sou · H9B342 · 2021-06-01 00:00:00 — Därutöver gäller särskilda register- författningar, bl.a. lagen (2018:1693) om polisens behandling av per- sonuppgifter inom brottsdatalagens område och lagen (2018:1697) om åklagarväsendets behandling av personuppgifter inom brottsdata- lagens område. Det är myndighetens syfte med behandlingen av personuppgifter som styr vilket regelverk som blir tillämpligt (jfr artikel 2 i EU:s data- skyddsförordning och 1 kap. 2 § brottsdatalagen), med undantag för behandling som sker enligt lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter som i stället utgår från vad uppgifterna rör och vilken verksamhet som de behandlas i (se prop. 2019/20:83 s. 32 f.). Behandling av personuppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lagförande verksamhet om- fattas varken av EU:s dataskyddsförordning, dataskyddslagen eller av brottsdatalagen. Den regleras i stället i nämnda lag om Säkerhets- polisens behandling av personuppgifter. EU:s dataskyddsförordning är tillämplig avseende verksamhets- utövares personuppgiftsbehandling. I fråga om behandling av person- uppgifter för bekämpning av penningtvätt och finansiering av terrorism kompletteras EU:s dataskyddsförordning av särskilda bestämmelser i penningtvättslagen. En verksamhetsutövare får behandla person- uppgifter i syfte att kunna fullgöra sina skyldigheter enligt penning- tvättslagen (5 kap. 2 §). För vissa slags personuppgifter ställer lagen upp särskilda begränsningar. S.k. känsliga personuppgifter (dvs. sådana personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning och där bl.a. personuppgifter som avslöjar politiska åsikter eller religiös övertygelse eller uppgifter om hälsa ingår) och personuppgifter om lagöverträdelser får behandlas endast om det är nödvändigt för vissa specifikt angivna ändamål. Bland dessa ingår att bedöma den risk som kan förknippas med kundrelationen eller för att uppfylla övervaknings- skyldigheten (5 kap. 5 och 6 §§). En verksamhetsutövare är skyldig att bevara hand- lingar och uppgifter som avser åtgärder för kundkännedom och trans- aktioner som genomförts inom ramen för affärsförbindelser eller vid enstaka transaktioner som omfattas av krav på åtgärder för kund- kännedom (5 kap. 3 §). Om det är nödvändigt för att förebygga, upp- täcka eller utreda penningtvätt eller finansiering av terrorism får hand- lingar och uppgifter bevaras , dock längst . Bevarandet av handlingar och uppgifter syftar till att göra det möjligt för och andra myndigheter att förebygga, upptäcka eller utreda penningtvätt och finansiering av terrorism (se prop. 2016/17:173 s. 317). En verksamhetsutövares register med uppgifter om misstänkt pen- ningtvätt eller finansiering av terrorism får inte samköras med mot- svarande register hos någon annan. Undantag gäller dock i vissa fall för register hos en filial till en finansiell verksamhetsutövare som är eta- blerad i ett land utanför EES eller om samkörning sker mellan finan- siella verksamhetsutövare som ingår i samma koncern och hör hemma inom EES (5 kap. 8 och 9 §§). Det är centralt för bekämpningen av penningtvätt och finansiering av terrorism att behandling av personuppgifter ibland kan ske utan att den som uppgiften avser får vetskap om behandlingen. För vissa uppgifter görs det därför undantag från den rättighet som den vars personuppgifter behandlas annars har att få information om person- uppgiftsbehandlingen (5 kap. 7 §). Vidare gäller det för den som är verksam hos en verksamhetsutövare i vissa avseenden tystnadsplikt avseende att personuppgiftsbehandling har skett (5 kap. 11 §). 18.3Behov av ändringar för myndigheternas del Bedömning: Den personuppgiftsbehandling som den föreslagna ordningen med en uppgiftsskyldighet inom ramen för en särskilt beslutad samverkan kan ge upphov till är förenlig med EU:s data- skyddsförordning, brottsdatalagen och lagen om Säkerhetspolisens behandling av personuppgifter. Den reglering som finns på person- uppgiftsområdet utgör tillräcklig reglering för den personuppgifts- behandling som förslaget kan föranleda hos de myndigheter som kan delta i en särskilt beslutad samverkan. Det behöver således inte införas någon ytterligare reglering om denna behandling. Syftet med förslaget om en uppgiftsskyldighet inom ramen för en särskilt beslutad samverkan är att öka aktörernas möjlighet att utbyta information som omfattas av sekretess eller annan tystnadsplikt. Ut- bytet kommer inte sällan att avse personuppgifter. För att aktörerna ska kunna utbyta sådan information helt eller delvis