prop · H503269 · 2018-06-19 00:00:00 — det tydligt hur personuppgifter dels får användas i myndighetens egen brottsbekämpande verksamhet, dels får behandlas för att lämnas ut till Prop. 2017/18:269 andra. 6.2En ny ordning i brottsdatalagen Gränsen mellan bestämmelser om rättslig grund i dataskyddsrättslig mening och bestämmelser om ändamål för behandlingen av personupp- gifter är inte helt klar. I propositionen Brottsdatalag konstateras att vad som är bestämmelser om rättsliga grunder för behandling och vad som är renodlade ändamålsbestämmelser ibland har blandats samman. Det anses därför vara lämpligt att göra tydligare skillnad mellan dessa typer av bestämmelser (se prop. 2017/18:232 s. 114 f.). I den nämnda propositionen behandlas ingående hur kravet på rättslig grund förhåller sig till de primära och sekundära ändamålen i register- författningarna. Övervägandena leder till bedömningen att de primära och sekundära ändamålsbestämmelserna i de brottsbekämpande myndig- heternas registerförfattningar är så allmänt hållna att de bör ses som en del av den rättsliga grunden för behandlingen av personuppgifter och inte som ändamålsbestämmelser. Framöver kommer de generella bestämmelserna om rättslig grund på direktivets område att finnas i brottsdatalagen. Där anges att lagen gäller för behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. I brottsdatalagen kommer det även att stad- gas att personuppgifter bara får behandlas för särskilda, uttryckligt an- givna och berättigade ändamål. Därutöver föreslås en ny ordning i brottsdatalagen när det gäller be- handling av personuppgifter för nya ändamål. Innan personuppgifter får behandlas för ett nytt ändamål inom brottsdatalagens tillämpningsom- råde, ska det säkerställas att det finns en tillåten rättslig grund för den nya behandlingen och att det är nödvändigt och proportionerligt att per- sonuppgifterna behandlas för det nya ändamålet. I den utsträckning en skyldighet att lämna uppgifter följer av lag eller förordning behöver dock någon sådan prövning inte göras (2 kap. 4 § brottsdatalagen). Det föreslås också en motsvarande bestämmelse i brottsdatalagen som gäller vid ny behandling av uppgifter för ändamål utanför lagens tillämp- ningsområde (2 kap. 22 § brottsdatalagen). 6.3Bör sekundära ändamålsbestämmelser behållas? Regeringens bedömning: De nya registerförfattningarna bör inte innehålla bestämmelser som motsvarar de sekundära ändamåls- bestämmelserna i polisdatalagen, kustbevakningsdatalagen, åklagar- datalagen, tullbrottsdatalagen och skattebrottsdatalagen. Utredningens bedömning överensstämmer i sak med regeringens. Remissinstanserna: Datainspektionen anser i likhet med utredningen att de sekundära ändamålsbestämmelser som gäller behandling för ändamål inom brottsdatalagens tillämpningsområde inte bör behållas. Övriga remissinstanser yttrar sig inte särskilt över bedömningen. Skälen för regeringens bedömning Enligt de sekundära ändamålsbestämmelserna i registerförfattningarna får myndigheterna lämna ut personuppgifter som redan behandlas i vissa uppräknade situationer, t.ex. när personuppgifterna behövs i en brottsbe- kämpande verksamhet hos någon annan svensk eller utländsk myndighet. De sekundära ändamålsbestämmelserna reglerar inte bara utlämnande på direktivets område. och får exempelvis till- handahålla information som behövs i annan verksamhet som respektive myndighet ansvarar för, om det finns särskilda skäl för det. Motsvarande men mer preciserade bestämmelser finns för och Skat- teverket. Vidare finns det, efter modell från polisdatalagen, en generell bestämmelse i flertalet registerförfattningar som innebär att personupp- gifter i enskilda fall även får behandlas för att tillhandahålla information för något annat ändamål än de uttryckligt angivna, om ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in. De