prop · H00373 · 2013-02-27 00:00:00 — Utredningens förslag överensstämmer inte med regeringens. Utred- ningen föreslår att artikel 28, som reglerar rambeslutets förhållande till tidigare antagna EU-rättsakter, ska genomföras genom en övergångsbe- stämmelse till den nya lagen. Remissinstanserna: Flertalet remissinstanserna berör inte denna fråga. påpekar dock att det i betänkandet inte redogörs för vilka rättsakter som är aktuella eller hur tillämparen ska ta reda på detta. Utkastet till lagrådsremiss överensstämmer med regeringens förslag. Remissinstanserna: Datainspektionen instämmer i regeringens bedömning att det är nödvändigt med ett undantag för sådana särskilda bestämmelser som avser dataskydd inom ramen för informationsutbyte enligt SIS, TIS, Prümrådsbeslutet och VIS, mot bakgrund av artikel 28 i rambeslutet. Inspektionen påpekar att artikel 28 anger att om sådana rättsakter innehåller särskilda villkor, ska dessa ha företräde framför rambeslutet. Enligt inspektionen bör undantaget i den föreslagna lagen på motsvarande sätt knyta an till om det finns särskilda dataskyddsbestäm- melser i regleringen av SIS m.m. och den föreslagna bestämmelsen i 3 § andra stycket därför formuleras så att den anger att lagen inte gäller i den mån det finns särskilda dataskyddsbestämmelser i regleringen av in- formationsutbyte genom SIS, TIS m.m. Skälen för regeringens förslag Enligt artikel 28 ska sådana EU-rättsakter som reglerar utbyte av person- uppgifter mellan medlemsstaterna eller tillgång till EU-informationssys- tem och som har antagits före rambeslutets ikraftträdande ha företrä- de framför bestämmelserna i dataskyddsrambeslutet i de delar de först- 2012/13:73 nämnda innehåller särskilda villkor för hur mottagaren får använda upp- gifterna. Skäl 39 och 40 i rambeslutet förtydligar innehållet i artikeln. I skäl 39 framhålls att flera tidigare antagna EU-rättsakter innehåller särskilda be- stämmelser om skydd av personuppgifter som överförs eller på något annat sätt behandlas i enlighet med rättsakterna. I några fall utgör dessa bestämmelser en komplett uppsättning regler som omfattar alla relevanta aspekter av dataskydd och som reglerar dessa frågor mer detaljerat än rambeslutet. Dataskyddsbestämmelserna i dessa rättsakter, särskilt de som reglerar funktionssättet för Europol, Eurojust, Schengens informa- tionssystem (SIS) och tullinformationssystemet (TIS) samt de rättsakter genom vilka medlemsstaternas myndigheter ges direkt tillgång till vissa datasystem i andra medlemsstater, bör enligt skäl 39 inte påverkas av rambeslutet. Detsamma gäller de dataskyddsbestämmelser som reglerar automatisk överföring av DNA-profiler, fingeravtrycksuppgifter och uppgifter ur i enlighet med det s.k. Prümråds- beslutet. Enligt skäl 40 är i andra fall räckvidden för dataskyddsbestämmelserna i olika äldre EU-rättsakter mer begränsad. Ofta fastställs det i dessa rätts- akter särskilda villkor för vilka ändamål som en medlemsstat som tar emot personuppgifter får använda uppgifterna, medan det beträffande övriga dataskyddsaspekter hänvisas till dataskyddskonventionen eller till nationell lagstiftning. I den mån det i bestämmelserna i dessa rättsakter fastställs villkor för användning eller vidareöverföring av personuppgif- ter som är strängare än villkoren i rambeslutet, ska de förstnämnda inte heller påverkas. I alla övriga avseenden ska de regler som fastställs i rambeslutet gälla. Utredningen föreslår att regleringen i artikel 28 ska genomföras i form av en övergångsbestämmelse till den nya lagen. Som påpekar redogör utredningen inte för vilka rättsakter som skulle kunna omfattas av den föreslagna övergångsbestämmelsen. Detta framgår inte heller av den föreslagna övergångsbestämmelsen. Rättsakter inom den f.d. tredje pelaren är inte direkt tillämpliga i med- lemsstaterna, utan ska vid behov genomföras i nationell lagstiftning. Redan av det skälet är det inte möjligt att utforma regleringen på det sätt som utredningen