sou · H4B365 · 2016-10-05 00:00:00 — Utredningen föreslår, i syfte att stärka kontrollen över de brottsbekämpande myndigheternas tillämpning av reglerna om inhämtning av abonnemangsuppgifter, bland annat att endast vissa utpekade befattningshavare inom den berörda myndigheten ska få fatta beslut om inhämtning. Vidare föreslår utredningen att uppgifter om kommunikation som i efterhand visar sig omfattas av tystnadsplikt ska förstöras. Kartläggningen av tillämpningen av inhämtningslagen visade enligt utredningen att denna hanteras på ett i allt väsentligt tillfredsställande sätt, att lagen innebär beaktansvärd nytta i de brottsbekämpande myndigheternas underrättelseverksamhet men också att tillämpningen av lagen leder till integritetsintrång. Utredningens förslag har remissbehandlats och bereds nu inom . hade bland annat i uppdrag att se över den s.k. registerlagstiftningen för att utreda förutsättningarna för att skapa en generell, enhetlig och helt eller delvis samlad reglering för myndigheternas behandling av personuppgifter (dir. 2014:31). De brottsbekämpande myndigheternas verksamhet ingick inte i uppdraget. Uppdraget var i huvudsak ett lagtekniskt reformarbete med inriktning på att göra nu gällande rätt beträffande dataskydd tydligare på myndighetsområdet. Utredningen instämmer i sitt slutbetänkande Myndighetsdatalag (SOU 2015:39) i stort med den problembeskrivning som gör gällande att registerlagstiftningen är ett svåröverblickbart och fragmenterat rättsområde med bristande enhetlighet när det gäller struktur och normtekniska lösningar. Anpassningen är otillräcklig till annan lagstiftning av central betydelse för myndigheternas 6 Vid Kammarrätten i pågår nu ett mål om datalagring. En teleoperatör som av har förelagts att lagra uppgifter enligt 6 kap. 16 a § lagen (2003:389) om elektronisk kommunikation har överklagat föreläggandet och gör gällande att det strider mot bland annat bestämmelser om rätt till respekt för privat- och familjeliv, hem och korrespondens. Kammarrätten har begärt ett s.k. förhandsavgörande av . Dom väntas (Mål nr 7380-14). Några tidigare och pågående utredningar på integritetsskyddsområdet informationshantering, såsom tryckfrihetsförordningens bestämmelser om allmänna handlingar och offentlighets- och sekretesslagen (2009:400). Dessa problem skapar enligt utredningen osäkerhet i tillämpningen. Mot denna bakgrund föreslår utredningen en ny lag som innehåller bestämmelser som kan gälla generellt för personuppgiftsbehandlingen vid alla statliga och kommunala myndigheter utom de brottsbekämpande. En sammanhållen lag innebär enligt utredningen ett tydligt regelverk som är lättare att tillämpa och bättre anpassat till övrig reglering av betydelse för myndigheternas informationshantering. Den ger också bättre förutsättningar för allmänhetens insyn och för enskilda registrerades möjligheter att göra gällande sina rättigheter. Till bilden hör vidare enligt utredningen att en samlad reglering är mer ändamålsenlig för att möta den förändring som förväntas ske i och med EU:s dataskyddsreform.7 Utredningen föreslår att tillsynsmyndigheten enligt den nya lagen ska kunna förelägga en myndighet som behandlar personuppgifter på ett felaktigt sätt att uppfylla sina skyldigheter. Vid allvarliga brister ska tillsynsmyndigheten kunna förbjuda fortsatt behandling. Den möjlighet som finns för tillsynsmyndigheten att ansöka vid domstol om utplåning av olagligt behandlade uppgifter ska finnas kvar även i den nya lagen. I förebyggande syfte ska tillsynsmyndigheten härutöver genom påpekanden eller liknande förfaranden kunna avvärja eventuella brister. Någon befogenhet för tillsynsmyndigheten att besluta om vite föreslås inte. Utredningen berörde inte särskilt frågan vilken myndighet som ska vara tillsynsmyndighet utan synes förutsätta att det är Datainspektionen som ska vara nationell tillsynsmyndighet i även enligt den nya EU-lagstiftningen och den nya lagen. 