prop · H503269 · 2018-06-19 00:00:00 — Mot denna bakgrund och då ett särskilt behov inte framkommit bedömer regeringen att den av utredningen föreslagna bestämmelsen om att elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i lagen och föreskrifter som har meddelats i anslutning till den inte bör tas in i lagen. Regeringen eller den myndighet som regeringen bestämmer bör på samma sätt som kunna meddela föreskrifter om ytterligare begräns- ning av möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst. Personuppgifter i avgjorda mål och ärenden Regeringens förslag: I lagen upplyses om att regeringen eller den myndighet regeringen bestämmer kan meddela ytterligare föreskrifter om begränsningar för behandling av personuppgifter som hänför sig till ett mål eller ärende som har avgjorts genom en dom eller ett beslut som har fått laga kraft. Utredningens förslag överensstämmer inte med regeringens. ningen föreslår att begränsningarna ska finnas i lag i stället för att reg- leras på förordningsnivå. Remissinstanserna: anser att det bör övervägas om sökbegränsningarna ska finnas i lag eller förordning och att frågan bör hanteras på samma sätt i den nya lagen och domstolsdatalagen. remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: I domstolsdatalagen finns en bestäm- melse som upplyser om att regeringen eller den myndighet regeringen bestämmer kan meddela ytterligare föreskrifter om begränsningar för behandling av personuppgifter som hänför sig till ett mål eller ärende som har avgjorts genom en dom eller ett beslut som har fått laga kraft. Bestämmelsen har sin grund i att det t.ex. kan behövas begränsningar avseende sökning, direktåtkomst eller intern åtkomst vid domstolarna. Det är fråga om bestämmelser som bör vara relativt detaljerade och som bör kunna justeras exempelvis när domstolarnas arbetssätt utvecklas eller då nya måltyper tillkommer i verksamheterna. En mer detaljerad regle- ring ger bättre förutsättningar för den avvägning som ska göras mellan 2017/18:269 integritets- och effektivitetsintressena. Det är viktigt att domstolarna har möjlighet att i den utsträckning det är motiverat utnyttja de möjligheter till ökad effektivitet, rättssäkerhet och insyn som erbjuds tack vare över- gången till elektroniskt bevarande (prop. 2014/15:148 s. 83). Regeringen bedömer att angivna skäl är giltiga. En likalydande upplysningsbestämmelse som i domstolsdatalagen bör införas i den nya lagen. Innehållet i förordningsbestämmelserna bör ligga i linje med utredningens förslag och de sökbegränsningar som gäller enligt domstolsdataförordningen. Regeringens förslag: Sanktionsavgift ska få tas ut av den person- uppgiftsansvarige vid överträdelse av bestämmelserna om rättsliga grunder och sökförbud. Sanktionsavgiften ska bestämmas till högst . Utredningens förslag överensstämmer delvis med regeringens. ningen föreslår att sanktionsavgiften ska bestämmas till minst 50 000 kronor och högst . Remissinstanserna: De flesta av remissinstanserna, bl.a. tingsrätt och Justitiekanslern, tillstyrker utredningens förslag eller har ingen invändning mot det. anser att det är viktigt att sanktionerna utgör en rimlig reaktion på överträdelserna och att det i domstolarnas fall ofta rör sig om allvarliga överträdelser. rätten kan dock även en lägre avgift förväntas vara tillräckligt avskräck- Förvaltningsrätten i anser att det inte är nödvändigt att införa en möjlighet att ta ut administrativa sanktionsavgifter inom ramen för den nya lagen. ombudsmän och Förvaltningsrätten i påpekar att tillsynsmyndigheten inte är behörig att utöva tillsyn över personuppgiftsbehandling i domstolarnas dömande verksam- Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: kommer enligt brottsdatalagen att utöva tillsyn över domstolarnas behandling av person- Tillsynen omfattar dock inte personuppgiftsbehandling inom ramen för domstolarnas dömande verksamhet (5 kap. 2 § brottsdata- Till tillsynsmyndighetens befogenheter hör