verksamhet som är föremål för underrät- telseverksamhet, anser regeringen att avgränsningen av den nya lagen bör formuleras på motsvarande sätt. Vidare anser regeringen att begreppen upptäcka och beivra stämmer bättre överens med språkbruket i svensk lagstiftning än begreppen avslöja och lagföra som används i rambe- slutet. Sammanfattningsvis anser således regeringen att lagen bör gälla när personuppgifter som överförs eller har överförts eller görs eller har gjorts tillgängliga behandlas i verksamhet som har till syfte att före- bygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller verkställa straffrättsliga påföljder. Att den nya lagens tillämpningsområde avgränsas på det sätt som rege- ringen föreslår innebär att lagen kan bli tillämplig i såväl underrättelse- arbete, förundersökning och brottmålsrättegång som vid verkställighet av påföljd. innebär avgränsningen att personuppgiftsbehandling för andra ändamål faller utanför tillämpningsområdet. Exempelvis faller rättslig hjälp i civilmål utanför, liksom t.ex. informationsutbyte som rör offer för olyckshändelser (även om informationen förmedlas via polisiära kanaler). I detta sammanhang bör framhållas att lagstiftning skiljer sig från övriga brottsbekämpande myndigheters på det sättet att det inte tydligt framgår att myndigheten också får behandla personuppgifter i syfte att förebygga brott, trots att det får anses ingå i dess uppgifter. För att åstadkomma likformighet i förhållande till övriga brottsbekämpande myndigheter föreslår utredningen att 7 § 1 lagen (2005:787) om behand- ling av uppgifter i brottsbekämpande verksamhet komplette- ras med begreppet förebygga. Det är angeläget att , vars verk- samhet bland annat innefattar brottsbekämpning, har samma möjligheter som andra brottsbekämpande myndigheter att behandla personuppgifter. Regeringen instämmer därför i utredningens bedömning att det i lagen om behandling av uppgifter i brottsbekämpande verksamhet bör tydliggöras att regleringen också omfattar behandling i syfte att före- bygga brottslig verksamhet. Även uppgifter som tillförs register som regleras i andra författningar än myndigheternas generella registerförfattningar kommer att omfattas av lagens tillämpningsområde, om registren i fråga har brottsbekämp- ning, lagföring eller straffverkställighet som ändamål. 2012/13:73 pelvis personuppgifter som kommer att flyta in i belastningsregistret, misstankeregistret, strafförelägganderegistret och ordningsbotsregistret, om uppgifterna är av den arten att rambeslutet är tillämpligt. Förenklat kan man säga att den föreslagna lagen kommer att innehålla vissa särskilda dataskyddsregler som gäller när personuppgifter som förts över medlemsstatsgränserna behandlas i exempelvis brottsbekämpande verksamhet. Bestämmelserna i t.ex. polisdatalagen och kustbevaknings- datalagen utgör dock fortfarande grunden för den behandling som äger rum när uppgifterna har mottagits. Exempelvis krävs det att polisdatala- gen ger stöd för att polisen behandlar personuppgifterna för ett visst ändamål.