prop · H503232 · 2018-04-19 00:00:00 — om rätt för Justitiekanslern att överklaga vissa beslut, gällande myndighetens roll i ärenden enligt lagen (2016:1307) om straff för marknadsmissbruk på värdepappersmarknaden och underrättelse till vid misstanke om penningtvätt eller finansiering av terrorism enligt lagen (2009:62) om åtgärder mot penningtvätt och finan- siering av terrorism (ersatt av lagen [2017:630] om åtgärder mot penningtvätt och finansiering av terrorism) och Havs- och vattenmyndigheten rörande vissa frågor om fiskelagen (1993:787), Som utredningen och även flera remissinstanser konsta- terar är det emellertid inte möjligt att inom ramen för detta lagstiftnings- ärende ge klara svar på om vissa enskilda verksamheter eller arbetsupp- gifter kommer att omfattas av ramlagens tillämpningsområde eller inte. Det kommer att uppstå många frågor som kommer att få lösas i den prak- tiska tillämpningen och i slutändan av domstol när det gäller de exakta Det kommer även, som Datainspektionen påpekar, vara av stor vikt att de behöriga myndigheterna genom olika insatser, t.ex. in- terna arbetsdokument och utbildningar, styr handläggarna vid tveksamhet om vilket regelverk som är tillämpligt. Vissa remissinstanser anser dock att utredningen i sin redovisning gjort felaktiga bedömningar av om en viss verksamhet ska falla under ram- lagens tillämpningsområde, exempelvis påpekar både och att det är olyckligt om olika delar av behöriga myn- digheters kontrollverksamheter kommer att falla under olika regelverk och Kriminalvården anser att transport av personer har så stark anknyt- ning till ramlagens tillämpningsområde att den verksamheten bör omfat- tas oavsett bakomliggande ändamål. Som nämnts ovan bör gränsdragningsfrågorna behandlas med utgångs- punkt i frågorna om den som behandlar uppgiften är en behörig myndig- het och i vilket syfte en personuppgift behandlas. ningar har utredningen hållit en rak och konsekvent linje i sina bedöm- ningar av de olika verksamheterna och om de faller inom eller utanför Mot bakgrund av den gränsdragning som EU valt att göra mellan dataskyddsdirektivets och dataskyddsförordning- ens tillämpningsområden, där syftet med en behandling av personuppgif- ter är avgörande, är det ofrånkomligt att båda regelverken kommer att kunna bli tillämpliga i samma arbetsmoment för olika syften. Sammantaget delar regeringen de bedömningar som utredningen gjort när det gäller tillvägagångssättet i gränsdragningsfrågor. ledning kring enskilda verksamheter inom myndigheterna kan fås genom Prop. 2017/18:232 de bedömningar som utredningen redovisar i delbetänkandet. konstaterar att det är en fråga för rättstillämpningen att slutligt avgöra vilket regelverk för dataskydd som gäller i ett enskilt fall. I avsnitt 6.7.2 nedan redogörs för ett antal allmänna principer som presenterats i delbe- tänkandet Brottsdatalag (SOU 2017:29) i vägledande syfte. Det är enligt regeringens mening nödvändigt att ge tillämparna informa- tion om hur man kan resonera i fråga om när ramlagen ska tillämpas och när den inte är tillämplig. Det är också viktigt att ge de behöriga myndig- heterna förutsättningar att kunna utveckla en gemensam syn på olika till- lämpningsfrågor. Det gäller särskilt myndigheterna i rättskedjan. Mot denna bakgrund anser regeringen att det finns anledning att i det följande redogöra för ett antal allmänna principer som presenterats i del- betänkandet Brottsdatalag (SOU 2017:29) i vägledande syfte. Utred- ningen utvecklar dessa principer ytterligare genom exempel från olika verksamheter inom ramlagens tillämpningsområde (se SOU 2017:29 s. 185–234). Det kan tilläggas att utredningens redovisning inte är någon uttömmande genomgång av vad som kan göra ramlagen tillämplig. För att ge ytterligare vägledning behandlas ett flertal gränsdragnings- frågor med exempel i författningskommentaren. Om någon annan än en behörig myndighet behandlar