prop · H60365 · 2019-03-19 00:00:00 — Skälen för regeringens bedömning: Som konstaterats i avsnitt 5.4.1 har bestämmelser om syftet med en viss registerförfattning inget direkt materiellt innehåll och utgör därför i sig ingen reglering av den förekommande personuppgiftsbehandlingen. Sådana bestämmelser är således förenliga med dataskyddsdirektivet. Regeringen delar bedömningen i promemorian att också bestämmelser som avgränsar tillämpningsområdet för en viss registerförfattning är förenliga med dataskyddsdirektivet och brottsdatalagen (se vidare prop. 2017/18:269 s. 98–100). Regeringens bedömning: Bestämmelser i registerförfattningar som preciserar personuppgiftsansvaret är förenliga med dataskydds- direktivet och brottsdatalagen. 2018/19:65 Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Av definitionen i artikel 3.8 i dataskyddsdirektivet framgår att personuppgiftsansvarig är en behörig myndighet som ensam eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt enligt samma artikel. Dataskydds- direktivet ger alltså möjlighet att fastställa personuppgiftsansvaret i författning och brottsdatalagen innehåller inte några bestämmelser som förhindrar detta. Sådana bestämmelser i registerförfattningarna är därför förenliga med dataskyddsdirektivet och brottsdatalagen. Regeringens bedömning: Ändamålsbestämmelserna i de aktuella registerförfattningarna som reglerar personuppgiftsbehandling på dataskyddsdirektivets område är förenliga med dataskyddsdirektivet och brottsdatalagen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: ifrågasätter promemorians bedöm- ning och menar att denna bygger på en sammanblandning mellan vad som i dataskyddsrättslig mening är särskilt bestämda ändamål och tillåtna rättsliga grunder för behandling. Övriga remissinstanser yttrar sig inte över bedömningen. Skälen för regeringens bedömning: De nu aktuella register- författningarna som reglerar personuppgiftsbehandling inom dataskydds- direktivets område innehåller samtliga bestämmelser om ändamålen med de register som ska föras enligt författningarna. Som framgått av avsnitt 5.4.3och som påtalat kan det ifrågasättas om sådana bestämmelser är ändamålsbestämmelser i egentlig mening eller om de utgör preciseringar av personuppgiftsbehandlingens rättsliga grunder. Oavsett hur de betecknas fyller de en funktion som avgränsande ramar för personuppgiftsbehandlingen och kan inte anses strida emot direktivets krav (jfr prop. 2017/18:232 s. 123 f.). Ändamålsbestämmelserna i de ak- tuella registerförfattningarna som reglerar personuppgiftsbehandling på dataskyddsdirektivets område är alltså förenliga med direktivet och brotts- datalagen. Detta utesluter inte att det kan finnas skäl att anpassa bestämm- elserna till dataskyddsdirektivet och brottsdatalagen, vilket regeringen återkommer till när de enskilda registerförfattningarna behandlas. Regeringens bedömning: Sekretessbrytande bestämmelser i register- författningar om utlämnande av personuppgifter och bestämmelser som reglerar elektroniskt utlämnande är förenliga med dataskyddsdirektivet och brottsdatalagen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning Bestämmelser om utlämnande av personuppgifter Som redogjorts för i föregående kapitel innehåller många register- författningar bestämmelser om utlämnande av personuppgifter vars syfte är att möjliggöra ett uppgiftsutbyte som annars skulle förhindras av sekretess. Även om sådana bestämmelser alltså inte i första hand avser att reglera dataskydd innebär de att det finns grundläggande förutsättningar för ett informationsutbyte som annars hade varit förhindrat av sekretess. Dataskyddsdirektivet lägger inga hinder för sådana sekretessbrytande bestämmelser och de nya registerförfattningarna på brottsdatalagens område innehåller sådana bestämmelser (prop. 2017/18:269 s. 100 f.). Elektroniskt utlämnande av personuppgifter Som framgått regleras i registerförfattningar ibland vissa särskilda tekniska former av utlämnande, exempelvis s.k. direktåtkomst. Regeringen har i prop. 2017/18:269 konstaterat att dataskyddsdirektivet inte särskilt reglerar på vilket sätt personuppgifter får lämnas ut samt att bestämmelserna om direktåtkomst och elektroniskt utlämnande i övrigt i de registerförfattningar som behandlas i propositionen är förenliga med direktivet (s. 132–136). Regeringen delar bedömningen i promemorian att detsamma gäller motsvarande bestämmelse i nu aktuella register- författningar. 