prop · H40391 · 2017-02-07 00:00:00 — Det finns inte skäl att avvika från vad som gäller enligt de två sistnämnda lagarna. Bestämmelserna i den nya lagen om sökning (se avsnitt 14.4) bör därför inte gälla i fråga om uppgifter om juridiska personer. Undantag från lagens tillämpningsområde I avsnitt 4 redogörs för det internationella samarbete som deltar i, vilket även omfattar polisiärt samarbete i vissa fall där tull- tjänstemän har polisiära befogenheter. En del av det informationsutbyte som förekommer inom det internationella samarbetet regleras av bestäm- melser i lagen (2000:343) om internationellt polisiärt samarbete och lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen, med tillhörande föreskrifter. Den nuvarande tullbrottsdatalagen men även polisdatalagen och kustbevakningsdatalagen innehåller uttryckliga regler om att lagarna är subsidiära i förhållande till avvikande bestämmelser i dessa författningar, dvs. de avvikande bestämmelserna ska tillämpas i stället. Därigenom görs det tydligt hur förhållandet är mellan de författningar som innehåller särskilda bestämmelser för det internationella polisiära området och den generella lagstiftningen om behandling av personuppgifter i den brottsbekämpande verksamheten. Det finns inte anledning att genom den nya lagen ändra på den ordningen. Regeringen föreslår därför en bestämmelse som anger att avvikande bestämmelser om behandling av personuppgifter i lagen om internationellt polisiärt samarbete och lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samar- bete inom Europeiska unionen samt i föreskrifter som regeringen har meddelat i anslutning till dessa lagar ska gälla i stället för den nya lagen. Internationellt samarbete sker också med stöd av t.ex. lagen (2000:1219) om internationellt tullsamarbete. Den nämnda lagen inne- håller, till skillnad från t.ex. lagen om internationellt polisiärt samarbete, främst bestämmelser som reglerar det internationella samarbetet i sig och inte bestämmelser om behandling av personuppgifter. Därmed saknas anledning att hänvisa till den lagen i de inledande bestämmelserna i den nya lagen. Bestämmelserna i lagen om internationellt tullsamarbete måste givetvis fortfarande beaktas vid tillämpning av den lagen. Ingen bestämmelse om andra författningar som hindrar behandling av personuppgifter I promemorian föreslås en bestämmelse om att bestämmelser i annan lagstiftning som hindrar en behandling av personuppgifter som är tillåten enligt den nya lagen ska tillämpas framför den nya lagen. Förslaget motiverades bl.a. med att det finns särregler om behandling av uppgifter även i annan lagstiftning, t.ex. för uppgifter om resenärer som har begärt in från transportföretag då lagen (1996:701) om befogenheter vid gräns mot ett annat land inom Europeiska unionen (kallad inregränslagen) och tullagen (2016:253) gäller. Även lagen om internationellt tullsamarbete nämns, vari det finns bestäm- melser om s.k. användningsbegränsningar. Regeringen gör i detta avseende en annan bedömning än promemorian och anser att det inte finns skäl att införa en sådan bestämmelse. De regler i inregränslagen och tullagen som nämns i promemorian föreslås som framgår i avsnitt 11 och 16.2 anges särskilt vid relevanta bestäm- melser i den nya tullbrottsdatalagen. Vad gäller bestämmelserna om användningsbegränsningar i lagen om internationellt tullsamarbete finner regeringen inte någon konflikt med den föreslagna nya lagen. De skäl som har framförts för bestämmelsen är således inte tillräckliga för att införa en sådan bestämmelse. Någon sådan bestämmelse finns inte heller i polisdatalagen, kustbevakningsdatalagen eller åklagardatalagen. Regeringen föreslår således inte någon sådan bestämmelse. 2016/17:91 Ingen bestämmelse om andra myndigheters direktåtkomst I promemorian föreslås att det i bestämmelsen om lagens tillämpnings- område ska upplysas om att det i lagen också finns bestämmelser om vissa skyldigheter för myndigheter som har direktåtkomst till uppgifter i brottsbekämpande verksamhet. Regeringen ser dock inte behov att föra in en sådan bestämmelse i lagen. Något motsvarande finns inte heller i t.ex. polisdatalagen eller kustbevakningsdatalagen. En bestämmelse om lagens innehåll I kapitlet om lagens tillämpningsområde anser regeringen i likhet med vad som föreslås i promemorian att det ska finnas en bestämmelse som upplyser om lagens innehåll. Sammanfattningsvis föreslår regeringen följande vad gäller lagens tillämpningsområde. Den nya lagen ska