prop · H60365 · 2019-03-19 00:00:00 — Eftersom lagen om misstankeregister reglerar behandling av personuppgifter såväl på brottsdatalagens område som på dataskyddsförordningens kan det inte sägas strida mot systematiken i dataskyddsregleringen att, på samma vis som föreslagits beträffande lagen om belastningsregister, behålla den 2018/19:65 nuvarande bestämmelsen om gallring. I promemorian föreslås inte heller några ändringar. Eftersom det inte är nödvändigt som en följd av dataskyddsreformen bör det mot denna bakgrund inte göras några ändringar i bestämmelsen om gallring. Regeringens förslag: Av lagen om misstankeregister ska det framgå att brottsdatalagens bestämmelse om skadestånd ska tillämpas om behandling av personuppgifter som omfattas av brottsdatalagen skett i strid med lagen om misstankeregister eller föreskrifter som meddelats i anslutning till den. I övrigt regleras inte frågor om rättelse och skadestånd i lagen om misstankeregister. Promemorians förslag överensstämmer i sak med regeringens. Remissinstanserna: Förvaltningsrätten i menar att det i 15 § lagen om misstankeregister bör anges uttryckligen vad som står i 7 kap. 1 §brottsdatalagen, eftersom bestämmelsen riktar sig till allmänheten och avser den enskildes rätt. Övriga remissinstanser yttrar sig inte över förslaget. Skälen för regeringens förslag: I 15 § lagen om misstankeregister regleras frågor om skadestånd och rättelse. Bestämmelsen hänvisar till reglerna i personuppgiftslagen. Eftersom förandet av misstankeregistret omfattas av brottsdatalagen kommer det endast vara aktuellt att pröva frågor om rättelse enligt bestämmelserna i denna. Som konstaterats i avsnitt 6.5 kan bestämmelsen i 4 kap. 9 § brottsdatalagen om rättelse tillämpas även om den personuppgift som den registrerade anser vara felaktig eller ofullständig behandlas med stöd av en registerförfattning. 15 § lagen om misstankeregister bör därför inte längre innehålla någon reglering av frågor om rättelse. För att regleringen ska vara förenlig med dataskyddsdirektivet måste det, i enlighet med bedömningen i avsnitt 6.6.4, däremot framgå av 15 § att bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen ska tillämpas vid behandling av personuppgifter i strid med lagen om misstankeregister eller föreskrifter som har meddelats i anslutning till denna, om behandlingen omfattas av brottsdatalagen. Med hänsyn till intresset av en enhetlig reglering på dataskyddsområdet bör detta, till skillnad från vad Förvaltningsrätten i föreslagit, ske genom en hänvisning till 7 kap. 1 § brottsdatalagen. Förslaget motsvarar därigenom regleringen i andra registerförfattningar på brottsdatalagens område samt vad som i detta ärende föreslagits i lagen om belastningsregister (se avsnitt 8.3.9). Om skada orsakas i samband med behandling för utlämnande som inte omfattas av brottsdatalagen blir, som framgår av avsnitt 5.8.2, dataskyddsförordningens reglering tillämplig utan att någon hänvisning krävs. 15 § lagen om misstankeregister bör därför inte omfatta frågor om skadestånd vid sådan behandling. Vapenlagen, som kompletteras av vapenförordningen (1996:70), gäller skjutvapen och ammunition samt vissa därmed jämställda föremål. I lagen regleras en mängd frågor rörande vapen, bl.a. frågor om tillstånd att inneha vapen och om hanteringen av vapen. Lagen innehåller också straff- bestämmelser. Därutöver finns i lagen en bestämmelse, 1 a kap. 7 §, som ålägger Polis- myndigheten att med hjälp av automatiserad behandling föra separata register (vapenregistren) över: 1.personer och organisationer som har meddelats tillstånd att inneha skjutvapen eller ammunition eller tillstånd att låna skjutvapen samt personer som tillhör hemvärnets personal och som av Försvarsmakten har tilldelats skjutvapen för förvaring i bostaden (vapeninnehavar- registret), 2.de skjutvapen för vilka tillstånd till innehav har meddelats samt skjutvapen som