prop · H20363 · 2015-03-12 00:00:00 — Skälen för regeringens förslag: Datainspektionen är tillsynsmyndig- het enligt personuppgiftslagen (1998:204) och har enligt 1 och 2 §§ för- ordningen (2007:975) med instruktion för Datainspektionen och 2 § personuppgiftsförordningen (1998:1191) till uppgift att bl.a. verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter. Datainspektionens tillsyn omfattar den personuppgiftsbehandling som och Ekobrottsmyn- digheten utför med stöd av den nu gällande förordningen (2006:937) om behandling av personuppgifter inom åklagarväsendet och förordningen (1997:902) om register över strafförelägganden. är att Datainspektionen även fortsättningsvis bör vara tillsynsmyndighet över myndigheternas personuppgiftsbehandling. därför att bestämmelserna om tillsynsmyndighetens befogenheter i 43 och 44 §§, 45 § första stycket och 47 § personuppgiftslagen ska vara tillämpliga, se avsnitt 7.4.2. anser att det bör övervägas om nämnden ska ha till uppgift att utöva tillsyn över behandlingen av personuppgifter vid riksenheten för säkerhetsmål. Denna åklagarenhet Prop. 2014/15:63 handlägger samtliga mål och ärenden som utreds av Säkerhetspolisen. har till uppgift att bl.a. utöva tillsyn över de brottsbekämpande myndigheternas användning av hemliga tvångsmedel och polisens behandling av uppgifter enligt polisdatalagen (se 1 § första och andra styckena lagen [2007:980] om tillsyn över viss brottsbekämpande verksamhet). Polisens personuppgiftsbehandling inom den brottsbekämpande verksamheten står således under tillsyn av både Datainspektionen och . Åklagare vid riksenheten för säkerhetsmål bedriver, i likhet med åklagare i allmänhet, inte några egna utredningar. När förutsättningarna enligt 23 kap. är uppfyllda leder åklagare förundersökningarna, men det innebär inte att de utför själva utredningsarbetet. Det är främst en polisiär uppgift. Den personuppgiftsbehandling som polisen utför inom ramen för en förundersökning görs med stöd av polisdatalagen och inte den nu föreslagna åklagardatalagen. Åklagare bedriver inte heller någon kriminalunderrättelseverksamhet utan även den sköts i första hand av polisen. Även om riksenheten för säkerhetsmål bedriver verksamhet som, i likhet med Säkerhetspolisens, till viss del är undandragen allmän insyn är verksamheten vid åklagarkammaren betydligt mer öppen. Det beror till stor del på att åklagarkammaren varken bedriver underrättelseverksamhet eller utredningsverksamhet utan enbart leder förundersökningar och fullgör andra åklagaruppgifter. I de fall där åtal väcks blir uppgifterna till stor del offentliga, vilket också är en skillnad i förhållande till Säkerhetspolisens verksamhet. Till det kommer att åklagarväsendet har en väl fungerande tillsynsverksamhet som bygger på regelverket i 7 kap. och som inte har någon motsvarighet inom polisen. Mot denna bakgrund gör regeringen bedömningen att det inte behövs någon tillsyn, utöver den som åvilar Datainspektionen, när det gäller personuppgiftsbehandlingen. Någon särskild tillsyn över behandlingen av personuppgifter vid riksenheten för säkerhetsmål, som efterfrågar, anser regeringen därför inte vara nödvändig. Regeringens förslag: Den föreslagna åklagardatalagen och ändringen i offentlighets- och sekretesslagen ska träda i kraft . Bestämmelserna om särskilda upplysningar om personer som inte är misstänkta för brott och att den som är misstänkt inte får vara sökbar som misstänkt behöver inte tillämpas förrän . Utredningens förslag överensstämmer inte med regeringens. ningen föreslår ett tidigare ikraftträdande. Utredningen föreslår också en 2014/15:63 övergångsbestämmelse som tar sikte på möjligheten att begära skadestånd enligt personuppgiftslagen (1998:204) men inte några övergångsbestämmelser i