prop · H503232 · 2018-04-19 00:00:00 — bestämmelserna i brottsdatalagen motsvarar i större eller mindre ut- sträckning regler i personuppgiftslagen eller i myndigheternas register- Regeringens förslag ansluter nära till direktivet, men på ett fåtal punkter föreslås regler som ger ett starkare skydd för enskilda än vad som krävs enligt direktivet. I de flesta fall hör det samman med att den svenska lagstiftningen redan ger ett motsvarande skydd. Förslagen i kapitlen 6, 7 och 8 har till stor del motsvarigheter i dagens Kraven blir dock i vissa fall tydligare, vilket bör bidra till att lagstiftningen blir mer lättillämpad. I vissa avseenden ställs dock något högre krav på de personuppgiftsansvariga. Det gäller bl.a. att ytterligare 2017/18:232 kategorier av personuppgifter ska betraktas som känsliga personupp- gifter. Kraven på hur personuppgifternas kvalitet ska säkerställas blir Även om många av kraven i kapitel 9 följer redan av dagens lag- stiftning ställs det också vissa nya krav på de personuppgiftsansvariga. Det införs t.ex. skyldighet att dokumentera och rapportera personupp- giftsincidenter och kraven på organisatoriska och tekniska åtgärder blir tydligare och mera detaljerade än . Det ställs också nya krav på att de personuppgiftsansvariga ska genomföra och dokumentera konse- kvensbedömningar och ha förhandssamråd med tillsynsmyndigheten. Den skyldighet som flertalet av myndigheterna i rättskedjan har att utse personuppgiftsombud (i brottsdatalagen dataskyddsombud) blir generell. Kraven på personuppgiftsbiträden skärps och blir tydligare. De skyldigheter för personuppgiftsansvariga som föreslås i kapitel 10 motsvaras till största delen av dagens krav, men enskildas rättigheter stärks genom att informationsskyldigheten utvidgas och förtydligas i viss I kapitel 12 föreslås ett system med sanktionsavgifter för överträdelser av bestämmelser i brottsdatalagen. Det motsvarar det sanktionssystem som kommer att gälla för överträdelser av bestämmelser i dataskyddsför- Det blir en ny arbetsuppgift för tillsynsmyndigheten att be- sluta om sanktionsavgifter, men antalet ärenden förväntas inte bli särskilt stort inom brottsdatalagens tillämpningsområde. Det beror bl.a. på att de som ska tillämpa brottsdatalagen till största delen är myndigheter, som i regel kan förväntas följa tillsynsmyndighetens synpunkter utan att det krävs repressiva åtgärder. Förslagen beträffande rättsmedel och skadestånd i kapitel 13 motsvarar i allt väsentligt det som gäller . Reglerna om överföring till tredjeland och internationella organisa- tioner i kapitel 14 motsvarar till stor del dem som finns lag. Grunderna för överföring har dock blivit fler och reglerna mer detalje- I några avseenden skärps också reglerna, bl.a. införs det krav på dokumentation och underrättelser till tillsynsmyndigheten. kommer också att vara tillämpliga i många fler fall än eftersom brottsdatalagen har ett vidare tillämpningsområde än lag. När det gäller kapitel 11, som behandlar tillsyn, innebär som nyss nämnts systemet med sanktionsavgifter en ny arbetsuppgift för tillsyns- myndigheten, men antalet ärenden inom brottsdatalagens tillämpnings- område förväntas inte bli särskilt stort. En annan nyhet är att tillsyns- myndigheten blir skyldig att utföra laglighetskontroller på begäran av enskilda inom hela brottsdatalagens tillämpningsområde, något som endast utförs av i fråga om och Säkerhetspolisens personuppgiftsbehandling. I kapitel 15 föreslås vissa ändringar i sekretessregleringen. förväntas öka arbetsbördan för berörda myndigheter. Den största förändringen som följer av EU:s dataskyddsreform är inte regeringens nu aktuella förslag utan det faktum att de som ska tillämpa brottsdatalagen med kompletterande lagstiftning även i varierande ut- sträckning ska tillämpa dataskyddsförordningen med kompletterande lag- Båda regelverken kommer att tillämpas parallellt, t.ex. när en personuppgift vid ett visst tillfälle ska behandlas både för ändamål inom och utanför brottsdatalagens tillämpningsområde. Tillämparna måste så- Prop. 2017/18:232 ledes behärska dubbla regelverk. Regeringens bedömning: För de behöriga myndigheterna kommer förslaget till brottsdatalag att kräva utbildning. bör rymmas inom befintliga anslag. Förslaget kommer också att inne- bära att de allmänna förvaltningsdomstolarna får något fler arbetsupp- gifter, men kostnadsökningarna kommer inte att bli större än att de ryms inom de befintliga ekonomiska ramarna. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Enligt Justitiekanslern har utredningen möjligen underskattat både behovet av och kostnaderna för utbildning. kanslern anser att det finns anledning att tro att relativt omfattande, både grundläggande och mera kvalificerade, utbildningsinsatser kommer att krävas inom alla berörda myndigheter. menar att behovet av utbildning, råd och stöd är omfattande för att per- sonuppgiftsansvariga ska kunna leva upp till de krav som ställs och ser det som tveksamt om kostnadsökningarna kommer att rymmas inom Enligt kommer inte bara utbild- ningsinsatser utan även utveckling och förvaltning av befintliga och nya it-system samt ambitionshöjningen vad gäller dataskyddsombudets upp- gifter att leda till ökade kostnader. anser också att för- slaget, utöver utbildning, kan väntas medföra behov av nya strukturer, ny mjukvara och eventuellt ny hårdvara. De ökade kostnader som skulle bli följden kommer enligt inte att rymmas inom befintligt Slutligen pekar ett antal domstolar på ekonomiska konsekvenser med anledning av utbildningsinsatser och anpassningar av it-system. framhåller det problematiska i att det inte i något sam- manhang görs en samlad bedömning av de konsekvenser som hela EU:s dataskyddsreform får för Domstolar. det rimligt att anta att domstolarnas kostnader för bl.a. utbildningsinsat- ser, anpassningar av it-system, föreskrifter och rutiner inte kommer att rymmas inom befintliga anslag. Skälen för regeringens bedömning: De förslag regeringen lägger fram kan som ett antal remissinstanser påpekar komma att kräva anpass- ningar och förändringar av it-system. När det gäller de ökade kraven på loggning föreslår regeringen att ska utnyttja möjligheten att skjuta upp tidpunkten när de förändringar som kan krävas ska vara Anledningen till det är som utvecklas i av- snitt 17.2.3 att myndigheterna behöver ha tid för att analysera vad de nya Även om införandet av brottsdatalagen kan komma att medföra vissa kostnader för ändringar i system, bör dessa emellertid rymmas inom befintliga anslagsramar. När ny lagstiftning införs krävs det normalt utbildningsinsatser. inte unikt för de förslag som regeringen presenterar utan uppkommer 2017/18:232 regelmässigt i olika lagstiftningsärenden. Att det krävs utbildning i detta fall beror inte heller enbart på den lagstiftning som regeringen nu föreslår utan på den samlade reformen. Kostnader för utbildning täcks normalt av myndigheternas anslag. Flera remissinstanser anser att utbildningsbeho- vet med anledning av den nu aktuella reformen är mycket omfattande. Som utredningen konstaterar har det vid genomförandet av andra stora reformer, t.ex. när offentlighets- och sekretesslagen infördes, inte ansetts nödvändigt att tillföra särskilda medel för utbildning. Kostnaderna för utbildning bör därför rymmas inom befintliga ramar även . Ny lagstiftning kräver normalt också nya interna föreskrifter och sty- rande dokument. Det får anses ingå i de normala uppgifterna för myndig- heterna. Antalet beslut om sanktionsavgift bedöms av de skäl som nämns i av- snitt 16.1 bli få. Det bör därför inte påverka tillsynsmyndighetens arbets- börda i någon större utsträckning. Eftersom sanktionsavgifterna kan vara kännbara ekonomiskt är det rimligt att utgå från att tillsynsmyndighetens beslut kommer att överklagas till allmän förvaltningsdomstol i relativt stor utsträckning. Det faktum att sådana beslut förväntas bli ovanliga innebär att även överklagandena bör stanna vid ett litet antal . Kostnaderna för de allmänna förvaltningsdomstolarna bör därför rymmas inom befintliga anslagsramar. 