prop · H703166 · 2020-05-14 00:00:00 — 2 kap. 3 § 1–5, 7, 8, 10 och 11 lagen om behandling av uppgifter i Prop. 2019/20:166 beskattningsverksamhet ska lämnas ut från beskattnings- databasen på begäran av skattebrottsenheten. Uppgifter som kan lämnas ut med stöd av denna bestämmelse avser bl.a. en fysisk persons identitet, medborgarskap, bosättning och familjeförhållanden, en juridisk persons identitet, säte, ägarförhållanden samt firmatecknare och andra företrädare, samt uppgifter om registrering för och underlag för fastställande av skatter och avgifter. Skattebrottsenheten har även direktåtkomst till vissa uppgifter i beskattningsdatabasen. Bestämmelsen finns i 2 kap. 7 § lagen om behandling av uppgifter i beskattningsverksamhet. Bestämmelser om direktåtkomst bryter inte i sig sekretess. I 5 b § andra stycket förordningen om behandling av uppgifter i beskattningsverksamhet finns en bestämmelse om uppgiftsskyldighet som anger att skattebrottsenheten har rätt att ta del av sådana uppgifter om enskilda som avses i 2 kap. 3 § 1–5, 7, 10 och 11 lagen om behandling av uppgifter i beskattningsverksamhet vid direktåtkomst till beskattningsdatabasen enligt 2 kap. 7 § samma lag. 7.3.4När sekretessbrytande regler inte får tillämpas De sekretessbrytande bestämmelserna i 10 kap. 15–27 §§ och 28 § första stycket OSL får inte tillämpas i vissa situationer. Så är fallet om sekretess gäller enligt 15 kap. 1 a § OSL. Enligt bestämmelsen gäller sekretess för uppgift som en myndighet har fått från ett utländskt organ på grund av en bindande EU-rättsakt eller ett av EU ingånget eller av godkänt avtal med en annan stat eller med en mellanfolklig organisation, om det kan antas att möjlighet att delta i det internationella samarbete som avses i rättsakten eller avtalet försämras om uppgiften röjs. Motsvarande sekretess gäller för uppgift som en myndighet har inhämtat i syfte att överlämna den till ett utländskt organ i enlighet med en sådan rättsakt eller ett sådant avtal. De sekretessbrytande reglerna enligt ovan får inte heller tillämpas i fråga om uppgifter om en enskilds personliga eller ekonomiska förhållanden som beskattningsverksamheten med stöd av ett skatteavtal som godkänts av har tagit emot från en annan stat, om det skulle strida mot bestämmelser i det aktuella avtalet om hur uppgifter som lämnats med stöd av avtalet får användas (27 kap. 5 § tredje stycket OSL). 7.4.1EU:s dataskyddsförordning och dataskyddsdirektiv EU:s genomförda dataskyddsreform omfattar dels och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här 2019/20:166 kallad EU:s dataskyddsförordning, dels och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF, här kallat dataskyddsdirektiv. Dataskyddsförordningen utgör fr.o.m. den generella regleringen av personuppgiftsbehandling inom EU. Förordningen är i alla delar bindande och direkt tillämplig i samtliga EU:s medlemsländer, men tillåter och förutsätter ibland att medlemsstaterna kompletterar förordningen med nationell lagstiftning. Dataskyddsdirektivet innehåller bestämmelser om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Syftet med direktivet är att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter, samt att säkerställa att det utbyte av personuppgifter som krävs inom unionen mellan behöriga myndigheter varken begränsas eller förbjuds av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter. På många områden överensstämmer regleringen i dataskyddsdirektivet med motsvarande reglering i dataskyddsförordningen. Av artikel 2.2.d i dataskyddsförordningen jämförd med artikel 1.1 i dataskyddsdirektivet framgår att förordningen inte gäller för sådan personuppgiftsbehandling som omfattas av direktivets tillämpningsområde. Viss behandling av personuppgifter undantas från både dataskyddsdirektivets och dataskyddsförordningens