bet · H601JuU3 · 2018-10-25 00:00:00 — Brottsdatalag – kompletterande lagstiftning Utskottet föreslår att antar regeringens lagförslag. Förslaget innebär att det införs nya lagar om personuppgiftsbehandling på brottsdatalagens område för polisen, , , , åklagarväsendet, domstolarna och kriminalvården. Brottsdatalagen trädde i kraft , och genom den genomfördes i huvudsak EU:s nya dataskyddsdirektiv. Lagen är generellt tillämplig inom det område som direktivet reglerar, i huvudsak behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. De nya lagarna ska gälla utöver brottsdatalagen och enbart innehålla bestämmelser som innebär preciseringar, undantag eller avvikelser från den lagen. Regeringen föreslår också ändringar i vissa andra lagar som en följd av de nya registerförfattningarna. De nya lagarna och lagändringarna föreslås träda i kraft . I betänkandet finns ett särskilt yttrande (V). Proposition 2017/18:269 Brottsdatalag – kompletterande lagstiftning. Utskottets förslag till riksdagsbeslut Brottsdatalag – kompletterande lagstiftning Brottsdatalag – kompletterande lagstiftning (V) Bilaga 1 Förteckning över behandlade förslag Bilaga 2 Regeringens lagförslag Utskottets förslag till riksdagsbeslut Brottsdatalag – kompletterande lagstiftning antar regeringens förslag till 1. lag om polisens behandling av personuppgifter inom brottsdatalagens område, 2. lag om behandling av personuppgifter inom brottsdatalagens område, 3. lag om behandling av personuppgifter inom brottsdatalagens område, 4. lag om behandling av personuppgifter inom brottsdatalagens område, 5. lag om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område, 6. lag om domstolarnas behandling av personuppgifter inom brottsdatalagens område, 7. lag om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område, 8. lag om ändring i , 9. lag om ändring i polislagen (1984:387), 10. lag om ändring i säkerhetsskyddslagen (1996:627), 11. lag om ändring i lagen (1996:701) om befogenheter vid gräns mot ett annat land inom Europeiska unionen, 12. lag om ändring i lagen (2000:344) om Schengens informationssystem, 13. lag om ändring i lagen (2001:185) om behandling av uppgifter i verksamhet, 14. lag om ändring i lagen (2005:321) om tillträdesförbud vid idrottsarrangemang, 15. lag om ändring i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet, 16. lag om ändring i offentlighets- och sekretesslagen (2009:400) med den ändringen att a) det sistnämnda lagrummet "2 kap. 1 § 1" i 18 kap. 2 § andra stycket 1 ska utgå, b) lagrummet "2 kap. 1 § 1" ska föras in i 18 kap. 2 § andra stycket 3 före ordet "lagen", 17. lag om ändring i lagen (2014:400) om elimineringsdatabas, 18. lag om ändring i lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang med den ändringen att a) orden "dels att rubriken till lagen samt 1 §, de nya 2, 4, 6 och 7 §§," i ingressen ska bytas ut mot orden "dels att rubriken till lagen samt 1 § och de nya 2, 4, 6 och 7 §§ ska ha följande lydelse,", b) SFS-numret "(2018:218)" i 2 § ska bytas ut mot "(2018:000)", 19. lag om ändring i domstolsdatalagen (2015:728), 20. lag om ändring i utlänningsdatalagen (2016:27), 21. lag om ändring i tullagen (2016:253), 22. lag om ändring i lagen (2017:496) om internationellt polisiärt samarbete, 23. lag om ändring i säkerhetsskyddslagen (2018:585), 24. lag om ändring i lagen (2018:591) om ändring i offentlighets- och sekretesslagen (2009:400). Därmed bifaller proposition 2017/18:269 punkterna 1–24. Följande ledamöter har deltagit i beslutet: (S), (KD), (M), (S), (M), (SD), (S), (C), (V), (M), (SD), (S), (S), (L), (MP), (KD) och (SD). I detta betänkande behandlar utskottet proposition 2017/18:269 Brottsdatalag – kompletterande lagstiftning. I propositionen föreslår regeringen nya lagar om personuppgiftsbehandling på brottsdatalagens område för polisen, , , , åklagarväsendet, domstolarna och kriminalvården. Regeringens förslag till riksdagsbeslut redovisas i bilaga 1 och regeringens lagförslag i bilaga 2. Ingen motion har väckts med anledning av propositionen. Brottsdatalag – kompletterande lagstiftning Utskottets förslag i korthet antar regeringens förslag till nya lagar om personuppgiftsbehandling på brottsdatalagens område för polisen, , , , åklagarväsendet, domstolarna och kriminalvården. Jämför det särskilda yttrandet (V). antog brottsdatalagen (2018:1177), som trädde i kraft . Genom lagen genomfördes EU:s nya dataskyddsdirektiv. Lagen är en ramlag som är generellt tillämplig inom det område som direktivet reglerar, i huvudsak behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Lagen är subsidiär till andra lagar och förordningar. Det krävs dock fortfarande ytterligare regleringar som tar hänsyn till de särskilda behov som vissa myndigheter har av att kunna behandla personuppgifter för att utföra sina arbetsuppgifter. Sådana särregleringar bör enligt regeringen finnas i myndigheternas registerförfattningar. Dessa författningar behöver anpassas till brottsdatalagen och den nya EU-regleringen. I den aktuella propositionen lämnar regeringen förslag på sju nya registerförfattningar för att tillgodose behovet av en anpassad lagstiftning. De befintliga registerförfattningarna uppfyller enligt regeringen till stor del redan de krav som ställs i direktivet. Det finns dock enskilda bestämmelser som måste ändras för att stå i överensstämmelse med hur brottsdatalagen genomför direktivet. Vissa bestämmelser bör dessutom ändras för att skapa en mer enhetlig utformning av registerförfattningarna eller en terminologi som är anpassad till brottsdatalagen. Kriminalvårdens registerförfattning avviker vidare i många avseenden från den modernare reglering som gäller för övriga behöriga myndigheter och kräver därför särskilda överväganden. Regeringen föreslår i propositionen att lagen om behandling av personuppgifter inom kriminalvården, polisdatalagen, kustbevaknings-datalagen, åklagardatalagen, tullbrottsdatalagen och skattebrottsdatalagen ska upphävas och att nya lagar om myndigheternas behandling av personuppgifter inom brottsdatalagens område ska införas. Vidare föreslås en ny lag som ska ersätta domstolsdatalagen inom brottsdatalagens område. Den nya regleringens struktur innebär att brottsdatalagen, som ska tillämpas i hela rättskedjan, bildar den yttre ramen för regleringen och att registerförfattningarna inskränker rätten att behandla personuppgifter till behandling i vissa syften i respektive verksamhet. Registerförfattningarnas tillämpningsområden kommer alltså att vara snävare än brottsdatalagens. Som exempel kan nämnas att tillämpningsområdet för flertalet registerförfattningar inte omfattar behandling av personuppgifter i syfte att verkställa påföljder eller upprätthålla allmän ordning och säkerhet. Registerförfattningarna kommer inom sitt respektive tillämpningsområde att gälla utöver brottsdatalagen. Det innebär att de kommer att innehålla undantag, avvikelser och preciseringar i förhållande till brottsdatalagen. Regleringens struktur medför att registerförfattningarna måste läsas tillsammans med brottsdatalagen. Detta kan innebära en viss svåröverskådlighet och ställa särskilda krav på tillämparen, men förklaringen till detta ligger enligt regeringen till stor del i utformningen av de EU-rättsakter om personuppgiftsbehandling som har att förhålla sig till. En utgångspunkt är att en myndighets registerförfattning ska reglera all myndighetens personuppgiftsbehandling inom brottsdatalagens tillämpningsområde. Det kommer inte alltid att vara möjligt att i en och samma författning reglera all personuppgiftsbehandling som sker inom en myndighet. Det ska dock i så stor utsträckning som möjligt framgå av respektive registerförfattning när det finns någon annan reglering inom brottsdatalagens tillämpningsområde som ersätter bestämmelserna i registerförfattningen. Närmare om de nya författningarnas innehåll De nya registerförfattningarna föreslås inledningsvis innehålla bestämmelser om sina tillämpningsområden, som ska utgå från syftet med personuppgiftsbehandlingen. Det ska också framgå att registerförfattningarna endast är tillämpliga när en myndighet agerar i egenskap av behörig myndighet (dvs. en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet när den behandlar personuppgifter för ett sådant syfte). De nya lagarna ska dessutom innehålla vissa sekretessbrytande bestämmelser som har ett så nära samband med personuppgiftsbehandlingen att de har en naturlig plats i registerförfattningarna. Vidare ska de bl.a. reglera på vilket sätt personuppgifter får lämnas ut. Regeringen konstaterar att , , , , och har registerförfattningar som är uppbyggda på samma sätt. Det är framför allt de inledande kapitlen som har ett likartat innehåll. Eftersom dessa registerförfattningar har betydande likheter är behovet av ändringar i dem i stor utsträckning detsamma. Bland annat kan nämnas att det finns vissa bestämmelser i de nuvarande lagarna som av olika skäl inte behövs eller blir överflödiga i de nya lagarna, t.ex. därför att motsvarande bestämmelse numera finns i brottsdatalagen. Exempel på detta är bestämmelser