prop · H503232 · 2018-04-19 00:00:00 — Med genetiska uppgifter avses enligt artikel 3.12 alla personuppgifter som rör nedärvda eller förvärvade genetiska känne- tecken för en fysisk person, vilka ger unik information om personens fysiologi eller hälsa och som framför allt härrör från en analys av ett biologiskt prov från personen i fråga. I skäl 23 anges att det är kromo- som-, dna- och rna-analyser eller andra analyser som gör det möjligt att inhämta sådan information som avses. Genetiska uppgifter räknas upp i artikel 10 som en särskild kategori av personuppgifter som bara får behandlas under vissa förutsättningar (se avsnitt 8.1.4). Definitionen av vad som avses med genetiska uppgifter får därmed betydelse för i vilken utsträckning uppgifter som tas fram vid analys av prover från människokroppen får behandlas. I direktivets definition nämns information om fysiologi eller hälsa. går dock även att få fram annan information genom analys av ett sådant biologiskt prov, exempelvis information om en persons biogeografiska Prop. 2017/18:232 ursprung. kommer man troligen att kunna ta fram ytterligare uppgifter ur sådana prover. Mot den bakgrunden har utredningen ansett att all information som rör nedärvda eller förvärvade genetiska kännetecken för en person och som kan tas fram ur ett prov från människokroppen bör anses vara genetiska Det bör också gälla information som på motsvarande sätt kan tas fram ur spår som påträffas på en brottsplats, exempelvis blodspår. Regeringen delar denna bedömning och att det bör framgå av definitio- nen i lagen. Det innebär att definitionen av genetiska uppgifter i ram- lagen blir något vidare än den i dataskyddsförordningen, men i likhet med utredningen anser regeringen inte att detta bör orsaka några problem Detta har heller inte ifrågasatts av någon remissinstans. Genetiska uppgifter bör således definieras som personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som härrör från analys av ett spår av eller ett prov från personen. Enligt artikel 3.10 omfattar uttrycket mottagare i princip samtliga perso- ner, myndigheter eller andra organ till vilka personuppgifter lämnas ut. Myndigheter som får del av personuppgifter för att kunna utföra ett sär- skilt uppdrag ska dock inte anses som mottagare. I skäl 22 anges som exempel på myndigheter som får del av personuppgifter för att utföra särskilda uppdrag, skatte- och tullmyndigheter, finansutredningsgrupper, oberoende administrativa myndigheter eller finansmarknadsmyndigheter med ansvar för reglering av värdepappersmarknader. I 3 § personuppgiftslagen, som genomför artikel data- skyddsdirektiv, anges att en myndighet inte ska anses som mottagare när personuppgifter lämnas ut till myndigheten för att den ska kunna utföra sådan tillsyn, kontroll eller revision som den är skyldig att sköta. myndighetsuppdrag som åsyftas kommenteras inte i förarbetena, utan där anges endast att definitionen av mottagare är avsedd att ha samma inne- börd som motsvarande uttryck i direktivet (prop. 1997/98:44 s. 116). motsvarande definition behövs i ramlagen. Mottagare bör, i likhet med vad utredningen föreslår, definieras som den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision. Med personuppgift avses enligt både dataskyddsdirektiv och det nya direktivet varje upplysning som avser en fysisk person som är identi- fierad eller som direkt eller indirekt kan identifieras. I definitionen i arti- kel 3.1 exemplifieras personuppgifter som upplysningar om namn, iden- tifikationsnummer, lokaliseringsuppgift eller onlineidentifikatorer eller faktorer som är specifika för personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Det framgår inte uttryckligen av direktivet om det gäller för uppgifter om avlidna personer eller inte. Definitionen av personuppgift omfattar enligt sin ordalydelse även uppgifter om avlidna personer. är densamma som i artikel 4.1 i dataskyddsförordningen. I skäl 27 i för- 2017/18:232 ordningen anges emellertid att den inte gäller för behandling av person- uppgifter om avlidna personer, men att medlemsstaterna får fastställa bestämmelser för behandlingen av sådana personuppgifter. Det kan inte ha varit avsikten att behandling av uppgifter om avlidna skulle omfattas av direktivet men inte av förordningen när definitionerna av personupp- gift i princip är identiska. Regeringen betraktar det i likhet med utred- ningen som ett rent förbiseende att inte motsvarande skäl finns i direkti- vet. För att tydliggöra att personuppgift har samma betydelse som i för- ordningen bör det framgå av definitionen att den inte omfattar uppgifter om avlidna