prop · H703106 · 2020-03-10 00:00:00 — I stor utsträckning behandlar verket även mycket integritetskänsliga uppgifter, exempelvis uppgifter om enskildas hälsa eller misstankar om brott. Dessa kommer till stor del från olika myndigheter inom rättsväsendet som arbetar på uppdrag av, t.ex. Även bl.a. , socialnämnder och lämnar integritetskänsliga uppgifter om bl.a. narkotikaanvändning och sjukdomar till . Inte endast uppgifter om de personer som är föremål för undersökningar eller analyser förekommer, utan även uppgifter om anhöriga till dessa personer. använder sig av ett flertal olika informationsstöd i 2019/20:106 sin ärendehandläggning, bl.a. olika register och databaser. Regeringens bedömning är att den personuppgiftsbehandling som sker inom ramen för verksamhet får anses innefatta en sådan kartläggning av enskildas personliga förhållanden som avses i 2 kap. 6 § andra stycket regeringsformen, även om syftet med behandlingen är ett Den avgörande frågan är då om det intrång i den personliga integriteten som behandlingen kan innebära är betydande. Det är bara vissa kvalificerade intrång som omfattas av grundlagsskyddet. förarbetena till grundlagsbestämmelsen bör flera omständigheter vägas in vid denna bedömning. Stor vikt ska läggas vid uppgifternas karaktär. känsligare uppgifterna är, desto mer ingripande måste hanteringen normalt sett anses vara. Vid bedömningen av intrångets karaktär är det också naturligt att stor vikt läggs vid ändamålet med behandlingen. som syftar till att utreda brott kan normalt anses vara mer känslig än t.ex. en hantering som uteslutande sker för att ge en myndighet underlag för förbättringar av kvaliteten i handläggningen. uppgifter vara en betydelsefull faktor, liksom omfattningen av utlämnande av personuppgifter till andra, som sker utan stöd av offentlighetsprincipen (prop. 2009/10:80 s. 183 och 184). Som framhålls ovan behandlar i stor utsträckning När har fullgjort ett uppdrag redovisas detta till uppdragsgivaren, t.ex. när en rättspsykiatrisk undersökning redovisas till en domstol, varvid personuppgifter lämnas ut agerar då ofta i sin roll som stödfunktion för den brottsbekämpande och lagförande verksamhet som sker inom rättsväsendet. Med beaktande av främst dessa förhållanden, dvs. uppgifternas karaktär, ändamålet med behandlingen och det omfattande utlämnandet av känsliga uppgifter, gör regeringen bedömningen att i vart fall en stor del av personuppgiftsbehandling innebär ett sådant betydande intrång som avses i 2 kap. 6 § andra stycket Av 2 kap. 20–21 §§ regeringsformen följer bl.a. att enskildas skydd mot sådana intrång får begränsas genom lag endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Den nya reglering om personuppgiftsbehandling som nu föreslås syftar till att balansera verkets behov av effektiva arbetsformer och ett starkt skydd för enskildas personliga integritet. fullgör viktiga samhällsuppgifter, bl.a. som en betydelsefull aktör i samhällets strävan att utreda och lagföra brott, och för att kunna utföra dessa uppgifter behöver verket behandla personuppgifter. En begränsning av skyddet i 2 kap. 6 § andra stycket regeringsformen för ändamålet att ska kunna fullgöra sina åligganden är godtagbart i ett demokratiskt samhälle. Genom den aktuella lagen säkerställs att den tillåtliga behandlingen av personuppgifter inte går längre än vad som är nödvändigt för att uppnå detta ändamål. Sammanfattningsvis innebär det att den föreslagna regleringen är förenlig med regeringsformens krav. Ramarna för personuppgiftsbehandling måste Prop. 2019/20:106 slås fast i lag. Även de bestämmelser som är av central betydelse för integritetsskyddet bör ges lagform. Det finns dock alltjämt utrymme att reglera viss annan personuppgiftsbehandling på lägre normgivningsnivå. Den lag med bestämmelser om personuppgifts- behandling som föreslås bör ha ett enkelt och tydligt namn. Som framhålls i avsnitt 6.3.2 är det viktigt att så långt som möjligt eftersträva en likartad systematik i alla de lagar och förordningar som relegerar personuppgiftsbehandling. Mot bakgrund av de namn som registerförfattningarna på närliggande områden givits anser regeringen att lagen bör benämnas lag om behandling av personuppgifter (se prop. 2017/18:269). 