sou · H5B374 · 2017-10-04 00:00:00 — 14.16.1 Ingen straffbestämmelse i den nya lagen Utredningens bedömning: Överträdelse av bestämmelserna om personuppgiftsbehandling bör inte vara straffsanktionerade, ut- över vad som gäller enligt . Skälen för utredningens bedömning: Bestämmelsen om straffan- svar i 49 § personuppgiftslagen gäller inte för Säkerhetspolisen. Skälet till det är enligt förarbetena att det i föreskrivs straffrättsligt ansvar för otillåten hantering av personuppgifter, t.ex. tjänstefel enligt 20 kap. 1 § och dataintrång enligt 4 kap. 9 c § . Därför ansågs det inte vara aktuellt att Säkerhetspolisens behandling av personuppgifter tillämpa straffbestämmelsen i personuppgiftslagen mot någon an- ställd inom polisen (se prop. 2009/10:85 s. 91). Någon straffbestämmelse föreslås inte heller i brottsdatalagen. Som framgår av delbetänkandet anser utredningen att en krimina- lisering motsvarande 49 § personuppgiftslagen inte skulle vara en tillräckligt effektiv sanktion, eftersom den i huvudsak skulle träffa andra än personuppgiftsansvariga och personuppgiftsbiträden (se SOU 2017:29 s. 495 f.). De skäl mot en straffbestämmelse som framförs i förarbetena till polisdatalagen och i delbetänkandet gör sig gällande även för Säkerhetspolisen. Eftersom Säkerhetspolisens behandling av per- sonuppgifter enligt polisdatalagen inte är straffsanktionerad och någon straffbestämmelse inte heller föreslås i brottsdatalagen bör någon sådan bestämmelse inte tas in i den nya lagen. 14.16.2 Sanktionsavgift bör inte få tas ut Utredningens bedömning: Det bör inte tas in bestämmelser om sanktionsavgift i den nya lagen. Skälen för utredningens bedömning Vid sidan om reglerna om straffansvar i 49 § personuppgiftslagen finns det i 44 och 45 §§ bestämmelser som ger tillsynsmyndigheten rätt att vid vite förbjuda behandling på annat sätt än genom lagring. Vidare får tillsynsmyndigheten enligt 47 § hos domstol ansöka om att personuppgifter som behandlats på olagligt sätt ska utplånas. Regleringen i 44, 45 och 47 §§ gäller för Säkerhetspolisen genom hänvisning i 2 kap. 2 § och 6 kap. 4 § polisdatalagen. Av 2 kap. 2 § fjärde stycket polisdatalagen framgår emellertid att förbud enligt 44 eller 45 § personuppgiftslagen inte får förenas med vite. I förarbe- tena motiveras undantaget med att vite inte bör användas mellan statliga myndigheter (se prop. 2009/10:85 s. 90). Säkerhetspolisens behandling av personuppgifter Ett nytt sanktionssystem i brottsdatalagen Enligt dataskyddsdirektivet ska medlemsstaterna föreskriva sank- tioner för överträdelser av de bestämmelser som genomför direk- tivet. Sanktionerna ska vara effektiva, proportionerliga och av- skräckande. Utredningen föreslår att det i brottsdatalagen införs en ny administrativ sanktion – sanktionsavgift. Som framgår av delbe- tänkandet ska sanktionsavgift kunna tas ut av personuppgiftsan- svariga och personuppgiftsbiträden vid överträdelser av vissa be- stämmelser i brottsdatalagen (se SOU 2017:29 s. 496 f.). Enligt 6 kap. 6 § brottsdatalagen ska tillsynsmyndigheten fatta beslut om sanktionsavgift (se SOU 2017:29 s. 520 f.). I avsnitt 5.4.2 föreslår utredningen att sanktionsavgift ska kunna tas ut av den personupp- giftsansvarige även vid överträdelser av vissa bestämmelser i regis- terförfattningarna. Sanktionsavgift bör inte kunna tas ut av Säkerhetspolisen Frågan är om det bör införas ett sanktionssystem som motsvarar det i brottsdatalagen för Säkerhetspolisen. Säkerhetspolisen ska tillämpa brottsdatalagen och polisens brottsdatalag i vissa fall (se avsnitt 7.2.1. Myndigheten kommer då att omfattas av sanktions- systemet i de lagarna. Även dataskyddsförordningen föreskriver att administrativa sanktionsavgifter ska kunna tas ut vid överträdelse av bestämmelser om personuppgiftsbehandling. Det bör därför övervägas om sanktionsavgift bör kunna tas ut vid överträdelse av bestämmelser i den nya lagen. Huvudskälet till att utredningen föreslår