prop · H503232 · 2018-04-19 00:00:00 — även i fortsättningen utföras av andra myndigheter. Även om vi alltså inte föreslår att all tillsyns ska utföras av en enda myndighet har vi övervägt frågan om det finns skäl att ge Datainspek- tionen ett nytt namn för att därigenom betona myndighetens roll som den centrala tillsynsmyndigheten när det gäller skyddet av den personliga Vi har emellertid efter att ha vägt för- och nackdelarna med ett namnbyte stannat för att inte lägga fram ett sådant förslag. Vissa anpassningar till EU:s dataskyddsreform Den nya allmänna dataskyddsförordningen15 och ett nytt direktiv om skydd för personuppgifter på det brottsbekämpande området16 har antagits av och rådet. Förordningen ska börja tillämpas och direktivet ska vara implementerat . Både förordningen och direktivet innehåller nya och utvidgade regleringar som gäller de nationella tillsynsmyndigheterna. Vi redovisar i kapitel 9 våra överväganden i de delar av uppdraget som gäller vissa anpassningar efter förordningens och direktivets bestämmelser om tillsyn. Svensk rätt uppfyller enligt vår bedömning dataskyddsförordningens och det nya dataskyddsdirektivets krav på att tillsynsmyndigheten ska vara fullständigt oberoende. Vi föreslår att Datainspektionen ska utses till svensk nationell tillsynsmyndighet enligt både förordningen och direkti- vet. Som sådan ska Datainspektionen delta i det arbete som kommer att bedrivas av den europeiska dataskyddsstyrelsen. Detta bör regleras i myndighetens instruktion. Svensk rätt motsvarar dessutom i allt väsentligt enligt vår bedömning de krav som dataskyddsförordningen och det nya dataskyddsdirektivet uppställer om tillsynsmyndighetens organisation och utnämningen respektive avsättandet av tillsynsmyndighetens chef. Detta gäller bland annat kraven på ett öppet rekryteringsförfarande, skydd mot godtyckligt avskedande och förbud mot förtroendeskadliga bisysslor, där allmänna författningsregleringar redan finns. Vi föreslår härutöver att det införs en bestämmelse i myndighetens instruktion om att chefen för tionen anställs genom beslut av regeringen för en period om , med obegränsad möjlighet till förlängning. Vi menar att det saknas behov av att föreskriva att Datainspektionen ska ha ytterligare befogenheter utöver dem som följer av dataskyddsförordningen och att det inte finns något utrymme eller behov av en kompletterande reglering om myndighetens uppgifter i in- 15Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (i detta betänkande kallat dataskyddsförordningen). 16Europaparlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter (i detta betänkande kallat [det nya] dataskyddsdirektivet). Vi föreslår, med hänvisning till EU-rättsakternas krav på tillsynsmyndighetens oberoende, att Datainspektionens instruktion inte längre ska ange att myndighetens verksamhet särskilt ska inriktas på att informera om gällande regler samt ge råd och hjälp åt personuppgiftsom- bud. När det gäller Datainspektionens resursbehov med anledning av data- skyddsreformen konstaterar vi att det är för tidigt att mer exakt uppskatta storleken av resursbehovet. Det pågår ett arbete, både inom Datainspek- tionen och på annat håll, med att utreda och överväga vilka konsekvenser de nya rättsakterna får för hur tillsynen ska vara utformad . Detta gäller inte minst de pågående utredningarna om anpassningar med anledning av dataskyddsförordningen och det nya dataskyddsdirektivet17 som ska redovisa sina överväganden . Mot bakgrund av de upp- skattningar som går att göra anser vi att Datainspektionens beräkningar bör ligga till grund för det fortsatta arbetet med att bedöma myndighetens resursbehov. Förstärkning av skyddet för den enskildes personliga integritet genom vissa förändringar av tillsynsansvaret Den omständigheten att vi inte ansett det vara till gagn för den personliga integriteten att samla all tillsyn hos en och samma myndighet hindrar inte att det inom den nuvarande myndighetsstrukturen kan finnas skäl att överväga en viss förändring av ansvarsfördelningen genom en överföring av tillsynsuppgifter mellan myndigheter. Våra överväganden i dessa dela redovisas i kapitel 10. Vi föreslår att tillsynsansvaret i några fall överförs från andra tillsynsmyndigheter till Datainspektionen. Genom att på detta sätt ytterligare samla tillsynsansvar hos Datainspektionen skapas enligt vår bedömning en mer ändamålsenlig tillsyn som ger ett starkare skydd för den enskildes personliga integritet. Problem med