prop · H503232 · 2018-04-19 00:00:00 — Om uppbörd inte ska ske eller om uppbörd inte leder till full betalning ska böterna enligt 6 § lämnas vidare för indrivning. är enligt 3 § bötesverkställighetsförordningen (1979:197) central uppbördsmyndighet. ansvarar för uppbörd av böter oavsett vilken myndighet som utfärdat ett föreläggande av ordningsbot eller ett strafföreläggande. ansvarar även för uppbörd av böter som utdömts av allmän domstol. I verksamhet med uppbörd av böter tillämpas per- sonuppgiftslagen om det inte finns någon särreglering. Som tidigare nämnts får föra register över förelägganden av ord- ningsbot och strafförelägganden (se avsnitt 4.3.3). Registren är bl.a. av- sedda att utgöra hjälpmedel i roll som central upp- bördsmyndighet. I departementspromemorian Uppbörd av böter (Ds 2015:5) föreslås en ny lag och förordning om uppbörd av böter. De är avsedda att ersätta de nuvarande bestämmelserna om uppbörd av bötesstraff. Promemorian har remitterats. En utredare har haft i uppdrag att anpassa förslagen till EU:s dataskyddsreform. Uppdraget redovisas i departementspromemorian Uppbörd av böter efter EU:s dataskyddsreform (Ds 2018:3). Promemo- rian har remitterats. Verkställighet av böter som inte betalas frivilligt Indrivning innebär att betalning för böter tas ut tvångsvis genom åtgärder som vidtar. Om gäldenären inte betalar kan under vissa förutsättningar bötesstraffet komma att förvandlas till fäng- else. På initiativ av prövar åklagare om det finns skäl att väcka talan vid allmän domstol om omvandling av straffet. Förfarandet regleras dels i 15–23 §§ bötesverkställighetslagen, dels i 17– 23 §§ bötesverkställighetsförordningen. 2017/18:232 4.4.4 Verkställighet av rättspsykiatrisk vård, vård enligt socialtjänstlagen, ungdomsvård och När det gäller rättspsykiatrisk vård finns det ingen särskild reglering av personuppgiftsbehandling i sådan verksamhet, utan patientdatalagen (2008:355) gäller för vårdgivares behandling av personuppgifter liksom inom annan hälso- och sjukvård (1 kap. 1 och 3 §§ patientdatalagen). I övrigt tillämpas personuppgiftslagen. I 2 kap. 2 § patientdatalagen, som gäller utöver personuppgiftslagen, anges i vilken utsträckning behandling av personuppgifter är tillåten med eller utan den registrerades samtycke. Personuppgifter får enligt 2 kap. 4 § behandlas bl.a. för att uppfylla kraven på journalföring i 3 kap. och att upprätta annan dokumentation som följer av lag, förordning eller annan författning. Vårdgivaren är enligt 2 kap. 6 § personuppgiftsansva- rig. Uppgifter om lagöverträdelser får behandlas endast om det är absolut nödvändigt. Det gäller även en vårdgivare som inte är en statlig myndig- het, landsting eller kommun. Behandling av känsliga personuppgifter och behandling av uppgifter om lagöverträdelser regleras i 2 kap. 8 §. I 3 kap. regleras skyldigheten att föra patientjournal och där finns också vissa bestämmelser om behandling av personuppgifter i sådana journaler. Lagen innehåller också bestämmelser om skadestånd och överklagande. Ungdomsvård, vård enligt socialtjänstlagen och vård av missbrukare , som ansvarar för verkställighet av sluten ung- domsvård, tillämpar lagen (2001:454) om behandling av personuppgifter inom i sin verksamhet. Lagen gäller utöver personuppgifts- lagen. Personuppgifter får enligt 6 § bara behandlas om behandlingen är nödvändig för att arbetsuppgifter inom ska utföras och för uppgiftslämnande som föreskrivs i lag eller förordning. Lagen reglerar i 7 § bl.a. behandling av känsliga personuppgifter och uppgifter om lag- överträdelser, domar i brottmål och straffprocessuella tvångsmedel. Kommunala myndigheter tillämpar också lagen om behandling av per- sonuppgifter inom i verksamhet enligt lagstiftningen om socialtjänst och lagstiftningen om vård utan samtycke av unga eller miss- brukare. Det innebär att lagen är tillämplig när kommunala myndigheter behandlar personuppgifter beträffande någon som har dömts till överläm- nande till särskild vård enligt lagen om vård av missbrukare eller till ung- domstjänst eller ungdomsvård. 4.4.5Internationellt samarbete rörande verkställighet av straffrättsliga påföljder Ett flertal lagar och förordningar reglerar internationellt samarbete be- träffande verkställighet av påföljd. Det gäller exempelvis lagen (1963:193) om samarbete med , , och angående verkställighet av straff, lagen (1972:260) om internationellt samarbete rörande verkställighet av brottmålsdom, lagen (2015:96) om erkännande och verkställighet av frihetsberövande påföljder inom Euro- Prop. 2017/18:232 peiska unionen, lagen (2009:1427) om erkännande och verkställighet av bötesstraff inom Europeiska unionen och lagen (2011:423) om erkän- nande och verkställighet av beslut om förverkande inom Europeiska unionen. Flera av de myndigheter vars registerförfattningar har redovi- sats i detta kapitel fullgör olika uppgifter enligt dessa lagstiftningar som kräver behandling av personuppgifter. 