prop · H503232 · 2018-04-19 00:00:00 — tydligande bör tas in i ett andra stycke och formuleras enligt följande. Lagrådet föreslår att paragrafen ges följande lydelse. Personuppgifter får behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra sin uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Med en behörig myndighets uppgift i första stycket avses en uppgift som framgår av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndig- heten att utföra en sådan uppgift. 2 kap. 9 § Paragrafen, som även bör omnämna tilltalad, kan förtydligas enligt föl- Så långt det är möjligt ska personuppgifter som rör olika kategorier av registre- rade särskiljas så att det framgår om personen är misstänkt, tilltalad, dömd för brott, brottsoffer eller någon annan som berörs av ett brott. Om det inte framgår av sammanhanget eller på annat sätt till vilken kategori personen hör, ska det tydliggöras genom en särskild upplysning. 2 kap. 11–13 §§ Benämningen (känsliga personuppgifter) bör flyttas från 13 § till 11 §. Lagrådet föreslår att paragraferna formuleras enligt följande. 11 § Personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt biomet- riska uppgifter, genetiska uppgifter och uppgifter som rör hälsa, sexualliv eller sexuell läggning (känsliga personuppgifter) får endast behandlas i fall som anges i 12 och 13 §§. 12 § Om uppgifter om en person behandlas får de kompletteras med sådana uppgifter som anges i 11 § när det är absolut nödvändigt för ändamålet med behandlingen. Biometriska uppgifter och genetiska uppgifter får dock behandlas endast om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. 13 § Känsliga personuppgifter får alltid behandlas med stöd av 2 §. 2 kap. 19 § Eftersom uttrycket omprövning inte används i nya förvaltningslagen (se prop. 2016/17:180 s. 223) bör uttrycket inte användas här. ”Fysisk per- son” bör ersättas med ”någon person” (jfr 29 § personuppgiftslagen). Första stycket bör avslutas enligt följande. ”…få beslutet prövat på nytt av någon person”. 2 kap. 22 § Enligt paragrafen ska det göras en prövning när personuppgifter som behandlas med stöd av lagen ska behandlas för ändamål utanför lagens tillämpningsområde. Det ska säkerställas att det är nödvändigt och pro- portionerligt att personuppgifterna behandlas för det nya ändamålet, dvs. samma prövning som enligt 2 kap. 4 § ska göras innan personuppgifter behandlas för ett nytt ändamål inom lagens tillämpningsområde. Enligt remissen (avsnitt 7.6.4) är det rimligt att samma prövning görs i båda fallen. Det som föreslås är en extra prövning som ska göras innan behandlingen för det nya ändamålet påbörjas. Regleringen saknar stöd i direktivet och EU:s dataskyddsförordning. Hur prövningen förhåller sig – rättsligt och praktiskt – till den nya prövning som ska göras enligt dataskyddsförord- ningen är oklart. Lagrådet kan därför inte tillstyrka den föreslagna paragrafen utan anser att den ska utgå. 3 kap. 3 § I paragrafen behöver inte kravet att behandlingen sker författningsenligt upprepas (jfr 2 §). Paragrafen kan förtydligas enligt följande. Den personuppgiftsansvarige ska när medlen för behandlingen bestäms och vid behandlingen, genom lämpliga tekniska och organisatoriska åtgärder, se till att nödvändiga skyddsåtgärder integreras i behandlingen (inbyggt dataskydd). 3 kap. 6 § Lagrådet föreslår att orden ”varje tjänsteman” ersätts med ”var och en”; jfr 10 § i förslag till lag om behandling av personuppgifter i Arbetsmiljö- verkets informationssystem om arbetsskador i prop. 2017/18:112 och 7 § i förslaget till kriminalvårdsdatalag i lagrådsremiss Kriminalvårdsdatalag – en ny lag med anpassning till EU:s dataskyddsförordning. 3 kap. 16 och 17 §§ Det bör i 16 § förtydligas att det handlar om att den personuppgifts- ansvarige är skyldig att förvissa sig om att biträdet har den kompetens som krävs och det redan innan biträdet anlitas. Bestämmelserna i 17 § om att ett personuppgiftsbiträde behandlar per- sonuppgifter på den personuppgiftsansvarigas vägnar och att det ska träffas ett avtal mellan den personuppgiftsansvarige och biträdet bör lämpligen placeras i 16 §. Lagrådet föreslår att bestämmelserna utformas enligt följande. 16 § Den personuppgiftsansvarige får, om det är lämpligt, anlita personuppgifts- biträden för behandling av personuppgifter på den personuppgiftsansvariges vägnar. Innan ett personuppgiftsbiträde anlitas ska den personuppgiftsansvarige försäkra sig om att biträdet kommer att vidta de lämpliga tekniska och organisa- toriska åtgärder som krävs för att behandlingen av personuppgifter ska vara författningsenlig och för att skydda den registrerades rättigheter. Personuppgiftsbiträdets behandling av personuppgifter ska regleras i ett skriftligt avtal eller annan skriftlig överenskommelse. 17 § Ett personuppgiftsbiträde får inte anlita ett annat personuppgiftsbiträde utan skriftligt tillstånd från den personuppgiftsansvarige. 4 kap. 2 § Lagrådet föreslår att ”i specifika fall” i första styckets inledning utgår; att det rör sig om ett enskilt fall framgår av fortsättningen, ”när det behövs för att han eller hon ska kunna….”. Alternativt bör uttrycket ersättas med ”i ett enskilt fall”. 