sou · H5B329 · 2017-04-05 00:00:00 — Förslagen får inte heller några kon- sekvenser för jämställdheten eller andra sådana konsekvenser som avses i 14 § kommittéförordningen (1998:1474) eller 7 § förord- ningen (2007:1244) om konsekvensutredning vid regelgivning. Utredningens förslag: Ramlagen och övriga författningsförslag ska träda i kraft . Skälen för utredningens förslag: Enligt artikel 63 ska medlems- staterna anta och offentliggöra de lagar och andra författningar som är nödvändiga för att genomföra direk- tivet. Bestämmelserna ska tillämpas av medlemsstaterna från och med . Den lagstiftning som utredningen föreslår i detta betänkande bör träda i kraft , men hänsyn måste också tas till de anpassningar av myndigheternas registerför- fattningar som kommer att presenteras i slutbetänkandet. Lämplig tidpunkt för ikraftträdande är . bör, som föreslås i avsnitt 6.1.4, lag upphöra att gälla. 18.2.1Den nya dataskyddsregleringen medför särskilda övergångsproblem Utredningens bedömning: Om personuppgiftslagen upphävs innan ramlagen hunnit träda i kraft, bör personuppgiftslagens bestämmelser fortsätta att gälla för sådan behandling av person- uppgifter för brottsbekämpning, lagföring, straffverkställighet och upprätthållande av allmän ordning och säkerhet som stöds på den lagen. Skälen för utredningens bedömning: Dataskyddsförordningen medför att personuppgiftslagen måste upphävas när förordningen börjar tillämpas. Det nuvarande regelverket delas då upp i en del som i huvudsak regleras direkt genom förordningen och en annan del som regleras genom de bestämmelser som genomför det nya dataskyddsdirektivet. Det aktualiserar hur vissa frågor bör hanteras i övergången mellan det gamla och det nya regelverket. Direktivet ska vara genomfört medan data- skyddsförordningen börjar tillämpas . Vid den se- nare tidpunkten kommer personuppgiftslagen att upphöra att gälla. Det gäller oberoende av om den svenska lagstiftning som genomför direktivet har hunnit träda i kraft då. Det ingår i uppdraget till att lämna förslag till upphävande av den nuvarande generella personuppgiftsregleringen och det får därför förutsättas att den utredningen lämnar förslag på de övergångsreg- ler som kan krävas när personuppgiftslagen upphör att gälla. Den utredningen ska dock presentera sina förslag först . För att behovet av övergångsbestämmelser till den lagstiftning som vi föreslår ska kunna överblickas, ser vi det som nödvändigt att, trots att det ligger utanför vårt uppdrag, redovisa behovet av sådana övergångsbestämmelser samlat i detta avsnitt. Vi lämnar också på vissa punkter konkreta förslag till övergångsbestämmelser. Det får i det fortsatta lagstiftningsarbetet avgöras om det behövs sådana särskilda övergångsbestämmelser till ramlagen som föreslås här, eller om frågorna kan lösas genom den övergångsreglering som föreslår. Arbetet med att genomföra direktivet i svensk rätt kommer att bli omfattande och tidsödande. Det finns därför viss risk för att all den lagstiftning som ska genomföra direktivet inte hinner bli klar . För de behöriga myndigheter som har en registerförfatt- ning kommer lagstiftningen inte i alla delar att leva upp till kraven i direktivet, om den nya lagstiftningen inte finns på plats . Regleringen bör ändå i allt väsentligt kunna fungera dels med stöd av att de nuvarande författningarna till stor del uppfyller de nya kraven, dels med stöd av övergångsbestämmelser till den lag som upphäver personuppgiftslagen. De behöriga myndigheter som i fortsättningen ska tillämpa ramlagen, och som inte har någon egen registerförfattning, kommer däremot inte längre att ha någon reglering för sin personuppgiftsbehandling då personuppgiftslagen upphävs, eftersom de – i motsats till andra som tillämpar person- uppgiftslagen – inte ska tillämpa dataskyddsförordningen. Mot den bakgrunden bedömer utredningen att den bästa lös- ningen skulle vara att införa en övergångsreglering