prop · H503232 · 2018-04-19 00:00:00 — Myndigheterna måste förhålla sig till flera olika författningar beroende på för vilket ändamål personuppgifter- na behandlas. Som ett exempel kan nämnas att vid uppgiftsutbyte med en annan EU-medlemsstat kan behöva tillämpa inte bara personuppgiftslagen och polisdatalagen, utan också lagen om inter- nationellt polisiärt samarbete eller lag. föra direktivet genom ändringar i myndigheternas registerförfattningar skulle ha den fördelen att det skulle ge myndigheterna en mer samman- hållen reglering. Det finns dock flera nackdelar med att placera den nya regleringen i de olika registerförfattningarna. En sådan är att registerförfattningarna skulle tyngas i onödan av bestämmelser som är desamma för flera av dem. En annan är att det skulle behöva införas nya registerförfattningar för de myndigheter som inte har någon sådan utan enbart tillämpar personuppgiftslagen. Eftersom myndigheterna inom direktivets tillämpningsområde antingen tillämpar personuppgiftslagen vid sidan av sin registerförfattning eller genom hänvisningar i registerförfattningen ändå tillämpar vissa bestämmelser i personuppgiftslagen, är det inget nytt för dem att förhålla sig till en ramlagstiftning som innehåller den gene- rella regleringen. Regeringen instämmer därför till skillnad från Data- och Förvaltningsrätten i i utredningens förslag att så långt som möjligt skapa ett gemensamt regelverk för behandling av personuppgifter inom direktivets tillämpningsområde som kompletteras av registerförfattningar. Det bör därför införas en ny ramlagstiftning för brottsbekämpning, lagföring och straffverkställighet. Att den även bör gälla för upprätthållande av allmän ordning och säkerhet behandlas i avsnitt 6.4.3. Lagen bör vara subsidiär Ramlagen kommer att vara anpassad till skyldigheterna och kraven i direktivet. I utredningens uppdrag har ingått att anpassa myndigheternas registerförfattningar till ramlagen. Även andra författningar som innehål- ler bestämmelser om personuppgiftsbehandling på ramlagens tillämp- ningsområde måste ses över så att de, i den mån de innehåller bestäm- melser som avviker från ramlagen, inte står i strid med direktivet. Av artikel 18 framgår att det är tillåtet att i nationell rätt ha regler som avviker från direktivets bestämmelser om enskildas rätt till information och korrigeringsåtgärder om personuppgifterna ingår i domstolsbeslut, rättsliga protokoll eller ärenden som behandlas i samband med brottsut- redningar och straffrättsliga förfaranden. Som utvecklas i avsnitt 10.2.2 finns det således inget som hindrar att reglerna om rätt till information vid förundersökning och andra straffrättsliga förfaranden har företräde framför ramlagens bestämmelser om information. Mot den bakgrunden instämmer regeringen i utredningens förslag att ramlagen, på samma sätt som personuppgiftslagen, bör vara subsidiär i förhållande till bestämmelser i lag eller annan författning. När det gäller subsidiaritetsbestämmelsens utformning ifrågasätter om den föreslagna subsidiaritetsbestämmelsen är till- räcklig för att uppfylla kravet i artikel 18. anser också att bestämmelsen i ramlagen ska utformas på liknande sätt som den utfor- mas i dataskyddslagen på dataskyddsförordningens område. Regeringen anser att en allmän subsidiaritetsbestämmelse liknande den som gäller i 2 § personuppgiftslagen är tillräcklig och konstaterar att övervä- gandena om utformningen gör sig gällande även på förordningens om- råde. Mot denna bakgrund anser regeringen att utredningens förslag ska vara utgångspunkt för utformningen av subsidiaritetsbestämmelsen. 