prop · H503269 · 2018-06-19 00:00:00 — digheter som enskilda. Det kan röra sig om att begära eller utbyta information, att begära eller lämna yttranden, att ge insyn i en förunder- sökning, att delge handlingar under förundersökningsförfarandet eller brottmålsprocessen eller att expediera strafförelägganden och andra be- Tyngdpunkten ligger på kommunikation mellan behöriga myndig- heter, men det rör sig också om kommunikation med andra. ler andra myndigheter kan det exempelvis vara fråga om kontakter med Transportstyrelsen (trafikutredningar, expediering av strafförelägganden och beslut), Arbetsförmedlingen (brottsutredningar, personutredning och straffverkställighet) eller (brottsutredningar, personut- redning och straffverkställighet). När det gäller kommunikation med enskilda kan som exempel nämnas att i sin brottsbe- kämpande verksamhet har stort behov av att kunna kommunicera med bl.a. banker och försäkringsbolag och att ofta har kontakt med finansiella aktörer. Behovet av kommunikation utanför ordinarie kontorstid är betydande, eftersom brottsbekämpande verksamhet pågår även . Det kan då vara nödvändigt att t.ex. kunna förse offentliga försvarare med hand- lingar elektroniskt. sköttes kommunikationsbehovet i huvudsak på papper, bl.a. därför att regelverket i förutsatte sådan hantering. Både i och inom EU uppmuntras myndigheter att i så stor ut- sträckning som möjligt dra nytta av de effektivitetsvinster som modern teknik kan ge. Det pågår ett utvecklingsarbete som syftar till att myndigheterna i rättskedjan i ökande utsträckning ska kunna dra nytta av personuppgifter som har lagrats elektroniskt av de myndigheter som ligger tidigare i kedjan. Genom registerförfattningarna har myndighe- terna i rättskedjan lagstöd för att kunna utbyta personuppgifter elektro- niskt med varandra och att medge övriga myndigheter tillgång till vissa uppgifter genom direktåtkomst. Av effektivitetsskäl kan de emellertid behöva lämna ut personuppgifter i elektronisk form även till andra. Den möjligheten begränsas genom reglerna om utlämnande på medium för automatiserad behandling. Risker med elektroniskt utlämnande När det gäller elektroniskt utlämnande brukar utlämnande genom direktåtkomst förknippas med särskilda risker för den personliga integri- teten. En sådan risk är att uppgifterna sprids som en följd av att de upp- tagningar som direktåtkomsten avser blir allmänna handlingar hos den mottagande myndigheten (se SOU 2012:90 s. 64 f. och 123 f. och SOU 2015:39 s. 134 f.). Sammanställningar av uppgifter som i samband med direktåtkomst görs tekniskt tillgängliga för den mottagande myn- digheten anses enligt 2 kap. 3 § andra stycket tryckfrihetsförordningen förvarade hos den mottagande myndigheten och utgör således allmänna handlingar där. Ju fler myndigheter som har direktåtkomst till uppgifter i ett datasystem, desto större blir allmänhetens möjlighet att få tillgång till uppgifterna (se Utlänningsdatalag, SOU 2003:40, s. 201 och Personupp- giftsbehandling på utlännings- och medborgarskapsområdet, SOU 2015:73, s. 304). Det innebär också att direktåtkomst typiskt sett innebär att uppgifter blir tillgängliga för fler personer i de verksamheter som har åtkomst och att den utlämnande myndighetens möjligheter att kontrollera användningen av uppgifterna minskar (se Utlänningsdatalag, prop. 2015/16:65, s. 89 f.). Det förhållandet att en myndighet får tillgång till uppgifter genom direktåtkomst ger dock inte mottagaren rätt att behandla personuppgif- terna. Mottagaren måste ha rättsligt stöd i dataskyddsförordningen, dataskyddslagen eller i sin egen registerförfattning för personuppgiftsbehandlingen och även i övrigt uppfylla alla skyldigheter som är förenade med den. Inte bara direktåtkomst utan även utlämnande av personuppgifter på medium för automatiserad behandling anses medföra risker från integri- 2017/18:269 tetssynpunkt. Sådant utlämnande innebär nämligen som regel att