16.2.2Konsekvenser för kommuner och landsting Regeringens bedömning: Eventuella kostnadsökningar som förslaget till brottsdatalag kan komma att medföra för kommuner eller landsting får anses vara marginella. Utredningens bedömning överensstämmer delvis med regeringens. Att brottsdatalagen i vissa fall ska tillämpas i verksamhet som bedrivs av kommuner eller landsting innebär enligt utredningen inga ökade kostna- der för dem. Remissinstanserna: kommun påpekar att anpassningar av it- system och förändringar av arbetssätt kan medföra kostnader som är svåra att uppskatta . Skälen för regeringens bedömning: Brottsdatalagens tillämpnings- område omfattar bl.a. myndigheter och andra aktörer som verkställer straffrättsliga påföljder. Viss vård, t.ex. ungdomsvård och vård för miss- brukare, kan utdömas som en straffrättslig påföljd. Det innebär att brotts- datalagen blir tillämplig i viss verksamhet där man tillämpar per- sonuppgiftslagen eller lagen (2001:454) om behandling av personuppgif- ter inom . Att brottsdatalagen ska tillämpas i stället för dataskyddsförordningen innebär i sig inga ökade kostnader. Det som har sagts i avsnitt 16.2.1 om konsekvenserna för staten i fråga om it-system, utbildning och interna styrdokument har giltighet även för kommuner eller landsting. Regeringen bedömer dock att de kostnader som kan uppstå får anses vara marginella. De förändringar av it-system och styrdokument som kan komma att krävas med anledning av förslaget får, särskilt med beaktande av dagens reglering, anses utgöra ett mycket begränsat ingrepp i självstyrelsen. Regeringen bedömer att detta begrän- sade ingrepp är nödvändigt mot bakgrund av intresset att skydda fysiska Prop. 2017/18:232 personers grundläggande fri- och rättigheter och att säkerställa att behö- riga myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt. Regeringens bedömning: Förslagen förbättrar skyddet för enskildas integritet och ger dem bättre förutsättningar att kunna ta till vara sina rättigheter. De medför inga ökade kostnader för enskilda. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig om bedömningen. Skälen för regeringens bedömning: Förslagen syftar till att stärka integritetsskyddet för enskilda och att ge dem bättre möjligheter att kunna kontrollera hur deras personuppgifter behandlas. Förslagen får inte några konsekvenser för jämställdheten. Förslagen förväntas inte leda till några kostnadsökningar för enskilda. Visserligen föreslås att de personuppgiftsansvariga i vissa fall ska kunna ta ut avgift för information som begärs, men det är i situationer där den enskilde alltför ofta återkommer med begäran om information. Den per- sonuppgiftsansvarige kan då ge den enskilde informationen mot avgift i stället för att avslå begäran. Det kan finnas fall där enskilda i egenskap av personuppgiftsansvariga ska tillämpa brottsdatalagen i stället för dataskyddsförordningen. Det torde röra sig om få fall och av de skäl som angetts tidigare finns det inte anledning att räkna med att de kommer att drabbas av några ökade kost- nader. Konsekvenser för brottsligheten och det Regeringens bedömning: Förbättrat dataskydd ger möjlighet till ökat informationsutbyte mellan brottsbekämpande myndigheter, vilket är positivt för det brottsbekämpande arbetet. Förslagen förväntas inte få några direkta effekter på brottsligheten. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: framhåller att en reform av den här omfattningen oundvikligen får konsekvenser för polisens kärnverk- Enligt myndigheten finns det risk för hämmande effekter på brottsbekämpande myndigheters förmåga att fullgöra sina uppdrag, då ökade krav på administration och dokumentation innebär att resurser måste omfördelas från den brottsbekämpande verksamheten. Skälen för regeringens bedömning: Förslagen kan inte förväntas få några direkta effekter på brottsligheten, eftersom det handlar om en När det gäller det brottsbekämpande arbetet kan däremot ett ökat infor- mationsflöde både inom och mellan medlemsstaterna förväntas 2017/18:232 få positiv inverkan. Särskilt för har olika initiativ till utökat utbyte av information inom EU och med de andra nordiska län- derna visat sig ha en positiv effekt för brottsbekämpningen. Det gäller exempelvis det utökade utbytet av dna-uppgifter, fingeravtrycksuppgifter och kriminalregisterutdrag. Informationsutbytet bör enligt regeringens mening kunna förbättras ytterligare genom de nya dataskyddsreglerna. Harmoniserade regler om dataskydd underlättar också på annat sätt utby- tet av information mellan brottsbekämpande myndigheter både inom och utom landet. framför att ökade krav på administration och doku- mentation riskerar att hämma den brottsbekämpande verksamheten. Även om en administrativ reform av det slag som det nu är fråga om kommer att kräva vissa resurser, särskilt i ett inledande skede, gör rege- ringen som nämnts bedömningen att reformen i förlängningen kan förväntas ge positiva effekter för det brottsbekämpande arbetet. Regeringens bedömning: Förslagen förväntas inte få några andra konsekvenser. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens bedömning: Förslagen får inte några sam- hällsekonomiska konsekvenser. Förslagen får inte heller några konse- kvenser för jämställdheten eller andra konsekvenser som avses i 7 § förordningen (2007:1244) om konsekvensutredning vid regelgivning. Regeringens förslag: Brottsdatalagen och övriga författningsförslag ska träda i kraft . Ändringarna i lagen med kompletterande bestämmelser till EU:s dataskyddsförordning och brottsdatalagen som innebär att hänvis- ningen till säkerhetsskyddslag ersätts med en hänvisning till den nya säkerhetsskyddslagen ska dock träda i kraft . Utredningens förslag överensstämmer inte med regeringens. Utred- ningen föreslår endast att brottsdatalagen och övriga författningsförslag ska träda i kraft . Remissinstanserna: Ingen remissinstans invänder mot utredningens förslag. Skälen för regeringens förslag: Enligt artikel 63 ska medlemsstaterna Prop. 2017/18:232 anta och offentliggöra de lagar och andra författ- ningar som är nödvändiga för att genomföra direktivet. Bestämmelserna ska tillämpas av medlemsstaterna från och med . Den lagstift- ning som regeringen nu föreslår bör därför träda i kraft så snart som möj- ligt. Mot den bakgrunden och med hänsyn till den tid som de olika leden i lagstiftningsprocessen kan förväntas ta anser regeringen att framstår som den tidigaste möjliga tidpunkten för ikraft- trädande av brottsdatalagen och de övriga författningsförslagen. För att all personuppgiftsbehandling på direktivets område, även sådan som inte omfattas av någon registerförfattning, ska ha rättsligt stöd som lagstiftningsarbetet med brottsdatalagen pågår har regeringen i pro- positionen Ny dataskyddslag föreslagit en övergångsreglering som ska tillämpas när personuppgiftslagen upphör att gälla (prop. 2017/18:105 s. 172 f.). Övergångsbestämmelsen som föreslås i proposi- tionen bör upphävas i samband med att brottsdatalagen träder i kraft. bör, som föreslås i avsnitt 6.1.4, även lag upphöra att gälla. Regeringen har lämnat förslag om en ny säkerhetsskyddslag som ska träda i kraft (prop. 2017/18:89). Hänvisningarna till den nu gällande säkerhetsskyddslagen (1996:627) i dels brottsdatalagen, dels den föreslagna lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning (se prop. 2017/18:105) bör ersät- tas av hänvisningar till den nya säkerhetsskyddslagen. Regeringens förslag: Äldre föreskrifter ska fortsätta att gälla för överklagande av beslut som har meddelats före brottsdatalagens ikraft- Regeringens