sou · H5B374 · 2017-10-04 00:00:00 — ling av personuppgifter och för att underlätta det fria flödet av per- sonuppgifter inom brottsdatalagens tillämpningsområde. I 5 kap. 2–4 §§ anges vilka arbetsuppgifter tillsynsmyndigheten ska ha. ska utöva allmän tillsyn över person- uppgiftsbehandling, handlägga klagomål från registrerade, på begä- ran kontrollera om personuppgifter behandlas författningsenligt, ge råd och stöd till personuppgiftsansvariga och personuppgiftsbi- träden och på begäran bistå tillsynsmyndigheter i andra medlems- stater. befogenheter regleras i 5 kap. 5–7 §§. Befo- genheterna bildar en trappa, där successivt mer ingripande befogen- heter kan användas. har enligt 5 kap. 5 §, som reglerar myndig- hetens undersökande befogenheter, rätt att av personuppgiftsan- svariga på begäran få bl.a. tillgång till de personuppgifter som be- handlas, upplysningar om och dokumentation av behandlingen av personuppgifter och säkerhets- och skyddsåtgärder, tillträde till lokaler som den personuppgiftsansvarige disponerar och det biträ- de som behövs för att utöva tillsynen. Om tillsynsmyndigheten bedömer att det finns risk för att per- sonuppgifter kan komma att behandlas i strid med lag eller annan författning ska myndigheten enligt 5 kap. 6 §, som reglerar de före- byggande befogenheterna, genom råd, rekommendationer eller påpekanden försöka förmå den personuppgiftsansvarige eller per- sonuppgiftsbiträdet att vidta åtgärder för att minska den risken. Myndigheten får utfärda en skriftlig varning för att planerad be- handling riskerar att stå i strid med lag eller annan författning. Var- ning får även utfärdas om det finns risk för att pågående behandling kan komma att strida mot lag eller annan författning. Om tillsynsmyndigheten konstaterar att personuppgifter be- handlas i strid med lag eller annan författning, eller att den person- uppgiftsansvarige eller personuppgiftsbiträdet annars inte fullgör sina skyldigheter, får myndigheten använda sina korrigerande befo- genheter. De regleras i 5 kap. 7 §. får före- lägga den personuppgiftsansvarige eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att uppfylla andra skyldigheter. Om bristen är allvarlig får myndig- heten förbjuda fortsatt behandling och myndigheten får även be- sluta om sanktionsavgift. Myndigheten får också använda sina före- byggande befogenheter, med undantag för varning. Innan tillsynsmyndigheten fattar ett bindande beslut ska enligt 5 kap. 8 § den som beslutet gäller ges tillfälle att yttra sig. Besked angående handläggningen av klagomål Om tillsynsmyndigheten inte från det att ett klagomål kom in har tagit ställning till om tillsyn ska utövas i an- ledning av klagomålet, ska myndigheten enligt 5 kap. 9 § på skrift- lig begäran av den registrerade antingen lämna besked i frågan eller i ett särskilt beslut avslå begäran. Besked eller beslut ska meddelas från det att begäran kom in till myndigheten. Om tillsynsmyndigheten har avslagit en sådan begäran om besked får den registrerade enligt 5 kap. 10 § återkomma med en ny begäran om besked först . Samarbete med tillsynsmyndigheter i andra medlemsstater På begäran av en tillsynsmyndighet i en annan medlemsstat ska den svenska tillsynsmyndigheten bistå den utländska myndigheten. får då enligt 5 kap. 12 § använda sina vanliga befogenheter. En begäran om bistånd får enligt 5 kap. 11 § bara vägras om det skulle strida mot en bindande unionsrättsakt, en lag eller en förordning att tillmötesgå den. får enligt 5 kap. 13 §, om det är förenligt med svenska intressen, lämna ut en sekretessbelagd uppgift till en behörig tillsynsmyndighet i en annan medlemsstat. Information som tillsynsmyndigheten efter begäran har fått från en tillsynsmyndighet i en annan medlemsstat får enligt 5 kap. 14 § inte användas för något annat ändamål än det för vilket informatio- nen begärdes. Förfarandet när det finns anledning att ifrågasätta en unionsrättsakt Om tillsynsmyndigheten vid handläggningen av ett ärende bedö- mer att det finns särskilda skäl att ifrågasätta giltigheten av en unionsrättsakt som påverkar tillämpningen av brottsdatalagen, får myndigheten enligt 5 kap. 15 § hos allmän förvaltningsdomstol an- söka om att en korrigerande åtgärd ska vidtas. Genom att föra talan vid domstol öppnas möjlighet för domstolen att begära ett för- handsavgörande av . 