prop · H60365 · 2019-03-19 00:00:00 — En enskilds begäran om uppgifter ur belastningsregistret ska enligt 9 § femte stycket lagen om belastningsregister vara skriftlig och undertecknad av den sökande. Att begäran ska vara undertecknad innebär bl.a. att en sådan begäran inte kan göras elektroniskt. har regeringen gjort bedömningen att en enskilds begäran om uppgifter enligt 4 kap. 3 § brottsdatalagen bör kunna göras både på papper och elektroniskt, vilket också ligger i linje med avsikten i direktivet att underlätta för den registrerade att utöva sina rättigheter (prop. 2017/18:232 s. 254 f.). Mot denna bakgrund saknas skäl att vidhålla kravet på att en begäran om uppgifter ur belastningsregistret måste vara undertecknad av den enskilde. I stället bör det, som föreslås i promemorian, ankomma på att säkerställa att begäran gjorts av en behörig person. 8.3.6Utlämnanden av uppgifter ur belastningsregistret för andra enskildas användning Regeringens bedömning: Bestämmelserna om utlämnande till andra enskilda och om tystnadsplikt i lagen om belastningsregister bör inte ändras som en följd av dataskyddsreformen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: I 10 § lagen om belastnings- register regleras möjligheten för enskilda att ta del av uppgifter ur belastningsregistret om andra enskilda. Av bestämmelsen följer att sådan rätt finns om uppgifterna behövs för att pröva en fråga om anställning eller uppdrag i vissa verksamheter, vilka preciseras i förordningen om Dessutom har en enskild som kan styrka att hans eller hennes rätt är beroende av uppgifter ur belastningsregistret om en annan enskild rätt att ta del av sådana uppgifter, om regeringen medger att de får Regeringen delar bedömningen i promemorian att behandling av personuppgifter för sådana utlämnanden är nödvändig för att ska kunna fullgöra en rättslig förpliktelse (dvs. lämna ut uppgifterna). Förpliktelsen följer dessutom antingen av författning, när uppgifterna behövs för att pröva en fråga om anställning eller uppdrag, eller av beslut som har meddelats med stöd av lag, när regeringen medgett att uppgifter får lämnas ut. I enlighet med 2 kap. 1 § dataskyddslagen får behandling då ske med stöd av artikel 6.1 c i Som framgått ovan måste bestämmelser om 2018/19:65 utlämnande av detta slag dessutom generellt anses vara sådana preciseringar som är tillåtna enligt artikel 6.2 i dataskyddsförordningen. Eftersom bestämmelsen innebär att uppgifter ur belastningsregistret lämnas ut till andra än myndigheter måste även dataskyddsförordningens särskilda reglering av behandling av personuppgifter som rör fällande domar i brottmål beaktas (artikel 10). Denna reglering tillsammans med bestämmelserna i 3 kap. 8–9 §§ dataskyddslagen innebär att möjligheterna för enskilda att behandla sådana personuppgifter är starkt begränsade. I enlighet med 5 § förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning får sådan behandling emellertid ske dels om den är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras, dels om behandlingen är nödvändig för att en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras. Dessa situationer torde regelmässigt vara för handen i de fall då utlämnande sker med stöd av 10 § lagen om belastningsregister. Som anges i promemorian måste i sådana fall bestämmelsen i 19 § lagen om belastningsregister, om tystnadsplikt för den som med stöd av lagen fått del av uppgifter om någon annans personliga förhållanden, anses vara en sådan i nationell rätt fastställd skyddsåtgärd som föreskrivs i artikel 10. Ett utlämnande till en enskild kan dessutom vara tillåtet även om den enskilde inte har möjlighet att vidarebehandla uppgifterna på sådant vis – dvs. på automatisk väg eller för behandling i ett register – att behandlingen faller under regleringen i dataskyddsförordningen. Typiskt sett torde inte heller finnas behov av sådan vidarebehandling när uppgifterna ska användas för sådana syften som anges i 10 § lagen om belastningsregister. Mot bakgrund av det ovan anförda delar regeringen bedömningen i promemorian att bestämmelserna i 10 och 19 §§ lagen om belastnings- register är förenliga med dataskyddsförordningen och att det saknas skäl att ändra bestämmelserna. 