sou 2017 74

Brottsdatalag

– kompletterande lagstiftning

Slutbetänkande av Utredningen om 2016 års dataskyddsdirektiv

Stockholm 2017

SOU 2017:74

SOU och Ds kan köpas från Wolters Kluwers kundservice. Beställningsadress: Wolters Kluwers kundservice, 106 47 Stockholm Ordertelefon: 08-598 191 90

E-post: kundservice@wolterskluwer.se

Webbplats: wolterskluwer.se/offentligapublikationer

För remissutsändningar av SOU och Ds svarar Wolters Kluwer Sverige AB på uppdrag av Regeringskansliets förvaltningsavdelning.

Svara på remiss – hur och varför

Statsrådsberedningen, SB PM 2003:2 (reviderad 2009-05-02).

En kort handledning för dem som ska svara på remiss.

Häftet är gratis och kan laddas ner som pdf från eller beställas på regeringen.se/remisser

Layout: Kommittéservice, Regeringskansliet

Omslag: Elanders Sverige AB

Tryck: Elanders Sverige AB, Stockholm 2017

ISBN 978-91-38-24675-7

ISSN 0375-250X

Till statsrådet och chefen för

Justitiedepartementet

Den 17 mars 2016 bemyndigade regeringen statsrådet Ygeman att tillkalla en särskild utredare med uppdrag att föreslå hur EU:s direktiv om skydd av personuppgifter vid brottsbekämpning, brottmålshantering och straffverkställighet ska genomföras i svensk rätt. Regeringen beslutade samtidigt om direktiv för utred- ningen (dir. 2016:21).

Till särskild utredare förordnades från och med den 1 april 2016 numera f.d. överåklagaren Gunnel Lindberg.

Utredningen har antagit namnet Utredningen om 2016 års data- skyddsdirektiv (Ju 2016:06).

Till sakkunniga förordnades från och med den 1 april 2016 rättssakkunniga vid Justitiedepartementet Anna Westin och kansli- rådet vid Finansdepartementet Leena Mildenberger. Till experter utsågs juristen vid Datainspektionen Cecilia Agnehall, verksjuris- ten vid Ekobrottsmyndigheten Eva Bergholm Guhnby, personupp- giftsombudet, tillika verksjuristen, vid Säkerhetspolisen Fredrik Berglund, verksjuristen vid Tullverket Pernilla Jäderberg, verksju- risten vid Polismyndigheten David Kummel, advokaten Conny Larsson, sektionschefen vid Kriminalvården Eric Leijonram, senio- ra föredraganden vid Säkerhets- och integritetsskyddsnämnden Lisa Lundin, it-utvecklingschefen vid Åklagarmyndigheten Stephan Uttersköld, dåvarande juristen vid Domstolsverket Jonna Wiborn, verksjuristen vid Kustbevakningen Peter Åkesson och rättsliga experten vid Skatteverket Maria Östgren.

Jonna Wiborn entledigades från sitt uppdrag den 31 augusti 2016 och bitr. enhetschefen Amanda Rörby utsågs i hennes ställe. Amanda Rörby entledigades från sitt uppdrag den 3 april 2017 och chefsjuristen Charlotte Driving utsågs i hennes ställe. Lisa Lundin

entledigades från sitt uppdrag den 22 oktober 2016 och seniore föredraganden Fabian Holgersson utsågs i hennes ställe. Maria Östgren entledigades från sitt uppdrag den 23 augusti 2017 och Cecilia Agnehall den 4 september 2017.

Ämnesrådet vid Justitiedepartementet Sofie Lindblom har varit huvudsekreterare i utredningen från och med den 1 april 2016. Sek- reterare i utredningen har varit verksjuristen Malin Lundberg från och med den 1 april 2016, hovrättsassessorerna Karin Månsson och Anja Nordfeldt från och med den 1 maj 2016, hovrättsassessorn Karin Brandqvist Sundblad från och med den 16 maj 2016 och hov- rättsassessorn Maria Arnell från och med den 1 september 2016.

Utredningen överlämnade den 5 april 2017 betänkandet Brotts- datalag, SOU 2017:29.

Utredningen överlämnar härmed betänkandet Brottsdatalag – kompletterande lagstiftning (2017:74). De sakkunniga och exper- terna har i huvudsak ställt sig bakom utredningens överväganden och förslag. Uppdraget är härmed slutfört.

Stockholm i oktober 2017

Gunnel Lindberg

/ Sofie Lindblom

Maria Arnell

Karin Brandqvist Sundblad

Malin Lundberg

Karin Månsson

Anja Nordfeldt

Innehåll

Sammanfattning ................................................................		23
1	Författningsförslag.....................................................	33
1.1	Förslag till Säkerhetspolisens datalag (2018:000) .................	33
1.2	Förslag till domstolarnas brottsdatalag (2018:000) ..............	61
1.3	Förslag till lag om ändring i rättegångsbalken ......................	67
1.4	Förslag till lag om ändring i polislagen (1984:387)...............	69

1.5Förslag till lag om ändring i säkerhetsskyddslagen

(1996:627)................................................................................

1.6Förslag till lag om ändring i lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett

annat land inom Europeiska unionen ....................................

1.7Förslag till lag om ändring i lagen (1998:620) om

belastningsregister ..................................................................

1.8Förslag till lag om ändring i lagen (1998:621) om

misstankeregister ....................................................................

1.9Förslag till lag om ändring i lagen (2000:344) om

Schengens informationssystem ..............................................

1.10Förslag till lag om ändring i lagen (2001:184) om behandling av personuppgifter i

Kronofogdemyndighetens verksamhet .................................	75
1.11 Förslag till lag om ändring i lagen (2001:185) om
behandling av uppgifter i Tullverkets verksamhet ................	76

Innehåll

SOU 2017:74

1.12	Förslag till lag om ändring i lagen (2001:617) om
	behandling av personuppgifter inom kriminalvården ..........	78
1.13	Förslag till lag om ändring i lagen (2005:321) om
	tillträdesförbud vid idrottsarrangemang ...............................	84
1.14	Förslag till lag om ändring i lagen (2007:980) om tillsyn
	över viss brottsbekämpande verksamhet ..............................	85
1.15	Förslag till lag om ändring i offentlighets- och
	sekretesslagen (2009:400) ......................................................	87
1.16	Förslag till lag om ändring i polisdatalagen (2010:361) .......	93
1.17	Förslag till lag om ändring i kustbevakningsdatalagen
	(2012:145) .............................................................................	121
1.18	Förslag till lag om ändring i lagen (2014:400) om
	Polismyndighetens elimineringsdatabas .............................	133
1.19	Förslag till lag om ändring i lagen (2015:51) om register
	över tillträdesförbud vid idrottsarrangemang .....................	137
1.20	Förslag till lag om ändring i åklagardatalagen
	(2015:433) .............................................................................	141
1.21	Förslag till lag om ändring i utlänningsdatalagen
	(2016:27) ...............................................................................	150
1.22	Förslag till lag om ändring i tullagen (2016:253)................	151
1.23	Förslag till lag om ändring i tullbrottsdatalagen
	(2017:447) .............................................................................	152
1.24	Förslag till lag om ändring i skattebrottsdatalagen
	(2017:452) .............................................................................	170
1.25	Förslag till lag om ändring i lagen (2017:496) om
	internationellt polisiärt samarbete.......................................	184
1.26	Förslag till lag om ändring i brottsdatalagen (2018:000) ...	189
1.27	Förslag till Säkerhetspolisens dataförordning
	(2018:000) .............................................................................	193
1.28	Förslag till domstolarnas brottsdataförordning
	(2018:000) .............................................................................	204

SOU 2017:74 Innehåll

1.29	Förslag till förordning (2018:000) om
	underrättelseskyldighet för Kriminalvården .......................	207
1.30	Förslag till förordning om ändring i förordningen
	(1970:517) om rättsväsendets informationssystem ............	211
1.31	Förslag till förordning om ändring i förordningen
	(1977:937) om allmänna förvaltningsdomstolars
	behörighet m.m. ....................................................................	212
1.32	Förslag till förordning om ändring i
	folkbokföringsförordningen (1991:749) .............................	213
1.33	Förslag till förordning om ändring i förordningen
	(1995:238) om totalförsvarsplikt .........................................	214
1.34	Förslag till förordning om ändring i förordningen
	(1995:1301) om handläggning av skadeståndsanspråk
	mot staten..............................................................................	215
1.35	Förslag till förordning om ändring i vapenförordningen
	(1996:70) ...............................................................................	217
1.36	Förslag till förordning om ändring i förordningen
	(2001:682) om behandling av personuppgifter inom
	kriminalvården.......................................................................	218
1.37	Förslag till förordning om ändring i förordningen
	(2005:323) om tillträdesförbud vid idrottsarrangemang ....	241

1.38Förslag till förordning om ändring i förordningen (2007:1141) med instruktion för Säkerhets- och

	integritetsskyddsnämnden ...................................................	243
1.39	Förslag till förordning om ändring i offentlighets- och
	sekretessförordningen (2009:641) .......................................	245
1.40	Förslag till förordning om ändring i
	polisdataförordningen (2010:1155) .....................................	250
1.41	Förslag till förordning om ändring i
	kustbevakningsdataförordningen (2012:146) .....................	261
1.42	Förslag till förordning om ändring i förordningen
	(2014:405) om Polismyndighetens elimineringsdatabas ....	267

Innehåll

SOU 2017:74

1.43	Förslag till förordning om ändring i förordningen
	(2014:1103) med instruktion för Säkerhetspolisen ............	268
1.44	Förslag till förordning om ändring i förordningen
	(2015:54) om register över tillträdesförbud vid
	idrottsarrangemang...............................................................	269

1.45Förslag till förordning om ändring i förordningen (2015:476) om behandling av personuppgifter i

	Nationellt forensiskt centrums uppdragsverksamhet ........		270
1.46	Förslag till förordning om ändring i
	åklagardataförordningen (2015:575) ...................................		271
1.47	Förslag till förordning om ändring i
	tullbrottsdataförordningen (2017:450) ...............................		275
1.48	Förslag till förordning om ändring i
	skattebrottsdataförordningen (2017:458)...........................		282
1.49	Förslag till förordning om ändring i förordningen
	(2017:504) om internationellt polisiärt samarbete .............		288
1.50	Förslag till förordning om ändring i
	brottsdataförordningen (2018:000).....................................		294
2	Utredningens uppdrag och arbete..............................		295
2.1	Utredningsuppdraget ...........................................................		295
2.2	Genomförandet av uppdraget ..............................................		296
3	Brottsdatalagens innehåll .........................................		299
3.1	Ny reglering av dataskyddet ................................................		299
	3.1.1	Dataskyddsreformen.............................................	299
	3.1.2	Genomförandet av dataskyddsdirektivet.............	300
3.2	Innehållet i brottsdatalagen .................................................		301
	3.2.1	Regler om behandlingen av personuppgifter.......	301
	3.2.2	Personuppgiftsansvarigas skyldigheter................	305
	3.2.3	Enskildas rättigheter .............................................	308
	3.2.4	Tillsyn ....................................................................	309
	3.2.5	Sanktioner, skadestånd och rättsmedel................	312

SOU 2017:74

Innehåll

3.2.6Överföring av personuppgifter till tredjeland

		och internationella organisationer ........................	314
	3.2.7	Ikraftträdande och övergångsbestämmelser ........	316
4	Framtida utformning av registerförfattningarna ...........		317
4.1	Utgångspunkter ....................................................................		317

4.2Det krävs anpassningar till den nya

dataskyddsregleringen ..........................................................

318

4.3Merparten av bestämmelserna är förenliga med

dataskyddsdirektivet .............................................................		319
4.4 Lagarnas tillämpningsområden ............................................		320
4.4.1	Tillämpningsområdet ska regleras ........................	320

4.4.2Vad innebär det ändrade

tillämpningsområdet?............................................

323

4.5Ska registerförfattningarna reglera frågor som inte rör

	dataskydd? .............................................................................		324
5	Generella ändringar .................................................		327
5.1	Registerförfattningarna har likartat innehåll .......................		327
5.2	En ny lagteknisk struktur .....................................................		328
5.3	Bestämmelser som inte längre behövs .................................		329
	5.3.1	Hänvisningar till personuppgiftslagen .................	329
	5.3.2	Hänvisningar till 2013 års lag................................	332
	5.3.3	Syftet med lagarna .................................................	332
	5.3.4	Automatiserad behandling ....................................	333
	5.3.5	Bestämmelser om lagarnas uppbyggnad...............	334
	5.3.6	Personuppgiftsombud ...........................................	335
	5.3.7	Behandling för diarieföring...................................	335
	5.3.8	Behandling av känsliga personuppgifter...............	336
	5.3.9	Tillgången till personuppgifter .............................	339
	5.3.10	Särskilda upplysningar...........................................	341
	5.3.11	Längsta tid för behandling ....................................	346

5.3.12Upplysning om regleringen i offentlighets-

och sekretesslagen .................................................

347

Innehåll

SOU 2017:74

5.4	Behov av nya bestämmelser och anpassningar....................		348
	5.4.1	Uppgifter om juridiska personer..........................	348
	5.4.2	Administrativa sanktionsavgifter .........................	349
	5.4.3	Skadestånd .............................................................	352
	5.4.4	Överklagande ........................................................	353
	5.4.5	Uppgifter till rättsstatistiken................................	354
	5.4.6	Terminologin anpassas..........................................	355
5.5	Särskilt om längsta tid för behandling.................................		356
	5.5.1	Regleringen samlas................................................	356

5.5.2Bestämmelser om längsta tid för behandling

oavsett ändamål .....................................................

359

5.5.3Bestämmelser om längsta tid för behandling

för ändamål inom tillämpningsområdet...............

363

5.5.4Omständigheter som påverkar längsta tid för

	behandling i underrättelseverksamhet .................	365
5.6 Särskilt om elektroniskt utlämnande...................................		366
5.6.1	Olika former av elektroniskt utlämnande ...........	366
5.6.2	Behovet av att kommunicera elektroniskt...........	367
5.6.3	Utlämnande genom direktåtkomst ......................	370

5.6.4Annat elektroniskt utlämnande tillåts i större

		utsträckning...........................................................	371
5.7	Frågor om föreskriftsrätt m.m. ...........................................		376
6	Tillåtna rättsliga grunder och behandling
	för nya ändamål.......................................................		379
6.1	Ändamål eller tillåtna rättsliga grunder? .............................		379
	6.1.1	Dagens ändamålsbestämmelser ............................	379
	6.1.2	Bestämmelser om rättslig grund...........................	381

6.1.3Primära och sekundära ändamålsbestämmelser

är bestämmelser om rättslig grund.......................	383
6.2 Ny utgångspunkt i brottsdatalagen .....................................	386

6.3Behandling för ändamål inom brottsdatalagens

tillämpningsområde ..............................................................		387
6.3.1	Tillåtna rättsliga grunder för behandling .............	387
6.3.2	Behandling för nya ändamål .................................	390

SOU 2017:74

Innehåll

6.4Behandling för ändamål utanför brottsdatalagens

tillämpningsområde ..............................................................		394
6.4.1	Tillämpningen av dataskyddsförordningen..........	394

6.4.2En prövning ska göras innan personuppgifter

		lämnas ut ................................................................	397
	6.4.3	Utformningen av regleringen ...............................	400
6.5	Uppgiftsskyldighet ersätter prövningen..............................		404
7	Polisdatalagen ........................................................		407
7.1	Polisdatalagen behöver anpassas ..........................................		407
	7.1.1	Nuvarande reglering ..............................................	407
	7.1.2	Polisdatalagen ges ett nytt namn ..........................	408
7.2	Allmänna bestämmelser........................................................		409
	7.2.1	Tillämpningsområdet ............................................	409
	7.2.2	Personuppgiftsansvar ............................................	416
	7.2.3	En bestämmelse om hur lagen är uppbyggd ........	418
7.3	Grundläggande bestämmelser om behandling ....................		418

7.3.1Tillåtna rättsliga grunder och behandling för

nya ändamål............................................................

418

7.3.2Behandling av biometriska och genetiska

	uppgifter.................................................................	420
7.3.3	Sökning på känsliga personuppgifter ...................	423
7.4 Personuppgifter från transportföretag ................................		427

7.4.1Personuppgiftsbehandlingen bör regleras i

polisens brottsdatalag............................................

427

7.4.2Begränsningar i möjligheterna att behandla

personuppgifter .....................................................

430

7.4.3Uppgifter från transportföretag får göras

	gemensamt tillgängliga ..........................................	432
7.4.4	Hur länge personuppgifterna får behandlas.........	433
7.5 Gemensamt tillgängliga uppgifter........................................		434

7.5.1Nya kategorier av personuppgifter får göras

	gemensamt tillgängliga ..........................................	434
7.5.2	Sökning i gemensamt tillgängliga uppgifter.........	436
7.6 Längsta tid för behandling....................................................		441

Innehåll

SOU 2017:74

7.7	Personuppgiftsbehandling i särskilda register ....................		442
	7.7.1	Dna-register...........................................................	442
	7.7.2	Fingeravtrycks- och signalementsregister ...........	442
7.8	Personuppgiftsbehandling för forensiska ändamål ............		443
	7.8.1	Vad är forensiska ändamål? ..................................	443
	7.8.2	Regleringen av forensiska ändamål behålls..........	444
	7.8.3	Behandling för nya ändamål .................................	445
	7.8.4	Behandling av känsliga personuppgifter ..............	447
8	Tullbrottsdatalagen ..................................................		451
8.1	Tullbrottsdatalagen behöver anpassas .................................		451
	8.1.1	Nuvarande reglering..............................................	451
	8.1.2	Tullbrottsdatalagen ges ett nytt namn.................	451
8.2	Tillämpningsområdet ...........................................................		452
8.3	Grundläggande bestämmelser om behandling....................		453

8.3.1Tillåtna rättsliga grunder och behandling för

nya ändamål ...........................................................

453

8.3.2Behandling av biometriska och genetiska

		uppgifter ................................................................	455
	8.3.3	Sökning på känsliga personuppgifter ...................	456
8.4	Personuppgifter från transportföretag................................		460
	8.4.1	Reglerna om personuppgiftsbehandling samlas ..	460
	8.4.2	En i huvudsak oförändrad reglering.....................	464
8.5	Gemensamt tillgängliga uppgifter .......................................		467
	8.5.1	Sökning i gemensamt tillgängliga uppgifter ........	467

8.5.2Uppgifter från transportföretag får göras

		gemensamt tillgängliga..........................................	469
8.6	Längsta tid för behandling ...................................................		470
8.7	Övergångsbestämmelser till tullbrottsdatalagen ................		471
9	Kustbevakningsdatalagen .........................................		473
9.1	Kustbevakningsdatalagen behöver anpassas .......................		473
	9.1.1	Nuvarande reglering..............................................	473
	9.1.2	Kustbevakningsdatalagen delas upp.....................	473

SOU 2017:74 Innehåll

9.2	Tillämpningsområdet............................................................		475
9.3	Grundläggande bestämmelser om behandling ....................		478
	9.3.1	Tillåtna rättsliga grunder och behandling för
		nya ändamål............................................................	478

9.3.2Behandling av biometriska och genetiska

	uppgifter.................................................................	480
9.3.3	Sökning på känsliga personuppgifter ...................	481
9.4 Gemensamt tillgängliga uppgifter........................................		484
9.4.1	Behandling för diarieföring ska undantas ............	484

9.4.2En ny kategori av personuppgifter får göras

		gemensamt tillgängliga ..........................................	484
	9.4.3	Sökning i gemensamt tillgängliga uppgifter.........	485
10	Skattebrottsdatalagen ..............................................		489
10.1	Skattebrottsdatalagen behöver anpassas ..............................		489
	10.1.1	Nuvarande reglering ..............................................	489
	10.1.2	Skattebrottsdatalagen ges ett nytt namn..............	489
10.2	Tillämpningsområdet............................................................		490
10.3	Grundläggande bestämmelser om behandling ....................		491

10.3.1Tillåtna rättsliga grunder och behandling för

nya ändamål............................................................

491

10.3.2Behandling av biometriska och genetiska

		uppgifter.................................................................	492
	10.3.3 Sökning på känsliga personuppgifter ...................		493
10.4	Gemensamt tillgängliga uppgifter........................................		495
10.5	Övergångsbestämmelser till skattebrottsdatalagen ............		497
11	Åklagardatalagen.....................................................		499
11.1	Åklagardatalagen behöver anpassas .....................................		499
	11.1.1	Nuvarande reglering ..............................................	499
	11.1.2	Åklagardatalagen delas upp ...................................	500
11.2	Tillämpningsområdet............................................................		501
11.3	Grundläggande bestämmelser om behandling ....................		504

Innehåll

SOU 2017:74

11.3.1Tillåtna rättsliga grunder och behandling för

		nya ändamål ...........................................................	504
	11.3.2 Behandling av biometriska och genetiska
		uppgifter ................................................................	506
	11.3.3 Sökning på känsliga personuppgifter ...................		507
11.4	Gemensamt tillgängliga uppgifter .......................................		508
12	Domstolsdatalagen...................................................		511
12.1	Behovet av ny reglering ........................................................		511
	12.1.1	Nuvarande reglering..............................................	511
	12.1.2 Regleringen för domstolarna kräver särskilda
		överväganden .........................................................	511
	12.1.3 En särskild registerlagstiftning inom
		brottsdatalagens tillämpningsområde ..................	512
12.2	Utgångspunkter för regleringen ..........................................		513
	12.2.1 Den nya lagen ska gälla utöver brottsdatalagen ..		513
	12.2.2 Domstolsdatalagen kan bilda mönster.................		514
	12.2.3 Vissa bestämmelser i domstolsdatalagen
		behövs inte.............................................................	514
12.3	Allmänna bestämmelser .......................................................		516
	12.3.1	Tillämpningsområdet ............................................	516
	12.3.2	Personuppgiftsansvar............................................	519
	12.3.3 Ska domstolarna utse dataskyddsombud? ...........		520
	12.3.4 Uppgifter om juridiska personer..........................		521
12.4	Grundläggande bestämmelser om behandling....................		522
	12.4.1 Tillåtna rättsliga grunder för behandling .............		522
	12.4.2 Behandling för nya ändamål .................................		524
	12.4.3	Särskilda upplysningar ..........................................	526
	12.4.4	Behandling av personnummer ..............................	527

12.4.5Behandling av biometriska och genetiska

	uppgifter ................................................................	528
12.5 Sökning..................................................................................		529
12.5.1 Sökförbudet i brottsdatalagen ska inte gälla........		529
12.5.2	Särskilda sökförbud...............................................	531
12.5.3	Tillåtna sökningar..................................................	534

SOU 2017:74 Innehåll

12.6	Utlämnande av personuppgifter ..........................................		535
	12.6.1	Direktåtkomst .......................................................	535
	12.6.2	Elektroniskt utlämnande.......................................	536
12.7	Frågor om föreskriftsrätt .....................................................		537
12.8	Administrativa sanktionsavgifter .........................................		539
12.9	Skadestånd .............................................................................		540
12.10	Överklagande ........................................................................		541
12.11	Övergångsbestämmelser.......................................................		542
13	Lagen om behandling av personuppgifter inom
	kriminalvården ........................................................		545
13.1	Lagen om behandling av personuppgifter inom
	kriminalvården behöver anpassas .........................................		545
	13.1.1	Lagens nuvarande struktur....................................	545
	13.1.2	En omodern lagstiftning .......................................	546
	13.1.3 Två olika registerlagar för kriminalvården ...........		547
13.2	Allmänna bestämmelser........................................................		549
	13.2.1	Tillämpningsområdet ............................................	549
	13.2.2	Personuppgiftsansvar ............................................	552
13.3	Grundläggande bestämmelser om behandling ....................		553

13.3.1Tillåtna rättsliga grunder och behandling för

nya ändamål............................................................

