prop · H503232 · 2018-04-19 00:00:00 — Personuppgiftslagen gäller där- för för sådan behandling av personuppgifter som är helt eller delvis auto- matiserad och för annan behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personupp- gifter som är tillgängliga för sökning eller sammanställning enligt sär- skilda kriterier. Regleringen i personuppgiftslagen har varit utgångspunkt vid utformningen av tillämpningsområdet för myndigheternas register- författningar. Mot den bakgrunden instämmer regeringen – till skillnad från – i utredningens bedömning att tillämpningsområdet för ramlagen bör anges på samma sätt. Det innebär ingen skillnad i sak i förhållande till direktivet. Att formuleringen skiljer sig något från hur tillämpningsområdet uttrycks i dataskyddsförordningen saknar enligt regeringens bedömning någon praktisk betydelse. 6.5.1Personuppgiftsbehandling som rör nationell säkerhet Regeringens förslag: Ramlagen ska inte gälla vid behandling av personuppgifter som rör nationell säkerhet. Undantaget ska också gälla i de fall där har övertagit en arbets- uppgift som rör nationell säkerhet från Säkerhetspolisen. Lagen ska inte heller gälla när Försvarsmakten har att tillämpa lagen om behandling av personuppgifter i Försvarsmaktens försvarsunder- rättelseverksamhet och militära säkerhetstjänst. Utredningens förslag överensstämmer delvis med regeringens. Utred- ningen föreslår inget undantag gällande verksamhet som omfattas av lagen om behandling av personuppgifter i Försvarsmaktens försvars- underrättelseverksamhet och militära säkerhetstjänst. Remissinstanserna: och efter- frågar en definition av begreppet nationell säkerhet. Försvarsmakten föreslår att begreppet säkerhet ska användas i stället för begrep- pet nationell säkerhet. Säkerhetspolisen anser att det finns skäl att över- väga om inte hela myndighetens brottsbekämpande verksamhet borde undantas från ramlagen. anser att Säkerhetspolisens be- handling av personuppgifter som rör nationell säkerhet inte bör undantas Försvarsmakten anser vidare att undantaget Prop. 2017/18:232 bör gälla även Försvarsmaktens personuppgiftsbehandling som rör natio- Skälen för regeringens förslag Säkerhetspolisens personuppgiftsbehandling som rör nationell säkerhet Enligt artikel 2.3 a ska direktivet inte tillämpas på personuppgiftsbehand- ling som utgör ett led i en verksamhet som inte omfattas av unionsrätten. Av skäl 14 framgår att verksamhet som rör nationell säkerhet, verksam- het som utförs av byråer och organ som hanterar nationella säkerhetsfrå- gor och medlemsstaternas behandling av personuppgifter inom verksam- het som avser den gemensamma utrikes- och säkerhetspolitiken inte om- fattas av direktivets tillämpningsområde. dataskyddsdirektiv gäller inte för sådan personuppgiftsbe- handling som inte omfattades av EG-rätten när direktivet antogs, t.ex. statens verksamhet på straffrättens område eller verksamhet som rör statens säkerhet eller försvar. I förarbetena till personuppgiftslagen fram- höll regeringen att om viss offentlig verksamhet generellt skulle undantas från lagen fanns det risk för att viss behandling inom den sektorn inte skulle omfattas av någon lagstiftning med motsvarande syfte som den Personuppgiftslagen gjordes därför generellt tillämplig och omfattar även sådan verksamhet som då föll utanför EG-rätten. att det krävs en särskild författning för att avvika från det integritets- skydd som personuppgiftslagen ger, garanteras att behovet av särregler alltid övervägs noga i den ordning som gäller för författningsgivning 1997/98:44 s. 41). Säkerhetspolisen anför med hänvisning till artikel 2.3 a och skäl 14 i direktivet att det finns utrymme att göra undantag för myndighetens brottsbekämpande verksamhet i sin helhet eftersom de hanterar natio- anser i stället att Säkerhetspolisens behandling av personuppgifter som rör nationell säkerhet inte bör undan- tas från tillämpningsområde. Undantaget i det