sou · H5B358 · 2017-06-22 00:00:00 — Vidare ska uppgif- terna vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering), vara kor- rekta och om nödvändigt uppdaterade. Enligt artikel 5.2 ska den per- sonuppgiftsansvarige ansvara för och kunna visa att de i artikel 5.1 angivna villkoren för personuppgiftsbehandling följs (ansvarsskyl- dighet). Vad gäller kravet på laglighet anges i artikel 6 att en behandling är laglig endast om minst ett av de villkor som anges i artikel 6.1 i för- ordningen är uppfyllt. Den europeiska dataskyddsregleringen utgår alltså från att varje behandling av personuppgifter måste vila på en rättslig grund. Det första alternativa villkoret i artikel 6.1 är att den registrerade har lämnat sitt samtycke till behandlingen (a). Behand- ling av personuppgifter kan också ske om den är nödvändig för att fullgöra ett avtal (b) eller en rättslig förpliktelse (c), för att skydda intressen som är av grundläggande betydelse för en fysisk person (d), för att utföra en uppgift av allmänt intresse eller som led i myn- dighetsutövning (e). Personuppgifter kan slutligen behandlas med stöd av en intresseavvägning (f). Det får anses åvila den personupp- giftsansvarige att se till att behandlingen är laglig i den mening som avses i artikel 6.1. Utredningens bedömning: har ansvaret för att personuppgiftsbehandlingen enligt dataskyddsförordningen är laglig. har ett ansvar för att har möjlighet att uppfylla kraven i dataskyddsförordningen. Genom bestäm- melsen i avtalen om samtycke för inhämtande av personuppgifter i kontrollsyfte från resenärer har säkerställt att person- uppgiftsbehandling inom dataskyddsförordningens tillämpnings- område vilar på en rättslig grund. Rättslig grund för personuppgiftsbehandling enligt avtalen om amerikansk inresekontroll Såsom redovisats i avsnitt 13.6.2 har i sin person- uppgiftsbehandling enligt avtalen en skyldighet att, vid sidan av de tillämpliga nationella amerikanska bestämmelserna, även följa be- stämmelserna i dataskyddsförordningen. Enligt artikel III.2 b i hu- vudavtalet, läst tillsammans med artikel I.16, är det US Customs and Border Protection, eller annan amerikansk myndighet som ersätter US Customs and Border Protection, som kommer att inhämta per- sonuppgifter enligt avtalen. Således är det denna myndighet som är att anse som personuppgiftsansvarig i förordningens mening. Myn- dighetens personuppgiftsbehandling i enligt avtalen omfattas också av de tillsynsmekanismer och kan bli föremål för de admini- strativa sanktionsmöjligheter som föreskrivs i dataskyddsförord- ningen. Även om har ansvaret för att personuppgiftsbe- handlingen står i överensstämmelse med dataskyddsförordningen, skulle det med visst fog kunna hävdas att har ett ansvar för att har möjlighet att uppfylla kraven i dataskydds- förordningen. I avtalen föreskrivs att inresekontrollanterna vid utövande av kon- trollverksamheten endast får inhämta personuppgifter från resenärer om de har samtyckt till det. Insamling av personuppgifter är att anse som en sådan åtgärd som omfattas av dataskyddsförordningens till- lämpningsområde enligt artikel 4.2. Av särskilt intresse är i sammanhanget om kravet på samtycke är en tillräcklig grund för att behandla personuppgifter som avser rese- närer. Artikel 29-gruppen, som är EU:s oberoende rådgivande instans för dataskydd och skydd för privatlivet, har i ett yttrande 2011 (15/2011) behandlat frågan om samtycke vid behandling av personuppgifter som avser flygpassagerare. Gruppen har då, med hän- visning till ett yttrande som gruppen avgav 2002 (6/2002) uttalat att flygpassagerarnas samtycke inte kunde anses ha lämnats frivilligt i det fall som avsågs. Anledningen var att passagerarna ansågs sakna en egentlig valmöjlighet, då de inte tilläts resa utan att ha samtyckt till personuppgiftsbehandlingen. Det finns dock en avgörande skillnad mellan den situation som var föremål för bedömning 2002 och den situation som avses i av- talen om inresekontroll. I yttrandet , som inte avsåg ett individfall, var utgångspunkten att de presumtiva resenärerna sakna- de möjlighet att välja alternativa vägar att flyga till . Detta eftersom fråga var om en skyldighet för de europeiska flyg- bolagen inom EU att till amerikanska myndigheter överföra person- uppgifter om samtliga de resenärer som avsåg att flyga dit, innan de tilläts avresa. Den resenär som, efter det att amerikansk inresekon- troll införts på , inte vill att en behandling av hans eller hennes personuppgifter ska grundas på samtycke, kan däremot välja att flyga med en flyglinje som inte omfattas av den amerikanska inresekontrollen på flygplatsen. Till detta kommer att systemet med amerikansk inresekontroll redan på avreseorten endast kommer att finnas på och där troligen inte heller kommer att omfatta samtliga avgångar. Vidare kan det antas att den amerikanska inresekontrollen kommer att marknadsföras i en sådan omfattning att den som önskar välja ett annat alternativ har mycket goda möjligheter att göra detta val redan då resan planeras. Risken att en resande kommer att ställas inför full- bordat faktum och därför uppleva det begärda samtycket som fram- tvingat får därmed anses vara obetydlig. Det som redovisats talar enligt utredningens bedömning för att resenären har en egentlig val- Det samtycke som krävs för att välja detta sätt att resa till får därmed anses vara lämnat frivilligt. Genom kravet på samtycke enligt avtalen har således, en- ligt utredningens bedömning, säkerställt att kan uppfylla kravet i dataskyddsförordningen på en rättslig grund för behandlingen av personuppgifter. I detta samanhang finns det enligt utredningen anledning att även beakta följande omständigheter som, även om de inte direkt avser frågan om samtycke, med kraft talar för att be- handling av personuppgifter kommer att uppfylla höga krav på inte- gritet och rättssäkerhet. •Den passagerare, som väljer att flyga till med en flyglinje som inte omfattas av den amerikanska inresekontrollen, kommer likväl att avkrävas samma slags personuppgifter som sedan lämnas ut till och behandlas av amerikanska myndigheter innan ombordstigning är möjlig. Detta sker då med stöd av för- fattning. har således väl utvecklade rutiner som kan tillämpas för den behandling av personuppgifter som kommer att ske inom ramen för avtalet. •Förenta staterna har i ett annat sammanhang av Europakommis- sionen bedömts säkerställa en adekvat skyddsnivå för skydd av personuppgifter, se Kommissionens genomförandebeslut (EU) 2016/1250 av enligt och råd- ets direktiv /46/EG om huruvida ett adekvat skydd säkerställs genom skölden för skydd av privatlivet i EU och Förenta stat- erna. Skölden bygger på ett system för självcertifiering genom vilket organisationer i förbinder sig att följa en uppsättning principer om integritetsskydd. I punkten 13 i ingres- sen anges att Kommissionen vid en noggrann analys av lagstiftning, praxis samt officiella utfästelser och åtagan- den kommit fram till att säkerställer en adekvat skyddsnivå för skydd av personuppgifter som överförs enligt sköl- den från EU till organisationer i . Genom bestämmelsen i artikel IV.2 i avtalet har parterna, så långt det är möjligt, säkerställt att en rättssäker hantering och hög skyddsnivå kommer att gälla även för den personuppgiftsbehandling som avtalen förutsätter. Detta sker genom att har åtagit sig att se till att de uppgifter som samlas in under inresekontrollen behand- las i enlighet med gällande amerikanska lagar och principer, inbegri- pet dem som syftar till att skydda personuppgifter mot obehörig åt- komst, användning eller utlämning. En annan viktig klausul i artikeln som bidrar till en rättssäker han- tering är den som anger att behandlingen av de uppgifter som För- enta staterna samlar in under inresekontrollen kan överklagas enligt lagar och förordningar och bli föremål för obero- ende granskning och tillsyn av ansvariga amerikanska organ, inbegri- pet dem som ansvarar för skydd av integritet och civila