6.3.2Förhållandet till den allmänna dataskyddsregleringen och till brottsdatalagen Regeringens förslag: I lagen införs en bestämmelse som klargör att den kompletterar EU:s dataskyddsförordning. Det införs också en bestämmelse som anger att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller, om inte annat följer av den nu föreslagna lagen eller föreskrifter som har meddelats i anslutning till den. Det införs vidare en bestämmelse som klargör att när i egenskap av behörig myndighet enligt brottsdatalagen behandlar personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder, gäller brottsdatalagen och föreskrifter som har meddelats i anslutning till den, om inte annat följer av den nu föreslagna lagen eller föreskrifter som har meddelats i anslutning till lagen. Regeringens bedömning: Behandling av personuppgifter i syfte att upprätthålla allmän ordning och säkerhet förekommer inte i verksamhet. Lagen bör därför inte innehålla några bestämmelser om personuppgiftsbehandling som sker i sådant syfte. Utredningens förslag och bedömning överensstämmer i huvudsak med regeringens. Utredningen föreslår att lagen ska gälla i stället för dataskyddslagen och att det i lagen särskilt ska anges vilka bestämmelser i dataskyddslagen som ska gälla. Remissinstanserna: Justitiekanslern påpekar att det är av vikt att så långt det är möjligt eftersträva en likartad systematik i alla de lagar och förordningar som reglerar personuppgiftsbehandling. I övrigt yttrar sig ingen remissinstans i sak över förslaget eller bedömningen. Skälen för regeringens förslag Lagens förhållande till dataskyddsförordningen Den nu föreslagna lagen kommer att innehålla bestämmelser som kompletterar dataskyddsförordningen. Det bör införas en bestämmelse i lagen som upplyser om detta. De hänvisningar till dataskyddsförordningen som föreslås i denna proposition bör vara dynamiska, dvs. avse förordningen i den gällande lydelsen. På så sätt säkerställs att eventuella ändringar i dataskyddsförordningen får genomslag. Det kan emellertid inte uteslutas att lagen ändå kan behöva ändras i samband med framtida ändringar i förordningen. Lagens förhållande till dataskyddslagen och brottsdatalagen Dataskyddslagen innehåller de bestämmelser som på ett generellt plan kompletterar de direkt tillämpliga bestämmelserna i dataskyddsförordningen. Brottsdatalagen innehåller de bestämmelser som genomför dataskyddsdirektivet. Dataskyddslagen och brottsdatalagen är båda subsidiära i förhållande till bestämmelser i annan lag eller förordning. Utredningen föreslår att lagen ska gälla i stället för dataskyddslagen och att det i lagen särskilt ska anges vilka bestämmelser i dataskyddslagen som ska tillämpas vid personuppgiftsbehandlingen hos . En annan lagteknisk lösning är att dataskyddslagen gäller för personuppgiftsbehandling vid , om inte annat följer av lagen eller föreskrifter som har meddelats i anslutning till den. Denna systematik har vanligtvis valts i de registerförfattningar som gäller på dataskyddsförordningens område (se t.ex. 4 § domstolsdatalagen [2015:728] och 4 b § utlänningsdatalagen [2016:27]). Som Justitiekanslern påpekar är det viktigt att eftersträva en så likartad lagstiftningsteknik som möjligt i de lagar som reglerar personuppgiftsbehandling. Vidare anser regeringen att det finns ett värde i att personuppgiftsreglering så långt det är möjligt utformas på ett enhetligt sätt oavsett om personuppgiftsbehandlingen