att sanktionsavgift ska kunna tas ut av behöriga myndigheter är att motsvarande sank- tionssystem gäller enligt dataskyddsförordningen. Eftersom de be- höriga myndigheterna kommer att tillämpa båda regelverken finns det fördelar med en enhetlig reglering. För flera av myndigheterna kommer sannolikt en större del av personuppgiftsbehandlingen att regleras av dataskyddsförordningen. Det gäller , Tull- verket och domstolarna. Även kommer i bety- dande utsträckning att tillämpa dataskyddsförordningen. Det är då svårt att motivera att helt olika sanktionssystem ska gälla beroende på om brottsdatalagen eller förordningen är tillämplig vid överträ- Säkerhetspolisens behandling av personuppgifter delser som är likartade och som därför kan antas motivera samma sanktion (se SOU 2017:29 s. 492). Säkerhetspolisen kommer att tillämpa dataskyddsförordningen i en begränsad del av verksamheten som är av intern och administra- tiv karaktär. Det är också bara i speciella fall som myndigheten kommer att tillämpa brottsdatalagen och polisens brottsdatalag. Skälen för ett enhetligt sanktionssystem gör sig därför inte gällande på samma sätt i Säkerhetspolisens verksamhet. Eftersom Säkerhets- polisens verksamhet som rör nationell säkerhet inte omfattas av vare sig dataskyddsdirektivets eller dataskyddsförordningens till- lämpningsområde är lagstiftaren inte heller bunden av de krav på sanktioner som ställs i dessa rättsakter. Dataskyddskonventionen, som även omfattar personuppgiftsbe- handling som rör nationell säkerhet, ställer krav på att det ska fin- nas lämpliga sanktioner för överträdelser av bestämmelser om data- skydd. I konventionen anges dock inte vilka krav som ställs på sådana sanktioner. Konventionens krav på sanktioner är därmed enligt utredningens bedömning inte lika långtgående som data- skyddsdirektivets och dataskyddsförordningens krav. Den nuva- rande regleringen ger möjlighet till ersättning genom skadestånd. Vidare kan straffrättsligt ansvar utkrävas enligt . Det har ansetts att rätten till skadestånd tillsammans med tillsynsmyn- dighetens befogenheter uppfyller kraven i konventionen på lämp- liga sanktioner. Utredningen har ingen annan uppfattning. I avsnitt 14.16.3 föreslår utredningen att Säkerhetspolisen ska kunna åläggas skadestånd vid felaktig personuppgiftsbehandling. I kapitel 15 diskuterar utredningen hur tillsynen över Säkerhetspoli- sens personuppgiftsbehandling bör utövas och vilka befogenheter tillsynsmyndigheten bör ha. Sanktionssystemet i den nya lagen kommer att motsvara det som gäller . Enligt utredningens mening är de sanktionsmöjligheter som finns tillräckliga. Med beaktande av det, och då skälen för ett enhetligt sanktionssystem inte har samma styrka när det gäller be- handling av personuppgifter som rör nationell säkerhet, anser ut- redningen att det inte bör införas någon möjlighet att ta ut sank- tionsavgift vid överträdelse av bestämmelser i den nya lagen. Säkerhetspolisens behandling av personuppgifter Utredningens förslag: Säkerhetspolisen ska ersätta den regist- rerade för den skada och kränkning av den personliga integrite- ten som behandling av personuppgifter i strid med den nya lagen, eller föreskrifter som har meddelats i anslutning till den, har orsakat. Skälen för utredningens förslag: Enligt 48 § personuppgiftslagen ska den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som behandling av personuppgifter i strid med lagen har orsakat. Ersättningsskyldig- heten kan jämkas om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. I polisdatalagen hänvisas till 48 § personuppgiftslagen. Säkerhetspolisens skadeståndsansvar om- fattar därmed överträdelser av de bestämmelser i polisdatalagen och personuppgiftslagen som gäller för myndigheten. I 7 kap. 1 § brottsdatalagen finns en bestämmelse som motsvarar 48 § första stycket personuppgiftslagen. Eftersom det inte finns någon exculperingsbestämmelse i direktivet har utredningen dock inte