sou · H3B373 · 2015-08-03 00:00:00 — Regeringen förslår i propositionen att uppgifter som SCB samlar in för och Finansinspek- tionens övervakning och tillsyn lagras i en särskild databas som de tre myndigheterna har tillgång till. Enligt propositionen syftar för- slaget, till skillnad från polisdatalagen, inte till att åstadkomma någon mer heltäckande reglering av de berörda myndigheternas behand- ling av uppgifter. Förslaget är i stället i första hand avsett att skapa en reglerad ordning för en särskild del av det utbyte av uppgifter som förekommer mellan myndigheterna. De uppgifter som ska om- fattas av ordningen är till sitt format standardiserade uppgifter läm- pade för bearbetning och analys med statistiska metoder. Insam- lingen av uppgifter sker inte heller med det huvudsakliga syftet att utföra vissa vid insamlingstillfället aktuella arbetsuppgifter, utan för att registrera uppgifterna för framtida användning vid olika analyser av det finansiella systemet och för framställning av statistik. Ut- trycket databas anses därför lämpligt som en benämning på den samling av uppgifter som är föremål för det särskilda uppgifts- utbytet mellan myndigheterna. Allmänna utgångspunkter vid utformandet av en utlänningsdatalag I 3 kap. PDL finns särskilda bestämmelser för behandling av person- uppgifter som görs eller har gjorts gemensamt tillgängliga i polisens brottsbekämpande verksamhet. I kapitlet anges bland annat vilka per- sonuppgifter som får göras gemensamt tillgängliga, vilka uppgifter som får användas vid sökning i uppgifter som gjorts gemensamt till- gängliga, vilka myndigheter som får ha direktåtkomst till gemensamt tillgängliga uppgifter och bevarande och gallring av sådana upp- gifter. Motsvarande bestämmelser finns för del i 4 kap. kustbevakningsdatalagen. Gemensamt tillgängliga uppgifter är ett relativt nytt begrepp inom lagstiftningen på personuppgiftsbehandlingsområdet. Som anges ovan diskuteras begreppet i förarbetena till den nya polisdatalagen (se prop. 2009/10:85 s. 124 f.). I propositionen konstateras att den nya polisdatalagen kommer att gälla för all automatiserad behand- ling av personuppgifter i polisens brottsbekämpande arbete. Det innebär att inte bara uppgifter som behandlas i för verksamheten gemensamma uppgiftssamlingar, till exempel register eller ärende- hanteringssystem, ska omfattas utan även sådan behandling som utförs av en enskild tjänsteman eller en begränsad grupp personer, till exempel vanlig ordbehandling och e-postkommunikation. Det anförs att risken för otillbörliga intrång i den personliga integriteten är större när personuppgifter används av flera gemensamt i verk- samheten än när personuppgifter behandlas av en enskild tjänste- man vid den egna datorn utan att någon annan har åtkomst till uppgifterna. Det anses därför nödvändigt att införa särskilda och mer begränsande regler för behandling av uppgifter som används av eller i vart fall är tillgängliga för fler än ett fåtal personer. Frågan som diskuteras är hur man bör avgränsa den personuppgiftsbehandling för vilken mera begränsande regler är nödvändiga. Som framgår ovan bör enligt propositionen regleringen inte bygga på att behandlingen av personuppgifter sker i olika register eller databaser utan i stället ges en mera generell utformning. Ett tänkbart alternativ enligt pro- positionen är att skapa särskilda begränsande regler för personupp- giftsbehandling som avser ”samlingar av uppgifter” eller ”uppgifts- samlingar” som är gemensamt tillgängliga i verksamheten. Den nya lagen bör därför enligt propositionen innehålla särskilda bestäm- melser för behandling av personuppgifter som görs eller har gjorts Allmänna utgångspunkter vid utformandet av en utlänningsdatalag gemensamt tillgängliga i polisens brottsbekämpande verksamhet. Med den formuleringen görs det klart att det viktiga inte är var uppgiften rent tekniskt är lagrad eller behandlas, utan om ett flertal personer har