3.2.5Sanktioner, skadestånd och rättsmedel Ett nytt sanktionssystem med administrativa sanktionsavgifter in- förs. Regleringen innebär att den personuppgiftsansvarige ska be- tala sanktionsavgift om regelsystemet överträds. I vissa fall kan även personuppgiftsbiträden bli skyldiga att betala sanktionsavgift. De överträdelser som kan föranleda att sanktionsavgift tas ut av den personuppgiftsansvarige räknas uttömmande upp i 6 kap. 1 §. Det gäller först och främst överträdelser som innebär att person- uppgifter behandlas på otillåtet sätt. Sanktionsavgift kan också tas ut om den personuppgiftsansvarige har underlåtit att anmäla en personuppgiftsincident till tillsynsmyndigheten, inte har dokumen- terat sådana incidenter, inte har bistått tillsynsmyndigheten på det sätt som krävs enligt lagen eller har underlåtit att följa bindande beslut som tillsynsmyndigheten har meddelat. I 6 kap. 2 § regleras i vilka fall sanktionsavgift får tas ut av personuppgiftsbiträden. I 6 kap. 3 § anges hur stor sanktionsavgift som får tas ut. Sank- tionsavgiften är lägst och högst vid mindre allvarliga överträdelser. Vilka överträdelser som räknas som mindre allvarliga anges i paragrafen. Vid andra överträdelser är sanktionsavgiften lägst och högst 20 miljoner kro- nor. Om flera bestämmelser har överträtts genom samma person- uppgiftsbehandling eller genom sammankopplade behandlingar ska sanktionsavgiften bestämmas med hänsyn till samtliga överträdel- ser. Avgiften får dock aldrig överstiga maximibeloppet för den all- varligaste överträdelsen. I 6 kap. 4 § anges hur sanktionsavgiften ska bestämmas i det en- skilda fallet. Både vid bedömningen av om sanktionsavgift ska tas ut och när storleken på avgiften bestäms ska särskild hänsyn tas till bl.a. om överträdelsen varit uppsåtlig eller berott på oaktsamhet, den skada, fara eller kränkning som överträdelsen inneburit, över- trädelsens karaktär, svårhetsgrad och varaktighet och vad den per- sonuppgiftsansvarige gjort för att begränsa skadan. Sanktionsavgift får enligt 6 kap. 5 § sättas ned helt eller delvis om överträdelsen är ursäktlig eller om det annars skulle vara oskä- ligt att ta ut avgift. Den personuppgiftsansvarige ska enligt 7 kap. 1 § ersätta den regi- strerade för den skada och kränkning av den personliga integriteten som behandling av personuppgifter i strid med lagen har orsakat. Någon möjlighet till jämkning av skadeståndet finns inte, t.ex. om någon annan har vidarebefordrat felaktiga personuppgifter som den personuppgiftsansvarige sedan har behandlat. Överklagande av beslut som en myndighet fattat i egenskap av personuppgiftsansvarig Beslut i fråga om bl.a. rättelse, komplettering, radering eller be- gränsning av behandlingen, som en myndighet har fattat i egenskap av personuppgiftsansvarig, får enligt 7 kap. 2 § överklagas till all- män förvaltningsdomstol. Uppräkningen av vilka beslut som får överklagas är uttömmande. Prövningstillstånd krävs vid överkla- gande till kammarrätten. Överklagande av tillsynsmyndighetens beslut Om den som har lämnat in ett klagomål till tillsynsmyndigheten inte har fått besked av myndigheten om klago- målet kommer att leda till tillsyn, får klaganden begära ett skriftligt besked i frågan och kan därefter, om myndigheten avslår begäran, enligt 7 kap. 3 § föra s.k. dröjsmålstalan i allmän förvaltningsdom- En sådan talan innebär att domstolen bara tar ställning till om tillsynsmyndigheten borde ha lämnat klaganden besked, inte om tillsyn ska utövas eller inte. Domstolen kan förelägga tillsynsmyn- digheten att ge klaganden besked i fråga om tillsyn kommer att utövas. Andra beslut som tillsynsmyndigheten har meddelat får enligt 7 kap. 4 § överklagas till allmän förvaltningsdomstol. Vid överkla- gande till kammarrätten krävs prövningstillstånd. Några andra beslut än de som har angetts får enligt 7 kap. 5 § inte överklagas. 