prop · H40389 · 2017-02-07 00:00:00 — Av artikel 51 i stadgan framgår att den riktar sig till verksamhet som utförs av EU:s egna organ och institutioner och att den blir tillämplig för medlemsstaterna endast i de fall där de tillämpar . Stadgan är följaktligen inte tillämplig på nationell lagstiftning inom områden där EU inte har lagstiftningskompetens. När det gäller de garanterade rättigheternas räckvidd anförs i artikel 52 att varje begränsning i utövningen av de rättigheter och friheter som erkänns i stadgan ska vara föreskriven i lag och vara förenlig med proportionalitetsprincipen och det väsentliga innehållet i fri- och rättigheterna. I den utsträckning som rättigheterna i stadgan motsvarar rättigheter som skyddas av ska de ha samma innebörd och räckvidd som enligt konventionen. Stadgans artiklar får inte tolkas som att de inskränker eller inkräktar på rättigheter enligt andra konventioner eller överenskommelser om fri- och rättigheter. och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 23.11.1995, s. 31, Celex 31995L0046), kallat dataskyddsdirektivet, syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter och att främja ett fritt flöde av person- uppgifter mellan medlemsstaterna i EU. Medlemsstaterna får inom den ram som anges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Sådana preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. Direktivet gäller inte för sådan behandling av personuppgifter som rör allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Direktivet omfattar således inte statens behandling av personuppgifter i brottsbekämpande verksamhet. Dataskyddsdirektivet är endast tillämpligt på behandling av uppgifter om fysiska personer och berör således inte skyddet för juridiska personer. Direktivet omfattar inte bara automatiserad behandling, utan också behandling av personuppgifter som ingår eller kommer att ingå i ett register. Dataskyddsdirektivet omfattar inte behandling av personuppgifter för privat bruk. Enligt dataskyddsdirektivet måste all behandling av personuppgifter vara laglig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Ändamålen ska vara uttryckligt angivna vid tiden för insamling av uppgifterna. De ändamål för vilka uppgifterna senare behandlas får inte vara oförenliga med de ursprungliga ändamålen. Rådets rambeslut /977/RIF av om skydd för personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete, kallat dataskyddsrambeslutet, reglerar dataskyddet inom angivna områden. Rambeslutet är föranlett av ett antal nya EU-instrument rörande utvidgat polisiärt och rättsligt samarbete avseende gränsöverskridande informationsutbyte. Dataskyddsrambeslutet förpliktar medlemsstaterna att behandla uppgifter som utbyts mellan staterna inom ramen för det angivna samarbetet på ett sådant sätt att skyddet för enskildas integritet värnas. Det innehåller bestämmelser som avser att förstärka skyddet vid behandling av personuppgifter som överförs. Rambeslutet utgör ett komplement till andra instrument om informationsutbyte inom ramen för polisiärt och straffrättsligt samarbete. Det innehåller bl.a. bestämmelser om allmänna utgångspunkter för behandlingen av personuppgifter och känsliga personuppgifter, rättelse, radering och gallring av personuppgifter, information till den registrerade samt skadestånd och sanktioner. Till stora delar motsvarar innehållet dataskyddsdirektivet, som i svensk rätt har genomförts i personuppgiftslagen (1998:204). Vidare finns bl.a. särskilda bestämmelser som begränsar möjligheterna att behandla personuppgifter som mottagits från en annan stat. Rambeslutet har genomförts i svensk rätt dels genom lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen, dels genom upplysningsbestämmelser i respektive registerförfattning som anger att nämnda lag har företräde framför respektive registerförfattning. En sådan bestämmelse finns i 1 a § lagen (1999:90) om behandling av personuppgifter vid medverkan i brottsutredningar. Dataskyddsregleringen på unionsnivå har varit föremål för översyn och ny reglering har antagits, dels en ny förordning, dels ett nytt direktiv. Den nya regleringen ska börja tillämpas . Regleringen innebär bl.a. att dataskyddsdirektivet, som i har genomförts genom personuppgiftslagen och ett antal specifika registerförfattningar, ersätts av en ny generell dataskyddsförordning. och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG, kallad