möjlighet att ta del av uppgiften. I propositionen anges vidare de principer som bör ligga till grund för gränsdragningen mellan behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga och annan behandling. En grundläggande förutsättning för att personuppgifter ska anses vara gemensamt tillgängliga bör enligt propositionen vara att de kan användas gemensamt av flera, dvs. att fler än en person har åtkomst till uppgifterna. Uppgifter som endast ett fåtal personer har rätt att ta del av bör dock inte anses som gemensamt tillgängliga. Att en upp- gift ”är tillgänglig” för en viss person bör förstås så att personen har såväl faktisk möjlighet att ta del av uppgiften som rättslig behörig- het till det. Det bör däremot inte spela någon roll hur många per- soner som faktiskt tar del av de aktuella uppgifterna. Det bör inte heller ha någon betydelse om den som har tillgång till uppgiften kan påverka den eller bara läsa den. Detta innebär att personuppgifter blir att anse som gemensamt tillgängliga om dessa behandlas för att en obestämd krets, till exempel hela polisorganisationen, ska kunna ta del av uppgifterna. Vidare bör enligt propositionen personuppgifter anses vara gemen- samt tillgängliga även i vissa fall när den personkrets som har till- gång till uppgifterna är bestämd och avgränsad. Om uppgifterna är tillgängliga för ett stort antal bestämda personer, bör de således anses vara gemensamt tillgängliga. Uppgifter bör dock inte anses som gemensamt tillgängliga enbart därför att två eller flera personer har tillgång till dem. Kan man redan från början konstatera att person- uppgifterna endast kommer att vara tillgängliga för en avgränsad krets bestående av en handfull personer, bör uppgifterna alltså inte anses som gemensamt tillgängliga. De integritetsskyddsintressen som moti- verar särskilda regler för gemensamt tillgängliga uppgifter gör sig enligt propositionen inte lika starkt gällande när bara ett fåtal per- soner har tillgång till uppgifterna som när många personer har till- gång till dem. En förutsättning för att uppgifterna inte ska anses vara gemen- samt tillgängliga måste dock enligt propositionen vara att kretsen som har tillgång till dem omfattar endast ett litet antal personer. Så snart det är fråga om fler än ett fåtal personer som har tillgång till Allmänna utgångspunkter vid utformandet av en utlänningsdatalag uppgifterna bör utgångspunkten vara den motsatta. Som en tumregel anges att uppgifter normalt bör anses som gemensamt tillgängliga när fler än ett tiotal personer har tillgång till dem. I viss utsträck- ning kan också tidsaspekten ha betydelse för om uppgifter ska anses vara gemensamt tillgängliga eller inte eftersom uppgifter som behandlas typiskt sett kommer fler till del, bland annat därför att personer i en från början begränsad krets med tiden byts ut. Uppgifter ska också anses vara gemensamt tillgängliga när de sprids till andra myndigheter än polisen. Sammanfattningsvis innehåller således den nya polisdatalagen som huvudregel inte bestämmelser om register och databaser utan i stället särskilda bestämmelser som gäller uppgifter som görs och har gjorts gemensamt tillgängliga i den brottsbekämpande verksam- heten. Bestämmelserna ska framför allt reglera sådan behandling av uppgifter som sker i för verksamheten gemensamma uppgiftssam- lingar. Behandling som utförs av en enskild tjänsteman eller inom en begränsad grupp personer, till exempel genom vanlig ordbehand- ling eller genom e-kommunikation, ska inte omfattas av de särskilda bestämmelserna. Motsvarande gäller för behandling av personuppgifter i den brottsbekämpande verksamheten enligt kustbevakningsdatalagen. Utredningen anser på skäl som framförts i avsnitt 6.4.1 att huvud- dragen av personuppgiftsbehandlingen på utlännings- och medbor- garskapsområdet bör regleras i en ramlag vars syfte är att ge de på området verksamma myndigheterna möjlighet att behandla person- uppgifter på ett