sou · H3B373 · 2015-08-03 00:00:00 — Om det i lag eller annan författning finns särskilda bestämmelser om behandlingen av personuppgifter i det allmännas verksamhet, ska de bestämmelserna dock ha företräde (30 § tredje stycket). Här avses särskilt bestämmelser om tystnadsplikt och sekre- tess (se prop. 1997/98:44 s. 136). Enligt 30 § andra stycket PUL ska det i fråga om personuppgiftsbiträden finnas ett skriftligt avtal om biträdets behandling för den personuppgiftsansvariges räkning. Det ska i avtalet särskilt föreskrivas att biträdet får behandla person- uppgifter bara i enlighet med instruktioner från den personupp- giftsansvarige och att biträdet är skyldigt att vidta de åtgärder som avses i 31 § första stycket PUL. Av 31 § PUL följer bland annat att den personuppgiftsansvarige ska vidta lämpliga tekniska och orga- nisatoriska åtgärder för att skydda behandlade personuppgifter. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behand- lingen av personuppgifterna och hur pass känsliga de behandlade personuppgifterna är. Enligt 32 § första stycket PUL får Data- inspektionen i enskilda fall besluta om vilka åtgärder som den personuppgiftsansvarige ska vidta enligt 31 §. En ny lag om behandling av personuppgifter… Säkerhetsbestämmelserna är redan tillämpliga vid personuppgifts- behandling i här aktuell verksamhet och de bör gälla även fort- sättningsvis. En hänvisning till bestämmelserna bör alltså föras in i den nya lagen. Undantag bör dock göras för 32 § andra stycket PUL i vilket hänvisas till tillsynsmyndighetens möjlighet att förena förbud med vite. Regler om vite bör enligt allmänna rättsgrundsatser inte tillämpas i förhållandet mellan statliga myndigheter (se prop. 2004/05:164 s. 54, prop. 2006/07:46 s. 105 och 2009/10:85 s. 90). Någon hänvisning till 32 § andra stycket PUL bör därför inte göras i den nya lagen. 7.7.8Överföring av personuppgifter till tredjeland Allmänt om överföring av personuppgifter till tredjeland Överföring av personuppgifter till tredjeland regleras i 33−35 §§ PUL. Regleringen grundas på bestämmelserna i artikel 25 och 26 i dataskyddsdirektivet och ingresspunkt 56−60 till direktivet. I 33 § PUL finns ett förbud mot överföring av personuppgifter till tredjeland för personuppgifter som är under behandling om inte det mottagande landet har en adekvat nivå för skyddet av person- uppgifterna. Förbudet gäller också överföring av personuppgifter för behandling i tredjeland. Med tredjeland avses en stat som inte ingår i EU eller är ansluten till EES, se 3 § PUL. Från förbudet finns vissa undantag, se 34 § PUL. Av den bestäm- melsen följer att det trots förbudet är tillåtet att föra över person- uppgifter till tredjeland om den registrerade har lämnat sitt samtycke till överföringen eller om överföringen är nödvändig bland annat för rättsliga anspråk ska kunna fastställas, göras gällande eller för- svaras eller vitala intressen för den registrerade ska kunna skyddas. Av bestämmelsen följer vidare att det även är tillåtet att föra över personuppgifter för användning i ett land som har anslutit sig till dataskyddskonventionen. Enligt 35 § PUL har regeringen också möjlighet att föreskriva ytterligare undantag från förbudet, bland annat om det behövs med hänsyn till ett viktigt allmänt intresse. I 8 § andra stycket nuvarande utlänningsdataförordning finns en särskild bestämmelse om överföring av uppgifter till tredjeland. Enligt den bestämmelsen får de personuppgifter som finns i ett rättsfalls- En ny lag om behandling av personuppgifter… register föras över till en stat som inte ingår i EU eller är ansluten till EES. I övrigt gäller de ovan nämnda bestämmelserna i 33−35 §§ PUL vid behandling av personuppgifter inom utlännings- och med- borgarskapsområdet. Behandlingen av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen är till betydande del av internationell karaktär och överföring av uppgifter till andra