sou · H5B329 · 2017-04-05 00:00:00 — Enligt 2 kap. 20 och 21 §§ regeringsformen kan inskränkningar i detta skydd enbart göras genom lag och bara för att tillgodose ändamål som är godtag- bara i ett demokratiskt samhälle. Direktivet är inte avsett att leda till några inskränkningar i skyddet av enskildas personliga integritet utan har tvärtom till syfte att stärka det. Regleringen är ändå enligt utredningens mening av den arten att den lämpligen bör ha lagform (jfr Dataskydd vid europeiskt polissamarbete och straffrättsligt samarbete, prop. 2012/13:73, s. 58). Dessutom finns de författningsbestämmelser som styr myndigheternas behandling av personuppgifter inom direktivets tillämpningsområde huvudsak- ligen i lag. 6.1.2En generellt tillämplig men subsidiär lag Utredningens förslag: Dataskyddsdirektivet ska i huvudsak genomföras genom en ny lag som ska vara generellt tillämplig. Särregler i en annan lag eller en förordning ska dock gälla fram- för den nya lagen. Lagen ska benämnas brottsdatalagen. Skälen för utredningens förslag Dataskyddsdirektivet ska alltså genomföras genom en ny reglering i lag. Frågan är om det bör göras genom ändringar i befintlig lag- stiftning, framför allt i berörda myndigheters registerförfattningar, eller genom att det införs en helt ny lag. Den nuvarande regleringen av personuppgiftsbehandling på direktivets tillämpningsområde är komplex. Myndigheterna måste förhålla sig till flera olika författningar beroende på för vilket ända- mål personuppgifterna behandlas. Som ett exempel kan nämnas att vid uppgiftsutbyte med en annan EU-medlems- stat kan behöva tillämpa inte bara personuppgiftslagen och polis- datalagen (2010:361), utan också lagen om internationellt polisiärt samarbete eller lag. Alternativet att genomföra direktivet genom ändringar i myndigheternas registerförfattningar skulle ha den fördelen att det skulle ge myndigheterna en mer sammanhållen reglering. Det finns dock flera nackdelar med att placera den nya regle- ringen i de olika registerförfattningarna. En sådan är att register- författningarna skulle tyngas i onödan av bestämmelser som är desamma för flera av dem. En annan är att det skulle behöva införas nya registerförfattningar för de myndigheter som inte har någon sådan utan enbart tillämpar personuppgiftslagen. Eftersom myndigheterna inom direktivets tillämpningsområde antingen tillämpar personuppgiftslagen vid sidan av sin registerförfattning eller genom hänvisningar i registerförfattningen ändå tillämpar vissa bestämmelser i personuppgiftslagen, är det inget nytt för dem att förhålla sig till en ramlagstiftning som innehåller den generella regleringen. Det talar för att så långt som möjligt skapa ett gemen- samt regelverk för behandling av personuppgifter inom direktivets Det bör därför, som anges i utredningens direktiv, införas en ny ramlagstiftning för brottsbekämpning, lag- föring och straffverkställighet (dir. 2016:21 s. 7). Att den även bör gälla för upprätthållande av allmän ordning och säkerhet behandlas i avsnitt 7.1.3. Lagen bör vara subsidiär Utredningen ska enligt direktiven sträva efter principiella lösningar som ansluter till och är förenliga med gällande författningar och systematik (dir. 2016:21 s. 5 f.). Den nya ramlagen bör därför inne- hålla de bestämmelser som krävs för att genomföra direktivet och som bör vara generellt tillämpliga. Regleringen bör på samma sätt som kompletteras av registerförfattningar, där bestämmelser som är specifika för myndigheternas verksamhet finns. Ramlagen kommer att vara anpassad till skyldigheterna och kra- ven i direktivet. I utredningens uppdrag ingår att anpassa myndig- heternas registerförfattningar till ramlagen. Även andra författ- ningar som innehåller bestämmelser om personuppgiftsbehandling på ramlagens tillämpningsområde måste ses över så att de, i den mån de innehåller bestämmelser som avviker från ramlagen, inte står i strid med direktivet. Av artikel 