prop · H60337 · 2019-01-22 00:00:00 — Dataskyddsförordningen ger utrymme för en sådan särskild reglering av personuppgiftsbehandling som finns i lagen om passagerarregister EU-förordningar ska enligt artikel 288 i fördraget om Europeiska unionens funktionssätt ha allmän giltighet samt vara till alla delar bindande och direkt tillämpliga i varje medlemsstat i EU. Förordningar gäller alltså fullt ut och med samma innehåll inom hela EU och ska inte genomföras i nationell rätt. En medlemsstat kan behålla eller införa nationell lagstiftning på det område som en förordning omfattar, bara om förordningen ger utrymme för det. påpekar är skyddet för fysiska personer vid behandling av personuppgifter en grundläggande rättighet (artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna). En förutsättning för all personuppgiftsbehandling är att den sker i enlighet med de grundläggande principerna för behandling som uppställs i artikel 5 i dataskyddsförordningen, t.ex. att uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Enligt artikel 6.2 i dataskyddsförordningen får medlemsstaterna behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Detta förutsätter emellertid att det är fråga om sådan personuppgiftsbehandling som är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c) eller för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). I enlighet med skäl 8 i dataskyddsförordningen kan medlemsstaterna dessutom under vissa förutsättningar, och i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga, införliva delar av förordningen i nationell rätt. Enligt artikel 6.3 första stycket i dataskyddsförordningen ska de grunder för behandlingen som avses i artikel 6.1 c och e fastställas i enlighet med unionsrätten eller den nationella rätten. Enligt artikel 6.3 andra stycket ska vidare syftet med behandlingen fastställas i den rättsliga grunden eller, i fråga om behandling enligt artikel 6.1 e, vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan enligt artikel 6.3 andra stycket innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen. Bestämmelserna kan bl.a. gälla de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas och vilka registrerade som berörs. Bestämmelserna kan vidare gälla de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstider samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. De särskilda bestämmelserna i den nationella rätten ska i detta avseende uppfylla ett mål av allmänt intresse och vara proportionerliga mot det legitima mål som eftersträvas. Enligt artikel 23 i dataskyddsförordningen får begränsningar ske av vissa av de rättigheter och skyldigheter som föreskrivs i förordningen. Detta förutsätter att begränsningarna sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. Det förutsätter också att begränsningen sker i syfte att säkerställa något av de ändamål som anges i artikel 23, t.ex. unionens eller en medlemsstats viktiga mål av generellt allmänt intresse eller skydd av rättsväsendets oberoende och rättsliga åtgärder. skyldighet att föra passagerarregistret är fastställd genom lag. Personuppgiftsbehandlingen är nödvändig för att fullgöra en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Vidare uppfyller den ett mål av allmänt intresse och är proportionell mot det legitima mål som eftersträvas. Personuppgiftsbehandling enligt lagen om passagerarregister är därmed förenlig med dataskyddsförordningens krav på laglig behandling. Som redogjorts för ovan ger dataskyddsförordningen utrymme att såväl begränsa möjligheten att behandla personuppgifter som att utöka skyldigheten genom mer specificerade krav i förhållande till förordningen. Det måste dock vara fråga om sådana begränsningar till dataskyddsförordningens bestämmelser, eller sådana specifika bestämmelser som kan anses anpassa tillämpningen av förordningens bestämmelser, som är tillåtna. I lagen om passagerarregister finns bestämmelser om bl.a. tillåtna ändamål (4 §), vilka uppgifter som passagerarregistret får innehålla (5 §), utlämnande av uppgifter (6 och 7 §§), direktåtkomst (8 §), gallring (9 §) samt rättelse och skadestånd (10 §). Bestämmelserna utgör specifika krav för uppgiftsbehandlingen som säkerställer en laglig och rättvis behandling av personuppgifter. Det bedöms vara möjligt att behålla lagens kompletterande reglering även nu när dataskyddsförordningen