prop · H60337 · 2019-01-22 00:00:00 — I övrigt yttrar sig ingen remissinstans särskilt i denna del. Skälen för regeringens förslag och bedömning Bestämmelserna om föreskriftsrätt är förenliga med dataskyddsförordningen och brottsdatalagen Lagen om passagerarregister innehåller bestämmelser om föreskriftsrätt för regeringen i 6 § andra stycket, 8 § andra stycket och 9 § tredje stycket. Föreskriftsrätten har inte utnyttjats. Regeringen föreslår i avsnitt 5.7 att en bestämmelse om föreskriftsrätt även ska införas i nuvarande 7 § andra stycket. Medlemsstaterna har, enligt artikel 6.2 och 6.3 i dataskyddsförordningen, rätt att under vissa förutsättningar i nationell lagstiftning behålla eller införa mer specifika bestämmelser för personuppgiftsbehandling. Det finns inte något krav på att bestämmelserna måste regleras i lag. Följaktligen bör det vara upp till varje medlemsstat att bedöma på vilken nivå i normhierarkin sådana bestämmelser införs. Dataskyddsförordningen bedöms därför inte hindra att bestämmelser om personuppgiftsbehandling införs i en förordning, förutsatt att bestämmelserna är förenliga med dataskyddsförordningen. Inte heller brottsdatalagen bedöms föranleda någon ändring av bestämmelserna om föreskriftsrätt. Frågan är emellertid om de befintliga bestämmelserna om föreskriftsrätt bör omformuleras. Detta behandlas i det följande. Bör bestämmelserna om föreskriftsrätt omformuleras? I promemorian föreslås att bestämmelserna i 6 § andra stycket, nuvarande 8 § andra stycket och 9 § tredje stycket omformuleras till upplysningsbestämmelser eftersom rätten att meddela sådana föreskrifter som anges där faller inom ramen för restkompetensen enligt 8 kap. 7 § första stycket 2 regeringsformen. Datainspektionen och motsätter sig förslaget och anser att 6 § andra stycket och 8 § andra stycket bör utformas som bemyndiganden. När det gäller sektorspecifika registerförfattningar som enbart rör behandling av personuppgifter som utförs av statliga myndigheter som lyder under regeringen, och med undantag för de fall som avses i 2 kap. 6 § andra stycket regeringsformen, anser regeringen, i linje med vad som tidigare uttalats, att föreskrifter som direkt eller indirekt rör behandling av personuppgifter kan meddelas av regeringen med stöd av dess restkompetens enligt 8 kap. 7 § första stycket 2 regeringsformen (prop. 2017/18:105 s. 26 f.). Det saknas skäl att göra någon annan bedömning . Regeringen delar alltså promemorians bedömning att de aktuella bestämmelserna i lagen om passageraruppgifter får anses falla under regeringens restkompetens. Upplysningsbestämmelser med liknande innebörd som exempelvis 6 § andra stycket lagen om passagerarregister finns dessutom i många andra registerförfattningar, t.ex. i lagen om polisens behandling av personuppgifter inom brottsdatalagens område, lagen om behandling av personuppgifter inom brottsdatalagens område och lagen om behandling av personuppgifter inom brottsdatalagens område. Som föreslås i promemorian bör bestämmelserna om föreskriftsrätt alltså inte utformas som bemyndiganden utan som upplysningsbestämmelser som syftar till att tydliggöra vilket utrymme att meddela föreskrifter som ska ligga kvar på regeringen sedan 2018/19:37 lagstiftat på området. I de aktuella bestämmelserna ska det således anges att regeringen med stöd av 8 kap. 7 § regeringsformen kan meddela sådana föreskrifter som framgår av bestämmelserna. Eftersom det redan nu står helt klart att regeringen inte kommer att utnyttja rätten till vidaredelegation är det lämpligt att bestämmelserna formuleras på så sätt att det är regeringen som kan meddela sådana föreskrifter (jfr prop. 2017/18:248 s. 31). 6Transportörers informationsskyldighet enligt utlänningslagen Regeringens förslag: Bestämmelsen i utlänningslagen om transportörers skyldighet att informera passagerare enligt personuppgiftslagen ska upphävas. Promemorians förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag: I 9 kap. 3 e § utlänningslagen anges att en transportör som samlar in uppgifter som är avsedda att överföras enligt 3 a § ska informera passagerarna enligt bestämmelserna i 23–26 §§ personuppgiftslagen. Eftersom personuppgiftslagen upphävs måste även hänvisningarna till den lagen upphävas. Transportörernas informationsskyldighet gentemot passagerarna faller inom dataskyddsförordningens tillämpningsområde. I dataskyddsförordningen har den registrerades rättigheter