prop · H603163 · 2019-09-09 00:00:00 — Personuppgifter får behandlas om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar brott mot rikets säkerhet, terrorbrott eller tryck- eller yttrandefrihetsbrott med rasistiska eller främlingsfientliga motiv. Person- uppgifter får även behandlas för att utreda eller beivra sådana brott eller, efter särskilt beslut, annat brott. Säkerhetspolisen får också behandla per- sonuppgifter om det behövs för att fullgöra uppgifter i samband med per- sonskydd av den centrala statsledningen och andra som regeringen eller Säkerhetspolisen bestämmer, fullgöra uppgifter enligt säkerhetsskydds- lagen, fullgöra förpliktelser som följer av internationella åtaganden, lämna tekniskt biträde till , , eller eller fullgöra annan verksamhet som anges i lag eller förordning eller särskilt beslut av regeringen. De sekundära ändamålen aktualiseras när personuppgifter som redan behandlas i Säkerhetspolisens brottsbekämpande verksamhet lämnas ut till andra myndigheter eller organisationer för deras behov. Enligt de sekundära ändamålen, som anges i 6 kap. 2 § polisdatalagen, får person- uppgifter behandlas när det är nödvändigt för att tillhandahålla information som behövs i brottsbekämpande verksamhet hos , , , , Kustbevak- ningen och eller hos en utländsk myndighet eller mellan- folklig organisation. Utlämnande är vidare tillåtet om behandlingen är nödvändig för att tillhandahålla information som behövs i en myndighets verksamhet, om informationen tillhandahålls inom ramen för myndig- hetsöverskridande samverkan mot brott eller i Försvarsmaktens försvars- underrättelseverksamhet och militära säkerhetstjänst om det finns sär- skilda skäl att tillhandahålla informationen. Detsamma gäller om Säker- hetspolisen enligt lag eller förordning ska bistå en myndighet med viss Säkerhetspolisen får även behandla personuppgifter om det är nödvändigt för att tillhandahålla information till bl.a. och rege- ringen. Personuppgifter får dessutom behandlas för att tillhandahålla information för något annat ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in (finalitetsprincipen). I 12 § polisdataförordningen finns ytterligare be- stämmelser om ändamål för utlämnande av personuppgifter. Personuppgifter får enligt 6 kap. 3 § polisdatalagen också behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till Säkerhetspolisen i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. När det gäller utlämnande av personuppgifter och uppgiftsskyldighet gäl- ler bestämmelserna i 2 kap. 14 och 15 §§ polisdatalagen för Säkerhets- polisen. I 14 § föreskrivs att personuppgifter får lämnas ut för att fram- ställa rättsstatistik. I 15 § finns sekretessbrytande bestämmelser som anger i vilken utsträckning personuppgifter får lämnas ut till bl.a. , Europol, utländsk underrättelse- eller säkerhetstjänst och annan utländsk myndighet eller mellanfolklig organisation. Även bestämmelserna om elektroniskt utlämnande i 2 kap. 20 och 21 §§ polisdatalagen gäller för Säkerhetspolisen. Där föreskrivs att enstaka personuppgifter får lämnas ut på medium för automatiserad behandling och att utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som följer av lagen. Säkerhetspolisen har inte getts någon möjlighet att lämna ut personuppgifter genom direktåtkomst. I polisdataförordningen finns kompletterande bestämmelser om elektroniskt utlämnande. Där föreskrivs bl.a. att fler än enstaka personuppgifter under vissa förutsättningar får lämnas ut på medium för automatiserad behandling till ett antal angivna myndigheter. Behandling av känsliga personuppgifter Bestämmelserna om behandling av känsliga personuppgifter i 2 kap. 10 § polisdatalagen gäller för Säkerhetspolisen. Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Om uppgifter om en person behandlas på annan grund får de kompletteras med sådana uppgif- ter om det är absolut nödvändigt för syftet med behandlingen. Behandling av gemensamt tillgängliga uppgifter I 6 kap. 8 § polisdatalagen föreskrivs att personuppgifter får göras gemensamt tillgängliga i Säkerhetspolisen verksamhet om det behövs för de ändamål för vilka Säkerhetspolisen får behandla personuppgifter. När personuppgifter görs gemensamt tillgängliga ska det, enligt 6 kap. 9 §, genom en särskild upplysning eller på något annat sätt framgå för vilket närmare ändamål personuppgifterna behandlas. Om uppgifterna direkt kan hänföras till en person som inte är misstänkt för brott eller för att ha utövat eller komma att utöva brottslig verksamhet ska det enligt 6 kap. 10 § framgå att personen inte är misstänkt. Uppgifter om en person som kan antas ha samband med misstänkt brottslig verksamhet ska förses Prop. 2018/19:163 med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Sådana upplysningar behöver dock inte lämnas om det på grund av särskilda omständigheter är onödigt eller om uppgifterna ingår i en uppgiftssamling som har skapats för att bearbeta och analysera information och bearbetningen och analysen befinner sig i ett inledande skede. Vid sökning i gemensamt tillgängliga uppgifter får Säkerhetspolisen enligt 6 kap. 11 § polisdatalagen använda känsliga personuppgifter som sökbegrepp endast om det är absolut nödvändigt. I 6 kap. 6 § polisdatalagen föreskrivs att Säkerhetspolisen inte får bevara personuppgifter än vad som behövs för något eller några av de ändamål som anges i lagen. I 6 kap. 7 och 12–14 §§ regleras hur länge uppgifter längst får bevaras. Personuppgifter som inte har gjorts gemensamt tillgängliga ska, om de behandlas i ett ärende, gallras senast efter att ärendet avslutats. Om uppgifterna inte kan hänföras till ett ärende ska de gallras senast efter att de behandlades automatiserat första gången. Personuppgifter som har gjorts gemensamt tillgängliga ska gallras senast efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. Särskilda regler gäller för personuppgifter som behandlas i en uppgiftssamling som har skapats för att bearbeta och analysera information och som enbart särskilt angivna tjänstemän har tillgång till. Sådana personuppgifter ska gallras senast efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. Om det finns särskilda skäl får Säkerhetspolisen besluta att personuppgifter får bevaras om uppgifterna fortfarande behövs för det ändamål för vilket de behandlas. Säkerhetspolisen tillämpar också lagen (2017:496) om internationellt polisiärt samarbete och föreskrifter som har meddelats i anslutning till den lagen. Lagen tillämpas på polisiärt samarbete mellan och andra stater i den utsträckning som i en internationell överenskommelse har gjort sådana åtaganden som avses i lagen. För Säkerhetspolisen behandling av personuppgifter vid internationellt polisiärt samarbete gäller polisdatalagen, om inte annat följer av lagen om internationellt polisiärt samarbete eller förskrifter som regeringen har meddelat i anslutning till den lagen. I 7–9 kap. lagen om internationellt polisiärt samarbete regleras infor- mationsutbyte enligt vissa EU-rättsakter; Prümrådsbeslutet, CBE-direk- tivet och VIS-rådsbeslutet. I 10 kap. regleras uppgiftsutbyte enligt avtalet med . 2018/19:163 6 6.1Två nya rättsliga instrument Den allmänna regleringen av behandling av personuppgifter inom EU har funnits dataskyddsdirektiv, vilket genomfördes genom personuppgiftslagen (1998:204). förhandlingar enades och rådet om en ny reglering av skyddet för enskilda vid behandling av personuppgifter. Den består av två rättsliga instrument. Det ena är dataskyddsförordningen och det andra är dataskyddsdirektivet. Viss behandling av personuppgifter undantas från både dataskyddsförordningens och dataskyddsdirektivets tillämpnings- områden. Det gäller personuppgiftsbehandling