prop · H703166 · 2020-05-14 00:00:00 — Nedan och i författningskommentaren till 9 § ges exempel på omständigheter som kan ha betydelse vid intresseavvägningen. Som framhållits tidigare förutsätts vidare att vid behov upprättar rutiner och stöd för utlämnandet och de bedömningar som behöver göras i samband därmed. Såsom JK konstaterar ställer bestämmelsen något lägre krav för utlämnande än de som gäller enligt generalklausulen i 10 kap. 27 § OSL. Som tidigare framhållits (avsnitt 7.5.1) är en avsikt med den föreslagna regleringen att möjliggöra för att på ett mer förutsägbart sätt än bedöma om en annan verksamhet inom ska underrättas och nödvändig information överlämnas. Även om möjligheten att lämna uppgifter är vidare än tidigare är någon ändring av vilka uppgifter som lämnas ut inte avsedd. Skillnaden är i stället att samma typ av uppgifter som lämnas kommer att kunna lämnas tidigare och i större omfattning. Situationer där intresset för skydd av den personliga integriteten bör kunna väga tyngre än intresset av att t.ex. kunna fatta ett korrekt beskattningsbeslut kan vara om det rör sig om låga belopp eller om uppgifterna av någon annan anledning bedöms vara av ringa intresse för den mottagande verksamheten. Lagrådet anför att det inte anges vad som avses med ett lågt belopp eller uppgifter som kan anses vara av ringa betydelse för den mottagande verksamheten. Regeringen anser att situationer där skatteeffekten förväntas bli lägre än ett prisbasbelopp t.ex. bör falla in under denna bestämmelse. Om det är fråga om systematiska skatteundandraganden bör dock uppgifterna i normalfallet lämnas även om beloppen vid varje enskilt tillfälle är låga. Även i situationer där uppgifterna av någon annan anledning bedöms vara av ringa intresse för den mottagande verksamheten bör skyddet för den personliga integriteten kunna väga tyngre än intresset av att uppgifterna lämnas ut. I en utlämnandesituation kan det t.ex. finnas vissa uppgifter som visserligen skulle kunna påverka ärendet men som ändå bedöms ha ringa betydelse och som därför inte ska lämnas trots att den övriga informationen bedöms vara sådan att den ska lämnas ut. Lagrådet efterfrågar vidare ledning av vad som avses med särskilt känsliga uppgifter. Regeringen konstaterar att vissa kategorier av uppgifter är särskilt känsliga till sin natur, t.ex. uppgifter om etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. När det rör sig om denna typ av uppgifter bör skyddet för den personliga integriteten i de allra flesta fall sättas framför behovet av att lämna ut informationen och till skillnad från vad Datainspektionen anför bedöms det därmed finnas ett utrymme som inte 2019/20:166 är för begränsat att beakta viktiga integritetsintressen. verksamheten kan det t.ex. finnas uppgifter om att verksamhet med personlig assistans bedrivs gentemot klienter med en viss angiven I dessa fall kan en tillämpning av 9 § leda till att exempelvis uppgifter om verksamhetens omfattning lämnas till mottagarverksamheten medan uppgifter om klienter och deras hälsa inte Företagarna framhåller att rekvisitet övervägande skäl inte hänförs till den enskildes integritetsskydd, utan till skatteintäktens storlek. anser att det framstår som naturligt att beloppets storlek har betydelse vid den intresseavvägning som ska göras mellan integritetsskyddet och intresset av att fatta korrekta beslut om skatt. skatteundandragande rör ett större belopp krävs att ett omfattande integritetsintresse gör sig gällande för att uppgifterna inte ska lämnas till beskattningsverksamheten eftersom intresset av att fatta ett korrekt beslut i detta fall är mycket stort. Om det i stället rör sig om ett litet belopp kan däremot integritetsintresset lättare väga över. Skyddet för den personliga integriteten kan även väga tyngre än intresset av att kunna förebygga, förhindra och upptäcka sådan brottslighet som