sou · H5B374 · 2017-10-04 00:00:00 — Det är mot den bakgrunden inte möjligt att reglera all myndighetens personuppgiftsbehandling inom brottsdatalagens tillämpningsområde i registerförfattningen. Det bör enligt utredningens mening i så stor utsträckning som möjligt framgå av respektive registerförfattning om det finns annan reglering inom brottsdatalagens tillämpningsområde som helt er- sätter regleringen i registerförfattningen. Om det i någon författ- ning finns avvikande bestämmelser som till viss del ersätter regle- ringen i registerförfattningen bör det också framgå på samma sätt som . Det är fallet med särregleringen i lagen (2017:496) om internationellt polisiärt samarbete och föreskrifter som har med- delats i anslutning till den lagen. Framtida utformning av registerförfattningarna 4.4.2Vad innebär det ändrade tillämpningsområdet? Som framgått kommer de justeringar som görs beträffande till- lämpningsområdet att träffa alla myndigheter i rättskedjan. Det som framför allt får betydelse är att endast den personuppgiftsbe- handling som utförs i vissa angivna syften kommer att omfattas av registerförfattningarnas tillämpningsområde. reglerar regis- terförfattningarna personuppgiftsbehandling såväl i myndigheter- nas kärnverksamhet som för att lämna uppgifter till andra – oavsett för vilket ändamål det görs. Efter anpassningen kommer register- författningarna att i fråga om uppgiftslämnande enbart reglera den personuppgiftsbehandling som ligger inom brottsdatalagens till- lämpningsområde. Det är en direkt effekt av att olika regelverk gäller för personuppgiftsbehandling inom brottsdatalagens respek- tive dataskyddsförordningens tillämpningsområden. Exempel på något som i många fall kommer att ligga utanför tillämpnings- området kan vara när brottsbekämpande verksamhet lämnar uppgifter till verksamheten under Effektiv handel. Utläm- nande av allmänna handlingar enligt tryckfrihetsförordningen lig- ger alltid utanför tillämpningsområdet. Tillämpningsområdet för alla registerförfattningar blir därmed smalare än , eftersom inte all personuppgiftsbehandling som utförs när en myndighet ägnar sig åt brottsbekämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet har ett sådant syfte att registerförfattningen är tillämplig. Det förhållandet att tillämpningsområdet enbart omfattar den som agerar som behörig myndighet har däremot mindre betydelse, eftersom syftet med behandlingen och begreppet behörig myndig- het är så intimt förbundna med varandra och båda förutsättning- arna ska vara uppfyllda för att personuppgiftsbehandlingen ska ligga inom tillämpningsområdet. Framtida utformning av registerförfattningarna 4.5Ska registerförfattningarna reglera frågor som inte rör dataskydd? Utredningens bedömning: Registerförfattningarna bör även i fortsättningen innehålla sekretessbrytande bestämmelser. De bör också reglera på vilket sätt personuppgifter får tillhandahål- las och viss föreskriftsrätt som inte direkt rör tillämpnings- området. Skälen för utredningens bedömning Registerförfattningarna ska även i fortsättningen innehålla annat än bara dataskyddsbestämmelser Registerförfattningarna innehåller inte bara dataskyddsbe- stämmelser utan också vissa andra bestämmelser som har direkt anknytning till dataskyddsregleringen. En kategori är de sekretess- brytande bestämmelser som finns i flertalet registerförfattningar. Det finns två typer av sådana bestämmelser. Den ena är de som gör det möjligt att medge direktåtkomst till vissa personuppgifter. Den andra är de som har till syfte att bryta sekretessen för visst infor- mationsutbyte som till stor del sker elektroniskt, t.ex. de brottsbe- kämpande myndigheternas informationsutbyte med och Europol. Enligt utredningens mening har de sekretessbrytande bestämmelserna så nära samband med personuppgiftsbehandlingen att de hör hemma i registerförfattningarna. Det är också svårt att se att