prop · H60365 · 2019-03-19 00:00:00 — Personuppgiftsbehandling i viss verksamhet som rör allmän ordning och säkerhet - anpassningar till EU:s dataskyddsreform Regeringens proposition 2018/19:65 Personuppgiftsbehandling i viss verksamhet som Prop. rör allmän ordning och säkerhet – anpassningar 2018/19:65 till EU:s dataskyddsreform Regeringen överlämnar denna proposition till . Regeringen föreslår en ny kustbevakningsdatalag samt ändringar av vissa andra lagar som reglerar personuppgiftsbehandling i verksamhet som rör allmän ordning och säkerhet. EU:s dataskyddsförordning började tillämpas . Förordningen kräver att svenska författningar anpassas för att säkerställa både att förordningen får ett effektivt genomslag och att svensk rätt inte strider mot förordningen. EU:s nya dataskyddsdirektiv har genomförts i huvudsak genom brottsdatalagen som trädde i kraft . Brottsdatalagen är generellt tillämplig inom det område som direktivet reglerar men om det finns bestämmelser i andra författningar som avviker gäller de före den lagen. I propositionen finns förslag till en ny kustbevakningsdatalag som kompletterar dataskyddsförordningen samt förslag till anpassningar till EU:s dataskyddsreform genom bl.a. ändringar i vapenlagen och lagen om belastningsregister. Utöver en anpassning till dataskyddsreformen innebär förslagen även en förenklad reglering av den behandling av person- uppgifter som sker vid uppbörd av böter, t.ex. när en person frivilligt betalar utdömda böter. Den nya lagen och lagändringarna föreslås träda i kraft . Förslag till riksdagsbeslut ................................................................. Förslag till kustbevakningsdatalag ..................................... Förslag till lag om ändring i vapenlagen (1996:67).......... 2.3Förslag till lag om ändring i lagen (1998:620) om 2.4Förslag till lag om ändring i lagen (1998:621) om 2.5Förslag till lag om ändring i lagen (2000:344) om 2.6Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400) ................................................ 2.7Förslag till lag om ändring i lagen (2018:1693) om polisens behandling av personuppgifter inom 2.8Förslag till lag om ändring i lagen (2018:1694) om behandling av personuppgifter inom 2.9Förslag till lag om ändring i lagen (2018:1695) om behandling av personuppgifter inom brottsdatalagens område .......................................... 3 Ärendet och dess beredning ............................................................ 4 Bakgrund och utgångspunkter ........................................................ Personuppgiftslagen och 1995 års Dataskyddsförordningen och 2016 års 4.3Utgångspunkter för anpassningarna av de aktuella Allmänna överväganden om anpassningar till dataskyddsförordningen och dataskyddslagen ................................ Rättslig grund för personuppgiftsbehandlingen................ 5.3Övergripande om möjligheten att behålla och införa 5.4Bestämmelser som är förenliga med 5.4.1Bestämmelser om syfte och Bestämmelser om personuppgiftsansvar ......... Bestämmelser om utlämnande ........................ Bestämmelser om vilka uppgifter som får Åtkomst till personuppgifter inom myndigheten och sökbegränsningar ............... Bestämmelser om bevarande och gallring ...... Bestämmelser om föreskriftsrätt..................... Bestämmelser som inte kan behållas ............................... Bestämmelser om registrerades rättigheter...................... Rättelse och komplettering ............................. Begränsning av behandling ............................ Information om personuppgiftsincidenter ...... Behovet av nya bestämmelser ......................................... Bestämmelser om förhållandet till den Det behövs inga bestämmelser om skadestånd eller överklagande ........................ Det behövs inga bestämmelser om tillsyn eller administrativa sanktionsavgifter ............. Allmänna överväganden om anpassningar till dataskyddsdirektivet och brottsdatalagen....................................... Övergripande om anpassningar till dataskyddsdirektivet och brottsdatalagen ........................ Rättslig grund för personuppgiftsbehandlingen............... 6.3Bestämmelser som är förenliga med dataskyddsdirektivet och brottsdatalagen ........................ Bestämmelser om syfte och Bestämmelser om personuppgiftsansvar ........ Bestämmelser om utlämnande ........................ Bestämmelser om vilka uppgifter som får Bestämmelser om gallring .............................. Bestämmelser om föreskriftsrätt..................... Bestämmelser som inte kan behållas ............................... Bestämmelser om registrerades rättigheter...................... Behovet av nya bestämmelser ......................................... Bestämmelser om förhållandet till den Bestämmelser om tillsyn ................................ Bestämmelser om skadestånd ......................... Bestämmelser om överklagande ..................... 7 Ny Kustbevakningsdatalag............................................................. dataskyddsförordningens område vilar på rättslig En ny kustbevakningsdatalag inom Den nya kustbevakningsdatalagens innehåll .................... Lagens syfte, tillgången till personuppgifter och personuppgiftsansvar ...... Utlämnande av personuppgifter och Information till den registrerade ...................... Bevarande och gallring.................................... Bestämmelser som inte behövs i den nya Lagen om belastningsregister.......................................................... Kort om författningen....................................................... 8.2Är brottsdatalagen eller dataskyddsförordningen 8.3Vilka ändringar bör göras som en följd av Skyldighet att föra belastningsregistret, ändamål och innehåll ....................................... Förhållandet till andra bestämmelser om Utlämnanden av uppgifter ur belastningsregistret för användning vid Enskildas rätt till utdrag ur belastningsregistret för egen användning ........ Utlämnanden av uppgifter ur belastningsregistret för andra enskildas Utlämnanden av uppgifter ur belastningsregistret för användning vid Rättelse och skadestånd ................................. Lagen om misstankeregister.......................................................... Är brottsdatalagen eller dataskyddsförordningen 9.2Vilka ändringar bör göras som en följd av Skyldighet att föra misstankeregistret, ändamål och innehåll .................................... Förhållandet till andra bestämmelser om Utlämnanden av uppgifter ur misstankeregistret för användning vid Enskildas rätt till utdrag ur misstankeregistret för egen användning ....... Utlämnanden av uppgifter ur misstankeregistret för andra enskildas Utlämnanden av uppgifter ur misstankeregistret för användning vid Rättelse och skadestånd ................................ 10.1Är brottsdatalagen eller dataskyddsförordningen 10.2Vilka ändringar bör göras som en följd av personuppgiftsombud och förhållandet till Skyldighet att föra vapenregistren samt registrens ändamål och innehåll.................... Tillgång till personuppgifter ......................... Rättelse och skadestånd ................................ Bevarande och gallring ................................. Utlämnande av uppgifter .............................. 11 Lagen om Schengens informationssystem ................................... 11.3Är brottsdatalagen eller dataskyddsförordningen 11.4Vilka ändringar bör göras som en följd av Skyldighet att föra , ändamål och innehåll ..................................... Förhållandet till andra bestämmelser om Förbud mot registrering av vissa känsliga Bevarande och gallring.................................. Rättelse, skadestånd och överklagande ......... Genomförandet av rådsbeslutet ..................... 12 Regleringen om registrering av förelägganden och uppbörd av Utdömande och föreläggande av böter ........................... Annan betalningsskyldighet som omfattas av reglerna om uppbörd................................. Uppbörd av böter............................................................ Verkställighet av uppbörd av böter ............... Vad omfattas av reglerna om uppbörd?......... Nuvarande reglering av personuppgiftsbehandlingen .... Tillämplig reglering efter dataskyddsreformen .............. 12.5Personuppgiftsbehandling vid registrering av Personuppgiftsbehandlingen ska styras av behöver inte anpassas .................................... Personuppgiftsbehandling vid uppbörd av böter ............ Personuppgiftsbehandlingen ska styras av tillgängliga uppgifter bör styra Gemensamt tillgängliga uppgifter ................. Längsta tid för behandling............................. Uppbörd av viten ........................................... Ikraftträdande- och övergångsbestämmelser................................. Konsekvenser av förslagen ........................................................... Förslaget till kustbevakningsdatalag .............................. Förslaget till lag om ändring i vapenlagen (1996:67)..... 15.3Förslaget till lag om ändring i lagen (1998:620) om 15.4Förslaget till lag om ändring i lagen (1998:621) om 15.5Förslaget till lag om ändring i lagen (2000:344) om 15.6Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400) ............................................. 15.7Förslaget till lag om ändring i lagen (2018:1693) om polisens behandling av personuppgifter inom 15.8Förslaget till lag om ändring i lagen (2018:1694) om behandling av personuppgifter inom 15.9Förslaget till lag om ändring i lagen (2018:1695) om behandling av personuppgifter inom brottsdatalagens område ....................................... Sammanfattning av promemorian EU:s dataskyddsreform – anpassningar av vissa författningar om allmän ordning och säkerhet (Ds Förteckning över remissinstanserna .............................. Sammanfattning av promemorian Uppbörd av böter efter EU:s dataskyddsreform (Ds 2018:3) ..................... Förteckning över remissinstanserna .............................. Utdrag ur protokoll vid regeringssammanträde ...... 1.Riksdagen antar regeringens förslag till kustbevakningsdatalag. 2.Riksdagen antar regeringens förslag till lag om ändring i vapenlagen (1996:67). 3.Riksdagen antar regeringens förslag till lag om ändring i lagen (1998:620) om belastningsregister. 4.Riksdagen antar regeringens förslag till lag om ändring i lagen (1998:621) om misstankeregister. 5.Riksdagen antar regeringens förslag till lag om ändring i lagen (2000:344) om Schengens informationssystem. 6.Riksdagen antar regeringens förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400). 7.Riksdagen antar regeringens förslag till lag om ändring i lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område. 8.Riksdagen antar regeringens förslag till lag om ändring i lagen (2018:1694) om behandling av personuppgifter inom brottsdatalagens område. 9.Riksdagen antar regeringens förslag till lag om ändring i lagen (2018:1695) om behandling av personuppgifter inom brottsdatalagens område. Regeringen har följande förslag till lagtext. Härigenom föreskrivs följande. 1 § Syftet med denna lag är att ge möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin operativa verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. 2 § Denna lag gäller vid behandling av personuppgifter i Kust- bevakningens operativa verksamhet som rör 3.samordning av civila behov av sjöövervakning och förmedling av civil sjöinformation, och Lagen gäller inte vid behandling av personuppgifter som omfattas av lagen (2018:1695) om behandling av personuppgifter inom brottsdatalagens område. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Förhållandet till annan reglering 3 § Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. 4 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som meddelats i anslutning till lagen. Lagens tillämpning på juridiska personer 5 § Följande bestämmelser om personuppgifter gäller även vid behandling av uppgifter om juridiska personer: 2018/19:65 1. 6 § om personuppgiftsansvar, 2.7–11 §§ om ändamålen för behandlingen, 3.15 § om tillgången till personuppgifter, och 4.24 § om bevarande och gallring. 6 § är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. 7 § Personuppgifter får behandlas om det är nödvändigt för att 1.bedriva sjöövervakning för att övervaka den allmänna ordningen och säkerheten till sjöss samt bedriva den kontroll och tillsyn som är skyldig att utföra, 3.samordna civila behov av sjöövervakning och förmedla civil sjöinformation till berörda myndigheter, 4.utreda och besluta i ärenden om vattenföroreningsavgift och ta emot sådana avgifter, eller 5.fullgöra skyldigheter inom ramen för internationellt samarbete med sjöövervakning och räddningstjänst. 8 § Utöver vad som anges i 7 § får personuppgifter behandlas om 1.behandlingen är nödvändig för diarieföring, eller 2.uppgifterna har lämnats i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. 