nya dataskyddsdirektivet är utformat så att det utesluter viss verksamhet, inte vissa typer av myn- digheter eller organisationer. Säkerhetspolisens verksamhet ligger i allt väsentligt utanför direktivets tillämpningsområde. huvuduppgifter hör att förebygga, förhindra och upptäcka brottslig verk- samhet som innefattar brott mot rikets säkerhet och terrorbrott och att utreda och beivra sådana brott. Säkerhetspolisen ansvarar vidare för personskyddet av den centrala statsledningen. till nationell säkerhet. Säkerhetspolisen har även andra uppgifter som hör till nationell säkerhet eller har ett mycket nära samband med sådan verk- Av samma skäl som det inte bör anges i ramlagen vilka myndig- heter som ska tillämpa den bör inte Säkerhetspolisens personuppgiftsbe- handling generellt undantas från ramlagens tillämpningsområde. har myndigheten vissa uppgifter som omfattas av direktivets till- lämpningsområde och det kan inte uteslutas att myndigheten får nya sådana uppgifter. Regeringen anser därför i likhet med utred- ningen att undantaget bör utformas så att det endast träffar de delar av Säkerhetspolisens personuppgiftsbehandling som rör nationell säkerhet. I förarbetena till lag diskuterades ingående hur motsvarande undantag i dataskyddsrambeslutet skulle formuleras och där stannade regeringen för att begreppet nationell säkerhet borde användas (prop. 2012/13:73 s. 69 f.). I 19 kap. används numera begreppet säkerhet i stället för det äldre rikets säkerhet. byttes ut konstaterade regeringen att innebörden av vad som betraktas som rikets säkerhet förändrats och fått ett vidare tillämpningsområde 2013/14:51 s. 20). I propositionen Ett modernt och stärkt skydd för säkerhet – ny säkerhetsskyddslag (prop. 2017/18:89) an- vänds också begreppet säkerhet. Utredningen föreslår att begreppet nationell säkerhet bör användas i och efterfrågar en defi- nition av begreppet nationell säkerhet. Försvarsmakten anser att begrep- pet säkerhet ska användas i stället för nationell säkerhet. Undantagen från tillämpningsområdet både i direktivet och data- skyddsförordningen utgår emellertid från begreppet ”nationell säkerhet” – det är ett centralt begrepp för EU:s dataskyddsreform – och regeringen anser därför i likhet med utredningen att det uttrycket bör användas i ramlagen för att avgränsa dess tillämpningsområde. handlar om att förhålla sig till unionsrättens gränser ser regeringen ingen motsättning i att använda det EU-rättsliga begreppet, som ”säkerhet” används för att ur ett nationellt perspektiv beskriva tillämpningsområdet för annan lagstiftning. En definition av begreppet ”nationell säkerhet” skulle visserligen kunna underlätta för att avgöra om ramlagen är tillämplig eller inte. rör det sig om ett EU-rättsligt begrepp, som avgränsar EU:s kompetens gentemot medlemsstaterna. förlängningen är det upp till att avgöra begreppets när- Mot den bakgrunden anser regeringen att det inte är lämpligt att definiera begreppet ”nationell säkerhet” inom ramen för detta Säkerhetspolisens personuppgiftsbehandling kommer dock inte att lämnas oreglerad inom området nationell säkerhet. Brottsdatalag – kompletterande lagstiftning (SOU 2017:74 s. 597 f.) före- slås en ny lag om Säkerhetspolisens behandling av personuppgifter. slaget kommer att behandlas i en senare proposition. Det finns även andra myndigheter som i viss omfattning hanterar per- sonuppgifter rörande nationell säkerhet. Det gäller bl.a. Polismyndig- heten, åklagare och allmänna domstolar när de behandlar personuppgifter i mål och ärenden som rör brott mot säkerhet. Det kan inte ute- slutas att även andra myndigheter i viss utsträckning hanterar sådana De överväganden som gjordes när personuppgiftslagen infördes gör sig Nationell säkerhet bör därför inte undantas generellt från den nya lagens tillämpningsområde. Det är en mycket liten del av , åklagares och de allmänna domstolarnas verksamhet som rör nationell säkerhet. Det saknas