prop · H503248 · 2018-04-19 00:00:00 — Regeringens förslag: Kriminalvårdens skyldigheter att informera den registrerade om en personuppgiftsincident enligt artikel 34 i EU:s dataskyddsförordning ska inte gälla sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Promemorians förslag överensstämmer med regeringens. I promemorian lämnas dock inget författningsförslag. Remissinstanserna: Datainspektionen instämmer i promemorians förslag om att det i kriminalvårdsdatalagen ska införas en bestämmelse om att den registrerades rätt att få information om en personuppgiftsincident enligt artikel 34 i dataskyddsförordningen inte ska gälla om Kriminalvården, enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning, inte får lämna ut uppgifter till den registrerade. Datainspektionen noterar att det saknas en bestämmelse om detta i promemorians författningsförslag. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Genom dataskyddsförordningen införs en skyldighet för den personuppgiftsansvarige att anmäla till tillsynsmyndigheten om det inträffar en s.k. personuppgiftsincident (artikel 33). Med personuppgiftsincident avses en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats (artikel 4.12). Om personuppgiftsincidenten sannolikt leder till en hög risk för fysiska personers rättigheter och friheter, ska den personuppgiftsansvarige utan onödigt dröjsmål informera den registrerade om personuppgiftsincidenten. Sådan information krävs dock inte om (a) den personuppgiftsansvarige har genomfört lämpliga tekniska och organisatoriska skyddsåtgärder och dessa åtgärder tillämpats på de personuppgifter som påverkas av personuppgiftsincidenten, (b) den personuppgiftsansvarige har vidtagit ytterligare åtgärder som säkerställer att den höga risken för de registrerades rättigheter och friheter sannolikt inte längre kommer att uppstå eller (c) det skulle inbegripa en oproportionell ansträngning. I det sistnämnda fallet ska i stället allmänheten informeras eller en liknande åtgärd vidtas genom vilken de registrerade informeras på ett lika effektivt sätt (artikel 34). Dataskyddsförordningen ger därutöver en möjlighet att i nationell rätt föreskriva begränsningar av skyldigheten att informera den registrerade om en personuppgiftsincident (artikel 23). Det finns därför anledning att överväga om en sådan begränsning bör införas i kriminalvårdsdatalagen. Dataskyddsförordningens bestämmelse om information till den registrerade vid en personuppgiftsincident skulle, utan en begränsning i enlighet med artikel 23, kunna innebära att den registrerade får information om att hans eller hennes personuppgifter behandlas av Kriminalvården, trots att det råder sekretess om detta förhållande gentemot den registre- 2017/18:248 rade. Bestämmelser som begränsar rätten till information är nödvändiga med hänsyn till enskilda och allmänna intressen. Det är framför allt regleringen i offentlighets- och sekretesslagen som tillgodoser det behovet. Till exempel gäller en allmän säkerhetssekretess inom kriminalvården för alla uppgifter om säkerhets- och bevakningsåtgärder om det kan antas att syftet med åtgärden motverkas om uppgiften lämnas ut (18 kap. 8 och 11 §§ OSL). Enligt 18 kap. 11 § OSL gäller sekretess för uppgift inom kriminalvården om åtgärd som har till syfte att hindra rymning eller fritagning, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs. Regeringen anser mot denna bakgrund att Kriminalvårdens skyldighet att informera den registrerade om en personuppgiftsincident inte bör gälla sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. På detta sätt kommer nationella bestämmelser om sekretess och tystnadsplikt att gå före den registrerades rätt att få information om inträffade incidenter. I promemorian görs bedömningen att ett sådant undantag kan ske med stöd av artikel 23.1 f i dataskyddsförordningen. Enligt den bestämmelsen är det möjligt att i nationell rätt förskriva en begränsning om det sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa skydd av rättsväsendets oberoende och rättsliga åtgärder. Datainspektionen menar att det, utöver i artikel 23.1 f, även finns stöd för en undantagsbestämmelse i punkten e, som ger rätt till begränsningar om det sker i syfte att säkerställa andra av unionens eller