sou · H5B374 · 2017-10-04 00:00:00 — Förslaget till lag om ändring i polisdatalagen (2010:361) .. Förslaget till lag om ändring i kustbevakningsdatalagen (2012:145) ............................................................................. Förslaget till lag om ändring i lagen (2014:400) om Förslaget till lag om ändring i lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang ....... Förslaget till lag om ändring i åklagardatalagen (2015:433) ............................................................................. Förslaget till lag om ändring i utlänningsdatalagen (2016:27) ............................................................................... Förslaget till lag om ändring i tullagen (2016:253) ............ Förslaget till lag om ändring i tullbrottsdatalagen (2017:447) ............................................................................. Förslaget till lag om ändring i skattebrottsdatalagen (2017:452) ............................................................................. Förslaget till lag om ändring i lagen (2017:496) om internationellt polisiärt samarbete....................................... Förslaget till lag om ändring i brottsdatalagen (2018:000) ............................................................................. Bilaga 1 Kommittédirektiv 2016:21........................................... Europeiska unionen har enats om en genomgripande dataskydds- reform som ska vara genomförd . Reformen om- fattar dels en allmän dataskyddsförordning, dels ett dataskydds- direktiv som behandlar dataskyddet vid bl.a. brottsbekämpning, lagföring och straffverkställighet. En konsekvens av reformen är att personuppgiftslagen kommer att upphävas och att all lagstiftning om personuppgiftsbehandling behöver ses över och anpassas. Utredningens uppdrag är att föreslå hur det nya direktivet ska genomföras i svensk rätt genom en ny ramlagstiftning och att an- passa registerförfattningarna för myndigheterna i rättskedjan till de nya förutsättningarna. Utredningen ska också överväga om det finns anledning att reglera Säkerhetspolisens personuppgiftsbe- handling separat. Brottsdatalagen förutsätter en ny struktur I delbetänkandet Brottsdatalag (SOU 2017:29) föreslår utredning- en en ny lag, brottsdatalagen, som kommer att fylla ungefär samma funktion som personuppgiftslagen gör i verksamhet som rör brottsbekämpning, lagföring, straffverkställighet och upprätthål- lande av allmän ordning och säkerhet. I brottsdatalagen finns de grundläggande bestämmelserna om hur personuppgifter får be- handlas. Där regleras även personuppgiftsansvarigas skyldigheter, enskildas rättigheter och tillsynen över personuppgiftsbehandling. Brottsdatalagen innehåller vidare bestämmelser om administrativa sanktionsavgifter, skadestånd och rättsmedel. Registerförfattningarna för myndigheterna i rättskedjan utgår från personuppgiftslagen, antingen genom att registerförfatt- ningen gäller i stället för personuppgiftslagen men hänvisar till be- stämmelser i den eller genom att registerförfattningen gäller utöver personuppgiftslagen. Utredningen föreslår att registerförfattning- arna ska gälla utöver brottsdatalagen och innehålla bestämmelser som innebär preciseringar, undantag eller avvikelser från bestäm- melserna i den lagen. Bestämmelser i registerförfattningarna om bl.a. syfte, automatiserad behandling, personuppgiftsombud, be- handling av känsliga personuppgifter och tillgången till personupp- gifter ska därför upphävas. Det föranleder omfattande redaktionella ändringar i registerförfattningarna. De registerförfattningar som reglerar personuppgiftsbehandling både inom och utanför brottsdatalagens tillämpningsområde ren- odlas så att de bara gäller vid personuppgiftsbehandling inom till- lämpningsområdet. Det gäller lagen om behandling av personupp- gifter inom kriminalvården, kustbevakningsdatalagen och åklagar- datalagen. För