EU- länder eller till tredjeland är vanligt förekommande inom ramen för olika former av samarbete och uppfyllande av myndighetsuppdrag. Det bör inledningsvis anmärkas att informationsutbyten genom direktåtkomst till datasystem eller som sker på annat sätt med svenska utlandsmyndigheter belägna i tredjeland enligt utredningens uppfattning inte innebär att personsuppgifter förs över till tredjeland (se artikel 4 i dataskyddsdirektivet som bland annat stadgar att en medlemsstats nationella rätt ska tillämpas även om den registeransvarige inte är etablerad inom medlemsstatens terri- torium utan på en plats där medlemsstatens lagstiftning gäller på grund av folkrätten). Däremot är det fråga om överföring av uppgifter till ett annat land då utlandsmyndigheten i sin tur i olika situationer lämnar ut personuppgifter till mottagare i tredjeland. Exempel på sådan över- föring är när utlandsmyndigheten begär biträde av lokala s.k. för- troendeadvokater eller andra utomstående. Sådant biträde kan till exempel begäras för att på ort och ställe kontrollera äktheten av vissa handlingar. Ytterligare exempel på överföring av uppgifter till tredjeland är när i ärenden om återvändande be- höver ordna resehandlingar och mottagande i mottagarlandet. Ett vanligt fall när personuppgifter överförs till tredjeland är vidare när polisen ska verkställa beslut om avvisningar eller utvisningar. Polisen kan då behöva kontakta utländska beskickningar för att kunna fastställa en persons identitet och för att få ut resehandlingar för personen. Olika uppgifter, exempelvis om familjeförhållanden och adresser i utlandet, skickas då över till den utländska beskickningen för att möjliggöra utredningen av identiteten, se bland annat 7 kap. 20 § UtlF. Överföring av personuppgifter till tredjeland sker i sist- nämnda fall normalt utan den enskildes samtycke. Vidare kan polis- en behöva få uppgifter verifierade hos myndigheter i det land där en utlandsmyndighet finns. En ny lag om behandling av personuppgifter… Utredningens förslag: Förutom med den registrerades samtycke bör överföring av personuppgifter till tredjeland få ske om det är absolut nödvändig för 1.handläggning av ärenden eller biträde i sådana ärenden, 2.kontroll av utlänning och 3.återsökning av rättslig information. När det gäller tillhandahållande av information till en utländsk myndighet i tredjeland, se avsnitt 7.9.3. Regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om i vilken utsträckning per- sonuppgifter får överföras till tredjeland. Internationellt samarbete och informationsutbyte har, som tidigare nämnts, en stor betydelse i verksamhet enligt utlännings- och med- borgarskapslagstiftningen. Det är därför av allmänt intresse att personuppgifter som behandlas enligt utlänningslagstiftningen bör kunna föras över till tredjeland när det krävs för att de svenska myndigheterna ska kunna utföra sina uppgifter på ett effektivt och rimligt sätt. Förslaget till en ny utlänningsdatalagstiftning bör där- för enligt utredningen utformas på ett sådant sätt att den inte hindrar överföring till tredjeland som är befogad utifrån detta allmän- intresse. Som tidigare redovisats får personuppgifter enligt gällande rätt överföras till tredjeland, om den registrerade samtycker till det. Om en registrerad i tredjeland exempelvis ansöker om visum vid en utlandsmyndighet, får han eller hon anses ha samtyckt till den över- föring som sker då han eller hon får del av beslutet. Likaså får en registrerad i tredjeland som inleder en elektronisk kommunikation med en myndighet i , exempelvis via e-post eller via ett sär- skilt inrättat elektroniskt ansökningsförfarande, anses ha samtyckt till att den fortsatta kommunikationen kan inbegripa överföring av personuppgifter till tredjeland. I bland finns det även, som ovan nämnts, behov för aktuella myndigheter att överföra personuppgifter till tredjeland oavsett om samtycke till