553

13.3.2Behandling av biometriska och genetiska

		uppgifter.................................................................	558
	13.3.3	Utlämnande av personuppgifter ...........................	559
13.4	Kriminalvårdens register.......................................................		560
	13.4.1	Nuvarande reglering ..............................................	560
	13.4.2 Hur bör den framtida regleringen se ut?..............		562
13.5	Säkerhetsregistret..................................................................		563
	13.5.1	Reglering i lag ........................................................	563
	13.5.2 Registrering av häktade och intagna.....................		565
	13.5.3 Registrering av den som utövar våld eller hot .....		569
	13.5.4	Registrering avseende andra..................................	570
	13.5.5 Sökning på känsliga personuppgifter ...................		571

Innehåll

SOU 2017:74

13.5.6 Direktåtkomst och annat utlämnande .................		572
13.5.7 Längsta tid som personuppgifter får behandlas ..		574
13.5.8	Föreskrifter............................................................	574
13.6 Bestämmelser som inte längre behövs.................................		575
13.6.1 Sökning på känsliga personuppgifter ...................		575
13.6.2	Tillgången till personuppgifter.............................	575
13.6.3	Omprövning ..........................................................	576
13.6.4	Överklagande ........................................................	577
13.7 Anpassningar av förordningen om behandling av
personuppgifter inom kriminalvården ................................		579
13.7.1	Behovet av översyn ...............................................	579

13.7.2Anpassningar till brottsdatalagen och

		kriminalvårdens brottsdatalag ..............................	579
	13.7.3 Andra ändringar i förordningen ...........................		581
14	Säkerhetspolisens behandling av personuppgifter........		585
14.1	Bakgrund ...............................................................................		585
	14.1.1 Säkerhetspolisens uppdrag och verksamhet ........		585
	14.1.2	Säkerhetspolisens organisation ............................	587
	14.1.3	Regleringen av personuppgiftsbehandlingen.......	588
14.2	En ny lag för Säkerhetspolisens
	personuppgiftsbehandling....................................................		592
	14.2.1	Allmänna utgångspunkter ....................................	592

14.2.2En särskild lag för Säkerhetspolisens

	personuppgiftsbehandling ....................................	596
14.2.3	Lagens syfte ...........................................................	599
14.3 Lagens tillämpningsområde .................................................		600
14.3.1	Avgränsningen av tillämpningsområdet ..............	600
14.3.2 Ska andra myndigheter tillämpa lagen?................		604

14.3.3Säkerhetspolisen ska även tillämpa

		brottsdatalagen ......................................................	606
14.4	Regleringen ska utgå från regleringen i polisdatalagen ......		606
14.5	Allmänna bestämmelser .......................................................		607
	14.5.1	Förhållandet till annan lagstiftning ......................	607
	14.5.2	Personuppgiftsansvar............................................	608

SOU 2017:74	Innehåll
14.5.3 Definitioner ...........................................................	609
14.5.4 Uppgifter om juridiska personer ..........................	610
14.6 Ändamål och rättsliga grunder för behandlingen ...............	611
14.6.1 Ändamål för behandling av personuppgifter .......	611

14.6.2Primära och sekundära ändamålsbestämmelser

är bestämmelser om rättslig grund .......................	614
14.6.3 Rättslig grund för behandling – huvudregeln ......	617

14.6.4Rättslig grund i undantagsfall för diarieföring

	och handläggning...................................................	619
14.6.5	Rättslig grund för behandling genom
	utlämnande.............................................................	620
14.7 Grundläggande krav på behandlingen..................................		622
14.7.1	Författningsenlig och korrekt behandling ...........	622

14.7.2Personuppgifter ska vara korrekta, adekvata

och relevanta ..........................................................	622
14.7.3 Känsliga personuppgifter ......................................	625

14.7.4Åtgärder för att säkerställa

		personuppgifternas kvalitet...................................	631
14.8	Uppgifter från transportföretag...........................................		633
14.9	Gemensamt tillgängliga uppgifter........................................		634
	14.9.1	Allmänt om regleringen ........................................	634
	14.9.2	Särskilda upplysningar...........................................	635
14.10	Behandling av personuppgifter i ostrukturerad
	information............................................................................		638
	14.10.1	Behovet av reglering ..............................................	638
	14.10.2	Undantag från kravet på särskilda
		upplysningar...........................................................	640
14.11	Elektroniskt utlämnande ......................................................		643
	14.11.1	Elektroniskt utlämnande på annat sätt än
		genom direktåtkomst ............................................	643
	14.11.2	Behovet av direktåtkomst .....................................	644
	14.11.3	Direktåtkomst för vissa svenska myndigheter ....	648
	14.11.4	Direktåtkomst för underrättelse- och
		säkerhetstjänster inom EU och EES ....................	655

Innehåll

SOU 2017:74

14.12 Sekretessbrytande bestämmelser .........................................		660
14.12.1	Uppgiftsskyldighet gällande rättsstatistik ...........	660
14.12.2	Sekretessgenombrott gentemot svenska
	myndigheter...........................................................	660
14.12.3	Sekretessgenombrott i övrigt ...............................	664
14.13 Längsta tid som personuppgifter får behandlas..................		665
14.13.1 Innebörden av nuvarande reglering......................		665
14.13.2 Hur länge får personuppgifter behandlas? ..........		667
14.13.3 Personuppgifter som inte har gjorts
	gemensamt tillgängliga..........................................	668
14.13.4 Personuppgifter som har gjorts gemensamt
	tillgängliga..............................................................	669
14.13.5 Personuppgifter som rör viss
	säkerhetshotande verksamhet ..............................	671
14.13.6 Ärenden om utredning av eller lagföring för
	brott .......................................................................	676
14.13.7 Möjlighet att förlänga tiden för behandling ........		677
14.13.8	Föreskrifter............................................................	678
14.14 Skyldigheter som personuppgiftsansvarig ..........................		680
14.15 Enskildas rättigheter.............................................................		685
14.16 Sanktioner, skadestånd och rättsmedel ...............................		688
14.16.1 Ingen straffbestämmelse i den nya lagen .............		688
14.16.2 Sanktionsavgift bör inte få tas ut .........................		689
14.16.3	Skadestånd .............................................................	692
14.16.4	Överklagande ........................................................	693
14.17 Överföring av personuppgifter till tredjeland och
internationella organisationer ..............................................		694
14.17.1	Utgångspunkter ....................................................	694
14.17.2 Grundläggande förutsättningar för överföring ...		697
14.17.3 Tillåtna grunder för överföring ............................		699
14.17.4 Överföring till andra mottagare ...........................		702
14.17.5 Villkor för användningen av personuppgifter .....		704
14.17.6	Dokumentationskrav ............................................	705

SOU 2017:74 Innehåll

15	Tillsyn över Säkerhetspolisen ....................................		707
15.1	Det behövs en särskild reglering ..........................................		707
15.2	Vem ska utöva tillsyn över Säkerhetspolisen?.....................		711
	15.2.1 För- och nackdelar med parallell tillsyn...............		711
	15.2.2 Bör den parallella tillsynen bestå? ........................		713
15.3	Tillsynsområdet.....................................................................		717
15.4	Tillsynen enligt Säkerhetspolisens datalag ..........................		718
	15.4.1	Allmän tillsyn.........................................................	718
	15.4.2 Förhandssamråd och annat råd och stöd .............		720
15.5	Befogenheter vid tillsynen enligt den nya lagen..................		722
	15.5.1	Undersökningsbefogenheter ................................	722

15.5.2Både förebyggande och korrigerande

		befogenheter behövs .............................................	723
	15.5.3	Förebyggande befogenheter .................................	724
	15.5.4	Korrigerande befogenheter ...................................	725
15.6	Handläggningen av tillsynsfrågor ........................................		726
	15.6.1	Kommunikationsskyldighet..................................	726
	15.6.2	Överklagande .........................................................	727
	15.6.3	Anmälningsskyldighet...........................................	728
15.7	Säkerhets- och integritetsskyddsnämndens tillsyn.............		728
	15.7.1	Nämndens allmänna tillsyn...................................	728
	15.7.2 Kontroll på begäran av enskild .............................		730
	15.7.3	Anmälningsskyldighet...........................................	732
16	Register över tillträdesförbud vid idrottsarrangemang .. 735
16.1	Nuvarande reglering .............................................................		735
	16.1.1	Tillträdesförbudsregistret .....................................	735
	16.1.2	Polismyndighetens roll..........................................	736
	16.1.3	Idrottsorganisationernas roll ................................	737
16.2	Två olika regleringar .............................................................		738
16.3	Regleringen för Polismyndigheten ......................................		742
16.4	Regleringen för idrottsorganisationerna .............................		744
16.5	Följdändringar.......................................................................		744

Innehåll

SOU 2017:74

17	Övriga författningsändringar......................................		747
17.1	Tystnadsplikt för dataskyddsombud...................................		747
17.2	Sekretessfrågor......................................................................		749
	17.2.1	Följdändringar i offentlighets- och
		sekretesslagen ........................................................	749
	17.2.2 Sekretess för uppgifter i verksamhet för
		teknisk bearbetning och lagring ...........................	750
	17.2.3 Sekretess för uppgifter som behandlas i strid
		med personuppgiftsregleringen............................	751
	17.2.4	Sekretess för personuppgiftsincidenter ...............	752
17.3	Lagen om internationellt polisiärt samarbete .....................		753
17.4	Lagen om Polismyndighetens elimineringsdatabas............		755
17.5	Hänvisningar till 2013 års lag ska upphävas........................		756

18	Ikraftträdande och övergångsbestämmelser ................		759
18.1	Ikraftträdande .......................................................................		759
18.2	Samma övergångsbestämmelser för flertalet
	författningar..........................................................................		759
	18.2.1	Behovet av övergångsbestämmelser .....................	759
	18.2.2	Skadestånd .............................................................	760
	18.2.3	Sanktioner..............................................................	760
18.3	Övergångsbestämmelser till Säkerhetspolisens datalag
	och domstolarnas brottsdatalag...........................................		761
	18.3.1	Ärendehandläggning m.m. ...................................	761
	18.3.2	Övergångsbestämmelser i övrigt..........................	762
18.4	Särskilda övergångsproblem.................................................		764

18.4.1Den nya dataskyddsregleringen medför

särskilda övergångsproblem..................................	764
18.4.2 Problemen med olika

ikraftträdandetidpunkter ......................................

764

18.4.3Problem om genomförandet av direktivet

fördröjs ..................................................................

767

SOU 2017:74 Innehåll

19	Konsekvenser..........................................................		769
19.1	Allmänt om konsekvenserna ................................................		769
	19.1.1	Anpassningar av registerförfattningarna..............	769
	19.1.2 Två nya lagar men inga nya arbetsuppgifter.........		770
	19.1.3 Modernisering av vissa författningar....................		771
19.2	Ekonomiska konsekvenser ...................................................		773
	19.2.1	Konsekvenser för staten........................................	773
	19.2.2 Konsekvenser för kommuner, landsting och
		enskilda...................................................................	774
19.3	Konsekvenser för det brottsförebyggande arbetet .............		774
19.4	Konsekvenser i övrigt ...........................................................		775

20	Författningskommentar ............................................	777
20.1	Förslaget till Säkerhetspolisens datalag (2018:000) ............	777
20.2	Förslaget till domstolarnas brottsdatalag (2018:000).........	832
20.3	Förslaget till lag om ändring i rättegångsbalken .................	844
20.4	Förslaget till lag om ändring i polislagen (1984:387) .........	845
20.5	Förslaget till lag om ändring i säkerhetsskyddslagen
	(1996:627)..............................................................................	845

20.6Förslaget till lag om ändring i lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett

	annat land inom Europeiska unionen ..................................	845
20.7	Förslaget till lag om ändring i lagen (2000:344) om
	Schengens informationssystem ............................................	846
20.8	Förslaget till lag om ändring i lagen (2001:185) om
	behandling av uppgifter i Tullverkets verksamhet ..............	846
20.9	Förslaget till lag om ändring i lagen (2001:617) om
	behandling av personuppgifter inom kriminalvården .........	847
20.10	Förslaget till lag om ändring i lagen (2005:321) om
	tillträdesförbud vid idrottsarrangemang..............................	861

Innehåll

SOU 2017:74

20.11	Förslaget till lag om ändring i lagen (2007:980) om
	tillsyn över viss brottsbekämpande verksamhet .................	861
20.12	Förslaget till lag om ändring i offentlighets- och
	sekretesslagen (2009:400) ....................................................	863
20.13	Förslaget till lag om ändring i polisdatalagen (2010:361) ..	865
20.14	Förslaget till lag om ändring i kustbevakningsdatalagen
	(2012:145) .............................................................................	901
20.15	Förslaget till lag om ändring i lagen (2014:400) om
	Polismyndighetens elimineringsdatabas .............................	918
20.16	Förslaget till lag om ändring i lagen (2015:51) om
	register över tillträdesförbud vid idrottsarrangemang .......	920
20.17	Förslaget till lag om ändring i åklagardatalagen
	(2015:433) .............................................................................	922
20.18	Förslaget till lag om ändring i utlänningsdatalagen
	(2016:27) ...............................................................................	936
20.19	Förslaget till lag om ändring i tullagen (2016:253) ............	936
20.20	Förslaget till lag om ändring i tullbrottsdatalagen
	(2017:447) .............................................................................	936
20.21	Förslaget till lag om ändring i skattebrottsdatalagen
	(2017:452) .............................................................................	957
20.22	Förslaget till lag om ändring i lagen (2017:496) om
	internationellt polisiärt samarbete.......................................	972
20.23	Förslaget till lag om ändring i brottsdatalagen
	(2018:000) .............................................................................	975
Bilaga 1 Kommittédirektiv 2016:21...........................................		979

Sammanfattning

Uppdraget

Europeiska unionen har enats om en genomgripande dataskydds- reform som ska vara genomförd under våren 2018. Reformen om- fattar dels en allmän dataskyddsförordning, dels ett dataskydds- direktiv som behandlar dataskyddet vid bl.a. brottsbekämpning, lagföring och straffverkställighet. En konsekvens av reformen är att personuppgiftslagen kommer att upphävas och att all lagstiftning om personuppgiftsbehandling behöver ses över och anpassas.

Utredningens uppdrag är att föreslå hur det nya direktivet ska genomföras i svensk rätt genom en ny ramlagstiftning och att an- passa registerförfattningarna för myndigheterna i rättskedjan till de nya förutsättningarna. Utredningen ska också överväga om det finns anledning att reglera Säkerhetspolisens personuppgiftsbe- handling separat.

Brottsdatalagen förutsätter en ny struktur

I delbetänkandet Brottsdatalag (SOU 2017:29) föreslår utredning- en en ny lag, brottsdatalagen, som kommer att fylla ungefär samma funktion som personuppgiftslagen gör i dag i verksamhet som rör brottsbekämpning, lagföring, straffverkställighet och upprätthål- lande av allmän ordning och säkerhet. I brottsdatalagen finns de grundläggande bestämmelserna om hur personuppgifter får be- handlas. Där regleras även personuppgiftsansvarigas skyldigheter, enskildas rättigheter och tillsynen över personuppgiftsbehandling. Brottsdatalagen innehåller vidare bestämmelser om administrativa sanktionsavgifter, skadestånd och rättsmedel.

Registerförfattningarna för myndigheterna i rättskedjan utgår i dag från personuppgiftslagen, antingen genom att registerförfatt-

Sammanfattning

SOU 2017:74

ningen gäller i stället för personuppgiftslagen men hänvisar till be- stämmelser i den eller genom att registerförfattningen gäller utöver personuppgiftslagen. Utredningen föreslår att registerförfattning- arna ska gälla utöver brottsdatalagen och innehålla bestämmelser som innebär preciseringar, undantag eller avvikelser från bestäm- melserna i den lagen. Bestämmelser i registerförfattningarna om bl.a. syfte, automatiserad behandling, personuppgiftsombud, be- handling av känsliga personuppgifter och tillgången till personupp- gifter ska därför upphävas. Det föranleder omfattande redaktionella ändringar i registerförfattningarna.

De registerförfattningar som reglerar personuppgiftsbehandling både inom och utanför brottsdatalagens tillämpningsområde ren- odlas så att de bara gäller vid personuppgiftsbehandling inom till- lämpningsområdet. Det gäller lagen om behandling av personupp- gifter inom kriminalvården, kustbevakningsdatalagen och åklagar- datalagen. För domstolarna skapas i stället en ny lag för den per- sonuppgiftsbehandling som ligger inom tillämpningsområdet. För att det ska vara tydligt att registerförfattningarna gäller utöver brottsdatalagen ges de nya namn.

Anpassningar och andra ändringar i de brottsbekämpande myndigheternas registerförfattningar

Tillämpningsområdet

I dag utgår tillämpningsområdet i de brottsbekämpande myndighe- ternas registerförfattningar från i vilken verksamhet personupp- giftsbehandlingen utförs. Det som kommer att bli avgörande för tillämpningen är i stället dels om myndigheten agerar i egenskap av behörig myndighet enligt brottsdatalagen, dels i vilket syfte per- sonuppgifterna behandlas. Tillämpningsområdet blir därmed sma- lare än i dag, eftersom inte all personuppgiftsbehandling som utförs inom ramen för brottsbekämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet omfattas, t.ex. utlämnande av allmänna handlingar enligt tryckfrihetsförordningen eller för ändamål utanför brottsdatalagens tillämpningsområde.

SOU 2017:74

Sammanfattning

Tillåtna rättsliga grunder och behandling för nya ändamål

Regleringen av för vilka ändamål de brottsbekämpande myndig- heterna får behandla personuppgifter är i dag uppdelad i primära och sekundära ändamål. Regleringen föreslås i stort sett vara oför- ändrad när det gäller de primära ändamålen men det tydliggörs att det är fråga om bestämmelser om rättslig grund.

Innan personuppgifter behandlas för nya ändamål inom brotts- datalagens tillämpningsområde ska det enligt brottsdatalagen alltid prövas om det finns en tillåten rättslig grund för den nya be- handlingen och om den är nödvändig och proportionerlig för det nya ändamålet. Det behöver däremot inte prövas om det nya ändamålet är förenligt med det ursprungliga. När personuppgifter behandlas för ändamål utanför tillämpningsområdet ska data- skyddsförordningen tillämpas. Utredningen föreslår att en pröv- ning av nödvändighet och proportionalitet ska göras även innan personuppgifter behandlas för ändamål utanför brottsdatalagens tillämpningsområde. Någon prövning behöver dock inte göras om skyldighet att lämna uppgifter följer av lag eller förordning. Upp- räkningen i de sekundära ändamålsbestämmelserna av i vilka situa- tioner personuppgifter får tillhandahållas ersätts alltså av en sär- skild prövning både vid behandling för ändamål inom och utanför brottsdatalagens tillämpningsområde.

Behandling av känsliga personuppgifter

Brottsdatalagen förbjuder sökningar i personuppgifter i syfte att få fram ett personurval grundat på känsliga personuppgifter. I regis- terförfattningarna ska det göras undantag från förbudet som är anpassade till respektive myndighets behov av att kunna behandla känsliga personuppgifter. Brottsbekämpande myndigheter ska få använda t.ex. uppgifter som beskriver en persons utseende eller brottsrubriceringar ska vara tillåtet vid sökning i alla slags person- uppgifter. Vid sökning i uppgifter som inte är gemensamt tillgäng- liga, dvs. som bara ett fåtal personer har tillgång till, ska sökning i syfte att ta fram personurval grundade på vissa känsliga person- uppgifter få göras.

Sammanfattning

SOU 2017:74

Längsta tid för behandling

I registerförfattningarna finns det bestämmelser om bevarande och gallring. De syftar till att skydda den personliga integriteten och reglerar inte bevarande och gallring i arkivlagens mening. De ska därför formuleras om så att det framgår att det är fråga om data- skyddsbestämmelser. Regleringen ska utgå från hur länge person- uppgifter får behandlas. Någon ändring av hur länge olika typer av personuppgifter får behandlas görs i princip inte.

Utökade möjligheter till elektroniskt utlämnande

Regleringen av i vilken utsträckning personuppgifter får lämnas ut på medium för automatiserad behandling moderniseras för att möta de ökade behoven av att kunna kommunicera elektroniskt. Det blir tillåtet att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt.

Viss reglering flyttas till registerförfattningarna

Bestämmelserna om Polismyndighetens behandling av personupp- gifter i registret över tillträdesförbud vid idrottsarrangemang flyt- tas till polisens brottsdatalag. Lagen om register över tillträdesför- bud vid idrottsarrangemang renodlas så att den bara reglerar idrottsorganisationernas personuppgiftsbehandling.

Regleringen av Polismyndighetens, Säkerhetspolisens och Tull- verkets behandling av personuppgifter som tillhandahålls av trans- portföretag flyttas till respektive myndighets registerförfattning.

En ny lag för domstolarna

Domstolsdatalagen reglerar i dag personuppgiftsbehandling både inom och utanför brottsdatalagens tillämpningsområde i domsto- larnas rättskipande och rättsvårdande verksamhet. Den del av dom- stolarnas personuppgiftsbehandling som ligger inom tillämpnings- området ska regleras i en ny lag, domstolarnas brottsdatalag. Den nya lagen utformas med domstolsdatalagen som mönster men an- passas till den systematik och terminologi som finns i övriga regis-

SOU 2017:74

Sammanfattning

terförfattningar inom brottsdatalagens tillämpningsområde. Vissa frågor som hittills reglerats i förordning lyfts upp i lagen.

Allmän domstol ska tillämpa lagen när personuppgifter behand- las i syfte att handlägga mål och ärenden om utredning av eller lag- föring för brott, ändring eller verkställighet av straffrättsliga påfölj- der eller upprätthållande av allmän ordning och säkerhet. Allmän förvaltningsdomstol ska tillämpa lagen när personuppgifter be- handlas i syfte att handlägga mål och ärenden om verkställighet av häktning eller straffrättsliga påföljder. Till skillnad från i dag om- fattar tillämpningsområdet inte personuppgiftsbehandling i den administrativa verksamheten som avser att på begäran lämna ut uppgifter ur mål eller ärenden.

Innan domstolar behandlar personuppgifter för nya ändamål inom brottsdatalagens tillämpningsområde ska de pröva om be- handlingen är nödvändig och proportionerlig för det nya ändamå- let. Vid behandling för nya ändamål utanför brottsdatalagens till- lämpningsområde gäller dataskyddsförordningen. Någon prövning av om behandlingen är nödvändig och proportionerlig behöver inte göras om domstolsdatalagen ska tillämpas. En sådan prövning krävs däremot i andra fall, om inte skyldighet att lämna uppgifter följer av lag eller förordning.

Domstolarna ska inte tillämpa sökförbudet i brottsdatalagen. I stället ska motsvarande sökförbud som i domstolsdatalagen, som förbjuder användningen av uppgifter som avslöjar känsliga person- uppgifter och uppgifter om brott eller misstanke om brott och nationell anknytning som sökbegrepp, gälla. Samma undantag från förbudet som finns i domstolsdatalagen ska gälla.

Regleringen av Kriminalvårdens personuppgiftsbehandling

Kriminalvårdens reglering har en annan struktur än övriga register- författningar, eftersom större delen finns i förordning. Regleringen anpassas till brottsdatalagen och blir mer lik övriga registerförfatt- ningar. Utredningens uppdrag har dock inte omfattat att göra en total översyn av regleringen och någon ny lag föreslås därför inte, trots att alla bestämmelser ändras och lagen får en helt ny struktur.

Lagen ska tillämpas när kriminalvården behandlar personuppgif- ter i syfte att verkställa häktning eller straffrättsliga påföljder eller

Sammanfattning

SOU 2017:74

biträda andra behöriga myndigheter när de utför arbetsuppgifter som omfattas av brottsdatalagens tillämpningsområde eller för att fullgöra internationella åtaganden. På samma sätt som för de brottsbekämpande myndigheterna ska behandling för nya ändamål föregås av en prövning av om behandlingen är nödvändig och pro- portionerlig för det nya ändamålet, oavsett om ändamålet ligger inom eller utanför brottsdatalagens tillämpningsområde.

Regleringen av säkerhetsregistret flyttas till lagen, moderniseras och görs mer generell. Uppgifter om den som är häktad eller verk- ställer fängelsestraff ska få registreras om personen utgör en säker- hetsrisk. Även uppgifter om personer som en registrerad har viss anknytning till ska få behandlas om det är absolut nödvändigt. Om det finns risk för att någon som verkställer en påföljd inom krimi- nalvården utövar våld eller hot mot personer i kriminalvårdens lokaler ska uppgifter om honom eller henne också få behandlas i säkerhetsregistret. Det görs undantag från sökförbudet i brotts- datalagen för sökningar i säkerhetsregistret i syfte att få fram per- sonurval grundat på vissa känsliga personuppgifter.

Bestämmelserna om Kriminalvårdens underrättelseskyldighet bryts ut ur registerförordningen och placeras i en ny förordning.

En ny lag för Säkerhetspolisen

Regleringen utgår från dagens reglering och brottsdatalagen

Utredningen föreslår att det ska införas en ny lag om Säkerhets- polisens behandling av personuppgifter, Säkerhetspolisens datalag, som ersätter regleringen i polisdatalagen. Den regleringen ska bilda mönster för den nya lagen, som ska vara heltäckande och därför blir betydligt mer omfattande än dagens reglering. Den nya lagen följer i princip brottsdatalagens systematik och innehåll. Det inne- bär att bestämmelserna om grundläggande krav på behandling, den personuppgiftsansvariges skyldigheter, enskildas rättigheter, skade- stånd, rättsmedel och överföring av personuppgifter till tredjeland i stort sett överensstämmer med brottsdatalagens bestämmelser.

Lagen ska gälla vid behandling av personuppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lag- förande verksamhet. När Säkerhetspolisen behandlar personuppgif- ter som inte rör nationell säkerhet i syfte att bekämpa och lagföra

SOU 2017:74 Sammanfattning

brott ska myndigheten tillämpa brottsdatalagen och polisens brottsdatalag.

Rättslig grund för behandling av personuppgifter

Regleringen av för vilka ändamål Säkerhetspolisen får behandla per- sonuppgifter är i dag uppdelad i primära och sekundära ändamål. Regleringen behålls i stort sett oförändrad men det tydliggörs att det är fråga om bestämmelser om rättslig grund – rättslig grund för behandling och rättslig grund för utlämnande.

Behandling av känsliga personuppgifter

Huvudregeln är att Säkerhetspolisen på samma sätt som i dag inte ska få behandla känsliga personuppgifter. Om uppgifter om en person redan behandlas ska de dock få kompletteras med känsliga personuppgifter om det är absolut nödvändigt.

Säkerhetspolisen får i dag använda uppgifter som avslöjar käns- liga personuppgifter som sökbegrepp om det är absolut nödvän- digt. Utredningen föreslår att samma sökförbud som i brottsdata- lagen ska gälla för Säkerhetspolisen, dvs. att det ska vara förbjudet att göra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. Från förbudet görs det undantag. Det ska vara tillåtet att använda brottsrubriceringar, uppgifter om tillväga- gångssätt vid brott och uppgifter som beskriver en persons utseen- de vid sökning. Även sökningar i syfte att få fram personurval grundat på flertalet känsliga personuppgifter ska tillåtas, om sök- ningen är absolut nödvändig.

Elektroniskt utlämnande

Säkerhetspolisen ska få lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt.

Säkerhetspolisen ska få medge Polismyndigheten, Försvarsmak- ten och Försvarets radioanstalt direktåtkomst till personuppgifter som har gjorts gemensamt tillgängliga och som Säkerhetspolisen behandlar för vissa syften. Även underrättelse- och säkerhetstjäns-

Sammanfattning

SOU 2017:74

ter inom EU och EES ska få medges direktåtkomst till uppgifter som Säkerhetspolisen behandlar för vissa syften om det behövs för samarbetet mot terrorism. Sådan direktåtkomst ska dock endast få medges till personuppgifter i en avskild uppgiftssamling och rege- ringen ska underrättas innan direktåtkomst medges.

