prop · H503232 · 2018-04-19 00:00:00 — Be- stämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning får verkställighet ske enligt ut- sökningsbalken. 9 § Regeringen får meddela ytterligare föreskrifter om sanktionsavgifter enligt denna lag. 1 § Den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som orsakats av be- handling av personuppgifter i strid med denna lag, eller föreskrifter som har meddelats i anslutning till den. Överklagande av personuppgiftsansvariga myndigheters beslut 2 § Beslut i fråga om rättelse eller komplettering enligt 4 kap. 9 § första stycket, radering enligt 4 kap. 10 § första stycket, eller begränsning av behandlingen enligt 4 kap. 9 § andra stycket eller 10 § andra stycket, som har meddelats av en myndighet i egenskap av personuppgiftsansvarig, får överklagas till allmän förvaltningsdomstol. Detsamma gäller beslut att inte lämna information enligt 4 kap. 3 §, att ta ut avgift enligt 4 kap. 12 § andra stycket eller att inte medge prövning av ett automatiserat beslut enligt 2 kap. 19 § första stycket. Prövningstillstånd krävs vid överklagande till kammarrätten. Första stycket gäller inte beslut av regeringen, , eller ombudsmän. Överklagande av tillsynsmyndighetens beslut 3 § beslut enligt denna lag får överklagas till all- män förvaltningsdomstol. När ett beslut överklagas är tillsynsmyndighe- ten motpart i domstolen. Prövningstillstånd krävs vid överklagande till kammarrätten. 4 § Andra beslut enligt denna lag än de som avses i 2 och 3 §§ får inte överklagas. Överföring av personuppgifter till tredjeland och internationella organisationer 1 § En behörig myndighet får överföra personuppgifter till ett tredjeland eller en internationell organisation, om personuppgifterna behandlas i eller är avsedda att behandlas i ett tredjeland eller av en interna- tionell organisation. Personuppgifterna får dock endast överföras om överföringen 1.är nödvändig för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet, 2.riktas till en behörig myndighet i ett tredjeland eller till en interna- tionell organisation som är en behörig myndighet, och a)ett beslut om adekvat skyddsnivå enligt 3 §, b)tillräckliga skyddsåtgärder enligt 4 §, eller c)ett undantag för särskilda situationer enligt 5 §. En behörig myndighet som avser att överföra personuppgifter till ett tredjeland eller en internationell organisation, ska särskilt beakta risken för att enskilda får ett försämrat skydd för sina personuppgifter. 2 § Personuppgifter som en svensk myndighet har fått från en annan medlemsstat får överföras till ett tredjeland eller en internationell organi- sation endast om den medlemsstat som lämnat uppgifterna till en svensk myndighet har medgett att de överförs. Om medgivandet på grund av tidsbrist inte kan inhämtas i förväg, får personuppgifter ändå överföras om det är nödvändigt för att avvärja en omedelbar och allvarlig fara för allmän säkerhet. Detsamma gäller om det är nödvändigt för att avvärja en omedelbar och allvarlig fara för andra väsentliga intressen för eller någon annan medlemsstat. Beslut om adekvat skyddsnivå 3 § Om Europeiska kommissionen har beslutat att det finns en adekvat nivå för skyddet av personuppgifter i ett tredjeland, eller en viss geogra- fisk eller på annat sätt angiven del av det, får personuppgifter överföras dit under de förutsättningar som anges i 1 och 2 §§. Detsamma gäller om det finns ett sådant beslut avseende en internationell organisation. 