sou · H5B329 · 2017-04-05 00:00:00 — Genetiska uppgifter räknas upp i artikel 10 som en särskild kate- gori av personuppgifter som bara får behandlas under vissa förut- sättningar (se avsnitt 9.2.4). Definitionen av vad som avses med genetiska uppgifter får därmed betydelse för i vilken utsträckning uppgifter som tas fram vid analys av prover från människokroppen får behandlas. I direktivets definition nämns information om fysiologi eller hälsa. Det går dock även att få fram annan information genom analys av ett sådant biologiskt prov, exempelvis information om en persons biogeografiska ursprung. kommer man troli- gen att kunna ta fram ytterligare uppgifter ur sådana prover. Utred- ningen anser därför att all information som rör nedärvda eller för- värvade genetiska kännetecken för en person och som kan tas fram ur ett prov från människokroppen bör anses vara genetiska uppgif- ter. Det bör också gälla information som på motsvarande sätt kan tas fram ur spår som påträffas på en brottsplats, exempelvis blod- spår. Det bör framgå av definitionen. Det innebär att definitionen av genetiska uppgifter i ramlagen blir något vidare än den i data- skyddsförordningen. Det bör enligt utredningens mening inte or- saka några problem i praktiken. Genetiska uppgifter bör således definieras som personuppgifter som rör en persons nedärvda eller förvärvade genetiska känne- tecken och som härrör från analys av ett spår av eller ett prov från personen i fråga. I artikel 3.16 anges vad som avses med en internationell organisa- tion. Att det bör införas en definition av internationell organisation i ramlagen och hur den bör utformas behandlas i avsnitt 15.2.4. Medlemsstat definieras inte i direktivet. I avsnitt 15.2.2 diskuterar utredningen behovet av en definition och hur den bör utformas. Enligt artikel 3.10 omfattar uttrycket mottagare i princip samtliga personer, myndigheter eller andra organ till vilka personuppgifter lämnas ut. Myndigheter som får del av personuppgifter för att kunna utföra ett särskilt uppdrag ska dock inte anses som motta- gare. I skäl 22 anges som exempel på myndigheter som får del av personuppgifter för att utföra särskilda uppdrag, skatte- och tull- myndigheter, finansutredningsgrupper, oberoende administrativa myndigheter eller finansmarknadsmyndigheter med ansvar för re- glering av värdepappersmarknader. I 3 § personuppgiftslagen, som genomför artikel i det nu gällande direktivet, anges att en myndighet inte ska anses som mot- tagare när personuppgifter lämnas ut till myndigheten för att den ska kunna utföra sådan tillsyn, kontroll eller revision som den är skyldig att sköta. Vilka myndighetsuppdrag som åsyftas kommen- teras inte i förarbetena, utan där anges endast att definitionen av mottagare är avsedd att ha samma innebörd som motsvarande ut- tryck i direktivet (prop. 1997/98:44 s. 116). En motsvarande defi- nition behövs i ramlagen. Mottagare bör definieras som den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av för- fattning utövar tillsyn, kontroll eller revision. Med personuppgift avses enligt både det nu gällande och det nya direktivet varje upplysning som avser en fysisk person som är identifierad eller som kan identifieras. I definitionen i artikel 3.1 exemplifieras personuppgifter som upplysningar om namn, identi- fikationsnummer, lokaliseringsuppgift eller onlineidentifikatorer eller faktorer som är specifika för personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Det framgår inte uttryckligen av direktivet om det gäller för uppgifter om avlidna personer eller inte. Definitionen av person- uppgift omfattar enligt sin ordalydelse även uppgifter om avlidna personer. Definitionen är densamma som i artikel 4.1 i dataskydds- förordningen. I skäl 27 i förordningen anges emellertid att den inte gäller för behandling av personuppgifter om avlidna personer, men att medlemsstaterna