Längsta tid för behandling

Personuppgifter ska inte få behandlas under längre tid än vad som behövs för något eller några av de syften för vilka Säkerhetspolisen får behandla personuppgifter. Huvudregeln ska på samma sätt som i dag vara att personuppgifter som har gjorts gemensamt tillgäng- liga inte får behandlas längre än tio år efter det år då den senaste registreringen avseende personen gjordes. Uppgifter om personer som ännu inte fyllt 18 år ska dock inte få behandlas längre än fem år från den senaste registreringen. Personuppgifter som hänför sig till sådan säkerhetshotande verksamhet som avses i 18 och 19 kap. brottsbalken ska inte få behandlas längre än 40 år efter det år då den senaste registreringen gjordes. På samma sätt som i dag ska Säkerhetspolisen kunna besluta att personuppgifter får behandlas under längre tid om det finns särskilda skäl.

Tillsyn över Säkerhetspolisens personuppgiftsbehandling

Både Datainspektionen och Säkerhets- och integritetsskyddsnämn- den ska på i huvudsak samma sätt som i dag utöva tillsyn över Säkerhetspolisens personuppgiftsbehandling.

Datainspektionen ska utöva allmän tillsyn över personuppgifts- behandling enligt den nya lagen och ge råd och stöd till Säkerhets- polisen. Inspektionen ska i huvudsak ha samma befogenheter som enligt brottsdatalagen. Säkerhetspolisen ska dock inte kunna påfö- ras administrativ sanktionsavgift.

Säkerhets- och integritetsskyddsnämnden ska utöva tillsyn över Säkerhetspolisens personuppgiftsbehandling och på begäran av en- skild kontrollera om behandlingen av personuppgifter är författ- ningsenlig.

SOU 2017:74

Sammanfattning

Ikraftträdande och övergångsbestämmelser

De nya registerförfattningarna och ändringarna i de befintliga registerförfattningarna föreslås träda i kraft den 1 maj 2018. Det krävs särskilda övergångsbestämmelser för det nya sanktionssys- temet och för ersättning för skador som har vållats före ikraftträ- dandet. Till de nya lagarna krävs det övergångsbestämmelser dels för mål och ärenden som rör behandlingen av personuppgifter som har påbörjats före ikraftträdandet men inte hunnit slutföras, dels för mål som har överklagats men som inte har hunnit slutföras inom den tiden.

1 Författningsförslag

1.1Förslag till

Säkerhetspolisens datalag (2018:000)

Härigenom föreskrivs följande.

1 kap. Allmänna bestämmelser

Syftet med lagen

1 § Syftet med denna lag är att skydda fysiska personers grund- läggande fri- och rättigheter i samband med behandling av person- uppgifter och att säkerställa att Säkerhetspolisen kan behandla och utbyta personuppgifter på ett ändamålsenligt sätt.

Lagens tillämpningsområde

2 § Denna lag gäller vid behandling av personuppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lag- förande verksamhet.

Lagen gäller i tillämpliga delar vid Polismyndighetens behand- ling av personuppgifter när myndigheten har övertagit en arbets- uppgift som rör nationell säkerhet från Säkerhetspolisen.

Vid behandling av personuppgifter enligt denna lag gäller inte lagen (2018:000) med kompletterande bestämmelser till EU:s data- skyddsförordning.

3 § Lagen gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av person- uppgifter som ingår i eller är avsedda att ingå i en strukturerad

Författningsförslag

SOU 2017:74

samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

Förhållandet till annan reglering

4 § I lagen (2017:496) om internationellt polisiärt samarbete och i föreskrifter som regeringen har meddelat i anslutning till den lagen, finns det särskilda bestämmelser om behandling av personuppgifter som följer av internationella överenskommelser. Om det i dessa författningar finns avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag.

5 § Bestämmelserna i denna lag ska inte tillämpas i den utsträck- ning det skulle inskränka skyldigheten enligt 2 kap. tryckfrihetsför- ordningen att lämna ut personuppgifter.

6 § I brottsdatalagen (2018:000) och polisens brottsdatalag (2010:361) finns det bestämmelser om Säkerhetspolisens behand- ling av personuppgifter i frågor som inte rör nationell säkerhet.

Personuppgiftsansvar

7 § Säkerhetspolisen är personuppgiftsansvarig för den behand- ling av personuppgifter som myndigheten utför.

Polismyndigheten är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför.

Personuppgiftsansvaret omfattar all behandling av personupp- gifter som utförs under respektive myndighets ledning eller på dess vägnar.

8 § Säkerhetspolisen får vara gemensamt personuppgiftsansvarig med annan endast i den utsträckning det följer av lag eller förord- ning eller om regeringen i ett enskilt fall beslutar om det.

SOU 2017:74

Författningsförslag

Uttryck i lagen

9 § I denna lag används följande uttryck med nedan angiven bety- delse.

Uttryck	Betydelse
Behandling av personuppgifter	En åtgärd eller kombination
	av åtgärder som vidtas i fråga
	om personuppgifter eller upp-
	sättningar		av personuppgifter,
	oavsett om det görs automatise-
	rat eller inte, t.ex. insamling,
	registrering, organisering, struk-
	turering,		lagring,		bearbetning
	eller ändring, framtagning, läs-
	ning, användning,				utlämnande,
	spridning eller tillhandahållande
	på annat sätt, justering, sam-
	manföring, begränsning, rader-
	ing eller förstöring.
Biometriska uppgifter	Personuppgifter				som rör en
	persons fysiska, fysiologiska eller
	beteendemässiga				kännetecken,
	som tagits fram genom särskild
	teknisk	behandling och				som
	möjliggör		eller	bekräftar		unik
	identifiering av personen i fråga.
Dataskyddsombud	En fysisk person som utses
	av den personuppgiftsansvarige
	för att självständigt se till att
	personuppgifter			behandlas		för-
	fattningsenligt och på ett kor-
	rekt sätt.
Genetiska uppgifter	Personuppgifter som rör en
	persons	nedärvda			eller förvär-

vade genetiska kännetecken och som härrör från analys av ett spår av eller ett prov från per- sonen i fråga.

Författningsförslag

SOU 2017:74

Internationell organisation En organisation och dess un-

	derställda organ som lyder under
	folkrätten eller ett annat organ
	som inrättats genom eller på
	grundval av en överenskommelse
	mellan två eller flera stater.
Mottagare	Den till vilken personupp-

gifter lämnas ut, med undantag av en myndighet som med stöd


av	författning utövar				tillsyn,
kontroll eller revision.
Personuppgift	Varje	upplysning			om	en
identifierad			eller	identifierbar
fysisk person som är i livet.
Personuppgiftsansvarig	Den som ensam eller tillsam-
mans med			andra	bestämmer
ändamålen med och medlen för
behandlingen av personuppgifter.
Personuppgiftsbiträde	Den	som,	med	stöd av		ett

	skriftligt avtal eller annan skrift-
	lig överenskommelse, behandlar
	personuppgifter för den per-
	sonuppgiftsansvariges räkning.
Registrerad	Den fysiska person som per-
	sonuppgiften rör.
Tillsynsmyndighet	Den myndighet som rege-
	ringen utser att enligt denna lag
	utöva tillsyn över personupp-
	giftsbehandling.
Tredjeland	En stat som inte är medlem i
	Europeiska unionen eller Euro-
	peiska ekonomiska samarbets-
	området och som inte heller på
	grund av avtal med Europeiska
	unionen	har	en motsvarande
	ställning.
Tredje man	Någon annan än den regist-
	rerade,	den	personuppgiftsan-
	svarige,	dataskyddsombudet,

SOU 2017:74

Författningsförslag

personuppgiftsbiträdet och så- dana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har rätt att behandla per- sonuppgifter.

Uppgift som rör hälsa Personuppgift som rör en persons fysiska eller psykiska hälsa, inkluderande information om tillhandahållande av hälso- och sjukvårdstjänster som ger upplysning om personens hälso- status.

Lagens tillämpning på uppgifter om juridiska personer

10 § Bestämmelserna om personuppgifter i följande paragrafer gäller också vid behandling av uppgifter om juridiska personer:

1.7 § om personuppgiftsansvar,

2.2 kap. 1–3 §§ om tillåtna rättsliga grunder för behandling av personuppgifter,

3.3 kap. 2 och 3 §§ om gemensamt tillgängliga uppgifter,

4.4 kap. 1–4 och 6–11 §§ om längsta tid som personuppgifter får behandlas, och

5.5 kap. 5 § om tillgången till personuppgifter.

2 kap. Behandling av personuppgifter

Tillåtna rättsliga grunder för behandling av personuppgifter

1 § Personuppgifter får behandlas om det är nödvändigt för att utföra en arbetsuppgift i syfte att

1. förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar

a)brott mot rikets säkerhet,

b)terrorbrott, eller

c)tryckfrihetsbrott eller yttrandefrihetsbrott med rasistiska eller främlingsfientliga motiv,

Författningsförslag

SOU 2017:74

2.utreda eller lagföra sådana brott som avses i 1, eller, efter sär- skilt beslut, annat brott,

3.fullgöra uppgifter

a)i samband med personskydd av den centrala statsledningen och andra som regeringen eller Säkerhetspolisen bestämmer,

b)enligt säkerhetsskyddslagen (1996:627), eller

c)enligt utlännings- och medborgarskapslagstiftningen,

4.fullgöra annan arbetsuppgift som rör nationell säkerhet och som anges i lag eller förordning eller särskilt beslut av regeringen, eller

5.fullgöra förpliktelser som följer av internationella åtaganden. Arbetsuppgiften ska framgå av en lag, en förordning eller ett

särskilt beslut i vilket regeringen uppdragit åt myndigheten att an- svara för en sådan uppgift.

2 § Personuppgifter som behandlas med stöd av 1 § får även be- handlas om det är nödvändigt för att tillhandahålla information som behövs

1.för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000) hos Polismyndigheten, Ekobrottsmyndigheten, Åkla- garmyndigheten, Tullverket, Kustbevakningen och Skatteverket,

2.i en myndighets verksamhet, om informationen tillhandahålls inom ramen för myndighetsöverskridande samverkan mot brott,

3.i Försvarsmaktens försvarsunderrättelseverksamhet och mili- tära säkerhetstjänst och i Försvarets radioanstalts försvarsunderrät- telseverksamhet, om det finns särskilda skäl att tillhandahålla infor- mationen,

4.i en myndighets verksamhet om Säkerhetspolisen enligt lag eller förordning ska bistå myndigheten med viss uppgift,

5.i brottsbekämpande verksamhet hos en utländsk myndighet eller mellanfolklig organisation, eller

6.i verksamhet hos utländsk underrättelse- eller säkerhetstjänst. Personuppgifter som behandlas med stöd av 1 § får även be-

handlas, om det är nödvändigt för att tillhandahålla information till riksdagen och regeringen och, i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning, till andra.

I ett enskilt fall får personuppgifter som behandlas med stöd av 1 § även behandlas för att tillhandahålla information för något annat ändamål än de som anges i första och andra styckena, under

SOU 2017:74

Författningsförslag

förutsättning att ändamålet inte är oförenligt med det ändamål som uppgifterna samlades in för.

3 § Personuppgifter får även behandlas om

1.det är nödvändigt för diarieföring, eller

2.uppgifterna har lämnats till Säkerhetspolisen i en anmälan, an- sökan eller liknande och behandlingen är nödvändig för handlägg- ningen.

Ändamål för behandling av personuppgifter

4 § Personuppgifter får behandlas bara för särskilda, uttryckligt angivna och berättigade ändamål.

Personuppgifter får inte behandlas för något ändamål som är oförenligt med det ändamål för vilket personuppgifterna ursprung- ligen behandlades.

5 § Säkerhetspolisen får behandla personuppgifter för vetenskap- liga, statistiska eller historiska ändamål inom denna lags tillämp- ningsområde.

Grundläggande krav på behandling av personuppgifter

Laglig och korrekt behandling

6 § Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt.

Personuppgifternas kvalitet

7 § Personuppgifter som behandlas ska vara korrekta och, om det är nödvändigt, uppdaterade.

Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet.

Författningsförslag

SOU 2017:74

8 § Personuppgifter som behandlas ska vara adekvata och rele- vanta i förhållande till ändamålen med behandlingen. Fler person- uppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen.

Känsliga personuppgifter

9 § Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas.

När uppgifter om en person behandlas får de dock kompletteras med sådana uppgifter som anges i första stycket om det är absolut nödvändigt för ändamålet med behandlingen.

10 § Säkerhetspolisen får behandla biometriska uppgifter endast om det är absolut nödvändigt för ändamålet med behandlingen. Genetiska uppgifter får inte behandlas.

11 § Personuppgifter som avses i 9 och 10 §§ betecknas som känsliga personuppgifter. Känsliga personuppgifter får behandlas med stöd av 3 §.

12 § Det är förbjudet att utföra sökning i syfte att få fram ett personurval grundat på känsliga personuppgifter.

Första stycket hindrar inte att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott eller uppgifter som beskriver en persons utseende används vid sökning.

Första stycket hindrar inte heller sökning i syfte att få fram ett personurval grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sökningen är absolut nödvändig för något av de syften som anges i 1 §.

SOU 2017:74

Författningsförslag

Åtgärder för att säkerställa personuppgifternas kvalitet

13 § Alla rimliga åtgärder ska vidtas för att personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med be- handlingen utan onödigt dröjsmål rättas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Personuppgifter som är inaktuella ska uppdateras om det är nödvändigt.

14 § Alla rimliga åtgärder ska vidtas för att personuppgifter som behandlas i strid med 1–6, 8–10 eller 12 § eller 4 kap. 1 § första stycket, 2–4 eller 7–11 § utan onödigt dröjsmål raderas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Det- samma gäller om radering krävs för att utföra en rättslig förplik- telse.

Om förutsättningarna i första stycket för att radera personupp- gifter är uppfyllda men de behöver finnas kvar som bevisning, ska Säkerhetspolisen i stället utan onödigt dröjsmål begränsa behand- lingen av uppgifterna.

Uppgiftsskyldighet och utlämnande av personuppgifter

15 § Personuppgifter som är nödvändiga för att framställa rätts- statistik ska lämnas till den myndighet som ansvarar för att fram- ställa sådan statistik.

16 § Om det är förenligt med svenska intressen, får personupp- gifter lämnas ut till

1.Interpol eller Europol, eller till en polismyndighet eller åkla- garmyndighet i en stat som är ansluten till Interpol, om det behövs för att myndigheten eller organisationen ska kunna förebygga, för- hindra, upptäcka, utreda eller lagföra brott, eller

2.utländsk underrättelse- eller säkerhetstjänst.

Personuppgifter får vidare lämnas ut till en utländsk myndighet eller mellanfolklig organisation, om utlämnandet följer av en inter- nationell överenskommelse som Sverige har tillträtt efter riksda- gens godkännande.

Författningsförslag

SOU 2017:74

17 § Polismyndigheten har, trots sekretess enligt 21 kap. 3 § första stycket, 35 kap. 1 § och 37 kap. 1 § offentlighets- och sekre- tesslagen (2009:400), rätt att ta del av personuppgifter som har gjorts gemensamt tillgängliga och som behandlas med stöd av 1 § första stycket 1–3 a, om myndigheten behöver uppgifterna för något av de syften som anges i 2 kap. 1 § första stycket 1 eller 2 polisens brottsdatalag (2010:361).

18 § Försvarets radioanstalt och Försvarsmakten har, trots sekre- tess enligt 21 kap. 3 § första stycket, 35 kap. 1 § och 37 kap. 1 § offentlighets- och sekretsslagen (2009:400), rätt att ta del av per- sonuppgifter som har gjorts gemensamt tillgängliga och som be- handlas med stöd av 1 § första stycket 1 eller 2, om den mottagande myndigheten behöver uppgifterna i sin försvarsunderrättelseverk- samhet eller militära säkerhetstjänst.

19 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt.

Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 3 kap. 5–7 §§.

Personuppgifter från transportföretag

20 § Personuppgifter som tillhandahålls Säkerhetspolisen enligt 25 § polislagen (1984:387) får behandlas för något av de syften som anges i 1 § första stycket 1–3 a.

Personuppgifter som avses i första stycket får endast i ett en- skilt fall behandlas för nya ändamål.

21 § Vid terminalåtkomst enligt 26 § polislagen (1984:387) får Säkerhetspolisen inte ändra eller på annat sätt bearbeta personupp- gifterna.

SOU 2017:74

Författningsförslag

Föreskrifter

22 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om

1.att personuppgifter får lämnas ut i andra fall än som anges i 15–18 §§,

2.begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt 19 § första stycket,

3.underrättelseskyldighet, och

4.sökning i personuppgifter.

3 kap. Gemensamt tillgängliga uppgifter

Allmän bestämmelse

1 § Detta kapitel innehåller särskilda bestämmelser för behand- ling av personuppgifter som görs eller har gjorts gemensamt till- gängliga. Personuppgifter som endast ett fåtal personer har rätt att ta del av anses inte som gemensamt tillgängliga.

Detta kapitel gäller inte när personuppgifter behandlas med stöd av 2 kap. 3 §.

Personuppgifter som får göras gemensamt tillgängliga

2 § Personuppgifter får göras gemensamt tillgängliga om det be- hövs för något av de syften som anges i 2 kap. 1 §.

Särskilda upplysningar

3 § Om det inte framgår av sammanhanget eller på något annat sätt för vilket ändamål som gemensamt tillgängliga personuppgifter behandlas, ska det tydliggöras genom en särskild upplysning.

4 § Om uppgifter som är gemensamt tillgängliga direkt kan hän- föras till en person som inte är misstänkt för brott eller för att ha utövat eller komma att utöva brottslig verksamhet, ska det genom en särskild upplysning eller på något annat sätt framgå att personen

Författningsförslag

SOU 2017:74

inte är misstänkt för brott eller brottslig verksamhet som avses i 2 kap. 1 § första stycket 1 eller 2.

Uppgifter om en person som kan antas ha direkt samband med sådan brottslig verksamhet som avses i 2 kap. 1 § första stycket 1 ska förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Någon upplysning behöver dock inte lämnas om det på grund av omständigheterna är onödigt.

Någon upplysning enligt andra stycket behöver inte heller läm- nas om

1.uppgifterna ingår i en uppgiftssamling som har skapats för att bearbeta och analysera information och som enbart särskilt angivna tjänstemän har åtkomst till och

2.bearbetningen av uppgifterna inte har genomförts.

Direktåtkomst

5 § Polismyndigheten får för något av de syften som anges i 2 kap. 1 § första stycket 1 eller 2 polisens brottsdatalag (2010:361) medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 1 § första stycket 1–3 a. Direktåtkomsten får endast avse personuppgifter som har gjorts gemensamt tillgängliga.

6 § Försvarets radioanstalt och Försvarsmakten får i försvars- underrättelseverksamheten och den militära säkerhetstjänsten med- ges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 1 § första stycket 1 eller 2. Direktåtkomsten får endast avse personuppgifter som har gjorts gemensamt tillgängliga.

7 § Om det behövs för samarbetet mot terrorism får en underrät- telse- eller säkerhetstjänst i en medlemsstat i Europeiska unionen eller Europeiska ekonomiska samarbetsområdet medges direktåt- komst till personuppgifter i en avskild uppgiftssamling som Säker- hetspolisen upprättat i syfte att dela information med sådana mot- tagare. Uppgiftssamlingen får endast innehålla personuppgifter som behandlas med stöd av 2 kap. 1 § första stycket 1 b och har gjorts gemensamt tillgängliga.

SOU 2017:74

Författningsförslag

Innan direktåtkomst medges en utländsk underrättelse- eller säkerhetstjänst enligt första stycket ska Säkerhetspolisen under- rätta regeringen.

Föreskrifter

8 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen med- dela föreskrifter om underrättelseskyldighet vid direktåtkomst.

9 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om omfattningen av direktåtkomst enligt 5–7 §§ och om behörig- het och säkerhet vid sådan åtkomst.

4 kap. Längsta tid som personuppgifter får behandlas

Allmän bestämmelse

1 § Personuppgifter får inte behandlas under längre tid än vad som behövs för något eller några av de syften som anges i 2 kap. 1– 3 §§.

Det som sägs i första stycket hindrar inte att Säkerhetspolisen arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet.

Vid automatiserad behandling gäller också de begränsningar som följer av 2–11 §§.

Personuppgifter som inte har gjorts gemensamt tillgängliga

2 § Trots det som sägs i 1 § andra stycket får personuppgifter som inte har gjorts gemensamt tillgängliga inte behandlas längre än

1.ett år efter det att ärendet avslutades, om de behandlas i ett ärende, eller

2.ett år efter det att de behandlades automatiserat första gången, om de inte kan hänföras till ett ärende.

Första stycket gäller inte personuppgifter i ärenden om utred- ning av eller lagföring för brott.

Författningsförslag

SOU 2017:74

Gemensamt tillgängliga uppgifter i ärenden om utredning av eller lagföring för brott

3 § Om en brottsanmälan avskrivs på grund av att den påstådda gärningen inte utgör brott, får personuppgifterna i anmälan inte längre behandlas för ändamål inom denna lags tillämpningsområde. Om en brottsanmälan i annat fall inte har lett till förundersökning eller annan motsvarande utredning, får personuppgifterna inte be- handlas för ändamål inom denna lags tillämpningsområde när åtal inte längre får väckas för brottet.

4 § Om en förundersökning har lett till åtal eller annan domstols- prövning, får personuppgifterna i förundersökningen inte behand- las för ändamål inom denna lags tillämpningsområde längre än fem år efter utgången av det kalenderår då domstolens avgörande fick laga kraft.

Om en förundersökning har lagts ner eller avslutats på annat sätt än genom åtal, får personuppgifterna i förundersökningen inte behandlas för ändamål inom denna lags tillämpningsområde längre än fem år efter utgången av det kalenderår då åklagarens eller för- undersökningsledarens beslut meddelades.

Första och andra styckena gäller även personuppgifter i andra utredningar som handläggs enligt bestämmelser i 23 kap. rätte- gångsbalken.

5 § Om en förundersökning mot en person har lagts ner, om ett åtal har lagts ner eller om en frikännande dom har fått laga kraft, får personen inte längre vara sökbar som misstänkt.

Övriga gemensamt tillgängliga uppgifter

6 § Trots det som sägs i 1 § andra stycket får andra personupp- gifter än de som anges i 3 och 4 §§ och som har gjorts gemensamt tillgängliga som längst behandlas under den tid som anges i 7– 11 §§.

SOU 2017:74

Författningsförslag

7 § Personuppgifter som behandlas för något av de syften som anges i 2 kap. 1 § första stycket 1 får inte behandlas längre än tio år efter utgången av det kalenderår då den senaste registreringen gjor- des avseende personens anknytning till brottslig verksamhet.

Uppgifter om en person som vid tiden för registreringen inte fyllt 18 år får dock inte behandlas längre än fem år efter utgången av det kalenderår då den senaste registreringen gjordes avseende den unges anknytning till brottslig verksamhet, om någon ny registrering inte gjorts efter det att han eller hon fyllt 18 år.

8 § Personuppgifter som behandlas för något av de syften som anges i 2 kap. 1 § första stycket 3–5 får inte behandlas längre än tio år efter utgången av det kalenderår då den senaste registreringen gjordes avseende personen.

Uppgifter om en person som vid tiden för registreringen inte fyllt 18 år får dock inte behandlas längre än fem år efter utgången av det kalenderår då den senaste registreringen gjordes avseende den unge, om någon ny registrering inte gjorts efter det att han eller hon fyllt 18 år.

9 § Personuppgifter som behandlas i en sådan uppgiftssamling som anges i 3 kap. 4 § tredje stycket får inte behandlas längre än

1.tre år efter utgången av det kalenderår då den senaste registre- ringen gjordes avseende personens anknytning till brottslig verk- samhet, om uppgifterna behandlas för något av de syften som anges

i2 kap. 1 § första stycket 1, och

2.tre år efter utgången av det kalenderår då den senaste regis- treringen gjordes avseende personen, om uppgifterna behandlas för något av de syften som anges i 2 kap. 1 § första stycket 3–5.

10 § Personuppgifter som hänför sig till sådan säkerhetshotande verksamhet som avses i 18 och 19 kap. brottsbalken som utövas av främmande makt, får inte behandlas längre än 40 år efter utgången av det kalenderår då den senaste registreringen gjordes avseende personens anknytning till brott eller brottslig verksamhet. För per- sonuppgifter som behandlas i en sådan uppgiftssamling som anges i 3 kap. 4 § tredje stycket gäller 9 §.

Författningsförslag

SOU 2017:74

11 § Om det finns särskilda skäl får Säkerhetspolisen besluta att personuppgifter får behandlas under längre tid än vad som anges i 7–10 §§, om uppgifterna fortfarande behövs för det ändamål för vilket de behandlas. Om personuppgifter behandlas med stöd av ett sådant beslut ska frågan om fortsatt behandling prövas på nytt senast vid utgången av det tionde kalenderåret efter beslutet eller, om det är fråga om uppgifter som avses i 9 §, senast vid utgången av det tredje kalenderåret efter beslutet. Tiden som personupp- gifterna får behandlas får vid varje tillfälle förlängas med längst tio år eller, om det är fråga om uppgifter som avses i 9 §, med längst tre år.

Föreskrifter

12 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att vissa kategorier av personuppgifter får fortsätta att behandlas för ändamål inom denna lags tillämpnings- område under längre tid än vad som anges i 3 och 4 §§.

13 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om

1.att personuppgifter, med avvikelse från 2 § första stycket och 7–11 §§, får behandlas under längre tid för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål, och

2.begränsning av behandlingen av personuppgifter för ändamål inom denna lags tillämpningsområde vid digital arkivering.

5 kap. Skyldigheter som personuppgiftsansvarig

Åtgärder för att säkerställa författningsenlig behandling

Tekniska och organisatoriska åtgärder

1 § Säkerhetspolisen ska, genom lämpliga tekniska och organi- satoriska åtgärder, säkerställa och kunna visa att behandlingen av personuppgifter är författningsenlig och att registrerades rättig- heter skyddas.