på automatisk väg krävs att utbytet inte kommer i konflikt med bestämmelser om behandling av personuppgifter. I detta avsnitt redovisas utredningens överväganden i frågan om behovet av ändringar i personuppgiftsregel- verket avseende myndigheternas verksamhet för att informations- utbyte i enlighet med förslaget ska vara förenligt med regelverket. Som framgår av avsnitt 15.1.2 föreslår utredningen att de myn- digheter som ingår i Samordningsfunktionen mot penningtvätt och finansiering av terrorism ska kunna delta i en särskilt beslutad sam- verkan. En bedömning bör därför göras av om regleringen för person- uppgiftsbehandling för de myndigheter som ingår i sam- ordningsfunktionen behöver ändras i något avseende för att säkerställa att det finns ett tydligt stöd för den behandling av personuppgifter som kan komma att ske inom ramen för samverkan. När det gäller den samverkan som sker enligt LUS konstaterades i förarbetena att eftersom myndigheterna deltar i samverkan utifrån sina respektive uppdrag behövdes det inte någon ändring i de ända- målsregleringar som styr behandling av personuppgifter i myndig- hetens egen verksamhet (de s.k. primära ändamålen) utan det som behövde övervägas var uttryckliga bestämmelser om behandling som sker för att lämna ut uppgifter till andra, s.k. sekundära ändamål (se prop. 2015/16:167 s. 41). I registerlagarna för några av myndigheterna2 infördes nya ändamål som innebar att uppgifter som behandlas enligt registerlagarna även ska få behandlas för att tillhandahålla informa- tion i den utsträckning en skyldighet att lämna uppgifter följer av lag eller förordning. Beträffande övriga myndigheter som kunde förväntas ingå i samverkan gjordes bedömningen att det redan fanns ett tydligt författningsstöd för den behandling av personuppgifter som krävs för att kunna fullgöra uppgiftsskyldigheten (se samma prop. s. 41 f.). Det ska noteras att LUS trädde i kraft före den reglering som följde med den i avsnitt 18.2 nämnda dataskyddsreformen inom EU. Vid införandet av brottsdatalagen gjordes bedömningen att de nya 2Skatteverket, och . registerförfattningar som kompletterar brottsdatalagen inte skulle innehålla bestämmelser som motsvarar de sekundära ändamålsbestäm- melserna i de tidigare gällande registerlagstiftningarna. Skälet för detta var att den prövning som krävs enligt 2 kap. 4 § brottsdatalagen (vid behandling för ett nytt ändamål) annars inte skulle få fullt genomslag (se prop. 2017/18:269 s. 139 f.). Registerlagarna innehåller därmed inte längre bestämmelser motsvarande de som antingen infördes i sam- band med LUS eller redan fanns . Liksom enligt LUS kommer myndigheterna att delta i en särskilt beslutad samverkan för att vidta åtgärder mot penningtvätt eller finan- siering av terrorism utifrån sina respektive uppdrag. Inte heller i detta sammanhang behövs det således någon ändring i de ändamålsregler- ingar som styr behandling av personuppgifter i myndighetens egen verksamhet. Det som behöver övervägas är uttryckliga bestämmelser om behandling som sker för att lämna ut uppgifter till andra. 18.3.2Personuppgiftsbehandling som sker med stöd av brottsdatalagen eller registerlagarna inom den lagens område Enligt utredningens bedömning kommer särskilt beslutad samverkan ofta involvera de brottsbekämpande myndigheterna. Utredningen in- leder därför med överväganden beträffande dataskyddsregelverket i den brottsbekämpande verksamheten. Det grundläggande regelverket på det området är brottsdatalagen. Lagen är subsidiär till annan lag eller förordning och särskilda bestämmelser finns i registerförfattningar för respektive myndighet. Av intresse i detta sammanhang är lagen (2018:1693) om polisens behandling av personuppgifter inom brotts- datalagens område, lagen (2018:1694) om behandling av personuppgifter inom brottsdatalagens område, lagen (2018:1696) om behandling av personuppgifter inom brottsdata- lagens område och lagen (2018:1697) om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område. Brottsdatalagen gäller vid behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verk- ställa straffrättsliga påföljder (1 kap. 2 §).3 Med behörig myndighet 3Den gäller också vid behandling av personuppgifter som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet. avses en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder, eller upprätthålla allmän ordning och säker- het, när den behandlar personuppgifter för ett sådant syfte, eller en annan aktör som har anförtrotts myndighetsutövning för ett av an- givna syften, när den