friheter. Som en sista åtgärd för att säkerställa rättssäker hantering har parterna äv- en enats om att regelbundet gå igenom gällande lagar och principer om behandling av uppgifter. Frågan om den personuppgiftsbehandling som kommer att utföra står i överensstämmelse med dataskyddsförord- ningen kan dock med bindande verkan avgöras endast på rättslig väg vid en prövning av behöriga myndigheter. Vid denna prövning finns det naturligtvis inget som hindrar att åberopar även andra grunder än samtycke som stöd för personuppgiftsbehandlingen. Vidare bör noteras att den samlade inresekontroll som kommer att genomföra i till sitt innehåll i allt väsent- ligt överensstämmer med den som alla resenärer som reser in i För- enta staterna är tvungna att genomgå. Skillnaden ligger i var kontrol- len utförs. Den inresekontroll som görs enligt avtalet är förlagd till , medan den än så länge dominerande traditionella inresekon- trollen sker i vid inresan. Slutligen finns det anledning att uppmärksamma följande gräns- dragningsfråga. Genom att kravet på samtycke är begränsat till kon- trollverksamheten, omfattar det inte den inhämtning som sker i an- nat syfte. Som exempel kan nämnas bestämmelsen i artikel IV.1 d om att biometriska och biografiska uppgifter får inhämtas från andra än resenärer som begär tillträde till kontrollområdet, exempelvis så- dana som arbetar inom området, i syfte att säkerställa kontrollom- rådet. Sådana åtgärder, som alltså avser andra än resenärer och sker i syfte att upprätthålla säkerheten i kontrollområdet, är enligt utred- ningens mening inte att bedöma som en sådan verksamhet som om- fattas av dataskyddsförordningen och därmed inte heller av kravet på samtycke. 13.8Behovet av särskilda bestämmelser för personuppgiftsbehandling enligt avtalen om amerikansk inresekontroll Utredningens bedömning och förslag: Det finns inte behov av särskilda bestämmelser för den personuppgiftsbehandling som kommer att ske enligt avtalen om amerikansk inresekontroll. Däremot ska en bestämmelse av upplysningskaraktär införas i den nya lagen som anger att personuppgiftsbehandling enligt av- talen om amerikansk inresekontroll ska ske enligt amerikansk lag och med iakttagande av tillämpliga bestämmelser i svensk och EU-rättslig lagstiftning. Vidare ska bestämmelsen i huvudavtalet om att personuppgif- ter som avser enskilda resenärer får inhämtas i kontrollsyfte en- dast om den som uppgifterna avser har samtyckt till detta, genom- föras genom en motsvarande bestämmelse i den nya lagen. 13.8.1Det finns inte behov av en särreglering för personuppgiftsbehandlingen enligt avtalen Dataskyddsförordningen kommer, när den träder i kraft, att utgöra den allmänna grunden för all personuppgiftsbehandling inom EU. Detta innebär att personuppgiftslagen och personuppgiftsförord- ningen, liksom Datainspektionens föreskrifter i anslutning till dessa författningar, kommer att upphävas. På det brottsbekämpande om- rådet kommer dataskyddsdirektivet att vara tillämpligt. En särskild utredare har, som framgått under avsnitt 13.3, fått i uppdrag att föreslå författningsbestämmelser som på ett generellt plan ska komplettera dataskyddsförordningen. En utredning har ock- så tillsatts för att lämna förslag till en ny ramlagstiftning med be- stämmelser om skydd av personuppgifter inom dataskyddsdirektiv- ets tillämpningsområde. Som också framgått tidigare kan såväl dataskyddsdirektivet som dataskyddsförordningen komma att vara tillämpliga på personupp- giftsbehandlingen enligt avtalet om amerikansk inresekontroll. Om inte några särskilda regler införs, kommer personuppgiftsbehand- lingen enligt avtalet även att omfattas av den kommande svenska kompetteringslagstiftningen till dessa rättsakter. Frågan är då om det finns behov av särskilda bestämmelser för den personuppgiftsbehand- ling som US Customs and Border Protection kommer att utföra en- ligt avtalet. Frågan om när en särreglering för viss personuppgiftsbehandling bör införas har behandlats i