sou · H5B329 · 2017-04-05 00:00:00 — Lagen ska även gälla för annan behandling av personuppgifter som in- går i eller är avsedda att ingå i en strukturerad samling av per- sonuppgifter som är tillgängliga för sökning eller sammanställ- ning enligt särskilda kriterier. Skälen för utredningens förslag: En fråga är vilka slags behand- lingar som ska omfattas av tillämpningsområdet. Enligt artikel 2.2 är direktivet tillämpligt på sådan behandling av personuppgifter som helt eller delvis företas på automatiserad väg och på annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register. Med register avses enligt artikel 3.6 en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda krite- rier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. Tillämpningsområdet är detsamma enligt det nu gällande data- skyddsdirektivet och dataskyddsförordningen. Som anges i avsnitt 6.2 ville man komma bort från registerbe- greppet redan när personuppgiftslagen infördes. Personuppgiftsla- gen gäller därför enligt 5 § för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Regle- ringen i personuppgiftslagen har varit utgångspunkt vid utform- ningen av tillämpningsområdet för myndigheternas registerförfatt- ningar. Mot den bakgrunden bör tillämpningsområdet för ramlagen anges på samma sätt. Det innebär ingen skillnad i sak i förhållande till direktivet. Att formuleringen skiljer sig något från hur tillämp- ningsområdet uttrycks i dataskyddsförordningen saknar enligt ut- redningens mening betydelse. 7.2.1Personuppgiftsbehandling som rör nationell säkerhet Utredningens förslag: Ramlagen ska inte gälla vid Säkerhets- polisens behandling av personuppgifter som rör nationell säker- het. Undantaget ska också gälla i de fall där har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspolisen. Skälen för utredningens förslag Säkerhetspolisens personuppgiftsbehandling som rör nationell säkerhet undantas Enligt artikel 2.3 a ska direktivet inte tillämpas på personuppgifts- behandling som utgör ett led i en verksamhet som inte omfattas av unionsrätten. Av skäl 14 framgår att verksamhet som rör nationell säkerhet, verksamhet som utförs av byråer och organ som hanterar nationella säkerhetsfrågor och medlemsstaternas behandling av per- sonuppgifter inom verksamhet som avser den gemensamma utri- kes- och säkerhetspolitiken inte omfattas av direktivets tillämp- ningsområde. Det nu gällande dataskyddsdirektivet gäller inte för sådan per- sonuppgiftsbehandling som inte omfattades av EG-rätten när direktivet antogs, t.ex. statens verksamhet på straffrättens område eller verksamhet som rör statens säkerhet eller försvar. I förarbe- tena till personuppgiftslagen framhöll regeringen att om viss offentlig verksamhet generellt skulle undantas från lagen fanns det risk för att viss behandling inom den sektorn inte skulle omfattas av någon lagstiftning med motsvarande syfte som den nya lagen. Personuppgiftslagen gjordes därför generellt tillämplig och om- fattar även sådan verksamhet som då föll utanför EG-rätten. Genom att det krävs en särskild författning för att avvika från det integritetsskydd som personuppgiftslagen ger, garanteras att beho- vet av särregler alltid övervägs noga i den ordning som gäller för författningsgivning (se prop. 1997/98:44 s. 41). Undantaget i det nya dataskyddsdirektivet är utformat så att det utesluter viss verksamhet, inte vissa typer av myndigheter eller organisationer. Säkerhetspolisens verksamhet ligger i allt väsentligt utanför direktivets tillämpningsområde. Till Säkerhetspolisens huvuduppgifter hör att förebygga, förhindra och upptäcka brottslig verksamhet som innefattar brott mot rikets säkerhet och terror- brott och att utreda och beivra sådana brott. Säkerhetspolisen an- svarar vidare för personskyddet av den centrala statsledningen. nämnda uppgifter hör till nationell säkerhet. Säkerhetspolisen har även andra uppgifter som hör till nationell säkerhet eller har