prop · H503269 · 2018-06-19 00:00:00 — Ett samlat regelverk i brottsdatalag Tillgången till uppgifter från transportföretag är av stor betydelse för möjligheter att förebygga och förhindra brottslig verksamhet och att upptäcka brott i samband med gränspassage. Regeringen instäm- mer i utredningens bedömning att dagens reglering bör behållas men renodlas och anpassas till de nya förutsättningar som gäller för behandling av personuppgifter till följd av EU:s dataskyddsreform. Förslagen till hur regleringen ska utformas i brottsdatalag presenteras i efterföljande avsnitt. Som framgått innehåller inregränslagen och tullagen inte bara bestäm- melser om transportföretagens uppgiftsskyldighet utan även regler som dels begränsar tillgången till personuppgifter i transportföretagens bok- ningssystem, dels anger hur uppgifterna får behandlas av . Där finns bestämmelser om vilken sökning som är tillåten och hur länge upp- gifter som härrör från transportföretag får behandlas i den brottsbekäm- pande verksamheten. finns stödet för att behandla personupp- gifterna automatiserat i tullbrottsdatalagen. Bestämmelserna om transportföretags uppgiftsskyldighet infördes som nämnts i samband med att blev medlem i EU. I förarbetena till registerförfattningar har frågan om de delar av bestäm- melserna som avser behandling av personuppgifter borde samlas i en författning inte behandlats. 2017/18:269 Som anges i bl.a. avsnitt 7.4.1 är utgångspunkten nu att myndigheter- nas personuppgiftsbehandling inom brottsdatalagens tillämpningsområde i så stor utsträckning som möjligt bör regleras i respektive registerför- fattning. Bestämmelserna om hur personuppgifter från transportföretag får behandlas och hur länge de får behandlas bör därför flyttas från inre- gränslagen och tullagen till brottsdatalag. Med en sådan lösning blir regleringen mer överskådlig och lättillämpad. Bedömningen innebär att vissa bestämmelser i 16 § inregränslagen och 4 kap. 8 § tullagen bör flyttas till brottsdatalag. Transportföretagens uppgiftsskyldighet bör däremot alltjämt regleras i inregränslagen och tullagen, liksom bestämmelserna om hur transportföretagen får lämna uppgifterna samt i vilken omfattning som får ta del av uppgifterna. Som framgår av avsnitt 8.2 kommer det att finnas en särreglering när det gäller flygpassageraruppgifter. aktuella bestämmelser om uppgif- ter från transportföretag kommer inte att tillämpas vid sådan personupp- giftsbehandling som följer av lagen om flygpassageraruppgifter i brotts- bekämpningen. 8.4.2En i huvudsak oförändrad reglering Regeringens förslag: I brottsdatalag ska en bestämmelse införas om att får behandla personuppgifter som transportföretag på begäran tillhandahåller enligt bestäm- melser i inregränslagen och tullagen för att planera kontroller och välja ut kontrollobjekt för att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. Sådana person- uppgifter ska endast i enskilda fall få behandlas för nya ändamål. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: är positivt till förslaget att verket ska få behandla uppgifter från transportföretag inte bara för att förebygga, förhindra och upptäcka brottslig verksamhet utan även för att utreda och lagföra brott. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag Syftet med nuvarande reglering Av förarbetena till tullbrottsdatalagen framgår att den enda remissinstans som yttrade sig över 2 kap. 8 § ifrågasatte om användning av uppgifter för planering av kontrollverksamheten och urval av kontrollobjekt stäm- de överens med lagens övergripande syften. Regeringen bemötte det bl.a. genom att peka på att lagens tillämpningsområde är brottsbe- kämpande verksamhet (se prop. 2016/17:91 s. 108). Med den nya regle- ringen i brottsdatalagen finns det skäl att klargöra att syftet med bestäm- melsen inte är att planera allmänna kontrollverksamhet. Vid inre