prop · H00373 · 2013-02-27 00:00:00 — I 9 § personuppgiftslagen ställs bl.a. krav på att den personuppgiftsansva- rige vidtar alla rimliga åtgärder för att rätta, blockera eller utplåna fel- aktiga eller ofullständiga uppgifter (9 § första stycket h) och ser till att de uppgifter som behandlas är adekvata och relevanta i förhållande till än- damålen med behandlingen (9 § första stycket e) samt att uppgifterna är riktiga och, om det är nödvändigt, aktuella (9 § första stycket g). Härut- över föreskrivs i 28 § personuppgiftslagen att den registrerade har rätt att kräva att den personuppgiftsansvarige agerar i dessa avseenden, t.ex. vidtar rättelse. Personuppgiftslagen innehåller således bestämmelser som till stor del uppfyller kraven enligt artiklarna 4, 8 och 18 i rambeslutet. I ett avseende saknar dock personuppgiftslagen reglering som motsva- rar den som finns i artikel 8. Det handlar om den del av artikeln som föreskriver att mottagaren ska underrättas om det visar sig att felaktiga uppgifter har överförts eller att uppgifter har överförts olovli- gen. Utredningen lämnar inte något förslag i denna del. Enligt regering- ens mening är detta en regel som kräver genomförande för att rambeslu- tet ska anses vara uppfyllt, men regleringen kan göras på förordnings- nivå. Regeringen avser att genomföra den förordningsreglering som krävs. Regleringen i 28 § personuppgiftslagen omfattar i och för sig även be- handling av personuppgifter som överförts eller gjorts tillgängliga av utländska myndigheter eller EU-organ. Paragrafen gäller dock enligt sin ordalydelse bara när personuppgifter har behandlats i strid med person- uppgiftslagen eller föreskrifter som har utfärdats med stöd av personupp- giftslagen. Detta innebär att personuppgiftsbehandling i strid med be- stämmelser i särskilda registerförfattningar inte omfattas av bestämmel- sen om rättelse i 28 § personuppgiftslagen, om inte registerförfattningen genom en hänvisning uttryckligen anger att 28 § personuppgiftslagen ska gälla (prop. 1997/98:136 s. 78 och 97). Registerförfattningarna för de myndigheter som framförallt berörs av rambeslutet, polisen, åklagarvä- sendet, , , , Skatte- 2012/13:73 verket, Kriminalvården och domstolarna, innehåller bestämmelser med denna innebörd. Svensk rätt uppfyller därför artiklarna 4, 8 och 18 i ram- beslutet såvitt gäller berörda myndigheters registerförfattningar. Däremot saknar förordningen (1997:902) om register över strafföre- lägganden och förordningen (1997:903) om register över förelägganden av ordningsbot hänvisningar till personuppgiftslagens bestämmelse om rättelse. Dessa författningar innehåller inte heller några särskilda regler om rättelse. För att svensk rätt fullt ut ska leva upp till dataskyddsrambe- slutets artikel 18 bör nämnda förordningar förses med bestämmelser om rättelse. Regeringen avser att genomföra dessa förordningsändringar. Regeringens bedömning: Rambeslutets regler om sanktioner kräver inga lagstiftningsåtgärder. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte över betänkandet i denna del. Utkastet till lagrådsremiss överensstämmer med regeringens bedöm- Remissinstanserna yttrar sig inte över utkastet till lagrådsremiss i denna del. Skälen för regeringens bedömning: Enligt artikel 24 i rambeslutet ska medlemsstaterna föreskriva effektiva, proportionella och avskräck- ande påföljder för överträdelse av bestämmelser som antagits i enlighet med rambeslutet. I skäl 30 anges bl.a. att det ankommer på varje med- lemsstat att själv fastställa vilka påföljder som ska tillämpas vid överträ- delse av de nationella dataskyddsbestämmelserna. Utredningen bedömer att artikel 24 inte kräver några ändringar eller tillägg i svensk rätt. Som skäl för bedömningen hänvisar utredningen till tidigare bedömningar av samma fråga. Regeringen delar utredningens bedömning. Frågor om sanktioner för brott mot dataskyddsbestämmelser har diskuterats dels vid genomföran- det av dataskyddsdirektivet (prop. 