9 § Personuppgifter som behandlas enligt 7 § får även behandlas om det är nödvändigt för att tillhandahålla information som behövs i 1.Kustbevakningens verksamhet som syftar till att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet, 2.någon annan myndighets verksamhet, om a)enligt lag eller förordning är skyldig att bistå myndigheten med en viss uppgift, eller b)informationen tillhandahålls inom ramen för myndighets- överskridande samverkan, eller 3. likartad verksamhet hos en utländsk myndighet. 10 § Personuppgifter som behandlas enligt 7 § får även behandlas om det är nödvändigt för att tillhandahålla information till och regeringen samt, i den utsträckning skyldigheten att lämna uppgifter följer av lag eller förordning, till någon annan. 11 § Personuppgifter som behandlas enligt 7 § får även behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Behandling av känsliga personuppgifter 12 § Om uppgifter om en person behandlas får de kompletteras med sådana uppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) när det är absolut nödvändigt för syftet med behandlingen. Känsliga personuppgifter får också behandlas med stöd av 8 §. 13 § Det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Första stycket hindrar inte att uppgifter som beskriver en persons utseende används som sökbegrepp. Uppgifter som beskriver en persons utseende 14 § Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. 15 § Tillgången till personuppgifter ska begränsas till vad varje tjänste- man behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om tillgången till personuppgifter. 16 § Personuppgifter som får behandlas enligt 7 § får göras gemensamt tillgängliga. Med gemensamt tillgängliga uppgifter avses personuppgifter som görs eller har gjorts gemensamt tillgängliga i operativa verksamhet och som fler än endast ett fåtal personer inom myndigheten har rätt att ta del av. 17 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om i vilken utsträckning personuppgifter får lämnas ut till svenska och utländska myndigheter. 18 § Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som följer av 20–22 §§. 19 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela före- skrifter om begränsning av möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst. 20 § Direktåtkomst får endast avse personuppgifter som har gjorts gemensamt tillgängliga. Direktåtkomsten får inte avse känsliga person- uppgifter. 21 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om vilka svenska och utländska myndigheter som får ha direktåtkomst till personuppgifter som behandlas med stöd av 7 § i denna lag. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om omfattningen av direktåtkomsten och om behörighet och säkerhet. 22 § En svensk myndighet som medgetts direktåtkomst ansvarar för att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Information till den registrerade 23 § Information enligt artikel 13 i EU:s dataskyddsförordning behöver inte lämnas vid behandling som består av insamling av personuppgifter genom bilder eller ljud, såvida behandlingen i övrigt inte innebär en direkt identifiering av en person. Sådan information behöver inte heller lämnas om uppgifterna samlas in i samband med larm och det med hänsyn till omständigheterna inte finns tid att lämna informationen. 24 § Personuppgifter som behandlas automatiserat ska gallras så snart uppgifterna inte längre behövs för det ändamål för vilket de behandlas, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om att gallring ska ske senast eller att uppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om digital arkivering. Denna lag träder i kraft . Förslag till lag om ändring i vapenlagen Härigenom föreskrivs i fråga om vapenlagen (1996:67)1 dels att 1 a kap. 2 och 9 §§ ska upphöra att gälla, dels att nuvarande 1 a kap. 1 § ska betecknas 1 a kap. 2 §, dels att 1 a kap. 3, 4, 6 och 10 §§ och rubriken närmast före 1 a kap. 6 § ska ha följande lydelse, dels att rubriken närmast före 1 a kap. 1 § ska sättas närmast före 1 a kap. 2 §, dels att det ska införas två nya paragrafer, 1 a kap. 1 och 1 a §§, och närmast före 1 a kap. 1 § en ny rubrik av följande lydelse, Förhållandet till annan reglering Bestämmelserna i detta kapitel kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförord- ning. Vid behandling av person- uppgifter som omfattas av EU:s dataskyddsförordning gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av detta kapitel eller föreskrifter som har meddelats i anslutning till kapitlet. 