prop · H00373 · 2013-02-27 00:00:00 — anser att detta för- hållande bör tydliggöras genom att det i den föreslagna lagen införs en bestämmelse som erinrar om att det finns andra författningar som inne- håller bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom EU. Enligt regeringens mening är det tillräckligt att det i myndigheternas registerförfattningar införs bestäm- melser om hur dessa förhåller sig till den nya lagen. Personuppgifter från andra medlemsstater, EU-organ och EU-informa- tionssystem Enligt artikel 1.2 ska rambeslutet tillämpas på uppgifter som förs över eller görs tillgängliga, eller har överförts eller gjorts tillgängliga, a)mellan medlemsstater, b)av medlemsstater till EU-organ eller EU-informationssystem, eller c)av EU-organ eller EU-informationssystem till medlemsstater. Utredningen anser att det är tillräckligt om den nya lagens tillämp- ningsområde omfattar uppgifter som en myndighet har tagit emot från en annan medlemsstat, eller som har gjorts tillgängliga av en annan med- lemsstat. Skälet för detta är att de uppgifter som är aktuella enligt utred- ningens mening alltid kan sägas ha sitt ursprung i en medlemsstat, även i en situation där uppgiften senare överförs från ett EU-organ eller ett EU- informationssystem. invänder mot utredningens förslag i denna del och framhål- ler att tillämpningen av lagen skulle underlättas om det direkt av lagtex- ten framgår att personuppgifter också kan ha tagits emot från eller gjorts tillgängliga av aktuella informationssystem. Även invänder mot utredningens resonemang. kan det knappast uteslutas att uppgifter som behandlas av EU-organen samman- förs och kompletteras med andra uppgifter, så att ny information fram- träder. Regeringen delar uppfattning. Utredningens förslag kan resultera i att vissa personuppgifter, som är tänkta att omfattas av rambeslutets skyddsregler, faller utanför lagens tillämpningsområde. Detta gäller exempelvis sådana uppgifter som inhämtats inom ramen för Europols samarbete med , där uppgifterna inte härrör från en annan medlemsstat i EU (jfr prop. 2008/09:14 s. 6). Vidare är en av Europols huvuduppgifter att med hjälp av information som erhålls från medlemsstaterna bearbeta, analysera och vidareutveckla kunskaperna om gränsöverskridande, grov organiserad brottslighet. Med utredningens förslag skulle uppgifter som härrör från sådan bearbetning inte ha samma skydd som motsvarande uppgifter som bearbetats i en medlemsstat. ligt regeringens mening är detta inte rimligt. Därför bör det av den nya lagen framgå att den gäller även i fråga om personuppgifter som har tagits emot från ett EU-organ eller ett EU-informationssystem. Härige- nom tillgodoses också önskemål om en mer lättillämpad reglering. När det gäller EU-informationssystem omfattar rambeslutets tillämp- ningsområde enbart system som har inrättats i enlighet med avdelning VI i fördraget om Europeiska unionen, dvs. regleringen om polissamarbete och straffrättsligt samarbete. Någon risk för missförstånd om vilka sys- tem som avses finns knappast, eftersom det bara är ett fåtal infor- mationssystem som berörs. Lagen bör därför inte tyngas med en hänvis- ning till fördraget. påpekar också att det förhållandet att olika regler kommer att gälla för rent nationell personuppgiftsbehandling respektive gränsöverskridande personuppgiftsbehandling kan leda till vissa tillämp- ningsproblem. Regeringen ifrågasätter inte detta. Frågan är emellertid om det i sig utgör ett hinder mot att utforma regleringen i huvudsak på det sätt som utredningen har föreslagit och remissinstanserna ställt sig bakom. Eftersom det gränsöverskridande samarbetet bara genererar en mycket liten del av den totala mängd personuppgifter som behandlas av de nu aktuella myndigheterna anser regeringen att det inte finns skäl att välja någon annan lösning. Det bör emellertid anmärkas att kommissionen presenterade ett förslag till en genomgripande reform av om skydd för