prop · H503269 · 2018-06-19 00:00:00 — Av de skäl som Lagrådet anför anser regeringen dock att nackdelarna med att låta anpassningen till brottsdatalagen ske genom ändringslagar är så stora att myndigheternas registerförfattningar i stället bör upphävas och ersättas med nya lagar, trots att en fullständig översyn av registerförfattningarnas bestämmelser inte har kunnat genomföras. De nya lagförslagen (avsnitt 2.1–2.5 och 2.7) innebär att myndigheter- nas registerförfattningar omarbetas författningstekniskt och redaktionellt i förhållande till lagrådsremissens förslag, bl.a. flyttas två paragrafer i polisdatalagen (5 kap. 1 och 2 §§) helt oförändrade till polisens nya registerförfattning. Dessutom behöver övergångsbestämmelserna delvis formuleras om med anledning av att nya lagar föreslås i stället för ändringslagar. Även i övriga delar av propositionen görs redaktionella och språkliga ändringar i förhållande till lagrådsremissen som en följd av de nya lagförslagen. Innehållet i lagförslagen påverkas dock inte i sak av att anpassningen till brottsdatalagen görs i nya lagar i stället för i befintliga registerförfattningar. De bestämmelser i registerförfattningarna som inte kräver någon saklig ändring i förhållande till dagens reglering kommer inte att kommenteras när respektive författning behandlas. Bestämmelser som enbart blir föremål för mindre ändringar av språklig eller redaktionell karaktär kommer inte heller att tas upp särskilt. Frågan om de nya lagarnas namn behandlas nedan (se t.ex. avsnitt 7.1.2). Regeringens förslag: De nya registerförfattningarna ska innehålla bestämmelser om tillämpningsområdet. Regleringen ska i likhet med tillämpningsområdet för brottsdatalagen utgå från syftet med personuppgiftsbehandlingen. Det ska också framgå att register- författningarna endast är tillämpliga när en myndighet agerar i egenskap av behörig myndighet. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag Bestämmelser om tillämpningsområdet bör finnas kvar Brottsdatalagen kommer att innehålla bestämmelser om lagens tillämp- ningsområde och det kan därför ifrågasättas om det i fortsättningen be- hövs några bestämmelser om detta i registerförfattningarna. Dataskyddsreformen innebär dock att de behöriga myndigheterna kommer att få tillämpa ett flertal författningar vid behandlingen av per- sonuppgifter och det är ofrånkomligt att regleringen blir förhållandevis Redan detta talar för att tillämpningsområdet för varje registerförfattning bör anges så tydligt som möjligt. Inte minst bör det underlätta för myndigheterna om gränsdragningen mot dataskyddsför- ordningens tillämpningsområde kan klargöras i respektive författning. Vidare finns vissa mer specifika bestämmelser om registerförfatt- ningarnas tillämpningsområde som kommer att behövas även i fortsätt- ningen. Som exempel kan nämnas bestämmelser om att en viss register- författning gäller för flera myndigheter (se t.ex. 1 kap. 2 § polisdata- lagen). Mot den bakgrunden instämmer regeringen i utredningens bedömning att det även fortsättningsvis bör finnas bestämmelser om tillämpningsområdet i registerförfattningarna. Från verksamhet till syfte Den nuvarande regleringen i registerförfattningarna utgår från den verk- samhet där behandlingen av personuppgifter utförs. I brottsdatalagen, som har sin grund i direktivets reglering, är i stället syftet med person- uppgiftsbehandlingen avgörande för om lagen är tillämplig eller inte. Det är därför inte möjligt att i de nya lagarna införa bestämmelser som knyts till den verksamhet där behandlingen utförs. Eftersom regleringen ska utgå från syftet med behandlingen av person- uppgifter bör uttrycket brottsbekämpande verksamhet utmönstras. I stället bör tillämpningsområdet utgå från hur 1 kap. 2 § brottsdatalagen är formulerad. Det innebär att tillämpningsområdet bör knytas till att personuppgifter behandlas i något av de syften som anges i brottsdatalagen, nämligen förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Ändringen innebär att tillämpningsområdet för registerförfattningarna kommer att bli något snävare än , eftersom personuppgiftsbehand- ling som sker i den brottsbekämpande verksamheten men som har syften som ligger utanför brottsdatalagens tillämpningsområde inte kommer att omfattas av regleringen. Ett sådant exempel är när lämnar uppgifter från den brottsbekämpande verksamheten till tillstånds- verksamheten. Då kommer i stället dataskyddsförordningens regelverk att bli tillämpligt. Myndigheten ska agera i egenskap av behörig myndighet Det är inte enbart syftet med personuppgiftsbehandlingen som avgör om brottsdatalagen