de har en naturlig plats i någon annan befintlig författning. De bör därför finnas kvar i registerförfattningarna. En annan kategori är de bestämmelser som reglerar på vilket sätt personuppgifter får tillhandahållas. Hit hör naturligtvis reglerna om direktåtkomst. I flertalet registerförfattningar finns det också en bestämmelse som föreskriver att endast enstaka personuppgifter får lämnas ut på medium för automatiserad behandling. Även dessa bestämmelser har enligt utredningens mening sin naturliga plats i registerförfattningarna. De medverkar dessutom indirekt till data- skyddet, eftersom de begränsar möjligheten att tillhandahålla per- sonuppgifter elektroniskt. Framtida utformning av registerförfattningarna Den tredje kategorin är sådana bestämmelser som upplyser om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om att personuppgifter får behandlas för historiska, statistiska och vetenskapliga ändamål och om digital arkivering. Som utredningen utvecklar i avsnitt 5.5.2 och 5.5.3 bör även sådana bestämmelser finnas kvar i registerförfattningarna. Ställningstagandet att registerförfattningarna även i fortsätt- ningen bör reglera dessa frågor ligger i linje med att det i direktiven för utredningen framhålls att den nuvarande strukturen så långt möjligt bör behållas. Ingen uttömmande reglering av uppgiftslämnande och sekretessgenombrott Det kan anmärkas att sekretessbrytande bestämmelser finns både i offentlighets- och sekretesslagen (2009:400) och i andra författ- ningar som också ska tillämpas av de myndigheter vilkas register- författningar ligger inom brottsdatalagens tillämpningsområde. Bestämmelserna i registerförfattningarna reglerar därmed inte ut- tömmande när sekretessen bryts. Vissa bestämmelser som är sekretessbrytande syftar också till att ange till vem uppgifter får lämnas. Bestämmelser av det slaget finns även i andra författningar, både sådana som reglerar person- uppgiftsbehandling inom brottsdatalagens tillämpningsområde och sådana som helt eller delvis ligger utanför tillämpningsområdet. I exempelvis förordningen (1999:1134) om belastningsregister finns det bestämmelser om uppgiftslämnande både för ändamål inom brottsdatalagens tillämpningsområde och utanför. Registerförfatt- ningarna reglerar alltså inte uttömmande vilket uppgiftslämnande som är tillåtet. 5.1Registerförfattningarna har likartat innehåll De brottsbekämpande myndigheternas registerförfattningar är uppbyggda på samma sätt och har framför allt i de inledande kapit- len till stor del ett likartat innehåll. Det beror på att polisdatalagen har använts som mönster när nyare registerförfattningar har utfor- mats. Eftersom registerförfattningarna har betydande likheter är behovet av ändringar i dem i stor utsträckning detsamma. Det finns därför anledning att i detta kapitel behandla de ändringar som är desamma för alla eller ett flertal av registerförfattningarna. Kriminalvårdens registerlagstiftning skiljer sig visserligen till stora delar från övriga registerförfattningar, men även den innehål- ler vissa bestämmelser som liknar dem som finns i de övriga regis- terförfattningarna. När så är fallet behandlas även kriminalvårdens bestämmelser i detta kapitel. Däremot behandlas domstolarnas registerlagstiftning inte här utan i kapitel 12. Utredningen föreslår där att en ny lag införs för domstolarnas personuppgiftsbehandling inom brottsdatalagens till- lämpningsområde. Säkerhetspolisens registerlagstiftning diskuteras inte heller i detta avsnitt. Utredningen återkommer till den i avsnitt 14 och 15. En närmare beskrivning av registerförfattningarna finns i kapi- tel 3 i delbetänkandet (se SOU 2017:29 s. 91 f.). 