omfattas av förslaget. fallet möjliggör regleringen att i förekommande fall t.ex. underlåta att lämna ut särskilt känsliga uppgifter till den brottsbekämpande Allmänt gäller att ju större intrång i den enskildes integritet som ett lämnande av uppgifter innebär, som exempelvis att ett stort antal uppgifter lämnas eller att uppgifterna är av känslig natur, desto högre krav ställs på att det finns ett angeläget intresse hos den mottagande verksamheten att få uppgifterna. Det ska alltid iakttas att inte fler uppgifter än nödvändigt lämnas. Information om vissa metoder eller arbetssätt och uppgifter som kan skada en pågående verksamhet eller förestående operativ insats, såväl inom ramen för en förundersökning som inom underrättelseverksamhet, är exempel på uppgifter som ofta skyddas av sekretess och som det kan finnas starka skäl att inte lämna ut trots att förutsättningarna är uppfyllda (se Det måste särskilt beaktas om underrättelseinformation har lämnats till skattebrottsenheten med användarvillkor, dvs. underrättelsetjänster har lämnat underrättelseinformation med det uttryckliga förbehållet att informationen helt eller delvis inte får delas (lämnas vidare till andra). En situation inom beskattningsverksamheten där det kan finnas skäl att inte lämna ut uppgifter är i samband med användning av tvångsåtgärder i Åtgärderna bevissäkring och betalningssäkring genomförs i praktiken utan föregående kommunikation och har till syfte att säkra underlag och betalning för skatter och avgifter. är nära förestående kan det finnas skäl att inte lämna ut information om den som åtgärderna avser till andra än dem som är direkt berörda av Det finns annars risk att åtgärderna inte kan genomföras med I sådana fall kan det därför vara aktuellt att tillämpa undantag från skyldigheten att lämna uppgifter till skattebrottsenheten. normalfallet bör uppgifterna i sådana fall i stället lämnas först efter det att tvångsåtgärderna är genomförda. Uppgifter om vissa metoder eller arbetssätt inom beskattnings- verksamheten eller folkbokföringsverksamheten och uppgifter från tredje part samt särskilda uppgifter som kan skada en förestående eller pågående Prop. 2019/20:166 kontroll- eller tillsynsverksamhet är exempel på uppgifter som ofta skyddas av sekretess och som det kan finnas övervägande skäl att inte lämna ut. Flera remissinstanser framhåller att intresseavvägningen, som ska säkerställa integritetsskyddet, i huvudsak exemplifieras utifrån effektivitetshänsyn, och anser att den ger ett otillräckligt integritetsskydd. Regleringen behövs dock som framgår ovan både för att skydda de olika verksamheternas intressen och till skydd för enskilda. I detta sammanhang bör påpekas att även vid utformningen av uppgiftsskyldigheterna beaktas integritetsfrågan, t.ex. när det gäller hur den brottsliga verksamheten ska vara kvalificerad för att omfattas. Skyddet för den personliga integriteten behandlas närmare i avsnitt 7.5.1. I informationsutbytespromemorian utgör bestämmelsen ett andra stycke i båda de två paragrafer om uppgiftsskyldighet som föreslås. Dessa två stycken har samma lydelse och regeringen föreslår därför en annan lagteknisk lösning. vid har en språklig synpunkt som tar sikte på att det inte förklaras att den aktuella bestämmelsen avser sekretessbelagda uppgifter. Regeringen anser att ett klargörande av att bestämmelsen avser uppgifter som omfattas av sekretess bör tas in i den föreslagna lagtexten. Förslaget innebär att det införs en ny paragraf, 9 §, i lagen om brottsbekämpande verksamhet. Regeringens bedömning: Den personuppgiftsbehandling som de föreslagna bestämmelserna om uppgiftsskyldighet ger upphov till är förenlig med EU:s dataskyddsförordning och brottsdatalagen. befintliga reglering som finns på personuppgiftsområdet utgör tillräcklig reglering för den personuppgiftsbehandling som förslaget Det behöver således inte införas