upphittats eller anmälts stulna eller försvunna (vapenregistret), 3.personer och organisationer som har meddelats tillstånd att driva handel med skjutvapen, fysiska personer som har ett betydande inflytande över en sådan juridisk person som har tillstånd att driva handel med skjutvapen, personer som har godkänts att som föreståndare eller ersättare svara för sådan verksamhet samt personer och organisationer som har meddelats tillstånd att ta emot skjutvapen för översyn eller reparation (vapenhandlarregistret), och 4.sammanslutningar som har auktoriserats enligt vapenlagen (registret över auktoriserade sammanslutningar för jakt- eller målskytte). Även resterande bestämmelser i 1 a kap. innehåller regler om person- uppgiftsbehandling, både sådan som sker i vapenregistren och sådan som sker i vapenärenden. För uppgifter i vapenregister och vapenärenden gäller sekretess om det inte står klart att uppgiften kan röjas utan fara för att vapen eller ammunition kommer till brottslig användning (18 kap. 16 och 16 a §§ offentlighets- och sekretesslagen). I vapenärenden gäller dessutom sekretess för uppgifter om enskilds personliga förhållanden, om det kan antas att den enskilde eller närstående lider men om uppgiften röjs (35 kap. 23 § offentlighets- och sekretesslagen). 10.1Är brottsdatalagen eller dataskyddsförordningen tillämplig? Regeringens bedömning: Behandling av personuppgifter i vapen- ärenden samt förandet av vapenregistren och behandling av person- uppgifter för utlämnande ur registren i annat än brottsbekämpande syfte omfattas av dataskyddsförordningen. Behandling av personuppgifter för utlämnande ur registren i brotts- bekämpande syfte omfattas av brottsdatalagen. 2018/19:65 Promemorians bedömning överensstämmer delvis med regeringens. I promemorian görs bedömningen att all behandling av personuppgifter som omfattas av regleringen i vapenlagen omfattas av dataskyddsförordningen. Remissinstanserna: menar att förandet av vapen- registren bör anses falla under dataskyddsdirektivets tillämpningsområde. Övriga remissinstanser yttrar sig inte över bedömningen. Skälen för regeringens bedömning Det är som handlägger vapenärenden, dvs. person- uppgiftsbehandlingen i vapenärenden görs av en myndighet som bland annat har till uppgift att förebygga, förhindra och upptäcka brottslig verksamhet samt att utreda brott, och därmed kan vara behörig i brottsdatalagens mening (1 kap. 6 § brottsdatalagen). Avgörande för om brottsdatalagen eller dataskyddsförordningen ska anses tillämplig på behandlingen är då, som redogjorts för tidigare, om syftet med behandlingen är att bekämpa brott eller något annat av de syften som anges i 1 kap. 2 § brottsdatalagen. Som anges i promemorian skulle hela systemet i vapenlagen med tillståndsplikt och registrering kunna anses ha till syfte att förebygga såväl brottslig verksamhet som hot mot den allmänna säkerheten. Av propositionen Brottsdatalag framgår emellertid att begreppen ”förebygga brottslig verksamhet” och ”upprätthålla allmän ordning och säkerhet” i 1 kap. 2 § brottsdatalagen inte varit avsedda att ges en så vidsträckt tillämpning (prop. 2017/18:232 s. 94–98 och 429–432). Utredningen om 2016 års dataskyddsdirektiv har också gjort bedömningen att hanteringen av vapenärenden inte kan anses ske i verksamhet som omfattas av brottsdatalagen (se exempelvis s. 291 f. och 697 i SOU 2017:29). Som redogjorts för i avsnitt 8.2 har regeringen i förarbetena till brottsdatalagen hänvisat till de bedömningar som Utredningen om 2016 års dataskyddsdirektiv gjort rörande enskilda verksamheter inom myndigheterna. Regeringen gör mot denna bakgrund bedömningen att behandling av personuppgifter i vapenärenden omfattas av dataskyddsförordningen. Som framgått är det som för vapenregistren. Även personuppgiftsbehandlingen i dessa görs alltså av en myndighet som kan vara behörig. Avgörande blir då återigen om syftet med behandlingen