sou · H5B374 · 2017-10-04 00:00:00 — Enligt andra stycket är en övervakningsnämnd personuppgiftsan- svarig för den behandling av personuppgifter som nämnden utför. Övervakningsnämnderna är självständiga myndigheter och ansvarar alltså för sin egen personuppgiftsbehandling. Det hindrar inte att nämnderna kan samarbeta och t.ex. utse ett gemensamt data- skyddsombud. Grundläggande bestämmelser om behandling Tillåtna rättsliga grunder för behandling av personuppgifter Paragrafen reglerar de tillåtna rättsliga grunderna för behandling av personuppgifter. Den behandlas i avsnitt 13.3.1. Paragrafen, som är anpassad till hur de rättsliga grunderna för behandling av personuppgifter anges i 2 kap. 1 § brottsdatalagen (2018:000), ersätter den bestämmelsen. Regleringen i 2 kap. 2 § brottsdatalagen ger rättsligt stöd för att behandla personuppgifter enbart för diarieföring och nödvändig handläggning, trots brist på rättsligt stöd i denna paragraf. Kriminalvården får enligt första stycket behandla personuppgifter om det är nödvändigt för att utföra en arbetsuppgift i vissa särskilt angivna syften. Bestämmelsen bildar den yttre ramen för när be- handling av personuppgifter är tillåten. Enligt punkten 1 får kriminalvården behandla personuppgifter för att kunna verkställa häktning eller straffrättsliga påföljder. De påföljder som är aktuella är fängelsestraff, skyddstillsyn och vill- korlig dom med föreskrift om samhällstjänst. avses här även sådant fängelsestraff som utgör förvandlingsstraff för böter eller vite. Regleringen omfattar även motsvarande straff- rättsliga påföljder som utdömts i en annan stat om påföljden ska verkställas i . Verkställigheten av häktning omfattar som framgår av kommentaren till 1 kap. 1 § endast sådan häktning som ligger inom brottsdatalagens tillämpningsområde. Kriminalvården får enligt punkten 2 behandla personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet i samband med verkställighet. Med verkställighet avses här både verkställighet av häktning och verkställighet av straffrättsliga på- följder. När myndigheten behandlar personuppgifter i sådana syf- ten, t.ex. för att undvika att placera intagna som tillhör rivaliserade gäng tillsammans eller förhindra att narkotika tas in på ett häkte eller i en kriminalvårdsanstalt, utgör det alltså en tillåten behand- ling. För att regleringen inte ska tolkas för snävt används här ut- trycket i samband med verkställighet. Det kan t.ex. vara osäkert om ett visst handlande som har betydelse ur säkerhetssynpunkt ligger före, under eller efter verkställigheten. Enligt punkten 3 får Kriminalvården behandla personuppgifter vid biträde åt andra behöriga myndigheter när de bekämpar eller lagför brott, verkställer straffrättsliga påföljder eller upprätthåller allmän ordning och säkerhet. I det ingår bl.a. Kriminalvårdens per- sonutredningar i brottmål och transporter av häktade under brotts- utredningar eller till och från domstolsförhandlingar i brottmål. Vidare omfattas det biträde som består i att Kriminalvården på vissa orter hanterar arrestverksamhet. Även biträde åt övervakningsnämnder eller domstolar bl.a. vid omhändertagande enligt 28 kap. 11 § omfattas. Kriminalvården får enligt punkten 4 hantera personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra en arbets- uppgift som följer av en internationell förpliktelse. Sådana interna- förpliktelser kan bestå i exempelvis att ta över straffverk- ställighet från en annan stat eller att tillfälligt förvara personer som transporteras genom för straffverkställighet i ett annat land. Det kan också vara fråga om att hantera någon som har frihetsbe- rövats med stöd av en arresteringsorder. I andra stycket anges att det ska vara fråga om en arbetsuppgift som framgår av en bindande unionsrättsakt eller av en lag, en för- ordning eller ett särskilt beslut i vilket regeringen uppdragit