8.3.7Utlämnanden av uppgifter ur belastningsregistret för användning vid utländska myndigheter Regeringens bedömning: Bestämmelserna om utlämnande till ut- ländska myndigheter i lagen om belastningsregister bör inte ändras som en följd av dataskyddsreformen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Utlämnande av uppgifter ur belastningsregistret till utländska myndigheter regleras i 11–14 §§ lagen om belastningsregister samt genom bestämmelser i förordningen om belastningsregister. Bestämmelserna i 11–12 a och 14 §§ innebär att uppgifter ur registret ska eller får lämnas till olika utländska myndigheter i vissa angivna situationer. Utlämnande kan exempelvis ske om utlämnandet följer av en internationell överenskommelse (11 §), om det begärs av utländsk domstol eller polis- eller åklagarmyndighet för vissa angivna syften (12 §), om överflyttning av verkställighet av påföljd har skett (14 §) eller om begäran görs med stöd av en EU-rättsakt (11 och 12 a Prop. 2018/19:65 §§). Regleringen avser utlämnanden av uppgifter både för användning i sådana syften som faller under dataskyddsdirektivets tillämpningsområde och för användning i sådana syften som faller under dataskyddsförordningens tillämpningsområde. Som framgått i avsnitt 8.3.4delar regeringen bedömningen i promemorian att det måste anses förenligt med direktivet att specificera vilka uppgifter ur registret som får lämnas ut och i vilka fall detta får ske. Det gäller även i de fall det innebär att uppgifter som först behandlats inom direktivets tillämpningsområde sedan kommer att behandlas för andra syften. I de fall uppgifter ur belastningsregistret ska lämnas kommer vidare behandling för utlämnande till utländska myndigheter för syften som faller under dataskyddsförordningens tillämpningsområde, i enlighet med bedömningen i avsnitt 8.3.4, att vara nödvändig för att ska kunna fullgöra en rättslig förpliktelse som följer direkt av lag eller förordning. I enlighet med 2 kap. 1 § dataskyddslagen får behandling då ske med stöd av artikel 6.1 c i dataskyddsförordningen. Det är ett allmänt intresse att utlämnande av uppgifter ur belastningsregistret kan ske till utländska myndigheter i de situationer som regleras i 11–12 a och 14 §§ lagen om belastningsregister. Polis- myndighetens behandling av personuppgifter för utlämning i enlighet med dessa bestämmelser, både när uppgifterna ska lämnas till utländska myndigheter och när de får göra det, är därför nödvändig för att utföra en uppgift av allmänt intresse. Behandlingen är därmed, i enlighet med 2 kap. 2 § dataskyddslagen, tillåten även med stöd av artikel 6.1 e i dataskyddsförordningen. I enlighet med resonemanget i avsnitt 5.4.4 måste bestämmelser om utlämnande av detta slag dessutom generellt anses vara sådana preciseringar som är tillåtna enligt artikel 6.2 i dataskydds- förordningen. Regeringen delar således bedömningen i promemorian att bestämm- elserna i 11–12 a och 14 §§ lagen om belastningsregister inte behöver ändras med anledning av dataskyddsreformen. Detsamma gäller bestämm- elsen i 13 § om föreskriftsrätt, som inte reglerar personuppgiftsbehandling som sådan. För fullständighetens skull bör i sammanhanget slutligen uppmärk- sammas att det vid överföring av uppgifter till tredjeland och internationella organisationer finns särskild reglering i både 8 kap. brottsdatalagen och kapitel V i dataskyddsförordningen, som också måste vara uppfylld för att överföring ska kunna ske. Regeringens bedömning: Bestämmelserna om gallring i lagen om belastningsregister bör inte ändras som en följd av dataskyddsreformen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians 2018/19:65 Skälen för regeringens bedömning: Som konstaterats i avsnitt 6.3.6 är bestämmelser om gallring som innehåller en tidpunkt för när uppgifter ska gallras, såsom 17 och 18 §§ lagen om belastningsregister, förenliga med dataskyddsdirektivet. Detsamma måste anses gälla bestämmelsen i 16 §, som reglerar gallring i de fall det registrerade avgörandet ändrats till den registrerades fördel samt då den registrerade avlidit. Bestämmelsen i 17 a § genomför delar av rambeslutet om kriminalregister och påverkas därmed inte av dataskyddsdirektivet (se avsnitt 8.2). Som redogjorts för i avsnitt 5.4.7 har gallringsbegreppet utmönstrats ur vissa registerförfattningar på brottsdatalagens område. Detta är emellertid inte en direkt följd av dataskyddsreformen, utan syftar till att förtydliga att det rör sig om dataskyddsregler och inte arkivrättsliga regler. har, som framgår i avsnitt 7.4.7, motsvarande inte föreslagits i samband med de ändringar i registerförfattningar på dataskyddsförordningens område som skett i anledning av dataskyddsreformen. Eftersom lagen om belastningsregister reglerar behandling av personuppgifter såväl på brottsdatalagens område som på dataskyddsförordningens kan det inte sägas strida mot systematiken i dataskyddsregleringen att behålla de nuvarande bestämmelserna om gallring. I promemorian föreslås inte heller några ändringar. Eftersom det inte är nödvändigt som en följd av dataskyddsreformen bör det mot denna bakgrund inte göras några ändringar i bestämmelserna om gallring. Regeringens förslag: Av lagen om belastningsregister ska det framgå att brottsdatalagens bestämmelse om skadestånd ska tillämpas om behandling av personuppgifter som omfattas av brottsdatalagen skett i strid med lagen om belastningsregister eller föreskrifter som har meddelats i anslutning till den. I övrigt regleras inte frågor om rättelse och skadestånd i lagen om belastningsregister. Promemorians förslag överensstämmer i sak med regeringens. Remissinstanserna: Förvaltningsrätten i menar att det i 20 § lagen om belastningsregister bör anges uttryckligen vad som står i 7 kap. 1 § brottsdatalagen, eftersom bestämmelsen riktar sig till allmänheten och avser den enskildes rätt. Övriga remissinstanser yttrar sig inte över förslaget. Skälen för regeringens förslag: I 20 § lagen om belastningsregister regleras frågor om skadestånd och rättelse. Bestämmelsen hänvisar till reglerna i personuppgiftslagen. Eftersom förandet av belastningsregistret omfattas av brottsdatalagen kommer det endast vara aktuellt att pröva frågor om rättelse enligt bestämmelserna i denna. Som konstaterats i avsnitt 6.5 kan bestämmelsen i 4 kap. 9 § brottsdatalagen om rättelse tillämpas även om den person- uppgift som den registrerade anser vara felaktig eller ofullständig behandlas med stöd av en registerförfattning. 20 § lagen om belastningsregister bör därför inte längre innehålla någon reglering av frågor om rättelse. För att regleringen ska vara förenlig med dataskyddsdirektivet måste det, i Prop. 2018/19:65 enlighet med bedömningen i avsnitt 6.6.4, däremot framgå av 20 § att bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen ska tillämpas vid behandling av personuppgifter i strid med lagen om belastningsregister eller föreskrifter som har meddelats i anslutning till den, om behandlingen omfattas av brottsdatalagen. Med hänsyn till intresset av en enhetlig reglering på dataskyddsområdet bör detta, till skillnad från vad Förvaltningsrätten i föreslagit, ske genom en hänvisning till 7 kap. 1 § brottsdatalagen. Förslaget motsvarar därigenom regleringen i de nya registerförfattningarna på brottsdatalagens område (prop. 2017/18:269). Om skada orsakas i samband med behandling för utlämnande som inte omfattas av brottsdatalagen blir, som framgår av avsnitt 5.8.2, dataskyddsförordningens reglering tillämplig utan att någon hänvisning krävs. 