prop · H503254 · 2018-05-02 00:00:00 — Anpassning av Utlänningsdatalagen till EU:s dataskyddsförordning Regeringens proposition 2017/18:254 Anpassning av utlänningsdatalagen till EU:s Regeringen överlämnar denna proposition till . Regeringen lämnar i propositionen förslag som anpassar utlännings- datalagen till EU:s dataskyddsförordning. Förordningen, som ska börja tillämpas , är direkt tillämplig i . Svenska författningar behöver dock anpassas för att säkerställa att förordningen får ett effektivt genomslag och att svensk rätt inte strider mot förordningen. Förslagen innebär bl.a. att hänvisningarna till personuppgiftslagen upphävs och att vissa bestämmelser kompletteras med hänvisningar till förordningen. Regeringen föreslår även ändringar avseende utlännings- datalagens förhållande till annan lagstiftning och utformningen av förbudet mot integritetskänsliga sökningar. Det föreslås också vissa undantag från förordningens bestämmelser. Lagändringarna föreslås träda i kraft . 1 Förslag till riksdagsbeslut ................................................................. 2 Förslag till lag om ändring i utlänningsdatalagen (2016:27) ............ 3 Ärendet och dess beredning ............................................................ 4 Bestämmelser om behandling av personuppgifter .......................... Dataskyddsförordningen och 2016 års Anpassning av nationell reglering till 5 Utgångspunkter för anpassningen av utlänningsdatalagen ............. 6 Anpassning av bestämmelserna i utlänningsdatalagen ................... Utlänningsdatalagen måste anpassas till den nya Förhållandet till annan lagstiftning................................... Förhållandet till den allmänna Förhållandet till brottsdatalagen ...................... Förhållandet till övrig lagstiftning ................... Ändamålsbestämmelser och finalitetsprincipen ............... Tillgång till personuppgifter............................................. Information om personuppgiftsincidenter ........................ Den registrerades rättigheter ............................................ Överföringar av personuppgifter till tredjeland ................ Personnummer och samordningsnummer ........................ 6.13Tillsynsmyndighetens handläggning och beslut samt Gallring av personuppgifter.............................................. Ikraftträdande- och övergångsbestämmelser................................... Konsekvenser av förslagen ............................................................. och rådets förordning (EU) 2016/679........................................................................... omarbetad utlänningsdatalag (Ds 2017:45) ................... Förteckning över remissinstanser .................................. Utdrag ur protokoll vid regeringssammanträde ....... 1 Förslag till riksdagsbeslut Regeringen föreslår att antar regeringens förslag till lag om ändring i utlänningsdatalagen (2016:27). 2Förslag till lag om ändring i utlänningsdatalagen (2016:27) Härigenom föreskrivs i fråga om utlänningsdatalagen (2016:27) dels att 7, 8 och 10 §§ ska upphöra att gälla, dels att rubriken närmast före 7 § ska utgå, dels att nuvarande 14 § ska betecknas 15 § och nuvarande 15 § ska betecknas 14 §, dels att 3, 5, 6, 13, den nya 14, 17, 18, 20 och 21 §§ ska ha följande lydelse, dels att rubriken närmast före nuvarande 14 § ska sättas närmast före den nya 15 § och att rubriken närmast före nuvarande 15 § ska sättas närmast före den nya 14 §, dels att det ska införas fem nya paragrafer, 4 a–4 c, 18 a och 18 b §§, och närmast före 4 a, 18 a och 18 b §§ nya rubriker av följande lydelse. Denna lag gäller också vid behandling av personuppgifter i verksamhet som rör utlänningars inresa och vistelse i och utresa eller avlägsnande från om verksamheten inte utgör brotts- bekämpande verksamhet. Denna lag gäller också vid behandling av personuppgifter i verksamhet som rör utlänningars inresa och vistelse i och utresa eller avlägsnande från . Förhållandet till annan reglering Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av person- uppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och anslutning till den lagen, om inte annat följer av denna lag eller anslutning till lagen. Denna lag gäller inte vid behandling av personuppgifter som omfattas av tillämpningsområdet för brottsdatalagen (2018:000). Denna lag gäller inte när personuppgifter behandlas med stöd av 