sou · H8B374 · 2020-12-15 00:00:00 — Utredningens bedömning: Meddelarfrihet kommer att gälla för dem som bistår Eppo i myndighetens operativa verksamhet. Skälen för utredningens bedömning: I svensk rätt ges, som fram- gått i avsnitt 15.2.2, i vissa fall möjlighet för enskilda att straffritt lämna ut uppgifter till media trots att uppgifterna omfattas av sekre- tess. Det regleras genom den s.k. meddelandefriheten. Såvitt utred- ningen kan bedöma förutsätter Eppo-förordningen inte att andra regler måste gälla för Eppos brottsutredningar, jämfört med vad som gäller för svenska förundersökningar. Det anges i artikel 108.2 och 108.5att personer som medverkar eller bistår vid utförandet av Eppos uppgifter ska vara bundna av, respektive iaktta, den sekretess och tystnadsplikt som föreskrivs i nationell lagstiftning. Meddelarfriheten är en grundlagsskyddad rättighet i . Den får begränsas endast på det sätt som framgår i TF. Det finns inte, ens med beaktande av den lojalitetsplikt som ska gälla i relationen mellan Eppo och medlemsstaterna, skäl att behandla frågan om meddelar- frihet för uppgifter i Eppos brottsutredningar på annat sätt än i mot- svarande svenska utredningar. Det som meddelarfriheten omfattar bör således, såvitt avser dem som bistår Eppo i myndighetens Offentlighet, sekretess och tillgång tili information operativa verksamhet, gälla även om ansluter sig till det fördjupade samarbetet. Det bör dock påpekas att efterforskningsförbudet som gäller för svenska förhållanden inte kommer att gälla för Eppo, eftersom TF och YGL inte är tillämpliga för myndigheten. Dessutom kan det tän- kas uppstå konflikter mellan de svenska reglerna om meddelarfrihet och de regler som Eppo internt ska besluta om enligt artikel 111, se avsnitt 15.4.2. Eftersom det regelverket inte är känt för utredningen bör slutsatsen om att meddelarfriheten kommer att gälla bevakas i den fortsatta beredningen. 15.8.1De europeiska delegerade åklagarnas dubbla roller En speciell situation är när de svenska europeiska delegerade åkla- garna får tillgång till information från svenska myndigheter. De svenska europeiska delegerade åklagarna föreslås vara placerade vid och anställda som svenska åklagare, se av- snitt 8.4.2. När de i sin roll som europeiska delegerade åklagare tar emot, upprättar eller expedierar handlingar gör de emellertid det som anställda av Eppo och för den myndighetens räkning. Då kom- mer Eppo-förordningen att vara tillämplig och handlingarna kom- mer således inte att bli allmänna handlingar där i enlighet med det som sagts. När de åklagarna tar emot, upprättar eller expedierar handlingar i egenskap av svenska åklagare, kommer handlingarna däremot som regel att vara allmänna handlingar. Det är mot den bak- grunden inte svårt att se framför sig att det kan uppstå gränsdrag- ningsproblem. Som nämnts i avsnitt 15.2.2 finns en särskild bestämmelse i 2 kap 8 § TF som delvis adresserar frågan om dubbla roller. Bestämmelsen innebär att en handling som är ställd till en tjänsteman i annan egen- skap än hans eller hennes anställning vid myndigheten inte blir en allmän handling annat än om handlingen gäller ett ärende eller någon annan fråga som ska handläggas av myndigheten. Paragrafen torde bli tillämplig när handlingar ställs till en svensk europeisk delegerad åklagare i den rollen, men skickas till den svenska myndighet där åklagaren är anställd. Det bör gälla trots att bestämmelsen, som bru- kar kallas för politikerundantaget, har kommit till för att handlingar Offentlighet, sekretess och tillgång tili information som myndighetsanställda, som har uppdrag t.ex. som fackligt för- troendevalda eller partifunktionärer, får i den egenskapen inte ska bli offentliga. Det finns dessutom exempel i rättspraxis där bestämmelsen inte uttryckligen tillämpats men där handlingar ändå inte har ansetts vara allmänna handlingar vid myndigheten när de skickats till en