tillämpningsområde. Av intresse är främst personuppgiftsbehandling i verksamhet som inte omfattas av unionsrätten (artikel 2 i respektive rättsakt). Som en följd av att dataskyddsförordningen är direkt tillämplig upphävdes personuppgiftslagen (1998:204) . (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning, här kallad dataskyddslagen, i kraft. Dataskyddslagen innehåller kompletterande bestämmelser till dataskyddsförordningen av generell karaktär och reglerar bl.a. frågor om rättslig grund för behandling av personuppgifter, känsliga personuppgifter, begränsningar av vissa rättigheter och skyldigheter, administrativa sanktionsavgifter samt skadestånd och överklagande. utvidgar dessutom tillämpningen av bestämmelserna i dataskydds- förordningen till att, med vissa undantag, gälla även vid personuppgifts- behandling i verksamhet som inte omfattas av unionsrätten. Dataskyddslagen är subsidiär till annan lag eller förordning, vilket möjliggör avvikande bestämmelser i registerförfattningar. på sådana registerförfattningar som kompletterar såväl EU:s dataskyddsförordning som dataskyddslagen och som gäller i olika verksamheter är lagen (2001:181) om behandling av uppgifter i Prop. 2019/20:166 beskattningsverksamhet, lagen (2001:182) om behandling av personuppgifter i folkbokföringsverksamhet och lagen (2015:899) om identitetskort för folkbokförda i . Dataskyddsdirektivet har i huvudsak genomförts genom en ny ramlag, brottsdatalagen (2018:1177), som innehåller bestämmelser om hantering av personuppgifter inom direktivets tillämpningsområde. I brottsdatalagen, som trädde i kraft , finns bl.a. bestämmelser om rättslig grund, ändamål för behandling av personuppgifter, känsliga personuppgifter, längsta tid som personuppgifter får behandlas, personuppgiftsansvarigas skyldigheter, enskildas rättigheter, administrativa sanktionsavgifter samt skadestånd och överklagande. Även brottsdatalagen är subsidiär till annan författning. trädde de nya registerförfattningarna för myndigheterna i rättskedjan i kraft. Som exempel kan nämnas att för del gäller nu lagen (2018:1696) om behandling av personuppgifter inom brottsdatalagens område, här kallad brottsdatalag. Den och andra myndigheters registerlagar på brottsdatalagens område gäller utöver brottsdatalagen och innehåller enbart bestämmelser som innebär preciseringar, undantag eller avvikelser från den lagen. olika verksamheter omfattas av dels det generella regelverket om dataskydd, dels kompletterande bestämmelser om personuppgiftsbehandling som finns i flera olika registerlagar, bl.a. lagar som gäller vid behandling av uppgifter i den brottsbekämpande verksamheten, beskattningsverksamheten, folkbokföringsverksamheten och id-korts- verksamheten. I den brottsbekämpande verksamheten gäller brottsdatalagen. gäller i denna verksamhet brottsdatalag. Enligt 1 kap. 1 § gäller den lagen utöver brottsdatalagen när i egenskap av behörig myndighet behandlar personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda brott. I 2 kap. 1 § brottsdatalag anges de tillåtna rättsliga grunderna för personuppgiftsbehandling enligt lagen. framgår att får behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna förebygga, förhindra eller upptäcka brottslig verksamhet, utreda brott eller fullgöra förpliktelser som följer av internationella åtaganden. Innan personuppgifter som behandlar med stöd av brottsdatalagen behandlas för ett nytt ändamål utanför brottsdatalagens tillämpningsområde ska det bl.a. säkerställas att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. Detta krav gäller exempelvis vid behandling i den brottsbekämpande verksamheten för att lämna ut uppgifter till beskattningsverksamheten. Om det finns en författningsreglerad uppgiftsskyldighet krävs det dock inte någon sådan prövning (2 kap. 22 § brottsdatalagen). Vid behandling för att lämna ut uppgifter till verksamheter utanför brottsdatalagens tillämpningsområde tillkommer en prövning av att behandlingen av personuppgifter för det nya ändamålet är tillåten enligt EU:s dataskyddsförordning, se propositionen Brottsdatalag (prop. 2017/18:232 s. 451). Det ska alltså finnas en rättslig grund för denna behandling enligt artikel 6 i dataskyddsförordningen. Vid behandling av personuppgifter i beskattningsverksamhet gäller lagen om behandling av uppgifter i beskattningsverksamhet som innehåller bestämmelser som kompletterar dataskyddsförordningen. Förutom vid behandling av personuppgifter om enskilda personer gäller vissa bestämmelser i lagen även vid behandling av uppgifter om juridiska personer (se 1 kap. 1 § andra stycket). I 1 kap. 4 § anges för vilka primära ändamål uppgifter får behandlas. I stort sett hela beskattningsverksamheten inom beskattningsområdet omfattas av beskrivningen av de primära ändamålen. I 1 kap. 5 § finns bestämmelser om s.k. sekundära ändamål. De sekundära ändamålen reglerar i vilken utsträckning personuppgifter, som myndigheten samlat in för ett primärt ändamål, får behandlas för att lämnas ut till annan verksamhet inom den egna myndigheten, till enskilda eller till andra myndigheter för att tillgodose deras behov. Uppgifter som behandlas enligt 4 § får enligt bestämmelsen i 5 § även behandlas bl.a. för att tillhandahålla information som behövs i brottsbekämpande verksamhet och för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Enligt 2 kap. 1 § ska det i beskattningsverksamheten finnas en samling uppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten för de i 1 kap. 4 och 5 §§ angivna ändamålen (beskattningsdatabasen). Av 2 kap. 2 § framgår vidare att i beskattningsdatabasen får uppgifter behandlas om personer som omfattas av verksamhet enligt 1 kap. 4 § 1–9. Uppgifter om andra personer får behandlas om det behövs för handläggningen av ett ärende. I 2 kap. 3 § och i förordningen om behandling av uppgifter i beskattningsverksamhet finns bestämmelser om vilka uppgifter som får behandlas i beskattningsdatabasen. Den personuppgiftsbehandling som sker när en brottsanmälan görs eller när andra uppgifter lämnas av t.ex. beskattningsverksamheten omfattas inte av brottsdatalagen eller brottsdatalag. Detta eftersom i ett sådant fall inte agerar i egenskap av behörig myndighet enligt brottsdatalagen vid den aktuella behandlingen av personuppgifter, (jfr prop. 2017/18:232 s. 100). Vid sådan behandling är EU:s dataskyddsförordning tillämplig. Den behandling av uppgifterna som sedan sker i den brottsbekämpande verksamheten omfattas däremot av brottsdatalagen och brottsdatalag. I artikel 10 i EU:s dataskyddsförordning finns en bestämmelse om Prop. 2019/20:166 behandling av personuppgifter som rör bl.a. lagöverträdelser som Av propositionen Ny dataskyddslag kan utläsas att det är oklart om brottsmisstankar omfattas av begreppet lagöverträdelser som innefattar brott. Även om så skulle vara fallet framgår det av samma förarbeten att regeringen anser att artikeln bör innebära att det är tillåtet att behandla personuppgifter som rör lagöverträdelser om den personuppgiftsansvarige är en myndighet (se prop. 2017/18:105 s. 98–99). I 3 kap. 8 § första stycket dataskyddslagen anges uttryckligen att personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning får behandlas av myndigheter. För vissa av verksamheter finns det bestämmelser i registerförfattningarna som utgör en begränsning i förhållande till dataskyddsförordningens och dataskyddslagens bestämmelser om möjligheten att behandla personuppgifter om lagöverträdelser. Så är exempelvis fallet för beskattningsverksamheten. Av 1 kap. 7 § första stycket lagen om behandling av uppgifter i beskattningsverksamhet framgår att uppgifter om