gräns är det inte tillåtet att göra slumpmässiga kontroller, t.ex. att ta ut var tionde eller tjugonde person som passerar gränsen för kon- troll. Däremot är det tillåtet att göra selektiva kontroller. kontroller som bygger på att den som passerar gränsen uppfyller sär- skilda kriterier som pekar på förhöjd risk för att personen begår brott Prop. 2017/18:269 genom att t.ex. medföra otillåtna varor. Arbetet med att ta fram sådana kriterier som kan motivera att en viss person tas ut för kontroll och att identifiera riskprofiler görs av underrättelseverksamhet. Genom att med hjälp av transportföretagens uppgifter kartlägga bl.a. res- mönster, betalningssätt, ålder och vilka som reser i sällskap ökar möj- ligheterna att kunna avslöja brott och att upptäcka nya smugglings- metoder. Den kontrollverksamhet som avses i 2 kap. 8 § tullbrottsdatalagen får enligt regeringens mening anses vara sådan som avser att förebygga, förhindra eller upptäcka brottslig verksamhet. Bestämmelserna ska i huvudsak vara desamma Enligt regeringens mening bör de bestämmelser som flyttas över från inregränslagen och tullagen till brottsdatalag i huvudsak ha samma innehåll som . De behöver dock anpassas till den lagens tillämpningsområde. Att personuppgifterna får behandlas för att planera kontroller och välja ut kontrollobjekt för att förebygga, förhindra eller upptäcka brottslig verksamhet bör framgå av bestämmelsen. I avsnitt 7.4.1 föreslås att polisen ska få behandla uppgifter från trans- portföretag inte bara för att förebygga, förhindra och upptäcka brottslig verksamhet utan även för att utreda eller lagföra brott. Även om främst har intresse av att behandla uppgifter från transportföretag för att effektivt kunna förebygga brott och för att bygga upp kunskap om smugglingsvägar och smugglingsmetoder, har myndig- heten i likhet med polisen även behov av sådana uppgifter i sin utred- ningsverksamhet. Vid s.k. kontrollerade leveranser av narkotika kan bok- ningsuppgifter vara av stor praktisk betydelse. Vid utredning av smugg- lingsbrott är det viktigt att kunna kontrollera uppgifter om resväg, ressällskap och liknande. bör därför kunna dra nytta av upp- gifter från transportföretagen både för att förebygga, förhindra eller upp- täcka brottslig verksamhet och för att utreda eller lagföra brott. I 2 kap. 8 § tullbrottsdatalagen anges att sådana uppgifter bara får be- handlas i den utsträckning det är tillåtet enligt inregränslagen respektive tullagen. Någon motsvarande bestämmelse behövs inte i brottsdatalag, eftersom det alltid ska finnas en rättslig grund för behandlingen. På samma sätt som i polisens brottsdatalag bör det förtydligas att bestämmelserna om terminalåtkomst endast hindrar ändring eller bearbetning av uppgifterna i transportbolagens it-system (se avsnitt 7.4.1). Regeringen föreslår därför att det i brottsdatalag anges att vid terminalåtkomst enligt 16 § inregränslagen och 4 kap. 8 § tullagen får inte ändra eller på annat sätt bearbeta personuppgifterna. Skulle finna att personuppgifter i ett enskilt fall föranleder ett underrättelseuppslag eller behövs för en brottsutredning kan de som regel behandlas med stöd av de generella bestämmelserna i brottsdatalagen och brottsdatalag. Uppgifter om enskilda personer som lämnats på annat sätt än genom terminalåtkomst bör liksom förstöras, om de saknar betydelse för brottsbekämpning eller lagföring. 