sou · H5B374 · 2017-10-04 00:00:00 — I förarbetena till lagen om register över tillträdesförbud vid idrotts- arrangemang redovisas inte skälen för att lagstiftaren valde att reg- lera både och idrottsorganisationernas behand- ling av personuppgifter i samma författning. Det mesta talar dock för att det ansågs vara en praktisk lösning. Register över tillträdesförbud vid idrottsarrangemang Om samma lagtekniska lösning skulle gälla även fortsättningsvis måste personuppgiftsbehandling regleras så att bestämmelserna gäller utöver brottsdatalagen, medan idrottsorga- nisationernas personuppgiftsbehandling ska förhålla sig till data- skyddsförordningen och den svenska lagstiftning som komplette- rar den. Det skulle i och för sig vara möjligt att skapa en sådan reg- lering, t.ex. genom att dela in lagen i kapitel och låta dem förhålla sig till respektive lagstiftning. Det är emellertid enligt utredningens mening svårt att finna några övertygande skäl för att behålla en gemensam reglering. Varken handläggningsskäl eller effektivitets- skäl talar för det. Lagtekniska skäl talar också mot det, om det går att finna en annan rimlig lösning. För idrottsorganisationerna regleras framför allt hur uppgifter som härrör från tillträdesförbudsregistret får behandlas. Motsva- rande regelverk finns normalt inte i de författningar som reglerar myndighetsregister. Även det talar mot att behålla den nuvarande författningsstrukturen. Utredningens slutsats är att den nuvarande regleringen bör delas upp på två olika regelverk – ett för personupp- giftsbehandling och ett för idrottsorganisationernas personupp- giftsbehandling. personuppgiftsbehandling regleras i polisens brottsdatalag Utgångspunkten för lagstiftaren var enligt förarbetena till polisda- talagen att bestämmelserna om behandling av personuppgifter så långt möjligt ska vara samlade i den lagen. Det ansågs enligt förarbetena inte lämpligt att föra in regleringen av vissa register i polisdatalagen (se prop. 2009/10:85 s. 76 f.). undantas i 1 kap. 3 § polisdatalagen behandling av personuppgifter i bl.a. tillträdesförbudsregistret från lagens tillämpningsområde. Skä- len för det är framför allt att lagen om register över tillträdesförbud vid idrottsarrangemang bara till viss del ansågs kunna hänföras till brottsbekämpning. För att inte fler än en författning skulle vara tillämplig på samma behandling av personuppgifter undantogs be- handlingen i registret från polisdatalagens tillämpningsområde (se prop. 2013/14:254 s. 43). Register över tillträdesförbud vid idrottsarrangemang Även om lagstiftningen om tillträdesförbudsregistret är relativt ny, anser utredningen att det finns skäl att på nytt överväga frågan om bestämmelserna om behandling av person- uppgifter i tillträdesförbudsregistret kan föras in i polisens brotts- datalag. Det är möjligt att arbeta in bestämmelserna i den lagen när den genom dataskyddsreformen får ett bredare tillämpningsområde och även omfattar upprätthållande av allmän ordning och säkerhet (se avsnitt 7.1.2). Det tidigare hindret mot att reglera all Polismyn- dighetens personuppgiftsbehandling i samma författning har där- med undanröjts. En förutsättning för att föra över regleringen till polisens brottsdatalag bör dock vara att tillträdesförbudsregistret alltjämt regleras som ett särskilt register. Om bestämmelserna om behandling av per- sonuppgifter i tillträdesförbudsregistret upphävs och motsvarande bestämmelser införs i polisens brottsdatalag kan lagen om register över tillträdesförbud vid idrottsarrangemang renodlas till att enbart omfatta idrottsorganisationernas personuppgiftsbehandling. Ut- redningen anser att det är den bästa lösningen. Den som anordnar en offentlig tillställning, exempelvis sporttäv- lingar, ansvarar enligt 2 kap. 16 § ordningslagen (1993:1617) för att det gäller god ordning vid tillställningen. får meddela de villkor som behövs för att upprätthålla ordning och säkerhet vid tillställningen. Ansvaret