sou · H5B374 · 2017-10-04 00:00:00 — Denna förordning träder i kraft . förordning om ändring i brottsdataförordningen (2018:000) Härigenom föreskrivs att det i brottsdataförordningen (2018:000) ska införas tre nya paragrafer, 3 kap. 4 a, 4 b och 4 c §§, och en ny rubrik före 3 kap. 4 a § med följande lydelse. Tillgången till personupp- gifter För tilldelning av behörighet för åtkomst till personuppgifter ska, utöver behovet av uppgifter- na, utbildning och erfarenhet sär- skilt beaktas. I en behörig myndighet ska det finnas rutiner för tilldelning av, förändring, borttagning och regel- bunden uppföljning av behörighe- ter för åtkomst till personuppgif- ter. Tillgången till uppgifter om tidigare brottsmisstankar ska sär- skilt begränsas. Denna förordning träder i kraft . 2Utredningens uppdrag och arbete Utredningsuppdraget består i att föreslå hur man i svensk rätt ska genomföra och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verk- ställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. Direktiven för utredningsarbetet finns i bilaga 1. I utredningens uppdrag ingår bl.a. att –lämna förslag till en ny ramlagstiftning med bestämmelser om skydd av personuppgifter inom direktivets tillämpningsområde, –analysera och bedöma behovet av författningsändringar i vissa centrala författningar om rättsväsendets behandling av person- uppgifter, –lämna de förslag till ändringar som krävs för att anpassa dessa författningar till de nya förutsättningarna för regleringen, –bedöma om direktivet ger anledning till ny eller ändrad reglering om tillsyn och vid behov lämna författningsförslag, och –bedöma om det finns anledning att reglera Säkerhetspolisens personuppgiftsbehandling separat från den lagstiftning som gäller för och vid behov lämna författnings- förslag. Utredningens uppdrag och arbete Utredningen har även åtagit sig att göra de anpassningar som kan krävas i lagen (2014:400) om elimineringsdata- bas, lagen (2015:51) om register över tillträdesförbud vid idrotts- arrangemang och lagen (2017:496) om internationellt polisiärt sam- arbete, alla med tillhörande förordningar. Förslag till ny ramlagstiftning och tillsyn inom direktivets tillämp- ningsområde redovisades i delbetänkandet Brotts- datalag (SOU 2017:29). Utredningens arbete påbörjades och har bedrivits på sedvanligt sätt med regelbundna sammanträden med gruppen av sakkunniga och experter. Utredningen har sammanträtt vid sammanlagt fem tillfällen för att ta fram detta betänkande. Utredaren och sekretariatet har i denna del av utredningsupp- draget samrått med andra utredningar enligt följande. Utredaren och huvudsekreteraren samrådde med Utredningen om stärkt integritet i verksamhet (Ju 2016:18) och . Utredaren och huvudsekreteraren samrådde och med som fått i uppdrag att biträda med att anpassa viss lagstiftning på området för allmän ordning och säkerhet till EU:s dataskyddsreform. Utredaren och huvudsekreteraren samrådde med Socialdata- skyddsutredningen (S 2016:05) . 2016 och samrådde utredaren och delar av sekretariatet med som fått i uppdrag att biträda med att an- passa domstolsdatalagen, kriminalvårdens registerlagstiftning och utlänningsdatalagen till dataskyddsförordningen. Utredaren och delar av sekretariatet har haft möte med företrä- dare för –Kriminalvården och , –Säkerhetspolisen 2017, Utredningens uppdrag och arbete –och , och 3.1Ny reglering av dataskyddet Europeiska unionens (EU) nya dataskyddsreglering består av två rättsliga instrument. Det ena är och rådets förordning (EU) 2016/679 av om skydd för fysi- ska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (EUT L 119, , s. 1, i fortsättningen dataskyddsförordningen). Det andra är och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behand- ling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambe- slut /977/RIF (EUT L 119, , s. 89, i fortsättningen direktivet). Reformen innebär att reglerna om personuppgiftsbe- handling finns dels i dataskyddsförordningen, som är direkt tillämplig i svensk rätt, och den lagstiftning som komplet- terar förordningen, dels i de författningar som genomför direktivet. Dataskyddsförordningen gäller inte när direktivet är tillämpligt. Hur direktivet genomförs får därigenom avgörande betydelse för vilket regelverk som är tillämpligt. , som haft i uppdrag att utreda bl.a. be- hovet av kompletterande lagstiftning till dataskyddsförordningen och vissa generella frågor med anknytning till dataskyddsreformen, har avgett betänkandet Ny dataskyddslag (SOU 2017:39). I