prop · H503254 · 2018-05-02 00:00:00 — I propositionen hänvisas till att legalitetsprincipen är grundlagsfäst genom 1 kap. 1 § regeringsformen, som anger att den offentliga makten utövas under lagarna. Legalitetsprincipen innebär alltså att myndigheternas maktutövning i vidsträckt mening, även i den mån denna förutsätter behandling av personuppgifter, måste ha stöd i någon av de källor som tillsammans bildar rättsordningen. Det torde inte förekomma någon offentlig verksamhet i av vikt för samhällets funktioner som saknar stöd i författning eller beslut som har meddelats i enlighet med regeringsformens bestämmelser (prop. 2017/18:105 s. 50). När det gäller den rättsliga grunden uppgift av allmänt intresse invänder – utan att närmare utveckla skälen för det – 2017/18:254 mot promemorians bedömning att hela den verksamhet som verket har anförtrotts på utlännings- och medborgarskapsområdet faller inom ramen för denna grund. Begreppet ”uppgift av allmänt intresse” definieras inte närmare i dataskyddsförordningen. 2017/18:105 bedömer regeringen att för att myndigheternas verksamhet ska kunna fungera även fortsättningsvis måste begreppet uppgift av allmänt intresse ges en vid betydelse. Alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra bedöms vara av allmänt intresse. Myndigheternas uppdrag och åligganden framgår av bl.a. författningar och regeringsbeslut antagna i enlighet med grundlagens bestämmelser om normgivningskompetens. De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutsägbara regler (s. 56 f). Detta gäller även för de uppgifter som anförtrotts på utlännings- och medborgarskaps- området. Med beaktande av det anförda delar regeringen promemorians bedömning att sådan behandling som avses i utlänningsdatalagen täcks av de rättsliga grunder som anges i artikel 6.1 c och e i dataskydds- förordningen. Det saknas anledning att, som efterfrågas av Data- inspektionen, uttryckligen ange detta i lagtexten. Datainspektionen efterfrågar även en vidare analys av om lagstift- ningen i enlighet med artikel 6.3 är proportionell i förhållande till det legitima mål som eftersträvas. Dataskyddsförordningens krav i detta avseende speglar det krav som ställer på lagstiftaren i en rättsstat. är inkorporerad i svensk rätt. Det bör vara mycket ovanligt att svensk rätt inte uppfyller krav. 2017/18:105 utvecklas regeringens bedömningar i fråga om myndigheters verksamhet och uppgifter och innebörden av förordningens krav på proportionalitet (avsnitt 8.2). Någon ytterligare analys av om lagstiftningen är proportionell mot det legitima mål som eftersträvas är enligt regeringens mening inte påkallad i detta sammanhang. Regeringens slutsats är att den rättsliga grunden för den personuppgiftsbehandling som får utföras enligt utlänningsdatalagen är fastställd i den nationella rätten på ett sådant sätt som krävs enligt dataskyddsförordningen. Vidare uppfyller den ett mål av allmänt intresse och är proportionell mot det legitima mål som eftersträvas. Behandlingen är således tillåten enligt artikel 6.1 och 6.3 i dataskyddsförordningen. Dataskyddsförordningen ger utrymme för en sådan särskild reglering av personuppgiftsbehandling som finns i utlänningsdatalagen EU-förordningar ska enligt artikel 288 i fördraget om Europeiska unionens funktionssätt ha allmän giltighet och vara till alla delar bindande och direkt tillämpliga i varje medlemsstat. Förordningar gäller alltså fullt ut och med samma innehåll inom hela EU och ska inte genomföras i nationell rätt. En medlemsstat kan behålla eller införa nationell lagstiftning på det område som en förordning omfattar endast om förordningen ger utrymme för det. Enligt artikel 6.2 i dataskyddsförordningen får medlemsstaterna behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen genom att närmare Prop. 2017/18:254 fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Som anges ovan förutsätter detta att det är fråga om sådan personuppgiftsbehandling som är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c) eller för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). I enlighet med skäl 8 i dataskydds- förordningen kan medlemsstaterna dessutom under vissa förutsättningar, och i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga, införliva delar av förordningen i nationell rätt. Enligt artikel 23 i dataskyddsförordningen får begränsningar ske av vissa av de rättigheter och skyldigheter som föreskrivs i förordningen. Detta förutsätter att begränsningarna sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt intresse. Det förutsätter också att begränsningen sker för något av de ändamål som anges i artikel 23, t.ex. unionens eller en medlemsstats viktiga mål av generellt allmänt intresse eller skydd av rättsväsendets oberoende och rättsliga åtgärder. Den personuppgiftsbehandling som sker inom utlänningsdatalagens tillämpningsområde vilar på de rättsliga grunder som framgår av artikel 6.1 c och e. Det innebär att dataskyddsförordningen ger utrymme att såväl begränsa myndigheternas möjligheter till behandling av person- uppgifter som att utöka deras skyldigheter genom mer specificerade krav i förhållande till dataskyddsförordningen. Det måste dock vara fråga om sådana kompletteringar eller undantag till dataskyddsförordningens bestämmelser, eller sådana specifika bestämmelser som kan anses anpassa tillämpningen av förordningens bestämmelser, som är tillåtna. I utlänningsdatalagen finns bestämmelser om bl.a. ändamål med personuppgiftsbehandlingen (11–13 §§), tillgången till personuppgifter (16 §), behandling av känsliga personuppgifter (15 §), sökbegränsningar (17–18 §§) och överföring av personuppgifter till tredjeland (21 §). Bestämmelserna har sin grund i de särskilda behov som myndigheterna har av att behandla personuppgifter för sin verksamhet. Bestämmelserna utgör specifika krav för uppgiftsbehandlingen som säkerställer en laglig och rättvis behandling av personuppgifter inom tillämpningsområdet. Regeringen bedömer att den typ av kompletterande reglering av personuppgiftsbehandling som finns i utlänningsdatalagen kan behållas även när dataskyddsförordningen ska börja tillämpas. Utlännings- datalagen behöver dock i vissa avseenden anpassas till den nya dataskyddsförordningen. Regeringen återkommer till den frågan i avsnitt 6. 2017/18:254 6 Anpassning av bestämmelserna i 6.1Utlänningsdatalagen måste anpassas till den nya dataskyddsregleringen Dataskyddsförordningen hindrar alltså inte en sådan sektorspecifik reglering av personuppgiftsbehandling som finns i utlänningsdatalagen. Det finns däremot behov av att anpassa utlänningsdatalagen till den nya regleringen i dataskyddsförordningen och i viss mån till det nya dataskyddsdirektivet. Bland annat finns det skäl att förändra bestämmelserna om hur lagen förhåller sig till annan reglering. Vidare finns det skäl att överväga om vissa av bestämmelserna i lagen, för att undvika dubbelreglering eller normkonflikter, bör ändras eller upphävas med anledning av dataskyddsförordningen, samt om det behöver införas undantag från vissa av dataskyddsförordningens bestämmelser. I promemorian görs bedömningen att utlänningsdatalagens bestämmelser om lagens syfte (1 §), vissa av bestämmelserna om lagens tillämpningsområde (2 §), personuppgiftsansvar (9 §), direktåtkomst (19 §), uppgiftsskyldighet (20 §), avskiljande av personuppgifter (22 §), säkerhetsåtgärder (23 §) och föreskriftsrätten (14–16, 19 och 21–23 §§) är förenliga med dataskyddsförordningen. Samtliga remissinstanser tillstyrker eller lämnar promemorians bedömningar i dessa delar utan invändningar. Även regeringen delar promemorians bedömning att de angivna bestämmelserna är förenliga med dataskyddsförordningen och därför inte behöver ändras. Bestämmelserna kommer inte att behandlas särskilt i kommande avsnitt. I detta sammanhang kan nämnas att några remissinstanser har synpunkter och förslag avseende utlänningsdatalagen i frågor som inte har samband med anpassningen till dataskyddsförordningen och som inte behandlas i promemorian. Det gäller bl.a. som framför en begäran om ökad direktåtkomst till vissa register, som efterfrågar lagstöd för att upprätta en s.k. referensdatabas och som anser att det i utlänningsdatalagen bör införas nya regler som konkretiserar vilka åtgärder myndigheterna ska vidta för att säkerställa personuppgifternas korrekthet. Dessa frågor behandlas inte i propositionen. Regeringens bedömning: Dataskyddsförordningen kräver ingen ändring av utlänningsdatalagens bestämmelse om att lagen endast är tillämplig på personuppgiftsbehandling som är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Regeringens bedömning överensstämmer med promemorians. utlänningsdatalagens materiella tillämpningsområde bör motsvara dataskyddsförordningens tillämpningsområde, och förordar att bestämmelsen ändras så att ordalydelsen är densamma som i dataskydds- förordningen. I övrigt yttrar sig ingen remissinstans särskilt över bedömningen. Skälen