bl.a. lagöverträdelser som innefattar brott får behandlas endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Det finns även en bestämmelse i 2 kap. 4 § samma lag som anger i vilka fall elektroniska handlingar får behandlas i beskattningsdatabasen och innehålla uppgifter som avses i 1 kap. 7 §. Det finns vidare ett sökförbud i 2 kap. 10 § andra stycket som innebär att vid sökning efter en elektronisk handling får som sökbegrepp inte användas uppgifter som avses i 1 kap. 7 §. Bestämmelserna i 1 kap. 7 § och 2 kap. 4 och 10 §§ gäller även vid behandling av sådana känsliga personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning. Det avser exempelvis personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter eller religiös övertygelse samt uppgifter om hälsa. I folkbokföringsverksamhet gäller lagen om behandling av personuppgifter i folkbokföringsverksamhet som innehåller bestämmelser som kompletterar dataskyddsförordningen. I 1 kap. 4 § anges för vilka ändamål uppgifter får behandlas. Av andra stycket framgår att uppgifter får behandlas för att bl.a. fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Enligt 2 kap. 1 § ska det i folkbokföringsverksamheten finnas en samling personuppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten för de i 1 kap. 4 § angivna ändamålen (folkbokföringsdatabasen). Av 2 kap. 2 § framgår vilken personkrets som det får finnas uppgifter om i databasen. I 2 kap. 3 § och i förordningen (2001:589) om behandling av uppgifter i folkbokföringsverksamhet finns bestämmelser om vilka uppgifter som får behandlas i folkbokföringsdatabasen. Lagen innehåller liknande bestämmelser som lagen om behandling av uppgifter i beskattningsverksamhet när det gäller behandling av personuppgifter om lagöverträdelser och känsliga personuppgifter, se 1 kap. 6 §, 2 kap. 5 § och 2 kap. 11 §. 2019/20:166 Id-kortsverksamheten I lagen om identitetskort för folkbokförda i och den tillhörande förordningen (2015:904) finns bestämmelser om en databas som innehåller personuppgifter och som ska föras i verksamhet för utfärdande av identitetskort för folkbokförda i , dvs. Lagen innehåller bestämmelser som kompletterar dataskyddsförordningen. I 12 § regleras för vilka ändamål personuppgifter får behandlas i den s.k. id-kortsdatabasen enligt lagen. Av första stycket framgår att personuppgifter får behandlas i den nämnda databasen om det behövs i id-kortsverksamhet. Personuppgifter som redan behandlas för ett sådant ändamål får enligt andra stycket också behandlas bl.a. om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. I 13 § regleras när sådana känsliga personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning får behandlas i id-kortsdatabasen. Sådana uppgifter får behandlas i en handling som har lämnats i ett ärende. Sådana uppgifter får även behandlas i en handling som har upprättats i ett ärende, om de är nödvändiga för ärendets handläggning. Av 17 § andra stycket framgår att bl.a. uppgifter om lagöverträdelser som innefattar brott och känsliga personuppgifter inte får användas som sökbegrepp. I övrigt innehåller lagen inga bestämmelser som innebär en begränsning av möjlighet att behandla uppgifter om lagöverträdelser. 7.5Ett effektivare informationsutbyte inom 7.5.1Det behöver bli enklare att utbyta uppgifter mellan den brottsbekämpande verksamheten och andra verksamheter inom Regeringens bedömning: Det behöver bli enklare att utbyta uppgifter mellan den brottsbekämpande verksamheten och andra verksamheter inom . Regeringens förslag: Det införs en möjlighet för den brottsbekämpande verksamheten och andra verksamheter inom att lämna ut uppgifter även om ett utlämnande annars skulle hindras på grund av sekretess. Informationsutbytespromemorians bedömning och förslag överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanserna tillstyrker eller är positiva till bedömningen och förslaget eller har inte några synpunkter på dem. Bland dessa finns Kammarrätten i , Förvaltningsrätten i , , , , , och . Förvaltningsrätten i anser att förslaget innefattar en avvägning mellan effektivitetshänsyn och skydd för personlig integritet som framstår som rimlig. framför att sekretessbrytande regler kan möjliggöra ett effektivare brottsutredande arbete på skattebrottsenheten. Kriminalvården anser det vara angeläget att verka för en effektiv bekämpning av den organiserade brottsligheten och välkomnar därför förslaget. finner att förslaget kan medföra förbättrade möjligheter till samverkan mellan de brottsbekämpande myndigheterna. ombudsmän (), och Företagarna avstyrker förslaget. och Datainspektionen kan inte tillstyrka förslaget. anser att förslaget inte kan ligga till grund för lagstiftning. Även Justitiekanslern () och är kritiskt inställda till förslaget. Flera remissinstanser, bl.a. JO och , anser att det krävs en djupare analys av å ena sidan intresset av effektivitet i verksamheter och å andra sidan skyddet för den personliga integriteten och hur avvägningen mellan dessa intressen görs. JK framför liknande synpunkter. framför att förslaget innehåller avsevärda brister i fråga om skyddet för den personliga integriteten och att oskuldspresumtionen enligt artikel 6.2 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, här kallad , inte får tillräckligt genomslag i förslaget. Detta särskilt som förslaget syftar till att underlätta informationsspridning från brottsbekämpande verksamhet till myndighetens övriga verksamheter. framhåller även att en enskild, som är misstänkt i en straffprocess, har en i skyddad rätt att vara fullständigt passiv (rätten att tiga). och Företagarna framför synpunkter av liknande slag. Datainspektionen ställer sig kritisk till vad överföringen av uppgifter från beskattningsverksamheten till skattebrottsenheten innebär för den enskildes rätt enligt artikel 6.2 i att avstå från att lämna belastande uppgifter eller ange sig själv vid en brottsutredning, s.k. self-incrimination. JO och framhåller att förslaget är av den karaktären att det påverkar skiljelinjen mellan den brottsbekämpande verksamheten och övriga verksamheter. Företagarna finner att informationsutbytespromemorian är behäftad med sådana brister, vad avser bl.a. beredningsprocessen och konsekvensanalys, att den inte kan ligga till grund för lagstiftning. påpekar att är den enda organisationen med företagsmedlemmar bland remissinstanserna, och menar att förslaget måste underkastas ett ordentligt remissförfarande innan regeringen går vidare med ärendet. framför liknande synpunkter. Propositionsutkastets bedömning och förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen har förståelse för att det kan finnas ett behov av att lämna sekretessbelagda uppgifter vidare inom utifrån angelägna samhällsintressen men är kritisk till att införa ett sekretessgenombrott på det sätt som föreslås och kan därför inte tillstyrka förslaget. Inspektionen anser att underlaget i ärendet inte ger stöd för att ändamålet och nyttan med förslaget är proportionerligt i förhållande till det integritetsintrång som utbytet riskerar att innebära. Inspektionen konstaterar att det uppgiftsutbyte som omfattas av förslaget redan sker i viss omfattning med stöd av generalklausulen och att den reglering som föreslås skulle möjliggöra ett rutinmässigt utbyte. 