2017/18:232 Ordalydelsen bör dock vara i enlighet med den som föreslås i den kom- mande dataskyddslagen (prop. 2017/18:105 s. 8). I det lagstiftningsärendet efterfrågade ytterligare övervägan- den angående skälen för en ordning som innebär att föreskrifter i förord- ning ska gälla framför dataskyddslagens bestämmelser. Lagrådet påpe- kade vidare att detta innebär att räckvidden av den formella lagkraftens princip enligt 8 kap. 18 § regeringsformen begränsas (Ny dataskyddslag, prop. 2017/18:105 s. 331 f.). I den propositionen anför regeringen att det på dataskyddsområdet är en väl etablerad ordning att även föreskrifter på förordningsnivå kan ges företräde framför den generella regleringen om skydd för personuppgif- ter. En förutsättning för detta är givetvis att föreskrifterna har beslutats med stöd av regeringens restkompetens eller med stöd av ett bemyndi- gande i lag. Enligt regeringens bedömning kommer det även i fortsättningen finnas ett stort behov av både lagar och förordningar som innehåller bestämmel- ser som rör behandling av personuppgifter även på dataskyddsdirektivets tillämpningsområde. Mot denna bakgrund gör regeringen bedömningen att såväl lagar som förordningar som avviker från ramlagen bör ha före- träde framför ramlagen, på motsvarande sätt som har gällt i för- hållande till personuppgiftslagen. När personuppgiftslagen infördes övervägdes om det skulle införas en spärr som tydliggjorde att särregler i annan författning bara skulle gälla i den utsträckning de inte stred mot dataskyddsdirektiv (Integri- tet, Offentlighet, Informationsteknik, SOU 1997:39, s. 210 f.). stannade dock för att inte föreslå någon sådan regel, eftersom man menade att det bara skulle skapa oro utan att medföra någon mot- svarande nytta. har påtalat att en sådan spärr borde införas i ramlagen. Befintlig lagstiftning har setts över genom utredningen och andra över- syner på området. Utredningen har i likhet med be- dömt att det inte finns behov av att föreslå någon generell spärr av det slag som diskuterades men förkastades i förarbetena till personuppgifts- lagen. Regeringen delar denna uppfattning. När ny eller ändrad lagstift- ning övervägs måste det också säkerställas att det inte införs bestämmelser som står i strid med direktivet. En delvis ändrad struktur Som framgår av avsnitt 4.2 och 4.3 gäller bl.a. polisdatalagen, kustbevak- ningsdatalagen, åklagardatalagen och domstolsdatalagen i stället för per- sonuppgiftslagen. Dessa författningar innehåller hänvisningar till de be- stämmelser i personuppgiftslagen som är tillämpliga i myndigheternas verksamhet. När personuppgiftslagen ersätts av en ny ramlag som enbart ska gälla inom direktivets tillämpningsområde går det inte att ha en sys- tematik där registerförfattningarna gäller i stället för ramlagen, eftersom utgångspunkten är att i princip alla bestämmelser i ramlagen kommer att vara tillämpliga i myndigheternas verksamhet. De uppräknade register- författningarna kommer därför att behöva anpassas till ramlagen på så sätt att de ska gälla utöver ramlagen och bara innehålla de bestämmelser som innebär undantag eller avvikelser från bestämmelserna i ramlagen. De registerförfattningar som gäller utöver personuppgiftslagen Prop. 2017/18:232 måste också anpassas så att de i stället ska gälla utöver ramlagen. En konsekvens av den ändrade strukturen är att vissa bestämmelser som finns i registerförfattningarna bör flyttas till ramlagen, om de är av den arten att de bör gälla för all verksamhet inom direktivets tillämp- ningsområde. Som exempel kan nämnas regler om hur känsliga person- uppgifter får behandlas (se avsnitt 8.1.4). Om det finns behov av särreg- ler för de olika myndigheterna när det gäller hur känsliga personuppgifter får behandlas bör de finnas kvar i myndigheternas registerförfattningar. Förslag till de förändringar som behöver göras i myndigheternas register- författningar som en följd av ramlagen kommer att lämnas i en kom- mande proposition. Ramlagen kommer som framgår av avsnitt 6.4 att tillämpas när behöriga myndigheter behandlar personuppgifter inom ramen för brottsbekämp- ning, lagföring