prop · H503269 · 2018-06-19 00:00:00 — är fråga om fotografier eller ljudupptagningar. Samma sak gäller om de 2017/18:269 uppgifter som den enskildes begäran avser är sammanställda utifrån en sökning som framstår som integritetskänslig. För att uppgifterna ska kunna lämnas ut i elektronisk form måste det även finnas rutiner för data- säkerhet. Särskilda säkerhetsåtgärder kan även behöva vidtas exempelvis när personuppgifterna överförs genom e-post för att minska säkerhets- riskerna vid sådan överföring. I andra stycket finns en upplysning om att regeringen eller den myn- dighet som regeringen bestämmer kan meddela ytterligare föreskrifter om begränsningar av möjligheterna att lämna ut personuppgifter elektro- niskt på annat sätt än genom direktåtkomst. Paragrafen, som motsvarar 17 § domstolsdatalagen, reglerar direkt- åtkomst. Övervägandena finns i avsnitt 12.6.1. Med direktåtkomst avses att någon har direkt tillgång till register, data- baser eller andra samlingar av uppgifter som behandlas automatiserat eller på egen hand kan söka efter information, dock utan att kunna på- verka innehållet i uppgiftssamlingen. I begreppet direktåtkomst ligger också att den som är ansvarig för uppgiftssamlingen inte har någon kon- troll över vilka uppgifter som mottagaren vid ett visst tillfälle tar del av. Brottsdatalagen innehåller inte några särskilda bestämmelser om direktåtkomst. I första stycket begränsas möjligheterna för en domstol att medge direktåtkomst till vissa mottagare, nämligen dels allmänna domstolar och allmänna förvaltningsdomstolar, dels parter och parters ombud, biträde eller försvarare. Bestämmelsen ger en domstol möjlighet att medge direktåtkomst, men innebär inte någon rätt för mottagarna att få sådan åtkomst. Det är den domstol som innehar uppgifterna som bestämmer om direktåtkomst ska beviljas eller inte. Direktåtkomst får beviljas endast om det bedöms lämpligt. Paragrafen har inte någon sekretessbrytande verkan. För att en domstol ska kunna medge direktåtkomst räcker det därför inte att det är tillåtet enligt lagen. Direktåtkomst till uppgifter som omfattas av sekretess får bara medges om det står klart att mottagaren vid en prövning enligt offentlighets- och sekretesslagen (2009:400) med säkerhet skulle ha rätt att ta del av uppgifterna. I 11 kap. 4 och 8 §§ offentlighets- och sekretesslagen finns särskilda bestämmelser om överföring av sekretess vid direktåtkomst. Av andra stycket följer att direktåtkomsten för en part eller partens ombud, biträde eller försvarare endast får avse personuppgifter i partens eget mål eller ärende. I tredje stycket finns en upplysning om att regeringen eller den myn- dighet som regeringen bestämmer kan meddela föreskrifter som ytterli- gare begränsar möjligheterna att medge direktåtkomst till person- uppgifter. Det kan t.ex. röra sig om att begränsa möjligheten till direkt- åtkomst till domstolar inom samma domstolsslag i vissa fall. Genom sådana föreskrifter kan det också preciseras vilka uppgifter som direkt- åtkomsten får avse. Det finns också en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om behörighets- och säkerhetsfrågor vid direktåtkomst. Personuppgifter i avgjorda mål och ärenden I paragrafen, som motsvarar 18 § domstolsdatalagen, finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela ytterligare föreskrifter om begränsningar för behandling av personuppgifter som hänför sig till ett mål eller ärende som har avgjorts genom en dom eller ett beslut som har fått laga kraft. Övervägandena finns i avsnitt 12.7. De föreskrifter som avses i paragrafen kan t.ex. röra begränsningar av möjligheterna att söka efter personnummer och namn i avgöranden som har fått laga kraft. Paragrafen reglerar vid vilka överträdelser av bestämmelser i lagen som sanktionsavgift får tas ut. Övervägandena