personuppgifter är ramlagen inte tillämplig Ett grundläggande krav för att ramlagen ska vara tillämplig är att den som behandlar personuppgifterna är en behörig myndighet i lagens mening och att behandlingen görs för något av de syften som anges där. Som framgår av avsnitt 6.4.4 pekas det inte ut vilka myndigheter som är behöriga. Det är enligt den föreslagna definitionen de myndigheter som fullgör uppgifter inom ramlagens tillämpningsområde och andra aktörer som utövar myndighet i samma syften som är behöriga. Är den som be- handlar personuppgifterna inte en behörig myndighet gäller inte ram- lagen för personuppgiftsbehandlingen. Många myndigheter och andra aktörer är skyldiga att anmäla om det uppstått misstanke om brott. En sådan skyldighet medför inte att anmäla- ren ska betraktas som behörig myndighet i ramlagens mening, om anmä- laren varken har ett brottsbekämpande uppdrag eller utövar myndighet för de syften som ramlagen omfattar. Det förhållandet att en privat aktör har satt upp en övervakningskamera t.ex. i en bank eller butikslokal i syfte att förebygga, avslöja eller utreda brott innebär inte heller att behandlingen av de personuppgifter som erhålls genom övervakningen görs av en behörig myndighet i ramlagens mening. Företaget eller personen i fråga ägnar sig nämligen inte åt myn- dighetsutövning. Varken typen av personuppgiftsbehandling eller personuppgiftens karaktär är avgörande för om ramlagen ska tillämpas Det är, som tidigare nämnts, syftet med behandlingen av personuppgifter i det enskilda fallet som avgör om behandlingen över huvud taget omfat- tas av ramlagens tillämpningsområde. Genom att syftet avgör när det gäl- ler personuppgiftsbehandling som omfattas av unionsrätten, kan en behö- rig myndighets behandling av samma personuppgift antingen styras av ramlagens eller dataskyddsförordningens regler. Typen av personupp- giftsbehandling, vilken verksamhet den behandlas i eller personuppgif- tens karaktär är alltså inte avgörande för vilket regelverk som ska tilläm- pas. Myndighetsutövning som har överlåtits till andra än myndigheter I viss lagstiftning överlåts myndighetsutövning inom ramlagens tillämp- ningsområde till andra aktörer. Är det fråga om myndighetsutövning för ett sådant syfte som anges i ramlagen ska ramlagen tillämpas på be- handlingen av personuppgifter, t.ex. när föremål tas i beslag för att säkra utredningen av ett brott eller framtida förverkande. Den som har rätt att vidta sådana åtgärder anses nämligen vara en behörig myndighet i ram- lagens mening. Det gäller t.ex. om en tjänsteman i Havs- och vattenmyn- digheten tar egendom i beslag för ett misstänkt fiskebrott eller om en annan aktör handhar verkställighet av en straffrättslig påföljd. Ramlagen ska tillämpas i viss verksamhet för att stödja en behörig myndighet Myndigheterna i rättskedjan behöver ibland stöd från myndigheter med annan kompetens. Sådan stödverksamhet kan avse t.ex. forensisk, medi- cinsk eller psykiatrisk kompetens. Stödet kan också avse särskilda resur- ser. Den som har en författningsreglerad skyldighet att biträda behöriga myndigheter med särskild kompetens eller särskilda resurser bör vid ut- förandet av sådana uppgifter anses som behörig myndighet och tillämpa ramlagen. Annat stöd som inte är författningsreglerat och som lämnas till en be- hörig myndighet av en myndighet eller annan aktör som inte själv är behörig myndighet i ramlagens mening ligger däremot utanför ramlagens tillämpningsområde, t.ex. stöd från myndigheter som deltar i olika insat- ser för att förebygga brott eller att samverka mot brott och oordning. Ett exempel är när en statlig myndighet som t.ex. bistår åklagare i förundersökningar om ekonomisk brottslighet. När de processuella reglerna om ansvar för brott gäller för talan som kumuleras med ansvarstalan ska ramlagen tillämpas I brottmål får i viss utsträckning talan föras om annat än ansvar för brott. När