gälla vid behandling av personuppgifter i den brottsbekämpande verksamheten, om behand- lingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Förslaget genomförs genom 1 kap. 2 § i den nya lagen. Om det i lagen om internationellt polisiärt samarbete och lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen samt i föreskrifter som regeringen har meddelat i anslutning till dessa lagar finns avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag. Förslaget genomförs genom 1 kap. 3 § i den nya lagen. Vissa närmare angivna bestämmelser i den nya lagen ska gälla även vid behandling av uppgifter om juridiska personer. Förslaget genomförs genom 1 kap. 4 § i den nya lagen. Det ska finnas en bestämmelse som beskriver den nya lagens innehåll. Förslaget genomförs genom 1 kap. 5 § i den nya lagen. 9.1Den nya lagen ska gälla i stället för personuppgiftslagen Regeringens förslag: Den nya lagen ska i likhet med nuvarande lag gälla i stället för personuppgiftslagen. I lagen ska det hänvisas till de bestämmelser i personuppgiftslagen som ska gälla vid behandling av uppgifter i brottsbekämpande verksamhet. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över Skälen för regeringens förslag: Personuppgiftslagen (1998:204) är generellt tillämplig på behandling av personuppgifter och bygger på EU:s dataskyddsdirektiv, och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 23.11.1995, s. 31, Celex 31995L0046), se avsnitt 4.2. Direktivet omfattar bl.a. inte behandling av personuppgifter som utförs på området för statens brottsbekämpande verksamhet, varför det ur EU- rättslig synvinkel i och för sig inte finns något som hindrar att den nya lagen utformas på annat sätt än vad som anges i dataskyddsdirektivet. I sammanhanget kan dock påpekas att direktivet i huvudsak bygger på och vidareutvecklar de bestämmelser som finns i konvention om skydd för enskilda vid automatisk databehandling av personuppgifter, kallad dataskyddskonventionen (se avsnitt 4.1.2), som även gäller för statens brottsbekämpande verksamhet. är folk- rättsligt bundet av konventionen med dess tilläggsprotokoll. Vidare bör beaktas att dataskyddsrambeslutet, rådets rambeslut /977/RIF av om skydd för personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samar- bete, som genomförts i svensk rätt (se avsnitt 4.1.6) i stora delar liknar dataskyddsdirektivet. Rambeslutet har ersatts av ett direktiv och data- skyddsdirektivet av en förordning, som båda ska börja tillämpas (se avsnitt 4.1.7). Systematiska skäl talar för att den nya regleringen bör ansluta till personuppgiftslagen. Motsvarande lösning har valts i polisdatalagen (2010:361) och kustbevakningsdatalagen (2012:145), se propositionen Integritet och effektivitet i polisens brottsbekämpande verksamhet (prop. 2009/10:85 s. 79 f.) och propositionen Kustbevakningsdatalag (prop. 2011/12:45 s. 75 f.). Regeringen anser därför att personuppgiftslagens bestämmelser i väsentliga delar ska gälla även i brottsbekäm- pande verksamhet. I denna verksamhet finns som redan nämnts särskilda behov av att kunna behandla personuppgifter automatiserat och verksam- hetens särdrag gör att det finns behov av bestämmelser som avviker från personuppgiftslagen. Frågan är då hur de bestämmelser i personuppgiftslagen som ska gälla även i brottsbekämpande verksamhet på bästa sätt infogas i den nya lagen. I lagen (2005:787) om behandling av uppgifter i Tull- verkets brottsbekämpande verksamhet (kallad tullbrottsdatalagen), polis- datalagen och kustbevakningsdatalagen har valts en lösning som innebär att dessa lagar gäller i stället för personuppgiftslagen. Dessa författningar är konstruerade på så sätt att lagen innehåller en hänvisning till de lagrum i personuppgiftslagen som är tillämpliga. Motsvarande konstruk- tion har valts i de ännu nyare registerförfattningarna för åklagarväsendet, åklagardatalagen (2015:433), och domstolar, domstolsdatalagen (2015:728). Utvecklingen går mot ett ökat samarbete mellan de brottsbekämpande myndigheterna. Det ligger därför ett värde i att så långt möjligt använda samma lagstiftningsteknik för regleringen av all behandling av person- uppgifter inom brottsbekämpande verksamhet, oavsett myndighet. Det finns därmed inte anledning att frångå det som gäller enligt den nuvaran- de tullbrottsdatalagen, polisdatalagen och kustbevakningsdatalagen. 2016/17:91 nya lagen bör således gälla i stället för personuppgiftslagen, men innehålla hänvisningar till de bestämmelser i personuppgiftslagen som ska tillämpas. Förslaget genomförs genom 2 kap. 1 § i den nya lagen. De bestämmelser i personuppgiftslagen som Regeringens förslag: Följande bestämmelser i personuppgiftslagen ska gälla när personuppgifter behandlas enligt den nya lagen eller enligt föreskrifter som har meddelats i anslutning till lagen: 3 § om definitioner, 8 § om förhållandet till offentlighetsprincipen, 9 § om grundläggande krav på behandling av personuppgifter, dock med undantag för första stycket i och tredje stycket, 22 § om behandling av personnummer och samordningsnummer, 23 och 25–27 §§ om information till den registrerade, 28 § om rättelse, 30 och 31 §§ samt 32 § första stycket om säkerheten vid behandling, 33–35 §§ om överföring av personuppgifter till tredjeland, 38–41 §§ om personuppgiftsombud m.m., 42 § om upplysningar till allmänheten om vissa behandlingar, 43 och 44 §§, 45 § första stycket och 47 § om tillsynsmyndighetens 48 § om skadestånd, och 51 § första stycket, 52 § första stycket och 53 § om överklagande. Om personuppgifter ska gallras enligt den nya lagen eller enligt föreskrifter som har meddelats i anslutning till lagen, ska inte 8 § andra stycket personuppgiftslagen gälla. Information enligt 23 § personuppgiftslagen ska inte behöva lämnas vid behandling som består av insamling av personuppgifter genom bilder Sådan information ska inte heller behöva lämnas när person- uppgifterna samlas in i samband med larm och det med hänsyn till omständigheterna inte finns tid att lämna informationen. ska inte kunna förena ett förbud att utföra viss behandling med vite. Promemorians förslag: Överensstämmer i sak med regeringens Promemorians förslag är något annorlunda utformat. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över för- Skälen för regeringens förslag Nedan redovisas de bestämmelser i personuppgiftslagen som föreslås vara tillämpliga vid behandling av personuppgifter i Det är fråga om samma bestämmelser som gäller vid behandling enligt polisdatalagen och kustbevaknings- Regeringen ser inga skäl för att i den nya lagen avvika från vad som gäller enligt polisdatalagen och kustbevakningsdatalagen. Förslaget motsvarar i huvudsak vad som gäller enligt den nuvarande tullbrottsdatalagen. Definitioner, 3 § I 3 § personuppgiftslagen definieras vissa begrepp som är centrala vid behandling av personuppgifter. Där definieras t.ex. vad personuppgifter är (”all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet”) och vad som utgör behandling av person- uppgifter (”varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. in- samling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring”). För att undvika missförstånd är det viktigt att terminologin i den nya lagen överens- stämmer med personuppgiftslagens och att de begrepp som används i de båda författningarna har samma innebörd. En hänvisning till 3 § personuppgiftslagen bör därför tas in i den nya lagen. Förhållandet till offentlighetsprincipen, 8 § I 8 § första stycket personuppgiftslagen upplyses om att personupp- giftslagen inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet att lämna ut personuppgifter enligt 2 kap. tryckfrihetsförordningen. I paragrafens andra stycke anges att bestäm- melserna inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. I den nuvarande tullbrottsdatalagen finns det en hänvisning till 8 § personuppgiftslagen. Det finns inte skäl att göra någon ändring i detta hänseende. I klargörande syfte föreslår regeringen att en hänvisning till bestämmelserna i 8 § personuppgiftslagen tas in i den nya lagen. Detta är också i överensstämmelse med bl.a. polisdatalagen. För att uppnå överensstämmelse med regleringen i polisdatalagen och kustbevaknings- datalagen bör det anges att bestämmelserna i 8 § andra stycket inte gäller när uppgifter ska gallras enligt särskilda bestämmelser i den nya lagen. Grundläggande krav på behandlingen av personuppgifter, 9 § Några av personuppgiftslagens viktigaste bestämmelser om behandling av personuppgifter finns i 9 §. Där uppställs vissa grundläggande krav på den personuppgiftsansvarige. I första stycket a och b anges att den personuppgiftsansvarige ska se till att personuppgifter endast behandlas om det är lagligt och att personuppgifter alltid ska behandlas på ett korrekt sätt och i enlighet med god sed. Enligt första stycket e–h ska den personuppgiftsansvarige se till att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, att inte fler personuppgifter behandlas än vad som är nödvändigt, att de personuppgifter