någon ytterligare reglering om denna behandling. delvis med regeringens. någon bedömning av om förslaget är förenligt med EU:s dataskydds- förordning eller brottsdatalagen. Remissinstanserna: Datainspektionen framför att myndigheten inte kan tillstyrka förslaget utan en mer utförlig proportionalitetsbedömning mellan behov av personuppgiftsbehandling å ena sidan och den enskildes rätt till skydd för den personliga integriteten å andra sidan. Datainspektionen saknar även en analys av hur EU:s dataskydds- förordning och dataskyddsdirektiv påverkar förslaget. Datainspektionen kan det ifrågasättas om kravet på att uppgifter endast får samlas in för specifika ändamål och att personuppgifterna därefter inte får användas på ett sätt som är oförenligt 2019/20:166 uppfyllt. , som också saknar en analys av förslaget utifrån EU:s dataskyddsförordning, framhåller att informationsutbytespromemorian saknar information om exempelvis tidsramar för bevarande respektive gallring av uppgifter. JK anser att det i den fortsatta beredningen mer ingående bör redogöras för vilka överväganden som görs i fråga om behovet av säkerhetsåtgärder som minskar riskerna för den personliga integriteten. Propositionsutkastets bedömning överensstämmer med regeringens. Remissinstanserna: Datainspektionen konstaterar att det inte kommer att behöva säkerställas i varje enskilt fall att det är nödvändigt och proportionerligt att personuppgifter behandlas för det nya ändamålet. Skälen för regeringens bedömning Uppgifter som förekommer i brottsbekämpande verksamhet ska enligt förslaget under vissa förutsättningar lämnas till beskattningsverksamheten, folkbokföringsverksamheten eller id-kortsverksamheten. Vidare ska uppgifter som förekommer i dessa verksamheter under vissa förutsättningar lämnas till den brottsbekämpande verksamheten. Regeringen gör i avsnitt 7.5.1 bedömningen att förslaget inte innebär ett sådant intrång i den personliga integriteten som går utöver vad som är godtagbart för att brottsbekämpande verksamhet ska kunna bedrivas på ett mer effektivt sätt och fler korrekta beslut ska kunna fattas inom verksamheterna beskattning, folkbokföring och id-kort. Vid avvägningen mellan behov av personuppgiftsbehandling och den enskildes rätt till skydd för den personliga integriteten anses förslaget således vara proportionerligt. Den personuppgiftsbehandling som förslaget ger upphov till är tillåten I den brottsbekämpande verksamheten gäller brottsdatalagen. Därutöver gäller i denna verksamhet brottsdatalag, som innehåller bestämmelser som innebär preciseringar, undantag eller avvikelser från brottsdatalagen. dataskyddsdirektiv är genomfört i svensk rätt genom bl.a. dessa lagar. Regeringen bedömer här hur förslaget förhåller sig till dessa lagar. Det får anses innefatta en sådan bedömning av hur dataskyddsdirektivet påverkar förslaget, som efterfrågas av Datainspektionen. I och med att en uppgiftsskyldighet ska gälla för den brottsbekämpande verksamheten i förhållande till verksamheterna beskattning, folkbokföring och id-kort kommer det inte, som Datainspektionen konstaterar, behöva säkerställas i varje enskilt fall att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet (2 kap. 22 § brottsdatalagen). Det bedöms emellertid att uppgiftslämnandet är både nödvändigt och proportionerligt. Såsom anförs i propositionen Skattebrottsdatalag anser regeringen att det bör vara möjligt att behandla uppgifter för att tillhandahålla information som behövs i ett ärende hos en annan verksamhet inom , även i fall då tillhandahållandet inte kan anses ske för ett brottsbekämpande syfte, och att det är rimligt att uppgifter får behandlas för att åstadkomma korrekta beslut även i andra fall (se prop. 2016/17:89 s. 77). Vid den brottsbekämpande verksamhetens behandling för att lämna ut uppgifter till myndighetens verksamheter utanför brottsdatalagens tillämpningsområde, såsom