prop · H60365 · 2019-03-19 00:00:00 — Bestämmelsen i brottsdatalagen gäller endast om skada uppstått vid behandling av personuppgifter i strid med den lagen. I registerförfattningar som gäller utöver brottsdatalagen måste det därför införas en bestämmelse som innebär att bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen ska tillämpas vid behandling av personuppgifter i strid med registerförfattningen eller föreskrifter som har meddelats i anslutning till den. Regeringens bedömning: Registerförfattningarna bör inte innehålla några bestämmelser om överklagande. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Brottsdatalagen innehåller gene- rella bestämmelser om överklagande. I 7 kap. 2 § brottsdatalagen före- skrivs att beslut enligt lagen i fråga om rättelse eller komplettering, rade- ring eller begränsning av behandlingen av personuppgifter, som har meddelats av en myndighet i egenskap av personuppgiftsansvarig, får överklagas till allmän förvaltningsdomstol. Detsamma gäller beslut enligt lagen om att inte lämna information på begäran av en registrerad, att ta ut avgift för att lämna information eller att inte medge omprövning av ett automatiserat beslut. Enligt 7 kap. 3 § får tillsynsmyndighetens beslut enligt lagen eller enligt föreskrifter som har meddelats i anslutning till den överklagas till allmän förvaltningsdomstol. I 7 kap. 4 § föreskrivs att andra Prop. 2018/19:65 beslut enligt lagen än de nu nämnda inte får överklagas. I brottsdatalagen anges uttömmande vilka beslut av behöriga myndigheter som får överklagas. Rätten att överklaga omfattar enbart sådana beslut som en myndighet har fattat i egenskap av per- sonuppgiftsansvarig och som berör den enskilde och går honom eller henne emot. Några andra beslut av en behörig myndighet får inte överklagas. kommer – med undantag för beslut om information om behandling i belastningsregistret till den registrerade (se avsnitt 8.3.5) – att fatta samtliga beslut som rör enskilda och som kan gå dem emot med stöd av brottsdatalagen. Besluten kommer därför att kunna överklagas enligt brottsdatalagen. Därmed finns det inte något behov av särskilda bestämmelser om överklagande av sådana beslut i registerförfatt- ningarna. I lagrådsremissen föreslogs en särskild bestämmelse i lagen om belastningsregister om rätt att överklaga beslut i fråga om information till den registrerade. Lagrådet har emellertid ifrågasatt behovet av en sådan bestämmelse och pekat på att den riskerar att leda till felaktiga motsatsslut. Mot bakgrund av vad som gäller i fråga om överklagbarhet enligt förvaltningslagen (jfr 41 § förvaltningslagen) bedömer regeringen att det saknas behov av att införa en särskild bestämmelse om överklagbarhet i den aktuella registerförfattningen. I enlighet med regeringens ställningstagande i avsnitt 6.6.3 ska det i vissa av registerförfattningarna anges vilka överträdelser som kan föranleda sanktionsavgift. beslutar om sanktions- avgift med stöd av 5 kap. 7 § och 6 kap. 6 § brottsdatalagen även när det gäller överträdelser av bestämmelserna i registerförfattningarna. Tillsyns- myndighetens beslut om sanktionsavgifter vid dessa överträdelser får därför överklagas enligt brottsdatalagen och någon särskild reglering avseende rätten att överklaga sådana beslut behövs således inte i någon av registerförfattningarna. uppgifter framgår i huvudsak av myndighetens instruktion (förordning [2007:853] med instruktion för ). rättsliga befogenheter, särskilt när det gäller brottsbekämpning, ordningshållning och kontroll och tillsyn, regleras i ett flertal andra författningar. Detta beror bl.a. på att är den myndighet som getts ett övergripande ansvar för myndighetsutövning till sjöss i det svenska territoriet. beskrivning av myndighetens verksamhet och den rättsliga regleringen kan hänvisas till propositionen