prop · H503232 · 2018-04-19 00:00:00 — –vara korrekta och, om nödvändigt, uppdaterade, –inte möjliggöra identifiering av den registrerade än nödvändigt, och –behandlas på ett sätt som säkerställer säkerheten för uppgifterna. Behandling för något annat ändamål som anges i artikel 1.1 än det för vilket uppgifterna samlades in är tillåten om den personuppgiftsansvarige har rätt att behandla personuppgifter för ett sådant ändamål och behand- lingen är nödvändig och står i proportion till det nya ändamålet. Behand- lingen kan inkludera arkivändamål som är av allmänt intresse och veten- skaplig, statistisk eller historisk användning för de ändamål som anges i artikel 1.1, om det finns lämpliga skyddsåtgärder. Enligt artikel 5 ska lämpliga tidsgränser föreskrivas för när personupp- gifter ska raderas eller för regelbunden översyn av behovet av att lagra sådana uppgifter. Det ska finnas regler för att säkerställa att tidsgränserna hålls. Enligt artikel 6 ska den personuppgiftsansvarige så långt möjligt göra åtskillnad mellan personuppgifter som rör olika kategorier av registre- rade, som misstänkta, dömda, brottsoffer och andra som berörs av brott, exempelvis personer som kan komma att kallas som vittnen. I artikel 7 föreskrivs att åtskillnad så långt möjligt ska göras mellan personuppgifter som grundar sig på fakta och uppgifter som grundar sig på personliga bedömningar. Behöriga myndigheter ska vidta alla rimliga åtgärder för att se till att personuppgifter som är felaktiga, ofullständiga eller inaktuella inte överförs eller görs tillgängliga. Om felaktiga person- uppgifter har överförts eller personuppgifter överförts olagligen ska mot- tagaren underrättas om det. I sådana fall ska personuppgif- terna rättas eller raderas eller behandlingen av dem begränsas. Enligt artikel 8 är behandling laglig endast om och i den utsträckning behandlingen är nödvändig för att behöriga myndigheter ska kunna ut- föra sådana uppgifter som anges i artikel 1.1 och som grundas på unions- rätt eller nationell rätt. Den nationella rätten ska åtminstone specificera syftet med behandlingen, vilka personuppgifter som ska behandlas och ändamålet med behandlingen. I artikel 9 föreskrivs att personuppgifter som samlats in för något av de i direktivet angivna ändamålen inte får behandlas för något annat ända- mål om inte sådan behandling är tillåten enligt unionsrätten eller natio- nell rätt. När personuppgifter behandlas för andra ändamål än dem som anges i artikel 1.1 ska dataskyddsförordningen tillämpas, såvida inte be- handlingen utförs som ett led i en verksamhet som inte omfattas av unionsrätten. Om de behöriga myndigheterna har andra uppgifter än dem som anges i artikel 1.1, ska dataskyddsförordningen tillämpas på behand- ling för sådana ändamål. Det gäller även behandling för arkivändamål som är av allmänt intresse eller för statistiska, historiska eller vetenskap- liga ändamål. I artikeln anges också vad som gäller för överföring av uppgifter för behandling för andra ändamål. Artikel 10 reglerar behandling av det som brukar kallas känsliga per- sonuppgifter. Med det avses uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Regleringen omfattar även behandling av genetiska uppgif- ter, biometriska uppgifter i identifieringssyfte eller uppgifter om hälsa, sexualliv eller sexuell läggning. Behandling av sådana uppgifter är bara tillåten om den är absolut nödvändig, det finns tillräckliga skyddsåt- gärder och behandlingen är tillåten enligt unionsrätt eller nationell rätt för att skydda intressen som är av grundläggande betydelse för den regi- strerade eller en annan fysisk person eller om det är fråga om uppgifter som den registrerade själv har offentliggjort. I artikel 11 förbjuds att beslut, som har negativa rättsverkningar eller i betydande grad påverkar den registrerade, fattas om de enbart grundas på automatiserad behandling, såvida inte de är tillåtna enligt unionsrätten eller nationell rätt och