prop · H503248 · 2018-04-19 00:00:00 — Befogenheten att anta delegerade akter ges till kommissionen med förbehåll för de villkor som anges i denna artikel. L 119/86 Europeiska unionens officiella tidning 2.Den befogenhet att anta delegerade akter som avses i artikel 12.8 och artikel 43.8 ska ges till kommissionen tills vidare . 3.Den delegering av befogenhet som avses i artikel 12.8 och artikel 43.8 får när som helst återkallas av Europapar lamentet eller rådet. Ett beslut om återkallelse innebär att delegeringen av den befogenhet som anges i beslutet upphör att gälla. Beslutet får verkan dagen efter det att det offentliggörs i Europeiska unionens officiella tidning, eller vid ett senare i beslutet angivet datum. Det påverkar inte giltigheten av delegerade akter som redan har trätt i kraft. 4.Så snart kommissionen antar en delegerad akt ska den delge och rådet denna. 5.En delegerad akt som antas enligt artikel 12.8 och artikel 43.8 ska träda i kraft endast om varken Europapar lamentet eller rådet har gjort invändningar mot den delegerade akten av från den dag då akten delgavs och rådet, eller om både och rådet, före utgången av den perioden, har underrättat kommissionen om att de inte kommer att invända. ska förlängas på eller rådets initiativ. 1.Kommissionen ska biträdas av en kommitté. Denna kommitté ska vara en kommitté i den mening som avses i förordning (EU) nr 182/2011. 2.När det hänvisas till denna punkt ska artikel 5 i förordning (EU) nr 182/2011 tillämpas. 3.När det hänvisas till denna punkt ska artikel 8 i förordning (EU) nr 182/2011, jämförd med artikel 5 i samma förordning, tillämpas. Upphävande av direktiv /46/EG 1.Direktiv /46/EG ska upphöra att gälla med verkan . 2.Hänvisningar till det upphävda direktivet ska anses som hänvisningar till denna förordning. Hänvisningar till arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter, som inrättades genom artikel 29 i direktiv /46/EG, ska anses som hänvisningar till Europeiska dataskyddsstyrelsen, som inrättas genom denna förordning. Förhållande till direktiv /58/EG Denna förordning ska inte innebära några ytterligare förpliktelser för fysiska personuppgifter inom ramen för tillhandahållande av allmänt tillgängliga allmänna kommunikationsnät i unionen, när det gäller områden inom vilka de för samma ändamål i enlighet med direktiv /58/EG. eller juridiska personer som behandlar elektroniska kommunikationstjänster i redan omfattas av särskilda skyldigheter Europeiska unionens officiella tidning L 119/87 Förhållande till tidigare ingångna avtal De internationella avtal som rör överföring av personuppgifter till tredjeländer eller internationella organisationer som ingicks av medlemsstaterna före och som är förenliga med unionsrätten i dess lydelse innan detta datum, ska fortsätta att gälla tills de ändras, ersätts eller återkallas. 1.Senast den 25 maj 2020 och därefter ska kommissionen överlämna en rapport om tillämpningen och översynen av denna förordning till och rådet. 2.Inom ramen för de utvärderingar och översyner som avses i punkt 1 ska kommissionen särskilt undersöka hur följande bestämmelser tillämpas och fungerar: a)Kapitel V om överföring av personuppgifter till tredjeländer och internationella organisationer, särskilt när det gäller beslut som antagits enligt artikel 45.3 i den här förordningen och beslut som antagits på grundval av artikel 25.6 i direktiv /46/EG. b)Kapitel VII om samarbete och enhetlighet. 3.Med avseende på tillämpningen av punkt 1 får kommissionen begära information från medlemsstaterna och till synsmyndigheterna. 4.Kommissionen ska när den utför de utvärderingar och översyner som avses i punkterna 1 och 2 ta hänsyn till ståndpunkter och slutsatser från , rådet och andra relevanta organ och källor. 5.Kommissionen ska om nödvändigt överlämna lämpliga förslag om ändring av denna förordning, med särskild hänsyn till informationsteknikens utveckling och mot bakgrund av tendenserna inom informationssamhället. Översyn av andra unionsrättsakter om dataskydd Kommissionen ska, om så är lämpligt, lägga fram lagstiftningsförslag i syfte att ändra andra unionsrättsakter om skydd av personuppgifter, för att säkerställa ett enhetligt och konsekvent skydd för fysiska personer med avseende på behandling. Detta gäller i synnerhet bestämmelserna om skyddet för fysiska personer i samband med behandling som utförs av unionens institutioner, organ och byråer samt om det fria flödet av sådana uppgifter. 