som beskriver syftet med registerförfattningarna och generella bestämmelser om behandling av känsliga personuppgifter. Andra regler behöver ändras. Exempelvis finns det i de nya lagarna ett behov av regler om att en sanktionsavgift ska få tas ut av den personuppgiftsansvarige vid överträdelser av vissa bestämmelser i registerförfattningarna. Vidare bör terminologin i de nya registerförfattningarna vara anpassad till brottsdatalagen och i viss utsträckning till dataskyddsförordningen. Bestämmelser som motsvarar befintliga bestämmelser om bevarande och gallring bör enligt regeringen föras in i registerförfattningarna eftersom en del av dagens integritetsskydd annars skulle gå förlorat. Bestämmelserna om gallring ska formuleras så att de anger den längsta tid som personuppgifterna får behandlas. De får därmed samma verkan som en åtgärd för gallring av elektroniska upptagningar. Även bestämmelser som motsvarar befintliga bestämmelser om hur länge personuppgifter får behandlas i den brottsbekämpande verksamheten ska införas i de nya registerförfattningarna, men formuleras om så att det framgår att de bara begränsar behandling för ändamål inom registerförfattningens tillämpningsområde. Myndigheter som sysslar med brottsbekämpning, lagföring och straff-verkställighet har stora behov av att kommunicera med såväl andra myndigheter som enskilda. Regeringen föreslår därför att registerförfattningarna ska ge samma möjligheter att tillhandahålla personuppgifter genom direktåtkomst som dagens reglering. Direktåtkomst har definierats som en upptagning som är tillgänglig för den mottagande myndigheten med ett tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas. Det bör dock observeras att förhållandet att en myndighet får tillgång till uppgifter genom direktåtkomst inte ger mottagaren någon självständig rätt att i sin tur behandla personuppgifterna. Regeringen föreslår vidare att personuppgifter ska få lämnas ut elektroniskt på annat sätt än genom direktåtkomst (t.ex. med e-post) om det inte är olämpligt, vilket är en omformulering och delvis en utvidgning mot vad som gäller . Regeringen anser således att det finns anledning att lämna större utrymme för utlämnanden i elektronisk form för de brottsbekämpande myndigheterna. Även om det i stor utsträckning förekommer integritets-känsliga personuppgifter framför allt i brottsbekämpande verksamhet och vid straffverkställighet måste riskerna med att överföra sådana uppgifter elektroniskt vägas mot behovet av en snabb och effektiv kommunikation. Det är regeringens mening att sekretessbestämmelserna tillsammans med regleringen av personuppgiftsbehandling skyddar enskilda mot missbruk. Dataskyddsregleringen utgår från att varje behandling av personuppgifter måste vila på en rättslig grund för att vara laglig. Det är alltså bara om det finns en rättslig grund som personuppgifter över huvud taget får behandlas. En annan grundläggande princip för all personuppgiftsbehandling är att personuppgifter får samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. Det finns därför normalt även bestämmelser om tillåtna ändamål för personuppgiftsbehandling i olika registerförfattningar. I de brottsbekämpande myndigheternas nuvarande registerförfattningar delas ändamålen upp i primära och sekundära. Sekundära ändamålsbestämmelser reglerar i huvudsak i vilken utsträckning personuppgifter får behandlas för att lämnas ut till andra myndigheter eller verksamheter eller till enskilda för att tillgodose deras behov. Enligt förslaget ska de nya registerförfattningarna inte innehålla bestämmelser som motsvarar de sekundära ändamålsbestämmelserna i polisdatalagen, kustbevakningsdatalagen, åklagardatalagen, tullbrottsdata-lagen och skattebrottsdatalagen. Anledningen till detta är att den nya brottsdatalagen reglerar behandlingen för nya ändamål. Det ska säkerställas att det finns en tillåten rättslig grund för den nya behandlingen och att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Enligt regeringen är den prövningen tillräcklig för att skydda enskildas integritet. Polisens nuvarande registerförfattning är polisdatalagen (2010:361). Innehållet i många bestämmelser i polisdatalagen behöver inte anpassas alls eller endast ändras redaktionellt med anledning av brottsdatalagen. Vissa anpassningar är dock nödvändiga, och specifika för polisdatalagen. Nedan följer några exempel på sådana nödvändiga anpassningar av regelverket. Regeringen föreslår att en ny lag ska införas som ska benämnas lagen om polisens behandling av personuppgifter inom