behandlar personuppgifter för ett sådant syfte (1 kap. 6 §). Av lagen framgår alltså inte direkt vilka som är behöriga myndigheter. Det avgörande är om myndigheten har sådana uppgifter att den behandlar personuppgifter för de ovan nämnda syftena (se prop. 2017/18:232 s. 434). Bland de myndigheter som kan ingå i en särskilt beslutad samverkan är , Polismyndig- heten, , och behöriga myndigheter enligt brottsdatalagen men enbart när de behandlar personuppgifter i de ovan nämnda syftena. Lagen gäller således inte generellt i de behöriga myndigheternas verksamhet. I registerlagarna anges de rättsliga grunderna för personuppgifts- behandling. Paragraferna är anpassade till hur de rättsliga grunderna för behandling av personuppgifter anges i brottsdatalagen (se prop. 2017/18:269 s. 294, 317, 345 och 356). I respektive lag anges att personuppgifter får behandlas om det är nödvändigt för att myndig- heterna ska kunna utföra vissa angivna uppgifter. Beroende på vilka uppgifter som ankommer på respektive myndighet ingår här bl.a. att förebygga, förhindra eller upptäcka brottslig verksamhet och att utreda eller lagföra brott.4 Av 2 kap. 3 § brottsdatalagen framgår att personuppgifter får be- handlas bara för särskilda, uttryckligt angivna och berättigade ända- mål. Ändamålet ska vara mer konkret än den rättsliga grunden för behandlingen. Exempel på ändamål kan vara förundersökning om ett visst brott eller ett pågående underrättelsearbete om viss, närmare angiven, brottslig verksamhet. Personuppgifter får inte behandlas för ett ändamål som inte är berättigat i förhållande till den tillämpliga rättsliga grunden (se prop. 2017/18:232 s. 441). Brottsdatalagen innehåller reglering om behandling för nya ända- mål. Innan personuppgifter får behandlas för ett nytt ändamål inom brottsdatalagens tillämpningsområde ska det säkerställas att det finns 42 kap. 1 § lagen om polisens behandling av personuppgifter inom brottsdatalagens område, 1 § lagen om behandling av personuppgifter inom brottsdatalagens område, 1 § lagen om behandling av personuppgifter inom brottsdatalagens om- råde och 2 kap. 1 § lagen om åklagarväsendets behandling av personuppgifter inom brotts- datalagens område. en rättslig grund för den nya behandlingen och att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ända- målet (2 kap. 4 § första stycket). I den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning ska någon sådan pröv- ning dock inte göras (2 kap. 4 § andra stycket). Av 2 kap. 22 § brottsdatalagen framgår vidare att innan person- uppgifter som behandlas med stöd av brottsdatalagen behandlas för ett ändamål utanför lagens tillämpningsområde ska det säkerställas att det är nödvändigt och proportionerligt att personuppgifterna behand- las för det ändamålet. Inte heller i denna situation ska det dock göras någon sådan prövning i den utsträckning en skyldighet att lämna upp- gifter följer av lag eller förordning. I förarbetena nämns uppgifts- skyldigheten enligt LUS som ett exempel på en sådan uppgiftsskyl- dighet (se prop. 2017/18:232 s. 452). I de ovan nämnda registerlagarna finns bestämmelser som upplyser om att förutsättningarna för att behandla personuppgifter som behandlas med stöd av respektive lag för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen.5 Inom ramen för en särskilt beslutad samverkan kommer det att gälla en uppgiftsskyldighet för aktörerna. Det kommer därmed inte behöva säkerställas i varje enskilt fall att det är nödvändigt och pro- portionerligt att personuppgifterna behandlas för ett eventuellt nytt ändamål. Utredningen bedömer emellertid att ett uppgiftslämnande som sker inom ramen för en särskilt beslutad samverkan får anses både nödvändigt och proportionerligt. När en behörig myndighet behandlar personuppgifter för ändamål utanför brottsdatalagens tillämpningsområde ska EU:s dataskydds- förordning tillämpas i stället för brottsdatalagen. Förordningen ska tillämpas även när en behörig myndighet tillhandahåller personupp- gifter till andra, om ändamålet med behandlingen där ligger utanför brottsdatalagens tillämpningsområde (se prop. 2017/18:269 s. 141). Vid behandling för att lämna ut uppgifter till verksamhet utanför brottsdatalagens tillämpningsområde tillkommer således en prövning av att behandlingen av personuppgifter för det nya ändamålet är tillåten enligt EU:s dataskyddsförordning (se prop. 2017/18:232 s. 451). Be- handlingen för detta ändamål blir en ny behandling enligt dataskydds- 5Se 2 kap. 2 § lagen om polisens behandling av personuppgifter inom