sou · H5B330 · 2017-03-31 00:00:00 — Detta gäller alltså även sådana personuppgifter som särregleras i dataskyddsförordningen och den kompletterande lagen, dvs. känsliga personuppgifter (som i dataskyddsförordningen benämns särskilda personuppgifter), personuppgifter om lagöverträ- delser och personnummer. Denna ordning bör enligt utredningen vara godtagbar från integritetssynpunkt mot bakgrund av de be- stämmelser om bl.a. behörighetstilldelning som föreslås (se vidare avsnitt 20.2.13). När det närmare gäller behandling av personuppgifter som rör fällande domar i brottmål samt överträdelser finns en övergripande bestämmelse om detta i dataskyddsförordningens artikel 10. Där sägs att behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhets- åtgärder enligt artikel 6.1 får endast utföras under kontroll av myn- digheter eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt. En förutsättning är att lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fast- ställts. Dataskyddsförordningen artikel 10 ersätter dataskyddsdirek- tivets reglering i artikel 8.5. Bestämmelserna har något olika lydelser. I förordningen anges att fällande domar i brottmål omfattas medan man i direktivet använder benämningen brottmålsdomar. Friande domar i brottmål omfattas alltså inte av förordningens reglering. I förordningen sägs inte heller något om administrativa sanktioner eller avgöranden i tvistemål, vilket uttryckligen omfattas av direktivet. I personuppgiftslagen är det 21 § som genomför artikel 8.5 i data- skyddsdirektivet. Där sägs att det är förbjudet för andra än myndig- heter att behandla personuppgifter om lagöverträdelser som inne- fattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Utredningen förutsätter att en liknande bestämmelse som den som finns i 21 § personuppgiftslagen införs i den kompletterande Behandling av personuppgifter och vissa frågor om sekretess lagen, dock med ett något ändrat innehåll med hänsyn till de änd- ringar som skett i dataskyddsförordningen. Utredningen utgår vidare från att misstankar om brott kommer att omfattas i samma ut- sträckning som enligt den nuvarande regleringen. Av dataskyddsförordningens artikel 10 framgår som nämns ovan att behandling av personuppgifter som rör fällande domar i brott- mål och överträdelser eller därmed sammanhängande säkerhets- åtgärder som inte sker under kontroll av en myndighet kan tillåtas i den nationella rätten. Förutsättningen är att lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Av spellagen framgår att spelföretagen när det gäller vissa spelformer ska över- vaka spelet för att motverka och förhindra fusk, bedrägerier och annan brottslig verksamhet. Spelföretagen ska också kontrollera och rapportera vidare till om avvikande spelmönster eller om det i övrigt finns misstankar om matchfixning. Av det ovan sagda följer att det för spelföretagens vidkommande uttryckligen måste framgå av spellagen att de får behandla person- uppgifter som rör lagöverträdelser. En bestämmelse ska därför tas in i spellagen som anger att spelföretag får behandla personuppgifter enligt bestämmelsen, om det enligt kompletteringslagen är nödvän- digt för ett av de ändamål som anges i spellagen. Utredningen be- dömer att kravet på säkerhetsåtgärder är uppfyllt bl.a. mot bakgrund av bestämmelserna om behörighetstilldelning och sökbegränsningar som föreslås. Utredningens förslag: Känsliga personuppgifter som avses i 9.1 i dataskyddsförordningen får inte användas som sökbegrepp. Det- samma gäller sådana personuppgifter som rör fällande domar i brottmål samt överträdelser som avses i artikel 10. Med sökbegrepp menas bokstäver, koder eller siffror med vars hjälp man kan ta fram ett önskat urval av lagrade personuppgifter om en eller flera personer ur en samlad informationsmängd som man har tillgång till. Informationsteknikens utveckling har medfört i det närmaste