prop · H603163 · 2019-09-09 00:00:00 — Som exempel kan nämnas en utskrift från hemlig avlyssning av elektronisk kommunikation som skickas till ett tredjeland eller en internationell organisation och som innehålla uppgifter om olika personer som förekommer i en förunder- sökning (jfr prop. 2017/18:232 s. 381). Som Datainspektionen konstaterar innebär förslaget i denna del en ut- vidgning av möjligheterna att överföra personuppgifter till tredjeland i särskilda undantagssituationer. Säkerhetspolisen bör inte ha sämre möj- ligheter än övriga brottsbekämpande myndigheter att överföra uppgifter till tredjeland i undantagssituationer och regleringen bör därför i princip var densamma som enligt brottsdatalagen. Det bör också understrykas att samtliga förutsättningar för överföring alltid ska vara uppfyllda för att personuppgifter ska få överföras. Det gäller alltså även i de särskilda undantagssituationerna. Enligt 8 kap. 5 § första stycket 1 brottsdatalagen får personuppgifter överföras om det är nödvändigt för att värna den registrerades eller någon annan fysisk persons vitala intressen. I 34 § första stycket d personupp- giftslagen finns en liknande bestämmelse som är tillämplig för Säkerhets- polisen genom en hänvisning i 2 kap. 2 § första stycket 8 och 6 kap. 4 § 1 polisdatalagen. Ett motsvarande undantag bör införas i den nya lagen. Med vitala intressen bör förstås att det ska vara fråga om ett väsentligt intresse för den enskilde. Det kan röra liv, hälsa eller något annat som är av avgörande betydelse för den enskilde (jfr prop. 2017/18:232 s. 382 f.). Personuppgifter får enligt 8 kap. 5 § första stycket 1 brottsdatalagen överföras om det är nödvändigt för att värna den registrerades berättigade intressen. Ett motsvarande undantag bör tas in i den nya lagen. Ordet berättigad förklaras i som någon som fått något tilldelat sig eller förvärvat något, eller som är i sin fulla rätt att göra något. Berättigad kan också innebära att något är rättmätigt, välgrundat eller grundat på fullgiltiga skäl. Det behöver alltså inte var fråga om något som är livsviktigt eller annars av avgörande betydelse för den registrerade (prop. 2017/18:232 s. 383). Myndighetens intresse i enskilda fall För att inte försvåra brottsbekämpning och lagföring finns i 8 kap. 5 § 2 brottsdatalagen en bestämmelse om att behöriga myndigheter har möjlig- het att i enskilda fall överföra personuppgifter till tredjeland eller interna- organisationer trots att landet eller organisationen inte omfattas av ett beslut om adekvat skyddsnivå och det inte heller finns tillräckliga skyddsåtgärder för personuppgifterna. Ett motsvarande undantag bör tas in i den nya lagen, men bör anpassas till Säkerhetspolisens verksamhet. Överföringen bör således vara nödvändig för att i ett enskilt fall kunna förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. Rättsliga anspråk i enskilda fall I 8 kap. 5 § första stycket 3 brottsdatalagen framgår att personuppgifter får överföras om det i ett enskilt fall är nödvändigt för att kunna fastställa, göra gällande eller försvara ett sådant rättsligt anspråk som hänför sig till ett sådant syfte som omfattas av brottsdatalagens tillämpningsområde. En liknande bestämmelse finns också i 34 § första stycket c per- sonuppgiftslagen, som genom en hänvisning i 2 kap. 2 § första stycket 8 och 6 kap. 4 § 1 polisdatalagen gäller för Säkerhetspolisen. Ett mot- svarande undantag bör tas in i den nya lagen. Allvarlig fara för allmän säkerhet Det bör tas in en bestämmelse om att personuppgifter får överföras till ett tredjeland eller en internationell organisation, om överföringen är nöd- vändig för att avvärja en omedelbar och allvarlig fara för allmän säkerhet. En motsvarande bestämmelse finns i 8 kap. 5 § första stycket 4 brottsdatalagen. Bestämmelsen skulle t.ex. kunna tillämpas om överföringen är nödvän- dig för att avvärja ett terroristattentat eller en flygplanskapning. 