parallella tillsyns- uppdrag kan härigenom undvikas och tillsynsuppgifter med ett naturligt samband kan samlas hos en och samma myndighet. Att tillsynen till viss del ytterligare samlas hos Datainspektionen stärker och tydliggör vidare myndighetens roll som central tillsynsmyndighet. Vi föreslår mot denna bakgrund att tillsynen över bestämmelserna i lagen (2003:389) om elektronisk kommunikation om abonnentförteck- ningar och s.k. cookies ska utföras av Datainspektionen i stället för av PTS. Kopplingen till sektorn elektronisk kommunikation är här svagare och prövningen tar i stället sikte på mer allmänna dataskyddsrättsliga överväganden. Datainspektionen får härigenom ett mer samlat tillsynsan- svar över behandling av personuppgifter. I tillsynsärenden som även i fortsättningen ska ligga kvar hos PTS kan enligt vår mening ett ökat samråd med Datainspektionen i frågor om innebörden av centrala data- skyddsrättsliga begrepp vara av värde. Det kan också bli aktuellt att hän- skjuta frågor från PTS till Datainspektionen för avgörande. Möjlighe- terna till samråd och hänskjutande följer redan av lagstiftningen och 17 Dir. 2016:15 och 2016:21. kräver ingen ytterligare reglering. Även uppgifter som omfattas av sekre- tess torde enligt vår bedömning kunna lämnas över. Vi föreslår vidare att tillsynen över den öppna polisens personuppgifts- behandling i brottsbekämpande verksamhet inte längre ska ingå i SIN:s uppdrag utan i fortsättningen utföras endast av Datainspektionen. De praktiska problemen med parallella tillsynsuppdrag har när det gäller den öppna polisens personuppgiftsbehandling visat sig inte uppvägas av de fördelar för den personliga integriteten som man eftersträvade när SIN:s tillsynsuppdrag utvidgades till att även omfatta denna uppgift. Löpande kontakter och samordning i syfte att undvika kolliderande tillsynsinsatser tar i anspråk resurser hos båda myndigheterna som annars hade kunnat ägnas åt tillsyn. Det finns också en risk att de två myndigheterna kan komma till olika slutsatser i fråga om en viss typ av behandling eller, som en följd av beslutens olika karaktär, att Datainspektionens beslut efter överklagande ändras medan SIN:s i princip likalydande uttalande i samma fråga fortfarande gäller och inte kan överklagas. De båda myn- digheterna har inte heller samma maktmedel till sitt förfogande när det gäller att säkerställa att tillsynen blir effektiv. Det är bara Datainspek- tionen som har de befogenheter som såvitt vi nu kan bedöma krävs enligt det nya dataskyddsdirektivet. Både Datainspektionen och SIN ska dock även i fortsättningen ha be- hörighet att utöva tillsyn över Säkerhetspolisens behandling av person- uppgifter i brottsbekämpande verksamhet. Vi föreslår att SIN:s tillsyn därvid ska omfatta all personuppgiftsbehandling, inte bara sådan som följer av vissa lagar. Skyldigheten för SIN att i vissa fall göra en anmälan till Datainspektionen får anses gälla bara när det finns behov av ett rätts- ligt bindande och överklagbart beslut om exempelvis rättelse eller förbud mot fortsatt behandling. En sådan tolkning av omfattningen av SIN:s anmälningsskyldighet ryms enligt vår mening inom den nuvarande för- fattningsregleringen. Till skillnad från SIN har Datainspektionen ingen skyldighet att på en enskilds begäran kontrollera lagenligheten av personuppgiftsbe- handlingar. Det nya dataskyddsdirektivet kommer emellertid att medföra vissa sådana skyldigheter för den centrala tillsynsmyndigheten. Detta kommer att gälla även beträffande den personuppgiftsbehandling som sker hos andra myndigheter än . Vi anser att övervä- ganden om den närmare utformningen av Datainspektionens skyldighet att på begäran av en enskild kontrollera om han eller hon har varit före- mål för behandling av personuppgifter inom den öppna polisens brotts- bekämpande verksamhet bör göras av den utredning som har i uppdrag att genomföra direktivet i svensk rätt. Våra förslag i denna del innebär att SIN:s verksamhet och uppdrag så- vitt avser tillsyn över behandling av personuppgifter återgår till den ord- ning som gällde . Utöver tillsynen över Säkerhetspolisens per- sonuppgiftsbehandling kommer SIN även i fortsättningen dessutom att utöva tillsyn över de brottsbekämpande myndigheternas användning av hemliga tvångsmedel och kvalificerade skyddsidentiteter och därmed sammanhängande verksamhet, samt på begäran av en enskild kontrollera om han eller hon i strid med lag har utsatts för hemliga tvångsmedel eller varit föremål