obegränsade sökmöjligheter när det gäller elektroniskt lagrad information. Vissa sökbegrepp kan innebära särskilda inte- Behandling av personuppgifter och vissa frågor om sekretess Av den anledningen förekommer i en del registerför- fattningar särskilda begränsningar av vilka sökbegrepp som får an- vändas. Genom sådana begränsningar kan ett ökat integritetsskydd uppnås. Möjligheterna att effektivt begränsa användningen av integritets- känsliga sökbegrepp påverkas emellertid av offentlighetsprincipen. Offentlighetsprincipen, som den kommer till uttryck i 2 kap. tryck- frihetsförordningen (TF), innebär i huvudsak att allmänheten och massmedierna har rätt att ta del av offentliga allmänna handlingar hos en myndighet. Enligt 2 kap. 2 § första stycket TF får rätten att ta del av allmänna handlingar begränsas endast om det är påkallat med hänsyn till vissa angivna intressen, t.ex. skyddet för enskilds personliga och ekonomiska förhållanden. En sådan begränsning ska enligt 2 kap. 2 § andra stycket TF anges noga i en bestämmelse i en särskild lag eller, om det i ett visst fall är lämpligare, i en annan lag som den särskilda lagen hänvisar till. Den särskilda lag som åsyftas är offentlighets- och sekretesslagen. Offentlighetsprincipen omfattar inte bara fysiska handlingar och elektroniskt lagrade uppgifter som ingår i s.k. färdiga elektroniska handlingar, t.ex. e-postmeddelande, utan även uppgifter som ännu inte sammanställts men som kan sammanställas med hjälp av till- gänglig teknik och rutinbetonade åtgärder, t.ex. en sökning. Det fram- går av 2 kap. 3 § andra stycket TF. Sådana sammanställningar kallas potentiella handlingar. Av den s.k. likställighetsprincipen följer att enskilda har samma möjligheter som aktuell myndighet att ta del av sammanställningar av uppgifter ur upptagningar för automatiserad behandling. Det innebär att enskilda har rätt att ta del av s.k. poten- tiella handlingar. I 2 kap. 3 § tredje stycket TF finns den s.k. begränsningsregeln. Den anger att en sammanställning av uppgifter ur en upptagning för automatiserad behandling inte anses förvarad hos myndigheten om sammanställningen innehåller personuppgifter och myndigheten enligt lag eller förordning saknar befogenhet att göra den tillgäng- lig. Att en handling anses förvarad hos en myndighet är en förut- sättning för att den ska omfattas av allmänhetens rätt att ta del av densamma enligt offentlighetsprincipen (2 kap. 1 § TF). Regleringen i tryckfrihetsförordningen innebär att det finns två sätt att genom författningsbestämmelser reglera allmänhetens till- gång till potentiella handlingar i domstolarna och därmed indirekt Behandling av personuppgifter och vissa frågor om sekretess reglera allmänhetens tillgång till de sökfunktioner som används för att sammanställa sådana handlingar. Dels kan en sådan reglering åstadkommas genom sekretessbestämmelser i offentlighets- och sekre- tesslagen. Dels genom sökbestämmelser i en registerförfattning som på ett ovillkorligt sätt förbjuder personalen att utföra vissa sökningar både för verksamhetens behov och på begäran av allmänheten. Be- stämmelser som tillåter personalen att under vissa villkor utföra en sökning, t.ex. att söka om det är absolut nödvändigt, begränsar inte allmänhetens rätt att begära att sådana sökningar utförs och att de uppgifter som tas fram lämnas ut. Till skydd för enskildas integritet bör det, liksom i flera andra registerförfattningar, mot denna bakgrund tas in en bestämmelse i spellagen om sökbegränsningar. Sökbegränsningen bör omfatta sådana känsliga personuppgifter som avses i artikel 9.1 i förordningen. Begränsningen bör vidare omfatta behandling av sådana personupp- gifter som avses i artikel 10 i förordningen, dvs. fällande domar i brottmål samt överträdelser. Dataskyddsförordningen innehåller inte några bestämmelser som handlar om sökning. Inte heller