1 Senaste lydelse av 1 a kap. 1 § 2014:591 1 a kap. 2 1 a kap. 9 Vid behandling av person- uppgifter som omfattas av brotts- datalagen (2018:1177) gäller be- utöver den lagen. Uppgifter om en person får inte Om uppgifter om en person behandlas enbart på grund av vad behandlas, får de kompletteras som är känt om personens ras med känsliga personuppgifter när detta är absolut nödvändigt för åsikter, religiösa eller filosofiska syftet med behandlingen. personuppgifter får också be- handlas om det är nödvändigt för diarieföring eller om uppgifterna i en anmälan eller liknande och Om uppgifter om en person Vad som avses med känsliga behandlas på annan grund, får de kompletteras med sådana upp- artikel 9.1 i EU:s dataskydds- gifter som avses i första stycket förordning och 2 kap. 11–13 §§ när det är absolut nödvändigt för brottsdatalagen (2018:1177). Uppgifter som avses i första stycket får också behandlas om det eller om uppgifterna har lämnats Det är förbjudet att utföra som behandlas med stöd av denna sökningar i syfte att få fram ett lag får uppgifter som avslöjar ras, urval av personer grundat på etniskt ursprung, politiska åsikter, fackförening eller som rör hälsa eller sexualliv inte användas som sökbegrepp. 2Senaste lydelse 2014:591. 3Senaste lydelse 2014:591. Bestämmelsen om skadestånd i7 kap. 1 § brottsdatalagen (2018:1177) ska tillämpas om behandling av personuppgifter som omfattas av brottsdatalagen skett i strid med detta kapitel eller föreskrifter som har meddelats i anslutning till kapitlet. behandling som omfattas av Bestämmelserna i personupp- giftslagen (1998:204) om rättelse och skadestånd tillämpas på motsvarande sätt vid behandling av personuppgifter enligt denna lag eller enligt föreskrifter som avses i 15 §. Utan hinder av vad som sägs i 9 § ska uppgifter om skjutvapen sådana vapendelar som avses i 2 a och sådana vapendelar som avses kap. ska bevaras i vapenregister i i 2 a kap. bevaras i vapenregister i nummer avseende den som har personnummer avseende den som har meddelats tillstånd att inneha skjutvapen eller tillstånd att driva skjutvapen eller tillstånd att driva handel med skjutvapen. handel med skjutvapen. Denna lag träder i kraft . Senaste lydelse 2014:591. Senaste lydelse 2014:591. Senaste lydelse 2014:591. 2.3Förslag till lag om ändring i lagen (1998:620) om belastningsregister Härigenom föreskrivs i fråga om lagen (1998:620) om belastnings- register dels att 1 a, 2, 9 och 20 §§ och rubriken närmast före 20 § ska ha följande lydelse, dels att det ska införas tre nya paragrafer, 1 b, 5 a och 22 §§, och närmast före 5 a och 22 §§ nya rubriker av följande lydelse. Denna lag gäller utöver Denna lag gäller utöver personuppgiftslagen (1998:204). brottsdatalagen (2018:1177). Vid behandling av person- uppgifter som inte omfattas av brottsdatalagen (2018:1177) kom- pletterar denna lag Europa- parlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Vid behandling av person- uppgifter enligt första stycket gäller lagen (2018:218) med kom- pletterande bestämmelser till EU:s dataskyddsförordning och före- skrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. ska föras för att ge information om sådana belastningsuppgifter som behövs i verksamhet hos 1Senaste lydelse 2013:331. 2Tidigare 1 b § upphävd genom 2018:1243. 3Senaste lydelse 2014:593. verket och för att verket och för att förebygga, förhindra eller upptäcka 2.åklagarmyndigheter för beslut om förundersökning och åtal samt för utfärdande av strafföreläggande, straffmätning och val av påföljd straffmätning och val av påföljd, 4.Polismyndigheten och andra myndigheter vid sådan lämplighets- prövning, tillståndsprövning eller annan prövning som anges i författning. Registret får användas också för att till en enskild lämna uppgifter som är av särskild betydelse i hans eller hennes verksamhet. Sökbegrepp vid sökning i registret i 2 kap. 14 § brotts- datalagen hindrar inte att brotts- som sökbegrepp vid sökning i En enskild har rätt att på begäran En enskild har rätt att på begäran skriftligen få ta del av samtliga