finns i avsnitt 12.8. De grundläggande bestämmelserna om hur personuppgifter får behandlas inom brottsdatalagens tillämpningsområde finns i brottsdata- lagen. Enligt 6 kap. brottsdatalagen får sanktionsavgift tas ut vid överträdelser av angivna bestämmelser i den lagen. I första stycket anges uttömmande vid vilka överträdelser av domstolarnas brottsdatalag sanktionsavgift får tas ut av den personuppgiftsansvarige. avgör i det enskilda fallet om det är påkallat att ta ut sanktionsavgift, vilket framgår av formuleringen att avgift får tas ut. Sanktionsavgift får inte tas ut om behandlingen av personuppgifter utförs inom ramen för den dömande verksamheten (jfr 5 kap. 2 § andra stycket brottsdatalagen). Sanktions- avgift kan tas ut för överträdelse av lagens bestämmelser om rättsliga grunder och sökförbud. Brottsdatalagens förfaranderegler när det gäller sanktionsavgifter tillämpas när sanktionsavgift tas ut. I andra stycket anges att sanktionsavgiften ska bestämmas till högst I paragrafen regleras den registrerades rätt till skadestånd för behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den. Övervägandena finns i avsnitt 12.9.1. Paragrafen hänvisar till 7 kap. 1 § brottsdatalagen, som ska tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den. Det innebär att den person- uppgiftsansvarige ska ersätta den registrerade för den skada och kränk- ning av den personliga integriteten som behandlingen av personuppgifter har orsakat. Se vidare författningskommentaren till 7 kap. 1 § brottsdata- lagen (prop. 2017/18:232 s. 486 f.). 2017/18:269 Överklagande Paragrafen, som har utformats med 20 § domstolsdatalagen som förebild, innehåller bestämmelser om överklagande av beslut som har meddelats av en personuppgiftsansvarig domstol. Övervägandena finns i avsnitt 12.9.2. Bestämmelser om överklagande finns i 7 kap. brottsdatalagen. Denna paragraf gäller i stället för 7 kap. 2 § brottsdatalagen. I första stycket första meningen anges vilka beslut enligt brotts- datalagen som får överklagas. De beslut som får överklagas är beslut om rättelse eller komplettering enligt 4 kap. 9 § första stycket, beslut om radering enligt 4 kap. 10 § första stycket, beslut om begränsning av be- handlingen enligt 4 kap. 9 § andra stycket eller 10 § andra stycket, beslut att inte lämna information enligt 4 kap. 3 §, beslut att ta ut avgift enligt 4 kap. 12 § andra stycket och beslut att inte medge prövning av ett automatiserat beslut enligt 2 kap. 19 § första stycket. Av bestämmelsen framgår att de nämnda besluten, som meddelats av en personuppgifts- ansvarig hovrätt, tingsrätt eller förvaltningsrätt, får överklagas till kammarrätten. Det krävs inte prövningstillstånd i kammarrätten vid ett sådant överklagande. I sista meningen anges att ett beslut som har med- delats av en kammarrätt i egenskap av personuppgiftsansvarig får över- klagas till . Enligt andra stycket får Högsta domstolens och Högsta förvaltnings- domstolens beslut som dessa domstolar meddelat i egenskap av person- uppgiftsansvariga inte överklagas. Övervägandena om ikraftträdande- och övergångsbestämmelserna finns i avsnitt 16. Enligt punkt 1 träder lagen i kraft . Av punkt 2 framgår att domstolsdatalagen i lydelsen före fortfarande gäller för överklagande av beslut som har med- delats före . I punkt 3 anges att en sanktionsavgift endast får beslutas för överträdelse som har skett efter ikraftträdandet. Förslaget till lag om kriminalvårdens behandling av personuppgifter inom I enlighet med Lagrådets synpunkt upphävs lagen om behandling av personuppgifter inom kriminalvården och ersätts av en ny lag om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område (kriminalvårdens brottsdatalag). brottsdatalag motsvarar i stora delar innehållet i lagen om behandling av personuppgifter inom kriminalvården men den renodlas så att den bara behandling av personuppgifter inom brottsdatalagens De grundläggande bestämmelserna om säkerhets- registret, som har reglerats i förordning, tas in i den nya lagen. 