att besluta om sank- enligt 6 kap. brottsdatalagen. De överträdelser som enligt brottsdatalagen kan leda till att sanktionsavgift tas ut är bl.a. överträdel- ser av bestämmelser om hur personuppgifter får behandlas. Reglerna om sanktionsavgift i brottsdatalagen gäller vid överträdelse av bestämmelser i den lagen. Som framgår av avsnitt 5.4.2 anser reger- ingen att sanktionsavgift också bör kunna tas ut vid överträdelse av vissa bestämmelser i registerförfattningarna. Det gäller bestämmelser som ersätter, preciserar eller kompletterar bestämmelser i brottsdatalagen som kan föranleda sanktionsavgift. Enligt regeringen finns det inte skäl att, som Förvaltningsrätten i menar, göra en annan bedömning för I likhet med vad som gäller enligt brottsdatalagen bör överträdelse av bestämmelser om rättsliga grunder för behandling kunna föranleda sank- Enligt brottsdatalagen är det också möjligt att ta ut sanktions- Prop. 2017/18:269 avgift vid överträdelse av sökförbudet avseende känsliga personupp- För domstolarna kommer dock det sökförbudet inte att gälla. Regeringen föreslår i stället att domstolarnas brottsdatalag ska innehålla ett generellt förbud mot att använda integritetskänsliga sökbegrepp. Vidare föreslås ett antal undantag från sökförbudet. Slutligen görs bedömningen att vissa sökbegränsningar bör regleras i förordning (avsnitt 12.5.2). En överträdelse av bestämmelsen om sökförbud i den nya lagen bör kunna leda till att sanktionsavgift tas ut. Sanktionsavgift bör däremot inte kunna tas ut vid överträdelse av sådana sökbegränsningar som endast regleras i förordning. En förutsättning för att det ska vara fråga om en överträdelse av bestämmelsen om sökförbud är att sökningen inte omfattas av något av undantagen från förbudet. Undantagen kommer att regleras i domstolarnas brottsdatalag och anslutande föreskrifter och rör t.ex. sökning i ett visst mål och användning i allmän förvaltningsdomstol av sökbegrepp som avslöjar hälsa. Det bör framgå av en bestämmelse i den nya lagen i vilka fall det är möjligt att ta ut sanktionsavgift. Enligt 6 kap. 3 § brottsdatalagen ska sanktionsavgift tas ut med högst vid mindre allvarliga överträdelser och högst vid allvarligare överträdelser. Det framgår av paragra- fen vilka överträdelser som är mindre allvarliga respektive allvarliga. Överträdelser av bestämmelser om rättsliga grunder för behandling och sökförbudet avseende känsliga personuppgifter är enligt paragrafen all- varliga överträdelser. Det bör gälla även vid överträdelse av motsvarande bestämmelser i domstolarnas brottsdatalag. Regeringen ser inte skäl att ha högre sanktionsavgifter för domstolarna än för övriga myndigheter (prop. 2017/18:232 s. 325–329). Sanktionsavgift bör därför kunna tas ut med högst . Som ombudsmän och Förvaltningsrätten i på- pekar är tillsynsmyndigheten inte behörig att utöva tillsyn över den personuppgiftsbehandling som sker i domstolarnas dömande verksamhet. Sanktionsavgift kan därför endast beslutas för överträdelser utanför den dömande verksamheten. Regeringens förslag: Bestämmelsen om skadestånd i brottsdatalagen ska tillämpas vid behandling av personuppgifter i strid med den nya lagen eller föreskrifter som har meddelats i anslutning till den. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Samtliga remissinstanser tillstyrker utredningens förslag eller har ingen invändning mot det. Skälen för regeringens förslag: Enligt 7 kap. 1 § brottsdatalagen ska den personuppgiftsansvarige ersätta den registrerade för den skada och kränkning av den personliga integriteten som orsakats av behandling av personuppgifter i strid med brottsdatalagen, eller föreskrifter som har 2017/18:269 meddelats i anslutning till den. Rätten till skadestånd vid skada och kränkning bör vara densamma när personuppgifter behandlas i strid med domstolarnas brottsdatalag som vid behandling i strid med brottsdata- lagen. Det bör därför framgå att 7 kap. 1 § brottsdatalagen ska tillämpas vid