föreslår. Den fråga som aktualiseras är således på vilket sätt de aktuella rättsakterna har genomförts i svensk rätt och vilka even- tuella lagstiftningsåtgärder som krävs för att klarlägga förhållandet mel- lan den föreslagna nya lagen och redan genomförda regleringar. De EU-rättsakter som har antagits före rambeslutets ikraftträdande och som inom det aktuella området reglerar utbyte av personuppgifter mellan medlemsstaterna eller tillgång till EU-informationssystem kan något förenklat delas in i sådana som har direkt betydelse för svenska myndig- heter och som har genomförts (eller planeras genomföras) i svensk lag- stiftning och sådana som endast rör eller interna arbete och som inte har medfört några lagstiftningsåtgärder i . EU-rättsakter som har genomförts eller ska genomföras i svensk lagstift- ning De EU-rättsakter, antagna före rambeslutets ikraftträdande, som har genomförts eller ska genomföras i svensk lagstiftning och som reglerar utbyte av personuppgifter mellan medlemsstaterna eller tillgång till EU- informationssystem inom det aktuella området, dvs. rättsakter om poli- siärt och straffrättsligt samarbete inom EU, är följande (underlaget till redovisningen är hämtat från kommissionens material rörande den nya dataskyddsreformen, se Impact assessment on the reform of personal data protection in the EU, ). 1.Konventionen av om tillämpning av Schengenav- talet av mellan regeringarna i Beneluxstaterna, Tysk- land och om det gradvisa avskaffandet av kontroller vid de gemensamma gränserna (EUT L 239, 22.9.2000, s. 19; se prop. 1999/2000:61 s. 144 f. och prop. 1999/2000:64 s. 158 f.). 2.Rådets beslut /533/RIF av om inrättande, drift och användning av andra generationen av Schengens informationssystem (SIS II) (EUT L 205, , s. 63; se prop. 2009/10:86). Beslutet har genomförts men lagändringarna börjar gälla först den dag regeringen bestämmer, eftersom systemet ännu inte tagits i drift. Rådets beslut /211/RIF av om införande av ett antal nya funktioner för Schengens informationssystem, bland annat i kampen mot terrorism (EUT L 68, , s. 44). Beslutet genomfördes inte på grund av det arbete som kommissionen sedermera inledde med SIS II (se prop. 2006/07:37 s. 5). 3.Konventionen upprättad på grundval av artikel K 3 i fördraget om Europeiska unionen om ömsesidigt bistånd och samarbete mellan tullför- valtningar (EUT C 24, 23.1.1998, s. 2). Konventionen reglerar sådana uppgifter som utväxlas utanför tullinformationssystemet (TIS). För en närmare redogörelse se prop. 1999/2000:122 s. 45 f. 4.Rådets akt av om att i enlighet med artikel 34 i Fördraget om Europeiska unionen upprätta konventionen om ömsesidig rättslig hjälp i brottmål mellan Europeiska unionens medlemsstater (EUT C 197, , s. 1; se prop. 1999/2000:61 och prop. 2004/05:144). 5.Rådets rambeslut /584/RIF av om en europe- isk arresteringsorder och överlämnande mellan medlemsstaterna (EUT L 190, , s. 1; prop. 2003/04:7). Regleringen innehåller inga bestämmelser om dataskydd, varför dataskyddsrambeslutets bestämmel- ser ska tillämpas. 6.Rådets beslut /187/RIF av om inrättande av Eurojust för att stärka kampen mot grov brottslighet (EUT L 63, , s. 1; prop. 2001/02:86). 7.Det s.k. Prümrådsbeslutet, rådets beslut /615/RIF av om ett fördjupat gränsöverskridande samarbete, särskilt för be- kämpning av terrorism och gränsöverskridande brottslighet (EUT L 210, , s. 1; prop. 2009/10:177 och prop. 2010/11:129). Rådets beslut /616/RIF av om genomförande av beslut /615/RIF om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet (EUT L 210, , s. 12), fastställer endast de nödvändiga administ- 2012/13:73 rativa och tekniska bestämmelserna för genomförandet av Prümrådsbe- slutet och har därför inte föranlett någon lagstiftning. Rådets rambeslut /960/RIF av om för- enklat informations- och underrättelseutbyte mellan de brottsbekäm- pande myndigheterna i unionens medlemsstater (EUT L 386, 29.12.2006, s. 89). Rambeslutet har genomförts genom förordningen (2008:1396) om förenklat uppgiftsutbyte mellan brottsbekämpande myn- digheter i Europeiska unionen. Förordningen är även tillämplig på in- formationsutbyte enligt rådets beslut /845/RIF av om samarbete mellan medlemsstaternas kontor för återvinning av tillgångar när det gäller att spåra och identifiera eller annan egendom som härrör från brott (EUT L 332, 18.12.2007, s. 103). Rådets beslut /633/RIF av om åtkomst till in- formationssystemet för viseringar (VIS) för sökningar för medlemsstater- nas utsedda myndigheter och för Europol i syfte att förhindra, upptäcka och utreda terroristbrott och andra grova brott (EUT L 218, , s. 129). Arbetet med att genomföra rådsbeslutet i svensk rätt pågår (se Ds 2011:27 angående förslag till genomförande). De nu aktuella EU-rättsakterna har i huvudsak genomförts i följande författningar: lagen och förordningen om internationell rättslig hjälp i brottmål, lagen och förordningen om internationellt polisiärt samarbete, lagen och förordningen om Schengens informationssystem, lagen och förordningen om vissa former av internationellt samarbete i brottsutredningar, och lagen och förordningen om internationellt tullsamarbete. Dessa författningar innehåller, som tidigare redovisats, framför allt dataskyddsbestämmelser i form av bestämmelser om användningsbe- gränsningar. Lagen om internationellt polisiärt samarbete och lagen om Schengens informationssystem innehåller vissa ytterligare dataskyddsbe- stämmelser i form av bl.a. ändamålsbegränsningar och gallringsregler. EU-rättsakter som inte har krävt svensk lagstiftning Följande EU-rättsakter har antagits före dataskyddsrambeslutet, men har inte krävt någon svensk lagstiftning. 1.Rådets beslut av om inrättande av ett sekreta- riat för de gemensamma tillsynsorgan för dataskydd som bildades genom konventionen om upprättandet av en europeisk polisbyrå; Europolkon- ventionen, konventionen om användning av informationsteknologi för tulländamål och konventionen om tillämpning av om det gradvisa avskaffandet av kontroller vid de gemensamma gränserna; (EUT L 271, 24.10.2000, s. 1). 2.Rådets beslut av om en samarbetsordning för medlemsstaternas finansunderrättelseenheter avseende utbyte av infor- mation (EUT L 271, 24.10.2000, s. 4). 3.Rådets beslut /426/RIF av om förstärk- ning av Eurojust och om ändring av beslut /187/RIF om inrättande av Eurojust för att stärka kampen mot grov brottslighet (EUT L 138, , s. 14). För sådana äldre EU-rättsakter som inte innehåller några dataskyddsbe- stämmelser alls, exempelvis rambeslutet om en europeisk arresteringsor- der, kommer den nya lagen att vara tillämplig. De tidigare antagna EU-rättsakter som är av den arten att de enligt rambeslutet ska ha företräde framför rambeslutet har, med något enstaka undantag, genomförts i svensk rätt. De speciella dataskyddsregler som dessa rättsakter har gett upphov till förutsätts i dataskyddsrambeslutet kunna fortsätta att tillämpas, om de ingår i ett genomtänkt system för dataskydd. I rambeslutet nämns särskilt informationsutbyte genom Euro- pol, Eurojust, SIS och TIS samt Prümrådsbeslutet. När det gäller informationsutbyte genom SIS, TIS och Prümrådsbeslu- tet har det införts dataskyddsbestämmelser i svensk rätt. Något skäl att ändra dessa regler med anledning av dataskyddsrambeslutet finns enligt regeringens mening inte. Däremot krävs det att det i den nya lagen anges att den inte ska tillämpas på informationsutbyte som sker genom SIS eller TIS eller med stöd av Prümrådsbeslutet. Rådsbeslutet om åtkomst till informationssystemet för viseringar (VIS), som är ett EU-informationssystem, innehåller också särskilda dataskyddsregler. Rådsbeslutet har ännu inte börjat tillämpas. Arbetet med att genomföra rådsbeslutet i svensk rätt pågår och det finns därför skäl att redan nu anpassa den nya lagen till regleringen i denna EU-rätts- akt. Av skäl 9 i VIS-rådsbeslutet framgår att man tänkte sig att data- skyddsrambeslutet skulle komma att göras tillämpligt på