prop · H60365 · 2019-03-19 00:00:00 — Att, i stället för primära och sekundära ändamålsbestämmelser, införa bestämmelser i den nya kustbevaknings- datalagen av det slag som föreslagits på dataskyddsdirektivets område skulle alltså innebära ett avsteg från den systematik som gäller inom dataskyddsförordningens område. Mot bakgrund av ovanstående gör regeringen bedömningen att även den nya kustbevakningsdatalagen bör innehålla primära och sekundära ändamålsbestämmelser. Dessa bör motsvara de bestämmelser kustbevakningsdatalag som gäller inom dataskyddsförordningens tillämpningsområde, med de mindre justeringar som följer av att tillämpningsområdet för brottsdatalag inte bestäms helt i enlighet med tillämpningsområdet för 3 och 4 kap. lag. Detta innebär framför allt att den sekundära ändamålsbestämmelsen som möjliggör behandling av personuppgifter för att tillhandahålla information som behövs i brottsbekämpande verksamhet i stället ska hänvisa till verksamhet som syftar till att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet. Upprätthållande av allmän ordning och säkerhet omfattas alltså av den sekundära ändamålsbestämmelsen, till skillnad från sjöövervakning för att övervaka den allmänna ordningen och säkerheten till sjöss som omfattas av den primära ändamålsbestämmelsen. En utgångspunkt vid gränsdrag- ningen mellan dessa är att det för att viss verksamhet ska kunna anses utgöra ett upprätthållande av allmän ordning och säkerhet krävs fysisk närvaro på den plats där oordning förekommer eller riskerar att uppstå. När en kustbevakningstjänsteman ingriper eller är beredd att ingripa vid en konkret ordningsstörning, eller en potentiell sådan störning vid en specifik händelse, är det fråga om upprätthållande av allmän ordning och säkerhet. Den verksamhet som består av allmän övervakning i trygghetsskapande syfte och att genom närvaro se till att allmän ordning och säkerhet inte störs är i stället att se som övervakning av den allmänna ordningen och säkerheten (se vidare beträffande gränsdragningen i prop. 2017/18:269 s. 190 f.). Ett grundläggande krav enligt artikel 6.1 b–f i dataskyddsförordningen är att behandlingen ska vara nödvändig. Regeringen har i ett tidigare lagstiftningsärende bedömt att terminologin i registerförfattningarnas ändamålsbestämmelser i detta avseende bör anpassas till dataskydds- förordningens terminologi, eftersom det är olämpligt att använda begrepp i svenska registerförfattningar som kan ge det felaktiga intrycket att det ställs lägre krav på behandlingen i de svenska registerförfattningarna än i dataskyddsförordningen (propositionen Anpassningar av register- författningar på arbetsmarknadsområdet till EU:s dataskyddsförordning, prop. 2017/18:112, s. 53). I enlighet med den synpunkt som Kammarrätten i framfört bör dessutom samma begrepp användas i kust- bevakningsdatalagen som i brottsdatalag. I den primära ändamålsbestämmelsen i 7 § bör därför anges att får behandla personuppgifter för angivna ändamål om det är nödvändigt. 2018/19:65 Bör finalitetsprincipen regleras i den nya kustbevakningsdatalagen? Till skillnad från de primära ändamålen kustbevakningsdatalag är de sekundära inte uttömmande angivna. Av 5 kap. 2 § tredje stycket framgår att personuppgifter som behandlas enligt 5 kap. 1 § i ett enskilt fall även får behandlas för att tillhandahålla information för något annat ändamål än de som anges i de sekundära ändamålsbestämmelserna, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in (den s.k. finalitetsprincipen). Enligt regeringens bedömning bör finalitetsprincipen utgöra den yttersta ram inom vilken personuppgifter får behandlas även enligt den nya kustbevakningsdatalagen. Som anges i promemorian gäller principen visserligen enligt artikel 5.1 b i dataskyddsförordningen vid sådan be- handling. Enligt regeringens uppfattning bör detta dock av tydlighetsskäl framgå direkt av lagen. Denna bestämmelse utgör