får fastställa bestämmelser för behandlingen av sådana personuppgifter. Det kan enligt utredningens mening inte ha varit avsikten att behandling av uppgifter om avlidna skulle om- fattas av direktivet men inte av förordningen när definitionerna av personuppgift i princip är identiska. Utredningen betraktar det som ett rent förbiseende att inte motsvarande skäl finns i direkti- vet. För att tydliggöra att personuppgift har samma betydelse som i förordningen bör det framgå av definitionen att den inte omfattar uppgifter om avlidna personer. Personuppgifter bör alltså definieras som varje upplysning om en identifierad eller identifierbar fysisk person som är i livet. Att det bör finnas en definition av personuppgiftsansvarig och hur den bör utformas framgår av avsnitt 10.1.1. Att det bör finnas en definition av personuppgiftsbiträde och hur den bör utformas framgår av avsnitt 10.6.1. Att det bör finnas en definition av personuppgiftsincident och hur den bör utformas framgår av avsnitt 10.4.1. I direktivets definition av personuppgift i artikel 3.1 anges att en identifierad eller identifierbar fysisk person benämns registrerad. Definitionen av personuppgift är utformad på samma sätt i det nu gällande direktivet. I 3 § personuppgiftslagen definieras däremot den registrerade som den som en personuppgift avser. Utredningen anser att det blir tydligare att definiera vad som av- ses med en registrerad än att låta det ingå som en del av definitio- nen av personuppgift. Registrerad bör därför definieras som den fysiska person som personuppgiften rör. Det blir då en skillnad i förhållande till dataskyddsförordningen men det saknar praktisk betydelse. Att det bör finnas en definition av tillsynsmyndighet och hur den bör utformas framgår av avsnitt 12.4.1. Det finns ingen definition av tredjeland i direktivet trots att det innehåller detaljerade regler om överföringar av personuppgifter till bl.a. tredjeland. Att det bör finnas en definition av uttrycket tredje- land och hur den bör utformas framgår av avsnitt 15.2.3. Det finns ingen definition av tredje man i direktivet men däremot i 3 § personuppgiftslagen. Att det bör finnas en definition av tredje man och hur den bör utformas framgår av avsnitt 11.3.3. Uppgift som rör hälsa Varken det nu gällande dataskyddsdirektivet eller personuppgifts- lagen definierar vad som avses med uppgift som rör hälsa. Enligt artikel 3.14 avses personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhandahållande av hälso- och sjuk- vårdstjänster, vilka ger information om dennes hälsostatus. I skäl 24 anges att det gäller information om en persons tidigare, nu- varande eller framtida fysiska eller psykiska hälsotillstånd. också exempel på vilka uppgifter som kan anses avse hälsa. Ram- lagen bör innehålla en definition av vad som avses med uppgift som rör hälsa som motsvarar definitionen i direktivet. Uppgift som rör hälsa bör definieras som personuppgift som rör en persons fysiska eller psykiska hälsa, inkluderande information om tillhandahållande av hälso- och sjukvårdstjänster som ger upplysning om personens hälsostatus. Uppgifter om hälsa räknas upp i artikel 10 som en särskild kate- gori av personuppgifter som bara får behandlas under vissa förut- sättningar (se avsnitt 9.2.4). 6.3Dataskyddsbestämmelser i tidigare rättsakter och avtal Utredningens bedömning: Det behövs inte någon särskild reg- lering för att genomföra artiklarna 60 och 61 i direktivet. Skälen för utredningens bedömning Innehållet i direktivet och nuvarande reglering Enligt artikel 60 ska direktivet inte påverka tillämpningen av sär- skilda bestämmelser om skydd av personuppgifter i unionsrätts- akter på området för straffrättsligt samarbete och polissamarbete som trädde i kraft eller tidigare. En förutsättning är dock att rättsakterna reglerar behandlingen av personuppgifter mel- lan medlemsstaterna eller