2017/18:269 rande i inregränslagen och tullagen gäller inte bara personuppgifter som behandlas automatiserat utan även annan behandling. Den nya regle- ringen bör därför täcka all behandling som omfattas av tillämpningsom- rådet för brottsdatalag, vilket bör tydliggöras i lagtexten. Kravet på förstörande bör dock inte omfatta de personuppgifter som myndigheten i ett enskilt fall behandlar för att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. Ovan nämnda förslag medför att bestämmelserna i 16 § inregränslagen och 4 kap. 8 § tullagen delvis flyttas till brottsdatalag och får en ändrad lydelse. Regeringen återkommer i avsnitt 8.5.2 till frågan om uppgifter från transportföretag får göras gemensamt tillgängliga. Behandling för nya ändamål I 2 kap. 8 § andra stycket tullbrottsdatalagen föreskrivs att personuppgifter från transportföretag också får behandlas för något annat ändamål som anges i 2 kap. 5 § om det behövs i ett enskilt fall. Det innebär att sådana uppgifter exempelvis får användas för att utreda brott. Behandling för nya ändamål såväl inom som utanför brottsdatalagens tillämpningsområde regleras i brottsdatalagen. För att sådan behandling ska vara tillåten krävs det dels att det finns en tillåten rättslig grund för behandling för det nya ändamålet, dels att det är nödvändigt och propor- tionerligt att personuppgifterna behandlas för det nya ändamålet. har ställt sig bakom att i ett enskilt fall ska få behandla personuppgifter av nu aktuellt slag för något annat ändamål som anges i 2 kap. 5 § tullbrottsdatalagen. rätt att behandla uppgifterna för nya ändamål bör begränsas på motsvarande sätt i brottsdatalag. Enligt direktivet är det inte möjligt att göra undantag från den prövning som kommer till uttryck i 2 kap. 4 § brottsdatalagen. Det innebär att en sådan prövning alltid krävs när uppgifter från transportföretag i ett enskilt fall ska behandlas för ett nytt ändamål. 8.5.1Sökning i gemensamt tillgängliga uppgifter Regeringens förslag: En bestämmelse som anger vilka uppgifter som får tas fram vid sökning i gemensamt tillgängliga uppgifter med hjälp av namn, personnummer, samordningsnummer eller andra liknande identitetsbeteckningar som motsvarar den som gäller ska tas in i brottsdatalag, men sökbegränsningarna ska enbart gälla i automatiserade behandlingssystem. Begränsningarna ska inte gälla vid sökning i en viss handling eller i ett visst ärende. De ska inte heller gälla vid sökning som görs av sär- skilt angivna tjänstemän 1.när de utför beredningsuppgifter i underrättelseverksamhet och arbetet befinner sig i ett inledande skede, 2.i syfte att i underrättelseverksamhet bearbeta och analysera personuppgifter som har gjorts gemensamt tillgängliga enligt vissa bestämmelser och som enbart dessa tjänstemän har tillgång till, 3.i syfte att utreda brott för vilket är föreskrivet fängelse , eller 4.i syfte att samordna utredningar om brott som kan vara systematiska och för vilka det är föreskrivet fängelse . Det ska också göras undantag för sökning som en tjänsteman vid någon av ledningscentraler utför på begäran av en tjäns- teman som verkställer ett ingripande eller vidtar en åtgärd som rör en enskild. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen avstyrker förslaget att begräns- ningen av vilka uppgifter som får tas fram bara ska gälla i automatiserade behandlingssystem. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag Begränsning endast i automatiserade behandlingssystem Eftersom sökning med hjälp av namn, personnummer och samordnings- nummer är ett viktigt inslag i verksamhet och sådana identi- tetsbeteckningar är av stor betydelse för att säkerställa identiteten och undvika personförväxlingar, ansågs det nödvändigt att medge sådan sökning i gemensamt tillgängliga uppgifter. I 3 kap. 6 § tullbrottsdata- lagen regleras därför vilka uppgifter som får tas fram vid sökning på namn, personnummer, samordningsnummer eller andra liknande identi- tetsbeteckningar. I 3 kap. 7 § görs vissa undantag från bestämmelserna i 3 kap. 6 §. I förarbetena diskuteras ingående vilka typer av sökning som bör vara tillåtna och vilka begränsningar som bör gälla (se prop. 2016/17:91 s. 138 ff.). Paragraferna är utformade efter mönster av polis- datalagen. En bestämmelse med sökbegränsningar av det slag som finns i 3 kap. 6 § tullbrottsdatalagen bör införas i