prop · H60365 · 2019-03-19 00:00:00 — brottsdatalagens bestämmelse om skadestånd ska tillämpas om behandling av personuppgifter som omfattas av brottsdatalagen skett i strid med bestämmelserna i vapenlagen eller föreskrifter som meddelats i anslutning till dessa. I övrigt regleras inte frågor om rättelse och skadestånd vid personuppgiftsbehandling i vapenlagen. Promemorians förslag överensstämmer delvis med regeringens. promemorian föreslås att 1 a kap. vapenlagen inte ska innehålla några bestämmelser om skadestånd. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens förslag: I 1 a kap. 6 § vapenlagen regleras frågor om rättelse och skadestånd. reglerna i den upphävda personuppgiftslagen. Eftersom behandling av personuppgifter i vapenärenden och vid förande av vapenregistren omfattas av dataskyddsförordningen kommer frågor om rättelse att prövas enligt regleringen i förordningen. rättelse i artikel 16 är direkt tillämplig och som konstaterats i avsnitt 5.7.1 saknas det skäl att i registerförfattningarna inskränka den enskildes rätt till Prop. 2018/19:65 rättelse enligt bestämmelsen. 1 a kap. 6 § vapenlagen bör därför inte längre innehålla någon reglering av frågor om rättelse. På samma vis blir, som framgår av avsnitt 5.8.2, dataskyddsförordningens reglering av skadestånd tillämplig utan att någon hänvisning krävs. 6 § vapenlagen bör därför inte heller reglera frågor om skadestånd vid sådan behandling. Skada kan även orsakas i samband med behandling för utlämnande som omfattas av brottsdatalagen. För att regleringen ska vara förenlig med dataskyddsdirektivet måste det därför, i enlighet med bedömningen i avsnitt 6.6.4, framgå av 1 a kap. 6 § vapenlagen att bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen ska tillämpas vid behandling av personuppgifter i strid med bestämmelserna i vapenlagen eller föreskrifter som har meddelats i anslutning till dessa, om behandlingen omfattas av brottsdatalagen. Regeringens förslag: Bestämmelsen i vapenlagen om bevarande av personuppgifter i vapenregister har samma innehåll som artikel 5.1 e i dataskyddsförordningen och ska därför upphävas. Regeringens bedömning: Bestämmelsen i vapenlagen om gallring bör inte ändras som en följd av dataskyddsreformen. Promemorians bedömning överensstämmer inte med regeringens. I promemorian föreslås inga ändringar i bestämmelserna om bevarande av uppgifter. Remissinstanserna: Ingen remissinstans invänder mot promemorians bedömning. Skälen för regeringens förslag och bedömning: 1 a kap. 9–10 §§ innehåller bestämmelser om bevarande av uppgifter i vapenregistren. Enligt 9 § får uppgifter i vapenregistren inte bevaras där längre än vad som behövs för något av de ändamål som anges i 8 §, dvs. de ändamål för vilka uppgifterna behandlas i registren. I 10 § görs sedan undantag från detta beträffande vissa uppgifter, som ska bevaras . Som framgår av avsnitt 5.4.7 måste en bedömning göras från fall till fall om det är motiverat att i registerförfattningar ha kvar bestämmelser om bevarande av personuppgifter som motsvarar bestämmelsen i artikel 5.1 e i förordningen. Personuppgifter i vapenregistren behandlas endast för de ändamål som anges i 1 a kap. 8 § och regeringen anser därför, till skillnad från den bedömning som görs i promemorian, att 1 a kap. 9 § vapenlagen måste anses vara en sådan bestämmelse som inte tillför något utöver artikel 5.1 e. Bestämmelsen i 1 a kap. 9 § bör således upphävas. Eftersom undantagsbestämmelsen i 10 § – som i enlighet med vad som anförts i avsnitt 5.4.7 är förenlig med dataskyddsförordningen – hänvisar till 9 § måste en följdändring göras i denna. 1 a kap. 11 § vapenlagen innehåller en bestämmelse om gallring av uppgifter i vapeninnehavarregistret om personer som tillhör hemvärnets personal. Enligt bestämmelsen ska sådana uppgifter gallras när Försvarsmakten har meddelat att uppgiften är aktuell. 