4 § Om det inte finns något beslut om adekvat skyddsnivå enligt 3 §, får personuppgifter, under de förutsättningar som anges i 1 och 2 §§, ändå överföras till ett tredjeland eller en internationell organisation om 1.skyddsåtgärder för personuppgifterna har fastställts i ett avtal som ger tillräckliga garantier till skydd för den registrerade, eller 2.den behöriga myndighet som uppgifterna ska överföras till på annat sätt garanterar tillräckligt skydd för dem. Överföring i särskilda situationer 5 § Om det inte finns något beslut om adekvat skyddsnivå enligt 3 § eller tillräckliga skyddsåtgärder enligt 4 §, får en överföring, eller en samling av överföringar, av personuppgifter, under de förutsättningar som anges i 1 och 2 §§, göras till ett tredjeland eller en internationell organisation endast om överföringen är nödvändig för att 1.värna den registrerades eller någon annan fysisk persons vitala in- tressen, eller andra berättigade intressen som den registrerade har, 2.i ett enskilt fall förebygga, förhindra eller upptäcka brottslig verk- samhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet, 3.i ett enskilt fall kunna fastställa, göra gällande eller försvara ett rätts- ligt anspråk som hänför sig till ett sådant syfte som anges i 2, eller 4.avvärja en omedelbar och allvarlig fara för allmän säkerhet. Personuppgifter får inte överföras till ett tredjeland eller en internatio- nell organisation om den registrerades intresse av skydd mot kränkning av rättigheter och friheter väger tyngre än det allmännas intresse av en sådan överföring som avses i första stycket 2 eller 3. 6 § En svensk behörig myndighet får inte tillåta att sådana personuppgif- ter som anges i 2 § första stycket, och som överförts till ett tredjeland eller en internationell organisation, vidareöverförs till ett tredjeland eller en internationell organisation, om inte någon behörig myndighet i den andra medlemsstaten har medgett att uppgifterna får vidareöverföras. 7 § När en svensk behörig myndighet ska ta ställning till om personupp- gifter som har överförts från till en annan medlemsstat, som har överfört dem till ett tredjeland eller en internationell organisation, får vidareöverföras till ett tredjeland eller en internationell organisation, ska alla kända omständigheter som har samband med vidareöverföringen beaktas. Särskild vikt ska läggas vid brottets allvar, allvaret i faran för allmän säkerhet, det ändamål för vilket personuppgifterna ursprungligen lämnades till den andra medlemsstaten och nivån på skyddet av person- uppgifter i tredjelandet eller hos den internationella organisationen som uppgifterna ska vidareöverföras till. Överföring till andra än behöriga myndigheter 8 § En svensk behörig myndighet får i ett enskilt fall överföra personupp- gifter till någon som inte är en behörig myndighet i ett tredjeland. Per- sonuppgifterna får överföras endast om de övriga förutsättningarna i 1 och 2 §§ är uppfyllda och om 1.det är absolut nödvändigt för att den svenska myndigheten ska kunna utföra en uppgift enligt 1 kap. 2 § som den har ansvar för, 2.den svenska myndigheten informerar den som ska ta emot person- uppgifterna om det eller de specifika ändamål för vilket eller vilka upp- gifterna får behandlas, och 3.det skulle vara ineffektivt eller olämpligt att överföra dem till en be- hörig myndighet i tredjelandet. Personuppgifter får inte överföras enligt första stycket om den registre- rades intresse av skydd mot kränkning av rättigheter och friheter väger tyngre än det allmännas intresse av att överföringen görs. Första och andra styckena gäller inte en sådan annan aktör som är be- hörig myndighet enligt definitionen i 1 kap. 6 §. 9 § Om en svensk behörig myndighet har fått personuppgifter från ett tredjeland eller en internationell organisation och gäller på grund av en överenskommelse med tredjelandet eller den internationella organisa- tionen villkor som begränsar möjligheten att använda uppgifterna, ska svenska myndigheter följa villkoren oavsett vad som är föreskrivet i lag eller annan författning. 