En ny kustbevakningslag (prop. 2018/19:16). En kortfattad beskrivning är att verksamheten är indelad i två huvudområden, sjöövervakning och räddningstjänst. sjöövervakning ingår att bistå andra myndigheter med 2018/19:65 övervakning, brottsbekämpande verksamhet, ordningshållning samt kontroll och tillsyn enligt vad som närmare framgår av instruktionen och av annan relevant lagstiftning. Av myndighetens instruktion framgår också att medverkar i internationellt samarbete för att utveckla gränskontroll, brottsbekämpning till sjöss, annan sjöövervakning och miljöräddningstjänst. har kustbevakningsdatalagen (2012:45) gällt vid all behandling av personuppgifter i operativa verksamhet som rör brottsbekämpning, övrig sjöövervakning, räddningstjänst, samordning av civila behov av sjöövervakning och förmedling av civil sjöinformation, samt internationellt samarbete. 2017/18:269 bedömde regeringen emellertid att personuppgiftsbehandling, som en följd av dataskyddsreformen, fortsättningsvis bör regleras i två olika register- författningar. Den del av personuppgiftsbehandling som omfattas av brottsdatalagen regleras därför i stället i lagen (2018:1695) om behandling av personuppgifter inom brottsdatalagens område (brottsdatalag). Samma datum upphävdes kustbevakningsdatalagen formellt, men ska enligt en övergångsbestämmelse till brottsdatalag fortsätta att gälla vid behandling av personuppgifter utanför brottsdatalagens tillämpningsområde. I det följande benämns den upphävda kustbevakningsdatalagen kustbevakningsdatalag; vad som avses är då lagen i dess utformning före . kustbevakningsdatalag är indelad i fem kapitel. De två första innehåller bestämmelser som avser all personuppgiftsbehandling som omfattas av lagens tillämpningsområde och rör bl.a. lagens syfte, förhållandet till personuppgiftslagen, personuppgiftsansvar och be- handling av känsliga personuppgifter. I de tredje och fjärde kapitlen regleras sedan särskilt personuppgiftsbehandlingen i den brotts- bekämpande verksamheten, bestämmelser som alltså inte längre ska tillämpas, och i det femte regleras behandlingen av personuppgifter inom den övriga operativa verksamheten. inom dataskyddsförordningens område vilar på Regeringens bedömning: Den behandling av personuppgifter som regleras kustbevakningsdatalag och som omfattas av dataskyddsförordningens tillämpningsområde är nödvändig för att utföra en uppgift av allmänt intresse. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Som framgår av avsnitt 5.2 måste behandling av personuppgifter inom dataskyddsförordningens tillämpningsområde vila på någon av de rättsliga grunderna i artikel 6.1 i Prop. 2018/19:65 förordningen. Behandlingen är exempelvis laglig om den är nödvändig för att utföra en uppgift av allmänt intresse (led e) som är fastställd enligt nationell rätt (artikel 6.3). Som också konstaterats i avsnitt 5.2 anses all verksamhet som myndigheter bedriver, inom ramen för sin befogenhet, vara av allmänt intresse. Något som kommit till uttryck i 2 kap. 2 § data- skyddslagen, där det slagits fast att en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning utgör en rättslig grund för behandling av personuppgifter. De uppdrag som har att utföra och dess befogenheter framgår av olika författningar, bl.a. myndighetens instruktion. När behandlar personuppgifter sker detta alltså för att utföra uppgifter av allmänt intresse som följer av lag eller annan författning. Sådan behandling måste också som utgångspunkt anses nödvändig, i enlighet med vad som konstaterats om detta krav i avsnitt 5.2. behandling av personuppgifter inom dataskydds- förordningens tillämpningsområde kan således ske med stöd av åtminst- one artikel 6.1 e (inte sällan torde även artikel 6.1 c om behandling för att fullgöra en rättslig förpliktelse vara tillämplig). Detta gäller under förutsättning att övriga krav i dataskyddsförordningen, såsom principerna för personuppgiftsbehandling i artikel 5.1, är uppfyllda och att inte bestämmelserna i kustbevakningsdatalagen innebär någon inskränkning av möjligheterna till behandling. 