sou · H5B374 · 2017-10-04 00:00:00 — Att andra beslut än de som anges i paragrafen inte får överklagas framgår av 4 §. Beslut i fråga om rättelse, komplettering eller radering av per- sonuppgifter eller begränsning av behandlingen av personuppgifter får överklagas om den registrerade har begärt åtgärden och beslutet har gått honom eller henne emot. Rätten att överklaga kan gälla även i de fall där myndigheten har vidtagit en annan åtgärd än den som den registrerade begärt. Beslut som innebär att Säkerhetspoli- sen, helt eller delvis, inte har tillmötesgått en begäran om person- relaterad information får också överklagas. Detsamma gäller beslut att ta ut avgift för sådan information. Besluten överklagas till allmän förvaltningsdomstol. Vilken för- valtningsdomstol som är behörig framgår av 14 § lagen (1971:289) om allmänna förvaltningsdomstolar. För att kammarrätten ska ta upp ett beslut till prövning krävs det enligt andra stycket prövnings- tillstånd. Överklagande av tillsynsmyndighetens beslut I paragrafen, som behandlas i avsnitt 15.6.2, regleras överklagande av tillsynsmyndighetens beslut. I första stycket föreskrivs att tillsynsmyndighetens beslut enligt lagen får överklagas till allmän förvaltningsdomstol. Det är fråga om beslut enligt 7 kap. 5 §, exempelvis beslut om rättelse eller rade- ring. Även beslut som tillsynsmyndigheten meddelat med stöd av föreskrifter som meddelats i anslutning till lagen kan överklagas. För att kammarrätten ska ta upp ett beslut till prövning krävs det enligt andra stycket prövningstillstånd. Beslut som inte får överklagas Enligt paragrafen, som behandlas i avsnitt 14.16.4, får inga andra beslut än de som räknas upp i 2 och 3 §§ överklagas. Uppräkningen är uttömmande. Någon rätt att med stöd av förvaltningslagen över- klaga andra beslut som har fattats med stöd av lagen finns alltså inte. Det gäller både beslut av Säkerhetspolisen, tillsynsmyndig- heten och personuppgiftsbiträden. Överföring av personuppgifter till tredjeland och internationella organisationer Grundläggande förutsättningar för överföring I paragrafen anges de grundläggande förutsättningarna för att få överföra personuppgifter till ett tredjeland eller en internationell organisation. Paragrafen har utformats efter mönster av 8 kap. 1 § brottsdatalagen (2018:000). Den behandlas i avsnitt 14.17.2. Enligt första stycket får personuppgifter som behandlas i överföras till ett tredjeland eller en internationell organisation. Det gäller också om personuppgifterna överförs till ett tredjeland eller en internationell organisation för att behandlas där. Tredjeland och internationell organisation definieras i 1 kap. 9 §. Överföring är en form av personuppgiftsbehandling. Behandling av personuppgifter definieras i 1 kap. 9 §. För att personuppgifter ska få överföras till ett tredjeland eller en internationell organisa- tion måste de grundläggande förutsättningarna för att behandla personuppgifter alltid vara uppfyllda. Vad som avses med över- föring och vilka överföringar som omfattas av regleringen utvecklas i SOU 2017:29 s. 754 f. Överföring till ett tredjeland eller en internationell organisation får endast göras om de i punkten 1 angivna villkoren och något av alternativen i punkten 2 är uppfyllda. Punkten 1 anger till vilka utländska mottagare personuppgifter får överföras. Personuppgifter får som huvudregel bara överföras till en brottsbekämpande myndighet eller en underrättelse- eller säkerhetstjänst i ett tredjeland eller till en internationell organisa- tion med brottsbekämpande uppdrag. Möjligheten att i vissa fall överföra personuppgifter till andra regleras i 6 §. Kravet på att överföringen ska göras till en brottsbekämpande myndighet innebär att den myndighet eller organisation som ska ta emot personuppgifterna ska ha som arbetsuppgift att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. När det gäller internationella organisationer är det framför allt som är av