för att idrottsarrangemang kan anordnas på ett tryggt sätt med hög säkerhet för såväl aktiva som publik vilar alltså i första hand på de arrangerande idrottsorga- nisationerna (se prop. 2013/14:254 s. 19). Det är också de som ska se till att gällande tillträdesförbud respekteras. Det är av det skälet som idrottsorganisationerna ges tillgång till uppgifter om tillträdes- förbud. Att arrangörerna har kännedom om vilka personer som har tillträdesförbud och kan identifiera dem vid inpasseringskontrollen ger möjlighet att hindra att personer med tillträdesförbud släpps in när ett idrottsarrangemang äger rum. I avsnitt 6.4.1 redovisar utredningen vilka rättsliga grunder som är tillåtna enligt dataskyddsförordningen. Enligt artikel 6.1 e är det bl.a. om behandlingen är nödvändig för att utföra en uppgift av Register över tillträdesförbud vid idrottsarrangemang allmänt intresse och enligt artikel 6.1 c om behandlingen är nöd- vändig för att fullgöra en rättslig förpliktelse. Enligt artikel 6.3 ska den rättsliga grunden för sådan behandling fastställas i enlighet med unionsrätten eller nationell rätt. Idrottsorganisationernas uppgift att förebygga och förhindra ordningsstörningar vid idrottsarrangemang genom att se till att ut- färdade tillträdesförbud får effekt innebär enligt utredningens mening att idrottsorganisationerna utför en uppgift av allmänt in- tresse. Som redovisas närmare i förarbetena till lagen om register över tillträdesförbud vid idrottsarrangemang är det då nödvändigt att de kan behandla vissa personuppgifter rörande dem som har meddelats tillträdesförbud. Utredningen anser därför att reglerna om idrottsorganisationernas rätt att behandla vissa personuppgifter i lagen kan behållas. Viss anpassning av bestämmelserna kan dock krävas. Utredningen återkommer till det i avsnitt 16.4. Idrottsorganisationernas personuppgiftsbehandling bör enligt utredningens mening även fortsättningsvis regleras i lagen om regi- ster över tillträdesförbud vid idrottsarrangemang. Om lagen renod- las på det sättet att bestämmelserna om be- handling av personuppgifter om tillträdesförbud i sin helhet reg- leras i polisens brottsdatalag bör dock namnet på lagen ändras. Den bör benämnas lagen om idrottsorganisationers behandling av upp- gifter om tillträdesförbud. Utredningens förslag: De nuvarande bestämmelserna om rätten att föra tillträdesförbudsregistret, för vilka ändamål personupp- gifter får behandlas i registret, dess innehåll, hur länge uppgif- terna får behandlas, under vilka förutsättningar de får lämnas ut och den sekretessbrytande bestämmelsen ska flyttas till polisens brottsdatalag. Register över tillträdesförbud vid idrottsarrangemang Skälen för utredningens förslag Bestämmelser flyttas till polisens brottsdatalag Som framgår av avsnitt 16.2 är syftet med be- handling av personuppgifter i tillträdesförbudsregistret sådant att det ligger inom brottsdatalagens tillämpningsområde. De nuvaran- de bestämmelserna om behandling av person- uppgifter i tillträdesförbudsregistret bör oförändrade i sak föras över till polisens brottsdatalag. De bör placeras i det kapitel där vissa andra register som myndigheten för särregleras. Härigenom kommer fortsättningsvis all behandling av personuppgifter som utför när det gäller tillträdesförbud att regleras i den lagen. Många bestämmelser som reglerar be- handling av personuppgifter i tillträdesförbudsregistret blir emel- lertid överflödiga om regleringen flyttas till polisens brottsdatalag, eftersom motsvarande bestämmelser redan finns antingen i den lagen eller brottsdatalagen. Det gäller bl.a. bestämmelserna om att behandlingen enligt huvudregeln ska vara automatiserad, om per- sonuppgiftsansvar och om tillgången till personuppgifter. De kan därför upphävas utan att ersättas. Det behövs inte heller någon sär- skild bestämmelse om rättelse eller skadestånd. De bestämmelser som bör flyttas till polisens brottsdatalag, och i förekommande fall anpassas, är