sou · H5B357 · 2017-06-22 00:00:00 — För vilka överträdelser ska sanktionsavgift tas ut? De bestämmelser i vår lag som bör föranleda sanktionsavgift är som utgångspunkt de som innehåller grundläggande regler om hur PNR- uppgifterna får behandlas och som därför får anses viktigast för att värna enskildas integritet. Med det som utgångspunkt bör enligt utredningens mening överträdelser av följande skyldigheter föranleda sanktionsavgift. Bestämmelsen om att PNR-uppgifter inte får behandlas för andra syften än att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet är av så grundläggande natur att överträdelser av den bör föranleda sanktionsavgift. Det- samma gäller för överträdelser av förbudet mot behandling av käns- liga personuppgifter. Vidare bör överträdelser av bestämmelserna om hur enheten för passagerarinformation får behandla PNR-uppgifter kunna leda till sanktionsavgift. Häri inräknas lagens ändamålsbestämmelser och be- stämmelser som begränsar tillgången till PNR-information och för- bjuder direktåtkomst. Även överträdelser av lagens bestämmelser om bevarande och gallring bör kunna föranleda sanktionsavgift samt överträdelser av bestämmelserna om maskering av PNR-uppgifter och överföring av avmaskerade PNR-uppgifter. Även överträdelser av bestämmelser om hur PNR-uppgifter får användas vid de behö- riga myndigheterna bör kunna bli föremål för sanktionsavgift. Slut- ligen bör, på samma sätt som i brottsdatalagen, de bestämmelser som begränsar möjligheten att överföra uppgifter till tredjeland kunna bli föremål för sanktionsavgift. De bestämmelser som innebär att PNR-uppgifter ska överföras till behöriga myndigheter, andra medlemsstater och Europol utgör en ren verksamhetsreglering som enligt vår mening inte bör föranleda sanktionsavgifter. Inte heller bör underlåtenhet att utse dataskydds- ombud föranleda sanktionsavgift. Liksom Utredningen om 2016 års dataskyddsdirektiv anser vi att det är tillräckligt att det i brottsdata- lagen finns en skyldighet att anmäla att ombud har utsetts och entledigats till tillsynsmyndigheten. Om en personuppgiftsansvarig inte skulle fullgöra den skyldigheten, kan tillsynsmyndigheten reagera och t.ex. utfärda ett föreläggande. För det fall det inom enheten för passagerarinformation skulle ske överträdelser av andra tillämpliga dataskyddsbestämmelser än de som anges i vår lag, t.ex. bestämmelserna i brottsdatalagen, blir de sanktionsbestämmelser som anges i de lagarna tillämpliga. Vem ska träffas av sanktionsavgift? En personuppgiftsansvarig bär ansvaret inte bara för sin egen per- sonuppgiftsbehandling utan även för den behandling ett person- uppgiftsbiträde eller någon annan som behandlar personuppgifter på den personuppgiftsansvariges vägnar utför, dvs. som är att jämställa med anställda (inhyrd personal) eller uppdrags- tagare. För den behandling av PNR-uppgifter som enheten för passagerarinformation utför, är det som är person- uppgiftsansvarig. De behöriga myndigheterna har personuppgifts- ansvaret för den behandling som de utför. För del kommer personuppgiftsansvaret för behandling av personuppgifter enligt den nya lagen således att omfatta både enhetens behandling och den behandling enligt lagen som myndigheten utför med den PNR- information som mottagits från enheten. Enligt brottsdatalagen får sanktionsavgift tas ut av en person- uppgiftsansvarig. Även personuppgiftsbiträden ska enligt förslaget kunna påföras sanktionsavgift i vissa fall, dock endast när de har uttryckliga skyldigheter som framgår direkt av författning. Eventuella personuppgiftsbiträden som kan komma att anlitas av enheten för passagerarinformation eller av behöriga myndigheter kommer inte att ha några uttryckliga skyldigheter enligt vår regler- ing. Det är därför tillräckligt att i vår lag ange att sanktionsavgifter kan åläggas den personuppgiftsansvariga myndigheten. Dock kommer bestämmelserna i brottsdatalagen om personuppgiftsbiträdens skyl- digheter