prop · H603163 · 2019-09-09 00:00:00 — Första stycket gäller inte personuppgifter i ärenden om utredning av eller lagföring för brott. Gemensamt tillgängliga uppgifter i ärenden om utredning av eller lagföring för brott 3 § Om en brottsanmälan avskrivs på grund av att den påstådda gär- ningen inte utgör brott, får personuppgifter som finns i anmälan och som har gjorts gemensamt tillgängliga inte längre behandlas för ändamål inom denna lags tillämpningsområde. Om en brottsanmälan i annat fall inte har lett till förundersökning eller annan motsvarande utredning, får personuppgifter som har gjorts gemensamt tillgängliga inte behandlas för ändamål inom denna lags tillämpningsområde när åtal inte längre får väckas för brottet. 4 § Om en förundersökning har lett till åtal eller annan domstolspröv- ning, får personuppgifter som finns i förundersökningen och som har gjorts gemensamt tillgängliga inte behandlas för ändamål inom denna lags tillämpningsområde längre än efter utgången av det kalenderår då domstolens avgörande fick laga kraft. Om en förundersökning har lagts ner eller avslutats på annat sätt än genom åtal, får personuppgifter i förundersökningen inte behandlas för ändamål inom denna lags tillämpningsområde längre än efter utgången av det kalenderår då åklagarens eller förundersökningsledarens beslut meddelades. Första och andra styckena gäller även personuppgifter i andra utred- ningar som handläggs enligt bestämmelser i 23 kap. . 5 § Om en förundersökning mot en person har lagts ner, om ett åtal har lagts ner eller om en frikännande dom har fått laga kraft, får personen inte längre vara sökbar som misstänkt. Övriga gemensamt tillgängliga uppgifter 6 § Andra personuppgifter än de som anges i 3 eller 4 § och som har gjorts gemensamt tillgängliga får som längst behandlas som anges i 7–10 §§. Bestämmelsen i 1 § andra stycket gäller inte vid tillämpningen av 7– 10 §§. 7 § Personuppgifter får inte behandlas längre än efter utgången av det kalenderår då den senaste registreringen gjordes avseende personen. Uppgifter om en person som vid tiden för registreringen inte fyllt får dock inte behandlas längre än efter utgången av det kalenderår då den senaste registreringen gjordes avseende den unge, om någon ny registrering inte gjorts efter det att han eller hon fyllt . Första och andra styckena gäller inte sådana personuppgifter som avses i 8 och 9 §§. 8 § Personuppgifter som behandlas i en sådan uppgiftssamling som anges i 3 kap. 4 § tredje stycket får inte behandlas längre än efter utgången av det kalenderår då den senaste registreringen gjordes avseende 9 § Personuppgifter som hänför sig till sådan säkerhetshotande verk- samhet som avses i 18 och 19 kap. och som utövas av främmande makt, får inte behandlas längre än efter utgången av det kalenderår då den senaste registreringen gjordes avseende personens anknytning till brott eller brottslig verksamhet. behandlas i en sådan uppgiftssamling som anges i 3 kap. 4 § tredje stycket gäller 8 §. 10 § Om det finns särskilda skäl och uppgifterna fortfarande behövs för det ändamål de behandlas för, får Säkerhetspolisen besluta att per- sonuppgifter får behandlas än vad som anges i 7–9 §§. Om personuppgifter behandlas med stöd av ett sådant beslut ska frågan om fortsatt behandling prövas på nytt senast vid utgången av det tionde kalenderåret efter beslutet eller, om det är fråga om uppgifter som avses i 8 §, senast vid utgången av det tredje kalenderåret efter beslutet. som personuppgifterna får behandlas får förlängas med längst eller, om det är fråga om uppgifter som avses i 8 §, med längst Rätt att meddela föreskrifter 11 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att vissa kategorier av personuppgifter får fortsätta att behandlas för ändamål inom denna lags tillämpningsområde under längre tid än vad som anges i 3 och 4 §§. 