personuppgifter. I reformförslaget ingår dels en förordning med en reglering som ska ersätta dataskyddsdirektivet, dels ett direktiv som är avsett att ersätta data- skyddsrambeslutet (se avsnitt 4.3). Det nya direktivet föreslås omfatta även nationell behandling. kan således frågan om en mer heltäck- ande reglering aktualiseras. Den av regeringen valda lösningen förutsätter att sådana uppgifter som omfattas av rambeslutet på något sätt kan urskiljas och vid behov särbe- handlas. Den frågan behandlas vidare i avsnitt 6.18. Regeringen återkommer i avsnitt 6.14 till frågan om hur förekomsten av dataskyddsbestämmelser i tidigare beslutade EU-rättsakter återverkar på lagens tillämpningsområde. Svenska myndigheters överföring av uppgifter Utgångspunkten är att den nya lagen framför allt ska reglera integritets- skyddet för personuppgifter som svenska myndigheter tar emot från andra EU-stater, EU-organ och EU-informationssystem och behandlar i de syften som anges i rambeslutet. Artikel 1.2 i rambeslutet innebär emellertid att rambeslutets bestämmelser ska tillämpas även när svenska myndigheter överför uppgifter till andra medlemsstater eller till EU- organ eller EU-informationssystem. Enligt artikel 12.1 finns en skyldig- het för medlemsstaterna att ange om särskilda användningsbegränsningar gäller för uppgifterna. Vad som främst är aktuellt är att svenska myndigheter ska kunna, när svenska intressen så kräver och rambeslutet medger det, ange villkor för hur de personuppgifter som myndigheterna överför till andra EU-stater, EU-organ och EU-informationssystem får användas. ter bör också ha möjlighet att, i enlighet med artikel 9.1, kunna ange när uppgifterna ska gallras, se vidare avsnitt 6.7.2. Utredningen lägger inte fram något förslag i denna del. Remissinstan- serna yttrar sig inte heller i frågan. finns det, som framgår av avsnitt 4.10, ett flertal bestäm- melser som reglerar svenska myndigheters möjlighet att ställa upp villkor vid informationsutbyte med andra stater. Dessa bestämmelser täcker emellertid inte rambeslutets hela tillämpningsområde. Som exempel kan nämnas att informationsutbyte via EU-informationssystem och informa- tionsutbyte via EU-organ inte omfattas. Det är enligt regeringens mening givetvis lika viktigt att upprätthålla ett starkt integritetsskydd för de uppgifter som svenska myndigheter överför eller gör tillgängliga för andra stater eller EU-organ eller EU- informationssystem som för de uppgifter som tas emot. Den nya lagstift- ningen bör därför även i relevanta delar tillämpas på svenska myndig- heters överföring av uppgifter. För att underlätta för tillämparna bör skyldigheten att följa utländska villkor och möjligheten för svenska myndigheter att ange villkor regleras i samma författning. Lagrådet ifrågasätter behovet av en bestämmelse som tydliggör i vil- ken utsträckning svenska myndigheter ska tillämpa den nya lagen när de inom ramen för polisiärt eller straffrättsligt samarbete överför uppgifter till mottagare utomlands. Regleringen på området är, som Lagrådet framhåller, komplicerad och svåröverblickbar. Mot den bakgrunden är det viktigt att tillämparen får ledning när det gäller frågan om lagen över huvud taget ska tillämpas, vilket den aktuella bestämmelsen syftar till. Regeringen anser därför att bestämmelsen bör finnas kvar. Den bör dock formuleras om och utformas i linje med Lagrådets synpunkter. Regeringen återkommer till frågan om svenska myndigheters överfö- ring av uppgifter till andra medlemsstater i avsnitt 6.7.2. Informationsutbyte med , , och Av skäl 4547 i rambeslutet framgår att rambeslutet beträffande , , och utgör en utveckling av Schengenre- gelverket. Detta innebär att rambeslutets bestämmelser ska tillämpas också i fråga om uppgifter som görs tillgängliga mellan eller överförs till och från dessa stater. Utredningen belyser inte denna fråga. Den enda remissinstans som be- rör frågan är som pekar på att utredningen inte anger hur