SOU 2017:74

Författningsförslag

2 § Både vid beslut om hur behandlingen ska utföras och vid be- handlingen ska Säkerhetspolisen, genom lämpliga tekniska och organisatoriska åtgärder, se till att dataskyddsprinciper säkerställs på ett effektivt sätt och att nödvändiga skyddsåtgärder integreras i behandlingen (inbyggt dataskydd).

3 § Säkerhetspolisen ska säkerställa att det i automatiserade be- handlingssystem som regel endast är möjligt att behandla de per- sonuppgifter som är nödvändiga för varje särskilt angivet ändamål med behandlingen (dataskydd som standard).

4 § Säkerhetspolisen ska säkerställa att det i automatiserade be- handlingssystem förs loggar över personuppgiftsbehandling i den utsträckning det är särskilt föreskrivet.

Tillgången till personuppgifter

5 § Säkerhetspolisen ska se till att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter.

Konsekvensbedömning och förhandssamråd

6 § Kan en typ av ny behandling, eller betydande förändringar av- seende redan pågående behandling, antas medföra särskild risk för intrång i registrerades personliga integritet, ska Säkerhetspolisen innan behandlingen påbörjas eller förändringen genomförs bedöma konsekvenserna för skyddet av personuppgifter.

Om konsekvensbedömningen visar att det finns särskild risk för intrång i registrerades personliga integritet eller om typen av be- handling innebär särskild risk för intrång, ska Säkerhetspolisen samråda med tillsynsmyndigheten i god tid innan behandlingen på- börjas eller betydande förändringar genomförs.

Författningsförslag

SOU 2017:74

Säkerheten för personuppgifter

7 § Säkerhetspolisen ska vidta lämpliga tekniska och organisato- riska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada.

Samarbete med tillsynsmyndigheten

8 § Säkerhetspolisen ska samarbeta med tillsynsmyndigheten när den utför uppgifter enligt denna lag och föreskrifter som har med- delats i anslutning till den.

Dataskyddsombud

9 § Säkerhetspolisen ska inom myndigheten utse ett eller flera dataskyddsombud och anmäla till tillsynsmyndigheten när data- skyddsombud utses och entledigas.

10 § Dataskyddsombud ska

1.självständigt kontrollera att Säkerhetspolisen behandlar per- sonuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter,

2.informera och ge råd till Säkerhetspolisen och de som be- handlar personuppgifter under myndighetens ledning om deras skyldigheter vid behandling av personuppgifter,

3.på begäran ge Säkerhetspolisen råd vid en konsekvensbedöm- ning och kontrollera att den genomförs på korrekt sätt,

4.vara kontaktpunkt för enskilda i frågor som rör behandling av personuppgifter, och

5.samarbeta med tillsynsmyndigheten och vara kontaktpunkt för den vid förhandssamråd och andra frågor som rör behandling av personuppgifter.

11 § Om Säkerhetspolisen bryter mot bestämmelser för behand- ling av personuppgifter och rättelse inte vidtas, ska dataskydds- ombudet anmäla det till tillsynsmyndigheten.

SOU 2017:74

Författningsförslag

Personuppgiftsbiträden

12 § Säkerhetspolisen får, om det är lämpligt, anlita personupp- giftsbiträden. När ett personuppgiftsbiträde anlitas, ska Säkerhets- polisen försäkra sig om att biträdet vidtar lämpliga tekniska och organisatoriska åtgärder för att behandlingen av personuppgifter ska vara författningsenlig och för att skydda registrerades rättig- heter.

13 § Det ska finnas ett skriftligt avtal eller annan skriftlig över- enskommelse om personuppgiftsbiträdets behandling av person- uppgifter för Säkerhetspolisens räkning.

Ett personuppgiftsbiträde får inte utan skriftligt tillstånd av Säkerhetspolisen anlita ett annat personuppgiftsbiträde.

14 § Ett personuppgiftsbiträde och de som arbetar under biträ- dets ledning får behandla personuppgifter bara i enlighet med in- struktioner från Säkerhetspolisen.

Om ett personuppgiftsbiträde i strid med Säkerhetspolisens in- struktioner fastställer ändamålen med och medlen för behand- lingen, ska biträdet anses vara personuppgiftsansvarig för den be- handlingen.

15 § Det som sägs om Säkerhetspolisens skyldigheter i 4, 5, 7 och 8 §§ gäller även för personuppgiftsbiträden som Säkerhetspolisen anlitar.

Föreskrifter

16 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om

1.åtgärder som avses i 1–4, 6 och 7 §§,

2.tillgången till personuppgifter,

3.skyldigheten att föra register över kategorier av behandling av personuppgifter,

4.skyldigheten att införa interna rutiner för anmälan av överträ- delser, och

5.innehållet i avtal och överenskommelser enligt 13 §.

Författningsförslag

SOU 2017:74

6 kap. Enskildas rättigheter

Rätten till information

Allmän information

1 § Säkerhetspolisen ska göra följande allmänna information till- gänglig för registrerade.

1.Myndighetens identitet och kontaktuppgifter.

2.Dataskyddsombudets kontaktuppgifter.

3.Ändamålen med behandlingen.

4.Rätten enligt 2 § att begära att få information om behandling av personuppgifter och att få del av dem.

5.Rätten att begära rättelse, radering eller begränsning av be- handlingen enligt 6 och 7 §§.

Personrelaterad information

2 § Säkerhetspolisen ska till den som begär det utan onödigt dröjsmål lämna skriftligt besked om personuppgifter som rör honom eller henne behandlas. Behandlas sådana uppgifter ska sökanden få del av dem och få följande skriftliga information.

1.Vilka personuppgifter om sökanden som behandlas.

2.Varifrån personuppgifterna kommer.

3.Den rättsliga grunden för behandlingen.

4.Ändamålen med behandlingen.

5.Mottagare eller kategorier av mottagare av personuppgifterna, även i tredjeland eller internationella organisationer.

6.Hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det.

7.Rätten att begära rättelse, radering eller begränsning av be- handlingen enligt 6 och 7 §§.

Utlämnande enligt första stycket behöver inte omfatta person- uppgifter som sökanden har tagit del av, om inte han eller hon be- gär det. Det ska dock framgå av informationen att personuppgif- terna i fråga behandlas.

SOU 2017:74

Författningsförslag

Begränsning av rätten till information

3 § Informationsskyldigheten i 2 § gäller inte i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade.

Om förutsättningarna i första stycket är uppfyllda, är Säker- hetspolisen inte skyldig att lämna ut skälen för beslut enligt första stycket eller beslut i fråga om rättelse, radering eller begränsning av behandlingen enligt 6 eller 7 §.

4 § Informationsskyldigheten i 2 § gäller inte personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjor- des eller som utgör minnesanteckning eller liknande.

Informationsskyldigheten gäller dock om uppgifterna har läm- nats ut till tredje man, behandlas enbart för vetenskapliga, statis- tiska eller historiska ändamål eller arkivändamål av allmänt intresse eller, när det gäller löpande text som inte fått sin slutliga utform- ning, om uppgifterna har behandlats längre än ett år.

5 § Om en begäran enligt 2 § är orimlig eller uppenbart ogrundad får Säkerhetspolisen avslå den.

Av 9 § andra stycket framgår att Säkerhetspolisen i vissa fall får ta ut avgift i stället för att avslå begäran.

Rätten till rättelse, radering och begränsning av behandlingen

6 § Säkerhetspolisen ska på begäran av den registrerade utan onö- digt dröjsmål rätta eller komplettera personuppgifter som rör honom eller henne om de är felaktiga eller ofullständiga med hän- syn till ändamålet med behandlingen.

Om Säkerhetspolisen inte kan fastställa att personuppgifterna är korrekta ska behandlingen av uppgifterna i stället utan onödigt dröjsmål begränsas.

7 § Säkerhetspolisen ska på begäran av den registrerade utan onö- digt dröjsmål radera personuppgifter som rör honom eller henne om de behandlas i strid med 2 kap. 1–6, 8–10 eller 12 § eller 4 kap.

Författningsförslag

SOU 2017:74

1 § första stycket, 2–4 eller 7–11 §. Detsamma gäller om radering krävs för att Säkerhetspolisen ska utföra en rättslig förpliktelse.

Om förutsättningarna i första stycket för att radera personupp- gifter är uppfyllda men de behöver finnas kvar som bevisning, ska Säkerhetspolisen på begäran av den registrerade i stället utan onö- digt dröjsmål begränsa behandlingen av uppgifterna.

8 § Säkerhetspolisen avgör vilken åtgärd som ska vidtas med an- ledning av en begäran om rättelse, radering eller begränsning av be- handlingen.

Avgiftsfri information

9 § Information enligt 1 § ska lämnas utan avgift. Information och uppgifter enligt 2 § ska lämnas utan avgift en gång per år.

Om någon begär information och uppgifter enligt 2 § oftare än en gång per år, får Säkerhetspolisen ta ut en rimlig avgift eller avslå begäran enligt 5 § första stycket.

Föreskrifter

10 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om

1.information enligt 1 och 2 §§,

2.avgift för information som avses i 2 §, och

3.kraven på en begäran enligt 2, 6 eller 7 §.

7 kap. Tillsyn

Tillsyn över personuppgiftsbehandlingen

1 § Tillsynsmyndigheten ska

1.utöva allmän tillsyn över personuppgiftsbehandling, och

2.ge råd och stöd till Säkerhetspolisen och personuppgiftsbiträ- den om deras skyldigheter enligt lag eller annan författning vid förhandssamråd eller när det i övrigt är påkallat.

SOU 2017:74

Författningsförslag

2 § Bestämmelser om tillsyn över Säkerhetspolisens behandling av personuppgifter finns även i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet.

Befogenheter

Undersökningsbefogenheter

3 § Tillsynsmyndigheten har rätt att av Säkerhetspolisen eller ett personuppgiftsbiträde på begäran få

1.tillgång till alla personuppgifter som behandlas,

2.upplysningar om och dokumentation av behandlingen av per- sonuppgifter och säkerhets- och skyddsåtgärder,

3.tillträde till lokaler som Säkerhetspolisen eller ett personupp- giftsbiträde disponerar och tillgång till utrustning och andra medel för behandling av personuppgifter, och

4.det biträde och annan information som behövs för tillsynen.

Förebyggande befogenheter

4 § Om tillsynsmyndigheten bedömer att det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer eller påpekanden försöka förmå Säkerhetspolisen eller personupp- giftsbiträdet att vidta åtgärder för att minska den risken.

Tillsynsmyndigheten får utfärda en skriftlig varning för att pla- nerad behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Detsamma gäller om pågående behandling riskerar att stå i strid med lag eller annan författning.

Korrigerande befogenheter

5 § Om tillsynsmyndigheten konstaterar att personuppgifter be- handlas i strid med lag eller annan författning, eller att Säkerhets- polisen eller ett personuppgiftsbiträde annars inte fullgör sina skyl- digheter, får tillsynsmyndigheten

1. genom sådana åtgärder som anges i 4 § första stycket försöka förmå Säkerhetspolisen eller personuppgiftsbiträdet att vidta åtgär-

Författningsförslag

SOU 2017:74

der för att behandlingen ska bli författningsenlig eller att uppfylla andra skyldigheter,

2.förelägga Säkerhetspolisen eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att fullgöra andra skyldigheter, eller

3.förbjuda fortsatt behandling om bristen är allvarlig.

Om ett föreläggande utfärdas ska det av föreläggandet framgå när åtgärderna senast ska vara genomförda och, om det är lämpligt, vilka åtgärder som ska vidtas.

Kommunikation

6 § Innan tillsynsmyndigheten fattar ett beslut enligt 5 § första stycket 2 eller 3, ska den som beslutet gäller ges tillfälle att inom en bestämd tid yttra sig över allt material av betydelse för beslutet, om det inte är uppenbart obehövligt.

8 kap. Skadestånd och rättsmedel

Skadestånd

1 § Den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som be- handling av personuppgifter i strid med denna lag, eller föreskrifter som har meddelats i anslutning till den, har orsakat.

Överklagande

Överklagande av Säkerhetspolisens beslut

2 § Beslut i fråga om rättelse eller komplettering enligt 6 kap. 6 § första stycket, radering enligt 6 kap. 7 § första stycket eller be- gränsning av behandlingen enligt 6 kap. 6 § andra stycket eller 6 kap. 7 § andra stycket, som har meddelats av Säkerhetspolisen i egenskap av personuppgiftsansvarig, får överklagas till allmän för- valtningsdomstol. Detsamma gäller beslut att inte lämna informa- tion enligt 6 kap. 2 § eller att ta ut avgift enligt 6 kap. 9 § andra stycket.

SOU 2017:74

Författningsförslag

Prövningstillstånd krävs vid överklagande till kammarrätten.

Överklagande av tillsynsmyndighetens beslut

3 § Tillsynsmyndighetens beslut enligt denna lag eller enligt före- skrifter som har meddelats i anslutning till den får överklagas till allmän förvaltningsdomstol.

Prövningstillstånd krävs vid överklagande till kammarrätten.

Beslut som inte får överklagas

4 § Andra beslut enligt denna lag än de som anges i 2 och 3 §§ får inte överklagas.

9 kap. Överföring av personuppgifter till tredjeland och internationella organisationer

Grundläggande förutsättningar för överföring

1 § Säkerhetspolisen får överföra personuppgifter som behandlas till ett tredjeland eller en internationell organisation. Det gäller även överföring av personuppgifter för behandling i ett tredjeland eller av en internationell organisation. Personuppgifterna får dock endast överföras om överföringen

1.riktas till en brottsbekämpande myndighet eller en underrät- telse- eller säkerhetstjänst i ett tredjeland eller en internationell organisation med brottsbekämpande uppdrag och

2.omfattas av

a)ett beslut om adekvat skyddsnivå enligt 3 §, eller

b)tillräckliga skyddsåtgärder enligt 4 §, eller

c)ett undantag för särskilda situationer enligt 5 §.

2 § Personuppgifter som Säkerhetspolisen har fått från en annan stat får överföras till ett tredjeland eller en internationell organi- sation endast om den stat som lämnat uppgifterna till Säkerhetspo- lisen har medgett att de överförs.

Författningsförslag

SOU 2017:74

Tillåtna grunder för överföring

Beslut om adekvat skyddsnivå

3 § Om Europeiska kommissionen har beslutat att det finns en adekvat nivå för skyddet av personuppgifter i ett tredjeland, eller en viss geografisk eller på annat sätt angiven del av det, får personupp- gifter överföras dit. Detsamma gäller om det finns ett sådant beslut avseende en internationell organisation.

Tillräckliga skyddsåtgärder

4 § Om det inte finns ett beslut om adekvat skyddsnivå enligt 3 §, får personuppgifter ändå överföras till ett tredjeland eller en inter- nationell organisation om

1.skyddsåtgärder för personuppgifter har fastställts i ett avtal som ger tillräckliga garantier till skydd för registrerades rättigheter, eller

2.den myndighet eller organisation som uppgifterna ska överfö- ras till på annat sätt garanterar tillräckligt skydd för dem.

Överföring i särskilda situationer

5 § Om det inte finns ett beslut om adekvat skyddsnivå enligt 3 § eller tillräckliga skyddsåtgärder enligt 4 §, får personuppgifter över- föras till ett tredjeland eller en internationell organisation endast om överföringen är nödvändig för att

1.skydda den registrerades eller en annan fysisk persons vitala intressen, eller andra berättigade intressen för den registrerade,

2.i ett enskilt fall förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott,

3.i ett enskilt fall kunna fastställa, göra gällande eller försvara ett rättsligt anspråk som hänför sig till ett sådant syfte som anges i 2, eller

4.avvärja en omedelbar och allvarlig fara för allmän säkerhet. Personuppgifter får inte överföras till ett tredjeland eller en

internationell organisation om den registrerades intresse av skydd mot kränkning av grundläggande fri- och rättigheter väger tyngre

SOU 2017:74

Författningsförslag

än det allmännas intresse av en sådan överföring som avses i första stycket 2 eller 3.

Överföring till andra mottagare

6 § Säkerhetspolisen får i ett enskilt fall överföra personuppgifter till någon annan mottagare än som anges i 1 § i ett tredjeland. Per- sonuppgifterna får överföras endast om

1.det är absolut nödvändigt för att Säkerhetspolisen ska kunna utföra en arbetsuppgift enligt 2 kap. 1 eller 2 § och

2.det skulle vara ineffektivt eller olämpligt att överföra dem till en mottagare som anges i 1 § i det tredjelandet.

Personuppgifter får inte överföras enligt första stycket om den registrerades intresse av skydd mot kränkning av grundläggande fri- och rättigheter väger tyngre än det allmännas intresse av att överföringen görs.

Villkor om användningsbegränsning

7 § Om Säkerhetspolisen har fått personuppgifter från ett tredje- land eller en internationell organisation och det på grund av en överenskommelse med det tredjelandet eller den internationella organisationen gäller villkor som begränsar möjligheten att använda uppgifterna, ska Säkerhetspolisen följa villkoren oavsett vad som är föreskrivet i lag eller annan författning.

8 § Säkerhetspolisen får, vid överföring av personuppgifter till ett tredjeland eller en internationell organisation, ställa upp villkor som begränsar möjligheten att använda uppgifterna, om det krävs från allmän synpunkt eller med hänsyn till enskilds rätt.

Föreskrifter

9 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om dokumentation av överföringar.

Författningsförslag

SOU 2017:74

1.Denna lag träder i kraft den 1 maj 2018.

2.Bestämmelsen i 5 kap. 4 § om loggning behöver inte tillämpas på automatiserade behandlingssystem som inrättats före ikraftträ- dandet förrän den 1 maj 2023.

3.Ärenden om tillsyn över Säkerhetspolisens personuppgiftsbe- handling som rör nationell säkerhet i myndighetens brottsbekäm- pande eller lagförande verksamhet och som Datainspektionen eller Säkerhets- och integritetsskyddsnämnden inte har avgjort före ikraftträdandet handläggs enligt äldre föreskrifter.

4.Äldre föreskrifter gäller fortfarande för överklagande av be- slut som meddelats före ikraftträdandet och som rör behandling av personuppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lagförande verksamhet.

5.Bestämmelsen om skadestånd i 48 § i personuppgiftslagen (1998:204) gäller fortfarande för skada som har orsakats före ikraftträdandet vid behandling av personuppgifter som rör natio- nell säkerhet i Säkerhetspolisens brottsbekämpande och lagförande verksamhet.

SOU 2017:74

Författningsförslag

1.2Förslag till

domstolarnas brottsdatalag (2018:000)

Härigenom föreskrivs följande.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när följan- de domstolar i egenskap av behöriga myndigheter behandlar per- sonuppgifter.

1.Allmän domstol, om uppgifterna behandlas i syfte att hand- lägga mål eller ärenden om utredning av eller lagföring för brott, ändring eller verkställighet av straffrättsliga påföljder eller upprätt- hållande av allmän ordning och säkerhet.

2.Allmän förvaltningsdomstol, om uppgifterna behandlas i syfte att handlägga mål om verkställighet av häktning eller straff- rättsliga påföljder.

Personuppgiftsansvar

2 § En domstol är personuppgiftsansvarig för den behandling av personuppgifter som den utför.

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 § Personuppgifter får behandlas om det är nödvändigt och syf- tet är att handlägga mål eller ärenden om

1.utredning av eller lagföring för brott,

2.verkställighet av häktning eller ändring eller verkställighet av straffrättsliga påföljder, eller

3.upprätthållande av allmän ordning och säkerhet.

Författningsförslag

SOU 2017:74

Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt domstol att ansvara för en sådan uppgift.

2 § Förutsättningarna för att behandla personuppgifter, som be- handlas med stöd av 1 §, för nya ändamål inom denna lags tillämp- ningsområde regleras i 2 kap. 4 § brottsdatalagen (2018:000).

Förutsättningarna för att behandla personuppgifter, som be- handlas med stöd av 1 §, för nya ändamål utanför denna lags till- lämpningsområde regleras i 2 kap. 22 § brottsdatalagen. Någon prövning enligt 2 kap. 22 § andra stycket brottsdatalagen krävs inte när domstolsdatalagen (2015:728) ska tillämpas.

Behandling av personnummer

3 § Personnummer, samordningsnummer och liknande identi- tetsbeteckningar får endast behandlas när det är motiverat med hänsyn till vikten av en säker identifiering eller något annat beak- tansvärt skäl.

Bestämmelser om användning av sådana personuppgifter som anges i första stycket vid sökning finns i 8 §.

Sökning

Undantag från brottsdatalagens sökförbud

4 § Bestämmelserna i 5–10 §§ denna lag och föreskrifter som meddelats i anslutning till den gäller i stället för sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000).

Känsliga personuppgifter och nationell anknytning

5 § Vid sökning i personuppgifter är det förbjudet att som sökbe- grepp använda uppgifter som avslöjar sådana personuppgifter som anges i 2 kap. 11 och 12 §§ brottsdatalagen (2018:000) eller natio- nell anknytning.

SOU 2017:74

Författningsförslag

Brott eller misstanke om brott

6 § I allmän domstol får sökbegrepp som avslöjar brott eller miss- tanke om brott inte användas vid sökning i personuppgifter

1.i mål eller ärenden som har avgjorts slutligt genom en dom eller ett beslut längre än fem år efter utgången av det kalenderår då avgörandet fick laga kraft, eller

2.i tvistemål.

7 § I allmän förvaltningsdomstol får sökbegrepp som avslöjar brott eller misstanke om brott inte användas vid sökning i person- uppgifter i mål som

1.har avgjorts slutligt genom en dom eller ett beslut längre än tjugo år efter utgången av det kalenderår då avgörandet fick laga kraft, eller

2.handläggs av Migrationsöverdomstolen eller en migrations- domstol.

Direkta personuppgifter

8 § Personnamn, personnummer, samordningsnummer och andra uppgifter som direkt kan hänföras till en fysisk person som är i livet får inte användas som sökbegrepp vid sökning i personupp- gifter i brottmål som har avgjorts slutligt genom en dom eller ett beslut längre än fem år efter utgången av det kalenderår då avgöran- det fick laga kraft.

Tillåtna sökningar

9 § Sökförbuden i 5–8 §§ hindrar inte sökning

1.i en viss handling eller i ett visst mål eller ärende, eller

2.med användande av särskilda beteckningar för identifiering av en viss mål- eller ärendetyp.

10 § Sökförbudet i 5 § hindrar inte att allmän förvaltningsdom- stol använder uppgifter som avslöjar hälsa som sökbegrepp. Sådana uppgifter får dock inte användas vid sökning i personuppgifter i mål som

Författningsförslag

SOU 2017:74

1.har avgjorts slutligt genom en dom eller ett beslut längre än tjugo år efter utgången av det kalenderår då avgörandet fick laga kraft, eller

2.handläggs av Migrationsöverdomstolen eller en migrations- domstol.

Utlämnande av personuppgifter

11 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Elektroniskt ut- lämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 12 § och föreskrifter som har meddelats i anslutning till denna lag.

12 § Direktåtkomst får endast medges

1.en allmän domstol,

2.en allmän förvaltningsdomstol, eller

3.en part eller partens ombud, biträde eller försvarare. Direktåtkomst enligt första stycket 3 får endast avse person-

uppgifter i partens mål eller ärende.

Föreskrifter

13 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om ytterligare begränsning av

1.möjligheten att använda de sökbegrepp som anges i 6, 7 och 10 §§,

2.direktåtkomst enligt 12 § första stycket och om behörighet och säkerhet vid sådan åtkomst,

3.möjligheten att lämna ut personuppgifter elektroniskt enligt 11 §, och

4.behandling av personuppgifter som hänför sig till mål eller ärenden som har avgjorts genom dom eller beslut som har fått laga kraft.

SOU 2017:74

Författningsförslag

3 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § Sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i

1.2 kap. 1 § om tillåtna rättsliga grunder för behandling av per- sonuppgifter, eller

2.2 kap. 5–8 §§ om sökning.

Sanktionsavgiften ska vara minst 50 000 kronor och högst 20 000 000 kronor.

Skadestånd

2 § Vid behandling av personuppgifter enligt denna lag eller före- skrifter som har meddelats i anslutning till den ska bestämmelsen i 7 kap. 1 § brottsdatalagen (2018:000) om skadestånd tillämpas på motsvarande sätt.

Överklagande

3 § Bestämmelser om överklagande och om vilka beslut som får överklagas finns i 7 kap. brottsdatalagen (2018:000).

4 § En hovrätts, en tingsrätts eller en förvaltningsrätts beslut som överklagas enligt 7 kap. 2 § första stycket brottsdatalagen (2018:000) överklagas till kammarrätt. En kammarrätts beslut i sådana frågor överklagas till Högsta förvaltningsdomstolen.

Har Högsta domstolen eller Högsta förvaltningsdomstolen meddelat beslut som avses i 7 kap. 2 § första stycket brottsdata- lagen får beslutet inte överklagas.

Kravet på prövningstillstånd i 7 kap. 2 § andra stycket brottsda- talagen gäller inte vid överklagande enligt första stycket.

1.Denna lag träder i kraft den 1 maj 2018.

2.Bestämmelserna i 2 kap. 6 § 1, 7 § 1, 8 § och 10 § 1 om be- gränsning av sökning i fråga om slutligt avgjorda mål och ärenden behöver inte tillämpas förrän den 1 januari 2019.

Författningsförslag

SOU 2017:74

3.Ärenden om tillsyn över personuppgiftsbehandling, som rör behandling av personuppgifter vid handläggningen av mål och ären- den som avses i 2 kap. 1 § första stycket, som Datainspektionen inte har avgjort före ikraftträdandet handläggs enligt äldre före- skrifter.

4.Äldre föreskrifter gäller fortfarande för överklagande av be- slut som meddelats före ikraftträdandet och som rör behandling av personuppgifter vid handläggningen av mål och ärenden som avses

i2 kap. 1 § första stycket.

5.Sanktionsavgift enligt 3 kap. 1 § får beslutas endast för över- trädelser som har begåtts efter ikraftträdandet.

