prop · H40391 · 2017-02-07 00:00:00 — En grundläggande förutsättning för uppgiftslämnande till utlandet som inte följer av en internationell överenskommelse som har tillträtt efter godkännande bör givetvis vara att utlämnandet är fören- ligt med svenska intressen, liksom att utlämnandet behövs för att den utländska myndigheten eller organisationen ska kunna förebygga, för- hindra, upptäcka, utreda eller beivra brott. Detta föreslås anges i lagen. Datainspektionen anger att det inte framgår hur i den praktiska tillämpningen ska kunna säkerställa att det sistnämnda villkoret är uppfyllt och vilka konsekvenser ett sådant förslag bedöms få för den personliga integriteten och anser att detta bör utredas ytterligare. ringen bedömer att vid ett eventuellt utlämnande har förmåga att bedöma när dessa villkor är uppfyllda. till utlämnande av uppgifter till utlandet föreslås kringgärdas av regler som avser att skydda enskilda, såsom de villkor som måste vara upp- fyllda för att sekretessen ska brytas samt de nämnda reglerna i person- uppgiftslagen som tar sikte på skydd mot utlämnande av uppgifter till Den sekretessbrytande bestämmelsen som föreslås i den nya lagen har motsvarande utformning som den sekretessbrytande bestämmelsen i Kammarrätten i anser att innebörden av uttrycket förenligt med svenska intressen är oklar och att det bör närmare belysas i författ- Regeringen noterar att uttrycket förekommer i flera bestämmelser, t.ex. i offentlighets- och sekretesslagen, kustbevaknings- datalagen och polisdatalagen. I början av detta avsnitt under rubriken Nuvarande möjligheter att lämna ut uppgifter till utlandet redogörs för Uttrycket i den nya tullbrottsdatalagen har samma innebörd som i dessa. Vad gäller spontant uppgiftslämnande kan följande tilläggas. konventioner och andra internationella överenskommelser som rör brottsbekämpning och som har undertecknat innehåller regler om I den mån sådana bestämmelser hänvisar till nationell rätt betraktas de inte som obligatoriska förpliktelser. emellertid även överenskommelser som ålägger svenska myndigheter en uttrycklig skyldighet att, utan föregående begäran, informera en annan stat om uppgifter som den kan ha nytta av i sin brottsbekämpning. fallen förutsätts den svenska myndigheten, om den har tillgång till information som bedöms ha betydelse för den andra statens brottsbe- kämpning, självmant kontakta sin motsvarighet i en annan stat. rådsbeslutet (se avsnitt 4.5.2) innehåller sådana bestämmelser, som under vissa förhållanden ålägger att spontant lämna personuppgifter till en myndighet i en annan stat. Den nya lagen ger utrymme för att från den brottsbekäm- pande verksamheten spontant lämna ut information till en annan stats brottsbekämpande myndighet, om informationen är värdefull för den Det kan t.ex. vara information om nya tillvägagångssätt vid allvarlig gränsöverskridande brottslighet eller upp- lysningar om konkreta brott. Om uppgifter lämnas spontant kan informa- tionen som regel förses med villkor att den mottagande staten bara får använda den på visst sätt eller för visst ändamål. Ett sådant villkor, som är bindande för mottagaren, kan underlätta informationsutbytet i enskilda Ett villkor angående användningen kan bl.a. skydda mot att upp- gifterna sprids vidare och utgör därför ett integritetsskydd för den Uppgifter kan alltså utan föregående begäran lämnas till en utländsk polis- eller åklagarmyndighet i en stat som är ansluten till , eller Europol eller till tullmyndighet eller kustbevak- ning inom EES. Det kan anmärkas att uppgifter även kan lämnas till en utländsk myndighet eller mellanfolklig organisation efter en sekretessprövning enligt 8 kap. 3 § offentlighets- och sekretesslagen. Det kan t.ex. vara fråga om uppgiftslämnande till någon annan mottagare än de som anges i den nya lagen eller utlämnande för något annat ändamål. Överföring av uppgifter till tredjeland I avsnitt 9.2 har regeringen föreslagit att reglerna