ansett det möjligt att öppna möjlighet till jämkning i brotts- datalagen (se SOU 2017:29 s. 535 f.). Det bör i den nya lagen finnas en bestämmelse som reglerar Säkerhetspolisens skadeståndsansvar. Den bör formuleras på samma sätt som i brottsdatalagen. Bestämmelsen skulle kunna före- skriva att skadeståndsersättning får jämkas, eftersom regleringen inte behöver följa direktivets bestämmelser. Det underlättar emel- lertid både för tillämparen och för den enskilde om regleringen i den delen stämmer överens med övriga registerförfattningar på området. Intresset av en enhetlig personuppgiftsreglering väger enligt utredningen tyngre än Säkerhetspolisens behov av att kunna få jämkning av eventuella skadeståndsanspråk. Den nya lagen bör därför inte innehålla någon jämkningsbestämmelse. Av de skäl som anges i avsnitt 5.4.3 bör Justitiekanslern pröva frågor om skadeståndsskyldighet för staten för felaktig personupp- giftsbehandling vid tillämpning av den nya lagen. Ett tillägg som klargör det bör göras i 3 § förordningen om handläggning av skade- ståndsanspråk mot staten. Säkerhetspolisens behandling av personuppgifter Utredningens förslag: Beslut i fråga om rättelse, komplettering, radering eller begränsning av behandlingen som har meddelats på begäran av den registrerade, ska kunna överklagas till allmän förvaltningsdomstol. Detsamma gäller beslut att inte lämna in- formation på begäran av en registrerad eller att ta ut avgift för att lämna sådan information. Vid överklagande till kammarrät- ten ska det krävas prövningstillstånd. Några andra beslut än de som uttryckligen anges i lagen ska inte få överklagas. Skälen för utredningens förslag: I 52 § första stycket personupp- giftslagen, som polisdatalagen hänvisar till, anges att vissa beslut som fattas av den personuppgiftsansvarige får överklagas till allmän förvaltningsdomstol. Det gäller beslut om information enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om infor- mation enligt 29 § andra stycket och om upplysningar enligt 42 §. Av 53 § framgår att andra beslut som en personuppgiftsansvarig myndighet fattat enligt lagen inte får överklagas och att prövnings- tillstånd krävs vid överklagande till kammarrätten. I 7 kap. 2 § brottsdatalagen föreskrivs att beslut som har med- delats på begäran av den registrerade i fråga om rättelse, komplette- ring, radering eller begränsning av behandlingen får överklagas till allmän förvaltningsdomstol. Detsamma gäller beslut att inte lämna information på begäran av en registrerad, att ta ut avgift för att lämna sådan information eller att inte medge omprövning av ett automatiserat beslut. Vid överklagande till kammarrätten krävs det prövningstillstånd. Av 7 kap. 5 § framgår att andra beslut inte får överklagas. Bestämmelserna i brottsdatalagen om överklagande av en personuppgiftsansvarig myndighets beslut har således i princip samma innehåll som överklagandebestämmelserna i personupp- giftslagen. Bestämmelser om överklagande som motsvarar dem i brotts- datalagen bör tas in i den nya lagen. Eftersom det inte förekommer några automatiserade beslut i Säkerhetspolisens verksamhet behövs dock inte någon bestämmelse om överklagande av sådana beslut. På samma sätt som i brottsdatalagen bör det i lagen anges att några andra beslut än de som räknas upp inte ska få överklagas. Säkerhetspolisens behandling av personuppgifter Överklagande av tillsynsmyndighetens beslut behandlas i av- snitt 15.6.2. 