sou · H5B329 · 2017-04-05 00:00:00 — Delbetänkande av Utredningen om 2016 års dataskyddsdirektiv SOU och Ds kan köpas från kundservice. Beställningsadress: kundservice, 106 47 Ordertelefon: Webbplats: /offentligapublikationer För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på /remisser Layout: Kommittéservice, Tryck: , 2017 bemyndigade regeringen statsrådet att tillkalla en särskild utredare med uppdrag att föreslå hur EU:s direktiv om skydd av personuppgifter vid brottsbekämpning, brottmålshantering och straffverkställighet ska genomföras i svensk rätt. Regeringen beslutade om direktiv för utred- ningen (dir. 2016:21). Till särskild utredare förordnades numera f.d. överåklagaren . Utredningen har antagit namnet Utredningen om 2016 års data- skyddsdirektiv (Ju 2016:06). Till sakkunniga att biträda utredningen förordnades rättssakkunniga vid och kanslirådet vid . Till experter utsågs juristen vid Datainspektionen , verksjuristen vid , personuppgiftsombudet, tillika verksjuristen, vid , verksjuristen vid , verksjuristen vid mel, advokaten , sektionschefen vid , seniora föredraganden vid Säkerhets- och integri- tetsskyddsnämnden , it-utvecklingschefen vid myndigheten , dåvarande juristen vid Dom- stolsverket , verksjuristen vid och rättsliga experten vid . entledigades från sitt uppdrag och bitr. enhetschefen utsågs i hennes ställe. entledigades från sitt uppdrag och juristen utsågs i hennes ställe. vid har varit huvudsekreterare i utredningen . reterare i utredningen har varit verksjuristen , hovrättsassessorerna och , hovrättsassessorn och hov- rättsassessorn . Härmed överlämnas betänkandet Brottsdatalag, SOU 2017:29. Till betänkandet har fogats särskilda yttranden av experterna . Med undantag från vad som framgår där har de sakkunniga och experterna i huvudsak ställt sig bakom utredningens överväganden och förslag. Förslag till brottsdatalag (2018:000)...................................... Förslag till brottsdataförordning (2018:000)........................ 1.3Förslag till lag om ändring i lagen (2000:562) om internationell rättslig hjälp i brottmål.................................... 1.4Förslag till lag om ändring i lagen (2000:1219) om 1.5Förslag till lag om ändring i lagen (2003:1174) om vissa former av internationellt samarbete i brottsutredningar...... 1.6Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)....................................................... 1.7Förslag till lag om ändring i lagen (2017:000) om internationellt polisiärt samarbete ......................................... 1.8 Förslag till förordning om ändring i förordningen (2008:1396) om förenklat uppgiftsutbyte mellan brottsbekämpande myndigheter i Europeiska 1.9Förslag till förordning om ändring i förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd Utredningens uppdrag och arbete................................ Genomförande av uppdraget ................................................. Avgränsningen av uppdraget.................................................. Dagens reglering av behandlingen av personuppgifter .... Huvuddragen i dagens personuppgiftsreglering................... 3.1.3Personuppgiftslagens förhållande till annan 3.2 Särregler för brottsbekämpande verksamhet........................ Lagen om internationellt polisiärt samarbete...... Lagen om internationellt tullsamarbete............... 3.2.8Lagen om register över tillträdesförbud vid 3.3 Särregler för lagföring .......................................................... 3.3.3Register över ordningsbot och 3.4 Särregler för verkställighet av straff .................................... 3.4.1Särreglering bara för vissa former av 3.4.2Verkställighet av fängelse, skyddstillsyn och villkorlig dom med samhällstjänst........................ Verkställighet av bötesstraff................................. 3.4.4Verkställighet av rättspsykiatrisk vård, vård enligt socialtjänstlagen, ungdomsvård och verkställighet av straffrättsliga påföljder.............. 3.5Regler om personuppgiftsbehandling hos andra aktörer 3.5.1Uppgifter om brottsbekämpning, lagföring 3.5.2Offentliga försvarare och annat juridiskt Reformer på dataskyddsområdet ............................... Europeiska unionens dataskyddsreform ............................. Två nya rättsliga instrument ................................. Ett nytt dataskyddsdirektiv .................................. Viss personuppgiftsbehandling ligger utanför Det nya dataskyddsdirektivet .................................... Allmänt om direktivet .......................................................... Innehållet i direktivet............................................................ En ny ramlag........................................................... 