detta föreligger. Så kan exempelvis vara fallet vid En ny lag om behandling av personuppgifter… utlämnande av personuppgifter till förtroendeadvokater eller andra personer när utlandsmyndigheter i tredjeland biträder svenska myn- digheter med utredning i enskilda ärenden, men även vid återvän- dandeärenden och verkställighetsärenden avseende avvisningar eller utvisningar. Personuppgifter överförs ibland även till andra EU-länder vid s.k. Joint Return Operations (JRO), dvs. gemensamma återvändar- operationer koordinerade och finansierade genom EU:s gräns- kontrollbyrå Frontex. Anledningen till överföringen av uppgifter är att en medlemsstat som organiserar en insats behöver information om de som ska återvända för att kunna organisera och möjliggöra ett återvändande hos destinationslandet. Vidare deltar , och de andra myndigheterna som utför verksamhet enligt utlännings- och med- borgarskapslagstiftningen i olika samarbetsorgan rörande asyl- och migrationsfrågor där även tredjeländer medverkar. I dessa fall lämnas dock aldrig några personuppgifter ut. Det rör sig i huvudsak om uppgifter som finns i Lifos. Vad nu anförts leder utredningen till slutsatsen att de undan- tagen från förbudet mot överföring av personuppgifter till tredje- land i 34 § PUL och undantaget i utlänningsdataförordningen inte är tillräckliga för att tillgodose all sådan överföring av personupp- gifter som är befogad utifrån ovan nämnda allmänna intressen. Ytterligare undantag behövs alltså i den nya utlänningsdatalagen. Förutom med den registrerades samtycke anser utredningen att överföring av personuppgifter till tredjeland ska få ske om det är absolut nödvändigt för 1) den överförande myndighetens handlägg- ning av ärende eller biträde i sådana ärenden, 2) kontroll av utlän- ning i samband med inresa och utresa samt kontroll under vistelsen i och 3) sådan behandling som sker för ändamålet för åter- sökning av avgöranden, rättsutredningar och annan rättslig infor- mation. Det kompletterande undantaget är enligt utredningens bedöm- ning förenligt med vad dataskyddsdirektivet anger om att undantag från överföringsförbudet får göras för ett viktigt allmänt intresse, se artikel 26 i dataskyddsdirektivet. Ett av de sekundära ändamålen i den nya lagstiftningen är tillhanda- hållande av information till en utländsk myndighet, se avsnitt 7.9.3. Den myndigheten kan finnas i tredjeland. Att sådan överföring får En ny lag om behandling av personuppgifter… ske under vissa förutsättningar följer redan av ändamålsbestäm- melsen. Möjligheten behöver därför inte anges som ett särskilt undantag från förbudet för överföring av personuppgifter till tredje- land. En fråga som har diskuterats är om personuppgifter kan anses överföras till tredjeland även om de fortsätter att vara under den personuppgiftsansvariges kontroll. Ett exempel på detta är om den personuppgiftsansvarige på en tillfällig resa till tredjeland tar med sig en bärbar dator i vilken personuppgifter lagrats (se SOU 2003:40 s. 247). Enligt utredningen finns det inget stöd för att tolka dataskyddsdirektivet på detta sätt. Utredningen föreslår därför inga undantag från förbudet mot överföring av person- uppgifter till tredjeland som tar sikte på situationer som den nu beskrivna. Av hänsyn till integritetsintresset bör regeringen eller den myn- dighet som regeringen bestämmer med stöd av 8 kap. 7 § regerings- formen kunna meddela närmare föreskrifter om i vilken utsträckning personuppgifter får överföras till tredjeland. Eventuella sekretesshinder måste dock alltid övervägas innan per- sonuppgifter lämnas ut till tredjeland, se bland annat SOU 2001:160 s. 66 f. och JO 2012/13 s. 265. I beslutet uttalade JO kritik mot för brister vid äkthetskontrollen av hand- lingar i ett asylärende. När det gäller sekretess och överföring av personuppgifter till tredjeland, se även SOU 2015:39 s. 483 f. I 36 § första stycket PUL