domstolarna skapas i stället en ny lag för den per- sonuppgiftsbehandling som ligger inom tillämpningsområdet. För att det ska vara tydligt att registerförfattningarna gäller utöver brottsdatalagen ges de nya namn. Anpassningar och andra ändringar i de brottsbekämpande myndigheternas registerförfattningar utgår tillämpningsområdet i de brottsbekämpande myndighe- ternas registerförfattningar från i vilken verksamhet personupp- giftsbehandlingen utförs. Det som kommer att bli avgörande för tillämpningen är i stället dels om myndigheten agerar i egenskap av behörig myndighet enligt brottsdatalagen, dels i vilket syfte per- sonuppgifterna behandlas. Tillämpningsområdet blir därmed sma- lare än , eftersom inte all personuppgiftsbehandling som utförs inom ramen för brottsbekämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet omfattas, t.ex. utlämnande av allmänna handlingar enligt tryckfrihetsförordningen eller för ändamål utanför brottsdatalagens tillämpningsområde. Tillåtna rättsliga grunder och behandling för nya ändamål Regleringen av för vilka ändamål de brottsbekämpande myndig- heterna får behandla personuppgifter är uppdelad i primära och sekundära ändamål. Regleringen föreslås i stort sett vara oför- ändrad när det gäller de primära ändamålen men det tydliggörs att det är fråga om bestämmelser om rättslig grund. Innan personuppgifter behandlas för nya ändamål inom brotts- datalagens tillämpningsområde ska det enligt brottsdatalagen alltid prövas om det finns en tillåten rättslig grund för den nya be- handlingen och om den är nödvändig och proportionerlig för det nya ändamålet. Det behöver däremot inte prövas om det nya ändamålet är förenligt med det ursprungliga. När personuppgifter behandlas för ändamål utanför tillämpningsområdet ska data- skyddsförordningen tillämpas. Utredningen föreslår att en pröv- ning av nödvändighet och proportionalitet ska göras även innan personuppgifter behandlas för ändamål utanför brottsdatalagens tillämpningsområde. Någon prövning behöver dock inte göras om skyldighet att lämna uppgifter följer av lag eller förordning. Upp- räkningen i de sekundära ändamålsbestämmelserna av i vilka situa- tioner personuppgifter får tillhandahållas ersätts alltså av en sär- skild prövning både vid behandling för ändamål inom och utanför brottsdatalagens tillämpningsområde. Behandling av känsliga personuppgifter Brottsdatalagen förbjuder sökningar i personuppgifter i syfte att få fram ett personurval grundat på känsliga personuppgifter. I regis- terförfattningarna ska det göras undantag från förbudet som är anpassade till respektive myndighets behov av att kunna behandla känsliga personuppgifter. Brottsbekämpande myndigheter ska få använda t.ex. uppgifter som beskriver en persons utseende eller brottsrubriceringar ska vara tillåtet vid sökning i alla slags person- uppgifter. Vid sökning i uppgifter som inte är gemensamt tillgäng- liga, dvs. som bara ett fåtal personer har tillgång till, ska sökning i syfte att ta fram personurval grundade på vissa känsliga person- uppgifter få göras. Längsta tid för behandling I registerförfattningarna finns det bestämmelser om bevarande och gallring. De syftar till att skydda den personliga integriteten och reglerar inte bevarande och gallring i arkivlagens mening. De ska därför formuleras om så att det framgår att det är fråga om data- skyddsbestämmelser. Regleringen ska utgå från hur länge person- uppgifter får behandlas. Någon ändring av hur länge olika typer av personuppgifter får behandlas görs i princip inte. Utökade möjligheter till elektroniskt utlämnande Regleringen av i vilken utsträckning personuppgifter får lämnas ut på medium för automatiserad behandling moderniseras för att möta de ökade behoven av att kunna kommunicera elektroniskt. Det blir tillåtet att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Viss reglering flyttas till registerförfattningarna Bestämmelserna