1.Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning. 2.Den ska tillämpas . L 119/88 Europeiska unionens officiella tidning Denna förordning är till alla delar bindande och direkt tillämplig i alla medlemsstater. Sammanfattning av departementspromemorian Kriminalvårdens datalag – anpassning till EU:s dataskyddsförordning (Ds 2017:46) Anpassningar till EU:s dataskyddsförordning EU:s dataskyddsreform innebär att en ny dataskyddsförordning1 kommer att utgöra grunden för generell personuppgiftsbehandling inom EU . Reformen omfattar även ett nytt direktiv med särregler för den personuppgiftsbehandling som utförs av behöriga myndigheter för bl.a. brottsbekämpning, lagföring och straffverkställighet.2 Denna promemoria innehåller förslag till de författningsändringar som behövs med anledning av dataskyddsförordningen för Kriminalvårdens personuppgiftsbehandling till den del den inte omfattas av EU:s dataskyddsdirektiv. Utredningen om 2016 års dataskyddsdirektiv har i uppdrag att lämna förslag på den personuppgiftsbehandling hos som omfattas av den föreslagna brottsdatalagens tillämpningsområde. Det har i samråd med den utredningen framkommit att den kommer att lämna förslag om att dagens reglering – i lagen (2001:617) om behandling av personuppgifter inom kriminalvården och dess tillhörande förordning – bör användas för anpassning med anledning av brottsdatalagen, eftersom den del av Kriminalvårdens arbetsuppgifter som faller inom brottsdatalagens tillämpningsområde avser en helt övervägande del av verksamheten. Vår utgångspunkt har utifrån dessa förutsättningar varit att vårt lagförslag kommer att utgöra en ny lag och få ett nytt SFS-nummer. Den nuvarande regleringen är omodern och skiljer sig på flera punkter från nyare registerförfattningar. Vår ambition har därför varit att, utifrån givna tidsramar, föreslå en ny lag med en modern och uppdaterad struktur där språkbruket är lätt att följa. Vi föreslår att lagen ska kallas kriminalvårdens datalag. Vi föreslår att kriminalvårdens datalag inte ska gälla vid sådan behandling av personuppgifter som omfattas av den föreslagna brottsdatalagens 1Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). 2Europaparlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. Lagens tillämpningsområde ska enligt vårt förslag omfatta endast när personuppgifter behandlas för att utföra en arbetsupp- gift i syfte att verkställa frihetsberövanden eller att genomföra transport- er, till den del de inte faller in under brottsdatalagens tillämpningsom- Exempel på frihetsberövanden utanför brottsdatalagens tillämpnings- område är 4 § lagen (1976:511) om omhändertagande av berusade per- soner m.m. och 47 § lagen (1991:1128) om psykiatrisk tvångsvård. Brottsdatalagen torde inte heller bli tillämplig på en utlänning som hålls i förvar i en kriminalvårdsanstalt eller i ett häkte med stöd av 8 och 8 a §§ lagen (1991:572) om särskild utlänningskontroll eller 10 kap. 1 eller 2 § utlänningslagen (2005:716). Detsamma torde gälla den som är häktad en- ligt 2 kap. 12 § konkurslagen (1987:672) eller 2 kap. 16 § utsöknings- balken (1981:774). Kriminalvården bistår många myndigheter med transporter, t.ex. till förvar, i samband med tvångsvård eller till och från förhandlingar i förvaltningsdomstolarna. Dessa transporter faller inte under brottsdatalagens tillämpningsområde och behöver regleras genom den registerförfattning som vi föreslår. Dataskyddsförordningen ska tillämpas i som om den vore nat- ionell rätt, men hindrar inte förekomsten av nationella registerförfatt- Dessa kommer framöver dock endast att utgöra en komplettering till dataskyddsförordningen, vilket enligt vårt förslag ska klargöras i kri- Den rättsliga grunden för den personuppgiftsbehandling som utförs inom kriminalvårdens datalags tillämpningsområde utgörs enligt vår bedömning av att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Vi har anpassat den nya lagens ändamålsbestämmelser efter dataskyddsförordningen. De största förändringarna i