svenska lagstiftnings- sammanhang. Det har då gällt en särreglering i förhållande till per- sonuppgiftslagens regler. De slutsatser som dragits då bör, enligt ut- redningens bedömning, kunna vara vägledande även vad gäller för- hållandet mellan den kommande kompletteringslagen och en even- tuell särreglering. En grundläggande princip som uttalades i förarbetena till person- uppgiftslagen är att en särskild registerförfattning bör införas endast när det verkligen behövs särregler i förhållande till denna lag. Stats- makterna har uttalat att myndighetsregister med ett stort antal regi- strerade personer och ett särskilt känsligt innehåll ska regleras sär- skilt i lag (prop. 1997/98:44, s. 41 samt prop. 1990/91:60, s. 50 och KU 1990/91:11, s. 11). Denna princip har sedan återkommit i ett fler- tal förarbeten rörande olika registerförfattningar. Här kan nämnas SOU 2015:39, som avsåg myndighetsdatalagen, s. 92, prop. 2009/10:85, som gällde polisdatalagen, s. 65 och prop. 2014/15:148, som avsåg domstolsdatalagen, s. 22. I sistnämnda proposition beskrivs olika omständigheter som kan motivera särskild reglering av en myndighets personuppgiftsbehand- ling. Så kan vara fallet bl.a. då det finns ett behov av att möjliggöra avsteg från personuppgiftslagens krav på samtycke, att åstadkomma ett förstärkt integritetsskydd eller att i andra avseenden anpassa re- gelverket till de särskilda förhållanden som råder inom den aktuella myndighetens verksamhet (s. 22). En annan omständighet som en- ligt förarbetsuttalanden kan motivera särskilda regler är att det finns anledning att vara särskilt tydlig mot allmänheten, t.ex. i fråga om vilka uppgifter om enskilda som olika myndigheter registrerar (SOU 2001:32, s. 92 f.). Det är utredningens bedömning att behovet av en registerförfatt- ning med särbestämmelser för den personuppgiftsbehandling som utförs enligt avtalen är begränsat. Anledningen är främst att behand- lingen av personuppgifter, såsom redovisats, i samtliga fall torde krä- va den enskildes samtycke. 13.8.2En upplysningsbestämmelse om personuppgiftsbehandling enligt avtalen om amerikansk inresekontroll Avtal av det slag som är frågan om, där en stat utanför EU ges relativt långtgående befogenheter att inhämta och behandla person- uppgifter från enskilda vid myndighetsutövning, är tämligen ovanliga. De kan väcka berättigade frågor om legitimitet och rättssäkerhet. Personuppgiftsbehandlingen enligt överenskommelsen kommer dessutom, parallellt med den EU-rättsliga regleringen, att styras av amerikansk lagstiftning. Dessa omständigheter talar enligt utred- ningens mening för att det finns anledning att upplysa allmänheten om vad som generellt gäller för personuppgiftsbehandling enligt av- talet. En bestämmelse av upplysningskaraktär i den föreslagna lagen om amerikansk inresekontroll vid utresa från som anger de all- männa förutsättningarna för personuppgiftsbehandling enligt avtalen behövs därför enligt utredningens bedömning. Bestämmelsen bör ange att behandling av personuppgifter vid verksamhet enligt huvud- avtalet ska ske enligt lag. Såsom redovisats är US Customs and Border Protection att anse som behörig myndighet vid tillämpning av dataskyddsdirektivet. Myndigheten är därmed skyldig att tillämpa den svenska lagstiftning som genomför direktivet. Dataskyddsförordningen är som framgått direkt tillämplig i . Den kommande kompletteringslagen till dataskyddsförordningen kan förväntas innehålla nödvändiga utfyll- nadsregler och är tillämplig på personuppgiftsbehandling där det inte finns några särbestämmelser i en registerförfattning. Mot denna bakgrund behöver, enligt utredningens bedömning, den föreslagna bestämmelsen även innehålla en upplysning om att personuppgiftsbehandling enligt avtalet omfattas av den svenska och EU-rättsliga dataskyddsregeringen. 