3.2.6Överföring av personuppgifter till tredjeland och internationella organisationer Förutsättningar för att överföring ska vara tillåten I 8 kap. 1–5 §§ anges förutsättningarna för att personuppgifter ska få överföras till ett tredjeland eller en internationell organisation. Personuppgifter får endast överföras om överföringen görs av en behörig myndighet och är nödvändig för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verk- ställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet och överföringen riktas till en behörig myndighet i ett tredjeland eller till en internationell organisation som är en behörig myndighet. Dessutom ska det finnas en adekvat skyddsnivå för behandlingen av personuppgifter i det tredjelandet eller hos den internationella organsationen. Beslut om adekvat skyddsnivå med- delas av Europeiska kommissionen. Om det inte finns ett sådant beslut får personuppgifterna ändå överföras om tillräckliga skydds- åtgärder har fastställts i ett avtal eller garanteras på annat sätt. I sista hand får personuppgifter överföras om överföringen är nöd- vändig i någon av de i lagen angivna undantagssituationerna. Enligt 8 kap. 2 § får personuppgifter som en svensk myndighet har fått från en annan medlemsstat inte överföras till ett tredjeland eller en internationell organisation utan förhandsmedgivande av den medlemsstaten. Om medgivande inte hinner inhämtas får dock uppgifterna ändå överföras om det är nödvändigt för att avvärja en omedelbar och allvarlig fara för allmän säkerhet. S.k. vidareöverföring regleras i 8 kap. 6 §. Med det avses överföring av personuppgifter som har lämnats av en medlemstat till en annan och som sedan har överförts till antingen ett tredjeland eller en internationell organisation som i sin tur vill överföra uppgifterna till antingen ett tredjeland eller en internationell organisation. En svensk myndighet får inte ge tillstånd till sådan vidareöverföring om personuppgifterna har kommit från en annan medlemsstat och den staten inte har medgett vidareöverföring. När en svensk behö- rig myndighet ska ta ställning till om personuppgifter ska få vida- reöverföras ska enligt 8 kap. 7 § särskild vikt läggas vid bl.a. brot- tets allvar, allvaret i faran för allmän säkerhet och det ändamål för vilket personuppgifterna ursprungligen lämnades till den andra medlemsstaten. Överföring till någon annan än en behörig myndighet I vissa fall kan personuppgifter behöva överföras till någon som inte är en behörig myndighet i ett tredjeland, t.ex. direkt till en målsägande som är etablerad där. Det får enligt 8 kap. 8 § göras endast om det är absolut nödvändigt för att den svenska myndig- heten ska kunna utföra en sådan arbetsuppgift som gör lagen till- lämplig och myndigheten underrättar mottagaren om för vilket eller vilka ändamål personuppgifterna får behandlas. Dessutom krävs att det skulle vara ineffektivt eller olämpligt att överföra per- sonuppgifterna till en behörig myndighet i det tredjelandet. Om en svensk behörig myndighet har fått personuppgifter från ett tredjeland eller en internationell organisation och det på grund av en överenskommelse med det tredjelandet eller den internationella organisationen gäller villkor som begränsar möjligheten att använda uppgifterna, ska enligt 8 kap. 9 § svenska myndigheter följa villko- ren oavsett vad som är föreskrivet i lag eller annan författning. En svensk behörig myndighet får, vid överföring av personupp- gifter till ett tredjeland eller en internationell organisation, enligt 8 kap. 10 § i ett enskilt fall ställa upp villkor som begränsar motta- garens möjlighet att använda uppgifterna om det krävs med hänsyn till enskilds rätt eller från allmän synpunkt. Utredningen föreslår i delbetänkandet att den nya lagstiftningen ska träda i kraft . Det nya sanktionssystemet kräver särskilda övergångsbestämmelser. Det krävs också särskilda över- gångsbestämmelser för hur pågående mål och ärenden om bl.a. tillsyn och skadestånd ska hanteras. Bestämmelserna om loggning i automatiserade behandlingssystem som inrättats före behöver inte tillämpas förrän . 