1.lagen (2000:344) om Schengens informationssystem, 2.lagen (2006:444) om 810/2009 av om 810/2009 av om införande av en gemenskapskodex införande av en gemenskaps- (viseringskodex), kodex om viseringar (viserings- kodex), eller 603/2013 av om 603/2013 av om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av förordning (EU) nr 604/2013 om kriterier och förordning (EU) nr 604/2013 om mekanismer för att avgöra vilken kriterier och mekanismer för att medlemsstat som är ansvarig för att avgöra vilken medlemsstat som är pröva en ansökan om internationellt ansvarig för att pröva en ansökan om internationellt skydd som en medborgare eller en statslös person har lämnat in i någon medlemsstat statslös person har lämnat in i någon medlemsstat och för när begär jämförelser med Eurodac- ändamål, samt om ändring av förordning (EU) nr 1077/2011 om ändamål, samt om ändring av inrättande av en Europeisk byrå förordning (EU) nr för den operativa förvaltningen av om inrättande av en Europeisk stora it-system inom området förvaltningen av stora it-system (omarbetning). och rättvisa (omarbetning). Personuppgifter som avses i artikel 9.1 i EU:s dataskydds- förordning (känsliga person- uppgifter) får endast behandlas När personuppgifter behandlas med stöd av och rådets förordning (EG) nr 767/2008 av om informationssystemet för visering- ar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS-förordningen), gäller bestämmelserna i 28 och 48 §§ personuppgiftslagen (1998:204) om rättelse och skadestånd om inte något annat följer av VIS- förordningen. I övrigt är denna lag inte tillämplig när personuppgifter behandlas med stöd av VIS- förordningen. När personuppgifter behandlas med stöd av och rådets förordning (EG) nr 767/2008 av om informationssystemet för visering- ar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS-förordningen) ska bestämmelserna om rätten till ersättning i artikel 82 i EU:s dataskyddsförordning tillämpas om inte något annat följer av VIS- förordningen. I övrigt är denna lag inte tillämplig när personuppgifter behandlas med stöd av VIS- förordningen. Personuppgifter som behandlas enligt 11 och 12 §§ får även behandlas när det är nödvändigt för att tillhandahålla information till 1.riksdagen eller regeringen, 2.en annan myndighet eller en enskild, om uppgifterna lämnas med stöd av lag eller förordning, eller 3.en utländsk myndighet, ett EU-organ eller en mellanfolklig organisation, om utlämnandet av uppgifterna följer av medlemskap i unionen eller av uppgiftsskyldighet enligt en internationell konvention som har tillträtt eller enligt ett av godkänt avtal med främmande stat eller mellanfolklig organisation. I ett enskilt fall får person- uppgifter som behandlas enligt 11 och 12 §§ även behandlas för att tillhandahålla information för något annat ändamål än de som anges i första stycket under förutsättning att ändamålet inte är oförenligt med det ändamål som uppgifterna samlades in för. Personuppgifter som behandlas enligt 11 och 12 §§ får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. 14 § Sådana känsliga personuppgifter som anges i 13 § personuppgifts- lagen (1998:204) får endast behandlas 1.för de ändamål som anges i 11 § 1–4 och 6 samt 13 § om uppgifterna är absolut nödvändiga för syftet med behandlingen, eller 2.i löpande text för det ändamål som anges i 12 § 2, om uppgifterna är absolut nödvändiga för att fullgöra arbetsuppgifter i sådan verksamhet som anges i 2 §. behandlas med stöd av 15 §. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela 1.ytterligare föreskrifter om inskränkningar av möjligheten att behandla känsliga personuppgifter, och 2.föreskrifter om gallring. Vid sökning i personuppgifter är Det är förbjudet att utföra det förbjudet att som sökbegrepp sökningar i syfte att få fram ett använda uppgifter som avslöjar urval av personer grundat på 1. ras eller etniskt ursprung, 2. politiska åsikter, samma gäller för uppgifter om brott, domar i brottmål, straff- 4. medlemskap i fackförening, 5. hälsa, eller 6. sexualliv. uppgifter om beslut om förvar enligt utlänningslagen (2005:716). Första stycket hindrar inte att behandlas med stöd av 15 §. Vid behandling av personuppgifter för ändamål som anges i 12 § 2 får personuppgifter som direkt pekar ut den registrerade inte användas som sökbegrepp. Vid sökning i personuppgifter får sådana uppgifter om lagöver- trädelser m.m. som anges i 21 § personuppgiftslagen (1998:204) inte användas som sökbegrepp. Uppgifter om beslut om förvar enligt utlänningslagen (2005:716) får dock användas som sökbegrepp. Information om personuppgifts- incidenter Den personuppgiftsansvariges skyldighet att informera den registrerade om en person- uppgiftsincident enligt artikel 34 i EU:s dataskyddsförordning gäller 1 Ändringen innebär att andra stycket tas bort. lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Rätten att göra invändningar Artikel 21.1 i EU:s data- göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till har rätt att ta har rätt att ta enligt 11 eller 14 § vid direkt- enligt 11 eller 15 § vid direkt- enligt 19 §. enligt 19 §. erna har motsvarande rätt att vid erna har motsvarande rätt att vid direktåtkomst ta del av uppgifter direktåtkomst ta del av uppgifter enligt 11 §. enligt 11 §. 11 § 1 eller andra stycket 1, 2 eller 5. andra stycket 1, 2 eller 5. Om det finns skäl för det ska på eget initiativ lämna uppgifter som avses i andra stycket andra meningen till (1998:204) i till tredjeland om överföringen är 8 § första stycket 8 är det tillåtet absolut nödvändig för de ändamål att även utan den registrerades som anges i 11 § 1 och 2 samt 12 § samtycke föra över personuppgifter 1, såvida det inte möter hinder av 2017/18:254 absolut nödvändig för de ändamål sekretesslagen (2009:400). som anges i 11 § 1 och 2 samt 12 § 1, såvida det inte möter hinder av sekretess enligt offentlighets- och sekretesslagen (2009:400). Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om begränsningar av möjligheten att föra över personuppgifter till tredjeland. 1.Denna lag träder i kraft . 2.Äldre föreskrifter gäller fortfarande för överklagande av beslut som har meddelats före ikraftträdandet. 3 Ärendet och dess beredning antogs och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), härefter dataskyddsförordningen. Förordningen, som börjar tillämpas , finns i svensk lydelse som bilaga 1. Chefen för gav en utredare i uppdrag att lämna förslag på de författningsändringar i utlänningsdatalagen (2016:27) och utlänningsdataförordningen (2016:30) som behövs för att komplettera dataskyddsförordningen. Uppdraget redovisades i departementspromemorian En omarbetad utlänningsdatalag – Anpassning till EU:s dataskyddsförordning (Ds 2017:45). En sammanfattning av promemorian och promemorians lagförslag finns i bilagorna 2 och 3. Promemorian har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 4. Remissvaren finns tillgängliga i (dnr Ju2017/07761/L7). Regeringen beslutade att inhämta Lagrådets yttrande över det lagförslag som finns i bilaga 5. Lagrådets yttrande finns i bilaga 6. Lagrådet lämnade förslaget utan erinran. Vissa språkliga ändringar har gjorts i förhållande till förslaget i lagrådsremissen. 4Bestämmelser om behandling av personuppgifter 4.11995 års dataskyddsdirektiv och personuppgiftslagen Den generella regleringen om behandling av personuppgifter inom EU finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektiv). Direktivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, samt att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Direktivet har genomförts i svensk rätt huvudsakligen genom person- Bestämmelserna i personuppgiftslagen har till syfte att 2017/18:254 skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Lagen följer i princip samma struktur som direktivet och innehåller bestämmelser om bl.a. personuppgifts- ansvar, grundläggande krav för behandling av personuppgifter och information till den registrerade. Personuppgiftslagen är tillämplig även utanför direktivets tillämpningsområde och gäller för myndigheter och enskilda som behandlar personuppgifter. Personuppgiftslagen är subsidiär, vilket innebär att lagens bestämmelser inte ska tillämpas om det finns avvikande regler i en annan författning. Det finns en stor mängd sådana bestämmelser i vad som brukar kallas särskilda registerförfattningar eller andra informations- hanteringsförfattningar, som framför allt reglerar hur olika myndigheter får behandla personuppgifter. Syftet med dessa författningar är att anpassa personuppgiftsregleringen till de särskilda behov som myndig- heterna har i sina respektive verksamheter samt att göra avvägningar mellan verksamhetens behov av effektivitet och den enskildes rätt till skydd för sin integritet. Utlänningsdatalagen är en sektorsspecifik registerlag som reglerar all automatiserad