13.8.3En bestämmelse om krav på samtycke för att inhämta personuppgifter i vissa fall Inhämtande av personuppgifter inom kontrollverksamheten avseen- de resenärer kräver enligt artikel III.2 b i huvudavtalet samtycke. Be- stämmelsen behöver genomföras i svensk rätt genom en uttrycklig bestämmelse med detta innehåll i den föreslagna lagen om ameri- kansk inresekontroll vid utresa från . 14 Immunitet och privilegier 14.1Uppdraget i denna del I utredningens direktiv anges att tjänstemän från US Customs and Border Protection och en- ligt huvudavtalet respektive samarbetsavtalet omfattas av immunitet och privilegier. Utredningens uppdrag är att lämna förslag till den för- fattningsreglering som krävs för att säkerställa att dessa tjänstemän kommer i åtnjutande av immunitet och privilegier i den omfattning som följer av avtalen. I detta kapitel redovisar utredningen sina överväganden rörande dessa frågor. Kapitlet inleds med en redogörelse för bestämmelserna i avtalen om immunitet och privilegier, avsnitt 14.2. I därpå följande avsnitt 14.3 redogörs för relevanta bestämmelser om immunitet och privilegier i svensk rätt. Avsnitt 14.4 innehåller utredningens överväg- anden och förslag avseende genomförande av avtalens bestämmelser om immunitet och privilegier. Med immunitet menas bl.a. att en viss fysisk eller juridisk person inte kan stämmas eller åtalas. Immunitet utgör alltså ett processhin- der. För vissa personkategorier gäller full straffrättslig immunitet, medan andra enbart åtnjuter immunitet för handlingar i tjänsten. Im- munitet kan även innebära okränkbarhet för t.ex. lokaler, officiella handlingar eller korrespondens som således skyddas mot genomsök- ning, beslag, rekvisition och andra former av tvångsåtgärder. Begrep- pet privilegier står för olika förmåner, som t.ex. befrielse från skatt eller tull. 14.2Bestämmelserna om immunitet och privilegier i avtalen bestämmelser om immunitet och privilegier finns i artikel VI. Enligt punkten 1 ska inresekontrollanter inte omfattas av de svens- ka rättsliga eller administrativa myndigheternas domsrätt när det gäl- ler deras åtgärder i tjänsten enligt avtalet. Undantag gäller dock för tjänstemän som är svenska medborgare eller som var stadigvarande bosatta i innan de trätt i tjänst här. Av punkten 2 framgår att immuniteten enligt punkt 1 får upphäv- as av skriftligen. I punkten 3 finns bestämmelser om möjlighet för att, i sam- råd med , kräva att inresekontrollant som har miss- brukat sin tjänsteställning lämnar landet, eller, om kontrollanten är stadigvarande bosatt i , skiljs från sin tjänst. Regleringen inne- bär endast en rätt för att kräva att en tjänsteman under vissa omständigheter skiljs från sin anställning. Däremot sägs ingenting om vare sig vilken stats lagstiftning som ska tillämpas vid det arbets- rättsliga förfarandet eller de närmare förutsättningarna för att kunna skilja den anställde från sin tjänst. Inresekontrollanter ska enligt punkten 4 åtnjuta motsvarande pri- vilegier som medlemmar av den administrativa och tekniska personal- en vid en diplomatisk beskickning åtnjuter enligt om diplomatiska förbindelser av , fortsättningsvis benämnd . Undantag gäller även här för tjänste- män som är svenska medborgare eller som var stadigvarande bosatta i innan de trätt i tjänst här. Familjemedlemmar som ingår i inresekontrollanters hushåll ska enligt punkten 5 ha samma privilegier som familjemedlemmar som tillhör samma hushåll som medlemmar av den administrativa och tek- niska personalen vid en diplomatisk beskickning åtnjuter enligt Wien- konventionen. Undantag gäller för familjemedlemmar som är svens- ka medborgare eller som var stadigvarande bosatta i omedel- bart innan inresekontrollanten vars hushåll de tillhör trätt i tjänst här. Officiella arkiv och handlingar, inbegripet elektroniska filer och dokument, ska enligt punkten 6 åtnjuta okränkbarhet enligt Wien- konventionen. Punkten 7 innehåller bestämmelser om skyldighet för att tillhandahålla inresekontrollanter nödvändiga arbetstillstånd och iden- titetshandlingar. ska även ge inresekontrollanter och deras familjemedlemmar id-handlingar och i förekommande fall, dokumen- tation