12 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1.att personuppgifter får behandlas för arkivändamål av allmänt intresse eller vetenskapliga, statistiska eller historiska ändamål än vad som anges i 2 § första stycket eller 7–10 §, och 2.begränsning av behandlingen av personuppgifter för ändamål inom denna lags tillämpningsområde vid digital arkivering. Åtgärder för att säkerställa författningsenlig behandling Tekniska och organisatoriska åtgärder 1 § Säkerhetspolisen ska, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa och kunna visa att behandlingen av personuppgifter är författningsenlig och att registrerades rättigheter skyddas. 2 § Säkerhetspolisen ska när medlen för behandlingen bestäms och vid behandlingen, genom lämpliga tekniska och organisatoriska åtgärder, se till att nödvändiga skyddsåtgärder integreras i behandlingen (inbyggt dataskydd). 3 § Säkerhetspolisen ska se till att det i automatiserade behandlings- system som regel inte är möjligt att behandla andra personuppgifter än de som är nödvändiga för varje särskilt angivet ändamål med behandlingen (dataskydd som standard). 4 § Säkerhetspolisen ska säkerställa att det i automatiserade behand- lingssystem förs loggar över personuppgiftsbehandling i den utsträckning det är särskilt föreskrivet. 5 § Säkerhetspolisen ska se till att tillgången till personuppgifter be- gränsas till vad var och en behöver för att kunna fullgöra sina arbetsupp- gifter. 6 § Om en typ av ny behandling, eller betydande förändringar av redan pågående behandling, kan antas medföra särskild risk för intrång i den registrerades personliga integritet, ska Säkerhetspolisen innan behand- lingen påbörjas eller förändringen genomförs bedöma konsekvenserna för skyddet av personuppgifter. Om konsekvensbedömningen visar att det finns särskild risk för intrång i registrerades personliga integritet eller om typen av behandling innebär särskild risk för intrång, ska Säkerhetspolisen samråda med tillsynsmyn- digheten innan behandlingen påbörjas eller betydande föränd- ringar genomförs (förhandssamråd). 7 § Säkerhetspolisen ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada. 8 § Säkerhetspolisen ska samarbeta med tillsynsmyndigheten när den utför uppgifter enligt denna lag och föreskrifter som har meddelats i anslutning till lagen. 9 § Säkerhetspolisen ska inom myndigheten utse ett eller flera data- skyddsombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas. 10 § Dataskyddsombud ska 1.självständigt kontrollera att Säkerhetspolisen behandlar personupp- gifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter, 2.informera och ge råd till Säkerhetspolisen och de som behandlar per- sonuppgifter under myndighetens ledning om deras skyldigheter vid be- handling av personuppgifter, 3.på begäran ge Säkerhetspolisen råd vid en konsekvensbedömning och kontrollera att den genomförs på korrekt sätt, 4.vara kontaktpunkt för enskilda i frågor som rör behandling av per- sonuppgifter, och 5.samarbeta med tillsynsmyndigheten och vara kontaktpunkt för den vid förhandssamråd och andra frågor som rör behandling av personupp- gifter. 11 § Säkerhetspolisen får, om det är lämpligt, anlita personuppgiftsbi- träden för behandling av personuppgifter på myndighetens vägnar. Innan ett personuppgiftsbiträde anlitas ska Säkerhetspolisen försäkra sig om att biträdet kommer att vidta de lämpliga tekniska och organisatoriska åtgär- der som krävs för att behandlingen av personuppgifter ska vara författ- ningsenlig och för att skydda registrerades rättigheter. Personuppgiftsbiträdets behandling av personuppgifter ska regleras i ett skriftligt avtal eller annan skriftlig överenskommelse. 12 § Ett personuppgiftsbiträde får inte anlita ett annat personuppgifts- biträde utan skriftligt tillstånd från Säkerhetspolisen. 