åt den behöriga myndigheten att ansvara för en sådan uppgift. Motsva- rande bestämmelse finns i 2 kap. 1 § brottsdatalagen. Vad den inne- bär utvecklas i SOU 2017:29 s. 238 f. I paragrafen, som behandlas i avsnitt 13.3.1, upplyses om att förut- sättningarna för att personuppgifter ska få behandlas för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000). Innan personuppgifter får behandlas för ett nytt ändamål inom eller utanför brottsdatalagens tillämpningsområde krävs en pröv- ning enligt någon av paragraferna. I paragrafen, som behandlas i avsnitt 13.3.2, regleras när Kriminal- vården får behandla biometriska uppgifter. Biometriska uppgifter definieras i 1 kap. 6 § brottsdatalagen (2018:000). Paragrafen möjliggör användning av särskild teknisk behandling för att bekräfta unik identifiering av en person. Det innebär att t.ex. fingeravtryck, ansiktsgeometri, röstigenkänning eller rörelse- mönster får användas för att identifiera en person. Biometriska uppgifter får behandlas av Kriminalvården enligt de förutsättningar som anges i 2 kap. 12 § brottsdatalagen. Behand- lingen av de biometriska uppgifterna ska vara absolut nödvändig för ändamålet med behandlingen. Det innebär att behovet av att be- handla sådana uppgifter måste prövas noga. I paragrafen, som behandlas i avsnitt 13.3.3, anges när personupp- gifter får lämnas ut i samband med framför allt straffverkställighet. Bestämmelserna är sekretessbrytande. förs till tredjeland ska även bestämmelserna i 8 kap. brottsdatalagen (2018:000) beaktas. Punkten 1 gäller vid överflyttning av straffverkställighet till en annan stat. En liknande bestämmelse finns i nuvarande 48 § förord- ningen (2001:682) om behandling av personuppgifter inom krimi- nalvården. En förutsättning är att informationen lämnas till en myndighet i den andra staten som har till uppdrag att pröva om straffverkställigheten ska överflyttas eller att genomföra överflytt- ningen av verkställigheten till den andra staten. De personuppgifter som det kan vara fråga om rör bl.a. påföljden och den dömdes anknytning till den andra staten. Om verkställighet pågår i är uppgifter om verkställigheten av stor betydelse. Punkten 2 avser den situationen att Kriminalvården behöver lämna information till en annan stats myndigheter om en person som är frihetsberövad och ska transiteras genom den andra staten. Personuppgifter som kan behöva överföras kan t.ex., utöver direkta personuppgifter, röra säkerhetsfrågor eller frågor som rör den en- skildes behov av specialkost eller medicinering. Enligt punkten 3 får personuppgifter lämnas ut till en annan stats myndigheter om det behövs t.ex. för att en person som avtjä- nar fängelsestraff i tillfälligt ska kunna överföras till den andra staten för att där vittna i en brottmålsrättegång eller lagföras för brott begångna i den staten. De personuppgifter som det kan röra sig om är av samma slag som anges i punkten 2. Längsta tid som personuppgifter får behandlas Paragrafen anger den längsta tid under vilken uppgifter om en per- son får behandlas automatiserat. Frågan behandlas i avsnitt 5.5.2. Bestämmelsen i första stycket, som motsvarar nuvarande 7 §, anger hur länge personuppgifter får behandlas för något av de syf- ten som anges i 2 kap. 1 §. Det klargörs att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Ut- gångspunkten är alltså att all automatiserad behandling av person- uppgifterna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att de ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna i fråga får be- handlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i denna paragraf (jfr 6 §). I andra stycket upplyses om att det i 3 kap. 7 § finns bestämmel- ser om längsta tid för behandling av personuppgifter i säkerhetsre- gistret. I paragrafen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om vilka person- uppgifter som får