18 framgår att det är tillåtet att i nationell rätt ha reg- ler som avviker från direktivets bestämmelser om enskildas rätt till information och korrigeringsåtgärder om personuppgifterna ingår i domstolsbeslut, rättsliga protokoll eller ärenden som behandlas i samband med brottsutredningar och straffrättsliga förfaranden. Som utvecklas i avsnitt 11.2.2 finns det således inget som hindrar att reglerna om rätt till information vid förundersökning och andra straffrättsliga förfaranden har företräde framför ramlagens bestäm- melser om information. Mot den bakgrunden bör ramlagen, på samma sätt som person- uppgiftslagen, vara subsidiär i förhållande till bestämmelser i lag eller annan författning. När personuppgiftslagen infördes övervägdes om det skulle in- föras en spärr som tydliggjorde att särregler i annan författning bara skulle gälla i den utsträckning de inte stred mot det nu gäl- lande dataskyddsdirektivet (Integritet, Offentlighet, Informations- teknik, SOU 1997:39, s. 210 f.). stannade dock för att inte föreslå någon sådan regel, eftersom man menade att det bara skulle skapa oro utan att medföra någon motsvarande nytta. Befintlig lagstiftning måste ses över och anpassas så att det inte finns bestämmelser som står i strid med direktivet. Det arbetet pågår både genom vår utredning och andra översyner. När ny eller ändrad lagstiftning på området övervägs måste det också säkerställas att det inte införs bestämmelser som står i strid med direktivet. Utredningen anser i likhet med att det inte finns behov av att föreslå någon generell spärr av det slag som diskuterades men förkastades i förarbetena till personupp- giftslagen. En delvis ändrad struktur Som framgår av avsnitt 3.2 och 3.3 gäller bl.a. polisdatalagen, kust- bevakningsdatalagen (2012:145), åklagardatalagen (2015:433) och domstolsdatalagen (2015:728) i stället för personuppgiftslagen. Dessa författningar innehåller hänvisningar till de bestämmelser i personuppgiftslagen som är tillämpliga i myndigheternas verksam- het. När personuppgiftslagen ersätts av en ny ramlag som enbart ska gälla inom direktivets tillämpningsområde går det inte att ha en systematik där registerförfattningarna gäller i stället för ramlagen, eftersom utgångspunkten är att i princip alla bestämmelser i ram- lagen kommer att vara tillämpliga i myndigheternas verksamhet. De uppräknade registerförfattningarna kommer därför att behöva an- passas till ramlagen på så sätt att de ska gälla utöver ramlagen och bara innehålla de bestämmelser som innebär undantag eller avvikel- ser från bestämmelserna i ramlagen. De registerförfattningar som gäller utöver personuppgifts- lagen måste också anpassas så att de i stället ska gälla utöver ram- lagen. En konsekvens av den ändrade strukturen är att vissa bestäm- melser som finns i registerförfattningarna kan komma att flyttas till ramlagen, om de är av den arten att de bör gälla för all verksam- het inom direktivets tillämpningsområde. Som exempel kan näm- nas regler om hur känsliga personuppgifter får behandlas (se av- snitt 9.2.4). Om det finns behov av särregler för de olika myndig- heterna när det gäller hur känsliga personuppgifter får behandlas bör de finnas kvar i myndigheternas registerförfattningar. Utred- ningen kommer att – i enlighet med direktiven för arbetet – i slut- betänkandet lämna förslag till de förändringar som behöver göras i myndigheternas registerförfattningar som en följd av ramlagen. Ramlagen kommer som framgår av avsnitt 7.1 att tillämpas när be- höriga myndigheter behandlar personuppgifter inom ramen för brottsbekämpning, lagföring och straffverkställighet och för att upprätthålla allmän ordning och säkerhet. Den kommer att tilläm- pas ofta och det kommer i stor utsträckning att hänvisas till den. Lagen bör därför ha ett så enkelt och tydligt namn som möjligt. Ett namn som skulle kunna återspegla lagens huvudsakliga inne- håll men ändå är förhållandevis kort är