uppgifter som har tagit emot från bl.a. en EES-stat ska behand- las. Regeringen anser att det i den nya lagen bör klargöras att lagen gäller även i förhållande till de nu nämnda staterna. I författningsförslaget bör detta återspeglas i regleringen av den nya lagens tillämpningsområde. Härigenom tillgodoses den av framförda synpunkten. Bara uppgifter om fysiska personer Rambeslutet reglerar bara skydd för uppgifter om fysiska personer (arti- kel 1.1). En fråga som väcks vid genomförandet av rambeslutet är om den nya lagen bör skydda endast uppgifter om fysiska personer eller om den bör innehålla skyddsregler även för juridiska personer. Utredningen behandlar inte denna fråga. Inte heller remissinstanserna Prop. 2012/13:73 berör frågan. Svensk lagstiftning om behandling av personuppgifter skyddar i viss utsträckning även juridiska personer (se t.ex. 1 kap. 3 § polisdatalagen och 1 kap. 3 § kustbevakningsdatalagen). Med tanke på att den lag som föreslås har som enda syfte att genomföra dataskyddsrambeslutet, framstår det enligt regeringens mening som mindre lämpligt att låta lagen ha ett annat tillämpningsområde än rambeslutet. Det innebär att lagen i likhet med rambeslutet bara bör skydda uppgifter om fysiska personer. Helt eller delvis automatiserad personuppgiftsbehandling Enligt artikel 1.3 gäller rambeslutet bara för sådan behandling av person- uppgifter som helt eller delvis utförs automatiskt samt för annan behand- ling av sådana personuppgifter som ingår i eller kommer att ingå i ett register. Utredningen föreslår att den nya lagen ska tillämpas också på annan personuppgiftsbehandling än automatiserad, om uppgifterna ingår i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Remissinstanserna fram- för inga invändningar mot utredningens förslag i denna del. Några re- missinstanser efterlyser dock en definition av begreppet automatiserad. Förvaltningsrätten i anser att en definition av begreppet auto- matiserad är av stor vikt då domstolen går mot att i större utsträckning använda och acceptera användningen av digital form för överklaganden, yttranden och andra skrivelser. Regeringen instämmer i utredningens förslag till hur bestämmelsen bör formuleras. Begreppet automatiserad är att föredra framför det i ram- beslutet använda begreppet automatiskt. Förslaget motsvarar regle- ringen i 5 § personuppgiftslagen. Vad beträffar den av Förvaltningsrät- ten i framförda synpunkten noterar regeringen att begreppet automatiserad förekommer både i personuppgiftslagen och i olika regis- terförfattningar. Begreppet är således allmänt vedertaget. Någon defi- nition av begreppet är enligt regeringens mening därför inte nödvändig. Att lagen görs tillämplig på manuellt behandlade uppgifter som kom- mer att ingå i ett register innebär att det inte bara är uppgifter som över- förs och behandlas elektroniskt som kan komma att omfattas. Motsva- rande reglering i personuppgiftslagen har varit utgångspunkt vid utform- ningen av den särlagstiftning som gäller för de myndigheter som regle- ringen i huvudsak riktar sig till. Exempelvis har författningarna om per- sonuppgiftsbehandling inom polisen, , , , åklagarväsendet, domstolarna och Kriminalvården alla samma reglering i detta avseende. Som tidigare nämnts faller också uppgifter i vissa register som regleras i andra författningar än myndigheternas generella registerförfattningar under lagens tillämpningsområde. 