6.1En ramlag för brottsbekämpning, lagföring och straffverkställighet bör införas............................................. En ny reglering behövs.......................................... En generellt tillämplig men subsidiär lag ............. lag bör upphävas...................................... Uttryck i ramlagen ............................................................... Dataskyddsbestämmelser i tidigare rättsakter och avtal .... Utformningen av tillämpningsområdet .............................. myndigheter utför för vissa syften....................... brottsbekämpning, lagföring och 7.1.3Personuppgiftsbehandling som rör allmän ordning och säkerhet ............................................ Vad är en behörig myndighet? 7.1.5Arbetsuppgifterna är avgörande för när en myndighet är behörig............................................ Helt eller delvis automatiserad behandling ......... 7.2 Undantag från tillämpningsområdet ................................... 7.2.1Personuppgiftsbehandling som rör nationell 7.2.2Den gemensamma utrikes- och 7.3Förhållandet till offentlighetsprincipen och till tryck- Gränsdragningsfrågor som rör tillämpningsområdet ..... Några allmänna principer för gränsdragningen .................. Gränsdragningsfrågor som rör brottsbekämpning............. Anmälan om brott................................................. Användning av straffprocessuella tvångsmedel... 8.2.3Utredning av brott som begåtts av någon 8.2.4Stödverksamhet till den brottsbekämpande Handräcknings- och transportverksamhet.......... Samverkan mot organiserad brottslighet............. 8.2.9Omhändertagande och förstörande av alkohol och narkotika m.m................................................. 8.2.10Kontrollverksamhet eller brottsbekämpning?..... 8.2.11Allmän övervakning eller brottsbekämpning?..... 8.3 Gränsdragningsfrågor som rör lagföring............................. Brottmålshantering i domstol............................... Särskild talan i brottmål ........................................ Talan om förbud i vissa fall ................................... Personutredning i brottmål................................... Behandling av uppgifter om lagöverträdelser ...... 8.4Gränsdragningsfrågor som rör verkställighet av Verkställighet av sluten ungdomsvård Verkställighet av påföljder som innebär vård 8.5Gränsdragningsfrågor som rör upprätthållande av allmän ordning och säkerhet ................................................ Tvångsingripanden vid ordningsstörningar ......... Tillträdesförbud vid idrottsarrangemang ............. 8.5.4Ordningsvakter och andra med likartade Lagstiftning av i huvudsak social karaktär ........... Principer för behandling av personuppgifter ............... 9.1Behandling för ändamål inom ramlagens 9.1.1Förutsättningarna för att få behandla Rättslig grund för behandling – huvudregeln ...... 9.1.3Rättslig grund i undantagsfall för diarieföring 9.1.4Skillnad mellan bestämmelser om rättslig grund för behandling och 9.1.5Behandling bara för särskilda, uttryckligt angivna och berättigade ändamål.......................... Behandling för nya ändamål ................................. 9.1.7Behandling för vetenskapliga, statistiska och 9.2 Grundläggande krav på behandlingen ................................. 9.2.1Ingen generell bestämmelse om 9.2.2Personuppgifter ska vara korrekta och 9.2.3Olika typer av personuppgifter ska skiljas från 9.2.5Inga ytterligare regler om vilka personuppgifter som får behandlas...................... Åtgärder för att säkerställa Längsta tid som personuppgifter får behandlas.................. Terminologin bör renodlas................................... Hur länge får personuppgifter behandlas? 9.6Behandling för ändamål utanför ramlagens Vad innebär personuppgiftsansvar?..................................... Definition av personuppgiftsansvarig.................. 10.2 Skyldigheten att säkerställa författningsenlig 10.2.1 Tekniska och organisatoriska åtgärder................. Tillgången till personuppgifter ............................. Förhandssamråd med tillsynsmyndigheten ......... Samarbete med tillsynsmyndigheten.................... 10.2.7 Skyldighet att förteckna behandlingar ................. Anmälan av överträdelser...................................... Säkerheten för personuppgifter ........................................... 10.4.1 Vad är en personuppgiftsincident?....................... Anmälan till tillsynsmyndigheten ........................ 10.4.3 Underrättelse till den registrerade........................ 10.4.4Dokumentations- och underrättelseskyldighet... 