10 § En svensk behörig myndighet får vid överföring av personuppgifter till ett tredjeland eller en internationell organisation i ett enskilt fall ställa upp villkor som begränsar möjligheten att använda uppgifterna, om det krävs med hänsyn till den enskildes rätt eller från allmän synpunkt. Så- dana villkor får inte strida mot en internationell överenskommelse som är bindande för . 1.Denna lag träder i kraft . 2.Genom lagen upphävs lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samar- bete inom Europeiska unionen. 3.Bestämmelsen i 3 kap. 5 § om loggning tillämpas i fråga om automatiserade behandlingssystem som inrättats före . 4.En sanktionsavgift enligt 6 kap. får beslutas endast för överträdelser som har skett efter ikraftträdandet. 5.Äldre föreskrifter gäller fortfarande för överträdelser som har skett före ikraftträdandet. 6.Äldre föreskrifter gäller fortfarande för överklagande av beslut som har meddelats före ikraftträdandet. 2017/18:232 2.2 Förslag till lag om ändring i lagen (1998:620) Härigenom föreskrivs att 1 b § lagen (1998:620) om belastnings- register1 ska upphöra att gälla vid utgången av . 1 Senaste lydelse av 1 b § 2013:331. Förslag till lag om ändring i lagen (1998:621) Härigenom föreskrivs att 1 b § lagen (1998:621) om misstankeregister1 ska upphöra att gälla vid utgången av . 1 Senaste lydelse av 1 b § 2013:332. 2017/18:232 2.4 Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400) Härigenom föreskrivs i fråga om offentlighets- och sekretesslagen (2009:400) dels att 9 kap. 2 § ska ha följande lydelse, dels att det i lagen ska införas en ny paragraf, 17 kap. 7 c §, och när- mast före 17 kap. 7 c § en ny rubrik av följande lydelse. Nuvarande lydelse Föreslagen lydelse Bestämmelser som begränsar möjligheten att använda vissa uppgifter som en svensk myndighet har fått från en myndighet i en annan stat finns i 1.lagen (1990:314) om ömsesidig handräckning i skatteärenden, 2.lagen (2017:496) om internationellt polisiärt samarbete, 3.lagen (2000:344) om Schengens informationssystem, 4.lagen (2000:562) om internationell rättslig hjälp i brottmål, 5.lagen (2000:1219) om internationellt tullsamarbete, 6.lagen (2003:1174) om vissa former av internationellt samarbete i brottsutredningar, 7.lagen (2011:1537) om bistånd med indrivning av skatter och avgifter inom Europeiska unionen, 8.lagen (1998:620) om belastningsregister, 9.lagen (2012:843) om administrativt samarbete inom Europeiska unionen i fråga om beskattning, 10.lagen (2013:329) med vissa bestämmelser om skydd för per- sonuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen, 11. lagen (2015:63) om utbyte av upplysningar med anledning av , 12. lagen (2015:912) om auto- matiskt utbyte av upplysningar om finansiella konton, 13. lagen (2017:182) om auto- matiskt utbyte av land-för-land- rapporter på skatteområdet, och 14. lagen (2017:1000) om en europeisk utredningsorder. 10. lagen (2015:63) om utbyte av upplysningar med anledning av , 11. lagen (2015:912) om auto- matiskt utbyte av upplysningar om finansiella konton, 12. lagen (2017:182) om auto- matiskt utbyte av land-för-land- rapporter på skatteområdet, 13. lagen (2017:1000) om en europeisk utredningsorder, och 14. brottsdatalagen (2018:000). 1 Senaste lydelse 2017:1012. Internationellt samarbete avse- ende behandling av personupp- gifter Sekretess gäller i tillsynsmyn- dighetens verksamhet enligt 5 kap. brottsdatalagen (2018:000) för uppgift som, utan samband med en svensk begäran, har lämnats av en tillsynsmyndighet i en stat inom Europeiska ekonomiska sam- arbetsområdet (EES) eller i , om det kan antas att den svenska tillsynsmyndighetens möj- lighet att bedriva tillsyn motverkas om uppgiften röjs. För uppgift i en allmän handling gäller sekretessen i högst . Denna lag träder i kraft . 