övrigt. Remissinstanserna: Flertalet remissinstanser yttrar sig inte över förslaget i denna del, men ifrågasätter om utredningens förslag om ikraftträdande är realistiskt. Skälen för regeringens förslag: Den nya lagen och de författningsändringar som föreslås i offentlighets- och sekretesslagen bör träda i kraft . Enligt regeringens bedömning får och därmed tillräckligt med tid för att anpassa sig till den nya lagstiftningen. Det kan dock vara svårt för myndigheterna att i alla avseenden kunna leva upp till de nya kraven . Det gäller framför allt reglerna om att det ska framgå genom en särskild upplysning eller på annat sätt om en person inte är misstänkt för brott och att den som är misstänkt inte får vara sökbar som sådan. Mot bakgrund av att den övergångsbestämmelse till polisdatalagen som reglerar motsvarande skyldighet för polisen har förlängts, och att polisen därför inte behöver tillämpa reglerna fullt ut förrän , bör en motsvarande övergångsbestämmelse införas i den nya lagen. Regleringen innebär att åklagarväsendet får tillämpa bestämmelserna tidigare i den utsträckning det är möjligt. Utredningen föreslår att hänvisningen till personuppgiftslagens bestämmelse om skadestånd i den nya lagen bara ska tillämpas om den omständighet som yrkandet hänför sig till har inträffat efter det att lagen trätt i kraft. I annat fall ska äldre bestämmelser tillämpas. Regeringen anser att någon övergångsbestämmelse av det slag som utredningen föreslår inte bör införas, eftersom både den nuvarande förordningen och den föreslagna lagen hänvisar till personuppgiftslagens regel om skadestånd. Inte heller i övrigt behövs det någon övergångsbestämmelse till den nya lagen. Regeringens bedömning: Förslagen kommer att ge förutsättningar för och att bedriva sina verksamheter effektivt och med ett rationellt datorstöd. nebär en flexibel reglering som ger myndigheterna möjlighet att fort- löpande utveckla och anpassa sina system för automatiserad behand- ling av personuppgifter utan att det kräver ändringar i lagstiftningen. Kostnaderna för förslagen ryms inom ordinarie anslag. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens bedömning: Syftet med förslagen är att införa en ändamålsenlig och teknikneutral lag för åklagarväsendets personupp- Särskild hänsyn har tagits till de integritetsrisker som omfattande automatiserade uppgiftssamlingar i myndighetsverksamhet Förslagen syftar även till att underlätta samverkan mellan de svenska brottsbekämpande myndigheterna och att främja det inter- Prop. 2014/15:63 nationella samarbete som och Ekobrottsmyndighe- ten bedriver inom sina verksamhetsområden med såväl andra staters myndigheter som internationella organisationer. Utredningen gör bedömningen att författningsförslagen inte kommer att innebära några merkostnader för och . Ingen remissinstans ifrågasätter denna bedömning. De befintliga datorsystemen kan behållas. Eftersom förslagen är teknikneutrala möjliggör de att befintliga datorsystemen kan utvecklas ytterligare och att nya datorsystem kan skapas utan att det blir nödvändigt att ändra lagstiftningen. Förslagen innebär också att myndigheterna kan välja i vilken omfattning de vill inrätta ett eller flera nya register eller databaser. Förslaget om direktåtkomst kan förväntas medföra viss besparing genom de effektivitetsvinster som direktåtkomsten medför. Utbildningsinsatser kan komma att krävas, men jämfört med den fortlöpande vidareutbildningen av personalen inom myndigheterna bedöms dessa inte vara mer omfattande än att de kan täckas av ordinarie anslag. Mot denna bakgrund gör regeringen bedömningen att förslagen inte kommer att medföra några kostnader för och som inte ryms inom ordinarie anslag. Lagens syfte och tillämpningsområde 1 § Syftet med denna lag är att ge och (åklagarväsendet) möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin operativa verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. I paragrafen, som är utformad efter mönster av 1 kap. 1 § polisdatalagen (2010:361), anges det övergripande syftet med lagen. Övervägandena finns i avsnitt 7.2. 