som innebär att personuppgiftslagens bestämmelser, även om lagen upphävs, fort- sätter att gälla fram till dess att ramlagen träder i kraft. En sådan reglering kan dock inte knytas till införandet av ramlagen. Den bör inte heller utgå från direktivet, eftersom den lagstiftning som genomför det och som mejslar ut dess tillämpningsområde ännu inte gäller. Direktivets tillämpningsområde utgör emellertid en spegling av det undantag som görs i artikel 2.2 i dataskyddsför- ordningen. En särskild övergångsbestämmelse som knyts till att personuppgiftslagen upphävs och som täcker behovet av att ha fortsatt rättsligt stöd för personuppgiftsbehandling på direktivets område som lagstiftningsarbetet med ramlagen pågår, skulle därför kunna utformas på följande sätt. Övergångsbestäm- melsen kan sedan upphävas när ramlagen träder i kraft. Personuppgiftslagen gäller fortfarande för sådan behandling av person- uppgifter som avses i artikel 2.2 d i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), i den ursprungliga lydelsen. En annan fråga som väcks är hur ärenden som ligger inom ram- lagens tillämpningsområde och som har påbörjats före den tid- punkt när ramlagen träder i kraft ska hanteras. Det kan t.ex. gälla beslut av personuppgiftsansvariga myndigheter som har överklagats eller pågående tillsynsärenden hos Datainspektionen eller Säker- hets- och integritetsskyddsnämnden. En möjlighet är att låta över- gångsfrågorna styras helt av de övergångsbestämmelser som Data- skyddsutredningen kommer att föreslå. Det finns dock risk för att någon fråga även i de fallen kan komma att falla mellan stolarna. Utredningen föreslår därför i avsnitt 18.2.2 vissa övergångsbestäm- melser som kan komma att överlappa de förslag som Dataskydds- utredningen överlämnar. Utredningens förslag: För ärenden om tillsyn över personupp- giftsbehandling för brottsbekämpning, lagföring, straffverkstäl- lighet eller upprätthållande av allmän ordning och säkerhet som inte avgjorts när lagen träder i kraft ska äldre bestämmelser om handläggningen fortsätta att gälla. Äldre bestämmelser ska också fortsätta att gälla för överkla- ganden enligt personuppgiftslagen och ärenden om skadestånd för felaktig personuppgiftsbehandling inom nämnda områ- den. Utredningens bedömning: Det behövs inga övergångsbestäm- melser för de behöriga myndigheternas behandling av person- uppgifter. Skälen för utredningens förslag och bedömning: Det som kan behöva regleras i övergångsbestämmelser till ramlagen – förutom bestämmelser som rör det nya sanktionssystemet (se avsnitt 18.2.3) och bestämmelser som rör loggning (se avsnitt 18.2.4) – är framför allt hur pågående ärenden hos de behöriga myndigheterna och hos de nuvarande tillsynsmyndigheterna bör hanteras. I frågor som rör behandling av personuppgifter hos de behöriga myndigheterna bör den nya lagstiftningen tillämpas från det att den träder i kraft. Det innebär exempelvis att framställningar om att få del av information, ärenden om rättelse och andra oavslutade ären- den ska hanteras enligt ramlagen. Några övergångsbestämmelser för de behöriga myndigheternas handläggning behövs därmed inte. Beträffande tillsynsåtgärder följer det av allmänna principer att förelägganden och förbud som har meddelats med stöd av person- uppgiftslagen och som rör ramlagens tillämpningsområde fortsätter att gälla efter det att personuppgiftslagen upphävts. Det behövs därför inte någon särskild övergångsbestämmelse för det. När det gäller andra frågor om tillsyn över behandling av per- sonuppgifter inom ramlagens tillämpningsområde bör det föreskri- vas att äldre bestämmelser ska fortsätta att gälla för de ärenden som har påbörjats före ikraftträdandet men inte hunnit avgöras när den nya lagen träder i kraft. Med den lösningen bör det inte uppstå några övergångsproblem och det saknar då också betydelse vilken organisatorisk lösning som regeringen väljer för den framtida