till beskattningsverksamheten, ska även EU:s dataskyddsförordning och dataskyddslagen tillämpas. Behandlingen för detta ändamål blir en ny behandling enligt dataskyddsförordningen. Det är således inte fråga om en vidarebehandling som sker enligt bestämmelserna dataskyddsdirektiv eller brottsdatalagen, vilket gör att finalitetsprincipen inte ska tillämpas på den nya behandlingen, se propositionen Brottsdatalag (prop. 2017/18:232 s. 132). Det innebär med andra ord att det i denna del inte krävs någon bedömning av om den nya behandlingen är förenlig med de ursprungliga insamlingsändamålen. Det kan dock tilläggas att regeringen tidigare anfört att det inte kan anses vara oförenligt med de primära ändamålen för den brottsbekämpande verksamheten att tillhandahålla information till övrig verksamhet inom i situationer där det kan antas att informationen behövs för att korrekta beslut ska kunna fattas (prop. 2016/17:89 s. 77). Med hänsyn till att det rör sig om en skyldighet för brottsbekämpande verksamhet att lämna uppgifter bedöms det vidare vara fråga om en sådan rättslig förpliktelse som avses i artikel 6.1 c i EU:s dataskyddsförordning. Kravet på rättslig grund är därmed uppfyllt och syftet med detta får anses framgå av bestämmelsen, nämligen i huvudsak att ska få del av uppgifter som myndigheten behöver för att kunna fatta korrekta beslut i de berörda verksamheterna. Det bedöms i undantagsfall kunna bli aktuellt att lämna ut sådana känsliga personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning och som redan behandlas hos den brottsbekämpande myndigheten med stöd av 2 kap. 11 § brottsdatalagen (se avsnitt 7.5.3). Av artikel i dataskyddsförordningen framgår att behandling av känsliga personuppgifter är tillåten om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Dessa förutsättningar för att få behandla känsliga personuppgifter bedöms vara uppfyllda. Den brottsbekämpande verksamhetens behandling av känsliga personuppgifter i samband med utlämnandet till övriga verksamheter är även tillåten enligt 3 kap. 3 § dataskyddslagen. Av bestämmelsen framgår att känsliga personuppgifter får behandlas av en myndighet med stöd av artikel i EU:s dataskyddsförordning bl.a. om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag eller om behandlingen är nödvändig för handläggningen av ett ärende. Den brottsbekämpande verksamheten kommer vidare att kunna uppfylla uppgiftsskyldigheten utan att bryta mot det sökförbud avseende känsliga personuppgifter som finns i 2 kap. 14 § brottsdatalagen, från vilket det görs vissa undantag i 2 kap. 4 och 5 §§ brottsdatalag. Samma rättsliga grund enligt EU:s dataskyddsförordning, dvs. rättslig förpliktelse, är tillämplig för den personuppgiftsbehandling som förslaget om införande av uppgiftsskyldighet från beskattningsverksamheten, folkbokföringsverksamheten och id-kortsverksamheten till den brottsbekämpande verksamheten ger upphov till. Syftet med detta förslag får 2019/20:166 också anses framgå av bestämmelsen och är att brottsbekämpande verksamhet ska kunna bedrivas på ett mer effektivt sätt. Datainspektionen tar upp frågan om huruvida uppgiftslämnande i denna riktning kan stå i strid med de ursprungliga insamlingsändamålen. Uppgiftslämnande från exempelvis beskattningsverksamheten till den brottsbekämpande verksamheten förekommer redan med stöd av olika sekretessbrytande bestämmelser. Den vidarebehandling av uppgifter som detta ger upphov till i beskattningsverksamheten är tillåten enligt bestämmelser i lagen om behandling av uppgifter i beskattningsverksamhet. Den lagen innehåller bestämmelser som medger att uppgifter som redan behandlas för ett visst tillåtet ändamål även får behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Registerförfattningarna för folkbokföringsverksamheten och id-kortsverksamheten innehåller liknande bestämmelser (se avsnitt 7.4.4). I