tjänste- man inom ramen för ett sidouppdrag. Se t.ex. Kammarrättens i dom , mål 6115-13, där handlingar som hade skickats till en expert i en statlig kommitté, i den egenska- pen, inte ansågs vara inkomna till myndigheten som experten arbe- tade hos och därmed inte heller vara allmänna handlingar hos den myndigheten. Motsvarande synsätt torde alltså kunna tillämpas när handlingar, som är ställda till de svenska europeiska delegerade åklagarna i den egenskapen, kommer in till den svenska åklagarmyndighet där de är anställda. Sådana handlingar bör då inte anses vara inkomna eller upprättade hos den myndigheten. De kommer därmed inte heller bli allmänna handlingar där. 15.8.2Hanteringen av handlingar hos Eppo Det kan uppstå en rad praktiska frågor kring hanteringen av hand- lingar när Eppos verksamhet i har kommit igång. Det gäller trots att hanteringen i huvudsak ska vara digital. För att på enklaste sätt motverka problem som hör samman med hanteringen av hand- lingar är det enligt utredningens mening viktigt att Eppos utrymmen är väl avgränsade och att det görs en tydlig åtskillnad mellan Eppos och verksamhet. Det gäller såväl digitala som fysiska utrymmen. Sådan åtskillnad är viktig även för att uppfylla bestämmelserna om immunitet som gäller för Eppos verksamhet. Unionens lokaler och byggnader ska enligt protokoll (nr 7) om Europeiska unionens immunitet och privilegier vara okränkbara. De får inte genomsökas, beslagtas, konfiskeras eller exproprieras. Dessutom får unionens egendom och tillgångar inte utan tillstånd från bli fö- remål för några administrativa eller rättsliga åtgärder. Vidare kräver protokollet att unionens arkiv ska vara okränkbara. Offentlighet, sekretess och tillgång tili information De nu anförda omständigheterna talar med styrka för att arrange- manget kring de europeiska delegerade åklagarnas arbetsplatser be- höver övervägas noggrant. Frågorna är emellertid av sådan praktisk natur att det är lämpligare att de löses i samråd mellan och Eppo än diskuteras i denna utredning. Utredningen återkommer i avsnitt 19.3.2 till hur ett sådant samråd skulle kunna gå till och vem som bör ansvara för det. Det finns omfattande bestämmelser om dataskydd och behandling av personuppgifter i förordningen. Behandlingen av personuppgifter ska stå under tillsyn av Europeiska datatillsynsmannen, som också ska ha ett nära samarbete med nationella tillsynsmyndigheter. Utredaren ska analysera behovet av anpassningar av svensk rätt till förordningens bestämmelser, lämna nödvändiga författningsför- slag och lämna förslag till andra åtgärder som bedöms vara nödvän- diga. I uppdraget ingår att beakta relevant arbete som pågår i EU. 16.2Dataskyddet vid informationsutbyte med Eppo Allmänt om regleringen av dataskydd Bestämmelserna om dataskydd finns i artikel 47–89 i Eppo-förord- ningen. Förordningen utarbetades parallellt med EU:s dataskydds- paket, som bestod av dels en förordning, dels ett direktiv. Europa- parlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), i fortsättningen dataskyddsförordningen, gäller för personuppgifts- behandling i allmänhet. För EU:s myndigheter och andra organ gäl- ler dock – i stället för dataskyddsförordningen – Europaparlamen- tets och rådets förordning (EU) 2018/1725 av om skydd för fysiska personer med avseende på behandling av per- sonuppgifter som utförs av unionens institutioner, organ och byråer och det fria flödet av sådana uppgifter samt om upphävande av för- ordning (EG) nr 45/2001 och beslut nr 1247/2002/EG. Dataskyddsförordningen ska vidare enligt artikel 2.2 inte tilläm- pas på sådan behandling av personuppgifter som behöriga myndig- heter utför i syfte att förebygga, förhindra, utreda, avslöja eller lag- föra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. För all sådan personuppgiftsbehandling gäller i stället och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behö- riga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straff- rättsliga