har börjat tillämpas. Det finns dock behov av att förändra regleringen om hur lagen 2018/19:37 förhåller sig till annan lagstiftning. Vidare finns det skäl att överväga om vissa av bestämmelserna bör ändras eller upphävas med anledning av dataskyddsförordningen. Detta behandlas i de följande avsnitten. Brottsdatalagen ger utrymme för en sådan särskild reglering av personuppgiftsbehandling som finns i lagen om passagerarregister Ett direktiv innebär en skyldighet för medlemsstaterna att införa föreskrifter i enlighet med direktivet. Det nya dataskyddsdirektivet genomförs i huvudsak genom brottsdatalagen. Lagen är en ramlag som är anpassad till skyldigheterna och kraven i direktivet. I 2 kap. 1 § brottsdatalagen anges att personuppgifter får behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra sin uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Med en behörig myndighets uppgift avses en uppgift som framgår av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften. Paragrafen reglerar, tillsammans med 2 §, de tillåtna rättsliga grunderna för behandling av personuppgifter enligt lagen. Brottsdatalagen är subsidiär i förhållande till bestämmelser i annan lag eller förordning. I avsnitt 5.3.2 föreslås att bestämmelserna i lagen om passagerarregister och anslutande föreskrifter ska ha företräde framför brottsdatalagens bestämmelser. Som nämns i det föregående innehåller lagen om passagerarregister specifika bestämmelser som bl.a. preciserar syftet med behandlingen, vilka personuppgifter som får behandlas och behandlingens ändamål. Att åläggs att föra ett passagerarregister innebär att myndigheten uttryckligen getts en uppgift som omfattas av de syften som ingår i brottsdatalagens tillämpningsområde. Brottsdatalagen ger därför utrymme för en sådan särskild reglering om behandling av personuppgifter som finns i lagen om passagerarregister. Det finns dock även i förhållande till brottsdatalagen behov av att göra vissa anpassningar av bestämmelserna i lagen. Detta behandlas i de följande avsnitten. 5.3Förhållandet till annan lagstiftning 5.3.1Förhållandet till den generella dataskyddsregleringen Regeringens förslag: Bestämmelsen i lagen om passagerarregister om hur lagen förhåller sig till personuppgiftslagen ska upphävas och alla hänvisningar till personuppgiftslagen ska tas bort. I lagen införs i stället en bestämmelse som klargör att lagen kompletterar EU:s dataskyddsförordning. Det införs också en bestämmelse som anger att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller, om inte annat följer av lagen om passagerarregister eller föreskrifter som har meddelats i anslutning till lagen. Promemorians förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag Hänvisningarna till personuppgiftslagen tas bort I 2 § första stycket lagen om passagerarregister regleras lagens förhållande till personuppgiftslagen. Om inget annat följer av lagen om passagerarregister eller föreskrifter som har meddelats med stöd av den, tillämpas personuppgiftslagen vid behandlingen av personuppgifter i passagerarregistret. Enligt 3 § har de begrepp som används i lagen samma betydelse som i personuppgiftslagen. Vidare anges i 10 § att bestämmelserna i personuppgiftslagen om rättelse och skadestånd gäller vid behandling av personuppgifter enligt lagen om passagerarregister eller enligt föreskrifter som har meddelats med stöd av lagen. När dataskyddsförordningen började tillämpas upphävdes personuppgiftslagen, vilket innebär att hänvisningar till personuppgiftslagen inte kan finnas kvar. Bestämmelsen om hur lagen om passagerarregister förhåller sig till personuppgiftslagen bör därför upphävas och alla hänvisningar till personuppgiftslagen tas bort. Lagen om passagerarregisters förhållande till dataskyddsförordningen Dataskyddsförordningen utgör den generella reglering för behandling av personuppgifter som lagen om passagerarregister måste anpassas till. Lagen om passagerarregister kommer, som konstateras i avsnitt 5.2, att innehålla bestämmelser som kompletterar dataskyddsförordningen. Det bör införas en bestämmelse i lagen som upplyser om detta. De hänvisningar som föreslås i propositionen bör vara dynamiska, dvs. avse förordningen i den gällande lydelsen. På så sätt säkerställs att eventuella ändringar i dataskyddsförordningen får genomslag. Det kan emellertid