prop · H60365 · 2019-03-19 00:00:00 — Som framgår av resonemanget i avsnitt 5.4.2 är det förenligt med dataskyddsförordningen att pekas ut som person- uppgiftsansvarig. På samma sätt som beträffande dataskyddsdirektivet uppfyller bestämmelserna i 2–6 §§, tillsammans med åläggandet för att föra registret och behandla tilläggsinformation i 1 §, kravet i dataskyddsförordningen på att personuppgiftsbehandlingen i registret ska ha rättslig grund. Den behandling av personuppgifter som sker när lägger in och sedan bevarar personuppgifter i registren samt hanterar tilläggsinformation, är nödvändig för att myndigheten ska kunna fullgöra den i lag reglerade rättsliga förpliktelsen att föra registret och behandla tillhörande tilläggsinformation. Behandlingen får därför, i enlighet med 2 kap. 1 § dataskyddslagen, ske med stöd av artikel 6.1 c i dataskyddsförordningen. Bestämmelsen i 4 § första stycket 3 lagen om SIS innebär en sådan särskild reglering av i vilken mån s.k. känsliga personuppgifter får behandlas i , som ska tillämpas i stället för bestämmelserna i 3 kap. 3 § dataskyddslagen. För att känsliga personuppgifter ska få behandlas krävs enligt artikel i dataskyddsförordningen att behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Enligt regeringen är dessa krav uppfyllda. Även beträffande framställningar som faller inom dataskyddsförordningens område är det av stor vikt att korrekt identifiering kan ske, exempelvis av eftersökta personer som ska omhändertas enligt eller för tvångsvård när de påträffas. Som konstaterats infördes bestämmelsen bland annat mot bakgrund av intresset av att underlätta samarbetet mellan medlemsstaterna i sådana avseenden, vilket får anses vara ett viktigt allmänt intresse. Möjligheten att behandla fingeravtryck i måste också anses vara en i förhållande till detta syfte proportionerlig åtgärd och kan inte anses oförenlig med det väsentliga innehållet i rätten till dataskydd. I enlighet med bedömningen ovan finns dessutom lämpliga skyddsåtgärder. Bestämmelserna i 1–6 §§ är alltså förenliga med dataskyddsförordningen. Regeringen konstaterar slutligen att det, som framgått i avsnitt 4.3, inte finns utrymme att inom ramen för detta lagstiftningsärende göra ändringar utöver vad som behövs eller är lämpligt för att anpassa de aktuella registerförfattningarna till EU:s dataskyddsreform. Någon möjlighet att i propositionen hantera frågor om ändrad tillsyn av efterlevnaden av lagen om SIS, såsom efterfrågar, finns alltså inte. 2018/19:65 11.4.2 Förhållandet till andra bestämmelser om personuppgiftsbehandling Regeringens förslag: En ny bestämmelse införs som anger att lagen om SIS gäller utöver brottsdatalagen. En ny bestämmelse införs som anger att lagen om SIS kompletterar dataskyddsförordningen vid behandling av personuppgifter som inte omfattas av brottsdatalagen, samt att dataskyddslagen och föreskrifter som meddelats i anslutning till den lagen också gäller för sådan behandling, om inte annat följer av lagen om SIS eller föreskrifter som har meddelats i anslutning till den lagen. Promemorians förslag överensstämmer i huvudsak med regeringens. I promemorian föreslås att det i de nya paragraferna även ska anges vilka bestämmelser i lagen om SIS som ska tillämpas i stället för vissa specifika bestämmelser i brottsdatalagen respektive dataskyddslagen. Dessutom ges 1 b § även i övrigt en något annorlunda utformning. Remissinstanserna: Ingen remissinstans invänder mot promemorians förslag. Skälen för regeringens förslag: Som framgått ovan kommer bestämmelserna i lagen om SIS att tillämpas på personuppgiftsbehandling både inom brottsdatalagens och dataskyddsförordningens tillämpnings- område. I det förra fallet kommer lagen alltså att gälla utöver brottsdata- lagen och i det senare kommer bestämmelserna i stället att komplettera