brottsdatalag. Av de skäl som anges i avsnitt 7.5.2 anser regeringen att begränsningarna endast bör gälla vid sökningar i automatiserade behandlingssystem. I samma avsnitt bemöts Datainspektionens invändning. Behövs det fler eller andra undantag från begränsningsregeln? Undantagen i 3 kap. 7 § tullbrottsdatalagen från begränsningarna av vilka uppgifter som får tas fram vid sökning är utformade efter mönster av polisdatalagen. Av de skäl som anges i avsnitt 7.5.2 bör undantagen ändras när de införs i brottsdatalag. Det gäller undantagen för att bearbeta och analysera information i underrättelseverksamhet. Vidare bör även kunna göra sökningar i syfte att samordna brottsutredningar som avser brott som kan vara systematiska och för vilka det är föreskrivet fängelse . Regleringen bör utformas på samma sätt som för . De tulltjänstemän som arbetar i yttre tjänst har ofta behov av att kunna få hjälp av personal vid ledningscentraler, t.ex. vakthavande 2017/18:269 befäl eller rikssambandscentralen, med sökning i syfte att klarlägga t.ex. en gripen persons identitet. Vid sökningar av det slaget kan det vara nödvändigt att få fram andra typer av information, som den ingripande tulltjänstemannen inte alltid har tillgång till nödvändiga sök- möjligheter i sin utrustning. Det bör därför även göras undantag från begränsningsregeln för sådana sökningar som görs i led- ningscentraler på begäran av en tulltjänsteman i yttre tjänst. 8.5.2Uppgifter från transportföretag får göras gemensamt tillgängliga i vissa fall Regeringens förslag: En bestämmelse om i vilka fall personuppgifter från transportföretag får göras gemensamt tillgängliga ska tas in i regleringen om gemensamt tillgängliga uppgifter. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: I avsnitt 8.4.2 föreslås att regleringen av behandling av personuppgifter från transportföretag i huvudsak ska vara densamma som . Utgångspunkten är att uppgifter från transportföretagen till allra största delen är information om personer som inte är intressanta för brottsbekämpningen och att sådana person- uppgifter därför ska ges så liten spridning som möjligt. När bestämmel- serna i inregränslagen och tullagen infördes konstaterade regeringen att uppgifternas karaktär krävde begränsningar av hur de fick användas (se prop. 1995/96:166 s. 83 f.). Uppgifterna får därför som utgångspunkt inte göras gemensamt tillgängliga. Enligt 2 kap. 8 § andra stycket tullbrottsdatalagen får personuppgifter från transportföretag bara göras gemensamt tillgängliga i enskilda fall. Av förarbetena framgår att det skulle strida mot intentionerna bakom bestämmelserna att generellt tillåta att sådana uppgifter görs gemensamt tillgängliga. Om personuppgifterna, t.ex. efter en kontroll, behövs för en brottsutredning eller har samband med misstänkt brottslig verksamhet bör de dock få behandlas inom ramen för den utredningen eller det underrättelseärendet och göras gemensamt tillgängliga (se prop. 2016/17:91 s. 107). I 3 kap. 2 § tullbrottsdatalagen anges under vilka förutsättningar som personuppgifter får göras gemensamt tillgängliga. Genom särregleringen i 2 kap. 8 § andra stycket tullbrottsdatalagen av i vilka fall uppgifter från transportföretag får göras gemensamt tillgängliga finns det en risk för en otydlighet som kan leda till motsatsslut när det gäller andra slag av personuppgifter. För att undanröja denna risk bör bestämmelsen utan någon ändring i sak tas in i den bestämmelse i brottsdatalag som motsvarar 3 kap. 2 § tullbrottsdatalagen. På samma sätt som enligt dagens reglering bör alltså sådana uppgifter få göras gemensamt tillgängliga om det behövs i ett enskilt fall. Längsta tid för behandling av uppgifter i viss Regeringens förslag: Personuppgifter som kan antas ha samband med viss brottslig verksamhet ska, om de behandlas i ett ärende, inte få be- handlas längre än efter det att ärendet avslutades. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen tillstyrker förslaget. remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: I 4 kap. 9 § andra stycket tullbrotts- datalagen regleras hur länge personuppgifter som förekommer i viss underrättelseverksamhet får behandlas. I underrättelseverksamhet behandlas personuppgifter som huvudregel inte i ärenden och regleringen av när behandlingen ska upphöra utgår därför från när registreringen avseende en viss person gjordes. Som anges i avsnitt 7.6 behandlas personuppgifter i underrättelseverksam- heten ibland i ärenden, exempelvis i samarbetet mot grov organiserad brottslighet eller i samband med en särskild händelse. När personuppgif- ter i underrättelseverksamhet behandlas i ärenden bör uppgifterna, på samma sätt som vid behandling av personuppgifter i andra ärenden, inte få behandlas längre än efter det att ärendet avslutades. En bestäm- melse med den innebörden bör därför införas i brottsdatalag. 9.1Behovet av anpassning till brottsdatalagen Kustbevakningsdatalagen gäller enligt 1 kap. 2 § vid behandling av per- sonuppgifter i brottsbekämpande verksamhet och i annan operativ verksamhet, t.ex. sjöövervakning och räddningstjänst. Bestämmelserna i 3 och 4 kap. gäller vid behandling av personuppgifter i den brottsbekämpande verksamheten, medan bestämmelserna i 5 kap. gäller vid personuppgiftsbehandling i annan operativ verksamhet. Innehållet i kustbevakningsdatalagen måste, i likhet med övriga registerförfattningar, anpassas till brottsdatalagen. Många bestämmelser behöver dock inte anpassas eller endast ändras redaktionellt. anpassningar och ändringar som är gemensamma för registerförfattningarna har behandlats i avsnitt 4, 5 och 6. De anpassningar som är specifika för nya registerförfattning behandlas i detta avsnitt. Den del av personuppgiftsreglering som ligger utanför brottsdatalagens tillämpningsområde behandlas i ett annat lagstiftningsärende (se Ds 2017:58 EU:s dataskyddsreform – anpassningar av vissa författningar om allmän ordning och säkerhet). Regeringens förslag: nya registerförfattning ska bara innehålla bestämmelser om personuppgiftsbehandling inom Den ska benämnas lagen om behandling av personuppgifter inom brottsdata- Hänvisningar till kustbevakningsdatalagen i andra författningar ska ändras. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår att lagen ska benämnas Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag Den nuvarande regleringen renodlas Vid kustbevakningsdatalagens tillkomst konstaterades att övervägande skäl talade för att myndighetens personuppgiftsbehandling skulle regleras i en och samma lag (se prop. 2011/12:45 s. 63). Med hänsyn till hur den nya dataskyddsregleringen är utformad finns det dock, som utredningen konstaterat, skäl att på nytt överväga frågan. inom både brottsdatalagens och dataskyddsförordningens tillämpnings- Om man skulle behålla en samlad reglering för Kustbevak- ningens personuppgiftsbehandling skulle den därför behöva dels gälla utöver brottsdatalagen, dels komplettera dataskyddsförordningen. Den nya dataskyddsregleringen gör det nödvändigt att dela upp regle- ringen av personuppgiftsbehandling på ett annat sätt Det skulle i och för sig vara möjligt att göra alla nödvändiga ändringar i en och samma lag. Ett alternativ är att dela upp regleringen i två separata regelverk – ett för brottsdatalagens tillämpningsområde och ett för dataskyddsförordningens. regleringar för personuppgiftsbehandlingen beroende på i vilken verk- samhet uppgifterna behandlas, där regleringen för den brottsbekämpande verksamheten finns i en särskild lag. skillnad från inte någon organisatorisk uppdelning i olika Regeringen instämmer ändå i utredningens bedöm- ning att en ordning med två separata regleringar även för Kustbevak- ningens del skulle bli tydligare och enklare att tillämpa än en