ändamålsenligt sätt och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. När det gäller utformningen i stort av den nya lagen är det natur- ligt att låta polisdatalagen tjäna som viss förebild. Det finns vissa likheter mellan brottsbekämpningen och den verksamhet för att upp- rätthålla ordning och säkerhet utan anknytning till brottsbekämp- ningen som bland annat ansvarar för. Det rör sig dock inte om parallella verksamheter. Det finns skillnader. En sådan skillnad är att dataskyddsdirektivet inte omfattar statens behand- ling av personuppgifter i brottsbekämpande verksamhet. Allmänna utgångspunkter vid utformandet av en utlänningsdatalag är däremot tillämpligt på bland annat verksamhet. En annan skillnad är att här aktuell personuppgiftsbehandling på utlänningsområdet i hög grad är ärendeanknuten medan brotts- bekämpningen genererar ett annat slag av personuppgiftsbehandling. Det sagda innebär att lösningar och konstruktioner i polisdatalagen kan överföras till den nya ramlagen på utlänningsområdet men att det måste ske med viss urskiljning. I den nuvarande utlänningsdataförordningen regleras endast automatiserad behandling av vissa i förordningen angivna typer av register. Mot den bakgrund som beskrivits i föregående avsnitt har utredningen att ta ställning till vilken personuppgiftsbehandling som ska omfattas av den nya lagen. Ska lagregleringen endast avse vissa särskilda uppgiftssamlingar på utlännings- och medborgarskaps- området, eller bör den omfatta all behandling av personuppgifter som sker helt eller delvis automatiserat? Ska även behand- ling av personuppgifter omfattas? Om slutsatsen är att en mer gene- rell reglering bör införas, finns skäl att överväga en modell med en uppdelning mellan uppgifter som görs och har gjorts gemensamt tillgängliga och sådana uppgifter som behandlas endast av en en- skild tjänsteman eller inom en begränsad grupp personer. Vid utredningens kartläggning av den nuvarande personuppgifts- behandlingen på utlännings- och medborgarskapsområdet har inget annat framkommit än att den nuvarande regleringen fungerar relativt väl. Det tycks inte vara förordningens uppdelning av behandling i olika register som orsakar problem för myndigheterna när det gäller personuppgiftshanteringen. Eventuella problem förefaller i stället bero på att nuvarande förordning i detalj reglerar vilka kategorier av personuppgifter som över huvud taget får behandlas, se vidare av- snitt 7.11. En överföring av den nuvarande modellen med särregle- ring för vissa uppgiftssamlingar till den nya lagen skulle underlätta för de som ska tillämpa den nya lagstiftningen i den dagliga verk- samheten, eftersom skillnaden mot nuvarande reglering inte blir så stor. Uppdelningen av behandlingen i olika register gör också regle- ringen ganska lättöverskådlig och tydlig. Ovan nämnda omständig- heter talar med viss styrka för att behålla nuvarande system med reglering av specifika samlingar av personuppgifter. Andra omständigheter talar emellertid för att välja en mer gene- rell reglering av personuppgiftsbehandlingen. Lagens syfte ska vara att skydda den enskilde mot otillbörliga intrång i den enskildes per- Allmänna utgångspunkter vid utformandet av en utlänningsdatalag Enligt utredningens direktiv ska utredningen sam- tidigt se till att regleringen möjliggör moderna och ändamålsenliga it-system. Den rättsliga regleringen bör således inte vara beroende av att vissa tekniska lösningar används. Informationstekniken ut- vecklas ständigt och den offentliga verksamheten bör kunna använda sig av den nya tekniken för effektivitetsvinster och förenkling av informationsutbyte med andra myndigheter och enskilda. En lag som reglerar all datoriserad personuppgiftsbehandling inom verk- samhetsområdet stämmer också bättre överens med utrednings- direktivens krav på att den framtida regleringen av behandlingen av personuppgifter i verksamheter inom utlännings- och medborgar- skapslagstiftningen