föreskrivs att behandling som är helt eller delvis automatiserad ska anmälas till tillsynsmyndigheten. Regeln bygger på artikel 18.1 i dataskyddsdirektivet. Artikeln är emellertid bara en huvudregel. Undantag är i viss utsträckning tillåtna. Enligt utredningen finns förutsättningar för att undanta personuppgifts- behandlingen på utlännings- och medborgarskapsområdet från anmälningsskyldighet. Någon hänvisning till 36 § PUL behövs där- för inte. I avsnitt 7.8 föreslås en särskild bestämmelse med skyldighet för , och Säkerhetspolisen att utse personuppgiftsombud och att anmäla till Datainspektionen när ett En ny lag om behandling av personuppgifter… sådant ombud utses och entledigas. Den nya lagen bör hänvisa till 38–40 §§ PUL om personuppgiftsombudets uppgifter. Ett personuppgiftsombud ska enligt 38 § PUL självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed samt påpeka eventuella brister. Har ett personuppgiftsombud anledning att miss- tänka att den personuppgiftsansvarige bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och vidtas inte rättelse så snart det kan ske efter påpekande, ska personuppgifts- ombudet anmäla förhållandet till Datainspektionen. Även i övrigt ska personuppgiftsombud samråda med Datainspektionen vid tvek- samhet rörande tillämpningen av utlänningsdatalagen eller de bestäm- melser i personuppgiftslagen som lagen hänvisar till. Av 39 § PUL följer att personuppgiftsombudet ska föra en förteckning över de behandlingar som den personuppgiftsansvarige genomför och som skulle ha omfattats av anmälningsskyldighet om ombudet inte hade funnits. Slutligen har personuppgiftsombuden också till uppgift att hjälpa registrerade att få rättelse när det finns anledning att miss- tänka att behandlade personuppgifter är felaktiga eller ofullstän- diga, se 40 § PUL. I 41 § PUL anges att regeringen har möjlighet att föreskriva att vissa särskilt känsliga behandlingar ska anmälas till Datainspektionen för förhandskontroll. Denna ordning bör gälla även fortsättningsvis vid personuppgiftsbehandling i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Den nya lagen bör därför innehålla en hänvisning till 41 § PUL. Den personuppgiftsansvarige ska enligt 42 § PUL till var och en som begär det skyndsamt och på lämpligt sätt lämna upplysningar om sådana automatiserade eller andra behandlingar av personupp- gifter som inte har anmälts till tillsynsmyndigheten. Upplysningar- na ska omfatta det som en anmälan enligt 36 § första stycket PUL skulle ha omfattat. Den personuppgiftsansvarige är dock inte skyl- dig att lämna ut sekretessbelagda uppgifter eller uppgifter om vilka säkerhetsåtgärder som har vidtagits. En ny lag om behandling av personuppgifter… Den enskilde bör på ett snabbt och enkelt sätt kunna få besked om vilka behandlingar som utförs i den här aktuella verksamheten även i de fall den behandling som utförs inte omfattas av någon anmälningsskyldighet till Datainspektionen. En hänvisning till 42 § PUL bör därför tas in i den nya lagen. Enligt 43 § PUL har Datainspektionen möjlighet att på begäran få tillgång till personuppgifter, upplysningar och dokumentation om behandlingen och säkerheten samt tillträde till lokaler. Om Data- inspektionen inte efter en begäran enligt 43 § PUL kan få tillräckligt underlag för att konstatera att personuppgiftsbehandlingen är laglig, får myndigheten med stöd av 44 § vid vite förbjuda den person- uppgiftsansvarige att behandla personuppgifter på något annat sätt än att lagra dem. I tidigare lagstiftning har man valt olika lösningar när det gäller Datainspektionens möjlighet att meddela sådana förbud. Någon sådan möjlighet finns exempelvis inte i lagen om behandling av uppgifter i brottsbekämpande verksamhet och inte heller enligt lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säker- hetstjänst. Däremot har Datainspektionen möjlighet att meddela sådana förbud enligt polisdatalagen. Bestämmelserna