bestämmelserna om rätten att föra tillträdesförbudsregistret (2 §), för vilka ändamål personuppgifter får behandlas i registret (6 §), dess innehåll (8 §) och hur länge uppgifterna får behandlas (12 §). Någon förändring i sak bör inte göras, men bestämmelserna behöver anpassas till polisens brotts- datalag. Det innebär bl.a. att gallringsbestämmelsen, av de skäl som anges i avsnitt 5.5.2, bör göras om till en bestämmelse om längsta tid för behandling. Även den sekretessbrytande bestämmelsen, som ger idrottsor- ganisationer rätt att ta del av uppgifter ur registret trots den sekre- tess som gäller för sådana uppgifter (9 §), bör flyttas till polisens brottsdatalag. Bestämmelsen, som bör placeras i 2 kap. tillsammans med övriga sekretessbrytande regler, bör inte ändras i sak. Förslagen kräver vissa följdändringar i förordningen (2015:54) om register över tillträdesförbud vid idrottsarrangemang. Register över tillträdesförbud vid idrottsarrangemang Utredningens förslag: En bestämmelse som anger hur lagen om idrottsorganisationers behandling av uppgifter om tillträdesför- bud förhåller sig till dataskyddsförordningen och komplette- rande nationell lagstiftning ska införas. Skälen för utredningens förslag: Lagen om register över tillträ- desförbud vid idrottsarrangemang gäller utöver personupp- giftslagen. Den hänvisningen bör av de skäl som anges i av- snitt 5.3.1 upphävas, eftersom personuppgiftslagen upphör att gälla när dataskyddsförordningen ska börja tillämpas. Det bör i stället införas en bestämmelse som upplyser om att dataskyddsförord- ningen gäller och att, om det inte finns särregler i lagen, den komp- letterande lagstiftningen ska tillämpas vid idrottsorganisationers behandling av uppgifter som rör tillrädesförbud,. Vidare bör gall- ringsbestämmelsen, av de skäl som anges i avsnitt 5.5.2, göras om till en bestämmelse om längsta tid för behandling. I övrigt kan be- stämmelserna om idrottsorganisationers behandling av personupp- gifter enligt utredningens mening behållas oförändrade. På grund av att bestämmelserna om behandling av per- sonuppgifter bryts ut krävs det omfattande redaktionella ändringar i lagen. Utredningens förslag: Hänvisningar till lagen om register över tillträdesförbud vid idrottsarrangemang ska ändras till hänvis- ningar till polisens brottsdatalag. Skälen för utredningens förslag Sekretessen för uppgifter i tillträdesförbudsregistret Sekretessen för uppgifter i tillträdesförbudsregistret regleras i 35 kap. 4 a § offentlighets- och sekretesslagen. Den gäller i verk- samhet som avser förande av register enligt lagen om register över Register över tillträdesförbud vid idrottsarrangemang tillträdesförbud vid idrottsarrangemang för uppgift om enskildas personliga förhållanden, om det inte står klart att uppgiften kan röjas utan men för den enskilde eller någon närstående. För uppgift i en allmän handling gäller sekretessen i högst . Om bestämmelserna om tillträdesförbudsregistret flyttas till polisens brottsdatalag, och regleras i 5 kap. (nuvarande 4 kap.) till- sammans med vissa andra register, kan det diskuteras om den sär- skilda sekretessbestämmelsen behövs. Enligt 35 kap. 1 § offentlig- hets- och sekretesslagen gäller sekretess för bl.a. uppgift om en- skilds personliga eller ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men och upp- giften förekommer i register som för enligt 4 kap. polisdatalagen. För uppgift i en allmän handling gäller sek- retessen i högst . Den särskilda sekretessbestämmelsen för tillträdesförbudsre- gistret är dock inte identisk med den som gäller för övriga register som regleras i 4 kap. polisdatalagen. Skaderekvisitet i 35 kap. 1 § är vidare och omfattar både skada och men. Föremålet för sekre- tessen skiljer sig också på det sättet att sekretessen i 35 kap. 4 a § enbart skyddar enskilds personliga förhållanden, medan sekretessen i 35 kap. 1 § skyddar enskilds personliga och ekonomiska förhål- landen. Utredningen