medlemsstaternas tillgång till informa- tionssystem som är relevanta för direktivets tillämpningsområde. Kommissionen ska enligt artikel 62.6 se över om tidigare rättsakter behöver anpassas till direktivet och, om så behövs, lägga fram för- slag till ändring av dessa rättsakter. De tidigare rättsakterna på om- rådet ska alltså fortsätta att gälla tills de ändras eller upphävs. Som exempel på tidigare rättsakter som ska kvarstå oförändrade nämns i skäl 94 rådets beslut /615/RIF av om ett fördjupat gränsöverskridande samarbete, särskilt för bekämp- ning av terrorism och gränsöverskridande brottslighet (Prümråds- beslutet) och konventionen om ömsesidig rättslig hjälp i brottmål mellan Europeiska unionens medlemsstater (rådets akt av den 29maj 2000). Enligt artikel 61 ska internationella avtal som rör överföring av personuppgifter till tredjeland eller internationella organisationer och som ingicks av medlemsstaterna före fortsätta att gälla tills de ändras, ersätts eller återkallas. En förutsättning är dock att avtalen är förenliga med unionsrätten så som den tilläm- pades före angivet datum. En liknande bestämmelse finns i artikel 26 i dataskyddsrambe- slutet. Enligt den ska rambeslutet inte påverka medlemsstaternas eller unionens skyldigheter och åtaganden enligt de bilaterala och/eller multilaterala avtalen med tredjeland som redan gällde när rambeslutet antogs. Artikel 26 ansågs inte kräva någon lagstift- ningsåtgärd (prop. 2012/13:73 s. 108). Bestämmelser om skydd för personuppgifter i tidigare rättsakter Det finns en rad unionsrättsakter på området för straffrättsligt samarbete och polissamarbete som innehåller bestämmelser om skydd av personuppgifter. Sådana bestämmelser ska alltså gälla i stället för direktivet om de är äldre än det. På motsvarande sätt bör sådana svenska lagar och förordningar som genomför de tidigare antagna unionsrättsakterna ges företräde framför ramlagen. Det är därför av intresse vilka rättsakter som har trätt i kraft före direktivet och som har genomförts i svensk rätt. Prümrådsbeslutet och konventionen om ömsesidig rättslig hjälp i brottmål mellan EU:s medlemsstater har redan nämnts som exem- pel på tidigare unionsrättsakter på området. Konventionen av om tillämpningen av och rådets beslut /533/RIF av om inrättande, drift och använd- ning av andra generationen av Schengens informationssystem (SIS II) är också sådana tidigare unionsrättsakter som ska tillämpas i stället för direktivet. Konventionen upprättad på grundval av arti- kel K 3 i fördraget om Europeiska unionen om ömsesidigt bistånd och samarbete mellan tullförvaltningar är ett annat exempel på en tidigare unionsrättsakt på området. En annan sådan rättsakt är och rådets direktiv (EU) 2015/413 av om gränsöverskridande informationsutbyte om tra- fiksäkerhetsrelaterade brott (det s.k. CBE-direktivet). Rådets be- slut /633/RIF av om åtkomst till informa- tionssystemet för viseringar (VIS) för sökningar för medlemssta- ternas utsedda myndigheter och för Europol i syfte att förhindra, upptäcka och utreda terroristbrott och andra grova brott är också en äldre unionsrättsakt som innehåller bestämmelser om skydd av personuppgifter som ska gälla framför direktivet. De nu aktuella unionsrättsakterna har i huvudsak genomförts i svensk rätt genom lagen (2000:344) om Schengens informations- system, lagen (2000:562) om internationell rättslig hjälp i brottmål, lagen (2003:1174) om vissa former av internationellt samarbete i brottsutredningar, lagen (2000:1219) om internationellt tullsamar- bete och den föreslagna lagen om internationellt polisiärt sam- arbete. Rådets rambeslut /960/RIF av om förenklat informations- och underrättelseutbyte mellan de brotts- bekämpande myndigheterna i unionens medlemsstater har genomförts i förordningen (2008:1396) om förenklat uppgifts- utbyte mellan brottsbekämpande myndigheter i Europeiska