motta- garen kan bearbeta informationen, t.ex. genom att samköra den mot elektroniska uppgifter som har hämtats från andra informationskällor. Det ökar risken för att uppgifterna behandlas i strid med de grundläg- gande kraven på dataskydd. Viss sekretessreglering har införts för att minska de risker som ökat elektroniskt utlämnande medför. Enligt 11 kap. 4 § offentlighets- och sekretesslagen gäller att om en myndighet har elektronisk tillgång till en upptagning för automatiserad behandling hos en annan myndighet och en uppgift i denna upptagning är sekretessreglerad, blir sekretessbestämmel- sen tillämplig även hos den mottagande myndigheten. Vidare gäller en- ligt 21 kap. 7 § offentlighets- och sekretesslagen sekretess för person- uppgifter, om det kan antas att utlämnande skulle medföra att uppgifterna behandlas i strid med personuppgiftslagen. Syftet med bestämmelsen är att det ska vara möjligt att hindra s.k. massuttag, om det finns skäl att anta att uppgifterna skulle missbrukas. Regeringens förslag: Registerförfattningarna ska ge samma möjligheter att tillhandahålla personuppgifter genom direktåtkomst som dagens reglering. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Säkerhetspolisen bedömer att hänvisningen i be- stämmelserna om sekretessgenombrott och direktåtkomst, t.ex. hänvis- ningarna i 2 kap. 8 § och 3 kap. 7 § i polisens registerförfattning, till 1 kap. 2 § brottsdatalagen, läst tillsammans med 1 kap. 4 § brottsdatalagen, kan tolkas som att direktåtkomst och brytande av sekretess inte är möjlig då Säkerhetspolisen ska behandla personuppgifter som rör nationell säkerhet. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Av 2 kap. 21 § polisdatalagen fram- går att utlämnande genom direktåtkomst bara är tillåtet i den utsträckning som följer av lagen. Sådana bestämmelser finns bl.a. i 4 kap., där vissa register särregleras. I 3 kap. 8 § polisdatalagen anges vilka myndigheter som får medges direktåtkomst till andra personuppgifter än de som be- handlas i särskilda register. Där föreskrivs också att direktåtkomst endast får avse personuppgifter som gjorts gemensamt tillgängliga. Liknande bestämmelser finns i 2 kap. 9 § kustbevakningsdatalagen, 2 kap. 17 § åklagardatalagen, 2 kap. 17 § och 3 kap. 8 § tullbrottsdatalagen och 2 kap. 16 § och 3 kap. 8 § skattebrottsdatalagen. Även i Kriminalvårdens registerlagstiftning finns det bestämmelser om direktåtkomst, men de finns i huvudsak i förordning (se 10 § första stycket 2 lagen om behandling av personuppgifter inom kriminalvården och 37, 43 och 44 §§ förordningen om behandling av personuppgifter inom kriminalvården). Direktåtkomst kräver alltså lagstöd enligt samtliga registerför- fattningar med undantag av Kriminalvårdens. ska således i de flesta fall ta ställning till om en viss myndighet kan tillåtas att få Med något enstaka undantag är det endast myndigheter Prop. 2017/18:269 som tillämpar brottsdatalagen som enligt registerförfattningarna får med- De nuvarande bestämmelserna om direktåtkomst ger därmed ett tillräckligt skydd för den personliga integriteten. De är även i övrigt förenliga med direktivet. Det bör därför finnas bestämmelser även i de nya registerförfattningarna som ger samma möjligheter att tillhandahålla personuppgifter genom direktåtkomst som dagens reglering. Säkerhetspolisen bedömer att hänvisningen i bestämmelserna om sek- retessgenombrott och direktåtkomst till 1 kap. 2 § brottsdatalagen, läst tillsammans med 1 kap. 4 § brottsdatalagen, skulle kunna tolkas som att sekretessgenombrott och direktåtkomst inte är möjlig då Säkerhetspoli- sen ska behandla personuppgifter som rör nationell säkerhet. Hänvis- ningen till 1 kap. 2 § brottsdatalagen sker dock för att tydliggöra för vilka syften som sekretess får brytas respektive för vilka syften som myndig- heten får medges direktåtkomst. Den omständigheten att brottsdatalagens tillämpningsområde är begränsat på sätt som anges i