bet · H501JuU37 · 2018-06-08 00:00:00 — Även om skadestånd vid systematiska eller allvarliga överträdelser kan uppgå till mycket höga belopp är möjligheten att begära skadestånd enligt regeringens mening inte tillräcklig för att uppfylla kravet på effektiva sanktioner. Inte heller skadestånd tillsammans med straffbestämmelser, disciplinansvar och tillsyns-myndighetens åtgärder kan enligt regeringens mening anses uppfylla de krav som ställs i direktivet. En sanktionsavgift är däremot en snabb och tydlig sanktion – som även kan vara kännbar ekonomiskt. Risken att som personuppgiftsansvarig drabbas av en sådan sanktion skulle verka avskräckande. Sanktionsavgifter skulle också leda till att ansvar för överträdelser utkrävs på rätt nivå. Sanktionsavgiftssystemet bör enligt regeringen utformas med beaktande av regeringens riktlinjer för sådana avgifter, regleringen i dataskyddsförordningen och internationella åtaganden. Regeringen föreslår därför att en ny administrativ sanktion, sanktionsavgift, införs. Direktivet innehåller flera artiklar om rättsmedel, där den gemensamma nämnaren är att rättsmedlen ska vara effektiva. Den som på rimliga grunder påstår sig ha blivit utsatt för en kränkning av sina rättigheter ska ha möjlighet att få sitt påstående prövat och kunna få rättelse eller gottgörelse för konstaterade kränkningar. Rättsmedlet ska också vara effektivt i den meningen att det ska medge en tillfredsställande prövning. Det måste även vara praktiskt möjligt för berörda personer att utnyttja rättsmedlen. De flesta rättsmedlen är tänkta att användas av den registrerade. Regeringen föreslår att bestämmelserna i direktivet genomförs genom att det införs en bestämmelse i ramlagen om att den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som orsakats av behandling av personuppgifter i strid med ramlagen eller föreskrifter som meddelats i anslutning till den, dvs. en skadeståndsskyldighet för personuppgiftsansvariga. Skadeståndsskyldigheten ska avse all skada och förutsätta adekvat kausalitet. Vidare föreslår regeringen att vissa beslut som har meddelats av en myndighet, bl.a. beslut om rättelse, komplettering och radering, får överklagas till allmän förvaltningsdomstol. Detsamma gäller tillsynsmyndighetens beslut enligt lagen. Vissa andra rättsmedel enligt direktivet, t.ex. talerätt för registrerade och rätten att lämna in klagomål till en tillsynsmyndighet, kräver enligt regeringen inga lagstiftningsåtgärder. Överföring till tredjeland och internationella organisationer Det nya dataskyddsdirektivet reglerar förutsättningar för att överföra personuppgifter till ett tredjeland. Dessutom regleras överföringar till internationella organisationer. Bestämmelserna är förhållandevis detaljerade. Ett grundläggande krav för överföring av personuppgifter till ett tredjeland eller en internationell organisation är att tredjelandet eller den internationella organisationen säkerställer en adekvat skyddsnivå för uppgifterna. Kommissionen beslutar om huruvida ett tredjeland eller en internationell organisation uppfyller det kravet. Sådana beslut får direkt verkan i medlemsstaterna. Kommissionen ska i sin bedömning bl.a. ta hänsyn till rättsstatsprincipen, tillgången till rättslig prövning och om det finns oberoende tillsyn i mottagarlandet. Har kommissionen inte fattat något beslut om adekvat skyddsnivå finns det ändå möjlighet att föra över personuppgifter till ett tredjeland eller en internationell organisation om överföringen omfattas av lämpliga skyddsåtgärder. Om det inte finns ett beslut om adekvat skyddsnivå och överföringen inte heller omfattas av lämpliga skyddsåtgärder, får överföringen göras endast om den är nödvändig i en särskild undantagssituation. Huvudregeln är att överföringen ska göras till en behörig myndighet i tredjelandet. Medlemsstaterna ges dock möjlighet att föreskriva att personuppgifter, i enskilda och särskilda fall, får överföras direkt till mottagare i ett tredjeland. Skyddsnivån för fysiska personer som säkerställs genom direktivet får inte undergrävas vid en överföring. Regeringen anför att det, som bl.a. Datainspektionen påpekar i sitt remissvar, kan vara förenat med viss osäkerhet att överföra personuppgifter till ett tredjeland eller en internationell organisation. Det kommer att vila ett stort ansvar på de behöriga myndigheter som gör bedömningarna av i vilka fall personuppgifter kan överföras. Det är av stor vikt att det finns ett fullgott skydd för den enskildes personliga integritet och att regleringarna i ramlagen motsvarar