7 En ny allmän dataskyddsförordning ska börja tillämpas och ett nytt dataskyddsdirektiv om behandling av personuppgifter inom det brottsbekämpande området ska vara implementerat . Förordningen och direktivet beskrivs närmare i kapitel 9. Några tidigare och pågående utredningar på integritetsskyddsområdet Ett av uppdragen för var att utreda behovet av ett fristående organ med uppgift att granska polisens och Kriminalvårdens verksamhet. I delbetänkandet Tillsyn över polisen (SOU 2013:42) föreslog kommittén inrättandet av en fristående tillsynsmyndighet med uppgift att kontrollera att polisens verksamhet uppfyller de krav som följer av lagar och andra föreskrifter. I slutbetänkandet Tillsyn över polisen och Kriminalvården (SOU 2015:57) föreslår kommittén att den nya myndigheten ska utöva tillsyn även över Kriminalvårdens verksamhet. I kommitténs uppdrag ingick även att analysera hur tillsynen över polisens personuppgiftsbehandling kan organiseras, så att överlappning mellan olika tillsynsmyndigheter i så stor utsträckning som möjligt undviks (dir. 2014:17). Kommittén konstaterar emellertid att regeringen hade tillsatt vår utredning och att resultatet av detta arbete inte borde föregripas. Kommittén lämnar därför inga förslag om förändringar i Datainspektionens och Säkerhets- och integritetsskyddsnämndens nuvarande tillsynsansvar (bet. s. 67). Kommitténs förslag har remissbehandlats och bereds inom . 5.6Utredningen om ett modernt och starkt straffrättsligt skydd för den personliga integriteten En särskild utredare har haft i uppdrag att göra en bred översyn av det straffrättsliga skyddet för enskildas personliga integritet, särskilt när det gäller hot och andra kränkningar, och att analysera om detta skydd är ändamålsenligt (dir. 2014:74). Utredningen redovisade sitt uppdrag i betänkandet Integritet och straffskydd (SOU 2016:7). En stor del av analysen inriktades på hur samhällsutvecklingen och den tekniska utvecklingen har förändrat möjligheterna till kommunikation och följaktligen möjligheterna att begå sådana gärningar som innebär hot och kränkningar. Utredaren konstaterar att teknikutvecklingen, som den innebär fördelar både för det demokratiska samhället och för individen, också innebär risker för den personliga integriteten. Några tidigare och pågående utredningar på integritetsskyddsområdet Det straffrättsliga skyddet måste enligt utredaren vidgas för att vara ändamålsenligt. Utredningen föreslår mot den bakgrunden bland annat att det införs en ny straffbestämmelse om olaga integritetsintrång. Den föreslagna bestämmelsen innebär ett straffansvar för den som gör intrång i någon annans privatliv genom att sprida bilder eller andra uppgifter på ett sätt som är ägnat att medföra kännbar skada för den som uppgiften rör. Bestämmelsen ska ta sikte endast på allvarliga och uppenbara fall av intrång i privatlivet och kränkningar av den personliga integriteten, och på intrång som består i att exempelvis sprida en bild eller annan uppgift om någons sexualliv eller hälsotillstånd eller om att någon befinner sig i en mycket utsatt situation. Straffansvaret ska enligt förslaget vara oberoende av vilken teknik för spridning som har använts, t.ex. genom internet eller annan elektronisk kommunikation, genom papperskopior eller muntligen. Utredningen har också gjort en översyn av bestämmelserna om olaga hot, ofredande, förtal och ofredande och lämnar vissa förslag om förändringar av dessa bestämmelser. Slutligen föreslår utredningen att straffansvaret enligt lagen (1998:112) om ansvar för elektroniska anslagstavlor utvidgas i några hänseenden och att rätten till brottsskadeersättning utvidgas till vissa ärekränkningsbrott. Utredningens förslag har varit föremål för remissbehandling och bereds inom . I regeringens direktiv till (dir. 2014:97 och 2016:11) konstateras bland annat att bestämmelserna i personuppgiftslagen inte ska tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet, vilket i praktiken innebär att personuppgiftslagens