sou · H5B329 · 2017-04-05 00:00:00 — Som exempel på när personuppgifter kan behöva överföras i ett enskilt fall för ett ändamål som omfattas av lagens tillämpningsom- råde kan nämnas bevisupptagning vid utländsk domstol, kvarstad på och beslag av egendom som finns i ett tredjeland och husrann- sakan i en bostad eller lokal som är belägen där. Ett annat exempel kan vara att överföringen är nödvändig i ett brottmål för att kunna delge en i tredjeland bosatt målsägande kallelse till rättegång vid svensk domstol. Åtgärden behöver inte vara nödvändig för att tillgodose svenska myndigheters behov och intressen. Det kan finnas förutsättningar för att tillämpa punkten om ett tredjeland behöver få tillgång till svenska personuppgifter, t.ex. uppgift om att en viss person är dömd för sexuellt utnyttjande av barn. Personuppgifter kan lämnas både på begäran och på den svenska myndighetens eget initiativ. Punkten 3 innebär att personuppgifter kan överföras till ett tredjeland eller en internationell organisation om överföringen är nödvändig i ett enskilt fall för att kunna fastställa, göra gällande eller försvara ett rättsligt anspråk. Det rättsliga anspråket ska vara hänförligt till ett ändamål som omfattas av lagens tillämpningsom- råde. Exempel på sådana rättsliga anspråk är bl.a. skadestånd i an- ledning av brott. Ett exempel på när det kan vara nödvändigt att överföra person- uppgifter enligt punkten 4 för att avvärja en omedelbar och allvarlig fara för allmän säkerhet är om det finns information om förestå- ende allvarliga störningar i samhällslivet som har samband med brott eller andra särskilda händelser som kan vålla omfattande ord- ningsstörning, t.ex. gatukravaller och plundring. Det kan vara fråga om allmän säkerhet i eller i någon annan stat. Om det är fråga om en omedelbar fara för allmän säkerhet utomlands ligger det i sakens natur att den som vill överföra personuppgifterna har fått veta något av intresse som det är viktigt att det tredjelandet eller den internationella organisationen får information om direkt, t.ex. planer på terroristattentat eller flygplanskapning eller risk för kravaller i samband med en fotbollsmatch. Den överförande myn- digheten kan naturligtvis bara beakta sådant som den känner till vid prövningen av om personuppgifterna får överföras. Att det sedan i efterhand visar sig att överföringen inte var nödvändig, t.ex. därför att faran aldrig realiserades, innebär inte att överföringen var otill- låten. Enligt andra stycket ska en intresseavvägning göras när person- uppgifter ska överföras enligt punkten 2 eller 3. De intressen som ska vägas mot varandra är skyddet för den registrerades grundläg- gande fri- och rättigheter och det allmännas intresse av att över- föringen görs. Om den registrerades intresse väger tyngre än det allmännas får personuppgifterna inte överföras. Ett exempel där den registrerades intresse väger tyngre kan vara om han eller hon riskerar dödsstraff, kroppsstraff eller tortyr om hans eller hennes personuppgifter överförs till en behörig myndighet i ett tredjeland. Paragrafen reglerar, tillsammans med 7 §, vidareöverföring av per- sonuppgifter till ett tredjeland eller en internationell organisation. Med vidareöverföring förstås överföring av personuppgifter mellan tredjeländer och internationella organisationer av sådana person- uppgifter som överförts dit av en medlemsstat. Paragrafen, som genomför artikel 35.1, behandlas i avsnitt 15.7. I paragrafen anges förutsättningarna för att en svensk myndig- het ska få tillåta en vidareöverföring. Den svenska myndigheten kan t.ex. få frågan om ett tredjeland får vidareöverföra personupp- gifter som överförts dit. För det första måste det vara en behörig myndighet i som ger tillåtelse till vidareöverföringen. För det andra innebär hänvisningen till 2 § första stycket att det ska vara fråga om personuppgifter som en svensk myndighet har fått från en annan medlemsstat, t.ex. genom att de skickats elektroniskt eller