6.Bestämmelsen om skadestånd i 48 § personuppgiftslagen (1998:204) gäller fortfarande för skada som har orsakats före ikraftträdandet vid behandling av personuppgifter vid handlägg- ningen av mål och ärenden som avses i 2 kap. 1 § första stycket.

SOU 2017:74

Författningsförslag

1.3Förslag till

lag om ändring i rättegångsbalken

Härigenom föreskrivs att 28 kap. 12 a och b §§ rättegångsbalken ska ha följande lydelse.

Nuvarande lydelse		Föreslagen lydelse
	28 kap.
	12 a §1
Kroppsbesiktning	genom	Kroppsbesiktning	genom
tagande av salivprov får göras på		tagande av salivprov får göras på
den som skäligen kan misstän-		den som skäligen kan misstän-
kas för ett brott på vilket fäng-		kas för ett brott på vilket fäng-
else kan följa, om syftet är att		else kan följa, om syftet är att
göra en DNA-analys av provet		göra en dna-analys av provet
och registrera DNA-profilen i		och registrera dna-profilen i det
det DNA-register eller det ut-		dna-register eller det utrednings-
redningsregister som förs enligt		register som förs enligt polisens
polisdatalagen (2010:361).		brottsdatalag (2010:361).

12 b §2

Kroppsbesiktning genom tagande av salivprov får göras på annan än den som skäligen kan misstänkas för ett brott, om

1. syftet är att genom en	1. syftet är att genom en dna-
DNA-analys av provet under-	analys av provet underlätta iden-
lätta identifiering vid utredning	tifiering vid utredning av ett
av ett brott på vilket fängelse	brott på vilket fängelse kan
kan följa, och	följa, och

2. det finns synnerlig anledning att anta att det är av betydelse

för utredningen av brottet.
Analysresultatet får inte jäm-	Analysresultatet får inte jäm-
föras med de DNA-profiler som	föras med de dna-profiler som
finns registrerade i register över	finns registrerade i register över

1Senaste lydelse 2010:363.

2Senaste lydelse 2010:363.

Författningsförslag SOU 2017:74

DNA-profiler som förs enligt	dna-profiler som förs enligt
polisdatalagen (2010:361) eller i	polisens brottsdatalag (2010:361)
övrigt användas för annat ända-	eller i övrigt användas för annat
mål än det för vilket provet har	ändamål än det för vilket provet
tagits.	har tagits.

Första stycket gäller inte den som är under 15 år.

Denna lag träder i kraft den 1 maj 2018.

SOU 2017:74

Författningsförslag

1.4Förslag till

lag om ändring i polislagen (1984:387)

Härigenom föreskrivs att 26 § polislagen (1984:387) ska ha föl- jande lydelse.

Nuvarande lydelse Föreslagen lydelse

26 §1

Transportföretag får lämna uppgifter enligt 25 § på så sätt att de görs läsbara för Polismyndigheten eller Säkerhetspolisen genom

terminalåtkomst.
Polismyndigheten och Säker-			Polismyndigheten och Säker-
hetspolisen får ta del av uppgif-			hetspolisen får ta del av uppgif-
ter genom terminalåtkomst en-			ter genom terminalåtkomst en-
dast i den omfattning och under			dast i den omfattning och under
den tid som behövs för att kon-			den tid som behövs för att kon-
trollera	aktuella	transporter.	trollera aktuella transporter.
Uppgifter	som hålls	tillgängliga

på detta sätt får inte ändras eller på annat sätt bearbetas eller lagras av Polismyndigheten eller Säker- hetspolisen.

Uppgifter om enskilda perso- ner som lämnats på annat sätt än genom terminalåtkomst, ska ome- delbart förstöras, om de visar sig sakna betydelse för utredning av eller lagföring för brott.

Denna lag träder i kraft den 1 maj 2018.

1 Senaste lydelse 2014:588.

Författningsförslag

SOU 2017:74

1.5Förslag till

lag om ändring i säkerhetsskyddslagen (1996:627)

Härigenom föreskrivs att 12 § säkerhetsskyddslagen (1996:627) ska ha följande lydelse.

Nuvarande lydelse			Föreslagen lydelse
		12 §1
Med registerkontroll		avses	Med		registerkontroll avses
att uppgifter hämtas från ett			att uppgifter hämtas från ett
register som omfattas av lagen			register som omfattas av lagen
(1998:620) om	belastningsregi-		(1998:620)			om belastningsregi-
ster, lagen (1998:621) om miss-			ster	eller		lagen (1998:621) om
tankeregister	eller	lagen	misstankeregister. Med register-
(2010:362) om polisens allmänna			kontroll avses också att uppgif-
spaningsregister. Med register-			ter hämtas som behandlas med
kontroll avses också att uppgif-			stöd	av	polisens		brottsdatalag
ter hämtas som behandlas med			(2010:361)			eller	Säkerhetspoli-
stöd av polisdatalagen (2010:361).			sens datalag (2018:000).

Denna lag träder i kraft den 1 maj 2018.

1 Senaste lydelse 2010:365.

SOU 2017:74

Författningsförslag

1.6Förslag till

lag om ändring i lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen

Härigenom föreskrivs att 16 § lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europe- iska unionen ska ha följande lydelse.

Nuvarande lydelse Föreslagen lydelse

16 §1

Transportföretag får lämna uppgifter enligt 15 § på så sätt att de görs läsbara för Tullverket genom terminalåtkomst.

Tullverket får ta del av upp-		Tullverket får ta del av upp-
gifter	genom terminalåtkomst	gifter genom terminalåtkomst
endast i den omfattning och		endast i den omfattning och
under den tid som behövs för		under den tid som behövs för
att kontrollera aktuella tran-		att kontrollera aktuella tran-
sporter. Tullverket får inte ändra		sporter.
eller på annat sätt bearbeta eller
lagra uppgifter som hålls tillgäng-
liga på detta sätt.
Uppgifter om enskilda perso-
ner som lämnats på annat sätt än
genom	terminalåtkomst, skall

omedelbart förstöras, om de visar sig sakna betydelse för utredning och lagföring av brott.

Denna lag träder i kraft den 1 maj 2018.

1 Senaste lydelse 1999:434.

Författningsförslag

SOU 2017:74

1.7Förslag till

lag om ändring i lagen (1998:620) om belastningsregister

Härigenom föreskrivs att 1 b § lagen (1998:620)1 om belast- ningsregister ska upphöra att gälla vid utgången av april 2018.

1 Senaste lydelse av 1 b § 2013:331.

SOU 2017:74

Författningsförslag

1.8Förslag till

lag om ändring i lagen (1998:621) om misstankeregister

Härigenom föreskrivs att 1 b § lagen (1998:621)1 om misstanke- register ska upphöra att gälla vid utgången av april 2018.

1 Senaste lydelse av 1 b § 2013:332.

Författningsförslag

SOU 2017:74

1.9Förslag till

lag om ändring i lagen (2000:344) om Schengens informationssystem

Härigenom föreskrivs att 5 § lagen (2000:344) om Schengens informationssystem ska ha följande lydelse.

Nuvarande lydelse Föreslagen lydelse

5 §1

Registret ska endast innehålla uppgifter som har behandlats av behöriga myndigheter i Schengenstaterna, i enlighet med respektive

stats nationella lagstiftning.
Polismyndigheten får föra in	Polismyndigheten får föra in
uppgifter i registret endast om	uppgifter i registret endast om
behandling av motsvarande slag	behandling av motsvarande slag
av uppgifter är tillåten enligt	av uppgifter är tillåten enligt
personuppgiftslagen (1998:204),	brottsdatalagen (2018:000), poli-
polisdatalagen (2010:361) eller	sens brottsdatalag (2010:361) eller
annan svensk författning.	annan svensk författning.

Denna lag träder i kraft den 1 maj 2018.

1 Senaste lydelse 2014:595.

SOU 2017:74

Författningsförslag

1.10Förslag till

lag om ändring i lagen (2001:184) om behandling av personuppgifter

i Kronofogdemyndighetens verksamhet

Härigenom föreskrivs att 1 kap. 3 a § lagen (2001:184)1 om be- handling av personuppgifter i Kronofogdemyndighetens verksam- het ska upphöra att gälla vid utgången av april 2018.

1 Senaste lydelse av 1 kap. 3 a § 2013:336.

Författningsförslag

SOU 2017:74

1.11Förslag till

lag om ändring i lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet

Härigenom föreskivs att 1 kap. 1 och 4 §§ lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet ska ha följande lydelse.

Nuvarande lydelse Föreslagen lydelse

1 kap.

1 §1

Denna lag tillämpas vid behandling av personuppgifter i Tull- verkets verksamhet, om behandlingen är helt eller delvis automati- serad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

Bestämmelserna i 4–6 och 8 §§ samt 2 kap. gäller även vid be- handling av uppgifter om juridiska personer.

Bestämmelserna i			denna lag	Bestämmelserna i denna lag
gäller inte behandling av upp-				gäller inte vid behandling av per-
gifter	i den	brottsbekämpande		sonuppgifter i den brottsbekäm-
verksamhet som Tullverket be-				pande verksamhet som Tullver-
driver.	För	sådan	behandling	ket bedriver.
finns det särskilda bestämmelser i
tullbrottsdatalagen (2017:447).

4 §2

Uppgifter får behandlas för tillhandahållande av information som behövs hos Tullverket för

1.bestämmande, redovisning, betalning och återbetalning av tull, annan skatt och avgifter,

2.övervakning, revision och annan analys- eller kontrollverk- samhet,

1Senaste lydelse 2017:449.

2Senaste lydelse 2017:449.

SOU 2017:74

Författningsförslag

3.fullgörande av ett åliggande som följer av ett för Sverige bin- dande internationellt åtagande, och

4.tillsyn, kontroll, uppföljning och planering av verksamheten.

Uppgifter som behandlas en- ligt första stycket får även be- handlas för tillhandahållande av information som behövs i Tull- verkets brottsbekämpande verk- samhet enligt 2 kap. 5 § tull- brottsdatalagen (2017:447).

Denna lag träder i kraft den 1 maj 2018.

Författningsförslag

SOU 2017:74

1.12Förslag till

lag om ändring i lagen (2001:617)

om behandling av personuppgifter inom kriminalvården

Härigenom föreskrivs i fråga om lagen (2001:617) om behand- ling av personuppgifter inom kriminalvården

dels att 1–16 §§ ska upphöra att gälla,

dels att rubrikerna före 1–10 §§ och 12 § ska utgå,

dels att det ska införas fyra nya kapitel, 1–4 kap., av följande lydelse,

dels att rubriken till lagen ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Lag om behandling av person-	Kriminalvårdens brottsdatalag
uppgifter inom kriminalvården

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när någon av myndigheterna inom kriminalvården i egenskap av behörig myn- dighet behandlar personuppgifter i syfte att verkställa häktning eller straffrättsliga påföljder eller biträda en annan behörig myndig- het när den utför arbetsuppgifter för något av de syften som anges i 1 kap. 2 § brottsdatalagen.

Personuppgiftsansvar

2 § Kriminalvården är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför.

En övervakningsnämnd är personuppgiftsansvarig för den be- handling av personuppgifter som nämnden utför.

SOU 2017:74

Författningsförslag

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 § Personuppgifter får behandlas om det är nödvändigt för att utföra en arbetsuppgift i syfte att

1.verkställa häktning eller straffrättsliga påföljder,

2.förebygga, förhindra eller upptäcka brottslig verksamhet i samband med sådan verkställighet som anges i 1,

3.biträda andra myndigheter när de fullgör arbetsuppgifter för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000), eller

4.fullgöra förpliktelser som följer av internationella åtaganden. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller

av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift.

2 § Förutsättningarna för att behandla personuppgifter, som be- handlas med stöd av 1 §, för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000).

Känsliga personuppgifter

3 § Kriminalvården får behandla biometriska uppgifter enligt de förutsättningar som anges i 2 kap. 12 § brottsdatalagen (2018:000).

Utlämnande av personuppgifter

4 § Kriminalvården får till en utländsk myndighet eller internatio- nell organisation lämna ut de personuppgifter som behövs för

1.prövning och genomförande av överflyttning av straffverk- ställighet,

2.transitering och förvaring av en person som är frihetsberövad för brottsbekämpning, lagföring eller verkställighet av straff, eller

3.tillfällig överflyttning av en frihetsberövad person för brotts- bekämpning, lagföring eller straffverkställighet.

Författningsförslag

SOU 2017:74

Längsta tid som personuppgifter får behandlas

5 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som behandlas automatiserat inte behandlas längre än tio år efter det att den senaste påföljden eller åtgärden avseende den registrerade helt har verkställts eller upp- hört.

I 3 kap. 7 § finns bestämmelser om hur länge personuppgifter i säkerhetsregistret får behandlas.

Föreskrifter

6 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om

1.vilka personuppgifter som får behandlas enligt 1 §,

2.utlämnande av personuppgifter i andra fall än som anges i 4 §,

3.frågor som rör elektroniskt utlämnande genom direktåt- komst,

4.längsta tid som personuppgifter får behandlas, och

5.att personuppgifter, med avvikelse från 5 §, får behandlas under längre tid för arkivändamål av allmänt intresse och veten- skapliga, statistiska eller historiska ändamål.

3 kap. Säkerhetsregistret

Rätten att föra register

1 § Kriminalvården får föra ett säkerhetsregister. I säkerhetsregi- stret får personuppgifter behandlas i syfte att

1.förebygga, förhindra eller upptäcka brott eller brottslig verk- samhet på häkten och i kriminalvårdsanstalter eller i samband med annan straffverkställighet, och

2.säkerställa ordning och säkerhet på häkten, i kriminalvårdsan- stalter och annan verksamhet som Kriminalvården bedriver.

SOU 2017:74

Författningsförslag

Innehåll

2 § I säkerhetsregistret får uppgifter behandlas om en person som är häktad eller verkställer fängelsestraff och som är eller har varit placerad på säkerhetsavdelning.

I registret får även uppgifter behandlas om en person som är häktad eller verkställer fängelsestraff, om det finns risk för att han eller hon

1.under häktning eller verkställighet av fängelsestraff begår brott som inte är ringa eller deltar i brottslig verksamhet som innefattar brott för vilket det är föreskrivet fängelse i två år eller däröver,

2.förbereder rymning eller försöker rymma,

3.blir föremål för fritagning,

4.medverkar i eller på annat sätt bidrar till att allvarligt störa ordningen eller säkerheten på ett häkte eller i en kriminalvårdsan- stalt, eller

5.utsätts för våld eller hot under verkställigheten.

3 § I säkerhetsregistret får även uppgifter behandlas om en per- son som verkställer en påföljd inom kriminalvården, om det finns risk för att han eller hon utövar våld eller hot mot eller otillbörlig påverkan på personal eller andra personer som uppehåller sig i kri- minalvårdens lokaler.

4 § Om det är absolut nödvändigt för ändamålet med behand- lingen enligt 1 §, får Kriminalvården i säkerhetsregistret behandla uppgifter om en person som har personlig anknytning till eller annan nära förbindelse med en person som anges i 2 §. Om den förstnämnde inte är häktad eller verkställer fängelsestraff ska det framgå genom en särskild upplysning.

Sökning

5 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte sökning i personuppgifter i säkerhetsregistret i syfte att få fram ett personurval grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning.

Författningsförslag

SOU 2017:74

Direktåtkomst

6 § Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten och Åklagarmyndigheten får medges direktåtkomst till personupp- gifter i säkerhetsregistret för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000).

Längsta tid som personuppgifter får behandlas

7 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter i säkerhetsregistret inte behandlas längre än fem år efter det att den registrerade blivit villkorligt fri- given från ett fängelsestraff eller annars helt har verkställt straffet eller, utan att ha dömts till sådan påföljd, har frigetts från häkte.

Föreskrifter

8 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om innehållet i säkerhetsregistret och om utlämnande av person- uppgifter ur registret.

4 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § Sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i

1.2 kap. 1 § om tillåtna rättsliga grunder för behandling av per- sonuppgifter,

2.3 kap. 4 § om särskild upplysning, eller

3.2 kap. 5 § eller 3 kap. 7 § om längsta tid som personuppgifter får behandlas.

Sanktionsavgift får också tas ut vid överträdelse av föreskrifter som har meddelats i anslutning till denna lag om särskild upplys- ning eller om längsta tid som personuppgifter får behandlas.

Sanktionsavgiften ska vara minst 50 000 kronor och högst 20 000 000 kronor.

SOU 2017:74

Författningsförslag

Skadestånd

Överklagande

3 § Bestämmelser om överklagande och om vilka beslut som får överklagas finns i 7 kap. brottsdatalagen (2018:000).

1.Denna lag träder i kraft den 1 maj 2018.

2.Sanktionsavgift enligt 4 kap. 1 § får beslutas endast för över- trädelser som har begåtts efter ikraftträdandet.

3.Äldre bestämmelser ska gälla för överträdelser som har be- gåtts före ikraftträdandet.

4.Äldre föreskrifter gäller fortfarande för överklagande av be- slut som meddelats före ikraftträdandet och som rör behandling av personuppgifter vid verkställighet av häktning eller straffrättsliga påföljder eller biträde till andra behöriga myndigheter.

5.Bestämmelsen om skadestånd i 48 § personuppgiftslagen (1998:204) gäller fortfarande för skada som har orsakats före ikraftträdandet vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till den.

Författningsförslag

SOU 2017:74

1.13Förslag till

lag om ändring i lagen (2005:321) om tillträdesförbud vid idrottsarrangemang

Härigenom föreskrivs att 8 a § lagen (2005:321) om tillträdes- förbud vid idrottsarrangemang ska ha följande lydelse.

Nuvarande lydelse			Föreslagen lydelse
		8 a §1
En polisman eller annan an-			En polisman eller annan an-
ställd vid Polismyndigheten får			ställd vid Polismyndigheten får
fotografera en person som har			fotografera en person som har
eller skäligen kan antas få till-			eller skäligen kan antas få till-
trädesförbud enligt denna lag i			trädesförbud enligt denna lag i
syfte att fotografiet ska kunna			syfte att fotografiet ska kunna
tillföras det register som Polis-			tillföras det register som Polis-
myndigheten får	föra	enligt	myndigheten får	föra enligt
lagen (2015:51) om register över			5 kap. polisens	brottsdatalag
tillträdesförbud	vid	idrotts-	(2010:361).
arrangemang.

Denna lag träder i kraft den 1 maj 2018.

1 Senaste lydelse 2015:55.

Nämnden ska även utöva till- syn över Säkerhetspolisens be- handling av personuppgifter som rör nationell säkerhet i brotts- bekämpande och lagförande verksamhet. Tillsynen ska sär- skilt avse sådan behandling som avses i 2 kap. 9 och 10 §§ Säker- hetspolisens datalag (2018:000).

Tillsynen ska särskilt syfta till att säkerställa att verksamhet enligt första och andra styckena bedrivs i enlighet med lag eller annan författning.

SOU 2017:74

Författningsförslag

1.14Förslag till

lag om ändring i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet

Härigenom föreskrivs att 1, 3 och 4 §§ lagen (2007:980) om till- syn över viss brottsbekämpande verksamhet ska ha följande lydelse.

Lydelse enligt SOU 2016:65 Föreslagen lydelse

1 §

Säkerhets- och integritetsskyddsnämnden (nämnden) ska utöva tillsyn över brottsbekämpande myndigheters användning av hem- liga tvångsmedel och kvalificerade skyddsidentiteter och därmed sammanhängande verksamhet.

Nämnden ska även utöva till- syn över behandlingen av per- sonuppgifter i Säkerhetspolisens brottsbekämpande verksamhet. Tillsynen ska särskilt avse sådan behandling som avses i 2 kap. 10 § polisdatalagen (2010:361).

Nuvarande lydelse			Föreslagen lydelse
		3 §
Nämnden är skyldig att på			Nämnden är skyldig att på
begäran av en enskild kontrol-			begäran av en enskild kontrol-
lera om han eller hon har utsatts			lera om han eller hon
för	sådana	tvångsmedel eller	1. har utsatts för sådana
varit	föremål	för sådan person-	tvångsmedel som avses i 1 § och

Författningsförslag

SOU 2017:74

uppgiftsbehandling som avses	i
1 § och om användningen	av

tvångsmedel och därmed sam- manhängande verksamhet eller behandlingen av personuppgifter har skett i enlighet med lag eller annan författning. Nämnden skall underrätta den enskilde om att kontrollen har utförts.

om användningen av dem och därmed sammanhängande verk- samhet har varit i enlighet med lag eller annan författning, eller

2. varit föremål för sådan per- sonuppgiftsbehandling som avses i 1 § och om den har utförts i en- lighet med lag eller annan för- fattning.

Nämnden ska underrätta den enskilde om att kontrollen har utförts.

Nämnden får vägra att utföra kontroll om begäran är orimlig eller uppenbart ogrundad.

4 §

Nämnden har rätt att av för-	Nämnden har rätt att av för-
valtningsmyndigheter som om-	valtningsmyndigheter som om-
fattas av tillsynen få de uppgif-	fattas av tillsynen få de uppgif-
ter och det biträde som nämn-	ter och upplysningar, den infor-
den begär. Även domstolar samt	mation och det biträde som
de förvaltningsmyndigheter som	nämnden begär. Även domstolar
inte omfattas av tillsynen är	och de förvaltningsmyndigheter
skyldiga att lämna nämnden de	som inte omfattas av tillsynen är
uppgifter som den begär.	skyldiga att lämna nämnden de
	uppgifter som den begär.

Denna lag träder i kraft den 1 maj 2018.

SOU 2017:74

Författningsförslag

1.15Förslag till

lag om ändring i offentlighets- och sekretesslagen (2009:400)

Härigenom föreskrivs att 18 kap. 2 och 18 §§, 35 kap. 1, 4 a, 4 b §, 10 och 10 b §§ och 37 kap. 7 § offentlighets- och sekretess-

lagen (2009:400) ska ha följande lydelse.
Nuvarande lydelse				Föreslagen lydelse
			18 kap.
			2 §1
	Sekretess gäller för uppgift			Sekretess gäller					för	uppgift
som hänför sig till sådan verk-				som hänför sig till sådan verk-
samhet som avses i 2 kap. 7 § 1				samhet som avses					i 2 kap. 1 §
eller 6 kap. 1 § 1 polisdatalagen				första	stycket 1			polisens			brotts-
(2010:361), om det inte står				datalag	(2010:361)				eller		2 kap.
klart att uppgiften kan röjas				1 § första		stycket 1			Säkerhetspo-
utan att syftet med beslutade				lisens datalag (2018:000), om det
eller förutsedda åtgärder mot-				inte står klart att uppgiften kan
verkas eller den framtida verk-				röjas utan att syftet med beslu-
samheten skadas.				tade eller			förutsedda			åtgärder
				motverkas			eller	den		framtida
				verksamheten skadas.
	Sekretess gäller, under mot-			Sekretess gäller, under mot-
svarande		förutsättningar som		svarande		förutsättningar					som
anges i första stycket, för upp-				anges i första stycket, för upp-
gift som hänför sig till				gift som hänför sig till sådan
				verksamhet som avses i
	1. sådan verksamhet som avses			1. 2 kap.			1 §	första		stycket 1
i	2 kap.	5 § 1	skattebrottsdata-	Kustbevakningens					brottsdatalag
lagen (2017:452),				(2012:145),
	2. sådan verksamhet som avses			2. 2 kap.			1 §	första		stycket 1
i	2 kap. 5 § 1 tullbrottsdatalagen			Tullverkets					brottsdatalag
(2017:447), eller				(2017:447), eller
	3. sådan verksamhet som avses			3. 2 kap.			1 §	första		stycket 1
i	3 kap.	2 § 1	kustbevaknings-	Skatteverkets					brottsdatalag

1 Senaste lydelse 2017:456.

Sekretessen enligt 17 § andra stycket hindrar inte att en upp- gift lämnas ut enligt vad som föreskrivs i lagen (2000:344) om Schengens informationssystem och polisens brottsdatalag

(2010:361).

Föreslagen lydelse

Författningsförslag SOU 2017:74

datalagen (2012:145).

(2017:452).

Sekretess enligt första stycket gäller inte för uppgift som hänför sig till verksamhet hos Säkerhetspolisen och som har förts in i en allmän handling före år 1949.

För uppgift i en allmän handling gäller sekretessen i högst sjut- tio år.

18 §2

Sekretessen enligt 17 § andra stycket hindrar inte att en upp- gift lämnas ut enligt vad som föreskrivs i lagen (2000:344) om Schengens informationssystem och polisdatalagen (2010:361).

Lydelse enligt prop. 2016/17:208

35 kap.

1 §

Sekretess gäller för uppgift om en enskilds personliga och eko- nomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men och uppgiften förekommer i

1.utredning enligt bestämmelserna om förundersökning i brott-

mål,

2.angelägenhet som avser användning av tvångsmedel i brottmål eller i annan verksamhet för att förebygga brott,

3.angelägenhet som avser registerkontroll och särskild person- utredning enligt säkerhetsskyddslagen (1996:627),

4.annan verksamhet som syftar till att förebygga, uppdaga, ut- reda eller beivra brott och som bedrivs av en åklagarmyndighet, Polismyndigheten, Säkerhetspolisen, Skatteverket, Tullverket eller Kustbevakningen,

5. register som förs av Polis- myndigheten enligt 4 kap. polis- datalagen (2010:361) eller som

5. register som förs av Polis- myndigheten enligt 5 kap. poli- sens brottsdatalag (2010:361) eller

2 Senaste lydelse 2010:369.

SOU 2017:74 Författningsförslag

annars behandlas med stöd av de			som annars behandlas med stöd
bestämmelserna eller uppgifter			av de bestämmelserna, eller upp-
som behandlas av Säkerhetspoli-			gifter som behandlas av Säker-
sen med stöd av 6 kap. samma			hetspolisen med stöd av Säker-
lag,			hetspolisens datalag (2018:000),
6. register som förs enligt lagen (1998:621) om misstankeregister,
7. register som förs av Skat-			7. register som förs av Skat-
teverket enligt skattebrottsdata-			teverket	enligt	Skatteverkets
lagen (2017:452) eller som annars			brottsdatalag (2017:452) eller som
behandlas där med stöd av			annars behandlas där med stöd av
samma lag,			samma lag,
8. särskilt ärenderegister över			8. särskilt ärenderegister över
brottmål som förs av åklagar-			brottmål som förs av åklagar-
myndighet, om uppgiften		inte	myndighet, om uppgiften			inte
hänför sig till registrering som			hänför sig till registrering som
avses i 5 kap. 1 §,			avses i 5 kap. 1 §, eller
9. register som förs av Tull-			9. register som förs av Tull-
verket enligt	tullbrottsdatalagen		verket enligt Tullverkets brotts-
(2017:447) eller som annars be-			datalag	(2017:447)	eller	som
handlas där med stöd av samma			annars behandlas där med stöd
lag, eller			av samma lag.
10. register	som förs	enligt

lagen (2010:362) om polisens all- männa spaningsregister.

