prop · H503232 · 2018-04-19 00:00:00 — Det görs också tydlig skillnad mellan tillsynsmyndighetens förebyg- gande och korrigerande befogenheter. Till de förebyggande befogenhe- terna, som inte är bindande, hör råd, rekommendationer och påpekanden. får också möjlighet att utfärda skriftlig varning om att det finns risk för att viss behandling kan komma att stå i strid med regelverket. Till de korrigerande befogenheterna, som är bindande för den person- uppgiftsansvarige eller personuppgiftsbiträdet, hör förelägganden, förbud mot fortsatt behandling och beslut om sanktionsavgift. internationella samarbete regleras också i ram- lagen. I anslutning till det föreslås en sekretessbrytande regel som ger myndigheten möjlighet att, om det ligger i svenskt intresse, lämna ut uppgifter som är sekretessbelagda när tillsynsmyndigheten begär bistånd av en utländsk tillsynsmyndighet. Vidare föreslås en ny sekretessregel som ska gälla hos tillsynsmyndigheten i tillsynsverksamhet enligt lagen för uppgifter som en utländsk tillsynsmyndighet har lämnat i samband med en begäran om svenskt bistånd med tillsyn. Sekretessen gäller om det kan antas att möjligheterna för den svenska tillsynsmyndigheten att bedriva tillsyn motverkas om uppgiften röjs. Utredningen anser att överträdelser av bestämmelserna om personupp- giftsbehandling i ramlagen inte ska straffsanktioneras. Det ska i stället införas en ny administrativ sanktion i form av sanktionsavgift. Det mot- svarar vad som gäller vid överträdelse av bestämmelserna i dataskydds- förordningen. Sanktionsavgift får tas ut av personuppgiftsansvariga och i vissa fall av personuppgiftsbiträden. Sanktionsavgift får tas ut av personuppgiftsans- variga vid överträdelse av de grundläggande bestämmelserna till skydd för enskildas integritet. Det gäller bl.a. om personuppgifter behandlas utan rättslig grund eller utan ett särskilt angivet och berättigat ändamål, om personuppgifterna inte uppfyller kraven på att vara korrekta, aktuella, adekvata och relevanta eller om fler uppgifter än nödvändigt behandlas eller om de behandlas längre än vad som är nödvändigt med hänsyn till ändamålen. Det gäller också om den personuppgiftsansvarige inte vidtar tillräckliga säkerhets- och skyddsåtgärder eller om personuppgifter över- förs till tredjeland eller internationella organisationer i strid med regel- verket. Sanktionsavgift får också tas ut om den personuppgiftsansvarige inte bistår tillsynsmyndigheten vid tillsyn eller inte rättar sig efter tillsyns- myndighetens förelägganden eller beslut. Regleringen av sanktionsavgift bygger på strikt ansvar, men sanktions- avgift behöver inte tas ut vid varje överträdelse. Vid bedömningen av om sanktionsavgift ska tas ut och till vilket belopp den ska bestämmas ska särskild hänsyn tas till bl.a. om överträdelsen varit uppsåtlig eller berott på oaktsamhet, den skada, fara eller kränkning som överträdelsen innebu- rit, överträdelsens karaktär, svårhetsgrad och varaktighet och vad som gjorts för att begränsa skadan. Sanktionsavgiften ska bestämmas till lägst och högst för mindre allvarliga överträdelser och det dubbla vid ska besluta om sanktionsavgift och sanktionsav- giften ska tillfalla staten. Den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning som behandling av personuppgifter i strid med ramlagen med tillhörande förordning har orsakat. Jämkning av skadeståndsskyl- digheten ska, i motsats till vad som är fallet , inte vara möjlig. Vissa beslut som en myndighet fattat i egenskap av personuppgiftsan- svarig ska kunna överklagas. Det gäller beslut i fråga om rättelse, komp- lettering, radering eller begränsning av behandlingen, beslut att inte lämna ut information på begäran av en registrerad, att ta ut avgift för sådan information eller att inte medge omprövning av automatiserade be- slut. Regleringen motsvarar i allt väsentligt det som gäller . beslut enligt lagen får också överklagas. Vid överklagande till kammarrätten ska det krävas prövningstillstånd vid överklagande av både personuppgiftsansvariga myndigheters och tillsynsmyndighetens beslut. Det införs också en möjlighet för registrerade att föra s.k. dröjsmålstal- an om tillsynsmyndigheten dröjer med att handlägga klagomål. Om en registrerad har lämnat in ett klagomål till tillsynsmyndigheten och den inte har tagit ställning till om klagomålet ska föranleda tillsyn, har den registrerade rätt att antingen få