dataskyddsförordningen som även dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller om inte annat följer av lagen eller förordningen om SIS. I enlighet med bedömningarna i avsnitt 5.8.1 och 6.6.1 bör därför införas bestämmelser som klargör detta. I promemorian föreslås att det av tydlighetsskäl även bör anges vilka bestämmelser i lagen om SIS som utgör sådan särskild reglering som ska tillämpas i stället för regleringen av motsvarande frågor i brottsdatalagen respektive dataskyddslagen. Att bestämmelser i annan lag eller förordning som avviker från brottsdatalagen eller dataskyddslagen ska tillämpas i stället för dessa lagar framgår emellertid redan av 1 kap. 5 § brottsdata- lagen respektive 1 kap. 6 § dataskyddslagen. Upplysningar om detta har därför som regel inte förts in i de registerförfattningar som anpassats till dataskyddsreformen och föreslås inte heller föras in i övriga nu aktuella registerförfattningar. För att så långt möjligt uppnå enhetlighet med andra författningar inom dataskyddsområdet anser regeringen därför att sådana upplysningar inte heller bör föras in i lagen om SIS. Av samma skäl bör bestämmelsen i 1 b § även i övrigt ges en något annorlunda utformning än den som föreslagits i promemorian. Förbud mot registrering av vissa känsliga Regeringens bedömning: Bestämmelsen om förbud mot registrering av vissa känsliga personuppgifter i lagen om SIS bör inte ändras som en följd av dataskyddsreformen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Bestämmelsen i 7 § lagen om SIS innebär ett förbud för att registrera uppgifter i SIS som avslöjar etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, eller uppgifter som rör hälsa eller Bestämmelsen genomför artikel 56 i rådsbeslutet (prop. s. 45) och är därmed förenlig med dataskyddsdirektivet redan genom bestämmelsen i artikel 60 om dataskyddsdirektivets förhållande till redan Som framgått omfattar begreppet känsliga personuppgifter i dataskyddsförordningen, förutom uppgifter av de slag som räknas upp i 7 § lagen om SIS, även genetiska och biometriska uppgifter samt uppgifter om sexuell läggning. resonemanget i avsnitt 5.6 finns därför skäl att överväga om 7 § måste utökas till att även omfatta dessa typer av uppgifter. begränsningen i 4 § lagen om SIS av vilka uppgifter som får registreras i , när det gäller framställningar som rör personer, följer dock att varken genetiska uppgifter eller uppgifter om sexuell läggning får Det finns därför inget behov av att lägga till dessa typer av uppgifter till uppräkningen i 7 § för att bestämmelsen ska vara förenlig Vad gäller biometriska uppgifter tillåter 4 § däremot viss registrering. Som konstaterats i avsnitt 11.4.1 är behandling av uppgifterna i de fallen emellertid förenlig med dataskyddsförordningen. Inte heller biometriska uppgifter måste därför nämnas i 7 § för att denna ska vara förenlig med Något skäl att ändra bestämmelsen som en följd av dataskyddsreformen finns alltså inte. Regeringens bedömning: Bestämmelsen om utlämnanden ur SIS- registret i lagen om SIS bör inte ändras som en följd av Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: efterfrågar en omvärdering av 9 § lagen om SIS, som utökar bortom vad som föreskrivs i Övriga remissinstanser yttrar sig inte över bedömningen. Skälen för regeringens bedömning: I 9 § lagen om SIS finns de grundläggande bestämmelserna om möjligheterna att få tillgång till I bestämmelsens första stycke föreskrivs att uppgifter som finns i registret ska lämnas ut om det begärs av Säkerhetspolisen, åklagarmyndigheter, eller när dessa utför undersökningar och andra kontroller än gränskontroller i sin verksamhet för att förebygga och utreda brott. myndigheterna alla kan vara behöriga myndigheter i brottsdatalagens mening, innebär begränsningen till verksamheter för att förebygga och brott