sou · H5B329 · 2017-04-05 00:00:00 — Jag finner det mindre lyckat att skyddet för den personliga integriteten på detta sätt blir beroende av om avtalet upprättats skriftligen eller inte och skulle därför föredra samma definition som i direktivet så att kravet på att avtalet ska vara skriftligt utgår. Vid anlitande av personuppgiftsbiträde måste särskilt bedömas om det är lagligt att låta denne få tillgång till de personuppgifter som ska behandlas. Detta kan nämligen utgöra ett utlämnande eller röjande av uppgifterna, även om personuppgiftsbiträdet inte fak- tiskt och aktivt tar del av uppgifterna. Om uppgifterna omfattas av sekretess kan röjandet vara otillåtet, särskilt när det är fråga om uppgifter som omfattas av absolut sekretess eller omvänt skaderek- Detta kan inte alltid åtgärdas genom sekretessavtal, säker- hetskrav, behörighetsbegränsningar, loggning eller kontroll av per- sonal hos personuppgiftsbiträdet. Eftersom personuppgifterna ofta är av känsligt slag eller kan leda till särskilda konsekvenser för de registrerade vill jag framhålla att det är särskilt angeläget att noggrant utreda om tillämpliga sekretessregler eller säkerhetskrav medger anlitande av ett utomstående personuppgiftsbiträde innan denne får tillgång till personuppgifterna (se t.ex. JO dnr 2011-3032). Förslaget innebär vidare att personuppgifter ska få behandlas för andra ändamål än de ursprungliga, om det kan anses nödvändigt och proportionerligt. Enligt direktivet ska det även vara nödvändigt och proportionerligt enligt unionsrätten eller medlemsstaternas nationella rätt. Enligt 2 kap. 21 § regeringsformen måste detta även vara godtagbart i ett demokratiskt samhälle som motsvarar vad som gäller enligt den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna. Jag finner det mycket angeläget att det sätts tydliga gränser för de sekundära ändamålen och att förslaget kompletteras med ett krav på att än- damålen även ska vara godtagbara i ett demokratiskt samhälle. I brottsbekämpande sammanhang kan felaktig information leda till förödande konsekvenser för den registrerade. Det måste såsom anges i direktivet ställas stora krav på att alla rimliga åtgärder vidtas för att säkerställa uppgifternas riktighet. Detta är särskilt angeläget då uppgifterna behandlas i hemlighet utan att den registrerade kan påpeka eventuella felaktigheter. När det gäller att bedöma vilka konkreta säkerhetskrav behandlingen innebär kommer myndighe- terna att ställas inför svåra bedömningar. Det kommer att finnas ett mycket stort behov av stöd och vägledning, inte bara vad gäller hur de tekniska lösningarna ska utformas utan även beträffande organi- sation och administration. Därför är det av väsentlig betydelse att tillsynsmyndigheterna verkligen får de resurser och den kompetens som behövs för att kunna bistå de personuppgiftsansvariga, t.ex. genom stickprov, rådgivning och information. De sanktionsavgifter som kan bli aktuella vid åsidosättanden av skyldigheterna ska enligt förslaget tillfalla staten. Flertalet av de myndigheter som berörs är statliga förvaltningsmyndigheter. Inne- börden blir således att staten i praktiken kommer att betala sank- tionsavgifterna till sig själv. föreslås att inga straffbe- stämmelser ska ingå och de skadeståndsbelopp som enligt rätts- praxis normalt utdöms vid kränkningar av den personliga integri- teten är blygsamma (jfr Högsta domstolens dom , T 2807-12). Jag är därför mycket tveksam till att sanktions- avgifterna verkligen kommer att få den avhållande effekt som åsyf- tas i direktivet och oroar mig för de signaler detta sänder till all- mänheten. Avslutningsvis vill jag framhålla de särskilda risker för den per- sonliga integriteten som typiskt sett föreligger när personuppgifter ska lämnas ut till annat land. Detta gäller särskilt när det är fråga om länder utanför EU eller EES där det är oklart om det finns ett