prop · H70383 · 2020-02-11 00:00:00 — Som utgångspunkt gäller att den nya verksamheten som systemansvarig myndighet ska vara organisatoriskt åtskild från den verksamhet inom myndigheten som ska få tillgång till uppgifter i systemet. Konto- och värdefackssystemet ska innehålla uppgifter om innehavare av konton och värdefack hos ca 150 institut. Med beaktande av antalet paraplyförfrågningar som myndigheterna gör kan det förväntas att antalet sökningar i systemet blir stort. Valet av teknisk lösning och uppgifternas känslighet innebär att det krävs att den systemansvariga myndigheten har hög it-kompetens och erfarenhet av liknande tekniska system. Sådan kompetens finns framför allt hos . I kraft av sin erfarenhet att administrera omfattande och komplexa it-system och hantera stora mängder information anser regeringen, till skillnad från , att är mest lämpat att vara systemansvarig myndighet. Regeringen förutsätter att instituten kommer att fullgöra sina skyldigheter enligt konto- och värdefackssystemet. I det avseendet ska framhållas att instituten står under löpande tillsyn av och att inspektionen kan ingripa mot de institut som inte fullgör sina skyldigheter enligt konto- och värdefackssystemet (13 och 15 kap. lagen om bank- och finansieringsrörelse respektive 23 och 25 kap. lagen om värdepappersmarknaden). Regeringen anser därför, till skillnad från , att någon särreglering av dessa frågor inte är nödvändig. Om en myndighet som ska få tillgång till systemet eller den systemansvariga myndigheten får information om att ett institut inte fullgör sina skyldigheter i systemet, bör myndigheten – som framhåller – informera in- Prop. 2019/20:83 spektionen. Den generella regleringen om behandling av personuppgifter finns i och rådets förordning (EU) 2016/679 av 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), i det följande be- nämnd EU:s dataskyddsförordning. Utgångspunkten är att förordningen ska tillämpas på all behandling av personuppgifter, bl.a. om uppgifterna avser en fysisk person och behandlingen helt eller delvis sker på auto- matisk väg (artiklarna 2.1 och 4). EU:s dataskyddsförordning är direkt tillämplig i och komplet- teras av nationell lagstiftning, bl.a. lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) med till- hörande förordning, och lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet respektive lagen (2001:184) om behandling av uppgifter i verksamhet med Från tillämpningsområdet för EU:s dataskyddsförordning undantas viss behandling av personuppgifter, bl.a. sådan behandling som utförs av be- höriga myndigheter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder (artikel 2.2 d). omfattas i stället av och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på be- höriga myndigheters behandling av personuppgifter för att förebygga, för- hindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF (dataskyddsdirektivet). svensk rätt i brottsdatalagen (2018:1177), som är en ramlag. generellt tillämplig inom det område som direktivet reglerar, dvs. ling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lag- föra brott eller verkställa straffrättsliga påföljder samt i syfte att upp- rätthålla allmän ordning och säkerhet. Därutöver gäller särskilda register- författningar, bl.a. lagen (2018:1693) om polisens behandling av person- uppgifter inom brottsdatalagens område, lagen (2018:1694) om Tull- verkets behandling av personuppgifter inom brottsdatalagens område, lagen (2018:1695) om behandling av personuppgifter inom brottsdatalagens område och lagen (2018:1697) om åklagarväsen- dets behandling av personuppgifter inom brottsdatalagens område. Behandling av personuppgifter som rör nationell säkerhet i Säkerhets- polisens brottsbekämpande och lagförande verksamhet omfattas varken av EU:s dataskyddsförordning och dataskyddslagen eller av brottsdatalagen. 2019/20:83 Den regleras i stället i lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter. Regeringens förslag: ska vara personuppgiftsansvarig myndighet bara för den behandling av personuppgifter som utför i konto- och värdefackssystemet. Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. anser att det är oklart vilket dataskyddsregelverk – EU:s dataskyddsförordning, å ena sidan, eller den lagstiftning som i svensk rätt genomför dataskyddsdirektivet å andra sidan – som blir tillämpligt vid myndighetens behandling av personuppgifter i egenskap av systemansvarig myndighet. Skälen för regeringens förslag: De uppgifter som ska vara tillgängliga för sökning i konto- och värdefackssystemet är personuppgifter och den förmedling som ska ske utgör behandling av dessa (artikel 4 i EU:s dataskyddsförordning och 1 kap. 2 § brottsdatalagen). Gemensamt för EU:s dataskyddsförordning och den lagstiftning som i svensk rätt genomför dataskyddsdirektivet är att de förutsätter att någon är personuppgiftsansvarig för den behandling av personuppgifter som sker. Med personuppgiftsansvaret följer ett ansvar att vidta de tekniska och organisatoriska åtgärder som krävs för att säkerställa att personuppgifterna behandlas i enlighet med dataskyddsregelverket, t.ex. när det gäller att skydda personuppgifterna från obehörig tillgång eller behandling och att föra loggar (kap. IV i EU:s dataskyddsförordning och 3 kap. brottsdatalagen). Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. När ändamålen och medlen för behandlingen av personuppgifter bestäms på nationell nivå kan den personuppgiftsansvarige eller de särskilda kriterierna för att utse denne anges i nationell rätt (artikel 4.7 i EU:s dataskyddsförordning och artikel 3.8 i dataskyddsdirektivet). Konto- och värdefackssystemet innebär att personuppgifter kommer att behandlas i tre led och av tre olika sorters aktörer, dvs. ∙av de myndigheter som får tillgång till uppgifter i systemet (, , , , , , och ) när de ställer frågor och tar emot svar om innehavare av konton och värdefack hos institut, ∙av den systemansvariga myndigheten () när myndigheten förmedlar frågor och svar och för loggar, och ∙av instituten när de tar emot och svarar på frågor i systemet. När det först gäller de myndigheter som får tillgång till uppgifter i systemet krävs det att behandlingen uppfyller de krav som ställs enligt respektive dataskyddsregelverk som myndigheten har att tillämpa. hetens syfte med behandlingen av personuppgifter som styr vilket regel- Prop. 2019/20:83 verk som blir tillämpligt (jfr artikel 2 i EU:s dataskyddsförordning och 1 kap. 2 § brottsdatalagen), med undantag för lagen om Säkerhetspolisens behandling av personuppgifter som i stället utgår från vad uppgifterna rör och vilken verksamhet som de behandlas i. Den omständigheten att systemet ger myndigheterna en automatiserad tillgång till personuppgifter som bara är tillgängliga på väg förändrar inte myndigheternas skyldigheter i detta avseende. Det saknas därför anledning att särskilt reglera dessa myndigheteters respektive personuppgiftsansvar för den personuppgiftsbehandling som sker inom ramen för systemet. När det därefter gäller den systemansvariga myndigheten innebär förmedlingen av frågor och svar en behandling av personuppgifter trots att varken frågor eller svar lagras i systemet. Detsamma gäller de loggar som den som är personuppgiftsansvarig för systemet ska vara skyldig att föra (se avsnitt 6.4). När det slutligen gäller instituten är dessa personuppgiftsansvariga för behandlingen av de personuppgifter som finns hos dem. Behandlingen omfattas av EU:s dataskyddsförordning. Några särskilda bestämmelser för att reglera den personuppgiftsbehandling som institutens hantering av frågor och svar i systemet innebär krävs inte. ska vara systemansvarig myndighet (se avsnitt 5.6). Regeringen anser att också ska vara personuppgiftsansvarig myndighet för den behandling som myndigheten utför i konto- och värdefackssystemet i egenskap av systemansvarig myndighet. Konto- och värdefackssystemet innebär ingen fullständig reglering av ansvar för behandling av personuppgifter i egenskap av personuppgiftsansvarig myndighet. Vilket dataskyddsregelverk som blir tillämpligt på behandlingen av personuppgifter – EU:s dataskyddsförordning eller den lagstiftning som i svensk rätt genomför dataskyddsdirektivet –beror på syftet med behandlingen, dvs. det syfte som den frågeställande myndigheten haft för sin förfrågan i det enskilda fallet. 