att denna del av bestämmelsen endast reglerar 2018/19:65 personuppgiftsbehandling som omfattas av dataskyddsdirektivets tillämpningsområde. Som regeringen konstaterat beträffande motsvarande reglering i lagarna om belastningsregister och misstankeregister måste det anses förenligt med dataskyddsdirektivet att specificera i vilka fall uppgifter ur registret får lämnas ut. 9 § första stycket lagen om SIS är alltså förenlig med dataskyddsdirektivet. Av bestämmelsens andra stycke framgår att de båda EU-förordningarna som också reglerar SIS innehåller bestämmelser om utlämnande av uppgifter och direktåtkomst till i vissa fall. Eftersom dessa upplysningar inte i sig utgör någon reglering av personuppgiftsbehandling påverkas de inte av dataskyddsreformen. Bestämmelsens tredje stycke innehåller en särskild reglering av rätten att få s.k. kompletterande uppgifter enligt 3 a §, dvs. uppgifter om personer som kan förväxlas med en person som registrerats och vars identitet har missbrukats. Regleringen innebär att sådana uppgifter endast får lämnas till en myndighet som har rätt att få ut uppgifter om den registrering som de kompletterande uppgifterna avser och som behöver uppgifterna för att undvika en felaktig identifiering. Bestämmelsen medför inte i sig någon rätt till uppgifter ur , utan utgör i stället en begränsning i de fall det på annan grund finns rätt att få ut sådana uppgifter. Regeringen bedömer att detta måste anses förenligt med både dataskyddsförordningen och dataskyddsdirektivet. I bestämmelsens fjärde stycke bemyndigas regeringen att meddela föreskrifter om att myndigheter som prövar ansökningar om visering och uppehållstillstånd ska ha tillgång till uppgifter som avses i 3 § andra stycket, dvs. uppgifter om personer som tagits upp på den s.k. spärrlistan. Som konstaterats ovan måste det anses förenligt med dataskyddsdirektivet att specificera i vilka fall uppgifter ur registret får lämnas ut, vilket också innebär att ett bemyndigande till regeringen att göra detta är förenligt med direktivet. Detsamma gäller i förhållande till dataskyddsförordningen, eftersom de av regeringen meddelade föreskrifterna innebär att behandling av personuppgifter i för utlämnande blir nödvändig för att myndigheten ska kunna fullgöra en rättslig förpliktelse som följer direkt av en författning. Slutligen bemyndigas regeringen i bestämmelsens femte stycke att meddela föreskrifter om att de myndigheter som nämns i första och fjärde styckena får ha direktåtkomst till . Som framgår av avsnitt 5.4.4och 6.3.4 är en särskild reglering av direktåtkomst förenlig med såväl dataskyddsförordningen som dataskyddsdirektivet. Som konstaterats i avsnitt 4.3 finns inte utrymme att inom ramen för detta lagstiftningsärende göra ändringar utöver vad som behövs eller är lämpligt för att anpassa de aktuella registerförfattningarna till EU:s dataskyddsreform. Någon möjlighet att i propositionen hantera frågor om ändringar av sådant slag som efterfrågar finns alltså inte. Regeringens bedömning: Bestämmelserna om användnings- begränsningar i lagen om SIS bör inte ändras som en följd av data- Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: 10 § lagen om SIS innehåller vissa generella begränsningar av användningen av uppgifter i , nämligen att de inte får överföras eller göras tillgängliga för ett tredjeland eller en internationell organisation (första stycket) och inte heller i övrigt användas i annat syfte än det som den registrerande staten har angett vid registreringen, om inte den staten lämnat sitt samtycke (andra stycket). §innehåller även vissa begränsningar som endast avser användningen av uppgifter som med stöd av 3 a § registrerats för att undvika person- förväxling (tredje stycket) samt användningen av fotografier och fingeravtryck (fjärde stycket). I 13 § lagen om SIS