förstärkts i syfte att ge den registrerade ökad kontroll över sina personuppgifter. Den information som ska tillhandahållas den registrerade har preciserats och utvidgats och det anges uttryckligen att den personuppgiftsansvarige ska tillhandahålla informationen i en begriplig och lättillgänglig form. Artikel 13 och 14 i dataskyddsförordningen reglerar vilken information som ska lämnas till den registrerade. Artiklarna har i allt väsentligt motsvarande innebörd som 23 och 24 §§ personuppgiftslagen, även om omfattningen av den information som ska tillhandahållas har utvidgats. Artikel 15 i dataskyddsförordningen reglerar den registrerades rätt till tillgång till personuppgifter och viss annan information och motsvarar 26 § personuppgiftslagen om information som ska lämnas efter ansökan (s.k. registerutdrag). Bestämmelserna i dataskyddsförordningen om information och tillgång till personuppgifter är direkt tillämpliga. Det finns därför inget behov av att reglera frågan i utlänningslagen. Det är inte heller lämpligt att ta in en hänvisning till dataskyddsförordningens bestämmelser endast i upplysningssyfte (se avsnitt 5.3.3). Bestämmelsen i 9 kap. 3 e § utlänningslagen bör därför upphävas. I dataskyddslagen finns undantag från vissa av dataskyddsförordningens rättigheter och skyldigheter. Rätten till information och tillgång enligt artiklarna 13–15 i dataskyddsförordningen ska enligt dataskyddslagen inte gälla sådana uppgifter som omfattas av sekretess eller tystnadsplikt (5 kap. 1 § första stycket dataskyddslagen). Om den personuppgiftsansvarige inte Prop. 2018/19:37 är en myndighet, gäller undantaget även för uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt offentlighets- och sekretesslagen (5 kap. 1 § andra stycket dataskyddslagen). Vidare ska rätten till registerutdrag som huvudregel inte gälla personuppgifter som finns i löpande text som inte har fått sin slutliga utformning eller som utgör minnesanteckning eller liknande (5 kap. 2 § dataskyddslagen). Eftersom dataskyddslagen kompletterar dataskyddsförordningen blir även dessa bestämmelser i förekommande fall tillämpliga. Regeringens förslag: Lagändringarna ska träda i kraft . Äldre föreskrifter om straff ska gälla för överträdelser som har skett Promemorians förslag överensstämmer i huvudsak med regeringens. I promemorian föreslås ett tidigare datum för ikraftträdande. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag Dataskyddsförordningen började tillämpas . trädde dataskyddslagen i kraft. Brottsdatalagen trädde i kraft . I propositionen föreslås ändringar som anpassar lagen om passagerarregister, och i ett avseende även utlänningslagen, till dataskyddsförordningen, dataskyddslagen och brottsdatalagen. Lagändringarna bör därför träda i kraft . De bör träda i kraft . Genom dataskyddslagen har den straffrättsliga regleringen i personuppgiftslagen upphävts. Eftersom regeringen föreslår att hänvisningarna till personuppgiftslagen i 2 § första stycket lagen om passagerarregister tas bort utmönstras straffregleringen även från denna lag. Varken dataskyddslagen eller brottsdatalagen innehåller någon En personuppgiftsansvarig eller ett personuppgiftsbiträde som bryter mot förordningen eller brottsdatalagen kan i stället drabbas av sanktionsavgifter. Enligt övergångsbestämmelserna till dataskyddslagen (p. 7) ska äldre straffbestämmelser tillämpas på överträdelser som skett före den nya lagens ikraftträdande. Även övergångsbestämmelserna till brottsdatalagen (p. 5) anger att äldre föreskrifter ska fortsätta att gälla för överträdelser som har skett före ikraftträdandet. Denna bedömning görs även här. 2018/19:37 bör därför införas en särskild övergångsbestämmelse med motsvarande innebörd. Det följer av allmänna grundsatser att ny lagstiftning ska gälla för skadestånd med anledning av skadefall som inträffar efter ikraftträdandet, medan äldre lag ska tillämpas på skadefall som har inträffat (prop. 1972:5 s. 593). Det behövs därför inte någon övergångsbestämmelse i denna del. Enligt allmänna förvaltningsrättsliga principer gäller att de föreskrifter som är i kraft när prövningen hos en myndighet eller förvaltningsdomstol sker som huvudregel ska tillämpas. Detta gäller i fråga om både förfarandet och prövningen i sak och även om ett överklagat beslut har fattats före ikraftträdandet. Principen är dock inte undantagslös och det kan följa av övergångsbestämmelser eller motiven till