dataskyddsförordningen, antogs . Förordningen utgör en ny generell reglering för personuppgiftsbehandling inom EU och ersätter alltså det nuvarande dataskyddsdirektivet när den börjar tillämpas . Det huvudsakliga syftet med förordningen är att ytterligare harmonisera och effektivisera skyddet för personuppgifter för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. Dataskyddsförordningen baseras till stor del på dataskyddsdirektivets struktur och innehåll men innebär även en rad nyheter såsom en utökad informationsskyldighet, administrativa sanktionsavgifter och inrättandet av Europeiska dataskyddsstyrelsen. Dataskyddsförordningen är direkt tillämplig i medlemsstaterna men både förutsätter och möjliggör kompletterande nationella bestämmelser av olika slag. En utredning har tillsatts för att föreslå de anpassningar och kompletterande författningsändringar på generell nivå som denna förordning ger anledning till (, Ju 2016:04). Uppdraget ska redovisas . Det pågår bl.a. inom även arbete med att se övriga berörda författningar med anledning av den nya dataskyddsförordningen. De författningsändringar som krävs med anledning av förordningen tas således om hand i särskild, senare ordning. I reformen av om skydd för personuppgifter ingår, förutom den ovan nämnda dataskyddsförordningen, även ett direktiv med särregler för den brottsbekämpande sektorn som kommer att ersätta dataskyddsrambeslutet. Till skillnad från dataskyddsrambeslutet omfattar direktivet inte endast utbyte av information över gränserna utan även nationell personuppgiftsbehandling inom den brottsbekämpande sektorn. och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF (kallat dataskyddsdirektiv), antogs som dataskyddsförordningen. Det ska vara implementerat i nationell rätt . Från dataskyddsförordningens tillämpningsområde undantas bl.a. personuppgiftsbehandling som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inkluderande att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. ling som görs för dessa syften faller i stället under det nya dataskydds- Prop. 2016/17:89 direktivets tillämpningsområde. Direktivet ska dels skydda fysiska personers grundläggande fri- och rättigheter, särskilt deras rätt till skydd av personuppgifter, dels underlätta det informationsutbyte mellan behöriga myndigheter som är nödvändigt enligt unionsrätt eller nationell rätt. dataskyddsdirektiv ansluter i stor utsträckning till den reglering som gäller enligt dataskyddsrambeslutet. Från både förordningens och direktivets tillämpningsområden undantas personuppgiftsbehandling i verksamhet som inte omfattas av unionsrätten, däribland området nationell säkerhet. En utredning har tillsatts för att föreslå hur direktivet ska genomföras i svensk rätt. Utredaren ska bl.a. lämna förslag till en ny ramlagstiftning med bestämmelser om skydd av personuppgifter inom direktivets tillämpningsområde och lämna de förslag till författningsändringar som krävs för att anpassa vissa centrala författningar om rättsväsendets behandling av personuppgifter till de nya förutsättningarna (Utredningen om 2016 års dataskyddsdirektiv, Ju 2016:06). Utredaren ska i ett delbetänkande redovisa uppdraget i den del det rör dels en ny ramlagstiftning, dels tillsyn inom direktivets tillämpningsområde. Uppdraget ska slutredovisas . De författningsändringar som krävs med anledning av det nya direktivet tas således om hand i särskild, senare ordning. Dataskyddsdirektivet har som nämnts ovan genomförts i svensk rätt genom personuppgiftslagen, se propositionen Personuppgiftslag (prop. 1997/98:44). Till skillnad från dataskyddsdirektivet har dock personuppgiftslagen gjorts generellt tillämplig och omfattar således även verksamhet som faller utanför direktivets tillämpningsområde. Lagen innehåller de generella regler som krävs för genomförande av direktivet. Särreglering i annan lag eller i förordning gäller emellertid framför bestämmelserna i personuppgiftslagen. Att det krävs en särskild författning för att avvika från det integritetsskydd som personuppgiftslagen ger, är en garanti för att behovet av särregler övervägs noga i den ordning som gäller för författningsgivning. Personuppgifter i personuppgiftslagens mening är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Uppgifter om juridiska personer och avlidna omfattas således inte av lagen. Begreppet behandling av personuppgifter omfattar i stort sett allt man kan göra med sådana uppgifter, t.ex. att samla in, söka, bevara och sprida uppgifter. Lagen omfattar behandling av personuppgifter som är helt eller delvis automatiserad. Även behandling kan dock omfattas, nämligen om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Enligt personuppgiftslagen ska en personuppgiftsansvarig bl.a. se till att personuppgifter behandlas bara om det är lagligt. 