ett skrift- ligt besked i den frågan eller ett särskilt beslut om att begäran om besked avslås. Om tillsynsmyndigheten har avslagit begäran får den registrerade överklaga beslutet till allmän förvaltningsdomstol. Om domstolen bifal- ler talan ska den förelägga tillsynsmyndigheten att inom en bestämd tid lämna den registrerade besked i frågan om tillsyn kommer att utövas. Domstolen ska däremot inte ta ställning i frågan om tillsyn ska utövas. Överföring till tredjeland och internationella organisationer I ramlagen regleras vad som ska gälla vid överföring av personuppgifter till tredjeland och internationella organisationer. Med tredjeland avses i lagen andra stater än EU:s medlemsstater, , , Behöriga myndigheter får överföra personuppgifter som behandlas automatiserat till ett tredjeland eller en internationell organisation eller överföra uppgifterna dit för att de ska behandlas automatiserat där. Det ställs upp en rad villkor för att uppgifterna ska få överföras. Personupp- gifter får endast överföras om överföringen är nödvändig för att före- bygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Överföringen ska enligt huvudregeln riktas till en behörig myndighet i ett tredjeland eller en internationell organisation som är en behörig myndighet. Dessutom krävs det att kommissionen har meddelat ett beslut om att det tredjelandet eller den internationella organisationen har adekvat skyddsnivå för personuppgifter eller, om det inte finns ett sådant beslut, personuppgifterna omfattas av tillräckliga skyddsåtgärder. I vissa särskilda undantagssituationer får dock personuppgifter överföras även om det inte finns ett beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgärder. Det gäller bl.a. om det är nödvändigt för att skydda den registrerades eller en annan fysisk persons vitala intressen, för att en behörig myndighet i ett enskilt fall ska kunna förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straff- rättsliga påföljder eller upprätthålla allmän ordning och säkerhet eller för att avvärja en omedelbar eller allvarlig fara för allmän säkerhet. Vidare regleras vad som ska göras om ett tredjeland eller en interna- tionell organisation vill vidareöverföra personuppgifter till ett tredjeland eller en internationell organisation och möjligheten att i vissa fall över- föra personuppgifter till andra än behöriga myndigheter. Förslagen bedöms förbättra skyddet för enskildas integritet. Förbättrat dataskydd ger möjlighet till ökat informationsutbyte mellan brottsbekämpande myndigheter både nationellt och mellan medlemssta- terna, vilket är positivt för det brottsförebyggande arbetet. De ekono- miska konsekvenserna för berörda myndigheter bedöms rymmas inom de befintliga ekonomiska ramarna. Den nya lagen föreslås träda i kraft . Det krävs särskilda övergångsbestämmelser, dels för det nya sanktionssystemet, dels för mål och ärenden som rör behandlingen av personuppgifter som har påbörjats före lagens ikraftträdande men inte hunnit slutföras. Det krävs också övergångsbestämmelser för mål som har överklagats men inte hunnit slutföras och för ersättning för skador som har vållats före ikraft- trädandet. Lagförslag i SOU 2017:29 Förslag till brottsdatalag (2018:000) Härigenom föreskrivs följande. 1 kap. Allmänna bestämmelser 1 § Syftet med denna lag är att skydda fysiska personers grundläggande fri- och rättigheter i samband med behandling av personuppgifter och att säkerställa att behöriga myndigheter kan behandla och utbyta personupp- gifter med varandra på ett ändamålsenligt sätt. Genom denna lag genomförs och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF (dataskyddsdirektivet). 2 § Denna lag gäller för behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straff- rättsliga påföljder. Den gäller också för behandling av personuppgifter som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet. 3 § Lagen gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av person- uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. 4 § Lagen gäller inte vid behandling av personupp- gifter som rör nationell säkerhet eller om har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspolisen. Avvikande bestämmelser i annan författning 5 § Om det i en annan lag eller en förordning finns bestämmelser som avviker från denna lag, ska de bestämmelserna gälla. 