anser därför att den särskilda sekretessbe- stämmelsen för tillträdesförbudsregistret bör behållas men en hän- visning behöver ändras när regleringen flyttas. Lagen och förordningen om tillträdesförbud vid idrottsarrangemang I 8 a § lagen om tillträdesförbud vid idrottsarrangemang föreskrivs att en polisman eller annan anställd vid får foto- grafera en person som har eller skäligen kan antas få tillträdesför- bud enligt lagen, för att fotografiet ska kunna tillföras tillträdes- förbudsregistret. Eftersom regleringen av tillträdesförbudsregistret flyttas bör hänvisningen till lagen om register över tillträdesförbud vid idrottsarrangemang ändras. Det krävs även ändringar i förord- ningen (2005:323) om tillträdesförbud vid idrottsarrangemang. Utredningens förslag: Den som fullgör uppgift som data- skyddsombud ska inte obehörigen få röja eller utnyttja det som han eller hon har fått veta om enskilds personliga eller ekono- miska förhållanden. I det allmännas verksamhet ska offentlighets- och sekre- tesslagen tillämpas. Skälen för utredningens förslag Behovet av en bestämmelse om tystnadsplikt Det är inte bara myndigheterna i rättskedjan som ska tillämpa brottsdatalagen utan även andra myndigheter. I vissa fall ska även andra aktörer tillämpa lagen. I delbetänkandet föreslår utredningen att alla som tillämpar brottsdatalagen ska utse dataskyddsombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas (se SOU 2017:29 s. 340 f.). Det gäller således även andra aktörer än myndigheter. Utredningen konstaterar i delbetänkandet att det kommer att krävas en regel om tystnadsplikt för dataskyddsombud som inte ska tillämpa offentlighets- och sekretesslagen. Eftersom det är önskvärt att en sådan regel utformas på samma sätt för både dataskyddsförordningens och brottsdatalagens tillämpningsområ- den valde utredningen att avvakta förslag (se SOU 2017:29 s. 631 f.). gör följande bedömning när det gäller dataskyddsombud som inte är offentliganställda (se SOU 2017:39 s. 263). Dataskyddsombudets ställning kan i vissa avseenden likställas med revisorns eller skyddsombudets, och tystnadsplikten för dataskydds- ombud bör därför utformas på ett liknande sätt. Tystnadsplikten ska således avgränsas med ett obehörighetsrekvisit vilket bland annat in- nebär att uppgifter kan lämnas ut med samtycke, till tillsynsmyndighet eller annars som en följd av en skyldighet i lag eller författning. Bestämmelsen om tystnadsplikt för dataskyddsombud bör enligt utformas på följande sätt (se SOU 2017:39 s. 40). Den som utsetts till dataskyddsombud enligt artikel 37 i dataskydds- förordningen får inte obehörigen röja det som han eller hon vid fullgö- randet av sin uppgift har fått veta om enskilds personliga och ekono- miska förhållanden. I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen. En bestämmelse om tystnadsplikt införs i brottsdatalagen Dataskyddsombud som utses av myndigheter ska tillämpa be- stämmelserna i offentlighets- och sekretesslagen. Det behövs enligt utredningens mening inte någon ytterligare reglering av deras tyst- nadsplikt. gör samma bedömning när det gäller dataskyddsförordningens tillämpningsområde. De dataskyddsombud som kommer att vara verksamma inom brottsdatalagens tillämpningsområde och som inte träffas av regle- ringen i offentlighets- och sekretesslagen kommer sannolikt att ha uppgifter enligt både den lagen och dataskyddsförordningen. Det är då lämpligt att reglerna om tystnadsplikt är utformade på samma sätt. Bestämmelsen om tystnadsplikt för dataskyddsombud bör därför utformas efter mönster av den bestämmelse som Data- skyddsutredningen föreslår. Det innebär att regleringen bör utgå från ett obehörighetsreksvisit och föreskriva att den som fullgör uppgift som dataskyddsombud inte obehörigen får röja eller ut- nyttja det som han eller hon har fått veta om enskilds personliga och ekonomiska förhållanden. Bestämmelsen bör placeras i 3 kap. brottsdatalagen. 