prop · H603163 · 2019-09-09 00:00:00 — Lagstiftaren har dock föreskrivit undantag från denna huvudregel bl.a. om utlämnandet görs i enlighet med särskild föreskrift i lag eller förordning. Det framgår av 8 kap. 3 § 1 offentlighets- och sekretesslagen. En sådan föreskrift finns i 2 kap. 15 § polisdatalagen. Där regleras utlämnande av personuppgifter till ut- ländska myndigheter och organ. Bestämmelsen gäller genom hänvisning i 6 kap. 4 § 6 i Säkerhetspolisens verksamhet. Om det är förenligt med svenska intressen får personuppgifter lämnas ut till eller Europol, eller till en polismyndighet eller åklagarmyndighet i en stat som är ansluten till , om det behövs för att myndigheten eller orga- nisationen ska kunna förebygga, förhindra, upptäcka, utreda eller beivra brott. Om det är förenligt med svenska intressen får personuppgifter också lämnas ut till utländsk underrättelse- eller säkerhetstjänst. Personuppgifter får dessutom lämnas ut till en utländsk myndighet eller mellanfolklig organisation, om utlämnandet följer av en internationell överenskommelse som har tillträtt efter godkännande. har vid en granskning uttalat Prop. 2018/19:163 sig om den bedömning som ska göras vid utlämnande med stöd av 2 kap. 15 § polisdatalagen. Nämnden hänvisar till förarbetena till den tidigare gällande sekretesslagen (1980:100), där det anges att det intresse som sekretessen ska skydda ska tas med i bedömningen av om ett utlämnande kan anses förenligt med svenska intressen. Nämnden konstaterar att Säkerhetspolisens behov av att lämna uppgifter alltid måste vägas mot sekretessintresset, t.ex. det integritetsintrång och de konsekvenser som det kan innebära för den enskilde, vid bedömningen av om känslig underrättelseinformation kan lämnas till utlandet (se uttalande , dnr 205–2012 s. 3). Säkerhetspolisen bör kunna lämna ut uppgifter till en utländsk myn- dighet eller mellanfolklig organisation i samma utsträckning som . En bestämmelse om det bör därför tas in i den nya lagen. Det innebär att Säkerhetspolisen, innan uppgifter görs tillgängliga för direktåtkomst, måste pröva om utlämnandet är förenligt med svenska intressen. Det bör påpekas att när Säkerhetspolisen lämnar personuppgifter till mottagare i tredjeland eller till internationella organisationer måste myn- digheten se till att utlämnandet är förenligt med bestämmelserna om överföring till sådana mottagare (avsnitt 17.3 och 17.4). 11.4.4Uppgiftsskyldighet när det gäller rättsstatistik Regeringens förslag: Personuppgifter som är nödvändiga för att framställa rättsstatistik ska lämnas till den myndighet som ansvarar för att framställa sådan statistik. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt 2 kap. 14 § polisdatalagen ska personuppgifter som är nödvändiga för att framställa rättsstatistik lämnas till den myndighet som ansvarar för att framställa sådan statistik. Be- stämmelsen gäller för Säkerhetspolisen genom en hänvisning i 6 kap. 4 § 6 polisdatalagen. Enligt 2 § förordningen (2016:1201) med instruktion för är rådet statistikansvarig myndighet. 8§ första stycket offentlighets- och sekretesslagen gäller absolut sekretess för uppgifter om en enskilds personliga och ekonomiska förhållanden i sådan särskild verksamhet hos en myndighet som avser framställning av statistik. Skyldigheten att lämna uppgifter till rättsstatistiken regleras numera i 21 § brottsdatalagen. En motsvarande bestämmelse bör finnas i den nya lagen. Längsta tid som personuppgifter får Struktur och terminologi i den nya lagen Regeringens förslag: Bestämmelser som motsvarar befintliga be- stämmelser i polisdatalagen om bevarande och gallring ska tas in i den De ska formuleras så att det tydligt framgår att det är fråga Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Kammarrätten i påpekar att de olika tidsfristerna för hur länge personuppgifter får behandlas är mycket svår- överskådliga och att det skulle vara bra om det gick att