bedömning: Det behövs ingen övergångsbestämmelse för ärenden om tillsyn som inte har avgjorts när brottsdatalagen träder i kraft och som rör personuppgiftsbehandling för brottsbekämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning Det behövs ingen övergångsbestämmelse för ärenden om skade- stånd för felaktig personuppgiftsbehandling inom nämnda om- Det behövs inga övergångsbestämmelser för de behöriga myndighe- ternas behandling av personuppgifter. Utredningens förslag och bedömning överensstämmer till viss del För ärenden om tillsyn över personuppgiftsbehandling för brottsbekämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet som inte avgjorts när brottsdatalagen träder i kraft ska, enligt utredningens förslag, äldre bestämmelser om handläggningen fortsätta att gälla. Utredningen föreslår även att äldre be- stämmelser ska fortsätta att gälla för ärenden om skadestånd för felaktig 2017/18:232 personuppgiftsbehandling inom nämnda områden, om skadan har orsakats före brottsdatalagens ikraftträdande. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens förslag och bedömning: Det som kan behöva regleras i övergångsbestämmelser till brottsdatalagen – förutom bestäm- melser som rör det nya sanktionssystemet (se avsnitt 17.2.2) och bestäm- melser som rör loggning (se avsnitt 17.2.3) – är framför allt hur pågående ärenden hos de behöriga myndigheterna och hos de nuvarande tillsyns- myndigheterna bör hanteras. I frågor som rör behandling av personuppgifter hos de behöriga myn- digheterna bör den nya lagstiftningen tillämpas från det att den träder Det innebär exempelvis att framställningar om att få del av infor- mation, ärenden om rättelse och andra oavslutade ärenden ska hanteras Några övergångsbestämmelser för de behöriga myndigheternas handläggning behövs därmed inte. Beträffande tillsynsåtgärder följer det av allmänna principer att före- lägganden och förbud som har meddelats med stöd av personuppgifts- lagen och som rör brottsdatalagens tillämpningsområde fortsätter att gälla efter det att personuppgiftslagen upphävts. Det behövs därför inte någon särskild övergångsbestämmelse för det. När det gäller andra frågor om tillsyn över behandling av personupp- gifter inom brottsdatalagens tillämpningsområde föreslår utredningen att äldre bestämmelser ska fortsätta att gälla för de ärenden som har påbör- jats före ikraftträdandet men inte hunnit avgöras när den nya ramlagen träder i kraft. I förslaget om en ny dataskyddslag (prop. 2017/18:105) föreslår regeringen inte någon motsvarande övergångsbestämmelse. Regeringen gör i det ärendet bedömningen att det saknas skäl för en sådan övergångsbestämmelse eftersom Datainspektionen påpekat att pågående behandling ska bedömas enligt regleringen i dataskyddsförord- ningen när den börjar tillämpas, dvs. a. prop. s. 175 f.). Mot denna bakgrund anser regeringen att det inte heller bör införas någon sådan övergångsbestämmelse till brottsdata- Utredningen föreslår även en övergångsbestämmelse som anger att äldre föreskrifter om skadestånd fortfarande ska gälla för skada som har orsakats före brottsdatalagens ikraftträdande p.g.a. felaktig person- uppgiftsbehandling inom brottsdatalagens tillämpningsområde. emellertid redan av allmänna rättsgrundsatser att ny lagstiftning ska gälla i fråga om skadestånd med anledning av skadefall som inträffar efter ikraftträdandet, medan äldre lag ska tillämpas på skadefall som har inträffat (prop. 1972:5 s. 593 och prop. 2017/18:105 s. 176). Någon särskild övergångsbestämmelse om detta behövs därför inte. redningens förslag bör alltså inte genomföras i den delen heller. Utredningen föreslår vidare en övergångsbestämmelse om att äldre föreskrifter ska fortsätta att gälla för överklagande av beslut som har meddelats före brottsdatalagens ikraftträdande och som rör behandling av personuppgifter för brottsbekämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet. utredningens uppfattning att en sådan övergångsbestämmelse behövs. Det innebär bl.a. att domstolen vid sin prövning ska tillämpa den äldre Övergångsbestämmelser till det nya Regeringens förslag: Någon sanktionsavgift får inte tas ut för sådana överträdelser av bestämmelser om personuppgiftsbehandling för brottsbekämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet som har skett före brottsdatalagens Äldre föreskrifter ska fortsätta att gälla för överträdelser som har skett före ikraftträdandet. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens förslag Ett nytt sanktionssystem införs Enligt allmänna principer får en ny lag inte retroaktiv verkan. kompliceras emellertid i de fall där den nya lagen innehåller sanktions- bestämmelser, vilket är fallet med brottsdatalagen. I avsnitt 12 föreslår regeringen ett nytt sanktionssystem för överträdel- ser av bestämmelserna om behandling av personuppgifter i ramlagen. Förslaget innebär att överträdelser ska beivras genom sanktionsavgift, som är en administrativ sanktion. Sanktionsavgift föreslås kunna tas ut både för överträdelser som inte varit straffsanktionerade tidigare och för överträdelser som omfattas av straffansvaret i 49 § personuppgifts- Sanktionsavgift ska tas ut av personuppgiftsansvariga och i vissa fall av personuppgiftsbiträden. Det gäller oavsett om de är juridiska eller I huvudsak kommer sanktionsavgift att tas ut av andra rättssubjekt än de som kan åläggas straffansvar. systemet aktualiserar emellertid frågan hur överträdelser som begåtts före brottsdatalagens ikraftträdande bör hanteras. Som framgår av avsnitt 12.2.1 föreslår regeringen ingen ny straffbe- Eftersom någon motsvarighet till 49 § personuppgiftslagen inte tas in i ramlagen bortfaller straffansvaret för de gärningar som regle- ras där, om inte frågan regleras genom särskilda övergångsbestämmelser. Förbudet mot retroaktivitet och lindrigaste lagens princip Vid bedömningen av om det behövs övergångsbestämmelser för de över- trädelser som har begåtts tidigare men inte hunnit beivras när brottsdata- lagen träder i kraft, ska artikel 7 i , 2 kap. 10 § rege- ringsformen och 5 § andra stycket lagen (1964:163) om införande av Enligt artikel 7 i får ingen fällas till ansvar för någon gärning eller underlåtenhet som då den begicks inte utgjorde ett brott enligt nationell eller internationell rätt. får ett strängare straff utmätas än som var tillämpligt då I 2 kap. 10 § regeringsformen förbjuds retroaktiv straff- och skattelag- Förbudet mot retroaktiv skattelag anses vara analogt tillämpligt på straffliknande administrativa påföljder (prop. 1975/76:209 s. 125). 2017/18:232 5 § andra stycket lagen om införande av framgår att straff ska bestämmas enligt den lag som gällde när gärningen företogs, utom i fall där annan lag gäller när dom meddelas och den nya lagen leder till frihet från straff eller lindrigare straff. Bestämmelsen har enligt förarbe- tena generell räckvidd, dvs. den gäller även utanför (prop. 1964:10 s. 99). Den ger uttryck för det som brukar kallas den lindrigaste lagens princip. Det behövs särskilda övergångsbestämmelser Regeringen föreslår att vissa handlingar som inte är straffbara ska kunna föranleda sanktionsavgift (se avsnitt 12.5.2). Det gäller exempel- vis skyldigheten att anmäla personuppgiftsincidenter. Handlingar som är straffbara föreslås inte längre kunna bestraffas men däremot kunna föranleda sanktionsavgift. Det gäller t.ex. otillåten överföring av personuppgifter till tredjeland. Om en sådan överträdelse som kan leda till sanktionsavgift men som inte är straffbelagd har inträffat före ikraftträdandet skulle det strida mot retroaktivitetsförbudet att besluta om sanktionsavgift. Detsamma gäller om en skyldighet blir mer omfattande än vad den är . I vissa fall har brottsdatalagen liknande bestämmelser som de som finns i per- sonuppgiftslagen, men det kan skilja sig i fråga om detaljer.