och straffverkställighet och för att upprätthålla allmän ordning och säkerhet. Den kommer att tillämpas ofta och det kommer i stor utsträckning att hänvisas till den. Lagen bör därför ha ett så enkelt och tydligt namn som möjligt. Ett namn som skulle kunna återspegla lagens huvudsakliga innehåll men ändå är förhållandevis kort är lagen om behandling av personupp- gifter vid brottsbekämpning, lagföring och straffverkställighet. Namnet har dock ingen naturlig kortform eller förkortning som kan användas vid hänvisningar till den. Lagrådet kritiserade dessutom ett liknande förslag (lag om behandling av personuppgifter i polisens brottsbekämpande verksamhet) när den nu gällande polisdatalagen granskades. Lagrådet ansåg att rubriken var alltför intetsägande (prop. 2009/10:85 s. 66 och 519). I förslaget till skattebrottsdatalag motiveras lagens namn med hän- visning till nämnda lagrådsyttrande (prop. 2016/17:89 s. 48). De registerförfattningar som har införts på direktivets tillämpningsom- råde har alla ordet datalag i namnet, t.ex. polisdatalagen, åklagardatalagen, domstolsdatalagen och tullbrottsdatalagen. Ett alterna- tiv är därför, som utredningen föreslår, att benämna ramlagen brottsdata- lagen. Det är ett kort namn som det är lätt att hänvisa till och som skulle kunna förkortas BDL. Nackdelen med benämningen brottsdatalag är att det inte framgår att lagen gäller för behandling av personuppgifter vid straffverkställighet. Straffverkställighet handlar dock om att verkställa en påföljd för brott eller särskild rättsverkan av brott. Den tydliga kopplingen mellan straff- verkställighet och brott gör att namnet inte är missvisande. I avsnitt 6.4.3 föreslår regeringen att lagen även ska omfatta behandling av personupp- gifter i syfte att upprätthålla allmän ordning och säkerhet. Det täcks inte av benämningen brottsdatalag. Fördelarna med ett kort namn som det är lätt att hänvisa till uppväger dock nackdelen att det inte uttömmande anger lagens tillämpningsområde. Lagen bör därför benämnas brottsdata- lagen. 2017/18:232 Lagen bör kompletteras av en förordning Direktivet innehåller i vissa artiklar mycket detaljerade regler i fråga om exempelvis dokumentations- och underrättelseskyldighet. Sådana detalj- regler bör inte tas in i lagen utan regleras i förordning. Regeringen delar utredningens bedömning att det är nödvändigt att komplettera brottsdata- lagen med en förordning för att genomföra direktivet i dess helhet. Regeringens förslag: Syftet med ramlagen ska vara dels att skydda fysiska personers grundläggande rättigheter och friheter i samband med behandling av personuppgifter, dels att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: anser att det inte med tillräck- lig tydlighet framgår att den nya ramlagen även ska syfta till att värna en effektiv och rättssäker informationshantering för brottsbekämpningen. Datainspektionen anser att det bör tydliggöras att ett syfte särskilt ska vara att skydda fysiska personers personliga integritet vid behandling av Skälen för regeringens förslag: Av artikel 1.2 framgår att det nya dataskyddsdirektivet har dubbla syften. Regleringen ska skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. ska den säkerställa att behöriga myndigheters utbyte av personuppgifter inom unionen, när sådant utbyte krävs enligt unionsrätten eller nationell rätt, varken begränsas eller för- bjuds av skäl som rör skyddet för fysiska personer med avseende på be- handlingen av personuppgifter. I registerförfattningar förekommer ibland bestämmelser som anger lagens övergripande syfte. I exempelvis 1 kap. 1 § polisdatalagen anges det övergripande syftet med lagen vara att ge polisen möjlighet att be- handla personuppgifter på ett ändamålsenligt sätt i sin brottsbekämpande verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Bestämmelser om syftet med en reglering saknar normalt