prop · H80352 · 2020-11-24 00:00:00 — varje enskilt fall måste det dock göras en avvägning hos butikerna mellan den personuppgiftsansvariges eller en tredje mans berättigade intresse av att utföra personuppgiftsbehandlingen och den registrerades intressen och grundläggande rättigheter och friheter (se samma artikel). butiker drivs av en offentlig aktör tillhandahålls en samhällsservice som ibland också är nödvändig. Regeringens bedömning är att en sådan verksamhet är av intresse för eller berör många människor på ett bredare plan och att det alltså handlar om utförande av en uppgift av allmänt intresse (artikel 6.1 e dataskyddsförordningen). Ändamålet med lagen om tillträdesförbud är att skydda mot brott och allvarliga trakasserier i butik. För att regleringen ska bli effektiv kan det behöva ske viss behandling av Behandlingen bedöms därmed som nödvändig i förhållande till den rättsliga grunden ovan. Grunden för behandlingen är fastställd i nationell rätt, dvs. har stöd i rättsordningen, och syftet med behandlingen är också nödvändigt (artikel 6.3 dataskyddsförordningen). Behandlingen som sker i butiker som drivs av en offentlig aktör är alltså tillåten enligt artiklarna 6.1 e och 6.3 i dataskyddsförordningen. För såväl privata som offentliga aktörer finns det alltså en rättslig grund för den personuppgiftsbehandling som kan komma att utföras i butiker. Dataskyddsförordningen innehåller emellertid en särskild bestämmelse om personuppgifter som rör lagöverträdelser, som innebär att behandling av sådana personuppgifter får utföras endast under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs (artikel 10). avses i detta sammanhang inte organ som är organiserade i privaträttsliga former, t.ex. statliga bolag (se prop. 2017/18:105 Ny dataskyddslag s. 46). Enligt regeringen finns det mycket som talar för att behandlingen av ett beslut om tillträdesförbud avser personuppgifter som rör lagöverträdelser. Utgångspunkten är därför att det är fråga om en behandling av sådana personuppgifter som avses i artikel 10 i dataskyddsförordningen. en butik drivas av en myndighet, vilket enligt ovan inkluderar i princip alla statliga och kommunala organ, finns redan stöd för att behandla uppgifter av detta slag (se 3 kap. 8 § dataskyddslagen). I enlighet med vad som anförs i den kompletterande promemorian kan det däremot inte med säkerhet sägas att det finns ett tillämpligt undantag för butiker som drivs privat att behandla personuppgifter rörande lagöverträdelser. därför införas en särskild bestämmelse som innebär att personuppgifter som avses i artikel 10 i dataskyddsförordningen får behandlas i butiker. enlighet med Lagrådets förslag bör regleringen utformas på så sätt att behandlingen får göras i den verksamhet som bedrivs i den butik som anges i beslutet om tillträdesförbud. En förutsättning för en bestämmelse som tillåter sådan behandling är dock att det finns lämpliga skyddsåtgärder för de registrerades rättigheter och friheter (se nedan angående regeringens förslag till en bestämmelse om längsta tid för behandling av person- Regeringen noterar även att Hovrätten över och särskilt framhåller att en reglering krävs för att säkerställa att verksamheter som drivs i privat regi fullt ut ska kunna behandla uppgifter som rör lagöverträdelser, så att ett tillträdesförbud kan bli effektivt. Bestämmelsen bör vara generellt utformad och kommer därmed att träffa såväl privata som offentliga aktörer. För att bestämmelsen inte ska få ett alltför vitt tillämpningsområde föreslår regeringen att den begränsas utifrån syftet med behandlingen, dvs. om behandlingen behövs för att förhindra eller upptäcka överträdelse av tillträdesförbudet (jfr 5 § lagen om idrottsorganisationers behandling av uppgifter om tillträdesförbud). påpekar att det i förslaget till lagtext inte görs någon åtskillnad mellan beslut om tillträdesförbud och uppgifter