unio- nen. Förordningen är även tillämplig på informationsutbyte enligt rådets beslut /845/RIF av om samarbete mellan medlemsstaternas kontor för återvinning av tillgångar när det gäller att spåra och identifiera eller annan egendom som härrör från brott. Regleringen innehåller bestämmelser om data- skydd och får därmed anses vara en sådan äldre rättsakt som avses i artikel 60. Rådets rambeslut /315/RIF av om organisationen av medlemsstaternas utbyte av uppgifter ur krimi- nalregistret och uppgifternas innehåll syftar till att förbättra och underlätta utbytet av uppgifter ur kriminalregister mellan EU:s medlemsstater. Beslutet lägger också grunden för det europeiska informationssystemet för utbyte av uppgifter ur kriminalregistret, Ecris (rådets beslut /316/RIF av om inrät- tande av det europeiska informationssystemet för utbyte av upp- gifter ur kriminalregistret). Rambeslutet har genomförts i lagen (1998:620) om belastningsregister, förordningen (1999:1134) om belastningsregister och polisdatalagen. Rambeslutet och reglering- en som genomför det innehåller vissa bestämmelser om skydd för personuppgifter som bör ha företräde framför direktivet. En annan unionsrättsakt av intresse i sammanhanget är Euro- polförordningen (och rådets förordning [EU] 2016/794 av om Europeiska unionens byrå för samarbete inom brottsbekämpning [Europol] och om ersättande och upphävande av rådets beslut /371/RIF, 2009/934/RIF, 2009/935/RIF, 2009/936/RIF och 2009/968/RIF). Förordningen ska, med något undantag, tillämpas . Den antogs och trädde i kraft efter att den hade offentliggjorts i Europeiska unionens officiella tidning, vilket gjordes . Förordningen har alltså trätt i kraft efter och omfattas därför inte av artikel 60. Förord- ningen innehåller bestämmelser om behandling av personuppgifter men det är inte klart hur de förhåller sig till direktivet. Genom rådets beslut /187/RIF av in- rättades Eurojust för att stärka kampen mot grov brottslighet. Rådets beslut har sedermera ändrats genom besluten /659/RIF och 2009/426/RIF. Regleringen innehåller vissa bestämmelser om dataskydd för behandling av personuppgifter vid Eurojust. Beslutet om att inrätta Eurojust har genomförts enbart genom att Eurojusts administrativa direktör och personalen vid Eurojust har lagts till i bilagan till lagen (1976:661) om immunitet och privilegier i vissa fall. Det finns ett förslag till förordning om Eurojust genom vilken Eurojust bl.a. ska få en förnyad rättslig ram, men det har ännu inte antagits. Avtal om överföring till tredjeland och internationella organisationer Som framgått ovan ska internationella avtal som rör överföring av personuppgifter till tredjeland och internationella organisationer och som ingåtts före fortsätta att gälla. Med inter- nationella avtal bör, enligt utredningens mening, i detta samman- hang förstås varje gällande bilateralt eller multilateralt avtal mellan medlemsstater och tredjeland eller med internationella organisatio- ner inom området för straffrättsligt samarbete och polissamarbete som rör överföring av personuppgifter. Som exempel på bilateralt avtal om informationsutbyte som ingått med tredjeland kan nämnas avtalet med om samarbete mellan brottsbekämpande myndigheter för att bekämpa organiserad brottslighet (SÖ 2013:3). Avtalet innehåller till viss del bestämmelser om dataskydd, som hänvisar till internationella över- enskommelser. Avtalet med Bosnien och ministerråd om samarbete mellan brottsbekämpande myndigheter (SÖ 2013:4) innehåller liknande bestämmelser. har även ingått ett flertal bilaterala avtal när det gäller informationsutbyte på tullområdet, t.ex. med och . Avtalet med är genomfört i förordningen (1988:146) om till- lämpning av en överenskommelse mellan om ömsesidigt bistånd i tullfrågor. Avtalet med regleras i förordningen (1994:8) om tillämpning av en överenskommelse mellan och om ömsesidigt