6.3.5Bestämmelser om vilka uppgifter som får behandlas Regeringens bedömning: Bestämmelser i registerförfattningar om vilka uppgifter som får behandlas är förenliga med dataskyddsdirektivet och brottsdatalagen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Som redogjorts för i föregående kapitel föreskrivs i registerförfattningar ofta vilka personuppgifter som får behandlas, antingen genom en allmän bestämmelse eller genom mer precisa bestämmelser såsom uppräkningar av de personuppgifter som ska ingå i ett visst register. Regeringen delar bedömningen i promemorian att 2018/19:65 artikel 8.2 i dataskyddsdirektivet, som anger att nationell rätt ska innehålla preciseringar av vilka personuppgifter som får behandlas, måste anses medföra att sådana specificeringar är tillåtna enligt direktivet. Regeringens bedömning: Bestämmelser i registerförfattningar om gallring är förenliga med dataskyddsdirektivet och brottsdatalagen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Dataskyddsdirektivet innehåller både en skyldighet för medlemsstaterna att föreskriva att personuppgifter inte ska bevaras längre än vad som behövs för det ändamål de behandlas för (artikel 4.1 e) och en skyldighet för medlemsstaterna att fastställa lämpliga tidsgränser för radering av personuppgifter eller för periodisk översyn av behovet att bevara uppgifterna (artikel 5). I 2 kap. 17 § och 2 kap. 18 § brottsdatalagen finns generella bestämmelser om längsta tid för bevarande av uppgifter och periodisk översyn. I flera av registerförfattningarna finns gallringsbestämmelser som anger en exakt tidpunkt för när uppgifter ska gallras. Sådana bestämmelser är, i enlighet med artikel 5, förenliga med direktivet och en tillåten särreglering i förhållande till 2 kap. 18 § brottsdatalagen. Som angetts i föregående kapitel används gallringsbegreppet inte längre i de nya registerförfattningarna på brottsdatalagens område, eftersom man bedömt att det inte bör användas i bestämmelser som avser dataskydd. Regeringen återkommer till denna fråga i anslutning till att gallrings- bestämmelserna i de enskilda registerförfattningarna behandlas. 6.3.7 Bestämmelser om föreskriftsrätt Regeringens bedömning: Dataskyddsdirektivet påverkar inte nuvarande bestämmelser i registerförfattningar om rätt för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om personuppgiftsbehandling. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Som redogjorts för i föregående kapitel ger registerförfattningar ofta en rätt för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter i något eller några avseenden som rör personuppgiftsbehandling, eller upplyser om att regeringen eller den myndighet regeringen bestämmer meddelar sådana Sådana bestämmelser berörs inte av dataskyddsdirektivet eftersom detta, i likhet med dataskyddsförordningen, inte förhindrar att frågor om personuppgiftsbehandling regleras i förordnings- eller Att frågor regleras i förordnings- eller föreskriftsform får alltså anses vara förenligt med dataskyddsdirektivet. Bestämmelser som inte kan behållas Regeringens bedömning: Bestämmelser i registerförfattningar som innehåller hänvisningar till personuppgiftslagen kan inte behållas. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Som framgått upphävdes person- uppgiftslagen . Bestämmelser i registerförfattningar som hänvisar till personuppgiftslagen måste därför tas bort, antingen genom att bestämmelserna upphävs eller genom att hänvisningar i stället görs till brottsdatalagen. 6.5Bestämmelser om registrerades rättigheter Regeringens bedömning: Det behövs inte några bestämmelser i registerförfattningarna om den registrerades rätt till rättelse, radering eller begränsning av behandling av personuppgifter. För det fall nuvarande bestämmelser i en registerförfattning innebär en uttömmande reglering av den enskildes rätt till information, måste bestämmelsernas förenlighet med dataskyddsdirektivet övervägas särskilt. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Liksom dataskyddsförordningen innehåller dataskyddsdirektivet i artikel 16 bestämmelser om rätt för den registrerade till rättelse, radering och begränsning av behandling av personuppgifter. Till skillnad från dataskyddsförordningen innehåller direktivet emellertid inga möjligheter att i nationell rätt inskränka dessa rättigheter. Bestämmelserna om rätt till rättelse och begränsning av behandling genomförs i 4 kap. 9 § brottsdatalagen. Eftersom denna bestämmelse inte är begränsad till behandling som sker enbart enligt brottsdatalagen behövs det ingen hänvisning till bestämmelsen i registerförfattningarna för att den ska kunna tillämpas, även om den personuppgift som den registrerade anser vara felaktig eller ofullständig behandlas med stöd av en registerförfattning. Bestämmelsen om rätt till radering genomförs i 4 kap. 10 § brottsdatalagen. Denna bestämmelse innebär att den personuppgiftsansvarige, på begäran av den registrerade, ska radera personuppgifter om de behandlas i strid med vissa uppräknade bestämmelser i 2 kap. brottsdatalagen. Detsamma gäller om det krävs radering för att den personuppgiftsansvarige ska utföra en rättslig förpliktelse. 2017/18:232 s. 472 framgår att en rättslig förpliktelse kan avse en skyldighet som rör hur personuppgifter får behandlas enligt brottsdatalagen, myndighetens registerförfattning eller annan författning om ett enskilt register, t.ex. lagen (1998:621) om misstankeregister. Också denna bestämmelse blir därför, utan att någon 2018/19:65 hänvisning krävs, tillämplig även om den personuppgift som den re- gistrerade begär raderad behandlas med stöd av en registerförfattning. När det gäller den registrerades rätt att få del av egna personuppgifter som behandlas samt information om behandlingen genomförs direktivet i 4 kap. 3 § brottsdatalagen. Enligt 4 kap. 5 § samma lag finns emellertid möjlighet att i annan författning inskränka rätten till information, om detta sker i vissa specificerade syften. För det fall en registerförfattning innehåller en uttömmande reglering av den enskildes rätt till information (dvs. reglering som i enlighet med 1 kap. 5 § brottsdatalagen ska tillämpas i stället för 4 kap. 3 § brottsdatalagen), måste det därför övervägas om detta är en tillåten inskränkning eller inte. Regeringen återkommer särskilt till frågan i avsnitt 8.3.5. Liksom dataskyddsförordningen innehåller dataskyddsdirektivet en rätt för den registrerade att få information om personuppgiftsincidenter (artikel 31). Eftersom 3 kap. 11 § brottsdatalagen, till skillnad från artikel 34 i dataskyddsförordningen, innebär att sådan information inte behöver lämnas ut om det rör uppgifter som enligt lag eller annan författning inte får lämnas ut av hänsyn till vissa angivna intressen, saknas emellertid behov av sådana överväganden som gjorts i avsnitt 5.7.5. 6.6Behovet av nya bestämmelser 6.6.1Bestämmelser om förhållandet till den generella dataskyddsregleringen Regeringens bedömning: I registerförfattningar som kommer att gälla utöver brottsdatalagen bör det införas bestämmelser som klargör detta. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: I prop. 2017/18:269 föreslås att det, i de registerförfattningar som kommer att gälla utöver brottsdatalagen, ska införas bestämmelser som anger att lagen i fråga gäller utöver brottsdatalagen (se s. 101 f.). Av de skäl som anges där bör detsamma gälla även nu aktuella lagar som kommer att gälla utöver brottsdatalagen. Regeringens bedömning: Dataskyddsdirektivet medför inget behov av bestämmelser om tillsyn i registerförfattningarna. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: 5 kap. brottsdatalagen innehåller bestämmelser om tillsyn. Av 5 kap. 2 § framgår, liksom av definitionen av tillsynsmyndighet i 1 kap. 6 §, att tillsynen omfattar all personuppgifts- behandling inom brottsdatalagens tillämpningsområde. alltså även personuppgiftsbehandling enligt registerförfattningarna, i den Prop. 2018/19:65 mån registerförfattningarna gäller utöver brottsdatalagen. inte några särskilda bestämmelser i registerförfattningarna för att tillsyn ska kunna utövas i enlighet med kraven i dataskyddsdirektivet. 6.6.3Bestämmelser om administrativa sanktionsavgifter Regeringens förslag: Det ska införas bestämmelser i lagen om belastningsregister, lagen om misstankeregister och lagen om Schengens informationssystem om att en sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i för- fattningarna om bevarande och gallring av personuppgifter, om överträdelsen skett vid personuppgiftsbehandling som omfattas av brottsdatalagens tillämpningsområde. Sanktionsavgiften ska vara högst . Promemorians bedömning överensstämmer inte med regeringens. I promemorian görs bedömningen att det inte behövs särskilda be- stämmelser om sanktionsavgifter i registerförfattningarna. Remissinstanserna: Datainspektionen anser att sanktionsavgifter ska kunna utdömas även vid överträdelse av nu aktuella registerförfattningar som gäller utöver brottsdatalagen. Övriga remissinstanser yttrar sig inte