prop · H603163 · 2019-09-09 00:00:00 — Ny lag om Säkerhetspolisens behandling av personuppgifter Regeringens proposition 2018/19:163 Ny lag om Säkerhetspolisens behandling av Regeringen överlämnar denna proposition till . Regeringen föreslår att det införs en ny lag om Säkerhetspolisens behandling av personuppgifter som ersätter den tidigare regleringen i polisdatalagen. Den nya lagen föreslås innehålla bestämmelser om bl.a. grundläggande krav på personuppgiftsbehandling, den personuppgifts- ansvariges skyldigheter, enskildas rättigheter, skadestånd, överklagande och överföring av personuppgifter till tredjeland. Dessa överensstämmer i stort sett med brottsdatalagens bestämmelser. Lagen ska gälla vid behandling av personuppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lagförande verksam- het. När Säkerhetspolisen behandlar personuppgifter som inte rör nationell säkerhet i syfte att bekämpa och lagföra brott, ska myndigheten tillämpa brottsdatalagen och polisens brottsdatalag. Vidare föreslås följdändringar i ett antal andra lagar. Den nya lagen och övriga lagändringar föreslås träda i kraft den Förslag till riksdagsbeslut ................................................................. Förslag till lag om Säkerhetspolisens behandling av 2.2Förslag till lag om ändring i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet ............... 2.3Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400) ................................................ 2.4Förslag till lag om ändring i lagen (2017:496) om internationellt polisiärt samarbete .................................... 2.5Förslag till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s 2.6Förslag till lag om ändring i säkerhetsskyddslagen (2018:585) ........................................................................ 2.7Förslag till lag om ändring i lagen (2018:1693) om polisens behandling av personuppgifter inom Ärendet och dess beredning ............................................................ Säkerhetspolisens uppdrag och verksamhet ..................... Dagens reglering av behandling av personuppgifter....................... 5.1Grundläggande reglering om skydd av den Europeiska unionens dataskyddsreform.......................................... Två nya rättsliga instrument ............................................. Dataskyddsförordningen och dataskyddslagen ................ Genomförandet av dataskyddsdirektivet .......................... En ny lag och dess tillämpningsområde.......................................... 7.1En särskild lag för Säkerhetspolisens Avgränsning av tillämpningsområdet............................... ska tillämpa lagen i vissa fall.............. Säkerhetspolisen ska även tillämpa brottsdatalagen......... Förhållandet till annan lagstiftning................................... Uttryck i lagen.................................................................. Uppgifter om juridiska personer....................................... Rättslig grund och ändamål för behandlingen av 8.1Skillnad mellan ändamålsbestämmelser och bestämmelser om rättslig grund........................................ Dagens primära ändamålsbestämmelser är bestämmelser om rättslig grund....................................... Rättslig grund för behandling.......................................... Rättslig grund för behandling – Rättslig grund i undantagsfall för diarieföring och handläggning........................ Ändamål för behandling .................................................. Behandling bara för särskilda, uttryckligt angivna och berättigade ändamål.................... Allmänt om behandling för nya ändamål ....... Behandling för ändamål i annan Behandling för vetenskapliga, statistiska och historiska ändamål ................................... Behandling av personuppgifter ...................................................... Grundläggande krav på behandlingen ............................. Krav på författningsenlig och korrekt Personuppgifter ska vara korrekta, adekvata och relevanta.................................... Känsliga personuppgifter får behandlas i samma utsträckning som ........................ Ett sökförbud med undantag........................... 9.3Åtgärder för att säkerställa personuppgifternas Personuppgifter från transportföretag.............................. 10 Gemensamt tillgängliga uppgifter.................................................. 