prop · H40391 · 2017-02-07 00:00:00 — skyddsdirektivet, som i svensk rätt har genomförts genom personupp- Vidare finns bl.a. särskilda bestämmelser som begränsar möjligheterna att behandla personuppgifter som mottagits från en annan stat. slutet har genomförts i svensk rätt dels genom lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och 2016/17:91 straffrättsligt samarbete inom Europeiska unionen, dels genom upplys- ningsbestämmelser i respektive registerförfattning som anger att nämnda lag har företräde framför respektive registerförfattning. En sådan bestämmelse finns i 1 a § lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet. 4.1.7 Ny EU-rättslig reglering Dataskyddsregleringen på unionsnivå har varit föremål för översyn och ny reglering har antagits, dels en ny förordning, dels ett nytt direktiv. Den nya regleringen ska börja tillämpas . bl.a. att dataskyddsdirektivet, som i har genomförts genom personuppgiftslagen (1998:204) och ett stort antal specifika register- författningar, ersätts av en ny generell dataskyddsförordning. och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (kallad dataskyddsförordningen), antogs . Förordningen utgör en ny generell reglering för personuppgiftsbehand- ling inom EU och ersätter alltså det nuvarande dataskyddsdirektivet när den börjar tillämpas . Det huvudsakliga syftet med förordningen är att ytterligare harmonisera och effektivisera skyddet för personuppgifter för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. Dataskyddsförordningen baseras till stor del på dataskyddsdirektivets struktur och innehåll men innebär även en rad nyheter såsom en utökad informationsskyldighet, administrativa sanktionsavgifter och inrättandet av Europeiska dataskyddsstyrelsen. tillämplig i medlemsstaterna men både förutsätter och möjliggör komple- tterande nationella bestämmelser av olika slag. En utredning har tillsatts för att föreslå de anpassningar och kompletterande författningsändringar på generell nivå som förordningen ger anledning till (Dataskyddsutred- ningen, Ju 2016:04). Uppdraget ska redovisas . Det pågår bl.a. inom även arbete med att se över övriga berörda författningar med anledning av den nya dataskyddsförord- De författningsändringar som krävs med anledning av förordningen tas således om hand i särskild, senare ordning. I reformen av om skydd för personuppgifter ingår som nämnts ovan även ett direktiv med särregler för den brottsbekämpande sektorn som kommer att ersätta dataskyddsrambeslutet. dataskyddsrambeslutet omfattar direktivet inte endast utbyte av informa- tion över gränserna utan även nationell personuppgiftsbehandling inom den brottsbekämpande sektorn. och rådets direktiv (EU) 2016/680 av 2016 om skydd för fysiska personer med avseende på behöriga myndig- heters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (kallat dataskyddsdirektiv), antogs som Det ska vara implementerat i nationell rätt Prop. 2016/17:91 . Från dataskyddsförordningens tillämpningsområde undantas bl.a. personuppgiftsbehandling som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inkluderande att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Den personuppgiftsbehand- ling som görs för dessa syften faller i stället under det nya dataskydds- direktivets tillämpningsområde. Direktivet ska dels skydda fysiska personers grundläggande fri- och rättigheter, särskilt deras rätt till skydd av personuppgifter, dels underlätta det informationsutbyte mellan behöriga myndigheter som är nödvändigt enligt unionsrätt eller nationell rätt. dataskyddsdirektiv ansluter i stor utsträckning till den reglering som gäller enligt dataskyddsrambeslutet. Från både förordningens och direktivets tillämpningsområden undantas personuppgiftsbehandling i verksamhet som inte omfattas av unions- rätten, däribland området nationell säkerhet. En utredning har tillsatts för att föreslå hur direktivet ska genomföras i svensk rätt. Utredaren ska bl.a. lämna förslag till en ny ramlagstiftning med bestämmelser om skydd av personuppgifter inom direktivets tillämpningsområde och lämna de förslag till författningsändringar som krävs för att anpassa vissa centrala författningar om rättsväsendets behandling av personuppgifter till de nya förutsättningarna (Utredningen om 2016 års dataskyddsdirektiv, Ju 2016:06). Utredaren ska i ett delbetänkande redovisa uppdraget i den del det rör dels en ny ramlagstiftning, dels tillsyn inom direktivets tillämpnings- område. Uppdraget ska slutredovisas . De