brottsdatalagens område, 2 § lagen om behandling av personuppgifter inom brottsdatalagens område, 2 § lagen om behandling av personuppgifter inom brottsdatalagens om- råde och 2 kap. 2 § lagen om åklagarväsendets behandling av personuppgifter inom brottsdata- lagens område. Det är således inte fråga om en vidarebehandling som sker enligt bestämmelserna i brottsdatalagen, vilket gör att finalitets- principen6 inte ska tillämpas på den nya behandlingen. Det innebär med andra ord att det i denna del inte krävs någon bedömning av om den nya behandlingen är förenlig med insamlingsändamålen (se prop. 2017/18:232 s. 132 och prop. 2019/20:166 s. 123). Inom ramen för en särskilt beslutad samverkan kan det kanske finnas behov av att behandla känsliga personuppgifter, dvs. personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening eller som rör hälsa, sexualliv eller sexuell läggning. Huvud- regeln enligt brottsdatalagen är att sådan behandling är förbjuden. Om uppgifter om en person behandlas får de dock kompletteras med sådana uppgifter när det är absolut nödvändigt för ändamålet med behandlingen (2 kap. 11 §). Behovet av att göra sådana kompletter- ingar måste prövas noga i det enskilda fallet (se prop. Biometriska uppgifter7 och genetiska uppgifter får behandlas endast om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen (2 kap. 12 §). Sådana särskilda före- skrifter finns i vissa avseenden i registerlagstiftningarna.8 I viss be- gränsad utsträckning kommer det därmed att vara möjligt att behandla känsliga personuppgifter. Mot bakgrund av redogörelsen gör utredningen bedömningen att den befintliga regleringen i brottsdatalagen och relevanta register- lagar som kompletterar den lagen utgör tillräcklig reglering för den personuppgiftsbehandling i detta avseende som förslaget kan föranleda hos de myndigheter som kan delta i en särskilt beslutad samverkan. Som framgår av avsnitt 18.2 finns för Säkerhetspolisens del särskilda bestämmelser i lagen om Säkerhetspolisens behandling av person- uppgifter. Lagen gäller vid behandling av personuppgifter som rör 6Begreppet förklaras närmare i avsnitt 18.3.4. 7Personuppgifter som rör en persons fysiska, fysiologiska eller beteendemässiga kännetecken, som tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar unik identifiering av personen (se 1 kap. 6 § brottsdatalagen). 8Exempelvis 2 kap. 4 § lagen om polisens behandling av personuppgifter inom brottsdata- lagens område och 2 kap. 4 § lagen om behandling av personuppgifter inom brotts- datalagens område. nationell säkerhet i Säkerhetspolisens brottsbekämpande och lag- förande verksamhet. När Säkerhetspolisen behandlar personuppgifter som inte rör nationell säkerhet i syfte att bekämpa och lagföra brott, ska myndigheten tillämpa brottsdatalagen och lagen om polisens be- handling av personuppgifter inom brottsdatalagens område (se prop. 2018/19:163 s. 56). Personuppgifter får behandlas bl.a. om det är nödvändigt för att förebygga, förhindra eller upptäcka brottslig verksamhet som inne- fattar terrorbrott och för att utreda eller lagföra sådana brott (2 kap. 1 § 1 och 2). Med terrorbrott avses brott mot lagen om straff för terroristbrott, lagen om straff för finansiering av särskilt allvarlig brotts- lighet i vissa fall och lagen om straff för offentlig uppmaning, rekry- tering och utbildning avseende terroristbrott och annan särskilt all- varlig brottslighet (se samma prop. s. 217). Personuppgifter får bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Sådana uppgifter får inte behandlas för något ändamål som är oförenligt med det ändamål som de ursprungligen behandlades för (2 kap. 3 §). Bestämmelsen i den sistnämnda meningen ger uttryck för den s.k. finalitetsprincipen. När Säkerhetspolisen ska behandla personuppgifter för nya ändamål måste myndigheten således pröva om det nya ändamålet är förenligt med det ändamål som per- sonuppgifterna samlades in för (se samma prop. s. 220 f.). Säkerhets- polisen får också för vissa ändamål behandla personuppgifter för att tillgodose behovet av information i annan verksamhet. Så är t.ex. fallet om det är nödvändigt för att tillhandahålla information som behövs för något av de syften som anges i 1 kap. 2 § brottsdatalagen9 hos , , , , eller eller i en myndighets verksamhet, om informationen tillhandahålls inom ramen för myn- dighetsöverskridande samverkan mot brott (2 kap. 4 § första stycket 1 och 2). Personuppgifter som behandlas med stöd av lagen får även behandlas om det är nödvändigt för att tillhandahålla information till andra i den utsträckning en skyldighet att lämna uppgifter följer av lag eller förordning (2 kap. 4 § andra stycket). Med andra avses såväl andra myndigheter som enskilda (se prop. 2009/10:85 s. 323 och prop. 2018/19:163 s. 222). 