10.1Samma reglering av vad som får göras gemensamt Undantag från kravet på särskild upplysning .................. Behandling av personuppgifter i Det befintliga undantaget bör justeras ............ Behovet av att kommunicera elektroniskt har ökat ......... Olika former av elektroniskt utlämnande ....... Nuvarande möjligheter till elektroniskt Ett effektivare informationsutbyte är 11.2Elektroniskt utlämnande på annat sätt än genom Behovet av direktåtkomst ............................... 11.3.2Direktåtkomst för vissa svenska Direktåtkomst för underrättelse- och säkerhetstjänster inom EU och EES .............. Sekretessbrytande bestämmelser i övrigt ...... Uppgiftsskyldighet när det gäller 12 Längsta tid som personuppgifter får behandlas............................. Struktur och terminologi i den nya lagen ....................... Hur länge får personuppgifter behandlas?...................... Den längsta tid som personuppgifter får Personuppgifter som inte har gjorts Personuppgifter som har gjorts Personuppgifter som rör viss Ärenden om utredning av eller lagföring Möjlighet att förlänga tiden för 12.3Rätt att meddela föreskrifter om längsta tid för Vad innebär personuppgiftsansvar? Vem är personuppgiftsansvarig? Ingen reglering av gemensamt tas in i den nya lagen ..................................... Tekniska och organisatoriska åtgärder .......... Tillgången till personuppgifter ska förhandssamråd med tillsynsmyndigheten .... Samarbete med tillsynsmyndigheten ............. Säkerheten för personuppgifter ..................... Ingen skyldighet att anmäla Definition av dataskyddsombud ................... Krav att utse dataskyddsombud.................... Definition av personuppgiftsbiträde ............. Anlitande av personuppgiftsbiträden............ Tydligare reglering av enskildas rättigheter .................. Merparten av bestämmelserna om enskildas rättigheter bör tillämpas av Rätten till information ................................................... Allmän information som ska göras Information som ska lämnas på begäran....... Begränsning av rätten till information........................... Rätten till information får begränsas ............ Ofärdig text och minnesanteckningar........... Orimliga eller uppenbart ogrundade Rättelse, radering och begränsning av behandlingen..... Rätten till rättelse och komplettering............ Rätten till radering........................................ Begränsning av behandlingen....................... Val av åtgärd................................................. Information ska inte avgiftsbeläggas ............................. Det behövs en särskild reglering ................................... Dagens tillsyn över Säkerhetspolisens Utgångspunkter för överväganden om Tillsynen över Säkerhetspolisen bör regleras i den nya lagen ................................ Vem ska utöva tillsyn över Säkerhetspolisen? 15.3Det behövs inte någon definition av tillsynsmyndighet i lagen............................................... Förhandssamråd och annat råd och stöd....... Både förebyggande och korrigerande Handläggningen av tillsynsfrågor................................... Beslut ska gälla när de fått laga kraft ............ Säkerhets- och integritetsskyddsnämndens tillsyn ......... 16 Sanktioner, skadestånd och rättsmedel ......................................... Ingen straffbestämmelse i den nya lagen........................ Sanktionsavgift bör inte få tas ut .................................... Det allmännas skadeståndsansvar.................. 17 Överföring av personuppgifter till tredjeland och Några grundläggande begrepp........................................ Förutsättningar för överföring ........................................ Viss skyddsnivå ska vara säkerställd.............................. Beslut om adekvat skyddsnivå ...................... Överföringen ska vara nödvändig i en Överföring till andra mottagare...................................... Villkor för användningen av personuppgifter ................ Dokumentationskrav och informationsskyldighet.......... Ikraftträdande- och övergångsbestämmelser................................. 21.1Förslaget till lag om Säkerhetspolisens behandling 21.2Förslag till lag om ändring i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet ............. 21.3Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400) .............................................. 21.4Förslag till lag om ändring i lagen (2017:496) om internationellt polisiärt samarbete .................................. 