i 33–35 §§ person- uppgiftslagen om överföring av uppgifter till tredjeland ska gälla vid behandling av personuppgifter enligt den nya tullbrottsdatalagen. Vid utlämnande av personuppgifter till utlandet måste därför också göra en bedömning av om överföringen är förenlig med bestäm- melserna i 33–35 §§ personuppgiftslagen. Bestämmelserna hindrar inte överföring av personuppgifter till stater inom EES eller som har tillträtt dataskyddskonventionen. Därmed hindras inte överföringen till Europol eller stater som är anslutna till den organisationen. När det gäller stater som enbart är anslutna till har vissa av dessa tillträtt dataskyddskonventionen. Även många andra stater har i och för sig en tillräcklig dataskyddsnivå, men det kräver en bedömning i det enskilda fallet. som organisation anses också uppfylla kraven på tillräcklig dataskyddsnivå. Uppgiftslämnande till en polis- eller åklagarmyndighet i en annan stat som enbart är medlem i förut- sätter alltså en noggrannare bedömning, eftersom den utlämnande myndigheten då – utöver att bedöma om det är förenligt med svenska intressen att utlämnandet sker – alltid måste avgöra om den andra staten har en tillräcklig dataskyddsnivå för att överföringen av personuppgifter ska vara tillåten enligt personuppgiftslagen. Vid tillämpning av lagen om internationellt tullsamarbete aktualiseras också som nämnts ovan 3 § förordningen om internationellt tullsamar- bete, enligt vilken 33 § personuppgiftslagen inte hindrar uppgiftsläm- nande till tredjeland om det behövs för att fullgöra skyldigheter enligt lagen. I promemorian föreslås att det i den bestämmelse som det nu är fråga om även anges att utlämnandet av uppgifter måste vara förenligt med 33– 35 §§ personuppgiftslagen. Kammarrätten i anser inte att det är nödvändigt att i bestämmelsen på nytt upplysa om detta. Regeringen delar kammarrättens bedömning, varför ett sådant krav inte finns med i den av regeringen föreslagna bestämmelsen. 33–35 §§ personuppgifts- lagen är tillämpliga genom den föreslagna bestämmelsen i tullbrotts- datalagen om vilka bestämmelser i personuppgiftslagen som ska gälla. Datainspektionen anser att det i den fortsatta beredningen av lagstift- ningsärendet kan behöva ges mer vägledning för hur det ska gå till i den praktiska tillämpningen, när måste bedöma om överföringen är förenlig med bestämmelserna i 33–35 §§ personuppgiftslagen. För- slagen i dessa delar motsvarar vad som gäller för , varför regeringen inte anser att närmare vägledning behöver presenteras i 2016/17:91 detta lagstiftningsärende. Se dock författningskommentaren till 2 kap. 2 § första stycket 8. Som nämnts i avsnitt 15.5.4 föreslår regeringen en upplysningsbestäm- melse om att regeringen har möjlighet att meddela föreskrifter om att uppgifter får lämnas ut även i andra fall och att bestämmelser om att uppgifter får lämnas ut även finns i offentlighets- och sekretesslagen. Bestämmelsen omfattar även nu föreslagen bestämmelse. Förslaget genomförs genom 2 kap. 12 § i den nya lagen. Allmänt om bevarande och gallring Regeringens förslag: Personuppgifter ska inte få bevaras under längre tid än vad som behövs för något eller några av de i lagen angivna Denna generella bestämmelse om längsta tid för bevarande ska kompletteras med bestämmelser som anger tidpunkter för när uppgifter senast måste gallras eller inte längre får behandlas i I paragrafen ska det upplysas om att sådana bestämmelser finns i andra paragrafer. I lagen ska det upplysas om att regeringen eller den myndighet som regeringen bestämmer har möjlighet att meddela föreskrifter om att uppgifter får bevaras än vad som anges i lagen och om att uppgifter – trots bestämmelserna om gallring – får bevaras för historiska, statistiska eller vetenskapliga ändamål. I lagen ska det vidare upplysas om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om digital arkivering. Promemorians förslag: Överensstämmer i sak med regeringens Promemorians