2 § Denna lag gäller vid behandling av personuppgifter i åklagarväsendets operativa verksamhet om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Lagen gäller inte vid behandling av personuppgifter i polisiär verksamhet vid . Paragrafen, som är utformad efter mönster av 1 kap. 2 § polisdatalagen (2010:361), anger lagens tillämpningsområde. Övervägandena finns i avsnitt 7.3. I första stycket anges inledningsvis att lagen gäller vid ”behandling av personuppgifter”. Med personuppgifter avses detsamma som i 3 § personuppgiftslagen (1998:204), dvs. all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Också begreppet behandling har samma innebörd som i den paragrafen. Därmed avses således varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, t.ex. insamling, registrering, organisering, lagring, bearbetning, användning, spridning eller annat tillhandahållande, sammanställning eller samkörning samt utplåning eller förstöring. Lagen är tillämplig bara om behandlingen av personuppgifterna är helt eller delvis automatiserad eller om de ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier (jfr 5 § personuppgiftslagen som innehåller samma rekvisit). Utanför lagens tillämpningsområde faller således helt behandling av personuppgifter som inte ingår i en samling som är tillgänglig för sökning. Av första stycket följer vidare att lagen endast är tillämplig i åklagarväsendets operativa verksamhet. Med operativ verksamhet avses i detta sammanhang den verksamhet för vilken personuppgifter får behandlas enligt 2 kap. 5 §. I avsnitten 8.2–8.5 samt i kommentaren till den paragrafen finns en närmare redogörelse för vad som här avses med begreppet operativ verksamhet. Lagen är inte tillämplig på myndigheternas behandling av personuppgifter som rör t.ex. ekonomi- och personalfrågor. För behandling av personuppgifter i den verksamheten gäller personuppgiftslagen. Vid bedrivs, förutom åklagarverksamhet, även polisiär verksamhet. Den polispersonal som arbetar vid är anställd vid , vilket framgår av 47 § förordningen (2014:1102) med instruktion för . leder sådan verksamhet vid som enligt lag eller annan författning endast får utföras av anställda inom polisen, se 7 § förordningen (2007:972) med instruktion för . Enligt 1 kap. 2 § första stycket polisdatalagen gäller polisdatalagen för den behandling av personuppgifter som sker i polisiär verksamhet vid . Enligt 2 kap. 4 § polisdatalagen är personuppgiftsansvarig för personuppgiftsbehandlingen i den polisiära verksamheten vid . I andra stycket förtydligas att åklagardatalagen inte är tillämplig på den personuppgiftsbehandling som förekommer i polisiär verksamhet vid . Därmed undantas exempelvis polismäns behandling av uppgifter enligt lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregister, polisdatalagen (2010:361) och lagen (2010:362) om polisens allmänna spaningsregister. 3 § I lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen, och i föreskrifter som regeringen har meddelat i anslutning till den lagen, finns det särskilda bestämmelser om behandling av personuppgifter som inom ramen för polissamarbete eller straffrättsligt samarbete har överförts från eller gjorts till- Prop. 2014/15:63 gängliga av 1.en stat som är medlem i Europeiska unionen (EU), 2.Island, , eller , 3.ett EU-organ, eller Om det i de författningar som anges i första stycket finns avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag. Paragrafen, som motsvarar 1 kap. 5 § polisdatalagen (2010:361), anger lagens förhållande till lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen. Övervägandena finns i avsnitt 11.2. Första stycket innehåller en hänvisning till att det i lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen, och tillhörande förordning, finns särskilda bestämmelser om behandling av vissa personuppgifter. I andra stycket klargörs förhållandet mellan författningarna. 