prop · H503248 · 2018-04-19 00:00:00 — För en sådan lösning talar främst att den huvudsakliga regleringen på området, dvs. dataskyddsförordningen, är direkt tillämplig och inte kan göras subsidiär i förhållande till kriminalvårdsdatalagen. Kriminalvårdsdatalagen kan alltså inte innehålla en uttömmande reglering av personuppgiftsbehandling inom lagens tillämpningsområde. Till detta kommer att den kompletter- 2017/18:248 ande regleringen på generell nivå, dvs. dataskyddslagen, nära anknyter till bestämmelserna i dataskyddsförordningen. som föreslås i promemorian skulle därmed, trots ansatsen att skapa tyd- lighet, riskera att leda till oklarhet om vad som gäller i förhållande till vissa bestämmelser i dataskyddslagen som det enligt förslaget i prome- saknas hänvisningar till. Det gäller t.ex. sådana bestämmelser i dataskyddslagen som införlivar delar av dataskyddsförordningen i natio- nell rätt eller upplyser om innehållet i förordningen. att dataskyddslagens bestämmelser i stora delar är relevanta för kriminal- vårdens verksamhet och att det endast i begränsad utsträckning kommer att bli nödvändigt att införa undantag från dataskyddslagens regler i Ytterligare ett skäl som talar för denna lagtekniska lösning är att data- skyddsdirektivet i huvudsak föreslås genomföras genom brottsdatalagen, som för kriminalvårdens del föreslås kompletteras av en särskild register- författning, lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område (se lagrådsremissen Brottsdatalag – kom- pletterande författningar som beslutades av regeringen ). Den lagen ska enligt regeringens förslag gälla utöver brottsdatalagen 2017/18:232, avsnitt 6.1.2). Regeringen anser att det finns ett värde i att personuppgiftsregleringen inom kriminalvården i lagtekniskt hänseende utformas på ett enhetligt sätt. rätten i och påpekar är det viktigt att efter- sträva en likartad systematik i de lagar som reglerar personuppgifts- En sådan lagteknisk lösning föreslås också i andra register- författningar (se t.ex. propositionen Anpassning av domstolsdatalagen till EU:s dataskyddsförordning [2017/18:113] s. 12 f.). övervägande skäl för att dataskyddslagen bör gälla vid behandling av personuppgifter enligt kriminalvårdsdatalagen om inte annat följer av den lagen eller anslutande föreskrifter. Detsamma bör gälla föreskrifter som har meddelats i anslutning till dataskyddslagen. Kriminalvårdsdatalagen kommer således enbart att innehålla bestäm- melser som innebär preciseringar, undantag eller avvikelser från bestäm- melserna i dataskyddsförordningen och dataskyddslagen. de i promemorian föreslagna hänvisningarna till vissa bestämmelser i dataskyddslagen finns därför inte. Att de aktuella bestämmelserna i data- skyddslagen blir tillämpliga följer i stället av att dataskyddslagen ska gälla vid behandling av personuppgifter enligt kriminalvårdsdatalagen, om inte annat följer av kriminalvårdsdatalagen eller anslutande före- I promemorian görs en genomgång av bestämmelser som finns i lagen om behandling av personuppgifter inom kriminalvården och bedömning- ar av om det finns behov av motsvarande bestämmelser i kriminalvårds- Regeringen instämmer i promemorians bedömningar. ingen gör därutöver bedömningen att det inte heller finns behov av be- stämmelser om lagens syfte och personuppgiftsansvar i kriminalvårds- Det kan vidare nämnas att vissa bestämmelser i dataskyddslagen sak- nar betydelse för personuppgiftsbehandling inom kriminalvården. därmed inte aktuella för Kriminalvården att tillämpa, även om detta inte uttryckligen regleras i kriminalvårdsdatalagen. När det gäller Datainspektionens ifrågasättande av promemorians slut- Prop. 2017/18:248 sats att artikel 22 i dataskyddsförordningen endast avser automatiserade beslut som innefattar profilering konstaterar regeringen följande. Av artikel 22 framgår att den registrerade ska ha rätt att inte bli föremål för beslut som grundas enbart på automatiserad behandling, inbegripet profilering, om beslutet har rättsliga följder för den registrerade eller på liknande sätt i betydande grad påverkar honom eller henne. Automatiserade beslut kan fattas med eller utan profilering. Profilering innebär, enligt artikel 4.4 i dataskyddsförordningen, varje form av automatisk behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person, i synnerhet för att analysera eller förutsäga personens arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar. Profilering utgör en behandling av personuppgifter. Artikel 22 kan till sin ordalydelse tolkas