att de gjorts tillgängliga i ett gemensamt datasystem. Person- uppgifterna ska sedan ha överförts till ett tredjeland eller till en internationell organisation som i sin tur vill vidareöverföra uppgif- terna till ett tredjeland eller en internationell organisation. Dessutom krävs det att den behöriga myndigheten i den med- lemsstat som lämnade personuppgifterna till en svensk myndighet har medgett att uppgifterna får vidareöverföras. En annan behörig myndighet i den andra medlemsstaten kan också medge vidareöver- föring. Om medgivande saknas får den svenska myndigheten inte tillåta att personuppgifterna vidareöverförs. Något formkrav för hur medgivandet ska lämnas finns inte. Ett medgivande skulle därför kunna lämnas muntligen. Någon form av dokumentation, t.ex. genom en tjänsteanteckning, torde dock vara nödvändig för att tillsynsmyndigheten i efterhand ska kunna kon- trollera om nödvändigt medgivande fanns innan den svenska myn- digheten tillät vidareöverföringen. I paragrafen, som tillsammans med 6 § genomför artikel 35.1, anges vad en svensk myndighet ska beakta när den tar ställning till en fråga från en annan medlemsstat om att ett tredjeland eller en internationell organisation ska få vidareöverföra personuppgifter som har överförts dit av den andra medlemsstaten. Paragrafen be- handlas i avsnitt 15.7. Paragrafen ska alltså tillämpas på personuppgifter som har sitt ursprung i en svensk myndighet. Personuppgifterna har sedan överlämnats till en annan medlemsstat som in sin tur har överfört dem till det tredjelandet eller den internationella organisationen som vill vidareöverföra uppgifterna. Det är alltid en svensk behörig myndighet som ska medge vidareöverföringen. Med det avses an- tingen den svenska behöriga myndigheten som ursprungligen läm- nade personuppgifterna till den andra medlemsstaten eller en annan svensk behörig myndighet. Om exempelvis har lämnat personuppgifter till en annan medlemsstat, som överfört uppgifterna till det tredjeland som vill vidareöverföra dem, men ärendet handläggs av svensk åklagare när förfrågan om vidareöver- föring görs är det naturligt att prövar frågan om vidareöverföring. Om personuppgifterna har sitt ursprung i en annan myndighet som inte är behörig i lagens mening, t.ex. Skatte- verkets beskattningsverksamhet eller verksamhet effek- tiv handel, bör den myndigheten rådfrågas om medgivande till vidareöverföring ska lämnas. Den rådfrågade myndigheten bör då, utifrån vad som är känt för den, beakta motsvarande omständig- heter som den behöriga myndigheten ska ta hänsyn till. Vid bedömningen av om medgivande till vidareöverföring ska lämnas, ska enligt paragrafen alla omständigheter som har samband med vidareöverföringen beaktas. Av naturliga skäl kan hänsyn tas endast till sådana omständigheter som är kända när bedömningen görs. Det krävs inte att myndigheten gör omfattande efterforsk- ningar för att få fram alla omständigheter som skulle kunna ha be- tydelse för om medgivande ska lämnas. I paragrafen pekas ut några omständigheter som ska tillmätas särskild vikt när en svensk behörig myndighet ska ta ställning till en förfrågan från en annan medlemsstat om vidareöverföring kan medges. Brottets allvar ska ses i ljuset av varför vidareöverföringen Är exempelvis vidareöverföringen nödvändig för att förebygga brott är det allvaret i det brottet som ska beaktas. Om personuppgifter vidareöverförs till ett tredjeland för att den all- männa ordningen och säkerheten där ska kunna upprätthållas, är det i stället allvaret i faran som hotar ordningen eller säkerheten som ska beaktas. Även det ändamål för vilket personuppgifterna ursprungligen lämnades till den andra medlemsstaten ska beaktas. När det gäller skyddsnivån för personuppgifter, bör bl.a. lagstift- ningen i det tredjelandet beaktas. Uppräkningen av omständigheter i paragrafen är inte avsedd att vara uttömmande. Det finns i och för sig inget som hindrar att en svensk behörig myndighet i förväg generellt medger