4 § Bestämmelserna om personuppgifter i följande paragrafer gäller också vid behandling av uppgifter om juridiska personer: 1.2 kap. 3 § om personuppgiftsansvar, 2.2 kap. 5–7 §§ om ändamålen för behandlingen, 3.2 kap. 9 § om tillgången till personuppgifter, 4.2 kap. 10 § om bevarande och gallring, och 5.3 kap. 1 och 2 §§ om gemensamt tillgängliga uppgifter. Paragrafen, som är utformad efter mönster av 1 kap. 6 § polisdatalagen (2010:361), innehåller bestämmelser om behandling av uppgifter om juridiska personer. Övervägandena finns i avsnitt 7.3 och 7.5. I förhållande till 2 § utvidgar paragrafen lagens tillämpningsområde genom att den föreskriver att vissa av lagens bestämmelser ska tillämpas även vid behandling av uppgifter om juridiska personer. Det gäller bestämmelserna om personuppgiftsansvar (2 kap. 3 §), vilket är fallet , om ändamålen med behandlingen (2 kap. 5–7 §§), om tillgången till personuppgifter (2 kap. 9 §), om bevarande och gallring (2 kap. 10 §) och vissa bestämmelser om gemensamt tillgängliga uppgifter (3 kap. 1 och 2 §§). Däremot är exempelvis sökbegränsningarna i 3 kap. inte tillämpliga. 2 kap. Allmänna bestämmelser 1 § Om inte något annat anges i 2 §, gäller denna lag i stället för personuppgiftslagen (1998:204). Paragrafen, som motsvarar 2 kap. 1 § polisdatalagen (2010:361), reglerar lagens förhållande till personuppgiftslagen (1998:204). Lagen är utformad på så sätt att den gäller i stället för personuppgiftslagen. Det innebär att vid personuppgiftsbehandling som omfattas av lagen ska bestämmelser i personuppgiftslagen tillämpas endast om det finns en hänvisning till dem i 2 §. Övervägandena finns i avsnitt 7.4.1. 2 § När personuppgifter behandlas enligt denna lag, eller enligt föreskrifter som har meddelats i anslutning till lagen, gäller följande bestämmelser i personuppgiftslagen (1998:204): 1.3 § om definitioner, 2.8 § om förhållandet till offentlighetsprincipen, 3.9 §, med undantag för första stycket i och tredje stycket, om grundläggande krav på behandlingen av personuppgifter, 4.22 § om behandling av personnummer, 5.23 och 25–27 §§ om information till den registrerade, 6.28 § om rättelse, 7.30 och 31 §§ samt 32 § första stycket om säkerheten vid behandling, 8.33–35 §§ om överföring av personuppgifter till tredjeland, 9.38–41 §§ om personuppgiftsombud m.m., 10.42 § om upplysningar till allmänheten om vissa behandlingar, 11.43 och 44 §§, 45 § första stycket och 47 § om tillsynsmyndighetens befogenheter, 12.48 § om skadestånd, och 13.51 § första stycket, 52 § första stycket och 53 § om överklagande. Om personuppgifter ska gallras enligt denna lag, eller enligt föreskrifter som har meddelats i anslutning till lagen, gäller inte 8 § andra stycket personuppgiftslagen. Förbud enligt 44 eller 45 § personuppgiftslagen får inte förenas med vite. Paragrafen, som är utformad efter mönster av 2 kap. 2 § polisdatalagen (2010:361), anger vilka bestämmelser i personuppgiftslagen (1998:204) som är tillämpliga vid personuppgiftsbehandling i åklagarväsendets operativa verksamhet. Övervägandena finns i avsnitt 7.4.2. I första stycket anges vilka bestämmelser i personuppgiftslagen som är tillämpliga vid behandling av personuppgifter i åklagarväsendets operativa verksamhet. Utgångspunkten är att lagen gäller i stället för personuppgiftslagen, varför bestämmelserna i personuppgiftslagen inte ska tillämpas