2.5Förslag till lag om ändring i domstolsdatalagen (2015:728) Härigenom föreskrivs att 5 § domstolsdatalagen (2015:728) ska ha föl- jande lydelse. Lydelse enligt prop. De avvikande bestämmelser som De avvikande bestämmelser som finns i lagen (2013:329) med vissa bestämmelser om skydd för per- 655/2014 av om och straffrättsligt samarbete inom inrättande av ett europeiskt för- Europeiska unionen eller i före- farande för kvarstad på bankmedel skrifter som regeringen har med- för att underlätta gränsöver- delat i anslutning till den lagen, ska tillämpas i stället för bestäm- och ärenden av privaträttslig natur, melserna i denna lag. ska tillämpas i stället för bestäm- gäller i fråga om Europaparlamen- melserna i denna lag. tets och rådets förordning (EU) nr 655/2014 av om inrättande av ett europeiskt förfa- rande för kvarstad på bankmedel för att underlätta gränsöverskri- dande skuldindrivning i mål och ärenden av privaträttslig natur. Denna lag träder i kraft . 2.6Förslag till lag om ändring i lagen (2017:496) om internationellt polisiärt samarbete Härigenom föreskrivs att 6 kap. 2 § lagen (2017:496) om internatio- nellt polisiärt samarbete ska upphöra att gälla vid utgången av . 2017/18:232 2.7 Förslag till lag om ändring i lagen (2018:000) med kompletterande bestämmelser till EU:s Härigenom föreskrivs i fråga om lagen (2018:000) med komplette- rande bestämmelser till EU:s dataskyddsförordning dels att punkt 4 i ikraftträdande- och övergångsbestämmelserna ska upphöra att gälla, dels att 1 kap. 4 § ska ha följande lydelse. Lydelse enligt prop. 2017/18:105 Föreslagen lydelse Artiklarna 33 och 34 i EU:s data- Artiklarna 33 och 34 i EU:s data- skyddsförordning tillämpas inte i skyddsförordning tillämpas inte i som ska rapporteras enligt säker- som ska rapporteras enligt säker- hetsskyddslagen (1996:627) eller hetsskyddslagen (2018:000) eller föreskrifter som har meddelats i föreskrifter som har meddelats i anslutning till den lagen. anslutning till den lagen. Denna lag träder i kraft i fråga om 1 kap. 4 § och i övrigt . Förslag till lag om ändring i brottsdatalagen Härigenom föreskrivs att 3 kap. 9 § brottsdatalagen (2018:000) ska ha Lydelse enligt lagförslag 2.1 kännedom om en personuppgifts- kännedom om en personuppgifts- incident ska den anmälas till till- incident ska den anmälas till till- synsmyndigheten, utom i de fall synsmyndigheten, utom i de fall (1996:627) eller (2018:000) eller har meddelats i anslutning till den har meddelats i anslutning till den Anmälan behöver inte göras om Anmälan behöver inte göras om det är osannolikt att personupp- det är osannolikt att personupp- kommer att medföra någon risk för kommer att medföra någon risk för otillbörligt intrång i den regi- otillbörligt intrång i den regi- strerades personliga integritet. strerades personliga integritet. Denna lag träder i kraft . 2017/18:232 3 Ärendet och dess beredning Europeiska unionen har enats om en genomgripande dataskyddsreform som ska vara genomförd . och rådets förordning (EU) 2016/679 av 2016 om skydd för fysiska personer med avseende på behandling av per- sonuppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv /46/EG (allmän dataskyddsförordning), här kallad dataskyddsförordningen, dels och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF, här kallat dataskydds- Dataskyddsdirektivet bifogas som bilaga 1. Regeringen beslutade kommittédirektiv om genom- förande av dataskyddsdirektivet (dir. 2016:21). Utredningen om 2016 års dataskyddsdirektiv redovisade delbetänkandet Brotts- datalag (SOU 2017:29), i vilket utredningen föreslår att direktivet i huvudsak ska genomföras genom en ny ramlag, brottsdatalagen. ska gälla för myndigheters behandling av personuppgifter vid bl.a. brotts- bekämpning, lagföring och straffverkställighet. slag behandlas i denna proposition. En sammanfattning av delbe- tänkandet och dess lagförslag finns i