14.17Överföring av personuppgifter till tredjeland och internationella organisationer Utredningens bedömning: Överföring av personuppgifter till tredjeland och internationella organisationer bör regleras i den nya lagen. Regleringen bör i huvudsak motsvara den som finns i brottsdatalagen. Utredningens förslag: Tredjeland ska definieras som en stat som inte är medlem i Europeiska unionen eller Europeiska eko- nomiska samarbetsområdet och som inte heller på grund av av- tal med Europeiska unionen har en motsvarande ställning. Skälen för utredningens bedömning och förslag I 33–35 §§ personuppgiftslagen finns det bestämmelser om överfö- ring av personuppgifter till tredjeland. De gäller genom hänvis- ningar i 2 kap. 2 § och 6 kap. 4 § polisdatalagen för Säkerhets- polisen. Enligt 33 § personuppgiftslagen är det förbjudet att till tredjeland föra över personuppgifter som är under behandling, om landet inte har en adekvat skyddsnivå för personuppgifter. Förbu- det gäller även överföring av personuppgifter för behandling där. Trots avsaknad av adekvat skyddsnivå är, enligt 34 § personupp- giftslagen, överföring av personuppgifter till tredjeland tillåten om den enskilde har lämnat sitt samtycke till överföringen eller om överföringen är nödvändig i vissa särskilt uppräknade fall. Paragra- fen reglerar således vissa undantag från överföringsförbudet i 33 §. Ett viktigt undantag är att personuppgifter får överföras för an- vändning enbart i en stat som har anslutit sig till dataskyddskon- ventionen. Enligt 35 § personuppgiftslagen kan regeringen före- skriva ytterligare undantag från förbudet, bl.a. om det behövs med Säkerhetspolisens behandling av personuppgifter hänsyn till ett viktigt allmänt intresse. Sådana föreskrifter finns i 12–14 §§ personuppgiftsförordningen (1998:1191). Överföring av personuppgifter till tredjeland och internationella organisationer regleras i 8 kap. brottsdatalagen. Av 8 kap. 1 § fram- går att personuppgifter får överföras till ett tredjeland eller en internationell organisation om överföringen är nödvändig för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätt- hålla allmän ordning och säkerhet. Överföringen ska riktas till en behörig myndighet i ett tredjeland eller till en internationell organi- sation som är en behörig myndighet. Personuppgifter får dessutom överföras endast om Europeiska kommissionen (i fortsättningen kommissionen) har antagit beslut om adekvat skyddsnivå, om per- sonuppgifterna omfattas av tillräckliga skyddsåtgärder hos adressa- ten eller om ett undantag för särskilda situationer är tillämpligt. I 8 kap. 2 § föreskrivs att personuppgifter som en svensk myndighet har fått från en annan medlemsstat får överföras till ett tredjeland eller en internationell organisation endast om den medlemsstat som lämnat uppgifterna till en svensk myndighet har medgett att de överförs. I 8 kap. 3–5 §§ brottsdatalagen regleras de tillåtna grunderna för överföring närmare. Det finns också bestämmelser om vidareöver- föring (6 och 7 §§), om överföring till andra än behöriga myndig- heter (8 §) och om användningsbegränsningar (9 och 10 §§). Överföring av personuppgifter till tredjeland och internationella organisationer ska regleras Informationsutbyte är en central del av Säkerhetspolisens samar- bete med andra stater. Samarbetet berör stater både inom och utan- för EU. På samma sätt som på många andra områden är samarbetet med övriga nordiska länder särskilt nära. Eftersom Säkerhetspoli- sens behandling av personuppgifter som rör nationell säkerhet inte omfattas av , behöver regleringen om överföring av per- sonuppgifter till andra länder inte göra skillnad mellan överföring Säkerhetspolisens behandling av personuppgifter till medlemsstater i EU och tredjeland. I förarbetena till polis- datalagen ansågs emellertid att bestämmelserna om överföring av personuppgifter till tredjeland borde gälla även för Säkerhetspoli- sen (se prop. 2009/10:85 s. 88 och 252 f.). Den nuvarande regle- ringen, som är väl inarbetad, är därmed uppbyggd på det sättet. En reglering som innebär högre krav för överföringar till stater som inte är medlemmar i eller anslutna till EES-samarbetet är viktig ur integritetssynpunkt, eftersom det inte kan garanteras samma skydd för personuppgifterna i sådana stater. I 8 kap. brotts- datalagen ställs det högre krav när personuppgifter ska överföras till tredjeland och internationella organisationer. Enligt utredning- ens