de processuella reglerna om talan om ansvar för brott tillämpas på en talan som rör något annat, som t.ex. enskilda anspråk, rör det sig om frå- gor som är så intimt förknippade med varandra att vikten av en gemen- sam process enligt brottmålsreglerna ansetts väga över andra intressen. Då bör sidofrågan anses vara så oupplösligt förenad med ansvarsfrågan att ramlagen bör tillämpas vid personuppgiftsbehandlingen. Ramlagen bör också tillämpas vid bevistalan mot någon . Om sambandet med ansvarsfrågan upphör, bör ramlagen inte tillämpas Prop. 2017/18:232 på den fortsatta handläggningen. Enskilda anspråk som överklagas enbart av enskild part är exempel på det. Ramlagen ska inte tillämpas av den som får tillgång till ett visst register eller en viss typ av uppgifter Den omständigheten att någon som inte har brottsbekämpande, lagför- ande, straffverkställande eller ordningshållande uppdrag ges tillgång till ett register som förs av en myndighet med ett sådant uppdrag innebär inte att den förra ska betraktas som behörig myndighet. Det gäller även den som på annat sätt får del av uppgifter om lagöverträdelser. Den som får tillgång till domar eller till vissa uppgifter ur t.ex. belastningsregistret eller registret över tillträdesförbud blir alltså inte en behörig myndighet av det skälet. För att ramlagen ska vara tillämplig krävs att uppgifterna i fråga behandlas av en behörig myndighet för något av de syften som ramlagen anger. Kontrollverksamhet och allmän övervakning Flera av de myndigheter som har till uppgift att bekämpa brott bedriver också i större eller mindre utsträckning kontrollverksamhet. Det gäller framför allt , , och Skatte- verket. Det kan gälla exempelvis gränskontroll, tullkontroll, utlännings- kontroll eller skattekontroll. Personuppgiftsbehandling inom ramen för sådan kontrollverksamhet ligger utanför ramlagens tillämpningsområde i den mån den inte utförs i brottsbekämpande syfte. Det gäller även i de fall där kontrollen utförs av tjänstemän som också har brottsbekämpande uppgifter. Förutom författningsreglerad kontrollverksamhet bedriver vissa brotts- bekämpande myndigheter också allmän övervakning. Den allmänna övervakningen är oreglerad och har inte så konkret utformning eller tydligt brottsbekämpande syfte att behandlingen av personuppgifter kan hänföras under ramlagen. Ramlagen ska inte tillämpas när syftet med behandlingen är brottsbekämpning eller något annat som regleras i lagen Personuppgifter som från början behandlas för något av de syften som är en förutsättning för att ramlagen ska vara tillämplig kan med tiden visa sig sakna betydelse för dessa syften. Som exempel kan nämnas att Tull- verket tar en viss mängd vitt pulver i beslag i tron att det är fråga om narkotika men att det senare visar sig vara något som inte är straffbart att inneha. Utöver den behandling av personuppgifter som är nödvändig för att avsluta ärendet och arkivera det får uppgifterna inte längre behandlas i den brottsbekämpande verksamheten. Ramlagen är då inte längre till- lämplig. Att ett enskilt anspråk som ursprungligen har behandlats tillsam- mans med frågan om ansvar för brottet avskiljs för handläggning i den för tvistemål föreskrivna ordningen är ett annat exempel på när ramlagen inte längre ska tillämpas. 2017/18:232 7 Rättslig grund och ändamål för 7.1Skillnad mellan bestämmelser om rättslig grund för behandling och ändamålsbestämmelser Regeringens bedömning: Det bör göras tydligare skillnad mellan be- stämmelser om rättslig grund för behandling och ändamålsbestäm- melser. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: , kommun och ser positivt på att det görs tydligare skillnad mellan bestäm- melser om rättslig grund och bestämmelser om ändamål. Övriga remiss- instanser yttrar sig inte i denna del. Skälen för regeringens bedömning En grundläggande princip för all personuppgiftsbehandling är att person- uppgifter får samlas in bara för särskilda, uttryckligt angivna och berätti- gade ändamål. De får inte heller behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in. I registerförfatt- ningar finns det därför normalt bestämmelser om för vilka ändamål personuppgifter får behandlas. Syftet är att ange ramen för vilken be- handling som är tillåten. På så sätt kan användning och spridning av per- sonuppgifter begränsas. I de brottsbekämpande myndigheternas registerförfattningar delas ändamålen upp i primära och sekundära, se bl.a. 2 kap. 7 och 8 §§ polis- datalagen, 2 kap. 5 och 6 §§ åklagardatalagen och 2 kap. 5 och 6 §§ tull- brottsdatalagen. Bestämmelserna har samma utformning och liknande innehåll. De primära ändamålen reglerar behandlingen av de personupp- gifter som behövs i den berörda myndighetens egen brottsbekämpande verksamhet. får t.ex. enligt 2 kap. 7 § polisdatalagen behandla personuppgifter om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra förpliktelser som följer av internationella åtaganden. De sekundära ända- målen reglerar i vilken utsträckning personuppgifter som behandlas för något av de primära ändamålen får behandlas för att lämnas ut till andra myndigheter eller till enskilda för att tillgodose deras behov. får t.ex. enligt 2 kap. 6 § tullbrottsdatalagen behandla redan insamlade uppgifter när det är nödvändigt för att tillhandahålla information som behövs i brottsbekämpande verksamhet hos vissa andra myndigheter. Det kan också vara fråga om att personuppgifter i den brottsbekämpande verksamheten behöver lämnas till verksamhet i samma myndighet som inte är brottsbekämpande för den verksamhetens behov. Syftet med uppdelningen i primära och sekundära ändamål är att göra det tydligt både hur personuppgifter får användas i den brottsbekäm- pande verksamheten och för vilka ändamål uppgifterna får behandlas för Prop. 2017/18:232 att lämnas ut till andra. (Ju 2011:11) anser att det har skett en sammanblandning mellan vad som i dataskyddsrättslig mening är sär- skilda bestämda ändamål respektive tillåtna rättsliga grunder för behand- ling. Det finns enligt den utredningen risk att tillämparen blandar sam- man ändamål med rättslig grund och godtar ett i författning bestämt all- mänt ändamål som ett särskilt och tillräckligt preciserat ändamål och drar den felaktiga slutsatsen att kravet på att det ska finnas särskilda, uttryck- ligt angivna och berättigade ändamål för behandlingen därmed är upp- fyllt. anser att det skulle ge ett bättre integritetsskydd om personuppgiftsansvariga enbart vore hänvisade till att, utifrån de grundläggande kraven i 9 § första stycket c personuppgifts- lagen, på eget ansvar formulera ändamål som är tillräckligt specifika för att ge ledning för vilka personuppgifter som är adekvata och inte för många för den aktuella behandlingen. Därför innehåller förslaget till myndighetsdatalag inga ändamålsbestämmelser och förutsätter inte heller att sådana ska finnas. I förslaget anges endast att personuppgifter får behandlas om det är nödvändigt för att en myndighet ska kunna utföra sin verksamhet (SOU 2015:39 s. 277 f.). Förslaget har fått ett blandat mottagande. att ändamålsbestämmelser har betydelse för att göra det tydligt för en- skilda inom vilka ramar myndigheter får samla in och behandla person- uppgifter och menar att den föreslagna bestämmelsen är alltför vag. Andra är positiva till förslaget och framhåller att det förenklar bedöm- ningen av vilken personuppgiftsbehandling som är tillåten. Bestämmelser om rättslig grund Både dataskyddsdirektivet och dataskyddsförordningen utgår från att varje behandling av personuppgifter måste vila på en rättslig grund för att Det är alltså endast om det finns en rättslig grund som personuppgifter överhuvudtaget får behandlas. Kravet på att det alltid ska finnas en rättslig grund för behandlingen av personuppgifter är inte nytt. Det framgår av artikel 7 data- skyddsdirektiv och