brottsdatalagens område. I propositionen och i detta betänkande kallas den nya lagen polisens brottsdatalag. I den nya lagen ska det inledningsvis anges när den ska gälla utöver brottsdatalagen. Lagen föreslås gälla när någon av följande myndigheter i egenskap av behörig myndighet behandlar personuppgifter: • , om uppgifterna behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet • , om uppgifterna behandlas i syfte att utreda brott och det inte är fråga om åklagarverksamhet • Säkerhetspolisen i frågor som inte rör nationell säkerhet, om uppgifterna behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott. Säkerhetspolisens personuppgiftsbehandling i frågor som rör nationell säkerhet ska inte regleras i lagen. Lagen ska inte heller gälla vid personuppgiftsbehandling enligt vapenlagen, lagen om belastningsregister, lagen om misstankeregister, lagen om Schengens informationssystem, lagen om passagerarregister eller lagen om elimineringsdatabas. Det anges vidare i den föreslagna lagen vilken myndighet som är personuppgiftsansvarig för behandling av personuppgifter. Exempelvis är personuppgiftsansvarig för den behandling av personuppgifter som utförs vid myndigheten och för den behandling som myndigheten utför vid i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet. Dessutom anges de rättsliga grunderna för att personuppgifter ska få behandlas. Personuppgifter ska få behandlas om det är nödvändigt för att , och Säkerhetspolisen ska kunna utföra följande uppgifter: • förebygga, förhindra eller upptäcka brottslig verksamhet • utreda eller lagföra brott • upprätthålla allmän ordning och säkerhet • fullgöra förpliktelser som följer av internationella åtaganden. Enligt brottsdatalagen får känsliga uppgifter, bl.a. biometriska och genetiska uppgifter, endast behandlas om det är särskilt föreskrivet och absolut nödvändigt för ändamålet med behandlingen. Enligt regeringen bör polisen även i fortsättningen ha möjlighet att behandla biometriska uppgifter i brottsbekämpningen. Regeringen föreslår att det förs in i polisens brottsdatalag att och Säkerhetspolisen ska få behandla biometriska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen. Säkerhetspolisen och bör dock inte få behandla genetiska uppgifter, och endast uppgifter i den forensiska verksamheten, eftersom det enligt regeringen inte har framkommit något behov utöver detta. I brottsdatalagen anges det att det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Enligt regeringen bör sökförbudet i brottsdatalagen inte hindra att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott, uppgifter om verkställighet av påföljd eller uppgifter som beskriver en persons utseende används som sökbegrepp. Sökförbudet ska inte heller hindra sökningar för att få fram ett urval av personer grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i en fackförening eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sökningen görs i personuppgifter som inte omfattas av de särskilda bestämmelserna om gemensamt tillgängliga uppgifter i polisens brottsdatalag. Regeringen föreslår därför att de nämnda undantagen ska föras in i polisens brottsdatalag. Regeringen anser vidare att det finns ett behov av att reglera behandlingen av personuppgifter som polisen hämtar in från transportföretag. Sådana personuppgifter ska få behandlas för att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. Personuppgifter som transportföretag tillhandahåller ska dock endast i enskilda fall få behandlas för nya ändamål enligt brottsdatalagen, för att reglerna ska överensstämma med dem som gäller för i detta avseende. I polisdatalagen anges vilka personuppgifter som får göras gemensamt tillgängliga (dvs. tillgängliga för fler än endast ett fåtal personer). Enligt regeringen finns det ett behov av att tillåta polisen att göra nya kategorier av personuppgifter gemensamt tillgängliga. Därför föreslås också personuppgifter som förekommer i ärenden om kontaktförbud eller om personskydd få göras gemensamt tillgängliga, liksom personuppgifter som behandlas i syfte att upprätthålla allmän ordning och säkerhet. Vidare bör enligt regeringen en bestämmelse som anger vilka uppgifter som får tas fram vid sökningar i gemensamt tillgängliga uppgifter med hjälp av namn, person-nummer, samordningsnummer eller andra liknande identitetsbeteckningar finnas i polisens brottsdatalag, på samma sätt som . Sökbegränsningarna ska dock enbart gälla i automatiserade behandlingssystem och inte vid sökningar i en viss handling eller i ett visst ärende. De ska inte