prop · H603163 · 2019-09-09 00:00:00 — Övervägandena finns i avsnitt 18. I paragrafen anges när registerkontroll ska göras. I andra och tredje styckena läggs en hänvisning till lagen om Säkerhetspolisens behandling av personuppgifter till, vilket inte innebär någon ändring i sak av den ordning som gäller . Första och fjärde styckena är oförändrade. Övervägandena finns i avsnitt 18. 21.7Förslag till lag om ändring i lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område Genom ändringen upphör punkt 4 i ikraftträdande- och övergångs- bestämmelserna till lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område att gälla. Övervägandena finns i avsnitt 18. När lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område infördes upphävdes polisdatalagen (2010:361). Genom en övergångsbestämmelse fortsatte polisdatalagen att gälla för Säkerhetspolisens personuppgiftsbehandling på området för nationell säkerhet. När Säkerhetspolisens nya datalag införs behövs inte längre övergångsbestämmelsen. Sammanfattning av betänkandet Brottsdatalag – kompletterande lagstiftning (SOU 2017:74) En ny lag för Säkerhetspolisen Regleringen utgår från dagens reglering och brottsdatalagen Utredningen föreslår att det ska införas en ny lag om Säkerhetspolisens behandling av personuppgifter, Säkerhetspolisens datalag, som ersätter regleringen i polisdatalagen. Den regleringen ska bilda mönster för den nya lagen, som ska vara heltäckande och därför blir betydligt mer omfattande än dagens reglering. Den nya lagen följer i princip brottsdatalagens systematik och innehåll. Det innebär att bestämmelserna om grundläggande krav på behandling, den personuppgiftsansvariges skyldigheter, enskildas rättigheter, skadestånd, rättsmedel och överföring av personuppgifter till tredjeland i stort sett överensstämmer med brottsdatalagens bestämmelser. Lagen ska gälla vid behandling av personuppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lagförande verksamhet. När Säkerhetspolisen behandlar personuppgifter som inte rör nationell säkerhet i syfte att bekämpa och lagföra brott ska myndigheten tillämpa brottsdatalagen och polisens brottsdatalag. Rättslig grund för behandling av personuppgifter Regleringen av för vilka ändamål Säkerhetspolisen får behandla personuppgifter är uppdelad i primära och sekundära ändamål. Regleringen behålls i stort sett oförändrad men det tydliggörs att det är fråga om bestämmelser om rättslig grund – rättslig grund för behandling och rättslig grund för utlämnande. Behandling av känsliga personuppgifter Huvudregeln är att Säkerhetspolisen på samma sätt som inte ska få behandla känsliga personuppgifter. Om uppgifter om en person redan behandlas ska de dock få kompletteras med känsliga personuppgifter om det är absolut nödvändigt. Säkerhetspolisen får använda uppgifter som avslöjar känsliga personuppgifter som sökbegrepp om det är absolut nödvändigt. Utredningen föreslår att samma sökförbud som i brottsdatalagen ska gälla för Säkerhetspolisen, dvs. att det ska vara förbjudet att göra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. Från förbudet görs det undantag. Det ska vara tillåtet att använda brottsrubriceringar, uppgifter om tillvägagångssätt vid brott och uppgifter som beskriver en persons utseende vid sökning. Även sökningar i syfte att få fram personurval grundat på flertalet känsliga personuppgifter ska tillåtas, om sökningen är absolut nödvändig. Säkerhetspolisen ska få lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Säkerhetspolisen ska få medge , Försvarsmakten och direktåtkomst till personuppgifter som har gjorts gemensamt tillgängliga och som Säkerhetspolisen behandlar för vissa Även underrättelse- och säkerhetstjänster inom EU och EES ska få medges direktåtkomst till uppgifter som Säkerhetspolisen behandlar för vissa syften om det behövs för samarbetet mot terrorism. direktåtkomst ska dock endast få medges till personuppgifter i en avskild uppgiftssamling och regeringen ska underrättas innan direktåtkomst Längsta tid för behandling Personuppgifter ska inte få behandlas än vad som behövs för något eller några av de syften för vilka Säkerhetspolisen får behandla Huvudregeln ska på samma sätt som vara att personuppgifter som har gjorts gemensamt tillgängliga inte får behandlas längre än då den senaste registreringen avseende personen Uppgifter om personer som ännu inte fyllt ska