prop · H503232 · 2018-04-19 00:00:00 — Regeringens proposition 2017/18:232 Regeringen överlämnar denna proposition till . Regeringen föreslår att EU:s nya dataskyddsdirektiv i huvudsak genom- förs genom en ny ramlag, brottsdatalagen. Syftet med den föreslagna lagen är både att skydda fysiska personers grundläggande rättigheter och friheter och att säkerställa att behöriga myndigheter kan behandla och ut- byta personuppgifter med varandra på ett ändamålsenligt sätt. Lagen ska vara generellt tillämplig inom det område som direktivet reglerar. Lagen ska även vara subsidiär i förhållande till annan lag eller förordning, vilket möjliggör avvikande bestämmelser i s.k. registerför- fattningar. Regeringen föreslår också vissa ändringar i offentlighets- och sekre- tesslagen, lagen om belastningsregister, lagen om misstankeregister, domstolsdatalagen och lagen om internationellt polisiärt samarbete. Lagändringarna föreslås träda i kraft . Förslag till riksdagsbeslut ............................................................... 2.2Förslag till lag om ändring i lagen (1998:620) om 2.3Förslag till lag om ändring i lagen (1998:621) om 2.4Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400) ................................................ 2.5Förslag till lag om ändring i domstolsdatalagen (2015:728) ........................................................................ 2.6Förslag till lag om ändring i lagen (2017:496) om internationellt polisiärt samarbete .................................... 2.7Förslag till lag om ändring i lagen (2018:000) med kompletterande bestämmelser till EU:s 2.8Förslag till lag om ändring i brottsdatalagen (2018:000) ........................................................................ 3 Ärendet och dess beredning ............................................................ 4 Dagens reglering och reformer på dataskyddsområdet ................... Huvuddragen i dagens personuppgiftsreglering ............... Särregler för brottsbekämpande verksamhet .................... Lagen om internationellt polisiärt Lagen om internationellt tullsamarbete ........... Lagen om register över tillträdesförbud Särregler för lagföring ...................................................... Register över ordningsbot och Särregler för verkställighet av straff ................................. Särreglering bara för vissa former av 4.4.2Verkställighet av fängelse, skyddstillsyn och villkorlig dom med samhällstjänst ........... Verkställighet av bötesstraff ........................... 4.4.4Verkställighet av rättspsykiatrisk vård, vård enligt socialtjänstlagen, ungdomsvård och ungdomstjänst ................... verkställighet av straffrättsliga påföljder ........ Regler om personuppgiftsbehandling hos andra aktörer än myndigheter .................................................... Uppgifter om brottsbekämpning, lagföring eller straffverkställighet .................. 4.5.2Offentliga försvarare och annat juridiskt 4.6Lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen ............................... Europeiska unionens dataskyddsreform .......................... Två nya rättsliga instrument ........................... Ett nytt dataskyddsdirektiv ............................. utanför båda instrumenten .............................. Det nya dataskyddsdirektivet ......................................................... Allmänt om direktivet...................................................... Innehållet i direktivet....................................................... En ny ramlag och dess tillämpningsområde ................................... 6.1En ramlag för personuppgiftsbehandling vid brottsbekämpning, lagföring och straffverkställighet En ny reglering behövs ................................... En generellt tillämplig men subsidiär lag ....... lag bör upphävas .............................. 6.3Dataskyddsbestämmelser i tidigare rättsakter och Utformningen ............................av tillämpningsområdet myndigheter utför för vissa syften brottsbekämpning, lagföring och Personuppgiftsbehandling som rör allmän ordning och säkerhet ....................................... Vad är en behörig myndighet? Helt eller delvis automatiserad behandling.... Undantag från tillämpningsområdet ............................... Den gemensamma utrikes- och Förhållandet till offentlighetsprincipen och till tryck- Gränsdragningsfrågor som rör tillämpningsområdet ...... Bedömningen av gränsdragningsfrågor ......... 