intresse. Även vissa utredningsorgan under FN torde kunna ha brottsbekämpande uppdrag, liksom in- ternationella tribunaler. I punkten 2 ställs det krav på att viss skyddsnivå ska vara säker- ställd för att personuppgifter ska få överföras till ett tredjeland eller till en internationell organisation. Kraven motsvarar de som ställs i 8 kap. 1 § första stycket 3 brottsdatalagen (2018:000). Vad kraven innebär utvecklas i SOU 2017:29 s. 757. Paragrafen, som behandlas i avsnitt 14.17.2, anger förutsättningarna för att få överföra personuppgifter som Säkerhetspolisen har fått från en annan stat till ett tredjeland eller till en internationell orga- nisation. Paragrafen motsvarar 8 kap. 2 § första stycket brottsdata- lagen (2018:000). Enligt paragrafen krävs det medgivande från den stat som Säker- hetspolisen har fått personuppgifterna från för att uppgifterna ska få överföras till ett tredjeland eller till en internationell organisa- tion. Sådant medgivande krävs oavsett från vilken stat som upp- gifterna kommer och ska alltid finnas innan överföringen får göras. Tillåtna grunder för överföring Beslut om adekvat skyddsnivå Paragrafen, som motsvarar 8 kap. 3 § brottsdatalagen (2018:000), innehåller den första tillåtna grunden för att överföra personupp- gifter till ett tredjeland eller till en internationell organisation. Det är först om förutsättningarna i denna paragraf inte är uppfyllda som alternativen att överföra personuppgifter med stöd av reglerna om tillräckliga skyddsåtgärder i 4 § eller särskilda situationer i 5 § ska prövas. Paragrafen behandlas i avsnitt 14.17.3. Säkerhetspolisen får alltid överföra personuppgifter till ett tredjeland eller en internationell organisation som enligt ett beslut av Europeiska kommissionen har en adekvat skyddsnivå för per- sonuppgifter. Eftersom Säkerhetspolisens verksamhet som rör nationell säkerhet inte omfattas av unionsrätten är kommissionens beslut inte formellt bindande för myndigheten, men paragrafen ger Säkerhetspolisen samma möjlighet som andra brottsbekämpande myndigheter att överföra personuppgifter till ett tredjeland eller en internationell organisation om det finns ett sådant beslut. Om kommissionen har meddelat ett sådant beslut för ett territorium eller en sektor i ett tredjeland får personuppgifter överföras dit. Avgränsningen avgörs av innehållet i kommissionens beslut. De grundläggande förutsättningarna för överföring av person- uppgifter till ett tredjeland eller en internationell organisation i 1 § ska alltid vara uppfyllda för att personuppgifter ska få överföras med stöd av ett beslut om adekvat skyddsnivå. Är det fråga om personuppgifter som Säkerhetspolisen har fått från en annan stat ska även kravet i 2 § vara uppfyllt. Om kommissionen beslutar att ett tredjeland, eller en del av det, eller en internationell organisation inte längre säkerställer en ade- kvat skyddsnivå får personuppgifter inte överföras dit med stöd av paragrafen. Det hindrar inte att personuppgifter överförs till det tredjelandet eller den internationella organisationen om någon av de andra tillåtna grunderna för överföring är tillämplig. I paragrafen behandlas den andra tillåtna grunden för överföring av personuppgifter till ett tredjeland eller en internationell organi- sation. Paragrafen motsvarar 8 kap. 4 § brottsdatalagen (2018:000) och behandlas i avsnitt 14.17.3. Om det inte finns ett beslut om adekvat skyddsnivå enligt 3 § får Säkerhetspolisen ändå överföra personuppgifter till ett tredje- land, eller till en internationell organisation, om det garanteras till- räckliga skyddsåtgärder för uppgifterna. De grundläggande förut- sättningarna i 1 och 2 §§ ska dock alltid vara uppfyllda. Enligt punkten 1 kan tillräckliga skyddsåtgärder finnas om så- dana har fastställts i ett avtal som ger tillräckliga garantier till skydd för registrerades rättigheter. Personuppgifter kan normalt överfö- ras till länder som är anslutna till dataskyddskonventionen