adekvat skydd för den personliga integriteten. Här är det svårt att förutse och kontrollera hur personuppgifterna kommer att använ- das efter det att de överlämnats, särskilt eftersom det inte med bin- dande verkan går att uppställa villkor eller krav som strider mot nationell rätt i dessa länder. En noggrann bedömning av riskerna för att personuppgifterna kan komma att behandlas och användas för andra ändamål som inte skulle vara tillåtet i är i dessa fall av utomordentligt stor betydelse. Särskilt yttrande av experten verksjuristen Allmän utgångspunkt avseende förhållandet mellan dataskyddsförordningen och dataskyddsdirektivet En grundläggande tanke som präglar stora delar av utredningens förslag är att dataskyddsdirektivet ska implementeras på ett sätt som ligger så nära dataskyddsförordningen som möjligt. I flera sammanhang, se bland annat avsnitt 12.2 och 13.1.3, poängteras att förordningen och direktivet uppvisar stora likheter gällande såväl begreppsanvändning som reglering i sak. Att likheter finns följer av att de båda regelverken har arbetats fram i en samordnad process. För personuppgiftsbehandling inom det brottsbekämpande områ- det gör sig emellertid helt andra behov och avvägningar gällande än vad som är fallet på den allmänna förordningens område. Det är också anledningen till att en särskild rättsakt har valts för det brottsbekämpande området. En grundprincip i dataskyddsregelver- ket är den avvägning som krävs för att avgöra om personuppgifts- behandlingen är berättigad. Vad som är berättigat inom rätts- väsendet avgörs inte huvudsakligen av de berörda myndigheterna, utan av lagstiftaren. Inom direktivets område är förhållanden mel- lan stat och individ och avvägningar mellan det berättigade intresset av att brott bekämpas och olika former av inskränkningar i enskil- das personliga integritet noggrant författningsreglerade. Under förhandlingsarbetet har det eftersträvats att de båda rättsakterna inte i onödan ska skilja sig åt i begreppsanvändning eller sakinnehåll. Med det i beaktande måste utgångspunkten vara att varje kvarvarande avvikelse i direktivet har föranletts av en aktiv bedömning att regleringen på direktivets område ska skilja sig åt från vad som gäller enligt förordningen. Av denna anledning bör enligt min mening implementeringen av direktivet som utgångs- punkt ta fasta på de skillnader som föreligger mellan rättsakterna, inte likheterna. Att med hänvisning till enhetlighet och en förvän- tad enklare praktisk tillämpning ställa väsentligt annorlunda eller höjda krav på personuppgiftsansvariga än vad direktivet stadgar riskerar att ge oönskade hämmande effekter på brottsbekämpande myndigheters förmåga att fullfölja det uppdrag som statsmakterna gett dem. Därutöver finns en uppenbar risk att det leder till att det ställs krav på brottsbekämpande myndigheter att ägna sig åt admi- nistration och dokumentation som inte möts av att skyddet för enskildas integritet på ett motsvarande sätt stärks i realiteten. Mot denna bakgrund bör särskilt tas fasta på utredningsdirekti- vens konstaterande att ”när det gäller uppgifter och befogenheter för en tillsynsmyndighet innehåller direktivet särskilt anpassade bestämmelser”. Jag menar att utredningen, i denna och andra frå- gor, särskilt borde ha angett en motivering till att de lämnade för- slagen går längre än vad direktivet kräver eller annars genomförs på ett sätt som anpassas till den nationella regleringen på förordning- ens område. Dessa förslag bör i det fortsatta lagstiftningsarbetet genomföras endast i den utsträckning de kan motiveras och skapa en önskvärd balans mellan direktivets övergripande syfte: att säker- ställa ett effektivt rättsväsende genom främjandet av en informa- tionshantering i och mellan medlemsstater, som enskildas personliga integritet skyddas. Ramlagens tillämplighet på behandling av personuppgifter