ett mycket nära samband med sådan verksamhet. Av samma skäl som det inte bör anges i ramlagen vilka myndigheter som ska tillämpa den bör inte Säkerhetspolisens personuppgiftsbehandling generellt undantas från ramlagens tillämpningsområde. har myn- digheten vissa uppgifter som omfattas av direktivets tillämpnings- område och det kan inte uteslutas att myndigheten får nya sådana uppgifter. Undantaget bör därför utformas så att det endast träffar de delar av Säkerhetspolisens personuppgiftsbehand- ling som rör nationell säkerhet. I förarbetena till lag diskuterades ingående hur motsva- rande undantag i dataskyddsrambeslutet skulle formuleras och där stannade regeringen för att begreppet nationell säkerhet borde an- vändas (prop. 2012/13:73 s. 69 f.). I 19 kap. används numera begreppet säkerhet i stället för det äldre rikets säkerhet. När begreppet byttes ut konstaterade regeringen att inne- börden av vad som betraktas som rikets säkerhet förändrats och fått ett vidare tillämpningsområde (Förstärkt skydd mot främman- de makts underrättelseverksamhet, prop. 2013/14:51, s. 20). I be- tänkandet En ny säkerhetsskyddslag (SOU 2015:25) används också begreppet säkerhet. Betänkandet har remissbehandlats och bereds i (). Eftersom undantagen från tillämpningsområdet både i direktivet och dataskyddsförordningen utgår från begreppet nationell säker- het anser utredningen att det uttrycket bör användas i ramlagen. Det sagda innebär dock inte att Säkerhetspolisens personupp- giftsbehandling bör lämnas oreglerad inom området nationell säkerhet. På samma sätt som Säkerhetspolisen tillämpar polis- datalagen och vissa bestämmelser i personuppgiftslagen i verksam- het som rör nationell säkerhet bör myndigheten till- lämpa vissa bestämmelser i ramlagen. Vilka bestämmelser det bör vara och hur myndighetens behandling av personuppgifter i övrigt bör regleras kommer utredningen att behandla i slutbetänkandet. Det finns även andra myndigheter som i viss omfattning hante- rar personuppgifter rörande nationell säkerhet. Det gäller bl.a. åklagare och allmänna domstolar när de behandlar personuppgifter i mål och ärenden som rör brott mot säkerhet, som är den benämning som används bl.a. i i stället för nationell säkerhet. Det kan inte uteslutas att även andra myndigheter i viss utsträckning hanterar sådana personuppgifter. De överväganden som gjordes när personuppgiftslagen infördes gör sig fortfarande gällande. Nationell säkerhet bör därför inte undantas generellt från den nya lagens tillämpningsområde. Det är en mycket liten del av åklagares och de allmänna domstolarnas verksamhet som rör nationell säkerhet. Det saknas skäl att undanta den mycket begränsade personuppgiftsbehandling som utförs av åklagare eller i domstolar på det området från ramlagens tillämp- ningsområde. De bör därför på samma sätt som tillämpa samma regler som gäller för behandling av personuppgifter i verk- samheten i övrigt vid utredning eller handläggning av brottmål och därtill anknutna ärenden enligt som rör säkerhet. Detsamma bör gälla om någon annan myndighet undan- tagsvis skulle hantera sådana personuppgifter, exempelvis om Kri- minalvården skulle ha tillgång till någon personuppgift som rör nationell säkerhet vid verkställighet av straff. Ramlagen ska tillämpas i vissa fall Även om merparten av Säkerhetspolisens personuppgiftsbehand- ling undantas från ramlagens tillämpningsområde, finns det viss behandling i myndighetens operativa verksamhet som bör omfattas av ramlagen eftersom den inte rör nationell säkerhet. Säkerhetspolisen ska enligt 13 § förordningen (2014:1103) med instruktion för Säkerhetspolisen bistå vid polisverksamhet som leds av om myndigheten i ett enskilt fall begär det och det inte finns särskilda skäl mot det. Säkerhetspolisen ska också lämna tekniskt biträde och annan hjälp till i den utsträckning som myndigheterna kommer överens om. När Säkerhetspolisen lämnar sådan hjälp omfattas