2017/18:232 Uttryck i lagen 6 § I denna lag används följande uttryck med nedan angiven betydelse. En åtgärd eller kombination av åtgärder som vidtas i fråga om per- sonuppgifter eller uppsättningar av görs automatiserat eller inte, t.ex. ring, strukturering, lagring, bear- betning eller ändring, framtagning, spridning eller tillhandahållande på annat sätt, justering, sammanfö- a) förebygga, upptäcka brottslig verksamhet, b) utreda eller lagföra brott, och säkerhet, eller myndighet för något av de syften som anges i 1. sons fysiska, fysiologiska eller bete- tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar unik identifiering av perso- nen i fråga. En fysisk person som utses av den personuppgiftsansvarige för att självständigt se till att personupp- och på ett korrekt sätt. Personuppgifter som rör en per- härrör från analys av ett spår av eller ett prov från personen i fråga. En organisation och dess under- ställda organ som lyder under folk- rätten eller ett annat organ som in- rättats genom eller på grundval av eller flera stater. En stat som är medlem i Euro- peiska unionen och , Liech- tenstein, och . lämnas ut, med undantag av en myndighet som med stöd av för- Varje upplysning om en iden- person som är i livet. ensam eller tillsammans med andra medlen för behandlingen av per- Den som, med stöd av ett skrift- ligt avtal eller annan skriftlig över- uppgifter för den personuppgifts- En säkerhetsincident som leder till förlust eller ändring eller obehörigt röjande av eller obehörig åtkomst till Den fysiska person som person- att enligt dataskyddsdirektivet utöva tillsyn över behandling av person- uppgifter som utförs av behöriga myndigheter i syfte att förebygga, brott, verkställa straffrättsliga påfölj- der eller upprätthålla allmän ordning En stat som inte är en medlems- Någon annan än den registrera- som under den personuppgiftsan- dets direkta ansvar har rätt att be- Uppgift som rör hälsa sons fysiska eller psykiska hälsa, inkluderande information om till- handahållande av hälso- och sjuk- vårdstjänster som ger upplysning om personens hälsostatus. 2 kap. Behandling av personuppgifter Behandling för ändamål inom denna lags tillämpningsområde Tillåtna rättsliga grunder för behandling av personuppgifter 1 § Personuppgifter får behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra en arbetsuppgift i syfte att förebygga, för- hindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa en straffrättslig påföljd eller upprätthålla allmän ordning och säkerhet. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket regeringen upp- dragit åt den behöriga myndigheten att ansvara för en sådan uppgift. 2 § Utöver vad som sägs i 1 § får personuppgifter behandlas om 1.det är nödvändigt för diarieföring, eller 2.uppgifterna har lämnats till en behörig myndighet i en anmälan, an- sökan eller liknande och behandlingen är nödvändig för myndighetens handläggning. Ändamål för behandling av personuppgifter 3 § Personuppgifter får behandlas bara för särskilda, uttryckligt angivna och berättigade ändamål. Om det ändamål som personuppgifterna behandlas för inte framgår av sammanhanget eller på annat sätt, ska det tydliggöras genom en särskild upplysning. 4 § Innan personuppgifter får behandlas för ett nytt ändamål inom denna lags tillämpningsområde ska det säkerställas att 1.det finns en tillåten rättslig grund enligt 1 § för den nya behand- lingen, och 2.behandlingen är nödvändig och proportionerlig för det nya ända- målet. 5 § En behörig myndighet får behandla personuppgifter för vetenskap- liga, statistiska eller historiska ändamål inom denna lags tillämpningsom- råde. Grundläggande krav på behandlingen av personuppgifter Laglig och korrekt behandling 6 § Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. 7 § Personuppgifter som behandlas ska vara korrekta och, om det är nöd- vändigt, uppdaterade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. 8 § Personuppgifter som behandlas ska vara adekvata och relevanta i för- hållande till ändamålen med behandlingen. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Åtskillnad mellan olika slag av personuppgifter 9 § Så långt det är möjligt ska personuppgifter som rör olika kategorier av registrerade, som personer som är misstänkta eller dömda för brott, brottsoffer eller andra som berörs av ett brott, särskiljas. Om det inte framgår av sammanhanget eller på annat sätt till vilken kategori personen hör, ska det tydliggöras genom en särskild upplysning. 