att personuppgifter får vidare- överföras om det skulle komma att behövas. Det kan tvärtom ligga i den svenska myndighetens intresse att personuppgifterna får stor spridning om det t.ex. är fråga om en efterlyst person som efter- söks. En behörig myndighet ska dock, om den lämnar generella medgivanden till vidareöverföring, beakta att olika tredjeländer och internationella organisationer kan ha olika nivå på skyddet för per- sonuppgifter och att olika personuppgifter kan behöva olika starkt skydd. Överföring till andra än behöriga myndigheter Paragrafen, som genomför artikel 39.1 a–c och e, är ett undantag från kravet i 1 § första stycket 2 att överföring av personuppgifter till tredjeland ska göras till behöriga myndigheter. Om förutsätt- ningarna i paragrafen är uppfyllda får personuppgifter överföras även till andra än behöriga myndigheter. Det kan t.ex. vara företag och privatpersoner i ett tredjeland. Överföring till andra än behö- riga myndigheter får dock göras endast om samtliga i första stycket punkterna 1–3 angivna förutsättningar är uppfyllda. Paragrafen be- handlas i avsnitt 15.8. Begränsningen i första stycket innebär att det enbart är vissa svenska behöriga myndigheter som har möjlighet att utnyttja möj- ligheten till överföring. En aktör som utövar myndighet men som inte är en myndighet får inte överföra personuppgifter till andra än behöriga myndigheter. Enligt punkten 1 ska överföringen vara absolut nödvändig för att den svenska myndigheten ska kunna utföra en arbetsuppgift som anges i 1 kap. 2 §. Kravet på absolut nödvändighet innebär att över- föringen inte kan underlåtas. Det kan vara fallet bl.a. vid brådskan- de delgivning av en fysisk person i ett tredjeland genom ett del- givningsföretag som är etablerat där. Ett annat exempel kan vara att i sin underrättelseverksamhet kan behöva kontakta ett hotell eller ett transportföretag i ett tredjeland för att snabbt få fram information. Överföring kan också vara nödvändig för att en svensk myndighet ska kunna underrätta en målsägande enligt för- undersökningskungörelsen (1947:948) när en gripen, anhållen eller häktad avviker eller ett frihetsberövande hävs, eller enligt fängelse- förordningen (2010:2010) när en intagen har permission, rymmer, fritas eller friges. Kravet i punkten 2 innebär en skyldighet för den svenska myn- dighet som överför personuppgifterna till någon som inte är en be- hörig myndighet att underrätta den som ska ta emot uppgifterna om för vilket eller vilka specifika ändamål de får behandlas. Enligt punkten 3 krävs slutligen att den svenska myndigheten bedömer att det skulle vara ineffektivt eller på något annat sätt olämpligt att i stället överföra personuppgifterna till en behörig myndighet i det tredjelandet. Det kan vara något i tidigare kontak- ter med den behöriga myndigheten i det landet eller andra indika- tioner som ger anledning att tro att syftet med överföringen kan komma att förfelas eller att det på något annat sätt skulle vara olämpligt att överföra personuppgifterna via den behöriga myndig- heten. Däremot är bestämmelsen inte tillämplig enbart om det skulle ta att kanalisera personuppgifterna via en behörig myndighet därför att det t.ex. krävs en formell framställning om rättslig hjälp i brottmål. Ett exempel är de mycket vanliga överföringarna som Polis- myndigheten gör till internetoperatörer för att förhindra och ut- reda internetrelaterad brottslighet. Det skulle vara ineffektivt om varje sådan överföring skulle behöva göras genom en behörig myn- dighet i mottagarlandet både med hänsyn till mängden förfråg- ningar och den brådska som ofta råder. Ett annat exempel är infor- mation som lämnas till en bank för att förhindra att banken utnytt- jas för brottsliga penningöverföringar. I sådana fall kan kontakt behöva tas . När det gäller underrättelser till målsägande enligt förundersökningskungörelsen skulle det kunna medföra problem för målsäganden om underrättelserna alltid kanaliseras via det