eller om det annars finns avtal om internationellt samarbete som innehåller dataskyddsregler som är tillämpliga på överföringen. Det kan t.ex. vara fråga om bilaterala avtal som ingått med ett tredjeland och som sörjer för att kravet på dataskydd uppfylls och att regist- rerades rättigheter respekteras. Enligt punkten 2 får personuppgifter också överföras om den myndighet eller organisation som uppgifterna ska överföras till garanterar tillräckligt skydd för dem på annat sätt än genom avtal. Säkerhetspolisen ska bedöma alla omständigheter kring överfö- ringen och komma till slutsatsen att skyddsåtgärderna är tillräckliga för att överföringen ska vara tillåten. Exempel på sådant som kan vägas in vid bedömningen av om tillräckligt skydd garanteras är bl.a. åtaganden att inte sprida personuppgifterna vidare eller att inte använda personuppgifterna efter viss tidpunkt. Överföring i särskilda situationer Paragrafen reglerar möjligheten att överföra personuppgifter till ett tredjeland eller till en internationell organisation när det varken finns beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgärder kan garanteras för uppgifterna. Kravet är att det då ska vara fråga om en särskild situation som motiverar överföringen. Paragrafen, som behandlas i avsnitt 14.17.3, motsvarar 8 kap. 5 § brottsdata- lagen (2018:000). Överföringen ska enligt första stycket vara nödvändig i någon av de särskilda situationer som räknas upp i punkterna 1–4. Punkterna är alternativa. Oavsett vilken situation som är för handen ska de grundläggande förutsättningarna för överföring till tredjeland och internationella organisationer i 1 och 2 §§ alltid vara uppfyllda. I punkten 1 regleras två situationer som kan göra överföringen nödvändig. Det är dels för att skydda vitala intressen för den regi- strerade eller en annan fysisk person, dels för att skydda andra be- rättigade intressen för den registrerade. Vad det innebär utvecklas i SOU 2017:29 s. 761 f. Punkten 2 tillgodoser behovet av att i ett enskilt fall kunna överföra personuppgifter till ett tredjeland eller en internationell organisation som inte uppfyller kraven på adekvat skyddsnivå eller garanterar tillräckligt skydd för personuppgifterna. Överföringen ska vara nödvändig för något av de ändamål som omfattas av lagens tillämpningsområde. Som exempel på när personuppgifter kan be- höva överföras i ett enskilt fall för ett sådant syfte kan nämnas be- visupptagning vid utländsk domstol, kvarstad på och beslag av egendom som finns i ett tredjeland och husrannsakan i en bostad eller lokal som är belägen där. En annan situation kan vara att Säkerhetspolisen har information om att en misstänkt terrorist befinner sig i landet men personen identifieras först när han eller hon har rest till ett tredjeland och kan antas komma att begå brott där. Överföringen kan även avse information som rör personskydd. Åtgärden behöver inte vara nödvändig för att tillgodose Säker- hetspolisens behov och intressen. Det kan finnas förutsättningar för att tillämpa punkten om ett tredjeland behöver få tillgång till svenska personuppgifter, t.ex. uppgift om att en viss person är dömd för ett visst brott. Personuppgifter kan överföras både på be- gäran och på Säkerhetspolisens eget initiativ. Punkten 3 innebär att personuppgifter kan överföras till ett tredjeland eller en internationell organisation om överföringen är nödvändig i ett enskilt fall för att kunna fastställa, göra gällande eller försvara ett rättsligt anspråk. Det rättsliga anspråket ska vara hänförligt till ett ändamål som omfattas av lagens tillämpningsom- råde. Exempel på sådana rättsliga anspråk är bl.a. skadestånd i an- ledning av brott. Enligt punkten 4 får en överföring också göras till ett tredjeland eller en internationell organisation om det behövs för att avvärja en omedelbar och allvarlig fara för allmän säkerhet. Vad som avses med sådan fara och vad regleringen i övrigt innebär utvecklas i SOU 2017:29 