prop · H503269 · 2018-06-19 00:00:00 — ställer sig tveksam till att ett sanktionssystem som består av sanktionsavgifter i kombination med skadestånd är det mest effektiva sättet att se till att den nya lagregleringen följs. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag Vilka överträdelser ska kunna leda till sanktionsavgift? Bestämmelser om möjlighet att ta ut administrativa sanktionsavgifter vid överträdelser av bestämmelser i brottsdatalagen har tagits in i 6 kap. den lagen. Sanktionsavgift kan enligt brottsdatalagen tas ut vid överträdelse av bestämmelser i den lagen. Sanktionsavgifter har bedömts kunna säker- ställa efterlevnaden av bestämmelser i brottsdatalagen på nödvändigt sätt och har ansetts vara den lämpligaste reaktionen på överträdelser av regle- ringen även för myndigheternas del (se prop. 2017/18:232 s. 313 f.). Vissa bestämmelser i brottsdatalagen har visserligen ansetts vara av sådan art att någon sanktionsavgift inte bör komma i fråga vid överträdelser av dem, men det har inte ansetts motiverat att generellt undanta överträdelser av alla sådana bestämmelser som i någon mån kräver eller ger utrymme för olika bedömningar. Det finns inte skäl att välja någon annan lösning i fråga om sanktioner vid överträdelser av bestämmelser i de nya registerförfattningarna än den som har valts för överträdelser av bestämmelserna i brottsdatalagen. De synpunkter som har lämnats av , , och Sala kommun i fråga om sanktionsavgifter föranleder inte någon annan bedömning. Om en bestämmelse i en registerförfattning ersätter, preciserar eller på annat sätt kompletterar en bestämmelse i brottsdatalagen som kan föranleda sanktionsavgift, bör alltså även överträdelse av bestämmelsen i registerförfattningen kunna föranleda sanktionsavgift. Med dessa utgångspunkter ska överträdelse av bestämmelser i de brottsbekämpande myndigheternas och kriminalvårdens registerförfatt- ningar om tillåtna rättsliga grunder för behandling av personuppgifter och om längsta tid för behandling av personuppgifter kunna föranleda sanktionsavgift. Detsamma ska gälla bestämmelser om särskilda upplys- ningar. Det bör i respektive registerförfattning anges vilka överträdelser som kan föranleda sanktionsavgift. Ska en sanktionsavgift kunna tas ut även vid behandling av uppgifter om juridiska personer? Sanktionsavgift är främst tänkt att utgöra en reaktion på sådan otillåten behandling av personuppgifter som riskerar att kränka den personliga integriteten, vilket talar för att inskränka tillämpningen till uppgifter om Eftersom direktivet enbart skyddar uppgifter om fysiska Prop. 2017/18:269 personer och bestämmelserna om sanktionsavgift har införts som en konsekvens av kravet på sanktioner i direktivet finns det inte skäl att utsträcka möjligheten att ta ut sanktionsavgift till överträdelser som gäl- ler behandling av uppgifter om juridiska personer. Omfattar behand- lingen även uppgifter om fysiska personer kan sanktionsavgift tas ut för den överträdelsen om förutsättningarna för det är uppfyllda. Hur hög bör sanktionsavgiften vara? Enligt 6 kap. 3 § första och andra styckena brottsdatalagen ska sanktions- avgift tas ut med ett lägre belopp vid mindre allvarliga överträdelser och med ett högre belopp vid allvarligare överträdelser. Det framgår av para- grafen vilka överträdelser som är mindre allvarliga respektive allvarliga. Överträdelse av brottsdatalagens bestämmelser om tillåtna rättsliga grunder för behandling, särskilda upplysningar och längsta tid för be- handling av personuppgifter är enligt paragrafen allvarliga överträdelser. Det bör gälla även vid överträdelse av motsvarande bestämmelser i regis- terförfattningarna. Det finns inte anledning att i registerförfattningarna avvika från de belopp som fastställs i brottsdatalagen. En bestämmelse som anger det högsta belopp som kan komma i fråga bör finnas