6.3Behandling av personuppgifter i konto- och värdefackssystemet Regeringens förslag: ska få behandla personuppgifter i konto- och värdefackssystemet om det är nödvändigt för att 1.de som ska få tillgång till systemet ska kunna göra sökningar i systemet för de ändamål som avses i avsnitt 5.4, eller Promemorians förslag överensstämmer i sak med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot Skälen för regeringens förslag Behandling av personuppgifter måste vila på en rättslig grund för att vara laglig (artikel 6 i EU:s dataskyddsförordning och 2 kap. 1 § brottsdatalagen). Behandling som sker enligt reglerna i EU:s dataskyddsförordning är laglig bl.a. om den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige eller är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 c och e i EU:s dataskyddsförordning). Om personuppgiftsbehandlingen stödjer sig på artikel 6.1 c och e i EU:s dataskyddsförordning ska den rättsliga grunden fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt (artikel 6.3 a och b). Syftet med behandlingen ska fastställas i författning eller, i fråga om behandling enligt artikel 6.1 e i förordningen, vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.3 i EU:s dataskyddsförordning). I brottsdatalagen anges att personuppgifter får behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra sin uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Uppgiften ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften (2 kap. 1 § brottsdatalagen). Den rättsliga grunden kan innehålla bl.a. vilken typ av uppgifter som ska behandlas och för vilka ändamål (artikel 6.3i EU:s dataskyddsförordning). En allmän dataskyddsrättslig princip är att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål (artikel 5.1 b i EU:s dataskyddsförordning och 2 kap. 3 § brottsdatalagen). När det gäller den personuppgiftsbehandling som föreslås utföra som systemansvarig myndighet är kravet på att den rättsliga grunden ska vara fastställd uppfylld genom den nya lagen om konto- och värdefackssystem som enligt förslaget ska innehålla de ändamål för vilka personuppgifter får behandlas. Behandling av personuppgifter i konto- och värdefackssystemet bör kunna ske för de ändamål som motsvarar de utredningar som bedrivs av de myndigheter som ska få tillgång till uppgifter i systemet och för att ska kunna fullgöra sina uppgifter som personuppgiftsansvarig myndighet. Det bedöms att kravet på att den nationella rätten ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas är uppfyllt (artikel 6.4 i EU:s dataskyddsförordning). Förebygga, förhindra eller upptäcka brottslig verksamhet och utreda brott Personuppgifter bör få behandlas om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet. Vad som åsyftas är polisiärt arbete hos eller Säkerhetspolisen med insamling, bearbetning och analys av information för att förebygga, förhindra eller upptäcka brottslig verksamhet när det ännu inte finns konkreta misstankar om att ett visst brott har begåtts (underrättelseverksamhet enligt 4 kap. 6 § penningtvättslagen). För detta ändamål kan personal hos eller Säkerhetspolisen behöva ta del av uppgifter i systemet för att på ett mer effektivt sätt kunna få tillgång till uppgifter om vem som innehar eller i övrigt kontrollerar vissa konton som misstänks användas i brottslig verksamhet (jfr prop. 2009/10:85 s. 104 f.). Personuppgifter ska vidare få behandlas om det är nödvändigt för att utreda brott. Med brott avses ett konkret brott. Det kan vara fråga om brott som bevisligen har begåtts liksom brott som det enbart finns misstankar om. Misstankarna behöver inte vara riktade mot någon bestämd person. Den verksamhet som avses består i förundersökning eller annan utredning enligt bestämmelserna i 23 kap. . , , , , och kan bedriva sådana undersökningar eller utredningar. Som exempel kan nämnas att det i en förundersökning kan vara nödvändigt att få tillgång till uppgifter om vilka personer som innehar eller i övrigt kontrollerar ett konto hos ett institut som har samband med ett brott för att säkerställa en effektiv brottsutredning. Revision och annan kontrollverksamhet Personuppgifter bör få behandlas om det behövs vid revision och annan kontrollverksamhet på område. Inom ramen för sin beskattningsverksamhet har rätt att begära att ett institut lämnar uppgifter om den som skatteutredningen gäller. får även besluta om revision för att hämta in uppgifter av betydelse för kontroll av någon annan än institutet. Behandlingen av personuppgifter är nödvändig för att kontrollerna ska kunna utföras på ett effektivt sätt och därmed förbättra förutsättningarna för att motverka skatteundandraganden. Utredning om det finns egendom som kan tas i anspråk för utmätning, kvarstad eller betalningssäkring samt tillsyn enligt lagen om näringsförbud Personuppgifter bör få behandlas om det behövs vid utredning om det finns egendom som kan tas i anspråk för utmätning, kvarstad eller betalningssäkring samt tillsyn enligt lagen om näringsförbud. Personuppgiftsbehandling bör vara tillåten för dessa ändamål. På så sätt förbättras förutsättningarna för att mer