7 Rättslig grund och ändamål för behandling av personuppgifter ...114 Skillnad mellan bestämmelser om rättslig grund för behandling och ändamålsbestämmelser.......................... Rättslig grund för behandling – huvudregeln ................. Rättslig grund i undantagsfall för diarieföring och Behandling bara för särskilda, uttryckligt angivna och berättigade ändamål ................................................. Är dagens primära och sekundära ändamålsbestämmelser snarare bestämmelser om rättslig grund?................................................................. Behandling för nya ändamål........................................... Nuvarande reglering av behandling för Nya ändamål inom ramlagens Nya ändamål utanför ramlagens dataskyddsförordningen är tillämplig ............ Nya ändamål utanför ramlagens tillämpningsområde – en prövning ska göras innan personuppgifter behandlas för Uppgiftsskyldighet ersätter prövningen......... Behandling för vetenskapliga, statistiska och historiska ändamål inom ramlagens Övriga principer för behandling av personuppgifter ..................... Grundläggande krav på behandlingen ............................ Ingen generell bestämmelse om Personuppgifter ska vara korrekta och Olika typer av personuppgifter ska skiljas Inga ytterligare regler om vilka personuppgifter som får behandlas ............... Åtgärder för att säkerställa Längsta tid som personuppgifter får behandlas ............. Terminologin bör renodlas ........................... 8.2.2Hur länge får personuppgifter behandlas? Uppgifter till rättsstatistiken .......................................... Personuppgiftsansvariga och personuppgiftsbiträden .................. Vad innebär personuppgiftsansvar?............................... Definition av personuppgiftsansvarig ........... 9.2Skyldigheten att säkerställa författningsenlig Tekniska och organisatoriska åtgärder ......... Tillgången till personuppgifter ..................... Förhandssamråd med tillsynsmyndigheten... Samarbete med tillsynsmyndigheten ............ Skyldighet att förteckna behandlingar .......... Anmälan av överträdelser ............................. Säkerheten för personuppgifter ..................................... Vad är en personuppgiftsincident? Anmälan till tillsynsmyndigheten................. Underrättelse till den registrerade................. Definition av dataskyddsombud ................... Krav på dataskyddsombud............................ Definition av personuppgiftsbiträde ............. Anlitande av personuppgiftsbiträden ............ Skyldighet att förteckna behandlingar .......... En reglering av gemensamt Tydligare reglering av enskildas rättigheter ................... Rätten till information .................................................... Allmänt om rätten till information................. Reglerna om information i straffrättsliga förfaranden har företräde ............................... Innehållet i direktivet..................................... Innebörden av artiklarna om information ...... Allmän information som ska göras Information som ska lämnas i ett enskilt Information som ska lämnas på begäran ....... Information om automatiserade beslut .......... Begränsning av rätten till information ............................ Rätten till information får begränsas ............. Kategorier av behandling .............................. Ofärdig text och minnesanteckningar ............ Orimliga eller uppenbart ogrundade Rättelse, radering och begränsning av behandlingen ..... Rätten till rättelse och komplettering............. Rätten till radering......................................... Begränsning av behandlingen........................ Val av åtgärd ................................................. Hur informationen ska begäras och lämnas .................... Kraven på informationen och på den som Kraven på begäran......................................... Åtgärder för att säkerställa att begäran görs av en behörig person.............................. Lättbegriplig information i lämplig form ...... Åtgärder som underlättar utövandet av Skyldighet att informera om Beslut ska vara skriftliga och motiverade...... Information ska inte avgiftsbeläggas ............. Dagens tillsyn över personuppgiftsbehandling Utgångspunkter för överväganden om tillsyn 11.3.1Tillsynsområdet bör slås fast i en Undantag för dömande verksamhet .............. 11.4Tillsynsmyndighet enligt direktivet och den fortsatta Huvuduppgifterna bör regleras i ramlagen ... Klagomål från enskilda................................. Kontroll av om behandling är Information och rådgivning .......................... Hur bör tillsynen bedrivas?........................... Utgångspunkterna för regleringen ................ Skillnad mellan förebyggande och Handläggningen av tillsynsfrågor.................................. Beslut ska gälla när de fått laga kraft............ Befogenhet att göra rättsliga myndigheter uppmärksamma på felaktigheter................... Möjlighet att ifrågasätta giltigheten av Skyldighet att bistå en tillsynsmyndighet i en annan medlemsstat ................................... Svensk begäran om bistånd av en annan Tillsyn ska vara avgiftsfri .............................................. ska inte kunna ta ut Ersättning för bistånd till en annan Övriga frågor om tillsyn ................................................ Utgångspunkter för valet av sanktionssystem ............... Olika typer av sanktioner.............................. Innehållet i direktivet och nuvarande Ett sammanhållet sanktionssystem ............... Vilket sanktionssystem bör väljas? Ingen straffbestämmelse i ramlagen .............. En ny administrativ sanktion ska införas ....... Utformningen av sanktionsavgiftssystemet .................... Vem ska betala sanktionsavgift? Vad ska leda till en sanktionsavgift? Överträdelser som kan leda till en Ska sanktionsavgift alltid tas ut? Hur sanktionsavgiften ska bestämmas............................ Hur avgiften ska bestämmas i det enskilda Beslut om sanktionsavgift .............................................. Vem ska besluta om sanktionsavgift? Förfarandet vid beslut om sanktionsavgift .... Betalning och verkställighet .......................... Skadestånd och överklagande ....................................................... Krav på effektiva rättsmedel vid felaktig Talerätt för registrerade .................................................. Det allmännas skadeståndsansvar .................. En effektiv ...........................handläggning av klagomål Överklagande ...............av tillsynsmyndighetens beslut Det behövs ingen ny forumregel Rättsmedlen ...........................är oberoende av varandra Rätt för ideella organisationer att företräda 14 Överföring till tredjeland ........och internationella organisationer Några grundläggande ........................................begrepp 14.3Allmänna principer för överföring av Förutsättningar för överföring ...................... Överföringen ska vara nödvändig för ett visst ändamål och riktas till en behörig Viss skyddsnivå ska vara säkerställd ............ Överföring av uppgifter från andra medlemsstater ska vara medgiven ................ Beslut om adekvat skyddsnivå ...................................... Undantag i särskilda situationer .................................... Överföringen ska vara nödvändig i en Enskildas vitala intressen.............................. Registrerades berättigade intressen............... Myndigheters intresse i enskilda fall ............ Rättsliga anspråk i enskilda fall .................... Allvarlig fara för allmän säkerhet ................. En intresseavvägning ska göras i vissa fall... Överföring till andra än behöriga myndigheter ............. Förutsättningarna för överföring till andra än behöriga myndigheter .............................. Överföringen ska vara absolut nödvändig .... Om överföring till behörig myndighet blir ineffektiv eller är olämplig ........................... En intresseavvägning ska göras .................... Villkor för användningen av personuppgifter................ Villkor som ställs upp av utländska myndigheter eller organ................................ Villkor när personuppgifter överförs av Dokumentationskrav och informationsskyldighet ......... Sekretess vid överföring till tredjeland.......................... Överföring innebär utlämnande .................... Utlämnande av offentliga allmänna handlingar till tredjeland............................... Uppgifter som inte är sekretessbelagda ........ Uppgifter som är sekretessbelagda ............... Inledande om offentlighet och sekretess........................ Rätten att ta del av allmänna handlingar....... Huvuddragen i sekretessregleringen ............. Sekretess i tillsynsverksamheten ................................... Behovet av en ny sekretessbestämmelse ....... Utformningen av sekretessbestämmelsen...... En sekretessbrytande regel för Sekretess för rapporter om En hänvisningsbestämmelse bör införas........ Tystnadsplikt för dataskyddsombud ............................... Sekretess för sammanställningar av känsliga Ett fåtal helt nya krav eller arbetsuppgifter men skärpta krav i vissa fall ................................................... Konsekvenser för staten ................................ Konsekvenser för kommuner och Konsekvenser för enskilda ............................ Konsekvenser för brottsligheten och det Konsekvenser i övrigt..................................................... Ikraftträdande- och övergångsbestämmelser................................. Övergångsbestämmelser till det nya Övergångsbestämmelser i övrigt ................... Förslaget till brottsdatalag .............................................. Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400) .............................................. Förslaget till lag om ändring i domstolsdatalagen (2015:728) ...................................................................... Förslaget till lag om ändring i lagen (2018:000) med kompletterande bestämmelser till EU:s Förslaget till lag om ändring i brottsdatalagen (2018:000) ...................................................................... och rådets direktiv (EU) 2016/680......................................................................... Sammanfattning SOU 2017:29 ...................................... Lagförslag i SOU 2017:29 ............................................. Förteckning över remissinstanserna (SOU 2017:29)...... Sammanfattning SOU 2017:74 ...................................... Lagförslag i SOU 2017:74 ............................................. Förteckning över remissinstanserna (SOU 2017:74)..... Sammanfattning SOU 2016:65...................................... Lagförslag i SOU 2016:65............................................. Förteckning över remissinstanserna (SOU 2016:65)..... Utdrag ur protokoll vid regeringssammanträde ....... 1 Förslag till riksdagsbeslut Regeringen föreslår att antar regeringens förslag till 2.lag om ändring i lagen (1998:620) om belastningsregister, 3.lag om ändring i lagen (1998:621) om misstankeregister, 4.lag om ändring i offentlighets- och sekretesslagen (2009:400), 5.lag om ändring i domstolsdatalagen (2015:728), 6.lag om ändring i lagen (2017:496) om internationellt polisiärt sam- arbete. 7.lag om ändring i lagen (2018:000) med kompletterande bestämmel- ser till EU:s dataskyddsförordning, 8.lag om ändring i brottsdatalagen (2018:000). Regeringen har följande förslag till lagtext. Härigenom föreskrivs1 följande. 1 kap. Allmänna bestämmelser 1 § Genom denna lag genomförs och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF, här benämnt dataskydds- direktivet. Syftet med lagen är att skydda fysiska personers grundläggande rättig- heter och friheter i samband med behandling av personuppgifter och att säkerställa att behöriga myndigheter kan behandla och utbyta personupp- gifter med varandra på ett ändamålsenligt sätt. 2 § Denna lag gäller vid behandling av personuppgifter som utförs av be- höriga myndigheter i syfte att förebygga, förhindra eller upptäcka brotts- lig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också vid behandling av personuppgifter som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet. 3 § Lagen gäller vid sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av person- uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. 4 § Lagen gäller inte vid behandling av personuppgif- ter som rör nationell säkerhet eller om har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspolisen. 1 Jfr och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgif- ter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrätts- liga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambe- slut /977/RIF, i den ursprungliga lydelsen. 2017/18:232 Lagen gäller inte heller i sådan verksamhet som omfattas av lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens för- svarsunderrättelseverksamhet och militära säkerhetstjänst. Avvikande bestämmelser i annan författning 5 § Om en annan lag eller en förordning innehåller någon bestämmelse som avviker från denna lag, tillämpas den bestämmelsen. 