bestämmelsen i 1 kap. 4 § samma lag innebär inte att möjligheterna till sekretessgenom- brott och direktåtkomst är begränsade. Hänvisningen i bestämmelserna ska därmed inte tolkas på det sätt som Säkerhetspolisen redogjort för. 5.6.4Annat elektroniskt utlämnande tillåts i större utsträckning Regeringens förslag: Personuppgifter ska få lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: välkomnar förslaget. spektionen avstyrker förslaget eftersom att det utan närmare analyser om vilka effekter på den personliga integriteten som utvidgningen får eller kan få inte går att avgöra om utvidgningen kan anses proportionerlig i förhållande till enskildas personliga integritet. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag Registerförfattningarna för de brottsbekämpande myndigheterna innehål- ler bestämmelser om elektroniskt utlämnande. I 2 kap. 20 § polisdatala- gen, 2 kap. 8 § kustbevakningsdatalagen, 2 kap. 16 § åklagardatalagen, 2 kap. 16 § tullbrottsdatalagen och 2 kap. 15 § skattebrottsdatalagen före- skrivs att enstaka personuppgifter får lämnas ut på medium för automati- serad behandling. Registerförfattningarna innehåller dessutom bestäm- melser om att regeringen kan meddela föreskrifter om att uppgifter får lämnas ut på medium för automatiserad behandling även i andra fall. I de förordningar som kompletterar registerlagarna finns det i varierande ut- sträckning bestämmelser om att uppgifter får lämnas ut på medium för automatiserad behandling i större utsträckning än vad som anges i res- Begränsningen till enstaka personuppgifter gäller t.ex. inte i förhållande till de myndigheter som får medges direktåtkomst. Det innebär att begränsningen inte gäller i förhållande till andra brottsbekäm- pande myndigheter. I domstolsdatalagen har en delvis annan reglering valts. Enligt 16 § domstolsdatalagen får personuppgifter lämnas ut på medium för automa- tiserad behandling om det inte är olämpligt. Dataskyddsdirektivet reglerar inte hur personuppgifter tillhandahålls Varken dataskyddsdirektivet eller dataskyddsförordningen innehåller några bestämmelser som specifikt reglerar frågan om elektroniskt utläm- nande av personuppgifter. Det gör inte heller det nu gällande data- skyddsdirektivet. Att lämna ut personuppgifter elektroniskt innebär be- handling av personuppgifter och ett utlämnande förutsätter därmed att reglerna om behandling av personuppgifter följs och att inte annan lag- stiftning hindrar utlämnandet. Eftersom dataskyddsdirektivet inte särskilt reglerar på vilket sätt per- sonuppgifter får lämnas ut, finns det inget som hindrar att bestämmelser som motsvarar de nuvarande reglerna om elektroniskt utlämnande behålls. Kritik mot reglerna om utlämnande av enstaka personuppgifter Bestämmelserna om att bara enstaka personuppgifter får lämnas ut på medium för automatiserad behandling har kritiserats. Redan när de inför- des framförde vissa remissinstanser invändningar mot att begränsa det elektroniska utlämnandet till enstaka uppgifter. Det ansågs otidsenligt att i alltför hög grad begränsa myndigheternas möjlighet att utnyttja de för- delar som elektronisk kommunikation kunde ge (se bl.a. prop. 2009/10:85 s. 184 f.). Det var också omfattande kritik mot begränsningen till enstaka uppgifter som ledde till att en annan lösning valdes i dom- stolsdatalagen (se Domstolsdatalag, prop. 2014/15:148, s. 75 f.) Till kritikerna hör , som föreslår att det i myndighetsdatalagen tas in en bestämmelse som medger elektro- niskt utlämnande till enskilda om det inte är olämpligt med hänsyn till skyddet för personuppgiften. Däremot bör det enligt den utredningen inte gälla några lagliga begränsningar för att tillhandahålla myndigheter per- sonuppgifter i elektronisk form (se SOU 2015:39 s. 447). Även uttrycket ”utlämnande på medium för automatiserad behandling” har kritiserats, bl.a. på den grunden att det är otydligt (se SOU 2012:90 s. 198 f. och SOU 2015:39 s. 442). Bör