lagstiftningen att en annan ordning är avsedd (jfr RÅ 1996 ref. 57). övergångsbestämmelserna till dataskyddslagen (p. 5) gäller personuppgiftslagen fortfarande i den utsträckning som det i en annan lag eller en förordning finns bestämmelser som innehåller hänvisningar till den lagen. Vidare gäller personuppgiftslagen fortfarande för överklagande av beslut som har meddelats med stöd av den lagen (p. Det behövs därför inte någon övergångsbestämmelse i denna del heller. Regeringens bedömning: Förslagen innebär en viss förstärkning av enskildas skydd för den personliga integriteten. Förslaget om att personuppgifter ur passagerarregistret ska få lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt ger möjlighet till ökat informationsutbyte mellan brottsbekämpande myndigheter, vilket är positivt för det brottsbekämpande arbetet. Förslagen förväntas inte få några andra konsekvenser. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens bedömning: Inledningsvis kan det konstateras att konsekvenserna av dataskyddsförordningens direkt tillämpliga bestämmelser, och brottsdatalagens bestämmelser, inte analyseras inom ramen för propositionen. När det gäller konsekvenserna av de förslag som läggs fram i propositionen ska det först framhållas att det huvudsakliga syftet är att föreslå de anpassningar som är nödvändiga med anledning av den nya dataskyddsregleringen. Det innebär att merparten av bestämmelserna i lagen om passagerarregister kvarstår oförändrade och att vissa bestämmelser anpassas till dataskyddsreformen utan att det sakliga innehållet förändras på ett avgörande sätt. Det kan dock noteras att förslagen innebär att ett antal hänvisningar till personuppgiftslagen ska upphävas och att dataskyddsförordningens bestämmelser, och i tillämpliga delar dataskyddslagens och brottsdatalagens bestämmelser, i stället ska Det gäller hänvisningarna till personuppgiftslagen i 2, 3 och 10 §§ Prop. 2018/19:37 lagen om passagerarregister samt 9 kap. 3 e § utlänningslagen. Dataskyddsreformen ger i viss utsträckning ett starkare integritetsskydd än personuppgiftslagen (t.ex. avseende den registrerades rätt till information). Dataskyddslagen och brottsdatalagen syftar till att stärka skyddet för den enskildes personliga integritet. Sammantaget görs bedömningen därför att förslagen innebär en viss förstärkning av enskildas skydd för den personliga integriteten. Förslaget om att personuppgifter ur passagerarregistret ska få lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt ger möjlighet till ökat informationsutbyte mellan brottsbekämpande myndigheter, vilket är positivt för det brottsbekämpande arbetet. I övrigt görs bedömningen att förslagen inte har några ekonomiska konsekvenser, vare sig för det allmänna eller för enskilda, och att de inte har någon betydelse för brottsligheten. De bedöms inte heller ha någon påverkan på jämställdheten mellan kvinnor och män eller få några sociala eller miljömässiga konsekvenser. Förhållandet till annan reglering Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. I paragrafen anges lagens förhållande till EU:s dataskyddsförordning. Övervägandena finns i avsnitt 5.3.1. I paragrafen anges att lagen kompletterar dataskyddsförordningen. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat. Det innebär att den automatiskt är en del av den svenska rättsordningen. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Denna lag innehåller de kompletterande bestämmelser som gäller för passagerarregistret. Hänvisningarna i lagen till dataskyddsförordningen är dynamiska, dvs. avser förordningen i den gällande lydelsen. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Paragrafen, som är ny, upplyser om hur lagen förhåller sig till lagen 2018/19:37 dataskyddsförordning (dataskyddslagen) och föreskrifter som har meddelats i anslutning till den lagen. Övervägandena finns i avsnitt 5.3.1. Paragrafen klargör att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller vid behandling av personuppgifter enligt denna lag. Detta gäller dock endast om inte något annat följer av denna lag eller av föreskrifter som har meddelats i anslutning till lagen. När en behörig myndighet enligt 1 kap. 6 § brottsdatalagen (2018:1177) behandlar personuppgifter enligt denna lag för syften som faller inom tillämpningsområdet för brottsdatalagen gäller den lagen och föreskrifter som har meddelats i anslutning till den, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Paragrafen, som är ny, upplyser om hur lagen förhåller sig till brottsdatalagen (2018:1177) och föreskrifter som har meddelats i anslutning till den lagen. Övervägandena finns i avsnitt 5.3.2. Paragrafen klargör att brottsdatalagen och föreskrifter som har meddelats i anslutning till den lagen gäller när en behörig myndighet behandlar personuppgifter enligt denna lag för syften som faller inom brottsdatalagens tillämpningsområde. Detta gäller dock endast om inte något annat följer av denna lag eller av föreskrifter som har meddelats i anslutning till lagen. Enligt 1 kap. 2 § brottsdatalagen gäller den lagen vid behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder samt upprätthålla allmän ordning och säkerhet. Behörig myndighet definieras i 1 kap. 6 § brottsdatalagen. är en behörig myndighet när den behandlar personuppgifter i passagerarregistret för ändamål som faller inom brottsdatalagens tillämpningsområde. Behandling av personuppgifter som omfattas av brottsdatalagen är undantagen från dataskyddsförordningens tillämpningsområde (artikel 2.2d i dataskyddsförordningen). Behandling av personuppgifter i passagerarregistret som sker för något av de syften som anges i 1 kap. 2 § brottsdatalagen faller alltså inom brottsdatalagens tillämpningsområde. Personkontroll vid gräns kan utföras för såväl brottsbekämpande som andra syften. Det betyder att både dataskyddsförordningen och brottsdatalagen kan bli tillämpliga. Det blir därför nödvändigt för myndigheten att göra en bedömning av syftet med behandlingen av personuppgifter i passagerarregistret för att avgöra om behandlingen faller inom dataskyddsförordningens eller brottsdatalagens tillämpningsområde. I denna lag avses med personkontroll: kontroll av personer vid inresa i , : konventionen om tillämpning av av . Paragrafen innehåller definitioner av vissa uttryck som används i lagen. 2018/19:37 Övervägandena finns i avsnitt 5.3.1. Paragrafen ändras genom att det andra stycket tas bort. Utlämnande av uppgifter och direktåtkomst Personuppgifter ur passagerarregistret ska lämnas ut på begäran av Säkerhetspolisen och för sådan verksamhet som avses i 4 §. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att uppgifter ur registret ska lämnas ut även till annan myndighet än dem som anges i första stycket för sådan verksamhet som avses i 4 §. Paragrafen reglerar utlämnande av personuppgifter ur passagerarregistret. Övervägandena finns i avsnitt 5.4 och 5.9. Andra stycket ändras på så sätt att det upplyser om att regeringen kan meddela föreskrifter om att uppgifter ur registret ska lämnas ut även till annan myndighet än dem som anges i första stycket för sådan verksamhet som anges i ändamålsbestämmelsen i 4 §. Säkerhetspolisen får för sådan verksamhet som avses i 4 § ha direktåtkomst till personuppgifterna i passagerarregistret. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att även annan myndighet får ha direktåtkomst till registret för sådan verksamhet som avses i 4 §. Paragrafen, som tidigare hade beteckningen 8 §, reglerar när personuppgifter ur passagerarregistret får lämnas ut genom direktåtkomst. Paragrafen har placerats i enlighet med Lagrådets förslag. Övervägandena finns i avsnitt 5.6 och 5.9. Andra stycket ändras på så sätt att det upplyser om att regeringen kan meddela föreskrifter om att även annan myndighet får ha direktåtkomst till passagerarregistret för sådan verksamhet som avses i ändamålsbestämmelsen i 4 §. Personuppgifter ur passagerarregistret får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt första Paragrafen, som tidigare hade beteckningen 7 §, reglerar när personuppgifter ur passagerarregistret får lämnas ut elektroniskt på annat sätt än genom direktåtkomst. Paragrafen har placerats i enlighet med Övervägandena finns i avsnitt 5.7. Första stycket ändras på så sätt att personuppgifter ur passagerarregistret får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Med sådant utlämnande avses bl.a. utlämnande genom e-post eller annan elektronisk överföring eller på ett usb-minne eller annat 2018/19:37 Lämplighetsprövningen ska ske i varje enskilt fall. Det har betydelse vem mottagaren är för frågan om det är olämpligt att lämna ut uppgifter elektroniskt. Som regel kan det inte anses vara olämpligt att lämna ut uppgifter på det sättet till en myndighet (se prop. 2014/15:148 s. 113). När det gäller utlämnande till enskilda krävs