338 Definition av dataskyddsombud........................... Krav på dataskyddsombud.................................... Definition av personuppgiftsbiträde .................... Anlitande av personuppgiftsbiträden ................... 10.6.4 Skyldighet att förteckna behandlingar ................. 10.7.1 Gemensamt personuppgiftsansvar ............... 10.7.2 En tydligare reglering av gemensamt Tydligare reglering av enskildas rättigheter ........................ Rätten till information ......................................................... 11.2.1 Allmänt om rätten till information...................... 11.2.2 Reglerna om information i straffrättsliga förfaranden har företräde...................................... Innehållet i direktivet............................................ 11.2.5 Innebörden av artiklarna om information ........... 11.2.6 Allmän information som ska göras tillgänglig .... 11.2.7 Information som ska lämnas i specifika fall ........ 11.2.8 Information som ska lämnas på begäran ............. 11.2.9 Information om automatiserade beslut ............... Begränsning av rätten till information ................................ 11.3.1 Rätten till information får begränsas ................... Kategorier av behandling ...................................... 11.3.3 Ofärdig text och minnesanteckningar ................. 11.3.4Orimliga eller uppenbart ogrundade Rättelse, radering och begränsning av behandlingen.......... 11.4.1 Rätten till rättelse och komplettering.................. Rätten till radering ................................................ Begränsning av behandlingen ............................... Val av åtgärd .......................................................... Hur informationen ska begäras och lämnas........................ 11.5.1Kraven på informationen och på den som 11.5.2 Skriftlig begäran .................................................... 11.5.3Åtgärder för att säkerställa att begäran görs av en behörig person.................................................. 11.5.4 Lättbegriplig information i lämplig form ............ 11.5.5 Åtgärder som underlättar utövandet av 11.5.6 Skyldighet att informera om handläggningen ..... 11.5.7 Beslut ska vara skriftliga och motiverade ............ 11.5.9 Information ska inte avgiftsbeläggas.................... Dagens tillsyn över personuppgiftsbehandling................... Säkerhets - och integritetsskyddsnämnden Utgångspunkter för utredningens överväganden om 12.3.1Förslaget från Utredningen om tillsyn över den personliga integriteten ................................... Annan tillsyn kan också förekomma.................... Tillsynsområdet bör slås fast i en definition........ 12.4.2Ingen förändring av tillsynen över dömande 12.5.1 oberoende ska värnas....... 12.5.2 ska ha dubbla perspektiv... 12.6.1 Huvuduppgifterna bör regleras i ramlagen .......... Klagomål från enskilda.......................................... 12.6.3 Kontroll av om behandling är Information och rådgivning.................................. 12.7.1 Hur bör tillsynen bedrivas? Utgångspunkterna för regleringen....................... 12.7.4Skillnad mellan förebyggande och 12.8 Handläggningen av tillsynsfrågor ........................................ Beslut ska gälla när de fått laga kraft.................... Möjlighet att ifrågasätta giltigheten av unionsrättsakter ... Skyldighet att bistå en tillsynsmyndighet i en Svensk begäran om bistånd av en annan Tillsyn ska vara avgiftsfri...................................................... ska inte kunna ta ut Ersättning för bistånd till en annan Utgångspunkter för valet av sanktionssystem.................... Olika typer av sanktioner ..................................... Innehållet i direktivet och nuvarande reglering... Ett sammanhållet sanktionssystem...................... Vilket sanktionssystem bör väljas?...................................... Ingen straffbestämmelse i ramlagen..................... En ny administrativ sanktion ska införas ............ Utformningen av sanktionsavgiftssystemet ....................... Vem ska betala sanktionsavgift?.......................................... Vad ska föranleda sanktionsavgift? 13.5.2Överträdelser som kan föranleda Ska sanktionsavgift alltid tas ut? 13.6 Hur sanktionsavgiften ska bestämmas................................ 13.6.2Hur avgiften ska bestämmas i det enskilda Beslut om sanktionsavgift .................................................... 13.7.1 Vem ska besluta om sanktionsavgift? 13.7.2 Förfarandet vid beslut om sanktionsavgift .......... Betalning och verkställighet.................................. 13.8.1 Konventionens krav på rättssäkerhetsgarantier... 