20 § lagen om belastningsregister bör därför inte omfatta frågor om skadestånd vid sådan behandling. Regeringens bedömning: Bestämmelsen om användningsbegräns- ningar i lagen om belastningsregister bör inte ändras som en följd av dataskyddsreformen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: När medlemsstaterna efter begäran utbyter uppgifter ur sina kriminalregister i enlighet med rambeslutet om kriminalregister har de rätt att ställa upp användningsbegränsningar. Uppgifterna får heller inte användas för andra ändamål än dem de begärdes för. Att svenska myndigheter har en skyldighet att respektera sådana användningsbegränsningar följer av 21 § lagen om belastningsregister. Eftersom det nya dataskyddsdirektivet inte är avsett att påverka tidigare EU-rättsakter om informationsutbyte på området för polis- och straffrättsligt samarbete påverkas inte den nämnda bestämmelsen av direktivets reglering i enlighet med artikel 60. Av bestämmelsen i 21 § framgår vidare att den gäller oavsett vad som föreskrivits i annan författning. Bestämmelsen kommer därför att gälla i stället för 2 kap. 20 § brottsdatalagen, som annars inneburit att användningsbegränsningar i förhållande till andra medlemsstater inte får ställas upp om det inte finns någon sådan möjlighet i förhållande till svenska mottagare. I lagen om misstankeregister föreskrivs en skyldighet för Polismyndig- heten att med hjälp av automatiserad behandling föra ett register med 2018/19:65 uppgifter om dem som är skäligen misstänkta för brott (misstanke- registret), vilket är personuppgiftsansvarig för (1 §). I lagens inledning finns bestämmelser om misstankeregistrets ändamål (2 §) och om förhållandet till personuppgiftslagen (1 a §). Lagen innehåller till största delen bestämmelser om misstankeregistrets innehåll (3–4 §§), utlämnande av uppgifter ur registret (5–12 §§) och gallring (13§). Regeringen har möjlighet att meddela närmare föreskrifter och förordningen (1999:1135) om misstankeregister innehåller också mer detaljerade bestämmelser på dessa områden. När det gäller rättigheter för den registrerade innehåller lagen dels be- stämmelser om rätt till utdrag från registret till den registrerade själv, dels en hänvisning till personuppgiftslagens bestämmelser om rättelse och skadestånd (8 a § respektive 15 §). Sekretess gäller för uppgifter i misstankeregistret om enskilds personliga och ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men om uppgiften röjs (35 kap. 1 § 6 offentlighets- och sekretesslagen [2009:400]). Uppgifterna i registret kan också vara sådana att bestämmelserna i 18 kap. offentlighets- och sekretesslagen blir tillämpliga. 9.1Är brottsdatalagen eller dataskyddsförordningen tillämplig? Regeringens bedömning: Förandet av misstankeregistret och be- handling av personuppgifter för utlämnanden ur registret i brottsbekämpande syfte omfattas av brottsdatalagen. När det gäller annan behandling av personuppgifter i registret, exempelvis för att lämna uppgifter om misstankar som underlag för olika slag av lämplighets- och tillståndsprövningar, tillämpas dataskyddsförordningen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: menar att myndighetens hantering av misstankeregistret i sin helhet ska anses falla under dataskyddsdirektivets tillämpningsområde, annars kommer regleringens komplexitet att medföra svårigheter som inte motsvaras av någon integritetsvinst för de registrerade. Övriga remissinstanser yttrar sig inte över bedömningen. Skälen för regeringens bedömning Både brottsdatalagen och dataskyddsförordningen kan vara tillämpliga är ett helt automatiserat register som innehåller personuppgifter. Förandet av