sou · H5B358 · 2017-06-22 00:00:00 — Därefter kommer vissa gränsdragningsfrågor i anledning av regler- ingen att beröras, avsnitt 13.4. I avsnitt 13.5 kommer frågan om data- skyddsdirektivets tillämplighet på personuppgiftsbehandling enligt avtalen att behandlas. I avsnitt 13.6 behandlas frågan om dataskydds- förordningens tillämplighet på personuppgiftsbehandlingen enligt avtalen. I avsnitt 13.7 behandlas frågor rättslig grund för behandling av personuppgifter enligt dataskyddsförordningen. Frågan om vilken nationell reglering av personuppgiftsbehandlingen som avtalen krä- ver, och hur denna reglering ska tillgodose krav, behand- las i det avslutande avsnittet 13.8. 13.2Bestämmelserna om personuppgiftsbehandling i avtalen om amerikansk inresekontroll Bestämmelser som avser inhämtande och behandling av personupp- gifter inom ramen för kontrollverksamheten finns i huvudavtalet om amerikansk inresekontroll. Enligt artikel IV.1 b i huvudavtalet ska inresekontrollanter, i syfte att bevara kontrollområdets integritet, ha rätt att begära att en rese- när lämnar de uppgifter som behöver för att genom- föra avtalet. Enligt artikel III.2 b får inresekontrollanterna endast inhämta personuppgifter från resenärer med deras samtycke. I sam- ma artikel anges vidare att följden av att en resenär inte tillhandahål- ler de uppgifter som behövs för att genomföra avtalet är att han eller hon får nekas inresa i . I syfte att bevara kontrollområdets integritet ska inresekontrol- lanterna enligt artikel IV.1 d kunna inhämta biometriska och biogra- fiska uppgifter från alla personer, med undantag för tjänstemän vid svenska brottsbekämpande myndigheter, som begär tillträde till kon- trollområdet för andra ändamål än för resa till . Som exempel nämns personer som behöver tillträde till kontrollområdet i sin tjänsteutövning. Inresekontrollanter ges i artikeln rätt att under- söka dessa personer och bevilja eller neka dem tillträde till kontroll- området. Artikel IV.2 innehåller regler om behandling av inhämtade per- sonuppgifter. ska enligt bestämmelsen se till att de uppgifter som samlas in under inresekontrollen behandlas i enlighet med gällande amerikanska lagar och principer, som bl.a. syftar till att skydda personuppgifter mot obehörig åtkomst, användning eller ut- lämning. Klagomål mot personuppgiftsbehandlingen ska kunna an- föras och prövas enligt lagar och förordningar och bli föremål för oberoende granskning och tillsyn av ansvariga ame- rikanska organ, inbegripet sådana som ansvarar för skydd av integri- tet och civila friheter. DHS Traveler Redress Inquiry Program anges som exempel på sådan amerikansk reglering som ska vara tillämplig. DHS är ett regelverk genom vilket enskilda personer som anser att de har försenats eller hindrats från att gå ombord på ett flygplan, på grund av att de felaktigt identifierats som ett hot, ska kunna söka prövning inom ramen för ett administrativt förfarande. Vidare ska tillsammans med regelbundet gå igenom gällande lagar och principer om behandling av per- sonuppgifter. Avtalen innehåller inte några bestämmelser om överföring eller annat utbyte av personuppgifter mellan svenska och amerikanska myndigheter. Det ligger således utanför utredningens uppdrag att behandla frågor om överföring av personuppgifter mellan och . För sådant informationsutbyte finns regler bl.a. inom ramen för och i bilaterala överenskommelser mellan och . Som exempel kan nämnas avtalet om ömsesidig rättslig hjälp mellan och och avtalet om ett förstärkt samarbete för att förebygga och bekämpa brottslighet . Särskilda bestämmelser om överföring av samlingar av flygpassageraruppgifter till tredjeländer, alltså länder utanför EU, finns i och rådets direktiv (EU) 2016/681 av om användning av passagerarupp- giftssamlingar, s.k. PNR-uppgifter, för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet, det