prop · H60365 · 2019-03-19 00:00:00 — Lagen innehåller de i sammanhanget relevanta bestämmelser som nämns i artikel 23.2, däribland bestämmelser om ändamålet med behandlingen och om vilken myndighet som är personuppgiftsansvarig. Den föreslagna begränsningens omfattning är också klart avgränsad och de bestämmelser i lagen som begränsar personuppgiftsbehandlingen på olika sätt måste anses utgöra tillräckliga Den föreslagna bestämmelsen om bevarande och gallring Prop. 2018/19:65 (se nästa avsnitt) innebär vidare att kravet på en specifik bestämmelse om lagringstid måste anses uppfyllt. Regeringen delar därför bedömningen i promemorian att regleringen kan ses som en inskränkning i enlighet med artikel 23. Den föreslagna inskränkningen ligger också väl i linje med regleringen i artikel 11, som ger ett självständigt stöd för att information till den enskilde kan underlåtas i situationer då denne inte är direkt identifierad. Det faktum att insamlingen sker genom bilder eller ljud är dock i sig inte tillräckligt för att den ska vara tillåten. Det finns nämligen flera tänkbara situationer då insamling genom bilder eller ljud sker på ett sådant sätt att information kan lämnas direkt till den registrerade, exempelvis om muntlig kommunikation med enskilda spelas in och bevaras. Regeringen anser därför att det bör framgå direkt av den föreslagna bestämmelsen att inskränkningen i rätten till information endast gäller såvida behandlingen i övrigt inte innebär en direkt identifiering av en person. Kan inskränkningen vid insamling i samband med larm behållas? Syftet med inskränkningen av rätten till information när någon larmar är framför allt att de åtgärder som behöver vidtas med anledning av larmet inte ska försenas på ett sätt som kan äventyra deras effektivitet. Av bestämmelsen framgår att en prövning ska göras från fall till fall; det är alltså endast de fall där det faktiskt inte finns tid att lämna information som träffas. Inskränkningen måste därför anses uppfylla kraven i artikel 23.1 på nödvändighet och proportionalitet. Eftersom den dessutom syftar till att säkerställa allmän säkerhet eller något annat viktigt mål av generellt allmänt intresse enligt artikel 23.1 c och e, exempelvis vid en miljöräddningsinsats, eller skyddet av den registrerades eller andras rättigheter och friheter enligt artikel 23.1 i, exempelvis vid en sjöräddningsinsats, uppfyller den därför kraven i artikel 23.1. Vidare är begränsningens omfattning klart avgränsad och som redan konstaterats uppfyller den nya kustbevakningsdatalagen även i övrigt kraven i artikel 23.2.Den nu gällande inskränkningen av den enskildes rätt till information är därför tillåten enligt artikel 23 och kan föras in även i den nya kustbevakningsdatalagen. Regeringens förslag: Bestämmelser om gallring, bevarande och digital arkivering som rör personuppgiftsbehandling på dataskyddsförordningens område överförs års kustbevakningsdatalag till den nya Formuleringen om bevarande för historiska, statistiska eller vetenskapliga ändamål ändras, i enlighet med dataskyddsförordningens terminologi, till att avse arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska Promemorians förslag överensstämmer med regeringens. sätter bedömningen att det inte är motiverat att ändra bestämmelserna om 2018/19:65 bevarande och gallring till att i stället avse längsta tid för behandling av personuppgifter, i enlighet med regleringen i brottsdatalag, eftersom regleringen främst syftar till att skydda den enskildes integritet och inte utgör regler för arkivering. Övriga remissinstanser yttrar sig inte över promemorians förslag. Skälen för regeringens förslag: kustbevakningsdatalag finns regleringen om bevarande och gallring av personuppgifter som behandlas inom dataskyddsförordningens tillämpningsområde i 5 kap. 7 §. Av bestämmelsen följer att personuppgifter som behandlas automatiserat ska gallras så snart uppgifterna inte längre