prop · H20382 · 2015-03-10 00:00:00 — Paragrafen skulle kunna anses tillämplig på uppgifter som en annan medlemsstat har lagt in i VIS, men det är tveksamt om den är tillämplig på uppgifter som svenska viseringsmyndigheter har lagt in i VIS och som den svenska åtkomstpunkten får fram vid en sökning. Regeringen delar därför promemorians bedömning att de användningsbegränsningar som följer av rådsbeslutet bör regleras särskilt. En bestämmelse som reglerar användningsbegränsningar måste, som anges i promemorian, ges lagform. Det hänger samman med att sådana begränsningar kan komma i konflikt med andra bestämmelser i lag om en myndighets skyldighet att utreda brott eller vidta andra åtgärder för att fullgöra sina uppgifter. Enligt promemorians lagförslag ska personuppgifter som hämtats från VIS endast få behandlas för att förebygga, förhindra, upptäcka, utreda och beivra det eller de brott som låg till grund för sökningen i VIS. Säkerhetspolisen anser att den föreslagna formuleringen begränsar användningen av uppgifterna i större utsträckning än vad rådsbeslutet gör, eftersom förslaget hänvisar till det eller de specifika brott som föranledde sökningen medan rådsbeslutet enligt sin ordalydelse synes hänvisa till samtliga brott som omfattas av rådsbeslutet. Med en sådan tolkning av rådsbeslutet som Säkerhetspolisen förordar skulle de behöriga myndigheterna få stora möjligheter att behandla hämtade personuppgifter. En personuppgift som erhållits vid en sökning som gjorts i VIS för utredning av ett visst brott skulle så länge uppgiften finns bevarad kunna användas för utredning av andra brott som omfattas av VIS-rådsbeslutet, vilket inte framstår som rimligt med hänsyn till de stränga villkor och krav på kontroll som uppställs för att en sökning i VIS ska vara tillåten enligt rådsbeslutet. Även om artikel 8.3 i rådsbeslutet i enlighet med sin ordalydelse skulle kunna tolkas på det sätt som Säkerhetspolisen förespråkar bör artikeln läsas i sitt sammanhang och tolkas i ljuset av de förutsättningar som gäller för sökning. Mot denna bakgrund delar regeringen promemorians bedömning att möjligheterna till behandling av personuppgifter som hämtats från VIS är begränsade till det ändamål som uppgifterna hämtades för och till att utreda och beivra brott i det enskilda fall som sökningen avsåg. Som Säkerhetspolisen har påpekat bör möjligheterna att behandla uppgifter som har hämtats från VIS motsvara möjligheterna att söka uppgifter i VIS. VIS-uppgifter bör därför få behandlas såväl för att förebygga, förhindra och upptäcka brottslig verksamhet som för att utreda och beivra brott. Överföring av uppgifter till tredjeland Regeringens förslag: Det ska vara förbjudet att till tredjeland eller en internationell organisation överföra eller göra tillgängliga sådana per- sonuppgifter som har hämtats från VIS och som har lagts in i systemet av en annan stat. I brådskande fall ska det dock vara tillåtet om – det i enskilda fall finns skäl att anta att VIS-uppgifter väsentligen kan komma att bidra till att förebygga, förhindra eller upptäcka viss allvarlig brottslig verksamhet, – det är förenligt med svenska intressen att uppgifterna lämnas ut, – den stat som har lagt in uppgifterna i VIS samtycker till det, och – förutsättningarna i 33 och 34 §§ personuppgiftslagen är uppfyllda. Promemorians förslag överensstämmer i huvudsak med regeringens. I promemorian föreslås dock inte att det ska vara förenligt med svenska intressen att uppgifterna lämnas ut och inte heller att det ska tydliggöras att förutsättningarna i 33 och 34 §§ personuppgiftslagen (1998:204) ska Remissinstanserna: Kammarrätten i är den enda remissin- stans som framför synpunkter på promemorians förslag. påpekar att promemorian inte behandlar frågan om bestämmelsen är avsedd att ha sekretessbrytande effekt och inte heller om bestämmelserna i 33–35 §§ personuppgiftslagen till någon del