4.5Regler om personuppgiftsbehandling hos andra aktörer än myndigheter 4.5.1Uppgifter om brottsbekämpning, lagföring eller straffverkställighet Det är inte bara myndigheter som behandlar uppgifter som rör brottsbe- kämpning, lagföring och straffverkställighet. Åtskilliga andra aktörer får i sin verksamhet i större eller mindre utsträckning tillgång till uppgifter om t.ex. domar i brottmål. I vilken utsträckning sådana uppgifter får behandlas regleras dels i personuppgiftslagen, dels i andra författningar som ligger utanför direktivets tillämpningsområde. Som framgår i avsnitt 4.1.2 förbjuds andra än myndigheter i person- uppgiftslagen att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från förbu- det. Datainspektionen har meddelat sådana föreskrifter (1998:3). Föreskrifterna innebär att personuppgifter om lagöverträdelser får be- handlas bl.a. om behandlingen –är nödvändig för att fullgöra en föreskrift på socialtjänstområdet, –avser uppgift i fristående skolors elevvårdsverksamhet eller motsva- rande verksamhet hos enskilda anordnare av högskoleutbildning, –är nödvändig för att kontrollera att en jävssituation inte föreligger i advokatverksamhet eller annan juridisk verksamhet, eller –bara avser enstaka uppgift som är nödvändig för att anmälningsskyl- dighet enligt lag ska kunna fullgöras. 4.5.2Offentliga försvarare och annat juridiskt biträde I förundersökningar och brottmålsrättegångar biträds både den miss- tänkte och i vissa fall målsäganden av ett juridiskt biträde. som är advokat får enligt huvudregeln i 21 kap. 5 § utses till offentlig försvarare. Till målsägandebiträde får enligt 4 § lagen (1988:609) om målsägandebiträde jämförd med 26 § rättshjälpslagen (1996:1619) förordnas en advokat, en biträdande jurist eller någon annan som är lämplig för uppdraget. Motsvarande krav ställs på den som enligt 5 § lagen (1999:997) om särskild företrädare för barn får utses till sär- Den som fullgör uppgifter som offentlig försvarare, 2017/18:232 målsägandebiträde eller särskild företrädare för barn behandlar i stor utsträckning personuppgifter som härrör från förundersökningar, brott- målsrättegångar och straffverkställighet. I 8 kap. finns bestämmelser om advokatväsendet. En advokat ska vara ledamot av , vars verksamhet delvis är av offentligrättslig natur genom den tillsyn som samfundets sty- relse och disciplinnämnd enligt 8 kap. 6 och 7 §§ ut- övar över advokaterna. Enligt 8 kap. 4 § ska en advokat i sin verksamhet red- bart och nitiskt utföra de uppdrag som anförtrotts honom och iaktta god advokatsed. Det finns inte några särregler för behandling av personuppgifter som utförs av någon av de kategorier som nämns i detta avsnitt. De tillämpar således personuppgiftslagen. En idrottsorganisation får enligt 7 § lagen om register över tillträdesför- bud vid idrottsarrangemang behandla personuppgifter från det tillträdes- förbudsregister som för, om det behövs för att före- bygga, förhindra eller upptäcka överträdelse av ett tillträdesförbud vid ett idrottsarrangemang som organisationen anordnar. En sådan organisation har också enligt 9 § rätt att ta del av uppgifter i tillträdesförbudsregistret trots att det gäller sekretess för uppgifterna. Uppgifter ur tillträdesför- budsregistret får enligt 10 § lämnas ut till en idrottsorganisation på medium för automatiserad behandling. 4.6Lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen Lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen (i fortsättningen lag) genomför rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (i fortsätt- ningen dataskyddsrambeslutet). Lagen gäller när personuppgifter över- förs eller har överförts eller görs eller har gjorts tillgängliga inom ramen för polissamarbete eller straffrättsligt samarbete. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgif- terna ingår i eller är avsedda att ingå i en strukturerad samling av person- uppgifter. Lagen gäller för behandling av personuppgifter i verksamhet som har till syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller verkställa straffrättsliga påföljder, om uppgifterna inom ramen för polissamarbete eller straffrättsligt samarbete görs eller har gjorts tillgängliga eller överförs eller har överförts mellan en svensk myndighet och en medlemsstat i EU eller mellan en svensk myndighet och , , eller eller mellan en svensk myndighet och ett EU-organ eller EU-informationssystem. Från lagens tillämpningsområde undantas i 4 § dels behandling av per- sonuppgifter som rör nationell säkerhet, dels personuppgifter som görs eller har gjorts tillgängliga eller överförs eller har överförts genom visst informationsutbyte som specificeras i paragrafen. Personuppgifter som en svensk myndighet har tagit emot får enligt 5 § endast behandlas för andra ändamål än det som uppgifterna först överför- des eller gjordes tillgängliga för om syftet med behandlingen är att före- bygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott, verkställa straffrättsliga påföljder eller att vidta rättsliga eller admi- nistrativa åtgärder med direkt anknytning till något av dessa ändamål eller att avvärja en omedelbar och allvarlig fara för allmän säkerhet. Personuppgifter får även behandlas för andra ändamål om den som överfört eller gjort uppgifterna tillgängliga har lämnat sitt medgivande eller den som uppgifterna avser har samtyckt till det. Särskilda begränsningar gäller för överföring av personuppgifter som en svensk myndighet har erhållit enligt 6 § för överföring till enskilda och enligt 7 § för överföring till tredjeland eller internationella organ. I lagen finns också bestämmelser om villkor för användningen av per- I artikel 8 i rättighetsstadgan slås fast att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Sådana uppgifter ska be- handlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet ska kontrollera att dessa regler efterlevs. I artikel 52 i stadgan anges i vilken utsträckning inskränkningar får göras i de rättigheter som erkänns i stadgan. Utgångspunkten är att så- dana inskränkningar endast får göras i lag och ska vara förenliga med det väsentliga innehållet i rättigheterna. Begränsningar får endast göras om de är nödvändiga och svarar mot ett allmänt samhällsintresse som er- känns av unionen eller behovet av skydd för andra människors rättigheter och friheter. 2017/18:232 4.7.2 Den allmänna regleringen av behandling av personuppgifter inom Euro- peiska unionen finns dataskyddsdirektiv. Direktivet syf- tar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter och att främja ett fritt flöde av personupp- gifter mellan medlemsstaterna i EU. Direktivet, som har genomförts i svensk rätt huvudsakligen genom per- sonuppgiftslagen (1998:204) med tillhörande förordning (se av- snitt 4.1.2), gäller inte för behandling av personuppgifter utanför gemen- skapsrätten, t.ex. allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Dataskyddsrambeslutet är tillämpligt på uppgifter som överförs eller görs tillgängliga mellan medlemsstaterna och mellan medlemsstater och EU- organ och mellan medlemsstater och vissa utpekade informationssystem. Dataskyddsrambeslutet gäller däremot inte för nationell personuppgifts- behandling. Från tillämpningsområdet undantas också personuppgiftsbe- handling inom området nationell säkerhet. Dataskyddsrambeslutet har genomförts i svensk rätt främst genom lag med tillhörande förordning (se avsnitt 4.6). Två nya rättsliga instrument Diskussionerna om det behövdes ett nytt rättsligt instrument som skulle ersätta dataskyddsdirektiv pågick . terade förslag till en genomgripande reform av EU:s regler om skydd för personuppgifter. Paketet omfattade inte bara en för- ordning med en generell reglering som skulle ersätta data- skyddsdirektiv utan även ett nytt direktiv med särregler för främst den brottsbekämpande sektorn som skulle ersätta dataskyddsrambeslutet men ha ett bredare tillämpningsområde. Det huvudsakliga syftet med kommissionens förslag var att ytterligare harmonisera och effektivisera skyddet av personuppgifter inom EU i syfte att förbättra den inre marknadens funktion och öka enskildas kon- troll över sina personuppgifter. Förslaget till förordning baserades till stor del på den struktur och reglering som finns dataskyddsdirektiv. förslaget stärkt skydd för enskilda vid behandling av personuppgifter. Förordningen innehöll även en rad nyheter jämfört med dataskydds- Dit hörde nya regler om de nationella tillsynsmyndigheternas ställning, villkor och uppgifter och om obligatoriskt ömsesidigt bistånd och samarbete dem emellan. En annan nyhet var skyldigheten för den personuppgiftsansvarige