finns en bestämmelse om att tilläggsinformation endast får användas för att uppnå det syfte för vilket den har mottagits. Artikel 54 i rådsbeslutet innehåller ett förbud mot att uppgifter som behandlas i överförs eller görs tillgängliga för ett tredjeland eller en internationell organisation. Bestämmelsen i 10 § första stycket lagen om SIS genomför detta förbud (prop. 2009/10:86 s. 36–38) och är därmed förenlig med dataskyddsdirektivet redan genom bestämmelsen i artikel 60 om dataskyddsdirektivets förhållande till redan gällande unionsrättsakter. Dataskyddsförordningen innehåller inte någon motsvarande bestämmelse om förhållandet till redan gällande unionsrättsakter. Begränsningen i 10 § första stycket lagen om SIS måste emellertid, tillsammans med lagens övriga reglering av utlämnanden av uppgifter, anses utgöra en sådan precisering av de enheter till vilka uppgifter får lämnas ut som är tillåten enligt artikel 6.3 i dataskydds- förordningen. Bestämmelsen i 10 § andra stycket lagen om SIS genomför delar av artikel 46 i rådsbeslutet (prop. 2009/10:86 s. 36–38). Därmed är bestämmelsen förenlig med dataskyddsdirektivet redan genom bestämmelsen i artikel 60. Bestämmelsen i 10 § andra stycket lagen om SIS reglerar för vilka ändamål de registrerade uppgifterna får användas och är enligt regeringens bedömning att se som en sådan ändamålsbestämmelse som, i enlighet med resonemanget i avsnitt 5.4.3, är förenlig även med dataskyddsförordningen. Genom bestämmelserna i 10 § tredje och fjärde styckena lagen om SIS genomförs artikel 22 och 51.2 i rådsbeslutet (prop. 2009/10:86 s. 38 f.). I enlighet med artikel 60 i dataskyddsdirektivet är därmed även dessa bestämmelser förenliga med direktivet. Dessutom är bestämmelserna, i enlighet med bedömningen ovan, att se som sådana ändamåls- bestämmelser som är förenliga också med dataskyddsförordningen. Artikel 8 i rådsbeslutet innehåller allmänna bestämmelser om utbyte av tilläggsinformation. Genom 13 § lagen om SIS genomförs delar av dessa bestämmelser (artikel 8.2), vilket innebär att även 13 § är förenlig med dataskyddsdirektivet genom bestämmelsen i artikel 60. Eftersom 13 § är att se som en ändamålsbestämmelse är den, på samma vis som bestämmelserna i 10 § andra-fjärde styckena, också förenlig med dataskyddsförordningen. Såväl 10 § som 13 § är alltså förenliga med dataskyddsreformen och bör därför inte ändras som en följd av denna. Regeringens bedömning: Bestämmelserna om bevarande och gallring i lagen om SIS bör inte ändras som en följd av dataskyddsreformen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: 11 § lagen om SIS innehåller en bestämmelse om bevarande och gallring av uppgifter som fört in i och 14 § innehåller en bestämmelse om bevarande och gallring av tilläggsinformation som utgörs av personuppgifter som tagits emot från en annan stat. Av 11 § första stycket framgår att uppgifter som omfattas av bestämmelsen inte får bevaras längre än vad som är nödvändigt med hänsyn till ändamålet med registreringen, dvs. detsamma som redan följer av principen om lagringsminimering i artikel 5.1 e i dataskydds- förordningen. Som framgår av avsnitt 5.4.7 måste en bedömning göras från fall till fall om det är lämpligt att i registerförfattningar ha kvar bestämmelser om bevarande av personuppgifter som motsvarar bestämmelsen i artikel 5.1 e i förordningen. 