6 kap. 4 och 5 §§ I paragraferna finns bestämmelser om hur sanktionsavgift ska bestämmas i det enskilda fallet. Brottsdatalagen grundas på EU:s dataskyddsdirektiv och tar sikte på personuppgifter som behandlas i den brottsbekämpande verksamhet som och andra myndigheter bedriver. För annan verksam- het hos en sådan myndighet förutsätts i stället EU:s dataskyddsförordning med anknytande inhemska föreskrifter komma att gälla (jfr prop. 2017/18:105 till lag med kompletterande bestämmelser till EU:s data- skyddsförordning). Den sammantagna regleringen blir därmed komplex och svårtillämpad. När det gäller sanktioner vid överträdelser av bestämmelserna om per- sonuppgifter har man i de båda EU-rättsakterna stannat för olika lös- ningar. I förordningen finns obligatoriska bestämmelser om administra- tiva sanktionsavgifter som inte ger utrymme för nationella särlösningar. Direktivet å andra sidan överlämnar åt medlemsstaterna att välja hur regelöverträdelser ska sanktioneras med gängse krav på effektivitet, proportionalitet m.m. I lagrådsremissen föreslås nu att ett system med sanktionsavgifter ska införas för de brottsbekämpande myndigheterna i deras egenskap av personuppgiftsansvariga. Även personuppgiftsbiträden kan, oavsett om biträdet är en myndighet eller en näringsidkare, träffas av avgift. Det finns anledning att här återge de bedömningar och ställningstaganden som gjorts i det betänkande (SOU 2017:29) som ligger till grund för lagrådsremissen eftersom remissen i de aktuella delarna helt följer betän- kandet. I betänkandet motiveras utförligt varför sanktionsavgifter bör användas som sanktion. I sammanhanget konstateras att vissa myndigheter kan komma att tillämpa såväl förordningen som den lag som genomför direk- tivet och att det då är svårt att motivera att helt olika sanktionssystem ska gälla för likartade överträdelser (när betänkandet lämnades hade regeringen inte tagit ställning till möjligheten att låta myndigheter omfattas av förordningens regler om sanktionsavgifter). Vidare framhålls att det finns skäl att vid utformningen av ett nytt sanktionssystem beakta vad som gäller enligt förordningen eftersom i princip samtliga omstän- digheter som räknas upp i artikel 83.2 i förordningen kan vara av större eller mindre betydelse för frågan om avgift ska tas ut och storleken på avgiften. Den föreslagna avgiftsmodellen bygger på att särskild hänsyn ska tas till fem kriterier, beskrivna i ganska allmänna ordalag. Enligt en följande paragraf får sanktionsavgiften sättas ned helt eller delvis om överträdel- sen är ursäktlig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgift. Remissinstanserna har inte haft några synpunkter på beräkningssättet. Regeringen har i lagrådsremissen orda- grant följt utredningens förslag till lagtext. Det sägs i betänkandet och upprepas i lagrådsremissen att det inte är möjligt att skapa helt identiska sanktionssystem eftersom tillämpnings- området för förordningen och direktivet skiljer sig åt. Enligt Lagrådets mening utesluter inte den omständigheten att tillämpningsområdet i olika avseenden skiljer sig åt att förordningens teknik för att bestämma vad som ska påverka avgiftsuttaget kan användas också i den nya lagen. sådan samordning skulle göra sanktionssystemet mer överblickbart för berörda myndigheter och underlätta tillämpningen för tillsynsmyndighe- ten och domstolarna. Lagrådet kan därför inte tillstyrka den nu föreslagna avgiftsmodellen utan anser att möjligheten att så långt det går samordna sättet att ta ut sanktionsavgifter bör undersökas. Detta kan innebära att 4 och 5 §§ ersätts med en bestämmelse om att vederbörlig hänsyn ska tas till de omständigheter som anges i a–k i artikel 83.2 i EU:s dataskyddsförord- ning vid bedömningen av om någon sanktionsavgift ska tas ut och när storleken på avgiften ska bestämmas. 6 kap. 7 § Lagrådet förordar att en bestämmelse om delgivning motsvarande den som finns i 6 kap. 4 § i förslaget till lag med kompletterande bestämmel- ser till EU:s dataskyddsförordning tas in i paragrafen som ett nytt andra stycke enligt följande. ”Ett beslut om sanktionsavgift ska delges”. 8 kap. 8 § Undantaget i paragrafens inledning för en behörig myndighet ”som inte är en annan aktör som utövar myndighet” bör utgå och undantaget i stäl- let regleras i ett nytt tredje stycke enligt följande. Första och andra styckena gäller inte en sådan annan aktör som är behörig myn- dighet enligt definitionen i 1 kap. 6 §. Enligt punkten 3 i ikraftträdande- och övergångsbestämmelserna ska be- stämmelsen i 3 kap. 5 § om loggning tillämpas första gången från och med i fråga om automatiserade behandlingssystem som Uttrycket ”första gången” bör utgå. Förslaget till lag om ändring i offentlighets- och sekretesslagen 17 kap. 7 c § Första stycket bör förenklas enligt följande. Sekretess gäller i tillsynsmyndighetens verksamhet enligt 5 kap. brottsdatalagen (2018:000) för uppgift som, utan samband med en svensk begäran, har lämnats av en tillsynsmyndighet i en stat inom Europeiska ekonomiska samarbetsområdet (EES) eller i , om det kan antas att tillsynsmyndighetens möjlighet att bedriva tillsyn motverkas om uppgiften röjs. Lagrådet lämnar förslagen utan erinran. Utdrag ur protokoll vid regeringssammanträde Närvarande: statsminister , ordförande, och statsråden , Y , M , , , , , Hellmark , , , Bah Kuhnke, Strandhäll, Shekarabi, , , , , , , Regeringen beslutar proposition Brottsdatalag