är sådant att brottsdatalagen kan anses tillämplig. I promemorian har som grund för bedömningen att all person- uppgiftsbehandling i vapenregistren omfattas av dataskyddsförordningen hänvisats dels till att Utredningen om 2016 års dataskyddsdirektiv i SOU 2017:29 gjort denna bedömning, dels till att detta ligger väl i linje med att sådan personuppgiftsbehandling inte omfattas av polisdatalagen. Av 1 a kap. 8 § vapenlagen framgår att vapenregistren ska ha till ändamål att underlätta handläggningen av frågor om tillstånd enligt vapenlagen och att ge information om sådana uppgifter som behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet eller för att utreda eller beivra brott med anknytning till skjutvapen. I propositionen till polisdatalagen (prop. 2009/10:85 s. 76) har regeringen också, med hänvisning till tidigare förarbetsuttalanden, uttalat att vapenregistren förs delvis för brottsbekämpande ändamål. Detta är skälet till att behandling av personuppgifter enligt vapenlagen uttryckligen måste undantas från polisdatalagens tillämpningsområde, som endast omfattar behandling av personuppgifter i brottsbekämpande verksamhet. Det bör även noteras att de uttalanden som gjorts i SOU 2017:29, och som kommenterats ovan, endast tar sikte på personuppgiftsbehandling i vapenärenden och inte i vapenregistren. Det går således inte att utan vidare säga att vapenregistrens samtliga ändamål är sådana som omfattas av brottsdatalagens tillämpningsområde eller av dataskyddsförordningens. Liksom vad gäller personuppgiftsbehandling i belastnings- och misstankeregistren anser regeringen att det, för den fortsatta analysen av vilket av de nya dataskyddsregelverken som är tillämpligt, är lämpligt att dela upp den personuppgiftsbehandling som sker i vapenregistren i två delar. Den ena avser förandet av registren, dvs. den behandling som behövs för att lägga in personuppgifter i registren och sedan bevara dem där. Den andra avser sökningar i och utlämnanden ur registren, som alltså primärt görs för att informationen i registren behövs antingen i handläggning av frågor om tillstånd enligt vapenlagen eller i verksamhet som bedrivs för att förebygga, förhindra eller upptäcka brottslig verksamhet eller för att utreda eller beivra brott med anknytning till skjutvapen. Som framgått i tidigare kapitel är det av vikt att frågan om vilken författning som är tillämplig på förandet av registret klargörs så långt möjligt. Dataskyddsförordningen och brottsdatalagen skiljer sig åt i vissa avseenden, exempelvis när det gäller möjligheten att behandla känsliga personuppgifter och den enskildes rätt till information. Personuppgifterna i vapenregistren härrör från vapenärenden, dvs. inte från brottsbekämpande verksamhet. Samtliga uppgifter i registren är också sådana att de kan komma till användning vid handläggning av frågor om tillstånd enligt vapenlagen. Regeringen gör därför, till skillnad från , bedömningen att det grundläggande syftet med förandet av vapenregistren inte kan anses vara sådant som omfattas av brottsdatalagen. Detta betyder att den behandling av personuppgifter det innebär att samla in uppgifterna och bevara dem i registren omfattas av dataskyddsförordningen. Detsamma gäller när uppgifter sedan söks fram och i förekommande fall utlämnas för att användas vid handläggningen av frågor om tillstånd enligt vapenlagen. Att utlämnande av uppgifter ur registren även kan komma att ske för brottsbekämpande ändamål påverkar inte frågan om registrets grund- läggande syfte. Den behandling av personuppgifter som sker för utlämnande i sådant syfte omfattas emellertid av regleringen i brottsdatalagen, se motsvarande resonemang i avsnitt 8.2 och 9.1 om behandlingen av personuppgifter i belastnings- och misstankeregistren. 10.2Vilka ändringar bör göras som en följd av dataskyddsreformen? 