för regeringens bedömning: Enligt 4 § utlänningsdatalagen är lagen endast tillämplig på personuppgiftsbehandling som är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Avgräns- ningen av utlänningsdatalagens tillämpningsområde motsvarar i denna del personuppgiftslagens tillämpningsområde. Enligt artikel 2.1. i dataskyddsförordningen är förordningen tillämplig på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Av artikel 4.6 i dataskyddsförordningen framgår att med begreppet register avses en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. Dataskyddsförordningens tillämpningsområde är alltså något annorlunda formulerat än utlänningsdatalagens. Regeringen delar dock promemorians bedömning att det inte är fråga om någon saklig skillnad och att det inte finns någon risk att tillämpningsområdet missuppfattas. Den formulering som används i utlänningsdatalagen är inarbetad i svensk rätt och förekommer i flera olika författningar. Till skillnad från anser regeringen att bestämmelsen inte behöver ändras. 6.3Förhållandet till annan lagstiftning 6.3.1Förhållandet till den allmänna dataskyddsregleringen Regeringens förslag: Bestämmelsen i utlänningsdatalagen om hur lagen förhåller sig till personuppgiftslagen ska upphävas och alla hänvisningar till personuppgiftslagen ska tas bort. I lagen införs en bestämmelse som klargör att lagen kompletterar EU:s dataskyddsförordning. Det införs också en bestämmelse som anger att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller, om inte annat följer av utlänningsdatalagen eller föreskrifter som har meddelats i anslutning till lagen. Promemorians förslag överensstämmer i huvudsak med regeringens. I promemorian föreslås att utlänningsdatalagen ska gälla i stället för data- skyddslagen och att det i lagen särskilt ska anges vilka bestämmelser i dataskyddslagen som ska gälla. Remissinstanserna: Flera remissinstanser, bl.a. , och , påpekar, utan att invända mot promemorians förslag, att EU:s dataskyddsreform och de föreslagna ändringarna leder till ett komplext och svåröverskådligt rättsligt system. Justitiekanslern påpekar att det är av vikt att så långt det är möjligt eftersträva en likartad systematik i alla de lagar och förordningar som reglerar personuppgiftsbehandling. I övrigt yttrar sig ingen remissinstans särskilt över förslaget. Skälen för regeringens förslag Hänvisningarna till personuppgiftslagen tas bort Enligt 7 § utlänningsdatalagen gäller den lagen i stället för person- uppgiftslagen, om inte något annat anges i 8 §. Den senare bestämmelsen innehåller i sin tur hänvisningar till de bestämmelser i person- uppgiftslagen som gäller när personuppgifter behandlas enligt ut- länningsdatalagen eller enligt föreskrifter som har meddelats i anslutning till lagen. Utlänningsdatalagen innehåller även andra bestämmelser som hänvisar till personuppgiftslagen. När dataskyddsförordningen börjar tillämpas kommer personuppgiftslagen att upphävas, vilket innebär att hänvisningar till personuppgiftslagen inte kan finnas kvar. Utlänningsdatalagens bestämmelse om hur lagen förhåller sig till personuppgiftslagen bör därför upphävas och alla hänvisningar till personuppgiftslagen tas bort. Utlänningsdatalagens förhållande till dataskyddsförordningen Dataskyddsförordningen kommer att utgöra den generella reglering för behandling av personuppgifter som utlänningsdatalagen måste anpassas till. Utlänningsdatalagen kommer, som konstateras i avsnitt 5, att innehålla bestämmelser som kompletterar dataskyddsförordningen. Det bör införas en bestämmelse i lagen som upplyser om detta. De hänvisningar till dataskyddsförordningen som föreslås i denna proposition bör vara dynamiska, dvs. avse förordningen i den gällande lydelsen. På så sätt säkerställs att eventuella ändringar i dataskyddsförordningen får genomslag. Det kan emellertid inte uteslutas att utlänningsdatalagen ändå kan behöva ändras i samband med framtida ändringar i förordningen. Utlänningsdatalagens förhållande till dataskyddslagen Lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) innehåller de bestämmelser som på ett generellt plan kompletterar dataskyddsförordningen. Dataskyddslagen är, i likhet med personuppgiftslagen, subsidiär i förhållande till bestämmelser om behandling av personuppgifter i annan lag eller förordning. I promemorian föreslås att utlänningsdatalagen ska ha motsvarande förhållande till dataskyddslagen som den har till personuppgiftslagen, och att det i utlänningsdatalagen