bet · H501JuU37 · 2018-06-08 00:00:00 — Utskottet föreslår att antar regeringens förslag till brottsdatalag. Syftet med den föreslagna lagen är dels att skydda fysiska personers grundläggande rättigheter och friheter, dels att säkerställa att myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt. Genom den nya lagen genomförs EU:s nya dataskyddsdirektiv. Lagen är en ramlag som ska vara generellt tillämplig inom det område som direktivet reglerar, i huvudsak behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Lagen ska vara subsidiär i förhållande till andra lagar och förordningar, vilket möjliggör avvikande bestämmelser i s.k. registerförfattningar. Lagändringarna föreslås i huvudsak träda i kraft . Proposition 2017/18:232 Brottsdatalag. Utskottets förslag till riksdagsbeslut Brottsdatalag (V) Bilaga 1 Förteckning över behandlade förslag Bilaga 2 Regeringens lagförslag Utskottets förslag till riksdagsbeslut antar regeringens förslag till 1. brottsdatalag, 2. lag om ändring i lagen (1998:620) om belastningsregister, 3. lag om ändring i lagen (1998:621) om misstankeregister, 4. lag om ändring i offentlighets- och sekretesslagen (2009:400), 5. lag om ändring i domstolsdatalagen (2015:728), 6. lag om ändring i lagen (2017:496) om internationellt polisiärt samarbete, 7. lag om ändring i lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning, 8. lag om ändring i brottsdatalagen (2018:000). Därmed bifaller proposition 2017/18:232 punkterna 1–8. Följande ledamöter har deltagit i beslutet: (M), i (S), (S), (M), (C), (M), (S), (SD), (L), (V), (KD), Lawen Redar (S), (S), (M), (MP), (-) och (S). I detta betänkande behandlar utskottet proposition 2017/18:232 Brottsdatalag. I propositionen föreslår regeringen att EU:s nya dataskyddsdirektiv genomförs genom en ny lag, brottsdatalagen. Regeringens förslag till riksdagsbeslut redovisas i bilaga 1, och regeringens lagförslag återges i bilaga 2. Ingen motion har väckts med anledning av propositionen. Utskottets förslag i korthet antar regeringens lagförslag. Jämför det särskilda yttrandet (V). Europeiska unionen har enats om en genomgripande dataskyddsreform som ska vara genomförd . Reformen omfattar två rättsliga instrument. Dels omfattar den och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (dataskyddsförordningen), dels omfattar den och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF (dataskyddsdirektivet). Dataskyddsförordningen började tillämpas . Den utgör en ny generell reglering för behandling av personuppgifter inom EU och har ersatt dataskyddsdirektivet . Förordningen är direkt tillämplig. När förordningen trädde i kraft upphävdes den svenska personuppgiftslagen. Från förordningens tillämpningsområde undantas personuppgiftsbehandling som utförs av behöriga myndigheter i syfte att förebygga, utreda, upptäcka eller lagföra brott eller verkställa straff, inkluderande skydd mot och förebyggande av hot mot den allmänna säkerheten. Personuppgiftsbehandling för dessa syften ligger i stället under det nya dataskyddsdirektivets tillämpningsområde. Dataskyddsdirektivet skulle ha varit genomfört i nationell rätt . Direktivet ska dels skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter, dels underlätta det informationsutbyte mellan behöriga myndigheter som är nödvändigt enligt unionsrätt eller nationell rätt. Direktivet ersätter dataskyddsrambeslutet och genomförs i svensk rätt genom lagförslagen i den aktuella propositionen. Viss behandling av personuppgifter undantas från både dataskyddsförordningens och dataskyddsdirektivets tillämpningsområden. Det gäller personuppgiftsbehandling i verksamhet som inte omfattas av unionsrätten, däribland området nationell säkerhet. Vidare undantas den personuppgiftsbehandling som förekommer vid EU:s myndigheter och andra organ. Behovet av en ny lag dataskyddsdirektiv genomfördes i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204). Personuppgiftslagen var subsidiär i förhållande till andra lagar och förordningar. Personuppgiftslagen innehöll, tillsammans med myndigheternas registerförfattningar, bestämmelser som i stor utsträckning motsvarar de krav på reglering som dataskyddsdirektivet ställer. Det regelverk som ersätter personuppgiftslagen – dataskydds-förordningen och kompletterande nationella bestämmelser – kommer emellertid inte att vara anpassat till de särskilda