lagen om behandling av per- sonuppgifter vid brottsbekämpning, lagföring och straffverkställig- het. Namnet har dock ingen naturlig kortform eller förkortning som kan användas vid hänvisningar till den. Lagrådet kritiserade dessutom ett liknande förslag (lag om behandling av personupp- gifter i polisens brottsbekämpande verksamhet) när den nu gällan- de polisdatalagen granskades. Lagrådet ansåg att rubriken var alltför intetsägande (Integritet och effektivitet i polisens brottsbekämpan- de verksamhet, prop. 2009/10:85, s. 66 och 519). I förslaget till skattebrottsdatalag motiveras lagens namn med hänvisning till nämnda lagrådsyttrande (prop. 2016/17:89 s. 48). De registerförfattningar som har införts på direktivets tillämp- ningsområde har alla ordet datalag i namnet, t.ex. polisdatalagen, åklagardatalagen och domstolsdatalagen. Även Tull- verkets och nya registerförfattningar föreslås inne- hålla ordet datalag. Ett alternativ är därför att benämna ramlagen brottsdatalagen. Det är ett kort namn som det är lätt att hänvisa till och som skulle kunna förkortas BDL. Nackdelen med benämningen brottsdatalag är att det inte fram- går att lagen gäller för behandling av personuppgifter vid straff- verkställighet. Straffverkställighet handlar dock om att verkställa en påföljd för brott eller särskild rättsverkan av brott. Den tydliga kopplingen mellan straffverkställighet och brott gör att namnet inte är missvisande. I avsnitt 7.1.3 föreslås att lagen även ska om- fatta behandling av personuppgifter i syfte att upprätthålla allmän ordning och säkerhet. Det täcks inte av benämningen brottsdatalag. Fördelarna med ett kort namn som det är lätt att hänvisa till upp- väger dock nackdelen att det inte uttömmande anger lagens till- lämpningsområde. Lagen bör därför benämnas brottsdatalagen. Benämningen brottsdatalag aktualiserar frågan hur myndighe- ternas registerförfattningar bör benämnas. De kommer även fort- sättningsvis att komplettera ramlagen och innehålla de mer precise- rade eller avvikande regler som behövs för respektive myndighets verksamhet. Registerförfattningarna benämns polisdatalag, kustbevakningsdatalag, åklagardatalag etc. Kustbevakningsdatalagen och domstolsdatalagen gäller i all verksamhet som inte är administrativ hos respektive myndighet. När dataskyddsförordningen börjar gälla finns det skäl att dela upp sådana registerförfattningar som både reglerar personuppgiftsbe- handling som styrs av ramlagen och behandling för vilken data- skyddsförordningen gäller. För de myndigheter som redan har en sådan uppdelning av regelverken för personuppgiftsbehandling, och , innebär uppdelningen på regelverk däremot ingen förändring. Det aktualiserar frågan hur registerför- fattningarna bör benämnas . Ett alternativ är att använda myndighetsnamnet tillsammans med brottsdatalag för de register- författningar som kompletterar ramlagen, t.ex. brottsdatalag, brottsdatalag och brottsdatalag. En alternativ benämning på ramlagen skulle då kunna vara allmän brottsdatalag för att skilja den från myndighetsförfatt- ningarna. Eftersom frågan väckts i ett sent skede av utrednings- arbetet läggs inget sådant förslag. Lagen bör kompletteras av en förordning Direktivet innehåller i vissa artiklar mycket detaljerade regler i fråga om exempelvis dokumentations- och underrättelseskyldighet. Sådana detaljregler bör inte tas in i lagen utan regleras i förordning. För att genomföra direktivet i sin helhet är det enligt utredningens mening nödvändigt att komplettera brottsdatalagen med en förord- Utredningen lämnar därför även förslag till hur en sådan för- ordning, benämnd brottsdataförordning, bör utformas. Utredningens förslag: Syftet med ramlagen ska vara dels att skydda fysiska personers grundläggande fri- och rättigheter i samband med behandling av personuppgifter, dels att säkerställa att behöriga myndigheter kan behandla och utbyta personupp- gifter med varandra på ett ändamålsenligt