vid sådan behandling av personuppgifter som omfattas av åklagardatalagen eller föreskrifter som meddelats i anslutning till den. Vissa utpekade paragrafer i personuppgiftslagen ska dock tillämpas. Uppräkningen är uttömmande. Enligt första stycket 1 ska de definitioner som anges i 3 § personuppgiftslagen tillämpas även vid behandling av personuppgifter enligt åklagardatalagen. Genom hänvisningen i första stycket 2 till 8 § personuppgiftslagen klargörs att bestämmelserna i åklagardatalagen – eller de bestämmelser till vilka lagen hänvisar – inte ska tillämpas om det skulle inskränka eller skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter (8 § första stycket personuppgiftslagen). Det innebär t.ex. att en åklagarmyndighet inte kan vägra att ta fram och lämna ut uppgifter i enlighet med tryckfrihetsförordningens bestämmelser enbart med hänvisning till att utlämnandet inte ryms inom de i 5–7 §§ angivna ändamålen för behandling. I sammanhanget bör dock understrykas att offentlighetsprincipen inte innebär någon skyldighet att lämna ut uppgifter i elektronisk form. Vid bedömningen av om en uppgift kan lämnas ut i elektronisk form måste alltså lagens regler beaktas. Av hänvisningen till 8 § personuppgiftslagen följer också att åklagardatalagen inte hindrar att en åklagarmyndighet arkiverar eller bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet (8 § andra stycket personuppgiftslagen). Bestämmelserna om gallring i åklagardatalagen gäller dock genom regleringen i andra stycket framför bestämmelsen i 8 § andra stycket personuppgiftslagen. Vidare hänvisas i första stycket 3 till 9 § personuppgiftslagen, med undantag för första stycket i och tredje stycket. Hänvisningen innebär t.ex. att den personuppgiftsansvarige (se 3 §) ska se till att uppgifterna behandlas enbart om det är lagligt och att de behandlas på ett korrekt sätt. Den personuppgiftsansvarige ska också se till att de behandlade personuppgifterna är adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler personuppgifter behandlas än de som är nödvändiga med hänsyn till ändamålen för behandlingen. Den personuppgiftsansvarige ska härutöver se till att de behandlade personuppgifterna dels är riktiga och, om det är nödvändigt, aktuella, dels att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Kravet på att uppgifterna ska vara riktiga innebär inte något krav på att en uppgift ska rättas enbart för att det senare – när fler fakta kommit fram – visar sig att uppgiften inte är korrekt eller att t.ex. en förhörsperson ändrat sina uppgifter. Hänvisningen innebär vidare att den personuppgiftsansvarige ska se till att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. Hänvisningen till 9 § första stycket d personuppgiftslagen innebär att den personuppgiftsansvarige ska se till att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (den s.k. finalitetsprincipen). De primära ändamålen är uttömmande angivna medan det framgår av 6 § att det, utöver vad som framgår av första och andra styckena i den paragrafen, är möjligt att lämna ut uppgifter för ett ändamål som inte kan anses oförenligt med det ändamål för vilket uppgifterna samlades in. Den personuppgiftsansvarige ska alltså dels se till att personuppgifter inte behandlas för andra primära ändamål än de som anges i lagen, dels att vidarebehandling för andra sekundära ändamål än de i lagen angivna endast förekommer om det är förenligt med finalitetsprincipen. Hänvisningen till 9 § andra stycket personuppgiftslagen innebär att vidarebehandling för historiska, statistiska eller vetenskapliga ändamål inte ska anses oförenlig med finalitetsprincipen. Hänvisningen till 9 § fjärde stycket personuppgiftslagen innebär att personuppgifter som behandlas för sådana ändamål får behandlas för andra