förutsättningar som gäller för personuppgiftsbehandling inom brottsbekämpning, lagföring och straffverkställighet, eftersom sådan verksamhet är undantagen från förordningens tillämpningsområde. Det krävs därför enligt regeringen en ny reglering för att genomföra direktivet. Direktivets bestämmelser är av den arten att regleringen lämpligen bör ha lagform. Nedan följer en redogörelse för regeringens bedömning av hur lagbestämmelserna bör utformas för att på ett lämpligt sätt genomföra direktivet. Direktivet finns fogat till propositionen i en bilaga (s. 503 f.). Den nya lagens huvuddrag Dataskyddsdirektivet bör enligt regeringen i huvudsak genomföras genom en helt ny lag, i stället för genom ändringar i befintliga registerförfattningar. Lagen ska vara generellt tillämplig; dock ska särregler i andra lagar och förordningar gälla framför den nya lagen. Den ska med andra ord vara subsidiär i förhållande till andra bestämmelser. De registerförfattningar som finns måste emellertid anpassas till den nya ramlagen på så sätt att de bara ska innehålla bestämmelser som gäller utöver denna. Vidare bör vissa bestämmelser flyttas från registerförfattningarna till ramlagen. Det kommer enligt regeringen att lämnas förslag på dessa ändringar i en kommande proposition. Den nya lagen föreslås heta brottsdatalagen. Det nya dataskyddsdirektivet har dubbla syften. Dessa dubbla syften bör enligt regeringen även tydligt framgå av lagen. Syftet med ramlagen anges i den inledande bestämmelsen således vara dels att skydda fysiska personers grundläggande rättigheter och friheter i samband med behandling av personuppgifter, dels att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt. Eftersom dataskyddsförordningen, som annars är direkt tillämplig, inte kommer att vara tillämplig på personuppgiftsbehandling som omfattas av den nya ramlagen är tillämpningsområdet för denna lag viktigt att definiera. Regeringen föreslår att ramlagens tillämpningsområde knyts till behandlingen av personuppgifter som behöriga myndigheter utför för vissa syften som framgår av direktivet, nämligen att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Att personuppgiftsbehandlingen har något av dessa syften är således ett krav för att ramlagen ska gälla. Ett ytterligare krav är att personuppgiftsbehandlingen utförs av en behörig myndighet. En sådan behörig myndighet definieras enligt förslaget som en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Lagen gäller emellertid endast när myndigheten behandlar personuppgifter för ett sådant syfte. Lagen gäller även andra aktörer än myndigheter om dessa har anförtrotts myndighetsutövning för något av de nämnda syftena, när de behandlar personuppgifter för ett sådant syfte. Personuppgiftsbehandlingen ska som regel vara helt eller delvis automatiserad, eller ingå i en strukturerad samling av personuppgifter som är tillgänglig för sökning. Vissa undantag görs från tillämpningsområdet. Enligt förslaget ska ramlagen t.ex. inte gälla Säkerhetspolisens behandling av personuppgifter som rör nationell säkerhet. Gränsdragningsfrågor får enligt regeringen slutligt avgöras av rättstillämpningen. Eftersom de dubbla regelverken kan komma att medföra tillämpningssvårigheter redogör regeringen i propositionen för vissa utgångspunkter för bedömningen i vägledande syfte (s. 111 f.). Den rättsliga grunden och ändamålet för behandlingen av personuppgifter I den nya lagen ska det enligt förslaget göras en tydlig skillnad mellan den rättliga grunden för behandling av personuppgifter och ändamålet med denna. Dessa krav har med den nuvarande lagstiftningen ibland blandats samman av tillämparna. För att vara laglig måste det för varje personuppgiftsbehandling finnas en rättslig grund. Den rättsliga grunden definieras som att personuppgifter får behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra sin uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Med en behörig myndighets uppgift avses en uppgift som framgår av lag, förordning eller ett särskilt beslut i vilket regeringen gett i uppdrag åt myndigheten att utföra uppgiften. Dessutom får en personuppgift alltid behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning. Personuppgifter får vidare behandlas bara för särskilda, uttryckligt angivna och berättigade ändamål. Om det ändamål som personuppgifterna behandlas för inte framgår av sammanhanget