det finns lämpliga skyddsåtgärder. Profilering som leder till diskriminering på grundval av känsliga personuppgifter ska för- bjudas. Artiklarna 12–18: Den registrerades rättigheter Enligt artikel 12 ska den personuppgiftsansvarige utan kostnad lämna den registrerade information om hans eller hennes rättigheter. Informa- tionen ska vara koncis, lättillgänglig och språkligt lättfattlig. Den person- uppgiftsansvarige ska utan onödigt dröjsmål skriftligen besvara en begä- ran från den registrerade om information om hur hans eller hennes personuppgifter behandlas. Om en registrerads begäran är uppenbart ogrundad eller orimlig får den personuppgiftsansvarige antingen ta ut en avgift eller vägra tillmötesgå begäran. I artikel 13 anges vilken information som alltid måste göras tillgänglig för den registrerade. Det är den personuppgiftsansvariges identitet och kontaktuppgifter, dataskyddsombudets kontaktuppgifter, ändamålen med den avsedda behandlingen, rätten att klaga till en tillsynsmyndighet och dess kontaktuppgifter och rätten att begära att få del av personuppgifter, rättelse, radering eller begränsning av behandlingen. Därutöver ska den personuppgiftsansvarige i specifika fall lämna viss annan information för att göra det möjligt för den registrerade att utöva sina rättigheter. Artikel 14 behandlar den registrerades rätt till tillgång till personupp- gifter. Om inte annat sägs i artikel 15 ska den registrerade ha rätt att av den personuppgiftsansvarige få bekräftelse på om personuppgifter som rör honom eller henne behandlas och, om så är fallet, få tillgång till per- sonuppgifterna och följande information: –ändamålen med behandlingen och den rättsliga grunden, –vilka kategorier av personuppgifter som behandlas, –vilka mottagare eller kategorier av mottagare som har fått personupp- gifterna, –hur länge uppgifterna kommer att lagras eller, om det inte är möjligt, kriterierna för att fastställa lagringstiden, –rätten att begära rättelse, radering eller begränsning av behandlingen, och –rätten att klaga hos en tillsynsmyndighet och dess kontaktuppgifter. Enligt artikel 15 får medlemsstaterna genom lagstiftning, så länge åtgär- den är nödvändig och proportionell, helt eller delvis begränsa den regi- strerades rätt till tillgång till personuppgifter och information i syfte att undvika att förundersökningar och andra utredningar eller förfaranden, brottsbekämpande åtgärder, lagföring eller verkställighet av straffrätts- liga påföljder försvåras eller i syfte att skydda allmän säkerhet, nationell säkerhet eller andra personers rättigheter och friheter. Artikel 16 behandlar rätten till rättelse eller radering av personuppgifter eller begränsning av behandlingen och vilka skyldigheter den personupp- giftsansvarige har i sådana frågor. Den registrerade ska ha rätt att utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade. Med beaktande av ändamålet med behandlingen ska den registre- rade även kunna få ofullständiga personuppgifter kompletterade. I vissa fall ska den registrerade även ha rätt att få personuppgifter raderade. I stället för att radera personuppgifterna ska den personuppgiftsansvarige i vissa fall begränsa behandlingen av uppgifterna. Enligt artikel 17 ska den registrerades rättigheter även kunna utövas genom den behöriga tillsynsmyndigheten om tillgången till information har begränsats. I artikel 18 öppnas möjlighet att föreskriva att rätten till information, tillgång till uppgifter, rättelse, radering och begränsning av behandling ska utövas enligt nationell rätt om personuppgifterna ingår i ett dom- stolsbeslut eller ett rättsligt protokoll eller ärende som behandlas i sam- band med brottsutredning och straffrättsliga förfaranden. Av skäl 107 framgår att direktivet inte hindrar att det i nationell straff- processlagstiftning finns bestämmelser om den registrerades rätt till in- formation, tillgång till och rättelse eller radering av personuppgifter och begränsning av behandling i samband med straffrättsliga förfaranden och begränsningar i dessa rättigheter. Artiklarna 19–28: Personuppgiftsansvarig och personuppgiftsbiträde Den personuppgiftsansvarige ska enligt artikel 19 vidta lämpliga tekni- ska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av personuppgifter utförs i enlighet med direktivet. Artikel 20 behandlar inbyggt dataskydd och dataskydd som standard. Artikel 21 öppnar en möjlighet att låta två eller flera personuppgifts- ansvariga ha gemensamt personuppgiftsansvar för ett register. I artikel 22 regleras vilka krav som ställs när en personuppgiftsansva- rig anlitar ett personuppgiftsbiträde. Som huvudregel får ett personupp- giftsbiträde enligt artikel 23 bara behandla uppgifter enligt instruktioner från den personuppgiftsansvarige. Artikel 24 innehåller detaljerade regler om personuppgiftsansvarigas skyldighet att föra register över olika typer av behandlingar. I artikel 25 ställs krav på att det ska finnas loggar över olika typer av behandling i automatiserade behandlingssystem. Registren och loggarna ska på begä- ran göras tillgängliga för tillsynsmyndigheten. Enligt artikel 26 ska personuppgiftsansvariga och personuppgiftsbiträ- den på begäran samarbeta med tillsynsmyndigheten. I artikel 27 ställs krav på att den personuppgiftsansvarige gör en för- handsbedömning av behandlingens konsekvenser för skyddet av person- uppgifter när det gäller en ny typ av behandling som sannolikt leder till hög risk för fysiska personers rättigheter och friheter. Artikel 28 ställer krav på att den personuppgiftsansvarige under vissa förutsättningar ska samråda med tillsynsmyndigheten innan nya register inrättas. Artiklarna 29–31: Säkerhet för personuppgifter Artikel 29 innehåller krav på säkerhet i samband med behandlingen av personuppgifter. Den personuppgiftsansvarige och personuppgiftsbiträdet ska – med beaktande av bl.a. kostnaderna och behandlingens art, omfatt- ning och ändamål – vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa lämplig säkerhetsnivå. Säkerheten ska omfatta åtkomst- skydd för utrustning, kontroll av datamedier, lagringskontroll, användar- kontroll, åtkomstkontroll, kommunikationskontroll, indatakontroll, tran- sportkontroll, återställande, driftsäkerhet och dataintegritet. I artikel 30 regleras den personuppgiftsansvariges skyldigheter om det inträffar en personuppgiftsincident. En sådan ska anmälas till tillsyns- myndigheten utan dröjsmål och enligt huvudregeln senast efter att den personuppgiftsansvarige har fått kännedom om incidenten. I artikeln anges också vad en sådan anmälan ska innehålla och vilken dokumentation om incidenten som krävs. Artikel 31 innehåller regler om information till den registrerade om en personuppgiftsincident och i vilka fall det inte krävs någon sådan infor- mation. Artiklarna 32–34: Dataskyddsombud Enligt artikel 32 ska den personuppgiftsansvarige utnämna ett data- skyddsombud. Undantag får göras för domstolars och andra oberoende rättsliga myndigheters dömande verksamhet. Flera myndigheter får ha samma dataskyddsombud. Ombudets kontaktuppgifter ska dels offentlig- göras, dels meddelas till tillsynsmyndigheten. Enligt artikel 33 ska den personuppgiftsansvarige säkerställa att data- skyddsombudet kan delta i frågor som rör skyddet av personuppgifter och stödja dataskyddsombudet i hans eller hennes uppgifter. Dataskyddsombudets uppgifter anges i artikel 34. I uppgifterna ingår bl.a. att informera och ge råd till den personuppgiftsansvarige och de anställda som behandlar personuppgifter, att övervaka att direktivet efter- levs och att samarbeta med och vara en kontaktpunkt för tillsynsmyndig- heten. Artiklarna 35–40: Överföring av personuppgifter till tredjeländer eller internationella organisationer I artikel 35 anges allmänna principer för överföring av personuppgifter till tredjeland och internationella organisationer. Där föreskrivs bl.a. att överföringen ska vara nödvändig för något av de ändamål som anges i artikel 1.1 och att den ska riktas till en personuppgiftsansvarig i ett tredjeland eller en internationell organisation som är behörig för sådana ändamål. Om uppgifterna kommer från en annan medlemsstat ska den enligt huvudregeln ge förhandstillstånd till överföringen. Artikel 36 reglerar överföring till mottagare i tredjeland eller internatio- nella organisationer som enligt kommissionens beslut har en adekvat skyddsnivå. Sådana överföringar kräver inte särskilt tillstånd. Även om det inte finns något beslut om en adekvat skyddsnivå får, en- ligt artikel 37, uppgifter överföras till mottagare i ett tredjeland eller en internationell organisation om lämpliga skyddsåtgärder kan säkerställas i ett enskilt fall. I artikel 38 görs också undantag för överföring i särskilda situationer, bl.a. för att avvärja en omedelbar och allvarlig fara för den allmänna säkerheten i en medlemsstat eller ett tredjeland. Artikel 39 reglerar överföring direkt till vissa mottagare som inte är be- höriga myndigheter. Kommissionen och medlemsstaterna åläggs i artikel 40 att bl.a. utveck- la rutiner för det internationella samarbetet för att underlätta en effektiv tillämpning av lagstiftningen om skydd för personuppgifter och att också erbjuda bistånd till tredjeland och internationella organisationer i det syftet. Artiklarna 41–51: Oberoende tillsynsmyndigheter Enligt artikel 41 ska varje medlemsstat utse en eller flera myndigheter som ska vara ansvariga för att övervaka tillämpningen av direktivet. Samma myndighet som har utsetts till tillsynsmyndighet enligt data- skyddsförordningen får utses att vara tillsynsmyndighet enligt direktivet. ska enligt artikel 42 vara fullständigt oberoende när den utför sina uppgifter och utövar sina befogenheter enligt direkti- vet. I artikeln utvecklas vilka krav som ska vara uppfyllda för att myn- digheten ska anses vara oberoende. De som ska leda tillsynsmyndigheten ska enligt artikel 43 utses genom ett öppet förfarande av parlamentet, regeringen, statschefen eller ett obe- roende organ. I artikeln anges också i vilka situationer de som ska leda myndigheten ska lämna sina uppdrag eller avsättas. Enligt artikel 44 ska inrättandet av myndigheten och regler och förfa- randen för bl.a. tillsättning av dem som ska leda myndigheten föreskrivas i författning. och dess personal, inkluderande de som ska leda myndigheten, ska ha tystnadsplikt. behörighet regleras i artikel 45. Tillsynsmyndig- heten ska utföra de uppgifter och ha de behörigheter som framgår av direktivet. Tillsynen ska dock inte omfatta tillsyn över domstolarna i deras dömande verksamhet. Medlemsstaterna får undanta även andra oberoende rättsliga myndigheter som behandlar personuppgifter inom ramen för sin rättsliga verksamhet från tillsyn. uppgifter räknas upp i artikel 46. Till uppgift- erna hör bl.a. att övervaka tillämpningen av de bestämmelser som antas i enlighet med direktivet, att ge råd till lagstiftande organ i frågor som rör personuppgiftsbehandling, att på begäran ge registrerade information om hur de ska kunna utöva sina rättigheter enligt direktivet och att avgifts- fritt behandla klagomål från registrerade. Om en begäran är uppenbart ogrundad eller orimlig får dock tillsynsmyndigheten ta ut avgift eller vägra att tillmötesgå begäran. befogenheter anges i artikel 47. Tillsynsmyndig- heten ska ha rätt att från den personuppgiftsansvarige och personupp- giftsbiträdet få tillgång till alla personuppgifter som behandlas och få all information som myndigheten behöver för att kunna fullgöra sina uppgif- ter. ska vidare ha effektiva korrigerande befogen- heter t.ex. att kunna varna den personuppgiftsansvarige eller personupp- giftsbiträdet om att planerade behandlingar kan stå i strid med de bestäm- melser som genomför direktivet och kunna beordra rättelse, radering eller begränsning av behandlingen eller förbjuda den. Tillsynsmyn- digheten ska också ha rätt att anmäla överträdelser till rättsliga myndig- heter. De behöriga myndigheterna ska enligt artikel 48 ha effektiva mekanis- mer för att rapportera överträdelser av direktivet. ska enligt artikel 49 upprätta en årlig rapport om sin verksamhet. Rapporten ska överlämnas till parlamentet, regeringen 2017/18:232 och andra myndigheter som anges i nationell rätt. Den ska också göras tillgänglig för bl.a. allmänheten och kommissionen. Tillsynsmyndigheterna ska enligt artikel 50 utbyta information med och ge varandra ömsesidigt bistånd. Varje tillsynsmyndighet ska kunna besvara en begäran från en annan tillsynsmyndighet utan onödigt dröjs- mål och senast inom en månad och får bara vägra att tillmötesgå en begä- ran om myndigheten inte är behörig eller det skulle stå i strid med direk- tivet, unionsrätt eller nationell rätt. Kommissionen får genom genomfö- randeakter ange formerna för ömsesidigt bistånd. I artikel 51 anges vilka uppgifter den styrelse som inrättats genom dataskyddsförordningen ska ha när det gäller behandling av personupp- gifter enligt direktivet. Artiklarna 52–57: Rättsmedel, ansvar och sanktioner Artikel 52 reglerar rätten för registrerade att lämna in klagomål över per- sonuppgiftsbehandling till en tillsynsmyndighet. Har klagomålet lämnats till fel myndighet ska den utan dröjsmål överlämna klagomålet till rätt myndighet. Den registrerade ska underrättas om handläggningen av kla- gomålet och vad det resulterar i. I artikel 53 föreskrivs att en fysisk eller juridisk person har rätt till effektivt rättsmedel mot en tillsynsmyndighets beslut som är rättsligt bin- dande och avser dem. Detsamma gäller om tillsynsmyndigheten inte be- handlat ett klagomål eller inte informerat den registre- rade enligt artikel 52. Rätten till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde regleras i artikel 54. Enligt artikel 55 ska den registrerade ha rätt att ge ett organ, en organi- sation eller en sammanslutning i uppdrag att ge in klagomål och att låta den utöva de rättigheter som anges i artiklarna 52–54 för hans eller hen- nes räkning. Den som lidit skada till följd av olaglig behandling av personuppgifter eller någon annan åtgärd som står i strid med de bestämmelser som genomför direktivet ska enligt artikel 56 ha rätt till ersättning från den personuppgiftsansvarige eller annan myndighet som är behörig enligt nationell rätt. Artikel 57 ställer krav på att det finns sanktioner för överträdelser av de bestämmelser som genomför direktivet. Sanktionerna ska vara effektiva, proportionella och avskräckande. Artikel 58: Genomförandeakter Artikel 58 reglerar kommissionens kommittéförfarande. Artiklarna 59–65: Slutbestämmelser Enligt artikel 59 upphävs dataskyddsrambeslutet. I artikel 60 slås fast att direktivet inte påverkar särskilda bestämmelser om skydd av personuppgifter i gällande unionsrättsakter på området för straffrättsligt samarbete och polissamarbete och i artikel 61 regleras för- hållandet till tidigare ingångna avtal på området för straffrättsligt sam- arbete och polissamarbete. Artikel 62 reglerar kommissionens skyldighet att senast efter Prop. 2017/18:232 ikraftträdandet och därefter utvärdera direktivet. I artikel 63 föreskrivs att medlemsstaterna ska ha införlivat direktivet . Medlemsstaterna får dock i undantagsfall före- skriva att datasystem som inrättats före ikraftträdandet ska stå i överens- stämmelse med bestämmelsen om loggning i direktivet . Under exceptionella omständigheter kan tiden förlängas ytterligare i högst . Av artikel 64 framgår att direktivet träder i kraft dagen efter att det har offentliggjorts i EU:s officiella tidning och enligt artikel 65 riktar sig direktivet till medlemsstaterna. 6En ny ramlag och dess tillämpningsområde 6.1En ramlag för personuppgiftsbehandling vid brottsbekämpning, lagföring och straffverkställighet bör införas 6.1.1En ny reglering behövs Regeringens bedömning: Det behövs en ny reglering för att genom- föra dataskyddsdirektivet i svensk rätt. Regleringen ska ha lagform. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Remissinstanserna delar utredningens bedömning eller har inget att invända mot den. Skälen för regeringens bedömning: dataskyddsdirektiv – som upphör att gälla när dataskyddsförordningen börjar tillämpas – har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204). Personuppgiftslagen har gjorts generellt tillämplig, vilket innebär att den gäller även utanför tillämpningsområde och reglerar behandling av personuppgifter oavsett ändamålet med behand- lingen. Lagen gäller således även för verksamheter som omfattas av det nya dataskyddsdirektivet. Personuppgiftslagen är subsidiär i förhållande till andra lagar och för- ordningar. Inom flera områden finns det särregler i registerförfattningar som helt eller delvis ersätter personuppgiftslagen. Som framgår av avsnitt 4.2–4.4 utgår registerförfattningarna när det gäller brottsbekämp- ning, lagföring och straffverkställighet från bestämmelserna i personupp- giftslagen. Antingen gäller registerförfattningarna utöver personuppgifts- lagen, och innehåller bara de bestämmelser som avviker från bestämmel- serna i den lagen, eller så gäller de i stället för personuppgiftslagen men hänvisar till de bestämmelser i den lagen som ska tillämpas. Det nya dataskyddsdirektivet ska vara genomfört i svensk rätt . Personuppgiftslagen innehåller, tillsammans med myn- digheternas registerförfattningar, bestämmelser som i stor utsträckning 2017/18:232 motsvarar de krav på reglering som direktivet ställer. När dataskyddsför- ordningen börjar tillämpas kommer personuppgifts- lagen och föreskrifter som har meddelats med stöd av den lagen att be- höva upphävas. Det regelverk som ersätter personuppgiftslagen – data- skyddsförordningen och kompletterande nationella bestämmelser – kom- mer inte att vara anpassat till de särskilda förutsättningar som gäller för personuppgiftsbehandling inom brottsbekämpning, lagföring och straff- verkställighet, eftersom sådan verksamhet är undantagen från förord- ningens tillämpningsområde. Det krävs därför en ny reglering för att genomföra direktivet. Direktivets bestämmelser är av den arten att regle- ringen lämpligen bör ha lagform (jfr Dataskydd vid europeiskt polissam- arbete och straffrättsligt samarbete, prop. 2012/13:73, s. 58). Dessutom finns de författningsbestämmelser som styr myndigheternas behandling av personuppgifter inom direktivets tillämpningsområde huvudsakligen i lag. Regeringen delar därför utredningens bedömning att den nya regleringen för att genomföra direktivet ska ha lagform. 6.1.2En generellt tillämplig men subsidiär lag Regeringens förslag: Dataskyddsdirektivet ska i huvudsak genom- föras genom en ny lag som ska vara generellt tillämplig. Särregler i annan lag eller förordning ska dock gälla framför den nya lagen. Lagen ska benämnas brottsdatalagen. Utredningens förslag överensstämmer med i sak med regeringens. Remissinstanserna: De flesta remissinstanserna är positiva till utred- ningens förslag eller har inget att invända mot det. ifråga- sätter dock nyttan med speciallagstiftningar om dataskyddsdirektivet genomförs med en generell reglering. Förvaltningsrätten i framhåller att det är önskvärt att direktivet genomförs i registerförfatt- ningar. påpekar att det är önskvärt att subsidiaritetsbe- stämmelser i ramlagen och dataskyddslagen utformas på liknande sätt. efterfrågar en spärr för att förtydliga att möj- ligheten till subsidiaritet inte gäller i den mån avvikelsen åsidosätter direktivet. Skälen för regeringens förslag I föregående avsnitt gör regeringen bedömningen att dataskyddsdirekti- vet ska genomföras genom en ny reglering i lag. Frågan är om det bör göras genom ändringar i befintlig lagstiftning, framför allt i berörda myn- digheters registerförfattningar, eller genom att det införs en helt ny lag. Den nuvarande regleringen av personuppgiftsbehandling på direktivets tillämpningsområde är komplex.