personuppgiftsbe- handlingen av ramlagens tillämpningsområde om den avser brotts- bekämpning, lagföring eller verksamhet för att upprätthålla allmän ordning och säkerhet. Säkerhetspolisen bör följaktligen tillämpa ramlagen när den bistår i sådan verksamhet. Detsamma gäller om Säkerhetspolisen bistår andra myndigheter i deras brottsbekämpning, t.ex. vid verkställighet av hemliga tvångs- medel. Som exempel kan nämnas att Säkerhetspolisen bistår Polis- myndigheten vid verkställighet av hemlig rumsavlyssning. Enligt 30 § förordningen (2014:1102) med instruktion för Polis- myndigheten får chefen för operativa avdelningen i sam- råd med biträdande säkerhetspolischefen i ett enskilt fall bestämma att en förundersökning eller annan liknande uppgift i den brottsbe- kämpande verksamheten ska lämnas över till Säkerhetspolisen för fortsatt handläggning. Syftet med bestämmelsen är bl.a. att jävs- situationer ska kunna undvikas (se En ny organisation för polisen, prop. 2013/14:110, s. 400). När Säkerhetspolisen med stöd av ett beslut enligt den paragrafen genomför en förundersökning eller ut- för någon annan uppgift som normalt skulle utföras av Polismyn- digheten och som omfattas av ramlagens tillämpningsområde bör Säkerhetspolisen tillämpa den lagen. En särskild fråga är vad som ska gälla för när den övertar uppgifter från Säkerhetspolisen eller biträder den på något annat sätt. Enligt 28 § instruktionen för ska myndig- heten bistå vid polisverksamhet som leds av Säkerhetspolisen om Säkerhetspolisen i ett enskilt fall begär det och det inte finns sär- skilda skäl mot det. ska vidare, i den utsträck- ning som myndigheterna kommer överens om, lämna tekniskt bi- träde och annan hjälp till Säkerhetspolisen. Bestämmelsen är en spegling av 13 § instruktionen för Säkerhetspolisen. Enligt 15 § instruktionen för Säkerhetspolisen får biträdande säkerhetspolischefen i samråd med chefen för operativa avdelningen, trots den ansvarsfördelning som annars gäller mellan myndigheterna, i ett enskilt fall bestämma att en förundersökning eller annan uppgift i den brottsbekämpande verksamheten ska läm- nas över till för fortsatt handläggning. Bestäm- melsen motsvarar 30 § instruktionen för . Eftersom det när Säkerhetspolisen begär biträde av Polismyn- digheten eller överlämnar en arbetsuppgift till myndigheten med stöd av 15 § instruktionen för Säkerhetspolisen i de flesta fall är fråga om en arbetsuppgift som ligger utanför direktivets tillämp- ningsområde, bör inte tillämpa ramlagen i vidare mån än vad Säkerhetspolisen skulle ha gjort om uppgiften legat kvar där. Det som har sagts bör även gälla för Försvarsmakten i fall där Säkerhetspolisen begär stöd enligt lagen (2006:343) om För- svarsmaktens stöd till polisen vid terrorismbekämpning. 7.2.2Den gemensamma utrikes- och säkerhetspolitiken Enligt skäl 14 undantas medlemsstaternas behandling av person- uppgifter i verksamhet som omfattas av den gemensamma utrikes- och säkerhetspolitiken från direktivets tillämpningsområde. Ut- redningen kan inte se att någon av de som är behöriga myndigheter i ramlagens mening bedriver verksamhet inom detta område. Det finns därför inget behov av att från ramlagens tillämpningsområde undanta någon myndighet eller verksamhet som omfattas av den gemensamma utrikes- och säkerhetspolitiken. 7.3Förhållandet till offentlighetsprincipen och till tryck- och yttrandefriheten Utredningens bedömning: Behandling av personuppgifter på tryck- och yttrandefrihetens område och allmänhetens tillgång till allmänna handlingar behöver inte regleras. Skälen för utredningens bedömning: I skäl 16 framhålls att direktivet inte påverkar tillämpningen av principen om allmänhe- tens rätt att få tillgång till allmänna handlingar. I dataskyddsförordningen finns bestämmelser som ger utrymme för nationell reglering om förhållandet mellan, å ena sidan, skyddet för personuppgifter och, å andra sidan, yttrande- och informations- friheten och