om behandling av personupp- gifter i registret över tillträdesförbud vid idrottsarrangemang flyt- tas till polisens brottsdatalag. Lagen om register över tillträdesför- bud vid idrottsarrangemang renodlas så att den bara reglerar idrottsorganisationernas personuppgiftsbehandling. Regleringen av , Säkerhetspolisens och Tull- verkets behandling av personuppgifter som tillhandahålls av trans- portföretag flyttas till respektive myndighets registerförfattning. En ny lag för domstolarna Domstolsdatalagen reglerar personuppgiftsbehandling både inom och utanför brottsdatalagens tillämpningsområde i domsto- larnas rättskipande och rättsvårdande verksamhet. Den del av dom- stolarnas personuppgiftsbehandling som ligger inom tillämpnings- området ska regleras i en ny lag, domstolarnas brottsdatalag. Den nya lagen utformas med domstolsdatalagen som mönster men an- passas till den systematik och terminologi som finns i övriga regis- terförfattningar inom brottsdatalagens tillämpningsområde. Vissa frågor som reglerats i förordning lyfts upp i lagen. Allmän domstol ska tillämpa lagen när personuppgifter behand- las i syfte att handlägga mål och ärenden om utredning av eller lag- föring för brott, ändring eller verkställighet av straffrättsliga påfölj- der eller upprätthållande av allmän ordning och säkerhet. Allmän förvaltningsdomstol ska tillämpa lagen när personuppgifter be- handlas i syfte att handlägga mål och ärenden om verkställighet av häktning eller straffrättsliga påföljder. Till skillnad från om- fattar tillämpningsområdet inte personuppgiftsbehandling i den administrativa verksamheten som avser att på begäran lämna ut uppgifter ur mål eller ärenden. Innan domstolar behandlar personuppgifter för nya ändamål inom brottsdatalagens tillämpningsområde ska de pröva om be- handlingen är nödvändig och proportionerlig för det nya ändamå- let. Vid behandling för nya ändamål utanför brottsdatalagens till- lämpningsområde gäller dataskyddsförordningen. Någon prövning av om behandlingen är nödvändig och proportionerlig behöver inte göras om domstolsdatalagen ska tillämpas. En sådan prövning krävs däremot i andra fall, om inte skyldighet att lämna uppgifter följer av lag eller förordning. Domstolarna ska inte tillämpa sökförbudet i brottsdatalagen. I stället ska motsvarande sökförbud som i domstolsdatalagen, som förbjuder användningen av uppgifter som avslöjar känsliga person- uppgifter och uppgifter om brott eller misstanke om brott och nationell anknytning som sökbegrepp, gälla. Samma undantag från förbudet som finns i domstolsdatalagen ska gälla. Regleringen av Kriminalvårdens personuppgiftsbehandling Kriminalvårdens reglering har en annan struktur än övriga register- författningar, eftersom större delen finns i förordning. Regleringen anpassas till brottsdatalagen och blir mer lik övriga registerförfatt- ningar. Utredningens uppdrag har dock inte omfattat att göra en total översyn av regleringen och någon ny lag föreslås därför inte, trots att alla bestämmelser ändras och lagen får en helt ny struktur. Lagen ska tillämpas när kriminalvården behandlar personuppgif- ter i syfte att verkställa häktning eller straffrättsliga påföljder eller biträda andra behöriga myndigheter när de utför arbetsuppgifter som omfattas av brottsdatalagens tillämpningsområde eller för att fullgöra internationella åtaganden. På samma sätt som för de brottsbekämpande myndigheterna ska behandling för nya ändamål föregås av en prövning av om behandlingen är nödvändig och pro- portionerlig för det nya ändamålet, oavsett om ändamålet ligger inom eller utanför brottsdatalagens tillämpningsområde. Regleringen av säkerhetsregistret flyttas till lagen, moderniseras och görs mer generell. Uppgifter om den som är häktad eller verk- ställer fängelsestraff ska få registreras om personen utgör en säker- hetsrisk. Även uppgifter om personer som en registrerad har viss anknytning