är tillämplig. Det krävs också att myndigheten agerar i egenskap av behörig myndighet enligt den lagen. Behörig myndighet definieras som en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Det bör av bestämmelserna om tillämpningsområdet i respektive register- författning framgå att författningen endast är tillämplig när myndigheten agerar i egenskap av behörig myndighet. Hur förhåller sig brottsdatalagens och registerförfattningarnas tillämpningsområden till varandra? Den nya regleringens struktur innebär att brottsdatalagen, som ska tillämpas i hela rättskedjan, bildar den yttre ramen för regleringen och att registerförfattningarna inskränker rätten att behandla personuppgifter till behandling i vissa syften i respektive verksamhet. Registerförfattning- arnas tillämpningsområden kommer alltså att vara snävare än brottsdata- 2017/18:269 lagens. Som exempel kan nämnas att tillämpningsområdet för flertalet registerförfattningar inte omfattar behandling av personuppgifter i syfte att verkställa påföljder eller upprätthålla allmän ordning och säkerhet. Registerförfattningarna kommer inom sitt respektive tillämpningsom- råde att gälla utöver brottsdatalagen. Det innebär att de kommer att inne- hålla undantag, avvikelser och preciseringar i förhållande till brottsdata- lagen. Regleringens struktur medför att registerförfattningarna måste läsas tillsammans med brottsdatalagen. En annan utgångspunkt bör vara att en myndighets registerförfattning ska reglera all myndighetens personuppgiftsbehandling inom brottsdata- lagens tillämpningsområde. regleras dock framför allt Polismyn- dighetens personuppgiftsbehandling inom brottsdatalagens tillämpnings- område i flera olika författningar, vilket framgår av 1 kap. 3 § polisdata- lagen. Det kommer inte heller i fortsättningen alltid att vara möjligt att i en och samma författning reglera all myndighetens personuppgiftsbe- handling. Det bör i så stor utsträckning som möjligt framgå av respektive registerförfattning när det finns annan sådan reglering inom brottsdata- lagens tillämpningsområde som ersätter bestämmelserna i registerförfatt- ningen. 4.6Ska registerförfattningarna reglera vissa frågor som inte rör dataskydd? Regeringens förslag: De nya registerförfattningarna ska innehålla sekretessbrytande bestämmelser. De ska också reglera på vilket sätt personuppgifter får lämnas ut och stadga en viss föreskriftsrätt som inte direkt rör tillämpningsområdet. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag: Registerförfattningarna innehåller inte bara dataskyddsbestämmelser utan också vissa andra be- stämmelser som har nära samband med dataskyddsregleringen. En första kategori är de sekretessbrytande bestämmelser som finns i flertalet registerförfattningar. Vissa sekretessbrytande bestämmelser har tillkommit för att det ska vara möjligt att medge direktåtkomst till per- sonuppgifter medan andra har till syfte att bryta sekretessen för visst informationsutbyte, t.ex. med och Europol. De sekretessbrytande bestämmelserna har ett så nära samband med personuppgiftsbehand- lingen att de har en naturlig plats i registerförfattningarna. Det är också svårt att se att de skulle kunna placeras i någon annan författning. De bör därför föras över till de nya lagarna. Sekretessbrytande bestämmelser finns också i offentlighets- och sekretesslagen (2009:400) och i andra författningar som ska tillämpas av de behöriga myndigheterna. Bestämmelserna i registerförfattningarna reglerar alltså inte uttömmande när sekretessen bryts. Den andra kategorin är de bestämmelser som reglerar på vilket sätt som personuppgifter får lämnas ut. Exempelvis finns det i flertalet regis- terförfattningar en bestämmelse som föreskriver att endast enstaka per- sonuppgifter får lämnas ut på medium för automatiserad behandling. 2017/18:269 Även dessa bestämmelser måste anses ha sin naturliga plats i registerför- De medverkar dessutom indirekt till dataskyddet, eftersom de begränsar möjligheten att lämna ut personuppgifter elektroniskt. Den tredje kategorin är de bestämmelser som upplyser om att regering- en eller den myndighet som regeringen bestämmer kan meddela före- skrifter om att personuppgifter får behandlas för historiska, statistiska eller vetenskapliga ändamål och om digital arkivering. Även sådana bestämmelser bör föras över till de nya lagarna. Genom att dessa frågor även i fortsättningen regleras i registerförfatt- ningarna kan också den nuvarande strukturen behållas så långt möjligt. 