offentlighetsprincipen. Enligt artikel 85.1 i förord- ningen ska medlemsstaternas nationella lagstiftning förena rätten till integritet i enlighet med förordningen med rätten till yttrande- och informationsfrihet. Den ska omfatta personuppgiftsbehandling för journalistiska ändamål och för akademiskt, konstnärligt eller litterärt skapande. När det gäller behandling för sådana ändamål ska medlemsstaterna enligt artikel 85.2 i förordningen föreskriva om undantag eller avvikelser från stora delar av förordningens bestäm- melser om det behövs för att förena rätten till integritet med yttrande- eller informationsfriheten. Enligt artikel 86 i förordningen får personuppgifter i allmänna handlingar hos en myndighet eller vissa typer av organ lämnas ut i enlighet med unionsrätten eller nationell rätt i syfte att förena all- mänhetens rätt att få tillgång till allmänna handlingar med rätten till skydd av personuppgifter i enlighet med förordningen. I direktiven till konstaterar regeringen att det är tydligare än i det nu gällande dataskyddsdirektivet att den EU-rättsliga dataskyddsregleringen inte inkräktar på områ- det för tryckfrihetsförordningen och yttrandefrihetsgrundlagen. har i uppdrag att analysera hur bestämmel- ser som balanserar personuppgiftsskyddet mot yttrande- och infor- mationsfriheten utanför grundlagarnas tillämpningsområde bör ut- formas (se dir. 2016:15 s. 22). Enligt artikel 9.1 i direktivet ska dataskyddsförordningen till- lämpas vid behandling för ändamål som ligger utanför direktivets Hur den artikeln ska genomföras behandlas i avsnitt 9.6. Någon reglering för att tydliggöra att förordningen ska tillämpas när det gäller yttrande- och informationsfriheten och offentlighetsprincipen behövs enligt utredningens mening inte. Enligt 23 kap. 14 § andra stycket får en under- sökningsledare hos rätten begära ett förordnande om att en allmän handling som kan antas ha betydelse som bevis ska tillhandahållas. I 38 kap. 8 § finns en motsvarande bestämmelse som är generell och som kan åberopas exempelvis av en måls- ägande. En myndighet, eller någon annan aktör som omfattas av reglerna om allmänna handlingar, kan alltså med stöd av någon av dessa regler åläggas att lämna ut en allmän handling till en förun- dersökning eller brottmålsrättegång. Det gäller dock inte en hand- ling för vilken sekretess gäller enligt 15 kap. 1 eller 2 § offentlig- hets- och sekretesslagen (2009:400), som reglerar utrikessekretess respektive försvarssekretess, eller 16 kap. 1 § samma lag som regle- rar statsfinanssekretess. Det gäller inte heller en handling vars innehåll är sådant att någon som haft befattning med handlingen inte får höras som vittne om dess innehåll. Likaså undantas hand- lingar som kan avslöja yrkeshemligheter, om det inte finns synner- lig anledning. Oavsett vad kommer fram till när det gäller behandling av personuppgifter på tryck- och yttrandefrihe- tens område och allmänhetens tillgång till allmänna handlingar kan det inte antas påverka tillämpningen av 23 kap. 14 § och 38 kap. 8 § . 8Gränsdragningsfrågor som rör tillämpningsområdet 8.1Några allmänna principer för gränsdragningen Det är en fråga för rättstillämpningen att avgöra vilket regelverk för dataskydd som gäller i ett enskilt fall. Som utredningen konstaterar i avsnitt 7.1 har det avgörande betydelse för tillämpningen om den som behandlar uppgiften är en behörig myndighet och i vilket syfte en personuppgift behandlas. Det ingår inte i utredningens uppdrag att göra en jämförelse mellan reglerna i direktivet och dataskyddsförordningen och inte heller att analysera konsekvenserna av att det ena eller andra regel- verket tillämpas. Utredningen anser emellertid att det är nödvän- digt att ge tillämparna viss ledning för hur man kan resonera i fråga om när ramlagen ska tillämpas och när den inte är tillämplig. Det är också viktigt att ge de behöriga myndigheterna förutsättningar att kunna utveckla en gemensam syn på olika