10 § Så långt det är möjligt ska personuppgifter som grundar sig på fakta skiljas från personuppgifter som grundar sig på personliga bedömningar. Om grunden inte framgår av sammanhanget eller på annat sätt ska den tydliggöras genom en särskild upplysning. 11 § Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. Om uppgifter om en person behandlas får de dock kompletteras med sådana uppgifter som anges i första stycket när det är absolut nödvändigt för ändamålet med behandlingen. 12 § Biometriska uppgifter som används för att identifiera en person och genetiska uppgifter får behandlas endast om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. 13 § Personuppgifter som avses i 11 och 12 §§ betecknas i denna lag som känsliga personuppgifter. Känsliga personuppgifter får behandlas med stöd av 2 §. 14 § Det är förbjudet att utföra sökningar i syfte att få fram ett person- urval grundat på känsliga personuppgifter. Åtgärder för att säkerställa personuppgifternas kvalitet 15 § Alla rimliga åtgärder ska vidtas för att personuppgifter som är fel- aktiga eller ofullständiga med hänsyn till ändamålet med behandlingen utan onödigt dröjsmål rättas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Personuppgifter som är inaktuella ska uppdateras om det är nödvändigt. När personuppgifter lämnas ut till en behörig myndighet ska motta- garen så långt det är möjligt ges information som gör det möjligt att be- döma i vilken utsträckning uppgifterna är korrekta, fullständiga, uppda- terade och tillförlitliga. 16 § Alla rimliga åtgärder ska vidtas för att personuppgifter som behand- las i strid med 1, 2, 3 § första stycket, 4–6, 8, 11, 12, 14 eller 17 § första stycket utan onödigt dröjsmål raderas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Detsamma gäller om radering krävs för att utföra en rättslig förpliktelse. Om förutsättningarna i första stycket för att radera personuppgifter är uppfyllda men de behöver finnas kvar som bevisning, ska den person- uppgiftsansvarige i stället utan onödigt dröjsmål begränsa behandlingen av uppgifterna. Längsta tid som personuppgifter får behandlas 17 § Personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Bestämmelsen i första stycket hindrar inte att en behörig myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. 18 § Om det inte är föreskrivet i lag eller annan författning när en viss kategori av personuppgifter inte längre får behandlas för andra ändamål än arkivändamål, ska den personuppgiftsansvarige se över beho- vet av att fortsatt behandla personuppgifterna. 19 § Om ett beslut, som har rättsliga följder för en fysisk person eller annars i betydande grad påverkar honom eller henne, enbart grundas på automatiserad behandling av sådana personuppgifter som är avsedda att bedöma hans eller hennes egenskaper, ska personen ha möjlighet att på begäran få beslutet omprövat av någon person. Automatiserade beslut får inte enbart grundas på känsliga person- uppgifter. 20 § Om det inte är särskilt föreskrivet får villkor för behandling av per- sonuppgifter inte ställas upp i förhållande till en mottagare i en annan medlemsstat eller ett EU-organ, om det inte i motsvarande fall får ställas upp samma typ av villkor i förhållande till en svensk mottagare. Behandling för ändamål utanför denna lags tillämpningsområde 21 § Av artikel 2.1 d i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avse- ende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskydds- förordning), i den ursprungliga lydelsen, framgår att dataskyddsförord- ningen ska tillämpas när en behörig myndighet behandlar personuppgif- ter för ändamål utanför denna lags tillämpningsområde. 22 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 2.åtgärder för att säkerställa att personuppgifter inte behandlas längre än nödvändigt. 3 kap. Personuppgiftsansvarigas skyldigheter 1 § Den personuppgiftsansvarige är ansvarig för all behandling av per- sonuppgifter som utförs under dennes ledning eller på dennes vägnar. Åtgärder för att säkerställa författningsenlig behandling Tekniska och organisatoriska åtgärder 2 § Den personuppgiftsansvarige ska, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa och kunna visa att behandlingen av personuppgifter är författningsenlig och att registrerades rättigheter skyddas. 