prop · H503248 · 2018-04-19 00:00:00 — Regeringens proposition 2017/18:248 Kriminalvårdsdatalag – en ny lag med anpassning till EU:s dataskyddsförordning Regeringen överlämnar denna proposition till . Regeringen föreslår en ny lag, kriminalvårdsdatalagen, som ska gälla för behandling av personuppgifter inom den del av Kriminalvårdens verksamhet som inte omfattas av brottsdatalagens tillämpningsområde. Genom den nya lagen anpassas regleringen av personuppgifter inom till EU:s dataskyddsförordning. Förordningen är direkt tillämplig men ger utrymme för kompletterande nationella bestämmelser. Den nya lagen föreslås träda i kraft . Förslag till riksdagsbeslut ................................................................. Förslag till kriminalvårdsdatalag ...................................................... Ärendet och dess beredning .............................................................. Den nuvarande generella regleringen – dataskyddsdirektivet och personuppgiftslagen ................... 4.2Kriminalvårdens uppdrag och lagen om behandling av personuppgifter inom kriminalvården ........................... Dataskyddslagen och brottsdatalagen................................. 4.5En fortsatt särskild reglering av Behovet av en ny lag med kompletterande bestämmelser till dataskyddsförordningen ....................... Lagens förhållande till annan reglering ............................ Behandling av känsliga personuppgifter .......................... Tillgången till personuppgifter ......................................... 5.9Sekretess ska gå före skyldigheten att informera om Ikraftträdande- och övergångsbestämmelser .................... Konsekvenser av förslagen ............................................................. och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning)......................................... Kriminalvårdens datalag – anpassning till EU:s dataskyddsförordning (Ds 2017:46) ............................... Förteckning över remissinstanserna (Ds 2017:46) ......... Utdrag ur protokoll vid regeringssammanträde ....... 1 Förslag till riksdagsbeslut Regeringen föreslår att antar regeringens förslag till kriminalvårdsdatalag. Härigenom föreskrivs följande. lag gäller vid behandling av personuppgifter i Kriminal- vårdens verksamhet som avser verkställighet av frihetsberövanden och genomförande av transporter i de fall brottsdatalagen (2018:000) inte är Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukture- rad samling av personuppgifter som är tillgängliga för sökning eller sam- manställning enligt särskilda kriterier. Förhållandet till annan reglering 2 § Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av så- dana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsför- ordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. 3 § Personuppgifter får behandlas om det är nödvändigt för att verkställa frihetsberövanden eller genomföra transporter. Uppgifter i Kriminalvårdens säkerhetsregister får dock endast behandlas för att förebygga och förhindra incidenter av betydelse för enskildas 4 § Personuppgifter som behandlas enligt 3 § får även behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller Personuppgifterna får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Behandling av känsliga personuppgifter 5 § Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får behandlas endast om det är absolut nöd- vändigt för syftet med behandlingen. 6 § Det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. 2017/18:248 Sökförbudet hindrar inte sökning i personuppgifter i säkerhetsregistret i syfte att få fram ett urval av personer grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning. 7 § Tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. 8 § Den personuppgiftsansvariges skyldighet att informera den registrerade om en personuppgiftsincident enligt artikel 34 i EU:s dataskyddsförordning gäller inte sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Rätt att meddela föreskrifter 9 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om vilka myndigheter som får ha direktåtkomst till personuppgifter. 1.Denna lag träder i kraft . 