kommer till uttryck i bl.a. 10 § personuppgiftslagen. Det förs dock inga resonemang kring kravet på rättslig grund i förarbe- tena till de brottsbekämpande myndigheternas registerförfattningar. Regeringen håller därför med utredningen om att det finns skäl att nu lyfta fram den frågan och diskutera hur kravet på rättslig grund förhåller sig till de primära och sekundära ändamålen i registerförfattningarna. I likhet med utredningen anser regeringen att det finns fog för Informa- tionshanteringsutredningens uppfattning att vad som i dataskyddsrättslig mening är tillåtna rättsliga grunder för behandling och vad som är ren- odlade ändamålsbestämmelser ibland har blandats samman. lämpligt att det görs tydligare skillnad mellan bestämmelser om rättslig grund och ändamålsbestämmelser. Hur man bör se på ändamålsbestäm- melserna i de brottsbekämpande myndigheternas registerförfattningar be- handlas i avsnitt 7.5. 2017/18:232 7.2 Rättslig grund för behandling – huvudregeln Regeringens förslag: Personuppgifter får behandlas om det är nöd- vändigt för att en behörig myndighet ska kunna utföra sin uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla all- män ordning och säkerhet. Med en behörig myndighets uppgift avses en uppgift som framgår av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: anser att begreppet behövs bör användas i lagtexten i stället för begreppet nödvändigt. Myndigheten uttrycker även oro för att kravet på att uppgiften ska vara reglerad mot- verkar myndigheternas arbete med att utveckla arbetsmetoder och sam- verkan med andra aktörer. Datainspektionen väcker frågan om det för- hållandet att underrättelseverksamheten i viss utsträckning är oreglerad kan leda till problem när det gäller att fastställa rättslig grund för behand- ling av personuppgifter i sådan verksamhet. Övriga remissinstanser yttrar sig inte särskilt om förslaget. Skälen för regeringens förslag När finns det rättslig grund för behandlingen? Som anges i avsnitt 7.1 utgår dataskyddsregleringen från att varje be- handling av personuppgifter måste ha en rättslig grund för att vara laglig. Enligt artikel 8.1 i direktivet är behandling av personuppgifter laglig endast om behandlingen är nödvändig för att en behörig myndighet ska kunna utföra en uppgift på grundval av unionsrätt eller nationell rätt i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder eller skydda mot eller förebygga och förhindra hot mot den allmänna säkerheten. För att uppfylla direktivets krav måste nationell rätt ange ramarna för när behandling av personupp- gifter är tillåten. Den rättsliga grunden bör enligt skäl 33 vara tydlig och precis och dess tillämpning förutsägbar för dem som omfattas av den. I ramlagen bör det därför tas in bestämmelser som anger vad som är till- låtna rättsliga grunder för behandling av personuppgifter. Tillämpningsområdet och den rättsliga grunden uttrycks på ett korre- sponderande sätt i direktivet. Samma uttryckssätt som används för att av- gränsa ramlagens tillämpningsområde bör därför användas i bestäm- melsen om rättslig grund (se avsnitt 6.4.2 och 6.4.3). Det innebär att den uppgift som ska ligga till grund för personuppgiftsbehandlingen ska ut- föras av en behörig myndighet för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Personuppgifts- behandlingen ska vara nödvändig för uppgiften och ha stöd i unionsrätt eller nationell rätt. Personuppgiftsbehandlingen ska vara nödvändig för att den behöriga myndigheten ska kunna utföra sina uppgifter. Enligt Svenska Akade- miens betyder ordet ”nödvändig” att någonting absolut fordras eller inte kan underlåtas. I unionsrätten har kravet på nödvändighet inte samma strikta innebörd. Artikel 7 dataskyddsdirektiv har inte ansetts utgöra ett krav på att det ska vara omöjligt att fullgöra förpliktel- sen eller utföra uppgiften utan att personuppgifter behandlas (Integritet – Offentlighet – Informationsteknik, SOU 