i verksamhet som inte omfattas av unionsrätten, däribland området nationell säkerhet. Dataskyddsförordningen utgör den generella reg- leringen av personuppgiftsbehandling inom EU. Förordningen ersätter dataskyddsdirektiv och baseras till stor del på den struktur och reglering som finns i det direktivet. I förordningen regleras bl.a. grund- läggande principer för behandling av personuppgifter, den registrerades rättigheter, personuppgiftsansvar, tillsyn över personuppgiftsbehandling och rätten för enskilda att få tillgång till rättsmedel. Genom dataskydds- förordningen införs ett nytt system med administrativa sanktionsavgifter som ska tas ut vid överträdelser av förordningen. Från dataskyddsförordningens tillämpningsområde undantas bl.a. per- sonuppgiftsbehandling som utgör ett led i en verksamhet som inte omfattas av unionsrätten eller som utförs av medlemsstaterna när de bedriver verksamhet som omfattas av den gemensamma utrikes- och säkerhetspo- litiken. Vidare gäller förordningen inte för sådan behandling av person- uppgifter som utförs av behöriga myndigheter för ändamålen att före- bygga, utreda, upptäcka eller lagföra brott eller verkställa straff. Sådan personuppgiftsbehandling omfattas i stället av dataskyddsdirektivets till- lämpningsområde. När dataskyddsförordningen började tillämpas upphörde personupp- giftslagen (1998:204) att gälla. trädde lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (i det föl- jande dataskyddslagen) i kraft. Enligt 1 kap. 2 § ska bestämmelserna i dataskyddsförordningen och dataskyddslagen gälla även utanför sitt egentliga tillämpningsområde, t.ex. i verksamhet som rör nationell säker- het. Det gäller dock enligt 1 kap. 3 § 3 inte Säkerhetspolisens brottsbe- kämpande verksamhet. Dataskyddslagen är subsidiär i förhållande till annan lag eller förordning, vilket möjliggör avvikande bestämmelser i registerförfattningar. Dataskyddslagen gäller på samma sätt som data- skyddsförordningen inte när dataskyddsdirektivet är tillämpligt. Dataskyddsdirektivet ska dels skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter, dels underlätta det informationsutbyte mellan behöriga myndigheter som är nödvändigt enligt unionsrätt eller nationell rätt. Direktivet ersätter rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete. Direktivet har i huvudsak genomförts genom en ny ramlag, brottsdatalagen (2018:1177), som trädde i kraft . Brottsdatalagen drar upp gränsen mellan å ena sidan den särskilda reg- leringen av behandling av personuppgifter vid brottsbekämpning, lag- föring, straffverkställighet och upprätthållande av allmän ordning och säkerhet och å andra sidan dataskyddsförordningens tillämpningsområde. Lagen ska tillämpas av dem som är behöriga myndigheter enligt lagen, om syftet med personuppgiftsbehandlingen är att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Det är alltså syftet med behandlingen av personuppgifter i det enskilda fallet som blir avgörande för när lagen ska tillämpas, inte i vilken verksamhet behandlingen utförs. Lagen gäller enbart för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling som ingår i eller är avsedd att ingå i en strukturerad samling av personuppgifter som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier. I brottsdatalagen regleras frågor som är gemensamma för alla behöriga myndigheter. Där finns de grundläggande bestämmelserna om hur per- sonuppgifter får behandlas. Där regleras även personuppgiftsansvarigas skyldigheter, enskildas rättigheter och tillsynen över personuppgiftsbe- handling. Brottsdatalagen innehåller vidare bestämmelser om administra- tiva sanktionsavgifter, skadestånd och rättsmedel. Brottsdatalagen fyller inom sitt tillämpningsområde i stort sett samma funktion som personupp- giftslagen tidigare gjort. Det finns, precis som tidigare, särskilda registerförfattningar