1997/98:44 s. 108), dels vid genomfö- randet av rådets beslut /533 av om inrättande, drift och användning av andra generationen av Schengens informationssystem (SIS II), prop. 2009/10:86 s. 53 f, dels inför godkännandet av rådets beslut /633/RIF av om åtkomst till informationssy- stemet för viseringar (VIS) för sökningar för medlemsstaternas utsedda myndigheter och för Europol i syfte att förhindra, upptäcka och utreda terroristbrott och andra grova brott (prop. 2007/08:132 s. 17). I dessa sammanhang konstaterade regeringen att straffbestämmelserna i brotts- balken om dataintrång, tjänstefel och brott mot tystnadsplikt är tillräck- liga för att uppfylla de krav på sanktioner som har ställts. Regeringen gör ingen annan bedömning i detta fall. Artikel 24 i rambeslutet kräver såle- des inte några lagstiftningsåtgärder. Regeringens bedömning: Rambeslutets bestämmelser om överkla- gande kräver inte några lagstiftningsåtgärder. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte över betänkandet i denna del. Utkastet till lagrådsremiss överensstämmer med regeringens bedöm- Remissinstanserna yttrar sig inte över utkastet till lagrådsremiss i denna del. Skälen för regeringens bedömning: Enligt artikel 20 i rambeslutet ska den registrerade ha rätt att inför domstol föra talan mot kränkningar av sådana rättigheter som skyddas av den tillämpliga nationella lagstift- ningen. I 52 § första stycket personuppgiftslagen anges att beslut om informa- tion, rättelse och vissa andra beslut får överklagas hos allmän förvalt- ningsdomstol. I registerförfattningarna har frågan om rätt att överklaga en myndighets beslut rörande myndighetens personuppgiftsbehandling hanterats på olika sätt. Polisdatalagen och kustbevakningsdatalagen före- skriver att 52 § första stycket personuppgiftslagen ska gälla vid person- uppgiftsbehandling enligt dessa lagar. , Krimi- nalvårdens och registerförfattningar föreskriver att myndig- hetens beslut om rättelse och om information som ska lämnas enligt 26 § personuppgiftslagen får överklagas hos allmän förvaltningsdomstol. Registerförfattningen för åklagarväsendet innehåller en hänvisning till förvaltningslagens (1986:223) bestämmelser om överklagande hos all- män förvaltningsdomstol. Beträffande domstolarna föreskrivs att beslut om rättelse eller om att inte lämna information får överklagas. Dessa registerförfattningar innehåller hänvisningar till 33 § förvaltningspro- cesslagen (1971:291) för beslut av domstol. nämnda författningar innehåller således redan regler som uppfyller kraven i rambeslutet. I 17 § lagen (1999:90) om behandling av personuppgifter vid Skatte- verkets medverkan i brottsutredningar föreskrivs att beslut om rättelse får överklagas hos allmän förvaltningsdomstol. Bestämmel- sen reglerar således enbart överklagande av beslut om rättelse, men inte beslut om att inte lämna ut information. Utredningen gör bedömningen att det trots detta inte finns någon anledning att föreslå något tillägg i paragrafen och anger som skäl för bedömningen att personuppgiftslagen gäller utöver registerförfattning. Regeringen instämmer i bedömningen att det inte finns något behov av att ändra bestämmelsen om överklagande i lagen om behandling av per- sonuppgifter vid medverkan i brottsutredningar. Visserli- gen skulle den aktuella bestämmelsen kunna betraktas som en special- reglering som gäller i stället för 52 § personuppgiftslagen. Vid antagan- det av lagen om behandling av personuppgifter vid med- verkan i brottsutredningar uttalades dock att när det gäller andra beslut rörande personuppgiftsbehandling än beslut om rättelse, ska personupp- giftslagens regler om överklagande gälla (prop. 1998/99:34 s. 56 f.). fanns det inga särskilda regler om överklagande av beslut 2012/13:73 av personuppgiftsansvarig i personuppgiftslagen. finns dock en sådan bestämmelse i 52 § personuppgiftslagen. Mot denna bakgrund är det enligt regeringens mening inte nödvändigt att införa en bestämmelse om rätt att överklaga beslut om att inte lämna ut information i lagen om behandling av personuppgifter vid medverkan i brottsut- redningar. 