de krav som direktivet ställer i detta avseende. I sammanhanget bör det emellertid enligt regeringen nämnas att stora delar av direktivet i denna del ansluter nära till vad som gäller enligt befintlig lagstiftning. Regeringen föreslår att det förs in bestämmelser i brottsdatalagen om förutsättningarna för överföring av personuppgifter till ett tredjeland eller en internationell organisation. En behörig myndighet får således enligt förslaget, om vissa villkor är uppfyllda, överföra personuppgifter till ett tredjeland eller en internationell organisation, om personuppgifterna behandlas i eller är avsedda att behandlas i ett tredjeland eller av en internationell organisation. En behörig myndighet som avser att överföra personuppgifter till ett tredjeland eller en internationell organisation ska särskilt beakta risken för att enskilda får ett försämrat skydd för sina personuppgifter. Personuppgifter får överföras till ett tredjeland eller en internationell organisation endast om överföringen är nödvändig för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Överföringen ska riktas till en behörig myndighet i ett tredjeland eller till en internationell organisation som är en behörig myndighet. Vidare får enligt den föreslagna bestämmelsen personuppgifter överföras till ett tredjeland eller en internationell organisation endast om kommissionen har antagit ett beslut om adekvat skyddsnivå, eller, om det inte finns ett sådant beslut, om personuppgifterna omfattas av tillräckliga skyddsåtgärder hos adressaten. Om det inte finns ett beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgärder får personuppgifter överföras endast när ett undantag för särskilda situationer är tillämpligt. Har en svensk myndighet fått uppgifterna från en annan medlemsstat krävs i regel den statens medgivande. Närmare om villkoren för överföring kan i korthet nämnas följande. Kommissionen beslutar, som nämndes ovan, med bindande verkan för medlemsstaterna att ett tredjeland, ett territorium eller en eller flera sektorer inom ett land eller en internationell organisation säkerställer en adekvat skyddsnivå. Tillräckliga skyddsåtgärder innebär enligt regeringens förslag att skyddsåtgärderna har fastställts i ett avtal som ger tillräckliga garantier till skydd för den registrerade, eller att den behöriga myndighet som uppgifterna ska överföras till på annat sätt garanterar tillräckligt skydd för uppgifterna. För att tillämpa undantagen i de särskilda situationerna föreslås det, liksom det anges i direktivet, att något av fyra villkor ska vara uppfyllt. Exempelvis kan en överföring vara tillåten om den är nödvändig för att värna den registrerades eller någon annan fysisk persons vitala intressen, eller andra berättigade intressen som den registrerade har, eller för att en behörig myndighet i ett enskilt fall ska kunna förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. I allt fall ska enligt förslaget personuppgifter inte få överföras till ett tredjeland eller en internationell organisation om den registrerades intresse av skydd mot kränkning av rättigheter och friheter väger tyngre än det allmännas intresse av att överföringen görs i det enskilda fallet för ett myndighetsintresse eller för att kunna fastslå, göra gällande eller försvara ett rättsligt anspråk. Datainspektionen har i sitt remissyttrande över utredningens förslag i denna del invänt dels att förslaget innebär en utvidgning i förhållande till nuvarande reglering av möjligheten att överföra personuppgifter till ett tredjeland i särskilda undantagssituationer och efterfrågat en analys av eventuella negativa effekter för den personliga integriteteten, dels att det bör framgå tydligare av den föreslagna intresseavvägningen att integritetsskyddet är ett intresse som ska beaktas vid avvägningen. Inspektionen har vidare ifrågasatt om utredningens förslag till reglering av intresseavvägningen inte ger ett sämre skydd än vad direktivet medger. Regeringen konstaterar i propositionen att direktivets bestämmelser och förslaget till ramlag i denna del, som Datainspektionen anfört, innebär att ytterligare undantagssituationer då det är möjligt att överföra personuppgifter till ett tredjeland tillkommer utöver vad som gäller . Den omständigheten ska emellertid enligt regeringen inte innebära att ett fullgott skydd för den personliga integriteten äventyras. Det bör enligt regeringen även i sammanhanget understrykas att samtliga allmänna förutsättningar för överföring alltid ska vara uppfyllda för att personuppgifter ska få