eller på annat sätt ska det tydliggöras genom en särskild upplysning. Innan personuppgifter får behandlas för ett nytt ändamål ska det säkerställas att det finns en rättslig grund för den nya behandlingen och att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Detta gäller emellertid inte om skyldigheten att lämna uppgifterna följer av en lag eller en förordning. En behörig myndighet får behandla personuppgifter även för vetenskapliga, statistiska eller historiska ändamål inom ramlagens tillämpningsområde. I direktivet anges allmänna principer för behandling av personuppgifter. Regeringen bedömer att merparten av dessa principer bör behandlas på olika ställen i lagen i sitt materiella sammanhang. En särskild bestämmelse om att personuppgifter ska behandlas författningsenligt och på ett korrekt sätt föreslås dock. Vidare föreslås en särskild bestämmelse om att de personuppgifter som behandlas ska vara korrekta och, om det är nödvändigt, uppdaterade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. De personuppgifter som behandlas ska också vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Man får inte behandla fler personuppgifter än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Så långt det är möjligt ska personuppgifter som rör olika kategorier av registrerade dessutom särskiljas så att det framgår om personen är misstänkt, dömd för brott, brottsoffer eller någon annan som berörs av ett brott. Personuppgifter som grundar sig på fakta ska så långt det är möjligt särskiljas från personuppgifter som grundar sig på personliga bedömningar. Känsliga personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i en fackförening eller som rör hälsa, sexualliv eller sexuell läggning får enligt förslaget i regel inte behandlas. Biometriska uppgifter och genetiska uppgifter får behandlas endast om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. Känsliga personuppgifter får dock alltid behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning. Det är förbjudet att utföra sökningar för att få fram ett urval av personer grundat på känsliga personuppgifter. Regeringen föreslår vidare att det förs in en bestämmelse i lagen om att alla rimliga åtgärder ska vidtas för att personuppgifter som med hänsyn till ändamålet med behandlingen är felaktiga eller ofullständiga rättas utan onödigt dröjsmål. Detsamma gäller för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Personuppgifter som är inaktuella ska uppdateras om det är nödvändigt. När personuppgifter lämnas ut till en behörig myndighet, ska mottagaren så långt det är möjligt ges information som gör att det går att bedöma i vilken utsträckning uppgifterna är korrekta, fullständiga, uppdaterade och tillförlitliga. I ytterligare en bestämmelse anges enligt förslaget att alla rimliga åtgärder ska vidtas också dels för att personuppgifter som behandlas på ett otillåtet sätt utan onödigt dröjsmål raderas, dels för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Detsamma gäller om en radering krävs för att utföra en rättslig förpliktelse. I stället för att personuppgifterna raderas ska behandlingen av uppgifterna begränsas utan onödigt dröjsmål om uppgifterna behöver finnas kvar av bevisskäl. Enligt lagförslaget får personuppgifter inte heller behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Det hindrar inte att en behörig myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. Om det inte är föreskrivet i lag eller annan författning när en viss kategori av personuppgifter inte längre får behandlas för ändamål inom ramlagens tillämpningsområde, ska den personuppgiftsansvarige se över behovet av att fortsätta att behandla personuppgifterna. Regeringen bedömer att behöriga myndigheter måste ha rutiner för att säkerställa att reglerna om längsta tid för behandling av personuppgifter respekteras, men att detta kan regleras i förordning. I direktivet finns det en bestämmelse om ett förbud mot vissa s.k. automatiserade beslut, som inte fattas av någon tjänsteman utan som blir den automatiska följden av t.ex. att en viss handling lämnas in eller inte inkommer . Regeringen föreslår därför en bestämmelse om förutsättningarna för automatiserade beslut inom ramlagens tillämpningsområde. Personuppgiftsansvar är ett centralt begrepp inom dataskyddslagstiftningen. Utgångspunkten är att det alltid ska finnas någon