7.3En ny kustbevakningsdatalag inom dataskyddsförordningens tillämpningsområde Regeringens förslag: En ny kustbevakningsdatalag införs. Den nya lagen ska innehålla i huvudsak den reglering som fanns kust- bevakningsdatalag och som omfattas av dataskyddsförordningens tillämpningsområde. Den nya kustbevakningsdatalagen ska i förhållande till kustbevakningsdatalag ges en delvis ny struktur. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens förslag: Till grund för införandet av brottsdatalag ligger bedömningen att en ordning med två separata regleringar blir tydligare och enklare att tillämpa för del, än en lösning som innebär att dataskydds- förordningens och dataskyddsdirektivets krav regleras i en och samma lag. Något skäl att omvärdera denna bedömning har inte framkommit under beredningen av detta ärende. En ny kustbevakningsdatalag bör därför införas, i vilken den del av personuppgiftsbehandling som ligger inom dataskyddsförordningens tillämpningsområde regleras. I enlighet med de utgångspunkter som behandlats i avsnitt 4.3 bör den nya lagen, med de ändringar som behövs eller är lämpliga för att anpassa 2018/19:65 bestämmelserna till dataskyddsförordningen, motsvara regleringen kustbevakningsdatalag av personuppgiftsbehandling på dataskydds- förordningens område (dvs. 1, 2 och 5 kap.). Utöver förändringar i enskilda bestämmelser, som behandlas i följande avsnitt, innebär förslaget till ny kustbevakningsdatalag att regleringen av personuppgiftsbehandling inom dataskydds- förordningens område ges en i viss mån ny struktur. Eftersom antalet bestämmelser blir begränsat, till följd av att personuppgiftsbehandlingen i den brottsbekämpande verksamheten regleras i en egen lag, behöver den nya lagen inte vara kapitelindelad. När kapitelindelningen försvinner är det också befogat att placera vissa bestämmelser i en annan ordningsföljd än tidigare, för att göra författningen mer lättläst. Den nya kustbevakningsdatalagens innehåll Lagens tillämpningsområde och förhållandet till Regeringens förslag: Den nya kustbevakningsdatalagen ska gälla vid behandling av personuppgifter i operativa verksamhet som rör sjöövervakning, räddningstjänst, samordning av civila behov av sjöövervakning och förmedling av civil sjöinformation samt internationellt samarbete. sådan personuppgiftsbehandling som omfattas av Vissa av lagens bestämmelser om personuppgifter ska gälla även vid behandling av uppgifter om juridiska personer. Lagen ska innehålla upplysande bestämmelser som anger att den kompletterar dataskyddsförordningen samt att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller vid behandling av personuppgifter enligt kustbevakningsdatalagen, om inte något annat följer av kustbevakningsdatalagen eller föreskrifter som meddelats i anslutning till denna. Promemorians förslag överensstämmer i sak med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens förslag Den grundläggande bestämmelsen om tillämpningsområdet Enligt 1 kap. 2 § första stycket gällde kustbevakningsdatalag vid behandling av personuppgifter i operativa verksamhet som rör brottsbekämpning, övrig sjöövervakning, räddningstjänst, samordning av civila behov av sjöövervakning och förmedling av civil sjöinformation, och internationellt samarbete. ningsområdet är i sig förenliga med dataskyddsförordningen (se avsnitt 5.4.1) och den nya kustbevakningsdatalagen bör innehålla en motsvarande Eftersom personuppgiftsbehandlingen i den del av Kust- bevakningens operativa verksamhet som rör brottsbekämpning omfattas av brottsdatalag, måste emellertid den punkten