2018/19:65 Tidpunkten då en sådan uppgift är aktuell torde i regel motsvara tidpunkten då uppgiften inte längre behövs för vapeninnehavarregistrets ändamål. En bestämmelse om gallring innebär emellertid inte bara att uppgiften inte längre får behandlas i registret utan även att arkivrättslig gallring ska ske. Bestämmelsen i 1 a kap. 11 § vapenlagen innebär alltså en precisering i förhållande till artikel 5.1 e och är därför förenlig med dataskyddsförordningen. I enlighet med vad som anförts om motsvarande bestämmelser i lagen om belastningsregister (avsnitt 8.3.8) finns inte skäl att inom ramen för detta lagstiftningsärende göra några ändringar i registerförfattningarnas gallringsbestämmelser som inte krävs för att de ska vara förenliga med dataskyddsreformen. Regeringens bedömning: Bestämmelserna i vapenlagen om utlämnande av uppgifter för statistiska ändamål och till utländska myndigheter samt bestämmelsen om direktåtkomst behöver inte ändras som en följd av dataskyddsreformen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning Utlämnande till svenska myndigheter Ändamålsbestämmelsen i 1 a kap. 8 § vapenlagen ger endast stöd för utlämnande ur vapenregistren för att ge information i brottsbekämpande verksamhet. I övrigt regleras utlämnande till svenska myndigheter genom bestämmelsen om utlämnande till myndighet som ansvarar för att framställa rättsstatistik i 12 § samt genom bestämmelsen om direktåtkomst i 14 §. Eftersom det redan av artikel 5.1 b i dataskyddsförordningen följer att ytterligare behandling för statistiska ändamål är tillåten i enlighet med den s.k. finalitetsprincipen skulle det kunna ifrågasättas om det är lämpligt att behålla 12 § i lagen. Förutom att möjliggöra behandling av personuppgifter fyller bestämmelsen emellertid även en sekretessbrytande funktion och bör därför behållas. Detta är förenligt med dataskyddsförordningen eftersom det rör sig om en sådan ändamålsbestämmelse som är tillåten i nationell rätt enligt artikel 6.3 (prop. 2017/18:115 s. 17). Bestämmelsen i 14 § innebär att Säkerhets- polisen, och får medges direktåtkomst till vapenregister. Som konstaterats i avsnitt 5.4.4 och 6.3.4 är bestämmelser som preciserar förutsättningarna för elektroniskt utlämnande, inklusive direktåtkomst, förenliga med både dataskyddsförordningen och dataskyddsdirektivet. Bestämmelserna i 12 och 14 §§ behöver således inte ändras som en följd av dataskyddsreformen. Som konstateras i promemorian innebär avsaknaden i övrigt av be- stämmelser som reglerar utlämnanden till svenska myndigheter att utlämnanden ur vapenregistren till andra svenska myndigheter än de ovannämnda, liksom utlämnanden ur vapenärenden, måste bedömas Prop. 2018/19:65 utifrån det generellt tillämpliga regelverket om personuppgiftsbehandling samt tillämpliga sekretessbestämmelser. har detta, i enlighet med 9 § d personuppgiftslagen, inneburit att sådana utlämnanden skett med tillämpning av finalitetsprincipen, dvs. personuppgifter har kunnat lämnas ut för ändamål som inte är oförenliga med det ändamål som de samlades in för. Det kommer även i fortsättningen, nu i enlighet med artikel 5 b i dataskyddsförordningen, att vara finalitetsprincipen tillsammans med tillämpliga sekretessbestämmelser som avgör om utlämnande av personuppgifter kan ske till svenska myndigheter i andra fall än enligt 12 och 14 §§. Det som tillkommer är att , såvida den aktuella vidarebehandlingen inte grundar sig på nationell rätt, måste beakta de omständigheter som räknas upp i artikel 6.4 a–e vid bedömningen av om finalitetsprincipen ger stöd för utlämnande. Utlämnande till utländska myndigheter Utlämnande av uppgifter ur vapenregistren till utländska myndigheter regleras i 1 a kap. 13 § vapenlagen. Bestämmelsen innebär att person- uppgifter som behandlas i vapenregistren, om det är förenligt med svenska intressen, får lämnas till eller Europol, eller polis- eller åklagarmyndighet i en stat som är ansluten till , om det behövs för att mottagaren ska kunna förebygga, förhindra, upptäcka, utreda