för att styrka att de är befriade från skatter och tullar i enlighet med bestämmelserna i . Familjemedlemmar som ingår i samma hushåll som inresekon- trollanter ska enligt punkten 8 ha rätt att arbeta här. De ska även vara befriade från eventuella avgifter för arbetstillstånd och studieavgifter i . I samarbetsavtalet regleras frågor om bl.a. de behöriga myndigheter- nas samarbete med varandra och standarder för säkerhetskontroll. Behörig myndighet för amerikanskt vidkommande i de frågor som regleras i samarbetsavtalet är enligt artikel I inom . Överens- kommelsen innehåller bestämmelser om immunitet och privilegier för tjänstemän vid denna myndighet och eventuella andra amerikans- ka statsanställda som kan komma att utföra arbetsuppgifter enligt samarbetsavtalet. bestämmelser om immunitet och privilegier finns i artikel XIV. Punkten A innehåller en tolkningsanvisning till bestämmelserna i överenskommelsen och dess bilagor med avseende på immunitet och privilegier. Punkten B motsvarar bestämmelsen i artikel VI.1 i huvudavtalet. Bestämmelsen i punkten C motsvarar artikel VI.2 i huvudavtalet. Punkterna D och E, slutligen, motsvarar bestämmelserna i arti- kel VI.4 respektive VI.6 i huvudavtalet. 14.2.3Den närmare innebörden av bestämmelserna Bestämmelserna i avtalen innebär i huvuddrag följande. De amerikanska tjänstemännen ska enligt artikel VI.1 i huvudav- talet respektive artikel XIV punkten B i samarbetsavtalet åtnjuta im- munitet mot rättsliga förfaranden för handlingar i tjänsten. teten begränsas alltså helt till funktionärernas tjänsteutövning, jfr artikel 37.2 i . Enligt artikel VI.4 och 5 i huvudavtalet ska inresekontrollanter och deras familjemedlemmar som tillhör deras hushåll åtnjuta samma privilegier som medlemmar av den administrativa och tekniska per- sonalen vid en utländsk beskickning har enligt . Samma regler gäller enligt artikel XIV punkten D i samarbetsavtalet även tjänstemän som utför arbetsuppgifter enligt samarbetsavtalet, dock inte deras medföljande familjemedlemmar. Begreppet familje- medlemmar är väletablerat och används såväl i , se t.ex. artikel 37, som i lagen (1976:661) om immunitet och privilegier i vissa fall, se t.ex. 2 §. En svensk definition av begreppet finns att läsa på regeringens hemsida. bestämmelser om immunitet för medlemmar av den administrativa och tekniska personalen vid en utländsk be- skickning finns i artikel 37.2 som hänvisar till de privilegier som anges i artiklarna 29–35 och 36.1 i konventionen. Genom artikel 29 tillförsäkras de personer som omfattas av tillämpningsområdet okränkbarhet till sin person. De får inte underkastas någon form av anhållande eller annat frihetsberövande, t.ex. gripande. I artikel 30 föreskrivs skydd för privatbostad. Regleringen innebär bl.a. att före- trädare för den mottagande staten inte får bereda sig tillträde till bo- staden utan den boendes medgivande. Bostaden och egendom som finns där får inte heller utsättas för t.ex. husrannsakan eller beslag. Okränkbarhet föreskrivs vidare i samma bestämmelse för handlingar, korrespondens och egendom som tillhör den som omfattas av skyd- det. Regler om straffrättlig immunitet finns i artikel 31. I artikeln föreskrivs även skydd mot exekutiva åtgärder, som t.ex. utmätning. Den administrativa och tekniska personalen är enligt samma bestäm- melse även befriad från den allmänna vittnesplikten, i svensk rätt reg- lerad genom 36 kap. 1 § första stycket . Av reglerna följer vidare att administrativ och teknisk personal inte omfattas av den mottagande statens regler om socialförsäkring och i stor utsträck- ning är befriad från skatt, tull och andra pålagor, se artiklarna 33, 34 och 36.1. Skattebefrielsen omfattar dock inte alla typer av skatter – t.ex. undantas mervärdesskatt, punktskatter och inkomstskatt från anställning i den mottagande staten. Genom artikel 35 undantas be- rörda personkategorier från personlig prestationsskyldighet, från all- män tjänsteplikt och från militära förpliktelser.