s. 763. Enligt andra stycket ska en intresseavvägning göras när person- uppgifter ska överföras enligt punkten 2 eller 3. Vad regeleringen innebär utvecklas i SOU 2017:29 s. 763. Överföring till andra mottagare Paragrafen, som behandlas i avsnitt 14.17.4, reglerar undantag från kravet i 1 § första stycket 1 att överföring av personuppgifter till tredjeland ska göras till brottsbekämpande myndigheter, interna- organisationer med brottsbekämpande uppdrag eller under- rättelse- och säkerhetstjänster. Om förutsättningarna i paragrafen är uppfyllda får personuppgifter överföras även till andra än sådana myndigheter. Det kan t.ex. vara till företag och privatpersoner i ett tredjeland. Det kan också vara fråga om överföring till andra kate- gorier av myndigheter än de som anges i 1 § första stycket, t.ex. en specialmyndighet som hanterar frågor om finansiering av terrorism. Överföring till andra mottagare får dock göras endast om samtliga i första stycket angivna förutsättningar är uppfyllda. Paragrafen har utformats efter mönster av 8 kap. 8 § brottsdatalagen (2018:000). Enligt punkten 1 ska överföringen vara absolut nödvändig för att Säkerhetspolisen ska kunna utföra en sådan arbetsuppgift som anges i 2 kap. 1 eller 2 §. Kravet på absolut nödvändighet innebär att överföringen inte kan underlåtas. Ett exempel kan vara att Säkerhetspolisen i sin underrättelseverksamhet behöver kontakta ett privat företag i ett tredjeland för att få fram information som behövs i den brottsbekämpande verksamheten. Enligt punkten 2 krävs det också att Säkerhetspolisen bedömer att det skulle vara ineffektivt eller på något annat sätt olämpligt att i stället överföra personuppgifterna till en brottsbekämpande myn- dighet eller en underrättelse- eller säkerhetstjänst i det tredjelandet. Det kan vara något i tidigare kontakter med myndigheten i det landet eller andra indikationer som ger anledning att tro att syftet med överföringen kan komma att förfelas eller att det på något annat sätt skulle vara olämpligt att överföra personuppgifterna via en sådan myndighet. Ett exempel är överföringar till olika internetoperatörer i syfte att t.ex. identifiera och kartlägga misstänkta terrorister och andra personer som kan utgöra säkerhetshot. Det skulle vara ineffektivt om varje sådan överföring skulle behöva göras genom en myndig- het i mottagarlandet med hänsyn både till mängden förfrågningar och till den brådska som ofta råder. Ett annat exempel är informa- tion som lämnas till en bank för att förhindra att banken utnyttjas för brottsliga penningöverföringar, t.ex. finansiering av terrorism. I sådana fall kan kontakt behöva tas . Enligt andra stycket ska det göras en intresseavvägning mellan den registrerades intresse av skydd mot kränkning av grundläg- gande fri- och rättigheter och det allmännas intresse av att en över- föring kommer till stånd. Intresseavvägningen motsvarar den som enligt 5 § andra stycket ska göras när personuppgifter ska överföras i vissa särskilda situationer. Vad regleringen innebär utvecklas i SOU 2017:29 s. 768. I paragrafen, som behandlas i avsnitt 14.17.5, anges vad som gäller om Säkerhetspolisen har fått personuppgifter från ett tredjeland eller en internationell organisation och överföringen försetts med villkor för användningen av uppgifterna. Paragrafen motsvarar 8 kap. 9 § brottsdatalagen (2018:000). Vad regleringen innebär ut- vecklas i SOU 2017:29 s. 768. Enligt paragrafen får Säkerhetspolisen, när den överför personupp- gifter till ett tredjeland eller en internationell organisation ställa upp villkor som begränsar det tredjelandets eller den internationella organisationens rätt att använda uppgifterna. Paragrafen behandlas i avsnitt 14.17.5. Säkerhetspolisen har normalt anledning att ställa upp villkor som begränsar användningen av personuppgifter för att skydda sin egen verksamhet och de källor som myndigheten använder sig av. Villkor kan också behövas för att skydda andra