behövs för det ändamål för vilket de behandlas. Detta gäller om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om att gallring ska ske senast eller att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Bestämmelsen innehåller också en upplysning om att regeringen meddelar föreskrifter om digital arkivering. Att personuppgifter inte får bevaras än vad som är nödvändigt för de ändamål för vilka de behandlas följer redan av artikel 5.1 e i dataskyddsförordningen. En bestämmelse om gallring innebär emellertid inte bara att uppgiften inte längre får behandlas i förordningens mening, utan även att arkivrättslig gallring ska ske. Bestämmelsen i 5 kap. 7 § kustbevakningsdatalag innebär alltså en precisering i förhållande till artikel 5.1 e. Bestämmelsen, även vad gäller upplysningarna om föreskriftsrätt (se avsnitt 5.4.8), är därför förenlig med dataskydds- förordningen. och behöver inte ändras som en följd av införandet av denna. En justering bör dock göras av uttryckssättet i den del som avser föreskrifter om att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. I dataskyddsförordningen används i stället i olika sammanhang, exempelvis i artikel 5.1 b och e, uttrycket arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Regeringen bedömer inte att justeringen innebär någon skillnad i sak. Som påtalat och som nämnts i avsnitt 5.4.7 används begreppet gallring inte längre i vissa registerförfattningar på brottsdatalagens område, bl.a. brottsdatalag, eftersom bedömningen gjorts att begreppet inte bör användas i bestämmelser som avser dataskydd. Motsvarande ändringar har emellertid inte föreslagits i någon av de registerförfattningar som reglerar personuppgiftsbehandling endast på dataskyddsförordningens område. Eftersom den nya kustbevakningsdatalagen endast kommer att reglera sådan personuppgiftsbehandling, skulle en ändring av gallringsbestämm- elsen i enlighet med vad föreslagit innebära ett avsteg från den systematik som gäller på dataskyddsförordningens område. Regeringen anser därför att det, i vart fall inom ramen för detta lagstiftningsärende, inte bör göras någon sådan ändring av bestämmelsen. Bestämmelser som inte behövs i den nya Regeringens bedömning: Den nya kustbevakningsdatalagen bör, till skillnad års kustbevakningsdatalag, inte innehålla några bestämmelser om personuppgiftsombud, om markering av vilken verksamhet som behandlingen rör eller om tillämpliga regler när en misstanke om brott eller brottslig verksamhet uppstår. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: kustbevakningsdatalag finns ytterligare några bestämmelser av betydelse för behandlingen av personuppgifter inom dataskyddförordningens tillämpningsområde. Som framgår av avsnitt 5.5 kan bestämmelsen i 2 kap. 5 § om att ska utse personuppgiftsombud emellertid inte föras in i den nya kustbevakningsdatalagen. Inte heller bör den nya lagen innehålla någon motsvarighet till bestämmelsen i 2 kap. 10 §, av vilken det framgår att personuppgifter ska behandlas på ett sådant sätt att det klart framgår om behandlingen rör brottsbekämpning eller annan operativ verksamhet. Bestämmelsen måste nämligen, som anges i promemorian, ses mot bakgrund av att personuppgiftsbehandlingen i hela den operativa verksamheten regleras i samma lag och något motsvarande behov kan inte anses finnas när frågorna nu kommer att regleras i två separata författningar. Detsamma gäller slutligen bestämmelsen i 5 kap. 3 § kustbevakningsdatalag, som upplyser om att regleringen i 3 och 4 kap. tillämpas om det uppstår misstanke om brott eller brottslig verksamhet när behandlar personuppgifter i annan operativ verksamhet än den brottsbekämpande. I lagen om belastningsregister föreskrivs en skyldighet för Polismyndig- heten att med hjälp av automatiserad behandling föra ett belastnings- register som myndigheten är personuppgiftsansvarig för (1 §). I lagens inledning finns bestämmelser om