för flertalet av de myndigheter som tillämpar brottsdatalagen. Där finns de bestämmelser som är specifika för respektive myndighet. Ändringar i myndigheternas registerförfattningar Registerförfattningarna för myndigheterna i rättskedjan utgick tidigare från personuppgiftslagen, antingen genom att registerförfattningen gällde i stället för personuppgiftslagen, men hänvisade till bestämmelser i den eller genom att registerförfattningen gällde utöver personuppgiftslagen. Regeringen föreslog i propositionen Brottsdatalag – kompletterande lag- stiftning (prop. 2017/18:269) de ändringar i registerförfattningarna som föranleds av införandet av brottsdatalagen. Lagändringarna trädde i kraft 2018/19:163 . Registerförfattningarna bytte då också namn. Registerförfattningarna gäller utöver brottsdatalagen och innehåller bestämmelser som innebär preciseringar, undantag eller avvikelser från bestämmelserna i den lagen. Som nämnts är det syftet med personuppgiftsbehandlingen som avgör om brottsdatalagen är tillämplig. Detsamma gäller registerförfattningarnas tillämpningsområde. reglerade registerförfattningarna personuppgiftsbehandling såväl i myndigheternas kärnverksamhet som för att lämna uppgifter till andra – oavsett för vilket ändamål det gjordes. reglerar registerförfattningarna enbart den personuppgiftsbehandling som ligger inom brottsdatalagens tillämpningsområde. Det är en direkt effekt av att olika regelverk gäller för personuppgiftsbehandling inom brottsdatalagens respektive dataskyddsförordningens tillämpningsområden. Övergångsreglering styr Säkerhetspolisens personuppgiftsbehandling upphävdes polisdatalagen som lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område, hädanefter polisens brottsdatalag, trädde i kraft. I förarbetena till polisens brottsdatalag ansåg regeringen att Säkerhetspolisens behandling av personuppgifter på området för nationell säkerhet inte skulle regleras i den lagen utan regleras på annat sätt (prop. 2017/18:269 s. 285). I avvaktan på ett sådant regelverk, gäller polisdatalagen i dess äldre lydelse för Säkerhetspolisens behandling av personuppgifter i frågor som rör nationell säkerhet. I de delar polisdatalagen hänvisar till personuppgiftslagen fortsätter även den lagen att gälla för Säkerhetspolisen. Även vissa äldre bestämmelser i offentlighets- och sekretesslagen (2009:400), säkerhetsskyddslagen (2018:585) och lagen (2017:496) om internationellt polisiärt samarbete fortsätter övergångsvis att gälla för Säkerhetspolisen (prop. 2017/18:269 s. 285). 7 En ny lag och dess tillämpningsområde 7.1En särskild lag för Säkerhetspolisens personuppgiftsbehandling Regeringens förslag: Det ska införas en ny lag om Säkerhetspolisens behandling av personuppgifter. När personuppgifter behandlas enligt den nya lagen ska lagen med kompletterande bestämmelser till EU:s dataskyddsförordning inte gälla. Utredningens förslag överensstämmer i huvudsak med regeringens förslag. Utredningen föreslår att den nya lagen ska benämnas Säkerhets- polisens datalag och att den nya lagen ska innehålla en bestämmelse om förhållandet till dataskyddförordningen och dataskyddslagen. Remissinstanserna: De flesta remissinstanser tillstyrker förslaget eller har inget att invända mot det. Skälen för regeringens förslag Säkerhetspolisen är en fristående myndighet Vid polisdatalagens tillkomst var Säkerhetspolisen en avdelning vid . Den tidigare gällande polisdatalagen (1998:622) gäll- de vid behandling av personuppgifter i polisens brottsbekämpande verk- samhet vid , polismyndigheterna och Ekobrottsmyn- digheten. Vid den numera upphävda polisdatalagens tillkomst ansåg regeringen att detsamma borde gälla för den lagen (Integritet och effektivitet i polisens brottsbekämpande verksamhet, prop. 2009/10:85, s. 71). Regeringen framhöll att Säkerhetspolisens verksamhet i stor utsträckning bedrivs