1997:39, s. 359). Den slutsatsen får stöd av ett avgörande av i vilket domstolen uttalar att en myndighets förande av ett centralt register över uppgifter som redan fanns i regionala register är nödvändigt om det bidrar till att effektivisera tillämpningen av relevanta bestämmelser (dom av , Huber, C-524/06). Domen bör kunna utgöra stöd även för tolk- ningen av det nya direktivet. Ordet ”nödvändig” bör därför tolkas som att det är fråga om något som behövs för att på ett effektivt sätt kunna utföra arbetsuppgiften. förespråkar att begreppet ”behövs” används i lagtex- ten för att undvika bokstavstolkningar med icke avsedda begränsningar som följd. I bestämmelsen om rättslig grund i artikel 6.1 i dataskyddsför- ordningen anges att behandling är laglig om den är nödvändig i vissa an- givna fall. Regeringen anser därför, i likhet med utredningen, att ordet ”nödvändigt” bör användas även i ramlagen. En enhetlig terminologi bör, som flertalet remissinstanser påpekar, underlätta tillämpningen av data- skyddsregelverket. Personuppgifter ska alltså få behandlas bara om det är nödvändigt för att utföra vissa uppgifter. I kravet på nödvändighet ligger att personuppgifter inte får behandlas om syftet med behandlingen kan uppnås med andra medel, t.ex. genom att anonymisera uppgifterna. Stöd för behandlingen i unionsrätt eller nationell rätt Den uppgift som den behöriga myndigheten ska utföra ska ha stöd i unionsrätt eller nationell rätt. Frågan är vad som avses med det. Rege- ringen håller med utredningen om att det inte kan vara personuppgiftsbe- handlingen i sig som avses. Om så skulle vara fallet skulle de behöriga myndigheterna endast kunna behandla personuppgifter för att utföra sina uppgifter i den utsträckning det, utöver den reglering som fastställer upp- giften, också finns uttryckliga bestämmelser om att personuppgifter får behandlas för att utföra den uppgiften. Artikeln bör i stället tolkas så att personuppgiftsbehandlingen alltid ska gå att härleda till den behöriga myndighetens uppgifter så som de kommer till uttryck i unionsrätten eller i nationell lagstiftning och andra för verksamheten bindande beslut om arbetsuppgifter. Det bör framgå av ramlagen. I bestämmelsen bör därför anges att uppgiften ska framgå av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt den behöriga myndigheten att utföra en sådan uppgift. Enligt lagen (1994:1500) med anledning av anslutning till Europeiska unionen gäller EU-rättsakter här i landet med den verkan som följer av . Unionsrätten är där- med en del av den svenska rättsordningen. EU-förordningar är att jäm- ställa med svensk lag. Grunden för att behandla personuppgifter finns alltså i regleringen av den behöriga myndighetens uppgifter. Som exempel kan nämnas att det i 2 § polislagen (1984:387) anges att en av huvudupp- gifter är att utreda och beivra brott. Den arbetsuppgiften preciseras av be- stämmelser i framför allt som reglerar hur förundersök- ning ska bedrivas och i vilka fall en polisman får utfärda föreläggande Ytterligare bestämmelser finns i bl.a. lagen (1964:167) med särskilda bestämmelser om unga lagöverträdare och olika lagar om användningen av straffprocessuella tvångsmedel. anges det i 3 § förordningen (2007:853) med instruktion för Kustbevak- ningen att myndigheten bl.a. ska bedriva övervakning för att förebygga och ingripa mot störningar i sjötrafiken, förhindra och upptäcka brottslig verksamhet, ingripa vid misstanke om brott och utreda och beivra eller bistå med utredningen av brott. Vilka brott har till uppgift att ingripa mot framgår bl.a. av lagen (1982:395) om Kustbevak- ningens medverkan vid polisiär övervakning och lagen (2000:1225) om straff för smuggling. Hur det ska göras regleras framför allt i rättegångs- balken och nämnda lagar. Regleringar av motsvarande slag finns för övriga behöriga myndigheter. Grunden för att behandla personuppgifter kan även finnas i regler som