5.2En ny lagteknisk struktur Utredningens förslag: Registerförfattningarna ska gälla utöver brottsdatalagen. Skälen för utredningens förslag: Polisdatalagen, kustbevaknings- datalagen, åklagardatalagen, tullbrottsdatalagen och skattebrotts- datalagen gäller i stället för personuppgiftslagen (se exempelvis 2 kap. 1 § polisdatalagen). Lagen om behandling av personuppgifter inom kriminalvården har en annan struktur. I 2 § föreskrivs att om inte annat följer av lagen eller föreskrifter som har meddelats med stöd av den tillämpas personuppgiftslagen. Enligt delbetänkandet bör registerförfattningarna gälla utöver brottsdatalagen (se SOU 2017:29 s. 141 f.). De registerförfatt- ningar som gäller i stället för personuppgiftslagen bör därför anpassas så att de gäller utöver brottsdatalagen. En bestämmelse som anger det bör tas in i respektive registerförfattning. Även Kri- minalvårdens registerlagstiftning bör anpassas så att den gäller ut- över brottsdatalagen i stället för utöver personuppgiftslagen. I brottsdatalagen finns alla grundläggande bestämmelser om hur personuppgifter får behandlas. Där regleras också den personupp- giftsansvariges skyldigheter, enskildas rättigheter och tillsynen över personuppgiftsbehandling. Brottsdatalagen innehåller vidare be- stämmelser om administrativa sanktionsavgifter, skadestånd och rättsmedel. Där anges också vad som gäller för överföring av per- sonuppgifter till tredjeland. Att registerförfattningarna föreslås gälla utöver brottsdatalagen innebär att de framför allt bör inne- hålla bestämmelser som innebär preciseringar, undantag eller avvi- kelser från bestämmelserna i brottsdatalagen. Det innebär vidare att de bestämmelser som finns i registerförfattningarna ska läsas till- sammans med regleringen i brottsdatalagen. Det kan vara fråga om bestämmelser som t.ex. preciserar vilka särskilda krav som gäller vid behandling av en viss typ av personuppgifter eller hur länge en viss typ av personuppgifter får behandlas. Det kan även finnas be- stämmelser som inskränker möjligheten att behandla vissa person- uppgifter. En konsekvens av att en registerförfattning gäller utöver brotts- datalagen är att tillämparen inte kan nöja sig med att ta del av regis- terförfattningens reglering utan också måste tolka bestämmelserna i registerförfattningen i ljuset av regleringen i brottsdatalagen. Om formuleringen av en bestämmelse i en registerförfattning t.ex. med- ger två olika tolkningar, men bara den ena av dem är förenlig med regleringen i brottsdatalagen, är det den tolkningen som gäller. I en författning som gäller utöver en annan upprepas inte be- stämmelserna i den överordnade författningen, utom i de fall där det är nödvändigt för förståelsen av en bestämmelse i den först- nämnda författningen. Inte heller görs det hänvisningar till be- stämmelserna i den överordnade författningen om det inte är abso- lut nödvändigt för sammanhanget. En författning som gäller utöver en annan ställer därför särskilda krav på tillämparen. 5.3Bestämmelser som inte längre behövs Utredningens förslag: Alla hänvisningar till personuppgifts- lagen i registerförfattningarna ska upphävas. Skälen för utredningens förslag Några hänvisningar till personuppgiftslagen ska inte finnas föreslår att personuppgiftslagen ska upp- höra att gälla , då dataskyddsförordningen ska börja tillämpas (se SOU 2017:39 s. 78 f.). I 2 kap. 2 § polisdatala- gen, 2 kap. 2 § kustbevakningsdatalagen, 2 kap. 2 § åklagardatala- gen, 2 kap. 2 § tullbrottsdatalagen och 2 kap. 2 § skattebrottsdata- lagen räknas det upp vilka paragrafer i personuppgiftslagen som ska tillämpas när personuppgifter behandlas enligt respektive lag. I lagen om behandling av personuppgifter inom kriminalvården finns det inte någon motsvarande uppräkning. Däremot föreskrivs i 8 § att bestämmelserna i personuppgiftslagen om rättelse och skade- stånd gäller även vid behandling av personuppgifter enligt kriminal- vårdens registerförfattning. Det finns även andra bestämmelser i den lagen som hänvisar till personuppgiftslagen. Brottsdatalagen innehåller en för de behöriga myndigheterna gemensam reglering av all