Sekretessen enligt första stycket 2 gäller hos domstol i dess rätt- skipande eller rättsvårdande verksamhet endast om det kan antas att den enskilde eller någon närstående till honom eller henne lider skada eller men om uppgiften röjs. Vid förhandling om användning av tvångsmedel gäller sekretess för uppgift om vem som är miss- tänkt endast om det kan antas att fara uppkommer för att den misstänkte eller någon närstående till honom eller henne utsätts för våld eller lider annat allvarligt men om uppgiften röjs.

Första stycket gäller inte om annat följer av 2, 6 eller 7 §.

För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

Författningsförslag SOU 2017:74

Nuvarande lydelse	Föreslagen lydelse
4 a §3
Sekretess gäller i verksamhet	Sekretess gäller i verksamhet
som avser förande av register	som avser förande av tillträdes-
enligt lagen (2015:51) om regis-	förbudsregistret enligt 5 kap. poli-
ter över tillträdesförbud vid	sens brottsdatalag (2010:361) för
idrottsarrangemang för uppgift	uppgift om en enskilds person-
om en enskilds personliga för-	liga förhållanden, om det inte
hållanden, om det inte står klart	står klart att uppgiften kan röjas
att uppgiften kan röjas utan att	utan att den enskilde eller någon
den enskilde eller någon närstå-	närstående till honom eller henne
ende till denne lider men.	lider men.

För uppgift i en allmän handling gäller sekretessen i högst

sjuttio år.
Lydelse enligt SOU 2017:29	Föreslagen lydelse
4 b §
Sekretess gäller hos en behö-	Sekretess gäller hos
rig myndighet enligt brotts-	1. en behörig myndighet en-
datalagen (2018:000) för uppgift	ligt	brottsdatalagen (2018:000)
i ett sådant personurval som	för uppgift i ett sådant person-
avses i 2 kap. 14 § samma lag.	urval	som avses i 2 kap. 14 §
	samma lag, och
	2. Säkerhetspolisen för uppgift
	i ett sådant personurval som avses
	i 2 kap. 12 § Säkerhetspolisens
	datalag (2018:000).
För uppgift i en allmän hand-	För uppgift i en allmän hand-
ling gäller sekretessen högst	ling gäller sekretessen i högst
sjuttio år.	sjuttio år.

3 Senaste lydelse 2015:53.

– förordningar som har stöd i dessa lagar, eller

4. till en enskild enligt vad som föreskrivs i 27 kap. 8 § rätte- gångsbalken.

4 Senaste lydelse 2017:456.

SOU 2017:74 Författningsförslag

Nuvarande lydelse Föreslagen lydelse

10 §4

Sekretessen enligt 1 § hindrar inte att en uppgift lämnas ut

1. till en enskild enligt vad som föreskrivs i lagen (1964:167)

med särskilda bestämmelser om unga lagöverträdare,
2. till en	enskild enligt vad	2. till en	enskild		enligt vad
som föreskrivs i säkerhets-		som föreskrivs i säkerhets-
skyddslagen	(1996:627) samt i	skyddslagen	(1996:627) och i
förordning	som har meddelats	förordning	som	har	meddelats
med stöd i den lagen,		med stöd i den lagen,
		3. till en	enskild		enligt vad
		som föreskrivs i 27 kap. 8 § rätte-
		gångsbalken,
3. enligt vad som föreskrivs i		4. enligt vad som föreskrivs i
– lagen (1998:621) om misstankeregister,
– polisdatalagen (2010:361),		– polisens		brottsdatalag
		(2010:361),
– skattebrottsdatalagen		– Kustbevakningens brottsdata-
(2017:452),		lag (2012:145),
– tullbrottsdatalagen		– åklagarväsendets			brottsdata-
(2017:447),		lag (2015:433),
– kustbevakningsdatalagen		– Tullverkets		brottsdatalag
(2012:145),		(2017:447),
– åklagardatalagen		– Skattverkets		brottsdatalag
(2015:433),		(2017:452),
		– Säkerhetspolisens			datalag
		(2018:000), eller

– förordningar som har stöd i dessa lagar.

Författningsförslag

SOU 2017:74

	10 b §5
Sekretessen enligt 4 a § hind-		Sekretessen enligt 4 a § hind-
rar inte att en uppgift lämnas ut		rar inte att en uppgift lämnas ut
enligt vad som föreskrivs i lagen		till en idrottsorganisation enligt
(2015:51) om register över till-		vad som föreskrivs i 2 kap. 14 §
trädesförbud vid	idrottsarrange-	polisens brottsdatalag (2010:361).
mang.
	37 kap.
	7 §6
Sekretessen enligt 6 § hindrar		Sekretessen enligt 6 § hindrar
inte att uppgift lämnas ut enligt		inte att uppgift lämnas ut enligt
vad som föreskrivs i lagen		vad som föreskrivs i lagen
(2000:344) om Schengens infor-		(2000:344) om Schengens infor-
mationssystem	och polisdata-	mationssystem och polisens
lagen (2010:361).		brottsdatalag (2010:361).

1.Denna lag träder i kraft den 1 maj 2018.

2.Äldre bestämmelser gäller fortfarande för uppgifter i hand- lingar som har omhändertagits för arkivering före ikraftträdandet av denna lag.

5Senaste lydelse 2015:53.

6Senaste lydelse 2010:369.

SOU 2017:74

Författningsförslag

1.16Förslag till

lag om ändring i polisdatalagen (2010:361)

Härigenom föreskrivs i fråga om polisdatalagen (2010:361) dels att 1, 2, 4 och 6 kap. ska upphöra att gälla,

dels att 3 kap. 5 och 9–15 §§ och 5 kap. 4–6 §§, ska upphöra att gälla,

dels att rubrikerna före 3 kap. 8, 9 och 14 §§ och 5 kap. 4 och 5 §§ ska utgå,

dels att nuvarande 4 kap. ska betecknas 5 kap. och nuvarande 5 kap. ska betecknas 6 kap.,

dels att 3 kap. 1–4 §§ och nya 3 kap. 5–7 §§ och 6 kap. 3 och 6– 8 §§ ska ha följande lydelse,

dels att det ska införas sex nya paragrafer, 3 kap. 8 och 9 §§ och 6 kap. 4, 5, 8 och 10 §§, och nya rubriker före 3 kap. 1 § och före nya 3 kap. 8 §, 6 kap. 4 och 9 §§ av följande lydelse,

dels att det ska införas fem nya kapitel i lagen, 1, 2, 4, 5 och 7 kap., av följande lydelse,

dels att rubriken till lagen ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Polisdatalag	Polisens brottsdatalag

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när någon av följande myndigheter i egenskap av behörig myndighet behand- lar personuppgifter.

Författningsförslag

SOU 2017:74

1.Polismyndigheten, om uppgifterna behandlas i syfte att be- kämpa eller lagföra brott eller upprätthålla allmän ordning och säkerhet.

2.Ekobrottsmyndigheten, om uppgifterna behandlas i syfte att utreda brott och det inte är fråga om åklagarverksamhet.

3.Säkerhetspolisen i frågor som inte rör nationell säkerhet, om uppgifterna behandlas i syfte att bekämpa och lagföra brott.

För Ekobrottsmyndigheten och Säkerhetspolisen gäller endast 1–4 och 7 kap.

2 § Denna lag gäller inte vid behandling av personuppgifter enligt

1.lagen (1998:620) om belastningsregister,

2.lagen (1998:621) om misstankeregister,

3.lagen (2000:344) om Schengens informationssystem,

4.lagen (2006:444) om passagerarregister, eller

5.lagen (2014:400) om Polismyndighetens elimineringsdatabas.

3 § I lagen (2017:496) om internationellt polisiärt samarbete och i föreskrifter som regeringen har meddelat i anslutning till den lagen, finns det särskilda bestämmelser om behandling av personuppgifter som följer av internationella överenskommelser. Om det i dessa författningar finns avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag.

Personuppgiftsansvar

4 § Polismyndigheten är personuppgiftsansvarig för den behand- ling av personuppgifter som utförs vid myndigheten och för den behandling som myndigheten utför vid Ekobrottsmyndigheten i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet.

Ekobrottsmyndigheten är personuppgiftsansvarig för den be- handling av personuppgifter som myndigheten utför i syfte att ut- reda brott.

Säkerhetspolisen är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför.

SOU 2017:74

Författningsförslag

Uttryck i lagen

5 § I denna lag avses med

dna-analys: varje förfarande som kan användas för analys av deoxyribonukleinsyra i humant material,

dna-profil: resultatet av en dna-analys som presenteras i form av siffror eller bokstäver, och

fingeravtryck: avtryck av finger eller hand.

Lagens tillämpning på uppgifter om juridiska personer

6 § Bestämmelserna om personuppgifter i följande paragrafer gäller också vid behandling av uppgifter om juridiska personer:

1.4 § om personuppgiftsansvar,

2.2 kap. 1 § om tillåtna rättsliga grunder för behandling av per- sonuppgifter,

3.3 kap. 2 § om gemensamt tillgängliga uppgifter,

4.4 kap. 1–4 och 6–10 §§ om längsta tid som personuppgifter får behandlas,

5.5 kap. 18–20 §§ om behandling av personuppgifter i penning- tvättsregister, och

6.5 kap. 21 och 22 §§ om behandling av personuppgifter i det internationella registret.

Bestämmelserna om personuppgifter i följande paragrafer i brottsdatalagen (2018:000) gäller också vid sådan behandling:

1.2 kap. 2 § om diarieföring och handläggning i vissa fall,

2.2 kap. 3 § andra stycket om ändamålet med behandlingen,

3.2 kap. 17 § om längsta tid som personuppgifter får behandlas,

4.2 kap. 4 och 22 §§ om behandling för nya ändamål, och

5.3 kap. 6 § om tillgången till personuppgifter.

Lagens uppbyggnad

7 § I detta kapitel och i 2 kap. finns allmänna bestämmelser om behandling av personuppgifter och i 4 kap. bestämmelser om läng- sta tid för behandling av personuppgifter. I 7 kap. finns bestäm- melser om administrativa sanktionsavgifter och rättsmedel.

Författningsförslag

SOU 2017:74

För personuppgifter som görs eller har gjorts gemensamt till- gängliga gäller även 3 kap.

För personuppgifter som behandlas i register över dna-profiler, fingeravtrycks- och signalementsregister, penningtvättsregister, det internationella registret och tillträdesförbudsregistret, gäller 5 kap. i stället för 3 och 4 kap.

I 6 kap. finns bestämmelser om Polismyndighetens behandling av personuppgifter för forensiska ändamål. Vid sådan behandling gäller 6 kap. i stället för 2–4 kap.

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 § Personuppgifter får behandlas om det är nödvändigt för att utföra en arbetsuppgift i syfte att

1.förebygga, förhindra eller upptäcka brottslig verksamhet,

2.utreda eller lagföra brott,

3.upprätthålla allmän ordning och säkerhet, eller

4.fullgöra förpliktelser som följer av internationella åtaganden. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller

av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift.

2 § Förutsättningarna för att behandla personuppgifter, som be- handlas med stöd av 1 §, för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000).

Särskilda upplysningar

3 § Bestämmelserna i 2 kap. 3 § andra stycket, 9 och 10 §§ brotts- datalagen (2018:000) om särskild upplysning gäller endast vid be- handling av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §.

SOU 2017:74

Författningsförslag

Känsliga personuppgifter

4 § Polismyndigheten och Säkerhetspolisen får behandla biomet- riska uppgifter enligt de förutsättningar som anges i 2 kap. 12 § brottsdatalagen (2018:000).

5 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott, uppgifter om verkställighet av påföljd eller uppgifter som be- skriver en persons utseende används vid sökning.

6 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte sökningar i syfte att få fram ett personurval grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sökningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga.

Utlämnande av personuppgifter

7 § Om det är förenligt med svenska intressen, får personupp- gifter lämnas ut till

1.Interpol,

2.Europol, eller

3.en polismyndighet eller åklagarmyndighet i en stat som är an- sluten till Interpol.

Personuppgifter får lämnas ut enligt första stycket endast om mottagaren behöver uppgifterna för något av de syften som anges i 1 §.

8 § Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Tullverket, Kustbevakningen och Skattever- ket har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som har gjorts gemensamt tillgängliga med stöd av

Författningsförslag

SOU 2017:74

3 kap. 2 §, om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000).

Första stycket gäller inte uppgifter som behandlas i särskilda register enligt 5 kap.

9 § Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndig- heten, Tullverket och Kustbevakningen har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och sekre- tesslagen (2009:400), rätt att ta del av uppgifter om huruvida per- soner förekommer i register över dna-profiler som regleras i 5 kap., om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000).

10 § Säkerhetspolisen, Ekobrottsmyndigheten, Tullverket, Kust- bevakningen och Skatteverket har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som behandlas i fingeravtrycks- och signalementsregister enligt 5 kap., om den mot- tagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000). Migrationsverket har motsvarande rätt att ta del av personuppgifter som behandlas i fingeravtrycks- och signalementsregister, om verket behöver upp- gifterna för att kontrollera fingeravtryck som verket tagit.

11 § Trots sekretess enligt 35 kap. 4 a § offentlighets- och sekre- tesslagen (2009:400) har en idrottsorganisation rätt att ta del av personuppgifter som behandlas i tillträdesförbudsregistret enligt 5 kap., om organsationen behöver uppgifterna för de syften som anges i 5 § lagen (2015:51) om idrottsorganisationers behandling av uppgifter om tillträdesförbud.

12 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt.

Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 3 kap. 7 § och 5 kap. 10 och 17 §§.

SOU 2017:74

Författningsförslag

Personuppgifter från transportföretag

13 § Personuppgifter som tillhandahålls av transportföretag enligt 25 § polislagen (1984:387) får behandlas för något av de syften som anges i 1 § första stycket 1 och 2.

Personuppgifter som avses i första stycket får endast i ett en- skilt fall behandlas för nya ändamål enligt 2 kap. 4 eller 22 § brotts- datalagen (2018:000).

14 § Vid terminalåtkomst enligt 26 § polislagen (1984:387) får personuppgifterna inte ändras eller på annat sätt bearbetas.

15 § Vid sökning i personuppgifter som avses i 13 § första stycket får namn, personnummer, samordningsnummer och andra liknande identitetsbeteckningar användas som sökbegrepp endast om upp- gifterna avser en person som

1.är eller har varit misstänkt för brott,

2.är misstänkt för att ha utövat eller komma att utöva sådan brottslig verksamhet som avses i 3 kap. 2 § första stycket 1, eller

3.övervakas under de förutsättningar som anges i 3 kap. 2 § första stycket 2.

Föreskrifter

16 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om

1.att personuppgifter får lämnas ut i andra fall än som anges i 7– 11 §§, och

2.begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt 12 § första stycket.

3 kap.

	Allmän bestämmelse
1 §
Detta kapitel innehåller sär-	Detta kapitel innehåller sär-
skilda bestämmelser för be-	skilda bestämmelser för be-
handling av personuppgifter som	handling av personuppgifter som
görs eller har gjorts gemensamt	görs eller har gjorts gemensamt

Författningsförslag

SOU 2017:74

tillgängliga i polisens brottsbe- kämpande verksamhet. Uppgif- ter som endast ett fåtal personer har rätt att ta del av anses inte som gemensamt tillgängliga.

Detta kapitel gäller inte när personuppgifter behandlas med stöd av 2 kap. 9 §.

tillgängliga med stöd av 2 §.

Uppgifter som endast ett fåtal personer har rätt att ta del av anses inte som gemensamt till- gängliga.

Detta kapitel gäller inte när personuppgifter behandlas med stöd av 2 kap. 2 § brottsdatalagen (2018:000).

2 §1

Följande personuppgifter får göras gemensamt tillgängliga:

1. Uppgifter som kan antas ha samband med misstänkt brottslig verksamhet, om den misstänkta verksamheten

a) innefattar brott för vilket	a) innefattar brott för vilket
är föreskrivet fängelse i ett år	det är föreskrivet fängelse i ett år
eller däröver, eller	eller däröver, eller
b) sker systematiskt.
2. Uppgifter som behövs för	2. Uppgifter som behövs för
övervakningen av en person, om	övervakningen av en person som
han eller hon
a) kan antas komma att begå	a) kan antas komma att begå
brott för vilket är föreskrivet	brott för vilket det är föreskrivet
fängelse i två år eller däröver,	fängelse i två år eller däröver
och	och

b) är allvarligt kriminellt belastad eller kan antas utgöra ett hot

mot andras personliga säkerhet.
3. Uppgifter som förekom-	3. Uppgifter som förekom-
mer i ett ärende om utredning	mer i ett ärende om utredning
eller beivrande av brott.	av eller lagföring för brott.
4. Uppgifter som behövs för	4. Uppgifter som förekommer
att fullgöra vad som följer av	i ett ärende om kontaktförbud
internationella åtaganden, om det	eller om personskydd.
krävs för att den aktuella för-

pliktelsen ska kunna fullgöras.

5. Uppgifter som har rapporterats till Polismyndighetens led- ningscentraler.

1 Senaste lydelse 2014:597.

100

SOU 2017:74 Författningsförslag

	6. Uppgifter som behandlas i
	syfte att upprätthålla allmän ord-
	ning och säkerhet.
	7. Uppgifter som behandlas i
	syfte	att fullgöra internationella
	åtaganden, om det krävs för att
	den	aktuella förpliktelsen ska
	kunna fullgöras.
DNA-profiler får inte göras	Dna-profiler får inte göras
gemensamt tillgängliga. Att så-	gemensamt tillgängliga. Att så-
dana uppgifter får behandlas i	dana uppgifter får behandlas i
särskilda register följer av 4 kap.	särskilda register följer av 5 kap.

Tillgången till uppgifter som görs gemensamt tillgängliga med stöd av första stycket 2 ska begränsas till särskilt angivna tjänste- män som har till uppgift att arbeta med övervakningen. Informa- tion om att en person är föremål för övervakning får dock göras

tillgänglig för andra.
			3 §
Vid behandling enligt 1 § ska				Det ska framgå genom en
det genom en särskild upplysning				särskild upplysning eller på något
eller på något annat sätt framgå				annat sätt om personuppgifter har
för vilket närmare ändamål per-				gjorts	gemensamt		tillgängliga
sonuppgifterna behandlas.			Har	med stöd av 2 § första stycket 2
uppgifterna	gjorts	gemensamt		eller 5.
tillgängliga	med stöd av		2 §
första stycket 2 eller 5, ska detta
särskilt framgå.
			4 §
Om uppgifter, som behandlas				Om	uppgifter		som	är
enligt 1 §, direkt kan hänföras				gemensamt tillgängliga direkt kan
till en person som inte är miss-				hänföras till en person som inte
tänkt för brott eller för att ha				är misstänkt för att ha utövat
utövat eller komma att utöva så-				eller komma att utöva sådan
dan brottslig verksamhet som av-				brottslig verksamhet som avses i
ses i 2 § första stycket 1, ska det				2 § första		stycket 1, ska		det
genom en	särskild	upplysning		genom	en	särskild	upplysning
eller på något annat sätt framgå				eller på något annat sätt framgå

101

Författningsförslag SOU 2017:74

att personen inte är misstänkt.		att personen inte är misstänkt.
Uppgifter om en person som		Uppgifter om en person som
kan antas ha samband med		kan antas ha direkt samband
misstänkt brottslig verksamhet		med sådan brottslig verksamhet
ska förses med en upplysning		som avses	i 2 § första stycket 1
om	uppgiftslämnarens trovär-	eller som övervakas med stöd av
dighet och uppgifternas riktig-		2 § första	stycket 2 ska	förses
het i sak, om inte detta på grund		med en upplysning om uppgifts-
av	särskilda omständigheter är	lämnarens	trovärdighet	och
onödigt. Detsamma gäller upp-		uppgifternas riktighet i sak, om
gifter om personer som avses i 2 §		det inte på grund av omständig-
första stycket 2.		heterna är onödigt.
	5 §
Vid sökning på namn, per-		Vid sökning i automatiserade
sonnummer, samordningsnum-		behandlingssystem på namn, per-
mer eller andra liknande identi-		sonnummer, samordningsnum-
tetsbeteckningar i uppgifter som		mer eller andra liknande identi-
har gjorts gemensamt tillgäng-		tetsbeteckningar i uppgifter som
liga får sådana uppgifter tas fram		har gjorts gemensamt tillgäng-
som anger att den sökta per-		liga får endast sådana uppgifter
sonen		tas fram som anger att den sökta
		personen

1.är anmäld för brott,

2.är eller har varit misstänkt för brott,

3.är misstänkt för att ha utövat eller komma att utöva sådan brottslig verksamhet som avses i 2 § första stycket 1,

4.övervakas enligt 2 § första stycket 2,

5.har anmält ett brott,

6.är målsägande i ett ärende som rör ansvar för brott,

7.berörs av ett kontaktförbud eller av åtgärder i ett personskydds- ärende,

7. förekommer i ett ärende	8. förekommer i ett ärende
som vittne eller annan som läm-	som vittne eller annan som läm-
nar eller har lämnat uppgifter	nar eller har lämnat uppgifter
eller yttrande,	eller yttrande,
8. har gett in eller tillhanda-	9. har gett in eller tillhanda-
hållits en handling,	hållits en handling,

102

SOU 2017:74

Författningsförslag

9. är anmäld såsom försvunnen,

10. har bedömts kunna kom- ma att möta ett polisingripande med grovt våld, eller

11. är efterlyst.

Regeringen eller den myndig- het som regeringen bestämmer meddelar föreskrifter om begräns- ning av tillgången till sådana upp- gifter som avses i första stycket.

10. är anmäld som försvunnen,

11. har bedömts kunna kom- ma att möta ett polisingripande med grovt våld, eller

12. är efterlyst.

6 §

Bestämmelserna i 6 § gäller	Bestämmelserna i 5 § gäller
inte vid	inte vid sökning i en viss
1. sökning i en viss handling	handling eller i ett visst ärende.
eller i ett visst ärende, eller
2. sökning i en uppgiftssamling
som har skapats för att undersöka
viss brottslighet eller vissa krimi-
nella grupperingar och som enbart
de som arbetar i undersökningen
har åtkomst till.
Bestämmelserna i 6 § gäller	Bestämmelserna i 5 § gäller
inte heller vid sökning som ut-	inte heller vid sökning som görs
förs av särskilt angivna tjänste-	av särskilt angivna tjänstemän
män och som görs

1.för att förebygga, förhindra eller upptäcka brottslig verksam- het som innefattar brott för vilket är föreskrivet fängelse i fyra år eller däröver eller för sådant ändamål som avses i 2 § första stycket 2, eller

2.för att utreda brott för vil- ket är föreskrivet fängelse i fyra

1.när de utför beredningsupp- gifter i underrättelseverksamhet och arbetet befinner sig i ett inle- dande skede,

2.i syfte att i underrättelse- verksamhet bearbeta och analy- sera personuppgifter som har gjorts gemensamt tillgängliga med stöd av 2 § första stycket 1 eller 2 och som enbart dessa tjänstemän har tillgång till,

3.i syfte att utreda brott för vilket det är föreskrivet fängelse

103

Författningsförslag

SOU 2017:74

år eller däröver.

Regeringen eller den myndig- het som regeringen bestämmer meddelar närmare föreskrifter om under vilka förutsättningar sök- ning får äga rum med stöd av första och andra styckena.

Regeringen meddelar föreskrif- ter om ytterligare undantag från 6 §.

i fyra år eller däröver, eller

4. i syfte att samordna utred- ningar om brott som kan vara systematiska och för vilka det är föreskrivet fängelse i två år eller däröver.

Bestämmelserna i 5 § gäller inte heller vid sökning som en tjänsteman vid någon av Polis- myndighetens ledningscentraler ut- för på begäran av en polisman som verkställer ett ingripande eller vid- tar en åtgärd som rör en enskild.

					7 §2
Säkerhetspolisen, Ekobrotts-						Polismyndigheten, Säkerhets-
myndigheten,		Åklagarmyndig-				polisen, Ekobrottsmyndigheten,
heten,	Tullverket,		Kustbevak-			Åklagarmyndigheten, Tullverket,
ningen	och	Skatteverket			får	Kustbevakningen och Skatte-
medges direktåtkomst till per-						verket får för något av de syften
sonuppgifter i polisens brotts-						som anges i 1 kap. 2 § brottsdata-
bekämpande verksamhet. Direkt-						lagen (2018:000) medges direkt-
åtkomsten får endast avse per-						åtkomst till personuppgifter
sonuppgifter		som	har	gjorts		som har gjorts gemensamt till-
gemensamt tillgängliga.						gängliga med stöd av 2 §.
En	myndighet som medgetts
direktåtkomst		ansvarar		för	att

2 Senaste lydelse 2014:597.

104

SOU 2017:74

Författningsförslag

tillgången till personuppgifter be- gränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter.

Regeringen eller den myndig- het som regeringen bestämmer meddelar närmare föreskrifter om omfattningen av direktåtkomsten samt om behörighet och säkerhet.

