prop · H503269 · 2018-06-19 00:00:00 — I 3 kap. 6 § brottsdatalagen föreskrivs att den personuppgiftsansva- rige ska se till att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Det gäller även uppgifter som en myndighet får tillgång till genom direktåtkomst. Som framgår av avsnitt 5.3.10 behövs därför inte längre bestämmelser som begränsar tillgången till uppgifter. Tillgången till personuppgifter i registret för Kriminalvårdens personal bör inte längre regleras genom en bestämmelse om direktåtkomst. Regle- ringen i 3 kap. 6 § brottsdatalagen är tillräcklig. Kriminalvården kan, för- utom att begränsa behörigheten tekniskt, utfärda interna föreskrifter om 2017/18:269 tillgången om det anses nödvändigt. Någon ytterligare reglering av till- gången till personuppgifter i registret behövs därför inte. Det bör inte heller regleras hur mottagaren får behandla sådana person- uppgifter. Det styrs av brottsdatalagen och den mottagande myndighetens registerförfattning. Behovet av en sekretessbrytande bestämmelse Direktåtkomsten till uppgifter i säkerhetsregistret är författnings- reglerad. Frågan om det behövs sekretessbrytande bestämmelser för att kunna medge direktåtkomst övervägs normalt innan det införs möjlighet till direktåtkomst. Den frågan berördes emellertid inte i förarbetena till kriminalvårdens registerlagstiftning och förefaller inte ha utgjort något problem. Att vissa bestämmelser om registret nu föreslås flyttas till lag gör dock att frågan om det krävs sekretessbrytande bestämmelser aktualiseras. Utredningen har inte haft utrymme att behandla den frågan. Det kan finnas anledning att återkomma till den frågan vid en översyn av kriminalvårdens registerlagstiftning. Längsta tid som personuppgifter får behandlas Regeringens förslag: Personuppgifter i säkerhetsregistret ska inte få behandlas längre än efter det att 1. den registrerade blivit villkorligt frigiven från fängelsestraff eller annars helt har verkställt straffet eller, utan att ha dömts till sådan på- följd, har frigetts från häkte, 2. den registrerade helt har verkställt en påföljd inom kriminal- 3. den person som en registrerad har personlig anknytning till eller annan nära förbindelse med, har blivit villkorligt frigiven från fängelsestraff eller annars helt har verkställt straffet eller, utan att ha dömts till sådan påföljd, har frigetts från häkte. Bestämmelsen i 2 kap. 17 § andra stycket brottsdatalagen ska inte gälla vid denna tillämpningen. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår ingen längsta tid som personuppgifter får behandlas i de fall uppgifter behandlas avseende en person som verkställer en på- följd inom kriminalvården och det finns risk för våld eller hot eller i fall där personuppgifter behandlas avseende en person som har en personlig anknytning till eller annan nära förbindelse med en registrerad. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt 45 § förordningen om behand- ling av personuppgifter inom kriminalvården ska uppgifter i säkerhets- registret gallras senast efter det att den registrerade har frigetts från häkte eller blivit frigiven. Om villkorlig frigivning inte har ägt rum ska uppgifterna gallras senast efter att den registrerade helt verk- En bestämmelse med motsvarande innehåll bör tas in i lagen. Bestämmelsen syftar till att skydda enskildas integritet och är därför inte en gallringsbestämmelse i arkivrättslig mening. Den bör av de skäl som anges i avsnitt 5.5 i stället ange hur länge personuppgifter i registret Prop. 2017/18:269 får behandlas. Utöver utredningens förslag bör det även anges vilken längsta tid som personuppgifter får behandlas i de fall när behandlingen görs med stöd av att det finns risk för att en person utövar våld eller hot eller registrering avseende andra. 13.5.8Rätt att meddela föreskrifter Regeringens förslag: Regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om innehållet i säkerhetsregistret och utlämnande av personuppgifter ur registret. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för utredningens förslag: Enligt 41 § förordningen om be- handling av personuppgifter inom kriminalvården ska säkerhetsregistret innehålla uppgift om bl.a. skälen för registreringen och ytterligare upp- lysningar om omständigheterna kring registreringen. I 43 och 44 §§ finns bestämmelser om utlämnande av personuppgifter ur registret. Vissa bestämmelser om innehållet i säkerhetsregistret och utlämnande av uppgifter ur registret bör även fortsättningsvis finnas i förordning. Det bör därför framgå av lagen att regeringen eller den myndighet som reger- ingen bestämmer kan meddela föreskrifter i sådana frågor. 13.6Bestämmelser som inte längre behöver regleras i kriminalvårdens sektoranpassade registerlagstiftning Regeringens bedömning: Vissa bestämmelser som funnits i lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område behövs inte i kriminalvårdens brottsdatalag. Detta avser bestämmelser om 1. att känsliga personuppgifter inte får användas som sökbegrepp om inte regeringen har föreskrivit det, 2. tillgång till personuppgifter vid direktåtkomst, 3. omprövning av beslut, och 4. överklagande. Det ska införas en bestämmelse som upplyser om att bestämmelser om överklagande finns i brottsdatalagen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag Sökning på känsliga personuppgifter I 2 kap. 14 § brottsdatalagen finns ett generellt förbud mot att utföra sök- ningar i syfte att få fram ett urval av personer grundat på känsliga person- Mot bakgrund av att brottsdatalagen innehåller ett generellt sökförbud behövs det inte en bestämmelse som motsvarar den i 5 § tredje stycket lagen om behandling av personuppgifter inom kriminalvården om förbud mot att använda känsliga personuppgifter som sökbegrepp i kriminalvårdens brottsdatalag. I avsnitt 13.5.5 föreslås en särskild regel om sökning i säkerhetsregistret. Enligt 3 kap. 6 § brottsdatalagen ska den personuppgiftsansvarige se till att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Eftersom det finns en bestämmelse i brottsdatalagen som begränsar tillgången till personupp- gifter behövs inga sådana bestämmelser i de sektorspecifika registerförfattningarna. Enligt 6 § första stycket lagen om behandling av personuppgifter inom kriminalvården ska direktåtkomst till de person- uppgifter som behandlas enligt lagen vara förbehållen de personer som på grund av sina arbetsuppgifter inom kriminalvården behöver tillgång till uppgifterna. Bestämmelsen fyller samma funktion som 3 kap. 6 § brottsdatalagen och en motsvarighet till den bestämmelsen behövs därför inte i kriminalvårdens brottsdatalag. Av 6 § andra stycket lagen om behandling av personuppgifter inom kriminalvården följer att 10 § gäller i fråga om direktåtkomst till upp- gifter som får lämnas ut till en annan myndighet. Där föreskrivs att direktåtkomst till personuppgifter ska förbehållas de personer som på grund av sina arbetsuppgifter behöver tillgång till dem. Med hänsyn till regleringen i 3 kap. 6 § brottsdatalagen finns det inte behov av en be- stämmelse om tillgången till personuppgifter hos andra behöriga myn- digheter i kriminalvårdens brottsdatalag. Enligt 13 § lagen om behandling av personuppgifter inom kriminal- vården får Kriminalvårdens beslut om rättelse och om information enligt 26 § personuppgiftslagen inte överklagas innan beslutet har omprövats av Kriminalvården. Omprövning får begäras av den som beslutet angår om det har gått honom eller henne emot. Överklagande av ett beslut som inte har omprövats ska enligt 13 § ses som en begäran om omprövning. Vid omprövningen får beslutet inte ändras till den enskildes nackdel. I 14 och 15 §§ anges formkraven för begäran om omprövning och rättidspröv- ning. Omprövningsförfarandet tillkom i samband med att