personer. påtalar särskilt vikten av att det blir en tydlig och ändamålsenlig reglering av hanteringen av uppgif- ter om avlidna. Denna synpunkt kommer att tas om hand i samband med att speciallagstiftningen som verket tillämpar ses över. Personuppgifter bör alltså definieras som varje upplysning om en iden- tifierad eller identifierbar fysisk person som är i livet. I direktivets definition av personuppgift i artikel 3.1 anges att en identi- fierad eller identifierbar fysisk person benämns registrerad. Definitionen av personuppgift är utformad på samma sätt dataskyddsdirek- tiv. I 3 § personuppgiftslagen definieras däremot den registrerade som den som en personuppgift avser. Utredningen har bedömt att det blir tydligare att definiera vad som av- ses med en registrerad än att låta det ingå som en del av definitionen av personuppgift. Regeringen delar den bedömningen och anser att registre- rad därför bör definieras som den fysiska person som personuppgiften rör. Det blir då en skillnad i förhållande till dataskyddsförordningen men det saknar praktisk betydelse. Uppgift som rör hälsa Varken dataskyddsdirektiv eller personuppgiftslagen definierar vad som avses med uppgift som rör hälsa. Enligt artikel 3.14 avses per- sonuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbe- gripet tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes hälsostatus. I skäl 24 anges att det gäller infor- mation om en persons tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd. Där ges också exempel på vilka uppgifter som kan anses avse hälsa. Som utredningen föreslår bör ramlagen innehålla en definition av vad som avses med uppgift som rör hälsa som motsvarar definitionen i direktivet. Uppgift som rör hälsa bör definieras som per- sonuppgift som rör en persons fysiska eller psykiska hälsa, inklusive information om tillhandahållande av hälso- och sjukvårdstjänster som ger upplysning om personens hälsostatus. Uppgifter om hälsa räknas upp i artikel 10 som en särskild kategori av personuppgifter som bara får behandlas under vissa förutsättningar (se avsnitt 8.1.4). 6.3Dataskyddsbestämmelser i tidigare rättsakter och avtal Regeringens bedömning: Det behövs inte någon särskild reglering för att genomföra artiklarna 60 och 61 i direktivet. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Datainspektionen efterfrågar ett klargörande om hur unionsrättsakter som trätt i kraft efter förhåller sig till direktivet och ramlagen. Skälen för regeringens bedömning Innehållet i direktivet och nuvarande reglering Enligt artikel 60 ska direktivet inte påverka tillämpningen av särskilda bestämmelser om skydd av personuppgifter i unionsrättsakter på området för straffrättsligt samarbete och polissamarbete som trädde i kraft eller tidigare. En förutsättning är dock att rättsakterna regle- rar behandlingen av personuppgifter mellan medlemsstaterna eller med- lemsstaternas tillgång till informationssystem som är relevanta för direk- tivets tillämpningsområde. Kommissionen ska enligt artikel 62.6 se över om tidigare rättsakter behöver anpassas till direktivet och, om så behövs, lägga fram förslag till ändring av dessa rättsakter. De tidigare rättsakterna på området ska alltså fortsätta att gälla tills de ändras eller upphävs. Som exempel på tidigare rättsakter som ska kvarstå oförändrade nämns i skäl 94 rådets beslut /615/RIF av om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet (Prümrådsbeslutet) och konventionen om ömsesidig rättslig hjälp i brottmål mellan Europeiska unionens medlems- stater (rådets akt av ). Enligt artikel 61 ska internationella avtal som rör överföring av person- uppgifter till tredjeland eller internationella organisationer och som in- gicks av medlemsstaterna före fortsätta att gälla tills de ändras, ersätts eller återkallas. En förutsättning är dock att avtalen är för- enliga med unionsrätten så som den tillämpades före angivet datum. En liknande bestämmelse finns i artikel 26 i dataskyddsrambeslutet. Enligt den ska rambeslutet inte påverka medlemsstaternas eller unionens skyldigheter och åtaganden enligt de bilaterala och/eller multilaterala av- talen med tredjeland som redan gällde när rambeslutet antogs. Artikel 26 ansågs inte kräva någon lagstiftningsåtgärd (prop. 2012/13:73 s. 108). Bestämmelser om skydd för personuppgifter i tidigare rättsakter Det finns en rad unionsrättsakter på området för straffrättsligt samarbete och polissamarbete som innehåller bestämmelser om skydd av person- uppgifter. Sådana bestämmelser ska alltså gälla i stället för direktivet om de är äldre än det. På motsvarande sätt bör sådana svenska