bestämmelser till skydd för den personliga integriteten inte gäller i medier som omfattas av tryckfrihetsförordningen (TF) och yttrandefrihetsgrundlagen (YGL). Vidare konstateras att var och en genom att ansöka om utgivningsbevis kan få ett sådant s.k. frivilligt grundlagsskydd för sin databas, liksom att det har blivit allt vanligare att personuppgifter, såsom uppgifter om enskildas inkomst eller domar Några tidigare och pågående utredningar på integritetsskyddsområdet i brottmål, tillhandahålls på internet av webbplatser där innehavaren har utgivningsbevis. Det kan enligt regeringen ifrågasättas om dessa webbplatser ägnar sig åt sådan massmedial verksamhet som det frivilliga grundlagsskyddet främst är avsett att skydda. Mot denna bakgrund har kommittén bland annat haft i uppdrag att analysera vilka konflikter med skyddet för den personliga integriteten som uppkommer när information tillhandahålls ur databaser med utgivningsbevis och att ta ställning till om det behövs förändringar av regleringen för att tillgodose integritetsskyddet. Analysen ska innebära en avvägning mellan intresset av yttrandefrihet och intresset att skydda enskildas personliga integritet. Kommittén redovisade sitt uppdrag i betänkandet Ändrade mediegrundlagar (SOU 2016:58). Kommittén har bland annat gjort en översyn av språket och strukturen i TF och YGL, samt övervägt frågor om grundlagsskyddet för bland annat internetpubliceringar utan koppling till traditionella medier, s.k. print on demand och e-böcker samt för databaser med användarkommentarer och länkar till andra webbsidor. Kommittén föreslår också en begränsning i en ansvarig utgivares ansvar för material i en databas som är äldre än . Av en undersökning som kommittén har låtit göra av databaser med utgivningsbevis framgår att även om de flesta verksamheter i allt väsentligt bedrivs på ett seriöst och ansvarsfullt sätt, förekommer det också att ett antal utgivningsbevis avser rena söktjänster. Som regel rör detta olika on line-tjänster vilka bedrivs på kommersiella grunder och som innebär att allmänheten ges tillgång till information om enskilda som hämtats ur offentliga handlingar och register. Verksamhet av det slaget är integritetskänslig och det är enligt kommittén uppenbart att enskilda riskerar att lida skada av att den aktuella informationen sprids till allmänheten. Behovet av att låta verksamheter av detta slag fullt ut skyddas av de tryck- och yttrandefrihetsrättsliga grundprinciperna framstår enligt kommittén som begränsat och den nuvarande situationen innebär att grundlagssystemet när det gäller dessa söktjänster riskerar att få konsekvenser som inte är rimliga. Problemet blir enligt kommittén särskilt påtagligt om den grundlagsskyddade databasen används för att behandla och tillhandahålla uppgifter som i andra sammanhang Några tidigare och pågående utredningar på integritetsskyddsområdet SOU 2016:65 anses särskilt känsliga, t.ex. att någon har varit tilltalad i ett brottmål. Kommittén anser mot denna bakgrund att det finns skäl att inskränka grundlagsskyddet för vissa typer av söktjänster och i stället tillåta bestämmelser på lagnivå. Kommittén föreslår därför ett uttryckligt undantag i TF och YGL som tar sikte på vissa rena söktjänster som tillhandahåller känsliga personuppgifter och uppgifter om lagöverträdelser m.m. Samtliga uppgiftssamlingar som har ordnats så att det är möjligt att söka efter eller sammanställa de aktuella uppgifterna ska omfattas av undantaget. En förutsättning för att undantag ska gälla är att det med hänsyn till verksamheten och de former under vilka uppgiftssamlingen hålls tillgänglig finns särskilda risker för otillbörliga intrång i de registrerades personliga integritet. Det aktuella undantaget utformas enligt förslaget som en s.k. delegationsbestämmelse genom vilken det skapas utrymme att reglera frågan på annat sätt än genom grundlag.8 Den parlamentariskt sammansatta (Ju 2014:09) har i uppdrag att kartlägga och analysera sådana