regleringen ändras? förväntar sig både myndigheter och enskilda att handlingar i stor utsträckning kan förmedlas elektroniskt. Frågan är om den utvecklingen bör mötas med bestämmelser som förenklar för myndigheterna i rättsked- jan att kunna kommunicera elektroniskt. Elektronisk kommunikation är som regel kostnadseffektiv om man jämför med postbefordran. I vissa avseenden är elektronisk kom- munikation säkrare än traditionell befordran, eftersom spårbarheten är större. Elektronisk kommunikation gör det också enkelt att sända större För mottagaren är skillnaden mellan att få uppgif- Prop. 2017/18:269 ter på papper och i elektronisk form inte heller så stor . teknik kan nämligen text på papper enkelt omvandlas till elektroniska uppgifter. I förarbetena till bl.a. polisdatalagen och kustbevakningsdatalagen framhålls att när ordet enstaka används i bestämmelsen om utlämnande av uppgifter på medium för automatiserad behandling har ordet en annan innebörd än i vanligt språkbruk. När personuppgifter förekommer i en eller ett fåtal handlingar är bestämmelsen inte avsedd att utgöra ett hinder mot att handlingen lämnas ut t.ex. via e-post. Det förhållandet att en handling, t.ex. en lista över telefonnummer, innehåller ett stort antal personuppgifter hindrar inte att handlingen lämnas ut med stöd av be- stämmelsen. Bestämmelsen ger också stöd för utlämnande av t.ex. ett ärende eller delar av ett ärende där personuppgifter förekommer. Ett förundersökningsprotokoll kan således ofta lämnas ut elektroniskt. Där- emot får inte en större mängd uppgifter, t.ex. ett helt register eller delar av ett register, lämnas ut med stöd av en sådan bestämmelse (se prop. 2009/10:85 s. 333 och prop. 2011/12:45 s. 98). Det finns risk att bestämmelser som enligt sin ordalydelse talar för en mer restriktiv tillämpning av elektroniskt utlämnade än vad som förefal- ler vara avsedd, kan motverka strävanden efter att myndigheterna ska dra nytta av effektivitetsvinsterna med ny teknik. Det är också olyckligt om förarbetena ger uttryck för att lagregler ska tolkas annorlunda än sin ordalydelse. En annan risk med hur bestämmelserna är formulerade är att de ger sken av att ge ett starkare integritetsskydd än vad som i prak- tiken är fallet. Mot den nu angivna bakgrunden bör bestämmelser om utlämnande av personuppgifter på medium för automatiserad behandling utformas på ett annat sätt i de nya registerförfattningarna. Samma reglering som för domstolarna För , , , , och har regeringen redan i förordning öppnat för elektroniskt uppgiftslämnande på annat sätt än genom direktåtkomst om det inte är olämpligt. Det gäller dock enbart i förhållande till vissa i förordningarna uppräknade kategorier av motta- gare, framför allt sådana till vilka det förekommer frekvent uppgiftsläm- nande. Det finns anledning att lämna större utrymme för utlämnande i elektro- nisk form för de brottsbekämpande myndigheterna. Även om det i rela- tivt stor utsträckning förekommer integritetskänsliga personuppgifter i framför allt brottsbekämpande verksamhet och vid straffverkställighet måste riskerna med att överföra sådana uppgifter elektroniskt vägas mot behovet av snabb och effektiv kommunikation. Sekretessbestämmelserna tillsammans med regleringen av personuppgiftsbehandling skyddar vidare enskilda mot att möjligheten att lämna ut personuppgifter elektro- niskt missbrukas. Den som överväger att lämna ut personuppgifter, oav- sett i vilken form det görs, måste alltid överväga om sekretessregleringen lägger hinder i vägen och, om så inte är fallet, om regelverket för person- uppgiftsbehandling gör det möjligt att lämna uppgifterna i elektronisk 2017/18:269 form. Mottagaren måste dessutom alltid ha rättslig grund för behand- lingen och är även i övrigt skyldig att leva upp till de krav som finns i reglerna om personuppgiftsbehandling. Regeringen anser att regleringen, med dess krav för utlämnande och mottagande, är utformad