hitta ett mer en- ser positivt på att terminologin på området renodlas så att begreppen bevarande och gallring endast används i arkiv- lagens (1990:782) mening. välkomnar att det slås fast att reg- leringen inte hindrar att en myndighet arkiverar och bevarar allmänna Skälen för regeringens förslag Olika typer av bestämmelser Enligt huvudregeln i 6 kap. 6 § första stycket polisdatalagen (2010:361) får personuppgifter som Säkerhetspolisen behandlar inte bevaras under än vad som behövs för något eller några av de ändamål som anges i kapitlet. Därutöver finns det i 6 kap. polisdatalagen ytterligare två typer av bestämmelser om bevarande och gallring av personuppgifter. gäller enbart personuppgifter som behandlas automatiserat. Den ena typen är bestämmelser om gallring och finns i 6 kap. 7 och De gäller för personuppgifter som inte förekommer i ärenden om utredning av eller lagföring för brott. Regleringen innebär att personupp- gifterna inte får behandlas automatiserat efter vissa i lagen angivna tids- De får alltså inte heller som utgångspunkt arkiveras digitalt. följer av att det i 2 kap. 2 § andra stycket polisdatalagen görs undantag från 8 § andra stycket personuppgiftslagen (1998:204), som föreskriver att arkivlagstiftningen har företräde framför personuppgiftslagstiftningen. Bestämmelsen gäller för Säkerhetspolisen genom en hänvisning i 6 kap. 4 § 1. Behandling för arkivändamål är dock tillåten om det med stöd av 6 kap. 7 § tredje stycket eller 6 kap. 14 § har meddelats föreskrifter om att personuppgifterna får bevaras för historiska, statistiska eller vetenskapliga Den andra typen av bestämmelser begränsar möjligheten att behandla personuppgifter i myndighetens brottsbekämpande verksamhet. 6 kap. 13 § polisdatalagen, som hänvisar till 3 kap. 9–13 §§ samma lag. Bestämmelserna gäller för personuppgifter som har gjorts gemensamt tillgängliga i ärenden om utredning av eller lagföring för brott. skriver hur länge personuppgifterna får behandlas i den brottsbekämpande verksamheten men det hindrar inte, till skillnad från bestämmelserna om att handlingarna arkiveras digitalt enligt arkivlagens När behandling är tillåten för brottsbekämpande Prop. 2018/19:163 ändamål kan bevarande således ske för arkivändamål utan att det krävs särskilda föreskrifter om det. I 6 kap. 6 § tredje stycket upplyses om att regeringen eller den myn- dighet som regeringen bestämmer kan meddela föreskrifter om digital arkivering och om att vissa kategorier av personuppgifter får behandlas i den brottsbekämpande verksamheten än vad som annars är föreskrivet. Sådana föreskrifter finns i 20–26 §§ polisdataförordningen (2010:1155). Av 19 § framgår att personuppgifter som arkiveras digitalt ska avskiljas från den brottsbekämpande verksamheten och att åtkomst till uppgifterna ska begränsas på visst sätt. Regleringen bör samlas i ett särskilt kapitel Bestämmelser som reglerar hur länge personuppgifter får behandlas är viktiga för att skydda den personliga integriteten. Det bör därför tas in bestämmelser i den nya lagen som motsvarar regleringen i polisdatalagen om hur länge olika typer av personuppgifter får behandlas. De bör samlas i ett särskilt kapitel för att ge tillämparen bättre överblick över hur länge personuppgifter får behandlas enligt lagen. Samma lösning har valts i övriga registerförfattningar (Brottsdatalag – kompletterande lagstiftning, prop. 2017/18:269, s. 121). Bestämmelserna om bevarande och gallring är dataskyddsbestämmelser Utgångspunkten i det arkivrättsliga regelverket är att uppgifter ska beva- ras, medan presumtionen i regelverk som skyddar personuppgifter är den omvända. Gallring enligt det arkivrättsliga regelverket syftar till att be- gränsa arkivens omfattning bland annat för att därmed öka deras tillgäng- lighet, medan gallring enligt registerförfattningarna syftar till att skydda enskildas personliga integritet (se exempelvis Integritet och effektivitet i