Kriminalvår- den blev en myndighet. Syftet var bl.a. att begränsa antalet överklag- anden och undvika att måltillströmningen till de allmänna förvaltnings- domstolarna ökade (se prop. 2004/05:176 s. 61 f.). Varken direktivet eller brottsdatalagen ställer krav på att ett beslut ska omprövas innan det får överklagas. I övriga registerförfattningar föreskrivs inte heller något omprövningsförfarande. Det saknas därför anledning att fördröja över- klagandena genom krav på omprövning. Omprövningsförfarandet bör därför tas bort. I 7 kap. 2 § brottsdatalagen föreskrivs att beslut i fråga om rättelse eller komplettering enligt 4 kap. 9 § första stycket, radering enligt 4 kap. 10 § första stycket eller begränsning av behandlingen enligt 4 kap. 9 § andra Prop. 2017/18:269 stycket eller 10 § andra stycket, som har meddelats av en myndighet i egenskap av personuppgiftsansvarig, får överklagas till allmän förvalt- ningsdomstol. Detsamma gäller beslut att inte lämna information enligt 4 kap. 3 eller 4 §, att ta ut avgift enligt 4 kap. 12 § andra stycket eller att inte medge omprövning av ett automatiserat beslut enligt 2 kap. 19 § första stycket. Av överklagandebestämmelsen framgår även att det krävs prövningstillstånd vid överklagande till kammarrätten och att beslut av regeringen, , och riks- dagens ombudsmän inte får överklagas. Eftersom det finns generella bestämmelser om överklagande i brotts- datalagen behövs inte sådana bestämmelser i kriminalvårdens brottsdatalag. Det bör i stället införas en bestämmelse som upplyser om att bestämmelser om överklagande finns i brottsdatalagen. Enligt 14 § lagen (1971:289) om allmänna förvaltningsdomstolar ska beslut överklagas till en förvaltningsrätt, om det i lag eller annan författ- ning föreskrivs att talan ska väckas vid eller beslut överklagas till allmän förvaltningsdomstol. Som huvudregel ska ett beslut överklagas till den förvaltningsrätt inom vars domkrets ärendet först prövats. I 16 § lagen om behandling av personuppgifter inom kriminalvården finns en särskild forumbestämmelse. Kriminalvårdens beslut om rättelse och om information enligt 26 § personuppgiftslagen ska överklagas till den förvaltningsrätt inom vars domkrets den kriminalvårdsanstalt, det häkte eller det frivårdskontor är beläget där den enskilde var inskriven när det första beslutet i ärendet fattades. Beslut som gäller en person som inte är inskriven vid en kriminalvårdsanstalt, ett häkte eller ett frivårds- kontor i landet ska överklagas till den förvaltningsrätt som regeringen bestämmer. Enligt 7 d § 2 förordningen (1977:937) om allmänna förvalt- ningsdomstolars behörighet m.m. ska beslut av Kriminalvården som överklagas till en förvaltningsrätt tas upp av Förvaltningsrätten i Lin- om beslutet gäller en person som inte är inskriven vid en krim- inalvårdsanstalt, ett häkte eller ett frivårdskontor i landet och beslutet avser bl.a. ärenden enligt lagen om behandling av personuppgifter inom kriminalvården. Den särskilda forumbestämmelsen tillkom i samband med att Krimi- nalvården blev en myndighet. Syftet var att så långt möjligt sprida målen över landets samtliga förvaltningsdomstolar (se prop. 2004/05:176 s. 67). Regeringen bedömer att det inte finns något behov av en särskild forumbestämmelse för överklagande av beslut som rör personuppgifts- behandling. Någon motsvarande bestämmelse finns varken i brottsdata- lagen eller i övriga registerförfattningar. Någon sådan forumbestämmelse bör därför inte föras in i kriminalvårdens brottsdatalag. Det innebär att de allmänna bestämmelserna om forum ska tillämpas vid överklagande av beslut som meddelas inom kriminalvården. 