2.För överklagande av beslut som rör behandling av personuppgifter i verksamhet som omfattas av denna lag och som före ikraftträdandet har meddelats med stöd av lagen (2001:617) om behandling av personuppgifter inom kriminalvården gäller den lagen i den nuvarande lydelsen. Ärendet och dess beredning utfärdades och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Dataskyddsförordningen kommer att ersätta det nuvarande dataskyddsdirektivet och utgöra den generella regleringen av personuppgiftsbehandling inom EU. Dataskyddsförordningen är direkt tillämplig men innehåller bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Förordningen finns i bilaga 1. Chefen för gav en sakkunnig person i uppdrag att lämna förslag på de författningsändringar som behövs i domstolsdatalagen (2015:728) och domstolsdataförordningen (2015:729) med anledning av dataskyddsförordningen (Ju2016/06265/LP). Genom tilläggsuppdrag gavs utredaren i uppdrag att även lämna förslag på de författningsändringar som behövs för att anpassa Kriminalvårdens personuppgiftsreglering med anledning av dataskyddsförordningen. Uppdraget som avsåg Kriminalvårdens personuppgiftsreglering redovisades i departementspromemorian Kriminalvårdens datalag – anpassning till EU:s dataskyddsförordning (Ds 2017:46). En sammanfattning av promemorian finns i bilaga 2 och promemorians lagförslag finns i bilaga 3. Promemorian har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 4. Remissyttrandena finns tillgängliga i (Ju2017/07642/L5). Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 5. Lagrådets yttrande finns i bilaga 6. Regeringen följer i allt väsentligt Lagrådets synpunkter. Dessa behandlas i avsnitt 5.10, 5.11 och 7. I förhållande till lagrådsremissens förslag har vissa redaktionella ändringar gjorts. 4.1Den nuvarande generella regleringen – dataskyddsdirektivet och personuppgiftslagen Den allmänna regleringen om behandling av personuppgifter inom EU finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, dataskyddsdirektiv. Direktivets syfte är att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda person- 2017/18:248 ers fri- och rättigheter i samband med behandling av personuppgifter. Syftet är vidare att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. har genomfört direktivet främst genom personuppgiftslagen (1998:204). Lagen har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Lagen följer i princip samma struktur som direktivet och innehåller bestämmelser om bl.a. personuppgiftsansvar, grundläggande krav för behandling av personuppgifter och information till den registrerade. Personuppgiftslagen gäller för både myndigheter och enskilda som behandlar personuppgifter. Lagen är subsidiär, vilket innebär att personuppgiftslagens bestämmelser inte ska tillämpas om det finns avvikande bestämmelser i en annan lag eller förordning. Det finns ett stort antal sådana bestämmelser i de sektorsspecifika s.k. registerförfattningar som reglerar myndigheters personuppgiftsbehandling. Personuppgiftslagen kompletteras av bestämmelser i personuppgiftsförordningen (1998:1191) som bl.a. pekar ut Datainspektionen som tillsynsmyndighet. 4.2Kriminalvårdens uppdrag och lagen om behandling av personuppgifter inom kriminalvården Kriminalvården ansvarar enligt 1 § förordningen (2007:1172) med instruktion för Kriminalvården för att verkställa utdömda påföljder, bedriva häktesverksamhet samt utföra personutredningar i brottmål. Enligt 2 § ska Kriminalvården bl.a. verka för att påföljder verkställs på ett säkert, humant och effektivt sätt och att återfall i brott förebyggs. Kriminalvården ska särskilt vidta åtgärder som syftar till att brottslighet under verkställigheten förhindras. Kriminalvården ska vidare, enligt 6 §, verkställa de transporter som och Säkerhetspolisen överlämnar enligt 29 a § polislagen (1984:387) samt lämna andra myndigheter den hjälp med transport som är särskilt föreskrivet. regleras kriminalvårdens personuppgiftsbehandling i lagen (2001:617) om behandling av personuppgifter inom kriminalvården och i förordningen (2001:682) om behandling av personuppgifter inom kriminalvården. Syftet med kriminalvårdens personuppgiftsreglering är att ge kriminalvården möjlighet att behandla personuppgifter utifrån de särskilda behov som myndigheterna har i sina respektive verksamheter och att göra avvägningar mellan verksamhetens behov av effektivitet och den enskildes rätt till skydd för sin integritet. Lagen om behandling av personuppgifter inom kriminalvården gäller enligt 1 § vid behandling av