förslag är något annorlunda utformat och annor- Remissinstanserna: Kriminalvården anser att det, på grund av icke- harmoniserande gallringsregler hos respektive Kriminal- vården, finns en risk för att uppgifter som med stöd av den nya bestämmelsen har tillhandahållits Kriminalvården kan komma att sparas längre än vad som varit avsett då uppgifterna registrerades hos Tull- Eftersom detta inte endast rör Kriminalvården och utan förekommer mellan flera myndigheter ser Kriminalvården ett behov av en översyn och harmonisering av samtliga berörda gallringsregler. Datainspektionen anger att promemorians förslag i huvudsak har samma sakliga innehåll och systematik som polisdatalagen (2010:361) och kustbevakningsdatalagen (2012:145). Datainspektionen saknar även i detta fall en redogörelse som tar sin utgångspunkt i verk- samhet och de särskilda behov och förutsättningar som finns där och som eventuellt kan motivera gallringsbestämmelser som i större eller mindre grad avviker från vad som gäller hos andra brottsbekämpande myndig- De föreslagna gallringsbestämmelserna, som medger behandling av personuppgifter , bygger enligt inspektionen på allmänt hållna antaganden om behov av att lagra uppgifter hos och inspektionen anser att det saknas en närmare analys av förslagens konse- kvenser för den personliga integriteten med tydligt redovisade proportio- I övrigt yttrar sig ingen remissinstans särskilt över förslaget. Skälen för regeringens förslag Generell bestämmelse om längsta bevarande Lagen (2005:787) om behandling av uppgifter i brottsbe- kämpande verksamhet (kallad tullbrottsdatalagen) innehåller i 27 § regler om att personuppgifter som behandlas automatiserat ska gallras efter en viss längsta tid, men inte någon generell bestämmelse om att person- uppgifter under alla förhållanden måste gallras när de inte längre behövs för något eller några av de tillåtna ändamålen för behandling. innehåller i och för sig en bestämmelse om att uppgifter ska gallras så snart de inte längre har betydelse för planeringen av viss verksamhet, med längsta bevarandetid . Bestämmelsen avser bara en viss typ av behandling och är således inte generell. kustbevakningsdatalagen innehåller däremot sådana generella bestäm- melser, jämte bestämmelser om gallring av personuppgifter efter en viss Om inga gallringsbestämmelser tas in i den nya lagen, kommer arkiv- lagens huvudregler om bevarande att gälla för uppgifter som finns i De bestämmelser om gallring som finns i eller följer av arkivlagen (1990:782) innebär att gallring får ske, men före- skriver inte att gallring måste ske. När bestämmelser om gallring meddelas i enlighet med vad som följer av arkivlagen är det rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov som är styrande. reglering som följer av arkivlagen är inte avsedd att tillgodose integritets- skyddsintressen och den gäller bara för allmänna handlingar. I brottsbekämpande verksamhet behandlas en stor mängd Detta ökar typiskt sett risken för integri- Sekretessbestämmelser och bestämmelser om begränsningar i tillgången till uppgifter kan inte fullt ut tillgodose integritetsskyddet och ersätta bestämmelser om gallring i brottsbekämpande verk- Regeringen anser att det därför bör finnas regler om gallring i den nya lagen, som tar över bestämmelserna om bevarande i arkivlagen. Vid utformningen av sådana bestämmelser bör dock vägas in vilka övriga integritetsskyddande bestämmelser som är tillämpliga, t.ex. begränsningar i fråga om behandling och tillgång till uppgifter. måste en avvägning göras mellan å ena sidan intresset av skydd för den personliga integriteten och å andra sidan intresset av offentlighet och insyn i myndigheternas verksamhet. Det är viktigt att uppgifter inte bevaras längre än det finns berättigade ändamål för behandlingen. Denna princip kommer till uttryck bl.a. i artikel 5 e i konvention om skydd för enskilda vid automatisk databehandling av personuppgifter (kallad