att vara tillämpliga även vid enheten för passagerarinfor- mation i förekommande fall. Sanktionsavgift kan enligt brottsdatalagen tas ut enligt två nivåer; en lägre nivå vid överträdelser som betraktas som mindre allvarliga och en högre nivå vid allvarligare överträdelser. Den högre nivån föreslås gälla för de flesta överträdelser. Enligt vår mening bör överträdelser av samtliga aktuella bestäm- melser i den av oss föreslagna lagen anses vara så allvarliga att den högre nivån enligt brottsdatalagen bör tillämpas. Detta gäller även för skyldigheten att internt inom begränsa tillgången till PNR-information som behandlas vid enheten för passagerar- information. Vilken sanktionsnivå som kan bli aktuell bör uttryck- ligen framgå av lagen. Utgångspunkten vid bestämmandet av sanktionsavgift är den behandling som skett av personuppgifterna. Det är möjligt att ett agerande i strid med vår lag skulle kunna föranleda sanktionsavgift enligt såväl vår lag som enligt den mer generella regleringen i brotts- datalagen. Tanken är inte att ett sådant agerande ska leda till dubbla sanktionsavgifter. Dock bör ett sådant agerande kunna föranleda en högre sanktionsavgift. Frågan får avgöras från fall till fall av tillsyns- myndigheten. I övrigt bör brottsdatalagens bestämmelser vara tillämpliga Bestämmelserna om handläggningen av sanktionsavgifter i brotts- datalagen och den tillhörande förordningen bör i övrigt vara tillämp- liga även vid överträdelser av de angivna bestämmelserna i vår lag. Särskilda bestämmelser om handläggningen behöver därför inte föras in i våra författningsförslag. En hänvisning till aktuella bestämmel- ser i brottsdatalagen och den tillhörande förordningen är tillräcklig. Dessutom föreslår vi att det förs in en upplysning om att det i 7 kap. 4 § BDL föreskrivs att beslut om sanktionsavgifter kan över- klagas till allmän förvaltningsdomstol. 23Bestämmelser i direktivet som inte kräver lagstiftningsåtgärder Vår bedömning: Artiklarna 17 och 19–22 i direktivet kräver inga lagstiftningsåtgärder. Det har i tidigare avsnitt framkommit i vilken mån de behandlade artiklarna i direktivet bör bli föremål för lagstiftningsåtgärder. Vi har där i några fall gjort bedömningen att vissa bestämmelser inte behöver föranleda författningsreglering. Därutöver innehåller direk- tivet artiklar som inte överhuvudtaget behöver omsättas i lagstiftning. Således kräver inte artikel 17 om kommittéförfarande, artikel 19 om översyn, artikel 20 om statistik, artikel 21 om förhållandet till andra instrument samt artikel 22 om direktivets ikraftträdande några lag- stiftningsåtgärder. 24.1Vårt uppdrag i denna del PNR-direktivet innehåller inga bestämmelser om sekretess. Däremot innebär direktivet begränsningar i för vilka ändamål PNR-information får användas. Vidare hänvisas i artikel 13.2 till att de nationella be- stämmelser om konfidentiell behandling som har antagits för genom- förande av artikel 21 i dataskyddsrambeslutet ska vara tillämpliga på all behandling av personuppgifter enligt PNR-direktivet. I skäl 30 anges att direktivet inte påverkar tillämpningen av principen om all- mänhetens tillgång till officiella handlingar. Enligt kommittédirektiven ska vi ta ställning till om reglerna i offentlighets- och sekretesslagen innebär ett tillräckligt skydd för de uppgifter som ska utbytas enligt PNR-direktivet eller om nuva- rande lagstiftning behöver ändras för att ska leva upp till bestämmelserna i direktivet. I uppdraget ingår också att föreslå en reglering för sekretess som passar in i den befintliga svenska struk- turen och ger en rättssäker och mer effektiv brottsbekämpning, sam- tidigt som skyddet för den personliga integriteten säkerställs. Vi har tolkat vårt uppdrag i denna del på så sätt att vi bör be- handla frågor om sekretesskydd för •PNR-uppgifter som enheten för passagerarinformation mottar från lufttrafikföretag och resultaten av enhetens behandling av sådana uppgifter, samt •PNR-information som enheten för passagerarinformation mot- tar från enheter eller behöriga myndigheter i andra medlems- stater. Vi har dessutom sett det som en uppgift för oss att behandla frågan om det finns behov av sekretessbrytande bestämmelser för att möj- liggöra det utbyte av PNR-information som direktivet syftar till. Som vi redogjort för behandlar vi inte frågor om en- heten för passagerarinformations tillgång till register, databaser eller andra informationskällor, se avsnitt 10.5. Följaktligen behandlar vi inte heller eventuella behov av sekretessgenombrott för sådan infor- mationsinhämtning som enheten för passagerarinformation kan komma att vilja göra sedan den börjat arbeta med PNR-information efter ikraftträdandet. 24.2Sekretess i brottsbekämpande verksamhet m.m. Uppgifter inom , , , och Försvarsmaktens verksamheter om- fattas av bestämmelserna i offentlighets- och sekretesslagen. Det- samma gäller för andra myndigheter som kan komma att utses som behöriga myndigheter enligt den nya lagen. Sekretess gäller i förhållande till såväl enskilda (fysiska eller juri- diska personer) som andra myndigheter (8 kap. 1 § OSL). Uppgifter som skyddas av sekretess får inte lämnas ut till en enskild eller annan myndighet utan stöd i offentlighets- och sekretesslagen. Detsamma gäller visavi utländska myndigheter. Enligt 8 kap. 3 § OSL får en upp- gift för vilken sekretess gäller bara röjas för en utländsk myndighet eller en mellanfolklig organisation, om utlämnande sker i enlighet med särskild föreskrift i lag eller förordning (punkten 1), eller uppgiften i motsvarande fall skulle få lämnas ut till en svensk myn- dighet och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften lämnas till den utländska myndigheten eller den mellanfolkliga organisa- tionen (punkten 2). I bestämmelsen görs det ingen skillnad mellan myndigheter i EU:s medlemsstater eller i tredjeländer. Sekretess innebär ett förbud att röja en uppgift, vare sig det sker muntligt, genom utlämnande av allmän handling eller på något annat sätt (3 kap. 1 § OSL). Sekretess innebär således både handlingssekre- tess och tystnadsplikt. De viktigare materiella sekretessbestämmelserna Offentlighets- och sekretesslagen innehåller en stor mängd sekre- tessbestämmelser som kan bli tillämpliga för aktuella myndigheter. Vissa gäller generellt för alla myndigheter, t.ex. bestämmelserna om utrikes- eller försvarssekretess i 15 kap. 1 och 2 §§ OSL, vilka i detta sammanhang torde vara av särskild relevans för Försvarsmakten. Andra generella bestämmelser skyddar känsligare uppgifter om enskilda och finns i 21 kap. OSL. Flertalet sekretessbestämmelser har emellertid en avgränsad räckvidd som innebär att de bara gäller inom exempelvis viss verksamhet eller vid viss myndighet. I det följande redovisar vi enbart ett urval bestämmelser som vi bedömt särskilt relevanta att beröra för de frågeställningar som behandlas i detta kapitel. Det ska alltså observeras att redovisningen nedan är långt ifrån fullständig. Sekretess till skydd för allmänna intressen Sekretessbestämmelser till skydd för intresset av att förebygga eller beivra brott finns i 18 kap. OSL. Enligt 18 kap. 1 § gäller sekretess för uppgift som hänför sig till en förundersökning i brottmål eller angelägenhet som avser användning av tvångsmedel i sådant mål eller i annan verksamhet för att förebygga brott. Enligt andra stycket 2 gäller sekretess även för uppgifter som hänför sig till annan verk- samhet som syftar till att förebygga, uppdaga, utreda eller beivra brott och som bedrivs av bl.a. Även åklagarmyndighet omfattas av bestämmelsen vilket i sammanhanget innebär att också omfattas av bestämmelsens räckvidd. Det som åsyftas med andra stycket 2 är brottsförebyggande och brottsbeivrande verksamhet i allmänhet utan anknytning till något konkret fall. Sekretessen gäller exempelvis för uppgifter hänförliga till spaningsmetoder och för sådana uppgifter som