sker inom dataskyddsdirektivets eller dataskyddsförordningens tillämpningsområde. Regeringen bedömer dessutom att dataskyddslagens bestämmelser i stora delar är relevanta och att det i förhållandevis begränsad utsträckning krävs undantag från dataskyddslagens reglering. Sammantaget talar alltså övervägande skäl för att dataskyddslagen bör gälla vid behandling av personuppgifter enligt lagen, om inte annat följer av den eller anslutande föreskrifter. Regeringen föreslår således en annan lagteknisk lösning än utredningen. Den lagtekniska lösning som regeringen föreslår innebär att det inte behövs några sådana hänvisningar till bestämmelser i dataskyddslagen som utredningen föreslår. Utredningens förslag till hänvisningar i fråga om känsliga personuppgifter behandlas i avsnitt 6.3.12. När det gäller övriga hänvisningar, exempelvis till bestämmelserna om administrativa sanktionsavgifter och skadestånd, instämmer regeringen i utredningens bedömning att aktuella bestämmelser i dataskyddslagen bör gälla i verksamhet. Att bestämmelserna i dataskyddslagen blir tillämpliga följer av att regeringens förslag innebär att dataskyddslagen ska gälla vid behandling av personuppgifter enligt lagen Prop. 2019/20:106 om inte annat följer av den eller anslutande föreskrifter. Även i de fall det inte finns avvikande bestämmelser i den nu föreslagna lagen, kan vissa bestämmelser i dataskyddslagen sakna betydelse för myndigheternas behandling av personuppgifter. Den av utredningen utpekade bestämmelsen om behandling för arkivändamål av personuppgifter som rör lagöverträdelser, 3 kap. 8 § andra stycket, är exempelvis inte relevant för eftersom den tar sikte på behandling som utförs av andra än myndigheter, se prop. 2017/18:105 s. 117. Sådana bestämmelser blir därmed inte aktuella för att tillämpa, även om detta inte uttryckligen regleras i lagen. Registerförfattningarna för bl.a. domstolarna, Kriminalvården, , , åklagarväsendet, och har utformats på så sätt att de gäller utöver brottsdatalagen. Regeringen instämmer i utredningens förslag att även den nu föreslagna lagen enbart bör innehålla bestämmelser som innebär preciseringar, undantag eller avvikelser från brottsdatalagen. För att uppnå större enhetlighet i förhållande till den bestämmelse som anger hur lagen förhåller sig till dataskyddslagen anser regeringen dock att en delvis annan lagteknisk lösning bör väljas. Denna har i stort utformats på samma sätt som motsvarande bestämmelse i lagen (2006:444) om passagerarregister. Brottsdatalagen omfattar, som nämns ovan, bl.a. personuppgiftsbehandling som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet (1 kap. 2 § brottsdatalagen). Det är framför allt som har i uppdrag att skydda allmänheten mot hot mot den allmänna säkerheten. utför inga uppdrag i syfte att upprätthålla allmän ordning och säkerhet. Tillämpningsområdet för lagen bör inte vara mer vidsträckt än nödvändigt och inte omfatta fler situationer än som i praktiken kan uppstå. Lagen bör därför inte innehålla några bestämmelser om behandling av personuppgifter i syfte att upprätthålla allmän ordning och säkerhet. 6.3.3Förhållandet till andra författningar Regeringens förslag: Lagen ska inte tillämpas när personuppgifter behandlas med stöd av lagen om rättspsykiatriskt forskningsregister, lagen om etikprövning av forskning som avser människor eller patientdatalagen. Lagen ska innehålla en bestämmelse som upplyser om att det finns bestämmelser om behandling av personuppgifter i elimineringsdatabasen i den föreslagna lagen om elimineringsdatabas. Regeringens bedömning: Den föreslagna lagen ska gälla även för den behandling av personuppgifter i verksamhet som sker genom kamerabevakning. Utredningens förslag överensstämmer delvis med regeringens förslag. Utredningen föreslår att den föreslagna lagen inte ska tillämpas när personuppgifter behandlas med stöd av kameraövervakningslagen (2013:460). Vidare föreslår utredningen inte någon 2019/20:106 upplysningsbestämmelse angående lagen om elimineringsdatabas. Remissinstanserna: Ingen remissinstans yttrar sig särskilt i denna del. Skälen för regeringens förslag och bedömning: Bestämmelser om behandling av personuppgifter finns i lagen (1999:353) om rättspsykiatriskt forskningsregister, lagen (2003:460) om etikprövning av forskning som avser människor och patientdatalagen (2008:355). kan inom ramen för sitt uppdrag utföra åtgärder som omfattas av nämnda lagars tillämpningsområde. När så är fallet bör dessa lagar, som är utformade för sitt specifika område, tillämpas i stället för den nu föreslagna lagen, som är av mer generell karaktär. Den kamerabevakning som förekommer vid , t.ex. vid verkets utredningsenheter på det rättspsykiatriska verksamhetsområdet, får anses utgöra en integrerad del av myndighetens verksamhet. Kameraövervakningslagen har ersatts av kamerabevakningslagen (2018:1200) som trädde i kraft . Kameraövervakningslagen gällde i stället för den tidigare generella dataskyddsregleringen i personuppgiftslagen och innehöll en mer omfattande reglering än den nuvarande kamerabevakningslagen. Den sistnämnda lagen kompletterar i stället övrig dataskyddsreglering. Mot den bakgrunden anser regeringen att den föreslagna lagen bör tillämpas även för den behandling av personuppgifter som sker vid kamerabevakning i verksamhet. Av tydlighetsskäl bör lagen vidare innehålla en bestämmelse som upplyser om att det i lagen om elimineringsdatabas finns bestämmelser om den behandling av personuppgifter som sker i databasen. 6.3.4Utgångspunkter för den nya lagen Regeringens bedömning: Bestämmelserna om behandling av personuppgifter i verksamhet bör samlas i en lag, som omfattar både den personuppgiftsbehandling som faller inom dataskyddsförordningens tillämpningsområde och den behandling som faller inom brottsdatalagens tillämpningsområde. Den terminologi som används i lagen bör så långt det är möjligt stämma överens med de uttryck och begrepp som används i dataskyddsförordningen, dataskyddslagen, dataskyddsdirektivet och brottsdatalagen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: anför att den omständigheten att lagen tar ett helhetsgrepp och förhåller sig till såväl dataskyddsförordningen som dataskyddsdirektivet förhoppningsvis kommer att underlätta i rättstillämpningen. Justitiekanslern framhåller att det är viktigt att så långt som möjligt eftersträva en likartad systematik i alla de lagar och förordningar som reglerar personuppgiftsbehandling. I övrigt yttrar sig ingen remissinstans särskilt över bedömningen. Skälen för regeringens bedömning Den EU-rättsliga dataskyddsreformen ger upphov till ett regelkomplex som till sin struktur kan uppfattas som relativt komplicerat. Så är särskilt fallet för myndigheter som , där både dataskyddsförordningens och dataskyddsdirektivets bestämmelser är tillämpliga. För en del av de myndigheter vars verksamhet till stor del faller under direktivets tillämpningsområde har det införts två separata registerförfattningar (prop. 2017/18:269). En lag reglerar då personuppgiftsbehandlingen på förordningens område och en annan innehåller motsvarande bestämmelser på direktivets område. Frågan är om de bestämmelser som föreslås bör vara intagna i en och samma lag eller om de i stället bör delas upp i en brottsdatalag för och en lag om övrig behandling av personuppgifter för . Av betydelse vid den bedömningen är att de särbestämmelser som behövs i verksamhet till viss del är desamma, oavsett om det är fråga om behandling av personuppgifter på dataskyddsförordningens eller dataskyddsdirektivets tillämpningsområde. Av det skälet kan det vara en fördel med en lag, i stället för två som i så