s.k. PNR-direktivet. Direktivet ska genomföras i svensk rätt . Den utredning som regeringen tillsatt för att lämna förslag om hur direktivet ska genomföras i svensk rätt kommer att redovisa sina förslag . EU och har även träffat avtal om överföring av flygpassageraruppgifter, se EUT L 298, , s. 27 och 29 och EUT L 204, , s. 18. antog och rådet och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, den s.k. dataskyddsförord- Förordningen, som ska börja tillämpas , kom- mer att ersätta den svenska personuppgiftslagen (1998:204). Från dataskyddsförordningens tillämpningsområde undantas bl.a. personuppgiftsbehandling som utförs av behöriga myndigheter i syf- te att förebygga, utreda, upptäcka eller lagföra brott eller verkställa straff, inkluderande skydd mot samt förebyggande av hot mot den all- männa säkerheten. Den personuppgiftsbehandling som görs för des- sa syften faller i stället under och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personupp- gifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter, det s.k. dataskyddsdirektivet. Från både förordningens och direktivets tillämpningsområden undantas personuppgiftsbehandling i verksamhet som inte omfattas av unionsrätten, däribland området nationell säkerhet. Regeringen beslutade respektive om två utredningsdirektiv med anledning av de nya rättsakterna. En särskild utredare har fått i uppdrag att föreslå de anpassningar och kompletterande författningsbestämmelser på generell nivå som dataskyddsförordningen ger anledning till (Ju 2016:04, dir. 2016:15). Utredaren skulle bl. a. lämna förslag till upphävande av personupp- giftsregleringen och till författningsbestämmelser som kompletterar dataskyddsförordningen, utreda om det finns behov av generella be- stämmelser för personuppgiftsbehandling utanför tillämp- ningsområde samt analysera vilka bestämmelser som behövs om bland annat administrativa sanktionsavgifter och behandling av käns- liga personuppgifter. Vissa delar av uppdraget rör anpassningar med anledning av förordningens bestämmelser om tillsynsmyndigheter. Utredningen, som har antagit namnet , har redovisat sitt uppdrag , se SOU 2017:39. Eftersom nämnda uppdrag inte omfattar att se över eller lämna förslag till förändringar av sådan sektorspecifik reglering om behand- ling av personuppgifter som finns bl.a. i de särskilda registerförfatt- ningarna, har ett antal särskilda utredningar tillsatts för att undersö- ka vilka konsekvenser dataskyddsförordningen medför inom olika verksamhetsområden. Här kan nämnas t.ex. Socialdataskyddsutred- ningen, S 2016:05, dir. 2016:52, Utredningen om dataskydd vid rätts- medicinalverket, Ju 2016:18, dir. 2016:75, och Forskningsdatautred- ningen, U 2016:04, dir. 2016:65. En särskild utredare har fått i uppdrag att föreslå hur det nya data- skyddsdirektivet ska genomföras i svensk rätt (Ju 2016:06 dir. 2016:21). Utredaren ska bland annat analysera hur svensk rätt förhåller sig till direktivet och lämna förslag till en ny ramlagstiftning med bestäm- melser om skydd för personuppgifter inom direktivets tillämpnings- område. Utredningen har lämnat en delredovisning av uppdraget i den del det rör dels en ny ramlagstiftning på det brotts- bekämpande området, dels tillsyn inom direktivets tillämpningsom- råde, se SOU 2017:29. Uppdraget ska slutredovisas senast den 30 sep- tember 2017. Utredningen om 2016 års dataskyddsdirektiv har i delbetänkandet SOU 2017:29 gjort en grundlig analys av olika gränsdragningsfrågor vad gäller dataskyddsdirektivets tillämpningsområde (s. 159 ff.). I föl- jande avsnitt lämnas en kort redogörelse för utredningens slutsatser avseende de gränsdragningar som är av relevans för personuppgifts- behandling enligt avtalen om amerikansk inresekontroll. 