4Framtida utformning av registerförfattningarna I utredningens uppdrag ingår att se över vissa författningar som reglerar personuppgiftsbehandling inom direktivets tillämpnings- område. Det gäller lagen (2001:617) om behandling av personupp- gifter inom kriminalvården, polisdatalagen (2010:361), kustbevak- ningsdatalagen (2012:145), åklagardatalagen (2015:433), domstols- datalagen (2015:728), tullbrottsdatalagen (2017:447) och skatte- brottsdatalagen (2017:452), alla med tillhörande förordningar. I det följande benämns de registerförfattningarna. Uppdraget omfattar dels att analysera i vilken utsträckning för- fattningarna står i överensstämmelse med bestämmelserna i direkti- vet, dels att anpassa dem till de krav som ställs där och till förslagen i delbetänkandet. Utredningen ska enligt direktiven så långt det är lämpligt och möjligt sträva efter lösningar som är förenliga med gällande författningar och systematik (dir. 2016:21 s. 6). Som redovisas i kapitel 3 föreslår utredningen i delbetänkandet en ny lag, brottsdatalagen, som kommer att fylla ungefär samma funktion som personuppgiftslagen gör i verksamhet som rör brottsbekämpning, lagföring, straffverkställighet och upprätthål- lande av allmän ordning och säkerhet. I delbetänkandet konstaterar utredningen att det, vid sidan av brottsdatalagen, alltjämt kommer att behövas bestämmelser som tar hänsyn till de särskilda behov en viss behörig myndighet har av att kunna behandla personuppgifter för att utföra sina arbetsuppgifter. Sådan särreglering bör finnas i myndigheternas registerförfattningar (se SOU 2017:29 s. 140 f.). Framtida utformning av registerförfattningarna 4.2Det krävs anpassningar till den nya dataskyddsregleringen Regleringen i registerförfattningarna utgår från personupp- giftslagen, antingen genom att registerförfattningen gäller i stället för personuppgiftslagen men hänvisar till ett antal bestämmelser i den lagen eller genom att registerförfattningen gäller utöver per- sonuppgiftslagen. Personuppgiftslagen, som är tillämplig vid personuppgiftsbe- handling i hela samhället, är allmänt hållen och tar i mycket begrän- sad utsträckning hänsyn till de särskilda behov som vissa samhälls- sektorer har. I och med att brottsdatalagen innehåller bestämmelser som är skräddarsydda för brottsbekämpning, lagföring, straffverk- ställighet och upprätthållande av allmän ordning och säkerhet min- skar behovet av att ha särregler i registerförfattningarna. Att den nya regleringen leder till större enhetlighet underlättar informa- tionsflödet, vilket är ett övergripande syfte med direktivet. Utredningens utgångspunkt är att de generella bestämmelserna i brottsdatalagen ska ersätta motsvarande bestämmelser i registerför- fattningarna. Om det inte finns några sakliga skäl för särlösningar bör regleringarna så långt det är möjligt vara likadana för att under- lätta informationsutbytet. Det innebär att registerförfattningarna enligt utredningens mening ibland bör anpassas till varandra, även om det inte krävs för genomförandet av direktivet. I detta kapitel tar utredningen upp några övergripande frågor som rör den framtida utformningen av myndigheternas register- författningar, medan behovet av ändringar i var och en av dem behandlas i de följande kapitlen. Vissa ändringar är desamma för flertalet av författningarna, medan det i andra fall krävs särskilda lösningar. Utredningen behandlar behovet av generella ändringar i kapitel 5 och 6, medan ändringar som är specifika