dock inte få behandlas längre än från den senaste registreringen. Personuppgifter som hänför sig till sådan säkerhetshotande verksamhet som avses i 18 och 19 kap. ska inte få behandlas längre än då den senaste registreringen gjordes. På samma sätt som ska Säkerhetspolisen kunna besluta att personuppgifter får behandlas om det finns särskilda skäl. Tillsyn över Säkerhetspolisens personuppgiftsbehandling Både Datainspektionen och ska på i huvudsak samma sätt som utöva tillsyn över Säkerhetspolisens Datainspektionen ska utöva allmän tillsyn över personuppgifts- behandling enligt den nya lagen och ge råd och stöd till Säkerhetspolisen. Inspektionen ska i huvudsak ha samma befogenheter som enligt Säkerhetspolisen ska dock inte kunna ska utöva tillsyn över Säkerhetspolisens personuppgiftsbehandling och på begäran av enskild kontrollera om behandlingen av personuppgifter är författningsenlig. Den nya lagen och övriga författningsändringar föreslås träda i kraft den Till den nya lagen krävs det övergångsbestämmelser för ärenden om tillsyn som har påbörjats före ikraftträdandet men inte hunnit slutföras och för mål som har överklagats men som inte har hunnit Det krävs också en övergångsbestämmelse för ersättning av skador som har vållats före ikraftträdandet. Förslag till Säkerhetspolisens datalag (2018:000) Härigenom föreskrivs följande. 1 kap. Allmänna bestämmelser 1 § Syftet med denna lag är att skydda fysiska personers grundläggande fri- och rättigheter i samband med behandling av personuppgifter och att säkerställa att Säkerhetspolisen kan behandla och utbyta personuppgifter på ett ändamålsenligt sätt. 2 § Denna lag gäller vid behandling av personuppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lagförande verksamhet. Lagen gäller i tillämpliga delar vid behandling av personuppgifter när myndigheten har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspolisen. Vid behandling av personuppgifter enligt denna lag gäller inte lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning. 3 § Lagen gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Förhållandet till annan reglering 4 § I lagen (2017:496) om internationellt polisiärt samarbete och i föreskrifter som regeringen har meddelat i anslutning till den lagen, finns det särskilda bestämmelser om behandling av personuppgifter som följer av internationella överenskommelser. Om det i dessa författningar finns avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag. 5 § Bestämmelserna i denna lag ska inte tillämpas i den utsträckning det skulle inskränka skyldigheten enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter. 6 § I brottsdatalagen (2018:000) och polisens brottsdatalag (2010:361) finns det bestämmelser om Säkerhetspolisens behandling av personuppgifter i frågor som inte rör nationell säkerhet. 7 § Säkerhetspolisen är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Personuppgiftsansvaret omfattar all behandling av personuppgifter som utförs under respektive myndighets ledning eller på dess vägnar. 8 § Säkerhetspolisen får vara gemensamt personuppgiftsansvarig med annan endast i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. 9 § I denna lag används följande uttryck med nedan angiven betydelse. En åtgärd eller kombination av åtgärder som vidtas i fråga om av personuppgifter, oavsett om det görs automatiserat eller inte, t.ex. justering, sammanföring, begräns- ning, radering eller förstöring. beteendemässiga kännetecken, som tagits fram genom särskild teknisk behandling och som möjliggör eller personen i fråga. En fysisk person som utses av den personuppgiftsansvarige för att självständigt se till att person- enligt och på ett korrekt sätt. persons nedärvda eller förvärvade härrör från analys av ett spår av eller ett prov från personen i fråga. underställda organ som lyder under folkrätten eller ett annat organ som inrättats genom eller på grundval av eller flera stater. lämnas ut, med undantag av en myndighet som med stöd av fysisk person som är i livet. Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen Den som, med stöd av ett skriftligt avtal eller annan skriftlig personuppgifter för den person- Den myndighet som regeringen utser att enligt denna lag utöva En stat som inte är medlem i området och som inte heller på grund av avtal med Europeiska Någon annan än den registrerade, som under den personuppgifts- biträdets direkta ansvar har rätt att Uppgift som rör hälsa Personuppgift som rör en persons tillhandahållande av hälso- och upplysning om personens hälso- Lagens tillämpning på uppgifter om juridiska personer 10 § Bestämmelserna om personuppgifter i följande paragrafer gäller också vid behandling av uppgifter om juridiska personer: 1.7 § om personuppgiftsansvar, 2.2 kap. 1–3 §§ om tillåtna rättsliga grunder för behandling av personuppgifter, 3.3 kap. 2 och 3 §§ om gemensamt tillgängliga uppgifter, 4.4 kap. 1–4 och 6–11 §§ om längsta tid som personuppgifter får behandlas, och 5.5 kap. 5 § om tillgången till personuppgifter. 2 kap. Behandling av personuppgifter Tillåtna rättsliga grunder för behandling av personuppgifter 1 § Personuppgifter får behandlas om det är nödvändigt för att utföra en arbetsuppgift i syfte att 1.förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar a) brott mot rikets säkerhet, b) terrorbrott, eller c)tryckfrihetsbrott eller yttrandefrihetsbrott med rasistiska eller främlingsfientliga motiv, 2. utreda eller lagföra sådana brott som avses i 1, eller, efter särskilt beslut, annat brott, 3. fullgöra uppgifter a)i samband med personskydd av den centrala statsledningen och andra som regeringen eller Säkerhetspolisen bestämmer, b)enligt säkerhetsskyddslagen (1996:627), eller c)enligt utlännings- och medborgarskapslagstiftningen, 4.fullgöra annan arbetsuppgift som rör nationell säkerhet och som anges ilag eller förordning eller särskilt beslut av regeringen, eller 5.fullgöra förpliktelser som följer av internationella åtaganden. Arbetsuppgiften ska framgå av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift. 2 § Personuppgifter som behandlas med stöd av 1 § får även behandlas om det är nödvändigt för att tillhandahålla information som behövs 1.för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000) hos , , , , och , 2.i en myndighets verksamhet, om informationen tillhandahålls inom ramen för myndighetsöverskridande samverkan mot brott, 3.i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst och i Försvarets radioanstalts försvarsunderrättelse– verksamhet, om det finns särskilda skäl att tillhandahålla informationen, 4.i en myndighets verksamhet om Säkerhetspolisen enligt lag eller förordning ska bistå myndigheten med viss uppgift, 5.i brottsbekämpande verksamhet hos en utländsk myndighet eller mellanfolklig organisation, eller 6.i verksamhet hos utländsk underrättelse- eller säkerhetstjänst. Personuppgifter som behandlas med stöd av 1 § får även behandlas, om det är nödvändigt för att tillhandahålla information till och regeringen och, i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning, till andra. I ett enskilt fall får personuppgifter som behandlas med stöd av 1 § även behandlas för att tillhandahålla information för något annat ändamål än de som anges i första och andra styckena, under förutsättning att ändamålet inte är oförenligt med det ändamål som uppgifterna samlades in för. 3 § Personuppgifter får även behandlas om 1.det är nödvändigt för diarieföring, eller 2.uppgifterna har lämnats till Säkerhetspolisen i en anmälan, ansökan eller liknande och behandlingen är nödvändig för handläggningen. Ändamål för behandling av personuppgifter 4 § Personuppgifter får behandlas bara för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifter får inte behandlas för något ändamål som är oförenligt med det ändamål för vilket personuppgifterna ursprungligen behandlades. 5 § Säkerhetspolisen får behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål inom denna lags tillämpningsområde. Grundläggande krav på behandling av personuppgifter Laglig och korrekt behandling 6 § Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. 7 § Personuppgifter som behandlas ska vara korrekta och, om det är nödvändigt, uppdaterade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. 8 § Personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. 9 § Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. När uppgifter om en person behandlas får de dock kompletteras med sådana uppgifter som anges i första stycket om det är absolut nödvändigt för ändamålet med behandlingen. 10 § Säkerhetspolisen får behandla biometriska uppgifter endast om det är absolut nödvändigt för ändamålet med behandlingen. Genetiska uppgifter får inte behandlas. 