som behandlas är riktiga och, om nödvändigt, aktuella samt att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen. Enligt regeringens bedömning är det naturligt att dessa grundläggande krav tillämpas även vid behandling av personuppgifter i brottsbekämpande verksamhet. Detta gäller även enligt den nuvarande tullbrottsdatalagen. Den nya lagen bör därför, i likhet med polisdatalagen och kustbevakningsdatalagen, hänvisa till 9 § första stycket a, b och e–h personuppgiftslagen. I 9 § första stycket c personuppgiftslagen anges att personuppgifter får samlas in bara för särskilda, uttryckligt angivna ändamål. I första stycket d anges att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (den s.k. finali- tetsprincipen). I den nuvarande tullbrottsdatalagen hänvisas det inte till 9 § första stycket c och d personuppgiftslagen. I stället innehåller lagen en uttömmande uppräkning av för vilka ändamål personuppgifter får behandlas. Det är alltså inte enligt den nuvarande tullbrottsdatalagen tillåtet att behandla personuppgifter för några andra ändamål, ens om dessa skulle vara förenliga med de i lagen angivna ändamålen. I polisdatalagen och kustbevakningsdatalagen har en annan lösning valts. Där anges de s.k. primära ändamålen uttömmande på motsvarande sätt som enligt den nuvarande tullbrottsdatalagen. och får således inte samla in personuppgifter för något annat ändamål än de som anges i respektive lag. Däremot är de i dessa lagar angivna s.k. sekundära ändamålen om utlämnande av person- uppgifter inte uttömmande utan kompletteras av en uttrycklig bestäm- melse om att i ett enskilt fall får personuppgifter behandlas även för att tillhandahålla information för ett annat ändamål som inte är oförenligt med det primära insamlingsändamålet. Med en sådan lösning är det naturligt att låta också bestämmelserna i 9 § första stycket c och d personuppgiftslagen gälla, vilket också är fallet enligt de båda lagarna. Därför bör den nya lagen hänvisa även till 9 § första stycket c och d personuppgiftslagen. I 9 § första stycket i och tredje stycket personuppgiftslagen finns det bestämmelser om hur länge personuppgifter får bevaras. Frågan om gallring och bevarande av personuppgifter bör regleras särskilt i den nya lagen, och någon hänvisning till personuppgiftslagens bestämmelser om hur länge personuppgifter får bevaras behövs därför inte. Frågor om bevarande och gallring behandlas i avsnitt 16. Behandling av personnummer och samordningsnummer, 22 § Personnummer ska inte användas slentrianmässigt. Av 22 § person- uppgiftslagen framgår att uppgifter om personnummer och samordnings- nummer får behandlas bara när det är motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Det innebär att den personuppgiftsansvarige ska göra en intresseavvägning mellan behov som finns för att hantera ärendet och den enskildes integritet. Enligt den nuvarande tullbrottsdatalagen gäller 22 § personuppgifts- lagen bara när personuppgifter behandlas på annat sätt än i tullbrotts- databasen. Vid behandling av personuppgifter i en gemensam databas är det i de flesta fall nödvändigt att generellt använda personnummer för att kunna säkra identifieringen av en registrerad. Det ansågs därför att en hänvisning till 22 § personuppgiftslagen skulle få praktisk tillämpning bara i fråga om behandling utanför tullbrottsdatabasen, se propositionen brottsbekämpning – Effektivare uppgiftsbehandling (prop. 2004/05:164 s. 50 f.). Någon motsvarande begränsning av tillämpligheten av 22 § person- uppgiftslagen har inte förts in i polisdatalagen. Det ansågs nämligen inte finnas skäl att frångå principerna enligt 22 § personuppgiftslagen ens i fråga om gemensamt tillgängliga uppgifter (se prop. 2009/10:85 s. 84). Inte heller i kustbevakningsdatalagen finns en sådan begränsning. Enligt regeringens mening bör den nya lagen i fråga om användningen av personnummer och samordningsnummer vara lika restriktiv som polisdatalagen och kustbevakningsdatalagen, även om detta inte bedöms få särskilt stor praktisk betydelse med hänsyn till vikten av en säker identifiering av individer i brottsbekämpande verksamhet. Regeringen föreslår därför att det i den nya lagen utan inskränkning görs en hänvisning till 22 § personuppgiftslagen. Information till den registrerade, 23 och 25–27 §§ Av 23 § personuppgiftslagen framgår att den personuppgiftsansvarige självmant ska informera en enskild om behandling av uppgifter som samlas in från den enskilde själv. Den information som ska lämnas är