behandlas, utlämnande av personuppgifter i andra fall än som anges i lagen, frågor som rör direktåtkomst till person- uppgifter och längsta tid som personuppgifter får behandlas. Regeringen eller den myndighet som regeringen bestämmer kan även meddela föreskrifter om att personuppgifter får behandlas än vad som följer av 5 § för arkivändamål av all- mänt intresse och för vetenskapliga, statistiska eller historiska ändamål (vilket motsvarar nuvarande 7 § andra stycket). Rätten att föra register I paragrafen regleras rätten att föra det s.k. säkerhetsregistret. Para- grafen behandlas i avsnitt 13.5.1. Bestämmelser om säkerhetsregist- ret finns i nuvarande 39–41 och 43–45 §§ förordningen (2001:682) om behandling av personuppgifter inom kriminalvården. I säkerhetsregistret får personuppgifter behandlas för två syften. Enligt punkten 1 får personuppgifter behandlas i syfte att före- bygga, förhindra eller upptäcka brott eller brottslig verksamhet på häkten och i kriminalvårdsanstalter eller i samband med annan straffverkställighet. Personuppgifter får enligt punkten 2 behandlas för att säkerställa ordning och säkerhet på häkten och i kriminal- vårdsanstalter och annan verksamhet som Kriminalvården bedriver. Till det sistnämnda hör bl.a. halvvägshus och utslussningsenheter som Kriminalvården driver. Paragrafen reglerar, tillsammans med 3 och 4 §§, vilka personkate- gorier som får registreras i säkerhetsregistret. I denna paragraf anges huvudregeln för behandling av personuppgifter i registret. Den behandlas i avsnitt 13.5.2. Utgångspunkten för att det ska få finnas uppgifter om en per- son i registret är att han eller hon bedöms utgöra en säkerhetsrisk. Endast uppgifter om personer som är häktade eller verkställer ett fängelsestraff och som på någon av de särskilt uppräknade grun- derna bedöms medföra en säkerhetsrisk för häktesverksamheten eller vid straffverkställigheten får behandlas i registret enligt denna paragraf. Regleringen träffar bara dem som är häktade eller intagna i syften som omfattas av brotts- datalagens tillämpningsområde. Därför får t.ex. personuppgifter om den som är häktad enligt konkurslagen eller som förvaras i häkte med stöd av utlänningslagstiftningen inte behandlas i regist- ret. Grunderna för registrering motsvarar i allt väsentligt regle- ringen i nuvarande 39 § förordningen (2001:682) om behandling av personuppgifter inom kriminalvården men är mer generella. Av första stycket framgår att uppgifter om personer som är eller har varit placerade på säkerhetsavdelning får behandlas i registret. Vad som krävs för placering på säkerhetsavdelning framgår av 2 kap. 4 § fängelselagen (2010:610). Registret får enligt andra stycket innehålla uppgifter om en inta- gen eller häktad, om det finns risk för att han eller hon under häkt- ningen eller verkställigheten av straffet begår brott eller deltar i viss brottslig verksamhet eller på annat sätt äventyrar ordning och säkerhet på ett häkte eller i en kriminalvårdsanstalt. Registreringen bygger således på en riskbedömning. Enligt punkten 1 får personuppgifter behandlas i registret om det finns risk att en häktad eller intagen begår brott som inte är ringa. Om ett brott är ringa eller inte får bedömas med utgångs- punkt i omständigheterna i det enskilda fallet och brottets straff- skala. Redan misstanke om brott kan läggas till grund för regist- rering, eftersom det är fråga om en riskbedömning. För registrering krävs det således inte att det är straffrättsligt prövat att personen har begått brott. Den som under verkställighet av ett fängelsestraff gör sig skyldig till t.ex. våld eller hot mot en annan intagen eller deltar i narkotikahandel på en anstalt lagförs långtifrån alltid. Vidare får personuppgifter behandlas om det finns risk att den häktade eller intagne deltar i brottslig verksamhet som innefattar brott för vilket det är