ska vara tillämpliga vid överföring av uppgifter enligt den föreslagna bestämmelsen. Skälen för regeringens förslag: Enligt artikel 8.4 i rådsbeslutet får personuppgifter som har inhämtats från VIS inte överföras till eller göras tillgängliga för tredjeland eller en internationell organisation utom i bråd- Enligt 33 § personuppgiftslagen är det förbjudet att föra över person- uppgifter som är under behandling till tredjeland, om landet inte har en adekvat nivå för skyddet av personuppgifterna. Från förbudet finns vissa undantag i 34 §, bl.a. för överföring till länder som har anslutit sig till Regeringen har enligt 35 § även möjlighet att föreskriva ytterligare undantag från förbudet, bl.a. om det behövs med hänsyn till ett viktigt allmänt intresse. lagen är enligt 2 kap. 2 § första stycket 8 polisdatalagen (2010:361) till- lämpliga vid polisens behandling av personuppgifter. De gäller även i verksamhet enligt 2 kap. 2 § första stycket 8 kustbe- vakningsdatalagen (2012:145). När det gäller finns det i lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet ingen hänvisning till 33–35 §§ personuppgiftslagen. Förbudet i rådsbeslutet mot att överföra personuppgifter som har häm- tats från VIS till tredjeland gäller oavsett dataskyddsnivån i den motta- För att uppfylla skyldigheten i rådsbeslutet måste därför ett sådant förbud införas i svensk rätt. Som framgår av avsnitt 10.1 måste en bestämmelse som ska ta över en annan lagbestämmelse ges lagform. I brådskande undantagsfall får dock personuppgifter från VIS överfö- ras till ett tredjeland eller en internationell organisation. torde vara avsedd att ge utrymme för att i en situation, där det finns en konkret och överhängande risk för att ett terroristbrott eller annat grovt brott kommer att begås, kunna bistå med VIS-uppgifter i syfte att före- bygga eller upptäcka brottet. För att det ska vara tillåtet att föra över uppgifter till ett tredjeland måste för det första de villkor som gäller för att söka i VIS i syfte att förebygga eller upptäcka ett terroristbrott eller annat grovt brott vara uppfyllda. För det andra krävs det att den stat som har lagt in uppgifterna i VIS samtycker till överföringen. överföringen ske i enlighet med nationell rätt i den medlemsstat som överför uppgifterna eller gör dem tillgängliga. För att uppfylla skyldig- heten i rådsbeslutet måste en sådan möjlighet föreskrivas i svensk rätt. Kammarrätten i har påpekat att formuleringen av den be- stämmelse som föreslås i promemorian kan ge intryck av att bestämmel- sen är avsedd att ha en sekretessbrytande effekt och att personuppgiftsla- gens bestämmelser om överföring av personuppgifter till tredjeland inte till någon del ska vara tillämpliga på överföringar som sker med stöd av Regeringen gör i dessa frågor följande överväganden. 8 kap. 3 § offentlighets- och sekretesslagen (2009:400) framgår att upp- gifter för vilka sekretess gäller enligt nämnda lag i princip inte får röjas för utländska myndigheter och mellanfolkliga organisationer. bestämmelsen finns dock två undantag från denna princip. Såvitt nu är av intresse får uppgifter lämnas ut om det sker i enlighet med särskild före- skrift i lag eller förordning. Det behöver inte vara fråga om en uppgifts- skyldighet, utan det räcker om föreskriften uppgifter får läm- nas till utländska myndigheter (prop. 1981/82:186 s. 61). melse som föreslås ge svenska myndigheter möjlighet att i brådskande fall överföra personuppgifter till ett tredjeland eller en internationell organisation kommer därför att ha sekretessbrytande effekt. att komma ihåg att den föreslagna bestämmelsen, i likhet med bestäm- melsen i offentlighets- och sekretesslagen, endast innebär en möjlighet och inte en skyldighet att överföra uppgifter till en utländsk myndighet. En uppgift bör inte lämnas ut om det är oförenligt med svenska intressen att så sker. Detta bör komma till uttryck