dataskyddsdirektivet eller person- uppgiftslagen innehåller några sådana bestämmelser. En fråga blir därför om det är möjligt att i nationell rätt införa en sådan begräns- ning. Utredningens tolkning av dataskyddsförordningen är att för- ordningen inte hindrar en sådan nationell bestämmelse. Dataskydds- förordningen reglerar som nämnts känsliga personuppgifter och anger att det som huvudregel är förbjudet att behandla sådana uppgifter. Från denna huvudregel anges dock ett antal undantag i artikel 9.2 a–j. Det ter sig som en orimlig tolkning att ett undantag från förbudet att behandla känsliga uppgifter måste utnyttjas fullt ut i den natio- nella rätten – särskilt med beaktande av att de uppgifter som anges i artikel 9 anses vara särskild skyddsvärda. Sökbegränsningar bör vara möjligt även för andra uppgifter, såsom fällande domar i brottmål och överträdelser. Till vidare skydd för den enskildes integritet ger utredningen i avsnitt 18.2.7 förslag till en sekretessbestämmelse i offentlighets- och sekretesslagen som gäller självavstängningsregistret. Behandling av personuppgifter och vissa frågor om sekretess 20.2.11 Utlämnande av uppgifter Utredningens förslag: Om misstanke om brott framkommer efter närmare granskning och kontroll av ett spel får alla upp- gifter som kan tyda på brott i samband med spelet lämnas till eller . Som framgår ovan föreslår utredningen bl.a. att spelföretagen ska granska och kontrollera spel för att motverka och förhindra fusk och brottslighet. Om misstanke om brott framkommer efter en närmare granskning ska spelföretaget få lämna uppgifter om alla så- dana omständigheter till polis eller åklagare. Liknande bestämmelser finns i 3 kap. 1 § lagen (2009:62) om åtgärder mot penningtvätt och finansiering av terrorism och 6 kap. 5 § lagen (2010:751) om betal- tjänster. 20.2.12Undantag från den registrerades rätt till tillgång till personuppgifter Utredningens förslag: Besked om att personuppgifter behandlas i samband med närmare granskning och rapportering till Polis- myndigheten eller får inte lämnas ut till den registrerade. Liksom dataskyddsdirektivet och personuppgiftslagen innehåller data- skyddsförordningen bestämmelser om tillgång till personuppgifter. I artikel 15 anges att den registrerade har rätt att av den person- uppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna tillsammans med information om bl.a. ända- målen med behandlingen. Genom artikel 23.1 i dataskyddsförordningen ges medlemsstater- na möjlighet att under vissa förhållanden begränsa omfattningen av vissa av de skyldigheter och rättigheter som förordningen föreskriv- er. Det gäller bl.a. nu nämnd artikel om tillgång till personuppgifter. Sådana begränsningar får göras endast om de är förenliga med respekt för andemeningen i de grundläggande fri- och rättigheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt Behandling av personuppgifter och vissa frågor om sekretess samhälle i syfte att säkerställa vissa angivna intressen. Ett sådan an- givet intresse är förebyggande, förhindrande, utredning, avslöjande eller lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten (artikel 23.1.d). Sådana lagstiftnings- åtgärder som innehåller undantag från skyldigheter och rättigheter ska innehålla specifika lagstiftningsåtgärder, när så är relevant, avse- ende bl.a. ändamålen med behandlingen, kategorierna av person- uppgifter samt de registrerades rätt att bli informerade om begräns- ningen, såvida detta inte kan inverka menligt på begränsningen (artikel 23.2). I fråga om sådan personuppgiftsbehandling som kan komma att ske i samband med en närmare analys och rapportering till Polis- myndigheten eller med anledning av misstanke om brott bör det i spellagen anges uppgifterna inte får lämnas ut till den registrerade. Liknande bestämmelser finns i lagen om betaltjänster (6 kap. 5 §) och lagen om åtgärder mot penningtvätt