lagar och förordningar som genomför de tidigare antagna unionsrättsakterna ges företräde framför ramlagen. En genomgång av äldre rättsakter som trätt i kraft före direktivet och som därmed gäller i stället för direktivet redovi- sas i delbetänkandet Brottsdatalag (SOU 2017:29, s. 155 f.). En unionsrättsakt av intresse i sammanhanget är Europolförordningen (och rådets förordning [EU] 2016/794 av om Europeiska unionens byrå för samarbete inom brottsbekämp- ning [Europol] och om ersättande och upphävande av rådets beslut /371/RIF, 2009/934/RIF, 2009/935/RIF, 2009/936/RIF och 2009/968/RIF). Förordningen ska, med något undantag, tillämpas . Den antogs och trädde i kraft efter att den hade offentliggjorts i Europeiska unionens offici- ella tidning, vilket gjordes . Förordningen har alltså trätt i kraft efter och omfattas därför inte av artikel 60. För- ordningen innehåller bestämmelser om behandling av personuppgifter, men som Datainspektionen påpekar är det oklart hur den förhåller sig till direktivet. Hur olika EU-rättsakter förhåller sig till varandra är inte en fråga för medlemsstaterna utan något som får avgöras av allmänna EU- rättsliga principer. Avtal om överföring till tredjeland och internationella organisationer Som framgått ovan ska internationella avtal som rör överföring av per- sonuppgifter till tredjeland och internationella organisationer och som ingåtts före fortsätta att gälla. Med internationella avtal bör i detta sammanhang förstås varje gällande bilateralt eller multilateralt avtal mellan medlemsstater och tredjeland eller med internationella orga- nisationer inom området för straffrättsligt samarbete och polissamarbete som rör överföring av personuppgifter. Som exempel på bilateralt avtal om informationsutbyte som ingått med tredjeland kan nämnas avtalet med om samarbete mellan brottsbekämpande myndigheter för att bekämpa organiserad brottslighet (SÖ 2013:3). Avtalet innehåller till viss del bestämmelser om dataskydd, som hänvisar till internationella överenskommelser. Avtalet med Bosnien och ministerråd om samarbete mellan brotts- bekämpande myndigheter (SÖ 2013:4) innehåller liknande bestämmel- ser. har även ingått ett flertal bilaterala avtal när det gäller informa- tionsutbyte på tullområdet, t.ex. med och . Avtalet med är genomfört i förordningen (1988:146) om tillämpning av en över- enskommelse mellan och Förenta Stater om ömsesi- digt bistånd i tullfrågor. Avtalet med regleras i förord- ningen (1994:8) om tillämpning av en överenskommelse mellan och om ömsesidigt bistånd i tullfrågor och förord- ningen (1998:318) om tillämpning av ett avtal mellan och om ömsesidigt bistånd vid bekämpning av vissa fiskala brott. Det behövs inte någon särskild reglering för att genomföra artiklarna 60 och 61 i direktivet Av artiklarna 60 och 61 följer att särskilda bestämmelser om skydd av personuppgifter i unionsrättsakter på området och internationella avtal som rör överföring av personuppgifter till tredjeland och internationella organisationer som medlemsstaterna ingått innan direktivet antogs ska tillämpas framför direktivet och gälla tills de ändras eller upphävs. Det är alltså inte fråga om någon tillfällig eller övergående reglering, utan en inskränkning i direktivets tillämpningsområde. De tidigare unionsrättsak- Prop. 2017/18:232 ter och avtal som ingått med tredjeland har i allt väsentligt genomförts i svensk rätt. I den mån sådana lagar och förordningar regle- rar dataskydd på ramlagens tillämpningsområde bör de, i likhet med vad utredningen föreslår, gälla framför ramlagen. I avsnitt 6.1.2 föreslås att ramlagen ska vara subsidiär. Där diskuteras framför allt förhållandet mellan ramlagen och myndigheternas register- författningar, men resonemanget gör sig gällande även här. Mot den bakgrunden delar regeringen utredningens bedömning att några särskilda bestämmelser som genomför artiklarna 60 och 61 inte behövs. myndigheter utför för vissa syften Regeringens förslag: Ramlagens tillämpningsområde ska knytas till behandling av personuppgifter som behöriga myndigheter utför för Utredningens förslag överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanserna är positiva till utred- ningens förslag eller har inget att invända mot det. påtalar emellertid svårigheterna med gränsdragning i förhållande till dataskyddsförordningens tillämpningsområde (se närmare avsnitt 6.7). Skälen för regeringens förslag: Direktivet ska enligt artikel 2.1 till- lämpas på behandling av personuppgifter som utförs av behöriga myn- digheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Personuppgiftsbehandling inom direktivets