lagen om behandling av uppgifter i beskattningsverksamhet finns därutöver en uttrycklig bestämmelse som innebär att uppgifter som behandlas exempelvis för beskattningsändamål även får behandlas för att tillhandahålla information som behövs i brottsbekämpande verksamhet (1 kap. 5 §). I propositionen Anpassningar av vissa författningar inom skatt, tull och exekution till EU:s dataskyddsförordning bedöms att dessa bestämmelser är förenliga med dataskyddsförordningen (se prop. 2017/18:95 s. 47–48). Regeringen har således redan bedömt att de bestämmelser som tillåter den vidarebehandling av uppgifter som förslaget ger upphov till är förenliga med EU:s dataskyddsförordning. Denna vidarebehandling bedöms sammanfattningsvis vara förenlig med dataskyddsförordningen. Även vid uppgiftslämnande till skattebrottsenheten kan de uppgifter som kommer att behandlas i undantagsfall avse känsliga personuppgifter i dataskyddsförordningens mening. Förutsättningarna för att få behandla känsliga personuppgifter bedöms också i detta fall vara uppfyllda enligt EU:s dataskyddsförordning (se ovan). Vid fullgörandet av uppgiftsskyldigheten gentemot skattebrottsenheten rör det sig om behandling av uppgifter som är nödvändiga för handläggningen av ett ärende, vilket innebär att behandlingen av känsliga personuppgifter är tillåten enligt 1 kap. 7 § lagen om behandling av uppgifter i beskattningsverksamhet och 1 kap. 6 § lagen om behandling av personuppgifter i folkbokföringsverksamhet. Det finns även stöd i 13 § lagen om identitetskort för folkbokförda i för den behandling av känsliga personuppgifter som kan krävas i id-kortsdatabasen för att fullgöra den föreslagna uppgiftsskyldigheten. Dataskyddsförordningen innehåller inga begränsningar som tar sikte på myndigheters behandling av uppgifter om lagöverträdelser som innefattar brott. Enligt 3 kap. 8 § dataskyddslagen får myndigheter behandla sådana personuppgifter som avses i artikel 10 i dataskyddsförordningen, dvs. personuppgifter som rör lagöverträdelser. Begränsande regler om möjligheten att behandla sådana uppgifter gäller för beskattningsverksamheten och folkbokföringsverksamheten. Dessa bestämmelser medger dock sådan behandling som krävs för att fullgöra uppgiftsskyldigheten. Verksamheterna beskattning, folkbokföring och idkort kommer vidare att kunna uppfylla uppgiftsskyldigheten utan att bryta mot det sökförbud avseende känsliga personuppgifter och lagöverträdelser som innefattar brott som finns i registerförfattningarna för dessa verksamheter (se avsnitt 7.4.4). JK påtalar behovet av skyddsåtgärder för att minska riskerna för intrång i den personliga integriteten och efterfrågar vilka avväganden som görs i denna fråga. Om kretsen av personer som har tillgång till personuppgifter begränsas är riskerna för integritetsintrång generellt sett mindre. Allmänt gäller att den mottagande verksamheten måste begränsa tillgången så mycket som möjligt med hänsyn till den aktuella verksamheten och känsligheten hos personuppgifterna. Av 3 kap. 6 § brottsdatalagen, som gäller vid behandling av personuppgifter i den brottsbekämpande verksamheten, framgår exempelvis att tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen kan vidare konstatera att både dataskyddsförordningen och brottsdatalagen ställer krav på i egenskap av personuppgiftsansvarig avseende tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas i de olika verksamheterna (artiklarna 24.1 och 32 dataskyddsförordningen respektive 3 kap. 2–5 §§ brottsdatalagen). Den behandling av personuppgifter som efter utlämnande sker hos den mottagande verksamheten inom omfattas vidare av integritetsskyddande bestämmelser om behandling av personuppgifter som främst finns i registerförfattningarna för den brottsbekämpande verksamheten, beskattningsverksamheten, folkbokföringsverksamheten och id-kortsverksamheten. Mot den bakgrunden anser regeringen