för Säkerhetspolisens personuppgiftsbehandling. verksamhet består dessutom av de uppdrag som de två särskilda organen Registerkontrolldelegationen och Skyddsregistreringsdelegationen har. Några ytterligare myndigheters tillsyn Vi har kunnat konstatera att Datainspektionen och Centrala etikpröv- ningsnämnden inte är helt överens om var gränsen går mellan de båda myndigheternas tillsynsansvar när det gäller forskning som innefattar behandling av personuppgifter. Vi har övervägt om oklarheterna bör åt- gärdas genom en lagändring. Vi menar emellertid att ansvarsfördelningen framgår av den nuvarande lagstiftningen och dess förarbeten och att det därför saknas behov av någon ytterligare reglering. Datainspektionen ska utöva tillsyn över om den personuppgiftsbehandling som utförs inom ramen för viss forskning är förenlig med personuppgiftslagen, medan ska granska om forskning bedrivs i en- lighet med etikprövningslagen. Det senare gäller även om forskningen innefattar behandling av personuppgifter. Datainspektionen och har ett delvis överlappande tillsynsansvar, men myndigheterna har i grunden helt olika uppdrag. För att tillgodose skyddet av den personliga integriteten vid behandling av personuppgifter i de verksamheter som omfattas av IVO:s tillsynsansvar är det viktigt att sådana frågor prövas av Datainspektionen. Det är därför angeläget att samråder med Datainspektionen så snart det i IVO:s verksamhet uppkommer frågor om en viss personuppgiftsbehandlings lagenlighet. En sådan samrådsskyldighet är redan författningsreglerad men vi konstaterar att det finns behov av att den upprätthålls och utvecklas. Den rättsliga regleringen är som vi kunnat konstatera i vissa fall utfor- mad så att den ger sken av att några ytterligare myndigheter ska utöva tillsyn även över behandling av personuppgifter trots att detta sannolikt inte medvetet varit avsikten. Myndigheterna ifråga utför inte heller i realiteten någon sådan tillsyn. Detta innebär emellertid inte att det upp- kommer några brister i tillsynen över behandling av personuppgifter eller för skyddet av den personliga integriteten, eftersom tillsyn utförs av Datainspektionen även i dessa fall. Slutligen konstaterar vi att det finns anledning att se över Datainspek- tionens tillsynsansvar enligt inkassolagen, i syfte att renodla och stärka Datainspektionens roll som central tillsynsmyndighet på området för integritetsskydd vid behandling av personuppgifter. Frågan om ett integritetsskyddsråd I vårt uppdrag har ingått att lämna förslag som innebär att den myndighet som ska ha det huvudsakliga ansvaret för tillsynen över behandling av personuppgifter är förberedd för att kunna fullgöra de uppgifter som (Ju 2014:09) kan komma att föreslå att ett integri- tetsskyddsråd ska ha. redovisade i ett delbetänkande (SOU 2016:41) sina överväganden bland annat i frågan om ett integritets- skyddsråd (bet s. 646 f.). Kommittén anser att det inte bör inrättas något integritetsskyddsråd med huvuduppgift att verka för en säkrare avväg- ning av motstående intressen i lagstiftningen. Datainspektionen har ett övergripande ansvar för skyddet av personuppgifter, vilket bland annat innebär att myndigheten regelmässigt är remissinstans (både när det gäller formella remisser och delningar från departementen) och ofta finns representerad i utredningar som gäller så- Det finns enligt kommittén dessutom ett flertal andra myn- digheter och organisationer, såsom Justitiekanslern, ombuds- män, Myndigheten för samhällsskydd och beredskap, PTS, SIN samt , som också granskar förslag till ny lagstiftning ur ett Detta bidrar enligt kommittén till att integri- tetsskyddsperspektivet lyfts fram i lagstiftningsarbetet och att bristfälliga föreslår emellertid att Datainspektionen ska få i uppdrag att lämna en rapport till regeringen som sammanställer och analyserar den mest aktuella och betydelsefulla utvecklingen som påverkar den personliga integriteten. Regeringen ska därefter i sin tur överlämna rapporten till i form av en skrivelse som också inne- håller regeringens kommentarer till rapporten. Vi har med anledning av ställningstagande i denna del ansett att det inte finns skäl för oss att lämna förslag som gäller ett integritetsskyddsråds uppgifter. Konsekvenser av våra förslag Ett omfattande arbete pågår, både inom och i ett stort antal utredningar, som på olika sätt berör den personliga integriteten och tillsyn över behandling av personuppgifter. Detta arbete avser till stora delar