för en viss myn- dighets registerförfattning behandlas i kapitel 7–13. Säkerhetspoli- sens personuppgiftsbehandling, som regleras i polisdatalagen men ligger utanför brottsdatalagens tillämpningsområde, behandlas i kapitel 14 och 15. Framtida utformning av registerförfattningarna 4.3Merparten av bestämmelserna är förenliga med dataskyddsdirektivet Utredningens bedömning: Merparten av bestämmelserna i registerförfattningarna är förenliga med direktivet och behöver inte ändras av det skälet. Många bestämmelser behöver dock ändras av andra skäl, bl.a. för att få en enhetlig terminologi. Det krävs också omfattande redaktionella ändringar. Skälen för utredningens bedömning: Med undantag för krimi- nalvårdens lagstiftning har alla registerförfattningar som uppdraget omfattar tillkommit . Det innebär att de uppfyller kraven som ställs i dataskyddsrambeslutet. Mot bakgrund av att direktivet i stor utsträckning bygger vidare på regleringen i dataskyddsrambeslutet är registerförfattningarna redan till stor del anpassade till de krav som ställs i direktivet. Det utesluter inte att det även i de nya registerförfattningarna kan finnas enskilda be- stämmelser som behöver ändras för att stå i överensstämmelse med hur brottsdatalagen genomför direktivet, eftersom det tillkommit vissa krav. Utredningen har vid en genomgång av de enskilda be- stämmelserna funnit att flertalet av dem inte behöver ändras för att uppfylla kraven i direktivet. När det gäller Kriminalvårdens lagstiftning avviker den i många avseenden från den modernare lagstiftning som gäller för flertalet behöriga myndigheter. I motsats till de flesta andra registerförfatt- ningarna gäller Kriminalvårdens dessutom utöver personuppgiftsla- gen och skiljer sig på så sätt från de övriga även strukturmässigt. Den regleringen kräver därför särskilda överväganden. Skillnaderna i fråga om registerförfattningarnas tillämpningsom- råden får betydelse för hur de bör anpassas till brottsdatalagen. Eftersom vissa författningar gäller för personuppgiftsbehandling både inom och utanför brottsdatalagens tillämpningsområde går det inte att använda samma mall för hur alla registerförfattningar bör anpassas till brottsdatalagen. Eftersom det finns fler bestämmelser av generell karaktär i brottsdatalagen än i personuppgiftslagen behövs, som nämnts, inte motsvarande bestämmelser i registerförfattningarna. När många bestämmelser i registerförfattningarna blir överflödiga be- Framtida utformning av registerförfattningarna höver de omarbetas. Det krävs redaktionella ändringar även av andra skäl, exempelvis på grund av att vissa bestämmelser samlas eller på grund av ändrade hänvisningar. Vissa bestämmelser bör ändras för att få till stånd en mer enhetlig utformning eller termi- nologi, anpassad till brottsdatalagen. De bestämmelser i registerförfattningarna som utredningen an- ser inte kräver någon saklig ändring kommer inte att kommenteras när respektive författning behandlas. Utredningen kommer inte heller att särskilt kommentera sådana bestämmelser som enbart blir föremål för mindre ändringar av språklig eller redaktionell karaktär. Utredningens bedömning: Registerlagarna bör även i fortsätt- ningen innehålla bestämmelser om tillämpningsområdet. Regle- ringen bör i likhet med tillämpningsområdet för brottsdatalagen utgå från syftet med personuppgiftsbehandlingen i stället för i vilken verksamhet den utförs. Skälen för utredningens bedömning Bestämmelser om tillämpningsområdet bör finnas kvar men anpassas anges det vilket tillämpningsområde respektive registerför- fattning har t.ex. genom att det föreskrivs att lagen gäller i en viss myndighets brottsbekämpande eller operativa verksamhet. I vissa registerförfattningar fyller bestämmelsen om tillämpningsområdet den funktionen att den anger att författningen gäller för flera myn- digheter (se t.ex. 1 kap. 2 § polisdatalagen). I andra fall har bestäm- melserna till syfte att avgränsa tillämpningsområdet