ska passa väl in i personuppgiftslagens regel- system. Myndigheternas datoriserade system är inte uppbyggda som register i traditionell bemärkelse. Som exempel kan Migrations- verkets databas centrala utlänningsdatabasen () nämnas. CUD är ett samlingsbegrepp för de databaser där uppgifter som behandlas i myndighetens ärenden registreras. Till denna centrala uppgifts- samling är olika system, applikationer, kopplade. Applikationerna har olika funktioner, såsom behandling av personuppgifter i besöks- och bosättningsärenden, kortutbetalning av bistånd och meddelande- hanteringssystem. De olika systemen kan, efter en säkerhetskon- troll, hämta uppgifter från det centrala systemet. Det rör sig således inte om ett enda ärendehanteringssystem, utan ett flertal tekniska instanser som samverkar och är beroende av varandra. Inte heller eller landinformationsregister ut- gör personregister i egentlig mening. Vidare går utvecklingen mot att myndigheterna i allt större utsträckning övergår från personuppgiftsbehandling till automatiserad behandling. Migrations- verket har till exempel för avsikt att övergå till ett system med elektroniska personakter. Den nya lagen bör inte begränsa myndigheternas möjligheter att utnyttja ny informationsteknik. Den bör också lämna utrymme för myndigheterna att utforma sina datasystem på det sätt som är mest ändamålsenligt för den aktuella verksamheten. Den nya regleringen bör därför vara teknikoberoende. Detta uppnås bäst genom att över- gå till en reglering som, liksom personuppgiftslagen samt polisdata- lagen och kustbevakningsdatalagen, omfattar all behandling av per- Allmänna utgångspunkter vid utformandet av en utlänningsdatalag sonuppgifter som sker helt eller delvis automatiserat samt manuellt i register. Det finns dock enligt utredningen anledning att göra ett undan- tag från den generella regleringen. I de fall de berörda myndig- heterna hanterar register i mer traditionell bemärkelse kan det vara lämpligt att detta register särregleras i förhållande till annan person- uppgiftsbehandling i verksamheten. En jämförelse kan göras med polisdatalagen, som till exempel innehåller särskilda bestämmelser som gäller polisens register över DNA-profiler och fingeravtrycks- och signalementsregister (se prop. 2009/10:85 s. 229). Utredningen gör bedömningen att det finns skäl att i den nya lagen särskilt reg- lera register över fingeravtryck och fotografier. Skälen till det och den närmare reglering tas upp i avsnitt 7.10. Den nya lagen bör således i princip reglera all helt eller delvis automatiserad personuppgiftsbehandling samt behandlingen av per- sonuppgifter om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Det innebär att all elektronisk behandling av personuppgifter kommer att om- fattas, även till exempel ordbehandling som utförs av anställda på den egna arbetsdatorn och intern och extern e-postkommunikation. Den nya lagens tillämpningsområde kommer således att utvidgas i förhållande till vad som gäller och därmed också ut- öka möjligheterna att behandla personuppgifter på ett sätt som inte är tillåtet enligt personuppgiftslagen. Det skulle till exempel kunna innebära att möjligheten att behandla känsliga personuppgifter ut- vidgas i förhållande till vad som är möjligt enligt dagens reglering. Ett sätt att hantera detta problem skulle kunna vara att införa mer begränsande regler i fråga om behandling av uppgifter som flera personer har tillgång till. I polisdatalagen används, som redovisats ovan, begreppet gemensamt tillgängliga uppgifter, som avser upp- gifter som fler än ett fåtal har möjlighet och rättslig behörighet att ta del av. För de gemensamt tillgängliga uppgifterna gäller mer restrik- tiva regler. I lagen anges vilka uppgifter som får göras gemensamt tillgängliga. Vidare finns vissa integritetsskyddande bestämmelser avseende sökning, direktåtkomst och bevarande som bara gäller de gemensamt tillgängliga uppgifterna. Liknande