6.4.2Undantag för nationella säkerhetsintressen Regeringens förslag: Lagen ska inte gälla för sådan behandling av personuppgifter som rör nationell säkerhet. Utredningens förslag överensstämmer inte med regeringens. Utred- ningen föreslår att Säkerhetspolisen helt ska undantas från lagens till- lämpningsområde, men inte någon annan verksamhet. Remissinstanserna: påpekar att åklagare vid åklagarkammaren för säkerhetsmål tar emot och hanterar uppgifter som rör såväl nationella säkerhetsintressen som uppgifter som härrör från särskild underrättelseverksamhet. Allmän åklagare kan som förundersök- ningsledare hantera uppgifter som faller under området nationell säker- het. menar därför att ett mer generellt undantag för nationell säkerhet bör övervägas. Också anser att ett generellt undantag bör göras i den nya lagen. anser vidare att begreppet rikets säkerhet bör användas i stället för natio- nell säkerhet, eftersom det är ett vedertaget begrepp. invänder mot utredningens uppfattning att hela Säkerhetspolisens verk- samhet avser nationell säkerhet och därmed faller utanför beslutets till- lämpningsområde. Meningen med rambeslutet är delvis att förbättra integritetsskyddet i europeisk polisärt och straffrättsligt samarbete varför det enligt är rimligt att inta en utgångspunkt om att undantag ska tolkas snävt. Likväl kan utredningens förslag vara acceptabelt om den nuvarande regleringen och tillsyn av Säkerhetspolisens verksamhet såvitt gäller dataskydd i internationellt samarbete är tillfredställande. framhåller att även om mer- parten av Säkerhetspolisens verksamhet rör nationell säkerhet så kan vissa delar av myndighetens verksamhet varken anses utgöra viktiga nationella säkerhetsintressen eller särskild underrättelseverksamhet inom området nationell säkerhet. En möjlighet skulle därför enligt nämnden kunna vara att, trots undantaget för verksamhet som rör nationell säker- het, göra rambeslutet tillämpligt även på Säkerhetspolisens verksamhet. Utkastet till lagrådsremiss överensstämmer med regeringens förslag. Remissinstanserna: Säkerhetspolisens bedömning är att hela myndig- hetens verksamhet omfattas av begreppet nationell säkerhet i rambe- slutets mening och att den således faller utanför rambeslutets tillämp- ningsområde. anser att begreppet nationell säkerhet inte har ett klart och tydligt innehåll i gällande svensk straffrätt och att dess tillämpningsområde kan bli diffust och oförutsebart. advo- katsamfund menar att undantagets föreslagna lydelse medför att ett mer vidsträckt område kommer att undantas än vad som följer av artikel 1.4. Vidare framhåller samfundet att begreppet nationell säkerhet inte är ve- dertaget inom svensk lagstiftning, vilket kan leda till tillämpningssvårig- heter. Slutligen anser samfundet att det är mindre lämpligt att införa ett nytt begrepp som skiljer sig från det begrepp som används i personupp- Skälen för regeringens förslag: I artikel 1.4 görs ett uttryckligt undantag för viktiga nationella säkerhetsintressen och särskild underrät- telseverksamhet som rör nationell säkerhet. Personuppgiftsbehandling i sådan verksamhet faller utanför rambeslutets tillämpningsområde. Undantaget gäller inte för en viss myndighet eller organisation utan för verksamhet som rör nationella säkerhetsintressen. Utredningen finner att den absoluta merparten av Säkerhetspolisens verksamhet omfattar frågor som rör nationell säkerhet och att det varken är möjligt eller lämpligt att exakt ange vilka delar av myndighetens verk- samhet som inte gör det. Utredningen drar slutsatsen att Säkerhetspoli- sens verksamhet i sin helhet bör undantas från tillämpningsområdet för den nya lagen. Däremot ska enligt utredningen ingen annan verksamhet än Säkerhetspolisens undantas. Så som undantaget i artikel 1.4 i rambeslutet är utformat faller, som ut- redningen framhåller, Säkerhetspolisens verksamhet i allt väsentligt utan- för rambeslutets tillämpningsområde. Det finns emellertid andra myn- digheter än Säkerhetspolisen som hanterar personuppgifter rörande na- tionell säkerhet. Som påpekar gäller detta bl.a. åklagare. Även allmänna domstolar behandlar personuppgifter hänförliga till mål och ärenden som rör nationell säkerhet. Det kan inte uteslutas att även andra myndigheter kan komma att hantera sådana personuppgifter. Regeringen anser därför att undantaget från den nya lagens tillämpnings- område inte bör begränsas till en viss utpekad myndighet utan gälla gene- rellt. Denna lösning ligger också i linje med vad