egentligt materiellt innehåll. Man kan därför fråga sig om det behövs en sådan bestämmelse i ramlagen. Det har emellertid inte en- bart en symbolisk eller informativ betydelse att uttryckligen slå fast Att en lags syfte uttryckligen anges kan få relevans i rätts- tillämpningen genom att det ger vägledning för tolkningen av de materi- ella bestämmelserna i lagen (Myndighetsdatalag, SOU 2015:39, s. 220). Det finns därför skäl att införa en bestämmelse om lagens syfte så att det tydligt framgår att regleringen har dubbla syften. ners grundläggande rättigheter och friheter ska skyddas vid behandling av personuppgifter är en central målsättning för regleringen. vissa intrång i den personliga integriteten nödvändiga för att myndighe- terna ska kunna utföra sina uppgifter och för att brottsoffer ska kunna få sin rätt tillgodosedd. Olika intressen ställs alltså mot varandra. utredning eller brottmålsrättegång innehåller ofta personuppgifter om såväl brottsoffer, misstänkta och vittnen som tjänstemän som deltar i Prop. 2017/18:232 verksamheten. Regleringen bör därför ge uttryck för en väl avvägd balans mellan, å ena sidan, skyddet för den personliga integriteten, och, å andra sidan, samhällets behov av att myndigheter kan behandla person- uppgifter i den verksamhet som omfattas av direktivets tillämpningsom- råde. Regeringen delar till skillnad från och Datain- spektionen utredningens bedömning att den dubbla målsättningen och balansen mellan de olika intressena bäst tillgodoses och uttrycks genom en bestämmelse som föreskriver att lagens syfte är att skydda fysiska personers grundläggande rättigheter och friheter vid behandling av per- sonuppgifter och att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varandra. I lagrådsremissens förslag till reglering angavs ”att skydda fysiska per- soners grundläggande fri- och rättigheter i samband med behandling av personuppgifter” som ett syfte. Mot bakgrund av hur direktivet är utfor- mat och för att tydliggöra att det är fråga om rättigheter och friheter i direktivets mening förordar Lagrådet att uttrycket ”fri- och rättigheter” där det förekommer i lagtexten ersätts med ”rättigheter och friheter”. Regeringen håller med Lagrådet om att en sådan formulering förtydligar att det rör sig om rättigheter och friheter i direktivets mening och ändrar därför till den lydelsen även på övriga ställen där uttrycket förekommer. 6.1.42013 års lag bör upphävas Regeringens förslag: Lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen och vissa hänvisningar till den lagen ska upp- hävas. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Remissinstanserna tillstyrker förslaget eller har inga synpunkter på det. Skälen för regeringens förslag: Enligt artikel 59 ska dataskyddsram- beslutet upphöra att gälla som medlemsstaterna ska ha inför- livat direktivet i nationell rätt. Rambeslutet bygger i huvudsak dataskyddsdirektiv. Efter- som i princip genomförde det direktivet även inom de sektorer som rambeslutet reglerar fanns det redan i stor utsträckning bestämmel- ser som motsvarade artiklarna i rambeslutet i personuppgiftslagen och i myndigheternas registerförfattningar när rambeslutet skulle genomföras. De återstående delarna av rambeslutet genomfördes lag. Lagen tillämpas framför allt när uppgifter överförs från eller till en annan EU- medlemsstat, , , eller i verksamheter som har till syfte att förebygga, förhindra eller upptäcka brottslig verk- samhet, utreda eller beivra brott eller verkställa straffrättsliga påföljder. I den mån motsvarande bestämmelser behövs för att genomföra direktivet bör dessa tas in i ramlagen så att regleringen blir så sammanhållen som möjligt. Regeringen delar därför utredningens bedömning att lag ska upphävas. Därmed bör också alla de bestämmelser som hänvisar till den lagen upphävas. Sådana hänvisningar finns dels i myndigheternas 2017/18:232 