finns i de register som används i polisär verksamhet. För upp- gifter i t.ex. verksamhet för att förebygga brott etc. som hänför sig till underrättelseverksamhet ska dock 18 kap. 2 § tillämpas.1 Bestämmelserna i 18 kap. 1 § har ett rakt skaderekvisit, som har konstruerats så att sekretessen gäller endast om följden av 1 Lenberg m.fl., Zeteo , kommentaren till 18 kap. 1 § OSL. att uppgifterna lämnas ut kan antas bli att syftet med beslutade eller förutsedda åtgärder motverkas eller den framtida verksamheten skadas. Vidare gäller enligt 18 kap. 2 § sekretess för uppgift som hänför sig till bl.a. sådan verksamhet som avses i 2 kap. 7 § 1 (förebygga, för- hindra eller upptäcka brottslig verksamhet) eller 6 kap. 1 § 1 PDL (förebygga, förhindra eller upptäcka viss slags brottslig verksamhet som innefattar t.ex. terrorbrott). Det polisarbete som åsyftas är i första hand underrättelseverksamhet, dvs. arbete med insamling, be- arbetning och analys av information för att förhindra eller upptäcka brottslig verksamhet när det inte finns konkreta misstankar om att ett visst brott har begåtts. Polisarbete som är inriktat på en redan begången individualiserad gärning faller inte in under punkten (se prop. 2009/10:85 s. 318). Sekretessen för uppgifterna enligt bestäm- melsen i polisdatalagen gäller enligt 18 kap. 2 § OSL med ett omvänt skaderekvisit, vilket innebär att uppgifterna inte får lämnas ut om det inte står klart att de kan röjas utan att syftet med beslutade eller för- utsedda åtgärder motverkas eller den framtida verksamheten skadas. Enligt andra stycket 2 gäller motsvarande sekretess för uppgifter som hänför sig till underrättelseverksamhet. Det kan påpekas att sekretessen enligt 18 kap. 1 och 2 §§ OSL även gäller hos myndigheter som inte bedriver brottsbekämpande verksamhet. Det beror på att sekretessen, enligt paragraferna, avser uppgifter som hänför sig till förundersökning och underrättelseverk- samhet m.m. som bedrivs av de i paragraferna angivna brottsbekäm- pande myndigheterna. Sekretessen enligt 18 kap. 1 eller 2 § kan där- med sägas, i bildlig mening, följa med när den lämnas vidare till en helt annan slags myndighet. Sekretessen till skydd för brottsbekämpande verksamhet gäller enbart svensk sådan verksamhet. Därför har en särskild bestämmelse, som skyddar utländsk brottsbekämpande verksamhet, införts i 18 kap. 17 § OSL. Sekretess gäller i verksamhet som avser visst rättsligt sam- arbete samt utbyte inom ramen för Schengens informationssystem. Regeringen har i en lagrådsremiss som beslutades före- slagit en ny sekretessbestämmelse, 18 kap. 17 a §, enligt vilken sekre- tess ska gälla hos brottsbekämpande myndigheter för uppgift som lämnats av ett utländskt organ vid internationellt polisiärt samarbete i syfte att förebygga, uppdaga, utreda eller beivra brott, om det kan antas att en förutsättning för att uppgiften lämnades var att den inte Syftet med bestämmelsen är att göra sekretesskyddet för uppgifter som mottas i samarbetet tydligare och mer heltäckande. Lagändringen föreslås träda i kraft . Sekretess till skydd för enskildas intressen Sekretess till skydd för enskildas personliga och ekonomiska för- hållanden i sådan verksamhet som syftar till att förebygga eller beivra brott regleras huvudsakligen i 35 kap. OSL. Med begreppet ”enskilda” avses såväl fysiska som juridiska personer. Sekretessen enligt 35 kap. 1 § OSL skyddar enskilds personliga och ekonomiska förhållanden i bl.a. förundersökningar, brottsföre- byggande verksamhet och vissa polisiära register m.m. Enligt första stycket 4 gäller sekretess för uppgift i annan verksamhet (annan än bl.a. förundersökning som regleras i punkten 1) som syftar till att förebygga, uppdaga, utreda eller beivra brott och som bedrivs bl.a. av åklagarmyndighet (t.ex. , se ovan), Polis- myndigheten, Säkerhetspolisen och . Genom bestämmel- sen blir det möjligt att hemlighålla uppgifter som mera allmänt hän- för sig till de