i var och en av registerförfattningarna. Vem ska betala sanktionsavgift? Den som är personuppgiftsansvarig ansvarar även för den behandling som ett personuppgiftsbiträde utför. En sanktionsavgift ska bara kunna tas ut av ett personuppgiftsbiträde i de fall där biträdet brutit mot uttryck- liga skyldigheter enligt brottsdatalagen. Eftersom registerförfattningarna inte innehåller några sådana skyldigheter för personuppgiftsbiträden bör sanktionsavgift för överträdelser av bestämmelser i registerförfattning- arna endast kunna tas ut av personuppgiftsansvariga. Om ett personupp- giftsbiträde i strid med brottsdatalagen har bestämt ändamålen med och medlen för behandlingen är biträdet att anse som personuppgiftsansvarig för den behandlingen och sanktionsavgift kan då tas ut i samma utsträck- ning som av en personuppgiftsansvarig (se 3 kap. 19 § andra stycket brottsdatalagen). Det kommer då att gälla även vid överträdelse av be- stämmelser i en registerförfattning. I brottsdatalagen finns det bestämmelser i 6 kap. 3 § tredje stycket, 4 och 5 §§ om hur sanktionsavgiften ska bestämmas och i 6 kap. 6 och 7 §§ om vad som gäller i fråga om beslut om sanktionsavgift. Att registerförfatt- ningarna föreslås gälla utöver brottsdatalagen innebär att de handlägg- nings- och verkställighetsregler som finns i brottsdatalagen även gäller i de fall där sanktionsavgift tas ut för överträdelser av bestämmelser i registerförfattningarna. Några bestämmelser om handläggningen behövs därför inte i registerförfattningarna. 2017/18:269 5.4.3 Regeringens förslag: I registerförfattningarna ska det anges att be- stämmelsen om skadestånd i brottsdatalagen ska tillämpas när person- uppgifter behandlas i strid med registerförfattningarna eller föreskrif- ter som har meddelats i anslutning till dem. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen tillstyrker att rätten till skade- stånd i brottsdatalagen även ska tillämpas på motsvarande sätt när per- sonuppgifter behandlas i strid med registerförfattningarna. ställer sig tveksam till att ett sanktionssystem som består av sanktionsavgifter i kombination med skadestånd är det mest effektiva sättet att se till att den nya lagregleringen följs. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt 7 kap. 1 § brottsdatalagen ska den personuppgiftsansvarige ersätta den registrerade för den skada och kränkning av den personliga integriteten som personuppgiftsbehandling i strid med brottsdatalagen, eller föreskrifter som har meddelats i anslut- ning till den, har orsakat. I de nuvarande registerförfattningarna finns det inte några bestämmelser om skadestånd. I stället hänvisas det i 2 kap. 2 § första stycket 12 polisdatalagen, 2 kap. 2 § första stycket 12 kustbevakningsdatalagen, 2 kap. 2 § första stycket 12 åklagardatalagen, 2 kap. 2 § första stycket 12 tullbrottsdatalagen och 2 kap. 2 § första stycket 12 skattebrottsdatalagen till 48 § personuppgiftslagen när det gäller skadestånd. Enligt 8 § lagen om behandling av personuppgifter inom kriminalvården gäller personuppgiftslagens bestämmelser om skadestånd vid behandling av personuppgifter enligt den lagen eller föreskrifter som har meddelats i anslutning till den. Rätten till skadestånd vid skada och kränkning bör vara densamma när personuppgifter behandlas i strid med bestämmelser i registerförfattning- arna som vid behandling i strid med brottsdatalagen. Det finns inte skäl att välja någon annan lösning vid överträdelser av bestämmelser i de nya registerförfattningarna än den som har valts i brottsdatalagen. Det bör framgå genom att det i registerförfattningarna föreskrivs att 7 kap. 1 § brottsdatalagen ska tillämpas vid behandling av personuppgifter i strid med registerförfattningarna eller föreskrifter som har meddelats i anslut- ning till dem. Den synpunkt som har lämnats av advokatsam- fund leder inte till