förhållande till nuvarande reglering i lagen om behandling av personuppgifter inom kriminalvården beror på att den nya lagen har fått en modernare utformning. Det finns ett värde i att svenska registerförfattningar utformas med en liknande struktur och begreppsbildning. Vi föreslår att det i kriminalvårdens datalag klargörs att personuppgifter som behandlas eller har behandlats för lagens primära ändamål ska få behandlas om det behövs för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål, förutsatt att de säkerhetsåtgärder som framgår av artikel 89.1 i dataskyddsförordningen vidtas. Vi har anpassat den nya lagens materiella bestämmelser efter dataskydds- Vi föreslår en lag som exempelvis innefattar bestämmelser om personuppgiftsansvar, direktåtkomst och bevarande. hållande till nuvarande reglering beror främst på behov av modernisering av den gamla lagen och dess tillhörande förordning. Vi föreslår dock att bestämmelserna om behandling av känsliga personuppgifter anpassas till dataskyddsförordningen på så sätt att definitionen av vilka kategorier av personuppgifter som ska anses vara känsliga överensstämmer med dataskyddsförordningens begrepp. Detta innebär att uppgifter om genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person tillkommer. Förändringen ska emellertid inte innebära några hinder mot att – på samma sätt som – behandla personuppgifter som finns i Kriminalvårdens register. När dataskyddsförordningen börjar tillämpas ska personuppgiftslagen (1998:204) upphävas.3 I motsats till vad som tidigare gällt för lagen om behandling av personuppgifter inom kriminalvården i förhållande till personuppgiftslagen föreslår vi att kriminalvårdens datalag ska gälla i stället för den föreslagna lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (förkortad dataskyddslagen), som föreslås komplettera EU:s dataskyddsförordning på ett generellt plan i svensk rätt (se betänkande [SOU 2017:39]). Det ska i kriminalvårdens datalag särskilt anges vilka bestämmelser i dataskyddslagen som ska gälla inom tillämpningsområdet. Genom hänvisningar till dataskyddslagens bestämmelser kommer det att finnas en reglering om bl.a. de aktuella myndigheternas rätt att behandla uppgifter om personnummer och samordningsnummer samt rätten för myndigheterna att återanvända personuppgifter i arkiverade handlingar. Det kommer även att finnas undantag från den registrerades rätt till information vid insamling av personuppgifter samt från rätten till ett registerutdrag. Dataskyddsförordningen innehåller bestämmelser som i vissa fall ger den registrerade rätt till information om en inträffad personuppgiftsincident. För att säkerställa att den registrerade inte genom sådan information får del av uppgifter som det råder sekretess för gentemot honom eller henne, föreslår vi att det införs ett undantag från denna rättighet. Undantaget ska gälla om den personuppgiftsansvarige, enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning, inte får lämna ut uppgifter till den registrerade. De undantag från dataskyddsförordningens bestämmelser om den registrerades rättigheter som vi föreslagit får – tillsammans med de undantag som finns i dataskyddsförordningen – till följd att de aktuella myndigheternas verksamhet kan fortgå även om den registrerade utnyttjar sina rättigheter enligt dataskyddsförordningen. Genomförande av transporter och verksamhet med frihetsberövande behöver inte avstanna, bevarande av handlingar kommer att vara möjlig, personuppgifter i avslutade och arkiverade ärenden kan fortsätta behandlas och allmänhetens tillgång till allmänna handlingar inskränks inte. 3 Se SOU 2017:39 s. 78 och kommittédirektiv till (Dir. 2016:15 s. 6). Dataskyddsförordningen och förslaget till dataskyddslag kommer att förändra systemet för sanktioner vid otillåten personuppgiftsbehandling. Vi föreslår att dataskyddslagens bestämmelser om administrativa sanktionsavgifter mot myndigheter i tillämpliga delar ska gälla även på kriminalvårdens datalags tillämpningsområde. Detsamma gäller för dataskyddslagens bestämmelser om tillsynsmyndighetens handläggning och beslut. Genom en hänvisning till dataskyddslagen ska det klargöras att den rätt till skadestånd för registrerade som framgår av dataskyddsförordningen även gäller vid överträdelser av dataskyddslagens (i tillämpliga delar) och kriminalvårdens datalags bestämmelser. Också dataskyddslagens överklagandebestämmelser kommer att gälla inom tillämpningsområdet för kriminalvårdens datalag. Förslag till Kriminalvårdens datalag Härigenom föreskrivs följande. 