betän- kandet föreslås bl.a. att personuppgiftslagen (1998:204) ska upp- höra att gälla , då förordningen börjar gälla. I delbetänkandet Brottsdatalag beskrivs dataskyddsreformen när- mare (se SOU 2017:29 s. 119 f.). Utredningen lämnar där förslag till en ny ramlag, brottsdatalagen, och en ny förordning till den, brottsdataförordningen. Lagen och förordningen, som tillsammans genomför dataskyddsdirektivet, ska gälla generellt inom direktivets tillämpningsområde. Direktivet ska vara genomfört . Brottsdatalagen drar upp gränsen mellan å ena sidan den sär- skilda regleringen av behandling av personuppgifter vid brottsbe- kämpning, lagföring, straffverkställighet och upprätthållande av allmän ordning och säkerhet och å andra sidan dataskyddsförord- ningens tillämpningsområde. Lagen är kapitelindelad. I 1 kap. finns allmänna bestämmelser om lagens tillämpningsområde och där de- finieras också de uttryck som används i lagen. I 2 kap. regleras be- handlingen av personuppgifter och i 3 kap. de personuppgiftsansva- rigas skyldigheter. Enskildas rättigheter regleras i 4 kap. Tillsynen över personuppgiftsbehandling behandlas i 5 kap. och administra- tiva sanktionsavgifter i 6 kap. I 7 kap. behandlas skadestånd och rättsmedel och i 8 kap. överföring av personuppgifter till tredjeland och internationella organisationer. Brottsdatalagen anger ramen för vilken personuppgiftsbehand- ling som är tillåten för de syften som anges i lagen och vilka som ska tillämpa lagen, vilket är de som är behöriga myndigheter enligt lagen. Där regleras frågor som är gemensamma för alla behöriga myndigheter. Brottsdatalagen kommer därigenom att för sitt till- lämpningsområde fylla i stort sett samma funktion som personupp- giftslagen gör . På samma sätt som kommer det dessutom att finnas särskilda registerförfattningar för flertalet av de myndig- heter som kommer att tillämpa brottsdatalagen. De kommer dock inte att vara lika omfattande som , eftersom de i vissa delar ersätts av den nya generella regleringen. I registerförfattningarna kommer bara de regler som är specifika för just den myndigheten att finnas. Det kommer vidare även fortsättningsvis att finnas sär- skilda författningar som reglerar enskilda register inom brottsdata- lagens tillämpningsområde. 3.2.1Regler om behandlingen av personuppgifter Brottsdatalagen gäller för behandling av personuppgifter som ut- förs av en behörig myndighet i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verk- ställa straffrättsliga påföljder. Den gäller också för behandling av personuppgifter som en behörig myndighet utför i syfte att upp- rätthålla allmän ordning och säkerhet. Med behörig myndighet avses en myndighet som har till arbetsuppgift att bedriva sådan verksamhet eller en annan aktör som utövar myndighet för något av dessa syften. Vilka myndigheter som är behöriga räknas inte upp, men lagen kommer framför allt att tillämpas av Polismyndig- heten, , , , Ekobrottsmyn- digheten, , domstolarna och Kriminalvården. En behörig myndighet ska dock bara tillämpa brottsdatalagen vid behandling av personuppgifter för brottsbekämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet. Syftet med behandlingen av personuppgifter i det en- skilda fallet blir därmed av avgörande betydelse för när lagen ska tillämpas, inte verksamheten som sådan. Om en behörig myndighet även har andra arbetsuppgifter, ska lagen inte tillämpas vid den personuppgiftsbehandling som utförs för de syftena. Även andra än myndigheter som har fått till uppgift att utöva myndighet inom lagens tillämpningsområde är behöriga myndig- heter i lagens mening. Lagen gäller enbart för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling som ingår i eller är avsedd att ingå i en strukturerad samling av per- sonuppgifter som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier. Lagen gäller inte vid behandling av person- uppgifter som rör nationell säkerhet eller om har övertagit en arbetsuppgift som rör nationell säkerhet från Säker- hetspolisen. Brottsdatalagen är subsidiär till annan lagstiftning. Det innebär att det kan finnas avvikande bestämmelser i registerförfattningarna för de behöriga myndigheterna. En behörig myndighet som saknar registerförfattning ska tillämpa brottsdatalagen för sådan person- uppgiftsbehandling som ligger inom lagens tillämpningsområde. Rättslig grund för behandlingen av personuppgifter All behandling av personuppgifter ska ha en rättslig grund. I brottsdatalagen finns det två bestämmelser om rättslig grund. En- ligt 2 kap. 1 § får personuppgifter behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra en arbetsuppgift i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa en straffrättslig påföljd eller upprätthålla allmän ordning och säkerhet. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut av regeringen. Enligt 2 kap. 2 § får person- uppgifter även behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning. Ändamål för behandlingen av personuppgifter Personuppgifter får enligt 2 kap. 3 § bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Om det inte framgår av sammanhanget eller på annat sätt för vilket ändamål personupp- gifterna behandlas, ska det tydliggöras genom en särskild upplys- ning. Det som åsyftas är ändamålet i det enskilda fallet, t.ex. att personuppgifterna behandlas i en viss förundersökning eller för handläggningen av ett visst brottmål. Innan personuppgifter får behandlas för ett nytt ändamål som ligger inom brottsdatalagens tillämpningsområde ska det enligt 2 kap. 4 § säkerställas att det finns en rättslig grund för den nya be- handlingen och att behandlingen är nödvändig och proportionerlig för det nya ändamålet. De behöriga myndigheterna får även enligt 2 kap. 5 § behandla personuppgifter för vetenskapliga, statistiska eller historiska ända- mål inom lagens tillämpningsområde. Krav på behandlingen av personuppgifter Personuppgifter ska enligt 2 kap. 6 § behandlas författningsenligt och på ett korrekt sätt och enligt 2 kap. 8 § vara adekvata och rele- vanta i förhållande till ändamålen med behandlingen. Fler person- uppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Personuppgifterna ska dessutom enligt 2 kap. 7 § vara korrekta och, om det är nödvändigt, uppdate- rade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Vidare ska det så långt möjligt görs åtskillnad mellan olika typer av personuppgifter. Kategorier av registrerade ska enligt 2 kap. 9 § kunna skiljas från varandra, t.ex. misstänkta och brottsoffer. Om det inte framgår av sammanhanget eller på annat sätt, ska det tyd- liggöras genom en särskild upplysning. Likaså ska enligt 2 kap. 10 § personuppgifter som grundar sig på fakta skiljas från uppgifter som grundar sig på personliga bedömningar. Om grunden inte framgår av sammanhanget eller på annat sätt ska den tydliggöras genom en särskild upplysning. Behandling av känsliga personuppgifter Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsik- ter, religiös eller filosofisk övertygelse eller medlemskap i fackföre- ning eller som rör hälsa, sexualliv eller sexuell läggning benämns känsliga personuppgifter och får enligt huvudregeln i 2 kap. 11 § inte behandlas. I de fall där uppgifter om en person redan behand- las får de dock kompletteras med känsliga personuppgifter när det är absolut nödvändigt för ändamålet med behandlingen. Även biometriska uppgifter som används för att identifiera en person och genetiska uppgifter är enligt 2 kap. 12 § känsliga per- sonuppgifter. De får behandlas endast om det är särskilt föreskrivet och absolut nödvändigt för ändamålet med behandlingen. Det är enligt 2 kap. 14 § förbjudet att göra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. Även sökningar som är tillåtna kan ibland resultera i ett sådant urval, men frågan om de uppgifter som tas fram får fortsätta att behandlas ska bedömas med utgångspunkt i de allmänna reglerna om behandling För sådana sammanställningar av personupp- gifter ska gälla absolut sekretess. Rättelse, komplettering och radering av personuppgifter Alla rimliga åtgärder ska enligt 2 kap. 15 § vidtas för att person- uppgifter som är felaktiga eller ofullständiga med hänsyn till ända- målet med behandlingen utan onödigt dröjsmål rättas och för att hindra att sådana uppgifter lämnas ut eller görs tillgängliga. Person- uppgifter som är inaktuella ska uppdateras om det är nödvändigt. Alla rimliga åtgärder ska också enligt 2 kap. 16 § vidtas för att personuppgifter som behandlas i strid med grundläggande bestäm- melser om behandling utan onödigt dröjsmål raderas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Om personuppgifterna behöver finnas kvar som bevisning ska i stället behandlingen av uppgifterna utan onödigt dröjsmål begränsas. Längsta tid som personuppgifter får behandlas Personuppgifter får enligt huvudregeln i 2 kap. 17 § inte behandlas längre än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Det hindrar inte att en behörig myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. Om det inte finns en