prop · H503232 · 2018-04-19 00:00:00 — Det kan då vara svårt att avgöra om det är fråga om ett förfarande som tidigare kun- nat föranleda straff. Eftersom tillämpningsområdet för sanktionsavgift inte är detsamma som för straffansvar är det inte rimligt att låta systemet med sanktionsavgift gälla retroaktivt. Det är inte heller självklart hur bedömningen av vilken sanktion som är lindrigast – straffpåföljd eller sanktionsavgift – skulle utfalla i ett enskilt fall. För att undvika de tolknings- och tillämpningsproblem som kan uppstå om den lindrigaste lagens princip skulle tillämpas på sanktionsavgift enligt brottsdatalagen är det enligt utredningens mening lämpligare att låta äldre bestämmelser fortsätta att gälla för de överträdelser som har begåtts innan brottsdatalagen trätt i kraft. Regeringen gör ingen annan bedömning. Det kan tilläggas att syftet med brottsdatalagens system med sanktionsavgifter är att effektivisera sanktionssystemet. Att överträdelser mot dataskyddsregleringen föreslås avkriminaliseras ska inte ses som ett uttryck för att överträdelserna ska bedömas lindrigare . Sank- tionsavgift bör därför bara kunna tas ut för överträdelser som ägt rum efter brottsdatalagens ikraftträdande, vilket bör tydliggöras genom en övergångsbestämmelse. För ett liknande resonemang rörande sanktions- växling, se prop. 2012/13:143 s. 82 f. och prop. 2017/18:105 s. 176 f. I likhet med utredningen anser regeringen att det är viktigt att de över- trädelser som är straffsanktionerade kan beivras även efter ikraftträdan- det av brottsdatalagen. Därför bör det även införas en övergångsbestäm- melse som innebär att äldre föreskrifter ska fortsätta att gälla för överträ- delser som har skett före ikraftträdandet. Regeringens förslag: Bestämmelsen om loggning behöver inte till- lämpas på automatiserade behandlingssystem som har inrättats före Utredningens förslag överensstämmer i huvudsak med regeringens. Enligt utredningens förslag behöver bestämmelsen om loggning inte till- lämpas på automatiserade behandlingssystem som har inrättats före den Remissinstanserna: påpekar att det är ett mycket om- fattande arbete att se över existerande loggar och tillstyrker därför försla- Datainspektionen anser att förslaget riskerar att kraftigt försvaga nuvarande krav på loggning enligt 31 § personuppgiftslagen. spektionen finns det en uppenbar risk för att tillsynsmyndigheten hamnar i tillämpningssvårigheter och gränsdragningsproblem vid tillämpning av Under alla omständigheter bör det, enligt Datainspektion- en, vara tillräckligt med en tvåårsperiod för att implementera föränd- ringar i automatiserade behandlingssystem. sig inte om förslaget. Skälen för regeringens förslag Särskilda övergångsbestämmelser för existerande behandlingssystem Som tidigare nämnts ska de författningar som genomför direktivet vara Enligt artikel 63.2 får dock medlemssta- terna, om det skulle innebära oproportionerliga ansträngningar att anpassa ett automatiserat system som inrättats innan , föreskriva att systemet ska anpassas till artikel 25.1 (kravet på loggning) Under exceptionella omständigheter får enligt artikel 63.3 en medlemsstat medge ytterligare anstånd med anpassningen, dock längst till . Kommissionen ska, om det undantaget utnyttjas, underrättas om skälen till problemen och motiveringen för tidsperioden för anpassning. Myndigheterna i rättskedjan använder automatiserade behandlingssys- tem som inrättats före . I direktivet ställs mer detaljerade krav än tidigare på loggning i sådana system. till utredningen uppgett att de behöver för att närmare analysera beho- vet av anpassningar och för att utforma systemen efter de krav på logg- ning som föreslås i avsnitt 9.2.2. Det kommer att krävas noggranna verk- samhets- och systemanalyser för att klarlägga i vilken utsträckning dagens system för loggning uppfyller kraven och vilka