17.2.1Följdändringar i offentlighets- och sekretesslagen Utredningens förslag: Hänvisningar i offentlighets- och sekre- tesslagen till de registerförfattningar vilkas namn byts ut ska ändras. Andra hänvisningar ska också ändras. Skälen för utredningens förslag: Ett flertal paragrafer i offentlig- hets- och sekretesslagen innehåller hänvisningar till en eller flera av de registerförfattningar som utredningen föreslår ska anpassas till brottsdatalagen. Det gäller 18 kap. 2 och 18 §§, 35 kap. 1 och 10 §§ och 37 kap. 7 §. I 35 kap. 1 och 10 §§ offentlighets- och sekre- tesslagen nämns polisens, , , Kustbevak- ningens och åklagarväsendets registerförfattningar vid namn. Vissa av dem nämns på motsvarande sätt i 18 kap. 2 §. Eftersom utred- ningen föreslår att registerförfattningarna ska få nya namn behöver hänvisningarna i dessa paragrafer ändras. Det gäller även hänvis- ningar till kapitel och paragrafer i vissa av lagarna. Ändringarna i polisdatalagen innebär vidare att kapitelnumreringen ändras. Hän- visningen i 35 kap. 1 § till 4 kap. polisdatalagen behöver därmed ändras. Som framgår av avsnitt 16.5 behöver även hänvisningarna i 35 kap. 4 a § och 10 b § ändras med anledning av de ändringar som föreslås beträffande regleringen av tillträdesförbudsregistret. På motsvarande sätt behöver hänvisningarna till den reglering som gäller för Säkerhetspolisen ändras i 18 kap. 2 § och 35 kap. 1 § offentlighets- och sekretesslagen. Ett tillägg bör också göras i 35 kap. 10 §, eftersom Säkerhetspolisens personuppgiftsbehandling föreslås regleras i en särskild lag. 17.2.2Sekretess för uppgifter i verksamhet för teknisk bearbetning och lagring Utredningens bedömning: Bestämmelsen om sekretess i verk- samhet för enbart teknisk bearbetning eller teknisk lagring för någon annans räkning behöver inte ändras. Skälen för utredningens bedömning: Enligt 40 kap. 5 § offent- lighets- och sekretesslagen gäller sekretess i verksamhet som består av enbart teknisk bearbetning eller teknisk lagring för någon annans räkning av sådana personuppgifter som avses i personupp- giftslagen. Sekretessen gäller oavsett om det är fråga om bearbet- ning eller lagring för en annan myndighets räkning eller för en- skildas räkning. Med teknisk bearbetning avses t.ex. att text på papper scannas in för att lagras elektroniskt. Teknisk lagring avser alla former av lagring som kräver särskilda tekniska anordningar, t.ex. lagring av information på hårddisk eller i molntjänster. Sekre- tessbestämmelsen hänvisar i fråga om personuppgifter till person- uppgiftslagen. Sekretessen, som är absolut, skyddar uppgifter om enskildas personliga och ekonomiska förhållanden. föreslår att hänvisningen till person- uppgiftslagen i 40 kap. 5 § offentlighets- och sekretesslagen ska ersättas med en dynamisk hänvisning till artikel 4.1 i dataskydds- förordningen (se SOU 2017:39 s. 52 och 270 f.). Som framgår av delbetänkandet är det inte ovanligt att myndigheter agerar person- uppgiftsbiträden åt varandra eller på annat sätt biträder med tek- nisk bearbetning eller annan behandling av personuppgifter inom brottsdatalagens tillämpningsområde (se SOU 2017:29 s. 351). förslag innebär att sekretessen i 40 kap. 5 § inte längre skulle omfatta teknisk bearbetning eller teknisk lag- ring inom brottsdatalagens tillämpningsområde. Om det förslaget skulle genomföras skulle det därför behövas en hänvisning även till brottsdatalagen i paragrafen. I propositionen Utökat sekretesskydd i verksamhet för teknisk bearbetning och lagring föreslår regeringen emellertid att kopp- lingen till personuppgiftsbehandling ska upphöra och att sekretes- sen ska gälla generellt för alla uppgifter om enskilds personliga eller ekonomiska förhållanden i sådan verksamhet (se prop. 2016/17:198 s. 15 f.). Där föreslås också en ny bestämmelse om överföring av Om en myndighet, i verksamhet för enbart teknisk bear- betning eller teknisk lagring, för en annan myndighets räkning får en uppgift som hos sistnämnda myndighet är sekretessbelagd av hänsyn till ett allmänt intresse, ska sekretessbestämmelsen även tillämpas hos den mottagande myndigheten. Lagändringarna före- slås träda i kraft . Under förutsättning att förslaget till ändring av 40 kap. 5 § offentlighets- och sekretesslagen antas av knyts sekretes- sen inte längre till behandling av personuppgifter. Det finns då inget behov av att ändra bestämmelsen på det sätt som utredningen i delbetänkandet förutsåg kunde bli nödvändigt. 