9Syftena är att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Huvudregeln är att känsliga personuppgifter inte får behandlas (2 kap. 9 § första stycket). Om uppgifter om en person behandlas får de dock kompletteras med sådana uppgifter om det är absolut nöd- vändigt för ändamålet med behandlingen (2 kap. 9 § andra stycket). Det finns således ett visst utrymme för Säkerhetspolisen att behandla känsliga uppgifter för att lämna dessa inom ramen för en särskilt beslutad samverkan. Mot bakgrund av redogörelsen gör utredningen bedömningen att den befintliga regleringen i lagen om Säkerhetspolisens behandling av personuppgifter utgör tillräcklig reglering för den personuppgifts- behandling i detta avseende som förslaget kan föranleda hos Säker- hetspolisen. 18.3.4Personuppgiftsbehandling som sker med stöd av EU:s dataskyddsförordning EU:s dataskyddsförordning utgör den generella rättsliga grunden för behandling av personuppgifter inom EU. Förordningen komplet- teras i svensk rätt av dataskyddslagen. Regelverket är tillämpligt bl.a. för tillsynsmyndigheternas verksamhet och för verksamhet hos andra myndigheter som kan ingå i en särskilt beslutad samverkan. Som fram- går av avsnitt 18.2 är regelverket dock inte tillämpligt avseende den brottsbekämpande verksamheten. I viss utsträckning finns det särskilda bestämmelser om personuppgiftsbehandling i lagstiftning som regle- rar myndigheters verksamhet (se t.ex. 17 kap. spellagen [2018:1138]). Ett grundläggande krav enligt EU:s dataskyddsförordning är att behandling av personuppgifter måste ha stöd i en rättslig grund, dvs. antingen ske med samtycke (artikel 6.1 första stycket a) eller upp- fylla villkoren i något av leden b–f i artikel 6.1 första stycket. Bland dessa villkor ingår att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse (led c) och att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning (led e). En rättslig förpliktelse och en uppgift av allmänt intresse respek- tive myndighetsutövning måste fastställas i enlighet med unionsrätten eller den nationella rätten för att kunna läggas till grund för behand- ling av personuppgifter (artikel 6.3 första stycket i EU:s dataskydd- förordning). Detta innebär inte ett krav på att själva behandlingen av personuppgifter måste regleras. Det är i stället den rättsliga förplik- telsen, uppgiften av allmänt intresse respektive myndighetsutövningen som ska ha stöd i rättsordningen (se prop. 2017/18:105 s. 48). Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, vara nödvändigt för att utföra en upp- gift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordning. Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas (artikel 6.3 andra stycket i EU:s dataskyddsförordning). I 2 kap. dataskyddslagen anges förutsättningarna för att en rättslig förpliktelse respektive uppgift av allmänt intresse och myndighets- utövning ska utgöra grund för behandling av personuppgifter. Para- graferna är avsedda att ge vägledning för rättstillämpningen i (se prop. 2017/18:105 s. 188 f.). Personuppgifter får således behandlas med stöd av artikel 6.1 c i EU:s dataskyddsförordning, om behand- lingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författ- ning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning (1 §). Förpliktelsen måste vara fastställd i enlighet med gällande rätt men behöver inte framgå direkt av en för- fattning. För att en behandling av personuppgifter ska vara tillåten enligt artikel 6.1 c måste den också vara nödvändig för att fullgöra den rättsliga förpliktelsen. Detta innebär inte ett krav på att behand- lingsåtgärden ska vara oundgänglig. Behandlingen kan anses nödvändig om behandlingen leder till effektivitetsvinster (se samma prop. s. 188 f.). Vidare får personuppgifter behandlas med stöd av arti- kel 6.1 e i EU:s dataskyddsförordning, om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller som ett led i den person- uppgiftsansvariges myndighetsutövning enligt lag eller annan författ- ning (2 §). Deltagandet i en särskilt beslutad samverkan är visserligen fri- villigt. Genom den föreslagna ordningen införs dock en uppgifts- skyldighet för aktörerna, om man väljer att delta. Enligt utredning- ens bedömning är det därmed fråga om en sådan rättslig förpliktelse som avses i artikel 6.1 c i EU:s dataskyddsförordning.