prop · H603163 · 2019-09-09 00:00:00 — Utredningen föreslår även en övergångsbestämmelse som anger att äldre föreskrifter om skadestånd fortfarande ska gälla för skada som har orsakats före den nya lagens ikraftträdande på grund av felaktig person- uppgiftsbehandling inom den nya lagens tillämpningsområde. Det följer emellertid redan av allmänna rättsgrundsatser att ny lagstiftning ska gälla i fråga om skadestånd med anledning av skadefall som inträffar efter ikraftträdandet, medan äldre lag ska tillämpas på skadefall som har inträffat (Kungl. Maj:ts proposition med förslag till skadeståndslag m.m., prop. 1972:5, s. 593 och prop. 2017/18:105 s. 176). Någon särskild övergångsbestämmelse om detta behövs därför inte. Utredningen föreslår vidare en övergångsbestämmelse om att äldre föreskrifter ska fortsätta att gälla för överklagande av beslut som har meddelats före den nya lagens ikraftträdande och som rör behandling av personuppgifter om nationell säkerhet i Säkerhetspolisens brottsbekäm- pande och lagförande verksamhet. Regeringen instämmer i utredningens bedömning att en sådan övergångsbestämmelse behövs. Det innebär bl.a. att domstolen vid sin prövning ska tillämpa den äldre lagstiftningen i sådana situationer. Särskilda övergångsbestämmelser för existerande behandlingssystem Utredningen föreslår en övergångsbestämmelse enligt vilken den nya bestämmelsen om loggning inte behöver tillämpas förrän i automatiserade behandlingssystem som Säkerhetspolisen har inrättat före den nya lagens ikraftträdande. En motsvarande övergångsbestämmelse har införts för övriga brottsbekämpande myndigheter i brottsdatalagen (prop. 2017/18:232 s. 427 f.). Bakgrunden är att dataskyddsdirektivet anger att medlemsstaterna får föreskriva detta. Säkerhetspolisen bör få lika för anpassning av sina it-system som övriga brottsbekämpande myndigheter har fått. Regeringen föreslår därför att det införs en övergångsbestämmelse i Säkerhetspolisens nya lag som innebär att den nya bestämmelsen om loggning inte behöver tillämpas före . Möjligheten att skjuta upp anpassningen gäller dock bara i fråga om system som har inrättats före ikraftträdandet av lagen. Övriga författningsförslag ska gälla från och med att de träder i kraft. I lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet behöver en övergångsbestämmelse införas om att äldre föreskrifter fortfarande gäller för nämndens tillsyn över personuppgiftsbehandling som utförts före ikraftträdandet. Några övriga övergångsbestämmelser behövs inte. 2018/19:163 20 Regeringens bedömning: Den nya lagen för Säkerhetspolisens person- uppgiftsbehandling innebär inga nya arbetsuppgifter för myndigheten, men kommer kräva utbildning av myndighetens personal. Kostnaderna för detta ryms inom befintliga anslag. Några andra kostnadsökningar för Säkerhetspolisen bedöms förslaget inte medföra. , de allmänna förvaltningsdomstolarna och tillsyns- myndigheterna bedöms endast marginellt påverkas av förslaget. De kostnadsökningar som förslaget kan medföra för dessa kan hanteras inom myndigheternas befintliga anslag. Landsting och kommuner påverkas inte av förslaget. Förslaget innebär att enskildas rättigheter tydliggörs. Det medför inga ökade kostnader för enskilda. Informationsutbyte mellan Säkerhetspolisen och andra brottsbe- kämpande myndigheter kan genom förslaget i vissa fall bli effektivare, vilket är positivt för det brottsförebyggande arbetet. Förslaget förväntas inte få några andra konsekvenser. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Förvaltningsrätten i efterlyser konsekvenserna av att beslut om rättelse, komplettering, radering eller begränsning ska kunna överklagas till allmän förvaltningsdomstol och att tillsynsmyndighetens beslut ska kunna överklagas till förvaltnings- domstol. bedömer att det inte är rimligt att utgå ifrån att kostnaderna för genomförandet av förslaget kommer att rymmas inom befintliga anslag och ifrågasätter slutsatsen om att förslaget inte torde medföra några ekonomiska konsekvenser för enskilda. Övriga remissinstanser yttrar sig inte särskilt i denna del. Skälen för regeringens bedömning Förslaget till ny lag för Säkerhetspolisens personuppgiftsbehandling innebär att Säkerhetspolisen får en modern och skräddarsydd lagstiftning. Regleringen blir betydligt mer omfattande än , men det beror på att den ska vara heltäckande. I stor utsträckning ersätter den nya lagen tidigare lagstiftning. Den nya lagen följer i princip brottsdatalagens systematik och innehåll och innebär att bl.a. bestämmelser om grundläggande krav på behandling, enskildas rättigheter, skadestånd och rättsmedel i stort överensstämmer med brottsdatalagens bestämmelser. En alternativ lösning till det som föreslås är att reglera Säkerhetspolisens personuppgiftbehandling som rör nationell säkerhet i polisens brottsdatalag. Detta bedöms, som framgår av avsnitt 7.1, som ett sämre alternativ eftersom personuppgiftsbehandling i flera delar regleras i brottsdatalagen och merparten av Säkerhetspolisens personuppgiftsbehandling ligger utanför brottsdatalagens tillämpnings- område. Säkerhetspolisen verksamhet förutsätter vidare en delvis annan reglering än . Vilka berörs av förslaget? Säkerhetspolisen påverkas i första hand av att få en ny lag. Även berörs av förslaget liksom förvaltningsdomstolarna, Datainspektionen och . Enskilda berörs också av förslaget. Även om den nya regleringen av Säkerhetspolisens personuppgifts- behandling blir mer omfattande än den nuvarande innebär inte förslaget att Säkerhetspolisen tillförs några nya arbetsuppgifter. Vissa av förslagen, framför allt möjligheten att i ökad utsträckning tillhandahålla person- uppgifter elektroniskt både genom direktåtkomst och på annat sätt, innebär att Säkerhetspolisens verksamhet kan effektiviseras och lättare möta de ökade kraven på informationsutbyte för att bl.a. bekämpa terrorism. En annan effektivisering är att vissa personuppgifter får behandlas än eftersom myndigheten inte i samma utsträckning behöver avsätta resurser för att fatta beslut om förlängning av den tid under vilka uppgifterna får behandlas. En ny lagstiftning för Säkerhetspolisen kräver utbildningsinsatser inom myndigheten. Det är inte unikt för detta lagstiftningsärende utan uppkommer regelmässig när lagstiftning ändras. Kostnader för utbildning täcks normalt av myndigheternas anslag. Regeringen gör därför bedömningen att kostnaderna för utbildning bör rymmas inom befintliga anslag för Säkerhetspolisen. Ny lagstiftning kräver normalt också nya interna föreskrifter och styrande dokument. Det får anses ingå i de normala uppgifterna för myndigheten. Förslaget innebär inga skyldigheter för Säkerhetspolisen att inrätta nya it-system. Några kostnader för detta uppkommer således inte med anledning av förslaget. Förslaget bedöms inte heller medföra några ökade kostnader i övrigt för Säkerhetspolisen. anfört i denna del ändrar inte denna bedömning. Konsekvenser för andra myndigheter kommer bara att tillämpa den nya lagen i de fall myndigheten har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspolisen. Detta kommer dock ske i ett mycket begränsat antal fall och bedöms inte påverka verksamhet i någon större omfattning. De kostnadsökningar som förslaget i denna del kan medföra för myndigheten bedöms marginella och kan hanteras inom myndighetens befintliga ram. När det gäller tillsynen över Säkerhetspolisen är förslaget att den i huvudsak bör bedrivas på samma sätt som av Datainspektionen och . Förslaget bör därmed inte leda till några merkostnader i denna del för tillsynsmyndigheterna. Förslaget berör även de allmänna förvaltningsdomstolarna. Möjligheten att överklaga de beslut som föreslås finns till viss del . Förslaget bedöms inte innebära någon stor måltillströmning och kommer således inte att påverka domstolarnas verksamhet i någon större omfattning. Eventuella kostnadsökningar bedöms kunna hanteras inom befintliga anslag. 