någon annan bedömning. Regeringens förslag: Det ska finnas hänvisningar i registerförfatt- ningarna till bestämmelser om överklagande i brottsdatalagen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Brottsdatalagen innehåller generella bestämmelser om överklagande. I 7 kap. 2 § brottsdatalagen föreskrivs att beslut i fråga om rättelse eller komplettering, radering eller begräns- ning av behandlingen av personuppgifter, som har meddelats av en myn- dighet i egenskap av personuppgiftsansvarig, får överklagas till allmän förvaltningsdomstol. Detsamma gäller beslut att inte lämna information på begäran av en registrerad, att ta ut avgift för att lämna information eller att inte medge omprövning av ett automatiserat beslut. Enligt 7 kap. 3 § får tillsynsmyndighetens beslut enligt lagen överklagas till allmän förvaltningsdomstol. I 7 kap. 4 § föreskrivs att andra beslut enligt lagen än de nu nämnda inte får överklagas I2 kap. 2 § första stycket 13 polisdatalagen, 2 kap. 2 § första stycket 13 kustbevakningsdatalagen, 2 kap. 2 § första stycket 13 åklagar- datalagen, 2 kap. 2 § första stycket 13 tullbrottsdatalagen och 2 kap. 2 § första stycket 13 skattebrottsdatalagen hänvisas det till överklagandereg- lerna i 51 § första stycket, 52 § första stycket och 53 § personuppgifts- lagen. I 51 § första stycket regleras rätten att överklaga tillsynsmyndig- hetens beslut om annat än föreskrifter. Enligt 52 § första stycket får en myndighets beslut i fråga om information efter ansökan, om rättelse och underrättelse till tredje man, om information vid automatiserade beslut och om upplysningar till allmänheten om personuppgiftsbehandlingar som inte har anmälts till tillsynsmyndigheten överklagas. Enligt 53 § personuppgiftslagen får andra beslut inte överklagas. I 12–16 §§ lagen om behandling av personuppgifter inom kriminalvården finns det sär- skilda överklagandebestämmelser. I brottsdatalagen anges uttömmande vilka beslut av behöriga myndig- heter som får överklagas. Rätten att överklaga omfattar enbart sådana beslut som en myndighet har fattat i egenskap av personuppgiftsansvarig och som berör den enskilde och går honom eller henne emot. Några andra beslut av en behörig myndighet får inte överklagas. Myndigheterna kommer att fatta beslut om exempelvis rättelse, radering eller begräns- ning av behandlingen med stöd av brottsdatalagen. Det blir alltså inte aktuellt att med stöd av någon av registerförfattningarna fatta sådana beslut som rör enskilda som de bör ha rätt att överklaga. I enlighet med regeringens ställningstagande i avsnitt 5.4.2 bör det i respektive register- författning anges vilka överträdelser som kan föranleda sanktionsavgift. beslutar om sanktionsavgift med stöd av 5 kap. 7 § och 6 kap. 6 § brottsdatalagen även när det gäller överträdelser av be- stämmelserna i registerförfattningarna. beslut om sanktionsavgifter vid dessa överträdelser får därför överklagas enligt brottsdatalagen och någon särskild reglering avseende rätten att över- klaga sådana beslut behövs således inte. Mot bakgrund av vad som an- förts ovan finns det alltså inte skäl att särskilt reglera frågan om överkla- gande i registerförfattningarna. Det bör däremot framgå av registerför- fattningarna att överklagande regleras i brottsdatalagen. 