föreskrivet fängelse eller däröver. Det är straffskalan för brottet som är avgörande för om uppgifterna får registreras. Regleringen innebär att brott som har ett maximistraff om två års fängelse eller mer omfattas. Genom formuleringen om- fattas även livstidsstraff. Det är endast brott eller brottslig verksamhet i häkte eller under verkställighet av fängelsestraff som får beaktas. Punkten 2 innebär att personuppgifter får behandlas beträffande en häktad eller intagen, om det finns risk att han eller hon förbere- der rymning eller försöker rymma. Enligt punkten 3 får uppgifter registreras om en häktad eller intagen om det finns risk att han eller hon blir föremål för fritagning. försök till rymning eller fritagning tyder på att det finns en sådan risk, om inte omständig- heterna talar emot det. Enligt punkten 4 får uppgifter om en häktad eller intagen be- handlas om det finns risk att han eller hon medverkar i eller på annat sätt bidrar till att allvarligt störa ordningen eller säkerheten på häkte eller i kriminalvårdsanstalt. Det behöver inte vara fråga om ett straffbart handlande. Kravet på att ordningsstörningen ska vara allvarlig innebär att inte alla störningar får beaktas. Punkten 5 innebär att uppgifter om en person som riskerar att utsättas för våld eller hot under verkställigheten också får regist- reras i säkerhetsregistret. Det kan behövas för att förhindra att en intagen placeras tillsammans med personer som kan utgöra ett hot mot honom eller henne under verkställigheten. Det ska framgå av registret att personen i fråga inte själv utgör en säkerhetsrisk. Paragrafen reglerar tillsammans med 2 och 4 §§ vilka personkatego- rier som registreras i säkerhetsregistret. Den behandlas i av- snitt 13.5.3. Gruppen av personer som får registreras med stöd av denna paragraf är bredare än i 2 §. Paragrafen kan tillämpas på alla som verkställer en påföljd inom kriminalvården. Förutom fängelsestraff är det fråga om frivårdspåföljder som kriminalvården ansvarar för. Förutsättningen för att personuppgifter ska få behandlas är att det finns risk att personen utövar våld eller hot mot eller otillbörlig påverkan på personal inom kriminalvården eller andra personer som uppehåller sig i kriminalvårdens lokaler. Otillbörlig påverkan kan i vissa fall innefatta ett straffbart handlande, t.ex. utpressning, men även andra former av påverkan kan utgöra grund för registrering, t.ex. förtäckta hot. Den som t.ex. genom brev eller telefonsamtal hotar kriminalvårdens personal omfattas av regleringen, eftersom det inte krävs att hotet uttalas i kriminalvårdens lokaler. Regle- ringen träffar också den som i kriminalvårdens lokaler t.ex. utövar våld mot andra klienter eller personer som tillfälligt befinner sig i lokalerna. Paragrafen, som behandlas i avsnitt 13.5.4, reglerar möjligheten att i säkerhetsregistret behandla uppgifter om personer som inte är in- tagna i häkte eller verkställer påföljd. Enligt paragrafen får Kriminalvården i säkerhetsregistret även behandla uppgifter om personer som har personlig anknytning till eller annan nära förbindelse med någon som är registrerad med stöd av 2 §. Det krävs dock att registreringen är absolut nödvändig för ändamålet med behandlingen. Det ställs således väsentligt högre krav för registrering med stöd av nu aktuell paragraf. Med personlig anknytning avses t.ex. anhöriga eller andra när- stående till en registrerad. En person som har nära förbindelse med den som är registrerad enligt 2 § kan exempelvis vara en tidigare medbrottsling. Däremot omfattas inte kontakter med professio- nella aktörer, t.ex. försvarare, kontaktpersoner och tolkar. Uppgif- ter om sådana personer får alltså inte registreras. Uppgifter om personer som registreras med stöd av paragrafen och som inte själva är häktade eller intagna ska alltid förses med en särskild upplysning om det. Genom sådana