till- synsverksamheten. En sådan övergångsreglering skulle träffa ären- den under handläggning hos både Datainspektionen och . Även när det gäller ärenden om skadestånd för felaktig person- uppgiftsbehandling inom ramlagens tillämpningsområde bör äldre bestämmelser fortsätta att gälla. Detsamma bör gälla för överkla- ganden i ännu inte avslutade ärenden som rör behandlingen av personuppgifter. Det innebär att domstolen vid sin prövning ska tillämpa den äldre lagstiftningen. I båda fallen skulle sådana över- gångsbestämmelser underlätta övergången till den nya, delade reg- leringen. 18.2.3Övergångsbestämmelser till det nya sanktionssystemet Utredningens förslag: Sanktionsavgift får inte tas ut för sådana överträdelser av bestämmelser om personuppgiftsbehandling för brottsbekämpning, lagföring, straffverkställighet eller upprätt- hållande av allmän ordning och säkerhet som har begåtts före ramlagens ikraftträdande. Äldre bestämmelser ska fortsätta att gälla för överträdelser som har begåtts före ikraftträdandet. Skälen för utredningens förslag Ett nytt sanktionssystem införs Enligt allmänna principer får en ny lag inte retroaktiv verkan. Frå- gan kompliceras emellertid i de fall där den nya lagen innehåller sanktionsbestämmelser, vilket är fallet med ramlagen. I avsnitt 13.5–7 föreslår utredningen ett nytt sanktionssystem för överträdelser av bestämmelserna om behandling av personupp- gifter i ramlagen. Förslaget innebär att överträdelser ska beivras genom sanktionsavgift, som är en administrativ sanktion. Sank- tionsavgift föreslås kunna tas ut både för överträdelser som inte är straffsanktionerade nu och för överträdelser som omfattas av straffansvaret i 49 § personuppgiftslagen. Sanktionsavgift ska tas ut av personuppgiftsansvariga och i vissa fall av personuppgiftsbi- Det gäller oavsett om de är juridiska eller fysiska personer. I huvudsak kommer sanktionsavgift att tas ut av andra rättssubjekt än de som kan åläggas straffansvar. Det nya sanktionssyste- met aktualiserar emellertid frågan hur överträdelser som begåtts före ramlagens ikraftträdande bör hanteras. Som framgår av avsnitt 13.2.1 föreslår utredningen ingen ny straffbestämmelse. Eftersom någon motsvarighet till 49 § person- uppgiftslagen inte tas in i ramlagen bortfaller straffansvaret för de gärningar som regleras där, om inte frågan regleras genom särskilda övergångsbestämmelser. Förbudet mot retroaktivitet och lindrigaste lagens princip Vid bedömningen av om det behövs övergångsbestämmelser för de överträdelser som har begåtts tidigare men inte hunnit beivras när ramlagen träder i kraft, ska artikel 7 i , 2 kap. 10 § regeringsformen och 5 § andra stycket lagen (1964:163) om införande av beaktas. Enligt artikel 7 i får ingen fällas till ansvar för någon gärning eller underlåtenhet som då den begicks inte utgjorde ett brott enligt nationell eller internationell rätt. Inte heller får ett strängare straff utmätas än som var tillämp- ligt då brottet begicks. I 2 kap. 10 § regeringsformen förbjuds retroaktiv straff- och skattelagstiftning. Förbudet mot retroaktiv skattelag anses vara analogt tillämpligt på straffliknande administrativa påföljder (se propositionen om ändring i regeringsformen, prop. 1975/76:209, s. 125). Av 5 § andra stycket lagen om införande av framgår att straff ska bestämmas enligt den lag som gällde när gär- ningen företogs, utom i fall där annan lag gäller när dom meddelas och den nya lagen leder till frihet från straff eller lindrigare straff. Bestämmelsen har enligt förarbetena generell räckvidd, dvs. den gäller även utanför (propositionen med förslag till lag om införande av m.m., prop. 1964:10, s. 99). Den ger uttryck för det som brukar kallas den lindrigaste lagens princip. Det behövs särskilda övergångsbestämmelser Utredningen föreslår att vissa handlingar som inte är straff- bara ska kunna föranleda sanktionsavgift (se avsnitt 13.5.2). Det gäller