i bestämmelsen på samma sätt som i t.ex. 2 kap. 15 § polisdatalagen. Som har nämnts ovan föreskrivs i 33 och 34 §§ personuppgiftslagen också vissa begränsningar i möjligheterna att överföra personuppgifter Dessa begränsningar är tillämpliga i polisens och Kustbe- vakningens verksamhet genom hänvisningen till dem i respektive myn- De är dock inte tillämpliga i verk- Enligt rådsbeslutet ska överföring till ett tredjeland ske i enlighet med nationell rätt i den medlemsstat som överför uppgifterna. syn till att den föreslagna bestämmelsen om utlämnande till tredjeland i lagen om internationellt polisiärt samarbete blir en särbestämmelse i för- hållande till polisdatalagen och kustbevakningsdatalagen och kommer att gälla i stället för bestämmelserna i dessa lagar, bör det tydliggöras att bestämmelserna i personuppgiftslagen ska vara tillämpliga vid bedöm- ningen av om personuppgifter som har hämtats från VIS kan överföras till ett tredjeland. Därmed blir de aktuella bestämmelserna i personupp- giftslagen även tillämpliga på i detta avseende. Den begränsning rådsbeslutet ställer upp i fråga om möjligheterna att föra över personuppgifter till tredjeland gäller inte viseringsuppgifter som har lagts in i VIS av svenska viseringsmyndigheter. sådana uppgifter ska i stället de allmänna reglerna i personuppgiftslagen och i respektive myndighets registerförfattning tillämpas vid bedöm- ningen av om uppgifterna kan överföras till eller göras tillgängliga för ett Regeringens förslag: Bestämmelserna i personuppgiftslagen om rättelse och skadestånd ska gälla även vid behandling av personuppgifter enligt VIS-rådsbeslutet. På motsvarande sätt som för uppgiftsutbyte med stöd av Prümrådsbeslutet ska det av lagen om internationellt polisiärt samarbete framgå att lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen, och föreskrifter som regeringen har meddelat i anslutning till den lagen, inte ska tillämpas vid hämtande av uppgifter med stöd av VIS-rådsbeslutet. Regeringens bedömning: Bestämmelserna i rådsbeslutet om dataskydd föranleder inte några lagändringar utöver hänvisningen till personuppgiftslagens bestämmelser om rättelse och skadestånd och klargörandet att lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen inte ska tillämpas vid behandling av personuppgifter som hämtats med stöd av VIS-rådsbeslutet. Promemorians förslag och bedömning överensstämmer i huvudsak med regeringens. I promemorian föreslås dock inte någon följdändring i lagen (2000:343) om internationellt polisiärt samarbete i förhållande till 4 § andra stycket 4 lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen. Remissinstanserna: Flertalet remissinstanser tillstyrker eller har inte något att invända mot förslaget och bedömningen. Skälen för regeringens förslag och bedömning VIS-rådsbeslutets bestämmelser om dataskydd I artiklarna 8–16 i VIS-rådsbeslutet finns bestämmelser om dataskydd. Artikel 8 innehåller bestämmelser om skydd av personuppgifter. Där anges bl.a. att medlemsstaterna måste garantera en viss dataskyddsnivå för behandlingen av personuppgifter som inhämtats med stöd av rådsbeslutet (artikel 8.1) och att behöriga organ som enligt nationell rätt har till uppgift att utöva tillsyn över personuppgiftsbehandling ska granska den behandling av personuppgifter som grundar sig på rådsbeslutet (artikel 8.5–8.7). Vidare anges att personalen vid de myndigheter som ska ha åtkomst till VIS ska ges lämplig utbildning (artikel 8.8). I artikel 9 finns bestämmelser om tekniska och organisatoriska åtgärder för säkerställande av dataskydd och datasäkerhet. Enligt artikel 10 har personer eller medlemsstater som lidit skada till följd av en otillåten behandling eller annat handlande som är oförenligt med bestämmelserna i rådsbeslutet rätt till skadestånd av den medlemsstat som är ansvarig för skadan. Av arti- 2014/2015:82 keln framgår också att en medlemsstat