som bär ansvaret för att dataskyddsreglerna följs vid behandlingen av personuppgifter och som den enskilde kan vända sig till för att göra sina rättigheter gällande. I ramlagen bör det därför, i enlighet med direktivet, tydligt definieras vem som är personuppgiftsansvarig och vad detta innebär. Regeringen föreslår således att ramlagen definierar en personuppgiftsansvarig som den behöriga myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Den personuppgiftsansvarige ges i den nya lagen en rad skyldigheter. Dessa beskrivs närmare i propositionen (s. 120 f.). Om en personuppgiftsincident inträffar, där t.ex. oavsiktlig eller avsiktlig förstöring, förlust eller röjande av personuppgifter förekommit (i dagligt tal dataintrång), ska t.ex. den personuppgiftsansvarige som huvudregel anmäla denna till tillsynsmyndigheten samt underrätta den registrerade om incidenten utan onödigt dröjsmål. Den personuppgiftsansvarige ska vidare utse ett eller flera dataskyddsombud, som självständigt ska kontrollera att behandlingen av personuppgifter sker enligt lagen. ska informeras om att ombudet förordnas, och det anges i den föreslagna lagen vilka arbetsuppgifter ombudet ska ha. Jämfört med vad som är fallet enligt dagens reglering kommer ombudet att få vissa nya uppgifter, bl.a. rådgivning. Den personuppgiftsansvarige ska även få rätt att anlita personuppgiftsbiträden, som finns utanför organisationen och som behandlar personuppgifter för den personuppgiftsansvariges räkning. Skulle biträdet behandla uppgifter i strid med den personuppgiftsansvariges instruktioner och utanför sin befogenhet blir biträdet att anse som personuppgiftsansvarig. Vidare gäller flera skyldigheter enligt ramlagen även för personuppgiftsbiträden. Är ett personuppgiftsansvar gemensamt ska den registrerade enligt förslaget få utöva sina rättigheter enligt ramlagen mot var och en av dem. Merparten av skyldigheterna som enligt direktivet åläggs den personuppgiftsansvarige regleras enligt regeringens förslag i ramlagen. För att inte tynga lagen med detaljföreskrifter föreslår regeringen att den bemyndigas att meddela föreskrifter om vissa skyldigheter i förordning. Regeringen anför i propositionen att rätten till skydd av personuppgifter inte är en absolut rättighet utan ska vägas mot andra intressen. Direktivet medför dock att rättigheterna för enskilda tydliggörs. Den enskilde får utökade möjligheter att kontrollera hur hans eller hennes personuppgifter behandlas och att begära korrigering av felaktiga eller ofullständiga personuppgifter och åtgärder vid otillåten behandling. I direktivet finns tre artiklar som anger vilken information den personuppgiftsansvarige ska tillhandahålla den enskilde. Regeringen föreslår mot denna bakgrund att en bestämmelse förs in i ramlagen om att den personuppgiftsansvarige ska göra viss allmän information tillgänglig för den enskilde, bl.a. kategorier av ändamål för behandlingen. Vidare ska den personuppgiftsansvarige i ett enskilt fall lämna viss personrelaterad information till den registrerade om det behövs för att han eller hon ska kunna ta till vara sina rättigheter, och på begäran lämna skriftligt besked till den enskilde om huruvida uppgifter som rör honom eller henne behandlas och i regel låta sökanden få del av uppgifterna. Från denna rätt till information införs vissa undantag i lagen; bl.a. ska skyldigheten att lämna personrelaterad information inte gälla om det är föreskrivet att uppgifterna inte får lämnas ut med hänsyn till t.ex. intresset av att förebygga eller lagföra brott. Det är i dessa fall viktigt att hålla isär reglerna om rätten till information och tillgången till allmänna handlingar, som har andra syften. En begäran om att få besked om huruvida personuppgifter behandlas ska alltså besvaras utifrån regelverket för skydd för personuppgifter, och inte genom att man tar ställning till om uppgifterna finns i en allmän handling och om den kan lämnas ut. Är begäran från den enskilde orimlig eller uppenbart ogrundad får den vidare avslås. Ytterligare rättigheter som den enskilde har enligt direktivet, och som förs in i ramlagen, är bl.a. att den personuppgiftsansvarige på begäran ska rätta eller komplettera felaktiga och ofullständiga uppgifter, radera uppgifter som behandlas på ett otillåtet sätt eller i vissa fall begränsa behandlingen av dem. I direktivet anges vissa