sätt. Skälen för utredningens förslag: Av artikel 1.2 framgår att regle- ringen har dubbla syften. Den ska skydda fysiska personers grund- läggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. ska regleringen säkerställa att behöriga myndigheters utbyte av personuppgifter inom unionen, när sådant utbyte krävs enligt unionsrätten eller nationell rätt, varken begrän- sas eller förbjuds av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter. I registerförfattningar förekommer ibland bestämmelser som anger lagens övergripande syfte. I exempelvis 1 kap. 1 § polisdata- lagen anges det övergripande syftet med lagen vara att ge polisen möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin brottsbekämpande verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Bestäm- melser om syftet med en reglering saknar normalt egentligt mate- riellt innehåll. Man kan därför fråga sig om det behövs en sådan bestämmelse i ramlagen. Det har emellertid inte enbart en symbo- lisk eller informativ betydelse att uttryckligen slå fast lagens syfte. Att en lags syfte uttryckligen anges kan få relevans i rättstillämp- ningen genom att det ger vägledning för tolkningen av de materi- ella bestämmelserna i lagen (se Myndighetsdatalag, SOU 2015:39, s. 220). Det finns därför skäl att införa en bestämmelse om lagens syfte så att det tydligt framgår att regleringen har dubbla syften. Att fysiska personers grundläggande fri- och rättigheter ska skyddas vid behandling av personuppgifter är en central målsättning för regleringen. är vissa intrång i den personliga integriteten nödvändiga för att myndigheterna ska kunna utföra sina uppgifter och för att brottsoffer ska kunna få sin rätt tillgodosedd. Olika intressen ställs alltså mot varandra. En brottsutredning eller brott- målsrättegång innehåller ofta personuppgifter om både brottsoffer, misstänkta, vittnen och tjänstemän som deltar i verksamheten. Regleringen bör därför ge uttryck för en väl avvägd balans mellan, å ena sidan, skyddet för den personliga integriteten, och, å andra sidan, samhällets behov av att myndigheter kan behandla person- uppgifter i den verksamhet som omfattas av direktivets tillämp- ningsområde. En bestämmelse som föreskriver att lagens syfte är att skydda fysiska personers grundläggande fri- och rättigheter vid behandling av personuppgifter och att säkerställa att be- höriga myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt tydliggör den dubbla målsätt- ningen. Formuleringen avviker något från hur målsättningen anges i artikel 1.2. Enligt direktivet ska det säkerställas att behöriga myn- digheters utbyte av personuppgifter inom unionen inte begränsas eller förbjuds med hänsyn till skyddet för enskildas personliga in- tegritet. En grundläggande förutsättning för att behöriga myndig- heter ska kunna utbyta personuppgifter är att de får behandla så- dana uppgifter. Enligt utredningens mening bör ramlagen därför inte bara syfta till att de behöriga myndigheterna ska kunna utbyta personuppgifter med varandra, utan också till att de kan behandla personuppgifter på ett ändamålsenligt sätt. 6.1.42013 års lag bör upphävas Utredningens förslag: Lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt sam- arbete inom Europeiska unionen och hänvisningar till den lagen ska upphävas. Skälen för utredningens förslag: Enligt artikel 59 ska dataskydds- rambeslutet upphöra att gälla som medlemsstaterna ska ha införlivat direktivet i nationell rätt. Rambeslutet bygger i huvudsak på det nu gällande dataskydds- direktivet. Eftersom i princip genomförde det direktivet även inom de sektorer som rambeslutet reglerar fanns det redan i stor utsträckning bestämmelser som motsvarade artiklarna i rambe- slutet i personuppgiftslagen och i myndigheternas registerförfatt- ningar när rambeslutet skulle genomföras. De återstående delarna av rambeslutet genomfördes lag. Lagen tillämpas framför allt när uppgifter överförs från eller