om andra lagöverträdelser samt att behandlingen inte uttryckligen begränsas till uppgifter enbart om den individ som har fått ett tillträdesförbud. Även Hovrätten över och tar upp den sistnämnda frågan och anser att det kan övervägas att tydligare definiera vems personuppgifter bestämmelsen omfattar. Enligt regeringen innebär lagförslagets krav på att behandlingen ska behövas för att förhindra eller upptäcka en överträdelse av tillträdesförbudet att det inte kan vara något annat än uppgifter i det aktuella beslutet om tillträdesförbud som avses. Därmed omfattas inte behandling av exempelvis tidigare brottmålsdomar eller uppgifter om någon annan person än den som avses med förbudet. Inte heller sådana personuppgifter som kan komma att behandlas inför en ansökan omfattas (se vidare nedan). För den personuppgiftsbehandling som inte faller inom bestämmelsens tillämpningsområde kommer bl.a. dataskyddsförordningen, i enlighet med vad som redan gäller , att vara tillämplig. Denna lagstiftning kommer även att gälla i övrigt för sådan behandling som omfattas av den föreslagna regleringen. anser att den föreslagna bestämmelsen är för vagt utformad och att det kan leda till vissa tillämpningsproblem. Regeringen vill dock framhålla, vilket tingsrätten också tar upp, att även med den bestämmelse som föreslås måste butiken förhålla sig till dataskyddsförordningens övriga bestämmelser, såsom kraven på ändamålsbegränsning, uppgiftsminimering och lagringsminimering i artikel 5.1. Att dataskyddsförordningens bestämmelser följs är även grundläggande för att den enskildes rättssäkerhet ska kunna upprätthållas. Något behov av en mer detaljerad utformning av bestämmelsen om behandling av personuppgifter rörande lagöverträdelser finns därmed inte. anser att det bör införas en generell reglering för företags behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott. Detta är emellertid en fråga av mer principiell betydelse som det inte finns underlag för att överväga inom ramen för detta lagstiftningsärende. Längsta tid för behandling av personuppgifter Av artikel 10 i dataskyddsförordningen framgår att det i nationell rätt ska finnas lämpliga skyddsåtgärder för de registrerades rättigheter och friheter. Den ovan föreslagna bestämmelsen bör därför, av integritetsskäl, kompletteras med en särskild bestämmelse om en sådan skyddsåtgärd. Syftet med den personuppgiftsbehandling som den föreslagna bestämmelsen avser, är att förhindra eller upptäcka överträdelse av tillträdesförbudet. Det finns således ingen anledning att tillåta att 2020/21:52 uppgifterna behandlas efter det att tillträdesförbudets giltighetstid löpt ut eller om förbudet upphävts. Regeringen anser därför att det bör finnas en uttrycklig bestämmelse om längsta tid som personuppgifterna får behandlas och lämnar ett sådant förslag. Motsvarande reglering finns i 7 § lagen om idrottsorganisationers behandling av uppgifter om tillträdesförbud. Efter denna tidpunkt ska uppgifterna inte hanteras på ett sätt som innebär att det sker en personuppgiftsbehandling. I likhet med bestämmelsen om personuppgiftsbehandling föreslår regeringen att skyddsåtgärden ska gälla såväl privata som offentliga aktörer. I 6 § lagen om idrottsorganisationers behandling av uppgifter om tillträdesförbud finns en bestämmelse om tillgången till personuppgifter, som innebär att sådan tillgång ska begränsas till vad den som arbetar eller utför uppdrag åt en idrottsorganisation behöver för att kunna fullgöra arbetsuppgifterna eller uppdraget. anser att det finns skäl som talar för att införa en motsvarande bestämmelse här. konstaterar att det i flertalet fall blir en ganska vid krets av personer som får tillgång till uppgifterna, vilket ökar risken för spridning till obehöriga. I förarbetena till bestämmelsen avseende idrottsorganisationers personuppgiftsbehandling anfördes att det med hänsyn till