5.1Liknande behov av förändringar , , , Kustbe- vakningen, och har registerförfattningar som är uppbyggda på samma sätt. Det är framför allt de inledande kapitlen i registerförfattningarna som har ett till stor del likartat innehåll. Eftersom registerförfattningarna har betydande likheter är behovet av förändringar i de nya registerförfattningarna i stor utsträckning desamma. Det finns därför anledning att i detta avsnitt behandla de förändringar som är desamma för alla eller ett flertal av registerförfattningarna. Kriminalvårdens registerlagstiftning skiljer sig till stora delar från övriga registerförfattningar, men även den innehåller vissa bestämmelser som liknar dem som finns i de övriga registerförfattningarna. När så är fallet behandlas även kriminalvårdens bestämmelser i detta avsnitt. Domstolarnas registerlagstiftning behandlas i avsnitt 12. 5.2En ny lagteknisk struktur Regeringens förslag: De nya registerförfattningarna ska gälla utöver brottsdatalagen. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: tillstyrker förslaget att register- författningarna bör gälla utöver brottsdatalagen. advokatsam- fund ansluter sig till bedömningen att vald lagteknisk modell ställer sär- skilda krav på tillämparen. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Polisdatalagen, kustbevaknings- datalagen, åklagardatalagen, tullbrottsdatalagen och skattebrottsdatalagen gäller i stället för personuppgiftslagen (se exempelvis 2 kap. 1 § polisda- talagen). Lagen om behandling av personuppgifter inom kriminalvården har en annan struktur. I 2 § föreskrivs att om inte annat följer av lagen 2017/18:269 eller föreskrifter som har meddelats med stöd av den så tillämpas person- uppgiftslagen. Brottsdatalagen är till skillnad från personuppgiftslagen anpassad till de brottsbekämpande myndigheternas verksamhet. I förhållande till brottsdatalagen bör de nya registerförfattningarna endast innehålla de bestämmelser som krävs för att regleringen ska passa för respektive myndighets verksamhet. Registerförfattningarna bör därför utformas så att de gäller utöver brottsdatalagen. I brottsdatalagen finns alla grundläggande bestämmelser om hur per- sonuppgifter får behandlas. Där regleras också den personuppgiftsan- svariges skyldigheter, enskildas rättigheter och tillsynen över personupp- giftsbehandling. Brottsdatalagen innehåller vidare bestämmelser om administrativa sanktionsavgifter, skadestånd och överklagande. Där anges också vad som gäller för överföring av personuppgifter till tredjeland. Att de nya registerförfattningarna föreslås gälla utöver brottsdatalagen innebär att de framför allt bör innehålla bestämmelser som innebär preciseringar, undantag eller avvikelser från bestämmelserna i brottsdatalagen. I den mån en fråga regleras i brottsdatalagen men inte i registerförfattningen ska alltså brottsdatalagen tillämpas. Det innebär vidare att de bestämmelser som finns i registerförfattningarna ska läsas tillsammans med regleringen i brottsdatalagen. Det kan vara fråga om bestämmelser som t.ex. preciserar vilka särskilda krav som gäller vid behandling av en viss typ av personuppgifter eller hur länge en viss typ av personuppgifter får behandlas. Det kan även finnas bestämmelser som inskränker möjlighe- ten att behandla vissa personuppgifter. En konsekvens av att en register- författning gäller utöver brottsdatalagen är att tillämparen inte kan nöja sig med att ta del av registerförfattningens reglering utan också måste tolka bestämmelserna i registerförfattningen i ljuset av regleringen i brottsdatalagen. Om formuleringen av en bestämmelse i en registerför- fattning t.ex. medger två olika tolkningar, men bara den ena av dem är förenlig med regleringen i brottsdatalagen, så är det den tolkningen som gäller. I en författning som gäller utöver en annan upprepas inte bestämmel- serna i den överordnade författningen, utom i de fall där det är nödvän- digt för förståelsen av en bestämmelse i den förstnämnda författningen. Inte heller görs det hänvisningar till bestämmelserna i den överordnade författningen om det inte är absolut nödvändigt för sammanhanget. En författning som gäller utöver en annan ställer därför särskilda krav på tillämparen. Lagrådet anför att regelverket är svåröverskådligt eftersom vissa rättsregler utgör preciseringar av ramlagarna, andra är undantag från eller kompletterar dessa. Enligt Lagrådet framstår det som önskvärt att försöka åtgärda regelverkets strukturella utformning så att det blir klarare och mer överskådligt. Regeringen delar Lagrådets uppfattning att regelverket framstår som svåröverskådligt men konstaterar att förklaringen till detta till stor del ligger i utformningen av de EU-rättsakter angående personuppgiftsbehandling som