till en annan EU-medlemsstat, , , eller i verksamheter som har till syfte att förebygga, förhindra eller upptäcka brottslig verksam- het, utreda eller beivra brott eller verkställa straffrättsliga påföljder. I den mån motsvarande bestämmelser behövs för att genomföra direktivet bör dessa tas in i ramlagen så att regleringen blir så sam- manhållen som möjligt. Därför bör lag upphävas. Därmed bör också alla de bestämmelser som hänvisar till den lagen upphä- vas. Sådana hänvisningar finns dels i myndigheternas registerför- fattningar, dels i vissa författningar som reglerar enskilda register eller annan personuppgiftsbehandling inom rambeslutets tillämp- ningsområde. Hänvisningar i myndigheternas registerförfattningar kommer att ses över i slutbetänkandet, i samband med övriga an- passningar av dem, medan hänvisningar i övrigt behandlas i detta betänkande. Utredningens förslag: Vissa uttryck som används i ramlagen ska definieras. Skälen för utredningens förslag Definitionerna bör ligga så nära direktivets definitioner som möjligt I artikel 3 definieras vissa uttryck som är av grundläggande bety- delse för förståelsen av bestämmelserna i direktivet. Definitionerna överensstämmer i allt väsentligt med definitionerna i artikel 4 i dataskyddsförordningen. Som framgår av avsnitt 7.1.5 kommer de myndigheter som är behöriga i ramlagens mening att också tillämpa förordningen i delar av sin verksamhet. För att underlätta tillämp- ningen finns det därför skäl att i så stor utsträckning som möjligt använda direktivets terminologi så att definitionerna i ramlagen och förordningen blir så lika som möjligt. Det innebär att motsvarande definitioner i personuppgiftslagen inte bör användas i den mån de avviker från direktivets terminologi, trots att de har tillämpats och stämmer bättre överens med terminologin i svensk lagstiftning. I artikel 3.3 finns en definition av begränsning av behandling. Som framgår av avsnitt 11.4.3 stämmer direktivets definition inte överens med vad som får antas vara avsikten med åtgärden. En defi- nition i enlighet med direktivets lydelse blir därför missvisande och en definition i enlighet med syftet blir innehållslös. Begränsning av behandling bör därför inte definieras i ramlagen. Både det nu gällande och det nya dataskyddsdirektivet innehål- ler en definition av register. När det nu gällande dataskyddsdirekti- vet genomfördes ville man komma bort från registerbegreppet som redan då ansågs otidsenligt (Personuppgiftslag, prop. 1997/98:44, s. 39). Någon definition av register infördes därför inte i person- uppgiftslagen. Definitionen i direktivet användes i stället för att avgränsa lagens tillämpningsområde genom att det i 5 § anges att lagen även gäller för behandling av personuppgifter om uppgifterna ingår i eller är avsedda att ingå i en strukturerad sam- ling av personuppgifter som är tillgängliga för sökning eller sam- manställning enligt särskilda kriterier. Som framgår av avsnitt 7.1.6 föreslår utredningen att tillämpningsområdet för ramlagen anges på samma sätt. Ordet register förekommer inte i den föreslagna lagen. Någon definition behövs därför inte. I direktivet definieras även profilering och pseudonymisering. Profilering nämns i artikel 11 som ett exempel på beslut som grun- das enbart på automatiserad behandling. I artikel 24.1 e anges att det register som den personuppgiftsansvarige ska föra över person- uppgiftsbehandling i tillämpliga fall ska innehålla uppgifter om användningen av profilering. Pseudonymisering nämns i artikel 20 som ett exempel på säkerhetsåtgärder som bör vidtas. Utredningen föreslår inte att termerna ska användas i ramlagen och några defi- nitioner av dem behövs därför inte. Nedan följer en redogörelse för de definitioner som bör finnas i ramlagen. Behandling definieras i artikel 3.2. Direktivets definition skiljer sig något i fråga om uppräkningen av exempel på behandling jämfört med det nu gällande dataskyddsdirektivet