2018/19:163 Sammantaget bedöms förändringarna för berörda myndigheter inte bli större än att de kan finansieras inom ramen för befintliga anslag. anför i denna del föranleder ingen annan bedömning. Motsvarande bedömning gjordes vid införandet av polisens brottsdatalag och övriga registerförfattningar för myndigheterna i rätts- kedjan (Brottsdatalagen – kompletterande lagstiftning, prop. 2017/18:269, Förslaget bedöms inte påverka några andra statliga myndigheter eller kommuner och landsting. Förslaget medför att enskildas rättigheter tydliggörs bl.a. genom att samma krav i princip ställs på Säkerhetspolisen som på andra brottsbekämpande myndigheter. Förslaget förväntas inte leda till några kostnadsökningar för enskilda. Visserligen föreslås att Säkerhetspolisen i vissa fall ska kunna ta ut avgift för information som begärs, men det är i situationer när den enskilde alltför ofta återkommer med begäran om information. Säkerhetspolisen kan då ge den enskilde informationen mot avgift i stället för att avslå begäran. anser att de nya regelverken ska uppfattas som att ökade krav ska ställas på skydd för den personliga integriteten och att dessa krav inte kommer att kunna uppfyllas utan sådana åtgärder som medför ekonomiska konsekvenser för enskilda. Regeringen har bedömt att förslagen som gäller brottsdatalagens och övriga registerförfattningars införande inte kan förväntas leda till några sådana kostnadsökningar för enskilda (Brottsdatalagen, prop. 2017/18:232, s. 421 och prop. 2017/18:269 s. 288 f.). Det finns inte heller anledning att förvänta en sådan effekt av det nu aktuella förslaget. Konsekvenser för det brottsförebyggande arbetet och för brottsligheten Förslaget kan inte förväntas få några direkta effekter på brottsligheten eftersom det handlar om i huvudsak en administrativ reform. Det innebär dock att Säkerhetspolisen i vissa fall kan utbyta information på ett effektivare sätt, vilket kan få positiva effekter på det brottsförebyggande arbetet. Förslaget förväntas inte få några konsekvenser i övrigt Förslaget förväntas inte få några konsekvenser för jämställdheten, det kommunala självstyret eller miljön. 21.1Förslaget till lag om Säkerhetspolisens behandling av personuppgifter 1 kap. Allmänna bestämmelser Paragrafen reglerar det övergripande syftet med lagen. Övervägandena finns i avsnitt 7.2. Lagens syfte är dubbelt. Det ena syftet är att skydda fysiska personers grundläggande rättigheter och friheter i samband med behandling av personuppgifter. Det andra syftet är att säkerställa att Säkerhetspolisen kan behandla och utbyta personuppgifter på ett ändamålsenligt sätt vid brottsbekämpning och lagföring. Det gäller både nationellt och internationellt informationsutbyte. I paragrafen anges lagens tillämpningsområde. Övervägandena finns i avsnitt 7.3 och 7.4. I första stycket anges att lagen gäller vid behandling av personuppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lagförande verksamhet. Vad som är en personuppgift och behandling av personuppgifter definieras i 5 §. Lagen gäller endast vid behandling av personuppgifter som rör nationell säkerhet. Nationell säkerhet behöver inte avse enbart säkerhet. En fråga som rör nationell säkerhet i något av våra grannländer kan t.ex. vara av den karaktären att den även indirekt berör nationella säkerhet, exempelvis vid gränsöverskridande terrorism. I Säkerhetspolisens brottsbekämpande och lagförande verksamhet ingår att förebygga, förhindra och upptäcka brottslig verksamhet och att utreda och beivra, dvs. lagföra, vissa typer av brott. Behandling av personuppgifter i intern och administrativ verksamhet ligger utanför lagens tillämpningsområde. Av andra stycket framgår att lagen gäller vid behandling av personuppgifter när myndigheten har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspolisen. Det innebär att det som sägs i lagen om Säkerhetspolisen då i stället gäller . Bestämmelsen blir