att det saknas skäl att införa några särskilda bestämmelser om sådana skyddsåtgärder som JK efterfrågar. Regeringen bedömer sammanfattningsvis att den personuppgiftsbehandling som förslaget ger upphov till är förenlig med EU:s dataskyddsförordning samt brottsdatalagen (och därmed även dataskyddsdirektivet). Den befintliga regleringen på personuppgiftsområdet utgör tillräcklig reglering för denna personuppgiftsbehandling som förslaget föranleder hos . Det behöver således inte införas någon ytterligare reglering om denna behandling. Normal hantering av frågor om bevarande och gallring Som framhåller saknar informationsutbytespromemorian information om exempelvis tidsramar för bevarande respektive gallring av uppgifter. I detta avseende gäller normal hantering för uppgifter som inkommer till de olika verksamheterna. Om uppgifterna används kommer de t.ex. att ingå i ett skatteärende eller folkbokföringsärende och följer då reglerna för gallring av uppgifter och handlingar i sådana ärenden. Om uppgifterna inte används gäller andra regler för gallring. Inom den brottsbekämpande verksamheten är det noga angivet hur länge personuppgifter får behandlas genom bestämmelser i brottsdatalagen och i brottsdatalag. Inom de övriga berörda verksamheterna gäller principen om lagringsminimering i artikel 5.1 e i EU:s dataskyddsförordning som kompletteras av bestämmelser om gallring av uppgifter i arkivlagen (1990:782). Därutöver finns bl.a. bestämmelser om gallring i lagen om behandling av uppgifter i beskattningsverksamhet, i den tillhörande förordningen samt i förordningen om identitetskort för folkbokförda i . 2019/20:166 om behandling av personuppgifter i folkbokföringsverksamheten och tillhörande förordning saknar bestämmelser om bevarande och gallring, vilket innebär att det är arkivlagens bestämmelser som ska tillämpas (prop. 2001/01:33 s. 147). Regeringens förslag: Lagändringarna ska träda i kraft . Regeringens bedömning: Några övergångsbestämmelser behövs Lagstiftningen om uppgiftsskyldighet inom bör utvärderas efter ikraftträdandet. Informationsutbytespromemorians förslag och bedömning: I informationsutbytespromemorian föreslås inget ikraftträdandedatum, utan det anges endast att förslaget är angeläget och bör träda i kraft så snart som Informationsutbytespromemorian behandlar inte frågan om utvärdering av lagstiftningen om uppgiftsskyldighet inom . Remissinstanserna: Ingen remissinstans yttrar sig särskilt i frågan. Propositionsutkastets förslag och bedömning överensstämmer med regeringens i fråga om datum för ikraftträdande. behandlas inte frågan om utvärdering. Remissinstanserna: Ingen remissinstans yttrar sig särskilt i frågan. Skälen för regeringens förslag och bedömning: Förslaget är som anförs i informationsutbytespromemorian angeläget och bör träda i kraft Som framgått i bl.a. avsnitt 7.2 och 7.5.1 finns det ett starkt samhälleligt intresse av att bekämpa sådan brottslighet som omfattas av den brottsbekämpande verksamhetens brottskatalog, samt att de beslut som myndigheten fattar är korrekta och att uppgifterna i databaser stämmer överens med verkligheten. dock att flera remissinstanser har framfört synpunkter på de integritetsaspekter som aktualiseras av förslaget i informationsutbytes- promemorian (se avsnitt 7.5.1). Även Lagrådet, som har förståelse för att det kan finnas ett behov av att lämna sekretessbelagda uppgifter vidare inom , avstyrker i sitt yttrande att förslaget läggs till grund för lagstiftning, bl.a. med hänsyn till skyddet för den personliga integriteten. Regeringen har därefter gjort förtydliganden och tillägg avseende behovet av och nyttan med den föreslagna lagstiftningen (se avsnitt 7.2, 7.5.1 och 7.7.6). Datainspektionen, JK, JO och , som getts möjlighet att vid ett kompletterande remissförfarande på nytt yttra sig över förslaget, har dock avstyrkt eller inte kunnat tillstyrka att