påföljder och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF, det s.k. dataskydds- direktivet. Det direktivet har genomförts i svensk rätt, framför allt genom bestämmelser i brottsdatalagen (2018:1177) och brottsdata- förordningen (2018:1202). Brottsdatalagen gäller emellertid inte om avvikande bestämmelser har meddelats i någon annan författning. Sådana bestämmelser finns framför allt i polisens brottsdatalag, la- gen (2018:1694) om behandling av personuppgifter inom brottsdatalagens område (i fortsättningen brotts- datalag), lagen (2018:1695) om behandling av personuppgifter inom brottsdatalagens område (i fortsättningen brottsdatalag), lagen (2018:1696) om Skattever- kets behandling av personuppgifter inom brottsdatalagens område (i fortsättningen brottsdatalag) och lagen (2018:1697) om åklagarväsendets behandling av personuppgifter inom brottsda- talagens område (i fortsättningen åklagarväsendets brottsdatalag). Regleringen i Eppo-förordningen efterliknar dataskyddsdirektivet Artiklarna om dataskydd i Eppo-förordningen har i mycket stor ut- sträckning motsvarigheter i dataskyddsdirektivet. Det gäller beträf- fande ungefär tre fjärdedelar av artiklarna. Eppo har då motsvarande skyldigheter som en behörig myndighet i någon av medlemsstaterna. Det ska ses mot bakgrund av att flertalet artiklar om dataskydd i Eppo-förordningen behandlar frågor om dataskydd i Eppos opera- tiva verksamhet, som består i brottsutredning och lagföring. Regleringen i Eppo-förordningen har emellertid anpassats till att Eppo är en . Det innebär bl.a. att personuppgiftsbe- handlingen står under Europeiska datatillsynsmannens tillsyn och att förordning (EU) 2018/1725 gäller i stället för dataskyddsförord- ningen vid behandling av administrativa personuppgifter. Utred- ningen behandlar tillsynen i avsnitt 17.2.6. Eppo-förordningen innehåller alltså artiklar som i allt väsentligt skapar samma dataskydd som dataskyddsdirektivet. Här kan t.ex. nämnas de grundläggande bestämmelserna om vilka personuppgifter som får behandlas, vilka grundläggande krav som ställs på behand- lingen och hur det garanteras att personuppgifterna inte behandlas längre än vad som behövs (artiklarna 47, 49–53 och 55). Samma reg- lering gäller för automatiserat beslutsfattande (artikel 56) och för enskildas rätt till information (artiklarna 57–62). Vidare åläggs Eppo motsvarande skyldigheter i egenskap av personuppgiftsansvarig som gäller enligt dataskyddsdirektivet (artiklarna 63–69 och 71–75). Be- stämmelserna om överföring av personuppgifter till tredjeländer och till andra mottagare än myndigheter (artiklarna 80–84) motsvarar också i stort sett regleringen i dataskyddsdirektivet. I skäl 93 framhålls att bestämmelserna om skydd av personupp- gifter i Eppo-förordningen bör tolkas och tillämpas i enlighet med tolkningen och tillämpningen av dataskyddsdirektivet. Det innebär att svenska åklagare är väl förtrogna med hur regleringen av data- skyddet i Eppos operativa verksamhet ska tolkas och tillämpas. Enligt artikel 1.2 b i dataskyddsdirektivet ska det säkerställas att behöriga myndigheters utbyte av personuppgifter inom unionen, när sådant utbyte krävs enligt unionsrätten eller nationell rätt, varken begränsas eller förbjuds av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter. Artikeln i fråga ger uttryck för de dubbla syftena med dataskyddsdirektivet, nämli- gen att både värna enskildas rätt till skydd av personuppgifter och tillgodose brottsbekämpande myndigheters behov av att kunna ut- byta information. Vissa artiklar om dataskydd är enbart av intern natur Av de drygt tio artiklar som saknar motsvarighet i dataskyddsdirek- tivet avser en (artikel 48) dataskydd rörande Eppos administrativa uppgifter, vilket saknar intresse här. Sex artiklar behandlar Europe- iska datatillsynsmannens roll och verksamhet och Eppos samarbete