misstankeregistret och behandling av uppgifter i registret, exempelvis sökning och utlämnande, innefattar alltså sådan personuppgiftsbehandling som kan omfattas antingen av brottsdatalagen eller dataskyddsförordningen. förs av , en myndighet som bland annat har till uppgift att förebygga, förhindra och upptäcka brottslig verksamhet samt att utreda brott, och därmed kan vara behörig i brottsdatalagens mening (1 kap. 6 § brottsdatalagen). Registret innehåller uppgifter om den som har fyllt och som är skäligen misstänkt för brott samt om den mot vilken utredning inletts i mål om förvandling av böter och om den som har begärts överlämnad eller utlämnad för brott. Personuppgiftens karaktär eller innehåll är emellertid inte avgörande för om brottsdatalagen är tillämplig eller inte. Att en myndighet som kan vara behörig utför behandlingen är en förutsättning för att brottsdatalagen ska vara tillämplig. Utöver detta måste också syftet med behandlingen vara något av de syften som anges i 1 kap. 2 § brottsdatalagen, nämligen att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Av bestämmelsen i 2 § lagen om misstankeregister framgår att miss- tankeregistret har flera syften. Vissa av dessa avser uttryckligen brotts- bekämpning och lagföring av brott (2 § första stycket 1–2), medan det är mer ovisst hur man ska se på syftet att tillhandahålla uppgifter om misstankar för tillstånds- och lämplighetsprövningar m.m. (2 § första stycket 3). Det går därför inte utan vidare att säga att misstankeregistrets samtliga ändamål är sådana som omfattas av brottsdatalagens tillämpningsområde eller av dataskyddsförordningen. Liksom vad gäller personuppgiftsbehandling i belastningsregistret anser regeringen att det, för den fortsatta analysen av vilken av författningarna som är tillämplig, är lämpligt att dela upp den personuppgiftsbehandling som sker enligt lagen om misstankeregister i två delar. Den ena avser förandet av registret, dvs. den behandling som behövs för att lägga in personuppgifter i registret och sedan bevara dem där. Den andra avser sökningar i och utlämnanden ur registret, som alltså görs för att informationen i registret behövs antingen i behöriga myndigheters brottsbekämpande verksamhet, eller i annan verksamhet och då i huvudsak för olika tillstånds- och lämplighetsprövningar som görs både av och av andra myndigheter. Som framgått av föregående kapitel är det av vikt att frågan om vilken författning som är tillämplig på förandet av registret klargörs så långt möjligt. Dataskyddsförordningen och brottsdatalagen skiljer sig åt i vissa avseenden, exempelvis när det gäller möjligheten att behandla känsliga personuppgifter och den enskildes rätt till information. Regeringens bedömning är, liksom den i promemorian, att förandet av registret primärt måste anses ske för de syften som anges i 2 § första stycket 1–2 lagen om misstankeregister. Dessa syften är sådana som omfattas av brottsdatalagen, nämligen att bekämpa och lagföra brott. Att utlämnande av uppgifter ur registret även kan komma att ske för andra ändamål, såsom olika lämplighetsbedömningar, kan enligt regeringens mening inte påverka frågan om registrets grundläggande syfte. På den behandling av personuppgifter det innebär att samla in uppgifterna och bevara dem i registret blir därför regleringen i brottsdatalagen tillämplig. När uppgifter sedan söks fram och i förekommande fall utlämnas för något av de ändamål som anges i 2 § första stycket 1–2 är brottsdatalagen också tillämplig. 2018/19:65 När det sedan gäller hur man ska se på behandling för utlämnande ur registret i syfte att ge information om misstankar som underlag för olika tillstånds- och lämplighetsprövningar hänvisar regeringen till det resonemang som förts om motsvarande behandling för utlämnande ur belastningsregistret i avsnitt 8.2. Till skillnad från gör regeringen alltså bedömningen att den behandling av personuppgifter som sker för utlämnande ur misstankeregistret i syfte att ge underlag för olika tillstånds- och lämplighetsprövningar inte omfattas av brottsdatalagens tillämpningsområde, utan av dataskyddsförordningens. Den närmare gränsdragningen mellan brottsdatalagen och dataskyddsförordningen Som konstaterats är dels förandet av misstankeregistret, dels sökningar och i förekommande fall utlämnanden av uppgifter enligt 2 § första stycket 1–2 lagen om misstankeregister sådan behandling av personuppgifter som sker för syften som omfattas av brottsdatalagens tillämpningsområde. Detta gäller oavsett om sökningar och utlämnanden sker genom direktåtkomst eller inte. Motsvarande behandling enligt 2 § första stycket 3 avser däremot i flertalet fall utlämnanden vars syfte inte är brotts- bekämpning eller annat som omfattas av brottsdatalagen. Utöver 2 § finns det, som redan nämnts, flera bestämmelser både i lagen och i förordningen om misstankeregister som i detalj reglerar framförallt frågor om utlämnanden enligt 2 § första stycket 3. Med ledning av författningstexten kan det i många av dessa fall avgöras om det är brottsdatalagen eller dataskyddförordningen som är tillämplig. I andra fall är regleringen generell på ett sätt som gör att en bedömning måste göras från fall till fall. I promemorian har gjorts en genomgång (Ds 2017:58 s. 198 f.) av hur man bör se på nämnda bestämmelser, med utgångspunkt i det synsätt på dataskyddsdirektivets – och därmed brottsdatalagens – tillämpningsområde som Utredningen om 2016 års dataskyddsdirektiv redovisat och som regeringen i prop. 2017/18:232 i stort anslutit sig till. De ställningstaganden som gjorts i promemorian kan tjäna som vägledning vid bedömningen av gränsdragningsfrågor. 9.2Vilka ändringar bör göras som en följd av dataskyddsreformen? 9.2.1Bestämmelsernas förhållande till brottsdatalagen och dataskyddsförordningen Regeringens bedömning: Bestämmelserna i 1, 2–6, 8 a–13 och 15 §§ lagen om misstankeregister avser personuppgiftsbehandling som omfattas av brottsdatalagen. Bestämmelserna i 1, 5–8, 9–12 och 14–15 §§ lagen om misstanke- register avser behandling av personuppgifter som omfattas av dataskyddsförordningen. Promemorians bedömning överensstämmer i huvudsak med reger- Prop. 2018/19:65 ingens. I promemorian har dock 1, 12 och 15 §§ lagen om misstanke- register inte bedömts avse behandling av personuppgifter som omfattas av dataskyddsförordningen. Remissinstanserna: Ingen remissinstans invänder mot promemorians bedömning. Skälen för regeringens bedömning: Regeringen har ovan gjort bedömningen att regleringen i brottsdatalagen blir tillämplig på förandet av misstankeregistret, men att dataskyddsförordningen ändå blir tillämplig på viss behandling i misstankeregistret beroende på att ändamålen med en del utlämnanden ur registret inte avser brottsbekämpning eller något annat av de ändamål som avses i artikel 2.2 d i dataskyddsförordningen. Som en följd av detta kommer vissa bestämmelser i lagen om misstankeregister – sådana som blir tillämpliga vid utlämnanden av uppgifter för olika ändamål – att reglera personuppgiftsbehandling som omfattas av såväl brottsdatalagen som dataskyddsförordningen, medan andra bestämmelser kommer att reglera personuppgiftsbehandling som endast omfattas av ett av dessa regelverk. Regeringen instämmer i den bedömning som gjorts i promemorian att bestämmelserna i 1, 2–6, 8 a–13 och 15 §§ är sådana att de avser personuppgiftsbehandling som omfattas av brottsdatalagen och alltså måste vara förenliga med denna och dataskyddsdirektivet. Regeringen instämmer även i den bedömning som gjorts i promemorian att bestämmelserna i 5–8, 9–11 och 14 §§ är sådana att de avser person- uppgiftsbehandling som omfattas av dataskyddsförordningen och alltså måste vara förenliga med denna.