till ska få behandlas om det är absolut nödvändigt. Om det finns risk för att någon som verkställer en påföljd inom krimi- nalvården utövar våld eller hot mot personer i kriminalvårdens lokaler ska uppgifter om honom eller henne också få behandlas i säkerhetsregistret. Det görs undantag från sökförbudet i brotts- datalagen för sökningar i säkerhetsregistret i syfte att få fram per- sonurval grundat på vissa känsliga personuppgifter. Bestämmelserna om Kriminalvårdens underrättelseskyldighet bryts ut ur registerförordningen och placeras i en ny förordning. En ny lag för Säkerhetspolisen Regleringen utgår från dagens reglering och brottsdatalagen Utredningen föreslår att det ska införas en ny lag om Säkerhets- polisens behandling av personuppgifter, Säkerhetspolisens datalag, som ersätter regleringen i polisdatalagen. Den regleringen ska bilda mönster för den nya lagen, som ska vara heltäckande och därför blir betydligt mer omfattande än dagens reglering. Den nya lagen följer i princip brottsdatalagens systematik och innehåll. Det inne- bär att bestämmelserna om grundläggande krav på behandling, den personuppgiftsansvariges skyldigheter, enskildas rättigheter, skade- stånd, rättsmedel och överföring av personuppgifter till tredjeland i stort sett överensstämmer med brottsdatalagens bestämmelser. Lagen ska gälla vid behandling av personuppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lag- förande verksamhet. När Säkerhetspolisen behandlar personuppgif- ter som inte rör nationell säkerhet i syfte att bekämpa och lagföra brott ska myndigheten tillämpa brottsdatalagen och polisens brottsdatalag. Rättslig grund för behandling av personuppgifter Regleringen av för vilka ändamål Säkerhetspolisen får behandla per- sonuppgifter är uppdelad i primära och sekundära ändamål. Regleringen behålls i stort sett oförändrad men det tydliggörs att det är fråga om bestämmelser om rättslig grund – rättslig grund för behandling och rättslig grund för utlämnande. Behandling av känsliga personuppgifter Huvudregeln är att Säkerhetspolisen på samma sätt som inte ska få behandla känsliga personuppgifter. Om uppgifter om en person redan behandlas ska de dock få kompletteras med känsliga personuppgifter om det är absolut nödvändigt. Säkerhetspolisen får använda uppgifter som avslöjar käns- liga personuppgifter som sökbegrepp om det är absolut nödvän- digt. Utredningen föreslår att samma sökförbud som i brottsdata- lagen ska gälla för Säkerhetspolisen, dvs. att det ska vara förbjudet att göra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. Från förbudet görs det undantag. Det ska vara tillåtet att använda brottsrubriceringar, uppgifter om tillväga- gångssätt vid brott och uppgifter som beskriver en persons utseen- de vid sökning. Även sökningar i syfte att få fram personurval grundat på flertalet känsliga personuppgifter ska tillåtas, om sök- ningen är absolut nödvändig. Säkerhetspolisen ska få lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Säkerhetspolisen ska få medge , Försvarsmak- ten och direktåtkomst till personuppgifter som har gjorts gemensamt tillgängliga och som Säkerhetspolisen behandlar för vissa syften. Även underrättelse- och säkerhetstjäns- ter inom EU och EES ska få medges direktåtkomst till uppgifter som Säkerhetspolisen behandlar för vissa syften om det behövs för samarbetet mot terrorism. Sådan direktåtkomst ska dock endast få medges till personuppgifter i en avskild uppgiftssamling och rege- ringen ska underrättas innan direktåtkomst medges. Längsta tid för behandling Personuppgifter ska inte få behandlas än vad som behövs för något eller några av de syften för vilka Säkerhetspolisen får behandla personuppgifter. Huvudregeln ska på samma sätt som vara att personuppgifter som har gjorts gemensamt tillgäng- liga inte får behandlas längre än då den senaste registreringen avseende personen gjordes. Uppgifter om personer som