författningsändringar som krävs med anledning av det nya direkti- vet tas således om hand i särskild, senare ordning. Dataskyddsdirektivet har som nämnts ovan genomförts i svensk rätt genom personuppgiftslagen, se propositionen Personuppgiftslag (prop. 1997/98:44). Till skillnad från dataskyddsdirektivet har dock person- uppgiftslagen gjorts generellt tillämplig och omfattar således även verk- samhet som faller utanför direktivets tillämpningsområde. Lagen innehåller de generella regler som krävs för genomförande av direktivet. Särreglering i annan lag eller i förordning gäller emellertid framför bestämmelserna i personuppgiftslagen. Att det krävs en särskild författning för att avvika från det integritetsskydd som personuppgifts- lagen ger, är en garanti för att behovet av särregler övervägs noga i den ordning som gäller för författningsgivning. Personuppgifter i personuppgiftslagens mening är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Uppgifter om juridiska personer och avlidna omfattas således inte av lagen. Begreppet behandling av personuppgifter omfattar i stort sett allt man kan göra med sådana uppgifter, t.ex. att samla in, söka, bevara och sprida uppgifter. 2016/17:91 Lagen omfattar behandling av personuppgifter som är helt eller delvis automatiserad. Även behandling kan dock omfattas, nämligen om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter vilka är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier. Enligt personuppgiftslagen ska en personuppgiftsansvarig bl.a. se till att personuppgifter behandlas bara om det är lagligt. Den personuppgifts- ansvarige ska vidare se till att personuppgifter behandlas på ett korrekt sätt och i enlighet med god sed, att personuppgifter samlas in bara för särskilda uttryckligt angivna och berättigade ändamål, att de inte behandlas för något ändamål som är oförenligt med det för vilket de samlades in, att de personuppgifter som behandlas är riktiga och om nödvändigt aktuella, att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen och att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Enligt lagen är det vidare förbjudet att till tredjeland föra över person- uppgifter om landet inte har en adekvat nivå för skyddet av personupp- gifterna. Förbudet gäller inte stater som har anslutit sig till dataskydds- konventionen. Förbudet gäller både uppgifter som är under behandling och uppgifter som ska undergå behandling. När det gäller att avgöra om skyddsnivån är adekvat ska alla omständigheter kring överföringen beaktas, varvid särskild vikt ska läggas vid bl.a. uppgifternas art, ändamålet med behandlingen och de regler som finns för behandlingen i det tredjelandet. I vissa fall får dock överföring av personuppgifter till tredjeland ske även om det aktuella landet inte har en sådan adekvat skyddsnivå som avses i personuppgiftslagen, t.ex. om den registrerade har lämnat sitt samtycke eller för att rättsliga anspråk ska kunna fastställas. I lagen har också regeringen getts möjlighet att under vissa förutsättningar meddela föreskrifter om undantag från förbudet. Efter en lagändring som trädde i kraft är de flesta av personuppgiftslagens detaljerade handlingsregler inte tvingande tillämp- liga vid behandling av personuppgifter i ostrukturerat material, t.ex. löpande text och enstaka ljud- och bildupptagningar, se propositionen Översyn av personuppgiftslagen (prop. 2005/06:173). Sådan behandling får dock inte innebära att den registrerades personliga integritet kränks. Med anledning av att dataskyddsförordningen ska börja tillämpas kommer personuppgiftslagen att upphävas. 4.3 Lagstiftningen om behandling av uppgifter i brottsbekämpande verksamhet Behandling av personuppgifter i brottsbekämpande verksam- het regleras i lagen om behandling av uppgifter i brotts- bekämpande verksamhet, med tillhörande förordning (2005:791) om behandling av uppgifter i brottsbekämpande verksamhet. Dessa författningar brukar benämnas tullbrottsdatalagen och tullbrotts- Tullbrottsdatalagen gäller i stället för personuppgifts- lagen, men hänvisar till vissa bestämmelser i personuppgiftslagen som alltjämt ska tillämpas. Det finns bestämmelser om hantering av personuppgifter även i annan lagstiftning, t.ex. i lagen (2000:1219) om internationellt tullsamarbete, förordningen (2000:1222) om internationellt tullsamarbete, lagen (2000:343) om internationellt polisiärt samarbete, tullagen (2016:253) och i EU-lagstiftning. Det finns också en särskild registerförfattning med tillhörande förordning som gäller i verksamhet som avser frågor om tull och in- och utförselrestriktioner, nämligen lagen (2001:185) om behandling av uppgifter i verksamhet med tillhörande förordning (2001:646) med samma namn. Dessa författ- ningar, som brukar benämnas tulldatalagen respektive tulldataförord- ningen, omfattas inte av förslagen i denna proposition och kommer därför inte att beröras närmare här. En följdändring behandlas dock i avsnitt 17. Tullbrottsdatalagen innehåller dels allmänna regler om behandling av personuppgifter, dels bestämmelser om en särskild databas, tullbrotts- databasen. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Lagen tillämpas även i viss utsträckning på behandling av uppgifter om juridiska personer (1 §). De ändamål för vilka uppgifter får behandlas i brotts- bekämpande verksamhet är uppdelade i primära (7 §) och sekundära (8 §) ändamål. I 7 § anges att uppgifter får behandlas i brotts- bekämpande verksamhet om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, för att utreda eller beivra visst brott, eller för att fullgöra förpliktelser som följer av internationella åtaganden. I 8 § anges att uppgifter som behandlas i brottsbekämpande verksamhet enligt 7 § även får behandlas när det är nödvändigt för att tillhandahålla information som behövs i författningsreglerad brotts- bekämpande verksamhet hos , Säkerhetspolisen, Eko- brottsmyndigheten, , och Kustbevak- ningen. I 9 § regleras att uppgifter inte får behandlas för några andra ändamål än de som anges i 7 och 8 §§. Uppgifter får dock lämnas ut till och regeringen samt, i den utsträckning uppgiftsskyldighet följer av lag eller förordning, till andra. Här kan nämnas att 9 d § personuppgifts- lagen, den s.k. finalitetsprincipen, inte finns med i uppräkningen av vilka bestämmelser i personuppgiftslagen som gäller vid behandling av personuppgifter enligt tullbrottsdatalagen. Behandlingen av känsliga personuppgifter regleras i 11 § tullbrotts- datalagen. Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackföre- ning, hälsa eller sexualliv. Om uppgifter om en person behandlas på annan grund får de kompletteras med sådana uppgifter som avses i första stycket när det är absolut nödvändigt för syftet med behandlingen. Uppgifter som beskriver en persons utseende ska alltid utformas på ett objektivt sätt med respekt för människovärdet. uppgifter behandlas om de förekommer i en handling som kommit in till i ett ärende. I 12–15 §§ anges de närmare förutsättningarna för behandling av uppgifter för de tre huvudsyften som anges i 7 §. För ändamålet att förebygga, förhindra eller upptäcka brottslig verk- samhet får enligt 12 § sådana uppgifter behandlas som hänföras till en person, anledning att anta att sådan verksamhet har utövats eller kan komma att utövas som innefattar brott för vilket är föreskrivet fängelse i eller som innefattar andra brott, om verksamheten sker systematiskt (1 a), och gör att personen skäligen kan misstänkas för att ha utövat eller komma att utöva verksamheten (1 b), – avser en person som utan att vara skäligen misstänkt kan antas ha samband med sådan verksamhet som avses i 1 a (2), eller – inte direkt kan hänföras till en person, om uppgifterna avser sådana transportmedel, varor eller hjälpmedel som kan antas ha samband med sådan verksamhet som avses i 1 a. Vissa ytterligare begränsningar anges i bestämmelsen. Dessutom får uppgifter som kommit in till om passagerare, importörer, exportörer och transportörer samt varor och transportmedel behandlas för planering av kontrollverksamheten och urval av kontroll- objekt i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet (13 §). För ändamålet att utreda och beivra visst brott får enligt 14 § uppgifter om den som kan misstänkas för brottet och om andra personer behandlas när det behövs för att utreda eller beivra brottet. Enligt 15 § får , utöver vad som följer av 12–14 §§, behandla uppgifter för ändamålet fullgöra förpliktelser som följer av internatio- Som huvudregel ska uppgifter om personer som inte är misstänkta eller kan komma att misstänkas för brott förses med en särskild upplysning Uppgifter om en person som kan ha samband med brottslig verksamhet ska förses med upplysning om uppgiftslämnarens trovärdig- het och uppgifternas riktighet i sak (16 §). I 17 och 18 §§ finns bestämmelser om begränsning av möjligheten till behandling av uppgifter om kvarstående misstankar. I 19 § anges i detalj vilka typer av personuppgifter som får behandlas