tillsammans med uppräkningen av tillåtna ändamål i 7–10 §§ en sådan ändamålsbegränsning som får införas i nationell rätt enligt artikel 6.3 i dataskyddsförordningen (propositionen anpassning till EU:s dataskyddsförordning av lagen om behandling av personuppgifter i verksamhet med val och folk- omröstningar, prop. 2017/18:115, s. 17). Regeringens förslag: Begreppet känsliga personuppgifter ska omfatta sådana personuppgifter som avses i artikel 9 i dataskyddsförordningen. Känsliga personuppgifter ska få behandlas under samma förut- sättningar som och förbudet mot att använda känsliga personuppgifter som sökbegrepp ska behållas. Bestämmelsen om förbud mot att använda känsliga personuppgifter som sökbegrepp ska anpassas språkligt till regleringen i dataskydds- förordningen och brottsdatalagen. Den nuvarande bestämmelsen om att uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt ska föras in i den nya lagen, men placeras i en egen paragraf. Promemorians förslag överensstämmer i sak med regeringens, men innehåller en uttrycklig bestämmelse om att känsliga personuppgifter som utgångspunkt inte får behandlas. I promemorian föreslås att bestämmelsen om uppgifter som beskriver en persons utseende ska placeras tillsammans med bestämmelserna om känsliga personuppgifter. Remissinstanserna: Förvaltningsrätten i ifrågasätter om det är nödvändigt att ska få behandla känsliga personuppgifter för diarieföring. Förvaltningsrätten påtalar också att förslaget innebär att sådan behandling, liksom behandling av känsliga personuppgifter som lämnats i en anmälan eller liknande, får ske redan om det är nödvändigt och inte bara om det är absolut nödvändigt. anser att den föreslagna regleringen i praktiken innebär att känsliga personuppgifter alltid kommer att kunna behandlas och att regleringen därför framstår som oärlig. Dessutom är den enligt svår att förstå. påtalar att det, under rubriken ”Känsliga personuppgifter”, i 12 § tredje stycket finns en bestämmelse som avser uppgifter som beskriver en persons utseende. Är det så att denna inte endast tar sikte på känsliga personuppgifter, skulle detta enligt fakulteten bli tydligare om be- stämmelsen placeras i en egen paragraf. Dessutom ifrågasätter fakulteten behovet av bestämmelsen, som innebär att de uppgifter som avses ska utformas på ett objektivt sätt med respekt för människovärdet, eftersom detta följer redan av 1 kap. 9 § regeringsformen. Skälen för regeringens förslag: Som redogjorts för i avsnitt 5.6 har begreppet känsliga personuppgifter i dataskyddsförordningen utvidgats till att avse fler kategorier av personuppgifter än vad som gällt enligt både personuppgiftslagen och kustbevakningsdatalag. Regl- eringen av behandlingen av känsliga personuppgifter i den nya kust- bevakningsdatalagen bör därför omfatta även de nya kategorierna av personuppgifter, vilket lämpligen åstadkoms genom att regleringen i den nya lagen hänvisar till artikel 9.1 i dataskyddsförordningen. Utgångspunkten enligt kustbevakningsdatalag är att känsliga personuppgifter inte får behandlas (2 kap. 7 § första stycket). Detsamma bör gälla även fortsättningsvis. Eftersom det följer direkt av artikel 9.1 i dataskyddsförordningen att känsliga personuppgifter inte får behandlas anser regeringen, till skillnad från vad som föreslås i promemorian, emellertid inte att det behövs någon uttrycklig bestämmelse om detta i den nya lagen. Enligt kustbevakningsdatalag finns undantag som innebär att i vissa situationer får behandla känsliga personuppgifter. Enligt 2 kap. 7 § andra stycket får uppgifter om en person, som behandlas på annan grund, kompletteras med känsliga personuppgifter när det är absolut nödvändigt för syftet med behandlingen. Den restriktivitet som ligger i begreppet ”absolut nödvändigt” har ansetts innebära att behovet av att göra sådana kompletteringar måste prövas noga i det enskilda fallet. Det kan bl.a. handla om känsliga