särskilt ska anges vilka bestämmelser i dataskyddslagen som ska gälla inom utlänningsdatalagens tillämpningsområde. I promemorian anförs att regleringen på detta sätt blir tydlig och att bestämmelserna i utlännings- datalagen inte måste jämföras med bestämmelserna i dataskyddslagen för att det ska kunna fastställas vilka regler som är tillämpliga i ett enskilt fall. En annan lagteknisk lösning är att dataskyddslagen gäller inom utlänningsdatalagens tillämpningsområde, om inte annat följer av utlänningsdatalagen eller föreskrifter som har meddelats i anslutning till den. För en sådan lösning talar att den huvudsakliga regleringen på området, dvs. dataskyddsförordningen, är direkt tillämplig och inte kan göras subsidiär i förhållande till utlänningsdatalagen. Utlännings- datalagen kan alltså inte som tidigare innehålla en uttömmande reglering av personuppgiftsbehandling inom lagens tillämpningsområde. Till detta kommer att den kompletterande regleringen på generell nivå, dvs. dataskyddslagen, nära anknyter till bestämmelserna i dataskydds- förordningen. Den lagtekniska lösning som föreslås i promemorian riskerar därmed, trots ansatsen att skapa tydlighet, att leda till oklarhet om vad som gäller i förhållande till vissa bestämmelser i dataskyddslagen som det enligt förslaget saknas hänvisningar till. Det gäller t.ex. sådana bestämmelser i dataskyddslagen som införlivar delar av dataskyddsförordningen i nationell rätt eller upplyser om innehållet i förordningen. Regeringen bedömer att dataskyddslagens bestämmelser i stora delar är relevanta för berörda myndigheters verksamhet och att det endast i begränsad utsträckning kommer att bli nödvändigt att införa undantag från dataskyddslagens regler i utlänningsdatalagen. Till det kommer att många andra registerförfattningar kommer att gälla utöver dataskyddslagen (se t.ex. prop. 2017/18:113, prop. 2017/18:115 och prop. 2017/18:95). Eftersom den rättsliga systematiken redan är förhållandevis komplex är det, såsom Justitiekanslern påpekar, viktigt att eftersträva en likartad lagstiftningsteknik i de lagar som reglerar personuppgiftsbehandling. Sammantaget talar alltså övervägande skäl för att dataskyddslagen bör gälla vid behandling av personuppgifter enligt utlänningsdatalagen, om inte annat följer av utlänningsdatalagen eller anslutande föreskrifter. Flera remissinstanser framhåller att det rättsliga systemet, där dataskyddsförordningen ska tillämpas parallellt med svensk lagstiftning, som i sin tur är subsidiär i flera led, leder till ett mycket svåröverskådligt rättsligt system. Bland annat framhåller med anledning av detta att lagstiftaren bör ta ett helhetsgrepp över de olika författningsförslag som är konsekvensen av dataskyddsreformen. Regeringen har förståelse för dessa synpunkter. Det bör dock framhållas att den ökade komplexiteten är en följd av att det nya EU-rättsliga regelverket är direkt tillämpligt och att detta förutsätter kompletterande nationell reglering och anpassningar av de befintliga regelverken. Den korta tid som står till buds för att anpassa den svenska dataskydds- regleringen till den nya EU-regleringen medger inte några mer omfattande nationella reformer på detta område. Som regeringen anger i prop. 2017/18:105 är det dock inte uteslutet att vissa sådana övergripande förändringar skulle kunna vara befogade och därför bli föremål för överväganden i ett annat sammanhang (s. 23). När det gäller de bestämmelser i personuppgiftslagen som 8 § utlänningsdatalagen hänvisar till kan det konstateras att 2017/18:254 dataskyddsförordningen och dataskyddslagen innehåller motsvarigheter till de flesta av dessa. Flera av promemorians förslag innebär att utlänningsdatalagen ska innehålla en hänvisning till en viss bestämmelse i dataskyddslagen. Dessa förslag behandlas nedan i fråga om person- nummer och samordningsnummer (avsnitt 6.12), tillsynsmyndighetens handläggning och beslut samt sanktionsavgifter (avsnitt 6.13), den registrerades rättigheter (avsnitt 6.9) och skadestånd (avsnitt 6.14). När det gäller dataskyddslagens bestämmelser om förhållandet till tryck- och yttrandefrihet, behandling av känsliga personuppgifter för arkivändamål av allmänt intresse, användningsbegränsningar för arkiverade personuppgifter och överklagande instämmer regeringen i promemorians bedömning att dessa bestämmelser i dataskyddslagen bör gälla i myndigheternas verksamhet. Samtliga remissinstanser tillstyrker eller lämnar promemorians förslag