faktiska och potentiella risker för intrång i den personliga integriteten som kan uppkomma i samband med användning av informationsteknik i såväl privat som offentlig verksamhet. Kartläggningen och analysen ska göras med ett individperspektiv. Kommittén ska också inom ramen för detta arbete följa upp effekterna i lagstiftningsarbetet av den förstärkning av grundlagsskyddet för den personliga integriteten som genomfördes . Regeringen konstaterar i kommitténs direktiv (dir. 2014:65) att ansvaret att tillvarata enskildas intresse av skydd för den personliga integriteten delas av en rad myndigheter men att det inte finns något enskilt statligt organ som har ett bredare och mera övergripande uppdrag att följa utvecklingen på integritetsskyddsområdet. 8 Vid för mänskliga rättigheter (Grand Chamber) prövas ett mål som bland annat gäller tillhandahållandet av personuppgifter (enskildas taxeringsuppgifter), huruvida ett sådant tillhandahållande är att betrakta som publicistisk verksamhet och hur en publicering av uppgifterna förhåller sig till rätten till yttrandefrihet enligt artikel 10 i (och v. , mål nr 931/13). Några tidigare och pågående utredningar på integritetsskyddsområdet Det finns enligt regeringen nu anledning att överväga och ta ställning till värdet och behovet av en myndighet med ett brett och samlat uppdrag att följa utvecklingen på området för den personliga integriteten. Med beaktande av samhälls- och teknikutvecklingen i stort och mot bakgrund av slutsatserna i kartläggnings- och analysuppdraget ska kommittén därför följa upp förslag om ett integritetsskyddsråd och särskilt överväga om ett sådant råds uppgifter kan fullgöras av en befintlig myndighet. I delbetänkandet Hur står det till med den personliga integriteten? – en kartläggning av (SOU 2016:41) redovisade kommittén dels kartläggningen och analysen av riskerna för integritetsintrång, dels uppdraget som gällde behovet av att inrätta ett integritetsskyddsråd. Kommittén konstaterar att vi alla för att ta del av många fördelar med den moderna informationstekniken måste dela med oss av uppgifter om oss själva och ibland om våra vänner. Det är enligt kommittén svårt att överblicka hur dessa uppgifter samlas in, sprids och vidareanvänds, och behandlingen av personuppgifter riskerar att bli närgången. För att göra det möjligt att jämföra de risker för den personliga integriteten som är förknippade med olika företeelser i samhället beskriver kommittén riskerna utifrån tre nivåer; viss risk, påtaglig risk eller allvarlig risk för den personliga integriteten. En riskbedömning utgår dels från sannolikheten för att ett intrång inträffar, dels från effekterna eller konsekvenserna av ett sådant intrång. Företeelser som är förknippade endast med viss risk för den personliga integriteten är enligt kommittén sådana som de flesta inte blir föremål för, eller sådana där inte så många eller känsliga personuppgifter behandlas. De kan också vara reglerade genom tydlig lagstiftning. Exempel på företeelser som enligt kommittén innebär en viss risk för den personliga integriteten är hanteringen av personuppgifter inom skolornas elevhälsa, arbetsgivares granskning av vad arbetstagare skriver på sociala medier, och inkassoföretagens verksamheter samt polisens brottsbekämpande spaningsverksamhet på internet. När det gäller företeelser som är förknippade med påtagliga risker för den personliga integriteten handlade det enligt kommittén ofta om företeelser som innefattar behandling av flera olika uppgifter om Några tidigare och pågående utredningar på integritetsskyddsområdet enskilda och om behandlingar som omfattar många. De uppgifter som behandlas kan vara känsliga eller närgångna. Sådana företeelser är ofta reglerade, men har enligt kommittén ibland brister i regelverket eller i tillämpningen av dessa. Här nämns bland annat kameraövervakning inomhus i skolor, informationsdelning inom och mellan myndigheter, oskyddad e-post samt polisens behandling av