21.5Förslag till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s 21.6Förslag till lag om ändring i säkerhetsskyddslagen (2018:585) ...................................................................... Förslag till lag om ändring i lagen (2018:1693) om polisens behandling av personuppgifter inom Sammanfattning av betänkandet Brottsdatalag – kompletterande lagstiftning (SOU 2017:74) ................. Förteckning över remissinstanserna .............................. Utdrag ur protokoll vid regeringssammanträde 2018/19:163 1 1.Riksdagen antar regeringens förslag till lag om Säkerhetspolisens behandling av personuppgifter. 2.Riksdagen antar regeringens förslag till lag om ändring i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet. 3.Riksdagen antar regeringens förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400). 4.Riksdagen antar regeringens förslag till lag om ändring i lagen (2017:496) om internationellt polisiärt samarbete. 5.Riksdagen antar regeringens förslag till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning. 6.Riksdagen antar regeringens förslag till lag om ändring i säkerhets- skyddslagen (2018:585). 7.Riksdagen antar regeringens förslag till lag om ändring i lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdata- lagens område. Regeringen har följande förslag till lagtext. 2.1Förslag till lag om Säkerhetspolisens behandling av personuppgifter Härigenom föreskrivs följande. 1 kap. Allmänna bestämmelser 1 § Syftet med lagen är att skydda fysiska personers grundläggande rättigheter och friheter i samband med behandling av personuppgifter och att säkerställa att Säkerhetspolisen kan behandla och utbyta personuppgifter på ett ändamålsenligt sätt. 2 § Denna lag gäller vid behandling av personuppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lagförande verk- samhet. Lagen gäller vid behandling av personuppgifter när myndigheten har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspolisen. 3 § Lagen gäller vid sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av person- uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Avvikande bestämmelser i annan författning 4 § Om en annan lag eller en förordning innehåller någon bestämmelse som avviker från denna lag, tillämpas den bestämmelsen. 5 § I denna lag används följande uttryck med nedan angiven betydelse. En åtgärd eller kombination av åtgärder som vidtas i fråga om per- sonuppgifter eller uppsättningar av görs automatiserat eller inte, t.ex. insamling, registrering, ring, strukturering, lagring, bear- betning eller ändring, framtagning, läsning, användning, utlämnande, spridning eller tillhandahållande på annat sätt, justering, sammanföring, Personuppgifter som rör en persons beteendemässiga kännetecken, som tagits fram genom särskild teknisk behandling och som möjliggör eller Den fysiska person som utses av den personuppgiftsansvarige för att fattningsenligt och på ett korrekt sätt enligt vad som närmare anges i Personuppgifter som rör en per- härrör från analys av ett spår av eller ett prov från personen. En organisation och dess under- ställda organ som lyder under folk- rätten eller ett annat organ som in- rättats genom eller på grundval av eller flera stater. lämnas ut, med undantag av en myndighet som med stöd av för- fattning utövar tillsyn, kontroll eller Varje upplysning om en identifierad eller identifierbar fysisk person som är i livet. Den som ensam eller tillsammans med och medlen för behandlingen Den som behandlar personupp- gifter för den personuppgiftsansva- Den fysiska person som person- En stat som inte är medlem i Europeiska ekonomiska samarbets- Prop. området och som inte heller på grund av avtal med Europeiska Någon annan än den registrerade, den personuppgiftsansvarige, data- biträdet och sådana personer som biträdets direkta ansvar har rätt att Uppgift som rör hälsa Personuppgift som rör en persons inklusive information om tillhanda- hållande av hälso- och sjuk- om personens hälsostatus. 6 § Säkerhetspolisen respektive är personuppgifts- ansvarig för den behandling av personuppgifter som myndigheten utför. Den personuppgiftsansvarige är ansvarig för all behandling av personuppgifter som utförs under dennes ledning eller på dennes vägnar. Behandling av uppgifter om juridiska personer 7 § Bestämmelserna om personuppgifter i följande paragrafer gäller också vid behandling av uppgifter om juridiska personer: 1.6 § om personuppgiftsansvar, 2.2 kap. 1 och 2 §§ om rättsliga grunder för behandling av person- uppgifter, 3.3 kap. 2 och 3 §§ om gemensamt tillgängliga uppgifter, 4.4 kap. 1–4 och 6–10 §§ om längsta tid som personuppgifter får behandlas, och 5.5 kap. 5 § om tillgången till personuppgifter. 