överföras. Detta gäller alltså även i de särskilda undantagsfallen. Regeringen anser, till skillnad från Datainspektionen, att den föreslagna utformningen av bestämmelsen är lämplig och på ett fullgott sätt beskriver den intresseavvägning som ska göras enligt direktivet. Direktivet utgår från att det är den medlemsstat som först lämnade personuppgifterna till en annan medlemsstat som ska godkänna vidareöverföringen från ett tredjeland till ett annat. Regeringen föreslår därför också vissa bestämmelser som rör medgivande till vidareöverföring av personuppgifter mellan tredjeländer. I direktivet finns, som framgått ovan, en möjlighet att införa ett undantag från kravet på att överföringen ska göras till en behörig myndighet. Det finns enligt regeringen tillfällen när det underlättar om en svensk myndighet kan överföra personuppgifter till ett tredjeland utan att behöva kanalisera dem via en behörig myndighet i det landet. Så kan t.ex. vara fallet när det rör sig om en särskilt brådskande åtgärd och en kontakt med den behöriga myndigheten riskerar att försena åtgärden eller göra den meningslös. Regeringen föreslår därför att det införs en bestämmelse i ramlagen om att en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet i ett enskilt fall, under vissa angivna förutsättningar, ska få överföra personuppgifter till någon som inte är behörig myndighet i ett tredjeland. De angivna förutsättningarna innefattar att överföringen ska vara absolut nödvändig för att den svenska myndigheten ska kunna utföra sina uppgifter och att personuppgifter inte får överföras om den registrerades intresse av skydd mot kränkning av rättigheter och friheter väger tyngre än det allmännas intresse av att överföringen görs. Datainspektionen har i denna del i sitt remissyttrande över utredningens förslag efterfrågat en djupare analys av de risker som kan uppstå vid överföring till andra än behöriga myndigheter. Inspektionen anförde vidare i sitt yttrande att det borde framgå tydligare att integritetsskyddet är ett intresse som ska beaktas vid intresseavvägningen. Inspektionen ifrågasatte dessutom om utredningens förslag till reglering av avvägningen inte ger ett sämre skydd än vad direktivet medger. Regeringen anför i propositionen att man, till skillnad från Datainspektionen, anser att de föreslagna bestämmelserna om överföring till andra än behöriga myndigheter väl uppfyller direktivets krav. Det ligger enligt regeringen i sakens natur att det inte går att överblicka alla eventuella risker som kan uppstå. Regleringen kommer dock att innebära att det ska röra sig om absolut nödvändiga överföringar i enskilda fall när en överföring till en behörig myndighet i ett tredjeland skulle vara ineffektiv eller olämplig. Därtill kommer bl.a. en intresseavvägning. Mot den bakgrunden anser regeringen att den föreslagna regleringen ger ett godtagbart skydd för den enskilde. Slutligen föreslår regeringen bestämmelser i ramlagen som medger villkor om användningsbegränsning vid överföring av personuppgifter. För att kunna fullgöra sina skyldigheter enligt ramlagen måste tillsynsmyndigheten kunna både hämta in och ta emot nödvändig information från tillsynsmyndigheter i andra medlemsstater. Tillsynen över de behöriga myndigheterna kommer att ge tillsynsmyndigheten insyn i bl.a. brottsbekämpande verksamhet där intresset av sekretess till skydd för det allmännas verksamhet är starkt. Regeringen gör bedömningen att de sekretessregler som finns är tillräckliga för att skydda den information som utländska tillsynsmyndigheter lämnar när de besvarar en svensk framställan om bistånd. Däremot kan det förhålla sig annorlunda vid utländska framställningar om bistånd. Om de uppgifter som utländska tillsynsmyndigheter lämnar när de begär svenskt bistånd inte skyddas genom sekretess hos den svenska tillsynsmyndigheten, kan det leda till att utländska tillsynsmyndigheter både kan komma att avhålla sig från att begära bistånd från och kan vara mindre villiga att bistå den svenska myndigheten när den begär att få uppgifter. Det finns därför enligt regeringen skäl att införa en ny sekretessbestämmelse som skyddar uppgifter som tillsynsmyndigheten får när den på begäran bistår en utländsk tillsynsmyndighet vid tillsyn inom direktivets tillämpningsområde. Vidare bör det enligt regeringen i ramlagen föras in en särskild bestämmelse som bryter sekretessen vid samarbete med en utländsk tillsynsmyndighet. får, om det är förenligt med svenska intressen, lämna ut en uppgift till en behörig tillsynsmyndighet i en