att utan dröjsmål underrätta tillsynsmyndigheten om en personuppgiftsincident ägt rum. Förslaget till direktiv anslöt i stor utsträckning till den reglering som Prop. 2017/18:232 gäller enligt dataskyddsrambeslutet. Nya inslag var bl.a. kravet på att, så långt det är möjligt, vid behandlingen skilja mellan personuppgifter som avser olika kategorier av personer och likaså mellan uppgifter med olika grad av riktighet och tillförlitlighet. En annan nyhet var skyldigheten för den personuppgiftsansvarige att utan dröjsmål underrätta tillsynsmyndig- heten om en personuppgiftsincident ägt rum. Vidare föreslogs nya regler om de nationella tillsynsmyndigheternas ställning, villkor och uppgifter och om obligatoriskt ömsesidigt bistånd och samarbete dem emellan. Till skillnad från dataskyddsrambeslutet föreslogs det nya dataskyddsdirekti- vet vara tillämpligt inte bara på utbyte av information över gränserna utan även på nationell personuppgiftsbehandling för att förebygga, för- hindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. förhandlingar enades och rådet om en ny reglering av skyddet för enskilda vid behandling av personuppgifter. Den består av två rättsliga instrument, en förordning och ett direktiv. och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av per- sonuppgifter och om det fria flödet av sådana uppgifter och om upphä- vande av direktiv /46/EG, här kallat dataskyddsförordningen, börjar tillämpas . Förordningen utgör en ny generell reglering för behandling av person- uppgifter inom EU som ska ersätta dataskyddsdirektivet och som är direkt tillämplig. När förordningen träder i kraft måste personupp- giftslagen upphävas. Andra författningar som omfattas av den nya för- ordningens tillämpningsområde måste upphävas i de delar förordningen innehåller motsvarande föreskrifter och i övrigt anpassas till den. Förordningen reglerar bl.a. grundläggande principer för behandling av personuppgifter, den registrerades rättigheter, personuppgiftsansvar, till- syn över personuppgiftsbehandling och rätten för enskilda att få tillgång till rättsmedel och sanktioner mot ansvariga som inte lever upp till för- ordningens krav. Från förordningens tillämpningsområde undantas personuppgiftsbe- handling som utförs av behöriga myndigheter i syfte att förebygga, ut- reda, upptäcka eller lagföra brott eller verkställa straff, inkluderande skydd mot samt förebyggande av hot mot den allmänna säkerheten. Per- sonuppgiftsbehandling för dessa syften ligger i stället under det nya data- skyddsdirektivets tillämpningsområde (se avsnitt 4.8.3). En särskild utredare har haft i uppdrag att föreslå de anpassningar och kompletterande författningsbestämmelser på generell nivå som data- skyddsförordningen ger anledning till (dir. 2016:15). Utredningen fick namnet . har samrått med Utredningen om 2016 års dataskyddsdirektiv. Betänkandet Dataskydds- lag redovisades (SOU 2017:39 Ny dataskyddslag). Lagrådsremissen Ny dataskyddslag beslutades av regeringen den 2017/18:232 . Propositionen Ny dataskyddslag (prop. 2017/18:105) beslutades av regeringen . I propositionen lämnas förslag till lag med kompletterande bestämmelser till EU:s dataskydds- förordning, här kallad dataskyddslagen. och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndig- heters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambe- slut /977/RIF, här kallat direktivet, ska vara genomfört i nationell rätt . Direktivet ska dels skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter, dels under- lätta det informationsutbyte mellan behöriga myndigheter som är nöd- vändigt enligt unionsrätt eller nationell rätt. Direktivet ersätter data- skyddsrambeslutet. En närmare beskrivning av innehållet i direktivet finns i avsnitt 5.2. 4.8.4Viss personuppgiftsbehandling ligger utanför båda instrumenten Viss behandling av personuppgifter undantas från både dataskyddsför- ordningens och dataskyddsdirektivets tillämpningsområden. Det gäller personuppgiftsbehandling i verksamhet som inte omfattas av unionsrät- ten, däribland området nationell säkerhet. Vidare undantas den personuppgiftsbehandling som förekommer vid EU:s myndigheter och andra organ. Den regleras i stället i Europaparla- mentets och rådets förordning (EG) nr 45/2001 av om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsor- ganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter. Inom EU pågår förhandlingar om regleringen av behandlingen av personuppgifter vid unionens myndigheter och andra organ. antog en konvention till