2017/18:269 Lagen delas in i kapitel på samma sätt som övriga registerförfattningar. Som en anpassning till brottsdatalagen tillkommer ett kapitel om administrativa sanktionsavgifter, skadestånd och överklagande. 1 kap. Allmänna bestämmelser Paragrafen anger lagens tillämpningsområde. Övervägandena finns i av- Lagen gäller för behandling av personuppgifter när en myndighet inom kriminalvården i egenskap av behörig myndighet enligt brottsdatalagen behandlar personuppgifter för vissa syften. I kriminalvården ingår dels myndigheten , dels övervakningsnämnderna. Att lagen gäller utöver brottsdatalagen innebär att de grundläggande bestämmelserna om hur personuppgifter får behandlas finns i brottsdata- Den nu aktuella lagen innehåller preciseringar, undantag eller av- vikelser från bestämmelserna i brottsdatalagen. måste följaktligen läsas tillsammans med regleringen i brottsdatalagen och tolkas i ljuset av den regleringen. Av 1 kap. 3 § brottsdatalagen följer att lagen bara gäller för sådan be- handling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. behörig myndighet, personuppgift och behandling av personuppgifter definieras i 1 kap. 6 § brottsdatalagen. Tillämpningsområdet omfattar huvudsakligen verkställighet av häkt- ning och straffrättsliga påföljder. endast sådan häktning som ligger inom brottsdatalagens tillämpningsom- Det innebär att verkställighet av häktning enligt konkurslagen (1987:672) inte omfattas och inte heller förvaring i häkte för andra ända- mål än brottsutredning, lagföring och verkställighet av straffrättsliga på- Att annan häktesverksamhet ligger utanför tillämpningsområdet beror på att Kriminalvården då inte agerar som behörig myndighet enligt I straffverkställighet ingår verkställighet av fängelsestraff och av de fri- vårdspåföljder som Kriminalvården har ansvaret för. ingår också att förhindra eller förebygga brott under häktning och verk- ställighet av påföljder, att förebygga återfall i brott och att upprätthålla När övervakningsnämnderna behandlar personuppgifter görs det också inom ramen för straffverkställighet. fattar även utländska domar, om verkställigheten har övertagits från den Lagen gäller också för sådan personuppgiftsbehandling som utförs inom kriminalvården i syfte att biträda andra behöriga myndigheter när de utför uppgifter för något av de syften som anges i 1 kap. 2 § brotts- datalagen, dvs. förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder, samt 2017/18:269 upprätthålla allmän ordning och säkerhet. Vad det innebär utvecklas i avsnitt 13.2.1 och i kommentaren till 2 kap. 1 §. I paragrafen anges vilka myndigheter som är personuppgiftsansvariga. Övervägandena finns i avsnitt 13.2.2. Personuppgiftsansvarig är den myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter (1 kap. 6 § brottsdatalagen). Den personuppgiftsansvari- gas skyldigheter regleras i 3 kap. brottsdatalagen. Den personuppgifts- ansvarige ska t.ex. genom lämpliga tekniska och organisatoriska åtgärder säkerställa att behandlingen av personuppgifter är författningsenlig och att registrerades rättigheter skyddas (3 kap. 2 §). Det ankommer också på den personuppgiftsansvarige att se till att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter (3 kap. 6 §). Av första stycket framgår att Kriminalvården är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Bestäm- melsen motsvarar i den delen nuvarande 4 § lagen om behandling av personuppgifter inom kriminalvården. Enligt andra stycket är en övervakningsnämnd personuppgiftsansvarig för den behandling av personuppgifter som nämnden utför. Övervak- ningsnämnderna