bistånd i tullfrågor och förordningen (1998:318) om tillämpning av ett avtal mellan och om ömsesidigt bistånd vid bekämpning av vissa fiskala brott. Någon särskild reglering behövs inte Av artiklarna 60 och 61 följer att särskilda bestämmelser om skydd av personuppgifter i unionsrättsakter på området och internatio- nella avtal som rör överföring av personuppgifter till tredjeland och internationella organisationer som medlemsstaterna ingått innan direktivet antogs ska tillämpas framför direktivet och gälla tills de ändras eller upphävs. Det är alltså inte fråga om någon tillfällig eller övergående reglering, utan en inskränkning i direktivets tillämp- ningsområde. De tidigare unionsrättsakter och avtal som ingått med tredjeland har i allt väsentligt genomförts i svensk rätt. I den mån sådana lagar och förordningar reglerar dataskydd på ram- lagens tillämpningsområde bör de gälla framför ramlagen. I avsnitt 6.1.2 föreslås att ramlagen ska vara subsidiär. Där dis- kuteras framför allt förhållandet mellan ramlagen och myndigheter- nas registerförfattningar, men resonemanget gör sig gällande även här. Några särskilda bestämmelser som genomför artiklarna 60 och 61 behövs därför inte. 7.1.1Personuppgiftsbehandling som behöriga myndigheter utför för vissa syften Utredningens förslag: Ramlagens tillämpningsområde ska kny- tas till behandling av personuppgifter som behöriga myndig- heter utför för vissa syften. Skälen för utredningens förslag: Direktivet ska enligt artikel 2.1 tillämpas på behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Personuppgiftsbehandling inom direktivets tillämpningsområde är enligt artikel 2.2 d i dataskyddsförordningen undantagen från förordningens tillämpningsområde. Eftersom förordningen är direkt tillämplig i svensk rätt och gäller för all personuppgiftsbe- handling som regleras av unionsrätt och inte omfattas av direktivet är avgränsningen av ramlagens tillämpningsområde en central fråga. Direktivet gäller för all personuppgiftsbehandling inom sitt till- lämpningsområde, även om den är helt nationell. Det är en bety- dande skillnad i förhållande till dataskyddsrambeslutet, som bara gäller för behandling av personuppgifter inom ramen för polisiärt och straffrättsligt samarbete när personuppgifter överförs eller görs tillgängliga mellan EU-medlemsstater, , , och och EU-organ och EU:s informationssystem. I övrigt är tillämpningsområdet för direktivet och rambeslutet angivet på i stort sett samma sätt – båda omfattar behandling av personuppgif- ter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Direktivets tillämpningsområde omfattar också personuppgiftsbehandling i syfte att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Det väcker frågan om regleringen i ramlagen kan utgå från hur till- lämpningsområdet är utformat lag. Tillämpningsområdet lag bygger på i vilken verk- samhet personuppgifter behandlas. En sådan lösning är enkel och tydlig för tillämparen. Som nämnts bygger direktivets tillämp- ningsområde på dels syftet med behandlingen, dels om det är en behörig myndighet som utför den. Att enbart knyta ramlagens tillämpningsområde till i vilken verksamhet personuppgiftsbehand- ling utförs skulle därför göra det för vidsträckt. Som exempel kan nämnas att man i Kriminalvårdens häktesverksamhet behandlar personuppgifter både om personer som är frihetsberövade på grund av brottsutredning, lagföring och straffverkställighet och personer som är föremål för olika administrativa frihetsberövanden, t.ex. tvångsvård eller häktning enligt konkurslagen (1987:672). Om syf- tet med förvaringen i häkte är brottsbekämpning, lagföring, straff- verkställighet eller ordningshållning ligger det under direktivets tillämpningsområde. Är det däremot fråga om ett frihetsberövande av något annat slag gäller som regel dataskyddsförordningen (se av- snitt 8.2.5). Tillämpningsområdet kan dock