personuppgiftsbehandling som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. När brottsdatalagen in- förs och personuppgiftslagen upphör att gälla bör det inte längre finnas några hänvisningar till personuppgiftslagen i registerförfatt- ningarna. Sådana bestämmelser bör därför upphävas. Vissa hänvisningar ska inte ersättas Alla de hänvisningar till personuppgiftslagen som räknas upp i nämnda bestämmelser har inte någon motsvarighet i brottsdata- lagen. Hit hör bestämmelsen i 8 § första stycket personuppgifts- lagen om förhållandet till offentlighetsprincipen. Som framgår av delbetänkandet regleras den frågan fortsättningsvis i dataskydds- förordningen, varför det inte bör finnas några bestämmelser om förhållandet till offentlighetsprincipen vare sig i brottsdatalagen eller i registerförfattningarna (se SOU 2017:29 s. 179 f.). Det gäller också kravet i 42 § personuppgiftslagen på upplys- ningar till allmänheten om sådana behandlingar som inte ska anmä- las till tillsynsmyndigheten. Det finns något behov av en sådan bestämmelse, eftersom varken direktivet eller brottsdatalagen föreskriver någon motsvarande anmälningsskyldighet. I 22 § personuppgiftslagen, som registerförfattningarna hänvisar till, föreskrivs det att personnummer och samordningsnummer bara får behandlas utan samtycke när det är klart motiverat bl.a. med hänsyn till ändamålet med behandlingen och vikten av en säker identifiering. Bestämmelsen om behandling av personnum- mer och liknande identifieringsuppgifter har ingen motsvarighet i direktivet. Myndigheter som behöver behandla personnummer och liknande identifieringsuppgifter som ett led i sin verksamhet kan göra det i syfte att fastställa en säker identitet. Utredningen ser inte något behov av att införa en generell bestämmelse som motsvarar 22 § personuppgiftslagen, eftersom kraven på en säker identifiering väger särskilt tungt i verksamhet inom brottsdatala- gens tillämpningsområde och användningen av personnummer och liknande identitetsuppgifter därmed nära nog alltid är motiverad. En sådan bestämmelse skulle därför inte fylla någon praktisk funktion för att skydda enskildas integritet. I viss verksamhet kan dock en sådan reglering vara motiverad (se avsnitt 12.4.4). Undantaget från informationsskyldighet vid ljud och bild Enligt 23 § personuppgiftslagen ska den personuppgiftsansvarige självmant informera den registrerade om behandling av personupp- gifter som samlas in från den registrerade själv. I 2 kap. 2 § tredje stycket polisdatalagen, 2 kap. 2 § tredje stycket kustbevaknings- datalagen och 2 kap. 2 § tredje stycket tullbrottsdatalagen görs undantag från den informationsskyldigheten vid behandling av personuppgifter genom bilder eller ljud och i samband med larm, om det med hänsyn till omständigheterna inte finns tid att infor- mera. Motsvarande undantag för behandling genom bilder eller ljud görs i 2 kap. 2 § tredje stycket skattebrottsdatalagen. I brottsdatalagen finns det ingen motsvarighet till informations- skyldigheten i 23 § personuppgiftslagen. I 4 kap. 2 § brottsdatala- gen föreskrivs däremot att den registrerade ska informeras i speci- fika fall om det behövs för att han eller hon ska kunna ta tillvara sina rättigheter (se SOU 2017:29 s. 378 f.). Enligt utredningens uppfattning fråntas den registrerade inte möjligheten att ta tillvara sina rättigheter om han eller hon inte informeras om att han eller hon förekommer i en bild- eller ljud- upptagning som har tillkommit i annat syfte än att samla in per- sonuppgifter om den registrerade (jfr Integritet och effektivitet i polisens brottsbekämpande verksamhet, prop. 2009/10:85, s. 86 och 314). Det kan t.ex. vara fråga om bilder från en brottsplats eller från en demonstration med våldsinslag eller en filmsekvens från ett oljeutsläpp. Värdet av att informera den enskilde i sådana situatio- ner kan ifrågasättas (jfr Kustbevakningsdatalag, prop. 