på liknande sätt som annan polisverksamhet och att den reglering som föreslogs för polisen i övrigt därför i många avseenden borde tillämpas även av Säkerhetspolisen. I förarbetena konstaterades dock att särdragen i Säkerhetspolisens verksamhet motiverade att vissa bestämmelser utformades på ett sätt som var mer anpassat till den verksamheten (prop. 2009/10:85 s. 250 f.). Säkerhetspolisens behandling av personuppgifter i den brottsbekämpande verksamheten regleras därför i ett särskilt kapitel i polisdatalagen (avsnitt 5.2). När Säkerhetspolisen blev en fristående myndighet gjordes det vissa ändringar i polisdatalagen (Den nya polisorganisationen – några frågor om personuppgiftbehandling m.m., prop. 2014/15:94, s. 82 f.). Eftersom Säkerhetspolisens personuppgiftsbehandling var föremål för grundlig översyn när polisdatalagen infördes ansåg regeringen emellertid att det inte fanns något behov av att se över den materiella regleringen (En ny organisation för polisen, prop. 2013/14:110, s. 480 f.). Säkerhetspolisens personuppgiftsbehandling i den brottsbekämpande verksamheten regleras därför även efter omorganisationen i polisdatalagen. Säkerhetspolisens verksamhet skiljer sig från Även om Säkerhetspolisens och verksamhet i stor ut- sträckning bedrivs på liknande sätt, skiljer sig Säkerhetspolisens uppdrag från . Säkerhetspolisen har en betydligt mer begränsad verksamhet, inriktad på några få områden. Tyngdpunkten ligger på att förebygga och förhindra brott. Säkerhetspolisen har i uppdrag att skydda demokratiska system, medborgarnas fri- och rättigheter och den nationella säkerheten. Säkerhetspolisens verksamhet rör därmed i princip uteslutande nationell säkerhet. Säkerhetspolisens uppdrag är att förebygga, förhindra och upptäcka brottslig verksamhet som innefattar brott mot säkerhet och terror- brott och att utreda och beivra sådana brott och vissa andra brott. Arbetet förutsätter att myndigheten har förmåga att identifiera och kartlägga sådan brottslig verksamhet. Säkerhetspolisen behöver kunna behandla personuppgifter på ett tidigt stadium, innan en person eller en gruppering har konkreta brottsplaner eller har vidtagit åtgärder för att begå brott. Säkerhetspolisens arbete är alltså främst inriktat mot att identifiera planer 2018/19:163 på och förstadier av brottslig verksamhet. När Säkerhetspolisen identifie- rar brottslig verksamhet i ett så tidigt skede kan brottsligheten normalt förhindras. Då kan konkreta brottsliga gärningar vara svåra att urskilja. Säkerhetspolisens polisiära verksamhet fokuserar alltså på att förebygga och förhindra brott. Det innebär att det finns avgörande skillnader i Säkerhetspolisens verksamhet och arbetsmetoder jämfört med Polismyn- dighetens. I motsats till vad som gäller för är Säkerhetspolisens brottsutredande verksamhet mycket liten och initieras endast undantagsvis genom anmälningar om brott. Vid misstanke om brott inleds för- undersökning, som bedrivs enligt samma regler som gäller för Polismyn- digheten. Vid misstanke om vissa brott ska utredningen alltid skötas av Säkerhetspolisen. Det gäller bl.a. spioneri, grovt spioneri, obehörig be- fattning med hemlig uppgift, grov obehörig befattning med hemlig upp- gift, olovlig underrättelseverksamhet och vissa tryckfrihets- och yttrande- frihetsbrott. Förundersökningen leds alltid av åklagare. Säkerhetspolisen får även utreda vissa andra brott, men kan avstå från det och överlämna frågan till . Under en förundersökning har Säkerhets- polisen samma befogenheter som och kan genomföra exempelvis husrannsakan och förhör i syfte att få fram ett tillräckligt beslutsunderlag för åklagaren. Brottsdatalagen gäller inte Säkerhetspolisens behandling av personuppgifter som rör nationell säkerhet Brottsdatalagen ska enligt 1 kap. 2 § gälla vid behandling av personupp- gifter