personuppgifter i kriminalvårdens verksamhet i fråga om personer som är föremål för personutredning, häktade, dömda till fängelse eller skyddstillsyn, dömda till villkorlig dom med föreskrift om samhällstjänst eller ålagda fängelse som förvandlingsstraff för böter eller vite. Lagen gäller vidare vid behandling av personuppgifter i fråga om personer som på grund av utländsk dom ska verkställa en sådan påföljd som avses ovan i , som på annan grund är in- tagna i häkte eller kriminalvårdsanstalt eller som annars transporteras av Prop. 2017/18:248 kriminalvårdens transporttjänst. Även annan sektorspecifik reglering av personuppgiftsbehandling är i vissa fall tillämplig vid personuppgiftsbehandling inom kriminalvården, t.ex. patientdatalagen (2008:355) som är tillämplig när kriminalvården bedriver hälso- och sjukvård. Kriminalvårdens personuppgiftsreglering har, till skillnad från flera andra registerförfattningar, inte setts över materiellt sedan den tillkom efter personuppgiftslagen. Lagstiftningen gäller utöver personuppgiftslagen, dvs. den innehåller de bestämmelser som utöver personuppgiftslagen är nödvändiga för kriminalvårdens verksamhet. Lagen om behandling av personuppgifter inom kriminalvården består av 17 paragrafer, medan förordningen om behandling av personuppgifter inom kriminalvården innehåller 49 paragrafer. Regleringen om personuppgiftsbehandling finns därmed till största del i den tillhörande förordningen. Mot denna bakgrund kan det finnas behov av att göra en översyn av kriminalvårdens registerlagstiftning. Europeiska kommissionen presenterade 2012 förslag till en genomgripande reform av om skydd för personuppgifter. Förslagen avsåg dels en förordning som ersätter dataskyddsdirektiv, dels ett nytt direktiv med särregler för personuppgiftsbehandling som utförs för bl.a. brottsbekämpning, lagföring och straffverkställighet. Syftet med förordningen är att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd för personuppgifter, och att främja det fria flödet av personuppgifter inom unionen. Dataskyddsförordningen kommer att ersätta dataskyddsdirektiv och utgöra den generella regleringen av personuppgiftsbehandling inom EU. med dataskyddsförordningen antogs och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF, dataskyddsdirektivet. Dataskyddsförordningen gäller inte för sådan personuppgiftsbehandling som omfattas av direktivets tillämpningsområde (artikel 2.2 d i dataskyddsförordningen). Direktivet ska vara genomfört i nationell rätt . I propositionen Ny dataskyddslag föreslås att personuppgiftslagen ska upphävas och att en ny lag med kompletterande bestämmelser till EU:s dataskyddsförordning, dataskyddslagen, ska införas (prop. 2017/18:105). 2017/18:248 Dataskyddslagen innehåller bestämmelser som kompletterar dataskyddsförordningen på ett generellt plan i svensk rätt. Lagen reglerar bl.a. frågor om rättslig grund för behandling av personuppgifter, känsliga personuppgifter, tillsynsmyndighetens handläggning och beslut samt skadestånd och överklagande. Dataskyddslagen är subsidiär i förhållande till annan lag eller förordning, vilket möjliggör avvikande bestämmelser i sektorsspecifika registerförfattningar. I propositionen Brottsdatalag, som beslutades av regeringen , föreslås att dataskyddsdirektivet ska genomföras i svensk rätt bl.a. genom en ny ramlag, brottsdatalagen (prop. 2017/18:232). I lagrådsremissen Brottsdatalag – kompletterande lagstiftning, som beslutades av regeringen , föreslås vidare anpassningar och andra ändringar i de brottsbekämpande myndigheternas registerförfattningar. Där föreslås bl.a. att lagen om behandling av personuppgifter inom kriminalvården ska byta namn till lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område. Vissa delar av kriminalvårdens verksamhet faller under dataskyddsförordningens tillämpningsområde medan den största delen av verksamheten faller under dataskyddsdirektivets tillämpningsområde. En analys av brottsdatalagens tillämpningsområde och de gränsdragningsfrågor som kan uppstå vid kriminalvårdens personuppgiftsbehandling finns i delbetänkandet Brottsdatalag av Utredningen om 2016 års dataskyddsdirektiv (SOU 2017:29 s. 181 f.) och i propositionen Brottsdatalag (avsnitt 6.4 och 6.7). 4.5En fortsatt särskild reglering av personuppgiftsbehandling inom Regeringens bedömning: EU:s dataskyddsförordning ger utrymme för en särskild reglering om behandling av personuppgifter inom . Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: EU-förordningar ska enligt artikel 288 i fördraget om Europeiska unionens funktionssätt ha allmän giltighet och vara till alla delar bindande och direkt tillämpliga i varje medlemsstat. Förordningar gäller alltså fullt ut och med samma innehåll inom hela EU och ska inte genomföras i nationell rätt. En medlemsstat kan dock behålla eller införa nationell lagstiftning på det område som en förordning reglerar om förordningen ger utrymme för det. Även om dataskyddsförordningen är direkt tillämplig så både förutsätter och medger förordningen nationella bestämmelser som kompletterar delar av förordningen genom specificeringar eller undantag. Detta gäller särskilt sådan personuppgiftsbehandling som sker inom den offentliga sektorn. Behovet av en ny lag med kompletterande Regeringens förslag: En ny lag, kriminalvårdsdatalagen, införs som ersätter lagen om behandling av personuppgifter inom kriminalvården inom dataskyddsförordningens tillämpningsområde. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Samtliga remissinstanser instämmer i promemo- rians förslag eller har ingen invändning mot det. holm pekar på behovet av en översyn av Kriminalvårdens registerlag- Skälen för regeringens förslag Den nuvarande regleringen renodlas i två sektorspecifika författningar Dataskyddsreformen innebär, som nämnts ovan, att Kriminalvårdens be- handling av personuppgifter kommer att omfattas av två olika EU-rätts- akter: dataskyddsförordningen och dataskyddsdirektivet. förordningens område kommer den grundläggande regleringen om per- sonuppgiftsbehandling i Kriminalvården att finnas i dataskyddsförord- ningen, som är direkt tillämplig, och i dataskyddslagen. direktivet kommer att genomföras i svensk rätt genom bland annat brotts- Den materiella regleringen kommer att skilja sig åt i vissa av- I promemorian och i slutbetänkandet Brottsdatalag – kompletterande lagstiftning (SOU 2017:74) föreslås att regleringen av personuppgiftsbe- handling inom kriminalvården ska delas upp i två separata lagar, en lag för dataskyddsförordningens tillämpningsområde och en lag för brotts- Att det delvis blir fråga om skilda regelverk talar enligt regeringen för att regleringen bör delas upp i två lagar. Regelverket får också en tydlig struktur genom att de grundläggande bestämmelserna om personuppgifts- behandling på dataskyddsförordningens tillämpningsområde finns i data- skyddsförordningen, dataskyddslagen och i en särskild registerförfattning som utgör ett komplement till dessa vid personuppgiftsbehandling inom På dataskyddsdirektivets tillämpningsområde finns de grundläggande bestämmelserna i brottsdatalagen och i en särskild regist- erförfattning som utgör ett komplement vid personuppgiftsbehandling Det kan uppstå gränsdragningsproblem vid bedöm- ning om en viss personuppgiftsbehandling faller inom dataskyddsförord- ningens eller brottsdatalagens tillämpningsområde. Det är dock i huvud- sak en konsekvens av den uppdelning i separata regelverk som finns på Problemen kan således inte undvikas genom att den sektors- specifika regleringen samlas i en lag. Att ha separata registerförfattningar för en myndighets olika verksamheter är inget nytt. dag olika regleringar för personuppgiftsbehandlingen beroende på i vilken verksamhet personuppgifterna behandlas, där regleringen för den 2017/18:248 brottsbekämpande verksamheten finns i en särskild lag. Att Kriminalvården inte på samma sätt som har en organisatorisk uppdelning i olika verksamhetsgrenar hindrar inte en sådan lösning, eftersom syftet med personuppgiftsbehandlingen är avgörande för vilket regelverk som ska tillämpas. Regeringen anser sammantaget att övervägande skäl talar för att regleringen av kriminalvårdens personuppgiftsbehandling bör delas upp i två lagar. Det bör därför införas en ny lag, som ersätter lagen om behandling av personuppgifter inom kriminalvården, inom dataskyddsförordningens tillämpningsområde. Det efterfrågas en översyn av kriminalvårdens registerlagstiftning Som konstaterats ovan kan det finnas behov av att göra en sådan översyn av kriminalvårdens registerlagstiftning som efterfrågas av Kriminalvården, i myndighetens remissyttrande över Brottsdatalag – kompletterande lagstiftning (SOU 2017:74), och av Kammarrätten i (se avsnitt 4.2). Inom ramen för en sådan översyn kan det vara lämpligt att överväga om det centrala kriminalvårdsregistret och regleringen av vilka aktörer som får medges direktåtkomst ska regleras i lag, vilket Datainspektionen argumenterar för (se avsnitt 5.10). 