är självständiga myndigheter och ansvarar alltså för sin egen personuppgiftsbehandling. Det hindrar inte att nämnderna kan sam- arbeta och t.ex. utse ett gemensamt dataskyddsombud. Grundläggande bestämmelser om behandling Paragrafen reglerar de tillåtna rättsliga grunderna för behandling av Övervägandena finns i avsnitt 13.3.1. Paragrafen, som är anpassad till hur de rättsliga grunderna för behand- ling av personuppgifter anges i brottsdatalagen, gäller i stället för 2 kap. 1 § första stycket brottsdatalagen. Det bör noteras att regleringen i 2 kap. 2 § brottsdatalagen ger myndigheterna rättsligt stöd för att i vissa fall behandla personuppgifter enbart för diarieföring och nödvändig hand- Enligt paragrafen får personuppgifter behandlas om det är nödvändigt för att kunna utföra vissa uppgifter. I 2 kap. 1 § andra stycket brottsdata- lagen anges att med en behörig myndighets uppgift avses en uppgift som framgår av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för uppgiften (se vidare 2017/18:232 s. 440). Bestämmelsen bildar den yttre ramen för när behandling av personuppgifter är tillåten. Enligt punkt 1 får personuppgifter behandlas om det är nödvändigt för att kunna verkställa häktning eller straffrättsliga påföljder. som är aktuella är fängelsestraff, skyddstillsyn och villkorlig dom med föreskrift om samhällstjänst. Med fängelsestraff avses här även sådant Prop. 2017/18:269 fängelsestraff som utgör förvandlingsstraff för böter eller vite. ringen omfattar även motsvarande straffrättsliga påföljder som utdömts i en annan stat om påföljden ska verkställas i . Verkställigheten av häktning omfattar, som framgår av kommentaren till 1 kap. 1 §, endast sådan häktning som ligger inom brottsdatalagens tillämpningsområde. Personuppgifter får, enligt punkt 2, behandlas om det är nödvändigt för att förebygga, förhindra eller upptäcka brottslig verksamhet i samband med verkställighet. Med verkställighet avses här både verkställighet av häktning och verkställighet av straffrättsliga påföljder. När myndigheten behandlar personuppgifter för att utföra sådana uppgifter, t.ex. för att undvika att placera intagna som tillhör rivaliserande gäng tillsammans eller förhindra att narkotika tas in på ett häkte eller i en kriminalvårds- anstalt, utgör det alltså en tillåten behandling. För att regleringen inte ska tolkas för snävt används här uttrycket ”i samband med verkställighet”. Det kan t.ex. vara osäkert om ett visst handlande som har betydelse ur säkerhetssynpunkt ligger före, under eller efter verkställigheten. Enligt punkt 3 får personuppgifter behandlas om det är nödvändigt för att biträda andra behöriga myndigheter när de fullgör uppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. I det ingår bl.a. Kriminalvårdens personutredningar i brottmål och transporter av häktade under brottsutredningar eller till och från domstolsförhandlingar i brottmål. Vidare omfattas det biträde som består i att Kriminalvården på vissa orter hanterar Polismyndig- hetens arrestverksamhet. Även biträde åt övervakningsnämnder eller domstolar bl.a. vid omhändertagande enligt 28 kap. 11 § om undanröjande av skyddstillsyn omfattas. Personuppgifter får, enligt punkt 4, behandlas om det är nödvändigt för att myndigheten ska kunna utföra en uppgift som följer av en internatio- nell förpliktelse. Sådana internationella förpliktelser kan bestå i exem- pelvis att ta över straffverkställighet från en annan stat för verkställighet i eller att tillfälligt förvara personer som transporteras genom för straffverkställighet i ett annat land. Det kan också vara fråga om att hantera någon som har frihetsberövats med stöd av en arreste- ringsorder. I paragrafen upplyses om att förutsättningarna för att personuppgifter ska få behandlas