en medlemsstats viktiga mål av generellt intresse. Regeringen instämmer i Datainspektionens bedömning. Det bör framhållas att den föreslagna begränsningen endast gäller som uppgifterna omfattas av sekretess. När sekretessen inte längre gäller gentemot den registrerade bör den personuppgiftsansvarige alltså informera denne om personuppgiftsincidenten, om inte något av undantagen i artikel 34.3 i dataskyddsförordningen är tillämpligt. Regeringens förslag: I lagen ska det upplysas om att regeringen kan meddela föreskrifter om vilka myndigheter som får ha direktåtkomst Promemorians förslag överensstämmer delvis med regeringens. memorian föreslås att det även ska upplysas om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om tillgången till personuppgifter, närmare bestämmelser om vilka person- uppgifter som får behandlas, frågor som rör direktåtkomst till personupp- gifter, den längsta tid under vilken personuppgifter får behandlas och om säkerhetsåtgärder till skydd för personuppgifter. Remissinstanserna: Se avsnitt 5.1 angående Datainspektionens syn- punkt om att regleringen av vilka aktörer som får medges direktåtkomst ska ske i lag. Övriga remissinstanser tillstyrker förslaget eller har inget att invända mot det. Skälen för regeringens förslag: Frågan om direktåtkomst till person- Prop. 2017/18:248 uppgifter för personer inom kriminalvården regleras i 6 § lagen om be- handling av personuppgifter inom kriminalvården. Andra stycket stadgar att 10 § gäller i fråga om direktåtkomst till personuppgifter som får lämnas ut till andra myndigheter. Av 10 § framgår att regeringen meddelar föreskrifter om att personuppgifter ska lämnas ut till myndighet även i andra fall än vid utlämnande av uppgifter till rättsstatistik och om vilka myndigheter som i det sammanhanget får ha direktåtkomst till personuppgifter. Av 11 § samma lag framgår vidare att regeringen, eller den myndighet som regeringen bestämmer, får meddela föreskrifter om begränsningar av de angivna ändamålen, om begränsningar av de uppgifter som får behandlas för ett visst ändamål, om intern direktåtkomst, om när gallring ska ske samt om utlämnande av uppgifter om rättsstatistik. Regeringen anser att det även fortsättningsvis finns behov av att kunna meddela föreskrifter och att det är lämpligt att mer detaljerade bestämmelser tas in i förordning. Lagrådet menar dock att en sådan fristående uppräkning med upplysningsbestämmelser som föreslogs i lagrådsremissen kan väcka frågan om vad som gäller för regeringens föreskriftsrätt på de områden som inte räknas upp. För att undvika detta föreslås ingen sådan uppräkning i propositionen. Lagrådet menar vidare att det är tveksamt om man kan se bestämmelsen om att regeringen kan meddela föreskrifter om vilka myndigheter som får ha direktåtkomst till personuppgifter endast som en upplysningsbestämmelse mot bakgrund av att den begränsar regeringens generella möjlighet att vidaredelegera sin föreskriftsrätt enligt 8 kap. 11 § regeringsformen. Någon inskränkning av den grundlagsreglerade befogenheten är inte avsedd men eftersom det redan nu står helt klart att regeringen inte kommer att utnyttja rätten till vidaredelegation är det lämpligt att bestämmelsen formuleras på samma sätt som , dvs. att det är regeringen som kan meddela sådana föreskrifter (10 § lagen om behandling av personuppgifter inom kriminalvården). Lagrådet anser vidare att paragrafens rubrik – Rätt att meddela föreskrifter – riskerar att leda tanken fel genom att ge intryck av att regeringen genom paragrafen tillförs rätt att meddela föreskrifter. Rubriken syftar dock på den rätt som regeringen har att meddela föreskrifter enligt regeringsformen och bör därför behållas. Regeringens förslag: Kriminalvårdsdatalagen ska träda i kraft . För överklagande av beslut som rör behandling av personuppgifter i verksamhet som omfattas av den nya lagen och som före ikraftträdandet har meddelats med stöd av lagen om behandling av personuppgifter inom kriminalvården ska den lagen gälla i den nuvarande lydelsen. Promemorians förslag överensstämmer i huvudsak med regeringens utom när det gäller tidpunkten för ikraftträdandet. 