13.4.1Verksamhet som syftar till att upprätthålla allmän ordning och säkerhet I artikel 1.1 anges att direktivet omfattar personuppgiftsbehandling i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt före- bygga och förhindra hot mot den allmänna säkerheten. Som anges i delbetänkandet är en av huvud- uppgifter enligt 2 § polislagen (1984:387) att förebygga, förhindra och upptäcka brottslig verksamhet och andra störningar av den all- männa ordningen eller säkerheten och att övervaka den allmänna ord- ningen och säkerheten och ingripa när störningar har inträffat. Det anges vidare att även andra myndigheter, exempelvis Kustbevakning- en, har vissa ordningshållande arbetsuppgifter. Utredingen har mot denna bakgrund gjort bedömningen att direktivet omfattar behand- ling av personuppgifter som utförs i syfte att upprätthålla allmän ordning och säkerhet, se s. 165. I delbetänkandet behandlar utredningen om 2016 års dataskydds- direktiv även frågor om gränsdragning mellan kontrollverksamhet och brottsbekämpning, se s. 198 ff. Efter en uppräkning av myndigheter som, vid sidan av brottsbe- kämpning även sysslar med kontrollverksamhet, konstateras att det i kontrollverksamhet är vanligt med regler som tvingar den kontrolle- rade att lämna korrekta och fullständiga uppgifter. Det anges vidare att det är vanligt att den kontrollerade åläggs att lämna över hand- lingar eller bereda kontrollanten tillträde till exempelvis fordon och lokaler och att skyldigheterna kan vara sanktionerade på olika sätt. En person som är misstänkt för brott får däremot, som utredningen påpekar, aldrig tvingas att bidra till utredning eller bevisning, efter- som han eller hon därmed riskerar att belasta sig själv på ett sätt som strider mot rätten till en rättvis rättegång enligt artikel 6.1 i Europa- konventionen. Enligt vad som uttalas i delbetänkandet är gränsen mellan kontrollverksamhet och brottsbekämpning av stor betydelse, eftersom skyldigheten för den enskilde att medverka skiljer sig kraf- tigt åt beroende på om det är fråga om kontrollverksamhet eller brottsutredning. Vad gäller den kontrollverksamhet som vissa av de myndigheter som har brottsbekämpande uppgifter utför, t.ex. den gränskontroll, tullkontroll eller utlänningskontroll som utförs av polisen eller Tull- verket, har utredningen gjort bedömningen att sådan kontrollverk- samhet ligger utanför direktivets tillämpningsområde. I delbetänkandet konstateras att kontrollverksamhet, t.ex. skattekontroll eller tullkontroll, visserligen leder till att brott i inte ringa utsträckning upptäcks eller förhindras. Avgörande för gränsdragningen är dock, enligt utredningens bedömning, syftet med verksamheten. Kontroll är i första hand till för att stödja författnings- enlig tillämpning av lagstiftningen, oavsett vilket område det är fråga om, och att upptäcka olika avvikelser. Det skulle enligt utredningens uppfattning föra alldeles för långt att betrakta all offentligrättslig kon- trollverksamhet som ett sätt att förebygga brott. Det finns dock, enligt vad som uttalas i delbetänkandet, situation- er där det kan vara svårt att skilja kontrolluppgifterna från brottsbe- kämpningen. En verksamhet som omfattar både kontroll och brotts- bekämpning, t.ex. gränskontroll, kan gradvis övergå från kontroll till brottsmisstanke. Omvänt kan en brottsmisstanke visa sig vara ogrun- dad, men ge underlag för kontrollåtgärder. Kontrollbehovet kan be- stå även efter det att en brottsmisstanke uppkommit, t.ex. om det är fråga om ett brott som inte primärt ska utredas av den kontroller- ande myndigheten. Vid en kontroll kan, när brottsmisstanke upp- kommit, föremål tas i beslag och användas som bevismedel i en brotts- utredning. Det finns inget formellt hinder mot att de iakttagelser som gjorts vid en kontroll och att de handlingar eller föremål som säkrats senare läggs till grund för en förundersökning. Det är emel- lertid viktigt att det görs klart för den kontrollerade om så blir fallet. En