ändamål endast i vissa fall. Vidare hänvisas i första stycket 4 till 22 § personuppgiftslagen. Be- stämmelsen innebär att uppgifter om personnummer eller samordningsnummer får behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Första stycket 5 hänvisar till 23 och 25–27 §§ personuppgiftslagen. Av hänvisningen till 23 § följer att den myndighet som samlar in uppgifter om en enskild person från personen själv, självmant ska informera honom eller henne om behandlingen. Det innebär t.ex. att i samband med att den tar emot en begäran om kontaktförbud ska underrätta personen om personuppgiftsbehandlingen. I 25 § person- uppgiftslagen anges att informationen ska omfatta uppgift om den per- sonuppgiftsansvariges identitet, uppgift om ändamålen med behand- lingen och övrig information som personen behöver för att ta till vara sina rättigheter i samband med behandlingen av uppgifterna. Bestämmelserna om informationsplikt i 23 och 25 §§ personuppgifts- lagen modifieras emellertid av andra bestämmelser. Som framgår av hän- visningen till 27 § personuppgiftslagen gäller informationsplikten inte i den utsträckning det gäller sekretess eller tystnadsplikt för informationen. Som framgår av hänvisningen till 26 § personuppgiftslagen är den per- sonuppgiftsansvarige skyldig att på begäran lämna information till en registrerad om huruvida personuppgifter som rör honom eller henne be- handlas eller inte. Om uppgifter behandlas, ska upplysning också lämnas om bl.a. ändamålet med behandlingen. dighet modifieras genom bestämmelserna i 27 § personuppgiftslagen. Om det gäller sekretess för uppgiften behöver någon information inte Enligt hänvisningen i första stycket 6 till 28 § personuppgiftslagen ska också den lagens bestämmelser om rättelse tillämpas. giftsansvarige är alltså skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behand- lats i enlighet med åklagardatalagen – inklusive de bestämmelser i per- sonuppgiftslagen till vilka lagen hänvisar – eller föreskrifter som har utfärdats i anslutning till lagen. Rättelse ska dock inte göras enbart därför att uppgifter som framstod som riktiga eller rimliga när de samlades in, t.ex. brottsmisstankar, senare har visat sig vara oriktiga. I första stycket 7 görs en hänvisning till 30 och 31 §§ samt 32 § första Enligt 30 § första stycket får ett person- uppgiftsbiträde (dvs. den som behandlar personuppgifter för den person- uppgiftsansvariges räkning) och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning behandla person- uppgifter enbart i enlighet med instruktioner från den personuppgiftsan- Om det i lag eller annan författning finns särskilda bestämmelser om behandlingen av personuppgifter i det allmännas verksamhet, gäller dock – enligt 30 § tredje stycket – dessa i stället. stämmelsen syftar särskilt på bestämmelser om tystnadsplikt och sekre- tess (se prop. 1997/98:44 s. 136). Av 31 § följer bl.a. att den personupp- giftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de behandlade personuppgifterna. Enligt 32 § första stycket får tillsynsmyndigheten i enskilda fall besluta om vilka åtgärder som den personuppgiftsansvarige ska vidta enligt 31 §. myndigheten avses här tillsynsmyndigheten enligt personuppgiftslagen, Datainspektionen, se 2 § personuppgiftsförordningen (1998:1191). En hänvisning görs i första stycket 8 till 33–35 §§ personuppgiftslagen. Enligt 33 § är det förbjudet att överföra personuppgifter till tredjeland om landet inte har en adekvat nivå för skyddet av personuppgifter. om en skyddsnivå är adekvat ska bedömas med hänsyn till samtliga om- ständigheter som har samband med överföringen. Särskild vikt ska fästas vid uppgifternas art, ändamålet med behandlingen, hur länge behand- lingen ska pågå, ursprungslandet, det slutliga bestämmelselandet och