2018/19:163 det typiskt sett är fråga om en överhängande fara för att något ska hända får prövningen i dessa fall göras med utgångspunkt i att åtgärden kan antas vara nödvändig för att avvärja faran. Att faran inte förverkligas behöver inte innebära att överföringen har varit otillåten. Bedömningen måste självfallet göras med hänsyn till vad som är känt när prövningen görs. En intresseavvägning ska göras i vissa fall Av 8 kap. 5 § andra stycket framgår att personuppgifter inte får överföras till ett tredjeland eller en internationell organisation om den registrerades intresse av skydd mot kränkning av grundläggande fri- och rättigheter väger tyngre än det allmännas intresse av att överföringen görs i det enskilda fallet för ett myndighetsintresse eller för att kunna fastslå, göra gällande eller försvara ett rättsligt anspråk. Det bör i den nya lagen, på samma sätt som i brottsdatalagen, ställas krav på en sådan intresseavväg- ning. 17.5Överföring till andra mottagare Regeringens förslag: Säkerhetspolisen ska i ett enskilt fall få överföra personuppgifter till andra mottagare i ett tredjeland än brottsbekäm- pande myndigheter och underrättelse- och säkerhetstjänster. En sådan överföring ska få göras endast om det är absolut nödvändigt för att Säkerhetspolisen ska kunna utföra vissa arbetsuppgifter och det skulle vara ineffektivt eller olämpligt att överföra personuppgifterna till en brottsbekämpande myndighet eller en underrättelse- eller säkerhets- tjänst i det tredjelandet. Sådana överföringar ska inte få göras om den registrerades intresse av skydd mot kränkning av grundläggande fri- och rättigheter väger tyngre än det allmännas intresse av att överföringen görs. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag Det finns behov av att kunna överföra personuppgifter till andra mottagare Regleringen i personuppgiftslagen gör ingen skillnad mellan myndigheter och andra mottagare när det gäller överföringar till tredjeland. Säkerhetspolisen kan således enligt den nuvarande regleringen överföra personuppgifter både till myndigheter, andra aktörer och enskilda i tredjeländer om villkoren i övrigt är uppfyllda. Enligt brottsdatalagen är huvudregeln att överföring ska göras till be- höriga myndigheter i det tredje landet. Av förarbetena till brottsdatalagen framgår att myndigheterna har behov av att även kunna överföra person- uppgifter till andra än behöriga myndigheter. Där konstateras bl.a. att det finns tillfällen då det underlättar om en svensk myndighet kan överföra personuppgifter till ett tredjeland utan att behöva kanalisera dem via en behörig myndighet i landet. Så kan vara fallet när det rör sig om en särskilt brådskande åtgärd och en kontakt med den behöriga myndigheten riskerar att försena åtgärden eller göra den meningslös (prop. s.292 f). Enligt 8 kap. 8 § brottsdatalagen får överföringar därför göras till andra än behöriga myndigheter om vissa villkor är uppfyllda. Säkerhetspolisen har samma behov som övriga brottsbekämpande myndigheter att i vissa fall kunna överföra personuppgifter till andra mottagare än brottsbekämpande myndigheter eller underrättelse- eller säkerhetstjänster i ett tredjeland. Regeringen delar därför utredningens uppfattning att en liknande bestämmelse bör tas in i den nya lagen. Det innebär att möjligheterna att överföra personuppgifter till andra än brotts- bekämpande myndigheter och underrättelse- och säkerhetstjänster be- gränsas något i förhållande till vad som gäller . Det har dock inte framförts några invändningar mot det. Säkerhetspolisen bör alltså i ett enskilt fall få överföra personuppgifter till en mottagare som inte är en brottsbekämpande myndighet eller en underrättelse- eller säkerhetstjänst i ett tredjeland om vissa villkor är uppfyllda. Dessa villkor behandlas närmare i det följande. Överföringen ska vara absolut nödvändig För att personuppgifter ska få överföras till andra än behöriga myndigheter i ett tredjeland krävs, enligt 8 kap. 8 § första