författningsbestämmelse om när en viss kategori av personuppgifter inte längre får behandlas för andra ändamål än arkivändamål, ska den personuppgiftsansva- rige enligt 2 kap. 18 § se över behovet av att fortsätta att be- handla personuppgifterna. Om ett beslut, som har rättsliga följder för en fysisk person eller annars i betydande grad påverkar honom eller henne, enbart grun- das på automatiserad behandling av sådana personuppgifter som är avsedda att bedöma hans eller hennes egenskaper, ska personen enligt 2 kap. 19 § ha möjlighet att på begäran få beslutet omprövat av någon person. Automatiserade beslut som grundas enbart på känsliga personuppgifter förbjuds. Behandling för ändamål utanför brottsdatalagens tillämpningsområde I 2 kap. 21 § erinras om att dataskyddsförordningen ska tillämpas när en behörig myndighet behandlar personuppgifter för ändamål utanför brottsdatalagens tillämpningsområde. Det innebär att för- ordningen ska tillämpas bl.a. när personuppgifter behandlas för att eventuellt lämnas ut till någon annan än en behörig myndighet för den myndighetens behov eller när en brottsbekämpande myndighet överväger att lämna ut personuppgifter för att användas i annan verksamhet som myndigheten bedriver. I 3 kap. 1 § slås fast att den personuppgiftsansvarige är ansvarig för all behandling av personuppgifter som utförs under dennes ledning eller på dennes vägnar. Vem som är personuppgiftsansvarig framgår som regel av myndigheternas registerförfattningar. Åtgärder för att säkerställa författningsenlig behandling I 3 kap. 2–5 §§ anges vilka tekniska och organisatoriska åtgärder en personuppgiftsansvarig är skyldig att vidta för att säkerställa och kunna visa att personuppgiftsbehandlingen är författningsenlig och att registrerades rättigheter skyddas. Det rör sig både om inbyggt dataskydd, dataskydd som standard och krav på loggning i auto- matiserade behandlingssystem. Den personuppgiftsansvarige ska också enligt 3 kap. 6 § se till att tillgången till personuppgifter begränsas till vad varje tjänste- man behöver för att kunna fullgöra sina arbetsuppgifter. I 3 kap. 7 § regleras den personuppgiftsansvariges skyldighet att både inför en ny typ av behandling och vid betydande förändringar av redan pågående behandling, som antas medföra särskild risk för intrång i registrerades personliga integritet, göra en s.k. konse- Om den visar att det finns särskild risk för intrång i registrerades integritet, eller om typen av behandling inne- bär särskild risk för intrång, ska den personuppgiftsansvarige sam- råda med tillsynsmyndigheten innan behandlingen påbörjas eller förändringen genomförs, s.k. förhandssamråd. Den personuppgiftsansvarige är enligt 3 kap. 8 § skyldig att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda per- sonuppgifterna, särskilt mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada. Om det inträffar en personuppgiftsincident ska den personupp- giftsansvarige enligt 3 kap. 9 § anmäla det till tillsynsmyndigheten från det att den personuppgiftsansvarige fick kän- nedom om incidenten. Anmälningsskyldigheten gäller dock inte om incidenten rör nationell säkerhet. Någon anmälan behöver inte heller göras bl.a. om det kan antas att incidenten inte har medfört eller kommer att medföra någon risk för otillbörligt intrång i regi- strerades personliga integritet. Den personuppgiftsansvarige ska enligt 3 kap. 10 § underrätta den registrerade om sådana personuppgiftsincidenter som ska an- mälas till tillsynsmyndigheten. Någon underrättelse behöver dock inte lämnas om det gäller sekretess eller tystnadsplikt, vilket fram- går av 3 kap. 11 §. Det finns även vissa andra undantag från anmäl- ningskyldigheten. Enligt 3 kap. 12 § ska den personuppgiftsansvarige samarbeta med tillsynsmyndigheten när den utför uppgifter enligt brottsdatalagen med tillhörande förordning. Skyldigheten, som är mer långtgående än kraven i förvaltningslagen, gäller generellt. Den personuppgiftsansvarige ska enligt 3 kap. 13 § utse data- skyddsombud och anmäla till tillsynsmyndigheten när sådana utses och entledigas. Dataskyddsombudens uppgifter anges i 3 kap. 14 §. Ombuden ska bl.a. självständigt kontrollera att den personupp- giftsansvarige behandlar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter. Om den per- sonuppgiftsansvarige bryter mot bestämmelser om behandling av personuppgifter och inte vidtar rättelse, ska dataskyddsombudet enligt 3 kap. 15 § anmäla det till tillsynsmyndigheten. Enligt 3 kap. 17 § får den personuppgiftsansvarige