behandling av personuppgifter i strid med den nya lagen eller föreskrifter som har meddelats i anslutning till den. Regeringens förslag: En domstols beslut i sådana frågor som avses i brottsdatalagens bestämmelse om överklagande av personuppgifts- ansvariga myndigheters beslut, får överklagas. Högsta domstolens och Högsta förvaltningsdomstolens beslut får dock inte överklagas. Beslut av en hovrätt, tingsrätt eller förvaltningsrätt överklagas till kammarrätten. Beslut av en kammarrätt överklagas till Högsta förvalt- ningsdomstolen. Regeringens bedömning: Den nya lagen bör inte innehålla några bestämmelser om överklagande av tillsynsmyndighetens beslut. Utredningens förslag och bedömning överensstämmer i sak med regeringens. Remissinstanserna: Ingen remissinstans invänder mot utredningens förslag och bedömning. Skälen för regeringens förslag och bedömning Bestämmelser om överklagande finns i brottsdatalagen I 7 kap. brottsdatalagen finns bestämmelser om överklagande. Bestäm- melserna reglerar rätten att överklaga beslut av personuppgiftsansvariga myndigheter och av tillsynsmyndigheten. Det finns även ett förbud mot att överklaga andra beslut enligt brottsdatalagen än de som särskilt anges. Domstolarnas brottsdatalag bör endast innehålla bestämmelser om överklagande som avviker från den generella regleringen. Den nya lagen bör även i möjligaste mån ha samma systematik som domstolsdatalagen (avsnitt 12.1.2). Regeringen anser därför att den nya lagen, till skillnad från vad som föreslås avseende övriga registerförfattningar, inte bör innehålla en reglering som upplyser om att bestämmelser om överklagande finns i brottsdatalagen. Det är samma lagtekniska lösning som finns i domstolsdatalagen (prop. 2017/18:113 s. 45–48). Bestämmelser om överklagande av beslut som har meddelats av en personuppgiftsansvarig domstol finns i 20 § domstolsdatalagen. En hovrätts, tingsrätts eller förvaltningsrätts beslut enligt artiklarna 12.5 och 15–21 i dataskyddsförordningen får överklagas till kammarrätten utan krav på prövningstillstånd. En kammarrätts beslut i sådana frågor får överklagas till . Högsta domstolens och Högsta förvaltningsdomstolens beslut får inte överklagas. Bestämmelsen i 20 § domstolsdatalagen motsvarar 7 kap. 2 § dataskyddslagen, men föreskriver en avvikande instansordning som motiveras av att förvalt- ningsrätterna inte ska behöva överpröva sina egna eller högre instansers Prop. 2017/18:269 beslut (prop. 2014/15:148 s. 94 och prop. 2017/18:113 s. 46 f.). I 7 kap. 2 § brottsdatalagen föreskrivs att beslut i fråga om rättelse eller komplettering, radering eller begränsning av behandlingen av personupp- gifter, som har meddelats av en myndighet i egenskap av personuppgifts- ansvarig, får överklagas till allmän förvaltningsdomstol. Detsamma gäller beslut att inte lämna information på begäran av en registrerad, att ta ut avgift för att lämna information eller att inte medge prövning av ett automatiserat beslut. Det saknas skäl att för domstolarnas del ha avvikande bestämmelser om vilka beslut som får överklagas. Den sär- skilda instansordning som enligt domstolsdatalagen gäller för beslut av personuppgiftsansvariga domstolar bör dock gälla även enligt den nya lagen. Enligt 7 kap. 3 § brottsdatalagen får tillsynsmyndighetens beslut enligt den lagen överklagas till allmän förvaltningsdomstol. I enlighet med regeringens förslag i avsnitt 12.8 ska det i domstolarnas brottsdatalag anges vilka överträdelser som kan föranleda sanktionsavgift. Tillsyns- myndigheten beslutar om sanktionsavgift med stöd av 5 kap. 7 § och 6 kap. 6 § brottsdatalagen även när det gäller överträdelser av bestäm- melserna i de särskilda registerförfattningarna. beslut om sanktionsavgifter vid dessa överträdelser får därför överklagas enligt brottsdatalagen och någon särskild reglering avseende rätten att överklaga sådana beslut behövs inte. Det finns alltså inte skäl att i den nya lagen särskilt reglera frågan om överklagande av tillsyns- myndighetens beslut. 