effektivt fullgöra sina uppgifter i dessa frågor. Myndigheterna ska få tillgång till systemet för att fullgöra vissa internationella åtaganden (se avsnitt 5.4). Det handlar om rättslig hjälp i på framställan av en annan stat eller mellanfolklig domstol och erkännande och verkställighet av en europeisk utredningsorder (och ), skyldighet att utföra utredningar enligt lagen om administrativt samarbete inom Europeiska unionen i fråga om beskattning och skyldighet enligt avtal att utbyta upplysningar i skatteärenden () samt fullgörande av skyldigheter enligt socialtillämpningsförordningen och kvarstadsförordningen (). Personuppgiftsbehandling bör vara tillåten för dessa ändamål. Som personuppgiftsansvarig myndighet ska föra loggar (se Behandling av personuppgifter för detta ändamål är nöd- vändigt för att ska kunna fullgöra denna uppgift. Begränsning av enskildas rätt till uppgifter och Regeringens förslag: Besked om att personuppgifter behandlas ska inte få lämnas ut till den enskilde. Rätten att göra invändningar enligt EU:s dataskyddsförordning ska inte gälla vid behandling av personuppgifter i systemet. ska, om sådan skyldighet inte redan följer av brottsdata- lagen (3 kap. 5 §), se till att det i konto- och värdefackssystemet förs loggar över de personuppgifter som behandlas. Promemorians förslag överensstämmer i allt väsentligt med reger- Remissinstanserna tillstyrker förslaget eller har inget att invända mot Skälen för regeringens förslag Begränsning av rätten till information och rätten att invända mot Av dataskyddsregelverken följer som utgångspunkt dels en skyldighet för den personuppgiftsansvarige att lämna viss information om behandlingen av personuppgifter till den enskilde, dels en rättighet för den enskilde att ta del av sådan information från den personuppgiftsansvarige (artiklarna 14 och 15 i EU:s dataskyddsförordning och 4 kap. 2 och 3 §§ brottsdata- Informationsskyldigheten gäller bl.a. uppgifter om den rättsliga grunden för behandlingen och vem som är mottagare av personupp- Informationsskyldigheten gäller dock inte om det är särskilt föreskrivet i lag att sådana uppgifter inte får lämnas ut. En sådan begränsning av rätten till information får, i fråga om behandling inom brottsdatalagens område, endast ske för vissa syften såsom intresset av att upptäcka brottslig verk- samhet eller utreda eller lagföra brott (5 kap. 1 § dataskyddslagen och 4 kap. 5 § brottsdatalagen). Om skulle vara skyldigt att lämna information om person- uppgiftsbehandling till den enskilde när en myndighet gör en sökning i systemet finns det stor risk för att syftet med konto- och värdefacks- Sådan information skulle kunna leda till att den en- skilde vidtar åtgärder som att flytta pengar från konton eller värdefack eller i övrigt försvårar en utredning om brottslighet, beskattning eller indrivning För att inte försvåra eller avslöja en utredning genom att röja myndigheters tillgång till uppgifter om innehavare av konton eller värde- fack, bör besked om att personuppgifter behandlas därför inte få lämnas till den enskilde (jfr 5 kap. 7 § penningtvättslagen). I EU:s dataskyddsförordning finns en rätt för den enskilde att invända mot personuppgiftsbehandling (artikel 21). Rätten får begränsas under vissa förutsättningar, bl.a. i syfte att säkerställa en medlemsstats viktiga mål av generellt allmänt intresse, under förutsättning att det sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna samt utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle (artikel 23). Någon motsvarande rätt för den enskilde att invända mot personuppgiftsbehandling finns inte i brottsdatalagen. Att göra behandling av personuppgifter i systemet beroende av inställningen hos den enskilde skulle innebära att syftet med systemet inte uppnås. Rätten att göra invändningar bör därför inte gälla vid personuppgiftsbehandling i konto- och värdefackssystemet. En sådan begränsning måste anses utgöra en nödvändig och proportionell åtgärd för att syftet med konto- och värdefackssystemet ska säkerställas. Den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas och säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas (artiklarna 24 och 25 i EU:s dataskyddsförordning och 3 kap. 2 och 8 §§ brottsdatalagen). I brottsdatalagen anges därutöver att den personuppgiftsansvarige ska säkerställa att det i automatiserade behandlingssystem förs loggar över personuppgiftsbehandling i den utsträckning det är särskilt föreskrivet (3 kap. 5 §). Så- dana