tredjelandets behöriga myndigheter. Enligt andra stycket ska det göras en intresseavvägning mellan den registrerades intresse av skydd mot kränkning av grundläg- gande fri- och rättigheter och det allmännas intresse av att över- föringen kommer till stånd. Om den enskildes skyddsintresse väger tyngre får överföringen inte göras. Ett exempel kan vara om per- sonen som uppgifterna avser riskerar förföljelse på grund av sin religion eller politiska åskådning om personuppgifterna överförs till någon annan än en behörig myndighet i ett tredjeland. Intresse- avvägningen motsvarar den som enligt 5 § andra stycket ska göras när personuppgifter ska överföras i vissa särskilda situationer. I paragrafen anges vad som gäller om en svensk behörig myndighet har fått personuppgifter från ett tredjeland eller en internationell organisation och överföringen försetts med villkor för använd- ningen av uppgifterna. Paragrafen behandlas i avsnitt 15.9.1. Om det tredjelandet eller den internationella organisationen som överfört personuppgifterna med stöd av en bindande överens- kommelse har ställt upp särskilda villkor för hur en viss person- uppgift får behandlas, t.ex. av vem eller på vilket sätt uppgiften får användas eller hur länge den får behandlas, ska enligt paragrafen villkoren följas av svenska myndigheter. Det gäller oavsett vad som annars är föreskrivet i lag eller annan författning. Ett begränsande villkor följer med personuppgiften om den lämnas vidare till en annan myndighet (se JO 2007/08 s. 57). Den myndighet som läm- nar personuppgifter vidare anses vara skyldig att informera om be- gränsningen. Likartade bestämmelser om användningsbegränsning finns bl.a. i 6 kap. 4 § den föreslagna lagen (2017:000) om interna- tionellt polisiärt samarbete och 5 kap. 1 § lagen (2000:562) om in- ternationell rättslig hjälp i brottmål. Enligt paragrafen får en svensk behörig myndighet, när den överför personuppgifter till ett tredjeland eller en internationell organisa- tion ställa upp villkor som begränsar det tredjelandets eller den internationella organisationens möjlighet att använda uppgifterna. Paragrafen behandlas i avsnitt 15.9.2. Förutsättningen för att få ställa upp sådana villkor är dels att det finns en bindande överenskommelse som medger sådana villkor, dels att det krävs med hänsyn till enskilds rätt eller från allmän synpunkt. Det får dock bara göras i enskilda fall. Det kan vara aktuellt att ställa upp villkor om den överförande svenska myndigheten vill försäkra sig om att det tredjelandet inte vidareöverför uppgifterna till ett annat tredjeland eller en interna- tionell organisation utan att först inhämta tillstånd från den sven- ska myndigheten. Ett annat exempel kan vara att en svensk myn- dighet har fått personuppgifter från en annan medlemsstat med villkor som begränsar användningen. Om den svenska behöriga myndigheten, med den andra medlemsstatens medgivande, då vill överföra uppgifterna till ett tredjeland eller en internationell orga- nisation är det naturligt att den svenska myndigheten föreskriver motsvarande villkor för det tredjelandet eller den internationella organisationen. Liknande bestämmelser finns bl.a. i 5 kap. 2 § lagen (2000:562) om internationell rättslig hjälp i brottmål och 6 kap. 4 § den före- slagna lagen (2017:000) om internationellt polisiärt samarbete. I paragrafen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om bl.a. informa- tion till annan medlemsstat när personuppgifter, som en svensk myndighet har fått från den andra medlemsstaten, har överförts till ett tredjeland eller en internationell organisation utan förhands- medgivande och information till behörig myndighet i tredjeland när personuppgifter har överförts till någon annan än en behörig myn- dighet i det tredjelandet. Övergångsbestämmelserna behandlas i avsnitt 6.1.4, 18.1 och 18.2. Punkten 1 föreskriver när lagen ska träda i kraft och punkten 2 att lag då ska upphöra att gälla. I punkten 3 föreskrivs att bestämmelsen