registerförfattningar, dels i vissa författningar som reglerar enskilda register eller annan personuppgiftsbehandling inom rambeslutets tilläm- pningsområde. Hänvisningarna i de lagar som inte är registerförfattningar och i domstolsdatalagen behandlas i denna proposition. Hänvisningarna i övriga registerförfattningar kommer att ses över i samband med anpass- ningen av dem. Regeringens förslag: Vissa uttryck som används i ramlagen ska defi- Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser är positiva till eller har inte några invändningar mot förslaget. anser att uttrycket register bör definieras. trycken profilering och pseudonymisering bör definieras samt att utred- ningens definition av biometriska uppgifter bör ändras. verket belyser vikten av att det blir en tydlig och ändamålsenlig reglering av hanteringen av uppgifter om avlidna. Skälen för regeringens förslag Definitionerna bör ligga så nära direktivets definitioner som möjligt I artikel 3 definieras vissa uttryck som är av grundläggande betydelse för förståelsen av bestämmelserna i direktivet. mer i allt väsentligt med definitionerna i artikel 4 i dataskyddsförord- Som framgår av avsnitt 6.4.4 kommer de myndigheter som är be- höriga i ramlagens mening att också tillämpa förordningen i delar av sin För att underlätta tillämpningen finns det därför, som utred- ningen föreslår, skäl att i så stor utsträckning som möjligt använda direk- tivets terminologi så att definitionerna i ramlagen och förordningen blir så lika som möjligt. Det innebär att motsvarande definitioner i person- uppgiftslagen inte bör användas i den mån de avviker från direktivets terminologi, trots att de har tillämpats och stämmer bättre överens med terminologin i svensk lagstiftning. I artikel 3.3 finns en definition av uttrycket ”begränsning av behand- Som framgår av avsnitt 10.4.3 stämmer direktivets definition inte överens med vad som får antas vara avsikten med åtgärden. i enlighet med direktivets lydelse blir därför missvisande och en defini- tion i enlighet med syftet blir innehållslös. Regeringen delar därför utred- ningens bedömning att begränsning av behandling inte bör definieras i Både dataskyddsdirektiv och det nya dataskyddsdirektivet innehåller en definition av uttrycket register. direktiv genomfördes ville man komma bort från registerbegreppet som redan då ansågs otidsenligt (prop. 1997/98:44 s. 39). register infördes därför inte i personuppgiftslagen. vet användes i stället för att avgränsa lagens tillämpningsområde genom att det i 5 § anges att lagen även gäller för behandling av person- uppgifter om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier. Som framgår av avsnitt 6.4.5 instäm- mer regeringen i utredningens bedömning att tillämpningsområdet för ramlagen nu ska anges på samma sätt. Ordet register förekommer inte i den föreslagna lagen. Därför anser regeringen till skillnad från Förvalt- ningsrätten i att det inte finns anledning att definiera uttrycket register. I direktivet definieras vidare profilering och pseudonymisering, uttryck som enligt bör definieras även i ramlagen. Profilering nämns i artikel 11 som ett exempel på beslut som grundas enbart på auto- matiserad behandling. I artikel 24.1 e anges att det register som den per- sonuppgiftsansvarige ska föra över personuppgiftsbehandling i tillämp- liga fall ska innehålla uppgifter om användningen av profilering. Pseudo- nymisering nämns i artikel 20 som ett exempel på säkerhetsåtgärder som bör vidtas. I likhet med utredningen anser regeringen inte att termerna bör användas i ramlagen och några definitioner av dem behövs därför inte. Nedan följer en redogörelse för ett antal centrala definitioner som bör finnas i ramlagen. Ytterligare uttryck som föreslås definieras i ramlagen kommer att behandlas i anslutning till de delar av direktivet de hänför sig till. Behandling