nuvarande sekundära ändamålsbestämmelserna omfattar alltså ut- lämnande av uppgifter för syften som ligger både inom och utanför tillämpningsområdet för brottsdatalagen. Behandling för nya ändamål på direktivets område Behandling för nya ändamål kan leda till ökad spridning av personupp- gifter genom att fler får tillgång till dem. Det kan också leda till att uppgifterna behandlas än vad som var avsett från början. Behandling för nya ändamål kan därmed medföra ett ökat intrång i en- skildas personliga integritet. Det är därför viktigt att en noggrann pröv- ning görs innan personuppgifter behandlas för ett nytt ändamål. Som nämnts innebär den nya regleringen i brottsdatalagen att det, innan personuppgifter behandlas för ett nytt ändamål inom lagens tillämpningsområde, ska säkerställas dels att det finns en tillåten rättslig grund för behandlingen, dels att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Bestämmelsen genomför artikel 4.2 i direktivet om behandling för nya ändamål. Om de sekundära ändamålsbestämmelserna med den nuvarande utformningen införs i de nya registerförfattningarna, skulle prövningen enligt 2 kap. 4 § brottsdatalagen inte få fullt genomslag. Ett åsidosättande av prövningen enligt brottsdatalagen kan inte heller anses vara förenligt med artikel 4.2 i direktivet. De sekundära ändamålsbestämmelser som faller inom direktivets tillämpningsområde bör därför inte överföras till de nya registerförfattningarna med den nuvarande utformningen. Behövs en reglering i de nya registerförfattningarna? Direktivet hindrar inte att den nationella rätten sätter gränser för i vilken utsträckning som personuppgifter får lämnas mellan myndigheter. dana begränsningar kan bidra till att skydda enskildas personliga integri- tet och göra det tydligt och förutsebart i vilken utsträckning som behöriga myndigheter får lämna personuppgifter till andra. Det skulle därför på den grunden vara möjligt att ersätta dagens sekundära ändamålsbestäm- melser med bestämmelser som innehåller begränsningar av möjligheten att lämna uppgifter myndigheter emellan. I förarbetena till flera av registerförfattningarna har det dock framhål- lits att det ur ett brottsbekämpningsperspektiv är angeläget att samhällets samlade resurser används på ett så rationellt och effektivt sätt som möj- ligt. Som nämnts där verkar brottsligheten över såväl geografiska gränser som myndighetsgränser och de brottsbekämpande myndigheterna måste samverka med varandra för att brottsbekämpning ska vara effektiv. Så- dan samverkan förutsätter möjligheter till effektivt utbyte av information (se bl.a. prop. 2009/10:85 s. 166 f. och prop. 2016/17:91 s. 96 f.). Ett av syftena med brottsdatalagen är också att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt. Enligt brottsdatalagen ska ändå alltid en prövning göras innan personuppgifter behandlas för ett nytt ändamål. Regeringen instämmer i utredningens mening att den prövningen är tillräcklig för att skydda enskildas integritet. Det finns därför inte skäl för att i registerför- fattningarna föreslå någon annan begränsning än den som följer av brottsdatalagen när det gäller möjligheterna att tillhandahålla uppgifter för nya ändamål inom brottsdatalagens område. Behandling för ändamål utanför direktivets tillämpningsområde När en behörig myndighet behandlar personuppgifter för ändamål utan- för brottsdatalagens tillämpningsområde ska dataskyddsförordningen tillämpas i stället för brottsdatalagen. Förordningen ska tillämpas även när en behörig myndighet tillhandahåller personuppgifter till andra, om ändamålet med behandlingen där ligger utanför brottsdatalagens tillämp- ningsområde. Den ordningen skiljer sig från vad som gäller . Som exempel kan nämnas att lämnar personuppgifter till efter en fartygskollision. Personuppgifter som en behörig