bilaga 2 och 3. En förteckning över remissinstanserna finns i bilaga 4. (Ju2017/03283/L4). Utredningens slutbetänkande redovisades (SOU I detta föreslås de anpassningar som krävs i rättsväsendets cen- Det föreslås också vissa ändringar i den före- slagna brottsdatalagen och följdändringar med anledning av det i delbe- tänkandet lämnade förslaget att lagen (2013:329) med vissa bestämmel- ser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen (lag) ska upphävas. förslagen som rör brottsdatalagen och lag behandlas i denna Slutbetänkandets övriga lagförslag kommer att tas om hand i två kommande propositioner. En sammanfattning av slutbetänkandet och dess lagförslag som behandlas i denna proposition finns i bilaga 5 och 6. Slutbetänkandet har remissbehandlats. En förteckning över remissinstan- serna finns i bilaga 7. Remissvaren finns tillgängliga i Justitiedeparte- mentet (Ju2017/07698/L4). Utredningens uppdrag innefattar inte vilken myndighet som ska utses till tillsynsmyndighet eller hur tillsynsverksam- heten ska organiseras. Regeringen beslutade att tillkalla en särskild ut- redare med uppdrag att överväga hur ett i högre grad samlat integritets- skydd kan fungera inom en och samma myndighetsstruktur genom att tillsynen över behandling av personuppgifter samlas hos en myndighet (dir. 2014:164). (dir. 2015:139). (Ju 2015:02) redovisade sitt uppdrag i betänkandet Ett samlat ansvar för tillsyn över den personliga integriteten (SOU 2016:65). 2017/18:232 innehåller bl.a. en kartläggning över vilken tillsyn över behandling av personuppgifter som bedrivs och överväganden om den i större utsträckning kan samlas hos en myndighet. Det behandlar också frågor om vilken eller vilka myndigheter som bör vara tillsynsmyndighet enligt dataskyddsförordningen respektive dataskyddsdirektivet och som ska representera i Europeiska dataskyddsstyrelsen. Även frågor om hur företrädare för tillsynsmyndigheten ska utses och hur verksamheten ska organiseras behandlas i betänkandet. I denna proposition behandlas de delar av betänkandet som är nödvändiga för genomförandet av data- skyddsdirektivet. En sammanfattning av betänkandet och dess lagförslag finns i bilaga 8 och 9. Betänkandet har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 10. Remissvaren finns tillgängliga i (Ju2016/06793/Å). Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 11. Lagrådets yttrande finns i bilaga 12. Lagrådets synpunkter och förslag behandlas i avsnitt 6.1.3, 6.4.4, 6.6, 7.6.4, 8.1.3, 8.1.4, 10.2.7, 11.3.1, 12.6.2, 12.7.2 och 15.2.3 samt i författningskommentaren. I förhållande till lagrådsremissens lag- förslag har vissa språkliga och redaktionella ändringar gjorts. Vidare har, efter förslag från Lagrådet, de bestämmelser som upplyser om regering- ens föreskriftsrätt tagits bort. 4Dagens reglering och reformer på dataskyddsområdet 4.1Huvuddragen i dagens personuppgiftsreglering Enligt 2 kap. 6 § andra stycket regeringsformen är var och en – utöver vad som anges i första stycket i paragrafen – skyddad gentemot det all- männa mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskil- des personliga förhållanden. Grundlagsskyddet omfattar enbart betydande intrång. I förarbetena till ändringen framhålls att det är naturligt att det läggs stor vikt vid uppgif- ternas karaktär vid bedömningen av hur ingripande intrånget i den per- sonliga integriteten kan anses vara i samband med insamling, lagring och bearbetning eller utlämnande av uppgifter om enskildas personliga för- hållanden. Ju känsligare uppgifterna är, desto mer ingripande anses det allmännas hantering av uppgifterna normalt vara. Även hantering av ett litet fåtal uppgifter kan med andra ord innebära ett betydande intrång i den personliga integriteten om uppgifterna är av mycket känslig karaktär. Vid bedömningen