med denne (artiklarna 70 och 85–89), vilket också ligger utanför de frågor som utredningen behandlar. Några artiklar behandlar frågor som enbart rör Eppos interna verksamhet (artiklarna 76 och 78 samt större delen av artiklarna 77 och 79). De rör framför allt frågor om dataskyddsombud, hur dataskyddsombudet ska utses och hur om- budets verksamhet ska bedrivas. Kravet på att det ska finnas data- skyddsombud och vilken roll dataskyddsombudet ska ha motsvarar det som gäller enligt dataskyddsdirektivet. Artikel 54 avser överfö- ring av personuppgifter mellan Eppo och andra EU-organ. De nu nämnda artiklarna kommer inte att behandlas vidare. 16.2.2Bara ett fåtal bestämmelser kräver åtgärder Det är bara någon enstaka av bestämmelserna om dataskydd i Eppo- förordningen som kräver lagstiftningsåtgärder eller andra åtgärder. Innan utredningen redovisar övervägandena om det är det viktigt att belysa några grundläggande frågor som informationsutbytet avse- ende personuppgifter mellan å ena sidan svenska åklagare eller andra brottsbekämpande myndigheter och å andra sidan Eppo väcker. Det grundläggande vid informationsutbyte mellan svenska myndigheter och Eppo är att Eppo är en . I Brottsdatalag, prop. 2017/18:232, s. 364 f. diskuterade regering- en dataskyddet vid informationsöverföring till och från EU-organ. Regeringen konstaterade där bl.a. följande. Dataskyddsdirektivet reglerar bara överföringar av personuppgifter från medlemsstater till tredjeland och internationella organisationer. EU:s institutioner och organ, exempelvis Europol och Eurojust, och EU-informationssys- tem, som Schengens informationssystem (i fortsättningen SIS II) och tullinformationssystemet (i fortsättningen TIS), faller inte in under någon av dessa kategorier. I motsats till regleringen i det tidi- gare rambeslutet, som även reglerade överföring av personuppgifter till EU-organ eller EU-informationssystem, saknas det en sådan reg- lering i dataskyddsdirektivet. I artikel 2.3 b klargörs att direktivet inte tillämpas på personuppgiftsbehandling som utförs av unionens institutioner, organ och byråer. Personuppgiftsbehandlingen inom EU:s institutioner och organ styrs i stället av och rådets förordning (EG) nr 45/2001. Regeringen hänvisade till att det finns flera rättsakter om bl.a. polisiärt och straffrättsligt samarbete som innehåller särskilda be- stämmelser om skydd av personuppgifter som överförs eller på nå- got annat sätt behandlas i enlighet med rättsakterna. I några fall ut- gör dessa bestämmelser en komplett och enhetlig uppsättning regler som omfattar alla relevanta aspekter av dataskydd och som är mer detaljerade än direktivet. Regeringen delade utredningens uppfatt- ning att reglerad uppgiftsskyldighet eller andra åtaganden och möj- lighet att utbyta information med eller genom EU:s in- formationssystem som förekommer i andra rättsakter borde gälla framför dataskyddsdirektivet. Det innebar att personuppgifter även i fortsättningen kan överföras till t.ex. SIS II och TIS i samma ut- sträckning som . Regeringen förutsatte också att om det inte fanns rättsakter skulle kommissionen på annat sätt komma att reg- lera informationsflödet och skyddet för personuppgifter till unio- nens institutioner, organ, byråer och informationssystem. Utredningen tolkar regeringens uttalanden på det sättet att förutsätts ha en adekvat nivå på skyddet av personuppgifter. Eppo-förordningen har på motsvarande sätt som vissa andra rätts- akter en komplett och enhetlig uppsättning av dataskyddsregler. De är dessutom särskilt utformade för att motsvara det skydd som data- skyddsdirektivet garanterar. Eppos dataskyddsregler gäller dock framför allt för den interna verksamheten i Eppo och för informa- tionsutbytet mellan europeiska delegerade åklagare i olika medlems- stater. Det som är av intresse i detta sammanhang är det som gäller för informationsutbytet mellan Eppo och svenska myndigheter