dataskydds- konventionen). Det finns normalt berättigade ändamål för att bevara uppgifter i ett ärende i den brottsbekämpande verksamheten efter det att ärendet avslutades. Sådant bevarande sker för ett flertal olika ändamål och kan sägas ske för mer övergripande brottsbekämpande ändamål. Sådant bevarande bör vara tillåtet även om det alltså inte sker för något särskilt utpekat konkret ändamål, t.ex. en viss brottsutredning. Detta kan sägas innebära en viss skillnad i kravet på ändamålsbestäm- ning mellan behandling av uppgifter i form av bevarande (lagring) av uppgifterna och annan behandling. Annan behandling av uppgifterna än lagring, t.ex. sökning, bör alltid ske för ett visst konkret ändamål. I sammanhanget bör framhållas att tillgången till personuppgifter enligt regeringens förslag alltid ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter (se avsnitt 9.5). Tillgången till lagrade personuppgifter som inte längre behövs för ett visst konkret ändamål bör alltså vara begränsad till bara ett fåtal tjänstemän som har till särskild arbetsuppgift att hantera sådana mer eller mindre avförda personuppgifter. Mot bakgrund av bl.a. kravet i artikel 5 e i dataskyddskonventionen föreslår regeringen att den nya lagen ska innehålla en generell bestäm- melse om en absolut längsta tid för bevarande som motsvarar de bestämmelser som finns i polisdatalagen och kustbevakningsdatalagen. I lagen bör det alltså föreskrivas att personuppgifter inte får bevaras längre än vad som behövs för något eller några av de i lagen angivna ända- målen. Regeringen föreslår därför en bestämmelse med sådant innehåll. Bestämmelsen om längsta tid för bevarande hindrar inte att handlingar arkiveras och gallras enligt arkivlagens bestämmelser. När personupp- gifter inte längre får bevaras i den brottsbekämpande verksamheten kan bevarande således ske för arkivändamål. Personuppgifterna kan då avskiljas och arkiveras. Arkivering utesluter inte i sig fortsatt digital tillgång till uppgifterna i verksamheten. Den nu föreslagna generella bestämmelsen om absolut längsta tid för bevarande ger tämligen vida ramar för bedömningen av vilka uppgifter som får bevaras. Det är framför allt verksamhetsskäl och myndighetssamverkan som bör vara styrande för bedömningen av om uppgifterna fortfarande behövs. Behov av ytterligare begränsningar För att tillgodose intresset av skydd för den personliga integriteten bör dock den generella bestämmelsen kompletteras med mer preciserade bestämmelser som föreskriver en yttersta gräns för att bevara vissa kategorier av uppgifter, vilket det redan i paragrafen om den generella bestämmelsen bör upplysas om. Sådana bestämmelser bör utformas utifrån de skilda verksamhetsbehoven av att bevara olika kategorier av uppgifter, som dessa behov måste vägas mot intresset av att värna den personliga integriteten. Den nya lagens tidsfrister för gallring bör utgöra maximifrister. Om det står klart att uppgifterna saknar betydelse från brottsbekämpningssynpunkt ska de gallras eller, i vissa fall, avskiljas från den brottsbekämpande verksam- Detta följer såväl av den föreslagna generella bestämmelsen om en absolut längsta tid för bevarande som av föreslagna ändamåls- bestämmelser, se avsnitt 10.1. De särskilda gallringsbestämmelserna med precisa tidsfrister bör i likhet med vad som gäller enligt den nuvarande tullbrottsdatalagen, polisdatalagen och kustbevakningsdatalagen, till skillnad från den generella bestämmelsen, endast gälla automatiserad behandling av personuppgifter. För behandling t.ex. i register behövs inga särskilda gallringsbestämmelser. Olika gallringsbestämmelser bör dock gälla beroende på om uppgif- terna har gjorts gemensamt tillgängliga eller inte, se avsnitten 16.3 och 16.2. Ärenden om utredning eller beivrande av brott bör inte omfattas av lagens särskilda gallringsbestämmelser. Det bör dock finnas bestämmel- ser som begränsar möjligheten att behandla uppgifter i