inte uteslutas att lagen om passagerarregister ändå kan behöva ändras i samband med framtida ändringar i förordningen. Lagen om passagerarregisters förhållande till dataskyddslagen Lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) innehåller de bestämmelser som på ett generellt plan kompletterar dataskyddsförordningen. Dataskyddslagen är, i likhet med personuppgiftslagen, subsidiär i förhållande till bestämmelser i annan lag eller förordning (1 kap. 6 §). Lagen om passagerarregister bör ha motsvarande förhållande till dataskyddslagen som den har till personuppgiftslagen. Dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen bör alltså gälla, om inte annat följer av lagen om passagerarregister eller anslutande föreskrifter. Det bör införas en bestämmelse i lagen om passagerarregister som upplyser om detta. 2018/19:37 5.3.2 Förhållandet till brottsdatalagen och lagen om polisens behandling av personuppgifter inom Regeringens förslag: När en behörig myndighet behandlar personuppgifter enligt lagen om passagerarregister för syften som faller inom brottsdatalagens tillämpningsområde ska brottsdatalagen och föreskrifter som har meddelats i anslutning till den lagen gälla, om inte annat följer av lagen om passagerarregister eller föreskrifter som har meddelats i anslutning till lagen. En bestämmelse med sådant innehåll ska införas i lagen om passagerarregister. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Endast ett fåtal remissinstanser yttrar sig i denna anser att relationen mellan lagen om passagerarregister, brottsdatalagen och polisdatalagen (2010:361) med fördel kan förtydligas. Transportstyrelsen påpekar att all behandling som sker med stöd av lagen om passagerarregister är undantagen polisdatalagen vare sig behandlingen sker i syften som omfattas av brottsdatalagen eller dataskyddsförordningen. Transportstyrelsen har också, liksom Kammarrätten i , lagtekniska synpunkter. Skälen för regeringens förslag Lagen om passagerarregisters förhållande till brottsdatalagen Personuppgiftsbehandling enligt lagen om passagerarregister som sker för brottsbekämpande syften faller inom brottsdatalagens tillämpningsområde (se avsnitt 5.1). Även brottsdatalagen är subsidiär i förhållande till bestämmelser i annan lag eller förordning (1 kap. 5 § brottsdatalagen). Det bör i lagen om passagerarregister införas en bestämmelse som anger att brottsdatalagen och anslutande föreskrifter gäller, om inte annat följer av lagen om passagerarregister eller föreskrifter som har meddelats i anslutning till den. Förutom att syftet med personuppgiftsbehandlingen är avgörande för om brottsdatalagen är tillämplig krävs det också att myndigheten agerar i egenskap av behörig myndighet enligt 1 kap. 6 § den lagen. Bestämmelsen i lagen om passagerarregister bör anpassas till detta. Enligt Transportstyrelsen bör det bl.a. framgå av lagen om passagerarregister att termer och uttryck enligt lagen har samma betydelse som i dataskyddsförordningen och brottsdatalagen. En bestämmelse med liknande innehåll som Transportstyrelsen föreslår finns i 1 kap. 1 § andra stycket dataskyddslagen. Den bestämmelsen förhåller sig enbart till dataskyddsförordningen. I registerförfattningar som anpassas till EU:s dataskyddsreform förekommer däremot i princip inte sådana bestämmelser. Enligt regeringen saknas det skäl att införa en sådan bestämmelse i lagen om passagerarregister. Det finns inte heller skäl att i övrigt göra några lagtekniska förändringar. Lagen om passagerarregisters förhållande till lagen om polisens behandling av personuppgifter inom brottsdatalagens område Lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område – som ersätter den nu upphävda polisdatalagen – är en registerförfattning som gäller bl.a. när , i egenskap av behörig myndighet, behandlar personuppgifter i brottsbekämpande syfte (1 kap. 1 §). Lagen gäller inte vid behandling av personuppgifter enligt vissa uppräknade lagar, bl.a. lagen om passagerarregister (1 kap. 2 §). Enligt regeringen är det genom bestämmelsen tydligt att i den mån personuppgifter behandlas med stöd av lagen om passagerarregister ska lagen om polisens behandling av personuppgifter inom brottsdatalagens område inte tillämpas. Det saknas skäl att, såsom universitet och Transportstyrelsen är inne på, förtydliga detta ytterligare. 