på ett sätt som ger ett gott skydd för den personliga integriteten. Det finns inte skäl att vidare analysera utvidgningens effekter på sätt som Datainspektionen efterfrågar. Mot den bakgrunden bör samma lagtekniska lösning som i domstolsdatalagen väljas i de berörda myndigheternas registerförfatt- ningar. Bestämmelserna bör därför ändras på det sättet att personupp- gifter ska få lämnas ut elektroniskt om det inte är olämpligt. anser att uttrycket ”utlämnande på medium för automatiserad behandling” bör utmönstras och föreslår att uttrycket ”utlämnande i elektronisk form” ska användas i stället (se SOU 2015:39 s. 442). Ett modernare uttryckssätt är att föredra. Eftersom registerförfattning- arna ses över är det lämpligt att göra den förändringen . Även fortsätt- ningsvis bör det i registerförfattningarna göras tydlig skillnad mellan elektroniskt utlämnande i form av direktåtkomst och elektroniskt utläm- nande på annat sätt (se även avsnitt 5.6.1 avseende avgörandet HFD 2015 ref. 61). När kan elektroniskt utlämnande komma i fråga? I fråga om elektroniskt utlämnande på annat sätt än genom direktåtkomst bör skillnad göras mellan utlämnande till myndigheter och utlämnande till enskilda. Det bör normalt inte anses olämpligt att lämna personupp- gifter elektroniskt till myndigheter (jfr SOU 2015:39 s. 447 f.). Om det i ett enskilt fall skulle bedömas vara olämpligt bör emellertid person- uppgifterna lämnas på annat sätt. Även när det gäller utlämnande till enskilda har lagstiftaren redan tagit ställning till att sådant utlämnande är godtagbart till vissa kategorier av mottagare, om det inte är olämpligt. Det gäller t.ex. uppgifter som lämnas till konkursförvaltare i vissa fall. Personuppgifter bör kunna lämnas ut elektroniskt till sådana kategorier i samma utsträckning som . När det gäller andra enskilda än de som pekas ut i förordning kan det krävas närmare överväganden bl.a. med hänsyn till vem mottagaren är och vilken säkerhet mottagaren har för sin personuppgiftsbehandling. I de fallen är det svårare att göra en generell bedömning av om elektro- niskt utlämnande kan vara lämpligt. Det bör därför finnas utrymme för regeringen att meddela föreskrifter som begränsar möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst. Den närmare innebörden av vad som ska anses vara ett sådant olämp- ligt utlämnande får dock utvecklas genom tillsynsmyndighetens arbete och i domstolspraxis. Rätt att meddela föreskrifter Regeringens förslag: Bestämmelser som motsvarar den befintliga registerförfattningarna, förutom i de fall där de inte längre fyller någon Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: I registerförfattningarna finns det ett flertal bestämmelser där det upplyses att regeringen kan meddela föreskrifter i en viss fråga, eller delegera den uppgiften till en myndighet. Vissa befintliga bestämmelser om föreskriftsrätt behöver inte införas i de nya registerförfattningarna eftersom de är knutna till bestämmelser som inte längre kommer att finnas kvar. Det finns också vissa bestämmelser om vidaredelegation av föreskriftsrätt som inte bör behållas därför att det som regleringen avser enbart rör myndighetsinterna frågor eller därför att det är uppgifter som följer med rollen som personuppgiftsansvarig. Myndigheterna bör alltså inte ha någon föreskriftsrätt om det är fråga om interna förhållanden som kan regleras på annat sätt än i föreskrifter. Det gäller exempelvis föreskrifts- rätten i 3 § polisdataförordningen om tillgången till personuppgifter, i 5 § andra stycket om begränsning av tillgången till vissa uppgifter och i 8 § Motsvarande bestämmelser i övriga registerförordningar bör Lagrådet framhåller att förslagen innebär att regeringen förutsätts att – såsom redan gäller – i förordning ange bl.a. vissa fall när det är tillåtet att behandla personuppgifter än vad som medges i Lagrådet ifrågasätter om föreskrifter vars sakliga innebörd är en försämring av ett