exempelvis skyldigheten att anmäla personuppgiftsincidenter. Handlingar som är straffbara föreslås inte längre kunna be- straffas men däremot kunna föranleda sanktionsavgift. Det gäller t.ex. otillåten överföring av personuppgifter till tredjeland. Om en sådan överträdelse som kan leda till sanktionsavgift men som inte är straffbelagd har inträffat före ikraftträdandet skulle det strida mot retroaktivitetsförbudet att besluta om sank- tionsavgift. Detsamma gäller om en skyldighet blir mer omfattande än vad den är . I vissa fall har ramlagen liknande bestämmelser som de som finns i personuppgiftslagen, men det kan skilja sig i fråga om detaljer. Det kan då vara svårt att avgöra om det är fråga om ett förfarande som tidigarekunna föranleda straff. Eftersom tillämpningsområdet för sanktionsavgift inte är detsamma som för straffansvar är det inte rimligt att låta systemet med sanktionsavgift gälla retroaktivt. Det är inte heller självklart hur bedömningen av vilken sanktion som är lindrigast – straffpåföljd eller sanktionsav- gift – skulle utfalla i ett enskilt fall. För att undvika de tolknings- och tillämpningsproblem som kan uppstå om den lindrigaste lagens princip skulle tillämpas på sank- tionsavgift enligt ramlagen är det enligt utredningens mening lämp- ligare att låta äldre bestämmelser fortsätta att gälla för de överträ- delser som har begåtts innan ramlagen trätt i kraft. Sanktionsavgift bör därför bara kunna tas ut för överträdelser som ägt rum efter ramlagens ikraftträdande, vilket bör tydliggöras genom en över- gångsbestämmelse. Utredningen anser att det är viktigt att de överträdelser som är straffsanktionerade kan beivras även efter ikraftträdandet av ram- lagen. Därför bör det även införas en övergångsbestämmelse som innebär att äldre bestämmelser ska fortsätta att gälla för överträdel- ser som begåtts före ikraftträdandet. När ska överträdelsen anses ha ägt rum? Normalt är det inga större problem att slå fast när en överträdelse har ägt rum. När det gäller personuppgiftsbehandling är det tid- punkten när en personuppgift registreras, överförs, lämnas ut eller behandlas på annat sätt som är utgångspunkten. Så länge en per- sonuppgift finns kvar i ett it-system behandlas den. Det gäller en- ligt både den nuvarande och den föreslagna lagstiftningen. Det innebär att det i de allra flesta fall pågår behandling när en överträ- delse upptäcks. Det är endast i de fall där behandlingen har upphört som tidpunkten för överträdelsen kan komma att få betydelse. En särskild fråga är hur man bör se på överträdelser som började före men har fortsatt efter ramlagens ikraftträdande, t.ex. där be- handlingen av personuppgifter borde ha upphört före ikraftträdan- det men uppgifterna alltjämt finns kvar. Situationen kan närmast jämföras med brott som består i pågående handlande, s.k. perdure- rande brott. När det gäller brott som begås genom ett pågående handlande både före och efter en ny lags ikraftträdande, och där någon del av handlandet infaller under den nya lagens tid, anses det att den nya lagen ska tillämpas på hela förfarandet (jfr , , , och , , En kommentar, , BrP s. 6). Motsva- rande resonemang bör enligt utredningens mening tillämpas vid bedömningen av hur en överträdelse av ramlagens bestämmelser ska hanteras. Avslutades behandlingen av personuppgifter efter lagens ikraftträdande ska enbart ramlagen tillämpas. Utredningens förslag: Bestämmelserna om loggning behöver inte tillämpas förrän i automatiserade behand- lingssystem som har inrättats före . Skälen för utredningens förslag Särskilda övergångsbestämmelser för existerande behandlingssystem Som tidigare nämnts ska de författningar som genomför direktivet vara i kraft . Enligt artikel 63.2 får dock med- lemsstaterna, om det skulle innebära oproportionerliga ansträng- ningar att anpassa ett automatiserat system som inrättats , föreskriva att systemet ska anpassas till artikel 25.1 (kravet på loggning) . Under exceptionella omständig- heter får enligt artikel 63.3 en medlemsstat medge ytterligare an- stånd med anpassningen, dock längst till . Kommissio- nen ska, om det undantaget utnyttjas, underrättas om skälen till problemen och motiveringen för tidsperioden för anpassning. Myndigheterna i rättskedjan använder automatiserade behand- lingssystem som inrättats före . I direktivet ställs emellertid mer detaljerade krav än tidigare på loggning i sådana system. Samtliga myndigheter har uppgett att de behöver för att närmare analysera behovet av anpassningar och för att utforma systemen efter de föreslagna kraven på loggning. Det kommer att krävas noggranna verksamhets- och systemanalyser för att klar- lägga i vilken utsträckning dagens system för loggning uppfyller kraven och vilka eventuella förändringar som kan behövas. Arbetet med att analysera vilka anpassningar som krävs skulle möjligen hinna genomföras till dess att ramlagen börjar gälla, men det anses inte vara möjligt att inom den korta tiden till ikraftträdandet också hinna anpassa systemen. Det kan vidare krävas viss samordning mellan myndigheterna, eftersom de utbyter många uppgifter elek- troniskt och i vissa fall använder samma datasystem. Vad myndig- heterna framfört visar att det skulle innebära oproportionerliga an- strängningar för dem att redan vid lagens ikraftträdande anpassa sina nuvarande system till loggningskraven. Det finns således be- hov av en sådan övergångsbestämmelse som direktivet medger. Ut- redningen föreslår därför att det införs övergångsbestämmelser både i ramlagen och den föreslagna förordningen som innebär att den nya bestämmelsen om loggning i förordningen inte behöver tillämpas före . Utredningen vill understryka att loggning görs i automati- serade behandlingssystem. Den föreslagna övergångsbestämmelsen påverkar inte de generella krav på loggning som redan gäller. När det gäller övriga lagändringar ska de enligt huvudprincipen gälla från och med att de träder i kraft. Några övergångsbestäm- melser behövs inte. 1 kap. Allmänna bestämmelser Paragrafen reglerar syftet med lagen och tydliggör att lagen genom- för dataskyddsdirektivet. Den behandlas i avsnitt 6.1.3. I första stycket, som genomför artikel 1, anges det övergripande syftet med lagen. Syftet är dubbelt. Det ena syftet är att skydda fysiska personers grundläggande fri- och rättigheter i samband med behandling av personuppgifter. Genom formuleringen tydliggörs att lagens skyddsobjekt är fysiska personer. Lagen innehåller inga bestämmelser till skydd för juridiska personer. Det andra syftet är att säkerställa att de myndigheter som är behöriga myndigheter en- ligt lagen kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt vid brottsbekämpning, lagföring, straff- verkställighet och upprätthållande av allmän ordning och säkerhet. Det gäller både nationellt och internationellt informationsutbyte. I andra stycket anges att lagen genomför och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters be- handling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. I paragrafen, som tillsammans med 3 och 4 §§ genomför artikel 2, anges lagens tillämpningsområde. Den behandlas i avsnitt 7.1.1– 7.1.5. Gränsdragningsfrågor behandlas i kapitel 8. Lagen gäller för behandling av personuppgifter. Vad som är en personuppgift och behandling av personuppgifter definieras i 6 §. Lagen gäller bara när en behörig myndighet behandlar person- uppgifter för vissa syften. Behörig myndighet definieras i 6 §. Det framgår inte direkt av lagen vilka som är behöriga myndig- heter. Det avgörande är om myndigheten har sådana arbetsuppgif- ter att den behandlar personuppgifter för brottsbekämpning, lag- föring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet. , , , , , , de all- männa domstolarna och Kriminalvården är behöriga myndigheter men enbart när de behandlar personuppgifter för sådana