5.3.3 Inga hänvisningar i upplysningssyfte Regeringens bedömning: Det bör inte införas några hänvisningar till dataskyddsförordningen, dataskyddslagen eller brottsdatalagen endast i upplysningssyfte. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens bedömning: I lagen om passagerarregister finns som nämns i avsnitt 5.3.1 vissa hänvisningar till personuppgiftslagens bestämmelser. Det skulle kunna ligga nära till hands att ersätta hänvisningarna till personuppgiftslagen med hänvisningar till motsvarande bestämmelser i dataskyddsförordningen, dataskyddslagen och brottsdatalagen. Att enbart i upplysningssyfte hänvisa till vissa bestämmelser i dessa regelverk, som dessutom är relativt komplexa, innebär emellertid en risk för otydlighet för tillämparen. Vidare finns det risk för missuppfattningen att de bestämmelser i regelverken som det inte hänvisas till inte är tillämpliga. Dataskyddsförordningen är dessutom direkt tillämplig. Det bör därför inte införas några sådana hänvisningar i lagen om passagerarregister. 5.4Personuppgiftsansvar, ändamålet med registret och utlämnande av uppgifter Regeringens bedömning: Bestämmelserna om personuppgiftsansvar, ändamålet med registret och utlämnande av uppgifter i lagen om passagerarregister är förenliga med dataskyddsförordningen och brottsdatalagen och kan behållas. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens bedömning: Lagen om passagerarregister innehåller, i likhet med många andra registerförfattningar, en verksamhetsspecifik ändamålsbestämmelse som anger den yttersta ram 2018/19:37 inom vilken personuppgifter får behandlas. Enligt 4 § ska passagerarregistret föras för att underlätta verkställandet av personkontroller vid gräns mot stater som inte tillhör Europeiska unionen och inte heller har träffat avtal om samarbete enligt med konventionsstaterna. Av 1 § framgår att är personuppgiftsansvarig för behandlingen av personuppgifter i passagerarregistret. Enligt 6 § ska personuppgifter ur passagerarregistret lämnas ut på begäran av Säkerhetspolisen och för sådan verksamhet som avses i ändamålsbestämmelsen i 4 §. Regeringen får meddela föreskrifter om att uppgifter ur registret ska lämnas ut även till annan myndighet för sådan verksamhet. Regeringen har inte utnyttjat sin föreskriftsrätt. I promemorian görs bedömningen att bestämmelserna om personuppgiftsansvar, ändamålet med registret och utlämnande av uppgifter är förenliga med dataskyddsförordningen och brottsdatalagen. Ingen remissinstans invänder mot detta. Även regeringen delar promemorians bedömning att bestämmelserna är förenliga med dataskyddsförordningen och brottsdatalagen och därför inte behöver ändras. I avsnitt 5.9 föreslås att bestämmelsen om regeringens föreskriftsrätt i 6 § omformuleras till en upplysningsbestämmelse. Regeringens förslag: Bestämmelsen om rättelse i lagen om passagerarregister ska upphävas. Det ska i bestämmelsen om skadestånd införas en hänvisning till brottsdatalagens bestämmelse om skadestånd. Bestämmelsen om att en registrerad inte har rätt att motsätta sig sådan behandling som är tillåten enligt lagen ska anpassas språkligt till dataskyddsförordningen. Regeringens bedömning: Det bör även fortsättningsvis framgå av lagen om passagerarregister att en registrerad inte har rätt att motsätta sig sådan personuppgiftsbehandling som är tillåten enligt lagen. Promemorians förslag och bedömning överensstämmer med regeringens. Remissinstanserna: Endast ett fåtal remissinstanser yttrar sig i denna del. ifrågasätter nödvändigheten av en begränsning av de registrerades rätt att göra invändningar mot personuppgiftsbehandlingen. Transportstyrelsen motsätter sig inte förslaget att begränsa rätten att göra invändningar men efterlyser ett resonemang kring kravet på lagstiftningsåtgärder som innehåller specifika bestämmelser avseende de registrerades rätt att bli informerade om begränsningen. Skälen för regeringens förslag och bedömning I lagen om passagerarregister finns vissa bestämmelser som tar sikte på enskildas rättigheter. Av 2 § andra stycket framgår att den registrerade inte har rätt att motsätta sig sådan behandling som är tillåten enligt lagen och i 10 § regleras rätten till rättelse och skadestånd genom en hänvisning till personuppgiftslagen. Möjligheten att begränsa rätten att göra invändningar Dataskyddsförordningen innehåller en