eventuella föränd- ringar som kan behövas. Arbetet med att analysera vilka anpassningar som krävs skulle möjligen hinna genomföras till dess att brottsdatalagen börjar gälla, men det anses inte vara möjligt att inom den korta tiden till ikraftträdandet också hinna anpassa systemen. Det kan vidare krävas viss samordning mellan myndigheterna, eftersom de utbyter många uppgifter elektroniskt och i vissa fall använder samma datasystem. heterna framfört visar att det skulle innebära oproportionerliga ansträng- ningar för dem att redan vid lagens ikraftträdande anpassa sina nuvaran- de system till loggningskraven. Till skillnad från Datainspektionen gör 2017/18:232 regeringen bedömningen att en tvåårig tidsperiod för anpassning inte är tillräcklig. Regeringen håller i stället med utredningen om att det finns behov av en sådan övergångsbestämmelse som direktivet medger. Rege- ringen föreslår följaktligen att det införs en övergångsbestämmelse i brottsdatalagen som innebär att den nya bestämmelsen om loggning inte behöver tillämpas före . Enligt utredningens förslag behöver loggningsbestämmelsen inte tillämpas före den tidpunkten på system som har inrättats före . Den möjlighet direktivet ger att skjuta upp anpassningen gäller dock bara i fråga om system som har inrättats före . Datainspektionen uttrycker oro för att den föreslagna övergångsbe- stämmelsen ska försvaga det krav på loggning som följer av det övergri- pande kravet att personuppgiftsansvariga ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter. Som utredningen understryker sker loggning i automatiserade behandlingssystem. Den föreslagna övergångsbestämmelsen träffar endast de mer preciserade kraven på loggning som uppställs i direktivet och påverkar inte de gene- rella krav på loggning som redan gäller. När det gäller övriga lagändringar ska de enligt huvudprincipen gälla från och med att de träder i kraft. Några övergångsbestämmelser behövs inte. 1 kap. Allmänna bestämmelser Paragrafen tydliggör att lagen genomför dataskyddsdirektivet och reglerar syftet med lagen. Den behandlas i avsnitt 6.1.3. I första stycket anges att lagen genomför och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. I andra stycket, som genomför artikel 1, anges det övergripande syftet Syftet är dubbelt. Det ena syftet är att skydda fysiska per- soners grundläggande rättigheter och friheter i samband med behandling Genom formuleringen tydliggörs att lagens skydds- objekt är fysiska personer. Lagen innehåller inga bestämmelser till skydd för juridiska personer. Det andra syftet är att säkerställa att de myndig- heter som är behöriga myndigheter enligt lagen kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt vid brottsbe- kämpning, lagföring, straffverkställighet och upprätthållande av allmän ordning och säkerhet. Det gäller både nationellt och internationellt Paragrafen har utformats i enlighet med Lagrådets förslag. I paragrafen, som tillsammans med 3 och 4 §§ genomför artikel 2, anges Den behandlas i avsnitt 6.4.1–6.4.4. dragningsfrågor behandlas i avsnitt 6.7. Lagen gäller vid behandling av personuppgifter. Vad som är en person- uppgift och behandling av personuppgifter definieras i 6 §. Lagen gäller bara när en behörig myndighet behandlar personuppgifter för vissa syften. Behörig myndighet definieras i 6 §. Det framgår inte direkt av lagen vilka som är behöriga myndigheter. Det avgörande är om myndigheten har sådana uppgifter att den behandlar personuppgifter för syftena brottsbekämpning, lagföring, straffverkstäl- lighet eller upprätthållande av allmän ordning och säkerhet. digheten, , , , Ekobrottsmyndig- heten, , de allmänna domstolarna och Kriminalvår- den är behöriga myndigheter, men enbart när de behandlar personuppgif- ter för sådana syften. När t.ex. behandlar personuppgifter i beskattningsverksamheten eller utfärdar pass är myn- digheten