2017/18:269 14 Register över tillträdesförbud vid Förutsättningarna för beslut om tillträdesförbud Enligt 1 § lagen (2005:321) om tillträdesförbud vid idrottsarrangemang får en person förbjudas att få tillträde till och vistas på en inhägnad plats som huvudsakligen är avsedd för idrottsutövning när idrottsarrangemang anordnas på platsen av en idrottsorganisation, s.k. tillträdesförbud. Det gäller även om allmänheten har tillträde till platsen. För att en person ska kunna meddelas tillträdesförbud ska det på grund av särskilda omständigheter finnas risk att han eller hon kommer att begå brott under idrottsarrangemang som anordnas av en idrottsorganisation på en inhägnad plats huvudsakligen avsedd för idrottsutövning och att brottet är ägnat att störa ordningen eller säkerheten där. Frågor om tillträdesförbud prövas av åklagare, som kan utfärda tillträ- desförbud , högst med möjlighet till förlängning. Åkla- garens beslut kan prövas av allmän domstol. Den som bryter mot ett tillträdesförbud döms för överträdelse av tillträdesförbud till böter eller fängelse . I samband med att reglerna om tillträdesförbud skärptes infördes särskilda regler om registrering av sådana förbud. Lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang syftar enligt 1 § till att ge dels , dels idrottsorganisationer möjlighet att be- handla personuppgifter för att på ett ändamålsenligt sätt kunna upprätt- hålla gällande beslut om tillträdesförbud vid idrottsarrangemang. Lagen gäller enligt 4 § utöver personuppgiftslagen. Det innebär att om det inte finns avvikande bestämmelser i lagen eller föreskrifter som har medde- lats med stöd av den ska personuppgiftslagen tillämpas. för enligt 2 § ett särskilt register, tillträdesförbuds- registret. Det får enligt 8 § endast innehålla de uppgifter om en person som har meddelats tillträdesförbud som behövs för de ändamål för vilka får föra registret och som avser namn, personnummer eller samordningsnummer, folkbokföringsadress och annan stadigva- rande adress, alias, fotografi, anknytning till idrott och idrottsorganisa- tion, omfattningen och giltighetstiden av beslut om tillträdesförbud, och överträdelse av gällande tillträdesförbud. En uppgift i tillträdesförbudsregistret ska enligt 12 § gallras om uppgif- ten inte längre behövs för något av de ändamål för vilka Polismyndighe- ten får behandla personuppgifter enligt lagen. Uppgifterna ska dock gall- ras senast när tillträdesförbudets giltighetstid löper ut eller om tillträdes- förbudet upphävs. Enligt 3 § gäller lagen vid behandling av person- uppgifter i tillträdesförbudsregistret. Lagen gäller vid behandling som är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. är enligt 5 § personuppgiftsansvarig för den person- uppgiftsbehandling som myndigheten utför enligt lagen. Polisdatalagen är tillämplig på behandling av personuppgifter som rör tillträdesförbud och som inte utförs i tillträdesförbudsregistret. Polisdata- lagen tillämpas således dels i sådana utredningar som ska föregå beslut om tillträdesförbud, dels vid utredning av överträdelser av tillträdesför- bud. får enligt 6 § behandla personuppgifter i till- trädesförbudsregistret om det behövs för att förebygga, förhindra eller upptäcka överträdelser av tillträdesförbud. Personuppgifter som behand- las enligt 6 § får också behandlas av för att dels till- handahålla idrottsorganisationer den information som behövs för att de ska kunna upprätthålla gällande tillträdesförbud, dels fullgöra myndig- hetens uppgiftslämnande enligt lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen. Personuppgifter får enligt 10 § lagen om register över tillträdesförbud vid idrottsarrangemang lämnas ut på medium för automatiserad behand- ling. Enligt 11 § ska tillgången till personuppgifter begränsas till vad den som arbetar vid behöver för att kunna fullgöra sina arbetsuppgifter. behandling av personuppgifter enligt lagen är åt- minstone delvis brottsbekämpande (se Register över tillträdesförbud vid idrottsarrangemang, prop. 2013/14:254 s. 43). En idrottsorganisation får enligt 7 § lagen om register över tillträdesför- bud vid