rätt för den registrerade att invända mot behandling av personuppgifter i artikel 21. Där stadgas att den registrerade ska, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1e (behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning) eller 6.1 f (den allmänna intresseavvägningen som inte gäller för myndigheter när de fullgör sina uppgifter). Följden av att en invändning görs enligt artikel 21.1 är att den personuppgiftsansvarige inte längre får behandla personuppgifterna om denne inte kan påvisa avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Genom artikel 23.1 i dataskyddsförordningen ges medlemsstaterna möjlighet att begränsa vissa av förordningens rättigheter och skyldigheter, inklusive rätten att göra invändningar enligt artikel 21. Enligt artikel 23.1 får en sådan begränsning göras om den sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa bl.a. den nationella och allmänna säkerheten, förebyggande, förhindrande, utredning, avslöjande eller lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten (artikel 23.1 d), eller andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse (artikel 23.1 e). I artikel 23.2 anges vidare att lagstiftningsåtgärder som avses i punkt 1 ska innehålla specifika bestämmelser åtminstone, när så är relevant, avseende bl.a. ändamålen med behandlingen eller kategorierna av behandling och lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av behandling. Den behandling av personuppgifter som regleras i lagen om passagerarregister kan, som framgår av avsnitt 5.2, vara nödvändig för att fullgöra en rättslig förpliktelse (artikel 6.1 c) eller för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). När behandling sker på den sistnämnda grunden är rätten att göra invändningar enligt artikel 21 tillämplig. I de fall en sådan behandling sker för att fastställa, utöva eller försvara ett rättsligt anspråk kan den personuppgiftsansvarige, i enlighet med artikel 21.1, fortsätta att behandla uppgifterna även efter en invändning från den enskilde. 2018/19:37 I likhet med promemorian anser regeringen att det är av stor betydelse att personuppgifter får behandlas i verksamhet som avser verkställandet av personkontroller oberoende av den registrerades inställning. Den personuppgiftsansvarige kan i princip undantagslöst visa på skäl för fortsatt behandling som väger tyngre än den registrerades intressen i det enskilda fallet. Under dessa omständigheter, och för att fullt ut säkerställa förutsättningarna att behandla relevanta personuppgifter anser regeringen, till skillnad från , att den registrerade inte heller fortsättningsvis bör ha någon rätt att motsätta sig sådan personuppgiftsbehandling som är tillåten enligt lagen. En sådan begränsning måste anses utgöra en nödvändig och proportionell åtgärd i syfte att bl.a. säkerställa ett viktigt mål av generellt allmänt intresse. Lagen om passagerarregister innehåller dessutom specifika bestämmelser om ändamålet med behandlingen, de kategorier av personuppgifter som får behandlas samt gallring. Regleringen innebär en relativt snäv ram för personuppgiftsbehandlingen och minimerar risken för kränkning av den registrerades rättigheter och friheter. Transportstyrelsen efterfrågar ett särskilt resonemang kring kravet på lagstiftningsåtgärder som innehåller specifika bestämmelser avseende de registrerades rätt att bli informerade om begränsningen (artikel 23. 2 h). Regeringen anser, i likhet med promemorian, att lagen får anses uppfylla de krav som ställs i artikel 23.2 i dataskyddsförordningen i de avseenden som är relevanta. Någon ytterligare reglering behövs inte. Bestämmelsen i 2 § andra stycket lagen om passagerarregister om att en registrerad inte har rätt att motsätta sig behandling kan med utgångspunkt i dataskyddsförordningen därför i princip behållas. Den bör dock omformuleras så att det tydligt framgår att den utgör en begränsning av rätten att göra invändningar enligt artikel 21 i dataskyddsförordningen. Bestämmelsen bör även ges en annan placering i lagen. Detta innebär inte någon förändring i sak. I brottsdatalagen finns inga motsvarande bestämmelser om rätt att göra invändningar som i dataskyddsförordningen. Den föreslagna bestämmelsen i lagen om passagerarregister är alltså förenlig även med brottsdatalagen. Rätten till rättelse och radering av personuppgifter