eller beivra brott, eller till utländsk underrättelse- eller säkerhetstjänst. Uppgifter får även lämnas till en utländsk myndighet eller mellanfolklig organisation, om utlämnandet följer av en internationell överens- kommelse. Regleringen avser framför allt utlämnanden av uppgifter för användning i sådana syften som omfattas av dataskyddsdirektivets tillämpningsområde, men kan även avse utlämnanden för användning i sådana syften som omfattas av dataskyddsförordningens tillämpningsområde. En bestämmelse motsvarande 1 a kap. 13 § vapenlagen finns i 2 kap. 7 § polisens brottsdatalag och är därmed förenlig med direktivet. Det är ett allmänt intresse att utlämnande av uppgifter ur vapenregistren kan ske till utländska möjligheter i de situationer som regleras i 1 a kap. 13 § vapenlagen. behandling av personuppgifter för utlämning i enlighet med denna bestämmelse är därför nödvändig för att utföra en uppgift av allmänt intresse. Behandlingen är därmed, i enlighet med 2 kap. 2 § dataskyddslagen, tillåten med stöd av artikel 6.1 e i dataskyddsförordningen. I enlighet med resonemanget i avsnitt 5.4.4 måste bestämmelser om utlämnande av detta slag dessutom generellt anses vara sådana preciseringar som är tillåtna enligt artikel 6.2 i dataskydds- förordningen. Mot bakgrund av ovanstående delar regeringen bedömningen i promem- orian att bestämmelsen i 1 a kap. 13 § vapenlagen inte behöver ändras med anledning av dataskyddsreformen. Lagen om Schengens informations- 1985 ingick , och Beneluxstaterna ett avtal om att successivt avveckla personkontrollerna vid de gemensamma gränserna och att utveckla det polisiära och rättsliga samarbetet mellan staterna, det s.k. . Avtalet var ett separat mellanstatligt avtal utanför EU. Efter hand har fler av EU:s medlemsstater anslutit sig till avtalet, däribland . De viktigaste reglerna för samarbetet, bl.a. de praktiska åtgärderna för att genomföra avvecklingen av personkontrollerna vid de inre gränserna, fanns ursprungligen i som började tillämpas 1995. I samband med Amsterdamfördragets ikraftträdande införlivades emellertid i . Detta innebär att samarbetet numera äger rum i den vanliga EU-strukturen, dvs. under medverkan av EU:s institutioner. Regelverket omfattar olika EU-rättsakter som utvecklar bestämmelserna i det ursprungliga och . När det gäller Schengens informationssystem, här kallat SIS, har reglerna om detta i ersatts av tre EU-rättsakter; ett rådsbeslut och två förordningar. Rådets beslut /533/RIF av om inrättande, drift och användning av andra generationen av Schengens informationssystem (SIS II), här kallat rådsbeslutet, är en reglering som faller inom den tidigare s.k. pelarstrukturen, som gällde för EU-samarbetet innan Lissabonfördraget trädde i kraft. Rådsbeslutet avser tredjepelarfrågor, dvs. polisiärt och straffrättsligt samarbete mellan EU:s medlemsstater. Utöver rådsbeslutet regleras användningen av SIS av två EU- förordningar.1 Den ena avser gränskontroll och immigrationskontroll. Den andra avser tillgång till SIS för de enheter inom medlemsstaterna som ansvarar för att utfärda registreringsbevis för fordon. Regleringen av SIS har varit föremål för översyn och tre nya förordningar om SIS har beslutats2, vilka kommer att ersätta ovan nämnda rättsakter. De nya förordningarna utvidgar 1 och rådets förordning (EG) nr 1987/2006 av om inrättande, drift och användning av andra generationen av Schengens informationssystem (SIS II) respektive och rådets förordning (EG) nr 1986/2006 av om tillträde till andra generationen av Schengens informationssystem (SIS II) för de enheter i medlemsstaterna som ansvarar för att utfärda registreringsbevis för fordon. 