inte heller knytas enbart till syftet med personuppgiftsbehandlingen. Kameraövervakning kan tas som exempel för att illustrera det. Fast monterade kameror får sättas upp i exempelvis banklokaler och butikslokaler, om syftet med övervakningen ska vara att förebygga, avslöja eller utreda brott. Bankens eller butikens personuppgiftsbehandling i samband med sådan övervakning skulle därmed omfattas av ramlagens till- lämpningsområde om enbart syftet med behandlingen var avgö- rande. I och med att banker och butiker inte träffas av direktivets definition av behörig myndighet ligger deras personuppgiftsbe- handling dock utanför tillämpningsområdet. En annan sak är att behandling av de personuppgifter som har samlats in av en bank vid exempelvis ett rån omfattas av tillämp- ningsområdet, eftersom myndigheten omfattas av definitionen av behörig myndighet och syftet med behandlingen är att utreda brott. Ramlagens tillämpningsområde måste därför knytas både till vil- ket syfte behandlingen av personuppgifter har och till att det är en behörig myndighet som utför behandlingen. Om en behörig myn- dighet behandlar personuppgifter för något av de syften som anges i ramlagen är lagen tillämplig, oavsett om behandlingen endast ut- förs i ringa omfattning eller . Innan utredningen går närmare in på frågan vad som är en behörig myndighet (se av- snitt 7.1.4) är det nödvändigt att först redovisa för vilka syften per- sonuppgifter får behandlas. I kapitel 8 diskuteras ingående olika gränsdragningsfrågor knutna till uttrycket behörig myndighet och syftena med behandlingen. 7.1.2Personuppgiftsbehandling som rör brottsbekämpning, lagföring och straffverkställighet Utredningens förslag: Ramlagen ska gälla för behandling av personuppgifter som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Skälen för utredningens förslag: Direktivets tillämpningsområde omfattar personuppgiftsbehandling som utförs i syfte att före- bygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. I svensk rätt brukar man skilja mellan å ena sidan verksamhet för att förebygga, förhindra eller upptäcka brottslig verksamhet och å andra sidan verksamhet som syftar till att utreda och beivra konkreta brott (se t.ex. 2 § polislagen [1984:387] och 2 kap. 7 § polisdatalagen [2010:361]). Vid genomförandet av unionsrättsakter där det talas om att förebygga och utreda brott har ordet brott därför tolkats så att det omfattar såväl konkreta brott som sådan icke-preciserad brottslig verksamhet som exempelvis underrättelse- verksamhet tar sikte på (Genomförande av Prümrådsbeslutet – automatiserat uppgiftsutbyte, prop. 2010/11:129, s. 110 och prop. 2012/13:73, s. 63). Samma tolkning bör göras . Utredningens utgångspunkt är att uttrycket förebygga, för- hindra och upptäcka brottslig verksamhet – som används i flera av de berörda myndigheternas registerförfattningar – bör ges samma I förarbetena till polisdatalagen diskuteras underrättelseverksamheten ingående (prop. 2009/10:85, s. 104 f.). Där vidgas också användningen av begreppet till att avse vad som där betecknas som underrättelsestyrd verksamhet. All sådan verk- samhet, såväl på lokal nivå som regional och central nivå, och även annan planlagd verksamhet som betecknas som underrättelsestyrd bör således omfattas av ramlagens tillämpningsområde. Spaningsverksamhet som inte är hänförlig till brottsutredande verksamhet är normalt underrättelsestyrd, exempelvis när spaning bedrivs lokalt för att kartlägga droghandel, prostitution eller någon annan typ av lokal brottslighet. Spaningsverksamhet av nu aktuellt slag bedrivs framför allt av . bedriver emellertid även annan verksamhet som brukar räknas till brottsförebyggande arbete, t.ex. förebyg- gande insatser som riktar sig till brottsoffer eller personer som riskerar att utsättas för brott. I sådant arbete torde behovet av att behandla personuppgifter vara begränsat.