enligt regeringens mening skäl att undanta den mycket begränsade personuppgiftsbehandling som utförs av dessa myndigheter på det området från ramlagens tillämpningsområde. De bör därför på samma sätt som tillämpa samma regler som gäller för behandling av personuppgifter i verksamheten i övrigt vid utredning eller handläggning av brottmål och därtill anknutna ärenden enligt rätte- gångsbalken som rör säkerhet. Detsamma bör gälla om någon annan myndighet undantagsvis skulle hantera sådana personuppgifter, exempelvis om Kriminalvården skulle ha tillgång till någon personupp- gift som rör nationell säkerhet vid verkställighet av påföljd. Säkerhetspolisen ska tillämpa ramlagen i vissa fall Även om merparten av Säkerhetspolisens personuppgiftsbehandling undantas från ramlagens tillämpningsområde, finns det viss behandling i myndighetens operativa verksamhet som bör omfattas av ramlagen efter- som den inte rör nationell säkerhet. Säkerhetspolisen ska enligt 13 § förordningen (2014:1103) med in- struktion för Säkerhetspolisen bistå vid polisverksamhet som leds av om myndigheten i ett enskilt fall begär det och det inte finns särskilda skäl mot det. Säkerhetspolisen ska också lämna tekniskt biträde och annan hjälp till i den utsträckning som myndigheterna kommer överens om. När Säkerhetspolisen lämnar sådan hjälp omfattas personuppgiftsbehandlingen av ramlagens tillämpnings- område om den avser brottsbekämpning, lagföring eller verksamhet för att upprätthålla allmän ordning och säkerhet. Enligt 30 § förordningen (2014:1102) med instruktion för Polismyn- digheten får chefen för operativa avdelningen i samråd med biträdande säkerhetspolischefen i ett enskilt fall bestämma att en för- undersökning eller annan liknande uppgift i den brottsbekämpande verk- samheten ska lämnas över till Säkerhetspolisen för fortsatt handläggning. Syftet med bestämmelsen är bl.a. att jävssituationer ska kunna undvikas (prop. 2013/14:110 s. 400). När Säkerhetspolisen med stöd av ett beslut enligt den paragrafen genomför en förundersökning eller utför någon annan uppgift som normalt skulle utföras av och som omfattas av ramlagens tillämpningsområde bör Säkerhetspolisen tillämpa den lagen. En särskild fråga är vad som ska gälla för när den övertar uppgifter från Säkerhetspolisen eller biträder den på något annat sätt. Enligt 28 § instruktionen för ska myndigheten bistå vid polisverksamhet som leds av Säkerhetspolisen om Säkerhetspolisen i ett enskilt fall begär det och det inte finns särskilda skäl mot det. Polis- myndigheten ska vidare, i den utsträckning som myndigheterna kommer överens om, lämna tekniskt biträde och annan hjälp till Säkerhetspolisen. Bestämmelsen är en spegling av 13 § instruktionen för Säkerhetspolisen. Enligt 15 § instruktionen för Säkerhetspolisen får biträdande säkerhets- polischefen i samråd med chefen för operativa avdelningen, trots den ansvarsfördelning som annars gäller mellan myndigheterna, i ett enskilt fall bestämma att en förundersökning eller annan uppgift i den brottsbekämpande verksamheten ska lämnas över till för fortsatt handläggning. Bestämmelsen motsvarar 30 § instruktionen för . Eftersom det när Säkerhetspolisen begär biträde av eller överlämnar en arbetsuppgift till myndigheten med stöd av 15 § in- 2017/18:232 struktionen för Säkerhetspolisen i de flesta fall är fråga om en arbetsupp- gift som ligger utanför direktivets tillämpningsområde, bör Polismyndig- heten inte tillämpa ramlagen i vidare mån än vad Säkerhetspolisen skulle ha gjort om uppgiften legat kvar där. Försvarsmaktens tillämpning av ramlagen Försvarsmakten bedriver viss verksamhet som kan sägas falla inom ram- lagens tillämpningsområde. Det rör t.ex. militärpolisen och militära skyddsvakter när de utför uppgifter med polismans befogenhet. Motsva- rande kan gälla i samband med att Försvarsmakten lämnar stöd till poli- sen vid terrorismbekämpning. Enligt lagen (2007:258) om behandling