13 § Ett personuppgiftsbiträde och de som arbetar under biträdets led- ning ska behandla personuppgifter i enlighet med instruktioner från Säkerhetspolisen. Om ett personuppgiftsbiträde bestämmer ändamålen med och medlen för behandlingen, ska biträdet anses vara personuppgiftsansvarig för den behandlingen. 14 § Det som sägs om Säkerhetspolisens skyldigheter i 4, 5, 7 och 8 §§ gäller även för personuppgiftsbiträden. 6 kap. Enskildas rättigheter 1 § Säkerhetspolisen ska göra följande allmänna information tillgänglig för den registrerade: 1.myndighetens identitet och kontaktuppgifter, 3.kategorier av ändamål för behandlingen, 4.rätten enligt 2 § att begära att få information om behandling av per- sonuppgifter och att få del av uppgifterna, och 5.rätten att begära rättelse, radering eller begränsning av behandlingen enligt 6 och 7 §§. 2 § Säkerhetspolisen ska till den som begär det utan onödigt dröjsmål lämna skriftligt besked om huruvida personuppgifter som rör honom eller henne behandlas. Om sådana uppgifter behandlas, ska sökanden få del av dem och få följande skriftliga information: 1.vilka personuppgifter om sökanden som behandlas, 2.varifrån personuppgifterna kommer, 3.den rättsliga grunden för behandlingen, 4.ändamålen med behandlingen, 5.mottagare eller kategorier av mottagare av personuppgifterna, även i tredjeland eller internationella organisationer, 6.hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det, och 7.rätten att begära rättelse, radering eller begränsning av behandlingen enligt 6 och 7 §§. Utlämnande av personuppgifter enligt första stycket behöver inte om- fatta sådana personuppgifter som sökanden har tagit del av, om inte han eller hon begär det. Det ska dock framgå av informationen att personupp- gifterna i fråga behandlas. Begränsning av rätten till information 3 § Informationsskyldigheten i 2 § gäller inte i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade. Om förutsättningarna i första stycket är uppfyllda, är Säkerhetspolisen inte skyldig att lämna ut skälen för beslut enligt första stycket eller beslut i fråga om rättelse, radering eller begränsning av behandlingen enligt 6 eller 7 §. 4 § Informationsskyldigheten i 2 § gäller inte personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande. Informationsskyldigheten gäller dock om uppgifterna 1. har lämnats ut till tredje man, med undantag för en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision, 2.behandlas enbart för vetenskapliga, statistiska eller historiska ända- mål, eller 3.har behandlats i löpande text som inte har fått sin slutliga utformning. 5 § Om en begäran enligt 2 § är orimlig eller uppenbart ogrundad får Säkerhetspolisen avslå den. Av 9 § andra stycket framgår att Säkerhetspolisen i vissa fall får ta ut avgift i stället för att avslå begäran. Rätten till rättelse, radering och begränsning av behandlingen 6 § Säkerhetspolisen ska på begäran av den registrerade utan onödigt dröjsmål rätta eller komplettera personuppgifter som rör honom eller henne, om de är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen. Om Säkerhetspolisen inte kan fastställa att personuppgifterna är kor- rekta, ska behandlingen av uppgifterna i stället utan onödigt dröjsmål begränsas. 7 § Säkerhetspolisen ska på begäran av den registrerade utan onödigt dröjsmål radera personuppgifter som rör honom eller henne, om de behandlas i strid med 2 kap. 1–6, 8–10 eller 12 § eller 4 kap. 1 § första stycket, 2–4 eller 7–10 §. Detsamma gäller om det krävs radering för att Säkerhetspolisen ska utföra en rättslig förpliktelse. Om förutsättningarna i första stycket för att radera personuppgifter är uppfyllda men uppgifterna behöver finnas kvar av bevisskäl, ska Säkerhetspolisen på begäran av den registrerade i stället utan onödigt dröjsmål begränsa behandlingen av uppgifterna. 8 § Säkerhetspolisen avgör vilken åtgärd som ska vidtas med anledning av en begäran om rättelse, radering eller begränsning av behandlingen. 9 § Information enligt 1 § ska lämnas utan avgift. Information och uppgifter enligt 2 § ska lämnas utan avgift en gång . Om någon begär information och uppgifter enligt 2 § oftare än en gång , får Säkerhetspolisen ta ut en rimlig avgift eller avslå begäran enligt 5 § första stycket. uppgifter 1 § ska 1.utöva allmän tillsyn över personuppgiftsbehandling, och 2.vid förhandssamråd enligt 5 kap. 6 § och när det i övrigt är påkallat ge råd och stöd till Säkerhetspolisen och personuppgiftsbiträden om deras skyldigheter enligt lag eller annan författning. 2 § Bestämmelser om tillsyn över Säkerhetspolisens behandling av per- sonuppgifter finns även i lagen (2007:980) om tillsyn över viss brottsbe- kämpande verksamhet. 3 § har rätt att av Säkerhetspolisen och person- uppgiftsbiträdet på begäran få 1.tillgång till alla personuppgifter som behandlas, 2.upplysningar om och dokumentation av behandlingen av personupp- gifter och säkerhets- och skyddsåtgärder, 3.tillträde till lokaler som Säkerhetspolisen eller personuppgiftsbiträdet disponerar samt tillgång till utrustning och andra medel för behandling av personuppgifter, och 4.den hjälp och den information som behövs för tillsynen. 4 § Om tillsynsmyndigheten bedömer att det finns risk för att person- uppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer eller påpekanden försöka förmå Säkerhetspolisen eller personuppgiftsbiträdet att vidta åtgärder för att motverka den risken. får utfärda en skriftlig varning för att planerad behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Detsamma gäller om pågående behandling riskerar att stå i strid med lag eller annan författning. 5 § Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författning eller att Säkerhetspolisen eller per- sonuppgiftsbiträdet på något annat sätt inte fullgör sina skyldigheter, får tillsynsmyndigheten 1.genom sådana åtgärder som anges i 4 § första stycket försöka förmå Säkerhetspolisen eller personuppgiftsbiträdet att vidta åtgärder för att be- handlingen ska bli författningsenlig, eller att uppfylla andra skyldigheter, 2.förelägga Säkerhetspolisen eller personuppgiftsbiträdet att vidta åt- gärder för att behandlingen ska bli författningsenlig eller att uppfylla andra skyldigheter, eller 3.förbjuda fortsatt behandling om bristen är allvarlig. Om ett föreläggande utfärdas ska det av föreläggandet framgå när åt- gärderna senast ska vara genomförda och, om det är lämpligt, vilka åtgär- der som ska vidtas. 6 § beslut får inte verkställas . 1 § Den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som har orsakats av behandling av personuppgifter i strid med denna lag, eller föreskrifter som har meddelats i anslutning till den. Överklagande av den personuppgiftsansvariges beslut 2 § Beslut i fråga om rättelse eller komplettering enligt 6 kap. 6 § första stycket, radering enligt 6 kap. 7 § första stycket, eller begränsning av be- handlingen enligt 6 kap. 6 § andra stycket eller 6 kap. 7 § andra stycket, som har meddelats av den personuppgiftsansvarige, får överklagas till allmän förvaltningsdomstol. Detsamma gäller beslut att inte lämna information enligt 6 kap. 2 § eller att ta ut avgift enligt 6 kap. 9 § andra stycket. Prövningstillstånd krävs vid överklagande till kammarrätten. Överklagande av tillsynsmyndighetens beslut 3 § beslut enligt denna lag får överklagas till allmän förvaltningsdomstol. När ett beslut överklagas är tillsynsmyndig- heten motpart i domstolen. Prövningstillstånd krävs vid överklagande till kammarrätten. 4 § Andra beslut enligt denna lag än de som anges i 2 och 3 §§ får inte överklagas. Överföring av personuppgifter till tredjeland och internationella organisationer 1 § Säkerhetspolisen får överföra personuppgifter till ett tredjeland eller en internationell organisation, om personuppgifterna behandlas i eller är avsedda att behandlas i ett tredjeland eller av en internationell organisation. Personuppgifterna får dock endast överföras om överföringen 1.riktas till en brottsbekämpande myndighet eller en underrättelse- eller säkerhetstjänst i ett tredjeland eller en internationell organisation med brottsbekämpande uppdrag och a)ett beslut om adekvat skyddsnivå enligt 2 §, b)tillräckliga skyddsåtgärder enligt 3 §, eller c)ett undantag för särskilda situationer enligt 4 §. Beslut om adekvat skyddsnivå 2 § Om Europeiska kommissionen har beslutat att det finns en adekvat nivå för skyddet av personuppgifter i ett tredjeland, eller en viss geografisk eller på annat sätt angiven del av det, får personuppgifter överföras dit under de förutsättningar som anges i 1 §. Detsamma gäller om det finns ett sådant beslut avseende en internationell organisation. 3 § Om det inte finns något beslut om adekvat skyddsnivå enligt 2 §, får personuppgifter, under de förutsättningar som anges i 1 §, ändå överföras till ett tredjeland eller en internationell organisation om 1.skyddsåtgärder för personuppgifter har fastställts i ett avtal som ger tillräckliga garantier till skydd för den registrerade, eller 2.mottagaren på annat sätt garanterar tillräckligt skydd för personuppgifterna. Överföring i särskilda situationer 4 § Om det inte finns något beslut om adekvat skyddsnivå enligt 2 § eller tillräckliga skyddsåtgärder enligt 3 §, får en överföring eller en samling av överföringar av personuppgifter, under de förutsättningar som anges i 1 §, göras till ett tredjeland eller en internationell organisation endast om överföringen är nödvändig för att 1.värna den registrerades eller någon annan fysisk persons vitala in- tressen eller andra berättigade intressen som den registrerade har, 2.i ett enskilt fall förebygga, förhindra eller upptäcka brottslig verk- samhet eller utreda eller lagföra brott, 3.i ett enskilt fall kunna fastställa, göra gällande eller försvara ett rätts- ligt anspråk som hänför sig till ett sådant syfte som anges i 2, eller 4.avvärja en omedelbar och allvarlig fara för allmän säkerhet. Personuppgifter får inte överföras till ett tredjeland eller en internationell organisation om den registrerades intresse av skydd mot kränkning av rättigheter och friheter väger tyngre än det allmännas intresse av en sådan överföring som avses i första stycket 2 eller 3. Överföring till andra mottagare 5 § Säkerhetspolisen får i ett enskilt fall överföra personuppgifter till en annan mottagare i ett tredjeland än som anges i 1 §. Personuppgifterna får överföras endast om de övriga förutsättningarna i 1 § är uppfyllda och om 1.det är absolut nödvändigt för att Säkerhetspolisen ska kunna utföra en uppgift enligt 2 kap. 1 §, och 2.det skulle vara ineffektivt eller olämpligt att överföra dem till en mottagare som anges i 1 § i det tredjelandet. Personuppgifter får inte överföras enligt första stycket om den registre- rades intresse av skydd mot kränkning av rättigheter och friheter väger tyngre än det allmännas intresse av att överföringen görs. 1.Denna lag träder i kraft . Bestämmelsen i 5 kap. 4 § om loggning tillämpas från och med den i fråga om automatiserade behandlingssystem som inrättats 3.Äldre föreskrifter gäller fortfarande för överklagande av beslut som har meddelats före ikraftträdandet Förslag till lag om ändring i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet Härigenom föreskrivs att 1 § lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet ska ha följande lydelse. Lydelse enligt prop. (nämnden) ska utöva tillsyn över brottsbekämpande myndigheters användning av hemliga tvångsme- del och kvalificerade skyddsidentiteter och därmed sammanhängande verksamhet. Nämnden ska även utöva tillsyn Nämnden ska även utöva tillsyn över den behandling av person- över den behandling av person- uppgifter som utförs av Polis- uppgifter som utförs av Polis- myndigheten, Säkerhetspolisen och lagen (2018:1693) om polisens be- (2018:1693) om polisens handling av personuppgifter inom inom brottsdatalagens område för syften som anges i 1 kap. 1 § i den de syften som anges i 1 kap. 1 § i den sistnämnda lagen, och lagen särskilt avse sådan behandling som (2019:000) om Säkerhetspolisens avses i 2 kap. 11 § brottsdatalagen. behandling av personuppgifter. Nämnden ska också utöva tillsyn över och Säkerhetspolisens tillämpning av lagen (2019:000) om förbud mot användning av vissa uppgifter för att utreda brott. Tillsynen ska särskilt syfta till att säkerställa att verksamheten enligt första, andra och tredje styckena bedrivs i enlighet med lag eller annan författning. 1.Denna lag träder i kraft . 2.Äldre föreskrifter gäller fortfarande för nämndens tillsyn över personuppgiftsbehandling som utförts före ikraftträdandet. Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400) Härigenom föreskrivs i fråga om offentlighets- och sekretesslagen (2009:400) dels att punkt 2 i ikraftträdande- och övergångsbestämmelserna till lagen (2018:1708) om ändring i den lagen ska upphöra att gälla, dels att 18 kap. 2 § och 35 kap. 1 och 10 §§ ska ha följande lydelse. Sekretess gäller för uppgift som hänför sig till sådan verksamhet som avses i 2 kap. 1 § 1 lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område, om det inte står klart att uppgiften kan röjas utan att syftet med beslutade eller förutsedda åtgärder motverkas eller den framtida verksamheten skadas. Sekretess gäller, under motsvarande förutsättningar som anges i första stycket, för uppgift som hänför sig till sådan verksamhet som avses i 1.2 kap. 1 § 1 lagen (2018:1695) om behandling av personuppgifter inom brottsdatalagens område, 2 kap. 1 § 1 lagen (2018:1694) 2 kap. 1 § 1 lagen (2018:1694) lagens område, eller 2 kap. 1 § 1 lagen (2018:1696) 2 kap. 1 § 1 lagen (2018:1696) lagens område, eller 4.2 kap. 1 § första stycket 1 lagen (2019:000) om Säkerhets- polisens behandling av person- uppgifter. Sekretess enligt första stycket gäller inte för uppgift som hänför sig till verksamhet hos och som har förts in i en allmän handling . För uppgift i en allmän handling gäller sekretessen i högst . Lydelse enligt prop. Sekretess gäller för uppgift om en enskilds personliga och ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den 1 Senaste lydelse 2018:1708. enskilde eller någon närstående till honom eller henne lider skada eller men och uppgiften förekommer i 1.utredning enligt bestämmelserna om förundersökning i brottmål, 2.angelägenhet som avser användning av tvångsmedel i brottmål eller i annan verksamhet för att förebygga brott, 3.angelägenhet som avser säkerhetsprövning enligt säkerhetsskydds- lagen (2018:585), 4.annan verksamhet som syftar till att förebygga, uppdaga, utreda eller beivra brott eller verkställa uppbörd och som bedrivs av en åklagarmyndighet, , , , eller , 5. register som förs av Polis- 5. register som förs av Polis- myndigheten enligt 5 kap. lagen myndigheten enligt 5 kap. lagen (2018:1693) om polisens be- (2018:1693) om polisens be- handling av personuppgifter inom handling av personuppgifter inom brottsdatalagens område eller som brottsdatalagens område eller som annars behandlas med stöd av de annars behandlas med stöd av de bestämmelserna, eller uppgifter som behandlas av Säkerhetspolisen eller med stöd av lagen (2019:000) om Säkerhets- polisens behandling av person- 6.register som förs enligt lagen (1998:621) om misstankeregister, 7.register som förs av enligt lagen (2018:1696) om behandling av personuppgifter inom brottsdatalagens område eller som annars behandlas där med stöd av samma lag,