får anlita person- uppgiftsbiträden om det är lämpligt. Den personuppgiftsansvarige ska försäkra sig om att biträdet vidtar lämpliga tekniska och organi- satoriska åtgärder för att behandlingen av personuppgifter ska vara författningsenlig och för att skydda registrerades rättigheter. Det ska enligt 3 kap. 18 § upprättas ett skriftligt avtal eller en annan skriftlig överenskommelse om personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räkning. Ett personuppgiftsbiträde och de som arbetar under biträdets ledning får enligt 3 kap. 19 § bara behandla personuppgifter i enlig- het med instruktioner från den personuppgiftsansvarige. Två eller flera myndigheter får enligt 3 kap. 21 § vara gemensamt personuppgiftsansvariga endast i den utsträckning det följer av lag eller förordning eller regeringen i ett enskilt fall beslutar om det. Den personuppgiftsansvarige ska enligt 4 kap. 1 § göra viss allmän information tillgänglig för registrerade, exempelvis på myndighe- tens webbplats. Det gäller den personuppgiftsansvariges identitet och kontaktuppgifter, dataskyddsombudets kontaktuppgifter, än- damålen med behandlingen, rätten att få information och att begära rättelse, radering eller begränsning av behandlingen och möjlig- heten att lämna in klagomål till tillsynsmyndigheten och kontakt- uppgifterna till den. I specifika fall ska den personuppgiftsansvarige enligt 4 kap. 2 § på eget initiativ lämna viss ytterligare information till den registre- rade, om det behövs för att han eller hon ska kunna ta tillvara sina rättigheter. Det rör sig om bl.a. information om den rättsliga grun- den för behandlingen, kategorier av mottagare av uppgifterna, hur länge uppgifterna får behandlas och övrig nödvändig information. Den personuppgiftsansvarige ska vidare enligt 4 kap. 3 § till den som begär det utan onödigt dröjsmål lämna skriftligt besked om personuppgifter som rör honom eller henne behandlas. Om så är fallet ska sökanden få del av dem och få viss information om be- handlingen. Informationen avser bl.a. vilka personuppgifter om sökanden som behandlas, varifrån de kommer, den rättsliga grun- den för behandlingen, ändamålen med behandlingen och hur länge personuppgifterna får behandlas. Den som har varit föremål för ett automatiserat beslut får enligt 4 kap. 4 § begära närmare information om beslutet. Information enligt 4 kap. 1, 2 och 4 §§ ska enligt 4 kap. 12 § lämnas utan avgift. Information enligt 4 kap. 3 § ska lämnas utan avgift en gång . Begränsning av rätten till information Rätten till information enligt 4 kap. 2 eller 3 § får enligt 4 kap. 5 § begränsas i den utsträckning det är författningsreglerat eller fram- går av beslut som har meddelats med stöd av författning att upp- gifter inte får lämnas ut. Begränsning får dock bara göras av hänsyn till vissa i paragrafen uppräknade intressen, bl.a. intresset av att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätt- hålla allmän ordning och säkerhet och intresset av att nationell säkerhet skyddas. Om det finns grund för att begränsa informationen är den per- sonuppgiftsansvarige inte skyldig att lämna ut skälen för beslutet eller för beslut i fråga om rättelse, radering eller begränsning av behandlingen. Motsvarande undantag från informationsskyldigheten gäller för en behörig myndighet som inte tillämpar offentlighets- och sekre- tesslagen. Rätten till rättelse, radering och begränsning av behandlingen På begäran av den registrerade ska den personuppgiftsansvarige enligt 4 kap. 9 § utan onödigt dröjsmål rätta eller komplettera per- sonuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen. Om den personuppgiftsansvarige inte kan fastställa att personuppgifterna är korrekta ska behand- lingen av dem i stället utan onödigt dröjsmål begränsas. På begäran av den registrerade ska den personuppgiftsansvarige enligt 4 kap. 10 § utan onödigt dröjsmål radera personuppgifter om de behandlas på otillåtet sätt. Detsamma gäller om radering krävs för att den personuppgiftsansvarige ska fullgöra en rättslig för- pliktelse. Om uppgifterna behöver sparas som bevisning ska be- handlingen av dem i stället utan onödigt dröjsmål begränsas. Den personuppgiftsansvarige avgör enligt 4 kap. 11 § vilken åt- gärd som ska vidtas med anledning av en begäran om rättelse, rade- ring eller begränsning av behandlingen. I 5 kap. 1 § anges de dubbla perspektiv som tillsynsmyndigheten ska ha. Myndigheten ska verka både för att fysiska personers grundläggande fri- och rättigheter skyddas i samband med behand-