i syfte att upprätthålla allmän ordning och säkerhet Enligt min mening har utredningen kraftigt beskurit ramlagens till- lämpningsområde när det gäller personuppgiftsbehandling som sker i syfte att (med direktivets lydelse) skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Utöver brottsbekämp- ning och myndighetsutövning för att mer handgripligen upprätthålla ordning vid demonstrationer och liknande förtydligar direktivets beaktandesats 12 att ”Polisens och andra brottsbekämpande myndig- heters verksamhet […] omfattar också upprätthållande av lag och ordning som en uppgift som anförtros åt polisen eller andra brottsbekämpande myndigheter när det är nödvändigt för att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten och mot i lag skyddade grundläggande allmänna intressen som kan leda till ett brott.” Att statsmakterna har lagt arbetsuppgifter på har i vissa fall med frågor om våldsanvändning att göra, men i många fall motiveras det även utifrån att arbetsuppgiften angränsar till polisens grundläggande brottsförebyggande och ordningshål- lande uppdrag, liksom av det faktum att de informationsunderlag som krävs för att genomföra uppgiften redan finns tillgängliga inom den brottsbekämpande verksamheten. Ofta finns det således inom sådan verksamhet ett stort behov av att söka och nyttja upp- gifter som finns i myndigheten, men mer sällan ett behov av att samla in och påbörja ny behandling av personuppgifter. Jag anser att det finns skäl att låta större delar av polisens icke brottsbekämpande verksamhet omfattas av ramlagen, bland annat gränskontrollverksamhet och polisens transport, omhändertagande och förvar av ej brottsmisstänkta personer. Direktivet innehåller inget som förhindrar en sådan implementering, som det väsentligen skulle underlätta vid tillämpningen att ha en och samma rättsliga grund för personuppgiftsbehandlingen för dessa och brottsbekämpande syften. Arbetsuppgifterna utförs i många fall sömlöst ihop med brottsbekämpande verksamhet och kräver ofta behandling av personuppgifter som primärt behandlas för brottsbe- kämpande ändamål för att kunna fatta effektiva och rättssäkra beslut för att upprätthålla allmän ordning och säkerhet. Genomförande av EU:s direktiv om skydd av personuppgifter vid brottsbekämpning, brottmålshantering och straffverkställighet förväntas EU besluta om ett direktiv med regler om skydd av personuppgifter när behöriga myndigheter behandlar sådana uppgifter vid brottsbekämpning, brottmålshantering eller straffverkställighet. En särskild utredare ska föreslå hur EU- direktivet ska genomföras i svensk rätt. •lämna förslag till en ny ramlagstiftning med bestämmelser om skydd av personuppgifter inom direktivets tillämpningsområde, •lämna de förslag till författningsändringar som krävs för att anpassa vissa centrala författningar om rättsväsendets behand- ling av personuppgifter till de nya förutsättningarna, •bedöma om direktivet ger anledning till ny eller ändrad reglering om tillsyn och vid behov lämna författningsförslag, •bedöma om det finns anledning att reglera Säkerhetspolisens personuppgiftsbehandling separat från den lagstiftning som gäller för och vid behov lämna författnings- förslag. Utredaren ska i ett delbetänkande redovisa uppdraget i den del det rör dels en ny ramlagstiftning, dels tillsyn inom direktivets tillämpningsområde. Uppdraget ska slutredovisas . Den nuvarande regleringen och EU:s dataskyddsreform Några grundläggande bestämmelser om skydd av personuppgifter vid brottsbekämpning Grundläggande bestämmelser till skydd för den personliga inte- griteten finns i regeringsformen. I 1 kap. 2 § första stycket slås det fast att den offentliga makten ska utövas med respekt bl.a. för den enskilda människans frihet och i fjärde stycket anges bl.a. att det allmänna ska värna den enskildes privatliv och familjeliv. Enligt 2 kap. 6 § andra stycket är