har att förhålla sig till. 5.3Bestämmelser som inte längre behövs 5.3.1Undantag från viss informationsskyldighet Regeringens bedömning: Det behövs inga undantag från informationsskyldigheten vid behandling av personuppgifter i ljud- eller bildupptagningar eller i samband med larm i de nya registerförfattningarna. Utredningens bedömning överensstämmer i sak med regeringens. Remissinstanserna: påpekar att det finns situationer då en fotograferad person, som förekommer i en upptagning som har tillkommit i annat syfte än att samla in personuppgifter om honom eller henne, är så pass utpekad eller i en sådan utsatt situation att det kan finnas en skyldighet att informera enligt 4 kap. 2 § brottsdata- lagen. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens bedömning: Enligt 23 § personuppgiftslagen ska den personuppgiftsansvarige självmant informera den registrerade om behandling av personuppgifter som samlas in från den registrerade själv. I 2 kap. 2 § tredje stycket polisdatalagen, 2 kap. 2 § tredje stycket kustbevakningsdatalagen och 2 kap. 2 § tredje stycket tullbrottsdatalagen görs undantag från den informationsskyldigheten vid behandling av per- sonuppgifter genom bilder eller ljud och i samband med larm, om det med hänsyn till omständigheterna inte finns tid att informera. Motsva- rande undantag för behandling genom bilder eller ljud görs i 2 kap. 2 § tredje stycket skattebrottsdatalagen. I brottsdatalagen finns ingen skyldighet att självmant informera den registrerade som helt motsvarar 23 § personuppgiftslagen. I 4 kap. 1 § brottsdatalagen föreskrivs att den personuppgiftsansvarige ska göra viss allmän information tillgänglig, exempelvis via den personuppgifts- ansvariges webbplats. I 4 kap. 2 § samma lag föreskrivs att den registre- rade i specifika fall ska informeras om det behövs för att han eller hon ska kunna ta tillvara sina rättigheter. Därutöver ska den personuppgifts- ansvarige enligt 4 kap. 3 § brottsdatalagen till den som begär det utan onödigt dröjsmål lämna skriftligt besked om personuppgifter som rör honom eller henne behandlas. Den enda bestämmelse i brottsdatalagen som föreskriver en direkt skyldighet att självmant informera den registre- rade är alltså 4 kap. 2 § som rör information i specifika fall. Sådana spe- cifika fall kan exempelvis föreligga om den enskilde riskerar att lida någon rättsförlust, t.ex. om känsliga personuppgifter har behandlats på ett otillåtet sätt (se prop. 2017/18:232 s 226 f.). Informationsskyldigheten enligt 4 kap. 2 och 3 §§ brottsdatalagen be- gränsas i 4 kap. 5 § brottsdatalagen. I den sistnämnda paragrafen anges att informationsskyldigheten inte gäller i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut av hänsyn till intresset av att t.ex. förebygga brott. När det gäller informationsskyldighet vid behandling av personuppgif- ter vid ljud- och bildupptagningar kan inledningsvis konstateras att om en person t.ex. fångas på bild som en följd av att han eller hon kamera- övervakas enligt bestämmelser i eller i underrättelse- 2017/18:269 verksamhet gäller normalt sett sekretess enligt 18 kap. 1 eller 2 §§ offent- lighets- och sekretesslagen. Någon skyldighet finns då inte enligt brotts- datalagen att informera personen om att uppgifterna behandlas. Det kan emellertid uppstå situationer då en person fångas på en ljud- eller bild- upptagning som inte i sin helhet omfattas av sekretess, exempelvis då en förbipasserande person syns på bilder från en brottsplats eller då polisen öppet dokumenterar ett visst händelseförlopp på grund av oroligheter i samband med en fotbollsmatch eller en demonstration. I dessa fall rör det sig om upptagningar som har tillkommit i annat syfte än att samla in personuppgifter om den berörda personen och personens identitet är som regel okänd. För det fall identiteten är känd, och personen därmed i och för sig skulle kunna informeras om att hans eller hennes personuppgifter behandlas på aktuellt sätt, kan det ifrågasättas vilket värde informationen skulle ha för den enskilde. Under angivna förutsättningar är det svårt att se att personen i fråga skulle riskera att lida någon rättsförlust av behand- lingen och alltså föreligger inte heller något sådant specifikt fall som aktualiserar informationsskyldighet. har påpekat skulle det kunna uppkomma situationer då en fotograferad eller filmad person, som förekommer i en upptagning som har tillkommit i annat syfte än att samla in personuppgifter om honom eller henne, är så pass utpekad eller utsatt att det finns en skyldighet att informera enligt 4 kap. 2 § brottsdatalagen. Sådana situationer bör