polisens brottsbekämpande verksamhet, prop. 2009/10:85, s. 207 f. och Tullbrottsdatalagen, prop. 2016/17:91, s. 169). I de brottsbekämpande myndigheternas registerförfattningar har terminologin renodlats för att så långt möjligt skilja mellan arkivrättsliga regler och regler om dataskydd. Orden bevarande och gallring används där enbart i den betydelse de har i arkivlagstiftningen. När syftet med bestämmelserna är att skydda den personliga integriteten anges i stället den yttersta gränsen för hur länge personuppgifterna får behandlas. Det gäller både i bestämmelser som motsvarar de nuvarande gallringsbestämmelserna och i bestämmelser som begränsar möjligheten att behandla personuppgifter i den brottsbe- kämpande verksamheten (prop. 2017/18:269 s. 120 f.). Regeringen har där även bemött Kammarrätten i synpunkter på att regleringen är svåröverskådlig. Regleringen i den nya lagen bör utformas på motsvarande sätt och bestämmelserna formuleras så att de genomgående anger den längsta tid uppgifterna får behandlas. Avsikten är dock inte att den ändrade termino- login ska föranleda några ändringar i sak. 2018/19:163 12.2 Hur länge får personuppgifter behandlas? 12.2.1Den längsta tid som personuppgifter får behandlas Regeringens förslag: Personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behand- lingen. Det hindrar inte att Säkerhetspolisen arkiverar och bevarar all- männa handlingar eller att arkivmaterial lämnas till en arkivmyndighet. Utredningens förslag: överensstämmer i huvudsak med regeringens. Remissinstanserna: Säkerhetspolisen anför att prövningen hur länge personuppgifterna får behandlas bör göras mot de ändamål för vilka upp- gifterna behandlas, inte mot syftena som utredningen föreslår. Myndig- heten anser vidare att rekvisitet nödvändigt ska ersättas med behövs. anser att det i fråga om lämplig skyddsåtgärd för att skydda den enskildes integritet vid arkivering inte alltid är säkrare med arkivering på papper än elektronisk sådan. bedömer också att inte- gritetskänsliga personuppgifter som huvudregel inte bör gallras och att sådana uppgifter i stället bör skyddas genom bestämmelser om sekretess och informationssäker behandling av uppgifterna. Skälen för regeringens förslag Personuppgifter får bara behandlas så länge de behövs för ändamål inom lagens tillämpningsområde. Enligt huvudregeln i 6 kap. 6 § första stycket polisdatalagen får person- uppgifter inte bevaras än vad som behövs för något eller några av de ändamål som anges i kapitlet. En motsvarande bestämmelse bör tas in i den nya lagen. För att tydliggöra att det inte är fråga om bevarande i arkivlagens mening bör ordet behandlas användas i stället för bevaras. Som Säkerhetspolisen anser bör bestämmelsen utformas på samma sätt som bestämmelsen i 2 kap. 17 § brottsdatalagen och utgå från ändamålet med behandlingen i stället för syftena. Av de skäl som anges i avsnitt 8.3.1 bör ordet nödvändigt användas i stället för behövs. Säkerhetspolisen bör alltså inte få behandla personuppgifter än vad som är nödvändigt med hänsyn till ändamålet med behand- lingen. Om Säkerhetspolisen behandlar en personuppgift för flera ändamål varierar tiden för hur länge uppgiften behöver behandlas. Att det inte längre finns behov av att behandla personuppgiften för ett visst ändamål medför inte att behandlingen av den måste upphöra för alla andra ändamål . Å andra sidan innebär det förhållandet att per- sonuppgiften fortfarande behövs för ett visst ändamål inte att den får fortsätta att behandlas för alla ändamål . Liksom i polisdatalagen bör bestämmelsen kompletteras med mer detaljerade bestämmelser om hur länge vissa kategorier av personupp- gifter får behandlas. Regeringen återkommer till det. Enligt 8 § andra stycket personuppgiftslagen hindrar bestämmelserna i lagen inte att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. 