11 § första stycket innehåller också bestämda tidsgränser inom vilka de personuppgifter som förts in i registret ska gallras. Enligt bestämmelsens andra stycke finns dock möjlighet för att, innan gallringstiden löpt ut, besluta att en uppgift ska stå kvar i registret om det är nödvändigt för att uppnå syftet med registreringen. Delar av regleringen i 11 § första och andra styckena motsvarar alltså vad som redan följer av dataskyddsförordningen, men ett borttagande av dessa delar ur bestämmelsen skulle innebära att den samlade regleringen blir svårtillgänglig. Regleringen, som är förenlig med artikel 6.3 i dataskyddsförordningen, bör därför behållas. Regleringen är även förenlig med artikel 4.1 e och 5 i dataskyddsdirektivet, som inte innehåller något förbud mot sådan dubbelreglering som i viss mån uppstår i förhållande till 2 kap. 17 § brottsdatalagen. I 11 § tredje stycket finns en kompletterande reglering som säger att uppgifter som registrerats med stöd av 3 a § ska gallras som uppgifterna i den registrering som de hänför sig till. Sådana uppgifter ska dock gallras tidigare om den person som de avser begär det. I enlighet med bedömningarna i avsnitt 5.4.7 och 6.3.6 är även denna reglering förenlig med dataskyddsreformen. Av 14 § följer att sådan tilläggsinformation som omfattas av bestämm- elsen endast får bevaras som behövs för att uppnå det syfte för vilket den har mottagits. Informationen får dock aldrig bevaras längre än efter det att de uppgifter i SIS som den avser har gallrats. Bestämmelsens första led motsvarar principen om lagringsminimering i artikel 5.1 e i dataskyddsförordningen. Det kan därför ifrågasättas om den delen av bestämmelsen behöver behållas Att låta detta led utgå och endast ha kvar det senare ledet – som i sig utgör en enligt artikel 6.2 och 6.3 tillåten precisering – skulle emellertid innebära att den samlade regleringen beträffande bevarande av tilläggsinformation blir svårbegriplig. I enlighet med skäl 8 i dataskyddsförordningen bör därför även första ledet i 14 § anses förenligt med dataskyddsförordningen. Bestämmelsen är även förenlig med dataskyddsdirektivet eftersom detta, Prop. 2018/19:65 som konstaterats, inte innehåller något förbud mot den dubbelreglering som uppstår i förhållande till 2 kap. 17 § brottsdatalagen. Som redogjorts för i avsnitt 5.4.7 har gallringsbegreppet utmönstrats ur vissa registerförfattningar på brottsdatalagens område. I enlighet med vad som anförts beträffande motsvarande bestämmelser i lagen om belastningsregister (avsnitt 8.3.8) bör det emellertid inte göras några ändringar i bestämmelserna om gallring i lagen om SIS. 11.4.7Rättelse, skadestånd och överklagande Regeringens förslag: Bestämmelsen om rättelse m.m. i lagen om SIS ska upphävas. Av lagen om SIS ska det framgå att brottsdatalagens bestämmelse om skadestånd ska tillämpas om behandling av personuppgifter som omfattas av brottsdatalagen skett i strid med lagen om SIS eller med föreskrifter som meddelats i anslutning till den. Frågor om skadestånd vid behandling av personuppgifter som omfattas av dataskydds- förordningen ska inte regleras i lagen om SIS. Bestämmelsen om överklagande i lagen om SIS ska upphävas. Promemorians förslag överensstämmer i sak med regeringens. Remissinstanserna: menar att hänvisningen till skadeståndsbestämmelsen i brottsdatalagen begränsar enskildas rätt till skadestånd i förhållande till skadeståndsbestämmelsen i artikel 82 i dataskyddsförordningen. Övriga remissinstanser yttrar sig inte över förslaget. Skälen för regeringens förslag: I 15 § lagen om SIS regleras skyldighet att rätta, blockera eller utplåna personuppgifter som myndigheten har registrerat, om de är rättsligt eller sakligt felaktiga. När behandling av personuppgifter i omfattas av dataskyddsförordningen kommer be- stämmelserna om rättelse, radering och begränsning av behandling i artikel 16–18 emellertid att vara direkt tillämpliga och som konstateras i avsnitt 5.7 saknas det skäl att i de nu aktuella registerförfattningarna inskränka den enskildes rätt i dessa avseenden. Lagen om SIS bör därför inte längre innehålla någon reglering av rättelse, blockering eller utplåning på dataskyddsförordningens område. När behandling av personuppgifter i i stället omfattas av brottsdatalagen kan, som konstaterats i avsnitt 6.5, bestämmelserna om rättelse, radering och begränsning av behandling i 4 kap. 9–10 §§ brottsdatalagen tillämpas. Därför bör lagen om SIS inte heller innehålla någon reglering av rättelse, blockering eller utplåning på brottsdatalagens område. 