för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdata- lagen. Övervägandena finns i avsnitt 6 och 13.3.1. Innan personuppgifter får behandlas för ett nytt ändamål inom eller utanför brottsdatalagens tillämpningsområde krävs det en prövning enligt 2 kap. 4 eller 22 § brottsdatalagen. Vad prövningen innebär utvecklas i avsnitt 6.3 och i prop. 2017/18:232 s. 125 f. I paragrafen regleras när biometriska uppgifter får behandlas. Över- vägandena finns i avsnitt 13.3.2. Biometriska uppgifter definieras i 1 kap. 6 § brottsdatalagen som per- sonuppgifter som rör en persons fysiska, fysiologiska eller beteende- mässiga kännetecken, som tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar unik identifiering av personen i fråga. Paragrafen möjliggör således användning av särskild teknisk behandling för att bekräfta unik identifiering av en person. Det innebär att t.ex. fingeravtryck, ansiktsgeometri, röstigenkänning eller rörelsemönster får användas för att identifiera en person. Biometriska uppgifter får behandlas enligt de förutsättningar som anges i 2 kap. 12 § brottsdatalagen. Behandlingen av de biometriska upp- gifterna ska vara absolut nödvändig för ändamålet med behandlingen. Det innebär att behovet av att behandla sådana uppgifter måste prövas särskilt noga. I paragrafen anges när personuppgifter får lämnas ut till en utländsk myndighet eller internationell organisation. Övervägandena finns i av- snitt 13.3.2. Bestämmelserna är sekretessbrytande. När personuppgifter överförs till tredjeland ska även bestämmelserna i 8 kap. brottsdatalagen beaktas. Punkt 1 gäller vid överflyttning av straffverkställighet till en annan stat. En liknande bestämmelse finns i nuvarande 48 § förordningen (2001:682) om behandling av personuppgifter inom kriminalvården. En förutsättning är att informationen lämnas till en myndighet i den andra staten som har till uppdrag att pröva om straffverkställigheten ska över- flyttas eller att genomföra överflyttningen av verkställigheten till den andra staten. De personuppgifter som det kan vara fråga om rör bl.a. på- följden och den dömdes anknytning till den andra staten. Om verkställig- het pågår i är uppgifter om verkställigheten av stor betydelse. Punkt 2 avser den situationen att Kriminalvården behöver lämna infor- mation till en annan stats myndigheter om en person som är frihetsberöv- ad och ska transiteras genom den andra staten. Personuppgifter som kan behöva överföras kan t.ex., utöver direkta personuppgifter, röra säker- hetsfrågor eller frågor som rör den enskildes behov av specialkost eller medicinering. Enligt punkt 3 får personuppgifter lämnas ut till en annan stats myndig- heter om det behövs t.ex. för att en person som avtjänar fängelsestraff i tillfälligt ska kunna överföras till den andra staten för att där vittna i en brottmålsrättegång eller lagföras för brott. De personuppgifter som det kan röra sig om är av samma slag som anges i punkt 2. Längsta tid som personuppgifter får behandlas Paragrafen anger den längsta tid under vilken uppgifter om en person får behandlas automatiserat. Övervägandena finns i avsnitt 5.5. Bestämmelsen i första stycket, som motsvarar nuvarande 7 § lagen om behandling av personuppgifter inom kriminalvården, anger hur länge personuppgifter får behandlas för att myndigheten ska kunna utföra någon av de uppgifter som anges i 2 kap. 1 §. Av andra stycket framgår att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen om att arkivlagstiftningen har före- träde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av personuppgifterna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att de ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att upp- gifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i denna paragraf (jfr 6 §). I tredje stycket finns en upplysning om att det i 3 kap. 7 § finns bestämmelser om längsta tid för behandling av personuppgifter i säker- hetsregistret. Rätt att meddela föreskrifter I paragrafen finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om vilka personupp- gifter som får behandlas, utlämnande av personuppgifter i andra fall än som anges i lagen, frågor som rör direktåtkomst till personuppgifter och längsta tid som personuppgifter får behandlas. Övervägandena finns i avsnitt 5.7. Regeringen eller den myndighet som regeringen bestämmer kan även meddela föreskrifter om att personuppgifter får behandlas än vad som följer av 5 § för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål, vilket motsvarar nuvarande 7 § andra stycket lagen om behandling av personuppgifter inom kriminalvården. Rätten att föra register I paragrafen regleras rätten att föra ett säkerhetsregister. Övervägandena finns i avsnitt 13.5.1. Bestämmelser om säkerhetsregistret finns i nuvarande 39–41 och 43– 45 §§ förordningen om behandling av personuppgifter inom kriminal- vården. I säkerhetsregistret får personuppgifter behandlas för två syften. Enligt punkt 1 får personuppgifter behandlas i syfte att förebygga, för- hindra eller upptäcka brott eller brottslig verksamhet på häkten och i kriminalvårdsanstalter eller i samband med annan straffverkställighet. 2017/18:269 Personuppgifter får enligt punkt 2 behandlas för att säkerställa ordning och säkerhet på häkten och i kriminalvårdsanstalter och annan verksam- het som Kriminalvården bedriver. Till det sistnämnda hör bl.a. halvvägs- hus och utslussningsenheter. Paragrafen reglerar, tillsammans med 3 och 4 §§, vilka personkategorier som får registreras i säkerhetsregistret. I denna paragraf anges huvud- regeln för behandling av personuppgifter i registret. i avsnitt 13.5.2. Utgångspunkten för att det ska få finnas uppgifter om en person i registret är att han eller hon bedöms utgöra en säkerhetsrisk. uppgifter om personer som är häktade eller verkställer ett fängelsestraff och som på någon av de särskilt uppräknade grunderna bedöms medföra en säkerhetsrisk för häktesverksamheten eller vid straffverkställigheten får behandlas i registret enligt denna paragraf. dem som är häktade eller intagna i syften som omfattas av brottsdatalagens tillämpningsområde. personuppgifter om den som är häktad enligt konkurslagen eller som förvaras i häkte med stöd av utlänningslagstiftningen inte behandlas i registret med stöd av denna bestämmelse. motsvarar i allt väsentligt regleringen i nuvarande 39 och 40 §§ förordningen om behandling av personuppgifter inom kriminalvården. Av första stycket framgår att uppgifter om personer som är eller har varit placerade på säkerhetsavdelning får behandlas i registret. krävs för placering på säkerhetsavdelning framgår av 2 kap. 4 § fängelse- lagen (2010:610). Registret får enligt andra stycket innehålla uppgifter om en intagen eller häktad, om det finns risk för att han eller hon under häktningen eller verkställigheten av straffet begår brott eller utövar viss brottslig verk- samhet eller på annat sätt äventyrar ordning och säkerhet på ett häkte eller i en kriminalvårdsanstalt. Registreringen bygger således på en risk- Enligt punkt 1 får personuppgifter behandlas i registret om det finns risk för att en häktad eller intagen begår brott som inte är ringa. brott är ringa eller inte får bedömas med utgångspunkt i omständig- heterna i det enskilda fallet och brottets straffskala. brott kan läggas till grund för registrering, eftersom det är fråga om en För registrering krävs således inte att det är straffrättsligt prövat att personen har begått brott. Vidare får personuppgifter behandlas om det finns risk för att den häkt- ade eller intagne utövar brottslig verksamhet som innefattar brott för vilket det är föreskrivet fängelse . En sådan risk kan,