personuppgiftsbehandling som sker i den verksamhet som , utlandsmyndigheterna och bedriver enligt utlännings- och medborgarskapslagstiftningen. Kompletterande bestämmelser till lagen finns i utlänningsdataförordningen. Syftet med regleringen är att ge myndigheterna möjlighet att behandla personuppgifter på ett ändamålsenligt och effektivt sätt och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. I lagen finns bestämmelser om bl.a. tillåtna ändamål för personuppgiftsbehandling, behandling av känsliga personuppgifter, behandling av uppgifter i register över fingeravtryck och fotografier, sökbegränsningar och myndigheters direktåtkomst till register. Regelverket är tänkt att vara flexibelt för att passa de olika myndigheternas verksamhet och för att möjliggöra utveckling och effektivisering av myndigheternas verksamhet och it-stöd. På grund av den snabba tekniska utvecklingen har målsättningen också varit att i så stor utsträckning som möjligt göra utlänningsdatalagen och utlänningsdataförordningen teknikneutrala. Utlänningsdatalagen gäller i stället för personuppgiftslagen, men inne- håller hänvisningar till de bestämmelser i den lagen som ska gälla inom tillämpningsområdet. Dataskyddsförordningen och 2016 års Europeiska kommissionen presenterade förslag till en genomgripande reform av om skydd för personuppgifter. Reformen omfattar dels en allmän dataskyddsförordning som ersätter Prop. 2017/18:254 dataskyddsdirektiv, dels ett nytt direktiv med särregler för personuppgiftsbehandling i främst den brottsbekämpande sektorn (2016 års dataskyddsdirektiv). Dataskyddsförordningen kommer att utgöra grunden för generell personuppgiftsbehandling inom EU. Det huvudsakliga syftet med förordningen är bl.a. att säkerställa en enhetlig skyddsnivå över hela unionen och att undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden. Förordningen kommer att vara direkt tillämplig i alla EU:s medlemsstater men förutsätter och möjliggör kompletterande och specificerande nationella bestämmelser av olika slag. dataskyddsdirektiv, som ska vara genomfört i nationell rätt , innehåller bestämmelser om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Även sådan personuppgiftsbehandling som utförs av behöriga myndigheter för att skydda mot, förebygga och förhindra hot mot den allmänna säkerheten ingår i tillämpningsområdet. Syftet med direktivet är att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter, samt att säkerställa att det utbyte av personuppgifter som krävs inom unionen mellan behöriga myndigheter varken begränsas eller förbjuds av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter. Av artikel 2.2 d i dataskyddsförordningen jämförd med artikel 1.1 dataskyddsdirektiv framgår att förordningen inte gäller för sådan personuppgiftsbehandling som omfattas av direktivets tillämpningsområde. 4.3.2Anpassning av nationell reglering till EU:s dataskyddsreform I propositionen Ny dataskyddslag föreslår regeringen att personuppgifts- lagen ska upphävas och att en ny lag med kompletterande bestämmelser till EU:s dataskyddsförordning, dataskyddslagen, ska införas (prop. 2017/18:105). Förslaget antogs av och träder i kraft . Dataskyddslagen innehåller bestämmelser som kompletterar dataskyddsförordningen på ett generellt plan i svensk rätt. Lagen är subsidiär i förhållande till annan lag eller förordning, vilket möjliggör avvikande bestämmelser i sektorsspecifika register- författningar. I propositionen Brottsdatalag föreslår regeringen att dataskyddsdirektivet ska genomföras i svensk rätt bl.a. genom en ny ramlag, brottsdatalagen (prop. 2017/18:232). Lagen ska vara generellt tillämplig inom det område som direktivet reglerar och vara subsidiär i förhållande till annan lag eller förordning. Regeringen utgår i nu aktuell proposition från att brottsdatalagen kommer att få det innehåll som föreslås i prop. 2017/18:232. 