2016/17:89 ansvarige ska vidare se till att personuppgifter behandlas på ett korrekt sätt och i enlighet med god sed, att personuppgifter samlas in bara för särskilda uttryckligt angivna och berättigade ändamål, att de inte behandlas för något ändamål som är oförenligt med det för vilket de samlades in, att de personuppgifter som behandlas är riktiga och om nödvändigt aktuella, att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen och att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Enligt lagen är det vidare förbjudet att till tredjeland föra över personuppgifter om landet inte har en adekvat nivå för skyddet av personuppgifterna. Förbudet gäller inte stater som har anslutit sig till dataskyddskonventionen. Förbudet gäller både uppgifter som är under behandling och uppgifter som ska undergå behandling. När det gäller att avgöra om skyddsnivån är adekvat ska alla omständigheter kring överföringen beaktas, varvid särskild vikt ska läggas vid bl.a. uppgifternas art, ändamålet med behandlingen och de regler som finns för behandlingen i det tredjelandet. I vissa fall får dock överföring av personuppgifter till tredjeland ske även om det aktuella landet inte har en sådan adekvat skyddsnivå som avses i personuppgiftslagen, t.ex. om den registrerade har lämnat sitt samtycke eller för att rättsliga anspråk ska kunna fastställas. I lagen har också regeringen getts möjlighet att under vissa förutsättningar meddela föreskrifter om undantag från förbudet. Efter en lagändring som trädde i kraft är de flesta av personuppgiftslagens detaljerade handlingsregler inte tvingande tillämpliga vid behandling av personuppgifter i ostrukturerat material, t.ex. löpande text och enstaka ljud- och bildupptagningar, se propositionen Översyn av personuppgiftslagen (prop. 2005/06:173). Sådan behandling får dock inte innebära att den registrerades personliga integritet kränks. Med anledning av att dataskyddsförordningen ska börja tillämpas kommer personuppgiftslagen att upphävas, se avsnitt 5.2. 5.4Begreppsbildningen vid elektroniskt utlämnande 5.4.1Olika former av elektroniskt utlämnande av uppgifter I många författningar om behandling av personuppgifter regleras frågor om sättet för utlämnande av personuppgifter i elektronisk form genom särskilda bestämmelser. Enligt gängse begreppsbildning kan personuppgifter lämnas ut i elektronisk form antingen på s.k. medium för automatiserad behandling eller genom direktåtkomst. Utlämnande på medium för automatiserad behandling innebär att den utlämnande myndigheten i varje enskilt fall tar ställning till om uppgifter kan lämnas ut och vilka uppgifter som ska lämnas. En eventuell sekretessprövning kan därmed ske i samband med utlämnandet i det Utlämnande av uppgifter kan även ske genom direkt- Vid direktåtkomst fattas beslutet om överföring i varje enskilt Prop. 2016/17:89 fall av mottagaren. Sekretessprövningen hos den utlämnande myndig- heten måste därför ske redan då uppgifterna görs tillgängliga för direktåtkomst, oavsett om någon mottagare tar del av dem. Av dessa olika varianter av elektroniskt utlämnande är direktåtkomst den mest känsliga. Denna fråga kommer därför att beröras mer ingående i det följande. Det finns ingen legaldefinition av begreppet direktåtkomst. Den grundläggande innebörden av begreppet är att någon har direkt tillgång till någon annans uppgiftssamling och på egen hand kan söka efter information, men utan att kunna påverka innehållet i uppgiftssamlingen. har i ett avgörande (HFD 2015 ref. 61) som gällde socialnämndernas åtkomst till uppgifter i socialförsäkringsdatabasen, ansett att gränsdragningen mellan vad som är direktåtkomst i socialförsäkringsbalkens mening och annat utlämnande på medium för automatiserad behandling beror på om den aktuella upptagningen kan anses förvarad hos den mottagande myndigheten enligt 2 kap. 3 § tryckfrihetsförordningen, dvs. om den är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas. aktuella fallet förutsatte ett utlämnande att reagerade på en begäran om att de