över promemorians bedömning. Skälen för regeringens förslag Ska en administrativ sanktionsavgift kunna tas ut? I direktivet överlåts det till medlemsstaterna att välja sanktioner. Enligt artikel 57 ska medlemsstaterna föreskriva sanktioner för överträdelser av bestämmelser som antas enligt direktivet och vidta de åtgärder som krävs för att säkerställa att de genomförs. Sanktionerna ska vara effektiva, proportionerliga och avskräckande. Enligt skäl 89 ska både fysiska och juridiska personer, oavsett om de är privaträttsliga eller offentligrättsliga subjekt, kunna träffas av sanktioner om de överträder bestämmelserna om personuppgiftsbehandling. Bestämmelser om möjlighet att ta ut administrativa sanktionsavgifter vid överträdelser av bestämmelser i brottsdatalagen har tagits in i 6 kap. den lagen. Sanktionsavgifter har bedömts kunna säkerställa efterlevnaden av bestämmelser i brottsdatalagen på nödvändigt sätt och har ansetts vara den lämpligaste reaktionen på överträdelser av regleringen även för myndigheternas del (prop. 2017/18:232 s. 313–317). I propositionen Brottsdatalag – kompletterande lagstiftning har regeringen gjort bedömningen att det inte finns skäl att välja någon annan lösning i fråga om sanktioner vid överträdelser av bestämmelser i de där behandlade registerförfattningarna som gäller utöver brottsdatalagen, än den som har valts för överträdelser av bestämmelserna i brottsdatalagen (prop. 2017/18:269 s. 113–115). Av dessa registerförfattningar framgår därför att sanktionsavgift även kan tas ut vid överträdelse av de bestämmelser i författningarna om tillåtna rättsliga grunder för behandling av personuppgifter, särskilda upplysningar och längsta tid för behandling av personuppgifter, som ersätter, preciserar eller på annat sätt kompletterar en bestämmelse i brottsdatalagen. I promemorian konstateras att nu aktuella registerförfattningar som ska gälla utöver brottsdatalagen avser behandling i tydligt avgränsade behandlingssystem och att både vilka personuppgifter som får behandlas och är väl preciserat, liksom användningen av personuppgifter ur registren. hänsyn till detta vara relativt begränsad. Som Datainspektionen påtalat kan emellertid det faktum att regleringen av personuppgiftsbehandlingen i ett register är väl preciserad inte i sig innebära att behandlingen är begränsad. Personuppgiftsbehandlingen i de aktuella registren måste tvärtom betecknas som omfattande. Som Datainspektionen också påtalat rör registren dessutom mycket integritetskänsliga personuppgifter, varför felaktig behandling av dessa kan få långtgående konsekvenser för enskilda Detta talar enligt regeringens mening för att sanktionsavgifter ska kunna tas ut även vid överträdelser av bestämmelser i dessa registerförfattningar. I promemorian görs bedömningen att detta, genom sanktionssystemet i brottsdatalagen, bör vara möjligt även utan särskilda bestämmelser i registerförfattningarna om sanktionsavgifter. överträdelser i form av att personuppgifter behandlats , överträdelser av registerförfattningarnas bestämmelser om bevarande och gallring, bör kunna medföra sanktionsavgift enligt regleringen i De aktuella registerförfattningarna innehåller emellertid en mycket preciserad reglering, innefattande särskilt angivna tider, av när personuppgifter av olika slag inte längre får behandlas i de specifika Överträdelser av sådana bestämmelser kan enligt regeringens mening knappast anses vara en överträdelse också av den allmänt hållna bestämmelsen i 2 kap. 17 § brottsdatalagen om att personuppgifter inte får behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Utan särskilda bestämmelser om detta i registerförfattningarna kommer det alltså inte vara möjligt att påföra sanktionsavgifter vid överträdelser av bestämmelserna i register- författningarna om bevarande och gallring av personuppgifter. anser därför att sådana bestämmelser bör införas. Datainspektionen har framfört att det är önskvärt att frågan om sanktionsavgifter regleras fullt ut i de tillämpliga registerförfattningarna, så att den sanktionsskyldighet som ska gälla framgår klart och tydligt. finns därför skäl att, liksom i propositionen Brottsdatalag – kompletterande lagstiftning, även överväga behovet av särskilda bestämmelser om sanktionsavgifter vid överträdelse av bestämmelser i registerförfattningarna om tillåtna rättsliga grunder för behandling av Till skillnad från de registerförfattningar som behandlades i den nämnda propositionen innehåller de nu aktuella registerförfattningarna emellertid inga uttryckliga bestämmelser om rättslig grund. Tvärtom är den rättsliga grunden reglerad genom ett flertal olika bestämmelser i respektive författning, såsom bestämmelser om skyldigheten att föra visst register, om ändamålet med registret och om vilka uppgifter som registret ska Särskilda bestämmelser om sanktionsavgifter vid överträdelse av bestämmelserna om tillåtna rättsliga grunder för behandlingen av personuppgifter, i nu aktuella registerförfattningar, skulle därför behöva hänvisa till ett flertal olika bestämmelser på ett sådant sätt att detta knappast skulle innebära en klarare och tydligare reglering av sanktionsskyldigheten än den som återfinns i brottsdatalagen. Mot bakgrund av ovanstående gör regeringen bedömningen att det, i de aktuella registerförfattningarna som gäller utöver brottsdatalagen, endast bör införas särskilda bestämmelser om att sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelser i register- författningarna om bevarande och gallring av personuppgifter. Det bör i respektive registerförfattning anges vilka överträdelser som kan föranleda sanktionsavgift. I enlighet med resonemanget i avsnitt 5.8.3 bör bestämmelserna om sanktionsavgift begränsas till överträdelser som skett vid behandling av personuppgifter som omfattas av brottsdatalagens tillämpningsområde. Eftersom vapenlagens bestämmelser om bevarande och gallring i vapenregistren bara träffar behandling som omfattas av dataskydds- förordningens tillämpningsområde (se avsnitt 10.2.7), innebär begräns- ningen att det saknas behov av någon bestämmelse om sanktionsavgift i vapenlagen trots att den vid viss personuppgiftsbehandling gäller utöver brottsdatalagen. Hur hög bör sanktionsavgiften vara? Enligt 6 kap. 3 § första och andra styckena brottsdatalagen ska sanktions- avgift tas ut med ett lägre belopp vid mindre allvarliga överträdelser och med ett högre belopp vid allvarligare överträdelser. Det framgår av paragrafen vilka överträdelser som är mindre allvarliga respektive allvarliga. Överträdelse av brottsdatalagens bestämmelser om längsta tid för behandling av personuppgifter är enligt paragrafen allvarliga överträdelser. Det bör gälla även vid överträdelse av motsvarande bestämmelser i registerförfattningarna. Det finns inte anledning att i registerförfattningarna avvika från de belopp som fastställs i brottsdatalagen. En bestämmelse som anger det högsta belopp som kan komma i fråga bör finnas i var och en av registerförfattningarna. Vem ska betala en sanktionsavgift? Den som är personuppgiftsansvarig ansvarar även för den behandling som ett personuppgiftsbiträde utför. Sanktionsavgift ska bara kunna tas ut av ett personuppgiftsbiträde i de fall där biträdet brutit mot uttryckliga skyldigheter enligt brottsdatalagen. Eftersom registerförfattningarna inte innehåller några sådana skyldigheter för personuppgiftsbiträden bör sanktionsavgift för överträdelser av bestämmelser i registerförfattningarna endast kunna tas ut av personuppgiftsansvariga. Om ett personuppgifts- biträde i strid med brottsdatalagen har bestämt ändamålen med och medlen för behandlingen är biträdet att anse som personuppgiftsansvarig för den behandlingen och sanktionsavgift kan då tas ut i samma utsträckning som av en personuppgiftsansvarig (se 3 kap. 19 § andra stycket brottsdata- lagen). Det kommer då att gälla även vid överträdelse av bestämmelser i en registerförfattning. 2018/19:65 Brottsdatalagens handläggningsbestämmelser gäller I brottsdatalagen finns det bestämmelser i 6 kap. 3 § tredje stycket, 4 och 5 §§ om hur sanktionsavgiften ska bestämmas och i 6 kap. 6 och 7 §§ om vad som gäller i fråga om beslut om sanktionsavgift. Att registerförfattningar föreslås gälla utöver brottsdatalagen innebär att de handläggnings- och verkställighetsregler som finns i brottsdatalagen även gäller i de fall där sanktionsavgift tas ut för överträdelser av bestämmelser i registerförfattningarna. Några bestämmelser om handläggningen behövs därför inte i registerförfattningarna. Regeringens bedömning: I registerförfattningar som gäller utöver brottsdatalagen måste det anges att bestämmelsen i brottsdatalagen om skadestånd ska tillämpas vid behandling av personuppgifter som sker i strid med registerförfattningen eller föreskrifter som har meddelats i anslutning till den. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Dataskyddsdirektivets bestämm- else om skadestånd (artikel 56) genomförs i 7 kap. 1 § brottsdatalagen.