tillämplig när Säkerhetspolisen har lämnat över en arbetsuppgift som rör nationell säkerhet till enligt 15 § förordningen (2014:1103) med instruktion för Säkerhetspolisen eller när Säkerhetspolisen begärt bistånd av med stöd av 28 § förordningen (2014:1102) med instruktion för . Paragrafen begränsar lagens tillämpningsområde huvudsakligen till helt eller delvis automatiserad behandling av personuppgifter, men även viss behandling omfattas. Övervägandena finns i avsnitt 7.3. För att lagen ska vara tillämplig krävs att behandlingen är helt eller delvis automatiserad eller att personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier. När det gäller automatiserad behandling krävs det inte att de hanterade personupp- gifterna finns i något som kan karaktäriseras som ett register eller att de annars är ordnade på visst sätt. Även behandling av enstaka personuppgifter, t.ex. namn, i löpande text omfattas således av lagens tillämpningsområde. Helt behandling av personuppgifter som inte ingår i någon samling och inte heller är avsedda att ingå i en sådan, exempelvis handskrivna minnesanteckningar, ligger däremot utanför tillämpningsområdet. Avvikande bestämmelser i annan författning Paragrafen reglerar lagens förhållande till avvikande bestämmelser i en annan lag eller en förordning. Övervägandena finns i avsnitt 7.6. Lagen är subsidiär till annan lagstiftning. Det innebär att om det finns avvikande bestämmelser i t.ex. eller lagen (2017:496) om internationellt polisiärt samarbete, gäller de i stället för bestämmelserna i lagen. I paragrafen definieras olika uttryck som används i lagen. Uttrycket behandling av personuppgifter omfattar alla åtgärder som vidtas med sådana uppgifter. Så snart personuppgifter hanteras på något sätt är det fråga om behandling som omfattas av lagens bestämmelser, om den är helt eller delvis automatiserad eller avser behandling i en strukturerad samling av personuppgifter. Uppräkningen i definitionen av olika sätt att hantera personuppgifter är således inte uttömmande. Uttrycket behandlas i avsnitt 7.7. Biometri är ett samlingsnamn för sådan automatiserad teknik som syftar till att identifiera en person eller avgöra om en påstådd identitet är riktig. Den baseras på fysiska karaktärsdrag hos den som ska identifieras. Mönster av fingeravtryck, ansiktsgeometri, ögats iris, regnbågshinna och näthinna, röst, hand, blodkärl, dna eller gång är exempel på områden där sådan teknik kan användas. Gemensamt för teknikerna är att kroppen mäts elektroniskt. Biometriska uppgifter är den information som kan tas fram ur ett biometriskt underlag. Uppgifterna kan användas för att skapa en referensmall eller för att jämföra med tidigare lagrade referensmallar i syfte att kontrollera en persons identitet. Fingeravtryck är en vanlig form av biometrisk uppgift. Personuppgifter, t.ex. fingeravtryck, som förekommer i ett utlåtande som baseras på en teknisk bearbetning av biometriska uppgifter utgör däremot inte biometriska uppgifter. Biometriska uppgifter i form av fingeravtryck kan framgå av ett spår som påträffas vid utredning av ett brott. Även analys av spåren omfattas av definitionen, trots att de inte går att härleda till en identifierad person. Dna-spår behandlas i kommentaren till uttrycket genetiska uppgifter. Av 2 kap. 10 § framgår att biometriska uppgifter som används i syfte att identifiera en person är känsliga personuppgifter som bara får behandlas om det är absolut nödvändigt. Fotografier och filmer som inte bearbetas tekniskt i syfte att åstadkomma unik identifiering faller utanför definitionen. Bearbetning av bilder av personer för att förbättra bildkvaliteten, förstärka detaljer och liknande omfattas alltså inte. Om bilder däremot bearbetas i exempelvis ett ansiktsigenkänningsprogram i syfte att identifiera personer omfattas de av definitionen. Att fotografier kan omfattas av regleringen av känsliga personuppgifter på andra grunder behandlas i