prop · H60337 · 2019-01-22 00:00:00 — Enligt 28 § personuppgiftslagen är den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen. Bestämmelsen gäller vid behandling av personuppgifter enligt lagen om passagerarregister (10 §). Av 28 § personuppgiftslagen framgår också att den personuppgiftsansvarige i vissa fall ska underrätta tredje man, till vilken uppgifterna har lämnats ut, om korrigeringsåtgärden. Någon sådan underrättelse behöver dock inte lämnas, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Regleringen i 28 § personuppgiftslagen motsvaras i dataskyddsförordningen av artikel 16 om rätten till rättelse, artikel 17 om rätten till radering, artikel 18 om rätten till begränsning av behandling och artikel 19 om anmälningsskyldighet avseende rättelse, radering eller begränsning av behandling. Artikel 16 innebär att den registrerade har rätt att utan onödigt dröjsmål få felaktiga personuppgifter rättade. Den registrerade har även rätt att, med beaktande av ändamålet med behandlingen, komplettera ofullständiga uppgifter. Artikel 17 innebär att den registrerade under vissa förutsättningar har rätt att utan onödigt dröjsmål få sina personuppgifter raderade, bl.a. om personuppgifterna har behandlats på ett olagligt sätt. Av artikel 18 följer att den registrerade har rätt att kräva att behandlingen begränsas, bl.a. om behandlingen är olaglig och den registrerade motsätter sig att personuppgifterna raderas och i stället begär en begränsning av deras användning. Enligt artikel 19 ska den personuppgiftsansvarige underrätta varje mottagare till vilken personuppgifterna har lämnats ut om eventuella rättelser eller radering eller begränsningar av behandling som skett enligt artiklarna 16, 17.1 och 18, om detta inte visar sig vara omöjligt eller medför en oproportionell ansträngning. Utformningen av dessa artiklar innebär att de, till skillnad från 28 § personuppgiftslagen, kommer att vara direkt tillämpliga även vid sådan personuppgiftsbehandling som sker i strid med lagen om passagerarregister. Någon hänvisning till dataskyddsförordningens bestämmelser om rättelse behövs därför inte. I 4 kap. 9 § brottsdatalagen regleras i vilka fall den enskilde kan begära bl.a. rättelse och begränsning av behandling av personuppgifter som behandlas inom brottsdatalagens tillämpningsområde. I 4 kap. 10 § brottsdatalagen regleras den enskildes rätt att vid otillåten behandling av personuppgifter begära radering, eller, om personuppgifterna behöver finnas kvar av bevisskäl, begränsning av behandlingen. Dessa bestämmelser är generella och inte begränsade till behandling som sker Brottsdatalagen föreslås gälla inom tillämpningsområdet för lagen om passagerarregister, under förutsättning att annat inte följer av lagen om passagerarregister eller anslutande föreskrifter (avsnitt 5.3.2). Det krävs därför inte någon hänvisning till bestämmelserna i brottsdatalagen för att de ska bli tillämpliga även vid personuppgiftsbehandling enligt lagen om passagerarregister. Artikel 82 i dataskyddsförordningen föreskriver att en person ska ha rätt till ersättning för skada som denne har lidit till följd av en överträdelse av förordningen. Av skäl 146 i dataskyddsförordningen framgår att med behandling som strider mot förordningen avses också behandling som strider mot medlemsstaternas nationella rätt med närmare specifikation av förordningens bestämmelser. I 7 kap. 1 § dataskyddslagen tydliggörs att rätten till ersättning enligt dataskyddsförordningen även gäller vid överträdelser av dataskyddslagen och andra föreskrifter som kompletterar dataskyddsförordningen. Någon hänvisning till bestämmelserna om skadestånd i dataskyddsförordningen eller dataskyddslagen behövs inte i lagen om passagerarregister. Enligt 7 kap. 1 § brottsdatalagen ska den personuppgiftsansvarige ersätta den registrerade för den skada och kränkning av den personliga integriteten som personuppgiftsbehandling i strid med brottsdatalagen, eller föreskrifter som har meddelats i anslutning till den, har orsakat. 2018/19:37 Rätten till skadestånd vid skada och kränkning bör vara densamma när personuppgifter behandlas i strid med bestämmelserna i lagen om passagerarregister, för syften som faller inom brottsdatalagens tillämpningsområde, som vid behandling i strid med brottsdatalagen. Det bör framgå genom att det i lagen om passagerarregister föreskrivs att 7 kap. 1 § brottsdatalagen ska tillämpas vid behandling av personuppgifter i strid med lagen om passagerarregister eller anslutande föreskrifter. Det bör anges att bestämmelsen endast gäller vid behandling av personuppgifter inom brottsdatalagens tillämpningsområde. Regeringens bedömning: Bestämmelsen om direktåtkomst i lagen om passagerarregister är förenlig med dataskyddsförordningen och brottsdatalagen och kan behållas. Det saknas skäl att ge direktåtkomst till personuppgifterna i passagerarregistret. Promemorians bedömning överensstämmer huvudsakligen med regeringens. I promemorian föreslås att regeringens föreskriftsrätt om direktåtkomst ska preciseras genom att det i lagen om passagerarregister anges att regeringen kan meddela föreskrifter om att får ha direktåtkomst till registret för sådan verksamhet som avses i ändamålsbestämmelsen. Remissinstanserna: anser att det finns goda skäl att medge direktåtkomst till passagerarregistret. I övrigt yttrar sig ingen remissinstans särskilt över förslaget och bedömningen. Skälen för regeringens bedömning Dataskyddsförordningen och brottsdatalagen reglerar inte hur personuppgifter tillhandahålls I 8 § lagen om passagerarregister anges att Säkerhetspolisen får ha direktåtkomst till personuppgifterna i passagerarregistret för sådan verksamhet som avses i ändamålsbestämmelsen i 4 §. Regeringen får meddela föreskrifter om att även annan myndighet får ha direktåtkomst till registret för sådan verksamhet. Regeringen har inte utnyttjat sin föreskriftsrätt. Med direktåtkomst avses vanligtvis att någon har direkt tillgång till någon annans register eller databas och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen. Enligt bör direktåtkomst anses föreligga om en myndighet hos en annan myndighet har sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § andra stycket tryckfrihetsförordningen, dvs. om upptagningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas (SOU 2015:39 s. 390 f.). använde i rättsfallet HFD 2015 ref. 61 samma definition av direktåtkomst. begreppet direktåtkomst ligger också att den som är personuppgiftsansvarig för registret eller databasen saknar kontroll över vilka uppgifter som den som har direktåtkomst vid ett visst tillfälle tar del av. Från integritetssynpunkt har det därför ansetts viktigt att frågor om tillgång till uppgifter genom direktåtkomst regleras särskilt i registerlagstiftningarna (se t.ex. prop. 2000/01:129 s. 73 f. och prop. 2001/02:144 s. 35 f.). Varken dataskyddsförordningen eller brottsdatalagen innehåller några bestämmelser som specifikt reglerar frågan om elektroniskt utlämnande av personuppgifter. Det gör inte heller dataskyddslagen. Att lämna ut personuppgifter elektroniskt innebär behandling av personuppgifter och ett utlämnande förutsätter därmed att reglerna om behandling av personuppgifter följs och att inte annan lagstiftning hindrar utlämnandet. Eftersom dataskyddsförordningen och brottsdatalagen inte särskilt reglerar på vilket sätt personuppgifter får lämnas ut, finns det inget som hindrar att den nuvarande bestämmelsen om direktåtkomst behålls. I avsnitt 5.9 föreslås dock att bestämmelsen om regeringens föreskriftsrätt omformuleras till en upplysningsbestämmelse. Bör få direktåtkomst till personuppgifter i passagerarregistret? har i en skrivelse till regeringen (Ju2017/02018/L7) begärt att få direktåtkomst till