en mer nyanserad bedömning. Om det finns en författningsreglerad skyldighet att lämna ut en handling till en viss person får det avgöras om elektroniskt utlämnande är olämpligt med hänsyn till bl.a. innehållet i handlingen, vem som är mottagare, behovet av att kunna visa att personen i fråga har tagit del av handlingen och andra omständigheter. Lämplighetsprövningen blir särskilt viktig när utlämnande ska ske till en enskild och det på grund av uppgifternas art, struktur, antal eller någon annan särskild omständighet finns anledning att befara att utlämnandet kan leda till integritetsrisker (jfr prop. 2014/15:148 s. 114). Om det kan antas att personuppgifterna efter ett utlämnande kommer att behandlas i strid med dataskyddsförordningen eller dataskyddslagen gäller sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400). De får då inte lämnas ut till följd av sekretess. Vid prövningen av om det är lämpligt att lämna ut personuppgifter elektroniskt ska även informationssäkerheten vägas in. Om någon begär att få tillgång till en allmän handling med stöd av tryckfrihetsförordningen får den utlämnande myndigheten som huvudregel inte efterforska syftet med begäran, vilket kan ha betydelse vid prövningen av om det i ett enskilt fall är lämpligt att lämna ut en handling med personuppgifter elektroniskt. I andra stycket, som är nytt, finns en upplysning om att regeringen kan meddela föreskrifter om ytterligare begränsningar av möjligheterna att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst. En uppgift i passagerarregistret ska gallras efter överföringen till . Om uppgifter i registret behövs för att , Säkerhetspolisen eller ska kunna verkställa personkontroller enligt 4 §, får uppgifterna i registret dock stå kvar till dess att myndighetens kontroller är slutförda. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att uppgifter i registret får stå kvar till dess att någon annan myndighet, som behöver uppgifterna för att kunna verkställa personkontroller enligt 4 §, har slutfört kontrollerna. Paragrafen reglerar gallring av uppgifter i passagerarregistret. Övervägandena finns i avsnitt 5.8 och 5.9. Tredje stycket ändras på så sätt att det upplyser om att regeringen kan meddela föreskrifter om att uppgifter i registret får stå kvar till dess att någon annan myndighet, som behöver uppgifterna för att kunna verkställa personkontroller enligt ändamålsbestämmelsen, har slutfört kontrollerna. Skadestånd inom tillämpningsområdet för brottsdatalagen Bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen (2018:1177) ska tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till lagen. Detta gäller endast vid behandling av personuppgifter som omfattas av tillämpningsområdet för brottsdatalagen. I paragrafen regleras den registrerades rätt till skadestånd för behandling av personuppgifter inom brottsdatalagens tillämpningsområde. Övervägandena finns i avsnitt 5.5. Enligt första meningen ska 7 kap. 1 § brottsdatalagen (2018:1177) tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till den. Det innebär att den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som behandlingen av personuppgifter har orsakat. Med skada avses personskada, sakskada eller ren förmögenhetsskada. Med kränkning avses ideell skada som består i att den enskildes integritet kränkts genom behandlingen. Se vidare författningskommentaren till 7 kap. 1 § brottsdatalagen (prop. 2017/18:232 s. 486 f.). Av andra meningen framgår att paragrafen endast gäller vid behandling av personuppgifter inom brottsdatalagens tillämpningsområde. Skadestånd med anledning av behandling av personuppgifter som omfattas av dataskyddsförordningens tillämpningsområde regleras i dataskyddsförordningen (artikel 82 i dataskyddsförordningen och 7 kap. 1 § dataskyddslagen). Rätten att göra invändningar Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. Paragrafen, som är ny, föreskriver en begränsning av en registrerads rätt att göra invändningar enligt artikel 21.1 i dataskyddsförordningen. Övervägandena finns i avsnitt 5.5. Paragrafen, som delvis motsvarar den hittillsvarande bestämmelsen i 2 § andra stycket, innebär ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i dataskyddsförordningen. Undantaget har stöd i artikel 23 i dataskyddsförordningen. Vid sådan behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den gäller alltså inte rätten att göra invändningar enligt artikel 21.1.