personuppgifter i register. Företeelser som enligt kommittén är förknippade med allvarliga risker för den personliga integriteten omfattar ofta stora delar av befolkningen och avser behandling av mycket känsliga eller närgångna personuppgifter. Sådana företeelser kan sakna reglering eller ha stora brister i regelverket eller i tillämpningen av dessa. Sådana företeelser är enligt kommittén bland annat kameraövervakning på arbetsplatser, hälso- och sjukvård samt välfärdstjänster inom , brister i myndigheters informationssäkerhet, användningen av kreditkort och andra digitala transaktioner samt kreditupplysningsföretagens verksamhet. föreslår att Datainspektionens uppdrag att följa och beskriva utvecklingen på it-området när det gäller frågor som rör den personliga integriteten och ny teknik ska utvidgas till att även omfatta de legala förutsättningarna för integritetsskyddet och att myndigheten ska lämna en redovisning om utvecklingen inom området till regeringen. Vidare föreslår kommittén att regeringen ska lämna en årlig skrivelse till med motsvarande information. Däremot ser kommittén inte något behov av ett nytt integritetsskyddsorgan (integritetsskyddsråd) med huvuduppgift att verka för en säkrare avvägning av motstående intressen i lagstiftningen. uppdrag ska slutredovisas senast den 1 juni 2017.9 9 Tilläggsdirektiv till (dir. 2016:12). Några tidigare och pågående utredningar på integritetsskyddsområdet 5.9Kameraövervakning – brottsbekämpning och integritetsskydd En särskild utredare ska utreda vissa frågor om kameraövervakning (Ju 2015:14, dir. 2015:125 och 2016:54). Syftet med uppdraget är att säkerställa att kameraövervakning kan användas där det behövs för att bekämpa brott och garantera ett starkt skydd för den personliga integriteten. Utredaren ska bland annat kartlägga och utvärdera vad kameraövervakningslagen (2013:460) har inneburit för möjligheterna till kameraövervakning och skyddet för den personliga integriteten, analysera om möjligheterna till kameraövervakning på särskilt brottsutsatta platser och andra platser med förhöjt skyddsbehov, till exempel asylboenden, medieredaktioner och lokaler som används av religiösa samfund, behöver förbättras, samt undersöka hur lagens tillämpningsområde förhåller sig till användning av ny teknik, såsom till exempel kamerautrustade drönare. Genom tilläggsdirektiv har utredaren dessutom fått i uppdrag att analysera hur regleringen i kameraövervakningslagen bör anpassas till den nya EU-rättsliga dataskyddsregleringen. Utredningen ska redovisa sitt uppdrag . 5.10Ytterligare utredningar om anpassningar med anledning av EU:s dataskyddsreform Bara under innevarande år har ett flertal ytterligare utredningsdirektiv beslutats som rör behandling av personuppgifter och skyddet av den enskildes personliga integritet. Bakgrunden är i flera fall de anpassningar som är nödvändiga med anledning av EU:s nya allmänna dataskyddsförordning som innebär en ny generell reglering av behandling av personuppgifter, och det nya dataskyddsdirektivet om behandling av personuppgifter på det brottsbekämpande området. (Ju 2016:04) och Utredningen om 2016 års dataskyddsdirektiv (Ju 2016:06) har i uppdrag att föreslå de anpassningar och författningsbestämmelser som är nödvändiga med anledning av att den nya dataskyddsförordningen och det nya dataskyddsdirektivet ska börja tillämpas respektive ska vara genomfört i svensk rätt . Några tidigare och pågående utredningar på integritetsskyddsområdet ska bland annat undersöka vilka kompletterande nationella föreskrifter som förordningen kräver, överväga vilka kompletterande bestämmelser om t.ex. behandling av känsliga personuppgifter och personnummer som bör införas i den generella samt undersöka om det finns behov av generella bestämmelser för personuppgiftsbehandling utanför EU- rättens tillämpningsområde. Utredningen ska redovisa sitt uppdrag senast den 12 maj 2017.10 Utredningen om 2016 års dataskyddsdirektiv ska bland annat lämna