myndighet behandlar enligt brottsdatalagen kan också behöva lämnas till en enhet inom samma myndighet som bedriver verksamhet utanför lagens tillämpningsområde. Personuppgifter som behandlas i Polismyn- dighetens brottsbekämpande verksamhet kan exempelvis behöva lämnas till den verksamhet inom myndigheten där frågor om pass eller olika typer av tillstånd behandlas. Dataskyddsförordningen utgår, på samma sätt som direktivet, från att varje behandling av personuppgifter ska vila på en rättslig grund. De rättsliga grunderna räknas uttömmande upp i artikel 6.1 i förordningen. Dit hör enligt punkten e) att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvari- ges myndighetsutövning. Det är främst den punkten som aktualiseras när behöriga myndigheter lämnar ut personuppgifter för ändamål utanför brottsdatalagens tillämpningsområde. Till skillnad från vad som gäller vid behandling för nya ändamål inom brottsdatalagens tillämpningsområde hindrar varken direktivet eller för- 2017/18:269 ordningen att innehållet i de sekundära ändamålsbestämmelserna behålls när det gäller behandling för ändamål utanför brottsdatalagens område. I 2 kap. 22 § brottsdatalagen finns dock en bestämmelse som innebär att innan personuppgifter som behandlas med stöd av lagen, behandlas för ändamål utanför lagens tillämpningsområde, ska det säkerställas att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. I den utsträckning som en skyldighet att lämna uppgifter följer av lag eller förordning behöver dock någon sådan pröv- ning inte göras. Med hänsyn till innehållet i den nya bestämmelsen i brottsdatalagen är det inte heller på förordningens område lämpligt att föra över de sekundära ändamålsbestämmelserna till de nya registerförfattningarna. De nya registerförfattningarna bör alltså inte innehålla några sådana bestämmelser. Konsekvenser av att de nya registerförfattningarna saknar sekundära ändamålsbestämmelser Avsaknaden av sekundära ändamålsbestämmelser i de nya registerförfattningarna innebär inte att de brottsbekämpande myndigheterna förlorar möjligheten att behandla personuppgifter för nya ändamål i motsvarande utsträckning framöver. Till att börja med anges det uttryckligen i brottsdatalagen att en prövning av nödvändighet och proportionalitet inte behöver göras om en skyldighet att lämna uppgifter följer av lag eller förordning. Detta undantag från prövningen motsvarar vissa av de situationer som anges i bestämmelserna om sekundära ändamål i myndigheternas nuvarande registerförfattningar, se t.ex. 2 kap. 8 § första stycket 7 polisdatalagen. I de övriga situationer som anges i dagens bestämmelser om sekundära ändamål måste en behandling för nya ändamål i fortsättningen som regel anses vara nödvändig och proportionerlig enligt brottsdatalagens be- stämmelser (se prop. 2017/18:232 s. 130 och 136). Exempelvis bör det alltid anses vara nödvändigt och proportionerligt att behandla personuppgifter för att tillhandahålla information som behövs i andra behöriga myndigheters brottsbekämpande verksamhet, jfr t.ex. 2 kap. 8 § första stycket 1 polisdatalagen. 7.1Behovet av anpassning till brottsdatalagen Polisdatalagen gäller enligt 1 kap. 2 § vid behandling av personuppgifter i brottsbekämpande verksamhet vid och Säkerhets- polisen och i polisiär verksamhet vid . Den gäller enligt 1 kap. 3 § däremot inte vid behandling av personuppgifter enligt vapenlagen (1996:67), lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregister, lagen (2000:344) om Schengens infor- mationssystem, lagen (2006:444) om passagerarregister, lagen (2010:362) om polisens allmänna spaningsregister (numera upphävd) och lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang. I 2 kap. finns allmänna bestämmelser om behandling av personuppgifter. För personuppgifter som har gjorts gemensamt tillgängliga gäller även 