till någon eller några delar av en myndighets verksamhet (se t.ex. 1 kap. 2 § tull- brottsdatalagen och 1 kap. 2 § skattebrottsdatalagen). Uppdelningen mellan brottsdatalagen och dataskyddsförord- ningen innebär att alla registerförfattningar behöver en tydlig av- gränsning. Det är därför nödvändigt att även i fortsättningen ha bestämmelser om tillämpningsområdet i registerförfattningarna. Framtida utformning av registerförfattningarna Utredningen återkommer i kapitel 7–14 till hur tillämpningsområ- det bör utformas för de olika myndigheterna. Från verksamhet till syfte Syftet med personuppgiftsbehandlingen är avgörande för om brottsdatalagen är tillämplig, medan regleringen i registerlagarna bygger på i vilken verksamhet behandlingen utförs, t.ex. brottsbekämpande verksamhet. Regleringen i brottsdatalagen har sin grund i att direktivet utgår från syftet med behandlingen, inte i vilken verksamhet den utförs. Det är därför inte möjligt att behålla bestämmelser som författningstekniskt knyts till den verksamhet där behandlingen utförs. Utredningen redovisar i delbetänkandet ingående vad det innebär för tillämpningen att fokus flyttas från verksamheten som sådan till syftet med den enskilda behandlingen (se SOU 2017:29 s. 181 f.). Utredningen har, i enlighet med direktiven för arbetet, strävat efter att behålla inarbetade begrepp. Mot bakgrund av regleringen i direktivet är det dock inte alltid möjligt. Ett sådant exempel är ut- trycket brottsbekämpande verksamhet, som används i ett fler- tal av registerförfattningarna. Eftersom regleringen ska utgå från syftet med behandlingen av personuppgifter bör uttrycket brotts- bekämpande verksamhet utmönstras ur registerförfattningarna. I stället bör tillämpningsområdet utgå från utformningen av 1 kap. 2 § brottsdatalagen. Det innebär att tillämpningsområdet i varie- rande utsträckning bör knytas till att personuppgifter behandlas i något av de syften som anges i brottsdatalagen, dvs. att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet (se SOU 2017:29 s. 159 f.). Myndigheten ska agera i egenskap av behörig myndighet Det är inte enbart syftet med personuppgiftsbehandlingen som avgör om brottsdatalagen är tillämplig. Det krävs också att myndig- heten agerar i egenskap av behörig myndighet enligt den lagen. I 1 kap. 6 § brottsdatalagen definieras behörig myndighet som en myndighet som har till uppgift att förebygga, förhindra eller upp- Framtida utformning av registerförfattningarna täcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säker- het. Det bör av tillämpningsområdet i respektive registerförfatt- ning framgå att författningen endast är tillämplig när myndigheten agerar i egenskap av behörig myndighet. Hur förhåller sig regleringarna till varandra? En särskild fråga är hur man ska se på det förhållandet att tillämp- ningsområdet i en myndighets registerförfattning inte är lika brett som brottsdatalagens tillämpningsområde. Som exempel kan näm- nas att tillämpningsområdet för flertalet registerförfattningar inte omfattar straffverkställighet och inte heller upprätthållande av all- män ordning och säkerhet. Utredningens utgångspunkt är att brottsdatalagen, som ska tillämpas i hela rättskedjan, bildar den yttre ramen och att tillämpningsområdena i registerförfattningarna inskränker rätten att behandla personuppgifter till vad som gäller för en viss myndighet eller till behandling av personuppgifter för vissa syften i en del av dess verksamhet. En annan viktig fråga är hur brottsdatalagens tillämpningsom- råde och registerförfattningarnas tillämpningsområden förhåller sig till varandra. En utgångspunkt bör vara att en myndighets regis- terförfattning ska reglera all myndighetens personuppgiftsbehand- ling inom brottsdatalagens tillämpningsområde. regleras dock framför allt personuppgiftsbehandling inom brottsdatalagens tillämpningsområde i flera olika författningar. Det framgår av 1 kap. 3 § polisdatalagen.