10.2.1Bestämmelsernas förhållande till brottsdatalagen och dataskyddsförordningen Regeringens bedömning: Bestämmelserna i 1 a kap. 1–14 §§ vapen- lagen avser personuppgiftsbehandling som omfattas av dataskyddsförordningen. Bestämmelserna i 1 a kap. 1–4, 6, 8 och 13–14 §§ vapenlagen avser dessutom behandling av personuppgifter som omfattas av brottsdata- lagen. Promemorians bedömning överensstämmer inte med regeringens. Som en följd av bedömningen i promemorian att all behandling av person- uppgifter som omfattas av regleringen i vapenlagen omfattas av dataskyddsförordningen, utgår man i promemorian även från att bestämmelserna i 1 a kap. vapenlagen endast rör sådan behandling. Remissinstanserna: Ingen remissinstans invänder mot promemorians bedömning. Skälen för regeringens bedömning: Regeringen har ovan gjort bedömningen att dataskyddsförordningen blir tillämplig på behandling av personuppgifter i vapenärenden samt på förandet av vapenregistren och behandling av personuppgifter för utlämnande ur registren i annat än brottsbekämpande syfte, medan regleringen i brottsdatalagen blir tillämplig på behandling för utlämnande ur registren i brottsbekämpande syfte. Detta innebär, på samma sätt som beträffande lagen om belastningsregister och lagen om misstankeregister, att vissa bestämmelser i vapenlagen – sådana som blir tillämpliga vid utlämnanden av uppgifter ur vapenregistren för olika ändamål – kommer att reglera person- uppgiftsbehandling som omfattas av såväl brottsdatalagen som dataskyddsförordningen, medan andra bestämmelser kommer att reglera personuppgiftsbehandling som endast omfattas av ett av dessa regelverk. Bestämmelserna om behandling av personuppgifter i vapenregister och vapenärenden är samlade i 1 a kap. vapenlagen. Ingen av bestämmelserna är sådan att den endast kan bli tillämplig vid behandling av person- uppgifter som sker för utlämnande ur vapenregistren i brottsbekämpande syfte. Samtliga bestämmelser i 1 a kap. vapenlagen avser därför behandling av personuppgifter som omfattas av dataskyddsförordningen och måste alltså vara förenliga med denna. Några av bestämmelserna är sådana att de endast får betydelse för behandling av personuppgifter som behövs för att lägga in personuppgifter i registren och sedan bevara dem där, dvs. för förandet av registren, eller för behandling i vapenärenden. Någon prövning av om de nu nämnda bestämmelserna är förenliga med brottsdatalagen och dataskydds- direktivet behöver därför inte göras. Detta gäller bestämmelsen om tillgång till personuppgifter (5 §), bestämmelsen om skyldighet att föra vapenregistren och deras innehåll (7 §), bestämmelserna om bevarande och gallring av uppgifter i vapenregistren (9–11 §§) samt bestämmelsen om utlämnande av uppgifter för att framställa rättsstatistik (12 §). Merparten av bestämmelserna i 1 a kap. är enligt regeringens Prop. 2018/19:65 bedömning emellertid sådana att de kan få betydelse även för behandling av personuppgifter inom brottsdatalagens tillämpningsområde och alltså måste vara förenliga även med denna och med dataskyddsdirektivet. 10.2.2Personuppgiftsansvar, personuppgiftsombud och förhållandet till andra bestämmelser om personuppgiftsbehandling Regeringens förslag: Bestämmelsen om skyldighet att utse person- uppgiftsombud i vapenlagen upphävs. En ny bestämmelse ska införas som upplyser om att bestämmelserna om personuppgiftsbehandling i vapenlagen kompletterar dataskydds- förordningen samt att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen också gäller för behandling som omfattas av dataskyddsförordningen, om inte något annat följer av bestämmelserna om personuppgiftsbehandling i vapenlagen eller av föreskrifter som har meddelats i anslutning till bestämmelserna. En ny bestämmelse ska införas som klargör att vapenlagens bestämmelser om personuppgiftsbehandling gäller utöver brottsdatalagen vid behandling av personuppgifter som omfattas av den lagen. Regeringens bedömning: Bestämmelsen om personuppgiftsansvar