om loggning i 3 kap. 5 § inte behöver tillämpas på automatiserade behandlingssystem som inrättats före förrän . Sanktionsavgift får enligt punkten 4 beslutas endast för överträ- delser som har begåtts efter ikraftträdandet. Bestämmelsen tydlig- gör att sanktionsavgift inte får beslutas för en överträdelse som har begåtts före ikraftträdandet, även om sanktionsavgift skulle be- traktas som en mildare åtgärd än ett straff. Enligt punkten 5 ska äldre bestämmelser fortsätta att gälla för överträdelser av bestämmelser om personuppgiftsbehandling som begåtts före ikraftträdandet. Den gäller endast för sådana överträ- delser som varit straffbara enligt 49 § personuppgiftslagen. Vid be- dömningen av om det varit fråga om en överträdelse ska de krav som gällde för personuppgiftsbehandling för över- trädelsen tillämpas. Punkten 6 föreskriver att ärenden om tillsyn över behandling av personuppgifter inom denna lags tillämpningsområde som har in- letts hos Datainspektionen eller Säkerhets- och integritetsskydds- nämnden före ikraftträdandet men ännu inte har avgjorts när lagen träder i kraft ska handläggas enligt äldre föreskrifter. I punkten 7 föreskrivs att äldre föreskrifter också ska gälla för överklagande av beslut om behandling av personuppgifter inom denna lags tillämpningsområde som har meddelats före ikraftträ- dandet. Med äldre föreskrifter avses här personuppgiftslagen, per- sonuppgiftsförordningen eller särskilda överklagandebestämmelser i de behöriga myndigheternas registerförfattningar. Punkten tar inte bara sikte på själva överklagandet utan också på vilket regel- verk som ska tillämpas när överklagandet prövas. Äldre föreskrifter ska tillämpas även i det fallet. Punkten 8 innebär att bestämmelserna om skadestånd i 48 § per- sonuppgiftslagen fortfarande ska gälla för skada som har orsakats vid behandling av personuppgifter inom denna lags tillämpnings- område före ikraftträdandet. 19.2Förslaget till lag om ändring i lagen (2000:562) om internationell rättslig hjälp i brottmål Paragrafen, som behandlas i avsnitt 9.5, reglerar möjligheten att ställa upp villkor om användningsbegränsningar i samband med rättslig hjälp. Första stycket är oförändrat. I andra stycket införs en upplysning om att det i brottsdatalagen (2018:000) finns bestämmelser om att villkor om hur personupp- gifter får behandlas inte får ställas upp i vissa fall. 19.3Förslaget till lag om ändring i lagen (2000:1219) om internationellt tullsamarbete Paragrafen, som behandlas i avsnitt 9.5, reglerar möjligheten att ställa upp villkor om användningsbegränsningar i samband med internationellt tullsamarbete. Första stycket är oförändrat. I andra stycket införs en upplysning om att det i brottsdatalagen (2018:000) finns bestämmelser om att villkor om hur personupp- gifter får behandlas inte får ställas upp i vissa fall. 19.4Förslaget till lag om ändring i lagen (2003:1174) om vissa former av internationellt samarbete i brottsutredningar Paragrafen, som behandlas i avsnitt 9.5, reglerar möjligheten att ställa upp villkor om användningsbegränsningar inom ramen för gemensamma utredningsgrupper. Första stycket är oförändrat. I andra stycket införs en upplysning om att det i brottsdatalagen (2018:000) finns bestämmelser om att villkor om hur personupp- gifter får behandlas inte får ställas upp i vissa fall. 19.5Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400) Paragrafen, som behandlas i avsnitt 16.3.5, innehåller en upplysning om att det finns bestämmelser som gör det möjligt att ställa upp villkor om användningsbegränsning i andra författningar. Punkterna 1–9 är oförändrade. Punkterna 10 och 11 är enbart omnumrerade. Punkten 12, som är ny, innehåller en hänvisning till brottsdata- lagen (2018:000). Paragrafen, som är ny, reglerar sekretessen hos den myndighet som utsetts till tillsynsmyndighet enligt brottsdatalagen (2018:000) vid samarbete med tillsynsmyndigheter i andra medlemsstater. Vilka stater som är medlemsstater och vad som