tillämpningsfrågor. Det gäller särskilt myndigheterna i rättskedjan. Mot den bakgrunden redovisar utredningen i det följande vissa allmänna principer som kan vara vägledande. Principerna utvecklas sedan genom exempel från olika verksamheter inom ramlagens tillämpningsområde. Det bör understrykas att det inte är någon uttömmande genomgång av vad som kan göra ramlagen tillämplig. Om någon annan än en behörig myndighet behandlar personuppgifter är ramlagen inte tillämplig Ett grundläggande krav för att ramlagen ska vara tillämplig är att den som behandlar personuppgifterna är en behörig myndighet i lagens mening och att behandlingen görs för något av de syften som anges där. Som framgår av avsnitt 7.1.4 pekas det inte ut vilka myndigheter som är behöriga. Det är enligt den föreslagna defini- tionen de myndigheter som fullgör arbetsuppgifter inom ramlagens tillämpningsområde och andra aktörer som utövar myndighet i samma syften som är behöriga. Är den som behandlar personupp- gifterna inte en behörig myndighet gäller inte ramlagen för person- uppgiftsbehandlingen. Många myndigheter och andra aktörer är skyldiga att anmäla om det uppstått misstanke om brott. En sådan skyldighet medför inte att anmälaren ska betraktas som behörig myndighet i ramlagens mening, om anmälaren varken har ett brottsbekämpande uppdrag eller utövar myndighet för de syften som ramlagen omfattar. Det förhållandet att någon som har fått tillstånd att sätta upp en övervakningskamera t.ex. i en bank eller butikslokal i syfte att förebygga, avslöja eller utreda brott innebär inte heller att behand- lingen av de personuppgifter som erhålls genom övervakningen görs av en behörig myndighet i ramlagens mening. Företaget eller personen i fråga ägnar sig nämligen inte åt myndighetsutövning. Varken typen av personuppgiftsbehandling eller personuppgiftens karaktär är avgörande för om ramlagen ska tillämpas Det är, som tidigare nämnts, syftet med behandlingen av person- uppgifter i det enskilda fallet som är en grundläggande förutsätt- ning för att behandling av personuppgifter över huvud taget om- fattas av ramlagens tillämpningsområde. Genom att syftet styr när det gäller personuppgiftsbehandling som omfattas av unionsrätten, kan en behörig myndighets behandling av samma personuppgift antingen styras av ramlagens eller dataskyddsförordningens regler. Typen av personuppgiftsbehandling, vilken verksamhet den be- handlas i eller personuppgiftens karaktär är alltså inte avgörande för vilket regelverk som ska tillämpas. Myndighetsutövning som har överlåtits till andra än myndigheter I viss lagstiftning överlåts myndighetsutövning inom ramlagens tillämpningsområde till andra aktörer. Är det fråga om myndig- hetsutövning för ett sådant syfte som anges i ramlagen ska ram- lagen tillämpas på behandlingen av personuppgifter, t.ex. när före- mål tas i beslag för att säkra utredningen av ett brott eller framtida förverkande. Den som har rätt att vidta sådana åtgärder anses näm- ligen vara en behörig myndighet i ramlagens mening. Det gäller t.ex. om en tjänsteman i Havs- och vattenmyndigheten tar egen- dom i beslag för ett misstänkt fiskebrott eller om en annan aktör handhar verkställighet av en straffrättslig påföljd. Ramlagen ska tillämpas i viss verksamhet för att stödja en behörig myndighet Myndigheterna i rättskedjan behöver ibland stöd från myndigheter med annan kompetens. Sådan stödverksamhet kan avse t.ex. foren- sisk, medicinsk eller psykiatrisk kompetens. Stödet kan också avse särskilda resurser. Den som har en författningsreglerad skyldighet att biträda behöriga myndigheter med särskild kompetens eller särskilda resurser bör vid utförandet av sådana arbetsuppgifter an- ses som behörig myndighet och tillämpa ramlagen. Annat stöd som inte är författningsreglerat och som lämnas till en behörig myndighet av en myndighet eller annan aktör som inte själv är behörig myndighet i ramlagens mening, ligger däremot