annan medlemsstat, även om uppgiften är sekretessbelagd. Slutligen föreslår regeringen att det införs en bestämmelse om tystnadsplikt för dataskyddsombud i ramlagen. Dataskyddsombud som utses av myndigheter ska dock tillämpa bestämmelserna i offentlighets- och sekretesslagen. Brottsdatalagen och övriga författningsförslag föreslås träda i kraft . Ändringarna i lagen med kompletterande bestämmelser till EU:s dataskyddsförordning och brottsdatalagen som innebär att hänvisningen till säkerhetsskyddslag ersätts med en hänvisning till den nya säkerhetsskyddslagen föreslås dock träda i kraft . Propositionen har inte lett till några motionsyrkanden eller andra invändningar under utskottsbehandlingen. Utskottet finner att regeringens lagförslag är ändamålsenligt utformade och att de bör antas. Med detta föreslår utskottet att antar de lagförslag som läggs fram i propositionen. Brottsdatalag (V) (V) anför: Jag ställer mig i stort bakom propositionen, men det finns enligt min mening likväl skäl att vara kritisk mot vissa delar av lagförslaget. Dessa rör överföringen av personuppgifter till tredjeland och internationella organisationer. Som Datainspektionen anför i sitt remissyttrande över utredningens förslag (SOU 2017:29) är det av stor vikt att allt informationsutbyte till tredjeland och internationella organisationer skyddas av bestämmelser som upprätthåller skyddet av den enskildes personliga identitet. I dataskyddsdirektivet föreskrivs också att alla bestämmelser om överföringar till tredjeland och internationella organisationer ska tillämpas på så sätt att den skyddsnivå för fysiska personer som säkerställs genom direktivet inte undergrävs. Liksom i utredningen saknas emellertid i propositionen, enligt min mening, en tillräckligt ingående analys av de risker för den enskildes personliga integritet som dessa överföringar av information innebär. Det finns anledning att ifrågasätta om de föreslagna bestämmelserna som medger sådan överföring av information i tillräckligt stor utsträckning har vägts mot riskerna för integritetsintrång för den enskilde. Exempelvis föreslår regeringen vissa undantag från förbudet mot att föra över uppgifter till tredjeland eller internationella organisationer när det inte finns något beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgärder. Regeringen konstaterar att förslaget till ramlag i denna del innebär en utvidgning i förhållande till nuvarande reglering, men anser att denna omständighet inte innebär att ett fullgott skydd för den personliga integriteten äventyras och att den föreslagna intresseavvägningen mellan den enskildes och det allmännas intressen är tillräcklig. Datainspektionen har här framhållit att det bör framgå tydligare att integritetsskyddet är ett intresse som ska beaktas vid avvägningen. Liknande kritik gör sig gällande i fråga om förslagen om överföring av personuppgifter till någon som inte är en behörig myndighet i ett tredjeland, där Datainspektionen också har efterfrågat en djupare analys av de risker som kan uppstå i sådana situationer. Överföring av uppgifter till ett tredjeland innebär dels risker för den personliga integriteten, dels risker för missbruk av uppgifterna. Jag ifrågasätter om det finns tillräckliga garantier för att uppgifterna inte kommer att användas för andra ändamål än de tillåtna och om vinsterna med bestämmelserna om överföring står i proportion till dessa risker, en kritik som också aktualiseras i samband med bl.a. den nya lagen om flygpassageraruppgifter i brottsbekämpningen (se bet. 2017/18:JuU39). Jag utgår från att regeringen framöver är observant på hur uppgifterna behandlas utomlands. Mot denna bakgrund avstår jag från att reservera mig. Förteckning över behandlade förslag Proposition 2017/18:232 Brottsdatalag: 1.Riksdagen antar regeringens förslag till brottsdatalag. 2.Riksdagen antar regeringens förslag till lag om ändring i lagen (1998:620) om belastningsregister. 3.Riksdagen antar regeringens förslag till lag om ändring i lagen (1998:621) om misstankeregister. 4.Riksdagen antar regeringens förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400). 5.Riksdagen antar regeringens förslag till lag om ändring i domstolsdatalagen (2015:728). 6.Riksdagen antar regeringens förslag till lag om ändring i lagen (2017:496) om internationellt polisiärt samarbete. 7.Riksdagen antar regeringens förslag till lag om ändring i lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning. 8.Riksdagen antar regeringens förslag till lag om ändring i brottsdatalagen (2018:000).