personuppgifterna i passagerarregistret enligt 8 § lagen om passagerarregister. I promemorian görs bedömningen att det saknas skäl att ge direktåtkomst till personuppgifterna i passagerarregistret. har i sitt remissvar inte några synpunkter på denna bedömning. anser emellertid att det finns skäl att medge direktåtkomst. Enligt kan sådan åtkomst stärka möjligheter att bidra till att identifiera och ingripa mot internationella stöldligor. Som anges i avsnitt 5.1 ansvarar för kontroll av personer enligt kodexen om Schengengränserna. Bland annat är skyldigt att hjälpa vid sådan kontroll. Lagen om passagerarregister trädde i kraft före kodexen om Schengengränserna. En liknande ordning för gränskontroll gällde i detta avseende dock redan före gränskodexen började tillämpas. Vid införandet av lagen om passagerarregister resonerade regeringen därför kring frågan om någon annan myndighet än polismyndigheterna, t.ex. , borde kunna begära in passageraruppgifter från transportörerna samt ges direktåtkomst till registret (prop. 2005/06:129 s. 37 f. och s. 79). Det anfördes bl.a. att polisen och hade träffat en central överenskommelse om samverkan när det gäller person- och tullkontroll vid yttre gräns. påpekades att inte helt hade övertagit ansvaret för personkontroll vid någon flygplats. Om eller någon annan myndighet skulle få ett sådant ansvar borde de enligt regeringen dock få samma befogenheter som polisen när det gäller möjligheten att begära in uppgifter samt ges direktåtkomst till registret. Regeringen gavs därför föreskriftsrätt om bl.a. direktåtkomst. Det kan konstateras att det är som ansvarar för personkontrollen vid yttre gräns. 2018/19:37 endast i mycket begränsad omfattning vid personkontroller. har inte heller övertagit ansvaret för personkontroll vid någon flygplats. Regeringen delar därför promemorians bedömning att det saknas skäl att frångå den bedömning som regeringen gjorde vid införandet av lagen om passagerarregister när det gäller möjlighet till direktåtkomst. För det fall framöver i större utsträckning skulle bistå vid personkontroller finns dock möjlighet att, enligt 8 § andra stycket, i förordning föreskriva att får ha direktåtkomst till personuppgifterna i passagerarregistret. Det bör, med anledning av remissvar, påpekas att en användning av personuppgifterna för andra ändamål än för att underlätta verkställandet av personkontroller inte är möjlig enligt lagens bestämmelser utan kräver en större översyn som inte kan tas om hand inom ramen för denna anpassning av lagens bestämmelser till EU:s dataskyddsreform. Regeringen anser, till skillnad från promemorian, att en upplysningsbestämmelse bör utformas mer neutralt. bör därför inte pekas ut i bestämmelsen. Paragrafen om direktåtkomst bör byta plats med paragrafen om elektroniskt utlämnande I avsnitt 5.7 föreslås att 7 § lagen om passagerarregister ändras på så vis att personuppgifter ur passagerarregistret ska få lämnas ut elektroniskt på annat sätt än genom direktåtkomst, om det inte är olämpligt. Enligt Lagrådet ger bestämmelsen intrycket att det inte är tillåtet att lämna ut uppgifter genom direktåtkomst. För att regleringen ska bli lättare att förstå anser regeringen, i likhet med Lagrådet, att 7 och 8 §§ bör byta plats med varandra. 5.7Elektroniskt utlämnande på annat sätt än genom direktåtkomst Regeringens förslag: Personuppgifter ur passagerarregistret ska få lämnas ut elektroniskt på annat sätt än genom direktåtkomst, om det inte är olämpligt. Regeringen ska genom föreskrifter kunna begränsa möjligheten att tillhandahålla personuppgifter på det sättet. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: anser att det är oklart vad som avses med begreppet olämpligt och anser därför i första hand att bestämmelsen helt ska tas bort. I andra hand välkomnar förslaget men efterfrågar ett klargörande av vad som avses med begreppet olämpligt. invänder inte mot möjligheten att ta del av personuppgifter elektroniskt men ifrågasätter om den föreslagna bestämmelsen i 7 § andra stycket lagen om passageraruppgifter tillför något. Övriga remissinstanser tillstyrker eller lämnar förslaget utan invändning. Skälen för regeringens förslag Dataskyddsförordningen och brottsdatalagen reglerar inte hur personuppgifter tillhandahålls Enligt 7 § lagen om passagerarregister får personuppgifter ur passagerarregistret inte lämnas ut på medium för automatiserad behandling. Med utlämnande av personuppgifter på medium för automatiserad behandling avses t.ex. utlämnande genom e-post eller usbminne. Som nämns i avsnitt 5.6 innehåller varken dataskyddsförordningen eller brottsdatalagen några bestämmelser som specifikt reglerar frågan om elektroniskt utlämnande av personuppgifter. Detsamma gäller utlämnande på sådant sätt som anges i lagen om passagerarregister. Det gör inte heller dataskyddslagen eller API-direktivet. Att lämna ut personuppgifter på sådant sätt som anges i lagen om passagerarregister innebär behandling av personuppgifter och ett utlämnande förutsätter därför att reglerna om behandling av personuppgifter följs och att inte annan lagstiftning hindrar utlämnandet. Eftersom dataskyddsförordningen och brottsdatalagen inte särskilt reglerar hur personuppgifter får lämnas ut, finns det inget som hindrar att den nuvarande bestämmelsen i lagen om passagerarregister om utlämnande behålls. Frågan är dock om bestämmelsen bör utformas på ett mer ändamålsenligt sätt. Detta behandlas i det följande. Bör bestämmelsen utformas mer ändamålsenligt? förväntar sig både myndigheter och enskilda att handlingar i stor utsträckning kan förmedlas elektroniskt. Trots det får utlämnande av personuppgifter ur passagerarregistret bara ske på papper. Mottagaren måste därefter vid behov vidta åtgärder för att överföra uppgifterna till elektronisk form igen. En sådan ordning framstår som otidsenlig och ineffektiv, särskilt som exempelvis myndigheter i allt större utsträckning övergår till helt elektronisk informationshantering. Behovet av snabb och effektiv kommunikation måste emellertid vägas mot de risker för den personliga integriteten som ett elektroniskt utlämnande av personuppgifter kan innebära. Sådant utlämnande innebär nämligen som regel att mottagaren kan bearbeta informationen, t.ex. genom att samköra den mot elektroniska uppgifter som har hämtats från andra informationskällor. Det ökar riskerna för att uppgifterna kan behandlas i strid med de grundläggande kraven på dataskydd. Riskerna med elektroniskt utlämnande bör dock inte överdrivas. Uppgifter på papper kan nämligen ganska enkelt omvandlas till elektroniska uppgifter. I vissa avseenden är elektronisk kommunikation också säkrare än traditionell postbefordran, eftersom spårbarheten är större. Uppgifterna som behandlas i passagerarregistret kan inte heller i sig anses vara särskilt integritetskänsliga. Enligt 32 kap. 7 § offentlighets- och sekretesslagen (2009:400) gäller dessutom absolut sekretess i verksamhet som avser förande av eller uttag ur passagerarregistret för uppgift om en enskilds namn och födelsedatum samt nummer på resehandling. Sekretess gäller också för uppgift om en enskilds ekonomiska förhållanden, om det kan antas att den enskilde lider skada om uppgiften röjs. Viss sekretessreglering har också införts för att minska de risker som ett ökat 2018/19:37 elektroniskt utlämnande medför. Enligt 21 kap. 7 § offentlighets- och sekretesslagen gäller sekretess för personuppgifter, om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med dataskyddsförordningen eller dataskyddslagen. Sekretessbestämmelserna, tillsammans med regleringen av personuppgiftsbehandling, skyddar enskilda mot att personuppgifter som lämnas ut elektroniskt missbrukas. Den som överväger att lämna ut personuppgifter, oavsett i vilken