2011/12:45, s. 81). Detsamma gäller information i samband med larm. De som larmar får anses känna till att deras personuppgifter registreras. Det innebär att det inte behövs någon information för att den regist- rerade ska kunna ta tillvara sina rättigheter. Utredningen anser att det i dessa båda fall inte rör sig om sådana specifika fall som avses i 4 kap. 2 § brottsdatalagen. då enligt direktivet inte skyldig att informera den registrerade. Det innebär att det nuvarande undantaget från informationsskyldighe- ten inte längre fyller någon funktion och därför bör tas bort. Utredningens förslag: Bestämmelser som hänvisar till lag ska upphävas. Skälen för utredningens förslag: Utredningen föreslår i delbetän- kandet att lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen (lag) ska upphävas när brotts- datalagen träder i kraft (se SOU 2017:29 s. 145 f.). I 2 a § lagen om behandling av personuppgifter inom kriminalvården, 1 kap. 5 § polisdatalagen, 1 kap. 2 a § kustbevakningsdatalagen, 1 kap. 3 § åklagardatalagen, 1 kap. 3 § andra stycket tullbrottsdatalagen och 1 kap. 3 § skattebrottsdatalagen hänvisas till att bestämmelserna lag, och i föreskrifter som har meddelats i anslutning till den lagen, ska tillämpas i stället för bestämmelserna i respektive författning. Som en konsekvens av att lag upphävs bör alla hänvisningar till den lagen upphävas. Utredningen återkommer till frågan i avsnitt 17.5, eftersom det finns hänvisningar till lag i ytterligare några författningar. Utredningens förslag: Bestämmelser som beskriver syftet med respektive registerförfattning ska upphävas. Skälen för utredningens förslag: Enligt 1 kap. 1 § första stycket brottsdatalagen är syftet med lagen dels att skydda fysiska perso- ners grundläggande fri- och rättigheter i samband med behandling av personuppgifter, dels att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt (se SOU 2017:29 s. 144). I 1 kap. 1 § polisdatalagen, 1 kap. 1 § kustbevakningsdatalagen, 1 kap. 1 § åklagardatalagen, 1 kap. 1 § tullbrottsdatalagen och 1 kap. 1 § skattebrottsdatalagen anges det övergripande syftet med res- pektive lag. Exempelvis anges i 1 kap. 1 § polisdatalagen att syftet med lagen är att ge polisen möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin brottsbekämpande verksamhet och skydda människor mot att deras personliga integritet kränks vid sådan behandling. Brottsdatalagen kommer att tillämpas av alla myndigheter som behandlar personuppgifter inom lagens tillämp- ningsområde. Den dubbla målsättningen med lagen – att stärka integritetsskyddet och att värna om att behöriga myn- digheter kan behandla personuppgifter på ett ändamålsenligt sätt – gäller således oavsett om det är t.ex. eller Kust- bevakningen som behandlar personuppgifter. Det finns då inte skäl att i registerförfattningarna behålla bestämmelser som anger att syftet med lagen i stort sett är detsamma som det övergripande syftet med brottsdatalagen. De bör därför upphävas. Som framgår av avsnitt 5.2 ska registerförfattningarna läsas tillsammans med brottsdatalagen. Att syftet inte framgår direkt av var och en av registerförfattningarna innebär därför inte att integritetsskyddet försvagas. Utredningens förslag: Bestämmelser om att registerförfatt- ningarna endast gäller vid behandling av personuppgifter som är automatiserad eller på annat sätt strukturerad ska upphävas. Skälen för utredningens förslag: Enligt 1 kap. 3 § brottsdatalagen gäller lagen för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personupp- gifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier (se SOU 2017:29 s. 173 f.). I 1 § andra stycket lagen om behandling av personuppgifter inom kriminalvården, 1 kap. 2 § andra stycket polisdatalagen, 1 kap. 2 § andra stycket kustbevakningsdatalagen, 1 kap. 2 § första stycket åklagardatalagen, 1 kap. 2 § tullbrottsdatalagen och 1 kap. 2 § skat- tebrottsdatalagen finns det bestämmelser med motsvarande inne- håll. Det finns inte något behov av att i registerförfattningarna upprepa att de i huvudsak gäller för automatiserad behandling. Så- dana bestämmelser bör därför upphävas. 