utan invändningar. Bestämmelserna kommer därför inte att behandlas särskilt i kommande avsnitt. Att bestämmelserna blir tillämpliga följer av regeringens förslag att dataskyddslagen ska gälla vid behandling av personuppgifter enligt utlänningsdatalagen, om inte annat följer av utlänningsdatalagen eller anslutande föreskrifter. Det kan nämnas att även om dataskyddslagen gäller, och det inte finns avvikande bestämmelser i utlänningsdatalagen, kan vissa bestämmelser i dataskyddslagen sakna betydelse för myndigheternas behandling av personuppgifter. Som exempel kan nämnas 2 kap. 3 § om enskilda arkiv och 2 kap. 4 § om barns samtycke. Regeringens förslag: Bestämmelsen i utlänningsdatalagen om att lagen inte gäller vid behandling av personuppgifter i Polismyndig- hetens brottsbekämpande verksamhet ska upphävas. Det ska i stället införas en bestämmelse om att utlänningsdatalagen inte gäller vid behandling av personuppgifter som omfattas av tillämpningsområdet för brottsdatalagen. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Flera remissinstanser, bl.a. , och , efterfrågar dock förtydliganden och exemplifiering av de olika lagarnas tillämpningsområde. Skälen för regeringens förslag Utlänningsdatalagen ska inte gälla vid behandling av personuppgifter inom tillämpningsområdet för brottsdatalagen Utlänningsdatalagen reglerar enligt 3 § den behandling av person- uppgifter i verksamhet som rör utlänningars inresa och vistelse i samt utresa eller avlägsnande från . Däremot reglerar lagen inte behandling av personuppgifter i brottsbekämpande verksamhet, som i stället regleras i polisdatalagen (2010:361). Dataskyddsförordningens bestämmelser gäller inte för sådan person- uppgiftsbehandling som omfattas av dataskyddsdirektivs tillämpningsområde. Direktivet ska genomföras i svensk rätt genom en ny ramlag, brottsdatalagen (2018:000). Brottsdatalagen ska enligt förslaget vara tillämplig vid behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Även behandling av personuppgifter i syfte att upprätthålla allmän ordning och säkerhet kommer enligt förslaget att omfattas av brottsdatalagen (1 kap. 2 § brottsdatalagen). Det begrepp som används för att avgränsa utlänningsdatalagens tillämpningsområde från polisdatalagens – brottsbekämpande verksamhet – skiljer sig från tillämpningsområdet för brottsdatalagen. Det finns därför anledning att avgränsa utlänningsdatalagens tillämpningsområde på ett annat sätt än . Regeringen föreslår, i likhet med promemorian, att utlänningsdatalagens bestämmelse om att lagen inte gäller vid behandling av personuppgifter i brottsbekämpande verksamhet ska tas bort. Förhållandet mellan utlänningsdatalagen och brottsdatalagen bör i stället regleras i en ny bestämmelse som klargör att utlänningsdatalagen inte gäller vid behandling av personuppgifter som omfattas av tillämpningsområdet för brottsdatalagen. Den nya bestämmelsen är avsedd att ersätta den befintliga avgränsningen mot brottsbekämpande verksamhet för att anpassa lagen till det nya regelverket för personuppgiftsbehandling. Gränsdragningen mellan utlänningsdatalagen och brottsdatalagen Som nämnts gäller brottsdatalagen för behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också för behandling av person- uppgifter som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet. För att brottsdatalagen ska vara tillämplig krävs således dels att den som behandlar personuppgifter är en behörig myndighet, dels att behandlingen utförs för något av de syften som anges i lagen. Med behörig myndighet avses myndigheter som fullgör uppgifter inom brottsdatalagens tillämpningsområde (1 kap. 6 § brottsdatalagen). och utlandsmyndigheterna har varken något brotts- bekämpande uppdrag eller har anförtrotts myndighetsutövning på det området. Generellt sett är därför brottsdatalagen inte tillämplig på den personuppgiftsbehandling som utförs av dessa myndigheter. Att en brottmålsdom expedieras till en myndighet eller att en viss myndighet får tillgång till uppgifter i belastningsregistret eller misstankeregistret innebär inte att den myndigheten blir behörig myndighet i brottsdatalagens mening. Inte heller lagreglerade skyldighet att anmäla misstänkta brott enligt bidragsbrottslagen (2007:612) eller verkets skyldigheter enligt förordningen (2016:775) om uppgiftsskyldighet vid samverkan mot viss organiserad brottslighet innebär att brottsdatalagen blir tillämplig. 2017/18:254 är däremot en myndighet med ett brottsbekämpande uppdrag.