17.2.3Sekretess för uppgifter som behandlas i strid med personuppgiftsregleringen Utredningens bedömning: Sekretessen för personuppgifter som behandlas i strid med personuppgiftsregleringen behöver inte ändras. Skälen för utredningens bedömning: Enligt 21 kap. 7 § offentlig- hets- och sekretesslagen gäller sekretess för personuppgift om det kan antas att utlämnande skulle medföra att uppgifter behandlas i strid med personuppgiftslagen. föreslår att bestämmelsen ändras. Förslaget innebär för det första att det tyd- liggörs att det som sekretessen syftar till att skydda är att person- uppgiften behandlas i strid med personuppgiftsregleringen efter det att den har lämnats ut. Vidare föreslås att hänvisningen till person- uppgiftslagen byts ut mot dels en statisk hänvisning till data- skyddsförordningen, dels en hänvisning till lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning (se SOU 2017:39 s. 265 f.). Den fråga som väcks är om det förhållandet att det när person- uppgiftslagen upphör att gälla kommer att finnas två olika regel- verk för personuppgiftsbehandling (dels dataskyddsförordningen med kompletterande nationell lagstiftning, dels brottsdatalagen) bör föranleda någon ändring i 21 kap. 7 § offentlighets- och sekre- tesslagen. Syftet med sekretessbestämmelsen är att skydda mot att per- sonuppgifter som lämnas ut kommer att behandlas i strid med per- sonuppgiftsregleringen. Förslaget till ändring av paragrafen innebär att det tydliggörs att den tar sikte på den personuppgiftsbehandling som utförs efter utlämnandet. Man kan enligt utredningens mening utgå från att de som kan antas komma att behandla personuppgifter i strid med regelverket om de får tillgång till personuppgifter som har behandlats med stöd av brottsdatalagen eller någon av regis- terförfattningarna ska tillämpa dataskyddsförordningen. Det är därför tillräckligt att det i sekretessbestämmelsen hänvisas till det regelverket. Någon ändring i paragrafen, utöver det som Data- skyddsutredningen föreslår, behövs därför inte. Utredningens bedömning: Det finns inte skäl att ändra sekre- tessregleringen för personuppgiftsincidenter. Skälen för utredningens bedömning: I delbetänkandet konstate- rar utredningen att det gäller viss sekretess för rapporter om it-incidenter enligt 18 kap. offentlighets- och sekretesslagen. Sek- retessen i 18 kap. 1 och 2 §§ skyddar uppgifter i brottsanmälningar. Sekretessen i 18 kap. 3 § kompletterar den sekretessen och skyddar det underlag för en brottsanmälan som tas fram av en myndighet som avser att göra en sådan anmälan. Det sekretesskyddet gäller hos alla myndigheter, oberoende av deras arbetsuppgifter. Enligt utredningens mening är den nuvarande sekretessen tillräcklig för att skydda uppgifter om sådana personuppgiftsincidenter som kan utgöra brott (se SOU 2017:29 s. 645 f.). Utredningen redogör också för sekretessen enligt 18 kap. 8 § 3 offentlighets- och sekretesslagen som gäller för uppgift som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs och åtgärden avser telekommunikation eller system för auto- matiserad behandling av information. Eftersom Utredningen om genomförande av NIS-direktivet hade i uppdrag att överväga om sekretesskyddet för rapportering av it-incidenter i 18 kap. 8 § 3 är tillräckligt ansåg vi att det inte fanns skäl att behandla frågan i del- betänkandet men att det, beroende på vad Utredningen om genom- förande av NIS-direktivet kom fram till, kunde finnas anledning att återkomma till den.