tillämpningsområde är en- ligt artikel 2.2 d i dataskyddsförordningen undantagen från förordningens Eftersom förordningen är direkt tillämplig i svensk rätt och gäller för all personuppgiftsbehandling som regleras av unions- rätt och inte omfattas av direktivet är avgränsningen av ramlagens till- lämpningsområde en central fråga. Direktivet gäller för all personuppgiftsbehandling inom sitt tillämp- ningsområde, även om den är helt nationell. Det är en betydande skillnad i förhållande till dataskyddsrambeslutet, som bara gäller för behandling av personuppgifter inom ramen för polisiärt och straffrättsligt samarbete när personuppgifter överförs eller görs tillgängliga mellan EU-medlems- stater, , , och och EU-organ och EU:s I övrigt är tillämpningsområdet för direktivet och rambeslutet angivet på i stort sett samma sätt – båda omfattar behandling av personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. omfattar också personuppgiftsbehandling i syfte att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. frågan om regleringen i ramlagen kan utgå från hur tillämpningsområdet är utformat lag. 2017/18:232 Tillämpningsområdet lag bygger på i vilken verksamhet personuppgifter behandlas. En sådan lösning är enkel och tydlig för till- lämparen. Som nämnts bygger direktivets tillämpningsområde på dels syftet med behandlingen, dels om det är en behörig myndighet som utför den. Att enbart knyta ramlagens tillämpningsområde till i vilken verksamhet personuppgiftsbehandling utförs skulle därför, som utred- ningen anför, göra det för vidsträckt. Som exempel kan nämnas att man i Kriminalvårdens häktesverksamhet behandlar personuppgifter både om personer som är frihetsberövade på grund av brottsutredning, lagföring och straffverkställighet och personer som är föremål för olika administra- tiva frihetsberövanden, t.ex. tvångsvård eller häktning enligt konkurs- lagen (1987:672). Om syftet med förvaringen i häkte är brottsbekämp- ning, lagföring, straffverkställighet eller ordningshållning ligger det under direktivets tillämpningsområde. Är det däremot fråga om ett fri- hetsberövande av något annat slag gäller som regel dataskyddsförord- ningen. Tillämpningsområdet kan dock inte heller knytas enbart till syftet med personuppgiftsbehandlingen. Kameraövervakning kan tas som exempel för att illustrera det. Fast monterade kameror får sättas upp i exempelvis banklokaler och butikslokaler, om syftet med övervakningen ska vara att förebygga, avslöja eller utreda brott. Bankens eller butikens personupp- giftsbehandling i samband med sådan övervakning skulle därmed omfat- tas av ramlagens tillämpningsområde om enbart syftet med behandlingen var avgörande. I och med att banker och butiker inte träffas av direktivets definition av behörig myndighet ligger deras personuppgiftsbehandling dock utanför tillämpningsområdet. En annan sak är att Polismyndighe- tens behandling av de personuppgifter som har samlats in av en bank vid exempelvis ett rån omfattas av tillämpningsområdet, eftersom myndig- heten omfattas av definitionen av behörig myndighet och syftet med be- handlingen är att utreda brott. Regeringen instämmer därför i utredningens slutsats att ramlagens till- lämpningsområde måste knytas både till vilket syfte behandlingen av personuppgifter har och till att det är en behörig myndighet som utför behandlingen. Om en behörig myndighet behandlar personuppgifter för något av de syften som anges i ramlagen är lagen tillämplig, oavsett om behandlingen endast utförs i ringa omfattning eller . Innan frågan om vad som är en behörig myndighet (se avsnitt 6.4.4) behandlas är det nödvändigt att först redovisa för vilka syften personuppgifter får behandlas. I avsnitt 6.7 diskuteras sedan olika gränsdragningsfrågor knutna till uttrycket behörig myndighet och syftena med behandlingen. 6.4.2Personuppgiftsbehandling som rör brottsbekämpning, lagföring och straffverkställighet Regeringens förslag: Ramlagen ska gälla vid behandling av person- uppgifter som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straff- rättsliga påföljder. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt i denna del. Skälen för regeringens förslag: Direktivets tillämpningsområde om- fattar personuppgiftsbehandling som utförs i syfte att förebygga, för- hindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga på- följder. I svensk rätt brukar man skilja mellan å ena sidan verksamhet för att förebygga, förhindra eller upptäcka brottslig verksamhet och å andra sidan verksamhet som syftar till att utreda och beivra konkreta brott (se t.ex. 2 § polislagen [1984:387] och 2 kap. 7 § polisdatalagen). Vid genomförandet av unionsrättsakter där det talas om att förebygga och utreda brott har ordet brott därför tolkats så att det omfattar såväl kon- kreta brott som sådan icke-preciserad brottslig verksamhet som exempel- vis underrättelseverksamhet tar sikte på (prop. 2010/11:129 s. 110 och prop. 2012/13:73 s. 63). Samma tolkning bör göras . Uttrycket förebygga, förhindra och upptäcka brottslig verksamhet – som används i flera av de berörda myndigheternas registerförfattningar – bör ges samma tolkning som . I förarbetena till polisdatalagen dis- kuteras underrättelseverksamheten ingående (prop. 2009/10:85 s. 104 f.). Där vidgas också användningen av begreppet till att avse vad som där betecknas som underrättelsestyrd verksamhet. All sådan verksamhet, såväl på lokal nivå som regional och central nivå, och även annan plan- lagd verksamhet som betecknas som underrättelsestyrd bör således om- fattas av ramlagens tillämpningsområde. Spaningsverksamhet som inte är hänförlig till brottsutredande verk- samhet är normalt underrättelsestyrd, exempelvis när spaning bedrivs lokalt för att kartlägga droghandel, prostitution eller någon annan typ av lokal brottslighet. Spaningsverksamhet av nu aktuellt slag bedrivs fram- för allt av och bör omfattas av tillämpningsområdet. bedriver emellertid även annan verksamhet som bru- kar räknas till brottsförebyggande arbete, t.ex. förebyggande insatser som riktar sig till brottsoffer eller personer som riskerar att utsättas för brott. I sådant arbete torde behovet av att behandla personuppgifter vara begrän- sat. Det kan diskuteras om sådan brottsofferverksamhet som har anknyt- ning till pågående eller avslutade brottsutredningar, t.ex. uppföljning av meddelade kontaktförbud eller personskydd som beviljats med anledning av begångna brott, bör hänföras till uppgiften att utreda brott eller ses som brottsförebyggande arbete. Det saknar dock betydelse i detta sam- manhang eftersom det i båda fallen är en uppgift som omfattas av ram- lagens tillämpningsområde. Även behandlingen av personuppgifter vid kommunikationscentraler har i viss utsträckning ansetts falla under polisdatalagens tillämpningsområde och bör därmed omfattas av ramlagens tillämpningsområde (prop. 2009/10:85 s. 140 f.). bedriver brottsförebyggande arbete som rör framför allt otillåten införsel av varor. Även den verksamheten, som innefattar bl.a. underrättelseverksamhet och sådan kartläggning och spaning som nämnts, ligger inom ramlagens tillämpningsområde. I förarbetena till lag anses uttrycken upptäcka och beivra brott stämma bättre överens med språkbruket i svensk rätt än uttrycken avslöja och lagföra brott (prop. 2012/13:73 s. 63). Utredningen har ansett att den bedömningen bör gälla avseende uttrycket upptäcka brott men att ut- 2017/18:232 trycket lagföra brott bör användas i ramlagen i stället för beivra brott av följande skäl. Uttrycket utreda och beivra brott används i 2 kap. 7 § polisdatalagen, 3 kap. 2 § kustbevakningsdatalagen och 2 kap. 5 § åklagardatalagen. Samma uttryck används också i 2 kap. 5 § tullbrottsdatalagen. Utreda brott omfattar framför allt arbete som utförs inom ramen för en förunder- sökning enligt 23 kap. , medan förenklade förfaranden som mynnar ut i att strafföreläggande eller föreläggande av ordningsbot utfärdas i stället för att åtal väcks hänförs till beivra brott. Uttrycket beivra brott passar därför väl för , , Kust- bevakningens och åklagares verksamhet, men mindre väl för handlägg- ningen vid de allmänna domstolarna när de dömer någon till ansvar för brott och bestämmer påföljd. Däremot täcker uttrycket lagföra brott, som används i direktivet, såväl de förenklade förfaranden som Polismyndig- heten, , och åklagare tillämpar som hand- läggningen i domstol. Ordet lagföra framstår också som mer modernt än beivra. Regeringen instämmer i utredningens bedömning och anser där- för att det mer vittomfattande uttrycket lagföra brott bör väljas i ram- lagen. Frågan om även myndigheternas registerförfattningar bör ändras på motsvarande sätt kommer att behandlas när anpassningar av dessa görs. Uttrycket verkställa påföljd används inte i någon av de berörda myndigheternas registerförfattningar. Däremot används det lag. I förarbetena till den lagen anges att regleringen omfattar bl.a. Kri- minalvården och (prop. 2012/13:73 s. 61 f.). Regeringen delar utredningens uppfattning även i denna del och anser att terminologin lag framstår som lämplig och bör användas även i ramlagen. Ramlagen bör således gälla vid personuppgiftsbehandling som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder.