prop · H603163 · 2019-09-09 00:00:00 — Det är bara sådan skada eller kränkning som behandlingen av person- uppgifter har vållat som ersätts, vilket framgår av att behandlingen ska ha orsakat skada respektive kränkning. Orsakssambandet ska vara adekvat. Ersättningen för kränkning får uppskattas efter skälighet mot bakgrund av samtliga omständigheter i det enskilda fallet. Sådana faktorer som att det funnits risk för otillbörlig spridning av känsliga eller felaktiga personuppgifter eller att den registrerade genom behandlingen av uppgifterna drabbats av beslut eller åtgärder som kunnat få negativa följder, hör till det som bör beaktas. Har den registrerade själv lämnat en oriktig eller ofullständig personuppgift, kan även detta ha betydelse vid Gentemot den registrerade är Säkerhetspolisen ansvarig för all den behandling som utförs för myndighetens räkning. Det gäller även när ett personuppgiftsbiträde eller någon annan utfört behandlingen. skadestånd ska således riktas mot Säkerhetspolisen även i de fallen. Personuppgiftsbiträdet kan dock ibland vara att anse som personuppgifts- ansvarig för viss behandling och kan då bli skadeståndsskyldig i den Paragrafen innehåller ingen bestämmelse som innebär att ersättnings- skyldigheten kan jämkas. Det torde dock finnas utrymme för att sätta ned skadestånd med stöd av allmänna skadeståndsrättsliga principer om Överklagande av den personuppgiftsansvariges beslut I paragrafen anges i vilken utsträckning beslut som fattats av den personuppgiftsansvarige får överklagas till allmän förvaltningsdomstol. Övervägandena finns i avsnitt 16.4. Vilka typer av beslut som får överklagas räknas upp i första stycket. Uppräkningen är, som framgår av 4 §, uttömmande. Beslut i fråga om rättelse, komplettering eller radering av personuppgifter eller begränsning av behandlingen av personuppgifter får överklagas om den registrerade har begärt åtgärden och beslutet har gått honom eller henne emot. överklaga kan gälla även i de fall den personuppgiftsansvarige vidtagit en annan åtgärd än den som den registrerade begärt. Beslut som innebär att en begäran om personrelaterad information, helt eller delvis, inte har tillmötesgåtts får också överklagas. beslut att ta ut avgift för viss information. Enligt andra stycket krävs prövningstillstånd vid överklagande till Överklagande av tillsynsmyndighetens beslut I paragrafen föreskrivs att tillsynsmyndighetens beslut enligt lagen får överklagas till allmän förvaltningsdomstol. Utgångspunkten enligt första stycket är att tillsynsmyndighetens beslut Prop. 2018/19:163 enligt lagen får överklagas. Det är framför allt fråga om beslut som tillsynsmyndigheten har fattat med stöd av sina korrigerande befogenheter i 7 kap. 5 §. Det kan t.ex. vara beslut om rättelse eller radering. I stycket anges vidare att tillsynsmyndigheten är motpart i domstolen när ett beslut överklagas. Enligt andra stycket krävs prövningstillstånd vid överklagande till kammarrätten. Enligt paragrafen får inga andra beslut än de som räknas upp i 2 och 3 §§ överklagas. Övervägandena finns i avsnitt 16.4. Uppräkningen är uttömmande. Någon rätt att med stöd av förvaltningslagen (2017:900) överklaga andra beslut som Säkerhets- polisen eller annan har fattat med stöd av lagen finns alltså inte. Överföring av personuppgifter till tredjeland och internationella organisationer I paragrafen anges förutsättningarna för att få överföra personuppgifter till ett tredjeland eller en internationell organisation. Enligt första stycket får Säkerhetspolisen överföra personuppgifter till ett tredjeland eller en internationell organisation, om personuppgifterna behandlas i eller är avsedda att behandlas i ett tredjeland eller av en internationell organisation. Tredjeland och internationell organisation definieras i 1 kap. 5 §. Med behandlas förstås sådan behandling av personuppgifter som lagen Behandling av personuppgifter definieras i 1 kap. 5 §. är en form av personuppgiftsbehandling. För att personuppgifter ska få överföras till ett tredjeland eller en internationell organisation måste därför de allmänna förutsättningarna för att få behandla personuppgifter i 2 kap. alltid vara uppfyllda, exempelvis kraven på ändamål och personupp- Med överföring avses att Säkerhetspolisen skickar, vidarebefordrar eller förmedlar information till någon som befinner sig i ett tredjeland eller till en internationell organisation. Det har inte någon betydelse om överföringen sker på Säkerhetspolisens eller mottagarens initiativ. också fråga om en överföring när myndigheten gör information tillgänglig för ett tredjeland eller en internationell organisation genom att informationen tillförs ett gemensamt datasystem, t.ex. en databas hos Överföring av personuppgifter till ett tredjeland eller en internationell organisation för behandling där avser bl.a. den situationen att uppgifterna inte behandlas automatiserat i , utan överförs till ett tredjeland eller en internationell organisation för att automatiseras där. 2018/19:163 nämnas blanketter, formulär eller undersökningar som fyllts i för hand och som skickas per post till ett tredjeland där personuppgifterna läggs in i en databas. Överföring till ett tredjeland eller en internationell organisation får endast göras om de i punkt 1 angivna villkoren och något av alternativen i punkt 2 är uppfyllda. Punkt 1 begränsar till vilka utländska adressater personuppgifter får överföras. Personuppgifter får som huvudregel bara överföras till en brottsbekämpande myndighet eller en underrättelse- eller säkerhetstjänst i ett tredjeland eller till en internationell organisation med brottsbekämpande uppdrag. Möjligheten att i vissa fall överföra personuppgifter till andra regleras i 5 §. Av kravet på att överföringen ska göras till en brottsbekämpande myndighet följer att den myndighet eller organisation som ska ta emot personuppgifterna ska ha som uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott. Den som personuppgiften överförs till behöver inte ha samma uppgifter som Säkerhetspolisen, men ska ha ett brottsbekämpande uppdrag. När det gäller internationella organisationer är det framför allt som är av intresse. Även vissa utredningsorgan under FN torde kunna ha brottsbekämpande uppdrag, liksom internationella tribunaler. I punkt 2 ställs dessutom krav på viss skyddsnivå för personuppgifter som överförs till ett tredjeland eller till en internationell organisation. Personuppgifter får alltid överföras till ett tredjeland eller till en internationell organisation för vilket eller vilken kommissionen har beslutat att det finns en adekvat skyddsnivå (2 §). Om det inte finns ett sådant beslut får personuppgifterna ändå överföras om uppgifterna kommer att omfattas av tillräckliga skyddsåtgärder hos den som mottar dem (3 §). Finns det inte något beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgärder får personuppgifter överföras endast när ett undantag för särskilda situationer gäller (4 §). Överföringsgrunderna är alternativa, men ska prövas i den ordning som anges i paragrafen. I första hand ska det alltså prövas om det finns beslut om adekvat skyddsnivå och i andra hand om det finns tillräckliga skyddsåtgärder. Först därefter finns det anledning att bedöma om någon av undantagssituationerna är för handen. Om personuppgifter ska överföras till en internationell organisation, t.ex. , är det organisationen som sådan, och inte de enskilda stater som är medlemmar i organisationen, som ska uppfylla kravet på skyddsnivå. Ska personuppgiften skickas till ett tredjeland, men överföringen görs med hjälp av , ska däremot skyddsnivån i tredjelandet bedömas. Beslut om adekvat skyddsnivå Paragrafen innehåller den första tillåtna grunden för att överföra personuppgifter till ett tredjeland eller till en internationell organisation. Det är först om förutsättningarna i denna paragraf inte är uppfyllda som alternativen att överföra personuppgifter med stöd av reglerna om tillräckliga skyddsåtgärder i 3 § eller särskilda situationer i 4 § ska prövas. Övervägandena finns i avsnitt 17.4.1. Enligt paragrafen får personuppgifter alltid överföras till ett tredjeland eller en internationell organisation som enligt ett beslut av kommissionen har en adekvat skyddsnivå för personuppgifter. Om kommissionen har meddelat ett sådant beslut för ett territorium eller en sektor i ett tredjeland får personuppgifter överföras dit. Avgränsningen avgörs av innehållet i kommissionens beslut. Eftersom Säkerhetspolisens verksamhet som rör nationell säkerhet inte omfattas av unionsrätten gäller kommissionens beslut inte för myndigheten, men paragrafen ger Säkerhetspolisen samma möjlighet som andra brottsbekämpande myndigheter att överföra personuppgifter till ett tredjeland eller en internationell organisation om det finns ett sådant beslut. Förutsättningarna för överföring av personuppgifter till ett tredjeland eller en internationell organisation enligt 1 § ska alltid vara uppfyllda för att personuppgifter ska få överföras med stöd av ett beslut om adekvat skyddsnivå. Om kommissionen beslutar att ett tredjeland, eller en del av det, eller en internationell organisation inte längre säkerställer en adekvat skyddsnivå får personuppgifter inte överföras dit med stöd av den nu aktuella paragrafen. Det hindrar dock inte att personuppgifter överförs till tredjelandet eller den internationella organisationen om någon av de andra tillåtna grunderna för överföring är tillämplig. Tillräckliga skyddsåtgärder 3 § I paragrafen behandlas den andra tillåtna grunden för överföring av personuppgifter till ett tredjeland eller en internationell organisation. Paragrafen behandlas i avsnitt 17.4.2. Om det inte finns något beslut om adekvat skyddsnivå enligt 2 § får Säkerhetspolisen ändå överföra personuppgifter till ett tredjeland eller till en internationell organisation, om det finns tillräckliga skyddsåtgärder för uppgifterna där. Förutsättningarna för överföring av personuppgifter enligt 1 § ska alltid vara uppfyllda för att personuppgifter ska få överföras på denna grund. Enligt punkt 1 kan tillräckliga skyddsåtgärder finnas om sådana har fastställts i ett avtal som ger tillräckliga garantier till skydd för den registrerade. Personuppgifter kan normalt överföras till länder som är anslutna till dataskyddskonventionen eller har ingått bindande avtal om internationellt samarbete som innehåller dataskyddsregler som är tillämpliga på överföringen. Det kan också vara fråga om bilaterala avtal som ingått med ett tredjeland och som sörjer för att kravet på dataskydd uppfylls och registrerades rättigheter respekteras. Enligt punkt 2 får personuppgifter också överföras om den myndighet eller organisation som ska ta emot uppgifterna, på annat sätt än genom avtal, garanterar tillräckligt skydd för dem. Säkerhetspolisen ska bedöma alla omständigheter kring överföringen och komma till slutsatsen att skyddsåtgärderna är tillräckliga. Exempel på sådant som kan vägas in vid bedömningen av om tillräckligt skydd garanteras är bl.a. bindande åtaganden att inte sprida personuppgifterna vidare eller att inte använda personuppgifterna efter viss tidpunkt. Överföring i särskilda situationer 4 § Paragrafen reglerar möjligheten att överföra personuppgifter till ett tredjeland eller till en internationell organisation när det varken finns beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgärder för uppgifterna. Kravet är då att det ska vara fråga om en särskild situation. Övervägandena finns i avsnitt 17.4.3. Undantagen för särskilda situationer gäller även samlingar av överföringar. avses här flera överföringar som på något sätt är sammankopplade, antingen därför att det är flera personuppgifter som överförs inom ramen för ett ärende, eller för att det är en personuppgift som överförs till flera adressater. En överföring kan också innehålla flera personuppgifter och därmed utgöra en samling, t.ex. ett utdrag från ett register. Det viktiga när det gäller samlingar av överföringar är att det i efterhand går att kontrollera vilka personuppgifter som har överförts. Överföringen ska enligt första stycket vara nödvändig i någon av de särskilda situationer som räknas upp i punkterna 1–4. Punkterna är alternativa. I punkterna 2 och 3 föreskrivs att överföringen ska vara nödvändig i det enskilda fallet. Oavsett vilken situation som är för handen ska förutsättningarna för överföring till tredjeland och internationella organisationer i 1 § alltid vara uppfyllda. I punkt 1 regleras två situationer som kan göra överföringen nödvändig. Det är dels för att värna vitala intressen för den registrerade eller någon annan fysisk person, dels för att värna andra berättigade intressen som den registrerade har. I det sistnämnda fallet gäller alltså inte skyddet till förmån för någon annan än den vars personuppgifter ska överföras. Den som är misstänkt för ett brott kan ha ett berättigat intresse av att viss bevisning som finns i ett tredjeland inhämtas därifrån. Ett vittne som befinner sig i ett tredjeland kan ha ett berättigat intresse av att hans eller hennes personuppgifter överförs dit för att ett förhör ska kunna komma till stånd där. När det gäller skyddet för vitala intressen kan det gälla både för den som personuppgiften avser och för någon annan fysisk person. Det kan t.ex. handla om att överföra uppgifter om en person som misstänks planera ett sprängdåd. Även andra för den enskilde väsentliga intressen som inte är direkt avgörande för liv och död, t.ex. hälsa och ekonomiska intressen, kan värnas med stöd av undantaget för vitala intressen. Punkt 2 tillgodoser behovet av att i ett enskilt fall kunna överföra personuppgifter till ett tredjeland eller en internationell organisation för att förebygga, förhindra eller upptäcka brottslig verksamhet eller för att utreda eller lagföra brott. Som exempel kan nämnas att Säkerhetspolisen i ett enskilt fall har information om att en misstänkt terrorist befinner sig i landet, men personen identifieras först när han eller hon har rest till ett tredjeland och kan antas komma att begå brott där. Åtgärden behöver inte vara nödvändig för att tillgodose Säkerhetspolisens behov och intressen. Det kan finnas förutsättningar för att tillämpa punkten om ett tredjeland behöver få tillgång till svenska personuppgifter, t.ex. uppgift om att en person är dömd för ett visst brott. Personuppgifter kan lämnas både på Prop. 2018/19:163 begäran och på Säkerhetspolisens eget initiativ. Punkt 3 innebär att personuppgifter kan överföras till ett tredjeland eller en internationell organisation om överföringen är nödvändig i ett enskilt fall för att kunna fastställa, göra gällande eller försvara ett rättsligt anspråk. Det rättsliga anspråket ska vara hänförligt till ett ändamål som omfattas av lagens tillämpningsområde. Exempel på sådana rättsliga anspråk är bl.a. skadestånd i anledning av brott. Ett exempel på när det kan vara nödvändigt att överföra personuppgifter enligt punkt 4 för att avvärja en omedelbar och allvarlig fara för allmän säkerhet är om det finns information om ett förestående terroristattentat. Det kan vara fråga om allmän säkerhet i eller i någon annan stat. Om det är fråga om en omedelbar fara för allmän säkerhet utomlands ligger det i sakens natur att Säkerhetspolisen har fått veta något av intresse som det är viktigt att tredjelandet eller den internationella organisationen får information om direkt, t.ex. planer på en flygplanskapning. Säkerhetspolisen kan naturligtvis bara beakta sådant som den känner till vid prövningen av om personuppgifterna får överföras. Att det sedan i efterhand visar sig att överföringen inte var nödvändig, t.ex. därför att faran aldrig realiserades, innebär inte att överföringen var otillåten. Enligt andra stycket ska en intresseavvägning göras när personupp- gifter ska överföras enligt punkt 2 eller 3. De intressen som ska vägas mot varandra är skyddet för den registrerades rättigheter och friheter och det allmännas intresse av att överföringen görs. Om den registrerades intresse väger tyngre än det allmännas får personuppgifterna inte överföras. Ett exempel där den registrerades intresse väger tyngre kan vara om han eller hon riskerar dödsstraff, kroppsstraff eller tortyr om hans eller hennes personuppgifter överförs till ett tredjeland. Överföring till andra mottagare Paragrafen är ett undantag från kravet i 1 § 1 att överföring av personuppgifter till tredjeland ska göras till brottsbekämpande myndigheter eller underrättelse- och säkerhetstjänster i tredjeland. Om förutsättningarna i paragrafen är uppfyllda får personuppgifter överföras även till andra än sådana. Det kan t.ex. vara företag och privatpersoner i ett tredjeland. Det kan också vara fråga om överföring till andra kategorier av myndigheter än de som anges i 1 § 1, t.ex. en specialmyndighet som hanterar frågor om finansiering av terrorism. Överföring till andra mottagare får dock endast göras om samtliga i första stycket angivna förutsättningar är uppfyllda. Dessutom ska de övriga förutsättningarna i 1 § vara uppfyllda. Övervägandena finns i avsnitt 17.5. Enligt första stycket punkt 1 ska överföringen vara absolut nödvändig för att Säkerhetspolisen ska kunna utföra en uppgift som anges i 2 kap. 1 §. Kravet på absolut nödvändighet innebär att överföringen inte kan underlåtas. Ett exempel kan vara att Säkerhetspolisen i sin underrättelseverksamhet behöver kontakta ett privat företag i ett tredjeland för att få fram information som behövs i den brottsbekämpande verksamheten. 2018/19:163 Enligt punkt 2 krävs också att Säkerhetspolisen bedömer att det skulle vara ineffektivt eller på något annat sätt olämpligt att i stället överföra personuppgifterna till en brottsbekämpande myndighet eller en underrättelse- eller säkerhetstjänst i det tredjelandet. Det kan vara något i tidigare kontakter med myndigheten i det landet eller andra indikationer som ger anledning att tro att syftet med överföringen kan komma att förfelas eller att det på något annat sätt skulle vara olämpligt att överföra personuppgifterna via den myndigheten. Ett exempel är överföringar till olika internetoperatörer i syfte att t.ex. identifiera och kartlägga misstänkta terrorister och andra personer som kan utgöra säkerhetshot. Det skulle vara ineffektivt om varje sådan överföring skulle behöva göras genom en myndighet i mottagarlandet med hänsyn både till mängden förfrågningar och till den brådska som ofta råder. Ett annat exempel är information som lämnas till en bank för att förhindra att banken utnyttjas för brottsliga penningöverföringar, t.ex. finansiering av terrorism. I sådana fall kan kontakt behöva tas . Enligt andra stycket ska det göras en intresseavvägning mellan den registrerades intresse av skydd mot kränkning av rättigheter och friheter och det allmännas intresse av att överföringen kommer till stånd. Om den enskildes skyddsintresse väger tyngre får överföringen inte göras. Ett exempel kan vara om personen som uppgifterna avser riskerar förföljelse på grund av sin religion eller politiska åskådning om personuppgifterna överförs till någon annan än de som anges i 1 § 1. Intresseavvägningen motsvarar den som enligt 4 § andra stycket ska göras när personuppgifter ska överföras i vissa särskilda situationer. Ikraftträdande- och övergångsbestämmelserna behandlas i avsnitt 19. Punkt 1 föreskriver när lagen ska träda i kraft. I punkt 2 föreskrivs att bestämmelsen om loggning i 5 kap. 4 § tillämpas på sådana automatiserade behandlingssystem som inrättats före . I punkt 3 föreskrivs att äldre föreskrifter fortfarande ska gälla för överklagande av beslut om behandling av personuppgifter inom denna lags tillämpningsområde som har meddelats före ikraftträdandet. Med äldre föreskrifter avses här personuppgiftslagen (1998:204) och personuppgiftsförordningen (1998:1191). Punkten tar inte bara sikte på själva överklagandet utan också på vilket regelverk som ska tillämpas när överklagandet prövas. Äldre föreskrifter i polisdatalagen (2010:361) och föreskrifter som har meddelats i anslutning till den ska då tillämpas. 21.2 Förslag till lag om ändring i lagen (2007:980) Prop. 2018/19:163 om tillsyn över viss brottsbekämpande I paragrafen anges vad utövar tillsyn över. Övervägandena finns i avsnitt 15.7. Första stycket är oförändrat. I andra stycket läggs till att nämndens tillsyn även omfattar sådan behandling av personuppgifter som utförs av Säkerhetspolisen och enligt lagen om Säkerhetspolisens behandling av personuppgifter. Där förtydligas också att tillsynen särskilt ska avse behandling av känsliga personuppgifter. Tredje och fjärde styckena är oförändrade. Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 19. Punkt 1 föreskriver när lagen ska träda i kraft. Punkt 2 innebär att Säkerhets- och integritetsskyddsnämndens tillsyn över Säkerhetspolisens, och personuppgiftsbehandling fortfarande regleras enligt de äldre regelverken avseende förhållanden före ikraftträdandet . Det innebär att nämndens tillsyn således även omfattar Säkerhetspolisens behandling av personuppgifter enligt polisdatalagen (2010:361) och polisdatalagen (1998:622). 21.3Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400) Paragrafen reglerar sekretess till skydd för underrättelseverksamhet. Övervägandena finns i avsnitt 18. I andra stycket läggs en hänvisning till lagen om Säkerhetspolisens behandling av personuppgifter till. Ändringen innebär ingen ändring i sak av den ordning som gäller . Första, tredje och fjärde styckena är oförändrade. Paragrafen reglerar sekretess för enskilds personliga och ekonomiska förhållanden i viss brottsbekämpande verksamhet. I första stycket femte punkten läggs det till en hänvisning till lagen om Säkerhetspolisens behandling av personuppgifter. Bestämmelsen, som för 2018/19:163 Säkerhetspolisens del tidigare hänvisade till 6 kap. polisdatalagen (2010:361), ändrades i samband med att lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område infördes (prop. 2017/18:269 s. 277 f.). Genom en övergångsbestämmelse till den lagen har 6 kap. polisdatalagen fortsatt att gälla för Säkerhetspolisens del. Övergångsbestämmelsen upphör dock att gälla vid införandet av den nya lagen om Säkerhetspolisens behandling av personuppgifter. Ändringen i nu aktuell paragraf innebär ingen ändring i sak av vad som gäller . Andra–fjärde styckena är oförändrade. Paragrafen innehåller hänvisningar till sekretessbrytande bestämmelser i ett antal andra lagar. Övervägandena finns i avsnitt 18. I paragrafen läggs det till en hänvisning till lagen om Säkerhetspolisens behandling av personuppgifter. Ändringen innebär ingen ändring i sak av vad som gäller 21.4Förslag till lag om ändring i lagen (2017:496) om internationellt polisiärt samarbete I paragrafen regleras hur bestämmelserna i lagen förhåller sig till andra bestämmelser om behandling av personuppgifter. Övervägandena finns i avsnitt 18. I paragrafen läggs det till en hänvisning till lagen om Säkerhetspolisens behandling av personuppgifter. Det innebär att den lagen gäller vid behandling av personuppgifter i internationellt polisiärt samarbete, om det inte finns avvikande bestämmelser i lagen om internationellt polisiärt samarbete eller föreskrifter som regeringen har meddelat i anslutning till den. 21.5Förslag till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning Paragrafen reglerar undantag från bestämmelsen i 2 §, som utsträcker dataskyddsförordningens tillämpningsområde. I paragrafen ersätts hänvisningen till 6 kap. polisdatalagen (2010:361) med en hänvisning till lagen om Säkerhetspolisens behandling av personuppgifter. Övervägan- dena finns i avsnitt 18. Förslag till lag om ändring i säkerhetsskyddslagen (2018:585) I paragrafen anges vad som avses med registerkontroll. En hänvisning till lagen om Säkerhetspolisens personuppgiftsbehandling läggs till. Ändringen innebär inte någon ändring i sak av den ordning som gäller .