om Datainspektionens befogenheter är tillämpliga vid personuppgiftsbehandling i här aktuell verksamhet. Enligt gällande rätt finns det således redan en möjlighet för Data- inspektionen att förbjuda myndigheternas personuppgiftsbehand- ling. Denna möjlighet bör finnas även fortsättningsvis. En hänvis- ning bör därför göras också till 43 och 44 §§ PUL. En annan fråga är om det bör vara möjligt för Datainspektionen att förena ett sådant förbud med vite. Som ovan anförts är huvud- principen att regler om vite inte bör tillämpas i förhållandet mellan statliga myndigheter. Ett förbud enligt 44 § PUL bör således inte kunna förenas med vite. Av 45 § första stycket PUL framgår att Datainspektionen, om den konstaterar att personuppgifter behandlas felaktigt, ska försöka åstadkomma rättelse genom påpekanden eller liknande förfaranden. Om det inte går att få till stånd rättelse eller om saken är brådskan- En ny lag om behandling av personuppgifter… de, får Datainspektionen förbjuda behandlingen. Bestämmelsen gäller redan inom verksamheten och bör gälla även fortsättningsvis. En hänvisning till 45 § första stycket bör således göras. Däremot bör den nya lagen inte hänvisa till paragrafens andra stycke eller till 46 §. Dessa båda bestämmelser rör vite. Enligt 47 § PUL har Datainspektionen rätt att hos allmän för- valtningsdomstol ansöka om att sådana uppgifter som har behand- lats på ett olagligt sätt ska utplånas. Bestämmelsen har sitt ursprung i dataskyddsdirektivet, som anger att varje nationell tillsynsmyn- dighet ska ha särskild befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av direktivet har överträtts eller att uppmärksamma de rättsliga myndigheterna på dessa överträdelser. Av förarbetena till personuppgiftslagen framgår att vid bedömningen kan beaktas om utplånandet skulle innebära stora praktiska svårigheter för den personuppgiftsansvarige eller ett svårt ekonomiskt avbräck (se prop.1997/98:44 s. 142). När det gäller personuppgifter hos myndigheter är det i praktiken inte möjligt att utplåna uppgifter som behövs för handläggningen av ärenden eller som på grund av grundlagsbestämmelser eller lag ska bevaras. Bestämmelsen bör vara tillämplig vid behandling av uppgifter enligt den nya lagen. En hänvisning till bestämmelsen bör alltså tas in i lagen. I 48 § PUL anges att den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integri- teten som en behandling av personuppgifter i strid med den lagen har orsakat. Bestämmelsen tillämpas vid behandling enligt nuvarande utlänningsdataförordning och bör gälla även fortsättningsvis. En hänvisning till 48 § PUL bör därför tas in i den nya lagen. I kapitel 11 behandlar utredningen skadeståndsskyldighet efter kontroll vid Schengenviseringar. I 49 § PUL föreskrivs straffansvar för överträdelser av olika bestämmelser i personuppgiftslagen. Behandlingen av personupp- gifter enligt den nya lagen kommer att utföras av personer som är anställda vid statliga myndigheter. De omfattas av bestämmelserna om tjänstefel m.m. i . Eftersom det är myndigheter som En ny lag om behandling av personuppgifter… kommer att utföra personuppgiftsbehandlingen, torde det inte bli aktuellt att tillämpa straffbestämmelsen (se prop. 1997/98:97 s. 109). Någon hänvisning till bestämmelsen om straffansvar bör därför inte göras i den nya lagen. I 51 § första stycket PUL föreskrivs att Datainspektionens beslut enligt lagen om annat än föreskrifter får överklagas hos allmän för- valtningsdomstol. Som anges ovan föreslås Datainspektionen kunna meddela förbud enligt 44 § eller 45 § första stycket PUL. Därmed bör även en hänvisning till 51 § första stycket PUL göras. Enligt 51 § andra stycket får Datainspektionen bestämma att dess beslut ska gälla även om det överklagas. Datainspektionen bör ges möjlighet att meddela interimistiska beslut i här aktuella fall. Hänvisning i den nya lagen bör därför göras även till 51 § andra