2 och rådets förordning (EU) 2018/1860 av om användning av Schengens informationssystem för återvändande av tredjelandsmedborgare som vistas olagligt i medlemsstaterna, och rådets förordning (EU) 2018/1861 av om inrättande, drift och användning av Schengens informationssystem (SIS) på området in- och utresekontroller, om ändring av konventionen om tillämpning av och om ändring och upphävande av förordning (EG) nr 1987/2006 samt och rådets förordning (EU) 2018/1862 av den 28 om inrättande, drift och användning av Schengens informationssystem (SIS) på området polissamarbete och straffrättsligt samarbete, om ändring och upphävande av rådets beslut /533/RIF och om upphävande av och rådets förordning (EG) nr 1986/2006 och kommissionens beslut /261/EU. också användningsområdet till att även avse arbetet med återvändande av Prop. 2018/19:65 tredjelandsmedborgare som vistas olagligt på EU:s territorium. Merparten av bestämmelserna i dessa förordningar ska börja tillämpas på datum som kommissionen ska fastställa senast från förordningarnas ikraftträdande. SIS är ett datasystem som fungerar som ett efterlysningshjälpmedel och, i viss mån, även som ett spaningshjälpmedel. I SIS kan varje Schengenstat föra in uppgifter om personer och om fordon eller andra föremål som är efterlysta eller eftersökta och begära att en viss åtgärd ska vidtas om personen eller föremålet påträffas vid en gränskontroll eller i en annan Schengenstat. Det kan exempelvis vara fråga om att begära att en person som misstänks för brott ska gripas och omhändertas, att uppgifter ska lämnas om var en försvunnen person befinner sig eller att uppgifter ska lämnas om var ett föremål som ska beslagtas har påträffats. Någon skyldighet för medlemsstaterna att vidta de åtgärder som en annan stat har begärt finns inte. Vilka åtgärder som ska vidtas vid en träff i SIS styrs i stället av den nationella rätten i den medlemsstat på vars territorium en efterlyst person eller ett efterlyst föremål påträffas. Tekniskt består SIS dels av en nationell enhet (fortsättningsvis SIS- registret), som är ett nationellt register för varje Schengenstat, dels en central teknisk stödfunktion. Med hjälp av den tekniska stödfunktionen innehåller varje Schengenstats nationella register uppgifter som är identiska med uppgifterna i de andra staternas nationella register. Varje Schengenstat använder sitt nationella register för att lägga in framställningar om åtgärder och för att söka i SIS. SIS kan sägas utgöra ett verktyg för att kompensera det borttagande av gränskontrollen som innebär. Lagen (2000:344) om Schengens informationssystem (lagen om SIS), tillsammans med den kompletterande förordningen (2000:836) om Schengens informationssystem (förordningen om SIS), genomförde tidigare och rådsbeslutet i svensk rätt (propositionen SIS II – en andra generation av Schengens informationssystem, prop. 2009/10:86). reglerade lagen om SIS hela användningen av SIS, men när regleringen på EU-nivå delades upp i ett rådsbeslut och två förordningar togs bestämmelser i lagen som avsåg användning inom förordningarnas tillämpningsområde bort. Lagen om SIS innehåller emellertid fortfarande vissa upplysande bestämmelser om regleringen i de båda EU-förordningarna. Den har ännu inte anpassats till de nya EU-förordningarna. I lagen föreskrivs en skyldighet för – som är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt lagen – att med hjälp av automatiserad behandling föra ett register som ska vara den svenska nationella enheten i SIS (dvs. ) samt att behandla viss tilläggsinformation (1 §). I lagens inledning finns bestämmelser om ändamålen med registret (2 §) och därefter om vilka uppgifter som får registreras och andra förutsättningar för att registrering ska få ske (3–7 §§). 2018/19:65 också bestämmelser om vilka myndigheter som kan få ut uppgifter ur registret, hur uppgifterna får användas och vad som gäller för gallring av uppgifterna (9–11 §§). Därutöver finns bestämmelser om s.k. tilläggsinformation, som inte registreras i SIS men utbyts mellan Schengenstaterna, exempelvis efter att en sökning i systemet har lett till en träff (12–14 §§). Slutligen innehåller lagen bestämmelser om rättelse, skadestånd och överklagande (15–17 §§). När det gäller sekretess för uppgifterna i registret finns en särskild sekretessbestämmelse i 37 kap. 6 § offentlighets- och sekretesslagen (2009:400). Avsikten med denna är att garantera sekretess för uppgifter som i förekommande fall inte omfattas av sekretess enligt andra bestäm- melser. Lagen om SIS innehåller en upplysning som hänvisar till offentlighets- och sekretesslagen (8 §). 