2017/18:269 5.4.5 Regeringens bedömning: Det behövs inga bestämmelser i de nya registerförfattningarna om överlämnande av personuppgifter för att framställa rättsstatistik. Utredningens bedömning överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens bedömning: I 9 § lagen om behandling av personuppgifter inom kriminalvården, 2 kap. 14 § polisdatalagen, 2 kap. 12 § åklagardatalagen, 2 kap. 15 § tullbrottsdatalagen och 2 kap. 14 § skattebrottsdatalagen föreskrivs att personuppgifter som är nödvändiga för att framställa rättsstatistik ska lämnas till den myndighet som ansva- rar för att framställa sådan statistik. En bestämmelse av motsvarande betydelse finns i 2 kap. 21 § brottsdatalagen. Det behövs därför inga motsvarande bestämmelser i registerförfattningarna. har ingen sådan uppgiftsskyldighet som gäller för ovan uppräknade myndigheter. Det finns emellertid inte skäl att undanta myndigheten från tillämpningsområdet av 2 kap. 21 § brottsdata- lagen. Brottsdatalagens reglering innebär alltså att även får motsvarande uppgiftsskyldighet som övriga brottsbekämpande myndigheter och kriminalvården. Regeringens förslag: Terminologin i de nya registerförfattningarna ska vara anpassad till brottsdatalagen och i viss utsträckning till data- skyddsförordningen. Uttrycken brottsbekämpande verksamhet och beivra brott bör inte användas i de nya registerförfattningarna. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag Uttrycket brottsbekämpande verksamhet bör inte användas i de nya I stället bör som i brottsdatalagen utgångspunkten vara att personuppgifter behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Brottsbekämpande verksamhet anses omfatta både att förebygga, förhindra och upptäcka brottslig verksamhet och att utreda och beivra I brottsdatalagen görs dock, i linje med hur direktivet är utformat, skillnad mellan brottsbekämpning och lagföring. brott hänförs till lagföring. Uttrycket brottsbekämpning kommer därmed att ha en snävare innebörd än . Det blir emellertid ingen saklig skill- nad för de myndigheter som har till uppgift att både utreda och beivra brott, eftersom både brottsbekämpning och lagföring omfattas av regis- För , som i motsats till övriga myndigheter inte har några lagförande uppgifter, innebär det inte Prop. 2017/18:269 heller någon ändring i sak att terminologin ändras på detta sätt. Uttrycket ”beivra brott” Brottsdatalagen gäller för behandling av personuppgifter som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Uttrycket lagföra brott används i brottsdata- lagen i stället för beivra brott. I flera av registerförfattningarna används uttrycket beivra brott. Det förekommer bl.a. i 2 kap. 7 § polisdatalagen, 3 kap. 2 § kustbevak- ningsdatalagen, 2 kap. 5 § åklagardatalagen och 2 kap. 5 § tullbrottsdata- lagen. I de nya registerförfattningarna bör terminologin stämma överens med hur tillämpningsområdet anges i 1 kap. 2 § brottsdatalagen. Det innebär att uttrycket beivra brott bör ersättas av lagföra brott. 5.5Särskilt om längsta tid för behandling av personuppgifter Regeringens bedömning: Bestämmelser som motsvarar befintliga bestämmelser om bevarande och gallring bör införas i register- författningarna, men de bör formuleras så att det tydligt framgår att det är fråga om dataskyddsbestämmelser. Regler om hur länge uppgifter får behandlas ska som huvudregel samlas i särskilda kapitel i registerförfattningarna. Utredningens bedömning överensstämmer i sak med regeringens. Remissinstanserna: Kammarrätten i påpekar att de olika tidsfristerna för hur länge personuppgifter får behandlas är mycket svår- överskådliga och att det skulle vara bra om det gick att hitta ett mer en- hetligt system. , Datainspektionen och ser positivt på att terminologin på området renodlas så att begreppen beva- rande och gallring endast används i arkivlagens (1990:782) mening. välkomnar att det slås fast att regleringen inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens bedömning Olika typer av bestämmelser I registerförfattningarna finns bestämmelser om bevarande och gallring av personuppgifter. Regleringen gäller enbart personuppgifter som be- handlas automatiserat. Den styr således inte hur länge uppgifter som behandlas på papper får bevaras, varken i den brottsbekämpande verk- samheten eller för arkivändamål. När det i detta avsnitt talas om hur länge personuppgifter får behandlas eller i vilken utsträckning behand- ling för arkivändamål är tillåten avses enbart automatiserad behandling. 