2 kap. Behandling av personuppgifter Grundläggande krav på behandlingen 1 § Personuppgifter får behandlas om det är nödvändigt för att 1. förebygga, förhindra eller upptäcka brottslig verksamhet som inne- fattar a) brott mot säkerhet, b) terrorbrott, eller c) tryckfrihetsbrott och yttrandefrihetsbrott med rasistiska eller främ- lingsfientliga motiv, 2018/19:163 2. utreda eller lagföra sådana brott som avses i 1, eller, efter särskilt beslut, annat brott, 3. fullgöra uppgifter a)i samband med personskydd av den centrala statsledningen och andra som regeringen eller Säkerhetspolisen bestämmer, b)enligt säkerhetsskyddslagen (2018:585), eller c)enligt utlännings- och medborgarskapslagstiftningen, 4.fullgöra någon annan uppgift som rör nationell säkerhet och som anges i lag eller förordning eller särskilt beslut av regeringen, eller 5.fullgöra förpliktelser som följer av internationella åtaganden. 2 § Utöver vad som sägs i 1 § får personuppgifter behandlas om 1.det är nödvändigt för diarieföring, eller 2.uppgifterna har lämnats till Säkerhetspolisen i en anmälan, ansökan eller liknande och behandlingen är nödvändig för handläggningen. 3 § Personuppgifter får behandlas bara för särskilda, uttryckligt angivna och berättigade ändamål. De får inte behandlas för något ändamål som är oförenligt med det ändamål de ursprungligen behandlades för. 4 § Personuppgifter som behandlas med stöd av 1 § får även behandlas om det är nödvändigt för att tillhandahålla information som behövs 1.för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:1177) hos , , Åklagarmyn- digheten, , eller , 2.i en myndighets verksamhet, om informationen tillhandahålls inom ramen för myndighetsöverskridande samverkan mot brott, 3.i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst och i Försvarets radioanstalts försvarsunderrättelseverk- samhet, om det finns särskilda skäl att tillhandahålla informationen, 4.i en myndighets verksamhet om Säkerhetspolisen enligt lag eller för- ordning ska bistå myndigheten med en viss uppgift, 5.i brottsbekämpande verksamhet hos en utländsk myndighet eller mellanfolklig organisation, eller 6.i verksamhet hos utländsk underrättelse- eller säkerhetstjänst. Personuppgifter som behandlas med stöd av 1 § får även behandlas om det är nödvändigt för att tillhandahålla information till eller regeringen och, i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning, till andra. I ett enskilt fall får personuppgifter som behandlas med stöd av 1 § även behandlas för att tillhandahålla information för något annat ändamål än de som anges i första och andra styckena, under förutsättning att ändamålet inte är oförenligt med det ändamål som uppgifterna samlades in för. 5 § Säkerhetspolisen får behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål inom denna lags tillämpningsområde. Författningsenlig och korrekt behandling 6 § Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. 7 § Personuppgifter som behandlas ska vara korrekta och, om det är nödvändigt, uppdaterade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. 8 § Personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. 9 § Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. Om uppgifter om en person behandlas får de dock kompletteras med sådana uppgifter som anges i första stycket om det är absolut nödvändigt för ändamålet med behandlingen. 10 § Säkerhetspolisen får behandla biometriska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen. Genetiska uppgifter får inte behandlas. 11 § Personuppgifter som avses i 9 och 10 §§ (känsliga personuppgifter) får alltid behandlas med stöd av 2 §. 12 § Det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Första stycket hindrar inte att brottsrubriceringar, uppgifter om till- vägagångssätt vid brott eller uppgifter som beskriver en persons utseende används som sökbegrepp. Första stycket hindrar inte heller sökningar i syfte att få fram ett urval av personer grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sökningen är absolut nödvändig för något av de syften som anges i 1 §. Rättelse, uppdatering och radering 13 § Alla rimliga åtgärder ska vidtas för att personuppgifter som med hänsyn till ändamålet med behandlingen är felaktiga eller ofullständiga utan onödigt dröjsmål rättas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Personuppgifter som är inaktuella ska uppdateras om det är nödvändigt. 