eller andra mottagare i . Utredningens bedömning: Det finns inget behov av några defi- nitioner i den föreslagna lagstiftningen. Skälen för utredningens bedömning: I artikel 2 i Eppo-förord- ningen definieras 23 olika begrepp som används i förordningen. Av dem motsvarar 17 (definitionerna 1, 7–16, och 18–23) definitioner som finns i dataskyddsdirektivet. En av dem, definitionen av med- lemsstat, skiljer sig från dataskyddsförordningens definition efter- som rättsakterna har olika tillämpningsområden. Av de övriga sex (definitionerna 2–6 och 17) rör fyra Eppos anställda, en vad som av- ses med person och en vad som är unionens ekonomiska intressen. Definitionerna i dataskyddsdirektivet har genomförts i svensk rätt genom 1 kap. 6 § brottsdatalagen. De övriga begreppen kommer inte att användas i den svenska lagstiftningen som kompletterar Eppo- förordningen. Det finns därför inget behov av en bestämmelse som anger att Eppo-förordningens definitioner gäller i . 16.2.4Dataskyddet för personuppgifter som lämnas av Eppo Utredningens bedömning: Den del av dataskyddsregleringen i Eppo-förordningen som har betydelse för svenska myndigheter motsvarar i allt väsentligt regleringen i dataskyddsdirektivet, som har genomförts i svensk rätt. Det behövs därför inga lagstift- ningsåtgärder eller andra åtgärder för de flesta av artiklarna. Utredningens förslag: En bestämmelse i brottsdatalagen om överföring av personuppgifter till tredjeland ska ändras. Skälen för utredningens bedömning och förslag Personuppgifter som lämnas av Eppo När det gäller personuppgifter som Eppo lämnar till en svensk myn- dighet eller ett annat organ eller till tredje man i kommer bestämmelserna om dataskydd i Eppo-förordningen att gälla till dess att uppgifterna når den svenska mottagaren. Eppo-förordningen kommer i vissa fall också att styra hur personuppgifterna får använ- das av mottagaren. Om det finns begränsningar i Eppo-förordningen som går utöver regleringen i dataskyddsdirektivet och det inte finns några motsvarande bestämmelser i den svenska lagstiftningen kan det följaktligen krävas lagstiftningsåtgärder. Utredningen återkom- mer strax till det. När en svensk myndighet, t.ex. svenska åklagare eller den svenska polisen, tar emot personuppgifter från Eppo kommer de svenska dataskyddsreglerna att gälla för den fortsatta behandlingen. Det in- nebär att brottsdatalagen med tillhörande författningar ska tillämpas på personuppgifter som Eppo i sin operativa verksamhet lämnar till bl.a. brottsbekämpande myndigheter. Genom att Eppo-förordning- en till stor del efterliknar dataskyddsdirektivet gäller i allt väsentligt detsamma för Eppos verksamhet som det som föreskrivs i den sven- ska lagstiftningen. Någon lagstiftningsåtgärd krävs därför inte för de flesta av artiklarna. I den utsträckning det finns bindande begräns- ningar för hur uppgifterna får användas är dock svenska myndigheter skyldiga att följa dem. Det gäller även begränsningar som kan strida mot svensk lagstiftning, jfr t.ex. 5 kap. 1 § LIRB och 4 kap. 3 § lagen om en europeisk utredningsorder. En kompletterande bestämmelse i brottsdatalagen I 8 kap. 2 § brottsdatalagen regleras kravet på att en svensk myndig- het inte får överföra personuppgifter som den har fått från en annan medlemsstat till ett tredjeland eller en internationell organisation utan förhandstillstånd av den som har överlämnat uppgiften. I vissa nödsituationer får dock en sådan personuppgift överföras utan för- handstillstånd. Det gäller, enligt paragrafens andra stycke, om med- givande på grund av tidsbrist inte kan inhämtas och överföringen är nödvändig för att avvärja en omedelbar och allvarlig fara för allmän säkerhet. Detsamma gäller om överföringen är nödvändig för att avvärja en omedelbar och allvarlig fara för andra väsentliga intressen för eller någon annan medlemsstat. Enligt artikel 80.3 i Eppo-förordningen får en medlemsstat inte