och finan- siering av terrorism (4 kap. 3 §). Innebörden av att en sådan bestäm- melse tas in i spellagen blir att en registrerad inte med hänvisning till artikel 15 i dataskyddsförordningen kan begära ut en sådan upp- gift. Utredningen bedömer att det möjligt att göra ett sådant undan- tag från artikel 15 i förordningen med hänsyn till innehållet i arti- kel 23. Åtgärden får anses nödvändig och proportionell för att säker- ställa att brott kan förhindras och utredas. Utredningens förslag: Tillgången till personuppgifter ska be- gränsas till vad varje anställd behöver för att kunna fullgöra sina arbetsuppgifter. Spellagen innebär att personuppgifter, även känsliga sådana, kom- mer att behandlas både inom men också vid ett antal spelföretag. De verksamheter som kommer att behandla per- sonuppgifter kommer att vara av olika storlek och behörighets- systemen kommer därmed att vara utformade på olika sätt. Det är dock viktigt att den som anställs vid eller ett spel- Behandling av personuppgifter och vissa frågor om sekretess företag inte per automatik får tillgång till alla personuppgifter som behandlas där. I syfte att minska integritetsrisker för den enskilde bör det därför anges i spellagen att tillgången till personuppgifter ska begränsas till vad var och en av de anställda behöver för att kunna fullgöra sina arbetsuppgifter. Innebörden av bestämmelsen är att och spelföretagen alltid ska vara skyldiga att pröva anställdas och uppdragstagares behov av tillgång till person- uppgifter utifrån vad arbetsuppgifterna kräver. Tillgången ska be- gränsas i enlighet med detta. 20.2.14 Bevarande av uppgifter Utredningens förslag: När en personuppgift inte längre behövs för behandling enligt de ändamål som anges i kapitlet ska upp- giften tas bort om inget annat följer spellagen, annan lag, för- ordning eller föreskrifter. En uppgift eller ett fotografi i ett register över besökare vid ett statligt kasino ska bevaras från det att uppgiften eller fotografiet registrerats och därefter senast gallras. Regeringen, eller den myndighet som regeringen bestämmer, ska få meddela föreskrifter om bevarande och gallring av person- uppgifter. Utredningens bedömning: bör meddela före- skrifter om bevarande och gallring av personuppgifter. I dataskyddsförordningen finns i artikel 5.1 e principen om lagrings- minimering. Där sägs att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifter behandlas. Personuppgifter får dock lagras i den mån personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1. En förutsättning är då att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt dataskyddsförordningen genomförs för att säkerställa den registrerades rättigheter och friheter. Behandling av personuppgifter och vissa frågor om sekretess Det är enligt utredningen lämpligt att som utgångspunkt ange i spellagen att när en personuppgift inte längre behövs för behand- ling enligt de ändamål som räknas upp i kapitlet ska uppgiften tas bort. En sådan bestämmelse stämmer överens med principen om lagringsminimering. Denna huvudregel ska gälla när inget annat sägs i spellagen, andra lagar, förordningar eller föreskrifter. Det bör tilläggas att det i en del andra kapitel i spellagen finns bestämmelser som preciserar när en uppgift inte längre behövs. Till exempel anges beträffande ombud att ska upphäva registreringen av ett ombud om spelföretaget begär det eller ombudet inte längre bedöms vara lämpligt. I de lagar som reglerar spel finns en särskild bestämmelse som berör bevarande och gallring av personuppgifter. Bestämmel- sen återfinns i 8 § kasinolagen där det sägs att en uppgift eller ett fotografi i registret över besökare ska bevaras från det att uppgiften eller fotografiet registrerats och därefter senast gallras. angavs att en uppgift eller ett fotografi i registret skulle gallras senast efter det att uppgiften eller fotografiet