bör inte ändras som en följd av dataskyddsreformen. Promemorians förslag och bedömning överensstämmer delvis med regeringens. I promemorian föreslås ingen bestämmelse som upplyser om att 1 a kap. vapenlagen gäller utöver brottsdatalagen. Även i övrigt har förslaget i promemorian en något annorlunda utformning. Remissinstanserna: Ingen remissinstans invänder mot promemorians förslag och bedömning. Skälen för regeringens förslag och bedömning: I 1 a kap. 1 § vapen- lagen pekas ut som personuppgiftsansvarig för behandlingen av personuppgifter i vapenregister och vapenärenden. Som framgår av avsnitt 5.4.2 och 6.3.2 är bestämmelsen förenlig med både dataskyddsförordningen och dataskyddsdirektivet. Enligt 1 a kap. 2 § vapenlagen ska utse ett eller flera personuppgiftsombud för behandlingen av personuppgifter i vapenregister och vapenärenden samt anmäla till tillsynsmyndigheten när sådant ombud utses eller entledigas. I enlighet med bedömningen i avsnitt 5.5 är sådana bestämmelser otillåtna med hänsyn till dataskyddsförordningen. Bestämmelsen bör därför upphävas. Som framgått ovan kommer bestämmelserna i 1 a kap. vapenlagen att tillämpas på personuppgiftsbehandling både inom brottsdatalagens och dataskyddsförordningens tillämpningsområde. I det förra fallet kommer bestämmelserna alltså att gälla utöver brottsdatalagen och i det senare kommer de i stället att komplettera dataskyddsförordningen som även dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller om inte annat följer av 1 a kap. vapenlagen eller 2018/19:65 föreskrifter som meddelats i anslutning till detta. I enlighet med bedöm- ningarna i avsnitt 5.8.1 och 6.6.2 bör därför införas bestämmelser som klargör detta. Eftersom största delen av den personuppgiftsbehandling som sker enligt vapenlagen omfattas av dataskyddsförordningen, bör be- stämmelsen som rör förhållandet till dataskyddsförordningen och data- skyddslagen placeras före den som rör förhållandet till brottsdatalagen. 10.2.3Skyldighet att föra vapenregistren samt registrens ändamål och innehåll Regeringens bedömning: Bestämmelserna i vapenlagen om skyldighet att föra vapenregistren samt om registrens ändamål och innehåll bör inte ändras som en följd av dataskyddsreformen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: 1 a kap. 7 § vapenlagen innehåller ett åläggande för att föra vapenregistren samt de grundläggande bestämmelserna om vad registren ska innehålla. Dessa bestämmelser, tillsammans med bestämmelsen i 1 a kap. 8 § om ända- målen med förandet av registren, uppfyller kravet i dataskydds- förordningen på att personuppgiftsbehandlingen i registren ska ha rättslig grund. Den behandling av personuppgifter som sker när lägger in och sedan bevarar personuppgifter i registren är nödvändig för att myndigheten ska kunna fullgöra den, i lag reglerade, rättsliga förpliktelsen att föra registren. Behandlingen får därför, i enlighet med 2 kap. 1 § dataskyddslagen, ske med stöd av artikel 6.1 c i dataskyddsförordningen. Sådan behandling bör dessutom anses vara nödvändig för att ska kunna utföra sin uppgift att pröva tillstånd enligt vapenlagen – en uppgift som utan tvekan är av allmänt intresse. Behandlingen är därmed, liksom behandlingen av personuppgifter i vapenärenden, tillåten även med stöd av artikel 6.1 e i dataskyddsförordningen, i enlighet med 2 kap. 2 § dataskyddslagen. Några ändringar i 1 a kap. 7–8 §§ vapenlagen behöver därför inte göras som en följd av dataskyddsreformen. I sammanhanget bör även noteras att vapenregistren innehåller personnummer, även om det inte framgår uttryckligen av bestämmelserna om vapenregistrens innehåll i 1 a kap. vapenlagen. Som konstateras i promemorian är detta en självklar förutsättning för att personförväxling inte ska kunna förekomma när det gäller vapeninnehavare. Att personnummer behandlas är således klart motiverat med hänsyn till vikten av en säker identifiering