bl.a. och framför. I den ut- sträckning som Säkerhetspolisen och andra berörda myndigheter har eller kommer att få uppgifter som rör annat än nationell säkerhet om- fattas således uppgifterna av rambeslutets tillämpningsområde. , som också anser att undantaget bör göras mer generellt, föreslår att begreppet rikets säkerhet ska användas i stället för nationell säkerhet eftersom det är ett vedertaget begrepp i svensk lagstift- ning. Regeringen gör följande bedömning. Undantaget i rambeslutet omfat- tar viktiga nationella säkerhetsintressen och särskild underrättelseverk- samhet som rör nationell säkerhet. I den engelska versionen av rambe- slutet är formuleringen essential national security interests and specific intelligence activities in the field of national security. Begreppet natio- nal security används också i den engelska versionen av dataskyddsdi- rektivet. I personuppgiftslagen avses rikets säkerhet i 8 a § svara mot begreppet national security. Uttrycket rikets säkerhet är väl inarbetat och förekommer i såväl straffrättslig som i annan lagstiftning. Det finns således skäl som talar för den av och föreslagna formuleringen. Mot den lösningen talar emellertid att uttrycket rikets säkerhet normalt används i en snävare bemärkelse än vad rambeslutet får anses täcka. Verksamheten med att förebygga, förhindra och utreda brott mot rikets säkerhet är till exempel bara en del av Säkerhetspolisens verksamhet. Ett exempel som visar detta är regleringen av Säkerhetspolisens personuppgiftsbehandling i polisda- talagen (2010:361), där rikets säkerhet och terrorismbekämpning om- nämns som olika aktiviteter (5 kap. 1 §), trots att den sistnämnda kan ha betydelse såväl för rikets säkerhet som för allmän ordning och säkerhet inom landet. Rambeslutets formulering skiljer sig också från dataskydds- direktivets på det sättet att den är vidare. Regeringen anser därför att en formulering som liknar den i rambeslutet bör väljas. Undantaget bör således omfatta nationell säkerhet, vari även innefattas den underrättelse- 2012/13:73 verksamhet som bedrivs inom området. Denna formulering omfattar i stort sett hela Säkerhetspolisens nuvarande verksamhet men innebär inte att myndigheten som sådan är undantagen från lagens tillämpningsom- råde. Självfallet är begreppet inte avsett att innefatta mera än vad som följer av artikel 1.4, vilket hyser farhågor för. Med anledning av Lunds universitets synpunkt att begreppet nationell säkerhet inte har ett klart och tydligt innehåll i gällande svensk straffrätt och även advokatsamfunds åsikt att begreppet inte är vederta- get, vill regeringen framhålla att det valda begreppet är avsett att genom- föra en bestämmelse i ett EU-instrument. Det är inte självklart att ett begrepp som används i ett EU-instrument alltid har en direkt svensk motsvarighet. Vidare är det enligt regeringens mening viktigt att undan- taget i lagen inte görs snävare än undantaget i rambeslutet. Mot den bak- grunden anser regeringen att nationell säkerhet är ett lämpligt begrepp. Regeringen återkommer i författningskommentaren närmare till vad uttrycket nationell säkerhet omfattar. Regeringens bedömning: Artikel 2 i rambeslutet om definitioner kräver inte några lagstiftningsåtgärder. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Det stora flertalet remissinstanser har inte någon invändning mot utredningens bedömning i denna del. Åklagarmyndig- heten menar dock att centrala begrepp som vidarebehandling av person- uppgifter och automatiserad spridning, som inte förekommer i per- sonuppgiftslagen, bör definieras för att undvika oklarheter och otydlig- heter. och Kriminalvården framför liknande syn- punkter. ifrågasätter också om begreppet vidare- behandling överhuvudtaget bör användas i lagregleringen då det inte är ett vedertaget begrepp. Myndigheten föreslår att enbart ordet behandling ska användas, tillsammans med en beskrivning av den behandling som avses. Förvaltningsrätten i påpekar