registrerats. Lydelsen ändrades i och med författningsändringar inom penningtvättsområdet (se prop. 2003/04:156 s. 54 ff.). Utred- ningen finner inte skäl att ändra innehållet i denna bestämmelse. I förarbetena har tidsaspekten noggrant övervägts och utredningen kan därför inte se att bestämmelsen skulle strida mot principen om lagringsminering. Samma regel bör således gälla enligt spellagen. Det fjärde penningtvättsdirektivet och penningtvätts- utrednings förslag innebär att flera spelföretag kommer att omfattas av bestämmelser om åtgärder mot penningtvätt och finansiering av terrorism. penningtvättsutredning har bl.a. föreslagit att handlingar och uppgifter som använts vid åtgärder för att uppnå kundkännedom samt vid granskning och rapportering som huvud- regel ska bevaras (se SOU 2016:8 s. 322 ff.). I den mån dessa bestämmelser, eller andra bestämmelser, träder i kraft ska spel- företagen alltså rätta sig efter dem. Regeringen, eller den myndighet som regeringen bestämmer, ska få meddela föreskrifter om bevarande och gallring av personupp- gifter. Vid användande av föreskriftsrätten måste självfallet data- skyddsförordningens bestämmelser beaktas, däribland kravet på skyddsåtgärder i artikel 89.1. Behandling av personuppgifter och vissa frågor om sekretess 20.2.15Spelmyndighetens möjligheter att överföra personuppgifter till tredje land Den föreslagna regleringen kommer i stor utsträckning bygga på att i sin tillsyn kan samarbeta med motsvarande myndigheter i andra länder. I dessa fall måste ha möjlighet att utbyta information med dessa myndigheter. En fråga som då aktualiseras är möjligheter att överföra personuppgifter till tredje land. Dataskyddsförordningen innehåller, i likhet med dataskyddsdirek- tivet, bestämmelser som anger under vilka förutsättningar person- uppgifter får överföras till tredjeland. De finns samlade i artikel 44– 50. Regleringen är förhållandevis detaljerad. Överföring får ske enligt vissa förutsättningar till tredjeland eller en internationell orga- nisation. Liksom i dataskyddsdirektivet är det enligt artikel 45 ett grundläggande krav för sådan överföring att det mottagande tredje- landet säkerställer en adekvat skyddsnivå för uppgifterna. Enligt data- skyddsförordningen är det enbart kommissionen som kan besluta om ett tredjeland uppfyller detta krav eller inte. Kommissionens be- slut får direkt verkan i medlemsstaterna. beslut finns uppräknade i en bilaga till personuppgiftsför- ordningen. Där framgår att bl.a. , och omfattas av en adekvat skyddsnivå. och omfattas en- ligt vissa angivna förutsättningar. Har kommissionen inte fattat något beslut i frågan om adekvat skyddsnivå, finns det möjlighet att överföra uppgifter till tredjeland om vissa juridiskt bindande skyddsåtgärder vidtas, som t.ex. använd- andet av vissa godkända standardbestämmelser om uppgiftsskydd. Detta framgår av artikel 46. I artikel 49 finns bestämmelser om överföring då det varken finns adekvat skyddsnivå enligt artikel 45 eller lämpliga skydds- åtgärder enligt artikel 46. Artikel 49 bygger i stort på dataskydds- direktivets artikel 26.1. Vissa av dessa undantag bör nämnas här. Liksom enligt direktivet är det tillåtet med personuppgiftsöver- föring om den registrerade samtyckt till överföringen. Dock krävs enligt artikel 44.1 a att den registrerade först har blivit informerad om de risker en överföring kan medföra när det inte föreligger något beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder. Detta undantag (jämte vissa andra) gäller inte åtgärder som vidtas Behandling av personuppgifter och vissa frågor om sekretess av offentliga myndigheter som ett led i myndighetsutövning. En överföring får också ske, enligt artikel 44.1 d, om den bedöms gynna viktiga samhälleliga intressen. Allmänhetens intressen får dock bara åberopas om intresset är erkänt i unionsrätten eller i den nationella rätt