13.1Behovet av anpassning till brottsdatalagen I kriminalvården ingår myndigheten och övervaknings- Lagen (2001:617) om behandling av personuppgifter inom kriminalvården gäller enligt 1 § vid behandling av personuppgifter i kriminalvårdens verksamhet i fråga om vissa personkategorier, bl.a. den som är föremål för personutredning, häktad eller dömd till fängelse, skyddstillsyn eller villkorlig dom med föreskrift om samhällstjänst. minalvården får enligt 3 § behandla personuppgifter bara om det behövs för vissa särskilt angivna ändamål, däribland att fullgöra sina uppgifter i enlighet med vad som föreskrivs i lag eller förordning och att underlätta tillgången till sådana uppgifter om verkställighet av påföljd eller häkt- ning som rättsväsendets övriga myndigheter behöver. Lagen, som enligt 2 § gäller utöver personuppgiftslagen, innehåller även bestämmelser om personuppgiftsansvar (4 §), behandling av käns- liga personuppgifter (5 §), direktåtkomst (6 §), gallring (7 §) och utlämn- 2017/18:269 ande av uppgifter för rättsstatistiken (9 §). I fråga om rättelse och skade- stånd gäller personuppgiftslagens bestämmelser (8 §). Lagen innehåller särskilda bestämmelser om omprövning och överklagande (12–16 §§). Merparten av regleringen finns emellertid i förordningen (2001:682) om behandling av personuppgifter inom kriminalvården. Även annan reglering av personuppgiftsbehandling är i viss utsträck- ning tillämplig i Kriminalvården. Det gäller bl.a. patientdatalagen (2008:355), som gäller när Kriminalvården bedriver hälso- och sjukvård. 13.1.2Behovet av en uppdaterad lagstiftning Kriminalvårdens lagstiftning avviker i många avseenden från den lag- stiftning som gäller för övriga myndigheter i rättskedjan. De andra regis- terförfattningarna har tillkommit , medan krimi- nalvårdens registerlagstiftning tillkom bara efter personuppgifts- lagen. Kriminalvårdens lagstiftning har en annan lagteknisk struktur än övriga registerförfattningar. Den gäller utöver personuppgiftslagen och är inte som de andra registerförfattningarna indelad i kapitel. Större delen av Kriminalvårdens personuppgiftsreglering finns i förordning, vilket skulle kunna ifrågasättas mot bakgrund av det utökade grundlagsskyddet i 2 kap. 6 § andra stycket regeringsformen. I förarbetena pekas bl.a. på att myndighetsregister med ett stort antal registrerade och särskilt känsligt innehåll normalt ska regleras i lag (se prop. 2009/10:80 s. 183). Moder- nare registerlagstiftning bygger inte i samma utsträckning som kriminal- vårdens registerlagstiftning på en detaljerad uppräkning av vilka person- uppgifter som får behandlas. Förutsättningarna för verksamheten på häkten och kriminalvårds- anstalter har förändrats. Brottsligheten har ändrat karaktär och påföljds- systemet har ändrats, särskilt möjligheten att avtjäna fängelsestraff utan- för anstalt i form av intensivövervakning medför att de som verkställer fängelsestraff i anstalt generellt sett avtjänar straff för tyngre krimi- nalitet än . Även demografiska faktorer påverkar hur verksamheten på häkten och i kriminalvårdsanstalter bedrivs. Kriminalvården måste t.ex. vid placering av intagna ta större hänsyn än tidigare till faktorer som organiserad brottslighet och tillhörighet till olika kriminella grupp- eringar. Mot denna bakgrund kan det finnas behov av att göra en översyn av kriminalvårdens registerlagstiftning. Detta är också något som Kriminalvården efterlyser. Även Justitiekanslern och Datainspek- tionen pekar på behovet av en översyn av kriminalvårdens registerlag- stiftning. Den bör ges en struktur och ett innehåll som i större utsträck- ning liknar övriga registerförfattningar. I detta lagstiftningsärende föreslås vissa förändringar som ett led i an- passningen till brottsdatalagen. Anpassningar och ändringar som är gemensamma för registerförfattningarna behandlas i avsnitt 5. De ytter- ligare ändringar som bör göras kriminalvårdens registerlagstiftning behandlas i detta avsnitt. En sakkunnig person har haft i uppdrag att lämna förslag på de författ- ningsändringar som behövs för att komplettera den del av kriminal- vårdens registerlagstiftning som ligger utanför brottsdatalagens tillämp- ningsområde till dataskyddsförordningen (Kriminalvårdens datalag – anpassning till EU:s dataskyddsförordning, Ds 2017:46). 