inte en behörig myndighet. Lagen gäller således inte generellt i de behöriga myndigheternas verksamhet. Även andra myndigheter än de 2017/18:232 nämnda har vissa arbetsuppgifter som gör lagen tillämplig, t.ex. vid rättsmedicinska obduktioner och utfärdande av rättsintyg, Justitiekanslern i egenskap av åklagare i mål om tryckfrihets- brott och yttrandefrihetsbrott och allmänna förvaltningsdomstolar när de prövar frågor som rör verkställighet av straff. Exempel på arbetsuppgifter som inte gör en myndighet till behörig myndighet i lagens mening är skyldighet att anmäla brott eller annan uppgiftsskyldighet till brottsbekämpande myndigheter. att en brottmålsdom expedieras till någon eller att en viss myndighet får tillgång till uppgifter om lagöverträdelser i belastningsregistret eller misstankeregistret gör inte heller att mottagaren av personuppgifterna blir en behörig myndighet i lagens mening. Även andra aktörer än myndigheter kan vara behöriga myndigheter i lagens mening, om de har anförtrotts myndighetsutövning för brottsbe- kämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet. Det gäller t.ex. när naturvårdsvakter och jakttill- synsmän tar egendom i beslag och när ordningsvakter upprätthåller all- män ordning och säkerhet exempelvis vid domstolsförhandlingar. Lagen ska däremot inte tillämpas av offentliga försvarare, målsägande- biträden och särskilda företrädare för barn. utövning inte har överlåtits till dem är de inte behöriga myndigheter i Lagen gäller bara när behöriga myndigheter behandlar personuppgifter för vissa syften, nämligen att förebygga, förhindra eller upptäcka brotts- lig verksamhet, att utreda eller lagföra brott, att verkställa straffrättsliga påföljder eller att upprätthålla allmän ordning och säkerhet. rig myndighet behandlar personuppgifter för något annat syfte gäller inte Det är bl.a. och andra myndigheters underrättelse- verksamhet som avses när formuleringen förebygga, förhindra eller upp- täcka brottslig verksamhet används. arbete med insamling, bearbetning och analys av information i syfte att förhindra eller upptäcka brottslig verksamhet när det ännu inte finns misstankar om att ett visst konkret brott har begåtts (prop. s. 318). Om det finns misstankar om ett konkret brott kan personuppgif- ter behandlas för att utreda brottet. Även behandling av överskotts- information med stöd av 27 kap. 23 a § omfattas, om syftet med behandlingen är att förhindra brott. verksamhet kan också omfattas av tillämpningsområdet, vilket utvecklas i avsnitt 6.4.2. Lagen ska däremot inte tillämpas vid sådan kontrollverksamhet som vissa myndigheter som också har ett brottsbekämpande uppdrag utför med stöd av sina kontrollbefogenheter, t.ex. vid skattekontroll eller tull- Med att utreda brott avses framför allt att genomföra förundersökning enligt 23 kap. . Med brott avses ett konkret brott. kan vara fråga om såväl brott som bevisligen har begåtts som brott som det enbart finns misstankar om. Misstankarna behöver inte vara riktade mot någon bestämd person. Om misstankarna enbart avser icke-preci- serad brottslighet, är det i stället fråga om underrättelseverksamhet. den form av förenklat utredningsförfarande som regleras i 23 kap. 22 § och åtgärder som vidtas med stöd av 23 kap. 3 och 8 §§ innan förundersökning har hunnit inledas omfattas av tillämpningsområdet. Brottsbekämpande myndigheters handläggning av brottsanmälningar hör också hit, även om de leder till beslut om att inte inleda förundersökning. Reglerna om förundersökning i brottmål tillämpas även vid vissa andra typer av undersökningar. I den mån sådana undersökningar görs i syfte att utreda brott, t.ex. vid utredning om utlämning för brott, är lagen till- lämplig. Görs de däremot i annat syfte, t.ex. för att ge underlag för be- dömningar inom , är lagen inte tillämplig. Med uttrycket lagföra brott avses framför allt