stycket 1 brottsdatalagen, att överföringen ska vara absolut nödvändig för att den svenska myndigheten ska kunna utföra en arbetsuppgift som den har ansvar för och som ligger inom brottsdatalagen tillämpningsområde. Motsvarande bör gälla även för Säkerhetspolisen. Säkerhetspolisen får således endast överföra personuppgifter om det är absolut nödvändigt för att myndigheten ska kunna utföra vissa arbetsuppgifter inom den nya lagens till- lämpningsområde. Att överföringen ska vara absolut nödvändig betyder att undantaget ska tillämpas restriktivt och endast i undantagsfall. Överföring till behörig myndighet är ineffektiv eller olämplig För att få föra över personuppgifter till någon som inte är en behörig myndighet i ett tredjeland krävs också, enligt 8 kap. 8 § första stycket 3 brottsdatalagen, att det skulle vara ineffektivt eller olämpligt att överföra uppgifterna till en behörig myndighet där. Enligt förarbetena till brotts- datalagen ligger i det kravet att handläggningen riskerar att fördröjas om uppgifterna överförs till en behörig myndighet. Exempel på när det kan vara ineffektivt att gå via en behörig myndighet i ett tredjeland kan vara överföringar till företag som Google eller Facebook, där det kan röra sig om stora mängder personuppgifter som behöver överföras och det kan vara av avgörande betydelse med ett snabbt svar. I undantagsfall kan det också vara olämpligt att överföra en personuppgift via den behö- riga myndigheten. Om tidigare kontakter i ärendet med den behöriga myndigheten fått negativa konsekvenser för den svenska myndighetens handläggning bör det kunna vara ett sådant fall. Ett annat exempel är kontakter med ett krigshärjat tredjeland där det kanske inte finns någon behörig myndighet att kommunicera med eller där det är oklart vem som är behörig företrädare för staten. Då är det nödvändigt att kunna överföra personuppgifter till andra än behöriga myndigheter. Det är den överfö- rande myndigheten som ska bedöma om det skulle vara ineffektivt eller på 2018/19:163 annat sätt olämpligt att överföra personuppgifterna till en behörig myndighet (prop. 2017/18:232 s. 394). Även enligt den nya lagen bör det vara ett villkor för att få överföra personuppgifter till andra mottagarare i ett tredjeland att det skulle vara ineffektivt eller olämpligt att överföra uppgifterna till en brottsbekäm- pande myndighet eller en underrättelse- eller säkerhetstjänst i det landet. Ingen skyldighet att informera om för vilka ändamål uppgifterna får behandlas Enligt 8 kap. 8 § andra stycket 2 brottsdatalagen ska den svenska myn- digheten informera den som tar emot personuppgifter om de specifika ändamål för vilka uppgifterna får behandlas. Skyldigheten har sin grund i direktivet och har ingen motsvarighet . Frågan är om den även bör gälla för Säkerhetspolisen. Det finns situationer där det inte är lämpligt att Säkerhetspolisen avslöjar att det är myndigheten som överför viss information. Så kan exempelvis vara fallet när Säkerhetspolisen gör sökningar i vissa utländska databaser som innehåller uppgifter om t.ex. fastigheter eller bolag eller använder liknande tjänster. Sådana sökningar innebär en överföring av person– uppgifter till den aktör som ansvarar för databasen eller tjänsten. Säkerhetspolisen kan då i vissa fall behöva dölja att det är myndigheten som gör sökningen. Syftet med informationsskyldigheten är att kunna be- gränsa den fortsatta användningen av personuppgifterna. Det kan emel- lertid göras på andra sätt, som inte riskerar att äventyra verksamheten. Något krav på att Säkerhetspolisen alltid ska informera den som tar emot uppgifterna om för vilka ändamål uppgifterna får behandlas eller infor- mera behörig myndighet på det sätt som anges i brottsdatalagen bör därför inte införas. En intresseavvägning ska göras Enligt 8 kap. 8 § andra stycket brottsdatalagen får personuppgifter inte överföras till någon som inte är en behörig myndighet i ett tredjeland om