praktiskt viktig fråga som tas upp i delbetänkandet är hur man ska se på de situationer där det uppstår misstanke om brott i en be- hörig myndighet inom ramen för kontrollverksamhet eller annan verksamhet utanför ramlagens tillämpningsområde. Som redovisas i delbetänkandet är det gängse förfarandet i sådana fall att det upprät- tas en brottsanmälan som överlämnas till någon som är behörig att inleda förundersökning och utreda brottet. Enligt den bedömning som görs i delbetänkandet ligger behandlingen av personuppgifter vid upprättandet av en sådan brottsanmälan utanför direktivets till- lämpningsområde. I delbetänkandet tas även upp frågan om gränsdragning mellan all- män övervakning och brottsbekämpning, s. 203 f. Utredningen kon- staterar att den allmänna övervakning som vissa brottsbekämpande myndigheter, t.ex. polisen och , utför inte har så konkret utformning eller tydligt brottsbekämpande syfte att behand- lingen av personuppgifter inom ramen för en sådan verksamhet om- fattas av direktivet. 13.5Dataskyddsdirektivets tillämpning på personuppgiftsbehandling enligt avtalen om amerikansk inresekontroll Direktivet ska enligt artikel 2.1 tillämpas på behandling av person- uppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrätts- liga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Tillämpningsområdet utgår såle- des från dels syftet med behandlingen, dels om det är en behörig myndighet som utför den. Personuppgiftsbehandling som ligger in- om direktivets tillämpningsområde är undantagen från dataskydds- förordningens tillämpningsområde. I artikel 3.7 i direktivet definieras behörig myndighet som en of- fentlig myndighet som har behörighet att förebygga, förhindra, ut- reda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive skydda mot eller förebygga hot mot den allmänna säker- heten eller ett annat organ eller annan enhet som har anförtrotts myndighetsutövning för något av dessa syften. Är det fråga om över- låtelse av myndighetsutövning för ett sådant syfte som anges i direk- tivet, ska direktivet tillämpas på behandlingen av personuppgifter inom ramen för den överlåtna uppgiften. Den som har en sådan upp- gift anses nämligen vara behörig myndighet i direktivets mening. Utredningens bedömning: Personuppgiftsbehandling enligt av- talen om amerikansk inresekontroll som utförs av behörig myn- dighet och sker på ett automatiserat eller systematiserat sätt i syfte att upprätthålla allmän ordning och säkerhet inom kontroll- området omfattas av dataskyddsdirektivets tillämpningsområde. Den amerikanska myndigheten Pro- tection är att anse som behörig myndighet vid tillämpning av datakyddsdirektivet. För att dataskyddsdirektivet ska vara tillämpligt ska det vara frågan om 2.som sker på ett automatiserat eller systematiserat sätt 3.i ett syfte som omfattas av direktivets tillämpningsområde och som 4.utförs av en behörig myndighet. Den huvudsakliga verksamheten i anledning av avtalen utgörs av kontrollverksamhet, närmare bestämt gräns- och tullkontroll. En annan del av de uppgifter som överlåts till inresekontrollanter enligt avtalen är att hänföra till allmän övervakningsverksamhet. Kontroll- och övervakningsverksamhet ligger, som utredningen om 2016 års dataskyddsdirektiv konstaterat i sitt delbetänkande, utanför direkti- vets tillämpningsområde. Inresekontrollanter ges, som redogjorts för i avsnitt 7.4.6, inga egentliga brottsbekämpande befogenheter. Som framgått i av- snitt 7.4.2 förekommer dock inslag i de överlåtna uppgifterna som är att hänföra till att upprätthålla allmän ordning och säkerhet. Ett fler- tal av dessa uppgifter innefattar myndighetsutövning. Som exempel på sådana befogenheter kan nämnas kvarhållande av brottsmisstänk- ta eller kroppsvisitation av personer i anledning av misstanke om brott. I och med att amerikanska US Customs and Border Protection överlåts