föreskrifter finns i brottsdataförordningen (2018:1202) (3 kap. 4 §). ska enligt förslagen i avsnitten 5.6 och 6.2 vara system- och personuppgiftsansvarig myndighet för konto- och värdefackssystemet. Som systemansvarig myndighet har en skyldighet att se till att bara behöriga befattningshavare har tillgång till konto- och värdefackssystemet. Det innebär att ska se till att myndigheternas sökningar i systemet kan kontrolleras och att obehöriga personer inte får tillgång till systemet. Det ankommer på att identifiera vilka risker för obehörig användning som finns och vilka åtgärder som ska vidtas för att dessa risker ska minimeras eller om möjligt upphöra. Som personuppgiftsansvarig myndighet bör – i den utsträckning en sådan skyldighet inte redan följer av brottsdatalagen – vara skyldigt att föra loggar som visar så detaljerad information som behövs för att kunna utreda eventuell obehörig tillgång till eller sökningar i systemet. Med handling förstås enligt tryckfrihetsförordningen framställning i skrift eller bild samt upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel (2 kap. 3 §). En handling är allmän om den förvaras hos en myndighet och är att anse som inkommen dit eller upprättad där (2 kap. 4 § tryckfrihetsförordningen). En upptagning anses förvarad hos en myndighet, om upptagningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas eller avlyssnas eller uppfattas på annat sätt (2 kap. 6 § tryckfrihetsförordningen). 2019/20:83 En handling som förvaras hos en myndighet endast som ett led i en teknisk bearbetning eller teknisk lagring för någon annans räkning anses inte som allmän handling hos den myndigheten (2 kap. 13 § tryckfrihetsförordningen). I sådan verksamhet gäller dessutom sekretess för uppgift om en enskilds personliga eller ekonomiska förhållanden (40 kap. 5 § offentlighets- och sekretesslagen [2009:400]). Inom en myndighet utgör sekretess inget hinder mot att lämna uppgifter mellan olika befattningshavare hos myndigheten i den utsträckning som är normal för och behövlig för ett ärendes handläggning eller verksamhetens bedrivande i övrigt. Om olika verksamhetsgrenar inom en myndighet är att betrakta som självständiga i förhållande till varandra gäller emellertid sekretess mellan verksamhetsgrenarna (8 kap. 2 § offentlighets- och sekretesslagen). Med verksamhetsgren är att likställa varje verksamhet inom en myndighet, från vilken en sekretessbelagd uppgift enligt en tillämplig bestämmelse om sekretess inte får lämnas utan prövning enligt offentlighets- och sekretesslagen. Det innebär t.ex. att de verksamheter hos som omfattas av skattesekretess respektive folkbokföringssekretess är olika verksamhetsgrenar mellan vilka det gäller en sekretessgräns (se t.ex. prop. 1979/80:2 Del A s. 463 f. och prop. s.356–358). Konto- och värdefackssystemet ska utformas som ett datasöksystem, en teknisk plattform som förmedlar frågor och svar mellan myndigheter (brottsbekämpande myndigheter, och ) och institut med hjälp av elektroniska gränssnitt, såsom API- lösningar. Uppgifterna kommer att förmedlas mellan myndigheter och institut utan att det sker någon central lagring av uppgifterna hos den systemansvariga myndigheten. ska vara system- och personuppgiftsansvarig myndighet och föra loggar över sökningar i systemet. Den nya verksamheten kommer att vara organisatoriskt åtskild från den del av – beskattningsverksamheten – som ska få tillgång till uppgifter i systemet. Mot den bakgrunden kommer nya verksamhet som systemansvarig myndighet för konto- och värdefackssystemet att endast utgöra ett led i en teknisk bearbetning eller teknisk lagring för någon annans räkning, dvs. de myndigheter som ska få tillgång till uppgifter i systemet. ska i egenskap av personuppgiftsansvarig myndighet se till att det i systemet förs loggar över de personuppgifter som behandlas. Loggarna upprättas med automatik i systemet och saknar användningsområde utanför den tekniska förvaltningen av systemet. Det innebär att loggarna är en osjälvständig del av den tekniska förvaltningen av systemet. Regeringen bedömer därför att loggarna inte medför att verksamheten utgör något annat än ett ”led i en teknisk bearbetning eller teknisk lagring för någon annans räkning”. Med den utgångspunkten kommer de loggar över sökningar som med automatik upprättas i konto- och värdefackssystemet inte att utgöra allmänna handlingar och för befattningshavare i verksamhet som system- och personuppgiftsansvarig myndighet gäller tystnadsplikt.