den registrerades intresse av skydd mot kränkning av rättigheter och friheter väger tyngre än det allmännas intresse av att överföringen görs. På samma sätt som i brottsdatalagen bör det i den nya lagen föreskrivas att en intresseavvägning ska göras vid överföringar av aktuellt slag. De intressen som ska vägas mot varandra är å ena sidan den registrerades intresse av skydd mot att hans eller hennes rättigheter och friheter kränks genom överföringen och å andra sidan det allmännas intresse av att personupp- gifterna överförs. Väger den registrerades intresse av skydd tyngre får överföringen inte göras. 17.6Villkor för användningen av personuppgifter Regeringens bedömning: Det behövs inga bestämmelser om användningsbergränsningar i den nya lagen. Utredningens förslag överensstämmer inte med regeringens bedöm- Prop. 2018/19:163 ning. Utredningen föreslår att det ska tas in bestämmelser om använd- ningsbegränsningar i den nya lagen. Remissinstanserna: Det är endast Säkerhetspolisen som yttrar sig i denna del. Myndigheten ifrågasätter behovet av att reglera användnings- begränsningar i den nya lagen mot bakgrund av regleringen i lagen (2017:496) om internationellt polisärt samarbete. Skälen för regeringens bedömning: När en utländsk myndighet över- för personuppgifter till en svensk myndighet är det inte ovanligt att den ställer upp användningsbegränsningar. Det kan handla om för vilka ändamål personuppgifterna får användas eller hur länge de får behandlas. Även när en svensk myndighet överför personuppgifter till ett tredjeland eller en internationell organisation finns det ibland skäl att ställa villkor som begränsar användningen av uppgifterna. Att personuppgifterna förses med användningsbegränsningar kan ibland vara en förutsättning för att det ska anses vara lämpligt att överföra uppgifterna (jfr prop. Det finns flera författningar som innehåller bestämmelser om sådana användningsbegränsningar, bl.a. 5 kap. 1 § lagen (2000:562) om interna- tionell rättslig hjälp i brottmål, 5 § lagen (2003:1174) om vissa former av internationellt samarbete i brottsutredningar och 6 kap. 3 och 4 §§ lagen (2017:496) om internationellt polisiärt samarbete. Även i 8 kap. 9 och 10 §§ brottsdatalagen finns bestämmelser om användningsbegränsningar. Att det infördes sådana bestämmelser i brottsdatalagen berodde på att brottsdatalagen har ett vidare tillämpningsområde än de nämnda lagarna, vilket gjorde att bestämmelserna i dem inte var tillräckliga. Ut- redningen föreslår att motsvarande bestämmelser som i brottsdatalagen ska tas in i den nya lagen. För Säkerhetspolisens del räcker dock bestäm- melserna om användningsbegränsningar i de nämnda lagarna. Det finns därför inte skäl att ta in några sådana bestämmelser i den nya lagen. 17.7Dokumentationskrav och informations- skyldighet Regeringens bedömning: Skyldigheten att i vissa fall dokumentera överföringar som görs till tredjeland eller internationella organisationer kan regleras i förordning. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: anser att det ska framgå vilka uppgifter som ska dokumenteras vid överföring till tredjeland och internationella organisationer. Skälen för regeringens bedömning: Enligt 7 kap. 3 § brottsdata- förordningen (2018:1202) är behöriga myndigheter i vissa fall skyldiga att dokumentera överföringar till tredjeland och internationella organisa– tioner. Regeringen delar utredningens bedömning att även Säkerhets– polisen bör dokumentera överföringar som gjorts till tredjeland eller internationella organisationer. Det kan regleras i förordning. Säkerhets- och integritetsskyddsnämndens synpunkter på förordningsregleringen 2018/19:163 kommer regeringen att ta ställning till vid utformningen av dessa bestämmelser. Regeringen delar vidare utredningens bedömning att skyldigheten att självmant informera tillsynsmyndigheten om de överföringar som görs till tredjeland och internationella organisationer riskerar att medföra