utanför ramlagens tillämpningsområde, t.ex. stöd från myndigheter som deltar i olika insatser för att förebygga brott eller att samverka mot brott och oordning. Ett exempel är när när en statlig myndig- het som t.ex. bistår åklagare i en förundersökningr om ekonomisk brottslighet. När de processuella reglerna om ansvar för brott gäller för talan som kumuleras med ansvarstalan ska ramlagen tillämpas I ett brottmål får i viss utsträckning talan föras om annat än ansvar för brott. När de processuella reglerna om talan om ansvar för brott tillämpas på en talan som rör något annat, som t.ex. enskilda anspråk, rör det sig om frågor som är så intimt förknippade med varandra att vikten av en gemensam process enligt brottmålsreg- lerna ansetts väga över andra intressen. Då bör enligt utredningens mening sidofrågan anses vara så oupplösligt förenad med ansvars- frågan att ramlagen bör tillämpas vid personuppgiftsbehandlingen. Ramlagen bör också tillämpas vid bevistalan mot någon under Om sambandet med ansvarsfrågan upphör, bör ramlagen inte tillämpas på den fortsatta handläggningen. Enskilda anspråk som överklagas enbart av enskild part är exempel på det. Ramlagen ska inte tillämpas av den som får tillgång till ett visst register eller en viss typ av uppgifter Den omständigheten att någon som inte har brottsbekämpande, lagförande, straffverkställande eller ordningshållande uppdrag ges tillgång till ett register som förs av en myndighet med ett sådant uppdrag innebär inte att den förra ska betraktas som behörig myn- dighet. Det gäller även den som på annat sätt får del av uppgifter om lagöverträdelser. Den som får tillgång till domar eller till vissa uppgifter ur t.ex. belastningsregistret eller registret över tillträdes- förbud blir alltså inte en behörig myndighet av det skälet. För att ramlagen ska vara tillämplig krävs att uppgifterna i fråga behandlas av en behörig myndighet för något av de syften som ramlagen anger. Kontrollverksamhet och allmän övervakning ligger utanför ramlagens tillämpningsområde Flera av de myndigheter som har till uppgift att bekämpa brott be- driver också i större eller mindre utsträckning kontrollverksamhet. Det gäller både polisen, , och Skatte- verket. Det kan gälla exempelvis gränskontroll, tullkontroll, utlän- ningskontroll eller skattekontroll. Sådan kontrollverksamhet ligger utanför ramlagens tillämpningsområde även i de fall där kontrollen utförs av tjänstemän som också har brottsbekämpande uppgifter. Förutom författningsreglerad kontrollverksamhet bedriver vissa brottsbekämpande myndigheter också allmän övervakning. Den allmänna övervakningen är oreglerad och har inte så konkret ut- formning eller tydligt brottsbekämpande syfte att behandlingen av personuppgifter kan hänföras under ramlagen. Ramlagen ska inte tillämpas när syftet med behandlingen är brottsbekämpning eller något annat som regleras i lagen Personuppgifter som från början behandlas för något av de syften som är en förutsättning för att ramlagen ska vara tillämplig kan med tiden visa sig sakna betydelse för dessa syften. Som exempel kan nämnas att tar en viss mängd vitt pulver i beslag i tron att det är fråga om narkotika men att det senare visar sig vara något som inte är straffbart att inneha. Utöver den behandling av personuppgifter som är nödvändig för att avsluta ärendet och arki- vera det får uppgifterna inte längre behandlas i den brottsbekäm- pande verksamheten. Ramlagen är då inte längre tillämplig. Att ett enskilt anspråk som ursprungligen har behandlats tillsammans med frågan om ansvar för brottet avskiljs för handläggning i den för tvistemål föreskrivna ordningen är ett annat exempel på när ram- lagen inte längre ska tillämpas. 8.2Gränsdragningsfrågor som rör brottsbekämpning Ska de som har anmälningsskyldighet tillämpa ramlagen? Vissa myndigheter och andra aktörer som inte arbetar med brotts- bekämpning har en författningsreglerad skyldighet att anmäla brott.