att det varken i lagen eller i delbetänkandet redovisats hur begreppet automatiserad definieras och att en definition av begreppet är av stor vikt. Utkastet till lagrådsremiss överensstämmer med regeringens bedöm- ning. Remissinstanserna yttrar sig inte över utkastet till lagrådsremiss i denna del. Skälen för regeringens bedömning: Regeringen delar utredningens uppfattning att rambeslutets artikel 2, som innehåller definitioner, inte kräver någon lagstiftningsåtgärd. Några av remissinstanserna, däribland och Kriminalvården, efterlyser en definition av begreppet vidarebehandling. går ett steg längre och ifrågasätter om begreppet vidarebehandling överhuvudtaget bör användas i den nya lagen, eftersom det inte är ett vedertaget begrepp. Regeringen delar uppfattningen att det är svårt att förutse effekterna av att använda begreppet vidarebehandling i den nya lagen. avsnitt 6.4.1 är det inte heller nödvändigt att använda detta begrepp. 2012/13:73 Därmed finns det inget behov av att införa en definition av begreppet Detsamma gäller det av utredningen föreslagna ut- trycket automatiserad spridning. Några remissinstanser, bl.a. Förvaltningsrätten i , anser att begreppet automatiserad bör definieras i den nya lagen. Den frågan be- handlas i avsnitt 6.4.1. Regeringens bedömning: Rambeslutets bestämmelser om grundläg- gande principer kräver ingen lagstiftning. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna kommenterar inte frågan. Utkastet till lagrådsremiss överensstämmer med regeringens bedöm- Remissinstanserna har inga invändningar mot utkastet till lagråds- remiss i denna del. Skälen för regeringens bedömning: Rambeslutet ska, som tidigare nämnts, bara tillämpas på personuppgiftsbehandling som sker för de verksamheter som anges i rambeslutet (polissamarbete och straffrättsligt samarbete; artikel 1). Regleringen kan därför sägas syfta till att skydda enskilda från att deras personuppgifter sprids eller hanteras på ett felak- tigt sätt av framför allt de brottsbekämpande myndigheterna. anger de grundläggande principer som ska gälla vid myndigheternas hantering av personuppgifter. Utgångspunkten är att brottsbekämpande och verkställande myndigheter får behandla personuppgifter i den verk- I artikel 3.1 föreskrivs att personuppgifter får samlas in endast för sär- skilda, uttryckligt angivna och berättigade ändamål. vara lagenlig, adekvat, relevant och inte orimlig i förhållande till det ändamål för vilket uppgifterna samlades in. I 9 § första stycket personuppgiftslagen anges att personuppgifter får samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål (punkt c). Uppgifterna ska också vara adekvata och relevanta i förhål- lande till ändamålen med behandlingen (punkt e). således reglerna i artikel 3.1 i rambeslutet. Bestämmelserna i 9 § första stycket c och e personuppgiftslagen gäller för alla de aktuella myndigheterna (9 § c gäller dock inte för ), antingen på grund av att registerförfattningarna hänvisar till den bestäm- melsen eller genom att de registerförfattningar som gäller utöver person- uppgiftslagen saknar bestämmelser i frågan. Lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet, som gäller i stället för personuppgiftslagen, innehåller ingen hänvisning till 9 § första stycket c personuppgiftslagen. Däremot anges i 7 och 8 §§ i förstnämnda lag för vilka ändamål personuppgiftsbehandling får ske. 9 § samma lag föreskrivs att uppgifter i brottsbekämpande 2012/13:73 verksamhet inte får behandlas för några andra ändamål än de som anges i 7 och 8 §§. Regleringen är alltså uttömmande, vilket är skälet till att det inte hänvisas till 9 § första stycket c personuppgiftslagen, se propositio- nen brottsbekämpning Effektivare uppgiftsbehandling (prop. 2004/05:164 s. 50). Enligt regeringens mening får de aktuella bestämmelserna i registerförfattning anses uppfylla de krav som ställs i artikel 3.1 i rambeslutet på särskilda, uttryckligt angivna och berättigade ändamål.