personuppgifter som är av avgörande betydelse för en utredning (propositionen Kustbevakningsdatalag, prop. 2011/12:45, s. 200 och prop. 2017/18:232 s. 447). Ett annat exempel kan vara behandling av fingeravtryck vid in- eller utresekontroll enligt 9 kap. 8 c § utlänningslagen (2005:716). Som har konstaterats i avsnitt 5.6 är bestämmelser som i förhållande till regleringen i dataskyddslagen inte utvidgar möjligheterna att behandla känsliga personuppgifter förenliga med artikel i dataskyddsförordningen. Bestämmelsen i 2 kap. 7 § andra stycket kustbevakningsdatalag motsvarar inte helt regleringen i 3 kap. 3 § dataskyddslagen, och skulle kunna tolkas som en viss utvidgning av möjligheten att behandla känsliga personuppgifter. Regeringen har emellertid i propositionen Kriminalvårdsdatalag – en ny lag med anpassning till EU:s dataskyddsförordning (prop. 2017/18:248) bedömt att en liknande bestämmelse i förslaget till Kriminalvårdens datalag är förenlig med dataskyddsförordningen. Något skäl att i detta ärende göra någon annan bedömning finns inte. Enligt 2 kap. 6 § andra stycket får känsliga personuppgifter vidare behandlas om behandlingen är nödvändig för diarieföring eller om uppgifterna har lämnats i en anmälan eller liknande och behandlingen är nödvändig för handläggningen. Detta motsvarar i sak regleringen i 3 kap. 3 § första stycket 1 och 2 dataskydds- lagen, men en särreglering är motiverad av tydlighetsskäl. 2018/19:65 kustbevakningsdatalag finns även ett förbud mot att använda känsliga personuppgifter som sökbegrepp vid sökning i personuppgifter, med undantag för uppgifter som beskriver en persons utseende (5 kap. 4 §). Motsvarande bör enligt regeringens bedömning gälla även i den nya kustbevakningsdatalagen. Ett sådant sökförbud får anses utgöra en lämplig åtgärd för att säkerställa den registrerades grundläggande rättigheter och intressen enligt artikel i dataskyddsförordningen. Bestämmelsen bör emellertid anpassas språkligt så att den motsvarar sökförbudet i 3 kap. 3 § andra stycket dataskyddslagen och motsvarande bestämmelse i brottsdata- lagen. Av ovanstående följer att bestämmelserna om tillåten behandling av känsliga personuppgifter kustbevakningsdatalag är förenliga med dataskyddsförordningen. Något skäl att i den nya kustbevaknings- datalagen, som Förvaltningsrätten i föreslagit, inskränka möjligheter att behandla känsliga personuppgifter finns därför inte enligt regeringen. Regeringen delar inte heller den uppfattning som framfört, dvs. att undantagen till huvudregeln är sådana att huvudregeln i sig blir onödig eller missvisande. Motsvarande bestämmelser bör således införas i den nya lagen. Bestämmelsen om känsliga personuppgifter i 2 kap. 7 § kust- bevakningsdatalag innehåller i tredje stycket även en påminnelse om att uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Som vid påtalat följer detta redan av regeringsformens krav på objektiv- itet och saklighet. Som regeringen konstaterade i samband med införandet av kustbevakningsdatalag finns emellertid anledning att i detta sammanhang särskilt betona vikten av att denna typ av uppgifter utformas på ett sätt som inte kan uppfattas som kränkande (prop. 2011/12:45 s. 95 f). Motsvarande bestämmelse gäller dessutom i brotts- bekämpande verksamhet enligt 2 kap. 7 § andra stycket brottsdatalagen, varför det framstår som lämpligt att motsvarande regel förs in i den här föreslagna lagen. Signalementsuppgifter är i de flesta fall inte känsliga personuppgifter och motsvarande bestämmelse i brottsdatalagen har därför inte placerats i regleringen som avser känsliga personuppgifter (prop. 2017/18:232 s. 144). Av samma skäl bör bestämmelsen även i den nya kustbevakningsdatalagen, såsom vid föreslagit, placeras åtskild från regleringen av känsliga personuppgifter. Utlämnande av personuppgifter och Regeringens förslag: Personuppgifter ska få lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. I