2019/20:166 kan integritetsintrånget komma att öka väsentligt varför förslaget framstår som långtgående. JO vidhåller sitt avstyrkande (se ovan) och anser att det fortfarande saknas analys av vilka effekterna blir i integritetshänseende. JO anser vidare att den korta remisstiden och det begränsade antalet remissinstanser vid remitteringen av utkastet till proposition ger upphov till betänkligheter om huruvida regeringsformens krav på beredning kan anses uppfyllt. JK, som har förståelse för att behöver kunna lämna ut sekretessbelagda uppgifter i de syften som angetts, anser att det i utkastet till proposition lämnas en tydligare bild av förslagen och hur de kan komma till användning men anser att dessa skäl inte är tillräckligt övertygande, särskilt ställt i relation till den påverkan förslagen kan få för skyddet för den personliga integriteten. , som inte kan ställa sig bakom förslaget, hänvisar till sitt tidigare yttrande och anser att den rådande ordningen där utlämnanden prövas enligt generalklausulen i 10 kap. 27 § OSL även fortsatt bör gälla. Skälen för regeringens förslag och bedömning Att bekämpa brottslighet och att uppgifter i verksamhet är korrekta är angelägna samhällsintressen uppgift är bl.a. att fastställa och ta ut skatter och avgifter så att en riktig uppbörd kan säkerställas. Myndigheten ska vidare bl.a. bidra till ett väl fungerande samhälle för allmänhet och företag samt inom sitt ansvarsområde förebygga och motverka ekonomisk brottslighet. Ekonomisk brottslighet riktad mot skattesystemet utgör ett hinder för att fullgöra uppgiften att fastställa och ta ut rätt skatt. inom andra verksamheter som ansvarar för, såsom folkbokföring och id-kort, kan möjligheter att fullgöra dessa uppgifter störas av brottslig verksamhet genom att felaktiga uppgifter registreras i databaserna. En enda falsk identitet kan vidare användas för att öppna många bankkonton, vilka i sin tur kan användas för bl.a. bedrägerier, välfärdsbrott, penningtvätt och finansiering av terrorbrott. är således inte enbart av stor vikt för genomförandet av uppgifter att sådan brottslighet motverkas. Regeringen konstaterar att detta är av stor vikt även ur ett samhällsperspektiv. Att rätt personer får det stöd de är berättigade till är en förutsättning för tilliten till välfärdssystemen. Stöd ska lämnas till dem det är avsett för och inte till oseriösa aktörer eller bidrar i flera fall med information som ligger till grund för andra myndigheters beslut om bidrag och utbetalningar, t.ex. uppgifter från folkbokföringen. Felaktiga eller falska uppgifter i folkbokföringen kan inte bara användas av aktörer för att möjliggöra felaktiga utbetalningar från välfärdssystemen och skatteundandragande utan även för att möjliggöra bedrägerier och annan ekonomisk brottslighet. Det finns därför skäl att se över om har tillräckliga verktyg för att motverka och bekämpa sådan brottslighet. En central uppgift för är som nämnts att fastställa och ta ut Det är naturligtvis ett angeläget samhällsintresse att kan fullgöra denna uppgift genom att fatta korrekta beslut i beskattningsverksamheten och därigenom bl.a. bekämpa skattefusk och skatteundandraganden, jfr ekonomiska vårproposition (prop. 2014/15:100 s. 105) och propositionen Uppgifter på individnivå i arbetsgivardeklarationen (prop. 2016/17:58 s. 29). I propositionen Skattebrottsdatalag uttalar regeringen att administrativa åtgärder mot kriminella inom t.ex. beskattningsverksamheten kan vara ett led i att försvåra den brottsliga verksamheten (prop. 2016/17:89 s. 76). Det är vidare av stor vikt ur ett samhällsperspektiv att folkbokföringsverksamheten kan fullgöra sin uppgift att se till att uppgifterna i folkbokföringen speglar befolkningens bosättning, identitet och familjerättsliga förhållanden så att olika samhällsfunktioner får ett korrekt underlag för beslut och åtgärder. Utredningen om organiserad och systematisk ekonomisk brottslighet mot välfärden har identifierat riskfaktorer i de mest utsatta systemens regelverk, organisation, rutiner och faktiska tillämpning samt föreslagit åtgärder som stärker möjligheterna att förebygga och förhindra organiserad och systematisk ekonomisk brottslighet mot välfärden.