lösning som innebär att förordningens och direktivets krav regleras i en och personuppgiftsbehandling bör alltså fortsättningsvis regleras i två olika registerförfattningar. personuppgiftsbehandling som ligger inom brottsdatalagens tillämp- ningsområde bör regleras i en ny registerlag. De registerförfattningar som ska gälla utöver brottsdatalagen bör ha enhetliga benämningar som knyter an till brottsdatalagen. föreslår att lagen ska benämnas brottsdatalag. Lagrådet förordar detta namn. Som anförs i avsnitt 7.1.2 avviker dock Prop. 2017/18:269 det föreslagna namnet från hur svenska författningar normalt benämns och skulle bryta mot den systematik som gäller för författningars rubriker. Det vore visserligen önskvärt om namnet kunde vara kort, men bör namnet ange för vem författningen gäller, vad den handlar om och signalera en tydlig koppling till brottsdatalagen. Lagen bör mot den bakgrunden benämnas lag om behandling av personuppgifter inom brottsdatalagens område. Samtliga hänvisningar till lagen måste också ändras. I det följande kallas den nya lagen för brottsdatalag. Regeringens förslag: Lagen ska gälla utöver brottsdatalagen när i egenskap av behörig myndighet behandlar person- uppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verk- samhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för utredningens förslag Den nuvarande regleringen behöver anpassas Registerförfattningarna bör även i fortsättningen innehålla bestämmelser om tillämpningsområdet (se avsnitt 4.4). Registerförfattningarna bör vidare gälla utöver brottsdatalagen (se avsnitt 5.2). Kustbevakningsdatalagen gäller enligt 1 kap. 2 § vid behandling av personuppgifter i operativa verksamhet som rör bl.a. brottsbekämpning, sjöövervakning och räddningstjänst. Tillämpningsom- rådet måste i den nya lagen anpassas till brottsdatalagens tillämp- ningsområde så att det dels utgår från syftet med behandlingen, dels bara omfattar den personuppgiftsbehandling som utför inom brottsdatalagens tillämpningsområde. Det bör också framgå att lagen endast gäller när agerar i egenskap av behörig myndighet. För att tillämpningsområdet för lagen ska täcka det som omfattas av regleringen föreslår utredningen att tillämpningsområdet bör inkludera personuppgiftsbehandling i syfte att bl.a. bekämpa brott. I bestämmelsen om brottsdatalagens tillämpningsområde används dock inte uttrycket bekämpa brott. I stället anges att lagen gäller för behandling av person- uppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verk- samhet eller utreda brott. Regeringen anser att motsvarande begrepp bör användas i brottsdatalag. Ändringen innebär inte någon förändring i sak i förhållande till utredningens förslag. 2017/18:269 Brottsdatalagens tillämpningsområde omfattar även personuppgiftsbe- handling i syfte att upprätthålla allmän ordning och säkerhet. En av arbetsuppgifter är att genom sjöövervakning förebygga och ingripa mot störningar av ordningen i sjötrafiken (3 § för- ordningen [2007:853] med instruktion för ). I 5 kap. 1 § första stycket 1 kustbevakningsdatalagen regleras behandling av per- sonuppgifter för ändamålet att övervaka den allmänna ordningen och säkerheten till sjöss. Sådan sjöövervakning syftar enligt förarbetena till att öka respekten för lagar och föreskrifter och till att öka säkerheten till sjöss. Verksamheten omfattar allmän övervakningsverksamhet i form av patrullering och sjösäkerhetsövervakning. Till denna verksamhet räknas inte aktiviteter som föranleds av misstanke om brott eller brottslig verk- samhet (se prop. 2011/12:45 s. 157). Inom ramen för sjöövervakningen har tjänstemän rätt att ingripa vid ordningsstörningar i trafiken till sjöss eller när det behövs för att avvärja brott mot föreskrifter om trafikregler och säker- hetsanordningar för sjötrafiken, åtgärder mot vattenföroreningar från fartyg och dumpning av avfall i vatten.