i tullbrottsdatabasen och i 20–22 §§ anges vilka sökbegrepp som får 23 och 24 §§ innehåller bestämmelser om viss uppgiftsskyldighet, närmare bestämt när det gäller vitesförelägganden och rättsstatistik. tullbrottsdataförordningen har också en bestämmelse om uppgifts- skyldighet, som innebär att på begäran av Åklagarmyndig- och ska lämna ut uppgifter ur tullbrotts- I 25 § tullbrottsdatalagen finns en begränsning avseende elektroniskt Enstaka uppgifter får lämnas ut på medium för automati- Regeringen får meddela föreskrifter om att utlämnande på sådant medium får ske även i andra fall. Några sådana föreskrifter har I 26 § samma lag regleras direktåtkomst. Där anges att regeringen får Prop. 2016/17:91 meddela föreskrifter om att , Säkerhetspolisen, Åkla- garmyndigheten, , och Kustbevak- ningen i sin brottsbekämpande verksamhet får ha direktåtkomst till uppgifter i tullbrottsdatabasen. Genom 6 § tullbrottsdataförordningen har regeringen gett , , Säkerhets- polisen, och möjlighet till direktåtkomst till uppgifter i tullbrottsdatabasen som behandlas för ändamålet före- bygga, förhindra eller upptäcka brottslig verksamhet. Genom 7 § samma förordning har regeringen gett , Ekobrottsmyndig- heten, och Säkerhetspolisen rätt till direktåtkomst till uppgifter i tullbrottsdatabasen som behandlas för ändamålet utreda eller beivra visst brott och som förekommer i en förundersökning under ledning av åklagare vid eller Ekobrottsmyndig- heten. Tullbrottsdatalagen innehåller också regler om när gallring av olika uppgifter ska ske (27 och 28 §§). Enligt 27 § får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om att uppgifter ska bevaras trots de frister som annars gäller. Av 4 § tullbrotts- dataförordningen följer att uppgifter och handlingar i ett ärende som avser prövning av om förundersökning ska inledas får bevaras längre än vad som anges i 27 § tullbrottsdatalagen men att de ska gallras senast vid utgången av det kalenderår då påföljd kan dömas ut för de brott som omfattades av prövningen av om förundersökning ska inledas. Tullbrottsdatalagen innehåller även bestämmelser om information till den registrerade och överklagande. I fråga om skadestånd och rättelse gäller bestämmelserna i personuppgiftslagen. I förordningen (1997:902) om register över strafförelägganden regleras viss behandling av personuppgifter som och även Polis- myndigheten utför. Såvitt gäller anges i förordningen bl.a. att det inom får föras register över strafförelägganden (2 §) och vad registret får innehålla (9 §). I betänkandet Uppbörd av böter (Ds 2015:5) behandlas bl.a. denna reglering. Betänkandet har remitterats och bereds i . omfattade förordningen om register över strafförelägganden även åklagarnas behandling av personuppgifter vid hanteringen av strafförelägganden. De bestämmelserna utmönstrades dock ur förordningen i samband med tillkomsten av åklagardatalagen (2015:433). Det kan i detta sammanhang nämnas att till uppgiften att beivra brott i 7 § 2 tullbrottsdatalagen hör tullåklagarens rätt att utfärda strafförelägganden i bötesmål. 4.4Regler för behandling av personuppgifter i annan brottsbekämpande verksamhet Vid sidan av personuppgiftslagen finns en mängd särskilda register- författningar som spänner över olika samhällsområden, bl.a. lagar och 2016/17:91 förordningar som innefattar regler om hur personuppgifter i brottsbekäm- pande verksamhet ska behandlas. Vad avser polisens verksamhet finns bl.a. polisdatalagen (2010:361) som utgör en modernisering av tidigare gällande bestämmelser. Även andra registerförfattningar har moderniserats . För verksamhet har en kustbevakningsdatalag (2012:145) antagits, med bestämmelser utformade enligt den modell som återfinns i polisdatalagen. När det gäller åklagarväsendets personuppgiftsbehand- ling har en åklagardatalag antagits, som trädde i kraft . När det gäller brottsbekämpande verksamhet bereds i ny lagstiftning på området. Det har ansetts angeläget att har samma möjligheter som andra brottsbekämpande myndigheter att behandla personuppgifter, se t.ex. propositionen Dataskydd vid europeiskt polissamarbete och straff- rättsligt samarbete (prop. 2012/13:73 s. 63). Det är därför naturligt att göra en jämförelse med hur frågorna har reglerats för andra brottsbekäm- pande myndigheter i lagstiftning som tillkommit efter tullbrottsdatalagen. Av den anledningen redovisas polisdatalagen och kustbevakningsdata- lagen närmare i följande avsnitt. 