upplysningar kan man skilja anknytningspersoner från sådana personer som utgör en säkerhetsrisk. Paragrafen, som behandlas i avsnitt 13.5.5, reglerar Kriminalvårdens möjlighet att använda känsliga personuppgifter vid sökning i per- sonuppgifter i säkerhetsregistret. Paragrafen motsvarar nuvarande 41 § andra stycket förordningen (2001:682) om behandling av per- sonuppgifter inom kriminalvården. I paragrafen görs undantag från det generella sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000). Enligt paragrafen är det till- låtet att utföra sökningar i syfte att få fram ett personurval grundat på vissa känsliga personuppgifter. Därmed tillåts sökningar som görs för att få fram ett urval av personer som t.ex. har visst etniskt ursprung eller viss religiös åskådning. Sökningar av det slaget kan behövas för placering av intagna eller för att de ska ges möjlighet att utöva sin religion. Sökningar på känsliga personuppgifter kan också vara nödvändiga för att den häktade eller intagne ska få nöd- vändig läkarvård, medicinering eller specialkost. Rätten att söka på känsliga personuppgifter gäller dock inte sök- ning på ras eller medlemskap i fackförening eller sökning i gene- tiska eller biometriska uppgifter. Sökning som syftar till att få fram ett personurval grundat på sådana uppgifter är alltså inte tillåten. I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana uppgif- ter som sökningen resulterat i får prövas mot huvudregeln om be- handling av känsliga personuppgifter i 2 kap. 11 § brottsdatalagen. Rätten att göra sökningar enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna. I paragrafen, som behandlas i avsnitt 13.5.6, regleras möjligheten att medge direktåtkomst till säkerhetsregistret. Den motsvarar nu- varande 44 § första stycket förordningen (2001:682) om behand- ling av personuppgifter inom kriminalvården. De myndigheter som räknas upp i paragrafen är Polismyndig- heten, Säkerhetspolisen, och Åklagarmyn- digheten. Direktåtkomst får endast medges för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000). Vilka person- uppgifter som får göras tillgängliga genom direktåtkomst regleras i förordning. Längsta tid som personuppgifter får behandlas Paragrafen, som behandlas i avsnitt 13.5.7 och motsvarar nuvarande 45 § förordningen (2001:682) om behandling av personuppgifter inom kriminalvården, anger den längsta tid som personuppgifter i säkerhetsregistret får behandlas. Det klargörs att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av per- sonuppgifterna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att de ska tas bort. Endast om det har med- delats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för veten- skapliga, statistiska eller historiska ändamål får de behandlas auto- matiserat längre än vad som anges i denna paragraf (jfr 2 kap. 6 §). I paragrafen, som behandlas i avsnitt 13.5.8, upplyses om att rege- ringen, eller den myndighet som regeringen bestämmer, kan med- dela föreskrifter om innehållet i säkerhetsregistret och om utläm- nande av personuppgifter ur registret. Administrativa sanktionsavgifter och rättsmedel Paragrafen, som är ny, reglerar vid vilka överträdelser sanktions- avgift får tas ut. Frågan behandlas i avsnitt 5.4.2. I första stycket anges vid vilka överträdelser sanktionsavgift får tas ut av den personuppgiftsansvarige. avgör i det enskilda fallet om det är påkallat att ta ut sanktionsavgift, vilket framgår av formuleringen att avgift får tas ut. Uppräkningen av vilka överträdelser som kan föranleda sanktionsavgift är uttöm- mande. Sanktionsavgift kan tas ut för överträdelse av bestämmel- serna om tillåtna rättsliga grunder, särskilda upplysningar och längsta tid som personuppgifter får behandlas. Brottsdatalagens förfaranderegler när det gäller sanktionsavgifter tillämpas även vid överträdelser enligt denna lag. I brottsdatalagen