och därmed tillåtet enligt 3 kap. 10 § dataskyddslagen. Regeringens förslag: Begreppet känsliga personuppgifter ska omfatta sådana personuppgifter som avses i artikel 9 i dataskyddsförordningen och 2 kap. 11–13 §§ brottsdatalagen. Förbudet mot att behandla känsliga personuppgifter ska inte längre framgå av lagen. Bestämmelsen om förbud mot att använda känsliga personuppgifter som sökbegrepp ska anpassas språkligt till regleringen i dataskyddsförordningen och brottsdatalagen. Promemorians förslag överensstämmer i sak med regeringens, men innehåller en uttrycklig bestämmelse om att känsliga personuppgifter som utgångspunkt inte får behandlas. Remissinstanserna: anser att det är otydligt när det enligt 1 a kap. 3 § vapenlagen kan vara ”absolut nödvändigt” att behandla känsliga personuppgifter samt att någon bestämmelse om sök- begränsningar inte behövs eftersom den sortens tekniska funktionalitet borde följa redan av artikel 25 i dataskyddsförordningen. instanser yttrar sig inte över förslaget. Skälen för regeringens förslag: Bestämmelsen i 1 a kap. 3 § vapenlagen i dess nuvarande lydelse innebär att uppgifter om en person inte får behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (dvs. känsliga personuppgifter enligt personuppgiftslagen). Om uppgifter om en person behandlas på annan grund får de emellertid kompletteras med sådana uppgifter när det är absolut nödvändigt för syftet med Känsliga personuppgifter får dessutom behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. kustbevakningsdatalagen har i avsnitt 7.4.4 bedömts förenlig med Bestämmelsen motsvarar också regleringen i 2 kap. 2 och 11 §§ brottsdatalagen och får följaktligen anses vara förenlig även med dataskyddsdirektivet. Som framgår av avsnitt 5.6 har begreppet känsliga personuppgifter i dataskyddsförordningen och dataskyddslagen utvidgats till att omfatta Vapenlagens bestämmelser om behandling av känsliga personuppgifter bör därför anpassas till att omfatta även dessa kategorier av personuppgifter genom att regleringen i den nya lagen hänvisar till artikel 9.1 i dataskyddsförordningen och 2 kap. 11–13 §§ brottsdatalagen. Det följer direkt av artikel 9.1 i dataskyddsförordningen och 2 kap. 11– 12 §§ brottsdatalagen att känsliga personuppgifter som utgångspunkt inte Regeringen anser därför, till skillnad från vad som föreslagits i promemorian, inte att det behövs någon uttrycklig be- stämmelse om det i vapenlagen. Vapenlagen innehåller även ett förbud mot att använda känsliga personuppgifter som sökbegrepp vid sökning i personuppgifter (1 a kap. 4 2018/19:65 dataskyddsdirektivet och bör behållas. Bestämmelsen bör emellertid anpassas språkligt på samma vis som motsvarande bestämmelse i den föreslagna kustbevakningsdatalagen (se avsnitt 7.4.4). anser att det är otydligt när det kan vara ”absolut nödvändigt” att behandla känsliga personuppgifter. Begreppet ”absolut nödvändigt” används emellertid redan i 1 a kap. 3 § vapenlagen, liksom i motsvarande bestämmelser i andra registerförfattningar. Innebörden av begreppet utvecklas närmare i avsnitt 7.4.4. Intresset av en enhetlig reglering på dataskyddsområdet talar därför starkt för att det även fortsättningsvis bör användas i bestämmelsen. Detsamma gäller bestämmelsen om sökbegränsningar. Regeringens bedömning: Bestämmelsen i vapenlagen om tillgång till personuppgifter inom bör inte ändras som en följd av dataskyddsreformen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: I 1 a kap. 5 § vapenlagen före- skrivs att tillgången till personuppgifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen har i avsnitt 5.4.6 gjort bedömningen att bestämmelser i register- författningar som begränsar tillgång till personuppgifter inom myndigheten är förenliga med dataskyddsförordningen. Det finns därför inget behov av att ändra bestämmelsen i 1 a kap. 5 § vapenlagen. Regeringens förslag: Av vapenlagen ska det framgå att