allmänna intressen. Villkoren kan t.ex. gälla för vilka ändamål personuppgifterna får behandlas och hur länge behandlingen får pågå. Det finns oftast också skäl att ställa upp villkor som begränsar möjligheten att lämna personuppgifterna vidare. I vissa fall kan Säkerhetspolisen även behöva ställa upp villkor av hänsyn till enskild. Det kan t.ex. vara fallet om uppgifter från användning av hemliga tvångsmedel lämnas ut till en annan stat. Då kan det vara lämpligt att ställa upp villkor om att uppgifterna ska förstöras . Liknande bestämmelser finns i 8 kap. 10 § brottsdatalagen (2018:000), 5 kap. 2 § lagen (2000:562) om internationell rättslig hjälp i brottmål och 6 kap. 4 § lagen (2017:496) om internationellt polisiärt samarbete. I paragrafen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om dokumentation av överföringar till tredjeland och internationella organisationer. Frågan behandlas i avsnitt 14.17.6. Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 18.1 och 18.3. Punkten 1 föreskriver när lagen ska träda i kraft. I punkten 2 föreskrivs att bestämmelsen om loggning i 5 kap. 4 § inte behöver tillämpas på automatiserade behandlingssystem som har inrättats före lagens ikraftträdande förrän . Punkten 3 föreskriver att ärenden om tillsyn över Säkerhetspoli- sens behandling av personuppgifter i verksamhet inom lagens till- lämpningsområde som har inletts hos Datainspektionen eller före ikraftträdandet men ännu inte har avgjorts när lagen träder i kraft ska handläggas enligt äldre föreskrifter. Enligt punkten 4 ska äldre föreskrifter också gälla för överkla- gande av sådana beslut om behandling av personuppgifter som rör behandling av personuppgifter som rör nationell säkerhet i verk- samhet inom lagens tillämpningsområde och som har meddelats före ikraftträdandet. Med äldre föreskrifter avses här personupp- giftslagen och personuppgiftsförordningen. Punkten tar emellertid sikte inte bara på själva överklagandet utan också på vilket regel- verk som ska tillämpas när överklagandet prövas. Äldre föreskrifter i polisdatalagen (2010:361) och föreskrifter som har meddelats i anslutning till den ska då tillämpas. Punkten 5 innebär att bestämmelserna om skadestånd i 48 § per- sonuppgiftslagen (1998:204) fortfarande ska gälla för skada som har orsakats före ikraftträdandet vid behandling av personuppgifter i strid med regelverket. 20.2Förslaget till domstolarnas brottsdatalag (2018:000) 1 kap. Allmänna bestämmelser I paragrafen, som behandlas i avsnitt 12.3.1, anges lagens tillämp- ningsområde. Lagen gäller utöver brottsdatalagen för de allmänna domstolarna och de allmänna förvaltningsdomstolarna när de i egenskap av be- höriga myndigheter enligt brottsdatalagen behandlar personuppgif- ter för vissa syften. Behörig myndighet, personuppgift och behand- ling av personuppgifter definieras i 1 kap. 6 § brottsdatalagen (2018:000). Att lagen gäller utöver brottsdatalagen innebär bl.a. att lagen enligt 1 kap. 3 § brottsdatalagen bara gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är till- gängliga för sökning eller sammanställning enligt särskilda kriterier. I brottsdatalagen finns alla de grundläggande bestämmelserna om hur personuppgifter får behandlas. Den nu aktuella lagen inne- håller bestämmelser som innebär preciseringar, undantag eller av- vikelser från bestämmelser i brottsdatalagen. Det innebär att be- stämmelserna i lagen ska läsas tillsammans med regleringen i brottsdatalagen och tolkas i ljuset av den regleringen. Enligt punkten 1 får en allmän domstol behandla personuppgif- ter i syfte att handlägga mål och ärenden om utredning av eller lagföring för brott, ändring eller verkställighet av straffrättsliga på- följder eller upprätthållande av allmän ordning och säkerhet. Vad det innebär utvecklas i kommentaren till 2 kap. 1 §. Enligt punkten 2 får allmän förvaltningsdomstol behandla per- sonuppgifter enligt lagen i syfte att handlägga mål och ärenden om verkställighet