resurskrävande administrativt arbete för både Säkerhetspolisen och till- synsmyndigheten. Något sådant krav bör därför inte ställas. I avsnitt 15.5 föreslår regeringen att Säkerhetspolisen ska ge tillsynsmyndigheten till- gång till dokumentation av behandlingen om myndigheten begär det. Det är tillräckligt att dokumentationen görs tillgänglig för tillsynsmyndigheten inom ramen för den skyldigheten. Regeringens förslag: Övergångsbestämmelsen i polisens brottsdatalag om att polisdatalagen fortfarande ska gälla för Säkerhetspolisens behandling av personuppgifter i frågor som rör nationell säkerhet, ska upphöra att gälla. Även övergångsbestämmelsen i offentlighets- och sekretesslagen om att äldre föreskrifter fortfarande gäller för sådan verksamhet som avses i 6 kap. 1 § 1 polisdatalagen, ska upphöra att gälla. I offentlighets- och sekretesslagen, säkerhetsskyddslagen och lagen med kompletterande bestämmelser till EU:s dataskyddsförordning ska hänvisningar till Säkerhetspolisens datalag göras. Det ska föreskrivas att lagen om internationellt polisiärt samarbete gäller utöver Säkerhetspolisens datalag. Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår inte att övergångsbestämmelsen i polisens brottsdatalag om att den upphävda polisdatalagen (2010:361) fortfarande ska gälla för Säkerhetspolisen i vissa delar, ska upphävas. Inte heller att övergångsbestämmelsen i offentlighets- och sekretesslagen (2009:400) om att äldre föreskrifter fortfarande gäller för sådan verksamhet som avses i 6 kap. 1 § 1 polisdatalagen, ska upphävas. Utredningen föreslår inte ändringar i dataskyddslagen eller säkerhetsskyddslagen (2018:585). Remissinstanserna: Tidningsutgivarna tillstyrker förslaget. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag När polisens brottsdatalag infördes upphävdes polisdatalagen. Eftersom Säkerhetspolisens personuppgiftsbehandling på området för nationell säkerhet inte regleras i polisens brottsdatalag behövde polisdatalagen övergångsvis fortsätta att gälla för Säkerhetspolisen i avvaktan på en ny datalag för Säkerhetspolisen. En övergångsbestämmelse av den innebörden infördes därför i polisens brottsdatalag (Brottsdatalagen – kompletterande lagstiftning, prop. 2017/18:269, s. 285). När Säkerhets- Prop. 2018/19:163 polisens nya lag träder i kraft behövs inte längre den övergångs- bestämmelsen i polisens brottsdatalag. Den ska därför upphävas. Vid införandet av polisens brottsdatalag krävdes vidare att vissa bestämmelser i offentlighets- och sekretesslagen, säkerhetsskyddslagen och lagen (2017:496) om internationellt polisiärt samarbete övergångsvis skulle fortsätta att gälla för att Säkerhetspolisen skulle ha möjlighet att behandla personuppgifter på samma sätt som . Övergångs- bestämmelserna i dessa lagar om att äldre föreskrifter fortfarande gäller för uppgifter som behandlas av Säkerhetspolisen med stöd av polisdatalagen, kommer inte längre att gälla när övergångsbestämmelsen i polisens brottsdatalag upphävs. Övergångsbestämmelsen i offentlighets- och sekretesslagen om att äldre föreskrifter fortfarande gäller för sådan verksamhet som avses i 6 kap. 1 § 1 polisdatalagen, måste dock upphävas i samband med att Säkerhetspolisens nya datalag träder i kraft. I samband med att övergångsregleringen upphävs behöver vissa hänvisningar och tillägg göras i de aktuella lagarna. I 18 kap. 2 § och 35 kap. 1 och 10 §§ offentlighets- och sekretesslagen bör, som utredningen föreslår, hänvisningar göras till Säkerhetspolisens nya datalag. Detta innebär ingen ändring i sak utan är följdändringar i anledning av att Säkerhetspolisen får en ny lag. I 3 kap. 13 § säkerhetsskyddslagen anges vad som avses med registerkontroll och i 3 kap. 14 § framgår när registerkontroll ska göras. I aktuella paragrafer bör hänvisningar göras till Säkerhetspolisens datalag för att samma reglering som ska gälla. Vidare bör bestämmelsen i 1 kap. 3 § 3 dataskyddslagen som hänvisar till 6 kap. polisdatalagen