utgå från uppräkningen. Även behandling av personuppgifter i sjö- övervakning som inte rör brottsbekämpning omfattas i viss mån av brottsdatalag. Främst gäller detta vid sådana ingripanden mot ordningsstörningar som innebär ett upprätthållande av allmän ordning och säkerhet (se vidare prop. 2017/18:269, avsnitt 9.2, för en närmare genomgång av gränsen för brottsdatalags tillämpningsområde). För att undvika att viss personuppgiftsbehandling i den operativa verksamheten omfattas av både den nya kustbevaknings- datalagen och brottsdatalag bör det därför framgå av bestämmelsen om lagens tillämpningsområde att kustbevaknings- datalagen inte gäller vid behandling av personuppgifter som omfattas av brottsdatalag. Liksom kustbevakningsdatalag (1 kap. 2 § andra stycket) bör den nya kustbevakningsdatalagen endast gälla om personuppgifts- behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (jfr prop. 2017/18:254 s. 19). I 1 kap. 2 § tredje stycket kustbevakningsdatalag anges att lagens bestämmelser är subsidiära till bestämmelserna i lagen (2017:496) om internationellt polisiärt samarbete eller i föreskrifter som meddelats i anslutning till den lagen. Bestämmelserna om uppgiftsutbyte i den lagen (6–10 kap.) rör emellertid endast uppgiftsutbyte för brottsbekämpande ändamål och saknar därför relevans i förhållande till personuppgifts- behandlingen i de delar av operativa verksamhet som kommer att regleras i den nya kustbevakningsdatalagen. Någon bestämmelse om förhållandet till lagen om internationellt polisiärt samarbete behöver därför inte tas in i den nya kustbevakningsdatalagen. Tillämpning på uppgifter om juridiska personer Av 1 kap. 3 § kustbevakningsdatalag följer att vissa av be- stämmelserna om personuppgifter även gäller vid behandling av uppgifter om juridiska personer. Eftersom behandling av sådana uppgifter inte omfattas av dataskyddsförordningen berörs bestämmelsen inte av denna och kan därmed behållas i den nya kustbevakningsdatalagen, i den mån den hänvisar till bestämmelser som avser behandling inom den nya lagens tillämpningsområde. Därutöver bör bestämmelsen, liksom motsvarande bestämmelse i brottsdatalag, även hänvisa till den ändamålsbestämmelse som möjliggör behandling som är nödvändig för diarieföring eller för handläggning när uppgifter lämnats i en anmälan eller liknande (se avsnitt 7.4.3). Förhållandet till dataskyddsförordningen och dataskyddslagen kustbevakningsdatalag finns bestämmelser om förhållandet till personuppgiftslagen (2 kap. 1–2 §§). I enlighet med bedömningarna i avsnitt 5.8.1 bör den nya kustbevakningsdatalagen i stället innehålla bestämmelser som upplyser om att lagen kompletterar dataskydds- 2018/19:65 förordningen samt att även bestämmelserna i den subsidiära dataskydds- lagen, och i föreskrifter som meddelats i anslutning till denna, gäller vid behandlingen av personuppgifter om inte annat följer av kustbevaknings- datalagen eller föreskrifter som meddelats i anslutning till denna. 7.4.2Lagens syfte, tillgången till personuppgifter och personuppgiftsansvar Regeringens förslag: Den nya kustbevakningsdatalagen ska innehålla bestämmelser om lagens syfte, tillgången till personuppgifter och personuppgiftsansvar som motsvarar bestämmelserna kustbevakningsdatalag. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Kammarrätten i har, med hänvisning till att brottsdatalag inte innehåller motsvarande, ifrågasatt att kustbevakningsdatalagen ska innehålla en bestämmelse om lagens syfte. Övriga remissinstanser yttrar sig inte över promemorians förslag. Skälen för regeringens förslag: Av 1 kap. 1 § kustbevak- ningsdatalag framgår att syftet med lagen är att ge möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin operativa verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Som konstaterats i avsnitt 5.4.1 är sådana allmänna bestämmelser om lagens syfte förenliga med dataskydds- förordningen. I enlighet med de ovan redovisade utgångspunkterna för detta lagstiftningsärende bör den nya kustbevakningsdatalagen därför innehålla en bestämmelse med motsvarande innehåll. Att Kust- bevakningens brottsdatalag, som Kammarrätten i påtalat, inte innehåller någon sådan bestämmelse beror på att den lagen gäller utöver brottsdatalagen, som redan innehåller en sådan bestämmelse. Detsamma gäller i andra registerförfattningar som reglerar samma myndighets personuppgiftsbehandling inom dataskyddsförordningens respektive brottsdatalagens tillämpningsområde, exempelvis domstolsdatalagen (2015:728) och lagen (2018:1698) om domstolarnas behandling av personuppgifter inom brottsdatalagens område. I 5 kap. 1 § andra stycket kustbevakningsdatalag finns en bestämmelse som innebär att de personuppgifter som behandlas av för andra ändamål än brottsbekämpning får göras gemensamt tillgängliga. Av 1 kap. 4 § framgår att man med ”gemensamt tillgängliga uppgifter” avser personuppgifter som görs eller har gjorts gemensamt tillgängliga i operativa verksamhet och som fler än endast ett fåtal personer inom myndigheten har rätt att ta del av. I enlighet med bedömningen i avsnitt 5.4.6 måste sådana bestämmelser anses vara tillåtna preciseringar av personuppgiftsbehandlingen enligt artikel 6.2 i dataskyddsförordningen. Även den nya kustbevaknings- datalagen bör därför innehålla motsvarande bestämmelser. Lagrådet har ifrågasatt innebörden av uttrycket ”som görs” i den befintliga definitionen av gemensamt tillgängliga uppgifter. Regeringen konstaterar emellertid att uttrycket ”som görs eller har gjorts” används genomgående i de författ- Prop. 2018/19:65 ningar som innehåller bestämmelser om gemensamt tillgängliga uppgifter, däribland 3 kap. 1 § brottsdatalag. Med hänsyn till intresset av en enhetlig reglering på dataskyddsområdet bör någon ändring i detta avseende därför inte göras i den nya kustbevakningsdatalagen. I 2 kap. 3 § kustbevakningsdatalag finns en bestämmelse som innebär att tillgången till personuppgifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Som fram- går av avsnitt 5.4.6 är även detta att se som en sådan precisering i nationell rätt som är tillåten enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Också upplysningen i bestämmelsens andra stycke, att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om tillgången till personuppgifter, är förenlig med dataskydds- förordningen (se avsnitt 5.4.8). Bestämmelsen bör därför behållas i den nya kustbevakningsdatalagen, med det förtydligandet att föreskriftsrätten följer av 8 kap. 7 § regeringsformen. I enlighet med bedömningen i avsnitt 5.4.2 är även utpekandet av Kust- bevakningen som personuppgiftsansvarig i 2 kap. 4 § kustbevakningsdatalag förenligt med dataskyddsförordningen och bör därför föras över till den nya lagen. Regeringens förslag: Den nya kustbevakningsdatalagen ska innehålla primära och sekundära ändamålsbestämmelser som motsvarar bestämmelserna kustbevakningsdatalag. Lagen ska också, liksom kustbevakningsdatalag, innehålla en bestämmelse om att personuppgifter som behandlas enligt en primär ändamålsbestämmelse även får behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Promemorians förslag överensstämmer i sak med regeringens, men innebär att finalitetsprincipen regleras genom en hänvisning till artikel 5.1 boch 6.4 a–e i dataskyddsförordningen. Remissinstanserna: Kammarrätten i konstaterar att det av flera utredningar förts fram att det ibland har skett en sammanblandning av tillåtna rättsliga grunder för behandling av personuppgifter och ändamålsbestämmelser samt att brottsdatalag och andra registerförfattningar på brottsdatalagens område, i stället för ändamålsbestämmelser, innehåller bestämmelser som