mening bör i huvudsak samma krav gälla för Säkerhetspolisen. Det finns därför inte skäl att nu välja en annan lösning beträffande överföring av personuppgifter till tredjeland och internationella organisationer. Villkoren för sådana överföringar bör således regle- ras i den nya lagen. Utgångspunkten bör vara att Säkerhetspolisen ska kunna över- föra personuppgifter till tredjeland och internationella organisatio- ner i samma utsträckning som . Bestämmelserna i brottsdata- lagen bör tas som utgångspunkt. Regleringen av överföringar till tredjeland och internationella organisationer kommer därmed att bli betydligt utförligare men ger större möjligheter att överföra personuppgifter till sådana mottagare än . Regleringen för Säkerhetspolisen bör dock anpassas till att det internationella samarbetet mellan underrättelse- och säkerhetstjän- ster har en annan prägel än det allt närmare samarbetet mellan brottsbekämpande myndigheter inom EU. Mot den bakgrunden bör lagtexten inte byggas med utgångspunkt i uttrycket medlems- stat utan stat. Definitionen av vad som är tredjeland bör i sak vara densamma som i brottsdatalagen men formuleras annorlunda. Med tredjeland bör avses en stat som inte är medlem i EU eller EES eller som på grund av avtal har motsvarande ställning. Definitionen innebär att EU:s medlemsstater, , , och inte är tredjeland i lagens mening. Säkerhetspolisens behandling av personuppgifter 14.17.2 Grundläggande förutsättningar för överföring Utredningens förslag: Säkerhetspolisen ska få överföra person- uppgifter som behandlas till ett tredjeland eller en internationell organisation om överföringen riktas till en brottsbekämpande myndighet, en underrättelse- eller säkerhetstjänst eller en inter- nationell organisation med brottsbekämpande uppdrag. Person- uppgifterna ska dock endast få överföras om kommissionen har antagit ett beslut om adekvat skyddsnivå, om personuppgifterna annars omfattas av tillräckliga skyddsåtgärder eller om ett undantag för särskilda situationer är tillämpligt. Regleringen ska gälla även vid överföring av personuppgifter för behandling i ett tredjeland eller av en internationell organi- sation. Personuppgifter som Säkerhetspolisen har fått från en annan stat ska få överföras till ett tredjeland eller en internationell organisation endast om den stat som lämnat uppgifterna till Säkerhetspolisen har medgett att de överförs. Skälen för utredningens förslag De grundläggande förutsättningarna för överföring ska anges Utgångspunkten i den nya lagen bör, liksom i brottsdatalagen, vara att Säkerhetspolisen ska få överföra personuppgifter till ett tredje- land eller en internationell organisation om vissa villkor är upp- fyllda. En bestämmelse som anger de grundläggande förutsättning- arna för överföring bör tas in i den nya lagen. Enligt direktivet får personuppgifter överföras endast om det är nödvändigt för vissa angivna ändamål och överföringen görs till någon som är behörig myndighet. Bestämmelsen i brottsdatalagen har utformats med det som utgångspunkt. I personuppgiftslagen ställs inte några sådana krav. Det går inte heller att knyta Säker- hetspolisens reglering till behöriga myndigheter, eftersom nationell säkerhet undantagits från direktivets tillämpningsområde. Regle- ringen i den nya lagen bör utformas med brottsdatalagen som mön- ster, men vissa frågor kräver en annan lösning. Säkerhetspolisen har i motsats till andra brottsbekämpande myndigheter inte några internationella åtaganden som tvingar myn- Säkerhetspolisens behandling av personuppgifter digheten att lämna viss information. Säkerhetspolisen råder därmed i större utsträckning över vilken information som lämnas, på vilket sätt det görs och vilka villkor som ställs för den andra statens användning av informationen. Uppgiftsutbyte sker huvudsakligen inom ramen för överenskommelser och bygger på ömsesidigt för- troende. Mot den bakgrunden bör någon motsvarighet till kravet i brottsdatalagen