5.2Lagens förhållande till annan reglering Regeringens förslag: Kriminalvårdsdatalagen ska komplettera EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt kriminalvårdsdatalagen gäller dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av kriminalvårdsdatalagen eller föreskrifter som har meddelats i anslutning till den. Regeringens bedömning: Det saknas behov av att föra in vissa bestämmelser som finns i lagen om behandling av personuppgifter inom kriminalvården i kriminalvårdsdatalagen. Det saknas vidare behov av bestämmelser om lagens syfte och personuppgiftsansvar. Dataskyddsförordningens bestämmelser om automatiserat beslutsfattande kräver ingen reglering i kriminalvårdsdatalagen. Promemorians förslag och bedömning överensstämmer i huvudsak med regeringens. I promemorian föreslås att kriminalvårdsdatalagen ska gälla i stället för dataskyddslagen och att det i kriminalvårdsdatalagen särskilt ska anges vilka bestämmelser i dataskyddslagen som ska gälla. Vidare föreslås bestämmelser om lagens syfte och personuppgiftsansvar. Remissinstanserna: De flesta remissinstanser, såsom och Kriminalvården, tillstyrker förslagen eller har ingen invändning mot dem. Justitiekanslern, i och anser att det är viktigt att så långt möjligt eftersträva en likartad systematik i alla lagar som reglerar personuppgiftsbehandling och uppmärksammar att vissa andra promemorior och betänkanden tillämpar en annan lagteknisk lösning. Justitiekanslern ifrågasätter om hänvisningen till data- skyddslagens bestämmelser om skadestånd är nödvändig. ifrågasätter lämpligheten i att ha en syftesbestämmelse som är annorlun- Prop. 2017/18:248 da formulerad än i dataskyddsförordningen. er promemorians slutsats att artikel 22 i dataskyddsförordningen endast avser automatiserade beslut som innefattar profilering. Det framgår enligt inspektionen tydligt av både bestämmelsens ordalydelse och av skäl 71 i dataskyddsförordningen att artikel 22 är generellt tillämplig på automatiserade beslut. Skälen för regeringens förslag och bedömning Förhållandet till dataskyddsförordningen och hänvisningsteknik Dataskyddsförordningen kommer att vara den generella reglering för behandling av personuppgifter som kriminalvårdsdatalagen måste anpassas till. Kriminalvårdsdatalagen kommer att innehålla bestämmelser som kompletterar dataskyddsförordningen och dataskyddslagen. I kriminalvårdsdatalagen bör det finnas en bestämmelse som upplyser om detta. Den hänvisning till dataskyddsförordningen som föreslås är dynamisk till sin karaktär. Att hänvisningen är dynamisk innebär att den avser förordningen i den gällande lydelsen. På så sätt säkerställs att eventuella ändringar i dataskyddsförordningen får genomslag. Det kan dock inte uteslutas att kriminalvårdsdatalagen ändå kan behöva ändras i samband med framtida ändringar i förordningen (jfr prop. 2017/18:105 s. 24 f.). Dataskyddslagen är subsidiär i förhållande till bestämmelser om behandling av personuppgifter i andra lagar och förordningar. tillämpas personuppgiftslagen vid behandling av personuppgifter inom kriminalvården om inte annat följer av lagen om behandling av personuppgifter inom kriminalvården eller föreskrifter som har meddelats med stöd av den lagen. I promemorian föreslås att kriminalvårdsdatalagen ska gälla i stället för dataskyddslagen och att det i kriminalvårdsdatalagen särskilt ska anges vilka bestämmelser i dataskyddslagen som ska gälla. Som skäl anförs att regleringen på det sättet blir tydlig och att bestämmelserna i kriminalvårdsdatalagen inte måste jämföras med bestämmelserna i dataskyddslagen för att det ska kunna fastställas vilka regler som är tillämpliga i ett enskilt fall. En annan lagteknisk lösning än den som föreslås i promemorian är att låta dataskyddslagen gälla inom kriminalvårdsdatalagens tillämpningsområde, om inte annat följer av kriminalvårdsdatalagen eller föreskrifter som har meddelats i anslutning till den. Den nuvarande regleringen i lagen om behandling av personuppgifter inom kriminalvården är utformad på det sättet i förhållande till personuppgiftslagen.