6.12Överföring av personuppgifter till tredjeland Regeringens förslag: Personuppgifter får föras över till tredjeland eller ett internationellt organ endast om den som överfört eller gjort uppgifterna tillgängliga för svensk myndighet medgett att de överförs, det är nödvändigt för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller verkställa straff- rättsliga påföljder, mottagaren har ansvar för sådan verksamhet, och den stat där den mottagande myndigheten eller det mottagande internationella organet finns har en adekvat skyddsnivå för den av- sedda personuppgiftsbehandlingen. Om det generella kravet på adekvat skyddsnivå inte är uppfyllt, kan uppgifter ändå få överföras i ett enskilt fall om överföringen är moti- verad av ett berättigat intresse hos den som uppgifterna avser eller av ett särskilt viktigt allmänt intresse, eller om mottagaren tillhandahåller tillräckliga skyddsåtgärder i det enskilda fallet. Om medgivande på grund av tidsbrist inte kan utverkas i förväg, får överföring ändå ske om det är nödvändigt för att avvärja en omedelbar och allvarlig fara för allmän säkerhet. Detsamma gäller om det är nödvändigt för att avvärja en omedelbar och allvarlig fara för andra väsentliga intressen för eller en annan medlemsstat i EU. Utredningens förslag överensstämmer delvis med regeringens. Utred- ningen föreslår att överföring ska få ske utan medgivande endast om det är absolut nödvändigt. Utredningen föreslår ingen reglering av möjlig- heterna att överföra uppgifter till tredjeland eller internationellt organ om det inte finns en adekvat skyddsnivå och inte heller någon reglering av underrättelse till den som överfört eller gjort en personuppgift tillgänglig, vid vidareöverföring till tredjeland eller internationellt organ. Remissinstanserna framför inga synpunkter på förslaget i denna del. Utkastet till lagrådsremiss överensstämmer i sak med regeringens Remissinstanserna: anser att den föreslagna lydel- sen av 7 § lämnar ett betydande utrymme för myndighetsskön och saknar den precision som är en förutsättning för en rättssäker tillämpning med tillräcklig förutsebarhet för de involverade personerna. advokat- samfund menar att det ur ett integritetsskyddsperspektiv inte framstår som lämpligt med en så generellt utformad undantagsbestämmelse som den föreslagna bestämmelsen i 7 § andra stycket. att det av rättssäkerhetsskäl inte är acceptabelt att utan närmare preci- sering i lag överlämna till rättstillämpningen att avgöra vilka situationer som ska kunna medföra avsteg från krav på adekvat skyddsnivå för över- föring av personuppgifter. Samfundet delar vidare utredningens uppfatt- ning om att det inte finns skäl att införa bestämmelsen i artikel 13.3 i den nya lagen och ansluter sig därför till det förslag som lagts fram av utred- ningen. Skälen för regeringens förslag: Enligt artikel 13.1 gäller särskilda regler för när personuppgifter, som har erhållits i enlighet med rambe- slutet, överförs till ett tredjeland eller till ett internationellt organ. En sådan överföring får göras bara om den stat från vilken uppgifterna har erhållits har gett samtycke till överföringen, överföringen är nödvändig för att förebygga, utreda, upptäcka eller lagföra brott eller för verkställig- het av en straffrättslig påföljd och om mottagaren har ansvar för sådan verksamhet, samt det finns en adekvat skyddsnivå för databehandling i den stat i vilken mottagande myndighet eller mottagande internationellt organ finns. För att det ska vara tillåtet att föra över uppgifter eller göra dessa tillgängliga måste samtliga dessa villkor som huvudregel vara uppfyllda. Enligt artikel 13.2 finns dock möjlighet att överföra personuppgifter utan ett medgivande i förväg. Enligt artikeln krävs då att överföringen är absolut nödvändig, antingen för att avvärja en omedelbar och allvarlig fara för