5.3.5Bestämmelser om lagarnas uppbyggnad Utredningens förslag: Bestämmelser om hur registerförfatt- ningarna är uppbyggda eller var en viss typ av bestämmelser finns ska som huvudregel upphävas. Skälen för utredningens förslag: I 1 kap. 7 § polisdatalagen, 1 kap. 5 § kustbevakningsdatalagen, 1 kap. 5 § tullbrottsdatalagen och 1 kap. 5 § skattebrottsdatalagen anges hur respektive lag är upp- byggd. När polisdatalagen infördes såg lagstiftaren ett behov av att tydliggöra hur lagens olika kapitel förhöll sig till varandra, hur de skulle tillämpas och av vem. Den regleringen har senare använts som mönster för de övriga registerförfattningarna. Genom att brottsdatalagen innehåller den generella regleringen för de behöriga myndigheterna kommer åtskilliga bestämmelser i registerförfatt- ningarna inte längre att behövas. Tillämpningsområdet för flera av lagarna ändras också på det sättet att bestämmelser om behandling av personuppgifter för andra syften än de som anges i brottsdata- lagen rensas bort. Behovet av bestämmelser om lagarnas uppbygg- nad minskar till följd av dessa ändringar. Det bör därför inte finnas bestämmelser om hur lagarna är uppbyggda, om det inte finns sär- skilda skäl för det (se avsnitt 7.2.3). I polisdatalagen och kustbevakningsdatalagen finns det bestäm- melser om bevarande och gallring i olika kapitel. Lagarna innehåller därför – för att skapa en överblick – bestämmelser som anger var i lagen bevarande och gallring regleras (se 2 kap. 12 § och 3 kap. 9 § polisdatalagen och 3 kap. 4 § kustbevakningsdatalagen). En annan lagstiftningsteknik används i tullbrottsdatalagen och skattebrotts- datalagen, där alla bestämmelser om bevarande och gallring är sam- lade i ett särskilt kapitel. Där inleds i stället kapitlet med en be- stämmelse som presenterar innehållet. Utredningen anser som utvecklas i avsnitt 5.5.1 att bestämmel- ser om bevarande och gallring som huvudregel bör hållas samman. Därmed finns det inte längre behov av bestämmelser som tydliggör var i lagen sådana frågor regleras, varför de bör upphävas. Utredningens förslag: Bestämmelser i registerförfattningarna om att de personuppgiftsansvariga ska utse personuppgiftsom- bud ska upphävas. Skälen för utredningens förslag: Enligt 3 kap. 13 § brottsdata- lagen ska personuppgiftsansvariga utse ett eller flera dataskydds- ombud. Den personuppgiftsansvarige ska anmäla till tillsynsmyn- digheten både när ett dataskyddsombud utses och när ombudet entledigas (se SOU 2017:29 s. 340 f.). I 2 kap. 5 § polisdatalagen, 2 kap. 5 § kustbevakningsdatalagen, 2 kap. 4 § åklagardatalagen, 2 kap. 4 § tullbrottsdatalagen och 2 kap. 4 § skattebrottsdatalagen föreskrivs skyldighet att utse ett eller flera personuppgiftsombud och att anmäla till tillsynsmyndigheten när ett sådant ombud utses eller entledigas. I och med att det i brottsdatalagen finns en generell bestämmelse om skyldighet att utse dataskyddsombud (som är den benämning som används i stäl- let för personuppgiftsombud) behövs inga sådana bestämmelser i registerförfattningarna. Bestämmelserna om att personuppgiftsom- bud ska utses bör därför upphävas. Utredningens förslag: Bestämmelser i registerförfattningarna om att personuppgifter får behandlas om det är nödvändigt för diarieföring eller för att utföra andra nödvändiga handläggnings- åtgärder ska upphävas. Skälen för utredningens förslag: Enligt 2 kap. 2 § brottsdatalagen får personuppgifter alltid behandlas om det är nödvändigt för dia- rieföring. Personuppgifter får också behandlas om uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller lik- nande och behandlingen är nödvändig för myndighetens handlägg- ning (se SOU 2017:29 s. 239 f.).