2017/18:254 5 Utgångspunkter för anpassningen av Regeringens bedömning: Den behandling av personuppgifter som får utföras enligt utlänningsdatalagen är tillåten enligt artikel 6.1 och 6.3 i Dataskyddsförordningen ger utrymme för en sådan särskild regler- ing om personuppgiftsbehandling som finns i utlänningsdatalagen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Datainspektionen efterfrågar en vidare analys av frågan om lagstiftningen på området är proportionell mot det legitima mål som eftersträvas. Inspektionen anser även att den rättsliga grunden för personuppgiftsbehandling ska framgå direkt av lagtexten. invänder mot promemorians bedömning att hela den verksamhet som verket har anförtrotts på utlännings- och medborgar- skapsområdet faller inom ramen för den rättsliga grunden uppgift av allmänt intresse och efterfrågar ett vidare resonemang i den delen. övrigt yttrar sig ingen remissinstans särskilt över bedömningen. Skälen för regeringens bedömning Dataskyddsförordningens bestämmelser om rättslig grund för Dataskyddsförordningen utgår från att varje behandling av person- uppgifter måste vila på en rättslig grund. En sådan grund är t.ex. att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som (artikel 6.1 c). behandlingen behövs för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). Personuppgifter får också behandlas om det är nödvändigt för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grund- läggande rättigheter och friheter personuppgifter, särskilt när den registrerade är ett barn (artikel 6.1 f). Uppräkningen i artikel 6.1 är uttömmande. Om ingen av de grunder som anges där är tillämplig är behandlingen inte laglig och får därmed inte De rättsliga grunderna är i viss mån överlappande. rättsliga grunder kan därför vara tillämpliga avseende en och samma Dataskyddsförordningens artikel 6 motsvarar i många avseenden arti- kel 7 dataskyddsdirektiv och 10 § personuppgiftslagen. väsentlig skillnad är att den rättsliga grunden om behandling för ändamål som rör ett berättigat intresse enligt artikel 6.1 f i förordningen inte gäller för behandling som utförs av myndigheter (artikel 6.1 andra stycket). annan betydelsefull skillnad är att det i förordningen ställs upp krav på att vissa rättsliga grunder för behandlingen ska vara fastställda i unionsrätten eller den nationella rätten (artikel 6.3 första stycket). nya kravet gäller behandling som är nödvändig för att fullgöra en rättslig förpliktelse som den som är personuppgiftsansvarig har (artikel 6.1 c). Det gäller även behandling som är nödvändig för att utföra en uppgift av Prop. 2017/18:254 allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e). Kravet innebär alltså att de nyssnämnda rättsliga grunderna – rättslig för- pliktelse, allmänt intresse och myndighetsutövning – ska vara fastställda i unionsrätten eller den nationella rätten för att kunna läggas till grund för personuppgiftsbehandling. Att den rättsliga grunden ska vara fastställd i unionsrätten eller nationell rätt innebär inte ett krav på att själva behandlingen av personuppgifter måste regleras. Däremot måste den rättsliga förpliktelsen, uppgiften av allmänt intresse respektive myndighetsutövningen ha stöd i rättsordningen (prop. 2017/18:105 s. 48). Vilken rättslig grund en behandling vilar på har betydelse för hur behandlingen får regleras. Om personuppgiftsbehandlingen är nödvändig för att fullgöra en rättslig förpliktelse eller för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning, ger data- skyddsförordningen medlemsstaterna visst utrymme att i nationell lag- stiftning behålla eller införa bestämmelser för att anpassa tillämpningen av förordningen (artikel 6.2 och 6.3 andra stycket). Det är alltså möjligt att i angivna situationer på nationell nivå föreskriva särskilda krav som ska gälla för behandlingen. Den rättsliga grund som en behandling vilar på får därmed avgörande betydelse för om nationella bestämmelser som reglerar personuppgiftsbehandling i en verksamhet kan behållas. Det bör noteras att den författning eller det beslut som utgör den rättsliga grunden för behandling av personuppgifter enligt dataskydds- förordningen måste uppfylla ett mål av allmänt intresse och vara propor- tionell mot det legitima mål som eftersträvas (artikel 6.3 andra stycket sista meningen). Det finns därmed en bortre gräns för vilka uppgifter som kan behandlas. Det finns rättslig grund för behandling av personuppgifter enligt utlänningsdatalagen Utlänningsdatalagen gäller för personuppgiftsbehandling som , utlandsmyndigheterna och Polismyndigheterna utför enligt utlännings- och medborgarskapslagstiftningen. Myndigheternas uppdrag och uppgifter inom detta område är fastställda genom lag och annan författning. 2017/18:105 betonar regeringen att dataskydds- förordningens krav på att den rättsliga grunden för behandlingen ska vara fastställd inte utgör någon nyhet när det gäller svenska myndigheters behandling av personuppgifter.