den allmänna säkerheten i en medlemsstat eller en tredjestat eller för att tillgodose en medlemsstats väsentliga intressen samt att ett för- handsmedgivande inte hinner utverkas . Om överföring sker utan medgivande ska enligt artikel 13.2 sista meningen den myndighet, vars medgivande till överföring krävs, underrättas utan dröjsmål. Utredningen föreslår att artikel 13 ska genomföras genom en bestäm- melse i den nya lagen. Utredningens förslag innehåller dock ingen regle- ring som motsvarar artikel 13.2 sista meningen. Regeringen instämmer i utredningens bedömning att artikel 13 bör genomföras genom en bestämmelse i den nya lagen. Regleringen bör dock utformas på ett något annorlunda sätt än vad utredningen föreslår. Det bör framgå av bestämmelsen att den riktar sig till berörda svenska myndigheter. Regeringen anser vidare att det är tillräckligt att bestäm- melsen anger att överföring i en akut situation får ske utan medgivande om det är nödvändigt för de i rambeslutet angivna syftena. Bestämmelsen bör också formuleras på motsvarande sätt som regleringen av lagens tillämpningsområde (förebygga, förhindra eller upptäcka brottslig verk- samhet, utreda eller beivra brott eller verkställa straffrättsliga påföljder, jfr vad som sägs i avsnitt 6.4.1). Slutligen bör det även finnas en regel om att den som överfört eller gjort en personuppgift tillgänglig ska underrättas om överföringen . Det sistnämnda kan dock regleras i förordning. Artikel 13.3 i rambeslutet innehåller en möjlighet till undantag från kravet på adekvat skyddsnivå. Personuppgifter får i vissa fall överföras trots att kravet på adekvat skyddsnivå inte är uppfyllt. a) den nationella lagstiftningen i den medlemsstat som överför uppgif- terna föreskriver detta på grund av i)den registrerades legitima specifika intressen, eller ii)legitima faktiska intressen, främst viktiga allmänna intressen, eller 2012/13:73 b) om tredje staten eller mottagande internationella organ sörjer för skyddsåtgärder som av den berörda medlemsstaten bedöms som adekvata i enlighet med dennas nationella lagstiftning. I artikel 13.4 anges vilka faktorer som ska beaktas vid bedömningen av om mottagaren har en adekvat skyddsnivå. Dessa faktorer behöver enligt regeringens mening inte återspeglas i lagtexten. Utredningen berör inte denna del av artikel 13 på annat sätt än att det anges att det inte finns skäl att reglera ytterligare delar av artikel 13. delar utredningens uppfattning på denna punkt. Enligt regeringens mening är det av stor vikt att det regleras vad som gäller i de fall där ett visst tredjeland eller ett internationellt organ inte generellt kan anses ha en adekvat skyddsnivå, men där det i det enskilda fallet är angeläget att, trots detta, kunna föra över vissa uppgifter. Ett exempel på när bestämmelsen kan vara tillämplig är om en misstänkt har överlämnats till enligt den europeiska arresteringsordern och denne lyckas fly från lagföring eller verkställighet av straff och kan antas befinna sig i tredjeland från vilket svenska myndigheter begär denne utlämnad. Ett annat exempel är att svenska myndigheter fått uppgifter från en annan EU-stat om att en misstänkt terrorist befinner sig här i landet och att denne identifieras först när han begett sig till tredjeland. Av bestämmelsen om överföring till tredjeland eller internationellt organ bör därför framgå att personuppgifter ska kunna överföras i ett enskilt fall också om ett berättigat intresse hos den som uppgifterna avser eller ett särskilt viktigt allmänt intresse föranleder det, eller om den motta- gande staten eller det internationella organet i det enskilda fallet tillhan- dahåller tillräckliga skyddsåtgärder. menar vidare att bestämmelsen i den före- slagna 7 § andra stycket är för oprecis och generellt utformad. Lunds uni- versitet framför liknande synpunkter. Regeringen delar inte denna upp- fattning. Det handlar om en begränsad mottagarkrets där endast vissa typer av mottagare ingår. Detta