11.3Är brottsdatalagen eller dataskyddsförordningen tillämplig? Regeringens bedömning: Behandlingen av personuppgifter i SIS- registret, såväl för förandet av registret som för utlämnande, omfattas antingen av brottsdatalagen eller av dataskyddsförordningen. Det är syftet med registreringen av den behandlade personuppgiften i det enskilda fallet som är avgörande för vilken rättsakt som är tillämplig vid den fortsatta behandlingen. Detta innebär att samtliga bestämmelser om personuppgiftsbehandling i lagen om SIS avser behandling som omfattas av såväl brottsdatalagen som dataskyddsförordningen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: menar att personuppgifts- behandlingen i i sin helhet ska anses falla under dataskyddsdirektivets tillämpningsområde. Övriga remissinstanser yttrar sig inte över bedömningen. Skälen för regeringens bedömning: SIS är ett datasystem som innehåller personuppgifter. Förandet av registret och behandling av uppgifter i registret, exempelvis sökning och utlämnande, innefattar alltså sådan personuppgiftsbehandling som kan omfattas antingen av brottsdatalagen eller dataskyddsförordningen. förs av , en myndighet som bland annat har till uppgift att förebygga, förhindra och upptäcka brottslig verksamhet samt att utreda brott, och därmed kan vara behörig i brottsdatalagens mening (1 kap. 6 § brottsdatalagen). Som nämnts ovan inordnas också rådsbeslutet under området polisiärt och straffrättsligt samarbete. Detta är emellertid inte i sig avgörande för om brottsdatalagen är tillämplig eller inte. Att en myndighet som kan vara behörig utför behandlingen är en förutsättning för att brottsdatalagen ska vara tillämplig, men utöver detta måste också syftet med behandlingen vara att bekämpa brott eller något annat av de syften som anges i 1 kap. 2 § brottsdatalagen. Vid genomförandet av konstaterade regeringen att mycket av informationsutbytet inom SIS skulle komma att avse underrättelseverksamhet och utredning om brott. Dock skulle vissa Prop. 2018/19:65 uppgifter kunna lämnas i helt andra syften, exempelvis uppgifter om personer som ska införas på spärrlista samt uppgifter om försvunna personer och personer som ska omhändertas för sin egen säkerhet (propositionen Polissamarbete m.m. med anledning av anslutning till Schengen, prop. 1999/2000:64, s. 151). Sådana uppgifter kan även enligt dagens reglering föras in i . Svenska framställningar om tillfälligt omhändertagande av en person med hänsyn till dennes eller annans säkerhet kan exempelvis, enligt 5 § förordningen om Schengens informationssystem, avse personer som tvångsvårdas med stöd av lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall eller lagen (1991:1128) om psykiatrisk tvångsvård. Sådana framställningar kan även avse personer som ska omhändertas enligt bestämmelser i eller lagen (1989:14) om erkännande och verkställighet av utländska vårdnadsavgöranden m.m. och om överflyttning av barn. Den personuppgiftsbehandling som sker i , både för att lägga in och bevara uppgifter och för sökningar och utlämnanden, med anledning av en sådan framställan kan inte anses ske i brottsbekämpande eller något av de andra syften som anges i 1 kap. 2 § brottsdatalagen. Mot bakgrund av ovanstående gör regeringen, till skillnad från , bedömningen att en registrering av personuppgifter i och den fortsatta behandlingen av uppgifterna i registret kan omfattas antingen av brottsdatalagens eller dataskyddsförordningens tillämpningsområde. Vilket regelverk som blir tillämpligt måste avgöras från fall till fall, beroende på syftet med registreringen. Både förandet av registret och annan behandling av personuppgifter i det kan alltså omfattas antingen av brottsdatalagen eller dataskydds- förordningen. Detta innebär, till skillnad från vad som gäller enligt de övriga registerförfattningarna, att samtliga bestämmelser om person- uppgiftsbehandling i lagen om SIS kommer att reglera sådan behandling som omfattas av såväl brottsdatalagen som dataskyddsförordningen. Samtliga sådana bestämmelser i lagen måste därför vara förenliga med både brottsdatalagen och dataskyddsförordningen. 