ansvarar för skada som dess underlåtenhet att uppfylla skyldigheter enligt rådsbeslutet orsakar på VIS, såvida inte en annan medlemsstat har låtit bli att vidta rimliga åtgärder för att förhindra skadan eller begränsa dess verkningar. Skadeståndsanspråk mot en medlemsstat enligt artikeln ska regleras genom den natio- nella lagstiftningen i den medlemsstat som är svarande. I artikel 12 föreskrivs en skyldighet för medlemsstaterna att vidta nödvändiga åtgärder för att all användning av VIS-uppgifter som strider mot rådsbeslutet ska vara straffbar genom administrativa eller straffrättsliga sanktioner. Artikel 13 reglerar hur länge uppgifter som har hämtats från VIS och som har lagts in av en annan stat får bevaras i nationella register. Sådana uppgifter ska gallras när de är nödvändiga i ett enskilt fall i enlighet med de ändamål som anges i rådsbeslutet. Artikel 14 innehåller bestämmelser om personers rätt till information om uppgifter som avser dem själva och som har hämtats från VIS med stöd av rådsbeslutet. Där anges att rätten till information ska regleras av nationell rätt (artikel 14.1), att information får lämnas ut endast om den medlemsstat som har registrerat uppgifterna i VIS först getts tillfälle att yttra sig (artikel 14.3) och att information i vissa fall inte ska lämnas ut till den registrerade (artikel 14.4). Artikeln föreskriver också att en person har rätt att få oriktiga uppgifter korrigerade och olagligt lagrade uppgifter raderade (artikel 14.5) och att den som begär rättelse ska informeras om vilka åtgärder som vidtas till följd av begäran (artikel 14.6–14.7) samt att den som vägrats rättelse, radering eller utlämnande av uppgifter ska ha rätt att väcka talan eller överklaga till behörig myndighet eller domstol (artikel 14.8). Enligt artikel 16 är varje medlemsstat skyldig att för kontrolländamål registrera all uppgiftsbehandling som härrör från åtkomst till VIS. I artikeln anges vilka uppgifter som ska registreras, att registerposter innehållande personuppgifter endast får användas för visst ändamål och att de registrerade uppgifterna ska gallras . Enligt artikel 8.4 ska även sådana överföringar som i brådskande undantagsfall skett till tredjeland registreras. I artikel 11 anges att medlemsstaterna ska se till att de myndigheter som har tillgång till VIS-uppgifter vidtar de åtgärder som är nödvändiga för att följa rådsbeslutet och vid behov samarbetar med tillsynsorganen. Av artikel 15 framgår att varje medlemsstat på egen bekostnad ska inrätta och underhålla den tekniska infrastruktur som krävs för att genomföra rådsbeslutet samt bära kostnaderna för åtkomst till VIS enligt rådsbeslutet. Av skäl 9 i VIS-rådsbeslutet framgår att man tänkte sig att dataskyddsrambeslutet (se avsnitt 7.1.6) skulle komma att göras tillämpligt på personuppgifter som behandlas med stöd av rådsbeslutet. När dataskyddsrambeslutet senare antogs och genomfördes fastslogs emellertid att VIS- rådsbeslutet utgör en sådan EU-rättsakt som innehåller en komplett upp- sättning regler om dataskydd och som därför inte ska påverkas av rambe- slutet (se skäl 39 i dataskyddsrambeslutet och prop. 2012/13:73 s. 107). Som anges i avsnitt 7.1.6 har rambeslutet, i de delar författningsändringar har ansetts krävas, genomförts genom lagen (2013:329) med vissa be- stämmelser om skydd för personuppgifter vid polissamarbete och straff- rättsligt samarbete inom Europeiska unionen (nedan lag). lagens 4 § undantas behandling av personuppgifter med stöd av VIS- rådsbeslutet från lagens tillämpningsområde. rådsbeslutets dataskyddsregler påverkas således inte av dataskyddsram- beslutet och dess genomförande. Eftersom den anpassning av svensk rätt som krävs för att genomföra VIS-rådsbeslutet föreslås ske i lagen och förordningen om internationellt polisiärt samarbete och det i lagen finns en bestämmelse (1 b §) som reglerar förhållandet till lag, bör det av