2017/18:248 Remissinstanserna tillstyrker förslagen eller har inget att invända mot dem. Skälen för regeringens förslag Den nya lagen bör träda i kraft Enligt dataskyddsförordningens artikel 99 ska förordningen träda i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning och tillämpas . Den nya dataskyddslagen med kompletterande bestämmelser till förordningen föreslås träda i kraft (prop. 2017/18:105). Kriminalvårdsdatalagen ska gälla för behandling av personuppgifter som inte omfattas av brottsdatalagens tillämpningsområde. Brottsdatalagen föreslås träda i kraft (prop. 2017/18:232). Eftersom tillämpningsområdet för kriminalvårdsdatalagen anges genom brottsdatalagen är det lämpligt att de båda lagarna träder i kraft . Överklagande av tillsynsmyndighetens, Kriminalvårdens och domstolarnas beslut Enligt allmänna förvaltningsrättsliga principer gäller att de föreskrifter som är i kraft när prövningen hos en myndighet eller förvaltningsdomstol sker som huvudregel ska tillämpas. Detta gäller i fråga om både förfarandet och prövningen i sak och även om ett överklagat beslut har fattats före ikraftträdandet. Principen är inte undantagslös och det kan också följa av övergångsbestämmelser eller motiven till lagstiftningen att en annan ordning är avsedd (jfr RÅ 1996 ref. 57). Det finns mot denna bakgrund skäl att överväga behovet av övergångsbestämmelser när det gäller överklagande av tillsynsmyndighetens, Kriminalvårdens och domstolarnas beslut. Enligt punkt 6 i ikraftträdande- och övergångsbestämmelserna till dataskyddslagen gäller personuppgiftslagen fortfarande för överklagande av beslut som har meddelats med stöd av den lagen. Samma ordning bör gälla för kriminalvårdsdatalagen och klargöras genom en övergångsbestämmelse som anger att lagen om behandling av personuppgifter inom kriminalvården fortfarande gäller för överklagande av beslut som har meddelats före ikraftträdandet. Bestämmelsen har förtydligats efter synpunkt från Lagrådet. 6 Konsekvenser av förslagen Regeringens bedömning: Förslagen innebär en viss förstärkning av skyddet för enskildas personliga integritet. Eventuellt ökade kostnader ryms inom befintliga anslag. Förslagen har inte någon påverkan på jämställdheten mellan män och kvinnor. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanserna tillstyrker bedöm- Prop. 2017/18:248 ningen eller har inget att invända mot den. förutsätter att de olika förslagens sammantagna påverkan på förvaltningsdomstolarnas resurser och kostnader kommer att beaktas och att utvecklingen kommer att följas upp. Skälen för regeringens bedömning: Även om det nu införs en ny lag för personuppgiftsbehandling som är tillämplig inom en viss del av kriminalvårdens verksamhet kan man konstatera att kriminalvårdens förutsättningar för att behandla personuppgifter i stora delar kommer att vara desamma som . Bestämmelserna om begränsning av behandling av känsliga personuppgifter, sökförbudet och att tillgången till personuppgifter begränsas till det som var och en behöver för att fullgöra sina arbetsuppgifter inom kriminalvården innebär att regleringen är mer långtgående än vad dataskyddsförordningen kräver, vilket innebär en förstärkning av skyddet för den personliga integriteten. Vad gäller Kammarrätten i synpunkt konstateras att dataskyddsreformens sammantagna effekter för domstolarna inte kan analyseras inom ramen för detta lagstiftningsärende. Regeringen bedömer att eventuellt ökade kostnader för statliga myndigheter till följd av förslagen ryms inom myndigheternas befintliga anslag. Regeringen bedömer att förslagen inte har någon påverkan på jämställdheten mellan män och kvinnor och att de inte får några sociala eller miljömässiga konsekvenser. 1 § Denna lag gäller vid behandling av personuppgifter i Kriminalvårdens verksamhet som avser verkställighet av frihetsberövanden och genomförande av transporter i de fall brottsdatalagen (2018:000) inte är tillämplig. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Paragrafen, som har utformats i enlighet med Lagrådets förslag, anger tillämpningsområdet för lagen. Övervägandena finns i avsnitt 5.3. I första stycket anges att lagen gäller vid behandling av personuppgifter i Kriminalvårdens verksamhet som avser dels verkställighet av frihetsberövanden, dels genomförande av transporter. Lagen innehåller inte någon definition av vad som är en personuppgift. Av 2 § framgår dock att lagen kompletterar dataskyddsförordningen. Begreppet personuppgifter definieras i artikel 4.1 i dataskyddsförordningen som varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer 2017/18:248 eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller Begreppet behandling definieras i artikel 4.2 som en åt- gärd eller kombination av åtgärder beträffande personuppgifter eller upp- sättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lag- ring, bearbetning eller ändring, framtagning, läsning, användning, utläm- ning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring. Lagen gäller vid behandling av personuppgifter vid verkställighet av De frihetsberövanden som avses är sådana som faller utanför brottsdatalagens tillämpningsområde, dvs. annan grund än för misstanke om brott och straffverkställighet. t.ex. handla om en person som har omhändertagits enligt 4 § lagen (1976:511) om omhändertagande av berusade personer m.m. eller om en utlänning som har tagits i förvar enligt 8 § lagen (1991:572) om särskild utlänningskontroll eller enligt 10 kap. 1 eller 2 § utlänningslagen (2005:716). Även frihetsberövanden i samband med beslut om häktning enligt 2 kap. 12 § konkurslagen (1987:672) eller enligt 2 kap. 16 § utsök- ningsbalken (1981:774) är sådana frihetsberövanden som faller inom förevarande lags tillämpningsområde. Lagen gäller också vid behandling av personuppgifter vid genomför- ande av transporter. Enligt 6 § förordningen (2007:1172) med instruktion för Kriminalvården ska myndigheten verkställa de transporter som Polis- myndigheten och Säkerhetspolisen överlämnar enligt 29 a § polislagen (1984:387) samt lämna andra myndigheter den hjälp med transport som är särskilt föreskrivet. De transporter som avses är sådana som faller utanför brottsdatalagens tillämpningsområde, dvs. grund än för misstanke om brott och straffverkställighet. handla om transporter av personer enligt lagen (1990:52) med särskilda bestämmelser om vård av unga eller lagen (1988:870) om vård av miss- brukare i vissa fall, transporter till förhandling i allmän förvaltnings- domstol eller mellan SIS-institutioner, transport av förvarstagna som ska utvisas enligt utlänningslagen och transporter av personer enligt lagen (1991:1128) om psykiatrisk tvångsvård mellan olika sjukvårdsinrätt- Lagen är även tillämplig när Kriminalvården vidarebehandlar person- uppgifterna för att t.ex. lämna ut dem efter begäran. När en enskild eller en myndighet begär att få ta del av en uppgift ska lagen alltså tillämpas även beträffande den vidarebehandling av de personuppgifter som avses i Utanför lagens tillämpningsområde faller däremot behand- ling av personuppgifter i samband med interna och administrativa åtgärd- er som kan förekomma i Kriminalvårdens verksamhet, t.ex. i ett person- al- och löneregister. När personuppgifter som har behandlats med stöd av brottsdatalagen ska vidarebehandlas för ändamål utanför den lagens tillämpningsområde ska en särskild prövning göras enligt 2 kap. 22 § förslag till brottsdatalag (prop. 2017/18:232). EU:s dataskyddsreform innebär att två nya regelkomplex blir tillämp- liga, dataskyddsförordningen och dataskyddsdirektivet. omförs i svensk rätt genom bland annat brottsdatalagen. i de fallbrottsdatalagen är tillämplig, dvs. när Kriminalvården i egenskap Prop. 2017/18:248 av behörig myndighet behandlar personuppgifter i syfte att verkställa häktning eller straffrättsliga påföljder eller biträda en annan behörig myndighet när den utför arbetsuppgifter för något av de syften som anges i 1 kap. 2 § brottsdatalagen. Dessa syften är att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Viss behandling av personuppgifter vid regleras också i annan lagstiftning, t.ex. patientdatalagen (2008:355) som är tillämplig när Kriminalvården bedriver hälso- och sjukvård. Paragrafens andra stycke begränsar lagens tillämpningsområde till att, på motsvarande sätt som dataskyddsförordningen, i första hand avse helt eller delvis automatiserad behandling av personuppgifter. Men även viss behandling omfattas. Så är fallet för annan behandling än automatiserad behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. För automatiserad behandling krävs det inte att de personuppgifter som hanteras