i bestämmelsen uppräknade myndigheternas brottsbe- kämpande verksamhet. Bestämmelsen är bl.a. tillämplig på sådana personregister som förs inom myndigheterna och som inte om- fattas av särskilda bestämmelser (bl.a. punkterna 6, 7 och 10 i denna bestämmelse och 3 §). Även behandling av personuppgifter som inte sker i register omfattas av bestämmelsen. Enligt punkten 6 gäller sekretess för uppgifter i register som förs av enligt 4 kap. PDL eller som annars behandlas med stöd av de bestämmel- serna. De register som avses är register över DNA-profiler, finger- avtrycks- och signalementsregister, penningtvättsregister och det internationella registret. Enligt punkten 7 gäller sekretess för upp- gifter i register som förs enligt lagen om misstankeregister. Register som förs av omfattas av punkten 10. Sekretessen enligt bestämmelsen i 35 kap. 1 § första stycket gäller om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider skada eller men. Presumtionen är alltså att sekretess gäller. Bestämmelser om sekretess för register finns vidare i 35 kap. 3 och 4 §§. I 3 § regleras sekretessen för uppgifter i belastningsregistret. I 4 § regleras sekretessen för ytterligare några register, bl.a. register över strafföreläggande och föreläggande av ordningsbot. Sekretessen enligt såväl 3 och 4 §§ är absolut, dvs. något skaderekvisit ställs inte upp som villkor för sekretessen. Minimiskyddsregler till skydd för enskildas personliga integritet finns i 21 kap. OSL. I 21 kap. 5 § regleras sekretess för särskilt käns- liga uppgifter om utlänningar. Bestämmelsen tar sikte på varje slag av uppgifter som rör utlänningar, oavsett i vilket sammanhang upp- gifterna förekommer. För sekretess krävs att det kan antas att röjande av uppgiften skulle medföra att någon utsätts för övergrepp eller annat allvarligt men. Dessutom fordras att risken för skada ska vara föranledd av förhållandet mellan utlänningen och utländsk stat eller myndighet eller organisation av utlänningar. Särskilt om gällande sekretessbestämmelser för API-uppgifter Vid genomförandet av API-direktivet ansågs det saknas sekretess- bestämmelser till skydd för svenska medborgares personliga förhållan- den liksom en bestämmelse till skydd för enskildas – och då särskilt juridiska personers – ekonomiska förhållanden (se prop. 2005/06:129 s. 51). I förarbetena till lagstiftningen om s.k. trängselskatt gjordes vissa uttalanden avseende möjligheten att kartlägga en persons för- flyttningar in och ut ur ett område (prop. 2003/04:145 s. 103). Det anfördes bl.a. att det är angeläget att den enskildes integritet värnas så långt det är möjligt inom ramen för systemet med trängselskatt och att möjligheten att kartlägga en persons förflyttningar in och ut ur ett område som omfattas av trängselskatt därför ska förhindras. Mot denna bakgrund gjorde regeringen den bedömningen att det var nödvändigt att undanta vissa uppgifter i de aktuella beskattnings- besluten från offentlighet. Dessa var uppgift om vilken betalstation bilen har passerat och om tidpunkten för denna passage. För dessa uppgifter råder absolut sekretess. Vid genomförandet av API-direktivet hänvisades till ovan nämnda uttalanden i förarbetena till lagstiftningen om trängselskatt. Med hän- syn till den enskildes integritet och för att förhindra möjligheten att kartlägga personers förflyttningar, infördes en absolut sekretess- bestämmelse till skydd för uppgifter om personers namn och födelsedatum i passagerarregistret. Med hänsyn till att passnummer eller nummer på identitetskort kan användas för att utröna en passa- gerares namn och födelsedatum, omfattar sekretesskyddet även nummer på resehandlingen. (Se prop. 2005/06:129 s. 50 ff.). Uppgifterna i passagerarregistret betraktades i övrigt typiskt sett som harmlösa. Till detta kom att uppgifterna i det registret ska gallras relativt snabbt om det inte finns särskilda omständigheter. Det ansågs dock kunna finnas uppgifter eller sammanställningar som kan miss- brukas eller som i ett särskilt fall kan användas till skada för den uppgiften rör. Detta ansågs särskilt gälla uppgifter om enskildas, främst transportörernas, ekonomiska förhållanden. Som exempel an- gavs flygplanens beläggning, vilken kan utläsas om uppgifter om det totala antalet passagerare jämförs med antalet platser i det aktuella flygplanet. Eftersom det ansågs kunna finnas risk för att enskilda lider skada om uppgifter om deras ekonomiska förhållanden röjs, infördes en möjlighet att sekretessbelägga uppgifter i passagerar- registret till skydd för enskilds förhållanden av ekonomisk natur. För dessa uppgifter ansågs det tillräckligt med en presumtion för offent- lighet där sekretess endast gäller om det kan antas att den enskilde lider skada om uppgiften röjs. (Se prop. 2005/06:129 s. 50 ff.). I anlutning till lagen (2006:444) om passagerarregister infördes således en bestämmelse om sekretess för vissa uppgifter i det register som förs enligt lagen. Bestämmelsen, som återfinns i 32 kap. 7 § OSL, stadgar att sekretess gäller i verksamhet som avser förande av eller uttag ur register enligt lagen om passagerarregister för upp- gift om enskilds namn och födelsedatum samt nummer på rese- handling. Sekretessen är i denna del absolut. Sekretess gäller också för uppgift om en enskilds ekonomiska förhållanden, om det kan antas att den enskilde lider skada om uppgiften röjs. I denna del gäller sekretessen således med ett s.k. rakt skaderekvisit. I offentlighets- och sekretesslagen finns ett flertal bestämmelser som möjliggör utbyte av uppgifter mellan myndigheter trots den sekretess som annars gäller för uppgifterna. Många av generell räckvidd finns i Av 10 kap. 2 § OSL framgår att sekretessbelagda uppgifter får lämnas från en myndighet till en annan om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet. Bestämmelsen, som är avsedd att tillämpas restriktivt, medger inte sekretessgenombrott på den grunden att den mottagande myn- digheten behöver uppgifterna i sin verksamhet. Enligt 10 kap. 28 § första stycket hindrar sekretess inte att upp- gifter lämnas till en annan myndighet om uppgiftsskyldighet följer av lag eller förordning. Med lag avses även en EU-förordning. Det är mycket vanligt förekommande med sekretessbrytande bestämmel- ser om uppgiftsskyldighet, exempelvis i registerförfattningar som syftar till att möjliggöra direktåtkomst mellan myndigheter. Ett exempel på en sådan är 2 kap. 16 § PDL som föreskriver att vissa myndigheter med brottsbekämpande uppgifter trots sekretess enligt 21 kap. 3 § första stycket (enskilds adress, kontaktuppgifter m.m.) och 35 kap. 1 § OSL har rätt att ta del av personuppgifter som har gjorts gemensamt tillgängliga, om den mottagande myndigheten be- höver uppgifterna i sin brottsbekämpande verksamhet. Uppgifter kan vidare, med vissa undantag, lämnas ut med stöd av 10 kap. 18 a–26 §§, när uppgifterna behövs för olika i paragraferna angivna ändamål inom brottsbekämpningen, bl.a. förundersökning. Enligt 10 kap. 27 §, den s.k. generalklausulen, gäller som huvud- regel att en uppgift får lämnas ut till en annan myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde fram- för det intresse som sekretessen ska skydda. Undantag görs dock för vissa sekretessregler som är av begränsat intresse här. Har det i en lag eller förordning föreskrivits att uppgifter ”bör” eller ”får” lämnas från en myndighet till en annan, finns det normalt särskild anledning att anse att generalklausulen är tillämplig.2 En annan bestämmelse av generell innebörd är 12 kap. 1 § OSL enligt vilken sekretess till skydd för enskild inte annat än i undantagsfall gäller i förhållande till den enskilde själv. Samma uppgift om den enskilde kan emellertid skyddas också av sekretess för ett annat intresse, t.ex. brottsbekämpningens enligt 18 kap., vilket då kan medföra att den enskilde inte har någon rätt att få ut uppgiften om sig själv.