efterfrågade uppgifterna skulle lämnas ut. fick därigenom anses förfoga över frågan om och i så fall vilka uppgifter som skulle lämnas ut. ansåg därför att socialnämnderna inte kunde anses ha någon sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § tryckfrihets- Detta innebar enligt att förfarandet inte var att betrakta som direktåtkomst enligt social- I begreppet direktåtkomst ligger också att den som är personuppgifts- ansvarig för registret eller databasen inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst söktillfälle tar del av. myndighet som lämnar ut uppgifter genom direktåtkomst fattar således inte beslut om utlämnande av de uppgifter som den som har direkt- åtkomst tar del av i varje enskilt fall. I stället måste som anges ovan en förhandsprövning göras av förutsättningarna för utlämnande. prövning innefattar alla de uppgifter som mottagaren har möjlighet att ta del av genom sin direktåtkomst. Den faktiska begränsningen av direktåtkomsten görs sedan med hjälp av olika tekniska lösningar, beroende på hur omfattningen av direktåtkomsten har begränsats i det enskilda fallet, exempelvis genom olika behörighetsnivåer. personuppgiftsansvariga myndigheten som ska se till att åtkomsten rent faktiskt begränsas på det sätt som föreskrivs. Vid författningsreglering av direktåtkomst till uppgifter anges ofta att någon får ha direktåtkomst. Innebörden av detta är inte att den eller de angivna myndigheterna har en ovillkorlig rätt att få ut uppgifterna, utan 2016/17:89 att den myndighet som innehar informationen får medge sådan åtkomst om den vill det och inte annan lagstiftning, t.ex. om sekretess, hindrar det. Den utlämnande myndigheten har ett principiellt ansvar att förvissa sig om att den myndighet som beviljas direktåtkomst vidtar de åtgärder som bedöms vara nödvändiga från säkerhetssynpunkt. 6 Lagen om behandling av personuppgifter vid medverkan i brottsutredningar Bestämmelser om behandling av personuppgifter i skattebrottsenhetens verksamhet finns i lagen (1999:90) om behandling av personuppgifter vid medverkan i brottsutredningar. Lagen innehåller endast de särbestämmelser som har ansetts nödvändiga för brottsbekämpande verksamhet. I övrigt gäller personuppgiftslagen (1998:204). Enligt 1 § gäller lagen vid behandling av personuppgifter i verksamhet för att bedriva spaning och utredning i fråga om brott som avses i 1 § lagen (1997:1024) om medverkan i brottsutredningar och för att förebygga sådana brott. Lagen om behandling av personuppgifter vid medverkan i brottsutredningar innehåller vissa allmänna bestämmelser om behandling av personuppgifter. Det finns också vissa särskilda bestämmelser om när personuppgifter får behandlas i underrättelseverksamhet. Personuppgifter får behandlas i underrättelseverksamhet endast om en särskild undersökning som avser brott som anges i lagen om medverkan i brottsutredningar har inletts eller i ett sådant underrättelseregister som regleras särskilt i lagen. För att uppgifter ska få behandlas i underrättelseverksamheten krävs vidare att det finns anledning att anta att allvarlig brottslighet har utövats eller kan komma att utövas (11 §). Med allvarlig brottslighet avses verksamhet som innefattar brott för vilket är föreskrivet fängelse eller däröver (2 §). En särskild undersökning är en undersökning i underrättelseverksamhet som innebär insamling, bearbetning och analys av uppgifter i syfte att ge underlag för beslut om förundersökning eller om särskilda åtgärder för att förebygga, förhindra eller upptäcka brott (2 §). register får föras för att ge underlag för beslut om särskilda under- sökningar avseende allvarlig brottslig verksamhet, eller underlätta tillgången till allmänna uppgifter med anknytning till underrättelse- verksamhet (8 §). Ett underrättelseregister får innehålla uppgifter som kan hänföras till en enskild person endast om uppgifterna ger anledning att anta att allvarlig brottslig verksamhet har utövats eller kan komma att utövas och den som avses med uppgifterna skäligen kan misstänkas för att ha utövat eller komma att utöva den allvarliga brottsliga verk- Uppgifter om transportmedel eller varor som kan antas ha samband med allvarlig brottslig verksamhet eller om hjälpmedel som kan antas ha använts i samband med sådan verksamhet får registreras, även om uppgifterna kan hänföras till en enskild person som det inte finns Prop. 2016/17:89 någon misstanke mot. Uppgifterna