stycket PUL. En myndighets beslut om information, rättelse och underrättelse till tredje man om rättelseåtgärder, information om automatiserade beslut och allmänna upplysningar om pågående behandlingar får, enligt 52 § första stycket PUL, överklagas hos allmän förvaltnings- domstol. Andra beslut enligt personuppgiftslagen får enligt 53 § inte överklagas. Prövningstillstånd krävs vid överklagande till kammar- rätten. I förarbetena till dessa bestämmelser anges att det efter in- förandet av en bestämmelse om överklagande i personuppgiftslagen inte är nödvändigt att ta in några överklagandebestämmelser i sär- skilda registerförfattningar, som hänvisar till personuppgiftslagen (se prop. 2005/06:173 s. 53). Den nya lagen bör således inte inne- hålla någon särskild bestämmelse om överklagande, endast en hän- visning till personuppgiftslagens bestämmelser om överklagande. Enligt 3 § PUL är personuppgiftsansvarig den som ensam eller till- sammans med andra bestämmer ändamålet och medlen för behand- lingen av personuppgifter. I registerförfattningar är det vanligt att En ny lag om behandling av personuppgifter… det anges vem som är personuppgiftsansvarig för den personupp- giftsbehandling som regleras. I 2 § nuvarande utlänningsdataförordning anges att Migrations- verket är personuppgiftsansvarigt för den behandling av person- uppgifter som verket utför. Verket är även personuppgiftsansvarigt för den behandling som en utlandsmyndighet utför. Polismyndig- heten är personuppgiftsansvarig för den behandling som myndigheten utför och Säkerhetspolisen för den behandling som den utför. Utredningens förslag: Den myndighet som utför en behandling eller som det åligger att utföra en behandling ska vara person- uppgiftsansvarig för behandlingen. bör även vara personuppgiftsansvarigt för utlandsmyndigheternas automatise- rade personuppgiftsbehandling. , och Säkerhetspolisen ska vara skyldiga att utse ett eller flera personuppgiftsombud för den personuppgiftsbehandling som myndigheten utför eller som det åligger myndigheten att utföra. Den personuppgiftsansvarige ska anmäla till Datainspek- tionen när ett personuppgiftsombud utses eller entledigas. I den nya lagen bör som huvudregel gälla att den som utför själva behandlingen också ska ha personuppgiftsansvaret. Således bör , och Säkerhetspolisen vara per- sonuppgiftsansvariga för den behandling som respektive myndighet utför. Som framgår ovan gäller särskilda regler för utlands- myndigheternas personuppgiftsbehandling. Det kan diskuteras om även i fortsättningen bör ha personuppgiftsansva- ret för utlandsmyndigheterna. Vid denna bedömning bör beaktas vilken möjlighet har att utöva kontroll och in- flytande över utlandsmyndigheternas personuppgiftsbehandling, till exempel vilken kontroll verket har över säkerheten vid person- uppgiftsbehandlingen på utlandsmyndigheterna. De argument som kan framföras mot nuvarande ordning är att det är som äger och är anvarigt för utlands- En ny lag om behandling av personuppgifter… myndigheternas lokaler och har ansvar för deras externa avtal. och utlandsmyndigheterna ingår inte i någon gemensam myndighetsorganisation och har inte en överordnad roll i förhållande till utlandsmyndigheterna. Efter- som utlandsmyndigheterna är underställda torde departementet ha bättre möjligheter än till faktisk kontroll och inflytande över verksamheten. Det som ändå talar för att nuvarande ordning ska bestå är att det är som är tekniskt ansvarigt för de datasystem som utlandsmyndigheterna använder vid handläggning av sina vise- ringsärenden och olika tillståndsärenden. Behörigheten till data- systemen och W2 styrs av . Uppgifterna hämtas från CUD. Det talar för att ansvaret bör ligga på Migrations- verket. Inget annat har heller framkommit än att nuvarande ordning har fungerat relativt väl. Vidare underlättar det för den enskilde om personuppgiftsansvaret är samlat hos en myndighet.