bestämmelser har även införts i kustbevakningsdatalagen. Frågan är om det finns skäl att i den nya lagen på utlännings- och medborgarskapsområdet också göra Allmänna utgångspunkter vid utformandet av en utlänningsdatalag en uppdelning mellan gemensamt tillgängliga uppgifter och övriga uppgifter. Till en början kan konstateras att största delen av den person- uppgiftsbehandling som ska regleras i den nya lagen utgörs av myndigheternas personuppgiftsbehandling i olika typer av ärenden. Ärendena hanteras som regel av endast några få personer jämfört med exempelvis polisiär verksamhet i brottsbekämpande syfte. Det är ganska få uppgifter i ärendena som behöver vara tillgängliga för en vidare krets. Många anställda kommer visserligen att ha tillgång till register över fingeravtryck och fotografier. Men som framgår av avsnitt 7.10 föreslår utredningen vissa särskilda skyddsregler för detta register. Anställda har också tillgång till Lifos, alltså register för återsökning dels av vägledande avgöranden, rättsutredningar och rättslig information, dels av infor- mation rörande förhållanden i andra länder. I Lifos finns en del personuppgifter och en del är känsliga sådana. Det krävs emellertid särskild behörighet för anställda för åtkomst till sekretessbelagd information i Lifos olika delar. Informationen i Lifos har därmed inte särskilt stor spridning bland dem som har tillgång till den. Vidare kommer personuppgiftsbehandlingen i den nya lagen att begränsas genom bestämmelser om lagens tillämpningsområde och särskilda ändamålsbestämmelser, se avsnitt 7.9. Utredningen kom- mer också att föreslå regler som innebär att respektive myndighet ska se till att tillgången till personuppgifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter, se avsnitt 7.12. En sådan bestämmelse medför att det finns ett skydd mot att en uppgift sprids till en större krets än vad som är moti- verat. Utredningen kommer också att föreslå att behandlingen ska begränsas av 9 § PUL, som anger vissa grundläggande krav på be- handlingen av personuppgifter, se avsnitt 7.7.3. Bestämmelsen inne- bär bland annat att den personuppgiftsansvariga myndigheten ska se till att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler per- sonuppgifter behandlas än som är nödvändigt med hänsyn till dessa ändamål. Även andra integritetsskyddande regler rörande person- uppgiftsbehandlingen kommer att föreslås. Utredningen menar att dessa generella skyddsregler utgör ett tillräckligt integritetsskydd oavsett om uppgifterna är gemensamt tillgängliga eller inte. Allmänna utgångspunkter vid utformandet av en utlänningsdatalag därför inget behov för att uppnå ett fullgott integritetsskydd av att införa en strängare särreglering som ska gälla enbart för gemensamt tillgängliga uppgifter. Ytterligare en aspekt på frågan är att en uppdelning mellan gemensamt tillgängliga uppgifter och övriga uppgifter kräver en rim- lig och tydlig precisering av vilka uppgifter som ska få göras gemen- samt tillgängliga. Den verksamhet som ska regleras i den föreslagna lagen skiljer sig från den verksamhet som regleras i polisdatalagen och kustbevakningsdatalagen. Det är inte lika lätt att på utlännings- och medborgarskapsområdet på ett naturligt och tydligt sätt ringa in vilka uppgifter som ska hänföras till kategorin gemensamt till- gängliga. Sammanfattningsvis har utredningen kommit till slutsatsen att det inte bör finnas några särskilda regler om behandling av person- uppgifter på utlännings- och medborgarskapsområdet som är gemen- samt tillgängliga. medlemskap i har medfört att blivit en inte- grerad del av den svenska rättsordningen. har utveck- lat vissa principer för förhållande till nationell rätt, vilka är av avgörande betydelse för maktfördelningen mellan unionen, medlemsstaterna och medborgarna (, M. m.fl., EU:s konsti- tution. Maktfördelningen mellan den europeiska unionen, medlems- staterna och medborgarna, 7 uppl., 2012 s. 