definieras i artikel 3.2. Direktivets definition skiljer sig något i fråga om uppräkningen av exempel på behandling jämfört med dataskyddsdirektiv och 3 § personuppgiftslagen. Definitionen i ramlagen bör, som utredningen föreslår, nära ansluta till direktivets text. Behand- ling av personuppgifter bör därför definieras som en åtgärd eller kombi- nation av åtgärder som vidtas i fråga om personuppgifter eller uppsätt- ningar av personuppgifter, oavsett om det görs automatiserat eller inte, t.ex. insamling, registrering, organisering, strukturering, lagring, bearbet- ning eller ändring, framtagning, läsning, användning, utlämnande, sprid- ning eller tillhandahållande på annat sätt, justering, sammanföring, be- gränsning, radering eller förstöring. Varken dataskyddsdirektiv eller personuppgiftslagen innehåller någon definition av biometriska uppgifter. Inte heller i andra författ- ningar finns det någon sådan definition, men uttrycket biometriska data används i bl.a. passlagen (1978:302) och utlänningslagen (2005:716). Enligt artikel 3.13 avses med biometriska uppgifter personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möj- liggör eller bekräftar unik identifiering av personen, som ansiktsbilder eller fingeravtrycksuppgifter. Biometriska uppgifter räknas upp i arti- kel 10 som en särskild kategori av personuppgifter som bara får behand- las under vissa förutsättningar (se avsnitt 8.1.4). Definitionen av vad som avses med biometriska uppgifter får därmed betydelse för i vilken ut- sträckning sådana uppgifter får behandlas. 2017/18:232 Biometri är ett samlingsnamn för sådan automatiserad teknik som syf- tar till att identifiera en person eller avgöra om en påstådd identitet är riktig. Den baseras på mätning av fysiska karaktärsdrag hos den som ska identifieras (jfr prop. 2008/09:132 s. 6 f.). När det gäller pass är det fram- för allt mönster av fingeravtryck, ansiktsgeometri och ögats iris som används, men även regnbågshinna, näthinna, röst, hand, blodkärl, dna eller gång går att använda. Gemensamt för teknikerna är att kroppen mäts elektroniskt. Biometriska uppgifter är den information som kan tas fram ur ett biometriskt underlag. Dessa uppgifter kan användas för att skapa en referensmall eller för att jämföra med tidigare lagrade referensmallar i syfte att kontrollera en persons identitet. I direktivets definition av biometriska uppgifter anges ansiktsbilder som ett exempel på sådana uppgifter. Det kan leda tanken till att vanliga fotografier och filmer skulle omfattas av definitionen. Om de inte bearbe- tas tekniskt genom en särskild metod som syftar till identifiering faller de utanför definitionen. Om de däremot bearbetas i exempelvis ett ansikts- igenkänningsprogram så att det går att identifiera personer på bilden eller filmen omfattas de av definitionen. Här kan även anmärkas att de person- uppgifter, t.ex. fingeravtryck, som förekommer i ett utlåtande som base- ras på en teknisk bearbetning av biometriska uppgifter inte i sig utgör biometriska uppgifter. Ramlagen bör innehålla en definition av uttrycket biometriska uppgif- ter. anser till skillnad från utredningen att en definition inte ska begränsas till uppgifter som tagits fram genom särskild teknisk behandling. Regeringen delar dock utredningens uppfattning att direkti- vets definition ska vara utgångspunkt för definitionen i ramlagen. Till skillnad från direktivets definition bör den dock inte innehålla några exempel på sådana uppgifter, eftersom det kan leda till felaktiga slutsat- ser om vad som omfattas. Biometriska uppgifter ska därför definieras som personuppgifter som rör en persons fysiska, fysiologiska eller be- teendemässiga kännetecken, som tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar unik identifiering av perso- nen i fråga. Genetiska uppgifter definieras inte dataskyddsdirektiv eller i personuppgiftslagen.