enligt 25 § uppgift om den personuppgiftsansvariges identitet, ändamålen med behandlingen och övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Information ska också, enligt 26 § personuppgiftslagen, lämnas på begäran av den registrerade. Om uppgifter behandlas ska information lämnas till den registrerade om vilka uppgifter det rör sig om, varifrån uppgifterna har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Under förutsättning att uppgifterna inte har lämnats ut till tredje man behöver dock information inte lämnas om personuppgifter i löpande text som inte fått sin slutliga utformning när frågan väcktes eller som utgör minnesanteckning eller liknande. I 26 § finns även bestämmelser om inom vilken tid en förfrågan ska besvaras. Enligt 27 § personupp- giftslagen gäller inte rätten till information om det i lag eller annan författning eller i beslut som har meddelats med stöd av författning särskilt har föreskrivits att uppgifter inte får lämnas ut till den regis- trerade. Information behöver alltså inte lämnas om sådana förhållanden för vilka det gäller sekretess. En hänvisning till bestämmelserna i 23 och 25–27 §§ personuppgift- slagen finns i den nuvarande tullbrottsdatalagen, polisdatalagen och kustbevakningsdatalagen. De återgivna bestämmelserna i personuppgiftslagen utgör enligt regeringens mening en lämplig avvägning mellan den enskildes intresse av att få information om vilken behandling som sker av personuppgifter om denne och intresse av effektivitet i verksamheten. En hänvisning till bestämmelserna bör därför föras in i den nya lagen. I 24 § första stycket personuppgiftslagen anges att den person- uppgiftsansvarige självmant ska lämna information till den registrerade om uppgifterna har samlats in från någon annan källa än den registrerade. Av paragrafens andra stycke följer att sådan information inte behöver lämnas om det finns bestämmelser om registrerande eller utlämnande av personuppgifterna i en lag eller annan författning. personuppgifter hos en myndighet regleras i särskild lagstiftning på det sätt som föreslås i lagen, med särskilda bestämmelser om vad som får registreras och hur uppgifter i övrigt får hanteras, krävs det enligt personuppgiftslagen inte att sådan information ges. Det finns inte några skäl för att trots detta ska lämna sådan information. Regeringen anser därför att 24 § personuppgiftslagen inte bör gälla vid personuppgiftsbehandling enligt den nya lagen. Vid insamling av uppgifter genom ljud och bild är ofta något av undantagen i 25 eller 27 § tillämpliga. 27 § personuppgiftslagen kan vara tillämplig när insamling sker för spaningsändamål inom ramen för en förundersökning eller i traditionell underrättelseverksamhet, eftersom sekretess enligt 18 kap. 1 § eller 2 § offentlighets- och sekretesslagen normalt gäller i dessa fall. Detsamma gäller insamling genom hemliga För det fall det förekommer insamling av uppgifter genom ljud och bild som inte omfattas av dessa undantag kan det i vissa fall framstå som både orimligt och praktiskt ogörligt att informera t.ex. alla personer som fångas på bild (se t.ex. prop. 2009/10:85 s. 86). I den nya lagen bör det därför, i likhet med vad som gäller enligt polisdatalagen och kustbevak- ningsdatalagen, föras in ett undantag från informationsskyldigheten enligt 23 § vid behandling som består av insamling av personuppgifter genom bilder eller ljud. När det gäller insamling i samband med larm gör regeringen följande Av Datainspektionens allmänna råd om information till registrerade enligt personuppgiftslagen framgår att information enligt 23 § personuppgiftslagen bör lämnas muntligen när personuppgifter samlas in vid telefonkontakt eller annan muntlig kontakt. I praktiken uppstår inte sällan svårigheter att lämna information om behandlingen till den som ringer upp i avsikt att larma eller lämna en motsvarande brådskande underrättelse som kräver omedelbar åtgärd. Både med hänsyn till risken för försening av den åtgärd som efterfrågas i det enskilda fallet och till risken för negativa konsekvenser i stort för den verksamhet som bedrivs är det inte rimligt att kräva att det alltid lämnas information i samband med larm. Det kan även ifrågasättas om personen i fråga som larmar över huvud taget är intresserad av att i den aktuella situationen få information om att lämnade personuppgifter kan komma att behandlas automatiserat. Vidare torde alla som vänder sig till en myndighet i en sådan situation redan känna till att uppgifter registreras