underlättar bedömningen av vilken skyddsnivå som kommer att gälla för uppgifter som överförs. Mot denna bakgrund är den föreslagna preciseringsnivån tillräcklig. Regeringen an- ser dock att det bör tydliggöras att kravet på en adekvat skyddsnivå avser mottagande stat. 6.13Överföring av personuppgifter till enskilda Regeringens förslag: Personuppgifter får föras över till enskilda om den som fört över eller gjort uppgifterna tillgängliga har medgett att de förs över, överföringen är nödvändig för att a)myndigheten ska kunna fullgöra en författningsenlig uppgift, b)förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller verkställa straffrättsliga påföljder, c)avvärja en omedelbar och allvarlig fara för allmän säkerhet, eller d)förhindra att enskildas rättigheter allvarligt kränks, och inga berättigade intressen hos den som uppgifterna avser hindrar att de förs över. Det sagda ska dock inte gälla i fråga om uppgifter som lämnas till enskilda vid handläggning av brottmål. Utredningens förslag överensstämmer delvis med regeringens. Utred- ningen bedömer att det inte är nödvändigt att göra undantag för parter i brottmål. Utredningen föreslår även att regleringen ska begränsas till att gälla överföring till privat part i annan medlemsstat. Remissinstanserna: Flertalet av remissinstanserna framför inga syn- punkter på förslaget i denna del. anser att benäm- ningen part inte bör användas i regleringen och att de undantag som anges i skäl 18 i rambeslutet, dvs. att privata parter i brottmål inte om- fattas, bör komma till uttryck i lagen. Datainspektionen anser att avsikten med artikel 14 är att generellt förhindra att uppgifter som härrör från en medlemsstat lämnas ut till privata parter (dvs. varken till den mottagande staten eller till andra medlemsstater) utan att den överförande staten ges tillfälle att samtycka till detta. Utredningen föreslår att det i lagen om användningsbegränsningar införs en bestämmelse som begränsar överfö- ring av uppgifter till en privat part i en annan medlemsstat än . Det kan enligt Datainspektionens mening ifrågasättas om den formule- ring som utredningen valt för att genomföra artikel 14 är förenlig med rambeslutets intentioner. Utkastet till lagrådsremiss överensstämmer i sak med regeringens förslag. Remissinstanserna yttrar sig inte över utkastet till lagrådsremiss i denna del. Skälen för regeringens förslag: Enligt artikel 14 i rambeslutet får personuppgifter som överförts från eller gjorts tillgängliga av en behörig myndighet i en annan medlemsstat, eller som annars omfattas av rambe- slutets tillämpningsområde, överföras till enskilda (privata parter) endast under vissa förutsättningar. För att överföring av sådana uppgifter ska få ske till enskilda krävs att a)den medlemsstat från vilken uppgifterna erhållits har samtyckt till överföringen, b)inga legitima intressen för den registrerade personen hindrar överfö- ringen, och c)överföringen är absolut nödvändig för att den som överför uppgif- terna till en enskild ska kunna i)utföra en lagenlig uppgift, ii)förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, iii)avvärja en omedelbar och allvarlig fara för den allmänna säkerheten, eller iv) förhindra att enskilda personers rättigheter lider allvarlig skada. I artikel 14 föreskrivs vidare att den som överför uppgifterna till en privat part ska underrätta mottagaren om vilka ändamål uppgifterna ute- slutande får användas för. Utredningen föreslår att den paragraf som genomför artikel 14 ska vara tillämplig endast när uppgifter som har överförts eller gjort tillgängliga av en annan medlemsstat inom EU förs över till enskild person i en annan medlemsstat. Flertalet av remissinstanserna framför inte några invändningar mot ut- redningens förslag i denna del. menar dock att de undantag som anges i skälen till rambeslutet bör komma till uttryck i Datainspektionen ifrågasätter om utredningens förslag är förenligt med rambeslutets intentioner. Regeringen delar utredningens