11 § Personuppgifter som avses i 9 och 10 §§ betecknas som känsliga personuppgifter. Känsliga personuppgifter får behandlas med stöd av 3 §. 12 § Det är förbjudet att utföra sökning i syfte att få fram ett personurval grundat på känsliga personuppgifter. Första stycket hindrar inte att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott eller uppgifter som beskriver en persons utseende används vid sökning. Första stycket hindrar inte heller sökning i syfte att få fram ett personurval grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sökningen är absolut nödvändig för något av de syften som anges i 1 §. Åtgärder för att säkerställa personuppgifternas kvalitet 13 § Alla rimliga åtgärder ska vidtas för att personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen utan onödigt dröjsmål rättas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Personuppgifter som är inaktuella ska uppdateras om det är nödvändigt. 14 § Alla rimliga åtgärder ska vidtas för att personuppgifter som behandlas i strid med 1–6, 8–10 eller 12 § eller 4 kap. 1 § första stycket, 2–4 eller 7–11 § utan onödigt dröjsmål raderas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Detsamma gäller om radering krävs för att utföra en rättslig förpliktelse. Om förutsättningarna i första stycket för att radera personuppgifter är uppfyllda men de behöver finnas kvar som bevisning, ska Säkerhetspolisen i stället utan onödigt dröjsmål begränsa behandlingen av uppgifterna. Uppgiftsskyldighet och utlämnande av personuppgifter 15 § Personuppgifter som är nödvändiga för att framställa rättsstatistik ska lämnas till den myndighet som ansvarar för att framställa sådan statistik. 16 § Om det är förenligt med svenska intressen, får personuppgifter lämnas ut till 1.Interpol eller Europol, eller till en polismyndighet eller åklagarmyndighet i en stat som är ansluten till , om det behövs för att myndigheten eller organisationen ska kunna förebygga, förhindra, upptäcka, utreda eller lagföra brott, eller 2.utländsk underrättelse- eller säkerhetstjänst. Personuppgifter får vidare lämnas ut till en utländsk myndighet eller mellanfolklig organisation, om utlämnandet följer av en internationell överenskommelse som har tillträtt efter godkännande. 17 § har, trots sekretess enligt 21 kap. 3 § första stycket, 35 kap. 1 § och 37 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som har gjorts gemensamt tillgängliga och som behandlas med stöd av 1 § första stycket 1–3 a, om myndigheten behöver uppgifterna för något av de syften som anges i 2 kap. 1 § första stycket 1 eller 2 polisens brottsdatalag (2010:361). 18 § och Försvarsmakten har, trots sekretess enligt 21 kap. 3 § första stycket, 35 kap. 1 § och 37 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som har gjorts gemensamt tillgängliga och som be-handlas med stöd av 1 § första stycket 1 eller 2, om den mottagande myndigheten behöver uppgifterna i sin försvarsunderrättelseverksamhet eller militära säkerhetstjänst. 19 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 3 kap. 5–7 §§. 20 § Personuppgifter som tillhandahålls Säkerhetspolisen enligt 25 § polislagen (1984:387) får behandlas för något av de syften som anges i 1 § första stycket 1–3 a. Personuppgifter som avses i första stycket får endast i ett enskilt fall behandlas för nya ändamål. 21 § Vid terminalåtkomst enligt 26 § polislagen (1984:387) får Säkerhetspolisen inte ändra eller på annat sätt bearbeta personuppgifterna. 22 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1.att personuppgifter får lämnas ut i andra fall än som anges i 15–18 §§, 2.begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt 19 § första stycket, 4.sökning i personuppgifter. 3 kap. Gemensamt tillgängliga uppgifter 1 § Detta kapitel innehåller särskilda bestämmelser för behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga. Personuppgifter som endast ett fåtal personer har rätt att ta del av anses inte som gemensamt tillgängliga. Detta kapitel gäller inte när personuppgifter behandlas med stöd av 2 kap. 3 §. Personuppgifter som får göras gemensamt tillgängliga 2 § Personuppgifter får göras gemensamt tillgängliga om det behövs för något av de syften som anges i 2 kap. 1 §. 3 § Om det inte framgår av sammanhanget eller på något annat sätt för vilket ändamål som gemensamt tillgängliga personuppgifter behandlas, ska det tydliggöras genom en särskild upplysning. 