15 § lagen om SIS bör alltså upphävas. I 16 § lagen om SIS regleras frågor om skadestånd genom en hänvisning till reglerna i personuppgiftslagen. För att bestämmelsen ska vara förenlig med dataskyddsdirektivet måste det, i enlighet med bedömningen i avsnitt 6.6.4, i stället framgå att bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen ska tillämpas vid behandling av personuppgifter i strid med lagen om SIS eller föreskrifter som meddelats i anslutning till den, 2018/19:65 om behandlingen omfattas av brottsdatalagen. Om skada orsakas i samband med behandling som inte omfattas av brottsdatalagen blir, som framgår av avsnitt 5.8.2, i stället dataskyddsförordningens reglering tillämplig utan att någon hänvisning krävs. Att 16 § lagen om SIS därför inte bör omfatta frågor om skadestånd vid sådan behandling innebär alltså inte, såsom anför, någon begränsning av den enskildes rätt till skadestånd vid personuppgiftsbehandling som omfattas av dataskydds- förordningens tillämpningsområde. I enlighet med bedömningarna i avsnitt 5.8.2 och 6.6.5 saknas behov av bestämmelser om överklagande i lagen om SIS. Bestämmelsen i 17 § om rätten att överklaga beslut enligt 15 § bör därför upphävas. Regeringens bedömning: Det behövs inte någon ytterligare reglering för att rådsbeslutet om inrättande, drift och användning av andra generationen av Schengens informationssystem (SIS II) ska vara korrekt genomfört även efter det att personuppgiftslagen upphävts. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens förslag och bedömning När rådsbeslutet genomfördes i svensk rätt skedde detta i huvudsak genom ändringar i lagen och förordningen om SIS samt genom den befintliga regleringen i personuppgiftslagen (prop. 2009/10:86). rådsbeslutet ansågs alltså inte kräva några lagstiftningsåtgärder eftersom den befintliga regleringen i personuppgiftslagen bedömdes genomföra kraven i dessa artiklar. Detta gäller artikel 10 om datasäkerhet, artikel 12 om loggning, artikel 14 om personalutbildning, artikel 49 om datakvalitet, artikel 57 om skydd för personuppgifter i enlighet med konvention om skydd för enskilda vid automatisk databehandling av personuppgifter, artikel 59.1 om rätt till rättslig prövning av vissa frågor samt artikel 64.1 om skadestånd. För att rådsbeslutet även efter upphävandet av personuppgiftslagen ska anses korrekt genomfört i svensk rätt krävs alltså att också den generella reglering som ersatt personuppgiftslagen – dvs. och dataskyddslagen respektive brottsdatalagen – kan anses genomföra kraven i de nämnda artiklarna i rådsbeslutet. Datasäkerhet, loggning och utbildning av personal Artikel 10 i rådsbeslutet gäller datasäkerhet och innehåller en tämligen utförlig lista på åtgärder som ska vidtas av medlemsstaterna för att garantera säkerheten för uppgifter i SIS och i utbytet av s.k. tilläggsinformation, särskilt vad gäller obehörig åtkomst. innehåller också krav på att användningen av uppgifter i SIS ska kunna kontrolleras som artikel 12 innehåller specifika skyldigheter att, i kontrollsyfte, logga uppgifter om sökningar och utbyte av uppgifter i systemet. Artikel 14 avser ett krav på att personal vid myndigheter som har tillgång till SIS ska ha lämplig utbildning. När rådsbeslutet genomfördes i svensk rätt gjorde regeringen bedömningen att personuppgiftslagens grundläggande krav på åtgärder för att åstadkomma en lämplig säkerhetsnivå, samt möjligheterna att meddela kompletterande föreskrifter, var tillräckliga för att uppfylla säkerhetskraven enligt artikel 10 i rådsbeslutet (prop. 2009/10:86 s. 25).