skydd för enskilda vid automatisk databehandling av personuppgifter, den s.k. dataskyddskonventionen (nr 108). Konventionen trädde i kraft . Dess syfte är att säkerställa respekten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatisk databehandling av personuppgifter. Utgångs- punkten är att vissa av den enskildes rättigheter kan behöva skyddas i förhållande till den princip om fritt flöde av information, oberoende av gränser, som finns inskriven i internationella överenskommelser om mänskliga rättigheter. Konventionens tillämpningsområde är enligt huvudregeln automatiserade personregister och automatisk databehand- Prop. 2017/18:232 ling av personuppgifter i allmän och enskild verksamhet. I konventionen anges krav på de personuppgifter som undergår auto- matisk databehandling, bl.a. krav på att uppgifterna ska hämtas in och behandlas på ett korrekt sätt och vara relevanta med hänsyn till ändamå- let, att vissa typer av uppgifter inte får behandlas automatiserat om inte nationell lagstiftning ger ett ändamålsenligt skydd, och att lämpliga säkerhetsåtgärder ska vidtas för att skydda personuppgifter gentemot oavsiktlig eller otillåten förstörelse. Konventionen kompletteras av ett antal av ministerkommittén antagna rekommendationer om hur personuppgifter bör behandlas inom olika områden. En sådan rekommendation rör polisen. har, i likhet med övriga medlemsstater i EU, anslutit sig till dataskyddskonventionen. inledde en översyn av konventionen och rekom- mendationerna. Arbetet med översynen kan förväntas vara slutfört . 5 Det nya dataskyddsdirektivet Det nya dataskyddsdirektivet riktar sig till medlemsstaterna och kräver att de genomför viss lagstiftning efter ikraftträdandet. Det innebär att direktivet ska vara genomfört . Direkti- vet är indelat i tio kapitel och innehåller totalt 65 artiklar. I detta avsnitt beskrivs kortfattat innehållet i samtliga artiklar, för att skapa en översiktlig bild av vilka krav på lagstiftning som direktivet stäl- ler. Det närmare innehållet i artiklarna redovisas i de kapitel som behand- lar sakfrågorna. Av skäl 99 framgår att och inte är bundna av be- stämmelserna i direktivet i vissa delar. ska enligt skäl 100 efter antagandet av direktivet besluta om man ska genomföra direktivet i sin nationella lag- stiftning eller inte. Av skäl 101–103 framgår att , , och är bundna av direktivet genom att de har anslutit sig till Schengenregel- verket. Artiklarna 1–3: Allmänna bestämmelser Enligt artikel 1 innehåller direktivet bestämmelser om skydd för fysiska personer med avseende på behöriga myndigheters behandling av person- uppgifter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot och förebygga och förhindra hot mot den allmänna säkerheten. 2017/18:232 med direktivet är att dels skydda fysiska personers grundläggande rättig- heter och friheter, särskilt deras rätt till skydd av personuppgifter, dels säkerställa att, när det krävs utbyte av personuppgifter inom unionen mellan behöriga myndigheter, detta utbyte varken begränsas eller för- bjuds av hänsyn till skyddet för fysiska personer mot behandling av per- sonuppgifter. Det slås också fast att direktivet inte hindrar att medlems- staterna föreskriver strängare skyddsåtgärder när det gäller registrerades rättigheter och friheter. Artikel 2 anger direktivets tillämpningsområde. Direktivet ska tilläm- pas på behandling av personuppgifter som utförs av behöriga myndighe- ter för de ändamål som anges i artikel 1.1. Direktivet ska tillämpas dels på helt eller delvis automatiserad behandling av personuppgifter, dels på annan behandling av personuppgifter som ingår i eller kommer att ingå i register. Däremot ska direktivet inte tillämpas på behandling av person- uppgifter som utgör ett led i en verksamhet som inte omfattas av unions- rätten eller på personuppgiftsbehandling som utförs av unionens institu- tioner eller andra organ. Artikel 3 innehåller definitioner. Där anges bl.a. vad som avses med personuppgift, behandling, register, behörig myndighet, personuppgifts- ansvarig, personuppgiftsbiträde och personuppgiftsincident. Vidare defi- nieras genetiska och biometriska uppgifter. Artiklarna 4–11: Principer I artikel 4 anges grundläggande principer för behandling av personupp- gifter. –behandlas på ett lagligt och korrekt sätt, –samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte behandlas på ett sätt som står i strid med dessa ändamål, –vara adekvata, relevanta och inte för omfattande i förhållande till de syften för vilka de behandlas,