förslag till en ny ramlagstiftning med bestämmelser om skydd för personuppgifter inom direktivets tillämpningsområde, lämna de förslag till författningsförändringar som krävs för att bedöma om direktivet ger anledning till en ny eller ändrad reglering om tillsyn samt bedöma om det finns anledning att reglera Säkerhetspolisens personuppgiftsbehandling separat från den lagstiftning som gäller för . Utredningen ska i ett delbetänkande redovisa uppdraget i den del det rör ramlagstiftning och tillsyn. Uppdraget ska slutredovisas senast den 30 september 2017.11 De två utredningarna har uppdrag som rör tillsyn över behandling av personuppgifter med anledning av de nya europeiska rättsakterna. Härutöver har ytterligare utredningar fått i uppdrag att härutöver föreslå kompletterande regleringar inom olika områden. Utredningen om personuppgiftsbehandling inom utbildningsområdet (U 2016:03, dir. 2016:63) har fått i uppdrag att föreslå kompletterande regleringar för behandling av personuppgifter inom utbildningsområdet, med undantag för forskningsverksamhet. Utredaren ska bland annat undersöka vilken reglering av personuppgiftsbehandling inom utbildningsområdet som är möjlig och kan behövas utöver dataskyddsförordningen och den generella reglering som kommer att föreslå, analysera om det utöver dessa regleringar finns ett behov av kompletterande regleringar för behandling av känsliga personuppgifter inom utbildningsområdet, och analysera behovet av reglering för vissa register Några tidigare och pågående utredningar på integritetsskyddsområdet Uppdraget ska redovisas . Ett liknande utredningsuppdrag för forskningsområdet har Ut- redningen om personuppgiftsbehandling för forskningsändamål (U 2016:04, dir. 2016:65). Övervägandena om behovet av anpassningar av svensk lagstiftning avser här bland annat lagen (2003:460) om etikprövning av forskning som avser människor, lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa samt lagen (1999:353) om rättspsykiatriskt forskningsregister. Uppdraget ska delredovisas och slutredovisas . Också på område har det tillsatts en utredning om nödvändiga anpassningar. Utredningen ska redovisa sitt uppdrag (2016:B). Utredningen om dataskyddsförordningen – behandling av personuppgifter och anpassningar av författningar inom verksamhetsområde (S 2016:05, dir. 2016:52) har som namnet anger i uppdrag att analysera vilka konsekvenser dataskyddsförordningen får för regleringen av sådan personuppgiftsbehandling som sker i exempelvis receptregister, hälsodataregister, läkemedelsförteckningar och register över nationella vaccinationsprogram. Uppdraget ska redovisas . Även domstolsdatalagen (2015:728) behöver ses över med anledning av dataskyddsförordningen. En utredning har tillsatts med uppdrag att föreslå de kompletterande bestämmelser som behövs för regleringen av domstolarnas personuppgiftsbehandling (Ju 2016:G). Uppdraget ska redovisas . Också Utredningen om en ändamålsenlig reglering för biobanker (S 2016:04, dir. 2016:41) har ett uppdrag som rör behandling av personuppgifter och skyddet för den enskildes personliga integritet. Detta uppdrag ska redovisas i vissa delar och slutredovisas . En särskild utredare har vidare fått i uppdrag att utreda vissa anpassningar av regelverket för (). I uppdraget ingår bland annat att överväga möjligheten och behovet av en särskild personuppgiftsreglering för RMV och att beakta enskildas behov av skydd för den personliga integriteten. Uppdraget ska redovisas (Ju 2016:18, dir. 2016:75). 6Kartläggning av dagens tillsyn över personuppgiftsbehandling Det har ingått i utredningens uppdrag att kartlägga den tillsyn över behandling av personuppgifter som bedrivs av flera myndigheter. Vi har valt att uppfatta uppdraget så att kartläggningsarbetet på ett så heltäckande sätt som möjligt ska redovisa alla de myndigheter som åtminstone teoretiskt kan sägas ha ett tillsynsuppdrag som omfattar behandlingen av personuppgifter i den granskade verksamheten.