av häktning eller straffrättsliga påföljder. Vad det innebär utvecklas i kommentaren till 2 kap. 1 §. Lagen är tillämplig under hela handläggningen av ett sådant mål eller ärende som anges i paragrafen. Om t.ex. ett enskilt anspråk handläggs tillsammans med ett brottmål är lagen tillämplig även på den personuppgiftsbehandling som krävs för handläggningen av an- språket. Detsamma gäller vissa andra former av särskild talan och talan om förbud som förs i brottmål (se SOU 2017:29 s. 208 f.). Om ett enskilt anspråk avskiljs för att handläggas i den ordning som gäller för tvistemål är lagen inte längre tillämplig. I paragrafen, som motsvarar 9 § domstolsdatalagen (2015:728), anges vem som är personuppgiftsansvarig. Paragrafen behandlas i avsnitt 12.3.2. Domstolarnas personuppgiftsansvar innebär att en domstol är personuppgiftsansvarig för all den behandling av per- sonuppgifter som utförs vid domstolen eller under dess ledning. Personuppgiftsansvarigas skyldigheter regleras i 3 kap. brottsdata- lagen (2018:000). Grundläggande bestämmelser om behandling Tillåtna rättsliga grunder för behandling av personuppgifter Paragrafen reglerar de tillåtna rättsliga grunderna för behandling av personuppgifter. Den behandlas i avsnitt 12.4.1. Paragrafen, som är anpassad till hur de rättsliga grunderna för behandling av personuppgifter anges i 2 kap. 1 § brottsdatalagen (2018:000), ersätter den bestämmelsen. Regleringen i 2 kap. 2 § brottsdatalagen ger domstolarna rättsligt stöd för att behandla per- sonuppgifter för diarieföring och nödvändig handläggning, trots brist på stöd i denna paragraf. Personuppgifter får enligt första stycket behandlas om det är nödvändigt och syftet är att handlägga mål och ärenden inom lagens tillämpningsområde. Bestämmelsen bildar den yttre ramen för när behandling av personuppgifter är tillåten. Behandlas per- sonuppgifter för något annat syfte gäller inte lagen. Eftersom lagen tillämpas både av allmän domstol och allmän förvaltningsdomstol och dessa handlägger olika typer av mål och ärenden inom lagens tillämpningsområde, måste paragrafen läsas tillsammans med regle- ringen i 1 kap. 1 § för att avgöra vilka punkter som är relevanta. För allmän domstol gäller lagen vid all handläggning i brottmål. Även behandling vid expediering inom ramen för målet eller ären- dets handläggning omfattas, t.ex. underrättelser till andra myndig- heter om påföljden som dömts ut eller om den dömde tillhör en viss yrkeskategori där domstolen är skyldig att underrätta ett till- synsorgan om domen. Även expediering för att tillgodose partsin- synen omfattas. Lagen ska tillämpas vid handläggning av mål eller ärenden om utredning av eller lagföring för brott, verkställighet av häktning eller ändring eller verkställighet av straffrättsliga påföljder eller upprätthållande av allmän ordning och säkerhet. Den gäller även vid handläggning av mål och ärenden om resning eller användning av något annat extraordinärt rättsmedel om det ursprungliga målet eller ärendet ligger inom lagens tillämpningsområde. Möjligheten att ta fram ett arkiverat mål eller ärende regleras däremot inte i lagen. Typiska frågor som hänför sig till punkten 1 och som rör utred- ning av brott är när en domstol prövar häktningsfrågor eller ger tillstånd till eller prövar andra frågor om användning av straffpro- cessuella tvångsmedel under en förundersökning. Under punkten hör också en domstols beslut om vittnesförhör under förundersök- ningen eller förordnande av sakkunnig enligt 23 kap. 13 § respek- tive 14 § och prövning av frågor som rör kom- plettering av förundersökning eller insyn i förundersökning eller 23 kap. 19 § . Den omfattar även handläggning av ärenden där frågor som anges i lagen (2007:979) om åtgärder för att förhindra vissa särskilt allvarliga brott prövas. Till lagföring hör prövning av ansvarstalan och annan talan som förs i ett brottmål, t.ex. talan om enskilt anspråk, näringsförbud eller skattetillägg.