övrigt ska regleringen av utlämnade av personuppgifter och direkt- åtkomst i den nya kustbevakningsdatalagen motsvara bestämmelserna om detta kustbevakningsdatalag, med undantag för en hän- visning till offentlighets- och sekretesslagen. Promemorians förslag överensstämmer i sak med regeringens. Remissinstanserna: Förvaltningsrätten i anser av tydlighetsskäl att det, i stället för en hänvisning till bestämmelsen om känsliga personuppgifter, bör framgå uttryckligen av bestämmelserna om direktåtkomst att denna inte får avse känsliga personuppgifter. Datainspektionen avstyrker förslaget om att personuppgifter ska få lämnas ut elektroniskt om det inte är olämpligt, eftersom det inte utan närmare analys kan avgöras om det innebär en proportionerlig utvidgning i förhållande till enskildas personliga integritet. Skälen för regeringens förslag kustbevakningsdatalag finns bestämmelser om utlämnande av personuppgifter som behandlas inom dataskyddsförordningens tillämp- ningsområde i 2 kap. 8 § och 5 kap. 6 §. följer att enstaka personuppgifter får lämnas ut på ett medium för Bestämmelsen innehåller också en upplysning om att regeringen meddelar föreskrifter om att uppgifter får lämnas ut på ett sådant medium även i andra fall. I enlighet med bedömningarna i avsnitt 5.4.4 och 5.4.8 är bestämmelsen förenlig med dataskydds- förordningen och behöver alltså i och för sig inte ändras. bevakningens brottsdatalag, liksom i andra författningar på dataskydds- direktivets område, ges emellertid större utrymme för sådana utlämnanden och dessutom har uttrycket ”utlämnande på medium för automatiserad behandling” ersatts med ”elektroniskt utlämnande”. som behandlas enligt brottsdatalag torde typiskt sett vara mer integritetskänsliga än de som kommer att behandlas enligt den Regeringen anser därför, till skillnad från Datainspektionen, att regleringen är proportionerlig i förhållande till enskildas personliga integritet (jfr prop. 2017/18:269 s. 136). torde det underlätta för om regleringen av utlämnande så långt möjligt är likadant utformad i myndighetens båda I enlighet med vad som gäller enligt Kust- bevakningens brottsdatalag bör det därför även i kustbevakningsdatalagen föreskrivas att personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt samt i anslutning till detta upplysas om att regeringen med stöd av 8 kap. 7 § regeringsformen kan meddela föreskrifter om begränsning av möjligheten att lämna ut person- För vägledning i fråga om när elektroniskt utlämnande ska anses olämpligt kan hänvisas till regeringens resonemang 2017/18:269 s. 136. Bestämmelsen i 5 kap. 6 § kustbevakningsdatalag innehåller en upplysning om att regeringen i förordning kan meddela ytterligare bestämmelser om uppgiftslämnande. I enlighet med vad som angetts i avsnitt 5.4.8 är en sådan upplysningsbestämmelse förenlig med dataskyddsförordningen och bör därför tas in även i den nya kustbevakningsdatalagen, med det förtydligandet att regeringens föreskriftsmöjlighet följer av 8 kap. 7 § regeringsformen. 5 kap. 6 § kustbevakningsdatalag innehåller dessutom en upplysning om att bestämmelser om att uppgifter får lämnas ut även finns i offentlighets- och sekretesslagen (2009:400). Regeringen har vad gäller 2018/19:65 bl.a. brottsdatalag gjort bedömningen att en sådan upplysning inte fyller någon funktion och därför inte bör införas i den nya lagen (prop. 2017/18:269 s. 112). Något skäl att nu göra någon annan bedömning saknas. Någon sådan upplysning bör därför inte heller införas i den nya kustbevakningsdatalagen. kustbevakningsdatalag finns bestämmelser om direktåtkomst i 2 kap. 9 § och 5 kap. 5 §. Den förstnämnda bestämmelsen säger att utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som följer av kustbevakningsdatalagen. Bestämmelsen innehåller även en upplysning om var i lagen bestämmelser om direktåtkomst finns. I enlighet med resonemanget i avsnitt 5.4.4 är bestämmelsen förenlig