brottsanmälningar, förundersökningar och andra brottsutredningar i den brottsbekämpande verksamheten, se avsnitt 16.4. Om uppgifterna fort- sätter att behandlas automatiserat för arkivändamål, ska de avskiljas från den brottsbekämpande verksamheten, se avsnittet nedan om digital arkivering. Datainspektionen saknar en redogörelse som tar sin utgångspunkt i verksamhet och de särskilda behov och förutsättningar som finns där och som eventuellt kan motivera gallringsbestämmelser som i större eller mindre grad avviker från vad som gäller hos andra brottsbe- kämpande myndigheter. De föreslagna gallringsbestämmelserna, som medger behandling av personuppgifter , bygger enligt inspektionen på allmänt hållna antaganden om behov av att lagra upp- gifter hos och inspektionen anser att det saknas en närmare analys av förslagens konsekvenser för den personliga integriteten med tydligt redovisade proportionalitetsbedömningar. Ovan redovisas skälen för regeringens bedömning att specifika tidsfrister för gallring och behandling behöver införas i den nya lagen, som gäller brottsbekämpande verksamhet. I följande avsnitt redovisas varje före- slagen bestämmelse i detalj och de närmare skälen för dem. Kriminalvården anser att det finns en risk för att uppgifter som med stöd av den nya bestämmelsen tillhandahållits Kriminalvården kan komma att sparas längre än vad som varit avsett då uppgifterna regis- trerades hos och ser ett behov av en översyn och harmo- nisering av samtliga berörda gallringsregler. Regeringen vill framhålla att nu aktuellt lagstiftningsärende endast tar sikte på personuppgifts- regleringen avseende brottsbekämpande verksamhet och frågor om andra myndigheters gallringsregler omfattas därmed inte. Gallringsbestämmelserna i den nya lagen syftar till att skydda den personliga integriteten. När information överförs från elektronisk form till pappersform, och därefter inte finns kvar i elektronisk form, måste detta skydd anses ha uppnåtts och uppgifterna anses gallrade. Varje mindre förändring av den elektroniskt lagrade informationen, t.ex. ändrade sökmöjligheter, kan emellertid inte anses utgöra gallring enligt den nu föreslagna lagen. Uppgifter kan inte heller anses gallrade enbart genom att de överförts till ett annat datamedium, eftersom uppgifterna då fortfarande kan bli föremål för olika slag av sammanställningar. Inne- börden av de gallringsbestämmelser som föreslås bör således vara att 2016/17:91 uppgifter inte längre ska vara digitalt åtkomliga, se t.ex. se propositionen Integritet och effektivitet i polisens brottsbekämpande verksamhet (prop. 2009/10:85 s. 206) och propositionen Kustbevakningsdatalag (prop. 2011/12:45 s. 175). Som har nämnts i avsnitt 7.2 är en utgångspunkt för detta lagstiftnings- ärende att den nya lagen i möjligaste mån bör ha samma sakliga innehåll och systematik som polisdatalagen och kustbevakningsdatalagen. De förslag som behandlas i avsnitt 16 motsvarar i stort vad gäller sakligt innehåll dessa lagar, men vad gäller systematiken har regeringen i detta lagstiftningsärende valt att till skillnad från polisdatalagen och kust- bevakningsdatalagen samla alla bestämmelser om bevarande och gallring i ett kapitel, kapitel 4. Regeringen bedömer att reglerna om bevarande och gallring blir mer överblickbara med denna lösning. Ytterligare föreskrifter om bevarande För att tillgodose intresset av offentlighet och insyn bör regeringen eller den myndighet som regeringen bestämmer, trots de särskilda bestämmel- serna om gallring, kunna meddela föreskrifter om bevarande för historiska, statistiska eller vetenskapliga ändamål. Detta gäller redan med tillämpning av 8 kap. 7 § regeringsformen. Bestämmelser som upplyser om denna möjlighet bör föras in i den nya lagen. Regeringen eller den myndighet som regeringen bestämmer har även möjlighet att meddela föreskrifter om att vissa kategorier av uppgifter ska få behandlas och bevaras än de i lagen angivna fristerna, vilket det