3 kap. Vid behandling av personuppgifter i särskilda register gäller 4 kap. i stället för 3 kap. Behandling för forensiska ändamål regleras i 5 kap. Slutligen finns bestämmelser om behandling av personuppgifter i Säker- hetspolisens verksamhet i 6 kap. Innehållet i många bestämmelser i polisdatalagen behöver inte anpassas alls eller endast ändras redaktionellt med anledning av brottsdatalagen. De anpassningar och ändringar som är gemensamma för registerförfattningarna har behandlats i avsnitt 4, 5 och 6. De anpass- ningar som är specifika för polisdatalagen behandlas däremot i detta avsnitt. Regleringen av Säkerhetspolisens personuppgiftsbehandling i frågor som rör nationell säkerhet behandlas inte i denna proposition, se avsnitt 7.2.1.För den behandlingen kommer 6 kap. polisdatalagen tillfälligt att fortsätta gälla genom en övergångsbestämmelse, se avsnitt 16. Regeringens förslag: Den nya lagen ska benämnas lag om polisens behandling av personuppgifter inom brottsdatalagens område. ningar till polisdatalagen i andra författningar ska ändras till lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Utredningen föreslår att lagen ska benämnas polisens brottsdatalag. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: De registerförfattningar som ska gälla utöver brottsdatalagen bör ha enhetliga benämningar som knyter an till Utredningen föreslår att lagen ska benämnas polisens Även Lagrådet förordar att lagen ges detta namn. föreslagna namnet avviker dock från den systematik som gäller för författningars rubriker (se Ds 2014:1 s. 17 f.). önskvärt om namnet kunde vara kort, men bör namnet ange för vem författningen gäller, vad den handlar om och signalera en tydlig koppling till brottsdatalagen. Gemensamt för de myndigheter som ska 2017/18:269 tillämpa lagen är att den ska gälla i deras polisiära verksamhet. Regeringen anser mot den bakgrunden, trots Lagrådets invändning, att lagen ska benämnas lag om polisens behandling av personuppgifter inom brottsdatalagens område. Lagen kan dock mycket väl få en kortare informell benämning. I det följande kallas den nya lagen för polisens brottsdatalag. Alla hänvisningar till polisdatalagen i andra författningar, med undantag för hänvisningen i 1 kap. 3 § dataskyddslagen, ska ändras till lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Regeringens förslag: Lagen ska gälla utöver brottsdatalagen när någon av följande myndigheter i egenskap av behörig myndighet be- handlar personuppgifter: 1.Polismyndigheten, om uppgifterna behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet, 2.Ekobrottsmyndigheten, om uppgifterna behandlas i syfte att utreda brott och det inte är fråga om åklagarverksamhet, 3.Säkerhetspolisen i frågor som inte rör nationell säkerhet, om upp- gifterna behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott. Säkerhetspolisens personuppgiftsbehandling i frågor som rör nationell säkerhet ska inte regleras i lagen. Lagen ska inte heller gälla vid personuppgiftsbehandling enligt vapenlagen, lagen om belastningsregister, lagen om misstankeregister, lagen om Schengens informationssystem, lagen om passagerarregister eller lagen om elimineringsdatabas. Om det i lagen om internationellt polisiärt samarbete eller lagen om flygpassageraruppgifter i brottsbekämpningen eller föreskrifter som har meddelats i anslutning till dessa lagar finns avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i polisens brottsdatalag. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: förordar att uttrycket ”över- vaka allmän ordning och säkerhet” används i stället för ”upprätthålla allmän ordning och säkerhet”. Övriga remissinstanser tillstyrker eller yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag Den nuvarande regleringen behöver anpassas Polisdatalagen gäller enligt 1 kap. 2 § för behandling av personuppgifter i brottsbekämpande verksamhet vid och Säkerhets- polisen och i polisiär verksamhet vid . ningsområdet för den nya lagen måste dock anpassas till brottsdatalagens tillämpningsområde, så att det dels utgår från syftet med behandlingen, dels omfattar den personuppgiftsbehandling som myndigheterna utför inom brottsdatalagens tillämpningsområde och som inte regleras i någon annan lag. Det bör också framgå att lagen endast gäller när myndigheterna agerar i egenskap av behöriga myndigheter. För att tillämpningsområdet för lagen ska täcka det som omfattas av regleringen föreslår utredningen att tillämpningsområdet bör inkludera personuppgiftsbehandling i syfte att bl.a. bekämpa brott. I bestämmelsen om brottsdatalagens tillämpningsområde används dock inte uttrycket bekämpa brott. I stället anges att lagen gäller för behandling av person- uppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verk- samhet eller utreda brott. Regeringen anser att motsvarande begrepp bör användas i polisens brottsdatalag. Ändringen innebär inte någon förändring i sak i förhållande till utredningens förslag. Brottsdatalagens tillämpningsområde omfattar även personupp- giftsbehandling i syfte att upprätthålla allmän ordning och säkerhet. har enligt 2 § polislagen (1984:387) i uppdrag att före- bygga, förhindra och upptäcka brottslig verksamhet och andra störningar av den allmänna ordningen eller säkerheten, att övervaka den allmänna ordningen och säkerheten och att ingripa när störningar har inträffat. För att polisens brottsdatalag så långt möjligt ska täcka all behandling av personuppgifter som omfattas av brottsdatalagens tillämpningsområde bör myndighetens behandling av personuppgifter vid upprätthållande av allmän ordning och säkerhet omfattas av tillämpningsområdet. förordar att uttrycket ”övervaka allmän ordning och säkerhet” används i stället för ”upprätthålla allmän ordning och säkerhet”. Den sistnämnda formuleringen har dock valts i brottsdatalagen och bör därför användas även här, se prop. 2017/18:232 s. 97. Där diskuteras också var gränsen för tillämpningsområdet bör gå. Brottsdatalagens tillämpningsområde omfattar även personuppgiftsbe- handling i syfte att verkställa straffrättsliga påföljder. För Polismyndig- hetens del blir sådan personuppgiftsbehandling framför allt aktuell i myndighetens uppbördsverksamhet. bereds en departe- mentspromemoria som innehåller förslag till hur be- handling av personuppgifter vid uppbörd av böter bör regleras (Ds 2018:3). Mot den bakgrunden lämnas inte nu några förslag när det gäller personuppgiftsbehandling i syfte att verkställa straff. är en åklagarmyndighet med ett utökat uppdrag. I myndigheten integreras åklagarverksamheten med den polisiära verk- samhet som krävs för att utreda de brott som har i uppdrag att bekämpa (se prop. 2014/15:63 s. 21 f.). Den operativa verk- samheten kan delas in i tre verksamhetsområden: underrättelseverksam- het, utrednings- och lagföringsverksamhet och brottsförebyggande verk- samhet. Huvuddelen av verksamhet består i att Åklagare är alltid förundersökningsledare i förundersök- ningar vid myndigheten och fattar beslut om lagföring. Personuppgiftsbehandlingen vid regleras i både åklagardatalagen och polisdatalagen. Polisdatalagen gäller i den polisiära verksamheten medan åklagardatalagen gäller i den övriga ope- Det har framkommit att det finns osäkerhet om vilket regelverk som ska tillämpas. Utgångspunkten för vilket regelverk som ska tillämpas bör vara den- samma för som för och Den personuppgiftsbehandling som utförs för att fullgöra åklagaruppgifter i utredningsverksamheten bör därför styras av den registerförfattning som gäller för åklagarväsendet. giftsbehandling som utförs i den övriga utredningsverksamheten vid bör däremot regleras i polisens brottsdatalag används uttrycket polisiär verksamhet