idrottsarrangemang behandla personuppgifter från tillträdesför- budsregistret om det behövs för att förebygga, förhindra eller upptäcka överträdelser av tillträdesförbud vid ett idrottsarrangemang som organi- sationen anordnar. En sådan organisation har också enligt 9 § rätt att ta del av uppgifter i tillträdesförbudsregistret trots att det enligt 35 kap. 4 a § offentlighets- och sekretesslagen gäller sekretess för uppgifterna. Tillgången till personuppgifter ska enligt 11 § begränsas till vad den som arbetar eller utför uppdrag åt en idrottsorganisation behöver för att kunna fullgöra arbetsuppgifterna eller uppdraget. En uppgift som en idrottsorganisation har fått tillgång till från tillträ- desförbudsregistret ska enligt 13 § tas bort om uppgiften inte längre be- hövs för de ändamål för vilka idrottsorganisationen får behandla uppgif- ter. Uppgifterna ska dock tas bort senast när tillträdesförbudets giltighets- tid löper ut eller om tillträdesförbudet upphävs. 2017/18:269 Den som arbetar eller utför uppdrag åt en idrottsorganisation och som tar befattning med en uppgift som har inhämtats med stöd av lagen får enligt 14 § inte obehörigen röja vad han eller hon fått veta om någon enskilds personliga förhållanden. Tystnadsplikten har ett vidare tillämp- ningsområde och träffar inte bara den som behandlar personuppgifter (se prop. 2013/14:254 s. 25). Regeringens förslag: behandling av personupp- gifter i tillträdesförbudsregistret ska regleras i polisens brottsdatalag. Lagen om register över tillträdesförbud vid idrottsarrangemang ska i fortsättningen endast reglera idrottsorganisationernas behandling av personuppgifter och benämnas lagen om idrottsorganisationers behandling av uppgifter om tillträdesförbud. som rör personuppgiftsbehandling ska upphävas. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: och Riksidrottsförbun- det tillstyrker förslaget. Övriga remissinstanser yttrar sig inte särskilt Skälen för regeringens förslag EU:s dataskyddsreform medför skillnader mellan behandling av person- uppgifter som regleras i brottsdatalagen och dataskyddsförordningen. får framför allt betydelse för anpassningen av sådana författningar som reglerar personuppgiftsbehandling både inom och utanför brottsdata- Hit hör lagen om register över tillträdesför- bud vid idrottsarrangemang, eftersom den både reglerar Polismyndighe- tens och idrottsorganisationernas behandling av personuppgifter. organisationernas behandling av personuppgifter enligt lagen ligger utan- för brottsdatalagens tillämpningsområde, eftersom någon myndighets- utövning inte har överlåtits till dem. Det sagda innebär att idrottsorganisationer som utgångspunkt ska tillämpa dataskyddsförordningen med kompletterande lagstiftning vid behandling av personuppgifter som härrör från tillträdesförbudsregistret. Som framgår av betänkande finns det inget som hindrar att i viss utsträckning behåller särreglering även inom dataskyddsförordningens tillämpningsområde (se SOU 2017:39 s. 78 f.). Det finns starka skäl för att behålla den särskilda regleringen av hur idrottsorganisationer får behandla personuppgifter som härrör från tillträ- Det rör sig om uppgifter som kan vara integritets- Är det fråga om uppgifter om överträdelse av tillträdesförbud avser uppgifterna lagöverträdelser. För att idrottsorganisationerna ska kunna behandla uppgifter om lagöverträdelser i samma utsträckning som krävs det särreglering. Behöriga myndigheters behandling av personuppgifter som rör tillträ- ligger inom brottsdatalagens tillämpningsområde, eftersom den inte bara omfattar brottsbekämpning utan även upprätthållande av allmän ordning och säkerhet. Bestämmelserna om personuppgiftsbehandling i tillträdesförbudsregistret behöver därmed anpassas till brottsdatalagen. Bör dagens reglering behållas? och idrottsorganisationernas behandling av person- uppgifter regleras i samma