6 § I denna lag används följande uttryck med nedan angiven betydelse. En åtgärd eller kombination av åt- gärder som vidtas i fråga om per- sonuppgifter eller uppsättningar av görs automatiserat eller inte, t.ex. ring, strukturering, lagring, bear- betning eller ändring, framtagning, spridning eller tillhandahållande på annat sätt, justering, sammanfö- eller upptäcka brottslig verksam- het, utreda eller lagföra brott, verk- ställa straffrättsliga påföljder, eller säkerhet, när den behandlar per- sonuppgifter för ett sådant syfte, 2. en annan aktör som har anför- syfte som anges i 1, när den be- handlar personuppgifter för ett så- sons fysiska, fysiologiska eller be- tagits fram genom särskild teknisk eller bekräftar unik identifiering av Den som utses av den person- uppgiftsansvarige för att självstän- digt kontrollera att personuppgifter behandlas författningsenligt och på ett korrekt sätt enligt vad som när- mare anges i lagen. Personuppgifter som rör en per- härrör från analys av ett spår av eller ett prov från personen. En organisation och dess under- ställda organ som lyder under folk- rätten eller ett annat organ som in- rättats genom eller på grundval av en överenskommelse mellan två eller flera stater. En stat som är medlem i Euro- peiska unionen samt , Liech- tenstein, och . lämnas ut, med undantag av en myndighet som med stöd av för- Varje upplysning om en identi- fierad eller identifierbar fysisk per- son som är i livet. ensam eller tillsammans med andra medlen för behandlingen av per- Den som behandlar personupp- gifter för den personuppgiftsansva- En säkerhetsincident som leder till förlust eller ändring eller obehörigt röjande av eller obehörig åtkomst Den fysiska person som person- utöva tillsyn över behandling av personuppgifter som utförs av be- höriga myndigheter i syfte att före- lagföra brott, verkställa straffrätts- liga påföljder eller upprätthålla all- män ordning och säkerhet. En stat som inte är en medlemsstat. Någon annan än den registrerade, den personuppgiftsansvarige, data- trädet och sådana personer som direkta ansvar har rätt att behandla Uppgift som rör hälsa Personuppgift som rör en persons fysiska eller psykiska hälsa, inklu- sive information om tillhandahål- lande av hälso- och sjukvårdstjän- ster som ger upplysning om perso- 2 kap. Behandling av personuppgifter Grundläggande krav på behandlingen 1 § Personuppgifter får behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra sin uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straff- rättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Med en behörig myndighets uppgift avses en uppgift som framgår av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften. 2 § Utöver vad som sägs i 1 § får personuppgifter behandlas om 1.det är nödvändigt för diarieföring, eller 2.uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning. 3 § Personuppgifter får behandlas bara för särskilda, uttryckligt angivna och berättigade ändamål. Om det ändamål som personuppgifterna behandlas för inte framgår av sammanhanget eller på annat sätt, ska det tydliggöras genom en särskild upplysning. 4 § Innan personuppgifter får behandlas för ett nytt ändamål ska det säkerställas att 1.det finns en rättslig grund enligt 1 § för den nya behandlingen, och 2.det är nödvändigt och proportionerligt att personuppgifterna behand- las för det nya ändamålet. I den utsträckning skyldighet att lämna uppgifter följer av lag eller för- ordning ska någon prövning enligt första stycket inte göras. 5 § En behörig myndighet får behandla personuppgifter för vetenskap- liga, statistiska eller historiska ändamål inom denna lags tillämpnings- område. Författningsenlig och korrekt behandling 6 § Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. 7 § Personuppgifter som behandlas ska vara korrekta och, om det är nöd- vändigt, uppdaterade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. 8 § Personuppgifter som behandlas ska vara adekvata och relevanta i för- hållande till ändamålen med behandlingen. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med be- handlingen. Åtskillnad mellan olika slag av personuppgifter 9 § Så långt det är möjligt ska personuppgifter som rör olika kategorier av registrerade särskiljas så att det framgår om personen är misstänkt, dömd för brott, brottsoffer eller någon annan som berörs av ett brott. Om det inte framgår av sammanhanget eller på annat sätt till vilken kategori personen hör, ska det tydliggöras genom en särskild upplysning. 10 § Så långt det är möjligt ska personuppgifter som grundar sig på fakta särskiljas från personuppgifter som grundar sig på personliga bedöm- ningar. Om det inte framgår av sammanhanget eller på annat sätt vad uppgiften grundas på ska det tydliggöras genom en särskild upplysning. 11 § Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. Om uppgifter om en person behandlas får de dock kompletteras med sådana uppgifter som anges i första stycket när det är absolut nödvändigt för ändamålet med behandlingen.