Föreskrifter

8 §

Regeringen kan med stöd av 8 kap. 7 § regeringsformen med- dela föreskrifter om ytterligare undantag från 5 §.

9 §

Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regerings- formen meddela föreskrifter om

1.begränsning av tillgången till sådana personuppgifter som avses i 5 §,

2.under vilka förutsättningar sökning får utföras med stöd av 6 §, och

3.omfattningen av direktåt- komst enligt 7 § och om behörig- het och säkerhet vid sådan åt- komst.

105

Författningsförslag

SOU 2017:74

4 kap. Längsta tid som personuppgifter får behandlas

Allmän bestämmelse

1 § Detta kapitel gäller bara för automatiserad behandling.

Av 2 kap. 17 § första stycket brottsdatalagen (2018:000) framgår att personuppgifter inte får behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen.

I följande bestämmelser anges hur länge uppgifter som behand- las i särskilda register och i forensisk verksamhet får behandlas:

1.5 kap. 7 § om uppgifter i register över dna-profiler,

2.5 kap. 15 och 16 §§ om uppgifter i fingeravtrycks- och signa- lementsregister,

3.5 kap. 20 § om uppgifter i penningtvättsregister,

4.5 kap. 22 § om uppgifter i det internationella registret,

5.5 kap. 26 § om uppgifter i tillträdesförbudsregistret, och

6.6 kap. 6 § om uppgifter om sådana uppslag som anges i 6 kap. 1 § första stycket 5.

Personuppgifter som inte har gjorts gemensamt tillgängliga

2 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som varken har gjorts gemensamt tillgängliga eller behandlas med stöd av 5 kap. inte behandlas längre än

1.ett år efter det att ärendet avslutades, om de behandlas i ett ärende, eller

2.ett år efter det att de behandlades automatiserat första gången, om de inte kan hänföras till ett ärende.

Första stycket gäller inte personuppgifter i ärenden om utred- ning av eller lagföring för brott.

Gemensamt tillgängliga uppgifter i ärenden om utredning av eller lagföring för brott

106

SOU 2017:74

Författningsförslag

eller annan motsvarande utredning, får personuppgifterna inte be- handlas för ändamål inom denna lags tillämpningsområde när åtal inte längre får väckas för brottet.

Första och andra styckena gäller även personuppgifter i andra utredningar som handläggs enligt bestämmelser i 23 kap. rätte- gångsbalken.

5 § Om en förundersökning mot en person har lagts ner, om ett åtal har lagts ner eller om en frikännande dom har fått laga kraft, får personen inte längre vara sökbar som misstänkt.

Övriga gemensamt tillgängliga uppgifter

6 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som har gjorts gemensamt tillgäng- liga med stöd av 3 kap. 2 § första stycket 1, 2 eller 4–7 som längst behandlas under den tid som anges i 7–10 §§.

7 § Personuppgifter som kan antas ha samband med sådan brotts- lig verksamhet som anges i 3 kap. 2 § första stycket 1 får, om de be- handlas i ett ärende, inte behandlas längre än ett år efter det att ärendet avslutades.

Om personuppgifterna inte behandlas i ett ärende får de inte behandlas längre än tre år efter utgången av det kalenderår då regi- streringen avseende personen gjordes. Personuppgifter som kan antas ha samband med brottslig verksamhet som innefattar brott för vilket det är föreskrivet fängelse i två år eller däröver får inte

107

Författningsförslag

SOU 2017:74

behandlas längre än fem år efter utgången av det kalenderår då regi- streringen gjordes. Om en ny registrering beträffande personens anknytning till brottslig verksamhet görs före utgången av de tider- na, får de personuppgifter som finns om personen fortsätta att be- handlas så länge någon av uppgifterna om honom eller henne får behandlas.

Den tid då en misstänkt person avtjänar ett fängelsestraff eller genomgår sluten ungdomsvård eller rättspsykiatrisk vård med sär- skild utskrivningsprövning ska inte räknas med vid beräkningen av de tider som anges i andra stycket.

8 § Personuppgifter som behandlas i samband med sådan över- vakning som avses i 3 kap. 2 § första stycket 2 får inte behandlas längre än tio år efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes.

Den tid då en övervakad person avtjänar ett fängelsestraff eller genomgår sluten ungdomsvård eller rättspsykiatrisk vård med sär- skild utskrivningsprövning ska inte räknas med vid beräkningen av den tid som anges i första stycket.

9 § Personuppgifter som behandlas med stöd av 3 kap. 2 § första stycket 4 får inte behandlas längre än ett år efter det att ärendet som uppgifterna behandlades i avslutades.

Personuppgifter som behandlas med stöd av 3 kap. 2 § första stycket 7 får inte behandlas längre än ett år efter utgången av det kalenderår då ärendet som uppgifterna behandlades i avslutades.

10 § Personuppgifter som behandlas med stöd av 3 kap. 2 § första stycket 5 eller 6 får inte behandlas längre än ett år efter utgången av det kalenderår då de behandlades automatiserat första gången.

Föreskrifter

11 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att vissa kategorier av personuppgifter får fortsätta behandlas för ändamål inom denna lags tillämpningsom- råde under längre tid än vad som anges i 3, 4 och 7–10 §§.

108

SOU 2017:74

Författningsförslag

12 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om

1.att personuppgifter, med avvikelse från 2 § första stycket och 7–10 §§, får behandlas under längre tid för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål, och

2.begränsning av behandlingen av personuppgifter för ändamål inom denna lags tillämpningsområde vid digital arkivering.

5 kap. Register

Rätten att föra register

1 § Polismyndigheten får föra register över dna-profiler (dna- registret, utredningsregistret och spårregistret) i syfte att

1.förebygga, förhindra eller upptäcka brottslig verksamhet,

2.utreda eller lagföra brott,

3.fullgöra förpliktelser som följer av internationella åtaganden,

och

4.underlätta identifiering av avlidna personer.

I lagen (2014:400) om Polismyndighetens elimineringsdatabas finns bestämmelser om elimineringsdatabasen.

Dna-registret

2 § Dna-registret får innehålla dna-profiler från prov som har tagits med stöd av 28 kap. rättegångsbalken och som avser personer som

1.genom dom som fått laga kraft har dömts till annan påföljd än böter, eller

2.har godkänt strafföreläggande som avser villkorlig dom.

3 § En dna-profil som registreras får endast ge information om identitet och inte om personliga egenskaper.

Utöver dna-profiler får dna-registret innehålla uppgifter om vem analysen avser, i vilket ärende profilen har tagits fram och brottskod.

109

Författningsförslag

SOU 2017:74

Utredningsregistret

4 § Utredningsregistret får innehålla dna-profiler från prov som har tagits med stöd av 28 kap. rättegångsbalken och som avser per- soner som är skäligen misstänkta för brott på vilket det kan följa fängelse.

Bestämmelserna i 3 § gäller också vid registrering i utrednings- registret.

Spårregistret

5 § Spårregistret får innehålla dna-profiler som har tagits fram under utredning av brott och som inte kan hänföras till en identi- fierbar person. Utöver dna-profiler får spårregistret innehålla upp- lysningar som visar i vilket ärende profilen har tagits fram och brottskod.

6 § Dna-profiler i spårregistret får jämföras med dna-profiler

1.som inte kan hänföras till en identifierbar person,

2.som finns i dna-registret, eller

3.som kan hänföras till en person som är skäligen misstänkt för brott.

Dna-profiler i spårregistret får också jämföras i andra fall om det är nödvändigt för att fullgöra en internationell överenskommelse som Sverige har tillträtt efter riksdagens godkännande eller om det följer av en unionsrättsakt.

Längsta tid som personuppgifter får behandlas

7 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter i dna-registren som längst behand- las under den tid som anges i andra–fjärde styckena.

Uppgifter får inte längre behandlas i dna-registret när uppgif- terna om den registrerade tagits bort ur belastningsregistret enligt lagen (1998:620) om belastningsregister.

Uppgifter får inte längre behandlas i utredningsregistret när uppgifterna om den registrerade får föras in i dna-registret eller när förundersökning eller åtal läggs ner, åtal ogillas, åtal bifalls men på-

110

SOU 2017:74

Författningsförslag

följden bestäms till enbart böter eller när den registrerade har god- känt ett strafföreläggande som avser enbart böter.

Uppgifter får inte behandlas i spårregistret längre än trettio år efter registreringen. Sådana uppgifter får dock behandlas sjuttio år efter registreringen om uppgifterna hänför sig till utredningar om brott som anges i 35 kap. 2 § första stycket brottsbalken.

Prover för dna-analys

8 § Om det i samband med utredning av ett brott har tagits ett prov för dna-analys, får provet inte användas för något annat ända- mål än det som provet togs för.

9 § Ett prov för dna-analys som har tagits med stöd av 28 kap. rät- tegångsbalken, eller på begäran av en annan stat, ska förstöras senast sex månader efter det att provet togs.

Direktåtkomst

10 § Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndig- heten, Tullverket och Kustbevakningen får för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000) medges direkt- åtkomst till register över dna-profiler som regleras i detta kapitel.

Fingeravtrycks- och signalementsregister

Rätten att föra register

11 § Polismyndigheten får föra fingeravtrycks- och signalements- register i syfte att

1.förebygga, förhindra eller upptäcka brottslig verksamhet,

2.utreda eller lagföra brott,

3.fullgöra förpliktelser som följer av internationella åtaganden,

4.underlätta identifiering av okända personer, och

5.kontrollera fingeravtryck som Migrationsverket har tagit en- ligt 9 kap. 8 § utlänningslagen (2005:716).

111

Författningsförslag

SOU 2017:74

Innehåll

12 § I fingeravtrycks- och signalementsregister får uppgifter be- handlas om en person som

1.är misstänkt eller dömd för brott och som har varit föremål för åtgärd enligt 28 kap. 14 § rättegångsbalken, eller

2.har lämnat fingeravtryck enligt 19 § lagen (1991:572) om sär- skild utlänningskontroll.

Uppgifter om fingeravtryck som inte kan hänföras till en iden- tifierbar person får behandlas om uppgiften kommit fram i en ut- redning om brott.

I fingeravtrycks- och signalementsregister får inte personupp-

gifter behandlas som har inhämtats med stöd av 36 § första stycket 2 lagen (1964:167) med särskilda bestämmelser om unga lagöverträdare.

13 § Utöver vad som anges i 12 § får i fingeravtrycks- och signa- lementsregister uppgifter behandlas om en person som har dömts för brott i en annan medlemsstat inom Europeiska unionen och vars fingeravtrycks- eller signalementsuppgifter har överförts hit med stöd av artikel 4.2 i rådets rambeslut 2009/315/RIF av den 26 februari 2009 om organisationen av medlemsstaternas utbyte av uppgifter ur kriminalregistret och uppgifternas innehåll. Sådana uppgifter får dock endast behandlas om det för motsvarande gär- ning i Sverige är föreskrivet fängelse i ett år eller däröver och den som uppgifterna avser vid tidpunkten för gärningen hade fyllt fem- ton år.

14 § Fingeravtrycks- och signalementsregister får innehålla upp- gifter om

1.fingeravtryck,

2.signalement,

3.fotografi,

4.videoupptagning,

5.identifieringsuppgifter,

6.ärendenummer, och

7.brottskod.

112

SOU 2017:74

Författningsförslag

Längsta tid som personuppgifter får behandlas

15 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdata- lagen (2018:000) får uppgifter i fingeravtrycks- och signalements- register om en misstänkt person inte behandlas längre än tre måna- der efter det att uppgifterna om den registrerade tagits bort ur misstankeregistret som förs enligt lagen (1998:621) om misstanke- register och ur belastningsregistret som förs enligt lagen (1998:620) om belastningsregister.

Uppgifter som inte kan hänföras till en identifierbar person får inte behandlas längre än trettio år efter registreringen. Sådana upp- gifter får dock behandlas sjuttio år efter registreringen om uppgif- terna hänför sig till utredningar om brott som anges i 35 kap. 2 § första stycket brottsbalken.

16 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdata- lagen (2018:000) får uppgifter i fingeravtrycks- och signalements- register som behandlas för att fullgöra ett internationellt åtagande inte behandlas när de inte längre behövs för det ändamålet.

Uppgifter om personer som har lämnat fingeravtryck med stöd av lagen (1991:572) om särskild utlänningskontroll får inte behand- las längre än tio år efter registreringen.

Direktåtkomst

17 § Säkerhetspolisen, Ekobrottsmyndigheten, Tullverket, Kust- bevakningen och Skatteverket får för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000) medges direktåtkomst till personuppgifter i fingeravtrycks- och signalementsregister.

Penningtvättsregister

Rätten att föra register

18 § Polismyndigheten får föra penningtvättsregister. Personupp- gifter får behandlas i penningtvättsregister om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet

1. där penningtvätt är ett led för att dölja vinning av brott eller brottslig verksamhet, eller

113

Författningsförslag

SOU 2017:74

2. som innefattar finansiering av terrorism.

19 § I penningtvättsregister får personuppgifter behandlas som

1.kan antas ha samband med sådan brottslig verksamhet som avses i 18 §,

2.har rapporterats till Polismyndigheten med stöd av lag eller annan författning, eller

3.har lämnats av en utländsk myndighet som i sin stat ansvarar för arbetet med att förebygga, förhindra eller upptäcka sådan brottslig verksamhet som avses i 18 §.

Längsta tid som personuppgifter får behandlas

20 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdata- lagen (2018:000) får personuppgifter i penningtvättsregister inte behandlas längre än fem år efter utgången av det kalenderår då den senaste registreringen avseende personens anknytning till brottslig verksamhet gjordes.

Det internationella registret

Rätten att föra register

21 § Polismyndigheten får föra ett internationellt register. Per- sonuppgifter i det internationella registret får behandlas om det be- hövs för handläggningen av ärenden som rör internationellt poli- siärt samarbete eller internationellt straffrättsligt samarbete.

Uppgifter om dödsfall, olyckshändelser eller andra liknande hän- delser i utlandet får också behandlas i det internationella registret, om ärendet rör en fråga som ska handläggas av Polismyndigheten.

Längsta tid som personuppgifter får behandlas

22 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdata- lagen (2018:000) får personuppgifter i det internationella registret inte behandlas längre än tre år efter utgången av det kalenderår då ärendet som uppgifterna behandlades i avslutades.

114

SOU 2017:74

Författningsförslag

Tillträdesförbudsregistret

Rätten att föra register

23 § Polismyndigheten får föra ett register med uppgifter om per- soner som meddelats tillträdesförbud enligt lagen (2005:321) om tillträdesförbud vid idrottsarrangemang (tillträdesförbudsregistret) i syfte att förebygga, förhindra eller upptäcka överträdelser av till- trädesförbud.

Innehåll

24 § Tillträdesförbudsregistret får innehålla följande uppgifter om en person som har meddelats tillträdesförbud.

1.Namn.

2.Personnummer eller samordningsnummer.

3.Folkbokföringsadress och annan stadigvarande adress.

4.Alias.

5.Fotografi.

6.Anknytning till idrott och idrottsorganisation.

7.Omfattningen och giltighetstiden av beslut om tillträdesför-

bud.

8.Överträdelse av gällande tillträdesförbud.

25 § Polismyndigheten får behandla uppgifter i tillträdesförbuds- registret i syfte att tillhandahålla idrottsorganisationer den infor- mation som behövs för att upprätthålla gällande beslut om tillträ- desförbud.

Längsta tid som personuppgifter får behandlas

26 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdata- lagen (2018:000) får uppgifter i tillträdesförbudsregistret endast behandlas så länge tillträdesförbudet gäller.

115

Författningsförslag

SOU 2017:74

Föreskrifter

27 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om

1.omfattningen av direktåtkomst till dna-register och fingerav- trycks- och signalementsregister och om behörighet och säkerhet vid sådan åtkomst,

2.tillgången till personuppgifter i penningtvättsregister och det internationella registret,

3.att personuppgifter i fingeravtrycks- och signalementsregis- ter, penningtvättsregister, det internationella registret och tillträ- desförbudsregistret, med avvikelse från det som sägs i 15, 16, 20, 22 och 26 §§, får behandlas under längre tid för arkivändamål av all- mänt intresse och vetenskapliga, statistiska eller historiska ändamål.

6 kap.
3 §3
Personuppgifter som behand-		Förutsättningarna för att be-
las enligt 1 § första stycket 2	handla personuppgifter, som be-
eller 5 eller andra stycket 2 eller	handlas med stöd av 1 eller 2 §,
2 § andra stycket får även be-	för nya ändamål regleras i 2 kap.
handlas när det är nödvändigt för	4	och	22 §§	brottsdatalagen
att tillhandahålla information som	(2018:000). Enbart personuppgif-
behövs i annan brottsbekämpande	ter	som behandlas			enligt	1 §
verksamhet hos Polismyndigheten	första		stycket 2	eller 5		eller
eller i brottsbekämpande verksam-	andra stycket 2			eller	2 § andra
het hos Säkerhetspolisen, Ekobrotts-	stycket får i ett enskilt fall be-
myndigheten, Åklagarmyndigheten,	handlas för nya ändamål utanför
Tullverket, Kustbevakningen eller	den forensiska verksamheten.
Skatteverket.

I ett enskilt fall får personupp- gifter som behandlas enligt 1 eller 2 § även behandlas för att till- handahålla information för något annat ändamål än det som anges i första stycket, under förutsätt-

3 Senaste lydelse 2015:436.

116

SOU 2017:74 Författningsförslag

ning att ändamålet inte är oför- enligt med det ändamål som upp- gifterna samlades in för.

	Känsliga personuppgifter
	4 §
	Biometriska		och		genetiska
	uppgifter får behandlas enligt 1 §
	under de förutsättningar som an-
	ges i	2 kap. 12 §		brottsdatalagen
	(2018:000).
	5 §
	Sökförbudet		i	2 kap.		14 §
	brottsdatalagen (2018:000) hind-
	rar inte sökningar i personupp-
	gifter som behandlas i register
	enligt 5 kap. i syfte att få fram ett
	personurval grundat på uppgifter
	som rör hälsa eller biometriska
	eller genetiska uppgifter.
Bevarande	Längsta tid som personuppgifter
	får behandlas
6 §4
Nationellt forensiskt cent-	Nationellt		forensiskt			cent-
rum får inte behandla person-	rum får inte behandla person-
uppgifter för det ändamål som	uppgifter för det ändamål som
anges i 1 § första stycket 5 när	anges	i 1 §	första		stycket 5
det har förflutit fem år efter ut-	längre än fem år efter utgången
gången av det kalenderår då	av det kalenderår då ärendet där
ärendet där uppgifterna före-	uppgifterna förekommer regist-
kommer registrerades.	rerades.

4 Senaste lydelse 2015:436.

117

Författningsförslag SOU 2017:74

					7 §5
Säkerhetspolisen, Ekobrotts-						Säkerhetspolisen, Ekobrotts-
myndigheten,			Åklagarmyndig-			myndigheten,			Åklagarmyndig-
heten,	Tullverket,			Kustbevak-		heten,	Tullverket,			Kustbevak-
ningen	och		Skatteverket		har,	ningen	och	Skatteverket			har,
trots sekretess enligt 21 kap. 3 §						trots sekretess enligt 21 kap. 3 §
första	stycket och			35 kap.	1 §	första	stycket		och	35 kap.	1 §
offentlighets- och sekretess-						offentlighets- och sekretess-
lagen (2009:400), rätt att ta del						lagen (2009:400), rätt att ta del av
av personuppgifter som behand-						personuppgifter			som behandlas
las enligt		1 §	första stycket 5,			enligt 1 § första stycket 5, om den
om den mottagande myndig-						mottagande		myndigheten			be-
heten behöver uppgifterna i sin						höver uppgifterna för något av de
brottsbekämpande verksamhet.						syften	som	anges i		1 kap.	2 §
						brottsdatalagen (2018:000).
Första		stycket		gäller	inte	Första stycket				gäller	inte
uppgifter som behandlas i sär-						uppgifter som behandlas i sär-
skilda register enligt 4 kap.						skilda register enligt 5 kap.
						8 §
						Personuppgifter får lämnas ut
						elektroniskt på annat sätt än
						genom direktåtkomst om det inte
						är olämpligt.
						Föreskrifter
					9 §6
Regeringen kan med stöd av						Regeringen kan med stöd av
8 kap. 7 § regeringsformen med-						8 kap. 7 § regeringsformen med-
dela föreskrifter om att person-						dela föreskrifter			om	begränsning
uppgifter får lämnas ut i andra						av möjligheten att lämna ut per-
fall än som anges i 8 §.						sonuppgifter elektroniskt enligt 8 §.
Bestämmelser om att uppgifter

får lämnas ut finns även i offentlig- hets- och sekretesslagen (2009:400).

5Senaste lydelse 2015:436.

6Senaste lydelse 2015:436.

118

SOU 2017:74

Författningsförslag

10 §

Regeringen eller den myndig- het som regeringen bestämmer kan med stöd av 8 kap. 7 § rege- ringsformen meddela föreskrifter om begränsning av behandlingen av personuppgifter enligt detta kapitel vid digital arkivering.

7 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § Sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i

1.2 kap. 1 § om tillåtna rättsliga grunder för behandling av per- sonuppgifter,

2.3 kap. 3 och 4 §§ om särskilda upplysningar, eller

3.4 kap. 2–4 eller 7–10 §, 5 kap. 7, 15, 16, 20, 22 eller 26 § eller 6 kap. 6 § om längsta tid som personuppgifter får behandlas.

Sanktionsavgiften ska vara minst 50 000 kronor och högst 20 000 000 kronor.

Skadestånd

Överklagande

3 § Bestämmelser om överklagande och om vilka beslut som får överklagas finns i 7 kap. brottsdatalagen (2018:000).

1. Denna lag träder i kraft den 1 maj 2018.

119

Författningsförslag

SOU 2017:74

2.Sanktionsavgift enligt 7 kap. 1 § får beslutas endast för över- trädelser som har begåtts efter ikraftträdandet.

3.Bestämmelsen om skadestånd i 48 § personuppgiftslagen (1998:204) gäller fortfarande för skada som har orsakats före ikraftträdandet vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till den.

120

SOU 2017:74

Författningsförslag

1.17Förslag till

lag om ändring i kustbevakningsdatalagen (2012:145)

Härigenom föreskrivs i fråga om kustbevakningsdatalagen (2012:145)

dels att 1–3 och 5 kap. ska upphöra att gälla,

dels att 4 kap. 2, 4 och 8–14 §§ ska upphöra att gälla, dels att rubrikerna före 4 kap. 8 och 13 §§ ska utgå, dels att nuvarande 4 kap. ska betecknas 3 kap.,

dels att nuvarande 4 kap. 1 § ska betecknas 3 kap. 2 § och att rubriken före nuvarande 4 kap. 1 § ska placeras före nya 3 kap. 2 §, att nuvarande 4 kap. 3 § ska betecknas 3 kap. 3 § och att rubriken före nuvarande 4 kap. 2 § ska placeras före nya 3 kap. 3 §, att nuva- rande 4 kap. 5 § ska betecknas 3 kap. 4 § och att rubriken före nu- varande 4 kap. 4 § ska placeras före nya 3 kap. 4 §, att nuvarande 4 kap. 6 § ska betecknas 3 kap. 5 §, att nuvarande 4 kap. 7 § ska betecknas 3 kap. 6 § och att rubriken före nuvarande 4 kap. 7 § ska placeras före nya 3 kap. 6 §,

dels att nya 3 kap. 2–6 §§ ska ha följande lydelse,

dels att det ska införas tre nya paragrafer, 3 kap. 1, 7 och 8 §§, och nya rubriker före nya 3 kap. 1 och 7 §§ av följande lydelse,

dels att det ska införas fyra nya kapitel, 1, 2, 4 och 5 kap., av föl- jande lydelse,

dels att rubriken till lagen ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Kustbevakningsdatalag	Kustbevakningens brottsdatalag

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när Kust- bevakningen i egenskap av behörig myndighet behandlar person- uppgifter i syfte att bekämpa eller lagföra brott eller upprätthålla allmän ordning och säkerhet.

121

Författningsförslag

SOU 2017:74

2 § I lagen (2017:496) om internationellt polisiärt samarbete och i föreskrifter som regeringen har meddelat i anslutning till den lagen, finns det särskilda bestämmelser om behandling av personuppgifter som följer av internationella överenskommelser. Om det i dessa författningar finns avvikande bestämmelser, ska de tillämpas i stäl- let för bestämmelserna i denna lag.

Personuppgiftsansvar

3 § Kustbevakningen är personuppgiftsansvarig för den behand- ling av personuppgifter som myndigheten utför.

Lagens tillämpning på uppgifter om juridiska personer

4 § Bestämmelserna om personuppgifter i följande paragrafer gäller också vid behandling av uppgifter om juridiska personer:

1.3 § om personuppgiftsansvar,

2.2 kap. 1 § om tillåtna rättsliga grunder för behandling av per- sonuppgifter,

3.3 kap. 2 § om gemensamt tillgängliga uppgifter, och

4.4 kap. 1–4 och 6–9 §§ om längsta tid som personuppgifter får behandlas.

Bestämmelserna om personuppgifter i följande paragrafer i brottsdatalagen (2018:000) gäller också vid sådan behandling:

1.2 kap. 2 § om diarieföring och handläggning i vissa fall,

2.2 kap. 3 § andra stycket om ändamålet med behandlingen,

3.2 kap. 17 § om längsta tid som personuppgifter får behandlas,

4.2 kap. 4 och 22 §§ om behandling för nya ändamål, och

5.3 kap. 6 § om tillgången till personuppgifter.

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 § Kustbevakningen får behandla personuppgifter om det är nödvändigt för att utföra en arbetsuppgift i syfte att

1. förebygga, förhindra eller upptäcka brottslig verksamhet,

122

SOU 2017:74

Författningsförslag

2.utreda eller lagföra brott,

3.upprätthålla allmän ordning och säkerhet, eller

4.fullgöra förpliktelser som följer av internationella åtaganden. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller

av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift.