3 § Både vid beslut om hur behandlingen ska utföras och vid behand- lingen ska den personuppgiftsansvarige, genom lämpliga tekniska och organisatoriska åtgärder, se till att dataskyddsprinciper säkerställs på ett effektivt sätt och att nödvändiga skyddsåtgärder integreras i be- handlingen (inbyggt dataskydd). 4 § Den personuppgiftsansvarige ska säkerställa att det i automatiserade behandlingssystem som regel endast är möjligt att behandla de person- uppgifter som är nödvändiga för varje särskilt angivet ändamål med be- handlingen (dataskydd som standard). 5 § Den personuppgiftsansvarige ska säkerställa att det i automatiserade behandlingssystem förs loggar över personuppgiftsbehandling i den ut- sträckning det är särskilt föreskrivet. 6 § Den personuppgiftsansvarige ska se till att tillgången till personupp- gifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. 7 § Kan en typ av ny behandling, eller betydande förändringar avseende redan pågående behandling, antas medföra särskild risk för intrång i registrerades personliga integritet, ska den personuppgiftsansvarige innan behandlingen påbörjas eller förändringen genomförs bedöma konsekven- serna för skyddet av personuppgifter. Om konsekvensbedömningen visar att det finns särskild risk för intrång i registrerades personliga integritet eller om typen av behandling innebär särskild risk för intrång, ska den personuppgiftsansvarige samråda med tillsynsmyndigheten innan behandlingen påbörjas eller bety- dande förändringar genomförs. 8 § Den personuppgiftsansvarige ska vidta lämpliga tekniska och orga- nisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling och mot förlust, för- störing eller annan oavsiktlig skada. 9 § Senast efter det att den personuppgiftsansvarige fått kän- nedom om en personuppgiftsincident ska den anmälas till tillsynsmyn- digheten, utom i de fall där incidenten rör nationell säkerhet. Anmälan behöver inte göras om det kan antas att personuppgiftsinci- denten inte har medfört eller kommer att medföra någon risk för otillbör- ligt intrång i registrerades personliga integritet. 10 § Om en personuppgiftsincident som ska anmälas enligt 9 § första stycket har medfört eller kan antas medföra särskild risk för otillbörligt intrång i registrerades personliga integritet, ska den personuppgiftsans- varige utan onödigt dröjsmål underrätta den registrerade om incidenten. Underrättelseskyldigheten enligt första stycket gäller inte om den per- sonuppgiftsansvarige 1.har tillämpat lämpliga tekniska och organisatoriska skyddsåtgärder på de personuppgifter som påverkades av incidenten, 2.har säkerställt att det inte längre finns särskild risk för otillbörligt in- trång i registrerades personliga integritet, eller 3.skulle behöva göra oproportionerliga ansträngningar för att under- rätta alla berörda. I fall som avses i andra stycket 3 ska allmänheten informeras eller en liknande åtgärd vidtas genom vilken de registrerade får nödvändig in- formation. 11 § Den personuppgiftsansvarige får underlåta att lämna information enligt 10 § i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut av hänsyn till intresset av att 1.förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet, 2.andra rättsliga utredningar eller undersökningar inte hindras, 3.nationell säkerhet skyddas, eller 4.annans fri- och rättigheter skyddas. Första stycket gäller även för en personuppgiftsansvarig som inte är en myndighet i motsvarande fall som avses i offentlighets- och sekretess- lagen (2009:400). 12 § Den personuppgiftsansvarige ska samarbeta med tillsynsmyndighe- ten när den utför uppgifter enligt denna lag och föreskrifter som har med- delats i anslutning till den. 13 § Den personuppgiftsansvarige ska utse ett eller flera dataskydds- ombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses 14 § Dataskyddsombud ska 1.självständigt kontrollera att den personuppgiftsansvarige behandlar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt full- gör sina skyldigheter, 2.informera och ge råd till den personuppgiftsansvarige och de som behandlar personuppgifter under dennes ledning om deras skyldigheter vid behandling av personuppgifter, 3.på begäran ge den personuppgiftsansvarige råd vid en konsekvens- bedömning och kontrollera att den genomförs på korrekt sätt, 4.vara kontaktpunkt för enskilda i frågor som rör behandling av per- sonuppgifter, och 5.samarbeta med tillsynsmyndigheten och vara kontaktpunkt för den vid förhandssamråd och andra frågor som rör behandling av person- uppgifter.