var och en gentemot det allmänna skyd- dad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Behandling av personupp- gifter i brottsbekämpande myndigheters verksamhet kan typiskt sett falla under bestämmelsen. Inskränkningar i det grundlagsfästa skyddet kan endast göras genom lag och bara under de förut- sättningar som anges i 2 kap. regeringsformen. I EU:s stadga om de grundläggande rättigheterna (EUT C 83, 30.3.2010, s. 389) bekräftas de rättigheter som har sin grund i med- lemsstaternas gemensamma författningstraditioner och internation- ella förpliktelser, , unionens och sociala stadgor samt rättspraxis vid Europeiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna. Artikel 8 i stadgan reglerar skydd av personuppgifter. Enligt artikeln har var och en rätt till skydd av de personuppgifter som rör honom eller henne. Sådana uppgifter ska behandlas lagenligt för bestämda ända- mål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få dem rättade. En oberoende myndighet ska kontrollera att reglerna efterlevs. I detta sammanhang bör även artikel 8 i nämnas. Enligt artikeln har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Med detta avses bl.a. skyddet av personuppgifter. Rättigheten är dock inte Inskränkningar får göras med stöd av lag och om det är nödvändigt och proportionerligt i ett demokratiskt samhälle med hänsyn till vissa särskilt angivna ändamål, bl.a. förebyggande av oordning och brott. Den allmänna regleringen om behandling av personuppgifter inom EU finns i och rådets direktiv /46/EG av om skydd för enskilda personer med av- seende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivet gäller inte på området för polissamarbete och straffrättsligt samarbete och inte heller på området för nationell säkerhet. Den nuvarande EU-regleringen i rådets rambeslut /977/RIF av om skydd av personuppgifter som behand- las inom ramen för polissamarbete och straffrättsligt samarbete (dataskyddsrambeslutet) är tillämplig på informationsutbyte över gränserna. Dataskyddsrambeslutet är alltså tillämpligt på uppgifter som överförs eller görs tillgängliga mellan medlemsstater eller mellan medlemsstater och EU-organ och vissa informationssystem. Data- skyddsrambeslutet gäller däremot inte för rent nationell person- uppgiftsbehandling. Från tillämpningsområdet undantas också personuppgiftsbehandling inom området nationell säkerhet. Den nuvarande svenska regleringen Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204). Personuppgiftslagen har gjorts generellt tillämplig vilket innebär att den gäller även utanför tillämpningsområde och alltså reglerar behandling av personuppgifter oavsett ändamålet med behandlingen. Person- uppgiftslagen är dock subsidiär i förhållande till andra lagar och förordningar. Inom flera områden, bl.a. när det gäller brotts- bekämpning, finns särlagstiftning i s.k. registerförfattningar som helt eller delvis ersätter personuppgiftslagen. När särregleringen helt ersätter personuppgiftslagen, görs som regel hänvisningar till vissa paragrafer i lagen som ändå ska gälla. ofta till personuppgiftslagens bestämmelser om bl.a. information till den registrerade, rättelser, säkerheten vid behandling, över- föring av personuppgifter till tredjeland, tillsynsmyndighetens befogenheter och skadestånd. Vid genomförandet av dataskyddsrambeslutet bedömdes mer- parten av rambeslutets artiklar motsvaras av bestämmelser i svensk rätt, dels i personuppgiftslagen, dels i berörda myndigheters register- författningar. De kompletterande bestämmelser som krävdes genomfördes i en särskild lag, lagen (2013:329) med vissa bestäm- melser om skydd för personuppgifter vid polissamarbete och straff- rättsligt samarbete inom Europeiska unionen. väntas en ny EU-förordning antas om skydd för enskilda personer med avseende på behandling av personuppgifter och det fria flödet av sådana uppgifter (nedan