avser rättsliga grunder för behandlingen. Kammarrätten framhåller att det kan framstå som mindre lämpligt att det i olika författningar som reglerar myndigheters behandling av personuppgifter används olika terminologi. Kammarrätten noterar även att föreslås få behandla personuppgifter enligt den primära ändamålsbestämmelsen i 7 § om det behövs för att utföra vissa närmare angivna arbetsuppgifter, medan begreppet nödvändigt används i motsvarande bestämmelse i brottsdatalag. Begreppet nödvändigt bör enligt kammarrätten användas anser att ändamålsbestämmelserna är 2018/19:65 onödiga eftersom det skett en sammanblandning mellan vad som i dataskyddsrättslig mening är särskilt bestämda ändamål och tillåtna rättsliga grunder för behandling. Skälen för regeringens förslag I likhet med många andra registerförfattningar innehåller kustbevakningsdatalag verksamhetsspecifika ändamålsbestämmelser, som anger den yttersta ram inom vilken personuppgifter får behandlas. Inom dataskyddsförordningens tillämpningsområde får i den operativa verksamheten, enligt 5 kap. 1 §, behandla personuppgifter om det behövs för att a) bedriva sjöövervakning för att övervaka den allmänna ordningen och säkerheten till sjöss samt bedriva den kontroll och tillsyn som är skyldig att utföra, b) bedriva räddningstjänst, c) samordna civila behov av sjöövervakning och förmedla civil sjöinformation till berörda myndigheter, d) utreda och besluta i ärenden om vattenföroreningsavgift samt ta emot sådana avgifter, eller e) fullgöra skyldigheter inom ramen för internationellt samarbete med sjöövervakning och räddningstjänst. Enligt 2 kap. 6 § får därutöver behandla personuppgifter om behandlingen är nödvändig för diarieföring eller om uppgifterna har lämnats i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. kustbevakningsdatalag finns även sekundära ändamåls- bestämmelser. Enligt 5 kap. 2 § första stycket får personuppgifter som behandlas enligt 5 kap. 1 § även behandlas om det är nödvändigt för att tillhandahålla information som behövs i a) brotts- bekämpande verksamhet, b) en annan myndighets verksamhet om Kust- bevakningen enligt lag eller förordning är skyldig att bistå myndigheten med viss uppgift eller om informationen tillhandahålls inom ramen för myndighetsöverskridande samverkan, och c) likartad verksamhet hos en utländsk myndighet. Enligt bestämmelsens andra stycke får samma personuppgifter även behandlas om det är nödvändigt för att tillhandahålla information till och regeringen samt, i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning, till annan. Bör ändamålsbestämmelser motsvarande dem kustbevakningsdatalag finnas i den nya kustbevakningsdatalagen? I enlighet med bedömningen i avsnitt 5.4.3 är ändamålsbestämmelser av detta slag, som anpassar tillämpningen av dataskyddsförordningen och sä- kerställer en laglig och rättvis behandling, tillåtna enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Detta innebär att ändamålsbestämmelser mot- svarande de nuvarande kan föras in i den nya kustbevakningsdatalagen. Som påtalat och som framgår av avsnitt 5.4.3 innebär sådana ändamålsbestämmelser emellertid att en sammanblandning kan ske mellan vad som i dataskyddsrättslig mening är särskilt bestämda ändamål och tillåtna rättsliga grunder för behandlingen. Av detta skäl görs, som också Kammarrätten i noterat, i brottsdatalagen och ett flertal registerförfattningar som uteslutande reglerar personuppgiftsbehandling inom brottsdatalagens tillämpningsområde en tydligare åtskillnad mellan bestämmelser om rättslig grund och ändamål. Några motsvarande ändringar har dock inte föreslagits i övriga registerförfattningar som anpassats till dataskyddsförordningen (se exempelvis domstolsdatalagen och lagen [2001:183] om behandling av personuppgifter i verksamhet med val och folkomröstningar).