kommentaren till 2 kap. 9 §. Uttrycket behandlas i avsnitt 7.7. Ett dataskyddsombud är en fysisk person som utses av den personuppgiftsansvarige för att självständigt kontrollera att person- uppgifter behandlas författningsenligt och på ett korrekt sätt enligt vad som närmare anges i lagen. Ett dataskyddsombud ska enligt lagen vara anställd hos , se 5 kap. 9 §. Kravet på självständighet innebär att dataskyddsombud ska kunna utföra sina arbetsuppgifter på ett oberoende sätt. Ombuden förutsätts framför allt ha goda kunskaper om reglerna om personuppgiftsbehandling. Ombuden bör också ha sådan ställning i organisationen att deras synpunkter och råd tas på allvar. Dataskyddsombudens uppgifter regleras i 5 kap. 10 §. Uttrycket behandlas i avsnitt 13.3.1. All information som rör en persons nedärvda eller förvärvade genetiska kännetecken och som kan tas fram ur ett spår från t.ex. en brottsplats eller ett prov från människokroppen omfattas av definitionen. Genetiska uppgifter behandlas vid dna-analyser i forensisk verksamhet för att ta fram dna-profiler eller forensiska uppslag. Behandlingen kan avse genetiska uppgifter från såväl identifierade som oidentifierade personer. Eftersom nedärvda eller förvärvade genetiska kännetecken för en person kan framgå av ett spår som påträffas vid utredning av ett brott, omfattas även analys av spåren av definitionen, trots att de inte går att härleda till en identifierad person. Själva dna-profilen utgör däremot inte en genetisk uppgift eftersom inga nedärvda eller förvärvade genetiska kännetecken kan utläsas ur den. Uttrycket behandlas i avsnitt 7.7. 2018/19:163 I 28 kap. 12–12 b §§ finns bestämmelser om provtag- ning för dna-analys. Av 2 kap. 10 § denna lag framgår att Säkerhetspolisen inte får behandla genetiska uppgifter. Med internationell organisation avses dels organisationer och deras underställda organ som lyder under folkrätten, dels andra organ som inrättats genom eller på grundval av överenskommelser mellan två eller flera stater. och () är exempel på internationella organisationer som omfattas av definitionen. Internationella domstolar och tribunaler som t.ex. , Internationella krigsförbrytar- tribunalen för det och Tribunalen för ska också betraktas som internationella organisationer. Uttrycket behandlas i avsnitt 17.2. Mottagare definieras som den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision. Undantaget omfattar bl.a. myndigheter som tar del av personuppgifter i sin tillsyn över viss verksamhet, t.ex. Data- inspektionen och som båda utövar tillsyn över personuppgiftsbehandling. Även andra myndigheter som utövar tillsyn, t.ex. och Justitiekanslern, omfattas av undantaget. Uttrycket behandlas i avsnitt 7.7. Med personuppgift avses varje upplysning om en identifierad eller identifierbar fysisk person som är i livet. Uttrycket behandlas i avsnitt 7.7. Varje upplysning som kan hänföras till en fysisk person är en person- uppgift. Det gäller även upplysningar som kan hänföras till en individ om en fysisk person kan identifieras med hjälp av informationen. Det krävs inte att den personuppgiftsansvarige ska förfoga över samtliga uppgifter som gör identifieringen möjlig. Det innebär att t.ex. oidentifierade finger- avtryck och dna-profiler är personuppgifter, eftersom det är möjligt att identifiera en person med hjälp av dem. Även bild- eller ljudupptagningar kan utgöra personuppgifter, om man direkt eller indirekt kan avgöra vilken individ som upptagningen avser. Definitionen omfattar bara uppgifter om personer som är i livet. Det innebär att behandling av uppgifter om avlidna eller ännu inte födda per- soner inte omfattas av lagen. Av lagen (1987:269) om kriterier för bestämmande av människans död och lagen (2005:130) om dödförklaring framgår när någon ska betraktas som avliden. Däremot omfattar definitionen uppgifter om vem som är släkt med den avlidne. Uppgifter om juridiska personer omfattas inte av definitionen. Personuppgiftsansvarig