på olika sätt. Bestämmelsen kan läsas så att den är generellt tillämplig på automatiserade beslut. Formuleringen ”inbegripet profilering” skulle då endast vara en upplysning om att bestämmelsen även omfattar profilering. Artikel 22 kan även läsas så att den automatiserade behandlingen måste omfatta profilering enligt definitionen i artikel 4.4 för att bestämmelsen ska bli tillämplig. Frågan om automatiskt beslutsfattande utvecklas i skäl 71 i förordningen. I det skälet behandlas endast profilering. Det kan vidare konstateras att skäl 73, vid uppräkningen av rättigheter som kan begränsas enligt artikel 23, endast nämner profileringsbaserade beslut. Detta får anses tala mot att artikel 22 är tillämplig även när profilering inte inbegrips i behandlingen av personuppgifter. Sammantaget talar det anförda för att artikel 22 endast är avsedd att omfatta automatiserade beslut som innefattar profilering. Någon säker slutsats kan dock i avsaknad av praxis inte dras i denna fråga. Även om artikel 22.1 i dataskyddsförordningen skulle anses omfatta automatiserat beslutsfattande som inte är profilering, kan det konstateras att sådant beslutsfattande generellt är tillåtet för svenska myndigheter. Detta kommer bl.a. till uttryck i 28 § förvaltningslagen (2017:900), som träder i kraft . Regeringens förslag: Kriminalvårdsdatalagen ska gälla vid behandling av personuppgifter i kriminalvårdens verksamhet som avser verkställighet av frihetsberövanden och genomförande av transporter i de fall brottsdatalagen inte är tillämplig. Lagen ska gälla endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Promemorians förslag överensstämmer i huvudsak med regeringens. I promemorian föreslås att lagen ska gälla för behandling av personuppgifter i kriminalvårdande verksamhet som inte omfattas av brottsdatalagens tillämpningsområde. Det föreslås också en bestämmelse om att lagen ska gälla när personuppgifterna vidarebehandlas i den administrativa verksamheten för att lämnas ut efter begäran. Remissinstanserna: De flesta remissinstanser tillstyrker förslagen eller har ingen invändning mot dem. Kammarrätten i ställer sig tveksam till om begreppet kriminalvårdande verksamhet är så klargörande vad gäller att avgränsa och beskriva Kriminalvårdens operativa verksamhet. föreslår att bestämmelsen förtydligas avseende det administrativa utlämnandet, t.ex. genom att den flyttas till ett eget stycke. Förvaltningsrätten i föreslår en omformulering av samma bestämmelse. Kriminalvården efterfrågar ett klargörande av om och hur myndigheten får fortsätta att behandla uppgifter som samlats in med stöd av lagen om kriminalvårdens behandling av personuppgifter på brottsdatalagens område och huruvida artikel 49.1 d i dataskyddsförordningen är tillämplig på sådan överföring av personuppgifter till tredjeland som kan bli aktuell när Kriminalvården biträder och vid verkställighet av avvisningar och utvisningar. Skälen för regeringens förslag Behandling av personuppgifter vid verkställighet av frihetsberövanden och genomförande av transporter Enligt 1 § lagen om behandling av personuppgifter inom kriminalvården gäller lagen vid behandling av personuppgifter i kriminalvårdens verksamhet i fråga om personer som är föremål för personutredning, häktade, dömda till fängelse eller skyddstillsyn, dömda till villkorlig dom med samhällstjänst eller ålagda fängelse som förvandlingsstraff för böter eller vite. Den gäller också vid behandling av personuppgifter i fråga om personer som på grund av utländsk dom ska verkställa en sådan påföljd som avses ovan i , personer som på annan grund är intagna i häkte eller kriminalvårdsanstalt eller personer som transporteras av kriminalvårdens transporttjänst. Lagens tillämpningsområde utgår från att personuppgiftsbehandlingen avser en person i någon av de uppräknade personkategorierna. I promemorian konstateras att Kriminalvården har två kategorier av arbetsuppgifter inom den operativa verksamheten som faller utanför brottsdatalagens tillämpningsområde, dels att verkställa frihetsberövanden på annan grund än för misstanke om brott eller straffverkställighet, dels att genomföra transporter som har en annan orsak än brott eller misstanke om brott. Vad gäller att verkställa frihetsberövanden kan det röra sig om omhändertagna personer enligt 4 § lagen (1976:511) om omhändertagande av berusade personer m.m. och om utlänningar som har tagits i förvar enligt 8 § lagen (1991:572) om särskild utlänningskontroll eller enligt 10 kap. 1 eller 2 § utlänningslagen (2005:716). Även frihetsberövanden som avser att verkställa häktning enligt 2 kap. 12 § konkurslagen (1987:672) eller enligt 2 kap. 16 § utsökningsbalken är sådana frihetsberövanden som faller utanför brottsdatalagens tillämpningsområde. Vad gäller att genomföra transporter ska Kriminalvården enligt 6 § förordningen med instruktion för Kriminalvården verkställa de transporter som och Säkerhetspolisen överlämnar enligt 29 a § polislagen samt lämna andra myndigheter den hjälp med transport som är särskilt föreskrivet. Det kan röra sig om transport av personer enligt lagen (1990:52) med särskilda bestämmelser om vård av unga eller lagen (1988:870) om vård av missbrukare i vissa fall, transporter till förhandling i allmän förvaltningsdomstol eller mellan SIS-institutioner, transport av förvarstagna som ska utvisas enligt utlänningslagen och transporter av intagna enligt lagen (1991:1128) om psykiatrisk tvångsvård mellan olika sjukvårdsinrättningar. I promemorian föreslås att lagen ska gälla för behandling av personuppgifter i kriminalvårdande verksamhet som inte omfattas av brottsdatalagens tillämpningsområde. Kammarrätten i ifrågasätter om begreppet kriminalvårdande verksamhet är så klargörande vad gäller att avgränsa och beskriva Kriminalvårdens operativa verksamhet. Regeringen instämmer i den synpunkten. Mot bakgrund av att det handlar om två kategorier av arbetsuppgifter anser regeringen att det i stället blir tydligare att ange att kriminalvårdsdatalagen ska gälla vid behandling av personuppgifter i kriminalvårdens verksamhet vid verkställighet av frihetsberövanden och genomförande av transporter. Vidarebehandling för utlämnande efter begäran I promemorian föreslås en bestämmelse om att kriminalvårdsdatalagen ska vara tillämplig när Kriminalvården vidarebehandlar personuppgifter i den administrativa verksamheten för att de ska lämnas ut efter begäran. Det kan handla om att myndigheten vidarebehandlar personuppgifter från den operativa verksamheten i syfte att t.ex. på begäran lämna ut uppgifterna till en enskild eller en myndighet. Regeringen anser att sådan vidarebehandling av personuppgifter som beskrivits inryms i den formulering som föreslås för lagens tillämpningsområde, dvs. i Kriminalvårdens verksamhet vid verkställighet som avser frihetsberövanden och genomförande av transporter. Det saknas därför behov av en uttrycklig bestämmelse om detta. Förhållandet till den föreslagna brottsdatalagen Den största delen av personuppgiftsbehandlingen inom kriminalvården kommer att falla inom brottsdatalagens tillämpningsområde. Det är därför lämpligt att det i kriminalvårdsdatalagen klargörs att lagen gäller om brottsdatalagen inte är tillämplig. Kriminalvården efterfrågar ett förtydligande av om och hur myndigheten får fortsätta att behandla personuppgifter som samlats in med stöd av lagen om kriminalvårdens behandling av personuppgifter på brottsdatalagens område, när det i stället är dataskyddsförordningen som ska tillämpas. I artikel 9 i dataskyddsdirektivet anges att personuppgifter som har samlats in för ändamål inom direktivets tillämpningsområde inte får behandlas för andra ändamål, såvida inte sådan behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt. När personuppgifter behandlas för andra ändamål eller av någon som inte är en behörig myndighet ska dataskyddsförordningen tillämpas, utom när behandlingen utförs som ett led i en verksamhet som inte omfattas av unionsrätten. I skäl 34 framhålls att dataskyddsförordningen är tillämplig på överföring av personuppgifter för ändamål som inte omfattas av direktivet. Regeringen har i propositionen Brottsdatalag föreslagit att det utöver reglerna i förordningen bör finnas en bestämmelse i brottsdatalagen enligt vilken en 2017/18:248 särskild prövning krävs innan personuppgifter som behandlas med stöd av brottsdatalagen behandlas för nya ändamål som inte omfattas av den lagen (2 kap. 22 § förslag till brottsdatalag). Automatiserade behandlingar och register Av 1 § andra stycket lagen om behandling av personuppgifter inom kriminalvården framgår att lagen gäller endast om behandlingen av personuppgifterna är helt eller delvis automatiserad eller om personuppgifter ingår i eller är avsedda att ingå i en strukturerad samling personuppgifter som är tillgängliga för sökning eller sammanställning efter särskilda kriterier. I artikel 2.1 i dataskyddsförordningen anges tillämpningsområdet som behandling av personuppgifter som helt eller delvis företas på automatisk väg samt annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. En bestämmelse som motsvarar den nuvarande 1 § andra stycket lagen om behandling av personuppgifter inom bör finnas i den nya lagen. Uttrycken ”automatiserad” och ”på automatisk väg” respektive ”register” och ”strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier” är synonyma. Att de i förhållande till dataskyddsförordningen avvikande begreppen föreslås motiveras av att det finns ett värde i att använda samma uttryck i svenska författningar. Någon skillnad i sak är dock inte avsedd. Bestämmelser om under vilka förutsättningar personuppgifter får överföras till tredjeland finns i kapitel V i dataskyddsförordningen. Personuppgifter får överföras till ett tredjeland om kommissionen har beslutat att landet säkerställer en adekvat skyddsnivå för uppgifterna (artikel 45.1). Om ett sådant beslut saknas, får personuppgifter endast föras över till tredjeland efter att lämpliga skyddsåtgärder har vidtagits och under förutsättning att lagstadgade rättigheter och effektiva rättsmedel finns tillgängliga för de registrerade (artikel 46.1). Om det inte finns något beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder får personuppgifter föras över till ett tredjeland endast om vissa närmare angivna villkor i artikel 49 är uppfyllda. Det villkor som främst är aktuellt inom kriminalvårdsdatalagens tillämpningsområde framgår av artikel 49.1 d. Enligt bestämmelsen får överföring av personuppgifter ske till tredjeland om det är nödvändigt av viktiga skäl som rör allmänintresset. Detta allmänintresse ska enligt artikel 49.4 vara erkänt i unionsrätten eller i den nationella rätten. Kriminalvården efterfrågar ett klargörande av om artikel 49.1 d i dataskyddsförordningen är tillämplig på sådan överföring av personuppgifter till tredjeland som kan bli aktuell när Kriminalvården biträder och vid verkställande av avvisningar och utvisningar. Regeringen konstaterar att undantaget i artikel 49.1 d är direkt tillämpligt och gäller i de fall det inte finns något beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder. Regeringens bedömning: Den behandling av personuppgifter som Kriminalvården får utföra enligt den föreslagna lagen är tillåten enligt artikel 6.1 och 6.3 i EU:s dataskyddsförordning. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Datainspektionen anser att den rättsliga grunden ska framgå av lagen. Relevant rättslig grund är enligt inspektionen artikel 6.1 e, men även artikel 6.1 c avseende fullgörandet av utlämnande av allmänna handlingar. Inspektionen efterfrågar också en analys som visar att lagstiftningen är proportionell mot det legitima mål som eftersträvas, i enlighet med artikel 6.3. Övriga remissinstanser instämmer i promemorians bedömning eller har ingen invändning mot den. Skälen för regeringens bedömning: Dataskyddsförordningen utgår från att varje behandling av personuppgifter måste vila på en rättslig grund. En sådan grund är att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som den personuppgiftsansvarige har (artikel 6.1 c). En annan är att behandlingen behövs för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). Uppräkningen av rättsliga grunder i artikel 6.1 är uttömmande. Om ingen av de grunder som anges där är tillämplig är behandlingen inte laglig och får därmed inte genomföras. De rättsliga grunderna är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga avseende en och samma behandling. När myndigheter behandlar personuppgifter för att fullgöra sina uppgifter sker det normalt med stöd av de rättsliga grunder som avses i artikel 6.1 c och e i förordningen. Vilken rättslig grund en behandling vilar på har betydelse för hur behandlingen får regleras. Enligt artikel 6.3 första stycket i dataskyddsförordningen ska de grunder för behandlingen som avses i artikel 6.1 c och e fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Med detta avses, enligt skäl 41, inte att den rättsliga grunden nödvändigtvis måste fastställas i eller i enlighet med en av beslutad lag. Däremot måste grunden vara fastställd i laga ordning på ett konstitutionellt korrekt sätt (prop. 2017/18:105 s. 51). Av artikel 6.2 framgår att medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av dataskyddsförordningen i fråga om behandling som sker med stöd av artikel 6.1 c och e, t.ex. genom att fastställa specifika krav för behandlingen. Enligt artikel 6.3 andra stycket ska vidare syftet med behandlingen fastställas i den rättsliga grunden eller, i fråga om behandling enligt artikel 