2018/19:163 ningen har alltså i fråga om allmänna handlingar företräde framför per- sonuppgiftslagens bestämmelser om längsta bevarandetid. göra att personuppgifter får arkiveras när de inte längre behövs för något av de tillåtna ändamålen bör det tas in en bestämmelse i den nya lagen som motsvarar 8 § andra stycket personuppgiftslagen. I vilken utsträckning personuppgifterna ska gallras regleras i det arkivrättsliga regelverket. För Säkerhetspolisens del görs i polisdatalagen undantag från 8 § andra stycket personuppgiftslagen när det gäller personuppgifter som ska gallras enligt polisdatalagen. Syftet med regleringen är som nämnts att förtydliga att personuppgifter i dessa fall inte får behandlas automatiserat för arkivändamål, det vill säga att uppgifterna inte får arkiveras digitalt. Uppgifterna får dock behandlas för arkivändamål om de överförs till pap- persform. För att tydliggöra att ingen förändring i det avseendet är avsedd, trots den ändrade terminologin, bör ett motsvarande undantag som i polisdatalagen göras i den nya lagen. Vad gäller framförda synpunkter om arkivering på papper och fördelarna med elektronisk sådan hänvisas till vad regeringen anfört i förarbetena till de brottsbekämpande myndigheternas registerförfattningar (prop. 2017/18:269 s. 124). Det bör anmärkas att behandling för arkivändamål omfattas av data- skyddsförordningens tillämpningsområde, oavsett om det är Säkerhets- polisen som arkiverar personuppgifterna eller om de överlämnas till en arkivmyndighet (Brottsdatalag, prop. 2017/18:232, s. 167). 12.2.2Personuppgifter som inte har gjorts gemensamt tillgängliga Regeringens förslag: Personuppgifter som inte har gjorts gemensamt tillgängliga ska inte få behandlas längre än efter det att ärendet avslutades, om de behandlas i ett ärende, och inte längre än efter det att de behandlades automatiserat första gången, om de inte kan hänföras till ett ärende. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag: I 6 kap 7 § första stycket polisdata- lagen föreskrivs att personuppgifter som behandlas automatiserat av Säkerhetspolisen och som inte har gjorts gemensamt tillgängliga ska gall- ras senast efter det att ärendet avslutades, om de behandlas i ett ärende. Om de inte kan hänföras till ett ärende ska uppgifterna gallras senast efter det att de behandlades automatiserat första gången. Regeringen delar utredningens uppfattning att det inte finns skäl att ändra på hur länge sådana uppgifter får behandlas. En motsvarande bestämmelse bör därför tas in i den nya lagen, men den bör reglera hur länge per- sonuppgifterna får behandlas. Av 2 kap. 2 § andra stycket polisdatalagen följer att arkivlagstiftningen inte ska ha företräde om 6 kap. 7 § är tillämplig. Syftet med regleringen är att förtydliga att personuppgifter i dessa fall inte får behandlas automa- tiserat för arkivändamål. Det bör gälla även enligt den nya lagen. 2018/19:163 således göras undantag från bestämmelsen om att arkivlagstiftningen ska ha företräde (avsnitt 12.2.1). Den nu föreslagna regleringen bör inte gälla personuppgifter i ärenden om utredning av eller lagföring för brott. Den frågan behandlas i av- snitt 12.2.5. 12.2.3Personuppgifter som har gjorts gemensamt tillgängliga Regeringens förslag: Personuppgifter som har gjorts gemensamt till- gängliga ska som huvudregel inte få behandlas längre än efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. Uppgifter om en person som vid tiden för registre- ringen inte fyllt ska dock inte få behandlas längre än efter utgången av det kalenderår då den senaste registreringen gjordes av- seende den unge. Det förutsätter att någon ny registrering inte har gjorts efter det att han eller hon fyllt . Personuppgifter som behandlas i en uppgiftssamling som har skapats för att bearbeta och analysera information ska inte få behandlas längre än efter utgången av det kalenderår då den senaste registreringen gjordes avseende personen. Utredningens förslag överensstämmer delvis med regeringens. Utred- ningen