författning. Om samma lagtekniska lös- ning skulle gälla även fortsättningsvis måste person- uppgiftsbehandling regleras så att bestämmelserna gäller utöver brotts- datalagen, medan idrottsorganisationernas personuppgiftsbehandling ska förhålla sig till dataskyddsförordningen och den svenska lagstiftning som kompletterar den. Det skulle i och för sig vara möjligt att skapa en sådan reglering, t.ex. genom att dela in lagen i kapitel och låta dem förhålla sig till respektive lagstiftning. Det är emellertid svårt att finna några överty- gande skäl för att behålla en gemensam reglering. Varken handlägg- ningsskäl eller effektivitetsskäl talar för det. Lagtekniska skäl talar också mot det, om det går att finna en annan rimlig lösning. För idrottsorganisationerna regleras framför allt hur uppgifter som här- rör från tillträdesförbudsregistret får behandlas. Motsvarande regelverk finns normalt inte i de författningar som reglerar myndighetsregister. Även det talar mot att behålla den nuvarande författningsstrukturen. Den nuvarande regleringen bör sammanfattningsvis delas upp på två olika regelverk – ett för personuppgiftsbehandling och ett för idrottsorganisationernas personuppgiftsbehandling. personuppgiftsbehandling bör regleras i polisens brottsdatalag undantas i 1 kap. 3 § polisdatalagen behandling av personuppgifter i bl.a. tillträdesförbudsregistret från lagens tillämpningsområde. Skälen för det är framför allt att lagen om register över tillträdesförbud vid idrottsarrangemang bara till viss del ansågs kunna hänföras till brottsbe- kämpning. För att inte fler än en författning skulle vara tillämplig på samma behandling av personuppgifter undantogs behandlingen i registret från polisdatalagens tillämpningsområde (se prop. 2013/14:254 s. 43). Även om lagstiftningen om tillträdesförbudsregistret är relativt ny finns det skäl att på nytt överväga frågan om bestämmelserna om Polis- myndighetens behandling av personuppgifter i tillträdesförbudsregistret kan föras in i polisens registerförfattning. Det är möjligt att arbeta in bestämmelserna i den nya lagen när den genom dataskyddsreformen får ett bredare tillämpningsområde och även omfattar upprätthållande av allmän ordning och säkerhet. Det tidigare hindret mot att reglera all personuppgiftsbehandling i samma författning har därmed undanröjts. En förutsättning för att föra över regleringen till polisens brottsdatalag bör dock vara att tillträdesförbudsregistret alltjämt regleras som ett särskilt register. Om bestämmelserna om behandling av personupp- gifter i tillträdesförbudsregistret upphävs och motsvarande bestämmelser införs i polisens brottsdatalag kan lagen om register över tillträdesförbud vid idrottsarrangemang renodlas till att enbart omfatta idrottsorganisa- 2017/18:269 tionernas personuppgiftsbehandling, vilket leder till en tydligare reglering Den som anordnar en offentlig tillställning, exempelvis sporttävlingar, ansvarar enligt 2 kap. 16 § ordningslagen (1993:1617) för att det gäller god ordning vid tillställningen. får meddela de villkor som behövs för att upprätthålla ordning och säkerhet vid tillställningen. Ansvaret för att idrottsarrangemang kan anordnas på ett tryggt sätt med hög säkerhet för såväl aktiva som publik vilar alltså i första hand på de arrangerande idrottsorganisationerna (se prop. 2013/14:254 s. 19). Det är också de som ska se till att gällande tillträdesförbud respekteras. Det är av det skälet som idrottsorganisationerna ges tillgång till uppgifter om tillträdesförbud. Att arrangörerna har kännedom om vilka personer som har tillträdesförbud och kan identifiera dem vid inpasseringskontrollen ger möjlighet att hindra att personer med tillträdesförbud släpps in när ett idrottsarrangemang äger rum. Enligt artikel 6.1 c dataskyddsförordningen är personuppgiftsbehandl- ing tillåten om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.