11.4Vilka ändringar bör göras som en följd av dataskyddsreformen? 11.4.1Skyldighet att föra , personuppgifts- ansvar samt registrets ändamål och innehåll Regeringens bedömning: Bestämmelserna om skyldighet att föra SIS- registret och om personuppgiftsansvar samt om registrets ändamål och innehåll i lagen om SIS bör inte ändras som en följd av dataskydds- reformen. Promemorians bedömning överensstämmer med regeringens. 2018/19:65 Remissinstanserna: påtalar behovet av en robust process för att säkerställa att registreringen enligt 6 § lagen om SIS efterföljs. Övriga remissinstanser yttrar sig inte över bedömningen. Skälen för regeringens bedömning Bestämmelsernas förenlighet med dataskyddsdirektivet I 1 § lagen om SIS åläggs att föra ett register som ska vara den svenska nationella enheten i SIS samt att behandla viss tilläggs- information. pekas också ut som personuppgifts- ansvarig för den behandling av personuppgifter som myndigheten utför enligt lagen. Åläggandet att föra registret och behandla tilläggsinformation innebär att uttryckligen getts en uppgift som omfattas av de syften som ingår i dataskyddsdirektivets tillämpningsområde. Denna del av bestämmelsen är alltså förenlig med dataskyddsdirektivet. Som framgår av resonemanget i avsnitt 6.3.2 är det även förenligt med dataskyddsdirektivet att pekas ut som personuppgiftsansvarig. I 2 § lagen om SIS finns bestämmelser om ändamålen med förandet av och i 3–6 §§ om vilka framställningar och uppgifter som får, och i vissa fall ska, föras in i registret samt under vilka förutsättningar detta får ske. Dessa bestämmelser, tillsammans med det ovan nämnda åläggandet för att föra registret och behandla tilläggsinformation, genomför kravet i artikel 8 i dataskyddsdirektivet på att personuppgiftsbehandlingen ska ha rättslig grund. Bestämmelsen i 4 § första stycket 3 lagen om SIS – av vilken det bl.a. framgår att fingeravtryck, dvs. biometriska uppgifter, får föras in i SIS- registret – innebär dessutom en särskild reglering av i vilken mån sådana personuppgifter som avses i 2 kap. 12 § brottsdatalagen får behandlas i registret. För att sådana uppgifter ska få behandlas krävs enligt artikel 10 i dataskyddsdirektivet, förutom att den måste vara tillåten enligt nationell rätt, att behandlingen är absolut nödvändig och att det finns lämpliga skyddsåtgärder. Enligt regeringen är dessa krav uppfyllda. För att SIS- registret ska kunna uppfylla sitt ändamål krävs att korrekt identifiering kan ske av de personer som omfattas av införda framställningar, något som underlättas i väsentlig grad av att fingeravtryck får föras in i registret. En säker identifiering minimerar också risken för att personer felaktigt ska bli föremål för åtgärder till följd av en framställning. Möjligheten att behandla fingeravtryck infördes dessutom mot bakgrund av intresset av att underlätta samarbetet mellan medlemsstaterna och öka effektiviteten i brottsbekämpningen (prop. 2009/10:86 s. 27 f.). Regeringen anser därför att sådan behandling måste anses absolut nödvändig. Dessutom utgör den utförliga författningsregleringen av – särskilt begränsningen av användningen av bl.a. fingeravtryck i 10 § fjärde stycket – i sig en skyddsåtgärd, liksom de tillämpliga sekretessbestämmelserna. Bestämmelserna i 1–6 §§ är alltså förenliga med dataskyddsdirektivet. Bestämmelsernas förenlighet med dataskyddsförordningen