åsikt att artikel 14 behöver genomföras i den nya lagen. Regeringen anser dock att artikeln sätter gränser för överföring till enskilda, oavsett om dessa befinner sig i eller i någon annan medlemsstat. Detta överensstämmer också med Datain- Regleringen bör därför vara generell. Bestämmelsen bör också i övrigt formuleras på ett något annorlunda sätt än vad utredningen föreslår. Det bör framgå av bestämmelsen att den riktar sig till berörda svenska myndigheter och den bör utformas på lik- nande sätt som regeln om överföring till tredjeland och internationella organ (se avsnitt 6.12). Artikel 14 handlar enligt sin ordalydelse om privata parter (i den engel- ska versionen private parties). Utredningen föreslår samma formule- Enligt regeringens mening leder begreppet parter tanken till parter i ett avtalsförhållande eller i ett rättegångsförfarande. Det är emellertid inte vad som åsyftas i artikel 14. Enligt regeringens mening bör regleringen i denna del i stället avse överföringar som sker till enskilda. i motsats till privat part ett vedertaget begrepp i svensk lagstiftning. Av skäl 18 framgår att rambeslutets bestämmelser om överföring av information till privata parter inte omfattar personuppgifter som lämnas från domstolar, polisen eller tullmyndighet till privata parter i brottmål. Som exempel på sådana nämns försvarsadvokater och brottsoffer. ningen gör bedömningen att detta är en självklar förutsättning i svensk rätt och att det därför inte är nödvändigt att ta in en bestämmelse av den innebörden i den nya lagen. bör komma till uttryck i den nya lagen. Även om begreppet privat part byts ut mot begreppet enskild kan den nya bestämmelsens ordalydelse tolkas som att den begränsar möjlighe- terna att lämna ut uppgifter till exempelvis parter och ombud i brottmåls- Regeringen instämmer därför i be- dömning att det uttryckligen bör framgå av lagen att reglerna om över- föring till enskild inte hindrar utlämnande till bl.a. målsägande och för- svarare i brottmål. Som nämns ovan (avsnitt 6.6.4) ska artikel 14 inte tolkas så att den förhindrar ett utlämnande av överförda uppgifter med stöd av offent- Den typ av uppgifter som avses i rambeslutet är dock som regel sekretessreglerade genom bestämmelserna i 18 kap. och 35 kap. offentlighets- och sekretesslagen. I likhet med vad som sägs angående artikel 13 anser regeringen att den bestämmelse som genomför artikel 14 blir tillräckligt tydlig även om den inte förstärks genom begreppet absolut. Det är således enligt regeringens mening tillräckligt att bestämmelsen anger att överföring får ske om det är nödvändigt för att förebygga, förhindra eller upptäcka brottslig verk- samhet, avvärja en omedelbar och allvarlig fara för den allmänna säker- heten eller andra liknande skäl. Lagrådet anser att ett av villkoren i bestämmelsen om överföring till enskilda bör utformas på ett något annorlunda sätt än i lagrådsremissen. Lagrådet menar att det bör framgå att överföringen är nödvändig för att Prop. 2012/13:73 myndigheten ska kunna fullgöra en författningsreglerad skyldighet. en sådan formulering snävas bestämmelsen in. I den svenska översätt- ningen talas om en uppgift som myndigheten lagenligen tilldelats och i den engelska versionen om a task lawfully assigned. Villkoret bör allt- så även täcka sådana uppgifter som en myndighet kan utföra utan att vara direkt specificerade som skyldigheter i en författning. Uttrycket författ- ningsreglerad skyldighet blir enligt regeringens mening snävare än vad som är avsett. Däremot anser regeringen att den i lagrådsremissen an- vända formuleringen bör ändras så att villkoret omfattar författningsreg- lerad uppgift. I övrigt bör bestämmelsen utformas i enlighet med Lagrå- dets förslag. 6.14Dataskyddsbestämmelser i tidigare antagna rättsakter Regeringens förslag: Från lagens tillämpningsområde undantas så- dant informationsutbyte som regleras i vissa tidigare EU-rättsakter där det redan införts svenska regler om dataskydd.