dock endast komma att uppstå undantagsvis. Utgångspunkten måste i stället vara att någon informationsskyldighet som regel inte uppkommer gentemot exempelvis förbipasserande på ljud- och bildupptagningar. Även i fråga om information som lämnas av registrerade i samband med larm är det svårt att se att de som larmar skulle lida någon rättsför- lust av behandlingen och att det skulle föreligga något sådant specifikt fall som aktualiserar informationsskyldighet. De som larmar får anses känna till att deras personuppgifter registreras genom ljudupptagning. Det innebär att det inte behövs någon information för att de registrerade ska kunna ta tillvara sina rättigheter. Mot bakgrund av vad som anförts ovan bedöms att några undantag från informationsskyldigheten vid behandling av personuppgifter i ljud- eller bildupptagningar och i samband med larm inte behöver införas i de nya registerförfattningarna. Regeringens bedömning: Det behövs inga bestämmelser som beskriver syftet med de nya registerförfattningarna. Utredningens bedömning överensstämmer i sak med regeringens. Remissinstanserna: har inget emot att bestämmel- serna tas bort men betonar att det är viktigt att det framgår att intresset av att skydda den enskildes integritet och intresset av effektiviteten i poli- sens verksamhet är jämbördiga intressen. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens bedömning: Enligt 1 kap. 1 § första stycket Prop. 2017/18:269 brottsdatalagen är syftet med lagen dels att skydda fysiska personers grundläggande fri- och rättigheter i samband med behandling av person- uppgifter, dels att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt. Regle- ringen ger uttryck för att det ska gälla en väl avvägd balans mellan, å ena sidan, skyddet för den personliga integriteten, och, å andra sidan, sam- hällets behov av att myndigheter kan behandla personuppgifter i den verksamhet som omfattas av direktivets tillämpningsområde (se prop. 2017/18:232 s. 82). I 1 kap. 1 § polisdatalagen, 1 kap. 1 § kustbevakningsdatalagen, 1 kap. 1 § åklagardatalagen, 1 kap. 1 § tullbrottsdatalagen och 1 kap. 1 § skatte- brottsdatalagen anges det övergripande syftet med respektive lag. Exem- pelvis anges i 1 kap. 1 § polisdatalagen att syftet med lagen är att ge bl.a. möjlighet att behandla personuppgifter på ett ända- målsenligt sätt i sin brottsbekämpande verksamhet och skydda människor mot att deras personliga integritet kränks vid sådan behandling. Brottsda- talagen kommer att tillämpas av alla myndigheter som behandlar person- uppgifter inom lagens tillämpningsområde och registerförfattningarna ska läsas tillsammans med brottsdatalagen. Den dubbla målsättningen med brottsdatalagen – att stärka integritetsskyddet och att värna om att behöriga myndigheter kan behandla personuppgifter på ett ända- målsenligt sätt – gäller således oavsett om det är t.ex. eller som behandlar personuppgifter. Det finns då inte skäl att införa bestämmelser i de nya registerförfattningarna som anger att syftet med lagen i stort sett är detsamma som det övergripande syftet med brottsdatalagen. Det finns inte heller skäl att väga eller särskilt ange förhållandet mellan de dubbla syftena i registerförfattningarna utöver vad som framgår av brottsdatalagen. Att syftet inte framgår direkt av var och en av registerförfattningarna innebär inte att integritetsskyddet försvagas. 5.3.3Behandling av känsliga personuppgifter Regeringens bedömning: Det behövs inga generella bestämmelser i de nya registerförfattningarna om behandling av känsliga personuppgifter och användning av känsliga personuppgifter som sökbegrepp. Det behövs inte heller bestämmelser om att uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Utredningens bedömning överensstämmer i sak med regeringens. Remissinstanserna: Datainspektionen tillstyrker utredningens förslag till systematik men framhåller att det är viktigt att förslaget inte innebär en försämring av skyddet för den personliga integriteten vid behandling av känsliga personuppgifter. Inspektionen påpekar bl.a. att de generella bestämmelserna i brottsdatalagen om behandling av känsliga personupp- gifter därför måste analyseras tillsammans med de eventuella avvikelser, t.ex. avseende sökförbudet, som föreslås för respektive registerförfatt- ning. Övriga remissinstanser yttrar sig inte särskilt över förslaget. 2017/18:269 Skälen för regeringens bedömning I 2 kap. 11 och 12 §§ brottsdatalagen finns det bestämmelser om känsliga personuppgifter. I 2 kap. 11 § föreskrivs att personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sex- uell läggning inte får behandlas.