är enligt definitionen den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Uttrycket behandlas i avsnitt 13.1.1. Att bestämma ändamålen med behandlingen innebär i princip att bestämma att en behandling ska utföras och varför. Att bestämma medlen för behandlingen avser främst att bestämma över de tekniska och organisatoriska medlen, dvs. hur behandlingen ska gå till. Det kan handla om vilka personuppgifter som ska behandlas, vilka som ska få ta del av dem och hur länge personuppgifterna får behandlas. Den personuppgifts- ansvarige styr dock inte alltid själv över alla medel för behandlingen. Vid direktåtkomst bestämmer den som medger åtkomsten hur tillgången tekniskt ska lösas och vilka personuppgifter som ska tillgängliggöras. Den som ges direktåtkomst är personuppgiftsansvarig för behandlingen av de personuppgifter som direktåtkomsten avser. Det framgår av 6 § att Säkerhetspolisen respektive är personuppgiftsansvarig enligt lagen. Ett personuppgiftsbiträde är en fysisk eller juridisk person som behandlar personuppgifter för den personuppgiftsansvariges räkning. Uttrycket behandlas i avsnitt 13.4.1 Ett personuppgiftsbiträde behandlar personuppgifter endast enligt instruktioner från den personuppgiftsansvarige och har inte rätt att själv bestämma över personuppgiftsbehandlingen. Ett personuppgiftsbiträde finns alltid utanför den egna organisationen, t.ex. kan en myndighet behandla personuppgifter som personuppgiftsbiträde åt en annan myndighet. En anställd eller någon annan som behandlar personuppgifter under den personuppgiftsansvariges direkta ansvar kan inte vara person- uppgiftsbiträde. Med registrerad avses den fysiska person som en personuppgift rör. Av definitionen av personuppgift framgår bl.a. att personen ska vara i livet. Uttrycket behandlas i avsnitt 7.7. Tredjeland definieras som en stat som inte är medlem i Europeiska unionen (EU) eller Europeiska ekonomiska samarbetsområdet och som inte heller på grund av avtal med Europeiska unionen har en motsvarande ställning. Förutom medlemsstaterna i EU är det , , och som inte är tredjeland i lagens mening. Uttrycket behandlas i avsnitt 17.2. Tredje man definieras som någon annan än den registrerade, den personuppgiftsansvarige, dataskyddsombudet, personuppgiftsbiträdet och 2018/19:163 sådana personer som under den personuppgiftsansvarige eller personupp- giftsbiträdets direkta ansvar har rätt att behandla personuppgifter. Uttrycket behandlas i avsnitt 14.3.2. Uppgift som rör hälsa Med uppgift som rör hälsa avses en personuppgift som rör en persons fysiska eller psykiska hälsa, inklusive information om tillhandahållande av hälso- och sjukvårdstjänster som ger upplysning om personens hälsostatus. Av 2 kap. 9 § framgår att uppgifter som rör hälsa är känsliga person- uppgifter som bara får behandlas under vissa förutsättningar. Uttrycket behandlas i avsnitt 7.7. Paragrafen reglerar vem som är personuppgiftsansvarig och personuppgiftsansvarets omfattning. Personuppgiftsansvarig definieras i 5 §. Övervägandena finns i avsnitt 13.1.1 och 13.1.2. I första stycket föreskrivs att Säkerhetspolisen är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Det gäller även den personuppgiftsbehandling som utförs av personuppgiftsbiträden som myndigheten anlitar. Eftersom i vissa fall ska tillämpa lagen föreskrivs det att myndigheten är personuppgiftsansvarig för den behandling som myndigheten utför när den tillämpar lagen. I andra stycket regleras personuppgiftsansvarets omfattning. Bestämmelsen slår fast det helhetsansvar som den personuppgifts- ansvarige har och tydliggör hur långt ansvaret sträcker sig när det gäller behandlingen av personuppgifter. Den närmare innebörden av personuppgiftsansvaret framgår av lagens övriga bestämmelser och föreskrifter som meddelas i anslutning till den. Personuppgiftsansvaret omfattar all behandling av personuppgifter som utförs under den personuppgiftsansvariges ledning.