av intrångets karaktär är det också naturligt att stor 2017/18:232 vikt läggs vid ändamålet med behandlingen. En hantering som syftar till att utreda brott kan enligt förarbetena normalt anses vara mer känslig än t.ex. en hantering som uteslutande sker för att ge en myndighet underlag för förbättringar av kvaliteten i handläggningen. Mängden uppgifter kan också vara en betydelsefull faktor i sammanhanget (prop. 2009/10:80, s. 183). har i flera lagstiftningsärenden som rört myndigheters personuppgiftsbehandling framhållit att målsättningen bör vara att myndighetsregister med ett stort antal registrerade och särskilt känsligt innehåll ska regleras särskilt i lag (se bl.a. bet. 1990/91:KU11 s. 11 och 1997/98:KU18 s. 43). Den europeiska konventionen angående skydd för de mänskliga rättig- heterna och de grundläggande friheterna () gäller som svensk lag (SFS 1994:1219). Enligt artikel 8 har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Inskränkningar i dessa rättigheter får endast göras med stöd av lag och för vissa i artikeln uppräknade ändamål, bl.a. hänsyn till den allmänna säkerheten och förebyggande av oordning och brott. Artikel 8 skyddar bl.a. mot felaktig behandling av personuppgifter (se m.fl. mot , Ansökan 62332/00). Även Europeiska unionens (EU) stadga om de grundläggande rättighe- terna (rättighetsstadgan) innehåller bestämmelser om behandling av per- sonuppgifter (se avsnitt 4.7.1). Genom datalagen (1973:289) introducerades termen personregister som ett centralt begrepp i svensk lagstiftning om behandling av personuppgif- ter. Med personregister avsågs register, förteckning eller andra anteck- ningar som förs med hjälp av automatisk databehandling och som inne- håller personuppgift som kan hänföras till den som avses med uppgiften. Genom datalagen blev termen register den allmänt använda termen för datoriserade uppgiftssamlingar. Termen register används fortfarande i vissa författningar. Det traditionella registerbegreppet kom med tiden att kritiseras bl.a. därför att det har en teknisk anknytning och för tankarna till på visst sätt organiserade eller systematiserade samlingar av uppgifter. I personupp- giftslagen (1998:204) nämns inte register utan det talas i stället om be- handling av personuppgifter, vilket numera är det gängse begreppet. Den vars personuppgifter behandlas benämns dock alltjämt den registrerade. Genom personuppgiftslagen genomfördes och rådets direktiv /46/EG av om skydd för enskilda perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, här kallat dataskyddsdirektiv. Lagen innehåller generella regler för all behandling av personuppgifter. Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. personuppgifter omfattar i stort sett allt man kan göra med sådana upp- gifter, t.ex. att samla in, söka, bevara eller sprida uppgifter. Lagen ska enligt 5 § tillämpas på helt eller delvis automatiserad be- handling av personuppgifter. Dessutom är den tillämplig på behandling av personuppgifter som ingår, eller är avsedda att ingå, i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Personuppgiftslagen reglerar även sådan verksamhet som faller utanför unionsrätten. Enligt 2 § gäller särreglering i lag eller förordning framför bestämmelserna i personuppgiftslagen. Sådan särreglering finns framför allt i olika registerförfattningar. Behandling av uppgifter om juridiska personer (som definitionsmässigt inte utgör personuppgifter) omfattas inte av personuppgiftslagen. Grundläggande krav för behandlingen I 9 § personuppgiftslagen slås fast vissa grundläggande krav för behand- ling av personuppgifter. Sådana uppgifter ska alltid behandlas lagligt, på ett korrekt sätt och i enlighet med god sed. Personuppgifter ska samlas in och behandlas bara för särskilda, uttryckligt angivna och berättigade ändamål.