1 § Syftet med denna lag är att ge Kriminalvården möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i kriminalvårdande verksamhet som inte omfattas av brottsdatalagens (2018:xx) tillämpningsområde och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. 2 § Denna lag gäller för behandling av personuppgifter i kriminalvårdande verksamhet som inte omfattas av brottsdatalagens (2018:xx) tillämpningsområde. Lagen gäller också när personuppgifterna vidarebehandlas i den administrativa verksamheten för att lämnas ut efter begäran. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Förhållandet till annan lagstiftning 3 § Denna lag innehåller kompletterande bestämmelser till och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG. 4 § Om inte något annat anges i 5 § gäller denna lag i stället för lagen (2018:xx) med kompletterande bestämmelser till EU:s dataskyddsförordning. 5 § När personuppgifter behandlas enligt denna lag, eller enligt föreskrifter som har meddelats i anslutning till lagen, gäller följande bestämmelser i lagen (2018:xx) med kompletterande bestämmelser till EU:s dataskyddsförordning: 1.1 kap. 4 § första stycket om förhållandet till tryck- och yttrandefriheten, 2.3 kap. 6 § om behandling av känsliga personuppgifter för arkivändamål av allmänt intresse, 3.3 kap. 13 § om behandling av personnummer och samordningsnummer, 4.4 kap. 1 § om användningsbegränsningar för arkiverade personuppgifter, 5.5 kap. 1 § första stycket och 5 kap. 2 § om begränsningar av vissa rättigheter och skyldigheter, 6 kap. 1–5 §§ om tillsynsmyndighetens handläggning och beslut, 7 kap. 1, 3 och 4 §§ om administrativa sanktionsavgifter, och 8 kap. 1–4 och 6 §§ om skadestånd och överklagandebestämmelser. 6 § Personuppgifter får bara behandlas om det behövs för att utföra en arbetsuppgift i syfte att 1.verkställa frihetsberövanden, eller För att förebygga och förhindra incidenter av betydelse för enskildas säkerhet i de verksamheter som avses i första stycket får även uppgifter i det säkerhetsregister som avses i [namnet på den registerförfattning som kompletterar brottsdatalagen för kriminalvårdens verksamhet] (2018:xx) behandlas. 7 § Personuppgifter som behandlas eller har behandlats enligt 6 § får även behandlas om det behövs 1.för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning, eller 2.för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i och rådets förordning (EU) 2016/679. 8 § Tillgången till personuppgifter ska begränsas till det som varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. 9 § Kriminalvården är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Behandling av känsliga personuppgifter 10 § Sådana särskilda kategorier av personuppgifter som avses i artikel 9.1 i och rådets förordning (EU) 2016/679 (känsliga personuppgifter) får endast behandlas om uppgifterna är absolut nödvändiga för syftet med behandlingen. Känsliga personuppgifter får inte utgöra den enda grunden för behandling av uppgifter om en person. 11 § Det är förbjudet att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. Vid sökning i säkerhetsregistret gäller dock vad som sägs i [x kap. y § i den registerförfattning som kompletterar brottsdatalagen för kriminalvårdens verksamhet] (2018:xx). 12 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1.tillgången till personuppgifter, 2.närmare bestämmelser om vilka personuppgifter som får behandlas, 3.frågor som rör direktåtkomst till personuppgifter, 4.den längsta tid under vilken personuppgifter får behandlas, och 5.säkerhetsåtgärder till skydd för personuppgifter. Denna lag träder i kraft . Äldre föreskrifter gäller för överklaganden av beslut som meddelats före ikraftträdandet och som rör behandling av personuppgifter i verksamhet som omfattas av denna lag. Förteckning över remissinstanserna (Ds 2017:46) Efter remiss har yttranden över promemorian Kriminalvårdens datalag – anpassning till EU:s dataskyddsförordning (Ds 2017:46) inkommit från , , Kammarrätten i , Förvaltningsrätten i , Justitiekanslern, , , , Säkerhetspolisen, Kriminalvården, i (avdelning ), i , , , och . ombudsmän, samt Kommuner och Landsting har avstått från att yttra sig. Synpunkter har även lämnats av . Härigenom föreskrivs följande. 