åklagares beslut i åtals- frågor och om åtalsunderlåtelser samt brottmålsförfarandet i allmän dom- stol. Till brottmålsförfarandet räknas inte bara den rättegång och dom som följer på allmänt åtal utan även handläggningen av förprocessuella frågor som exempelvis förordnande av målsägandebiträde och offentlig försvarare och beslut om häktning och andra straffprocessuella tvångs- medel. Även expediering av domar och beslut hör till brottmålsför- farandet. Vid behandling av personuppgifter för sådana syften ska lagen tillämpas. Detsamma gäller vid personutredning inom ramen för brottmå- let och i sådan stödverksamhet som avser att tillföra åklagare eller dom- stolar forensisk, medicinsk eller psykiatrisk kompetens. I uttrycket lagföra brott ingår också de förenklade straffrättsliga förfa- randen som i huvudsak används vid bötesbrott, föreläggande av ord- ningsbot och strafföreläggande. Behandling av personuppgifter i syfte att verkställa straffrättsliga på- följder förekommer hos ett flertal myndigheter. Kriminalvården verkstäl- ler fängelsestraff, skyddstillsyn och samhällstjänst och ska då tillämpa lagen. Det är dock inte vid all behandling av personuppgifter i Kriminal- vården som lagen ska tillämpas. När Kriminalvården exempelvis bedri- ver hälso- och sjukvård i fängelser och häkten ligger det utanför lagens tillämpningsområde. Kriminalvårdens hantering av administrativa fri- hetsberövanden ligger också utanför tillämpningsområdet. När påföljden bestämts till böter behandlas personuppgifter av Polis- myndigheten i egenskap av uppbördsmyndighet. Vid sådan behandling av personuppgifter är lagen tillämplig. verkställer sluten ungdomsvård. Även soci- alnämnder verkställer i viss utsträckning straffrättsliga påföljder när på- följden är ungdomsvård, ungdomstjänst eller vård av missbrukare. På motsvarande sätt verkställer rättspsykiatriska enheter rättspsykiatrisk vård. Vid behandling av personuppgifter för sådana syften ska lagen tillämpas. Lagen ska också tillämpas vid behöriga myndigheters behandling av personuppgifter när frågor som rör verkställigheten eller ändring av en straffrättslig påföljd prövas. Den är också tillämplig vid internationellt samarbete för de syften som anges i paragrafen. Det innebär att den ska tillämpas exempelvis vid informationsutbyte för brottsbekämpning och i ärenden om utlämning, överförande av lagföring och överförande av straffverkställighet. Det är framför allt som har till uppgift att upprätt- hålla allmän ordning och säkerhet. Lagen ska bl.a. tillämpas på behand- ling av personuppgifter vid ingripanden enligt 13–13 c §§ polislagen (1984:387), men inte vid förvaltningsbeslut enligt ordningslagen (1993:1617). Även har vissa ordningshållande uppgif- ter och ska då tillämpa lagen i samma utsträckning som Polismyndighe- , åklagares och domstolars handläggning av frå- gor som rör tillträdesförbud vid idrottsarrangemang och det register över sådana förbud som för omfattas också av ramlagens Däremot ska lagen inte tillämpas vid idrottsorgani- sationers behandling av uppgifter om sådana förbud, eftersom de inte är Lagen ska även – under förutsättning att inte undantagsbestämmelsen i 1 kap. 4 § är tillämplig – tillämpas av militärpolisen, ordningsvakter och skyddsvakter när de ingriper i syfte att upprätthålla allmän ordning och Detsamma gäller sådana väktare som genom särskilt förord- nande anförtrotts myndighetsutövning för något av de syften som gör Avser förordnandet något annat syfte, t.ex. kontroll av flygpassagerare, är lagen inte tillämplig. Behandling av personuppgifter vid omhändertagande enligt lagen (1976:511) om omhändertagande av berusade personer m.m. är ett annat exempel på när lagen inte ska tillämpas. också utanför lagens tillämpningsområde. Om det ursprungliga syftet med att behandla personuppgifterna upp- hör, är lagen inte längre tillämplig. Ett exempel