bestämmelsen framgå att lag inte ska tillämpas vid behandling av personuppgifter med stöd av VIS-rådsbeslutet. Detta blir en följdändring i förhållande till motsvarande bestämmelse lag. Genomförande av VIS-rådsbeslutets dataskyddsbestämmelser Artiklarna 10 och 14 i rådsbeslutet innehåller bestämmelser om skade- stånd samt korrigering och radering av uppgifter. som inom andra områden kan det inte uteslutas att personer lider skada vid behandling av personuppgifter från VIS, eller att personuppgifter från VIS visar sig vara behäftade med felaktigheter. För sådana fall bör den registrerade ha rätt till rättelse och skadestånd under samma förutsätt- ningar som gäller för behandling av personuppgifter enligt personupp- giftslagen, dvs. 28 och 48 §§ personuppgiftslagen bör tillämpas. Vid genomförandet av Prümrådsbeslutet infördes i lagen om interna- tionellt polisiärt samarbete en bestämmelse som hänvisar till 28 och 48 §§ personuppgiftslagen för att dessa bestämmelser även skulle gälla för den behandling av personuppgifter enligt Prümrådsbeslutet som reg- leras i lagen och förordningen om internationellt polisiärt samarbete. Denna bestämmelse bör göras tillämplig även beträffande den behand- ling av personuppgifter med stöd av VIS-rådsbeslutet som kommer att regleras i författningarna. Vad gäller övriga dataskyddsbestämmelser i rådsbeslutet delar rege- ringen promemorians bedömning att de, i den utsträckning de kräver författningsändringar, kan genomföras i förordning och därför inte kräver Motsvarande bedömning gjordes vid genom- förandet av Prümrådsbeslutet och CBE-direktivet (se prop. och 2013/14:65). Regeringens förslag: De föreslagna lagändringarna ska träda i kraft . Promemorians förslag överensstämmer inte med regeringens förslag. I promemorian föreslås att lagändringarna ska träda i kraft den dag som regeringen bestämmer. Remissinstanserna uttalar sig inte i frågan. Skälen för regeringens förslag: Av artikel 18.2 i rådsbeslutet framgår att så snart kommissionen har informerat rådet om att VIS-förordningen har trätt i kraft och är fullt tillämplig ska rådet fastställa från vilket datum rådsbeslutet ska få verkan. Rådet har beslutat att rådsbeslutet ska få verkan från . Lagändringarna bör därför träda i kraft . Några övergångsbestämmelser behövs inte. Regeringens bedömning: De kostnader som förslagen kan ge upphov till kan finansieras inom befintliga anslag. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Datainspektionen är den enda remissinstans som yttrar sig särskilt över promemorians bedömning. Myndigheten delar inte bedömningen att dess uppgifter med anledning av rådsbeslutet kan finansieras inom befintligt anslag. Skälen för regeringens bedömning: Enligt artikel 15 i rådsbeslutet ska varje medlemsstat på egen bekostnad inrätta och underhålla den tekniska infrastruktur som är nödvändig för att genomföra beslutet och bära kostnaderna för åtkomst till VIS enligt beslutet. Genomförandet av rådsbeslutet kan medföra ökade kostnader för polisen, och . Det rör sig om kostnader för kompletteringar av relevanta datasystem, men behovet av förändringar är av begränsat slag. ansvarar också för de polisiära datasystem som används av . Kostnaderna för de förändringar som behöver göras och kostnader för införandet av nya handläggningsrutiner hos myndigheterna bedöms kunna rymmas inom ramen för befintligt anslag för respektive myndighet. Kostnaderna bedöms vara marginella och uppvägs av de fördelar från brottsbekämpningsperspektiv som tillgången till VIS-uppgifter innebär. Datainspektionen är redan tillsynsmyndighet för personuppgiftsbehandling vid de myndigheter som berörs av rådsbeslutet. Myndigheten får i viss utsträckning ökade tillsynsuppgifter. Datainspektionen har uppgett att myndigheten har tilldelats tillsynsansvar för andra delar av det internationella utbytet av personuppgifter på brottsbekämpningens