2017/18:269 Enligt de brottsbekämpande myndigheternas registerförfattningar gäl- ler som huvudregel att personuppgifter inte får behandlas än vad som behövs för något av de ändamål som omfattas av respek- tive lags tillämpningsområde. Sådana bestämmelser behövs inte i de nya registerförfattningarna eftersom motsvarande reglering finns i brottsdatalagen. Därutöver finns det två olika typer av bestämmelser om bevarande och gallring av personuppgifter. Tullbrottsdatalagen kan tas som exempel, men motsvarande bestämmelser finns i de övriga brottsbekämpande myndigheternas registerförfattningar. Den ena typen är bestämmelser om gallring (se 4 kap. 3, 9 och 10 §§ tullbrottsdatalagen) som gäller för personuppgifter som inte förekommer i ärenden om utredning av eller lagföring för brott. Regleringen innebär att personuppgifterna inte får behandlas automatiserat efter vissa i lagen angivna tidsfrister. De får alltså inte heller som utgångspunkt arkiveras digitalt (jfr prop. 2016/17:91 s. 218). Det följer av att det i 2 kap. 2 § andra stycket tullbrottsdatalagen görs undantag från 8 § andra stycket personuppgiftslagen, som föreskriver att arkivlagstiftningen har företräde framför personuppgiftslagstiftningen. Behandling för arkivändamål är dock tillåten om det med stöd av 4 kap. 2 § 2 har meddelats föreskrifter om att personuppgifterna får bevaras för historiska, statistiska eller vetenskapliga ändamål. Sådana föreskrifter får enligt 17 § tullbrottsdata- förordningen (2017:450) meddelas av . Den andra typen av bestämmelser begränsar möjligheten att behandla personuppgifter som har gjorts gemensamt tillgängliga och som rör ären- den om utredning av eller lagföring för brott (se 4 kap. 6 och 7 §§ tull- brottsdatalagen och se vidare avsnitt 5.5.3). De reglerar hur länge per- sonuppgifter får behandlas i den brottsbekämpande verksamheten men hindrar inte, till skillnad från bestämmelserna om gallring, att handlingar arkiveras digitalt enligt arkivlagens (1990:782) bestämmelser. När be- handling är tillåten för brottsbekämpande ändamål kan beva- rande således ske för arkivändamål utan att det krävs särskilda föreskrif- ter om det. I 4 kap. 2 § 1 och 3 tullbrottsdatalagen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om digital arkivering och om att vissa kategorier av personuppgifter får be- handlas i den brottsbekämpande verksamheten än vad som annars är föreskrivet. Sådana föreskrifter finns i 11–16 §§ tullbrotts- dataförordningen. Av 11 § framgår att personuppgifter som arkiveras digitalt ska avskiljas från den brottsbekämpande verksamheten och att åtkomst till uppgifterna ska begränsas på visst sätt. Bestämmelserna om bevarande och gallring är dataskyddsbestämmelser Utgångspunkten i det arkivrättsliga regelverket är att uppgifter ska beva- ras, medan presumtionen i regelverk som skyddar personuppgifter är den omvända. Gallring enligt det arkivrättsliga regelverket syftar till att be- gränsa arkivens omfattning bland annat för att därmed öka deras tillgäng- lighet, medan gallring enligt registerförfattningarna syftar till att skydda enskildas personliga integritet (se exempelvis prop. 2009/10:85 s. 207 f. och prop. 2016/17:91 s. 169). Orden bevarande och gallring bör i de nya registerförfattningarna enbart användas i den betydelse de har i arkivlagstiftningen, för att så långt som möjligt skilja mellan Prop. 2017/18:269 arkivrättsliga regler och regler om dataskydd. När syftet med bestämmelserna som i detta fall är att skydda den personliga integriteten bör regleringen därför i stället ange den yttersta gränsen för hur länge personuppgifterna får behandlas. Det gäller både i bestämmelser som motsvarar de nuvarande gallringsbestämmelserna och i bestämmelser som begränsar möjligheten att behandla personuppgifter i den brottsbekämpande