som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Enligt 1 kap. 4 § gäller lagen dock inte vid behandling av personuppgifter som rör nationell säkerhet eller om har övertagit en arbets- uppgift som rör nationell säkerhet från Säkerhetspolisen. Till Säkerhetspolisens huvuduppgifter hör som nämnts att före- bygga, förhindra och upptäcka brottslig verksamhet som innefattar brott mot säkerhet och terrorbrott och att utreda och beivra sådana brott. Säkerhetspolisen ansvarar vidare för personskyddet av den centrala statsledningen. De uppgifterna avser nationell säkerhet. Säkerhetspolisen har även andra uppgifter som avser nationell säkerhet eller som har mycket nära samband med sådan verksamhet. Den absoluta merparten av Säkerhetspolisens behandling av personuppgifter ligger härigenom utanför brottsdatalagens tillämpningsområde (jfr Brottsdatalag, prop. 2017/18:232 s. 103). En ny lag bör införas Det nationella regelverket för personuppgiftsbehandling har förändrats. Brottsdatalagen har införts och myndigheternas registerförfattningar har anpassats till denna. Vidare har polisdatalagen upphävts. Säkerhetspolisen tillämpar därför en övergångsreglering för behandling av personuppgifter som rör nationell säkerhet (avsnitt 6.3). Varken brottsdatalagen eller polisens brottsdatalag gäller för Säkerhetspolisens behandling av personuppgifter som rör nationell säkerhet. Säkerhets- polisen har enligt regeringens bedömning ett lika stort behov av särregler för sin personuppgiftsbehandling som . Med hänsyn till detta och till att Säkerhetspolisen numera är en fristående myndighet, anser regeringen att det bör införas en ny lag som reglerar Säkerhetspolisens personuppgiftsbehandling. Utredningen föreslår att den nya lagen ska benämnas Säkerhetspolisens datalag. När det gäller de registerförfattningar som ska gälla utöver brottsdatalagen föreslog utredningen att de skulle ges enhetliga benäm- ningar som knöt an till brottsdatalagen, exempelvis polisens brottsdatalag och brottsdatalag. Lagrådet anslöt sig till utredningens förslag. Regeringen konstaterade dock att de föreslagna namnen avvek från hur svenska författningar normalt benämns och följaktligen skulle bryta mot den systematik som gäller för författningars rubriker (Ds 2014:1 s. 17 f.). Regeringen ansåg därför att lagarna skulle ges namn som anger för vem författningen gäller och vad den handlar om, exempelvis lagen om polisens behandling av personuppgifter inom brottsdatalagens område och lagen om behandling av personuppgifter inom brottsdatalagens område (prop. 2017/18:269 s. 143 f. och 173 f.). På samma sätt som i förarbetena till de lagarna används här namnet polisens brottsdatalag i löptexten. Mot den bakgrunden bör den nya lagen inte ges det namn som utred- ningen föreslår. Eftersom Säkerhetspolisens personuppgiftsbehandling som rör nationell säkerhet undantas från brottsdatalagens tillämpnings- område kan namnet inte på samma sätt som övriga brottsbekämpande myndigheters registerförfattningar kopplas till brottsdatalagen. Namnet bör vara så enkelt och tydligt som möjligt. bör det återspegla lagens innehåll. Den bör därför benämnas lagen om Säkerhetspolisens behandling av personuppgifter, i det följande Säkerhetspolisens datalag. Regleringen ska utgå från regleringen i polisdatalagen och brottsdatalagen Regleringen i polisdatalagen av Säkerhetspolisens personuppgiftsbehand- ling är relativt ny och har i allt väsentligt fungerat som avsetts. Bestäm- melserna i polisdatalagen bör därför till stor del kunna bilda mönster för bestämmelserna i den nya lagen. Då den nya lagen ska vara heltäckande kommer den dock att bli betydligt mer omfattande än den nuvarande reg- leringen för Säkerhetspolisen. Lagen bör därför indelas i kapitel. Det kan också finnas skäl att överväga om några av de nya bestämmelserna i polisens brottsdatalag även bör tas in i den nya lagen.