uppgiftsutbyte med stöd av rådsbeslutet. VIS-rådsbeslutet innehåller emellertid en sådan uppsättning regler om dataskydd som åsyftas i skäl 39. De specifika regler som krävs för att genomföra den EU-rättsakten kan svårligen för- enas med den generella reglering som föreslås. Regeringen anser därför att uppgiftsutbyte med stöd av VIS-rådsbeslutet bör undantas från den nya lagens tillämpningsområde. Om man bortser från informationsutbytet via SIS som enligt rege- ringens förslag ska undantas från lagens tillämpningsområde finns det inte några dataskyddsbestämmelser för informationsutbyte med Europol och Eurojust utöver de generella reglerna i lagen om internationellt poli- siärt samarbete och lagen om internationell rättslig hjälp i brottmål. Både Europol och Eurojust är EU-myndigheter. Den nya lagen bör gälla för informationsutbyte med dessa EU-organ. Datainspektionen anser att undantagen i den nya lagen inte bör gälla generellt för informationsutbyte genom SIS, TIS etc., utan endast i den mån det finns särskilda dataskyddsbestämmelser i den reglering som avser sådant informationsutbyte. Även om en sådan lösning i teorin vore att föredra, skulle den enligt regeringens mening leda till en ännu mer komplex lagstiftning. Regleringen av nämnda informationsutbyten har byggts upp utifrån vissa särskilda dataskyddsregler som kompletteras av de vanliga dataskyddsreglerna. Ett fullgott skydd finns således redan när det gäller dessa informationsutbyten. Med hänsyn härtill och då data- skyddsrambeslutet inte ställer krav på att alla dataskyddsregler ska sam- las i en och samma reglering, anser regeringen att den valda lösningen är lämpligare. 2012/13:73 Lagrådet föreslår att bestämmelsen om undantag för informationsut- byte som regleras i tidigare antagna EU-rättsakter formuleras annorlunda än i lagrådsremissen. Regeringen delar Lagrådets uppfattning att det tydligare bör framgå att undantaget inte bara omfattar det initiala infor- mationsutbytet utan också den efterföljande behandlingen av sådana uppgifter. Eftersom undantagen bör tillämpas även på uppgifter som en svensk myndighet överför eller gör tillgängliga bör bestämmelsen dock utformas något annorlunda än vad Lagrådet föreslår. Lagrådets förslag till skrivning angående de enskilda punkterna innebär att undantaget i fråga om visst informationsutbyte (punkterna 3 och 4) blir missvisande och att regleringen i fråga om punkt 1 snävas in på ett sätt som inte är avsett. Regeringen anser därför att Lagrådets förslag inte bör följas i denna del. Regeringens bedömning: Rambeslutets bestämmelse om förhållandet till avtal med tredjeland kräver inte några lagstiftningsåtgärder. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte över betänkandet i denna del. Utkastet till lagrådsremiss överensstämmer med regeringens bedöm- Remissinstanserna yttrar sig inte över utkastet till lagrådsremiss i denna del. Skälen för regeringens bedömning: Enligt artikel 26 ska rambeslutet inte påverka medlemsstaternas eller unionens skyldigheter och åtaganden enligt de bilaterala eller multilaterala avtal med tredje stater som förelåg när rambeslutet antogs. När sådana avtal tillämpas ska överföringen till en tredje stat av personuppgifter som har erhållits från en annan med- lemsstat genomföras med respekt för innehållet i artikel 13.1 och 13.2. Utredningen bedömer att artikeln inte kräver någon lagstiftningsåtgärd. Samma bedömning gjordes i godkännandepropositionen. Regeringen in- stämmer i bedömningen. Att ingen lagstiftningsåtgärd vidtas får till följd att den nya lagen ska tillämpas när det blir fråga om att föra över uppgif- ter som omfattas av lagen till ett tredjeland. Detta skulle visserligen i undantagsfall kunna resultera i en situation där ett äldre avtal med ett tredjeland ålägger en svensk myndighet att överföra en viss uppgift som kommer från en annan EU-stat eller ett EU-informationssystem, och där den nya lagen föreskriver att uppgiften inte får överföras på grund av att den stat varifrån uppgiften ursprungligen kommer inte medger överföring till det tredjelandet, eller på grund av att mottagaren inte anses ha en adekvat skyddsnivå. Eftersom äldre avtal sannolikt inte ger samma data- skydd som den nya lagen anser regeringen dock att det rimligt att lagen görs tillämplig i sådana situationer. Rambeslutet hindrar, som tidigare nämnts, inte en sådan lösning. 