1 § Denna lag gäller vid behandling av personuppgifter i Kriminalvårdens verksamhet som avser 1.verkställighet av frihetsberövanden, och 2.genomförande av transporter. Lagen gäller inte vid behandling av personuppgifter som omfattas av brottsdatalagens (2018:000) tillämpningsområde. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Förhållandet till annan reglering 2 § Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. 3 § Personuppgifter får behandlas om det är nödvändigt för att 1.verkställa frihetsberövanden, eller Uppgifter i Kriminalvårdens säkerhetsregister får dock endast behandlas för att förebygga och förhindra incidenter av betydelse för enskildas säkerhet. 4 § Personuppgifter som behandlas enligt 3 § får även behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Personuppgifter som behandlas enligt 3 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Behandling av känsliga personuppgifter 5 § Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får behandlas endast om det är absolut nödvändigt för syftet med behandlingen. 6 § Det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Sökförbudet hindrar inte sökning i personuppgifter i säkerhetsregistret i syfte att få fram ett urval av personer grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning. 7 § Tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. 8 § Den personuppgiftsansvariges skyldighet att informera den registrerade om en personuppgiftsincident enligt artikel 34 i EU:s dataskyddsförordning gäller inte sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Rätt att meddela föreskrifter 9 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om vilka myndigheter som får ha direktåtkomst till personuppgifter. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om 1.tillgången till personuppgifter, 2.de personuppgifter som får behandlas, 3.den längsta tid under vilken personuppgifter får behandlas, och 4.säkerhetsåtgärder till skydd för personuppgifter. 1.Denna lag träder i kraft . 2.Lagen (2001:617) om behandling av personuppgifter inom kriminalvården gäller fortfarande för överklagande av beslut som har meddelats före ikraftträdandet och som rör behandling av personuppgifter i verksamhet som omfattas av förevarande lag. Utdrag ur protokoll vid sammanträde Närvarande: F.d. justitieråden och samt justitierådet Enligt en lagrådsremiss har regeringen () beslutat inhämta Lagrådets yttrande över förslag till kriminalvårdsdatalag. Förslaget har inför Lagrådet föredragits av rättssakkunniga . Förslaget föranleder följande yttrande av Lagrådet: Av den föreslagna lagtexten framgår inte att personuppgiftsbehandlingen vid verkställighet av frihetsberövanden och genomförande av transporter till största delen kommer att falla utanför lagens tillämpningsområde och i stället ske med tillämpning av brottsdatalagen. Lagtexten ger det motsatta intrycket. Lagrådet föreslår att första och andra styckena slås samman och att första stycket formuleras enligt följande. Denna lag gäller vid behandling av personuppgifter i Kriminalvårdens verksamhet som avser verkställighet av frihetsberövanden och genomförande av transporter i de fall brottsdatalagen (2018:000) inte är tillämplig. Om Lagrådets förslag följs bör inte heller 3 § skrivas i punktform. Enligt författningskommentaren innehåller paragrafen upplysningsbestämmelser. De syftar endast till att erinra om den föreskriftsrätt som regeringen har enligt 8 kap. 7 § regeringsformen. Det är alltså inte fråga om några bemyndiganden. Första stycket innebär emellertid att lagstiftaren begränsar regeringens generella möjlighet enligt 8 kap. 11 § regeringsformen att vidaredelegera sin föreskriftsrätt. Det framstår mot den bakgrunden som tveksamt att se bestämmelsen endast som en upplysningsbestämmelse. och den valda formuleringen bör övervägas under den fortsatta beredningen. I andra stycket rör det sig om rena upplysningsbestämmelser.