uppgifter som innefattar myndighetsutövning för ett sådant syfte som anges i direktivet, är myndigheten att anse som en behörig myndighet i direktivets mening, se artikel 3.7 b i dataskyddsdirek- tivet. Behandling av personuppgifter kan komma att aktualiseras t.ex. i anledning av att inresekontrollanter kroppsvisiterar en brottsmiss- tänkt person. Enligt utredningens förslag ska en sådan åtgärd under vissa förutsättningar dokumenteras, se avsnitt 11.5.8. Personupp- giftsbehandling i ett sådant fall som sker på ett automatiserat eller systematiserat sätt kommer att omfattas av direktivets tillämpnings- område. Det bör emellertid åter poängteras att dataskyddsdirektivet torde komma att aktualiseras enbart i ett fåtal situationer i anledning av personuppgiftsbehandling som inresekontrollanter kommer att utföra enligt avtalen om amerikansk inresekontroll. 13.6Dataskyddsförordningens tillämpning på personuppgiftsbehandling enligt avtalen om amerikansk inresekontroll I artikel 3 i förordningen anges förordningens territoriella tillämp- ningsområde. Enligt punkten 1 ska förordningen tillämpas på behand- lingen av personuppgifter inom ramen för den verksamhet som be- drivs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som är etablerad i unionen, oavsett om behandlingen utförs i union- en eller inte. Av punkten 2 följer att förordningen ska tillämpas på behandling av personuppgifter som avser registrerade som befinner sig i unionen och som utförs av en personuppgiftsansvarig eller ett personuppgifts- biträde som inte är etablerad i unionen, om behandlingen har an- knytning till a)utbjudande av varor eller tjänster till sådana registrerade i unio- nen, oavsett om dessa varor eller tjänster erbjuds kostnadsfritt eller inte, eller b)övervakning av deras beteende så länge beteendet sker inom unio- nen. Enligt punkten 3 i artikel 3 gäller förordningen även för behandling av personuppgifter som utförs av en personuppgiftsansvarig som inte är etablerad i unionen, men på en plats där en medlemsstats nationella rätt gäller enligt folkrätten. Vad som avses med begreppet etablerad framgår inte närmare av förordningen. Begreppet har dock en EU-gemensam innebörd. Det definieras i punkten 19 i ingressen till Europaparla- mentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av person- uppgifter och om det fria flödet av sådana uppgifter. Där anges att med begreppet etablering avses ”en effektiv och faktisk verksamhet med hjälp av en stabil struktur”. dataskyddsdirektiv har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen. I doktrinen anges att begreppet etablering omfattar all verklig och faktisk verksamhet, även om den är ytterst liten, som utövas med hjälp av en stabil struktur (, , , , Per- sonuppgiftslagen, kommentaren till 4 §, Zeteo, version den 15 sep- tember 2016). I ett yttrande 2006 angående frågor kring folkräkning av tredjelandsmedborgare vid en ambassad i har Datainspek- tionen ansett det vara tveksamt om en utländsk ambassad i kan anses etablerad här, yttrande , dnr. Det kun- de emellertid inte uteslutas att den utländska ambassaden ändå skulle omfattas av personuppgiftslagen på annan grund än etablering här i landet. Förordningens materiella tillämpningsområde framgår av artikel 2. Enligt punkten 1 i artikeln ska förordningen tillämpas på såväl auto- matisk behandling av personuppgifter som annan behandling där uppgifterna ingår i eller kommer att ingå i ett register. Utredningens bedömning: Personuppgiftsbehandling som inrese- kontrollanter kommer att utföra i med stöd av avtalet om amerikansk inresekontroll som sker i annat syfte än att upprätt- hålla allmän ordning och säkerhet omfattas av dataskyddsförord- ningens tillämpningsområde. Vad gäller det territoriella tillämpningsområdet för direktivet kan in- ledningsvis följande konstateras. US Customs and Border Protection