6.16Förhållandet mellan den nya lagen och myndigheternas registerförfattningar Regeringens förslag: Hänvisningar till den nya lagen införs i myn- digheternas registerförfattningar och i berörda författningar som regle- rar vissa särskilda register. Hänvisningarna klargör i förekommande fall vilken lagstiftning som har företräde. Utredningens förslag överensstämmer delvis med regeringens. Utred- ningens förslag anger inte i vilken utsträckning den nya lagen har före- träde framför befintliga författningar om personuppgiftsbehandling. Ut- redningen föreslår inte heller någon hänvisning i lagen (2000:343) om internationellt polisiärt samarbete. Remissinstanserna: Ingen av remissinstanserna har invändningar mot utredningens förslag i denna del. Utkastet till lagrådsremiss överensstämmer med regeringens förslag. Remissinstanserna yttrar sig inte över utkastet till lagrådsremiss i Skälen för regeringens förslag: Personuppgiftslagen (1998:204) är tillämplig på all behandling av personuppgifter, om det inte finns avvi- kande regler i någon annan författning. Sådana avvikande regler finns för de aktuella myndigheterna i deras respektive registerförfattningar och i vissa andra författningar som reglerar särskilda register. Den lag som föreslås innehåller bestämmelser som i sin tur delvis avviker från regis- terförfattningarna. Det bör enligt utredningen införas hänvisningar till den nya lagen i myndigheternas registerförfattningar och i vissa av de lagar som be- handlar särskilda register inom lagens tillämpningsområde. Utredningen föreslår att hänvisningar ska göras i form av rena upplysningsbestämmel- ser. Regeringen instämmer i utredningens bedömning av behovet av hänvisningar. Regeringen anser dock dels att hänvisningarna bör utfor- mas på ett annat sätt än vad utredningen föreslår, dels att ytterligare hän- visningar krävs. Regeringen bedömer vidare, av de skäl som anges i avsnitt 6.14, att det inte ska göras någon hänvisning till den nya lagen i lagen om Schengens informationssystem. Hänvisningarna i myndigheternas registerförfattningar bör utformas så att det framgår huruvida den nya lagen har företräde framför myndighe- tens registerförfattning, i den mån den nya lagen innehåller bestämmelser som avviker från registerförfattningen. En sådan reglering underlättar för tillämparen. Som framgår i avsnitt 6.4.1 kan undantagsvis även vissa andra myn- digheter än de som primärt berörs komma att bli skyldiga att tillämpa den nya lagen. Regeringen gör bedömningen att det inte är möjligt att förutse alla de situationer i vilka en myndighet teoretiskt sett skulle kunna få uppgifter som omfattas av lagens tillämpningsområde. Så som det poli- siära och straffrättsliga samarbetet inom EU är uppbyggt kommer emel- lertid informationsutbytet att äga rum mellan de svenska myndigheter vilkas registerförfattningar föreslås ändrade, medan de andra myndig- heter som eventuellt kan komma att få uppgifter, får dem vidarebeford- rade till sig från någon av de förstnämnda myndigheterna. 