verksamheten. Bestämmelserna bör därför formuleras så att de genomgående anger den längsta tid uppgifterna får behandlas. Avsikten är dock inte att den ändrade terminologin ska föranleda några ändringar i sak. Regeringens vidare överväganden gällande bestämmelser som motsvarar de nuvarande gallringsbestämmelserna och om föreskriftsrätt i anslutning till dessa behandlas nedan i avsnitt 5.5.2. Övervägandena gällande bestämmelser som motsvarar de nuvarande bestämmelserna om bevarande av uppgifter i ärenden om utredning eller beivrande av brott och om föreskriftsrätt i anslutning till dessa finns i avsnitt 5.5.3. I tullbrottsdatalagen och skattebrottsdatalagen har bestämmelserna om bevarande och gallring samlats i ett särskilt kapitel. Den lösningen ger tillämparen en bättre överblick över hur länge personuppgifter får be- handlas enligt lagen och bör så långt möjligt väljas i de övriga register- författningarna. I de fall där behandling av personuppgifter i särskilda register eller viss specifik verksamhet regleras särskilt bör dock bestäm- melser som reglerar hur länge personuppgifter får behandlas i registret eller verksamheten hållas samman med regleringen i övrigt. Som Kammarrätten i anser kan regleringen om hur länge personuppgifter får behandlas framstå som svåröverskådlig. Regleringen måste delas upp i flera olika bestämmelser, eftersom att det inte är lämp- ligt att låta samma tidsfrist gälla för all personuppgiftsbehandling. Med dessa förutsättningar är det svårt att skapa en reglering som är överskåd- lig och lättillgänglig. Genom att i stor utsträckning samla regleringen i varje registerförfattning och välja samma lagtekniska lösning för samt- liga berörda registerförfattningar skapas dock enhetlighet i den utsträck- ning som det är möjligt. 2017/18:269 5.5.2 Bestämmelser som innebär att behandling inte längre får ske för något ändamål Regeringens förslag: Bestämmelser som motsvarar befintliga bestämmelser om gallring ska införas i de nya registerförfattningarna men formuleras så att de anger den längsta tid som personuppgifterna Det ska även i de nya registerförfattningarna finnas bestämmelser om föreskriftsrätt avseende behandling av personuppgifter för vetenskapliga, statistiska eller historiska ändamål. ska formuleras så att det framgår att föreskriftsrätten även omfattar behandling för arkivändamål av allmänt intresse. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: anser att det, när begreppet gallring tas bort, är oklart om uttrycket längsta tid för behandling ändå ska tolkas som avvikande bestämmelser om gallring i arkivlagens Den fråga som då inställer sig enligt myndigheten är om uppgif- terna ska gallras med stöd av polisens brottsdatalag eller om gallringsfö- reskrifter från behövs. anför vidare att det framstår som mer ändamålsenligt att i brottsdatalagen och i polisens registerförfattning – om ambitionen är att dessa lagar ska vara renodlade dataskyddslagar – endast reglera hur länge personuppgifterna får behandlas för syften inom lagens tillämpningsområde. vill i sammanhanget också framhålla att arkivering av handlingar från brottsbekämpande verksamhet på papper är ett möjligt alternativ utifrån den omfattande och komplicerade arkivbildning som anser att det utifrån ett ändamålsenligt att ange pappersarkivering som ett alternativ för behandling för arkivändamål. har framfört att det i fråga om lämplig skyddsåtgärd för att skydda den enskildes integritet vid arkivering inte alltid är säkrare med arkivering på papper än elektronisk sådan. bedömer också att integritetskänsliga personuppgifter som huvudregel inte bör gallras och att sådana uppgifter i stället bör skyddas genom bestämmelser om sekretess och informationssäker behandling av uppgifterna. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag Från gallring till längsta tid för behandling