6.1 e, vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan enligt artikel 6.3 andra stycket innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen. Bestämmelserna kan bl.a. gälla de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas och vilka registrerade som berörs. Bestämmelserna kan vidare gälla de enheter till vilka person- 2017/18:248 uppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstider samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. särskilda bestämmelserna i den nationella rätten ska i detta avseende uppfylla ett mål av allmänt intresse och vara proportionerliga mot det legitima mål som eftersträvas. Enligt artikel 23 i dataskyddsförordningen får begränsningar ske i nat- ionell rätt av vissa av de rättigheter och skyldigheter som föreskrivs i för- Detta förutsätter att begränsningarna sker med respekt för an- demeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. utsätter också att begränsningen sker i syfte att säkerställa något av de ändamål som anges i artikel 23.1, t.ex. en medlemsstats viktiga mål av generellt allmänt intresse. Mot denna bakgrund gör regeringen bedömningen att dataskyddsför- ordningen ger utrymme för en sådan särskild reglering om behandling av personuppgifter som finns för kriminalvården. Det måste dock vara fråga om sådana kompletteringar eller undantag till förordningens be- stämmelser, eller sådana specifika bestämmelser som kan anses anpassa tillämpningen av förordningens bestämmelser, som är tillåtna enligt för- Regeringen kan konstatera att den personuppgiftsbehandling som Kri- minalvården utför inom ramen för dataskyddsförordningens tillämp- ningsområde, och som regleras i lagen och förordningen om be- handling av personuppgifter inom kriminalvården, är nödvändig för att fullgöra en rättslig förpliktelse eller för att utföra en arbetsuppgift av all- mänt intresse eller som ett led i Kriminalvårdens myndighetsutövning. Det är således de rättsliga grunder som avses i artikel 6.1 c och e i data- skyddsförordningen som aktualiseras. Enligt artikel 6.3 i förordningen ska den grund för behandlingen som avses i artikel 6.1 c och e vara fastställd i unionsrätten eller medlemsstat- ernas nationella rätt. När det gäller den personuppgiftsbehandling som nu är aktuell har den rättsliga grunden för behandlingen fastställts genom den reglering av verksamheten som bedrivs inom i t.ex. förordningen med instruktion för Kriminalvården, häkteslagen (2010:611) och polislagen (se avsnitt 4.2). Datainspektionen efterfrågar vidare en analys som visar att lagstift- ningen är proportionell mot det legitima mål som eftersträvas, i enlighet med artikel 6.3 i dataskyddsförordningen. Som anges i propositionen Ny dataskyddslag utgör kravet på proportionalitet inte någon nyhet i svensk rätt, utan speglar det krav som ställer på lagstiftaren i en rättsstat (prop. 2017/18:105 s. 50). Ett sådant krav gällde vid införan- det av såväl den reglering som styr Kriminalvårdens verksamhet som lagen om behandling av personuppgifter inom kriminalvården. ingen bedömdes alltså då uppfylla kravet på proportionalitet. anser inte att det finns anledning att nu göra någon annan bedömning. Regeringens slutsats är sammanfattningsvis att den rättsliga grunden för den personuppgiftsbehandling som får utföras enligt den nya lag som nu föreslås är fastställd i den nationella rätten på ett sådant sätt som krävs Vidare uppfyller den ett mål av allmänt intresse och är proportionell mot det legitima mål som eftersträvas. handlingen är således tillåten enligt artikel 6.1 och 6.3 i dataskyddsför- Prop. 2017/18:248 ordningen. Datainspektionen anser att den rättsliga grunden ska framgå direkt av kriminalvårdsdatalagen. Regeringen kan dock konstatera att artikel 6.1 i dataskyddsförordningen är direkt tillämplig. Det bedöms därför inte nödvändigt att i kriminalvårdsdatalagen införa bestämmelser om rättslig grund för behandling av personuppgifter. Regeringens förslag: Personuppgifter ska få behandlas om det är nödvändigt för att Kriminalvården ska kunna verkställa frihetsberövanden och genomföra transporter. Uppgifter i Kriminalvårdens säkerhetsregister ska dock få behandlas endast för att förebygga och förhindra incidenter av betydelse för enskildas säkerhet. Personuppgifter som behandlas för dessa ändamål ska även få behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Uppgifterna ska även få behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Promemorians förslag överensstämmer i huvudsak med regeringens.