område. Myndigheten påpekar att även om varje enskild sådan uppgift inte innebär ett omfattande merarbete så innebär det sammantagna utökade tillsynsansvaret att inspektionen behöver ökade resur- ser för att kunna lösa uppgifterna på ett tillfredsställande sätt. bete som de ökade tillsynsuppgifterna kommer att medföra bör dock kunna rymmas inom ordinarie budgetramar. Regeringen kommer att följa Sammantaget bedöms kostnaderna kunna finansieras inom myndighet- ernas befintliga anslag. Förslaget till lag om ändring i lagen (2000:343) om internationellt polisiärt samarbete 1 b § I lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen, och i föreskrifter som regeringen har meddelat i anslutning till den lagen, finns det särskilda bestämmelser om behandling av personuppgifter som inom ramen för polissamarbete eller straffrättsligt samarbete har överförts från eller gjorts tillgängliga av 1.en stat som är medlem i Europeiska unionen (EU), 2.Island, , eller , 3.ett EU-organ, eller Om det i de författningar som anges i första stycket finns avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag och i föreskrifter som regeringen har meddelat i anslutning till lagen. Detta gäller dock inte vid behandling av personuppgifter som –utbyts eller har utbytts med stöd av rådets beslut /615/RIF av om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet, eller –hämtas eller har hämtats med stöd av rådets beslut /633/RIF av om åtkomst till informationssystemet för viseringar (VIS) för sökningar för medlemsstaternas utsedda myndigheter och för Europol i syfte att förhindra, upptäcka och utreda terroristbrott och andra grova brott. Paragrafen reglerar förhållandet till bestämmelser om personuppgiftsbehandling i lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen. Ändringen behandlas i avsnitt 11. Första stycket är oförändrat. I sista meningen i andra stycket införs ytterligare ett undantag från stadgandet i första meningen i samma stycke. Undantaget innebär att lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen, och föreskrifter som regeringen har meddelat i anslutning till den lagen, inte ska tillämpas vid behandling av personuppgifter som hämtas eller har hämtats med stöd av VIS-rådsbeslutet. Stycket omarbetas även redaktionellt. 2 § I denna lag avses med –utländska tjänstemän: utländska polismän och andra utländska tjänstemän som har anmälts vara behöriga att utföra sådant gränsöverskridande arbete som avses i artikel 40 och 41 i konventionen om tillämpning av av (), –förföljande tjänstemän: utländska tjänstemän som förföljer en person på svenskt territorium enligt denna lag, –svenska tjänstemän: svenska polismän, tulltjänstemän eller kustbevakningstjänstemän när de enligt lag eller annan författning har polisiära befogenheter, –Öresundsförbindelsen: den fasta förbindelsen över som den definie- ras i artikel 2 i avtalet av mellan regering och om polisiärt samarbete i , –Prümrådsbeslutet: rådets beslut /615/RIF av om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet, –referensuppgifter: registeruppgifter som inte röjer identiteten på en person, antingen i form av en sifferbeteckning och ett fingeravtryck eller en sifferbeteckning och en DNA-profil från den icke-kodifierande delen av personens DNA, –CBE-direktivet: och rådets direktiv /82/EU av om underlättande av ett gränsöverskridande informations-utbyte om trafiksäkerhetsrelaterade brott, och –VIS-rådsbeslutet: rådets beslut /633/RIF av om åtkomst till informationssystemet för viseringar (VIS) för sökningar för medlemsstaternas utsedda myndigheter och för Europol i syfte att förhindra, upptäcka och utreda terroristbrott och andra grova brott. I paragrafen definieras vissa grundläggande begrepp som används i lagen. De första sju är oförändrade. En definition av VIS-rådsbeslutet införs. Skälet till detta behandlas i avsnitt 9.1. Tillgång till uppgifter enligt VIS-rådsbeslutet