35 f.). Principen om direkt tillämplighet innebär att och en del av sekundärrätten automatiskt utgör en del av medlemsstaternas interna rätt. Med sekundärrätt avses de rättsakter som EU:s institutioner utfärdar med stöd av fördragen, dvs. förordningar, direktiv, beslut, rekommendationer och yttranden. I artikel 288 i Fördraget om europeiska unionens funktionssätt förklaras de olika rättsakterna på följande sätt. En förordning ska ha allmän giltighet. Den ska till alla delar vara bindande och direkt tillämplig i varje medlemsstat. Ett direktiv ska med avseende på det resultat som ska uppnås vara bindande för varje medlemsstat till vilken det är riktat, men ska överlåta åt de nationella myndigheterna att bestämma form och tillvägagångssätt för genomförandet. Allmänna utgångspunkter vid utformandet av en utlänningsdatalag är till alla delar bindande. Om ett beslut anger till vem eller vilka det riktar sig, är det bindande endast för dessa. Rekommendationer och yttranden ska inte vara bindande. Domstolen har genom sin praxis slagit fast principen om EU- reglers direkta effekt, vilket innebär att vissa unionsrättsliga regler grundar rättigheter eller skyldigheter för enskilda som kan åberopas inför domstolar och myndigheter i medlemsstaterna. Vidare har dom- stolen utvecklat principen om företräde framför natio- nell rätt. Principen innebär att nationella domstolar ska tillämpa en EU-rättslig regel framför en mot denna stridande nationell lag. Som framgår ovan är en EU-förordning, när det trätt i kraft, direkt tillämplig i medlemsstaterna. Det innebär att en förordning auto- matiskt blir en del av medlemsstaternas nationella rättssystem och gäller enligt sin lydelse på samma sätt som nationella lagar. En EU- förordning har företräde framför svensk rätt och utesluter tillämp- ning av nationell lagstiftning som är oförenlig med förordningen. Detta gäller även om den nationella lagstiftningen är av senare datum. Om det finns nationella författningsbestämmelser som motsvarar eller strider mot en EU-förordnings bestämmelser, måste de natio- nella bestämmelserna således utmönstras. Enligt praxis får förordningar inte införlivas i nationell rätt, eftersom detta skulle kunna skapa tvivel om deras ur- sprung och rättsliga effekt. Utgångspunkten är således att EU-för- ordningar inte får transformeras till eller inkorporeras i den nationella rätten, utan i stället ska tillämpas i sin EU-rättsliga form. Bestäm- melser i en förordning får dock återges i nationell lagstiftning när det är nödvändigt för att den nationella lagstiftningen ska bli begriplig och sammanhållen. En förordning kan även i olika avseenden ge upphov till kompletterande nationella föreskrifter (jfr. 1994/95:19 s. 524 f.) Förordningen kan uttryckligen innehålla för- pliktelser för medlemsstaterna att besluta om utfyllande bestämmel- ser. En förordning kan också ge anledning att utfärda straffsank- tioner för överträdelse av bestämmelser i förordningen. Vidare kan en förordning ge utrymme för medlemsstaterna att besluta om kom- pletterande regler i övrigt. Det finns ett antal EU-förordningar som innehåller bestämmelser om personuppgiftsbehandling inom utlännings- och medborgarskaps- området. En sådan förordning är och rådets förordning (EU) nr 603/2013 av om inrättande av Allmänna utgångspunkter vid utformandet av en utlänningsdatalag Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av förordning (EU) nr 604/2013 om kriterier och mekanismer för att avgöra vilken medlemsstat som är ansvarig för att pröva en an- sökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har lämnat in i någon medlemsstat och för när medlemsstaternas brottsbekämpande myndigheter begär jämförelser med Eurodacuppgifter för brottsbekämpande ändamål, samt om ändring av förordning (EU) nr 1077/2011 om inrättande av en Euro- peisk byrå för den operativa förvaltningen av stora it-system inom området frihet, säkerhet och rättvisa (omarbetning).