heller gälla vid sökningar som görs av särskilt angivna tjänstemän i vissa situationer, bl.a. när de utför beredningsuppgifter inom underrättelseverksamhet och arbetet befinner sig i ett inledande skede eller för att utreda brott för vilket det är föreskrivet fängelse . Det ska också göras undantag för sökningar som en tjänsteman vid någon av ledningscentraler utför på begäran av en polisman som verkställer ett ingripande eller vidtar en åtgärd som rör en enskild. Andra anpassningar av regelverket som föreslås är att det i lagen ska anges för vilka syften får föra DNA-register och fingeravtrycks- och signalementsregister. I fråga om personuppgiftsbehandling för forensiska ändamål (dvs. tillämpning av vetenskapliga metoder på frågeställningar om fysiska spår som undersöks med anledning av misstanke om brott) föreslår regeringen bl.a. att personuppgifter som behandlas för vissa forensiska ändamål ska få behandlas för nya ändamål inom brottsdatalagens tillämpningsområde och att biometriska uppgifter och genetiska uppgifter ska få behandlas för forensiska ändamål enligt de förutsättningar som anges i brottsdatalagen. Sökförbudet i brottsdatalagen ska inte hindra sökningar i registren över DNA-profiler eller fingeravtrycks- och signalementsregistren som syftar till att få fram ett urval av personer grundat på uppgifter som rör hälsa eller biometriska eller genetiska uppgifter. Tullbrottsdatalagen (2017:447) gäller vid behandling av personuppgifter i brottsbekämpande verksamhet. Innehållet i tullbrottsdatalagen måste, i likhet med övriga registerförfattningar, anpassas till brottsdatalagen. Många bestämmelser behöver inte anpassas alls eller endast ändras redaktionellt. Nedan följer några exempel på anpassningar av regelverket som regeringen emellertid anser är nödvändiga. Regeringen föreslår att en ny lag införs som ska heta lagen om behandling av personuppgifter inom brottsdatalagens område. I propositionen och i detta betänkande kallas den brottsdatalag. Den föreslagna lagen ska gälla utöver brottsdatalagen när i egenskap av behörig myndighet behandlar personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. ska få behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra följande uppgifter: • förebygga, förhindra eller upptäcka brottslig verksamhet • utreda eller lagföra brott • fullgöra förpliktelser som följer av internationella åtaganden. ska enligt lagförslaget få behandla biometriska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen. bör enligt regeringen dock inte få behandla genetiska uppgifter, eftersom något sådant behov inte har framkommit. I brottsdatalagen finns, som framgått ovan, ett generellt sökförbud, vilket utgår från syftet med sökningen. Regeringen anför att i likhet med har ett behov av att kunna göra sökningar på tillvägagångssätt vid brott och på brottsrubriceringar. Sådana sökningar kan i vissa fall leda till ett urval av personer grundat på känsliga personuppgifter. Sökförbudet i brottsdatalagen bör emellertid inte hindra att använder brottsrubriceringar, uppgifter om tillvägagångssätt vid brott eller uppgifter som beskriver en persons utseende som sökbegrepp. Sökförbudet ska inte heller hindra sökningar för att få fram ett urval av personer grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sökningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga. Förslaget innebär att möjligheterna att använda känsliga personuppgifter vid sökningar i uppgifter som inte har gjorts gemensamt tillgängliga begränsas något i förhållande till vad som gäller enligt dagens reglering. Enligt bestämmelser i lagen (1996:701) om befogenheter vid gräns mot ett annat land inom Europeiska unionen (inregränslagen) och tullagen (2016:253) är transportföretag skyldiga att på begäran skyndsamt lämna vissa personuppgifter till . Det rör sig bl.a. om resenärers namn, medresenärers namn och transportmedel. Av bestämmelserna framgår att endast får begära sådana uppgifter om de kan antas ha betydelse för brottsbekämpande verksamhet. Dagens reglering av behandlingen av dessa uppgifter bör enligt regeringen behållas men renodlas och anpassas. Bestämmelserna om behandling av personuppgifter som transportföretag lämnar till enligt bestämmelser i inregränslagen och tullagen föreslås tas in i brottsdatalag. ska enligt förslaget få behandla sådana personuppgifter för att planera kontroller och välja ut kontrollobjekt för att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. Sådana personuppgifter ska endast i enskilda fall få behandlas för nya ändamål.