ännu inte fyllt ska dock inte få behandlas längre än från den senaste registreringen. Personuppgifter som hänför sig till sådan säkerhetshotande verksamhet som avses i 18 och 19 kap. ska inte få behandlas längre än då den senaste registreringen gjordes. På samma sätt som ska Säkerhetspolisen kunna besluta att personuppgifter får behandlas om det finns särskilda skäl. Tillsyn över Säkerhetspolisens personuppgiftsbehandling Både Datainspektionen och Säkerhets- och integritetsskyddsnämn- den ska på i huvudsak samma sätt som utöva tillsyn över Säkerhetspolisens personuppgiftsbehandling. Datainspektionen ska utöva allmän tillsyn över personuppgifts- behandling enligt den nya lagen och ge råd och stöd till Säkerhets- polisen. Inspektionen ska i huvudsak ha samma befogenheter som enligt brottsdatalagen. Säkerhetspolisen ska dock inte kunna påfö- ras administrativ sanktionsavgift. ska utöva tillsyn över Säkerhetspolisens personuppgiftsbehandling och på begäran av en- skild kontrollera om behandlingen av personuppgifter är författ- ningsenlig. De nya registerförfattningarna och ändringarna i de befintliga registerförfattningarna föreslås träda i kraft . Det krävs särskilda övergångsbestämmelser för det nya sanktionssys- temet och för ersättning för skador som har vållats före ikraftträ- dandet. Till de nya lagarna krävs det övergångsbestämmelser dels för mål och ärenden som rör behandlingen av personuppgifter som har påbörjats före ikraftträdandet men inte hunnit slutföras, dels för mål som har överklagats men som inte har hunnit slutföras inom . Säkerhetspolisens datalag (2018:000) Härigenom föreskrivs följande. 1 kap. Allmänna bestämmelser 1 § Syftet med denna lag är att skydda fysiska personers grund- läggande fri- och rättigheter i samband med behandling av person- uppgifter och att säkerställa att Säkerhetspolisen kan behandla och utbyta personuppgifter på ett ändamålsenligt sätt. 2 § Denna lag gäller vid behandling av personuppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lag- förande verksamhet. Lagen gäller i tillämpliga delar vid behand- ling av personuppgifter när myndigheten har övertagit en arbets- uppgift som rör nationell säkerhet från Säkerhetspolisen. Vid behandling av personuppgifter enligt denna lag gäller inte lagen (2018:000) med kompletterande bestämmelser till EU:s data- skyddsförordning. 3 § Lagen gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av person- uppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Förhållandet till annan reglering 4 § I lagen (2017:496) om internationellt polisiärt samarbete och i föreskrifter som regeringen har meddelat i anslutning till den lagen, finns det särskilda bestämmelser om behandling av personuppgifter som följer av internationella överenskommelser. Om det i dessa författningar finns avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag. 5 § Bestämmelserna i denna lag ska inte tillämpas i den utsträck- ning det skulle inskränka skyldigheten enligt 2 kap. tryckfrihetsför- ordningen att lämna ut personuppgifter. 6 § I brottsdatalagen (2018:000) och polisens brottsdatalag (2010:361) finns det bestämmelser om Säkerhetspolisens behand- ling av personuppgifter i frågor som inte rör nationell säkerhet. 7 § Säkerhetspolisen är personuppgiftsansvarig för den behand- ling av personuppgifter som myndigheten utför. är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Personuppgiftsansvaret omfattar all behandling av personupp- gifter som utförs under respektive myndighets ledning eller på dess vägnar. 8 § Säkerhetspolisen får vara gemensamt personuppgiftsansvarig med annan endast i den utsträckning det följer av lag eller förord- ning eller om regeringen i ett enskilt fall beslutar om det. 9 § I denna lag används följande uttryck med nedan angiven bety- delse. En åtgärd eller kombination av åtgärder som vidtas i fråga om personuppgifter eller upp- oavsett om det görs automatise- rat eller inte, t.ex. insamling, registrering, organisering, struk- eller ändring, framtagning, läs- ning, användning, på annat sätt, justering, sam- manföring, begränsning, rader- ing eller förstöring. persons fysiska, fysiologiska eller som tagits fram genom särskild identifiering av personen i fråga. En fysisk person som utses för att självständigt se till att fattningsenligt och på ett kor- Personuppgifter som rör en vade genetiska kännetecken och som härrör från analys av ett spår av eller ett prov från per- sonen i fråga. Internationell organisation En organisation och dess un- derställda organ som lyder under folkrätten eller ett annat organ som inrättats genom eller på grundval av en överenskommelse mellan två eller flera stater. Den till vilken personupp- gifter lämnas ut, med undantag av en myndighet som med stöd kontroll eller revision. fysisk person som är i livet. Den som ensam eller tillsam- ändamålen med och medlen för behandlingen av personuppgifter. skriftligt avtal eller annan skrift- lig överenskommelse, behandlar personuppgifter för den per- Den fysiska person som per- Den myndighet som rege- ringen utser att enligt denna lag utöva tillsyn över personupp- En stat som inte är medlem i Europeiska unionen eller Euro- området och som inte heller på grund av avtal med Europeiska Någon annan än den regist- personuppgiftsbiträdet och så- dana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har rätt att behandla per- sonuppgifter. Uppgift som rör hälsa Personuppgift som rör en persons fysiska eller psykiska hälsa, inkluderande information om tillhandahållande av hälso- och sjukvårdstjänster som ger upplysning om personens hälso- status. Lagens tillämpning på uppgifter om juridiska personer 10 § Bestämmelserna om personuppgifter i följande paragrafer gäller också vid behandling av uppgifter om juridiska personer: 1.7 § om personuppgiftsansvar, 2.2 kap. 1–3 §§ om tillåtna rättsliga grunder för behandling av personuppgifter, 3.3 kap. 2 och 3 §§ om gemensamt tillgängliga uppgifter, 4.4 kap. 1–4 och 6–11 §§ om längsta tid som personuppgifter får behandlas, och 5.5 kap. 5 § om tillgången till personuppgifter. 2 kap. Behandling av personuppgifter Tillåtna rättsliga grunder för behandling av personuppgifter 1 § Personuppgifter får behandlas om det är nödvändigt för att utföra en arbetsuppgift i syfte att 1. förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar a)brott mot rikets säkerhet, b)terrorbrott, eller c)tryckfrihetsbrott eller yttrandefrihetsbrott med rasistiska eller främlingsfientliga motiv, 2.utreda eller lagföra sådana brott som avses i 1, eller, efter sär- skilt beslut, annat brott, a)i samband med personskydd av den centrala statsledningen och andra som regeringen eller Säkerhetspolisen bestämmer, b)enligt säkerhetsskyddslagen (1996:627), eller c)enligt utlännings- och medborgarskapslagstiftningen, 4.fullgöra annan arbetsuppgift som rör nationell säkerhet och som anges i lag eller förordning eller särskilt beslut av regeringen, eller 5.fullgöra förpliktelser som följer av internationella åtaganden. Arbetsuppgiften ska framgå av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att an- svara för en sådan uppgift. 2 § Personuppgifter som behandlas med stöd av 1 § får även be- handlas om det är nödvändigt för att tillhandahålla information som behövs 1.för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000) hos , , Åkla- garmyndigheten, , och , 2.i en myndighets verksamhet, om informationen tillhandahålls inom ramen för myndighetsöverskridande samverkan mot brott, 3.i Försvarsmaktens försvarsunderrättelseverksamhet och mili- tära säkerhetstjänst och i Försvarets radioanstalts försvarsunderrät- telseverksamhet, om det finns särskilda skäl att tillhandahålla infor- mationen, 4.i en myndighets verksamhet om Säkerhetspolisen enligt lag eller förordning ska bistå myndigheten med viss uppgift,