är en amerikansk myndighet som enligt avtalet kommer att utöva faktisk verksamhet på svenskt territorium. Frågan om huruvida verk- samheten kommer att utövas med hjälp av en stabil struktur i eller om verksamhetsstyrningen i stället kommer att utövas från är mera svårbedömd. Till skillnad från ambassader, som inrättas på diplomatisk väg, vilar inrättandet av förfarandet med amerikansk inresekontroll på svensk mark på en bilateral interna- tionell överenskommelse. Frågan om inhämtande av personuppgifter är uttryckligen reglerad i avtalet. Inresekontrollen styrs dessutom av såväl svensk som amerikansk lagstiftning. Dessa omständigheter talar enligt utredningens mening med styr- ka för att den verksamhet som den amerikanska myndigheten Protection kommer att utöva i är att anse som etablerad här i landet i den mening som avses i artikel 3.1. Skulle frågan ändå besvaras nekande, torde dock den personupp- giftsbehandling som US Customs and Border Protection kommer att utföra ändå omfattas av förordningens tillämpningsområde enligt andra punkten b) i artikel 3. Personuppgiftsbehandlingen kan näm- ligen sägas ha anknytning till övervakning av resenärers och andra personers beteende på svenskt territorium. Som framgått tidigare kommer US Customs and Border Protec- tion att behandla personuppgifter som inhämtas vid inresekontrollen enligt amerikansk lag. I avtalet anges inte närmare om behandlingen kommer att ske automatiskt eller om det i stället blir fråga om manu- ell behandling där uppgifterna kommer att ingå i register. Kraven för att en behandling ska anses vara automatiserad är tämligen låga. Så snart en personuppgift har lagts in i en dator eller motsvarande utrust- ning är det som regel fråga om en automatiserad behandling. Med hänsyn till detta kan det enligt utredningens bedömning med fog an- ses att det är fråga om en automatiserad behandling då personupp- gifter inhämtas och hanteras enligt avtalet om amerikansk inresekon- troll. Det sagda innebär att den personuppgiftsbehandling som inrese- kontrollanter kommer att utföra i med stöd av avtalet om amerikansk inresekontroll och som inte sker i syfte att upprätthålla allmän ordning och säkerhet kommer att omfattas av dataskyddsför- ordningens tillämpningsområde. Allmän övervakning torde sällan kräva behandling av personuppgifter. Det är först när sådan över- vakning övergår i konkreta personkontroller, t.ex. när en polisman eller annan tjänsteman med befogenheter att förhindra eller utreda konkreta brott eller ordningsstörningar ingriper, som personupp- gifter behöver behandlas, jfr SOU 2017:29, s. 204. Personuppgifts- behandling som sker inom ramen för att upprätthålla allmän ordning och säkerhet kommer, som framgått i det föregående avsnittet, att omfattas av direktivets och ramlagens tillämpningsområde. Förord- ningen kommer därför att vara tillämplig på personuppgiftsbehand- ling inom ramen för inresekontrollen. Sammantaget innebär det sagda att i vissa delar av sin personuppgiftsbehandling enligt avtalen har en skyldighet att beakta bestämmelserna i dataskyddsförordningen. Personuppgifts- behandlingen i anledning av kontrollverksamheten enligt avtalen om- fattas även av de tillsynsmekanismer och kan bli föremål för de admi- nistrativa sanktionsmöjligheter som föreskrivs i förordningen. 13.7Rättslig grund för behandling av personuppgifter enligt dataskyddsförordningen 13.7.1Förordningens krav på en rättslig grund för personuppgiftsbehandling I artikel 4.7 dataskyddsförordningen definieras personuppgiftsansva- rig som en fysisk eller juridisk person, offentlig myndighet, institu- tion eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personupp- gifter. För att behandling av personuppgifter ska vara tillåten upp- ställs i artikel 5.1 ett antal villkor. Till dessa hör att uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet).