prop · H503254 · 2018-05-02 00:00:00 — Sådana automatiserade beslut som fattas inom den svenska förvaltningen är föremål för de rättssäkerhetsgarantier som uppställs i förvaltnings- lagen. Utöver de allmänna kraven på legalitet, objektivitet och proportionalitet säkerställs rätten till insyn, krav på kommunikation liksom möjligheten till ändring och rättelse av beslut samt rätten att överklaga beslut som kan antas påverka någons situation på ett inte obetydligt sätt. Genom den förvaltningsrättsliga regleringen är besluts- fattandet omgärdat av sådana skyddsåtgärder som anges i artikel 22.2 b. Skulle artikel 22 bedömas vara tillämplig också på annat automatiskt beslutsfattande än profilering, och skulle sådant beslutsfattande förekomma inom de verksamheter som omfattas av utlänningslagens tillämpningsområde, kommer det alltså att finnas författningsstöd för detta beslutsfattande. För det fall det skulle förekomma beslut som grundar sig på känsliga personuppgifter måste det anses utgöra ett sådant viktigt allmänt intresse som omnämns i artikel 22.4, att aktuella myndigheter kan bedriva sin verksamhet på ett korrekt, rättssäkert och effektivt sätt (prop. 2017/18:105 s. 83). Artikel 22.4 uppställer även krav på att lämpliga åtgärder som ska skydda den registrerades berättigade intressen har vidtagits. Detta är ett krav som får anses rikta sig direkt till 2017/18:254 den personuppgiftsansvarige och således inte i sig förutsätter några nationella lagstiftningsåtgärder. Sammanfattningsvis innebär det anförda att det inte finns skäl att ändra utlänningsdatalagen med anledning av artikel 22 i dataskydds- förordningen. Regeringens förslag: Lagändringarna ska träda i kraft . Äldre föreskrifter ska gälla för överklagande av beslut som har meddelats före ikraftträdandet. Promemorians förslag överensstämmer i huvudsak med regeringens. I promemorian föreslås ett tidigare datum för ikraftträdande. Remissinstanserna: Endast ett fåtal remissinstanser yttrar sig över förslaget. Förvaltningsrätten i anser att uttrycket äldre föreskrifter i övergångsbestämmelsen inte ger tillräcklig vägledning. Skälen för regeringens förslag Dataskyddsförordningen börjar tillämpas . ska enligt förslaget dataskyddslagen träda i kraft. I denna proposition föreslås ändringar som anpassar utlänningsdatalagen till dataskydds- förordningen och dataskyddslagen. Lagändringarna bör därför träda i kraft . De bör träda i kraft . Det följer av allmänna grundsatser att ny lagstiftning ska gälla för skadestånd med anledning av skadefall som inträffar efter ikraftträdandet, medan äldre lag ska tillämpas på skadefall som har inträffat (prop. 1972:5 s. 593). Det behövs därför inte någon övergångsbestämmelse i denna del. När det gäller överklagande av tillsynsmyndighetens och de person- uppgiftsansvariga myndigheternas beslut föreslår promemorian en övergångsbestämmelse om att äldre föreskrifter ska fortsätta att gälla för överklagande av beslut som har meddelats med stöd av de föreskrifterna. Enligt allmänna förvaltningsrättsliga principer gäller att de föreskrifter som är i kraft när prövningen hos en myndighet eller förvaltningsdomstol sker som huvudregel ska tillämpas. Detta gäller i fråga om både förfarandet och prövningen i sak och även om ett överklagat beslut har fattats före ikraftträdandet. Principen är dock inte undantagslös och det kan följa av övergångsbestämmelser eller motiven till lagstiftningen att en annan ordning är avsedd (jfr RÅ 1996 ref. 57). Enligt punkt 6 i ikraftträdande- och övergångsbestämmelserna till dataskyddslagen gäller av beslut som har av den lagen. uppfattning att samma ordning bör gälla på utlänningsdatalagens område. Det bör klargöras genom en särskild övergångsbestämmelse som anger att äldre föreskrifter fortfarande gäller för överklagande av beslut som har meddelats före ikraftträdandet. Regeringen delar inte Förvaltningsrättens i uppfattning att uttrycket äldre föreskrifter är otydligt. Förslaget innebär bl.a. att beslut som fattats av en personuppgiftsansvarig myndighet, t.ex. om rättelse enligt 28 § personuppgiftslagen, överklagas enligt de regler som gällde när beslutet fattades. Regeringens bedömning: Förslagen innebär en viss förstärkning av enskildas skydd för den personliga integriteten. Förslagen föranleder inte några kostnader för enskilda eller det Förslagen har inte någon påverkan på jämställdheten mellan män De medför inte några sociala eller miljömässiga Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har någon invändning mot promemorians bedömning. Skälen för regeringens bedömning: Inledningsvis kan det konstateras att konsekvenserna av dataskyddsförordningens direkt tillämpliga bestämmelser inte analyseras inom ramen för denna proposition. När det gäller konsekvenserna av de förslag som läggs fram i propositionen ska det först framhållas att det huvudsakliga syftet är att föreslå de anpassningar som är nödvändiga med anledning av den nya Det innebär att merparten av bestämmelserna i utlänningsdatalagen kvarstår oförändrade och att flera bestämmelser anpassas till dataskyddsförordningen utan att det sakliga innehållet förändras på ett avgörande sätt. När det gäller de registrerades rättigheter hänvisar utlänningsdatalagen till bestämmelser i person- När dataskyddsförordningen ska börja tillämpas kommer i stället en omfattande reglering av enskildas rättigheter i kapitel III i dataskyddsförordningen att bli tillämplig. Detta medför en viss förstärkning av enskildas rättigheter i förhållande till vad som Enligt artikel 23.1 i förordningen finns det en generell möjlighet att i nationell rätt begränsa tillämpningsområdet för rättigheterna. Regeringen föreslår dock endast en begränsning av rätten att invända mot sådan behandling som är tillåten enligt lagen. sammantaget att förslagen innebär en viss förstärkning av skyddet för enskildas personliga integritet. I övrigt bedöms inte förslagen ha några ekonomiska konsekvenser vare sig för det allmänna eller för enskilda. De bedöms inte heller ha någon 2017/18:254 påverkan på jämställdheten mellan kvinnor och män eller få några sociala eller miljömässiga konsekvenser. Denna lag gäller också vid behandling av personuppgifter i verksamhet som rör utlänningars inresa och vistelse i och utresa eller Paragrafen anger i vilken verksamhet hos som lagen Övervägandena finns i avsnitt 6.3.2. Ändringen innebär att avgränsningen av tillämpningsområdet avseende brottsbekämpande verksamhet tas bort. området avseende verksamhet avgränsas i stället mot brottsdatalagen i 4 c §, se författningskommentaren till den paragrafen. Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd I paragrafen, som är ny, anges lagens förhållande till EU:s dataskydds- Övervägandena finns i avsnitt 6.3.1. I paragrafen anges att lagen kompletterar dataskyddsförordningen. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat. innebär att den automatiskt är en del av den svenska rättsordningen. vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Denna lag innehåller de kompletterande bestämmelser som gäller i den verksamhet som anges i 2 och 3 §§. Hänvisningarna i lagen till dataskyddsförordningen är dynamiska, dvs. avser förordningen i den gällande lydelsen. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Paragrafen, som är ny, upplyser om hur lagen förhåller sig till lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning (dataskyddslagen) och föreskrifter som har meddelats i anslutning till den lagen. Övervägandena finns i avsnitt 6.3.1. Paragrafen klargör att dataskyddslagen och föreskrifter som har i anslutning till den lagen gäller vid behandling av personuppgifter enligt denna lag. Detta gäller dock endast om inte något Prop. 2017/18:254 annat följer av denna lag eller av föreskrifter som har meddelats i anslutning till lagen. Denna lag gäller inte vid behandling av personuppgifter som omfattas av tillämpningsområdet för brottsdatalagen (2018:000). Paragrafen, som är ny, upplyser om hur lagen förhåller sig till brottsdatalagen. Övervägandena finns i avsnitt 6.3.2. Paragrafen klargör att lagen inte gäller vid behandling av personuppgifter som omfattas av brottsdatalagens tillämpningsområde. Bestämmelsen ersätter den hittillsvarande avgränsningen mot Polis- myndighetens brottsbekämpande verksamhet i 3 §. Enligt 1 kap. 2 § brottsdatalagen gäller den lagen för behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder samt upprätthålla allmän ordning och säkerhet. Om verksamhet enligt 3 § utlänningsdatalagen sker i något av de syften som anges i 1 kap. 2 § brottsdatalagen blir alltså brottsdatalagen tillämplig. nödvändigt för myndigheten att göra en bedömning av syftet med behandlingen av personuppgifter för att avgöra vilket regelverk som ska uppgifter i samband med gränskontroll och utlänningskontroll faller under brottsdatalagens tillämpningsområde om den sker för något av de syften som anges i 1 kap. 2 § brottsdatalagen. Det kan gälla t.ex. om det i samband med sådan kontroll uppstår anledning att anta att ett brott har begåtts eller om en utlänning nekas inresa i landet på grund av att det finns risk att personen kan komma att begå brott här. med att en utlänning hålls i förvar i en kriminalvårdsanstalt eller ett häkte faller ofta utanför brottsdatalagens tillämpningsområde. placeringen kan i vissa fall bero på att exempelvis bedömt att personen utgör en fara för säkerheten i deras lokaler. Frihetsberövanden av sådana skäl innebär inte att brottsdatalagen blir Frihetsberövanden i syfte att hindra att en dömd person undandrar sig verkställighet av utvisning på grund av brott faller däremot inom brottsdatalagens tillämpningsområde. behandling som sker i samband med handräckning och transporter av utlänningar med stöd av utlänningslagen är brottsdatalagen i många fall inte tillämplig, t.ex. vid transporter till förvar och inrikes- och utrikestransporter i samband med verkställighet av utvisnings- och avvisningsbeslut. myndighetens handräckning i samband med att en utlänning utvisas på grund av brott faller däremot inom brottsdatalagens tillämpningsområde. Denna lag gäller inte när personuppgifter behandlas med stöd av 1. lagen (2000:344) om Schengens informationssystem, 2. lagen (2006:444) om passagerarregister, 3.Europaparlamentets och rådets förordning (EG) nr 810/2009 av om införande av en gemenskapskodex om viseringar (viseringskodex), eller 4.Europaparlamentets och rådets förordning (EU) nr 603/2013 av om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av förordning (EU) nr 604/2013 om kriterier och mekanismer för att avgöra vilken medlemsstat som är ansvarig för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har lämnat in i någon medlemsstat och för när medlemsstaternas brottsbekämpande myndigheter begär jämförelser med Eurodacuppgifter för brottsbekämpande ändamål, samt om ändring av förordning (EU) nr 1077/2011 om inrättande av en Europeisk byrå för den operativa förvaltningen av stora it-system inom området frihet, säkerhet och rättvisa (omarbetning). Paragrafen föreskriver vissa undantag från lagens tillämpningsområde. Övervägandena finns i avsnitt 6.3.3. I paragrafen införs en ny andra punkt som innebär att lagen inte gäller när personuppgifter behandlas med stöd av lagen om passagerarregister. Tredje punkten motsvarar gällande andra punkten. Fjärde punkten motsvarar gällande tredje punkten. När personuppgifter behandlas med stöd av och rådets förordning (EG) nr 767/2008 av om informationssystemet för viseringar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS-förordningen) ska bestämmelserna om rätten till ersättning i artikel 82 i EU:s dataskyddsförordning tillämpas om inte något annat följer av VIS-förordningen. I övrigt är denna lag inte tillämplig när person- uppgifter behandlas med stöd av VIS-förordningen. I paragrafen regleras vad som ska gälla för skadestånd när VIS- förordningen tillämpas. Paragrafen innehåller också ett undantag från lagens tillämpningsområde. Övervägandena finns i avsnitt 6.3.3. Ändringen innebär att hänvisningen till personuppgiftslagens bestämmelser om rättelse tas bort. Dataskyddsförordningens bestämmelser om rättelse (artikel 16) och radering (artikel 17) kommer i stället att vara direkt tillämpliga vid behandling av personuppgifter som sker med stöd av VIS-förordningen. Ändringen innebär också att hänvisningen till personuppgiftslagens bestämmelser om skadestånd ersätts med en hänvisning till dataskyddsförordningens bestämmelser om rätt till ersättning (artikel 82), som alltså blir tillämpliga för den behandling av personuppgifter som sker med stöd av VIS-förordningen. VIS-förordningens krets av skadeståndsberättigade är mer omfattande än dataskyddsförordningens. Om krav på ersättning framställs av någon som faller utanför bestämmelserna i dataskyddsförordningen kan en tillämpning av skadeståndslagen (1972:207) aktualiseras. Ordningen motsvarar vad som gällt i förhållande till personuppgiftslagen. Personuppgifter som behandlas enligt 11 och 12 §§ får även behandlas när det är nödvändigt för att tillhandahålla information till 1.riksdagen eller regeringen, 2.en annan myndighet eller en enskild, om uppgifterna lämnas med stöd av lag eller förordning, eller 3. en utländsk myndighet, ett EU-organ eller en mellanfolklig organisation, om Prop. 2017/18:254 utlämnandet av uppgifterna följer av medlemskap i unionen eller av uppgiftsskyldighet enligt en internationell konvention som har tillträtt eller enligt ett av godkänt avtal med främmande stat eller mellanfolklig organisation. Personuppgifter som behandlas enligt 11 och 12 §§ får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Paragrafen innehåller bestämmelser om de sekundära ändamål som personuppgifter får behandlas för. Övervägandena finns i avsnitt 6.4. Ändringarna i andra stycket innebär att personuppgifter som behandlas enligt 11 och 12 §§ även får behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Bestämmelsen är utformad i nära anslutning till artikel 5.1 b i dataskyddsförordningen och bör tolkas på samma sätt. Det innebär bl.a. att behandling av personuppgifter för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen inte ska anses vara oförenlig med de ursprungliga ändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 a–e i förordningen ska beaktas vid bedömningen om behandlingen är förenlig med insamlingsändamålen. Liksom tidigare innebär bestämmelsen också att myndigheterna får behandla personuppgifter för att tillhandahålla information för något annat ändamål än de som anges i första stycket, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får endast behandlas 1.för de ändamål som anges i 11 § 1–4 och 6 samt 13 § om uppgifterna är absolut nödvändiga för syftet med behandlingen, eller 2.i löpande text för det ändamål som anges i 12 § 2, om uppgifterna är absolut nödvändiga för att fullgöra arbetsuppgifter i sådan verksamhet som anges i 2 §. Första stycket hindrar inte att känsliga personuppgifter behandlas med stöd av 15 §. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela 1.ytterligare föreskrifter om inskränkningar av möjligheten att behandla känsliga personuppgifter, och 2.föreskrifter om gallring. Paragrafen, som tidigare hade beteckningen 15 §, reglerar behandling av Övervägandena finns i avsnitt 6.5. I första stycket ersätts hänvisningen till 13 § personuppgiftslagen med en hänvisning till artikel 9.1 i dataskyddsförordningen. personuppgifter som avses i artikeln är uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i en fackförening, genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. Ändringen innebär att bestämmelsen utvidgas till att omfatta genetiska 2017/18:254 och biometriska uppgifter. Dataskyddsförordningens definition av biometriska uppgifter innefattar ansiktsbilder där en fysisk person entydigt kan identifieras, se artikel 4.14 i dataskyddsförordningen. Det gäller dock endast sådana ansiktsbilder som behandlas med särskild teknik som möjliggör identifiering eller autentisering av en fysisk person, exempelvis ansiktsigenkänningsprogram. Genom hänvisningen till dataskyddsförordningen förtydligas även att uppgifter om en persons sexuella läggning ska anses utgöra känsliga personuppgifter. I andra stycket, som är nytt, anges att begränsningarna i första stycket inte hindrar att känsliga personuppgifter behandlas med stöd av 15 §. Det innebär att känsliga personuppgifter i form av fingeravtryck och fotografier som förekommer i register får behandlas enligt de förutsättningar som anges i den paragrafen. Någon ändring avseende myndighetens möjligheter att behandla personuppgifter enligt den bestämmelsen är alltså inte avsedd. Tredje stycket motsvarar hittillsvarande andra stycket. Det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Detsamma gäller för uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Förbudet omfattar inte uppgifter om beslut om förvar enligt utlänningslagen (2005:716). Första stycket hindrar inte att känsliga personuppgifter behandlas med stöd av 15 §. Paragrafen innehåller förbud mot integritetskänsliga sökningar. Övervägandena finns i avsnitt 6.7. Genom ändringarna i första stycket klargörs att det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på integritetskänsliga uppgifter. Uppräkningen av otillåtna sökbegrepp ersätts med uttrycket känsliga personuppgifter. Med känsliga person- uppgifter avses sådana uppgifter som anges i artikel 9.1 i dataskyddsförordningen, se kommentaren till 14 §. Ändringen innebär att sökbegränsningen utvidgas till att omfatta genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person. Vidare tydliggörs att uppgifter om en persons sexuella läggning omfattas av sökbegränsningen. I paragrafen anges även att sökbegränsningen omfattar uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Bestämmelsen, som motsvarar hittillsvarande 18 § andra stycket första meningen, ändras genom att hänvisningen till 21 § personuppgiftslagen ersätts med en uppräkning av de otillåtna personuppgiftskategorierna. Sökbegränsningen omfattar alla tekniska åtgärder som innebär att uppgifter används för att strukturera eller systematisera information i syfte att få fram ett urval av personer grundat på känsliga personuppgifter eller uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel och administrativa frihets- Därmed förbjuds sökningar som görs för att få fram ett urval av personer som t.ex. har en viss politisk åsikt, religiös åskådning eller Prop. 2017/18:254 sexuell läggning. Däremot hindrar bestämmelsen inte sökningar som görs i ett annat syfte än att identifiera ett urval av individer, t.ex. för att utöva tillsyn, för att ta fram verksamhetsstatistik eller för registervård. I andra stycket anges att förbudet inte omfattar uppgifter om beslut om förvar enligt utlänningslagen (2005:716). Bestämmelsen motsvarar hittillsvarande 18 § andra stycket andra meningen. Av tredje stycket följer att sökbegränsningen inte hindrar att känsliga personuppgifter behandlas med stöd av 15 §. Det innebär att sökbegränsningen inte hindrar nödvändiga sökningar i register över fingeravtryck och fotografier. Vid behandling av personuppgifter för ändamål som anges i 12 § 2 får personuppgifter som direkt pekar ut den registrerade inte användas som sökbegrepp. Paragrafen reglerar begränsningar beträffande sökbegrepp som direkt pekar ut en person. Övervägandena finns i avsnitt 6.7. Paragrafen ändras endast redaktionellt genom att det andra stycket flyttas till 17 § med vissa ändringar. Den personuppgiftsansvariges skyldighet att informera den registrerade om en personuppgiftsincident enligt artikel 34 i EU:s dataskyddsförordning gäller inte sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. I paragrafen, som är ny, finns en bestämmelse om den personuppgiftsansvariges skyldighet att informera om personuppgifts- incidenter. Övervägandena finns i avsnitt 6.8. I paragrafen anges att den personuppgiftsansvariges skyldighet att informera den registrerade om en personuppgiftsincident enligt artikel 34 i dataskyddsförordningen inte gäller sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av Undantaget har stöd i artikel 23 i dataskyddsförordningen. Ytterligare undantag från skyldigheten att informera den registrerade om en personuppgiftsincident finns i artikel 34.3 i dataskyddsförordningen. Paragrafen innebär att sekretess eller tystnadsplikt gentemot den registrerade som har stöd i författning har företräde framför skyldigheten att informera den registrerade om en personuppgiftsincident. Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. Paragrafen, som är ny, föreskriver en begränsning av en registrerads rätt att göra invändningar enligt artikel 21.1 i dataskyddsförordningen. vägandena finns i avsnitt 6.9. 2017/18:254 Paragrafen innebär ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i data- skyddsförordningen. Undantaget har stöd i artikel 23 i dataskydds- förordningen. Vid sådan behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den gäller alltså inte rätten att göra invändningar enligt artikel 21.1. har rätt att ta del av personuppgifter som behandlar enligt 11 eller 15 § vid direktåtkomst enligt 19 §. Säkerhetspolisen och utlandsmyndigheterna har motsvarande rätt att vid direktåtkomst ta del av uppgifter som behandlar enligt 11 §. ska på begäran av , Säkerhetspolisen eller en utlandsmyndighet lämna ut personuppgifter som verket behandlar enligt 11 § 1 eller 2. ska också på begäran av lämna ut personuppgifter som verket behandlar enligt 15 § andra stycket 1, 2 eller 5.