av personuppgifter i Försvars- maktens försvarsunderrättelseverksamhet och militära säkerhetstjänst får Försvarsmakten bl.a. behandla personuppgifter i myndighetens militära säkerhetstjänst för att upptäcka, förebygga och avvärja säkerhetshotande verksamhet som riktas mot Försvarsmakten och dess säkerhetsintressen om det är nödvändigt för att klarlägga verksamhet som innefattar hot mot rikets säkerhet, eller vidta åtgärder som hindrar eller försvårar säkerhets- hotande verksamhet. Lagen kan därför bli tillämplig när Försvarsmakten lämnar stöd till polisen enligt lagen (2006:343) om Försvarsmaktens stöd till polisen vid terrorismbekämpning, men också när militärpolisen och militära skyddsvakter utför sina uppgifter. Mot denna bakgrund finns det, som Försvarsmakten påpekar, skäl att undanta även Försvarsmaktens be- handling av personuppgifter som sker enligt lagen om behandling av per- sonuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst från ramlagens tillämpningsområde. Det kan i detta sammanhang även nämnas att Utredningen lingen av personuppgifter inom Försvarsmakten och Försvarets radioan- stalt (Fö2017:03) bl.a. ska bedöma om den reglering som gäller vid behandling av personuppgifter i Försvarsmaktens försvarsunderrättelse- verksamhet och militära säkerhetstjänst är ändamålsenligt utformad samt analysera om den personuppgifts-behandling i Försvarsmakten som regleras i personuppgiftslagen helt eller delvis bör regleras särskilt. Ut- redningsuppdraget ska redovisas . 6.5.2Den gemensamma utrikes- och säkerhetspolitiken Enligt skäl 14 undantas medlemsstaternas behandling av personuppgifter i verksamhet som omfattas av den gemensamma utrikes- och säkerhets- politiken från direktivets tillämpningsområde. Regeringen kan i likhet med utredningen inte se att någon av de som är behöriga myndigheter i ramlagens mening bedriver verksamhet inom detta område. Det finns därför inget behov av att från ramlagens tillämpningsområde undanta någon myndighet eller verksamhet som omfattas av den gemensamma utrikes- och säkerhetspolitiken. Detta har inte heller ifrågasatts av någon remissinstans. Förhållandet till offentlighetsprincipen och till Regeringens bedömning: Behandling av personuppgifter på tryck- och yttrandefrihetens område och allmänhetens tillgång till allmänna handlingar behöver inte regleras. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Justitiekanslern och anser att en upplysningsbestämmelse om ramlagens förhållande till offentlighetsprin- cipen och till tryck- och yttrandefriheten bör övervägas. Ingen annan remissinstans yttrar sig särskilt i denna del. Skälen för regeringens bedömning: I skäl 16 framhålls att direktivet inte påverkar tillämpningen av principen om allmänhetens rätt att få till- gång till allmänna handlingar. I dataskyddsförordningen finns bestämmelser som ger utrymme för nationell reglering om förhållandet mellan, å ena sidan, skyddet för per- sonuppgifter och, å andra sidan, yttrande- och informationsfriheten och offentlighetsprincipen. Enligt artikel 85.1 i förordningen ska medlemssta- ternas nationella lagstiftning förena rätten till integritet i enlighet med förordningen med rätten till yttrande- och informationsfrihet. Den ska omfatta personuppgiftsbehandling för journalistiska ändamål och för akademiskt, konstnärligt eller litterärt skapande. När det gäller behand- ling för sådana ändamål ska medlemsstaterna enligt artikel 85.2 i förord- ningen föreskriva om undantag eller avvikelser från stora delar av förordningens bestämmelser om det behövs för att förena rätten till inte- gritet med yttrande- eller informationsfriheten. Enligt artikel 86 i förordningen får personuppgifter i allmänna hand- lingar hos en myndighet eller vissa typer av organ lämnas ut i enlighet med unionsrätten eller nationell rätt i syfte att förena allmänhetens rätt att få tillgång till allmänna handlingar med rätten till skydd av personupp- gifter