4.4.2Polisdatalagen och annan lagstiftning I propositionen Integritet och effektivitet i polisens brottsbekämpande verksamhet (prop. 2009/10:85) föreslog regeringen en helt ny polis- datalag. Avsikten var att komma till rätta med vissa svagheter som uppmärksammats i systemet, bl.a. att den äldre polisdatalagen (1998:622) endast täckte delar av behandlingen av personuppgifter i polisens brotts- bekämpande verksamhet. Vidare framhöll regeringen i propositionen behoven av en teknikneutral lagstiftning och av regler som ger förutsätt- ningar för ett bättre samarbete mellan de brottsbekämpande myndig- heterna genom utökade möjligheter till informationsutbyte (se prop. 2009/10:85 s. 59–64). Den nya polisdatalagen trädde i kraft . Polisdatalagen gäller i stället för personuppgiftslagen. Lagen innehåller hänvisningar till de bestämmelser i personuppgiftslagen som gäller vid tillämpning av lagen. Syftet med polisdatalagen är att ge polisen möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin brottsbekämpande verk- samhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling (1 kap. 1 §). Polisdatalagen gäller vid behandling av personuppgifter i brottsbekäm- pande verksamhet vid och Säkerhetspolisen samt i polisiär verksamhet vid (1 kap. 2 §). För behand- ling av personuppgifter vid brottsbekämpande verk- samhet gäller endast vissa särskilt utpekade bestämmelser. Behandling av personuppgifter i sådan verksamhet som inte är brottsbekämpande, t.ex. hanteringen av förvaltningsärenden, regleras i huvudsak i personupp- giftslagen. Behandling av personuppgifter som sker med stöd av vapenlagen (1996:67), lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregister, lagen (2000:344) om Schengens informationssystem, lagen (2006:444) om passagerarregister, lagen (2010:362) om polisens allmänna spaningsregister eller lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang har uttryckligen undantagits från polisdatalagens tillämpningsområde (1 kap. 3 §). Personuppgifter får behandlas i brottsbekämpande verksamhet vid och i polisiär verksamhet vid om det behövs för att förebygga, förhindra eller upptäcka brottslig verk- samhet, utreda eller beivra brott eller fullgöra förpliktelser som följer av internationella åtaganden (2 kap. 7 §). Personuppgifter som behandlas för dessa ändamål får även behandlas när det är nödvändigt för att tillhanda- hålla information som behövs i bl.a. brottsbekämpande verksamhet hos , , , och eller brottsbekämpande verksamhet hos utländsk myndighet eller mellanfolklig organisation. Vidare får personuppgifter behandlas för att tillhandahålla information som behövs i en myndighets verksamhet om det enligt lag eller förordning åligger att bistå myndigheten med viss uppgift eller om informationen tillhanda- hålls inom ramen för myndighetsöverskridande samverkan mot brott (2 kap. 8 §). Personuppgifter får även behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till eller i en anmälan eller liknande och behandlingen är nödvändig för handläggningen (2 kap. 9 §). Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (känsliga personuppgifter). Om uppgifter om en person behandlas på annan grund, får de emellertid kompletteras med känsliga personuppgifter när det är absolut nödvändigt för syftet med behand- lingen (2 kap. 10 §). Lagen innehåller även bestämmelser om vad som gäller för t.ex. till- gången till personuppgifter, utlämnande av personuppgifter och uppgifts- skyldighet samt elektroniskt utlämnande av personuppgifter (2 kap. 11– 21 §§). För behandling av personuppgifter som fler än ett fåtal personer har åtkomst till, s.k. gemensamt tillgängliga uppgifter, finns det särskilda bestämmelser i lagen (3 kap. 1–15 §§). Huruvida uppgifter har gjorts gemensamt tillgängliga eller inte är av betydelse när det gäller möjlig- heten att medge vissa andra i lagen utpekade myndigheter direktåtkomst till personuppgifter i den brottsbekämpande verksamheten. Vad gäller gemensamt tillgängliga uppgifter innehåller lagen även andra begrän- sande bestämmelser för att värna den personliga integriteten, bl.a. sökbegränsningar. Slutligen ska nämnas att polisdatalagen innehåller bestämmelser om ett fåtal register som regleras särskilt, bl.a. register över DNA-profiler, fingeravtrycks- eller signalementsregister och penningtvättsregister (4 kap.), bestämmelser om behandling av personuppgifter vid Polis- myndigheten för forensiska ändamål (5 kap.) samt bestämmelser om 2016/17:91 behandling av personuppgifter i Säkerhetspolisens brottsbekämpande verksamhet (6 kap.).