med dataskyddsförordningen och bör därför tas in även i den nya kust- bevakningsdatalagen. I 5 kap. 5 § finns upplysningar om att regeringen meddelar föreskrifter om vilka svenska myndigheter som får ha direktåtkomst till personuppgifter som behandlas med stöd av den primära ändamålsbestämmelsen och om att utländska myndigheter får ha sådan åtkomst samt om att regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om omfattningen av direktåtkomsten och om behörighet och säkerhet. Som konstaterats i avsnitt 5.4.8 är sådana upplysningsbestämmelser förenliga med dataskyddsförordningen. De bör därför föras över till den nya kustbevakningsdatalagen, med det förtydligandet att föreskriftsmöjligheten följer av 8 kap. 7 § regerings- formen. Av regleringen i 5 kap. 5 § följer vidare både att direktåtkomst endast får avse personuppgifter som har gjorts gemensamt tillgängliga och att direktåtkomst inte får avse känsliga personuppgifter. Även detta är förenligt med dataskyddsförordningen (se avsnitt 5.4.4) och bör gälla också enligt den nya lagen. Liksom Förvaltningsrätten i anser regeringen att det bör framgå uttryckligen av bestämmelserna om direktåtkomst att sådan inte får avse känsliga personuppgifter. Slutligen innehåller regleringen en bestämmelse som innebär att en svensk myndighet som medgetts direktåtkomst ansvarar för att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Som framgår av avsnitt 5.4.6 är detta förenligt med dataskyddsförordningen och motsvarande bör därför gälla även fortsättningsvis. Promemorians förslag i denna del bör därför justeras så att det framgår att bestämmelsen endast avser svenska myndigheter. Information till den registrerade Regeringens förslag: ska inte vara skyldig att lämna information till den registrerade enligt artikel 13 i dataskydds- förordningen när insamling av personuppgifter görs genom bilder eller ljud, såvida behandlingen i övrigt inte innebär en direkt identifiering av Sådan information ska inte heller behöva lämnas när det i larmsituationer inte finns tid för det. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians förslag. Skälen för regeringens förslag Bör nuvarande inskränkningar i rätten till information behållas? Genom en hänvisning i 2 kap. 2 § första stycket 5 kust- bevakningsdatalag gäller bl.a. bestämmelsen i 23 § personuppgifts- lagen vid behandling av personuppgifter. Av denna följer att , i samband med att uppgifter om en person samlas in från personen själv, självmant ska lämna denne information om behandlingen av uppgifterna. Denna rätt till information inskränks emellertid genom bestämmelsen i 2 kap. 2 § tredje stycket kustbevakningsdatalag, på så sätt att information inte behöver lämnas vid behandling som består av insamling av personuppgifter genom bilder eller ljud och inte heller om uppgifterna samlas in i samband med larm och det med hänsyn till omständigheterna inte finns tid att lämna informationen. Undantaget för insamling genom bilder och ljud motiverades med hänvisning till att bl.a. bedriver spaning med kustbevakningsflyg och i samband med det filmar exempelvis oljeutsläpp från fartyg. I en sådan situation framstår det, menade regeringen, inte bara som orimligt utan också som praktiskt ogörligt att informera den eller de personer som kan tänkas komma att fångas på bild om att deras personuppgifter behandlas. Dessutom ansågs att värdet av sådan information kan ifrågasättas. När det gäller information i samband med larm anförde regeringen bl.a. att sådan information till någon som ringer in i avsikt att larma, eller lämna en motsvarande brådskande underrättelse som kräver omedelbar åtgärd, både riskerar att försena den efterfrågade åtgärden i det enskilda fallet och att leda till negativa konsekvenser i stort för den verksamhet som bedrivs. Det ifrågasattes också om den enskilde i en sådan situation överhuvudtaget är intresserad av informationen (prop. 2011/12:45 