integritetsskyddet för enskilda var viktigt att säkerställa att personuppgifter som finns i tillträdesförbudsregistret bara görs tillgängliga för dem som behöver uppgifterna i sitt arbete och att inte fler uppgifter än nödvändigt behandlas (se prop. 2013/14:254 s. 37). Till skillnad från vad som gäller vid tillträdesförbud vid idrottsarrangemang föreslås butiker emellertid inte ha tillgång till ett särskilt register. får innehålla fler uppgifter än de som framgår av beslutet om tillträdesförbud, t.ex. fotografi samt anknytning till idrott och idrottsorganisation. Förhållandena skiljer sig således åt i fråga om vilka personuppgifter som får behandlas men även hur förutsättningarna ser ut när det gäller att förhindra eller upptäcka en överträdelse. Beträffande butiker handlar det exempelvis inte om stora arrangemang med många personer närvarande eller, normalt sett, att olika personer behöver tillgång till olika slags uppgifter. Dessutom finns det i dataskyddsförordningen krav på att personuppgifterna ska behandlas på ett sätt som säkerställer lämplig säkerhet för uppgifterna, inbegripet skydd mot obehörig eller otillåten behandling (artikel 5.1 f). Vidare ska den personuppgiftsansvarige genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas (artikel 25.2). Sammanfattningsvis gör regeringen därför bedömningen att det inte behövs en bestämmelse om en begränsning av tillgången till personuppgifter. Personuppgiftsbehandling före en ansökan samt myndigheters personuppgiftsbehandling Även inför en ansökan om tillträdesförbud kan det komma att ske viss personuppgiftsbehandling. Datainspektionen anser att det råder osäkerhet kring om det finns stöd för en sådan behandling och befarar att det kan bli fråga om en kartläggning av individer som kan komma att inkludera behandling av känsliga personuppgifter och personuppgifter som rör lagöverträdelser men även andra typer av personuppgifter för vilket det saknas stöd. Regeringen vill inledningsvis understryka att även om förslaget till ny lag innebär att det är en företrädare för butiken som ansöker om tillträdesförbud, är det polis och åklagare som ska vidta de utredningsåtgärder som krävs (se avsnitt 4.3.5 och föreslagna 8 §). Initiativet till ett ärende kan dessutom komma från . Det är således inte butikens företrädare som ska utreda om det finns förutsättningar för ett tillträdesförbud. Det är inte heller butikens uppgift att samla in upplysningar om individen inför en ansökan. Någon kartläggning av enskilda från butikens sida, som Datainspektionen uttrycker oro för, kommer således inte att bli aktuell. Det kan dock inte uteslutas att viss hantering av personuppgifter ändå kan komma att ske i den verksamhet som bedrivs i butiken. För butiker som drivs av en privat aktör kommer en sådan behandling som utgångspunkt att ske med stöd av intresseavvägningen i artikel 6.1 f i dataskyddsförordningen. I den mån personuppgifter som avses i artikel 10 i dataskyddsförordningen, dvs. uppgifter som rör lagöverträdelser, behandlas av privata aktörer kan stöd för behandlingen finnas i 5 § förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning. Enligt den bestämmelsen får personuppgifter som avses i artikel 10 behandlas av andra än myndigheter bl.a. om behandlingen är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. I normalfallet bör det inte bli aktuellt att behandla sådana känsliga personuppgifter som anges i artikel 9 i dataskyddsförordningen, dvs. uppgifter om t.ex. hälsa eller en persons sexualliv. För det fall en sådan uppgift ändå skulle behandlas kan stöd för behandlingen finnas i artikel 9.2 f som tar sikte på behandling som är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk. Utöver vad som angetts måste behandlingen av personuppgifter också uppfylla de övriga krav som följer av dataskyddsförordningen, t.ex. de principer för behandling av personuppgifter som