2018/19:163 14 § Alla rimliga åtgärder ska vidtas för att personuppgifter som be- handlas i strid med någon av 1–6, 8–10 eller 12 §§, 4 kap. 1 § första stycket eller någon av 2–4 eller 7–10 §§ utan onödigt dröjsmål raderas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Detsamma gäller om radering krävs för att utföra en rättslig förpliktelse. Om förutsättningarna i första stycket för att radera personuppgifter är uppfyllda men uppgifterna behöver finnas kvar av bevisskäl, ska behand- lingen av uppgifterna i stället utan onödigt dröjsmål begränsas. 15 § Personuppgifter som är nödvändiga för att framställa rättsstatistik ska lämnas till den myndighet som ansvarar för att framställa sådan sta- tistik. 16 § Om det är förenligt med svenska intressen får personuppgifter lämnas ut till 1.Interpol eller Europol, eller till en polismyndighet eller åklagarmyn- dighet i en stat som är ansluten till , om det behövs för att mottagaren ska kunna förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott, eller 2.en utländsk underrättelse- eller säkerhetstjänst. Personuppgifter får vidare lämnas ut till en utländsk myndighet eller mellanfolklig organisation, om utlämnandet följer av en internationell överenskommelse som har tillträtt efter godkännande. 17 § har, trots sekretess enligt 21 kap. 3 § första stycket, 35 kap. 1 § och 37 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som har gjorts gemensamt tillgängliga och som behandlas med stöd av 1 § 1–3 a och c, om myndigheten behöver uppgifterna för ett syfte som anges i 2 kap. 1 § 1 eller 2 lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område eller för att fullgöra uppgifter enligt utlänningslagen (2005:716) eller lagen (1991:572) om särskild utlänningskontroll. 18 § Försvarsmakten har, trots sekretess enligt 21 kap. 3 § första stycket, 35 kap. 1 § och 37 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som har gjorts gemensamt tillgängliga och som behandlas med stöd av 1 § 1 eller 2, om myndigheten behöver uppgifterna i sin försvarsunderrättelseverksamhet eller militära säkerhetstjänst. Detsamma gäller , om myndigheten behöver uppgifterna i sin försvarsunderrättelseverksamhet. 19 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den ut- sträckning som anges i 3 kap. 5–7 §§. 20 § Personuppgifter som tillhandahålls av transportföretag enligt 25 § polislagen (1984:387) får behandlas för att utföra en uppgift som anges i Personuppgifter som avses i första stycket får endast i ett enskilt fall behandlas för nya ändamål. 21 § Vid terminalåtkomst enligt 26 § polislagen (1984:387) får person- uppgifterna inte ändras eller bearbetas på annat sätt. Rätt att meddela föreskrifter 22 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1.att personuppgifter får lämnas ut i andra fall än som anges i 15–18 §§, 2.begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt 19 § första stycket. 3 kap. Gemensamt tillgängliga uppgifter 1 § Detta kapitel innehåller särskilda bestämmelser för behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga med stöd av 2 §. Uppgifter som endast ett fåtal personer har rätt att ta del av anses inte som gemensamt tillgängliga. Detta kapitel gäller inte när personuppgifter behandlas med stöd av 2 kap. 2 §. Personuppgifter som får göras gemensamt tillgängliga 2 § Personuppgifter får göras gemensamt tillgängliga om det behövs för att utföra någon av de uppgifter som anges i 2 kap. 1 §. 3 § Om det ändamål som de gemensamt tillgängliga personuppgifterna behandlas för inte framgår av sammanhanget eller på något annat sätt, ska det tydliggöras genom en särskild upplysning. 4 § Om uppgifter som har gjorts gemensamt tillgängliga direkt kan hänföras till en person som inte är misstänkt för brott eller för att ha utövat eller komma att utöva brottslig verksamhet som avses i 2 kap. 1 § 1 eller 2, ska det genom en särskild upplysning eller på något annat sätt framgå att personen inte är misstänkt. Uppgifter om en person som kan antas ha direkt samband med sådan brottslig verksamhet som avses i 2 kap. 1 § 1 ska förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak, om det inte på grund av omständigheterna är onödigt. Någon upplysning enligt andra stycket behöver inte heller lämnas om 2018/19:163 1. uppgifterna ingår i en uppgiftssamling som har skapats för att be- arbeta och analysera information och som enbart särskilt angivna tjänste- män har åtkomst till, och 2. bearbetningen av uppgifterna inte har genomförts.