föreslår att endast sådana omständigheter som har betydelse för personens anknytning till brottslig verksamhet bör kunna påverka längsta tid för behandling av personuppgifter i underrättelseverksamhet. Remissinstanserna: Datainspektionen tillstyrker förslaget att införa begränsande regler för hur länge uppgifter om personer får behandlas. Datainspektionen tillstyrker vidare utredningens förslag att endast uppgifter om en persons anknytning till brottslig verksamhet ska påverka längsta tid för behandling av personuppgifter i underrättelse- verksamhet. Säkerhetspolisen anser däremot att bestämmelsen inte är ändamålsenlig vid personuppgiftsbehandling i myndighetens underrät- telseverksamhet. anser att det är angeläget att det tydliggörs om en ny registrering avseende en person förlänger tiden för behandling enbart avseende den personen, eller om registreringen även påverkar tiden för behandling avseende personer som har anknytning till samma brottsliga verksamhet. Skälen för regeringens förslag Gemensamt tillgängliga personuppgifter ska som huvudregel få behandlas som Enligt 6 kap. 12 § polisdatalagen ska gemensamt tillgängliga personupp- gifter gallras senast efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. Personuppgifter som behandlas i en uppgiftssamling som har skapats för att bearbeta och analysera information ska dock gallras senast efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. I förarbetena till polisdatalagen gjordes bedömningen att en allmän gallringsfrist utgjorde en lämplig avvägning mellan Säkerhets- polisens behov och den enskildes krav på att uppgifter inte bevaras alltför . I fråga om personuppgifter som förekommer i en uppgiftssamling som skapats för att bearbeta och analysera information gjordes dock bedömningen att en kortare gallringsfrist borde gälla (prop. 2009/10:85 s. 269). Den bedömning som gjordes då av hur länge personuppgifter bör få behandlas har enligt regeringens mening fortfarande fog för sig. Be- stämmelserna bör av de skäl som anges i avsnitt 12.1.1 formuleras så att de anger hur länge uppgifterna får behandlas. Regeringen återkommer till behovet av att beträffande några kategorier av personuppgifter ha en mer differentierad reglering. Av 2 kap. 2 § andra stycket polisdatalagen följer att arkivlagstiftningen inte ska ha företräde om 6 kap. 12 § är tillämplig. Detsamma bör gälla enligt den nya lagen. Det bör därför göras undantag från den föreslagna regeln om att arkivlagstiftningen ska ha företräde för nu aktuella person- uppgifter. En särskild bestämmelse för personuppgifter som rör barn Polisdatalagen innehåller inte några särskilda bestämmelser om behand- ling av personuppgifter som avser barn. Samma bestämmelser gäller så- ledes vid personuppgiftsbehandlingen oavsett den registrerades ålder. Säkerhetspolisen har i sina interna styrdokument reglerat gallringsfristen i myndighetens centralregister för personer som vid tiden för registreringen inte fyllt . Sådana uppgifter gallras senast efter det att en uppgift om personen senast infördes. Säkerhets- och integritetsskydds- nämnden har särskilt granskat hur brottsbekämpande myndigheter be- handlar personuppgifter om barn. Nämnden har uttalat att integritets- skyddande regler i polisdatalagen gör sig gällande i särskilt hög grad vid behandling av uppgifter om barn. Nämnden är också positiv till Säker- hetspolisens interna bestämmelser om kortare gallringsfrist för sådana uppgifter (uttalande , dnr 50–2015 s. 5 och 8). Mot den bakgrunden anser regeringen i likhet med utredningen att det i den nya lagen bör föreskrivas för behandling av uppgifter om personer som vid registreringen inte hade fyllt . Sådana uppgifter bör inte få behandlas längre än efter utgången av det kalenderår då den senaste registreringen avseende den unge gjordes. Omständigheter som kan påverka längsta tid för behandling i underrättelseverksamhet framgår det av 6 kap. 12 § polisdatalagen att den tid som person- uppgifter får behandlas i underrättelseverksamhet kan förlängas om en ny registrering avseende personen i fråga görs. Det framgår emellertid inte av bestämmelsen vad den registrering som kan föranleda att personuppgifter får fortsätta att behandlas ska avse. Tiden för hur länge personuppgifter får behandlas ska naturligtvis inte kunna påverkas av vilka uppgifter som helst. I de brottsbekämpande myndigheternas registerförfattningar har motsvarande bestämmelser om hur länge personuppgifter får behandlas i underrättelseverksamhet därför förtydligats på så sätt att det endast är sådana omständigheter som har betydelse för personens anknytning till 2018/19:163 brottslig verksamhet som ska påverka hur länge personuppgifterna får behandlas (prop. 2017/18:269 s. 128 f.). Utredningen föreslår att samma förtydligande ska göras i den nya lagen. Det är självfallet viktigt att vilka uppgifter som helst inte ska påverka hur länge personuppgifter får behandlas. Ett förtydligande i denna del hade därför varit önskvärt. När det gäller Säkerhetspolisens underrät- telseverksamhet är det dock ofta svårt att veta vilken brottslig verksamhet en viss uppgift kan hänföras till eftersom myndigheten agerar i ett så tidigt skede. Om möjligheterna att fortsätta behandla personuppgifter knyts till omständigheter som har betydelse för personens anknytning till brottslig verksamhet kan det leda till att färre uppgifter än påverkar hur länge personuppgifter får behandlas, vilket skulle vara negativt för Säkerhetspolisens underrättelseverksamhet. Det är heller inte möjligt att, inom ramen för detta lagstiftningsärende, finna en annan lösning som kan förtydliga vilka uppgifter som ska påverka längsta tid för behandling av uppgifter i underrättelseverksamheten. Mot den bakgrunden anser rege- ringen, till skillnad från Datainspektionen men i likhet med Säkerhets- polisen, att regleringen på samma sätt som bör utgå från när den senaste registreringen avseende personen gjordes. efterfrågar ett tydliggörande av om en ny registrering avseende en person kan förlänga tiden för behandling även för andra personer med anknytning till samma brottsliga verksamhet. Frågan är relevant trots att vilka uppgifter som kan förlänga registrering inte knyts till brottslig verksamhet. Det är inte uteslutet att en registrering avseende en person kan förlänga tiden för behandling även för andra personer med anknytning till den personen. Till exempel kan misstankar mot en person innebära att misstankarna mot en annan person stärks, eftersom det tydliggör att båda har starka kopplingar till en viss plats, en viss annan person eller en viss företeelse. I vilka fall en ny regi- strering avseende en person ska påverka tiden för behandling avseende en annan person måste dock avgöras från fall till fall (jfr prop. 2017/18:269 s. 129). 12.2.4Personuppgifter som rör viss säkerhetshotande verksamhet Regeringens förslag: Personuppgifter som hänför sig till sådan säker- hetshotande verksamhet som avses i 18 och 19 kap. och som utövas av främmande makt ska inte få behandlas längre än efter utgången av det kalenderår då den senaste registreringen gjordes avseende personens anknytning till brott eller brottslig verksamhet. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Säkerhetspolisen anser att personuppgifter som rör säkerhetshotande verksamhet ska kunna behandlas som längst på grund av den långsiktighet som präglar kontraspionageverksamheten. Datainspektionen avstyrker förslaget då utredningen inte visat att det finns ett behov av att spara uppgifterna . Skälen för regeringens förslag Vad är kontraspionage? Säkerhetspolisens kontraspionageverksamhet har till uppgift att före- bygga, förhindra och upptäcka spioneri, olaglig underrättelseverksamhet och andra brott mot säkerhet. Kontraspionage omfattar inhämtning av underrättelser om och bedömning av andra staters spionage mot .