dataskyddsförord- ningen).1 väntas ett nytt EU-direktiv antas om skydd för enskilda personer med avseende på behöriga myndigheters behand- ling av personuppgifter för att förebygga, utreda, upptäcka eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter (nedan det nya dataskyddsdirektivet).2 Dataskyddsförordningen utgör en ny generell reglering för personuppgiftsbehandling inom EU och kommer att ersätta data- skyddsdirektivet . Den börjar tillämpas räknat från den tjugonde dagen efter publicering i Europeiska unionens officiella tidning. Det huvudsakliga syftet med förordningen är att ytterligare harmonisera och effektivisera skyddet för personuppgifter för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. Från dataskyddsförordningens tillämpningsområde undantas bl.a. personuppgiftsbehandling som utförs av behöriga myndig- heter i syfte att förebygga, utreda, upptäcka eller lagföra brott eller verkställa straff, inkluderande skydd mot samt förebyggande av hot Kommittédirektiven utgår från den version av förslaget som finns i dok 5455/16 av den Kommittédirektiven utgår från den version av förslaget som finns i dok 5463/16 av den mot den allmänna säkerheten. Den personuppgiftsbehandling som görs för dessa syften faller i stället under det nya dataskyddsdirek- tivets tillämpningsområde. Direktivet ska dels skydda fysiska per- soners grundläggande fri- och rättigheter, särskilt deras rätt till skydd av personuppgifter, dels underlätta det informationsutbyte mellan behöriga myndigheter som är nödvändigt enligt unionsrätt eller nationell rätt. Från både förordningens och direktivets tillämpningsområden undantas personuppgiftsbehandling i verksamhet som inte om- fattas av unionsrätten, däribland området nationell säkerhet. EU:s dataskyddsreform kommer att kräva en bred översyn av svenska författningar om personuppgiftsbehandling. Bland övrigt utredningsarbete bör nämnas att en särskild utredare har i uppdrag att föreslå de anpassningar och kompletterande författnings- bestämmelser på generell nivå som dataskyddsförordningen ger anledning till (dir. 2016:15). Den utredningen syftar till att säker- ställa att det finns en ändamålsenlig och välbalanserad komplette- rande nationell reglering om personuppgiftsbehandling när förord- ningen börjar tillämpas. Uppdraget att föreslå hur EU-direktivet ska genomföras i svensk rätt En väl avvägd balans är nödvändig mellan å ena sidan skyddet för den personliga integriteten och å andra sidan samhällets krav på att brott förebyggs och förhindras, att brott utreds och att personer som begår brott lagförs. Den svenska regleringen om skydd av personuppgifter inom direktivets tillämpningsområde har i stor utsträckning moderniserats och bedömts ändamålsenlig. En avvägning mellan olika intressen har då gjorts. En allmän utgångs- punkt för uppdraget är därför att utredaren ska sträva efter prin- cipiella lösningar som ansluter till nuvarande systematik i bl.a. polisdatalagen (2010:361), åklagardatalagen (2015:433) och dom- stolsdatalagen (2015:728). Även i övrigt ska utredaren så långt det är lämpligt och möjligt sträva efter principiella lösningar som är förenliga med gällande författningar och systematik. Vid utform- ningen av de författningsförslag som lämnas ska utredaren beakta EU:s stadga om de grundläggande rättigheterna och de inter- nationella konventioner på området som är förpliktat att Liksom vid all lagstiftning ska enkelhet, överskådlighet och konsekvens eftersträvas för det samlade regelverket om skydd av personuppgifter. I detta ligger också att förslagen så långt som möjligt ska vara kostnadseffektiva. Direktivet kommer att vara ett resultat av förhandlingar och kompromisser i och mellan kommissionen, rådet och Europa- parlamentet, vilket kan medföra oklarheter och otydligheter i text och systematik. Utredaren ska därför eftersträva att innebörden av direktivet