på att överföringen ska vara nödvändig för vissa angivna ändamål inte finnas. Frågan är om regleringen, på samma sätt som i brottsdatalagen, bör ta sikte på överföring till vissa mottagare. En sådan reglering ger större förutsebarhet och bättre integritetsskydd och bör därför väljas framför en mer generell reglering. I den grundläggande be- stämmelsen bör det därför anges att överföringen ska riktas till en brottsbekämpande myndighet eller en underrättelse- eller säker- hetstjänst i tredjeland eller till en internationell organisation med brottsbekämpande uppdrag. Det tillgodoser enligt utredningens mening Säkerhetspolisens behov av att kunna överföra personupp- gifter i syfte att bistå myndigheter i andra stater. Säkerhetspolisens möjlighet att i vissa fall överföra personuppgifter till andra aktörer behandlas i avsnitt 14.17.4. Liksom i brottsdatalagen bör det ställas krav på att viss skydds- nivå ska vara säkerställd. Personuppgifterna bör endast få överföras om det finns beslut om adekvat skyddsnivå, om personuppgifterna omfattas av tillräckliga skyddsåtgärder hos adressaten eller om ett undantag för särskilda situationer är tillämpligt. Syftet med regle- ringen är att den skyddsnivå som säkerställs genom dataskydds- direktivet och som gäller inom EU som utgångpunkt ska gälla även när personuppgifter överförs till ett tredjeland eller en internatio- nell organisation (se SOU 2017:29 s. 585 f.). Enligt utredningens mening är det rimligt att samma krav ställs på Säkerhetspolisen även om myndighetens verksamhet inte omfattas av direktivets till- lämpningsområde. Liknande krav på skydd ställs i personupp- giftslagen och personuppgiftsförordningen. Säkerhetspolisens behandling av personuppgifter Överföring av uppgifter från andra stater ska vara medgiven I 8 kap. 2 § brottsdatalagen föreskrivs att en överföring av person- uppgifter som härrör från en annan medlemsstat ska vara medgi- ven. Något sådant krav gäller inte för Säkerhetspolisen . För att skydda underrättelseinformation tillämpar Säkerhetspo- lisen en s.k. tredjepartsregel i det internationella samarbetet med utländska underrättelse- och säkerhetstjänster. Den innebär att uppgifter som myndigheten har fått från en utländsk samarbets- partner inte får föras vidare utan uttryckligt samtycke. Regeln är central i Säkerhetspolisens verksamhet och utgör grunden för ett effektivt underrättelseutbyte. Den har tillkommit i syfte att skapa förtroende mellan underrättelse- och säkerhetstjänsterna, eftersom det finns ett stort behov av att skydda uppgifter om bl.a. källor och arbetsmetoder. Principen att uppgifter som kommer från en annan stat inte får föras vidare till ett tredjeland eller en internationell organisation utan medgivande tillämpas således . Efter- som det i brottsdatalagen ställs krav på medgivande vid överföring till tredjeland och internationella organisationer bör det enligt ut- redningens mening införas en sådan bestämmelse i den nya lagen. Den bör återspegla den tredjepartsregel som redan tillämpas och omfatta information från alla stater och oberoende vilken myndig- het som lämnat informationen. Den bör således ha ett vidare till- lämpningsområde än motsvarande bestämmelse i brottsdatalagen. Eftersom Säkerhetspolisen aldrig lämnar ut uppgifter som myn- digheten fått från en annan medlemsstat utan medgivande från den staten bör något undantag från kravet på medgivande av det slag som finns i 8 kap. 2 § andra stycket brottsdatalagen inte tas in i den nya lagen. 14.17.3 Tillåtna grunder för överföring Utredningens förslag: Det ska finnas bestämmelser om tillåtna grunder för överföring i den nya lagen. I första hand ska det krävas beslut om adekvat skyddsnivå och i andra hand tillräck- liga skyddsåtgärder. Först i tredje hand ska personuppgifter få överföras i särskilda situationer. Säkerhetspolisens behandling av personuppgifter Skälen för utredningens förslag Viss skyddsnivå ska vara säkerställd