anpassningar till EU:s beslutade dataskyddsreform. Resul- tatet kan komma att få betydelse för Datainspektionens och andra myn- digheters arbete och organisation. Den nya dataskyddsförordningen och det nya dataskyddsdirektivet innehåller omfattande bestämmelser om de nationella tillsynsmyndigheternas uppgifter, befogenheter och inbördes samverkan, som såvitt vi kan bedöma kommer att innebära utökade upp- gifter för främst Datainspektionen. Det är mot denna bakgrund svårt att göra annat än preliminära uppskattningar av de ekonomiska konsekvenserna av våra förslag. Genomförandet av våra förslag och de förslag som kan bli resultatet av övriga utredningar måste rimligen ske samordnat. Det pågående arbetet med att även i andra utredningar analysera vilka anpassningar och författningsregleringar som är nödvändiga med anled- ning av EU:s dataskyddsreform, och nödvändigheten av att göra samlade överväganden om behovet och utformningen av författningsregleringar, innebär att vi nu inte lämnar något annat förslag om när våra föreslagna författningsförändringar bör träda i kraft än att framstår som en rimlig utgångspunkt. Lagförslag i SOU 2016:65 Förslag till lag om ändring i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet Härigenom föreskrivs i fråga om lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet att 1 § ska ha följande lydelse. (nämnden) ska utöva tillsyn över brottsbekämpande myndigheters användning av hemliga tvångs- medel och kvalificerade skyddsidentiteter och därmed sammanhängande Denna lag träder i kraft den xxx. Förteckning över remissinstanserna (SOU 2016:65) Följande remissinstanser har kommit in med yttrande över SOU 2016:65 Ett samlat ansvar för tillsyn över den personliga integriteten: ombudsmän, i , Förvaltningsrätten i , Förvaltningsrätten i , Justitiekanslern, , Åklagar- myndigheten, , , Säkerhetspoli- sen, , Myndigheten för sam- hällsskydd och beredskap, , , Datain- spektionen, Statens inspektion för försvarsunderrättelseverksamheten, , Inspektionen för vård och omsorg, Myndigheten för familjerätt och föräldraskapsstöd, , , Skatte- verket, , , , , , , , , , , Centrala etikprövnings- nämnden, , , , , , , , Utredningen av regelverken för forskningsetik och gränsområdet mellan klinisk forskning och hälso- och sjukvård (U 2016:02), , IT&Telekomföre- tagen, Konsumenter, Civil Rights Defenders och . Följande remissinstanser har avstått från att yttra sig respektive inte hörts av: , 118 118 AB, , , , , , IAB . Därutöver har och kommit in med yttranden. Härigenom föreskrivs1 följande. 1 kap. Allmänna bestämmelser 1 § Syftet med denna lag är att skydda fysiska personers grundläggande fri- och rättigheter i samband med behandling av personuppgifter och att säkerställa att behöriga myndigheter kan behandla och utbyta personupp- gifter med varandra på ett ändamålsenligt sätt. Genom denna lag genomförs och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF, här benämnt dataskydds- direktivet. 2 § Denna lag gäller vid behandling av personuppgifter som utförs av be- höriga myndigheter i syfte att förebygga, förhindra eller upptäcka brotts- lig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också vid behandling av personuppgifter som en be- hörig myndighet utför i syfte att upprätthålla allmän ordning och säker- het. 3 § Lagen gäller vid sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av person- uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. 4 § Lagen gäller inte vid behandling av personupp- gifter som rör nationell säkerhet eller om har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspolisen. Lagen gäller inte heller i sådan verksamhet som omfattas av lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens för- svarsunderrättelseverksamhet och militära säkerhetstjänst. 1 Jfr och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgif- ter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrätts- liga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambe- slut /977/RIF, i den ursprungliga lydelsen. Avvikande bestämmelser i annan författning 5 § Om en annan lag eller en förordning innehåller någon bestämmelse som avviker från denna lag, tillämpas den bestämmelsen. 