också bör upplysas om i den nya lagen. För vissa speciella slag av uppgifter kan nämligen fortsatt bevarande vara befogat. Nedan behandlas ytterligare en fråga om möjligheten till ytterligare föreskrifter, nämligen om digital arkivering. Arkivering är ett teknikneutralt begrepp. Handlingar och uppgifter kan således arkiveras digitalt. Som nämnts ovan kan uppgifter som arkiverats fortfarande vara sökbara och tillgängliga för vissa tjänstemän. Om endast arkivlagens bestämmelser skulle vara tillämpliga skulle digitalt arkive- rade allmänna handlingar, som inte längre behövs i brotts- bekämpande verksamhet, således i princip kunna fortsätta att behandlas på samma sätt som tidigare i verksamheten. Det fortsatta bevarandet skulle dock ske för arkivändamål. har inte något system för digital arkivering, men arbetar för införande av ett e-arkiv. De regler som föreslås bör därför beakta att system för digital arkivering kan komma att införas inom en överskådlig tid i . Därför kan det komma att finnas behov av föreskrifter om digital arkivering. Regeringen föreslår att det i lagen upplyses om att regeringen eller den myndighet som rege- ringen bestämmer kan meddela föreskrifter om digital arkivering. En hänvisning till 8 kap. 7 § regeringsformen görs. Förslaget genomförs genom 4 kap. 1 och 2 §§ i den nya lagen. 16.2Gallringsbestämmelser för personuppgifter som inte har gjorts gemensamt tillgängliga Regeringens förslag: Personuppgifter som behandlas automatiserat och som inte har gjorts gemensamt tillgängliga ska, om de inte kan hänföras till ett ärende, gallras senast efter det att de behandlades automa- tiserat första gången eller, om de har behandlats i ett ärende, senast efter det att ärendet avslutades. Detta ska inte gälla personuppgifter i ärenden om utredning eller beivrande om brott. Det ska i den nya lagen upplysas om att det i tullagen och lagen om befogenheter vid gräns mot ett annat land inom Europeiska unionen finns bestämmelser om lagring och förstöring av vissa uppgifter från transportföretag. Promemorians förslag: Överensstämmer i huvudsak med regeringens förslag. I promemorians förslag anges också att reglerna inte heller ska gälla vid behandling i det internationella registret. Promemorians förslag är också något annorlunda utformat. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över förslaget. Skälen för regeringens förslag Personuppgifter som inte har gjorts gemensamt tillgängliga Enligt 27 § den nuvarande tullbrottsdatalagen ska uppgifter som behandlas automatiserat i ett ärende gallras senast efter det att ärendet har avslutats. Detta gäller dock inte förundersökningar. Person- uppgifter som inte hör till ett ärende och som inte ingår i tullbrotts- databasen ska gallras senast efter att de behandlades automatiserat första gången. För personuppgifter i tullbrottsdatabasen gäller att de ska gallras senast efter utgången av det kalenderår då den sista registreringen gjordes avseende personen. Regeringen eller den myndig- het som regeringen bestämmer får meddela föreskrifter om att uppgifter trots detta ska få bevaras. I sak gäller samma regler enligt polisdatalagen och kustbevakningsdatalagen för personuppgifter som inte har gjorts gemensamt tillgängliga, förutom såvitt avser föreskrifterna om att personuppgifter som får bevaras ska avse bevarande för historiska, statistiska eller vetenskapliga ändamål. Från integritetsskyddssynpunkt är det viktigt att personuppgifter inte behandlas längre än nödvändigt och att det utöver en generell bestäm- melse om absolut längsta tid för bevarande finns särskilda gallringsfrister för olika kategorier av personuppgifter som behandlas automatiserat. När gallringsfristernas längd bestäms finns det anledning att göra skillnad mellan uppgifter som har gjorts gemensamt tillgängliga och andra uppgifter. När det gäller uppgifter som inte har gjorts gemensamt tillgängliga bör behovet av att behandla dem typiskt sett vara begränsat.