i enlighet med förordningen. Enligt regeringens förslag i proposi- tionen Ny dataskyddslag har tryckfrihetsförordningen och yttrandefri- hetsgrundlagen företräde framför dataskyddsförordningen och den före- slagna dataskyddslagens bestämmelser (prop. 2017/18:105 s. 187). I avsnitt 6.1.2 har den föreslagna brottsdatalagens förhållande till annan lagstiftning behandlats. Regeringen föreslår under rubriken kande bestämmelser i annan författning en bestämmelse som innebär att om en annan lag eller en förordning innehåller någon bestämmelse som avviker från lagen, så tillämpas den bestämmelsen. Paragrafen motsvarar 2 § personuppgiftslagen. Även den paragrafen har rubriken i annan författning. I 7 § första stycket personuppgiftslagen finns dessutom – under rubri- ken Förhållandet till tryck- och yttrandefriheten – en bestämmelse som anger att lagen inte tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. I 8 § samma lag finns en motsvarande bestämmelse när det gäller offentlighetsprincipen. Enligt 1 kap. 7 § i för- slaget till dataskyddslag ska förordningen och lagen inte tillämpas i den 2017/18:232 utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrande- Mot bakgrund av att remissförslaget inte innehåller någon bestämmelse som på liknande sätt behandlar relationen till grundlagarna anser Lagrå- det att det finns behov av att ytterligare överväga detta förhållande i den Lagrådet framhåller även när det gäller förhållan- det till mediegrundlagarna att det finns skäl att särskilt framhålla att Justitiekanslern torde vara en behörig myndighet vid fullgörandet av uppgifter som åklagare avseende tryck- och yttrandefrihetsbrott. Behandling av personuppgifter i samband med utlämnande av all- männa handlingar ligger utanför direktivets tillämpningsområde. slaget till reglering av ramlagens tillämpningsområde framgår att den gäller vid behandling av personuppgifter som utförs av behöriga myn- digheter i syfte att förebygga, förhindra eller upptäcka brottslig verksam- het, utreda eller lagföra brott eller verkställa straffrättsliga påföljder och vid behandling av personuppgifter som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet (se avsnitt 6.4). När det gäller förhållandet till tryckfrihetsförordningen och yttrandefri- hetsgrundlagen i övrigt kan regeringen konstatera följande. till personuppgiftslagen framhålls att bestämmelser i vanlig lag inte kan ta över bestämmelser i grundlag. Regeringen ansåg att lagtexten i syfte att klargöra och underlätta tillämpningen ändå borde innehålla en ut- trycklig erinran om att bestämmelserna i personuppgiftslagen inte ska tillämpas om en sådan tillämpning skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen eller yttrandefrihets- En sådan erinran ansågs viktig för att inskärpa att tillämp- ningen vid fall av möjliga konflikter ska präglas av försiktighet och res- pekt för det grundlagsskyddade området (prop. 1997/98:44 s. 51 f. och s. 119). I propositionen Ny dataskyddslag (2017/18:105 s. 42) konstateras att det är angeläget att dataskyddsförordningens och dataskyddslagens be- stämmelser inte ger upphov till osäkerhet kring möjligheterna till person- uppgiftsbehandling på det grundlagsskyddade området och att en sådan osäkerhet skulle kunna påverka vitala delar av opinionsskapande verk- samhet som är av grundläggande betydelse för demokratin och som skyddas genom bl.a. censurförbudet och meddelarfriheten. anser vidare i den propositionen att det förhållandet att den unionsrätts- liga dataskyddsregleringen är en direkt tillämplig förordning, som dess- utom kan leda till kännbara sanktionsavgifter, innebär ett än större behov av ett förtydligande av förhållandet till tryck- och yttrandefrihetsregle- Den föreslagna brottsdatalagen ska gälla vid behandling av personupp- gifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verk- ställa straffrättsliga påföljder och i syfte att upprätthålla allmän ordning De skäl