är att ett enskilt anspråk, som har behandlats tillsammans med ett brottmål, avskiljs för att i stället handläggas enligt den ordning som är föreskriven för tvistemål. exempel är att det under en förundersökning klarläggs att det inte förele- gat något brott, t.ex. att ett misstänkt dödsfall var naturligt. för att behandla personuppgifterna med stöd av lagen finns då inte längre, annat än för att avskriva saken. För att lagen ska vara tillämplig krävs både att myndigheten är behörig och att behandlingen i det enskilda fallet utförs för något av de tillåtna Det innebär att om t.ex. samma personuppgift rörande en ung lagöverträdare till två olika motta- gare (åklagaren respektive socialnämnden) är lagen tillämplig i det ena fallet men inte i det andra beroende på att behandlingen har olika syften (att redovisa underlag för åklagarens beslut i fråga om förundersökning respektive att fästa socialnämndens uppmärksamhet på att nämndens sociala insatser kan behövas). När det gäller tillämpningsområdet görs ingen skillnad mellan att upp- gifter behandlas för en behörig myndighets egen verksamhet eller för att bistå en annan svensk eller utländsk behörig myndighet, så länge syftet med behandlingen är något av de som anges i lagen. myndigheten bistår en utländsk myndighet med någon utredningsåtgärd inom ramen för internationell rättslig hjälp i brottmål eller i samband med att en arresteringsorder från en annan medlemsstat behandlas, ska Lagen gäller inte vid behandling av personuppgifter som rör nationell säkerhet eller om har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspolisen. ler inte heller i verksamhet som omfattas av lagen (2007:258) om be- handling av personuppgifter i Försvarsmaktens försvarsunderrättelse- verksamhet och militära säkerhetstjänst. Undantagen framgår av 4 §. Paragrafen begränsar lagens tillämpningsområde huvudsakligen till helt eller delvis automatiserad behandling av personuppgifter, men även viss behandling omfattas. Paragrafen genomför artikel 2.2 och be- handlas i avsnitt 6.4.5. För att lagen ska vara tillämplig krävs att behandlingen är helt eller delvis automatiserad eller att personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier. När det gäller automatiserad behandling krävs det inte att de hanterade personuppgif- terna finns i något som kan karaktäriseras som ett register eller att de annars är ordnade på visst sätt. Även behandling av enstaka personupp- gifter, t.ex. namn, i löpande text omfattas således av lagens tillämpnings- område. Helt behandling av personuppgifter som inte ingår i någon samling och inte heller är avsedda att ingå i en sådan, exempelvis handskrivna minnesanteckningar, ligger däremot utanför tillämpnings- området. Paragrafen reglerar i enlighet med artikel 2.3 och skäl 14 undantag från lagens tillämpningsområde. Paragrafen behandlas i avsnitt 6.5.1. I paragrafen undantas Säkerhetspolisens behandling av personuppgifter som rör nationell säkerhet från tillämpningsområdet. Däremot undantas inte Säkerhetspolisens personuppgiftsbehandling i övrigt, exempelvis när myndigheten handlägger en förundersökning som den övertagit från med stöd av 30 § förordningen (2014:1102) med instruktion för . I paragrafen anges även att lagen inte gäller om har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspoli- sen eller i verksamhet som omfattas av lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst. Något motsvarande generellt undantag för personuppgiftsbehandling som rör nationell säkerhet gäller inte för andra myndigheter som tilläm- par lagen. Det innebär exempelvis att och allmänna domstolar ska tillämpa lagen även vid handläggning av mål om brott mot säkerhet. Avvikande bestämmelser i annan författning Paragrafen reglerar lagens förhållande till avvikande bestämmelser i en annan lag eller en förordning. Paragrafen behandlas i avsnitt 6.1.2 och 6.3. Lagen är subsidiär till annan lagstiftning. Det innebär att om det finns avvikande bestämmelser i t.ex. en viss myndighets registerförfattning, som polisdatalagen (2010:361) eller åklagardatalagen (2015:433), eller i en författning som reglerar ett visst register, som lagen (1998:620) om belastningsregister, eller visst samarbete inom direktivets tillämp- ningsområde, gäller de i stället för bestämmelserna i lagen. 