som den personuppgiftsansvarige omfattas av (artikel 49.4). Av det ovan sagda följer att det är möjligt för att överföra personuppgifter till en myndighet i tredje land om kommissionen fattat ett beslut om att tredjelandet säkerställer en adekvat skyddsnivå. I annat fall blir det en fråga om överföringen kan sägas vara nödvändig av viktiga skäl som rör allmänintresset (artikel 49.1 d). Det ska då, som nämns ovan, avse ett allmänintresse som är erkänt antingen i unionsrätten eller i den nationella rätt som den personuppgiftsansvarige omfattas av. I och med bestämmel- serna i spellagen, särskilt den som anger att i sin tillsynsverksamhet så långt det är möjligt ska samarbeta och utbyta information som har betydelse för tillsynen med svenska och ut- ländska behöriga myndigheter, skulle man kunna argumentera för att det som sägs i artikel 49.1 d jämte artikel 49.4 är uppfyllt. En förut- sättning skulle i sådana fall vara att det föreligger ett samarbetsavtal med aktuell utlandsmyndighet. Det bör dock sägas att detta är ett långt ifrån säkert antagande. Frågan bör analyseras vidare efter det att förslag om nationella bestämmelser som ska komplettera data- skyddsförordningen lagts fram. Det bör tilläggas att eftersom för- ordningen är direkt tillämplig i medlemsstaterna finns det inte skäl att införa en bestämmelse i spellagen som anger när Spelmyndig- heten kan överföra uppgifter till tredjeland. Utredningens förslag: ska ha rätt att få till- gång till uppgifter i misstanke- och belastningsregistren i fråga om de personer som omfattas av myndighetens prövning av licens enligt spellagen. Uppgifter ur belastningsregistret ska omfatta brott som lett till någon annan påföljd än penningböter och upp- gifter ur misstankeregistret ska omfatta uppgift om misstanke om brott för vilket åtal har väckts. får även ha direktåtkomst till dessa uppgifter. Behandling av personuppgifter och vissa frågor om sekretess Uppgifter om den som dömts för brott finns i belastningsregistret. I lagen (1998:620) om belastningsregister och förordningen (1999:1134) om belastningsregister finns bestämmelser om vilka uppgifter som registret ska innehålla och om när uppgifter ur detta ska eller får lämnas ut till nationella och utländska myndigheter samt till enskilda. Svenska myndigheters rätt att på begäran få uppgifter ur registren regleras i 6 § lagen om belastningsregister. 6 § precise- ras närmare i 10–20 §§ förordningen om belastningsregister. Det varierar i vilken omfattning myndigheter kan få del av uppgifter. Vissa myndigheter, t.ex. Länsstyrelser, har möjlighet att få del av fullstän- diga uppgifter medan det för andra myndigheter begränsas till det som rör vissa uppräknade brott. har exempelvis möjlighet att få del av uppgifter om vissa förmögenhetsbrott och skattebrott. För Lotteriinspektionen gäller, enligt 11 § 6, att uppgifter ur registret som lett till någon annan påföljd än penningböter ska lämnas ut om det begärs av Lotteriinspektionen i fråga om den som myndigheten dels vid prövning enligt lotterilagen överväger att ge tillstånd att få anordna roulettspel, tärningsspel och kortspel, dels vid prövning enligt lagen om anordnande av visst automatspel över- väger att ge tillstånd. En myndighet som enligt 11 § har rätt att få uppgifter ur belastningsregistret vid bl.a. tillståndsgivning har rätt att få motsvarande uppgifter för prövning av ett meddelat tillstånd (18 §). Det betyder med andra ord att Lotteriinspektionen har rätt att få uppgifter för att senare pröva om en person är lämplig för tillstånd. innehåller uppgifter om dem som skäligen är misstänkta för brott. Syftet med registret är att underlätta tillgången till sådana uppgifter om skälig misstanke om brott som behövs i verksamhet hos , , , , och åklagarmyndigheter för att sam- ordna förundersökningar och åtal (2 § 1 och 2 lagen [1998:621] om misstankeregister).