och tillhörande förordning finns också bestämmelser om handläggningen av frågor om sanktionsavgift. Enligt andra stycket får sanktionsavgift även tas ut vid överträ- delse av föreskrifter som har meddelats i anslutning till lagen och som rör särskild upplysning eller längsta tid som personuppgifter får behandlas. I tredje stycket anges storleken på de sanktionsavgifter som kan komma i fråga. De överträdelser som enligt lagen kan föranleda sanktionsavgift är alla av allvarligt slag. Lägsta sanktionsavgift är därför . I paragrafen, som motsvarar nuvarande 8 §, regleras den registre- rades rätt till skadestånd för behandling av personuppgifter i strid med regelverket. Frågan behandlas i avsnitt 5.4.3. Paragrafen hänvisar till 7 kap. 1 § brottsdatalagen (2018:000), som ska tillämpas på motsvarande sätt vid behandling av person- uppgifter enligt förevarande lag eller föreskrifter som har medde- lats i anslutning till den. Det innebär att den personuppgiftsansva- rige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som behandling av personuppgifter i strid med lagen, eller föreskrifter som har meddelats i anslutning till den, har orsakat. Med skada avses personskada, sakskada eller ren för- mögenhetsskada. Med kränkning avses ideell skada som består i att den enskildes integritet kränkts genom behandlingen. Någon möj- lighet till jämkning av skadeståndet finns inte. I paragrafen, som behandlas i avsnitt 5.4.4, upplyses om att det i 7 kap. brottsdatalagen (2018:000) finns bestämmelser om överkla- gande och om vilka beslut som får överklagas. Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 18.1 och 18.2. Punkten 1 föreskriver när lagen ska träda i kraft. Sanktionsavgift får enligt punkten 2 beslutas endast för överträ- delser som har begåtts efter ikraftträdandet. Bestämmelsen tydlig- gör att sanktionsavgift inte får beslutas för en överträdelse som har begåtts före ikraftträdandet, även om sanktionsavgift skulle be- traktas som en mildare åtgärd än ett straff. Enligt punkten 3 ska äldre bestämmelser fortsätta att gälla för överträdelser av bestämmelser om personuppgiftsbehandling som begåtts före ikraftträdandet. Den gäller endast för sådana överträ- delser som varit straffbara enligt 49 § personuppgiftslagen. Vid be- dömningen av om det varit fråga om en överträdelse ska de krav som gällde för personuppgiftsbehandling för över- trädelsen tillämpas. I punkten 4 föreskrivs att äldre föreskrifter också ska gälla för överklagande av beslut om behandling av personuppgifter i sådana syften som anges i 1 kap. 1 § som har meddelats före ikraftträdan- det. Punkten tar inte bara sikte på själva överklagandet utan också på vilket regelverk som ska tillämpas när överklagandet prövas. Äldre föreskrifter ska tillämpas även i det fallet. Punkten 5 innebär att bestämmelsen om skadestånd i 48 § per- sonuppgiftslagen fortfarande ska gälla för skada som har orsakats före ikraftträdandet vid behandling av personuppgifter enligt lagen eller föreskrifter som har meddelats i anslutning till den. 20.10Förslaget till lag om ändring i lagen (2005:321) om tillträdesförbud vid idrottsarrangemang Paragrafen reglerar rätten att fotografera den som har eller skäligen kan antas få tillträdesförbud. I paragrafen, som behandlas i av- snitt 16.5, ändras en hänvisning till en lag som byter namn. 20.11Förslaget till lag om ändring i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet I paragrafen anges vad utövar tillsyn över. Paragrafen, som behandlas i avsnitt 15.7.1, utgår från det förslag som Utredningen om tillsynen över den personliga integriteten har lagt fram (se SOU 2016:65). Första stycket är oförändrat. I andra stycket tydliggörs vad tillsynen över Säkerhetspolisens personuppgiftsbehandling omfattar. Stycket knyter an till hur till- lämpningsområdet för Säkerhetspolisens datalag (2018:000) är ut- format.