syften. När t.ex. behandlar personuppgifter i beskattnings- verksamheten eller utfärdar pass är myndigheten inte en behörig myndighet. Lagen gäller således inte generellt i de behöriga myndigheternas verksamhet. Även andra myndigheter än de nämnda har vissa arbetsuppgifter som gör lagen tillämplig, t.ex. vid rättsmedicinska obduktioner och utfärdande av rättsintyg och förvaltningsdomstolar när de prövar frågor som rör verkställighet av straff. Exempel på arbetsuppgifter som inte gör en myndighet till be- hörig myndighet i lagens mening är skyldighet att anmäla brott eller annan uppgiftsskyldighet till brottsbekämpande myndigheter. Det förhållandet att en brottmålsdom expedieras till någon eller att en viss myndighet får tillgång till uppgifter om lagöverträdelser i belastningsregistret eller misstankeregistret gör inte heller att mot- tagaren av personuppgifterna blir en behörig myndighet i lagens mening. Även andra aktörer än myndigheter kan vara behöriga myndig- heter i lagens mening, om de har anförtrotts myndighetsutövning för brottsbekämpning, lagföring, straffverkställighet eller upprätt- hållande av allmän ordning och säkerhet. Det gäller t.ex. när natur- vårdsvakter och jakttillsynsmän tar egendom i beslag och när ord- ningsvakter upprätthåller allmän ordning och säkerhet exempelvis vid domstolsförhandlingar. Lagen ska däremot inte tillämpas av offentliga försvarare, måls- ägandebiträden och särskilda företrädare för barn. Eftersom någon myndighetsutövning inte har överlåtits till dem är de inte behöriga myndigheter i lagens mening. Lagen gäller bara när behöriga myndigheter behandlar person- uppgifter för vissa syften, nämligen att förebygga, förhindra eller upptäcka brottslig verksamhet, att utreda eller lagföra brott, att verkställa straffrättsliga påföljder eller att upprätthålla allmän ord- ning och säkerhet. När en behörig myndighet behandlar person- uppgifter för något annat syfte gäller inte lagen. Det är bl.a. och andra myndigheters under- rättelseverksamhet som avses när formuleringen förebygga, för- hindra eller upptäcka brottslig verksamhet används. Med underrättel- severksamhet avses arbete med insamling, bearbetning och analys av information i syfte att förhindra eller upptäcka brottslig verk- samhet när det ännu inte finns misstankar om att ett visst konkret brott har begåtts (se prop. 2009/10:85 s. 318). Om det finns miss- tankar om ett konkret brott kan personuppgifter behandlas för att utreda brottet. Även behandling av överskottsinformation med stöd av 27 kap. 23 a § omfattas, om syftet med behandlingen är att förhindra brott. Annan brottsförebyggande verksamhet kan också omfattas av tillämpningsområdet, vilket ut- vecklas i avsnitt 7.1.2. Lagen ska däremot inte tillämpas vid sådan kontrollverksamhet som vissa myndigheter som också har ett brottsbekämpande upp- drag utför med stöd av sina kontrollbefogenheter, t.ex. vid skatte- kontroll eller tullkontroll, vilket utvecklas avsnitt 8.2.10. Med att utreda brott avses framför allt att genomföra förunder- sökning enligt 23 kap. . Med brott avses ett kon- kret brott. Det kan vara fråga om såväl brott som bevisligen har begåtts som brott som det enbart finns misstankar om. Det saknar betydelse om brottet hunnit påbörjas, om det är straffbart på pla- neringsstadiet. Misstankarna behöver inte vara riktade mot någon bestämd person. Om misstankarna enbart avser icke-preciserad brottslighet, är det i stället fråga om underrättelseverksamhet. Även den form av förenklat utredningsförfarande som regleras i 23 kap. 22 § och åtgärder som vidtas med stöd av 23 kap. 3 och 8 §§ innan förundersökning har hunnit inledas omfattas av tillämpningsområdet. Brottsbekäm- pande myndigheters handläggning av brottsanmälningar hör också hit, även om de leder till beslut om att inte inleda förundersökning. Reglerna om förundersökning i brottmål tillämpas även vid vissa andra typer av undersökningar.