fall delvis skulle behöva vara likalydande. De båda EU-rättsliga dataskyddsregleringarna kommer dock också att kräva överväganden som i vissa avseenden skiljer sig åt beroende på i vilket syfte personuppgiftsbehandlingen sker. Sådana särregleringar kan emellertid, som utredningen föreslår, lämpligen placeras i ett kapitel för bestämmelser som gäller på dataskyddsförordningens område och ett annat för bestämmelser på brottsdatalagens. Regeringen bedömer att en sammanhållen registerförfattning med en sådan struktur är det lämpligaste alternativet. Som Justitiekanslern framhåller är en likartad systematik i författningarna på dataskyddsområdet önskvärd. Detta underlättar tillämpningen av regleringen. Av den anledningen bör uttryck och begrepp i den lag för personuppgiftsbehandling vid som föreslås så långt det är möjligt anpassas till den terminologi som används i dataskyddsförordningen, dataskyddslagen, dataskyddsdirektivet och brottsdatalagen. Regeringens bedömning: Det saknas behov av att införa en särskild bestämmelse om lagens syfte. Utredningens förslag överensstämmer inte med regeringens bedömning. Utredningen föreslår att lagen ska innehålla en särskild syftesbestämmelse. Remissinstanserna: Datainspektionen påpekar att formuleringen av syftet avviker något från dataskyddsdirektivets formulering och menar att det bör övervägas att i lagen tydliggöra att ett syfte med lagen särskilt ska 2019/20:106 vara att skydda fysiska personers personliga integritet vid behandling av personuppgifter. påpekar att det av både bestämmelsen som reglerar lagens syfte och lagens tillämpningsområde framgår att lagen gäller behandling av personuppgifter i verksamhet och att det bör vara tillräckligt att ange detta i en av dessa bestämmelser. Skälen för regeringens förslag: Dataskyddsförordningens syfte återfinns i artikel 1. Där slås fast att förordningen fastställer bestämmelser om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av personuppgifter. Där anges vidare att förordningen skyddar fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Det fria flödet av personuppgifter inom unionen får varken begränsas eller förbjudas av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter. Förordningens syftesbestämmelse är direkt tillämplig för vid behandling av personuppgifter på förordningsområdet. Syftesbestämmelsen i dataskyddsdirektivet är snarlik. Av artikel 1.2 i direktivet framgår att direktivets syfte är att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Dessutom ska direktivet säkerställa att behöriga myndigheters utbyte av personuppgifter inom unionen, när sådant utbyte krävs enligt unionsrätten eller nationell rätt, varken begränsas eller förbjuds av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter. Mot bakgrund av dataskyddsdirektivets syftesbestämmelse, anges i brottsdatalagen att syftet med lagen är att skydda fysiska personers grundläggande fri- och rättigheter i samband med behandling av personuppgifter och att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt (1 kap. 1 § andra stycket). När den kompletterande lagstiftningen till brottsdatalagen infördes gjorde regeringen bedömningen att det inte behövdes några syftesbestämmelser (prop. 2017/18:269 s. 104–105), eftersom registerförfattningarna ska läsas tillsammans med brottsdatalagen. Regeringen konstaterade att det därför inte fanns skäl att i registerförfattningarna införa bestämmelser som anger att syftet med lagen i stort sett är detsamma som det övergripande syftet med brottsdatalagen. Regeringen anser mot denna bakgrund att det saknas skäl att införa en särskild bestämmelse om lagens syfte. Regeringens förslag: Lagen ska gälla vid behandling av personuppgifter i verksamhet. Lagen ska gälla endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller kommer att ingå i ett register. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt i denna del. Skälen för regeringens förslag: Lagen bör, som utgångspunkt och med de undantag som uttryckligen anges (se avsnitt 6.3.3), vara tillämplig för all behandling av personuppgifter i verksamhet. 2019/20:106 Om inte annat anges ska lagen således tillämpas på personuppgiftsbehandling inom verkets samtliga verksamhetsområden Även behandling av en utomstående aktör som gett i uppdrag att utföra en uppgift som åvilar verket anses ske i verkets verksamhet och faller således inom lagens tillämpningsområde. I dessa situationer agerar uppdragstagaren som personuppgiftsbiträde i förhållande till (se vidare avsnitt 6.3.8). Den föreslagna lagen bör i likhet med den EU-rättsliga dataskyddsregleringen endast vara tillämplig vid helt eller delvis automatiserad behandling av personuppgifter samt icke-automatiserad behandling som avser vissa strukturerade uppgiftssamlingar. Utredningen föreslår att uttrycket ”en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier” ska användas för att beteckna dessa uppgiftssamlingar. Detta uttryck används bl.a. i 1 kap. 3 § brottsdatalagen. I dataskyddsförordningen (artiklarna 2.1 och 4.6) och i dataskyddsdirektivet (artiklarna 2.2 och 3.6) används emellertid begreppet ”register” för uppgiftssamlingar av detta slag. Registerbegreppet återfinns också i flera registerförfattningar främst på dataskyddsförordningens område, t.ex. vägtrafikdatalagen (2019:369). Eftersom den föreslagna lagen ska gälla både inom dataskyddsförordningens och brottsdatalagens område talar övervägande skäl för att detta begrepp bör användas. Lagen bör alltså gälla för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register. Detta innebär inte någon skillnad i sak i förhållande till utredningens förslag. 6.3.7Dataskyddsregleringen ska i tillämpliga delar även gälla vid behandling av uppgifter om avlidna Regeringens förslag: I tillämpliga delar ska lagen om behandling av personuppgifter, EU:s dataskyddsförordning, dataskyddslagen, brottsdatalagen och föreskrifter som meddelats i anslutning till dessa lagar gälla även vid behandling av uppgifter om avlidna i verksamhet. Utredningens förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Endast ett fåtal remissinstanser yttrar sig i denna Datainspektionen tillstyrker förslaget, men efterfrågar att det tydligare i lagtexten anges vilka delar av lagen som ska gälla för avlidna. Kammarrätten i påpekar att förslaget kan komma att innebära att uppgifter om avlidna omfattas av det integritetsskyddande regelverket vid men sedan inte skyddas på motsvarande sätt när de efter att ha förts över av verket behandlas av andra myndigheter och väcker frågan om det är en lämplig ordning. efterfrågar ett förtydligande avseende huruvida förslaget innebär någon förändring av hur länge kan behandla uppgifter om avlidna. Skälen för regeringens förslag: Varken dataskyddsförordningen eller dataskyddsdirektivet gäller avlidna personer (skäl 27 i förordningen och 1 kap. 6 § brottsdatalagen). Medlemsstaterna får dock enligt förordningen fastställa bestämmelser för behandling av uppgifter även rörande avlidna. Samma rätt torde vara förbehållen medlemsstaterna även inom direktivets Något hinder mot att lagen i tillämpliga delar även ska omfatta uppgifter om avlidna personer finns, som utredningen konstaterar, således inte. om avlidna personer i relativt stor utsträckning. Det rör sig ofta om uppgifter som är särskilt känsliga, t.ex. uppgifter om personer som utsatts för grov brottslighet. Det förekommer också uppgifter om enskildas psykiska eller fysiska hälsa, vilket kan innefatta information om exempelvis allvarlig sjukdom. För efterlevande kan det vara betydelsefullt att sådana uppgifter skyddas. De uppgifter om avlidna som kan förekomma vid är regelmässigt så känsliga att det