ska då förses med en upplysning om att det inte finns någon misstanke mot denne person (9 §). Vidare ges en uttömmande uppräkning över det slag av uppgifter som får ingå i registret (10 §). Lagen innehåller också bl.a. bestämmelser om personuppgiftsansvar, behandling av känsliga personuppgifter, utlämnande av uppgifter, behandling av uppgifter om kvarstående misstankar efter nedlagd förundersökning och gallring. Förordningen (1999:105) om behandling av personuppgifter vid medverkan i brottsutredningar innehåller bestämmelser som kompletterar lagen. Bland annat finns bestämmelser som begränsar vilka personer inom som får ha direkt åtkomst till vissa av de behandlade personuppgifterna och bestämmelser om att uppgifter får lämnas ut till vissa andra myndigheter. De myndigheter som omfattas av bestämmelserna om utlämnande är , , och . får, efter samråd med Datainspektionen, meddela de ytterligare verkställighetsföreskrifter som behövs. 7Författningar om behandling av personuppgifter i annan brottsbekämpande verksamhet I propositionen Integritet och effektivitet i polisens brottsbekämpande verksamhet (prop. 2009/10:85) föreslog regeringen en helt ny polisdata- Avsikten var att komma till rätta med vissa svagheter som upp- märksammats i systemet, bl.a. att den äldre polisdatalagen (1998:622) endast täckte delar av behandlingen av personuppgifter i polisens Vidare framhöll regeringen i propositio- nen behoven av en teknikneutral lagstiftning och av regler som ger förutsättningar för ett bättre samarbete mellan de brottsbekämpande myndigheterna genom utökade möjligheter till informationsutbyte (se 2009/10:85 s. 59–64). Den nya polisdatalagen trädde i kraft den 1 Polisdatalagen gäller i stället för personuppgiftslagen (1998:204). Lagen innehåller hänvisningar till de bestämmelser i personuppgiftslagen som gäller vid tillämpning av lagen. Syftet med polisdatalagen är att ge polisen möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin brottsbekämpande verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling (1 kap. 1 §). Polisdatalagen gäller vid behandling av personuppgifter i brottsbekäm- pande verksamhet vid och Säkerhetspolisen samt i polisiär verksamhet vid (1 kap. 2 §). 2016/17:89 ling av personuppgifter i Säkerhetspolisens brottsbekämpande verksamhet gäller endast vissa särskilt utpekade bestämmelser. Behandling av personuppgifter i sådan verksamhet som inte är brottsbekämpande, t.ex. hanteringen av förvaltningsärenden, regleras i huvudsak i personuppgiftslagen. Behandling av personuppgifter som sker med stöd av vapenlagen (1996:67), lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregister, lagen (2000:344) om Schengens informationssystem, lagen (2006:444) om passagerarregister, lagen (2010:362) om polisens allmänna spaningsregister eller lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang har uttryckligen undantagits från polisdatalagens tillämpningsområde (1 kap. 3 §). Personuppgifter får behandlas i brottsbekämpande verksamhet vid och i polisiär verksamhet vid om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra förpliktelser som följer av internationella åtaganden (2 kap. 7 §). Personuppgifter som behandlas för dessa ändamål får även behandlas när det är nödvändigt för att tillhandahålla information som behövs i bl.a. brottsbekämpande verksamhet hos , , , och eller brottsbekämpande verksamhet hos utländsk myndighet eller mellanfolklig organisation. Vidare får personuppgifter behandlas för att tillhandahålla information som behövs i en myndighets verksamhet om det enligt lag eller förordning åligger att bistå myndigheten med viss uppgift eller om informationen tillhandahålls inom ramen för myndighetsöverskridande samverkan mot brott (2 kap. 8 §). Personuppgifter får även behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till eller i en anmälan eller liknande och behandlingen är nödvändig för handläggningen (2 kap. 9 §). Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (känsliga personuppgifter). Om uppgifter om en person behandlas på annan grund, får de emellertid kompletteras med känsliga personuppgifter när det är absolut nödvändigt för syftet med behandlingen (2 kap. 10 §). Lagen innehåller även bestämmelser om vad som gäller för t.ex. tillgången till personuppgifter, utlämnande av personuppgifter och uppgiftsskyldighet samt elektroniskt utlämnande av personuppgifter (2 kap. 11–21 §§).