belastningsregistrets ändamål (2 §) och om förhållandet till personuppgiftslagen (1 a §). till största delen bestämmelser om belastningsregistrets innehåll (3–5 §§), utlämnande av uppgifter ur registret (6–15 §§) och gallring (16–18 §§). Regeringen har möjlighet att meddela närmare föreskrifter och förordningen (1999:1134) om belastningsregister innehåller också mer detaljerade bestämmelser på dessa områden. När det gäller rättigheter för den registrerade innehåller lagen dels bestämmelser om rätt till utdrag från registret till den registrerade själv, 2018/19:65 dels en hänvisning till personuppgiftslagens bestämmelser om rättelse och skadestånd (9 § respektive 20 §). Utbyte inom EU av uppgifter ur medlemsstaternas kriminalregister Genom rådets rambeslut /315/RIF om medlemsstaternas utbyte av uppgifter ur kriminalregistret och uppgifternas innehåll (här kallat rambeslutet om kriminalregister eller rambeslutet) skapades förbättrade möjligheter för medlemsstaterna att rutinmässigt utbyta uppgifter ur de nationella kriminalregistren. Rambeslutet innebär en skyldighet att fortlöpande informera det land där en dömd person är medborgare om domar som meddelas i en annan medlemsstat. Sådana uppgifter ska registreras i medborgarstaten. På detta sätt ska kriminalregistret i den stat där en person är medborgare täcka in uppgifter från alla EU-länder. Rambeslutet om kriminalregister innehåller också bestämmelser om utbyte av uppgifter efter särskild begäran från en medlemsstat. Bestämmelserna innebär en förenkling, genom att varje medlemsstat har utsett en centralmyndighet som administrerar uppgiftslämnandet. Rambeslutet gör skillnad på om begäran sker i syfte att använda uppgifterna i ett brottmålsförfarande eller om det sker för andra ändamål. Medlemsstaterna har möjlighet att begränsa åtkomsten till uppgifter i andra syften än brottmålsförfaranden. Vid genomförandet ansåg regeringen att det var rimligt att ge andra medlemsstaters myndigheter, vars verksamhet med exempelvis tillståndsprövning motsvarar svenska myndigheters, tillgång till uppgifter ur belastningsregistret (propositionen Utbyte av uppgifter ur kriminalregister mellan EU:s medlemsstater, prop. 2011/12:163, s. 42 f.). Rambeslutet har genomförts i svensk rätt i huvudsak genom tillägg i lagen och förordningen om belastningsregister. För uppgifter i belastningsregistret råder absolut sekretess. Uppgifter får inte lämnas ut utom i de fall som regleras i lagen om belastningsregister och i säkerhetsskyddslagen (1996:627) samt i förordningar som har meddelats med stöd av dessa lagar (35 kap. 3 § offentlighets- och sekretesslagen [2009:400]). Den absoluta sekretessen gäller dock bara i verksamhet som avser förande av eller uttag ur registret. När uppgifter tas ut av en myndighet för att användas i den egna verksamheten gäller i stället i förekommande fall sekretess enligt de bestämmelser som gäller för denna verksamhet. Enskilda som fått uppgifter ur belastningsregistret avseende någon annan än dem själva är i stället bundna av tystnadsplikt (19 §). 8.2Är brottsdatalagen eller dataskyddsförordningen tillämplig? Regeringens bedömning: Förandet av belastningsregistret och be- handling av personuppgifter för utlämnande ur registret i brotts- bekämpande syfte omfattas av brottsdatalagen. När det gäller annan behandling av personuppgifter i registret, exempelvis för att lämna uppgifter ur belastningsregistret som underlag för olika slag av lämplighets- och tillståndsprövningar, tillämpas dataskyddsförordningen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: menar att myndighetens hantering av belastningsregistret i sin helhet ska anses falla under dataskyddsdirektivets tillämpningsområde, annars kommer regleringens komplexitet att medföra svårigheter som inte motsvaras av någon integritetsvinst för de registrerade. Övriga remissinstanser yttrar sig inte över bedömningen. Skälen för regeringens bedömning Både brottsdatalagen och dataskyddsförordningen kan vara tillämpliga är ett helt automatiserat register som innehåller personuppgifter. Förandet av belastningsregistret och behandling av uppgifter i registret, exempelvis sökning och utlämnande, innefattar alltså sådan personuppgiftsbehandling som kan omfattas antingen av brottsdatalagen eller dataskyddsförordningen. förs av , en myndighet som bland annat har till uppgift att förebygga, förhindra och upptäcka brottslig verksamhet samt att utreda brott, och därmed kan vara behörig i brottsdatalagens mening (1 kap. 6 § brottsdatalagen). Registret innehåller framförallt uppgifter om begångna brott och påföljderna för dessa. Härutöver innehåller belastningsregistret även uppgifter om kontakt- förbud, förbud enligt 3 kap. 5 § lagen (2015:642) om europeisk skyddsorder och tillträdesförbud. Personuppgiftens karaktär eller innehåll är emellertid inte avgörande för om brottsdatalagen är tillämplig eller inte. Att en myndighet som kan vara behörig utför behandlingen är en förutsättning för att brottsdatalagen ska vara tillämplig. Utöver detta måste också syftet med behandlingen vara något av de som anges i 1 kap. 2 § brottsdatalagen, nämligen att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Av bestämmelsen i 2 § lagen om belastningsregister framgår att belastningsregistret har flera syften. Vissa av dessa avser uttryckligen brottsbekämpning och lagföring av brott (2 § första stycket 1–3), medan det är mer ovisst hur man ska se på syftet att tillhandahålla belast- ningsuppgifter för tillstånds- och lämplighetsprövningar m.m. (2 § första stycket 4). Det går därför inte utan vidare att säga att belastningsregistrets samtliga ändamål är sådana som omfattas av brottsdatalagens tillämpningsområde eller av dataskyddsförordningen. Regeringen anser att det, för den fortsatta analysen av vilken av författningarna som är tillämplig, är lämpligt att dela upp den personuppgiftsbehandling som sker enligt lagen om belastningsregister i två delar. Den ena avser förandet av registret, dvs. den behandling som behövs för att lägga in personuppgifter i registret och sedan bevara dem där. Den andra avser sökningar i och utlämnanden ur registret, som alltså görs för att informationen i registret behövs antingen i behöriga myndigheters brottsbekämpande verksamhet, 2018/19:65 eller i annan verksamhet och då i huvudsak för olika tillstånds- och lämplighetsprövningar som görs både av och av andra myndigheter. Det är av vikt att frågan om vilken författning som är tillämplig på förandet av registret klargörs så långt möjligt. Dataskyddsförordningen och brottsdatalagen skiljer sig åt i vissa avseenden, exempelvis när det gäller möjligheten att behandla känsliga personuppgifter och den enskildes rätt till information. Regeringens bedömning är, liksom den i promemorian, att förandet av registret primärt måste anses ske för de syften som anges i 2 § första stycket 1–3 lagen om belastningsregister. Dessa syften är sådana som omfattas av brottsdatalagen, nämligen att bekämpa och lagföra brott och verkställa straffrättsliga påföljder. Att utlämnande av uppgifter ur registret även kan komma att ske för andra ändamål, såsom olika lämplighetsbedömningar, kan enligt regeringens mening inte påverka frågan om registrets grundläggande syfte. Den behandling av person- uppgifter det innebär att samla in uppgifterna och bevara dem i registret omfattas alltså av brottsdatalagen. När uppgifter sedan söks fram och i förekommande fall utlämnas för något av de ändamål som anges i 2 § första stycket 1–3 är brottsdatalagen också tillämplig. När det sedan gäller hur man ska se på behandling för utlämnande ur registret när det gäller att ge information om brottslig belastning som underlag för olika tillstånds- och lämplighetsprövningar är det visserligen riktigt att det, som påtalat, skulle underlätta för Polis- myndigheten som personuppgiftsansvarig om även sådan behandling kunde omfattas av brottsdatalagen. Regeringen kan emellertid konstatera att utrymmet för sådana hänsyn är begränsat, eftersom brottsdatalagen inte kan ges ett vidare tillämpningsområde än dataskyddsdirektivet. Regeringen konstaterar vidare att den aktuella frågan, som en av många gränsdragningsfrågor, har behandlats av Utredningen om 2016 års dataskyddsdirektiv i delbetänkandet Brottsdatalag (SOU 2017:29 s. 215 f.). Där görs bedömningen att behandling av personuppgifter för sådana ändamål ligger utanför den föreslagna brottsdatalagens tillämpningsområde. I propositionen Brottsdatalag (prop. 2017/18:232 s.112) har regeringen förklarat att den delar de bedömningar som Utredningen om 2016 års dataskyddsdirektiv har gjort när det gäller tillvägagångssätt i gränsdragningsfrågor samt för vägledning hänvisat till de bedömningar som utredningen gjort rörande enskilda verksamheter inom myndigheterna. Något bärande skäl för att i det här ärendet göra någon annan bedömning av den aktuella gränsdragningsfrågan finns enligt regeringen inte. Den behandling av personuppgifter som sker för utlämnande ur belastningsregistret i syfte att ge underlag för olika tillstånds- och lämplighetsprövningar omfattas alltså inte av brottsdatalagens tillämpningsområde, utan av dataskyddsförordningens. Den närmare gränsdragningen mellan brottsdatalagen och dataskyddsförordningen Som konstaterats är dels förandet av belastningsregistret, dels sökningar och i förekommande fall utlämnanden av uppgifter enligt 2 § första stycket 1–3 lagen om belastningsregister sådan behandling av personuppgifter som sker för syften som omfattas av brottsdatalagens tillämpningsområde. 2018/19:65 Detta gäller oavsett om sökningar och utlämnanden sker genom direktåtkomst eller inte. Motsvarande behandling enligt 2 § första stycket 4 avser däremot i flertalet fall utlämnanden vars syfte inte är brotts- bekämpning eller annat som omfattas av brottsdatalagen. Utöver 2 § finns det, som redan nämnts, flera bestämmelser både i lagen och i förordningen om belastningsregister som i detalj reglerar framförallt frågor om utlämnanden enligt 2 § första stycket 4. Med ledning av författningstexten kan det i många av dessa fall avgöras om det är brottsdatalagen eller dataskyddförordningen som är tillämplig. I andra fall är regleringen generell på ett sätt som gör att en bedömning måste göras från fall till fall. I promemorian har gjorts en noggrann genomgång (Ds 2017:58 s. 158–161) av hur man bör se på nämnda bestämmelser, med utgångspunkt i det synsätt på dataskyddsdirektivets – och därmed brottsdatalagens – tillämpningsområde som Utredningen om 2016 års dataskyddsdirektiv redovisat och som regeringen i prop. 2017/18:232 i stort anslutit sig till. De ställningstaganden som gjorts i promemorian kan tjäna som vägledning vid bedömningen av gränsdragningsfrågor. Utbyte av uppgifter ur medlemsstaternas kriminalregister Som redogjorts för i avsnitt 8.1 utbyts uppgifter ur inom EU i enlighet med rambeslutet om kriminalregister. I förhållande till det nya dataskyddsdirektivet är rambeslutet en sådan rättsakt som inte påverkas av direktivets ikraftträdande i enlighet med artikel 60 (prop. 2017/18:232 s. 91). Uppgifter utbyts med stöd av rambeslutet inte enbart för syften som omfattas av direktivets tillämpningsområde, utan även för tillstånds- och lämplighetsfrågor m.m. (12 a § i lagen om belastningsregister). Därmed kommer visst uppgifts- utbyte att omfattas av dataskyddsförordningens tillämpningsområde. 8.3Vilka ändringar bör göras som en följd av dataskyddsreformen? 8.3.1Bestämmelsernas förhållande till brottsdatalagen och dataskyddsförordningen Regeringens bedömning: Bestämmelserna i 1, 2–7, 9, 11–18, 20 och 21 §§ lagen om belastningsregister avser personuppgiftsbehandling som omfattas av brottsdatalagen. Bestämmelserna i 1, 6–8, 10, 11, 12 a, 15, 19–21 §§ lagen om belastningsregister avser behandling av personuppgifter som omfattas av dataskyddsförordningen. Promemorians bedömning överensstämmer i huvudsak med reger- ingens. I promemorian har dock 1 och 15 §§ lagen om belastningsregister inte bedömts avse behandling av personuppgifter som omfattas av dataskyddsförordningen. Remissinstanserna: Ingen remissinstans invänder mot promemorians 2018/19:65 Skälen för regeringens bedömning: Regeringen har ovan gjort bedömningen att regleringen i brottsdatalagen blir tillämplig på förandet av belastningsregistret, men att dataskyddsförordningen ändå blir tillämplig på viss behandling i belastningsregistret beroende på att ändamålen med en del utlämnanden ur registret inte avser brottsbekämpning eller något annat av de ändamål som avses i artikel 2.2 d i dataskyddsförordningen. Som en följd av detta kommer vissa bestämmelser i lagen om belastningsregister – sådana som blir tillämpliga vid utlämnanden av uppgifter för olika ändamål – att reglera person- uppgiftsbehandling som omfattas av såväl brottsdatalagen som dataskyddsförordningen, medan andra bestämmelser kommer att reglera personuppgiftsbehandling som endast omfattas av ett av dessa regelverk. Regeringen instämmer i den bedömning som gjorts i promemorian att bestämmelserna i 1, 2–7, 9, 11–18 och 20–21 §§ är sådana att de avser personuppgiftsbehandling som omfattas av brottsdatalagen och alltså måste vara förenliga med denna och dataskyddsdirektivet. Regeringen instämmer även i den bedömning som gjorts i promemorian att bestämmelserna i 6–8, 10, 11, 12 a, 19 och 21 §§ är sådana att de avser personuppgiftsbehandling som omfattas av dataskyddsförordningen och alltså måste vara förenliga med denna. Både utpekandet i 1 § andra meningen av som personuppgiftsansvarig och bestämmelsen i 15 § att ska pröva en begäran om att uppgifter ska lämnas ut avser, förutom behandling av uppgifter för ändamål som omfattas av brottsdalagen, även behandling för utlämnanden ur registret i sådana syften som omfattas av förordningen. Till skillnad från den bedömning som gjorts i promemorian anser regeringen därför att dessa bestämmelser även bör vara förenliga med dataskyddsförordningen. 8.3.2Skyldighet att föra belastningsregistret, personuppgiftsansvar samt registrets ändamål och innehåll Regeringens förslag: Ändamålen med belastningsregistret ska anpassas till brottsdatalagens terminologi. Regeringens bedömning: Bestämmelserna om skyldighet att föra belastningsregistret, om personuppgiftsansvar och om registrets innehåll i lagen om belastningsregister bör inte ändras som en följd av dataskyddsreformen. Promemorians förslag och bedömning överensstämmer med regeringens. Remissinstanserna: motsätter sig att ändamålen med belastningsregistret anpassas till brottsdatalagen med hänvisning till att den föreslagna anpassningen inte är avsedd att innebära någon ändring i sak. Övriga remissinstanser yttrar sig inte över promemorians förslag och bedömning. Skälen för regeringens förslag och bedömning Bestämmelserna om skyldighet att föra belastningsregistret, om ändamålen med registret, om personuppgiftsansvar och om registrets innehåll är förenliga med dataskyddsreformen I 1 § lagen om belastningsregister åläggs att föra ett belastningsregister och pekas ut som personuppgiftsansvarig för behandlingen av personuppgifter i registret. Åläggandet att föra registret innebär att getts en uppgift som omfattas av de syften som ingår i dataskyddsdirektivets tillämpningsområde. Denna del av bestämmelsen är alltså förenlig med dataskyddsdirektivet. Som framgår av resonemangen i avsnitt 5.4.2 och 6.3.2 är det vidare förenligt med både dataskyddsförordningen och dataskyddsdirektivet att pekas ut som personuppgiftsansvarig. Att det dessutom finns en bestämmelse som reglerar att det är som prövar frågor om utlämnande (15 §) får enligt regeringen ses som en precisering av vad som ingår i uppgiften att föra registret och i personuppgiftsansvaret.