i lag stadgat skydd verkligen kan anses som gynnande eller neutrala i förhållande till enskilda. Lagrådet konstaterar att om så inte är fallet får regeringen inte meddela föreskrifterna med stöd av sin restkompetens och anser att frågan bör övervägas ytterligare under den Vidare ställer Lagrådet frågan om regeringens mer allmänna bedömning angående förhållandet till den formella lagkraftens princip (8 kap. 18 § regeringsformen) i propositionen till den nya dataskyddslagen också har bärkraft här (prop. 2017/18:105 s.26 f.). denna fråga bör enligt Lagrådet föranleda ytterligare överväganden. När det gäller sektorspecifika registerförfattningar som enbart rör behandling av personuppgifter som utförs av statliga myndigheter som lyder under regeringen anser regeringen, i linje med vad som har anförts i bl.a. förarbetena till dataskyddslagen (prop. 2017/18:105 s. 26 f.) att föreskrifter som direkt eller indirekt rör behandling av personuppgifter kan meddelas av regeringen med stöd av dess restkompetens enligt 8 kap. 7 § första stycket 2 regeringsformen. i bl.a. 21–26 §§ polisdataförordningen (2010:1155), där det föreskrivs att vissa kategorier av uppgifter får behandlas i polisens brottsbekämpande verksamhet efter utgången av den tid som anges i polisdatalagen. hänsyn till att bestämmelser om längsta tid för behandling finns i lag tydliggörs genom en upplysningsbestämmelse i 3 kap. 12 § 2017/18:269 Motsvarande upplysningsbestämmelser finns i bl.a. 4 kap. 14 § kustbevakningsdatalagen och 4 kap. 2 § skattebrottsdatalagen. Regeringen gör inte nu någon annan bedömning av omfattningen av regeringens restkompetens än den som har kommit till uttryck i tidigare lagstiftningsärenden avseende regleringen av behandling av person- uppgifter. Bestämmelser som gäller längsta tid för behandling av personuppgifter i de nu aktuella registerförfattningarna måste alltså anses falla under regeringens restkompetens enligt 8 kap. 7 § första stycket 2 regeringsformen. Eftersom sådana bestämmelser även kommer att finnas i lag bör det dock även fortsättningsvis finnas upplysningsbestämmelser i de aktuella registerförfattningarna som klargör att regeringen med stöd av 8 kap. 7 § regeringsformen kan meddela föreskrifter om att vissa kategorier av personuppgifter får fortsätta att behandlas för ändamål inom lagens tillämpningsområde än vad som anges i lagen. Även de andra bestämmelser i lagförslagen som gäller regeringens föreskriftsrätt omfattas av regeringens kompetens enligt 8 kap. 7 § regeringsformen. 6 Behandling för nya ändamål 6.1 Bestämmelser om rättslig grund och ändamål Dataskyddsregleringen utgår från att varje behandling av personuppgifter måste vila på en rättslig grund för att vara laglig. Det är alltså bara om det finns en rättslig grund som personuppgifter överhuvudtaget får En annan grundläggande princip för all personuppgiftsbehandling är att personuppgifter får samlas in bara för särskilda, uttryckligt angivna och Det finns därför normalt även bestämmelser om tillåtna ändamål för personuppgiftsbehandling i olika registerförfatt- I de brottsbekämpande myndigheternas nuvarande registerförfattningar delas ändamålen upp i primära och sekundära, se bl.a. 2 kap. 7 och 8 §§ polisdatalagen, 2 kap. 5 och 6 §§ åklagardatalagen samt 2 kap. 5 och 6 §§ Bestämmelserna har samma utformning och liknande De primära ändamålen reglerar behandlingen av de personupp- gifter som behövs i den berörda myndighetens egen brottsbekämpande får t.ex. enligt 2 kap. 7 § polisdatalagen behandla personuppgifter om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra förpliktelser som följer av internationella åtaganden. målen reglerar i vilken utsträckning personuppgifter som behandlas för något av de primära ändamålen får behandlas för att lämnas ut till andra myndigheter eller verksamheter eller till enskilda för att tillgodose deras Syftet med uppdelningen i primära och sekundära ändamål är att göra