framgår av artikel 5. Behandlingen måste också vara proportionerlig. Skulle en butik drivas av en offentlig aktör kommer den rättsliga grunden som utgångspunkt vara att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse (artikel 6.1 e dataskyddsförordningen). Om butiken drivs av vad som i dataskyddsförordningens mening är en myndighet finns det även stöd för behandling av känsliga personuppgifter och personuppgifter som rör lagöverträdelser (se 3 kap. 3 och 8 §§ dataskyddslagen). Sammantaget anser regeringen att det finns rättslig grund för den behandling av personuppgifter som kan komma att ske i en butiks verksamhet inför en ansökan om tillträdesförbud. Vad slutligen gäller personuppgiftsbehandling som , och de allmänna domstolarna utför i syfte att t.ex. förebygga, förhindra eller upptäcka brottslig verksamhet, lagföra brott eller upprätthålla allmän ordning och säkerhet faller den under dataskyddsdirektivets tillämpningsområde. Som redovisas ovan finns stöd för sådan behandling av personuppgifter i ärenden om tillträdesförbud i brottsdatalagen och i de särskilda registerförfattningarna på brottsdatalagens område. Regeringens förslag: Sekretess ska gälla för uppgift om en enskilds personliga förhållanden, om det kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs och uppgiften förekommer i ärende enligt lagen om tillträdesförbud till butik. Sekretessen ska inte gälla beslut i ärendet. För uppgift i en allmän handling ska sekretessen gälla i högst . Promemorians förslag, som lämnas i enlighet med uppdraget, överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanser yttrar sig inte särskilt i frågan. Kammarrätten i framför att den inte har några invändningar mot förslaget. Datainspektionen avstyrker förslaget mot bakgrund av att det dels saknas en analys kring vilken inverkan förslaget till lag om tillträdesförbud har på enskildas personliga integritet, dels saknas en närmare beskrivning av vilka överväganden som har gjorts i förhållande till dataskyddsförordningen och annan dataskyddslagstiftning. Skälen för regeringens förslag: Ett ärende om tillträdesförbud till butik kan förekomma som ett fristående ärende hos åklagare och domstol. Det kan också förekomma i samband med förundersökning eller handläggas gemensamt med mål om allmänt åtal rörande brott. För uppgifter som hänför sig till förundersökning gäller sekretess, s.k. förundersökningssekretess, under förutsättning att det kan antas att syftet med beslutade eller förutsedda åtgärder motverkas eller den framtida verksamheten skadas om uppgiften röjs (18 kap. 1 § OSL). Under motsvarande förutsättningar gäller sekretess för uppgifter i annan verksamhet som syftar till att förebygga, uppdaga, utreda eller beivra brott och som bedrivs av en åklagarmyndighet, , , , eller . På grund av skaderekvisitets utformning upphör förundersökningssekretessen vanligen att gälla i och med att åtal väcks. Sekretess gäller även för uppgifter om en enskilds personliga och ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men och uppgiften förekommer i bl.a. a) utredning enligt bestämmelserna om förundersökning i brottmål, b) angelägenhet som avser användning av tvångsmedel i brottmål eller i annan verksamhet för att förebygga brott, eller c) annan verksamhet som syftar till att förebygga, uppdaga, utreda eller beivra brott eller verkställa uppbörd och som bedrivs av en åklagarmyndighet, , , , eller (35 kap. 1 §). Sekretessen upphör som huvudregel att gälla om uppgifterna lämnas till domstol med anledning av åtal (35 kap. 7 §). Detta gäller dock inte i vissa särskilda mål som t.ex. i mål om ansvar för sexualbrott (35 kap. 12 §). I ärenden om kontaktförbud gäller även sekretess för uppgifter om en enskilds personliga förhållanden, om det kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs (35 kap. 5 §). Sekretessen gäller dock inte beslutet i ärendet. Sekretessbestämmelsen är tillämplig hos såväl polis och åklagare som domstol (se Lorentzon, Offent- lighets- och sekretesslag [2009:400] 35 kap. 5 §, Lexino []). I förarbetena till kontaktförbudslagen angavs som skäl för införandet av den särskilda sekretessbestämmelsen bl.a. att lagstiftningen avser att ge ett ökat skydd åt framför allt kvinnor som förföljs eller hotas av sina tidigare makar eller sambor och att det ligger i sakens natur att åtskilliga av de uppgifter som kan förekomma i ett sådant ärende är av det slaget att de bör skyddas av sekretess med hänsyn till den enskilde på motsvarande sätt som när de annars förekommer i en brottsutredning. Det angavs vidare att sekretessfrågan måste lösas så att inte de som ska skyddas genom bestämmelserna om kontaktförbudet avstår från att begära det av rädsla för att uppgifter om personliga förhållanden ska bli offentliga. (Se prop. 1987/88:137 s. Vid tillkomsten av lagen om tillträdesförbud vid idrottsarrangemang gjordes bedömningen att det inte behövdes någon särskild sekretessbestämmelse för uppgifter i ärenden om tillträdesförbud. Som skäl angavs bl.a. att offentlighets- och sekretessregleringen bygger på huvudregeln att offentlighet ska gälla, att uppgifterna i dessa ärenden kommer att vara av en annan karaktär än uppgifterna i ärenden om kontaktförbud samt att känsliga uppgifter om personliga förhållanden inte torde förekomma när det är fråga om idrottsanknuten brottslighet och juridiska personer som ansöker om förbud. (Se prop. 2004/05:77 s. I samband med införandet av lagen om register över tillträdesförbud vid idrottsarrangemang ansågs det dock behövas en särskild sekretessreglering när uppgifterna samlas i ett register och därmed struktureras och finns tillgängliga i sökbar form. Det anfördes bl.a. att förekomsten i tillträdesförbudsregistret ofta är synonymt med att en person har begått brott och att utgångspunkten bör vara att registeruppgifterna bör skyddas av sekretess. (Se prop. 2013/14:254 s. 32–33.) Frågan är om det behöver införas en särskild sekretessreglering för ärenden om tillträdesförbud till butik. Lagstiftningen avser att ge ett ökat skydd mot brott och allvarliga trakasserier som kan förekomma i butik. Det kan handla om tillgreppsbrott men även brottslighet som inbegriper våld, hot, sexuella trakasserier och skadegörelse. Det kan också vara fråga om uppträdanden som är allmänt störande och obehagliga utan att nödvändigtvis vara brottsliga. Sannolikt kommer det i ärenden om tillträdesförbud alltså att förekomma uppgifter om en enskild som kan vara av integritetskänslig karaktär. Vid den riskbedömning som alltid ska göras kan ärendet också tillföras information som är känslig för den utpekade, t.ex. uppgifter om missbruk eller hälsotillstånd. Åtskilliga av de uppgifter som kan förekomma i ett ärende om tillträdesförbud till butik bedöms således vara av det slaget att de bör skyddas av sekretess med hänsyn till den enskildes personliga förhållanden (jfr 2 kap. 2 § första stycket tryckfrihetsförordningen). Regeringen instämmer i promemorians bedömning att den sekretess till skydd för uppgifter om enskilds hälsa och sexualliv som följer av 21 kap. 1 § OSL (det s.k. minimiskyddet) inte kan anses ge ett tillräckligt skydd. Det är angeläget att den myndighet som ska besluta i fråga om tillträdesförbud får del av alla de uppgifter som kan vara av betydelse för prövningen, även om det är uppgifter av känslig natur. De personer som är inblandade måste därför kunna lämna uppgifter av det slaget utan att 2020/21:52 riskera att de blir offentliga. Det är även viktigt att en butik inte avstår från en ansökan om tillträdesförbud av rädsla eller oro för att uppgifter om personliga förhållanden rörande exempelvis personalen blir offentliga. Vid en avvägning mellan sekretessintresset och insynsintresset anser regeringen att intresset för sekretess väger tyngre. En särskild regel om sekretess bör därför införas. Datainspektionen avstyrker förslaget med hänvisning till att analysen i fråga om personuppgiftsbehandling behöver fördjupas. Som framgår under avsnitt 3 har det tagits fram en kompletterande promemoria avseende denna fråga, som i sak behandlas i avsnitt 4.3.8. Sekretessens föremål bör vara enskilds personliga förhållanden och det bör vara en presumtion för offentlighet (rakt skaderekvisit). Sekretessen bör således gälla för uppgift om en enskilds personliga förhållanden, om det kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs. Däremot bör, i likhet med sekretessregeln avseende ärenden om kontaktförbud, sekretess inte gälla för beslut i ärendet. Sekretessen bör gälla i högst . Regeringen instämmer i promemorians bedömning att det inte finns skäl att inskränka rätten att meddela och offentliggöra uppgifter enligt 1 kap. 7 § tryckfrihetsförordningen och 1 kap. 10 § yttrandefrihetsgrundlagen. I den mån en fråga om tillträdesförbud till butik aktualiseras i samband med en förundersökning om brott kommer bestämmelserna om sekretess beträffande förundersökning att vara tillämpliga. Enligt huvudregeln upphör den sekretessen emellertid att gälla om uppgiften lämnas till domstol i samband med åtal. Det kan inte anses tillfredsställande att uppgifter som har lämnats som underlag för prövning av en fråga om tillträdesförbud till butik skulle få ett sämre sekretesskydd om frågan prövas i samband med brott än om frågan hanteras i ett fristående ärende. Det är således viktigt att sekretessen följer ärendet och att den gäller oberoende av vilken myndighet som hanterar frågan. Sekretessens räckvidd bör därför vara sådan att den gäller för uppgift som förekommer i ärende om tillträdesförbud till butik oavsett var detta handläggs, dvs. hos polis, åklagare eller domstol. Om det finns flera sekretessbestämmelser som är tillämpliga i samma ärende, har den strängare sekretessbestämmelsen företräde (7 kap. 3 § OSL). Regeringen föreslår att de nya bestämmelserna införs genom ett tillägg i 35 kap. 5 §. Regeringens förslag: Beslut om tillträdesförbud till butik ska registreras i belastningsregistret. Uppgifterna i belastningsregistret ska gallras efter beslutet eller om tillträdesförbudet upphävts. Promemorians förslag, som lämnas i enlighet med uppdraget, överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanser yttrar sig inte särskilt i frågan. Datainspektionen avstyrker förslaget mot bakgrund av att det dels saknas en analys kring vilken inverkan förslaget till lag om tillträdesförbud har på enskildas personliga integritet, dels saknas en närmare beskrivning av vilka överväganden som har gjorts i förhållande till dataskyddsförordningen och annan dataskyddslagstiftning. Skälen för regeringens förslag: Enligt 1 § lagen (1998:620) om belastningsregister ska med hjälp av automatiserad behandling föra ett belastningsregister. Ändamålet med registret är att ge information om sådana belastningsuppgifter som behövs bl.a. i verksamhet hos för att förebygga, förhindra eller upptäcka brottslig verksamhet och utreda brott, hos för beslut om förundersökning och åtal samt utfärdande av strafföreläggande samt hos allmänna domstolar för straffmätning och val av påföljd (2 §). Kontaktförbud och tillträdesförbud vid idrottsarrangemang registreras i belastningsregistret (3 § 5). Överträdelser av tillträdesförbud till butik kommer på samma sätt som överträdelser av kontaktförbud och tillträdesförbud vid idrottsarrangemang att kunna leda till dels ingripande enligt polislagen, t.ex. avlägsnande av den som överträder förbudet, dels straffrättsliga konsekvenser. För att detta ska kunna ske på ett effektivt sätt är det nödvändigt att uppgifter om förbudet registreras. Registrering av sådana uppgifter måste anses förenligt med ändamålet med belastningsregistret (jfr prop. 2004/05:77 s. 56).