2017/18:232 gäller avvikande bestämmelser i och offentlighets- och sekretesslagen (2009:400). Avvikande bestämmelser kan också finnas i författningar som genom- för dataskyddsbestämmelser som har sin grund i rättsakter och avtal som enligt artiklarna 60 och 61 i direktivet ska ha företräde därför att de har tillkommit före direktivet, t.ex. samarbete enligt Prümrådsbeslutet som regleras i 4 kap. lagen (2017:496) om internationellt polisiärt samarbete. I paragrafen, som genomför artikel 3, definieras vissa uttryck som används i lagen. Definitionen motsvarar direktivets definition av behandling i artikel 3.2. Uttrycket behandlas i avsnitt 6.2. Uttrycket behandling av personuppgifter omfattar alla åtgärder som vidtas med sådana uppgifter. Så snart personuppgifter hanteras på något sätt är det fråga om behandling som omfattas av lagens bestämmelser, om den är helt eller delvis automatiserad eller avser behandling i en strukturerad samling av personuppgifter. av olika sätt att hantera personuppgifter är således inte uttömmande. Definitionen, som har utformats i enlighet med Lagrådets förslag, mot- svarar direktivets definition av behörig myndighet i artikel 3.7. behandlas i avsnitt 6.4.4. Gränsdragningsfrågor behandlas i avsnitt 6.7. Det framgår inte direkt av lagen vilka myndigheter som är behöriga Det avgörande är om myndigheten har till uppgift att före- bygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning Myndigheterna är behöriga myndigheter bara när de utför Vad som ryms i de uppgifterna och i vilka fall någon kan vara behörig myndighet utvecklas i kommentaren till 2 §. dighet kan således vara både behörig och icke behörig i lagens mening beroende på vilka uppgifter som utförs. En myndighet är vidare endast behörig när den behandlar personuppgifter för syftena brottsbekämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och Även andra aktörer än myndigheter kan vara behöriga myndigheter i lagens mening om de har anförtrotts myndighetsutövning för brottsbe- kämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet. Det utvecklas i kommentaren till 2 §. Definitionen utgår från hur biometriska uppgifter definieras i artikel 3.13. Uttrycket behandlas i avsnitt 6.2. Biometri är ett samlingsnamn för sådan automatiserad teknik som syf- tar till att identifiera en person eller avgöra om en påstådd identitet är Den baseras på fysiska karaktärsdrag hos den som ska identifieras. Mönster av fingeravtryck, ansiktsgeometri, ögats iris, regnbågshinna och näthinna, röst, hand, blodkärl, dna eller gång är exempel på områden där sådan teknik kan användas. Gemensamt för teknikerna är att kroppen mäts elektroniskt. Biometriska uppgifter är den information som kan tas fram ur ett biometriskt underlag. Uppgifterna kan användas för att skapa en referensmall eller för att jämföra med tidigare lagrade referensmallar i syfte att kontrollera en persons identitet. Fingeravtryck är en vanlig form av biometrisk uppgift. Personuppgifter, t.ex. fingeravtryck, som före- kommer i ett utlåtande som baseras på en teknisk bearbetning av biomet- riska uppgifter utgör däremot inte biometriska uppgifter. Biometriska uppgifter i form av fingeravtryck kan framgå av ett spår som påträffas vid utredning av ett brott. Även analys av spåren omfattas av definitionen, trots att de inte går att härleda till en identifierad person. Dna-spår behandlas i kommentaren till uttrycket genetiska uppgifter.