för att avgränsa tillämp- ningsområdet för polisdatalagen. Det finns ingen definition av vad som är polisiär verksamhet. Sådan verksamhet är vittomfattande och berör många sektorer av samhället. Regeringen instämmer därför i utredning- ens bedömning att det är bättre att utgå från åklagarverksamheten än den polisiära verksamheten vid avgränsningen av tillämpningsområdet. Åklagarverksamhet består av två huvuddelar, brottsutredning och lag- föring, men åklagare har även vissa andra författningsreglerade uppgifter inom brottsdatalagens tillämpningsområde. och främst att åklagare fattar beslut i fråga om huruvida förundersökning ska inledas eller begränsas, läggas ned eller avslutas på annat sätt. innefattar också alla beslut som åklagare fattar om åtgärder under en förundersökning, exempelvis om straffprocessuella tvångsmedel eller framställningar till domstol. Beslut i samband med att förundersökningar läggs ned eller avslutas på annat sätt, t.ex. genom åtalsunderlåtelse, och uppgifter i samband med besluten ingår således i åklagarverksamheten. Åklagare är enligt 22 kap. skyldiga att biträda måls- Åklagarverksamhet inkluderar även att förbereda och föra olika former av talan som kan föras i ett brottmål i samband med ansvarstalan, t.ex. talan om enskilt anspråk, näringsförbud, rådgivningsförbud eller Lagföring avser för åklagarnas del huvudsakligen att ut- färda strafförelägganden och besluta om åtal, att föra ansvarstalan och att företräda staten i andra frågor i brottmål. På samma sätt som domstol har åklagare även omfattande skyldigheter att expediera beslut. Det är dock inte längre möjligt att låta regleringen om personuppgifts- behandling utgå från den verksamhet som personuppgifterna behandlas i, eftersom syftet med personuppgiftsbehandlingen är avgörande för lagens Polisens brottsdatalag bör därför gälla vid personuppgiftsbehandling hos i syfte att utreda brott, om det inte är fråga om Vid är det enbart åklagare som fattar beslut om lagföring. Därför bör myndighetens personuppgifts- behandling i det syftet inte regleras i polisens brottsdatalag. Det bedrivs även underrättelseverksamhet vid . Den verksamheten leds och utförs dock av . brottsdatalag bör tillämpas på den behandlingen, på samma sätt som vid annan personuppgiftsbehandling som utför. Polisdatalagen gäller även i Säkerhetspolisens brottsbekämpande verksamhet. Säkerhetspolisens personuppgiftsbehandling som rör nationell säkerhet omfattas dock inte av dataskyddsdirektivet och brottsdatalagen kommer inte att vara tillämplig på den verksamheten. Polisens brottsdatalag kommer att gälla utöver brottsdatalagen. Många frågor som tidigare reglerades i polisdatalagen regleras i brottsdatalagen. Eftersom brottsdatalagen inte kommer att vara tillämplig i större delen av Säkerhetspolisens verksamhet och polisens brottsdatalag anpassas till brottsdatalagen blir det komplicerat att reglera Säkerhetspolisens personuppgiftsbehandling i polisens brottsdatalag. Regeringen delar därför utredningens uppfattning att det finns starka lagtekniska skäl för att Säkerhetspolisens behandling av personuppgifter bör regleras på annat sätt än i polisens brottsdatalag. Hur den regleringen bör utformas återkommer regeringen till ett annat lagstiftningsärende. Vad som ska gälla behandlas i avsnitt 16. Säkerhetspolisen ska enligt 13 § förordningen (2014:1103) med instruktion för Säkerhetspolisen bistå vid polisverksamhet som leds av om myndigheten i ett enskilt fall begär det och det inte finns särskilda skäl mot det. Säkerhetspolisen ska också lämna tekniskt biträde och annan hjälp till i den utsträckning som myndigheterna kommer överens om. När Säkerhetspolisen lämnar sådant biträde omfattas personuppgiftsbehandlingen av brottsdatalagens tillämpningsområde, om den inte rör nationell säkerhet (se prop. 2017/18:232 s. 105).