avses med tillsynsmyn- dighet framgår av 1 kap. 6 § brottsdatalagen. Paragrafen behandlas i avsnitt 16.3.2 och 16.3.3. I första stycket föreskrivs att sekretess gäller för uppgifter som lämnas till den svenska tillsynsmyndigheten av en tillsynsmyndig- het i en annan medlemsstat i samband med en begäran om svenskt bistånd med tillsyn. Det kan exempelvis vara uppgifter som kan ge inblick i enskilda ärenden hos ett utländskt tillsynsobjekt eller av- slöja hur arbetet bedrivs där. Sekretessen skyddar alltså utländska intressen. Att uppgiften ska ha lämnats i samband med en begäran om bistånd innebär inte att den behöver ha lämnats i själva begäran utan den kan även härröra från de fortsatta kontakterna. t.ex. vara fråga om en uppgift som den utländska tillsynsmyndig- heten lämnat spontant. Sekretessen gäller om det kan antas att den svenska tillsyns- myndighetens möjlighet att bedriva tillsyn motverkas om uppgiften röjs. Vid bedömningen bör vägas in vilken effekt offentliggörande av uppgiften skulle antas få på det framtida samarbetet och på den svenska tillsynsmyndighetens möjligheter att få bistånd i sin tillsyn från andra medlemsstater. I andra stycket anges att sekretessen gäller i högst för upp- gift i allmän handling. Paragrafen, som är ny, reglerar sekretessen hos behöriga myndig- heter för uppgifter i sammanställningar av känsliga personuppgifter enligt 2 kap. 14 § brottsdatalagen (2018:000). Paragrafen behandlas i avsnitt 16.4. I första stycket föreskrivs att sekretess ska gälla hos behöriga myndigheter för uppgifter i sammanställningar av känsliga person- uppgifter. Sekretessen är absolut, vilket innebär att de uppgifter som omfattas av bestämmelsen ska hemlighållas utan någon skade- prövning om uppgifterna begärs ut. I andra stycket anges att sekretessen gäller i högst för upp- gift i allmän handling. I paragrafen anges i vilken utsträckning den tystnadsplikt som föl- jer av sekretessbestämmelserna i kapitlet inskränker den rätt att meddela och offentliggöra uppgifter som följer av 1 kap. 1 § tryck- frihetsförordningen och 1 kap. 1 och 2 §§ yttrandefrihetsgrund- lagen. Paragrafen behandlas i avsnitt 16.4. I ett nytt första stycke föreskrivs att den tystnadsplikt som följer av 4 b § ska ha företräde framför rätten att meddela och offentlig- göra uppgifter. I andra stycket görs enbart redaktionella ändringar, medan tredje stycket är oförändrat. 19.6Förslaget till lag om ändring i lagen (2017:000) om internationellt polisiärt samarbete Paragrafen, som behandlas i avsnitt 9.5, reglerar möjligheten för en svensk brottsbekämpande myndighet att ställa upp villkor om an- vändningsbegränsningar. Det införs en upplysning om att det i brottsdatalagen (2018:000) finns bestämmelser om att villkor om hur personuppgifter får behandlas inte får ställas upp i vissa fall. Paragrafen är i övrigt oförändrad. Särskilt yttrande av experten advokaten Jag ställer mig bakom utredningens bedömningar och de bestäm- melser som föreslås men med följande reservationer. Myndigheter- nas intresse att nå resultat i sin verksamhet kommer ofta att stå i konflikt med den personliga integriteten. Avvägningen däremellan görs av samma personal som företräder myndighetens intresse. Regelverket är dessutom svårt att överblicka och det ställs mycket stora krav på kunskaper för att förstå hur reglerna hänger ihop. Jag vill därför framhålla nödvändigheten i att personalen som behandlar personuppgifter får utbildning och annat stöd som behövs för att kunna göra korrekta bedömningar. Förslagets definition av ”personuppgiftsbiträde” hänvisar till ett särskilt och skriftligt avtal. Eftersom definitionen i direktivet en- dast förutsätter ett avtal och inte även att detta är skriftligt, in- skränker förslaget vilka som definitionsmässigt kan utgöra person- uppgiftsbiträde. Om någon anlitas utan att avtalet ges skriftlig form anses denne inte vara något personuppgiftsbiträde och om- fattas då inte av direktivets krav på personuppgiftsbiträdena.