är del av något som kan anses utgöra ett register eller att personuppgifterna annars är ordnade på visst sätt. Även behandling av enstaka personuppgifter i löptext omfattas således när det är fråga om automatiserad behandling. Motsatsen gäller för helt behandling. I de fall då det är fråga om helt behandling av personuppgifter som inte ingår i någon samling och inte heller är avsedda att göra det, är lagen inte tillämplig. Förhållandet till annan reglering 2 § Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Paragrafen upplyser om att lagen kompletterar dataskyddsförordningen och anger hur lagen förhåller sig till lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Övervägandena finns i avsnitt 5.2. EU:s dataskyddsförordning utgör den generella regleringen av personuppgiftsbehandling inom EU. Förordningen är direkt tillämplig. Av artikel 2.2 d i förordningen framgår att den inte ska tillämpas på behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Dataskyddsförordningen är således inte tillämplig i de fall då brottsdatalagen är tillämplig (se kommentaren till 1 § andra stycket). 2017/18:248 I första stycket anges att lagen innehåller kompletterande bestämmelser till dataskyddsförordningen. Att dataskyddsförordningen är direkt tillämplig innebär att lagen inte kan tillämpas fristående, utan endast tillsammans med dataskyddsförordningen. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att medlemsstaterna inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Denna lag innehåller bestämmelser som kompletterar dataskyddsförordningen i den verksamhet som anges i 1 §, dvs. vid verkställighet av frihetsberövanden och genomförande av transporter. Hänvisningarna i lagen till dataskyddsförordningen är dynamiska, dvs. avser förordningen i den gällande lydelsen. Av andra stycket framgår att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller vid behandling av personuppgifter enligt denna lag. Detta gäller dock endast om inte något annat följer av denna lag eller av föreskrifter som har meddelats i anslutning till lagen. 3 § Personuppgifter får behandlas om det är nödvändigt för att verkställa frihetsberövanden eller genomföra transporter. Uppgifter i Kriminalvårdens säkerhetsregister får dock endast behandlas för att förebygga och förhindra incidenter av betydelse för enskildas säkerhet. I paragrafen, som har utformats i enlighet med Lagrådets förslag, anges de primära ändamålen för personuppgiftsbehandling. Övervägandena finns i avsnitt 5.5. Enligt första stycket får Kriminalvården behandla personuppgifter om det är nödvändigt för att verkställa frihetsberövanden och genomföra transporter. Det är fråga om s.k. primära ändamål, dvs. ändamål för vilka Kriminalvården inte enbart får behandla uppgifter, utan även får samla in uppgifter. Vad gäller innebörden av uttrycken verkställa frihetsberövanden och genomföra transporter, se författningskommentaren till 1 §. Uppräkningen i paragrafen är uttömmande. Frågan om huruvida behandling av en viss personuppgift är nödvändig får bedömas utifrån om behandlingen är adekvat, relevant och nödvändig för arbetsuppgiften i det enskilda fallet. I detta ingår att personuppgifter får behandlas för tillsyn, kontroll, uppföljning och planering av verksamheten. Att behandlingen ska vara nödvändig innebär inte ett krav på att behandlingsåtgärden ska vara oundgänglig. Behandlingen kan anses nödvändig om den leder till effektivitetsvinster. Personuppgifter får även behandlas i det säkerhetsarbete som syftar till att förebygga och förhindra incidenter kopplade till att verkställa frihetsberövanden och genomföra transporter. Rent brottsförebyggande arbete, liksom om brottsmisstanke uppstår, faller dock inom brottsdatalagens tillämpningsområde (se kommentaren till 1 § andra stycket). I andra stycket tydliggörs att Kriminalvården får behandla personuppgifterna i myndighetens säkerhetsregister för att förebygga och förhindra incidenter av betydelse för enskildas säkerhet. i förordningen (2001:682) om behandling av personuppgifter inom kriminalvården men föreslås regleras i lagen om kriminalvårdens be- Prop. 2017/18:248 handling av personuppgifter inom brottsdatalagens område när den ändras (se lagrådsremissen Brottsdatalag – kompletterande lagstiftning).