allmänna krav på hur personuppgiftsansvariga ska tillhandahålla information som begärs ut. Reglerna syftar till att underlätta för den enskilde att ta till vara sina rättigheter. Till exempel ska informationen vara kortfattad och lättillgänglig och lämnas i lämplig form. Det kan även utläsas att vissa krav ställs på den enskilde som begär ut information. Regeringen bedömer att dessa krav kan regleras i förordning. Man föreslår dock att det förs in i ramlagen i vilka fall informationen är utan avgift. utövar Datainspektionen tillsyn över all behandling av personuppgifter, så länge ansvaret inte uttryckligen har anförtrotts någon annan myndighet. Även utövar tillsyn över personuppgiftsbehandlingen inom direktivets tillämpningsområde, liksom ombudsmän och Justitiekanslern. Direktivet framhåller att en hög skyddsnivå för personuppgifter förutsätter ett kraftfullt tillsynsarbete. Direktivet medför enligt regeringen ökade krav på att tillsynsmyndigheternas oberoende värnas, att de får tillräckliga resurser och befogenheter att utöva sin tillsyn och att enskilda får möjlighet att reagera om tillsynsmyndigheten inte agerar tillräckligt snabbt. Regeringen föreslår att tillsynsmyndigheten i ramlagens ska definieras som den myndighet som regeringen utser enligt direktivet för att utöva tillsyn över behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Tillsynen ska enligt förslaget inte omfatta behandling av personuppgifter inom ramen för domstolarnas dömande verksamhet, för att garantera domares oberoende när de utför sina rättsliga uppgifter i domstolsmål. Den myndighet som regeringen föreslår ska utses till nationell tillsynsmyndighet är Datainspektionen. Tillsynen över personuppgiftsbehandling bör dock även fortsättningsvis utföras också av . Regeringen föreslår att detta regleras i förordning. Chefen för bör härefter anställas genom beslut av regeringen. I övrigt anser regeringen att svensk rätt uppfyller direktivets krav på tillsynsmyndighetens oberoende och organisation. Genom att inte införa några regler om hur och när tillsynen ska bedrivas anser regeringen att tillsynsmyndighetens oberoende bäst värnas. Dock bör dess huvuduppgifter regleras i ramlagen. Ett tillsynsorgan bör enligt regeringen ha möjlighet till någon form av effektivt och tydligt ingripande när en brist konstateras. Regeringen bedömer att tillsynsmyndigheternas befogenheter i detta avseende bör regleras i ramlagen för att genomföra direktivets bestämmelser och skapa förutsättningar för en effektiv tillsyn. Vidare ska enligt förslaget tillsynsmyndighetens förebyggande befogenheter framgå av ramlagen. Om tillsynsmyndigheten bedömer att det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer eller påpekanden försöka förmå den personuppgiftsansvarige eller personuppgiftsbiträdet att vidta åtgärder för att motverka den risken. får utfärda en skriftlig varning för att en planerad behandling av personuppgifter riskerar att stå i strid med en lag eller annan författning. Detsamma gäller om en pågående behandling riskerar att stå i strid med en lag eller annan författning. Möjligheten att utfärda en varning är ny och är enligt regeringen ett lämpligt komplement till de förbyggande åtgärder som finns . Varningen ska vara skriftlig och ska, även om den inte är tvingande, vara ett steg på vägen mot ett föreläggande. Härutöver föreslår regeringen att tillsynsmyndigheten ska ha korrigerande befogenheter, vilka också ska anges i ramlagen. I direktivet överlåts det till medlemsstaterna att välja sanktioner. Medlemsstaterna ska föreskriva sanktioner för överträdelser av bestämmelser som antas enligt direktivet och vidta de åtgärder som krävs för att säkerställa att de genomförs. Sanktionerna ska vara effektiva, proportionerliga och avskräckande. För att uppfylla kraven i direktivet ska sanktionerna också bilda en helhet som sammantaget utgör ett effektivt sanktionssystem. Regeringen föreslår att överträdelser av regler om personuppgiftsbehandling inte ska vara straffsanktionerade, utöver vad som gäller enligt , eftersom en straffsanktion i huvudsak skulle träffa andra än personuppgiftsansvariga och personuppgiftsbiträden. Vidare ska straffsanktioner användas i sista hand. En ny administrativ sanktion, en sanktionsavgift riktad direkt mot framför allt personuppgiftsansvariga, kan enligt regeringen antas få mycket större effekt.