2012/13:73 ningssystem som nämns i avsnitt 6.18 kommer då att fungera som en påminnelse om att den nya lagen ska tillämpas på uppgifterna. Mot den bakgrunden finner regeringen inte skäl att föreslå hänvisningar till den nya lagen i några andra registerförfattningar för myndigheter än de som utredningen föreslagit. I lagen (1998:621) om misstankeregister och lagen (2010:362) om po- allmänna spaningsregister bör det införas hänvisningar som klar- gör att den nya lagen har företräde framför respektive registerförfattning, i den mån den nya lagen innehåller bestämmelser som avviker från regi- sterförfattningen. har antagit förslagen i propositionen Utbyte av uppgifter ur kriminalregister mellan EU:s medlemsstater (prop. 2011/12:163, bet. 2012/13:JuU4, rskr. 2012/13:59) att det i lagen (1998:620) om belast- ningsregister ska införas särskilda dataskyddsbestämmelser. Ändringarna är ett led i genomförandet av rådets beslut /316/RIF av om inrättande av det europeiska informationssystemet för utbyte av uppgifter ur kriminalregister och uppgifternas innehåll. Eftersom dessa särbestämmelser bl.a. innehåller för denna rättsakt specifika ändamålsbe- stämmelser, bör de ha företräde framför bestämmelserna i den nya lagen. Detta bör framgå av hänvisningen i lagen om belastningsregister. Lagen (2000:343) om internationellt polisiärt samarbete, som innehål- ler generella regler om samarbete inkluderande informationsutbyte, bör fortsätta att gälla vid sidan av den nya lagen. I 3 och 3 a §§ lagen om internationellt polisiärt samarbete finns det bestämmelser om använd- ningsbegränsningar. Regeringens förslag till ny lag innehåller också bestämmelser om användningsbegränsningar, vilket leder till en viss överlappande reglering. Eftersom det är fråga om bestämmelser som dels till stor del är likalydande, dels är till skydd för enskildas integritet bör det enligt regeringens mening inte uppstå några tillämpningsproblem. Hänvisningar till den nya lagen bör också införas i de myndigheters registerförfattningar som har formen av förordning och i de förordningar som reglerar behandling av personuppgifter i vissa register. Regeringen avser att genomföra dessa förordningsändringar . Lagrådet anser att de bestämmelser som beskriver förhållandet mellan personuppgiftslagen och lagen om misstankeregister respektive lagen om belastningsregister bör utformas annorlunda än i lagrådsremissen och föreslår en formulering som efterliknar 2 § personuppgiftslagen. Den av Lagrådet föreslagna formuleringen hänvisar emellertid till avvikande bestämmelser i samma lag, medan de avvikande bestämmelser i dessa fall även finns i annan lag. Den i lagrådsremissen använda formuleringen för att beskriva förhållandet mellan en registerförfattning och personupp- giftslagen förekommer dessutom i närmare 20-talet författningar och får därför anses vara vedertagen. Enligt regeringens bedömning bör därför den föreslagna hänvisningen behållas. 6.17Ändring i offentlighets- och sekretesslagen Regeringens förslag: I offentlighets- och sekretesslagen införs en hänvisning till den nya lagen. Utredningen lämnar inget förslag i denna del. Remissinstanserna: Några remissinstanser, bl.a. och Kammarrätten i , anser att 9 kap. 2 § offentlighets- och sekretesslagen bör kompletteras med en hänvisning till den nya lagen. Utkastet till lagrådsremiss överensstämmer med regeringens förslag. Remissinstanserna yttrar sig inte över utkastet till lagrådsremiss i Skälen för regeringens förslag: I prop. 2008/09:16 anförde rege- ringen att frågan om rambeslutet kräver en mer omfattande sekretessreg- lering än den som gäller bör analyseras vidare i det fortsatta lag- stiftningsarbetet (prop. s. 39). Utredningen anser att det inte finns något skäl att ändra offentlighets- och sekretesslagen (2009:400), men anger inga skäl för denna bedömning. Den nya lagen innebär inte någon begränsning i enskildas rätt enligt tryckfrihetsförordningen att ta del av eller använda sig av allmänna handlingar, jfr. När det gäller frågan om en myndighets möjligheter att lämna uppgif- ter som omfattas av lagen till en annan myndighet är läget ett annat på grund av rambeslutets bestämmelse om villkor om användningsbegräns- ningar. Rambeslutets reglering om användningsbegränsningar, som före- slås införas genom en bestämmelse i den nya lagen (se avsnitt 6.7), är tvingande. I 9 kap. 2 § offentlighets- och sekretesslagen finns hänvis- ningar till bestämmelser som begränsar möjligheten att använda uppgif- ter som en svensk myndighet har fått från en annan stat.