s. 81 f.). Av promemorian framgår att företrädare för uttryckt att det finns ett stort praktiskt behov av att kunna fortsätta tillämpa samma ordning som . I den mån dataskyddsförordningen tillåter det bör mot- svarande därför gälla även när den nya kustbevakningsdatalagen tillämpas. Dataskyddsförordningens krav på information Dataskyddsförordningens krav på information till den registrerade vid insamling av personuppgifter finns i artiklarna 13 och 14. Utformningen av dessa skiljer sig åt på några punkter, och vilken av dem som ska tillämpas beror på om personuppgifterna samlas in från den enskilde själv (artikel 13) eller från någon annan källa (artikel 14). En skillnad mellan bestämmelserna är att artikel 14 ger möjlighet att underlåta att informera den registrerade i vissa situationer, bl.a. om informationsgivningen skulle visa sig vara omöjlig eller medför en oproportionerlig ansträngning (artikel 14.5 b). Någon liknande möjlighet att underlåta att informera finns däremot inte angiven i artikel 13. Emellertid finns det möjlighet att i nationell rätt, med stöd av artikel 23, göra inskränkningar av rätten till 2018/19:65 information också i fall då personuppgifterna samlas in från den enskilde själv. Utöver nämnda reglering innehåller dataskyddsförordningen ytterligare en bestämmelse som kan få betydelse för kraven på informa- tionslämnande, nämligen artikel 11. Enligt denna ska den person- uppgiftsansvarige inte vara skyldig att bevara, förvärva eller behandla ytterligare information för att identifiera den registrerade endast i syfte att följa förordningen, om de ändamål för vilka personuppgifterna behandlas inte kräver identifiering. Det kan i sammanhanget också noteras att dataskyddsförordningens krav på information är mer långtgående än motsvarande krav i 4 kap. brottsdatalagen. Skälen för att något undantag från informations- skyldigheten vid behandling av personuppgifter i ljud- eller bildupptagningar, eller i samband med larm, inte behövs i brottsdatalag är därför inte relevanta vid regleringen av personuppgiftsbehandling på dataskyddsförordningens område (prop. 2017/18:269 s. 103 f.). Kan inskränkningen vid insamling genom bilder eller ljud behållas? När personuppgifter samlas in genom bilder eller ljud anses de insamlade från den enskilde själv (propositionen Integritet och effektivitet i polisens brottsbekämpande verksamhet, prop. 2009/10:85, s. 84–86 och prop. 2017/18:269 s. 103 f.). Detta bör gälla även när den personuppgifts- ansvarige inte befinner sig i den registrerades omedelbara närhet, exempelvis vid insamling från ett flygplan. Den enskildes rätt till information i sådana situationer ska därför bedömas enligt artikel 13 i dataskyddsförordningen. För att inskränkningar ska kunna göras i nationell rätt krävs att förut- sättningarna för detta i artikel 23 är uppfyllda. Regeringen anser att den föreslagna regleringen utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle och att den även i övrigt måste anses utgöra en sådan inskränkning i syfte att säkerställa ett sådant viktigt mål av generellt allmänt intresse som regleras i artikel 23.1 e. De delar av verksamhet som omfattas av undantaget, exempelvis spaning med kustbevakningsflyg, bedrivs för sådana allmänna intressen. I den verk- samheten är det inte möjligt att lämna information när uppgifterna erhålls på det sätt som föreskrivs i artikel 13 i dataskyddsförordningen. Den aktuella inskränkningen är således en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa viktiga mål av generellt allmänt intresse. En inskränkning med stöd av artikel 23 kräver, förutom ett godtagbart syfte enligt artikel 23.1, även att den nationella lagstiftningen lever upp till kraven i artikel 23.2 på att vissa specifika bestämmelser ska finnas, när så är relevant. I likhet med vad som anförs i promemorian bedömer regeringen att den föreslagna kustbevakningsdatalagen uppfyller dessa krav.