13.8.2 Konventionens förbud mot dubbelprövning....... Rättsmedel och skadestånd ...................................... Krav på effektiva rättsmedel vid felaktig Talerätt för registrerade........................................................ Det allmännas skadeståndsansvar......................... Överklagande av en myndighets beslut i egenskap av 14.6.1 En särskild reglering behövs ................................. Handläggningen hos tillsynsmyndigheten........... Överklagande av tillsynsmyndighetens beslut.................... 14.7.1Tillsynsmyndighetens beslut ska kunna 14.7.2 Det behövs ingen ny forumregel .......................... 14.8 Rättsmedlen är oberoende av varandra................................ 14.9 Rätt för ideella organisationer att företräda registrerade ... 564 Överföring till tredjeland och internationella Innehållet i direktivet............................................ Några grundläggande begrepp ............................................. Allmänna principer för överföring av personuppgifter...... 15.3.1 Grundläggande förutsättningar för överföring ... 15.3.2Överföringen ska vara nödvändig för ett visst ändamål och riktas till en behörig myndighet ..... 15.3.3 Viss skyddsnivå ska vara säkerställd .................... 15.3.4 Överföring av uppgifter från andra medlemsstater ska vara medgiven ........................ Beslut om adekvat skyddsnivå ............................................. Undantag i särskilda situationer .......................................... 15.6.1 Överföringen ska vara nödvändig i en särskild Enskildas vitala intressen...................................... Registrerades berättigade intressen...................... 15.6.4 Myndigheters intresse i enskilda fall.................... 15.6.5 Rättsliga anspråk i enskilda fall ............................ 15.6.6 Allvarlig fara för allmän säkerhet ......................... 15.6.7 En intresseavvägning ska göras i vissa fall ........... Överföring till andra än behöriga myndigheter.................. 15.8.1Förutsättningarna för överföring till andra än 15.8.2 Överföringen ska vara absolut nödvändig........... 15.8.3Överföring till behörig myndighet blir ineffektiv eller är olämplig .................................... En intresseavvägning ska göras............................. 15.9 Villkor för användningen av personuppgifter ..................... Villkor som ställs upp av utländska myndigheter eller organ ........................................ 15.9.2Villkor när personuppgifter överförs av 15.10 Dokumentationskrav och informationsskyldighet............. Sekretess vid överföring till tredjeland ................................ Överföring innebär utlämnande ........................... Utlämnande av offentliga allmänna handlingar Uppgifter som inte är sekretessbelagda ............... Uppgifter som är sekretessbelagda....................... Allmänt om offentlighet och sekretess ............................... Rätten att ta del av allmänna handlingar .............. Huvuddragen i sekretessregleringen .................... Ändrade regler om sekretess och tystnadsplikt med anledning av dataskyddsreformen........................................ Sekretess i tillsynsverksamheten.......................................... Behovet av en ny sekretessbestämmelse .............. Utformningen av sekretessbestämmelsen............ En sekretessbrytande regel för En hänvisningsbestämmelse bör införas .............. Sekretess för sammanställningar av känsliga Sekretess för rapporter om personuppgiftsincidenter........ Få helt nya krav eller arbetsuppgifter men skärpta krav i 17.2.2 .......Konsekvenser för kommuner och landsting Konsekvenser för brottsligheten och det Konsekvenser ...........................................................i övrigt Ikraftträdande och övergångsbestämmelser ................ 18.2.1 Den nya dataskyddsregleringen medför 18.2.3 Övergångsbestämmelser till det nya Övergångsbestämmelser i övrigt.......................... Förslaget till brottsdatalag ................................................... Förslaget till lag om ändring i lagen (2000:562) om internationell rättslig hjälp i brottmål ................................. Förslaget till lag om ändring i lagen (2000:1219) om Förslaget till lag om ändring i lagen (2003:1174) om vissa former av internationellt samarbete i Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400) .................................................... 19.6 Förslaget till lag om ändring i lagen (2017:000) om internationellt polisiärt samarbete ....................................... och rådets direktiv (EU) 2016/680........................................................................ Europeiska unionen har enats om en genomgripande dataskydds- reform som ska vara genomförd . Reformen om- fattar dels en allmän dataskyddsförordning, dels ett dataskydds- direktiv som behandlar dataskyddet vid bl.a. brottsbekämpning, lagföring och straffverkställighet. En konsekvens av reformen är att personuppgiftslagen kommer att upphävas och att all lagstiftning om personuppgiftsbehandling behöver ses över och anpassas. Utredningens uppdrag är att föreslå hur det nya direktivet ska genomföras i svensk rätt. Eftersom regleringen i förordningen inte omfattar det som regleras i direktivet är en viktig uppgift att genom den nya lagstiftningen avgränsa tillämpningsområdet i förhållande till förordningen. Alla myndigheter som kommer att tillämpa den lagstiftning som genomför direktivet kommer även att tillämpa förordningen. Ut- redningen har därför strävat efter att ha samma terminologi och likartade lösningar som i förordningen, när båda rättsakterna inne- håller samma eller liknande artiklar och det inte finns sakliga skäl att välja en annan lösning för direktivets del. Uppdraget har genomförts i nära kontakt med Dataskyddsut- redningen, som har till uppgift att senare i vår lägga fram de förslag till kompletterande reglering som dataskyddsförordningen kan kräva och att utreda vissa andra generella frågor som dataskyddsre- formen väcker. Under arbetet har utredningen också haft kontakt med alla andra pågående utredningar vilkas arbete kan påverkas av vår utrednings förslag. Utredningen föreslår att direktivet i huvudsak genomförs genom en ny ramlag, brottsdatalagen. Syftet med lagen är både att skydda fysiska personers grundläggande fri- och rättigheter och att säker- ställa att behöriga myndigheter kan behandla och utbyta person- uppgifter med varandra på ett ändamålsenligt sätt. Lagen ska – i lik- het med personuppgiftslagen – vara generellt tillämplig inom det område som direktivet reglerar. Lagen ska även vara subsidiär. De myndigheter som bedriver verksamhet inom lagens tillämpnings- område har i allmänhet särskilda registerförfattningar som reglerar personuppgiftsbehandlingen. Utredningen kommer att i slutbetän- kandet föreslå de anpassningar som krävs med anledning av ram- lagen i de registerförfattningar som ingår i utredningens uppdrag. Registerförfattningarna kommer att gälla utöver brottsdatalagen. Lagen kompletteras med en förordning, som genomför vissa detaljbestämmelser i direktivet. Lagen ska tillämpas av myndigheter som har till uppgift att före- bygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder vid behandling av personuppgifter. Lagen ska också gälla för personuppgiftsbe- handling vid upprätthållande av allmän ordning och säkerhet. De som har sådana arbetsuppgifter betecknas behöriga myndigheter. Lagen ska även tillämpas av andra aktörer som har fått i uppgift att utöva myndighet för något av de nämnda syftena. De behöriga myndigheternas behandling av personuppgifter kommer dock bara att styras av lagen när de behandlar personupp- gifter i syfte att förebygga, förhindra eller upptäcka brottslig verk- samhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Dataskyddsförord- ningen kommer att bli tillämplig i övrigt, t.ex. när Polismyndig- heten behandlar personuppgifter i tillståndsärenden eller när en allmän domstol handlägger ett tvistemål. Det som blir avgörande för om lagen är tillämplig är dels om det är en behörig myndighet som behandlar personuppgifterna, dels syftet med behandlingen. Gränsdragningsfrågor som rör lagens tillämpningsområde disku- teras ingående i kapitel 8. Lagen ska i huvudsak gälla för sådan behandling av personupp- gifter som är helt eller delvis automatiserad. Lagen ska inte tillämpas på Säkerhetspolisens behandling av per- sonuppgifter som rör nationell säkerhet. Undantag ska också gälla för om den övertagit en uppgift som rör natio- nell säkerhet från Säkerhetspolisen. Något motsvarande undantag för andra myndigheter vid deras behandling av uppgifter som rör nationell säkerhet görs inte. Principer för behandlingen av personuppgifter Det ska alltid finnas en rättslig grund för att personuppgifter ska få behandlas med stöd av ramlagen. Den huvudsakliga grunden att behandlingen av personuppgifterna ska vara nödvändig för att en behörig myndighet ska kunna utföra en sådan arbetsuppgift som gör lagen tillämplig. Arbetsuppgiften ska framgå av en bindande unionsrättsakt, en lag, en förordning eller ett särskilt beslut av regeringen. Den andra rättsliga grunden är om behandlingen krävs för diarieföring eller om uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning. Personuppgifter får dessutom bara behandlas för särskilda, ut- tryckligt angivna, och berättigade ändamål. Det ställs krav på att personuppgifterna ska behandlas författ- ningsenligt och på ett korrekt sätt.