4 § Om uppgifter som är gemensamt tillgängliga direkt kan hänföras till en person som inte är misstänkt för brott eller för att ha utövat eller komma att utöva brottslig verksamhet, ska det genom en särskild upplysning eller på något annat sätt framgå att personen inte är misstänkt för brott eller brottslig verksamhet som avses i 2 kap. 1 § första stycket 1 eller 2. Uppgifter om en person som kan antas ha direkt samband med sådan brottslig verksamhet som avses i 2 kap. 1 § första stycket 1 ska förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Någon upplysning behöver dock inte lämnas om det på grund av omständigheterna är onödigt. Någon upplysning enligt andra stycket behöver inte heller lämnas om 1.uppgifterna ingår i en uppgiftssamling som har skapats för att bearbeta och analysera information och som enbart särskilt angivna tjänstemän har åtkomst till och 2.bearbetningen av uppgifterna inte har genomförts. 5 § får för något av de syften som anges i 2 kap. 1 § första stycket 1 eller 2 polisens brottsdatalag (2010:361) medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 1 § första stycket 1–3 a. Direktåtkomsten får endast avse personuppgifter som har gjorts gemensamt tillgängliga. 6 § och Försvarsmakten får i försvars- underrättelseverksamheten och den militära säkerhetstjänsten medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 1 § första stycket 1 eller 2. Direktåtkomsten får endast avse personuppgifter som har gjorts gemensamt tillgängliga. 7 § Om det behövs för samarbetet mot terrorism får en underrättelse eller säkerhetstjänst i en medlemsstat i Europeiska unionen eller Europeiska ekonomiska samarbetsområdet medges direktåtkomst till personuppgifter i en avskild uppgiftssamling som Säkerhetspolisen upprättat i syfte att dela information med sådana mottagare. Uppgiftssamlingen får endast innehålla personuppgifter som behandlas med stöd av 2 kap. 1 § första stycket 1 b och har gjorts gemensamt tillgängliga. Innan direktåtkomst medges en utländsk underrättelse- eller säkerhetstjänst enligt första stycket ska Säkerhetspolisen underrätta regeringen. 8 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om underrättelseskyldighet vid direktåtkomst. 9 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om omfattningen av direktåtkomst enligt 5–7 §§ och om behörighet och säkerhet vid sådan åtkomst. 4 kap. Längsta tid som personuppgifter får behandlas 1 § Personuppgifter får inte behandlas än vad som behövs för något eller några av de syften som anges i 2 kap. 1–3 §§. Det som sägs i första stycket hindrar inte att Säkerhetspolisen arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. Vid automatiserad behandling gäller också de begränsningar som följer av 2–11 §§. Personuppgifter som inte har gjorts gemensamt tillgängliga 2 § Trots det som sägs i 1 § andra stycket får personuppgifter som inte har gjorts gemensamt tillgängliga inte behandlas längre än 1.ett år efter det att ärendet avslutades, om de behandlas i ett ärende, 2.ett år efter det att de behandlades automatiserat första gången, om de inte kan hänföras till ett ärende. Första stycket gäller inte personuppgifter i ärenden om utredning av eller lagföring för brott. Gemensamt tillgängliga uppgifter i ärenden om utredning av eller lagföring för brott 3 § Om en brottsanmälan avskrivs på grund av att den påstådda gärningen inte utgör brott, får personuppgifterna i anmälan inte längre behandlas för ändamål inom denna lags tillämpningsområde. Om en brottsanmälan i annat fall inte har lett till förundersökning eller annan motsvarande utredning, får personuppgifterna inte behandlas för ändamål inom denna lags tillämpningsområde när åtal inte längre får väckas för brottet. 4 § Om en förundersökning har lett till åtal eller annan domstols- prövning, får personuppgifterna i förundersökningen inte behandlas för ändamål inom denna lags tillämpningsområde längre än efter utgången av det kalenderår då domstolens avgörande fick laga kraft. Om en förundersökning har lagts ner eller avslutats på annat sätt än genom åtal, får personuppgifterna i förundersökningen inte behandlas för ändamål inom denna lags tillämpningsområde längre än efter utgången av det kalenderår då åklagarens eller förundersökningsledarens beslut meddelades. Första och andra styckena gäller även personuppgifter i andra utredningar som handläggs enligt bestämmelser i 23 kap. rättegångs– balken.