form det görs, måste alltid överväga om sekretessregleringen lägger hinder i vägen och, om så inte är fallet, om regelverket för personuppgiftsbehandling gör det möjligt att lämna uppgifterna i elektronisk form. Mottagaren måste dessutom alltid ha rättslig grund för behandlingen och är även i övrigt skyldig att leva upp till de krav som finns i reglerna om personuppgiftsbehandling. Det bedöms därför finnas ett gott skydd för den personliga integriteten. Sammantaget görs bedömningen att personuppgifter ur passagerarregistret bör få lämnas ut i elektronisk form. Detta ligger också i linje med hur många andra registerförfattningar som tillämpas av de brottsbekämpande myndigheterna är utformade, och som i översynen med anledning av EU:s dataskyddsreform har getts än större utrymme för sådant utlämnande (se t.ex. lagen om polisens behandling av personuppgifter inom brottsdatalagens område och lagen [2018:1694] om behandling av personuppgifter inom brottsdatalagens område). Samma lagtekniska lösning bör väljas i lagen om passagerarregister som föreslås där. Bestämmelsen bör därför ändras på det sättet att personuppgifter ska få lämnas ut elektroniskt på annat sätt än genom direktåtkomst, om det inte är olämpligt. I avsnitt 5.6 föreslås, efter synpunkt från Lagrådet, att paragrafen byter plats med 8 § om direktåtkomst. När kan elektroniskt utlämnande komma i fråga? Vid elektroniskt utlämnande på annat sätt än genom direktåtkomst bör det göras skillnad mellan utlämnande till myndigheter och utlämnande till enskilda. Det bör normalt inte anses olämpligt att lämna ut personuppgifter elektroniskt till andra myndigheter (prop. 2014/15:148 s. 113). Om det i ett enskilt fall skulle bedömas vara olämpligt bör emellertid personuppgifterna lämnas ut på annat sätt. När det gäller utlämnande till enskilda bör det beaktas vem mottagaren är och vilken säkerhet personuppgifterna kan antas få hos mottagaren. I de fallen är det svårare att göra en generell bedömning av om elektroniskt utlämnande kan vara lämpligt. Det bör därför finnas utrymme för regeringen att meddela föreskrifter som begränsar möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst. anser att det är oklart vad som avses med begreppet olämpligt och pekar på att detta kan medföra godtyckliga bedömningar om när personuppgifter ska lämnas ut elektroniskt. Samma formulering återfinns dock i ett flertal andra lagar som anpassas till EU:s dataskyddsreform, t.ex. i lagen om polisens behandling av personuppgifter inom brottsdatalagens område, lagen om behandling av personuppgifter inom brottsdatalagens område och lagen (2018:1695) om behandling av personuppgifter inom brottsdatalagens Bestämmelsen är tänkt att tolkas på samma sätt som i dessa lagar Prop. 2018/19:37 vilket bidrar till enhetlighet. Regeringen delar därför inte farhågor utan anser, i likhet med promemorian, att den närmare innebörden av vad som ska anses vara ett sådant olämpligt utlämnande får utvecklas i rättstillämpningen. ifrågasätter om upplysningsbestämmelsen i nuvarande 7 § andra stycket lagen om passageraruppgifter tillför något. Upplysningsbestämmelser med motsvarande innebörd finns emellertid i en rad andra författningar inom det dataskyddsrättsliga området, bl.a. i de lagar som räknats upp. Enligt regeringen har bestämmelsen en klargörande funktion. Bestämmelsen bör därför behållas. Regeringens bedömning: Bestämmelsen om gallring i lagen om passagerarregister är förenlig med dataskyddsförordningen och brottsdatalagen och kan behållas. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: anser att begreppet gallring bör bytas ut till exempelvis längsta tid för bevarandet. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens bedömning: Liksom många andra registerförfattningar innehåller lagen om passagerarregister regler om gallring. I 9 § anges att en uppgift i passagerarregistret ska gallras efter överföringen till . Om uppgifter i registret behövs för att , Säkerhetspolisen eller ska kunna verkställa personkontroller enligt ändamålsbestämmelsen i 4 §, får uppgifterna i registret dock stå kvar till dess att myndighetens kontroller är slutförda. Regeringen får meddela föreskrifter om att uppgifter i registret får stå kvar till dess att någon annan myndighet, som behöver uppgifterna för att kunna verkställa personkontroller enligt 4 §, har slutfört kontrollerna. Regeringen har inte utnyttjat sin föreskriftsrätt. Av artikel 5.1 e i dataskyddsförordningen följer att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Dataskyddsförordningen tillåter under vissa förutsättningar dock att avsteg görs från huvudregeln, t.ex. när personuppgifterna enbart behandlas för arkivändamål av allmänt intresse. Enligt artikel 6.3 i dataskyddsförordningen är nationella bestämmelser som anpassar tillämpningen av dataskyddsförordningens bestämmelser om bl.a. lagringstid tillåtna när behandlingen grundar sig på en rättslig förpliktelse, en arbetsuppgift av allmänt intresse eller myndighetsutövning. Bestämmelsen i lagen om passagerarregister om gallring preciserar principen om lagringstid i artikel 5.1 e. därför vara förenlig med dataskyddsförordningen. Enligt 2 kap. 17 § första stycket brottsdatalagen får personuppgifter inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Enligt andra stycket hindrar bestämmelsen 2018/19:37 inte att en behörig myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. Bestämmelsen i lagen om passagerarregister om gallring bedöms vara förenlig även med brottsdatalagen och kan alltså behållas. efterfrågar en enhetlig användning av begreppet gallring och påpekar att regeringen har föreslagit att den arkivrättsliga och dataskyddsrättsliga terminologin renodlas och att begreppet gallring förbehålls arkivrättslig lagstiftning. anser att begreppet gallring i lagen om passagerarregister därför bör ändras till längsta tid för bevarandet eller liknande. Vid anpassningen av lagstiftning till EU:s dataskyddsreform används i vissa författningar uttrycket längsta tid som personuppgifter får behandlas, medan begreppet gallring behålls i vissa andra författningar. Avsikten är dock inte att den ändrade terminologin ska föranleda några ändringar i sak (jfr prop. 2017/18:269 s. 121). Det finns alltså inte något hinder mot att behålla begreppet gallring i lagen om passagerarregister. I sammanhanget kan även noteras att inte har några synpunkter i denna del. I avsnitt 5.9 föreslås att bestämmelsen om regeringens föreskriftsrätt omformuleras till en upplysningsbestämmelse. Regeringens förslag: Bestämmelserna om föreskriftsrätt i lagen om passagerarregister ska omformuleras på så vis att det upplyses om att regeringen kan meddela sådana föreskrifter som anges i bestämmelserna. Regeringens bedömning: Bestämmelserna om föreskriftsrätt är förenliga med dataskyddsförordningen och brottsdatalagen. Promemorians förslag och bedömning överensstämmer med regeringens. Remissinstanserna: Datainspektionen anser att de uppgifter som samlas in och behandlas inom ramen för lagen om passageraruppgifter innebär en sådan kartläggning av enskilda personers inresa i att kravet på lagform gäller enligt 2 kap. 6 § regeringsformen. Det måste därför tas in ett bemyndigande i lagen för regeringen att meddela föreskrifter om exempelvis direktåtkomst och annat utlämnande. föreslår att 6 § andra stycket lagen om passagerarregister ska behålla sin nuvarande utformning som en delegationsbestämmelse. Att regeringen på egen hand ska kunna bestämma vilka ytterligare myndigheter som ska ges tillgång till uppgifterna innebär nämligen en ytterligare inskränkning i rätten till dataskydd och privatliv, vilket inte kan anses falla inom regeringens restkompetens. Samma resonemang gäller enligt för bestämmelsen i 8 § andra stycket.