och 3 § personuppgifts- lagen. Definitionen i ramlagen bör nära ansluta till direktivets text. Behandling av personuppgifter bör definieras som en åtgärd eller kombination av åtgärder som vidtas i fråga om personuppgif- ter eller uppsättningar av personuppgifter, oavsett om det görs automatiserat eller inte, t.ex. insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läs- ning, användning, utlämnande, spridning eller tillhandahållande på annat sätt, justering, sammanföring, begränsning, radering eller för- störing. Att det bör införas en definition av uttrycket behörig myndighet och hur den bör utformas framgår av avsnitt 7.1.4. Varken det nu gällande dataskyddsdirektivet eller personuppgifts- lagen innehåller någon definition av biometriska uppgifter. Inte heller i andra författningar finns det någon sådan definition, men uttrycket biometriska data används i bl.a. passlagen (1978:302) och utlänningslagen (2005:716). Enligt artikel 3.13 avses med biomet- riska uppgifter personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräf- tar unik identifiering av personen, som ansiktsbilder eller finger- avtrycksuppgifter. Biometriska uppgifter räknas upp i artikel 10 som en särskild kategori av personuppgifter som bara får behandlas under vissa förutsättningar (se avsnitt 9.2.4). Definitionen av vad som avses med biometriska uppgifter får därmed betydelse för i vilken utsträckning sådana uppgifter får behandlas. Biometri är ett samlingsnamn för sådan automatiserad teknik som syftar till att identifiera en person eller avgöra om en påstådd identitet är riktig. Den baseras på mätning av fysiska karaktärsdrag hos den som ska identifieras (jfr Fingeravtryck i pass, prop. 2008/09:132, s. 6 f.). När det gäller pass är det framför allt mönster av fingeravtryck, ansiktsgeometri och ögats iris som används, men även regnbågshinna, näthinna, röst, hand, blodkärl, dna eller gång går att använda. Gemensamt för teknikerna är att kroppen mäts elektroniskt. Biometriska uppgifter är den information som kan tas fram ur ett biometriskt underlag. Dessa uppgifter kan användas för att skapa en referensmall eller för att jämföra med tidigare lagrade referensmallar i syfte att kontrollera en persons identitet. I direktivets definition av biometriska uppgifter anges ansikts- bilder som ett exempel på sådana uppgifter. Det kan leda tanken till att vanliga fotografier och filmer skulle omfattas av definitionen. Om de inte bearbetas tekniskt genom en särskild metod som syftar till identifiering faller de utanför definitionen. Om de däremot be- arbetas i exempelvis ett ansiktsigenkänningsprogram så att det går att identifiera personer på bilden eller filmen omfattas de av defi- nitionen. Ramlagen bör innehålla en definition av uttrycket biometriska uppgifter. Till skillnad från direktivets definition bör den dock inte innehålla några exempel på sådana uppgifter, eftersom det kan leda till felaktiga slutsatser om vad som omfattas. Biometriska uppgifter bör definieras som personuppgifter som rör en persons fysiska, fysiologiska eller beteendemässiga kännetecken, som tagits fram genom särskild teknisk behandling och som möjliggör eller be- kräftar unik identifiering av personen i fråga. Dataskyddsombud nämns i flera artiklar men är inte definierat. I avsnitt 10.5.1 diskuterar utredningen behovet av en definition och hur den bör utformas. Genetiska uppgifter definieras inte i det nu gällande dataskydds- direktivet eller i personuppgiftslagen. Med genetiska uppgifter av- ses enligt artikel 3.12 alla personuppgifter som rör nedärvda eller förvärvade genetiska kännetecken för en fysisk person, vilka ger unik information om personens fysiologi eller hälsa och som fram- för allt härrör från en analys av ett biologiskt prov från personen i fråga. I skäl 23 anges att det är kromosom-, dna- och rna-analyser eller andra analyser som gör det möjligt att inhämta sådan infor- mation som avses.