som anges för en upplysningsbestämmelse i förar- betena till personuppgiftslagen (prop. 1997/98:44 s. 49 f.) och data- skyddslagen (prop. 2017/18:105 s. 41 f.) gör sig därför inte gällande på Regeringen delar därför – till skillnad från Justitiekanslern och Dom- stolsverket – utredningens bedömning att den föreslagna subsidiaritetsbe- stämmelsen inte behöver kompletteras med en särskild reglering som Prop. 2017/18:232 tydliggör att ramlagen inte ska tillämpas vid en konflikt med regleringen i tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Enligt 23 kap. 14 § andra stycket får en undersök- ningsledare hos rätten begära ett förordnande om att en allmän handling som kan antas ha betydelse som bevis ska tillhandahållas. I 38 kap. 8 § finns en motsvarande bestämmelse som är generell och som kan åberopas exempelvis av en målsägande. En myndighet, eller någon annan aktör som omfattas av reglerna om allmänna handlingar, kan alltså med stöd av någon av dessa regler åläggas att lämna ut en allmän handling till en förundersökning eller brottmålsrättegång. Det gäller dock inte en handling för vilken sekretess gäller enligt 15 kap. 1 eller 2 § offentlighets- och sekretesslagen (2009:400), som reglerar ut- rikessekretess respektive försvarssekretess, eller 16 kap. 1 § samma lag som reglerar statsfinanssekretess. Det gäller inte heller en handling vars innehåll är sådant att någon som haft befattning med handlingen inte får höras som vittne om dess innehåll. Likaså undantas handlingar som kan avslöja yrkeshemligheter, om det inte finns synnerlig anledning. Enligt regeringens bedömning kommer tillämpningen av 23 kap. 14 § och 38 kap. 8 § inte att påverkas i samband med att de nya EU-rättsakterna ska börja tillämpas. 6.7Gränsdragningsfrågor som rör tillämpningsområdet Regeringens bedömning: Vid bedömningen av om viss personupp- giftsbehandling faller under ramlagens eller dataskyddsförordningens tillämpningsområde har det avgörande betydelse om den som behand- lar personuppgiften är en behörig myndighet och i vilket syfte uppgif- Det är en fråga för rättstillämpningen att slutligt avgöra vilket regel- verk för dataskydd som gäller i ett enskilt fall. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser påtalar problematiken med dubbla regelverk. Många remissinstanser efterfrågar mer ledning om en viss verksamhet faller inom eller utanför ramlagens tillämpningsom- råde, däribland Justitiekanslern, och Havs- och vat- Vissa remissinstanser anser att utredningen i sin redo- visning har gjort felaktiga eller olämpliga bedömningar av om en viss verksamhet ska falla under ramlagens tillämpningsområde eller inte, där- ibland , och Kriminalvården. Skälen för regeringens bedömning: Som tidigare konstaterats är det, vid bedömningen av om ramlagen är tillämplig på viss behandling av personuppgifter, av avgörande betydelse om den som behandlar person- uppgiften är en behörig myndighet och i vilket syfte den behandlas. remissinstanser, däribland och Datainspektionen, påtalar särskilt att utredningen på ett förtjänstfullt sätt redogjort för gränsdrag- 2017/18:232 ningsfrågor som kan uppkomma beträffande ramlagens tillämpningsom- råde. Regeringen delar också utredningens syn på hur gränsdragningspro- blemen ska behandlas, dvs. med utgångspunkt i frågorna om den som behandlar uppgiften är en behörig myndighet och i vilket syfte en person- Många remissinstanser påtalar svårigheterna med dubbla regelverk i form av ramlagen med tillhörande förordning inom direktivets område och dataskyddsförordningen med den föreslagna kompletterande lagen samt därutöver myndighetsspecifika registerförfattningar. stanser efterfrågar också mer ledning om en viss verksamhet faller inom eller utanför ramlagens tillämpningsområde, däribland Justitiekanslern när myndigheten tar emot och eller överklagar beslut gällande ersättning till målsägandebiträden och offentliga försvarare enligt lagen (2005:73)