ändras så att den i stället hänvisar till Säkerhetspolisens nya datalag. I lagen om internationellt polisiärt samarbete finns bestämmelser om informationsutbyte i 6–10 kap. För att samma reglering ska gälla som för Säkerhetspolisen bör det föreskrivas att lagen ska gälla utöver Säkerhetspolisens datalag. Det innebär att lagen ska tillämpas i den utsträckning den innehåller bestämmelser om personuppgiftsbehandling som avviker från bestämmelserna i nya lag. Regeringens förslag: Säkerhetspolisens nya datalag och övriga författningsförslag ska träda i kraft . Äldre föreskrifter ska fortsätta att gälla för överklagande av beslut som har meddelats före den nya lagens ikraftträdande. Bestämmelsen om loggning behöver inte tillämpas förrän den på automatiserade behandlingssystem som har inrättats före den nya lagens ikraftträdande. I lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet ska en övergångsbestämmelse införas om att äldre föreskrifter fortfarande gäller för nämndens tillsyn över personuppgiftsbehandling som utförts före ikraftträdandet. Utredningens förslag överensstämmer delvis med regeringens. När det gäller ärenden om tillsyn enligt personuppgiftslagen som inte avgjorts när den nya lagen träder i kraft föreslår utredningen att äldre bestämmelser om handläggningen ska fortsätta att gälla. Utredningen föreslår även att äldre bestämmelser ska fortsätta att gälla för ärenden om skadestånd för felaktig personuppgiftsbehandling om skadan har orsakats före den nya lagens ikraftträdande. Enligt utredningens förslag behöver bestämmelsen om loggning inte tillämpas förrän på automatiserade behandlingssystem som har inrättats före den nya lagens ikraftträdande. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag Säkerhetspolisens nya lag och övriga författningsförslag bör träda i kraft . Mot den bakgrunden och med hänsyn till den tid som de olika leden i lagstiftningsprocessen förväntas ta, föreslår regeringen som tidpunkten för ikraftträdande av den nya lagen och övriga författningsförslag. Övergångsbestämmelser om tillsyn, skadestånd och överklagande Det som kan behöva regleras i övergångsbestämmelser till Säkerhets- polisens nya lag – förutom bestämmelser om loggning – är framför allt hur pågående ärenden hos myndigheten och hos tillsynsmyndigheten bör hanteras. I frågor som rör behandling av personuppgifter hos bör den nya lagstiftningen tillämpas från det att den träder i kraft. Det innebär exempelvis att framställningar om att få del av information, ärenden om rättelse och andra oavslutade ärenden ska hanteras enligt den nya lagen. Några övergångsbestämmelser för Säkerhetspolisens handläggning behövs därmed inte. När det gäller tillsynsåtgärder följer det av allmänna principer att förelägganden och förbud som har meddelats med stöd av personuppgifts- lagen och som rör den nya lagens tillämpningsområde fortsätter att gälla efter det att övergångsregleringen i denna del har upphävts. Det behövs därför inte någon särskild övergångsbestämmelse för det. När det gäller andra frågor om tillsyn över behandling av personuppgifter inom den nya lagens tillämpningsområde föreslår utredningen att äldre bestämmelser ska fortsätta att gälla för de ärenden som har påbörjats före ikraftträdandet, men inte hunnit avgöras när den nya lagen träder i kraft. I propositionen om en ny dataskyddslag (prop. 2017/18:105 s. 175 f.) föreslog regeringen inte någon motsvarande övergångsbestämmelse. Regeringen gjorde bedömningen att det saknas skäl för en sådan övergångsbestämmelse eftersom Datainspektionen påpekat att pågående behandling ska bedömas enligt regleringen i dataskyddsförordningen när den börjar tillämpas (se a. prop. s. 175 f.). Motsvarande bedömning gjordes även i förarbetena till brottsdatalagen (Brottsdatalag, prop. 2017/18:232, s. 424). Mot denna bakgrund anser regeringen att det inte heller nu bör införas någon sådan övergångs- bestämmelse till Säkerhetspolisens datalag.