6 § I denna lag används följande uttryck med nedan angiven betydelse. En åtgärd eller kombination av åt- gärder som vidtas i fråga om per- sonuppgifter eller uppsättningar av görs automatiserat eller inte, t.ex. ring, strukturering, lagring, bear- betning eller ändring, framtagning, spridning eller tillhandahållande på annat sätt, justering, sammanfö- a) förebygga, upptäcka brottslig verksamhet, b) utreda eller lagföra brott, och säkerhet, eller myndighet för något av de syften som anges i 1. Personuppgifter som rör en persons fysiska, fysiologiska eller beteende- fram genom särskild teknisk be- handling och som möjliggör eller bekräftar unik identifiering av per- sonen i fråga. Den som utses av den personupp- kontrollera att personuppgifter be- ett korrekt sätt. härrör från analys av ett spår av eller ett prov från personen i fråga. En organisation och dess under- ställda organ som lyder under folk- rätten eller ett annat organ som in- rättats genom eller på grundval av eller flera stater. En stat som är medlem i Euro- peiska unionen samt , Liech- tenstein, och . lämnas ut, med undantag av en myndighet som med stöd av för- Varje upplysning om en identifi- erad eller identifierbar fysisk per- son som är i livet. ensam eller tillsammans med andra medlen för behandlingen av per- Den som behandlar personuppgif- ter för den personuppgiftsansvari- En säkerhetsincident som leder till förlust eller ändring eller obehörigt röjande av eller obehörig åtkomst till Den fysiska person som person- Myndighet som regeringen utser att tillsyn över behandling av person- uppgifter som utförs av behöriga myndigheter i syfte att förebygga, brott, verkställa straffrättsliga påfölj- der eller upprätthålla allmän ordning En stat som inte är en medlemsstat. Någon annan än den registrerade, den personuppgiftsansvarige, data- trädet och sådana personer som direkta ansvar har rätt att behandla Uppgift som rör hälsa Personuppgift som rör en persons fysiska eller psykiska hälsa, inklu- sive information om tillhandahål- lande av hälso- och sjukvårdstjäns- ter som ger upplysning om perso- 2 kap. Behandling av personuppgifter Behandling för ändamål inom denna lags tillämpningsområde Tillåtna rättsliga grunder för behandling av personuppgifter 1 § Personuppgifter får behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra en arbetsuppgift i syfte att förebygga, för- hindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa en straffrättslig påföljd eller upprätthålla allmän ordning och säkerhet. Arbetsuppgiften ska framgå av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt den behöriga myndigheten att utföra en sådan uppgift. 2 § Utöver vad som sägs i 1 § får personuppgifter behandlas om 1.det är nödvändigt för diarieföring, eller 2.uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning. Ändamål för behandling av personuppgifter 3 § Personuppgifter får behandlas bara för särskilda, uttryckligt angivna och berättigade ändamål. Om det ändamål som personuppgifterna behandlas för inte framgår av sammanhanget eller på annat sätt, ska det tydliggöras genom en särskild upplysning. 4 § Innan personuppgifter får behandlas för ett nytt ändamål inom denna lags tillämpningsområde ska det säkerställas att 1.det finns en tillåten rättslig grund enligt 1 § för den nya behand- lingen, och 2.det är nödvändigt och proportionerligt att personuppgifterna behand- las för det nya ändamålet. I den utsträckning skyldighet att lämna uppgifter följer av lag eller för- ordning ska någon prövning enligt första stycket inte göras. 5 § En behörig myndighet får behandla personuppgifter för vetenskap- liga, statistiska eller historiska ändamål inom denna lags tillämpnings- område. Grundläggande krav på behandlingen av personuppgifter Laglig och korrekt behandling 6 § Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. 7 § Personuppgifter som behandlas ska vara korrekta och, om det är nödvändigt, uppdaterade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. 8 § Personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Åtskillnad mellan olika slag av personuppgifter 9 § Så långt det är möjligt ska personuppgifter som rör olika kategorier av registrerade, som personer som är misstänkta eller dömda för brott, brottsoffer eller andra som berörs av ett brott, särskiljas. Om det inte framgår av sammanhanget eller på annat sätt till vilken kategori personen hör, ska det tydliggöras genom en särskild upplysning. 10 § Så långt det är möjligt ska personuppgifter som grundar sig på fakta särskiljas från personuppgifter som grundar sig på personliga bedöm- ningar. Om grunden inte framgår av sammanhanget eller på annat sätt ska den tydliggöras genom en särskild upplysning. 11 § Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas.