prop · H603163 · 2019-09-09 00:00:00 — En fullständig reglering är emellertid inte lämplig att göra. På samma sätt som får det i stället avgöras i rätts- tillämpningen om ett beslut som tillsynsmyndigheten har fattat är över- klagbart. Överklagandena bör på samma sätt som prövas av allmän förvalt- ningsdomstol. Det bör krävas prövningstillstånd vid överklagande till kammarrätten. Till skillnad från utredningen ansåg regeringen i förarbetena till brotts- datalagen att överklagandemöjligheten avseende beslut enligt föreskrifter inte bör regleras i den nya lagen (prop. 2017/18:232 s. 353). Det finns inte skäl att här göra en annan bedömning. Vem får överklaga? För att någon ska få överklaga ett beslut ska han eller hon ha klagorätt. Om en person har klagorätt måste bedömas i varje enskilt fall av den domstol som behandlar överklagandet. I 51 § personuppgiftslagen ställs det inte något krav på att den som kla- gar ska vara part. I praxis har det inte heller krävts att den som överklagar tillsynsmyndighetens beslut har ställning som part. I stället har det bl.a. förts resonemang kring dels om beslutet angått den som överklagat det, dels om det gått honom eller henne emot. Det finns inte heller skäl att i den nya lagen ställa krav på att den som klagar ska vara part. Bestämmelsen om överklagande av tillsynsmyndighetens beslut bör därför utformas med 51 § första stycket personuppgiftslagen som mönster. Att det är den som beslutet angår och som det gått emot som har klago- rätt innebär i praktiken att det är den beslutet riktas mot som har rätt att överklaga tillsynsmyndighetens beslut. I ett tillsynsärende kommer det oftast att vara Säkerhetspolisen eller ett personuppgiftsbiträde. dock inte uteslutas att beslut av tillsynsmyndigheten i något annat fall Prop. 2018/19:163 skulle kunna få rättsliga följder även för någon annan än den som beslutet riktar sig mot. Vederbörande har då rätt att överklaga beslutet enligt förvaltningslagens regler om talerätt. Särskilt om Säkerhetspolisens rätt att överklaga De allmänna förvaltningsrättsliga principerna om klagorätt anses bara vara tillämpliga på myndigheter när de uppträder i någon privaträttslig egenskap, exempelvis som arbetsgivare eller fastighetsägare. Då anses myndigheter ha samma rätt att överklaga som enskilda. När myndigheter däremot uppträder i sin offentligrättsliga roll, vilket de gör i egenskap av personuppgiftsansvariga, är förhållandena annorlunda. En myndighet får då överklaga en annan myndighets beslut bara under vissa förutsättningar. Utgångspunkten är då att överklagande kräver författningsstöd. Säkerhetspolisen anses kunna överklaga tillsynsmyndig- hetens beslut till allmän förvaltningsdomstol enligt 51 § personuppgifts- lagen. Detsamma bör gälla enligt den nya lagen. 17Överföring av personuppgifter till tredjeland och internationella organisationer Regeringens förslag: Överföring av personuppgifter till tredjeland och internationella organisationer ska regleras i den nya lagen. ska i huvudsak motsvara den som finns i brottsdatalagen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag I 33–35 §§ personuppgiftslagen (1998:204) finns det bestämmelser om överföring av personuppgifter till tredjeland. De gäller genom hänvis- i 2 kap. 2 § 8 och 6 kap. 4 § 1 polisdatalagen (2010:361) för Enligt 33 § personuppgiftslagen är det förbjudet att till tredjeland föra över personuppgifter som är under behandling, om landet inte har en adekvat skyddsnivå för personuppgifter. överföring av personuppgifter för behandling där. Trots avsaknad av ade- kvat skyddsnivå är, enligt 34 §, överföring av personuppgifter till tredje- land tillåten om den enskilde har lämnat sitt samtycke till överföringen eller om överföringen är nödvändig i vissa särskilt uppräknade fall. grafen reglerar således vissa undantag från överföringsförbudet i 33 §. viktigt undantag är att personuppgifter får överföras för användning enbart i en stat som har anslutit sig till dataskyddskonventionen. personuppgiftslagen kan regeringen föreskriva ytterligare undantag från förbudet, bl.a. om det behövs med hänsyn till ett viktigt allmänt intresse. Överföring av personuppgifter till tredjeland och internationella orga- nisationer regleras i 8 kap. brottsdatalagen (2018:1177). Av 8 kap. 1 § framgår att personuppgifter får överföras till ett tredjeland eller en inter- nationell organisation om överföringen är nödvändig för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Överföringen ska riktas till en behörig myndighet i ett tredjeland eller till en internationell organisation som är en behörig myndighet. Personuppgifter får dessutom överföras endast om Europeiska kommis- sionen (i fortsättningen kommissionen) har antagit beslut om adekvat skyddsnivå, om personuppgifterna omfattas av tillräckliga skyddsåtgärder hos adressaten eller om ett undantag för särskilda situationer är till- lämpligt. I 8 kap. 2 § föreskrivs att personuppgifter som en svensk myn- dighet har fått från en annan medlemsstat får överföras till ett tredjeland eller en internationell organisation endast om den medlemsstat som lämnat uppgifterna till en svensk myndighet har medgett att de överförs. I 8 kap. 3–5 §§ brottsdatalagen regleras de tillåtna grunderna för över- föring närmare. Det finns också bestämmelser om vidareöverföring (6 och 7 §§), om överföring till andra än behöriga myndigheter (8 §) och om användningsbegränsningar (9 och 10 §§). Överföring av personuppgifter till tredjeland och internationella organisationer ska regleras Informationsutbyte är en central del av Säkerhetspolisens samarbete med andra stater. Samarbetet berör stater både inom och utanför EU. Som på många andra områden är samarbetet med övriga nordiska länder särskilt nära. I förarbetena till polisdatalagen ansågs att bestämmelserna om överföring av personuppgifter till tredjeland borde gälla även för Säkerhetspolisen (Integritet och effektivitet i polisens brottsbekämpande verksamhet, prop. 2009/10:85, s. 88 och 252 f.). Den nuvarande regleringen, som är väl inarbetad, är därmed uppbyggd på det sättet. En reglering som innebär högre krav för överföringar till stater som inte är medlemmar i eller anslutna till EES-samarbetet är viktig ur integritetssynpunkt, eftersom det inte kan garanteras samma skydd för personuppgifterna i sådana stater. I 8 kap. brottsdatalagen ställs det högre krav när personuppgifter ska överföras till tredjeland och internationella organisationer. Enligt regeringens mening bör i huvudsak samma krav gälla för Säkerhetspolisen. Det finns därför inte skäl att nu välja en annan lösning beträffande överföring av personuppgifter till tredjeland och internationella organisationer. Villkoren för sådana överföringar bör så- ledes regleras i den nya lagen. Utgångspunkten bör vara att Säkerhetspolisen ska kunna överföra per- sonuppgifter till tredjeland och internationella organisationer i samma utsträckning som . Bestämmelserna i brottsdatalagen bör tas som utgångspunkt. Regleringen av överföringar till tredjeland och internatio- nella organisationer kommer därmed att bli betydligt utförligare men ger större möjligheter att överföra personuppgifter till sådana mot- Prop. 2018/19:163 tagare än . Regeringens förslag: Tredjeland ska definieras som en stat som inte är medlem i Europeiska unionen eller Europeiska ekonomiska sam- arbetsområdet och som inte heller på grund av avtal med Europeiska unionen har en motsvarande ställning. Internationell organisation ska definieras som en organisation och dess underställda organ som lyder under folkrätten eller ett annat organ som inrättats genom eller på grundval av en överenskommelse mellan två eller flera stater Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag: Som utredningen föreslår bör tredje- land och internationell organisation definieras i den nya lagen. Definitio- nerna bör som anges i avsnitt 7.7 så långt möjligt överensstämma med de definitioner som används i brottsdatalagen. Enligt 1 kap. 6 § brottsdatalagen definieras tredjeland som en stat som inte är en medlemsstat. Medlemsstat definieras som en stat som är medlem i Europeiska unionen samt , , och (Brottsdatalag, prop. 2017/18:232, s. 363–365). I den nya lagen kan definitionen av som utgör tredjeland inte på samma sätt som i brottsdatalagen utgå från medlemsstat då detta uttryck inte förekommer i lagen. I stället bör uttrycket stat användas. Med tredjeland bör i lagen avses en stat som inte är medlem i Europeiska unionen eller Europeiska ekonomiska samarbetsområdet och som inte heller på grund av avtal med Europeiska unionen har en motsvarande ställning. Det innebär att EU:s medlemsstater, , , och inte utgör tredjeland i lagens mening. I brottsdatalagen avses med en internationell en organisation och dess underställda organ som lyder under folkrätten eller ett annat organ som inrättats genom eller på grundval av en överenskommelse mellan två eller flera stater. En motsvarande definition bör tas in i den nya lagen. Regeringens förslag: Säkerhetspolisen ska få överföra personuppgifter som behandlas i till ett tredjeland eller en internationell organisation om överföringen riktas till en brottsbekämpande myndighet, en underrättelse- eller säkerhetstjänst eller en internationell organisation med brottsbekämpande uppdrag. Personuppgifterna får endast överföras om viss skyddsnivå är säkerställd hos mottagaren. Regleringen ska gälla även vid överföring av personuppgifter för behandling i ett tredjeland eller av en internationell organisation. 2018/19:163 Utredningens förslag: överensstämmer delvis med regeringens. Ut- redningen förslår att personuppgifter som Säkerhetspolisen har fått från en annan stat ska få överföras till ett tredjeland eller en internationell organisation endast om den stat som lämnat uppgifterna till Säkerhets- polisen har medgett att de överförs. Remissinstanserna: Säkerhetspolisen förordar att bestämmelsen om att överföring av personuppgifter från andra stater ska vara medgiven stryks. Myndigheten anser också att det behöver förtydligas att överföring av personuppgifter från Säkerhetspolisen inte är begränsad till en underrättelse- och säkerhetstjänst med brottsbekämpande uppdrag. Data- inspektionen och efterfrågar en djupare analys av riskerna med att överföra personuppgifter till tredjeland och interna- organisationer. Skälen för regeringens förslag De grundläggande förutsättningarna för överföring ska anges Utgångspunkten i den nya lagen bör, liksom i brottsdatalagen, vara att Säkerhetspolisen ska få överföra personuppgifter till ett tredjeland eller en internationell organisation endast om vissa villkor är uppfyllda. En be- stämmelse som anger de grundläggande förutsättningarna för överföring bör tas in i den nya lagen. Enligt dataskyddsdirektivet får personuppgifter överföras endast om det är nödvändigt för vissa angivna ändamål och överföringen görs till någon som är behörig myndighet. Bestämmelsen i brottsdatalagen har utformats med det som utgångspunkt. Det är inte möjligt att ställa upp samma krav i den nya lagen, bl.a. eftersom regleringen inte bygger på att det är behöriga myndigheter som utbyter uppgifter med varandra. Regleringen i den nya lagen bör därför utformas med brottsdatalagen som mönster, men vissa frågor kräver en annan lösning. När det gäller Säkerhetspolisen finns det, i motsats till andra brottsbekämpande myndigheter, inte några internationella åtaganden som innebär en skyldighet att lämna viss information. Säkerhetspolisen råder därmed i större utsträckning över vilken information som lämnas, på vilket sätt det görs och vilka villkor som ställs för den andra statens användning av informationen. Uppgiftsutbyte sker huvudsakligen inom ramen för överenskommelser och bygger på ömsesidigt förtroende. Mot den bakgrunden bör någon motsvarighet till kravet i brottsdatalagen på att överföringen ska vara nödvändig för vissa angivna ändamål inte finnas. Frågan är om regleringen, på samma sätt som i brottsdatalagen, bör ta sikte på överföring till vissa mottagare. En sådan reglering ger större för- utsebarhet och bättre integritetsskydd och bör därför väljas framför en mer generell reglering. I den grundläggande bestämmelsen bör det därför anges att överföringen ska riktas till en brottsbekämpande myndighet, en underrättelse- eller säkerhetstjänst i tredjeland eller till en internationell organisation som har ett brottsbekämpande uppdrag. Det tillgodoser enligt regeringens mening Säkerhetspolisens behov av att kunna överföra personuppgifter i syfte att bistå myndigheter i andra stater. Säkerhetspoli- sens möjlighet att i vissa fall överföra personuppgifter till andra aktörer behandlas i avsnitt 17.5. I brottsdatalagen ställs det krav på att vissa skyddsnivåer ska vara säkerställda för att personuppgifter ska få överföras. Personuppgifterna får endast överföras om det finns beslut om adekvat skyddsnivå, om per- sonuppgifterna omfattas av tillräckliga skyddsåtgärder hos adressaten eller om ett undantag för särskilda situationer är tillämpligt. Syftet med regleringen är att den skyddsnivå som säkerställs genom dataskydds- direktivet och som gäller inom EU som utgångpunkt ska gälla även när personuppgifter överförs till ett tredjeland eller en internationell organi- sation. Regeringen delar utredningen uppfattning att det är det rimligt att samma krav ställs på Säkerhetspolisen även om myndighetens verksamhet inte omfattas av direktivets tillämpningsområde. Liknande krav på skydd ställs i bl.a. personuppgiftslagen. Den närmare innebörden av dessa krav behandlas i avsnitt 17.4. Det kan, som Datainspektionen och påpekar, vara förenat med viss osäkerhet att överföra personuppgifter till ett tredjeland eller en internationell organisation. Det kommer att vila ett stort ansvar på Säkerhetspolisen när det gäller bedömningarna i vilka fall personuppgifter kan överföras. Säkerhetspolisen är dock van vid att göra denna typ av bedömningar. I sammanhanget bör också nämnas att försla- get i denna del ansluter nära till vad som gäller enligt befintlig lagstiftning. Underrättelsearbetet bygger vidare, som har nämnts, på ett ömsesidigt förtroende. En motpart som missbrukar förtroendet kommer inte längre att få del av information. Här bör också anmärkas att Säker- hetspolisen naturligtvis aldrig är skyldig att överföra personuppgifter till ett tredjeland eller en internationell organisation. Ingen reglering om att överföring av uppgifter till andra stater ska vara medgiven I 8 kap. 2 § brottsdatalagen föreskrivs att en överföring av personuppgifter som härrör från en annan medlemsstat ska vara medgiven. Något sådant krav gäller inte för Säkerhetspolisen . Utredningen föreslår att det införs en sådan bestämmelse i den nya lagen. För att skydda underrättelseinformation tillämpar Säkerhetspolisen den s.k. tredjepartsregel. Regeln, som tillämpas både i det internationella och nationella samarbetet, innebär att uppgifter som myndigheten har fått från en samarbetspartner inte får föras vidare utan uttryckligt samtycke. Regeln är central i Säkerhetspolisens verksamhet och utgör grunden för ett effektivt underrättelseutbyte. Den har tillkommit i syfte att skapa för- troende mellan bl.a. underrättelse- och säkerhetstjänsterna, eftersom det finns ett stort behov av att skydda uppgifter om bl.a. källor och arbets- metoder. Säkerhetspolisen har ifrågasatt behovet av att reglera tredjepartsregeln i lag och anfört att den är självreglerande, eftersom en underrättelse- och säkerhetstjänst som bryter mot regeln inte längre åtnjuter det förtroende som krävs för att få del av relevant information. Därutöver anser myndig- heten att den föreslagna bestämmelsen inte till fullo överensstämmer med regeln. Som framgår ovan tillämpar Säkerhetspolisen den aktuella regeln inte bara i förhållande till underrättelse- och säkerhetstjänster i tredjeland utan även i förhållande till andra samarbetspartners. Att lagstadga regeln endast 2018/19:163 i förhållande till underrättelse- och säkerhetstjänster i tredjeland är inte lämpligt, eftersom det då kommer att råda osäkerhet om vad som gäller i förhållande till andra samarbetsparter. Mot den bakgrunden anser regeringen att det inte bör regleras att information som Säkerhetspolisen fått från en stat inte får överföras till en annan stat utan medgivande från den stat som lämnat informationen. 17.4Viss skyddsnivå ska vara säkerställd 17.4.1Beslut om adekvat skyddsnivå Regeringens förslag: Om kommissionen har beslutat att det finns ade- kvat nivå för skyddet av personuppgifter i ett tredjeland, eller en viss geografisk eller på annat sätt angiven del av det, får personuppgifter överföras dit. Detsamma gäller om det finns ett sådant beslut avseende en internationell organisation. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag: Enligt 8 kap. 3 § brottsdatalagen får personuppgifter överföras till ett tredjeland eller en internationell organi- sation om kommissionen har beslutat att landet eller organisationen säkerställer en adekvat nivå för skyddet av personuppgifter. Detsamma gäller om kommissionen har beslutat att det finns en adekvat skyddsnivå i en viss geografisk eller på annat sätt angiven del av ett tredjeland. Ett sådant beslut skulle kunna avse t.ex. en region eller en viss myndighet i ett tredjeland. Förutsättningarna för överföring av personuppgifter till ett tredjeland eller en internationell organisation ska också vara uppfyllda för att personuppgifter ska få överföras. Det motsvarar vad som tidigare gällde enligt 13 § första stycket 1 personuppgiftsförordningen. Även om Säkerhetspolisens verksamhet som rör nationell säkerhet inte omfattas av unionsrätten bör kommissionens beslut om adekvat skyddsnivå, som utredningen föreslår, vara vägledande för myndigheten. Finns det inget beslut om adekvat skyddsnivå får Säkerhetspolisen i stället pröva om det finns tillräckliga skyddsåtgärder eller om det är fråga om en sådan undantagssituation att överföring ändå får göras. Att kommissionen har återkallat ett beslut om adekvat skyddsnivå bör likställas med att det saknas ett sådant beslut. Regeringens förslag: Om det inte finns något beslut om adekvat skyddsnivå, får personuppgifter ändå överföras till ett tredjeland eller en internationell organisation om skyddsåtgärder för personuppgifterna har fastställts i ett avtal som ger tillräckliga garantier till skydd för den registrerade, eller om den mottagare som uppgifterna ska överföras till på annat sätt garanterar tillräckligt skydd för uppgifterna. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Endast Säkerhetspolisen yttrar sig i denna del och Prop. 2018/19:163 efterfrågar ett förtydligande om uppställande av tredjepartsregeln kan anses som en sådan tillräcklig skyddsåtgärd som föreslås. Skälen för regeringens förslag: Som utredningen föreslår bör det i den nya lagen tas in en bestämmelse om att personuppgifter får överföras till ett tredjeland eller en internationell organisation, trots att det inte finns ett beslut om adekvat skyddsnivå, om lämpliga skyddsåtgärder säkerställs för personuppgiftsbehandlingen där. Förutsättningarna för överföring av personuppgifter till ett tredjeland eller en internationell organisation ska också vara uppfyllda för att personuppgifter ska få överföras. En motsvarande bestämmelse finns i 8 kap. 4 § brottsdatalagen. För det första bör lämpliga skyddsåtgärder kunna föreligga om ett avtal säkerställer skyddet för personuppgifter. Ett sådant avtal är dataskydds- konventionen (avsnitt 4.1). Även andra avtal om internationellt samarbete som innehåller bestämmelser om dataskydd och som respekterar registre- rades rättigheter kan garantera tillräckligt skydd för personuppgifter som överförs. För det andra bör personuppgifter få överföras om Säkerhetspolisen har tagit hänsyn till alla omständigheter kring överföringen och dragit slut- satsen att tillräckliga skyddsåtgärder för personuppgifterna föreligger. Vid den bedömningen bör Säkerhetspolisen t.ex. kunna beakta att den som ska behandla personuppgifterna i tredjelandet eller den internationella organisationen kommer att ha tystnadsplikt som omfattar de överförda uppgifterna eller att det garanteras att personuppgifterna inte kommer att behandlas för något annat ändamål än det för vilket de överförs. Även bindande åtaganden om att inte föra personuppgifterna vidare eller att inte använda personuppgifterna efter en viss tidpunkt bör kunna beaktas. Det innebär, som Säkerpolisen påpekar, att uppställande av tredjepartsregeln bör kunna ge ett tillräckligt skydd för personuppgifterna. Som har framhållits bygger informationsutbyte mellan underrättelse- och säkerhetstjänster i stor utsträckning på förtroende. Om en underrättelse- eller säkerhetstjänst missbrukar förtroendet blir konsekvensen att den inte längre kommer att få del av relevant information i samma utsträckning som andra. Det har en självreglerande effekt genom att den mottagande underrättelse- och säkerhetstjänsten måste garantera tillräckligt skydd för uppgifterna för att kunna få del av dem. 17.4.3Överföringen ska vara nödvändig i en särskild situation Regeringens förslag: Om det inte finns något beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgärder får en överföring eller en samling av överföringar av personuppgifter göras till ett tredjeland eller en internationell organisation endast om överföringen är nödvändig i vissa särskilda undantagssituationer. Personuppgifter får inte överföras till ett tredjeland eller en inter- nationell organisation om den registrerades intresse av skydd mot kränkning av rättigheter och friheter väger tyngre än det allmännas 2018/19:163 intresse av att överföringen görs i det enskilda fallet för ett myndig- hetsintresse eller för att kunna fastslå, göra gällande eller försvara ett rättsligt anspråk. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Endast Datainspektionen yttrar sig och konstaterar att förslaget i denna del innebär en utvidgning i förhållande till nuvarande reglering avseende möjligheten att överföra personuppgifter till tredjeland i särskilda undantagssituationer och efterfrågar analys av eventuella negativa effekter för den personliga integriteteten. Skälen för regeringens förslag Överföring är tillåten bara för att tillgodose viktiga intressen I enskilda fall kan det, trots bristen på skydd för personuppgifter, vara angeläget att kunna föra över vissa personuppgifter till ett tredjeland eller en internationell organisation. Så kan t.ex. vara fallet om Säkerhetspolisen har information om att en misstänkt terrorist befinner sig här i landet men personen identifieras först när han eller hon har rest till ett tredjeland och kan antas komma att begå allvarliga brott där. Säkerhetspolisen har även i vissa fall behov av att kunna utbyta information med underrättelse- och säkerhetstjänster i tredjeländer som har svårt att garantera tillräckligt skydd för personuppgifterna. Det kan gälla vissa särskilda ärenden, situationer eller tidsperioder. Enligt 8 kap. 5 § brottsdatalagen får en överföring eller en samling av överföringar av personuppgifter göras till ett tredjeland eller en interna- tionell organisation, trots att det inte finns ett beslut om adekvat skydds- nivå eller tillräckliga skyddsåtgärder, om överföringen är nödvändig i vissa särskilda undantagssituationer. En motsvarande bestämmelse bör tas in i den nya lagen. Samma undantagssituationer bör gälla för Säker- hetspolisen. Dessa behandlas i det följande. Med en samling av överfö- ringar aves bl.a. flera överföringar i ett ärende eller överföringar av samma personuppgifter till flera mottagare .