vid behov förklaras och tydliggörs. En ny ramlagstiftning för skydd av personuppgifter vid brottsbekämpning, brottmålshantering och straffverkställighet Det nya dataskyddsdirektivet innehåller ett antal bestämmelser som innebär förpliktelser för medlemsstaterna. Medlemsstaterna ska vidta de åtgärder som är nödvändiga för att följa bestämmel- serna i direktivet. I förhållande till nuvarande svensk reglering innehåller direk- tivet en delvis ny eller mer detaljerad reglering om rättigheter för enskilda och om skyldigheter för personuppgiftsansvariga eller biträden när det gäller bl.a. datasäkerhet, dokumentation och logg- ning, konsekvensanalyser och förhandssamråd med tillsynsmyndig- het och regler om underrättelser vid s.k. personuppgiftsincidenter. Direktivet innehåller också regler som anpassats för rättsaktens tillämpningsområde om överföring av personuppgifter till tredje- land och internationella organisationer. Även när det gäller upp- gifter och befogenheter för en tillsynsmyndighet innehåller direk- tivet särskilt anpassade bestämmelser. Enligt direktivet har enskilda vissa rättigheter, bl.a. att vända sig till en tillsynsmyndighet med klagomål, att få tillgång till rätts- medel både mot tillsynsmyndighetens beslut och mot åtgärder av en personuppgiftsansvarig eller biträde samt att få ersättning av an- svariga som inte lever upp till direktivets krav. Direktivet förpliktar även medlemsstater att föreskriva regler om påföljder eller sank- tioner vid överträdelser av bestämmelser som genomför direktivet. Direktivets tillämpningsområde omfattar personuppgiftsbe- handling som utförs av behöriga myndigheter i syfte att förebygga, utreda, upptäcka eller lagföra brott eller verkställa straff, inkluderande skydd mot samt förebyggande av hot mot den all- Det finns behov av att utifrån svenska för- hållanden analysera och beskriva direktivets tillämpningsområde. Det behöver bl.a. analyseras i vilken utsträckning även person- uppgiftsbehandling vid andra myndigheter än dem som ingår i rättskedjan, exempelvis och Rätts- medicinalverket, omfattas av direktivets förpliktelser. Som framgått är det personuppgiftslagen som i huvudsak innehåller reglering av motsvarande slag som det nya dataskydds- direktivet kräver. När den nya dataskyddsförordningen börjar tillämpas kommer dock personuppgiftslagen och föreskrifter i anslutning till den lagen att behöva upphävas. Det regelverk som ersätter personuppgiftslagen – förordningen och kompletterande nationella bestämmelser – är inte anpassat till de särskilda förut- sättningar som gäller för personuppgiftsbehandling inom området för brottsbekämpning, brottmålshantering och straffverkställighet. Det bedöms emellertid fortfarande vara lämpligt med ett så långt som möjligt gemensamt regelverk om behandling av personupp- gifter för de myndigheter som bedriver verksamhet inom det aktuella området. Det behövs därför en ny svensk ramlagstiftning för skydd av personuppgifter inom direktivets tillämpningsområde och att utredaren utgår från detta vid analyser, bedömningar och förslag. Efter en analys av direktivets tillämpningsområde är det möjligt att utredaren bedömer att myndigheter som inte omfattas av särreglering i registerförfattningar kommer att om- fattas av direktivets krav. Det finns därför anledning att i första hand undersöka om den nya ramlagstiftningen kan utformas på ett sätt som inte förutsätter att det tas fram nya, kompletterande, registerförfattningar för sådana myndigheter. Det behöver analyseras hur direktivets förpliktelser förhåller sig till svensk rätt. Förutom en övergripande analys avseende för- hållandet till svensk reglering av personuppgiftsbehandling inom direktivets tillämpningsområde, behöver analysen omfatta för- hållandet till nationell reglering avseende sekretess och arkiv lik- som förvaltningsrätt, processrätt och skadeståndsrätt.