2017/18:269 beslutades propositionen Kriminalvårdsdatalag – en ny lag med anpassning till EU:s dataskyddsförordning (prop. 2017/18:248). Regeringens förslag: Den nya lagen ska benämnas lagen om kriminalvårdens behandling av personuppgifter inom brottsdatalagens område. Utredningen föreslår att lagen ska benämnas kriminalvårdens brotts- datalag. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Lagen om behandling av personuppgifter inom kriminalvården reglerar huvudsakligen person- uppgiftsbehandling inom brottsdatalagens tillämpningsområde, men även till viss del inom dataskyddsförordningens tillämpningsområde. Den nya dataskyddsregleringen gör det nödvändigt att dela upp regleringen av kriminalvårdens personuppgiftsbehandling på ett annat sätt än . Om man skulle behålla en samlad reglering för kriminalvårdens person- uppgiftsbehandling skulle den till största delen gälla utöver brottsdata- lagen, men den skulle också komplettera dataskyddsförordningen med tillhörande lagstiftning. Ett alternativ är att i stället dela upp regleringen i två separata regelverk – ett för brottsdatalagens tillämpningsområde och ett för dataskyddsförordningens. Strukturen med olika registerförfatt- ningar för en myndighets olika verksamheter är ingen nyhet och den lös- ningen framstår enligt regeringens mening som den mest lämpliga. Den del av kriminalvårdens personuppgiftsbehandling som ligger inom brotts- datalagens tillämpningsområde bör som tidigare konstaterats regleras i en ny särskild lag, se avsnitt 3.4. En närmare redogörelse för brottsdatalagens tillämpningsområde finns i propositionen Brottsdatalag 2017/18:232 avsnitten 6.4 och 6.7. I propositionen Kriminalvårdsdatalag - en ny lag med anpassning till EU:s dataskyddsförordning, föreslås en ny lag som ska tillämpas vid behandling av personuppgifter i Kriminalvårdens verksamhet som avser verkställighet av frihetsberövanden och genomförande av transporter i de fall brottsdatalagen inte är tillämplig. Av de skäl som anges i avsnitt 7.1.2 finns det anledning att införa en- hetliga benämningar på de registerförfattningar som ska gälla utöver brottsdatalagen. Namnet bör knyta an till hur brottsdatalagen benämns och ange för vem författningen gäller och vad den rör. Övriga register- författningar föreslås få namn där ordet brottsdatalag ingår, vilket av systematiska skäl även bör gälla för kriminalvården. Lagen bör benäm- nas lag om kriminalvårdens behandling av personuppgifter inom brotts- datalagens område. I det följande kallas den nya lagen för kriminal- vårdens brottsdatalag. Som en följd av namnbytet måste hänvisningar till lagen ändras. 2017/18:269 13.2 Regeringens förslag: Lagen ska gälla utöver brottsdatalagen när någon av myndigheterna inom kriminalvården i egenskap av behörig myndighet enligt den lagen behandlar personuppgifter i syfte att verk- ställa häktning eller straffrättsliga påföljder eller biträda en annan be- hörig myndighet när den utför uppgifter för ett syfte som anges i brottsdatalagen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen tillstyrker utredningens förslag avseende tillämpningsområdet men framhåller att regleringen riskerar att bli svårtillämpad i förhållande till dataskyddsförordningens tillämpnings- område. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag Den nuvarande regleringen behöver anpassas I avsnitt 4.5 tar regeringen ställning till att registerförfattningarna även i fortsättningen ska innehålla bestämmelser om tillämpningsområdet och anger övergripande vad som bör gälla för den regleringen. Vidare före- slås i avsnitt 5.2 att registerförfattningarna ska gälla utöver brottsdata- lagen. Enligt 1 § lagen om behandling av personuppgifter inom kriminalvård- en gäller lagen vid behandling av personuppgifter i kriminalvårdens verksamhet i fråga om personer som är föremål för personutredning, som är häktade eller som är dömda till fängelse, skyddstillsyn eller villkorlig dom med föreskrift om samhällstjänst, som är ålagda fängelse som för- vandlingsstraff för böter eller vite, som på grund av utländsk dom ska verkställa nämnda påföljder i , som på annan grund är intagna i häkte eller kriminalvårdsanstalt eller som annars transporteras av krimi- nalvårdens transporttjänst. Tillämpningsområdet utgår från att personuppgiftsbehandlingen ska avse en person i någon av de uppräknade kategorierna. Den utform- ningen är inte förenlig med regleringen i brottsdatalagen, eftersom det är syftet med personuppgiftsbehandlingen som är avgörande för vilket regelverk som ska tillämpas, inte om personen tillhör en viss kategori. Tillämpningsområdet bör i stället utgå från syftet med personuppgifts- behandlingen. Det bör också framgå att lagen endast gäller när myndig- heterna agerar i egenskap av behöriga myndigheter. Personuppgiftsbehandling vid verkställighet av häktning och straffrätts- liga påföljder En av Kriminalvårdens huvuduppgifter är enligt 1 § förordningen (2007:1172) med instruktion för Kriminalvården att verkställa utdömda påföljder. Det som avses är verkställighet av fängelsestraff och vissa frivårdspåföljder. Personuppgiftsbehandling för sådana syften bör därför omfattas av lagens tillämpningsområde. Enligt 2 § instruktionen ska Kriminalvården verka för att påföljder verkställs på ett säkert sätt och att återfall i brott förebyggs. Kriminal- vården ska särskilt vidta åtgärder som syftar till att brottslighet under verkställigheten förhindras. Enligt 3 § första stycket 3 lagen om behand- ling av personuppgifter inom kriminalvården får Kriminalvården be- handla personuppgifter om det behövs för att upprätthålla säkerheten och förebygga brott under häktning och verkställighet av påföljder. Person- uppgiftsbehandling för sådana syften bör även i fortsättningen omfattas av lagens tillämpningsområde. En annan av Kriminalvårdens huvuduppgifter är enligt 1 § instruktio- nen att bedriva häktesverksamhet. Brottsdatalagen ska tillämpas vid be- handling av personuppgifter avseende den som är anhållen eller häktad för brott. Detsamma gäller den som är häktad efter dom i avvaktan på att domen får laga kraft och vid häktning för att hindra att den dömde undandrar sig verkställighet av beslut om utvisning på grund av brott. Lagen ska också tillämpas på den som är omhändertagen efter beslut enligt 26 kap. 22 § och 28 kap. 6 b § och förvaras i häkte. Personuppgiftsbehandling i syfte att verkställa häktning bör därmed också omfattas av lagens tillämpningsområde. Verkställighet av häktning för syften som ligger utanför brottsdatalagens tillämpningsområde bör dock inte falla under lagens tillämpningsområde. Personuppgiftsbehand- ling i samband med förvaring i häkte och transporter som Kriminalvård- en utför för ändamål som ligger utanför brottsdatalagens tillämpnings- område bör således inte omfattas av lagen. Övervakningsnämnderna prövar vissa frågor om verkställighet utanför anstalt enligt fängelselagen (2010:610). Nämnderna har även uppgifter som rör verkställigheten av skyddstillsyn. När övervakningsnämnderna hanterar personuppgifter för sådana syften görs det inom ramen för straffverkställighet och hanteringen bör därför omfattas av lagens till- ämpningsområde. I propositionen Brottsdatalag redogör regeringen för ett antal allmänna principer för hur man kan resonera i fråga om när ramlagen ska tillämpas och när den inte är tillämplig (se prop. 2017/18:232 s. 109 f). Utredningen utvecklar dessa principer ytterligare genom exempel från olika verksamheter inom ramlagens tillämpningsområde (se SOU 2017:29 s. 185–234).