överföra operativa personuppgifter som erhållits från Eppo till ett tredjeland eller en internationell organisation. Det gäller dock inte om Eppo har godkänt en sådan överföring efter att ha beaktat alla relevanta faktorer, hur allvarligt brottet är, det ändamål för vilket personuppgifterna ursprungligen överfördes och nivån på skyddet av personuppgifter i det tredje land eller den internationella organi- sation som personuppgifterna överförs till. ningen inte medger att personuppgifter överförs ens i nödsituationer utan att det finns ett förhandstillstånd, bör 8 kap. 2 § brottsdatala- gen ändras så att det tydligt framgår. Det kan lämpligen göras genom att det införs ett nytt stycke i paragrafen. Eftersom förbudet enligt artikel 80.3 inte gäller för ärenden som har hänskjutits till nationella myndigheter enligt artikel 34 (se avsnitt 13.2.2), bör det av regle- ringen framgå att begränsningen inte gäller i sådana situationer. 16.2.5Dataskyddet för personuppgifter som lämnas till Eppo Utredningens bedömning: Eppo kan inte jämställas med en ut- ländsk åklagarmyndighet när det gäller överföring av personupp- gifter från svenska brottsbekämpande myndigheter. Däremot kommer Eppo-förordningen att vara en internationell överens- kommelse som har tillträtt efter godkännande. Det behövs därför ingen kompletterande lagstiftning för att per- sonuppgifter ska kunna lämnas till Eppo. Skälen för utredningens bedömning Den information som brottsbekämpande myndigheter hanterar om- fattas i stor utsträckning av förundersökningssekretess eller annan sekretess. Utredningen har i avsnitt 15.6.3 diskuterat möjligheterna för svenska myndigheter att lämna sekretessbelagda uppgifter till Eppo. Det som diskuteras nu är enbart frågan hur vissa bestämmel- ser i författningar om dataskydd förhåller sig till Eppo. Eppo kan inte jämställas med en utländsk stats åklagarmyndighet Om personuppgifter lämnas till Eppo av en svensk myndighet, t.ex. en svensk åklagare eller den svenska polisen, gäller de svenska data- skyddsreglerna till dess att uppgifterna överlämnas till Eppo. Däre- mot förefaller regleringen i 8 kap. brottsdatalagen, som behandlar överföring av personuppgifter till utländska mottagare, inte vara till- lämplig. Det framgår av de uttalanden som regeringen gjorde när den lagen infördes, se prop. 2017/18:232 s. 364 f. och avsnitt 16.2.2. Så- dan överföring regleras inte heller i Eppo-förordningen. Där regleras enbart överföring från Eppo till tredjeland eller internationella orga- nisationer. De flesta av de lagar för brottsbekämpande myndigheter som kompletterar brottsdatalagen innehåller en bestämmelse om att per- sonuppgifter får lämnas till bl.a. Europol och till en utländsk polis- eller åklagarmyndighet. Sådana bestämmelser finns i 2 kap. 7 § poli- sens brottsdatalag, 2 kap. 7 § brottsdatalag, 2 kap. 6 § brottsdatalag och 2 kap. 5 § åklagarväsendets brottsdatalag. Bestämmelserna är sekretessbrytande. Frågan är om Eppo bör betraktas som en utländsk åklagarmyn- dighet och om det därmed inte behövs någon ytterligare reglering av möjligheten att lämna personuppgifter till Eppo. Utredningen anser att ett EU-organ, trots att det har motsvarande uppgifter som både en svensk och en annan stats åklagarmyndighet, inte rimligen kan betraktas som en utländsk åklagarmyndighet i bestämmelsernas be- märkelse. Eftersom det är fråga om sekretessbrytande bestämmelser bör de tolkas med försiktighet. Om ett EU-organ skulle jämställas med en utländsk myndighet skulle Europol inte behöva nämnas sär- skilt i paragraferna. Av samma skäl skulle Eurojust inte behöva näm- nas, om den vore att jämställa med en utländsk åklagarmyndighet. Den reglering som finns talar alltså entydigt mot att Eppo bör be- traktas som en utländsk åklagarmyndighet och att personuppgifter skulle kunna lämnas ut till Eppo på den grunden. Uppgiftslämnande grundat på internationella överenskommelser