2 § Förutsättningarna för att behandla personuppgifter, som be- handlas med stöd av 1 §, för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000).

Särskilda upplysningar

Känsliga personuppgifter

4 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott eller uppgifter som beskriver en persons utseende används vid sökning.

5 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte sökningar i syfte att få fram ett personurval grundat på etniskt ursprung, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, om sökningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga.

Utlämnande av personuppgifter

6 § Om det är förenligt med svenska intressen, får personupp- gifter lämnas ut till

1.Interpol,

2.Europol,

123

Författningsförslag

SOU 2017:74

3.en polismyndighet eller åklagarmyndighet i en stat som är an- sluten till Interpol, eller

4.en kustbevakningsmyndighet eller tullmyndighet inom Euro- peiska ekonomiska samarbetsområdet (EES).

Personuppgifter får lämnas ut enligt första stycket endast om mottagaren behöver uppgifterna för något av de syften som anges i 1 §.

7 § Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Tullverket och Skatteverket har, trots sekre- tess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §, om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000).

8 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt.

Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 3 kap. 6 §.

Föreskrifter

9 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen med- dela föreskrifter om

1.att personuppgifter får lämnas ut i andra fall än som anges i 6 och 7 §§, och

2.begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt 8 § första stycket.

124

SOU 2017:74

Författningsförslag

3 kap.

Allmän bestämmelse

1 §

Detta kapitel innehåller sär- skilda bestämmelser för behand- ling av personuppgifter som görs eller har gjorts gemensamt till- gängliga med stöd av 2 §. Upp- gifter som endast ett fåtal personer har rätt att ta del av anses inte som gemensamt tillgängliga.

		Detta kapitel gäller inte när
		personuppgifter behandlas med
		stöd av 2 kap. 2 § brottsdatalagen
		(2018:000).
	2 §
Följande personuppgifter får		Följande personuppgifter får
göras gemensamt	tillgängliga i	göras gemensamt tillgängliga:
Kustbevakningens	brottsbekäm-

pande verksamhet:

1. Uppgifter som kan antas ha samband med misstänkt brottslig verksamhet, om den misstänkta verksamheten

a)innefattar brott för vilket det är föreskrivet fängelse i ett år eller däröver, eller

b)sker systematiskt.

2. Uppgifter som förekom-	2. Uppgifter som förekom-
mer i ett ärende om utredning	mer i ett ärende om utredning
eller beivrande av brott.	av eller lagföring för brott.
3. Uppgifter som behövs för	3. Uppgifter som behandlas i
att fullgöra internationella åta-	syfte att upprätthålla allmän ord-
ganden, om det krävs för att den	ning och säkerhet.
aktuella förpliktelsen ska kunna

fullgöras.

4. Uppgifter som har rapporterats till Kustbevakningens led- ningscentraler.

5. Uppgifter som behandlas i syfte att fullgöra internationella

125

Om uppgifter som är gemen- samt tillgängliga direkt kan hän- föras till en person som inte är misstänkt för att ha utövat eller komma att utöva sådan brottslig verksamhet som avses i 2 § 1, ska det genom en särskild upp- lysning eller på något annat sätt framgå att personen inte är misstänkt.

Uppgifter om en person som kan antas ha direkt samband med sådan brottslig verksamhet som avses i 2 § 1 ska förses med en upplysning om uppgiftsläm- narens trovärdighet och uppgif- ternas riktighet i sak, om det inte på grund av omständighe- terna är onödigt.

Författningsförslag

SOU 2017:74

åtaganden, om det krävs för att den aktuella förpliktelsen ska kunna fullgöras.

3 §

Om uppgifter som behandlas enligt 1 § direkt kan hänföras till en person som inte är misstänkt för brott eller för att ha utövat eller komma att utöva sådan brottslig verksamhet som avses i

1 § första stycket 1, ska det genom en särskild upplysning eller på annat sätt framgå att personen inte är misstänkt.

Uppgifter om en person som kan antas ha samband med miss- tänkt brottslig verksamhet ska förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak, om inte detta är onödigt på grund av särskilda omständigheter.

4 §

Vid sökning på namn, per-	Vid sökning i automatiserade
sonnummer, samordningsnum-	behandlingssystem på namn, per-
mer eller andra liknande identi-	sonnummer, samordningsnum-
tetsbeteckningar i uppgifter som	mer eller andra liknande identi-
har gjorts gemensamt tillgäng-	tetsbeteckningar i uppgifter som
liga får endast sådana uppgifter	har gjorts gemensamt tillgäng-
tas fram som anger att den sökta	liga får endast sådana uppgifter
personen	tas fram som anger att den sökta
	personen

1.är anmäld för brott,

2.är eller har varit misstänkt för brott,

3. är misstänkt för att ha ut-	3. är misstänkt för att ha ut-
övat eller komma att utöva så-	övat eller komma att utöva så-

126

Bestämmelserna i 4 § gäller inte vid sökning i en viss hand- ling eller i ett visst ärende.

Bestämmelserna i 4 § gäller inte heller vid sökning som utförs av särskilt angivna tjänstemän i syfte att i underrättelseverksamhet bearbeta och analysera person- uppgifter som har gjorts gemen- samt tillgängliga med stöd av 2 § 1 och som enbart dessa tjänste- män har tillgång till.

127

SOU 2017:74 Författningsförslag

dan brottslig verksamhet som	dan brottslig verksamhet som
avses i 1 § första stycket 1,	avses i 2 § 1,

4.har anmält ett brott,

5.är målsägande i ett ärende som rör ansvar för brott,

6.förekommer i ett ärende som vittne eller annan som lämnar eller har lämnat uppgifter eller yttrande,

7.har gett in eller tillhandahållits en handling,

8. är anmäld försvunnen,

8. är anmäld som försvunnen,

9.har bedömts kunna komma att möta ett ingripande med grovt våld, eller

10.är efterlyst.

Regeringen eller den myndig- het som regeringen bestämmer meddelar föreskrifter om begräns- ning av tillgången till sådana uppgifter som avses i första stycket.

5 §

Begränsningarna i 5 § gäller inte vid

1. sökning i en viss handling eller i ett visst ärende, eller

2. sökning i en uppgiftssam- ling som har skapats för att undersöka viss brottslighet och som enbart de som arbetar i undersökningen har åtkomst till.

Regeringen eller den myndig- het som regeringen bestämmer meddelar föreskrifter om under vilka förutsättningar sökning får äga rum med stöd av första stycket.

Regeringen meddelar ytterli- gare föreskrifter om begränsning- arna i 5 §.

Författningsförslag SOU 2017:74

					6 §1
Polismyndigheten, Säkerhets-						Polismyndigheten,			Säkerhets-
polisen, Ekobrottsmyndigheten,						polisen,		Ekobrottsmyndigheten,
Åklagarmyndigheten,				Tullverket		Åklagarmyndigheten,			Tullverket
och	Skatteverket		får		medges	och Skatteverket får för något av
direktåtkomst till				personupp-		de syften som anges i 1 kap. 2 §
gifter i Kustbevakningens brotts-						brottsdatalagen (2018:000) med-
bekämpande verksamhet. Direkt-						ges direktåtkomst till person-
åtkomsten		får	endast		avse	uppgifter som har gjorts gemen-
personuppgifter som har gjorts						samt tillgängliga med stöd av 2 §.
gemensamt tillgängliga.
En myndighet som har med-
getts	direktåtkomst		ansvarar för
att tillgången till personuppgifter
begränsas till vad varje tjänste-
man behöver för att kunna full-
göra sina arbetsuppgifter.
Regeringen eller den myndig-
het	som	regeringen		bestämmer
meddelar närmare föreskrifter om
omfattningen av direktåtkomsten
samt om behörighet och säkerhet.
						Föreskrifter
						7 §
						Regeringen kan med stöd av
						8 kap. 7 § regeringsformen med-
						dela	föreskrifter om		ytterligare
						undantag från 4 §.
						8 §
						Regeringen eller den myndig-
						het	som	regeringen	bestämmer
						kan med stöd av 8 kap. 7 § rege-
						ringsformen meddela			föreskrifter
						om

1 Senaste lydelse 2014:693.

128

SOU 2017:74

Författningsförslag

1.begränsning av tillgången till sådana personuppgifter som avses i 4 §,

2.under vilka förutsättningar sökning får utföras med stöd av 5 §, och

3.omfattningen av direktåt- komst enligt 6 § och om behörig- het och säkerhet vid sådan åt- komst.

4 kap. Längsta tid som personuppgifter får behandlas

Allmän bestämmelse

1 § Detta kapitel gäller bara för automatiserad behandling.

Personuppgifter som inte har gjorts gemensamt tillgängliga

2 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som inte har gjorts gemensamt till- gängliga inte behandlas längre än

1.ett år efter det att ärendet avslutades, om de behandlas i ett ärende, eller

2.ett år efter det att de behandlades automatiserat första gången, om de inte kan hänföras till ett ärende.

Första stycket gäller inte personuppgifter i ärenden om utred- ning av eller lagföring för brott.

Gemensamt tillgängliga uppgifter i ärenden om utredning av eller lagföring för brott

129

Författningsförslag

SOU 2017:74

Om en brottsanmälan i annat fall inte har lett till förundersökning eller annan motsvarande utredning, får personuppgifterna inte be- handlas för ändamål inom denna lags tillämpningsområde när åtal inte längre får väckas för brottet.

Första och andra styckena gäller även personuppgifter i andra utredningar som handläggs enligt bestämmelser i 23 kap. rätte- gångsbalken.

5 § Om en förundersökning mot en person har lagts ner, om ett åtal har lagts ner eller om en frikännande dom har fått laga kraft, får personen inte längre vara sökbar som misstänkt.

Övriga gemensamt tillgängliga uppgifter

6 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som har gjorts gemensamt tillgäng- liga med stöd av 3 kap. 2 § 1 eller 3–5 som längst behandlas under den tid som anges i 7–9 §§.

7 § Personuppgifter som kan antas ha samband med sådan brotts- lig verksamhet som anges i 3 kap. 2 § 1 får inte behandlas längre än tre år efter utgången av det kalenderår då registreringen avseende personen gjordes. Personuppgifter som kan antas ha samband med brottslig verksamhet som innefattar brott för vilket det är före- skrivet fängelse i två år eller däröver får inte behandlas längre än fem år efter utgången av det kalenderår då registreringen gjordes. Om en ny registrering beträffande personens anknytning till

130

SOU 2017:74

Författningsförslag

brottslig verksamhet görs före utgången av de tiderna, får de per- sonuppgifter som finns om personen fortsätta att behandlas så länge någon av uppgifterna om honom eller henne får behandlas.

8 § Personuppgifter som behandlas med stöd av 3 kap. 2 § 3 eller 4 får inte behandlas längre än ett år efter utgången av det kalenderår då de behandlades automatiserat första gången.

9 § Personuppgifter som behandlas med stöd av 3 kap. 2 § 5 får inte behandlas längre än ett år efter utgången av det kalenderår då ärendet som uppgifterna behandlades i avslutades.

Föreskrifter

10 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om

1.att vissa kategorier av personuppgifter får fortsätta behandlas för ändamål inom denna lags tillämpningsområde under längre tid än vad som anges i 3, 4 och 7–9 §§, och

2.begränsning av behandlingen av personuppgifter för ändamål inom denna lags tillämpningsområde vid digital arkivering.

11 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att personuppgifter, med avvikelse från 2 § första stycket och 7–9 §§, får behandlas under längre tid för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål.

5 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § Sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i

1.2 kap. 1 § om tillåtna rättsliga grunder för behandling av per- sonuppgifter,

2.3 kap. 3 § om särskild upplysning, eller

131

Författningsförslag

SOU 2017:74

3. 4 kap. 2–4 eller 7–9 § om längsta tid som personuppgifter får behandlas.

Sanktionsavgiften ska vara minst 50 000 kronor och högst 20 000 000 kronor.

Skadestånd

Överklagande

3 § Bestämmelser om överklagande och om vilka beslut som får överklagas finns i 7 kap. brottsdatalagen (2018:000).

1.Denna lag träder i kraft den 1 maj 2018.

2.Sanktionsavgift enligt 5 kap. 1 § får beslutas endast för över- trädelser som har begåtts efter ikraftträdandet.

132

SOU 2017:74

Författningsförslag

1.18Förslag till

lag om ändring i lagen (2014:400) om Polismyndighetens elimineringsdatabas

Härigenom föreskrivs i fråga om lagen (2014:400) om Polis- myndighetens elimineringsdatabas

dels att 6 och 7 §§ och rubriken före 7 § ska upphävas,1

dels att i 3, 8–10, 13 och 14 §§ ”DNA” ska bytas ut mot ”dna”, dels att 1, 2, 4, 11 och 12 §§ och rubrikerna före 2, 11 och 12 §§

ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
1 §2
Polismyndigheten får föra ett	Polismyndigheten får föra ett
register över DNA-profiler i	register över dna-profiler i syfte
syfte att stärka kvaliteten i den	att stärka kvaliteten i den foren-
forensiska verksamheten med	siska verksamheten med dna-
DNA-analyser (elimineringsdata-	analyser (elimineringsdatabasen)
basen) i enlighet med denna lag.	i enlighet med denna lag.
Uppgifter i elimineringsdata-	Uppgifter i elimineringsdata-
basen får endast behandlas för	basen får endast behandlas för
att upptäcka och utreda konta-	att upptäcka och utreda konta-
mineringar vid DNA-analyser	mineringar vid dna-analyser och
och hanteringen av DNA-spår.	hanteringen av dna-spår.
Begreppen DNA-profil och	Begreppen dna-profil och
DNA-analys som används i lagen	dna-analys som används i lagen
har samma betydelse som i	har samma betydelse som i
polisdatalagen (2010:361).	polisens brottsdatalag (2010:361).

1Senaste lydelse av 6 § 2014:600.

2Senaste lydelse 2014:600.

133

Författningsförslag SOU 2017:74

Förhållandet till personuppgifts-

Förhållandet till annan person-

lagen

uppgiftsreglering

2 §

Denna lag gäller utöver per-

Denna

lag

gäller

utöver

sonuppgiftslagen (1998:204).

brottsdatalagen (2018:000).

4 §

En DNA-profil som har tagits

En dna-profil som har tagits

fram under utredning av brott

och som inte kan hänföras till

en identifierbar person får vid

ett tillfälle jämföras med DNA-

ett tillfälle jämföras med dna-

profiler i

elimineringsdatabasen.

profiler i

elimineringsdatabasen.

Jämförelsen

ska

göras

innan

Jämförelsen

ska

göras

innan

jämförelse görs med andra DNA-

jämförelse görs med andra dna-

profiler i de DNA-register som

profiler i de dna-register som

regleras

4 kap.

polisdata-

regleras i 5 kap. polisens brotts-

lagen (2010:361).

datalag (2010:361).

En DNA-profil från prov

En dna-profil från

prov

som

har

tagits

med

stöd av

som har

tagits

med

stöd av

28 kap. rättegångsbalken får vid

ett tillfälle jämföras med DNA-

ett tillfälle jämföras med dna-

profiler i

elimineringsdatabasen.

profiler i

elimineringsdatabasen.

Avser DNA-profilen en misstänkt

Avser dna-profilen en misstänkt

ska

jämförelsen

göras

innan

ska jämförelsen

göras

innan

profilen läggs in i det ut-

redningsregister eller det DNA-

redningsregister eller det dna-

4 kap.

5 kap.

polisdatalagen.

polisens brottsdatalag.

En DNA-profil som har tagits

En dna-profil som har tagits

fram för att kvalitetssäkra den

forensiska

verksamheten

med

forensiska

verksamheten med

DNA-analyser och som inte hän-

dna-analyser och som inte hän-

för sig till brottsutredande verk-

samhet får jämföras med DNA-

samhet får jämföras med dna-

profiler i elimineringsdatabasen.

134

SOU 2017:74 Författningsförslag

Gallring	Längsta tid för behandling
	11 §3

Uppgifter i elimineringsda- tabasen ska gallras när de inte längre behövs för att utreda om en persons DNA kan ha konta- minerat material, prover eller lokaler.

Uppgifter som rör anställda vid Polismyndigheten ska gallras senast två år efter det att det förhållande som grundade skyl- digheten att lämna prov upp- hörde.

Uppgifter som har registre- rats med stöd av 9 § ska gallras senast ett år efter det att upp- gifterna registrerades.

Uppgifter som rör andra än de som anges i andra och tredje styckena ska gallras senast ett år efter det att det förhållande som grundade skyldigheten upphörde.

Trots det som sägs i 2 kap.

17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som längst behandlas under den tid som anges i andra–femte styckena.

Uppgifter i elimineringsda- tabasen får inte behandlas när de inte längre behövs för att utreda om en persons dna kan ha kon- taminerat material, prover eller lokaler.

Uppgifter som rör anställda vid Polismyndigheten får inte behandlas längre än två år efter det att det förhållande som grundade skyldigheten att lämna prov upphörde.

Uppgifter som har registre- rats med stöd av 9 § får inte be- handlas längre än ett år efter det att uppgifterna registrerades.

Uppgifter som rör andra än de som anges i andra och tredje styckena får inte behandlas längre än ett år efter det att det för- hållande som grundade skyldig- heten upphörde.

3 Senaste lydelse 2014:600.

135

Författningsförslag

SOU 2017:74

Rättelse och skadestånd		Skadestånd
	12 §
Bestämmelserna	i personupp-	Vid behandling av person-
giftslagen (1998:204) om rättelse		uppgifter enligt denna lag eller
och skadestånd	tillämpas på	enligt föreskrifter som avses i 13
motsvarande sätt vid behandling		eller	14 § ska	bestämmelsen i
av personuppgifter enligt denna		7 kap.	1 §	brottsdatalagen
lag eller enligt föreskrifter som		(2018:000) om skadestånd till-
avses i 13 eller 14 §.		lämpas på motsvarande sätt.

1.Denna lag träder i kraft den 1 maj 2018.

2.Bestämmelsen om skadestånd i 48 § personuppgiftslagen (1998:204) gäller fortfarande för skada som före ikraftträdandet har orsakats vid behandling av personuppgifter enligt denna lag.

136

SOU 2017:74

Författningsförslag

1.19Förslag till

lag om ändring i lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang

Härigenom föreskrivs i fråga om lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang

dels att 2, 4, 6, 8–10, 12 och 15 §§ ska upphöra att gälla, dels att rubrikerna före 2, 4, 8–10, 12 och 15 §§ ska utgå,

dels att nuvarande 3 § ska betecknas 2 § och att rubriken före nuvarande 3 § ska placeras före nya 2 §, att nuvarande 5 § ska be- tecknas 4 §, att nuvarande 7 § ska betecknas 5 § och att rubriken före nuvarande 6 § ska placeras före nya 5 §, att nuvarande 11 § ska betecknas 6 § och att rubriken före nuvarande 11 § ska placeras före nya 6 §, att nuvarande 13 § ska betecknas 7 §, att nuvarande 14 § ska betecknas 8 § och att rubriken före nuvarande 14 § ska placeras före nya 8 §,

dels att rubriken före nya 4 § ska lyda Rätten att behandla per- sonuppgifter,

dels att 1 och nya 2, 4, 6 och 7 §§ ska ha följande lydelse,

dels att det ska införas en ny paragraf, 3 §, och före nya 3 och 7 §§ nya rubriker med följande lydelse,

dels att rubriken till lagen ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Lag om register över tillträ-	Lag om idrottsorganisationers
desförbud vid idrottsarrange-	behandling av uppgifter om till-
mang	trädesförbud
1 §
Syftet med denna lag är att	Syftet med denna lag är att
göra det möjligt för Polismyn-	göra det möjligt för idrottsorga-
digheten och idrottsorganisatio-	nisationer som anordnar idrotts-
ner som anordnar idrottsarrang-	arrangemang att behandla per-
emang att behandla personupp-	sonuppgifter för att på ett ända-
gifter för att på ett ändamålsen-	målsenligt sätt kunna upprätt-
ligt sätt kunna upprätthålla gäl-	hålla gällande beslut enligt lagen

137

Författningsförslag

SOU 2017:74

lande beslut om tillträdesförbud vid idrottsarrangemang och att skydda människor mot att deras personliga integritet kränks vid sådan behandling.

(2005:321) om tillträdesförbud vid idrottsarrangemang och att skydda människor mot att deras personliga integritet kränks vid sådan behandling.

	2 §
Denna lag	gäller behandling	Denna lag gäller vid idrotts-
av personuppgifter för att upp-		organisationers		behandling	av
rätthålla gällande beslut om till-		personuppgifter från det tillträ-
trädesförbud. Lagen gäller vid		desförbudsregister som förs enligt
1. Polismyndighetens behand-		polisens brottsdatalag (2010:361)
ling av personuppgifter i tillträ-		för att upprätthålla gällande be-
desförbudsregistret, och		slut om tillträdesförbud.
2. idrottsorganisationers be-
handling av personuppgifter från
tillträdesförbudsregistret.
Lagen gäller behandling som		Lagen gäller		för behandling
är helt eller delvis automatiserad		som är helt eller delvis automa-
eller om personuppgifterna in-		tiserad eller om personuppgif-
går i eller är avsedda att ingå i en		terna ingår i eller är avsedda att
strukturerad samling av person-		ingå i en strukturerad samling av
uppgifter som är tillgängliga för		personuppgifter som är tillgäng-
sökning eller	sammanställning	liga för sökning eller samman-
enligt särskilda kriterier. Lagen		ställning enligt särskilda krite-
gäller även för annan behandling		rier. Lagen gäller även för annan
i fall som avses i 14 §.		behandling i fall som avses i 8 §.
		Förhållandet till annan regle-
		ring om personuppgiftsbehand-
		ling
		3 §
		Europaparlamentets och rådets
		förordning	(EU) 2016/679		av
		den 27 april 2016 om skydd för
		fysiska personer med avseende på
		behandling	av	personuppgifter

138

SOU 2017:74

Författningsförslag

och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning) gäller vid be- handling av personuppgifter enligt denna lag. Lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning gäller om inte annat följer av denna lag eller föreskrifter som har med- delats i anslutning till den.

4 §

Polismyndigheten är person- uppgiftsansvarig för den behand- ling av personuppgifter som myn- digheten utför enligt denna lag.

Varje idrottsorganisation är personuppgiftsansvarig för den be- handling av personuppgifter som organisationen utför.

6 §

Tillgången till personupp-	Tillgången till personupp-
gifter ska begränsas till vad den	gifter ska begränsas till vad den
som arbetar vid Polismyndighe-	som arbetar eller utför uppdrag
ten eller som arbetar eller utför	åt en idrottsorganisation behöver
uppdrag åt en idrottsorganisa-	för att kunna fullgöra arbets-
tion behöver för att kunna full-	uppgifterna eller uppdraget.
göra arbetsuppgifterna eller upp-
draget.

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om tillgången till personuppgifter.

7 §

Längsta tid som personuppgifter får behandlas

En uppgift som en idrottsor- ganisation har fått tillgång till från tillträdesförbudsregistret ska

Behandlingen av personupp- gifter som en idrottsorganisation har fått tillgång till från tillträ-

139

Författningsförslag SOU 2017:74

tas bort om uppgiften inte längre	desförbudsregistret ska upphöra
behövs för de ändamål som anges	senast när tillträdesförbudets
i 7 §, dock senast när till-	giltighetstid löper ut eller om
trädesförbudets giltighetstid lö-	tillträdesförbudet dessförinnan
per ut eller om tillträdesförbu-	upphävs.
det dessförinnan upphävs.

1.Denna lag träder i kraft den 1 maj 2018.

2.Bestämmelserna i 4 och 15 §§ i deras nuvarande lydelse ska fortsätta att gälla för idrottsorganisationers personuppgiftsbehand- ling till den 25 maj 2018.

3.Bestämmelsen i 3 § ska inte tillämpas förrän den 25 maj 2018.

140

SOU 2017:74

Författningsförslag

1.20Förslag till

lag om ändring i åklagardatalagen (2015:433)

Härigenom föreskrivs i fråga om åklagardatalagen (2015:433) dels att 1 och 2 kap. ska upphöra att gälla,

dels att 3 kap. 3, 4 och 7 §§ ska upphöra att gälla, dels att rubriken före 3 kap. 3 § ska utgå,

dels att nuvarande 3 kap. 5 § ska betecknas 3 kap. 3 § och att rubriken före nuvarande 3 kap. 4 § ska placeras före nya 3 kap. 3 §, att nuvarande 3 kap. 6 § ska betecknas 3 kap. 4 §, att nuvarande 3 kap. 8 § ska betecknas 3 kap. 5 § och att rubriken före nuvarande 3 kap. 8 § ska placeras före nya 3 kap. 5 §,

dels att 3 kap. 1 och 2 §§ och nya 3–5 §§ ska ha följande lydelse, dels att det ska införas två nya paragrafer, 3 kap. 6 och 7 §§, och

nya rubriker före 3 kap. 1 § och nya 3 kap. 6 § av följande lydelse, dels att det ska införas fyra nya kapitel, 1, 2, 4 och 5 kap., av föl-

jande lydelse,

dels att rubriken till lagen ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Åklagardatalag	Åklagarväsendets brottsdatalag

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när Åkla- garmyndigheten eller Ekobrottsmyndigheten i egenskap av behörig myndighet behandlar personuppgifter i åklagarverksamhet i syfte att bekämpa eller lagföra brott eller handlägga frågor om ändring eller verkställighet av straffrättsliga påföljder eller upprätthållande av allmän ordning och säkerhet.

Bestämmelser om personuppgiftsbehandling vid Ekobrottsmyn- digheten finns också i polisens brottsdatalag (2010:361).

141

Författningsförslag

SOU 2017:74

Personuppgiftsansvar

2 § Åklagarmyndigheten och Ekobrottsmyndigheten är var och en personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför.

Lagens tillämpning på uppgifter om juridiska personer

3 § Bestämmelserna om personuppgifter i följande paragrafer gäller också vid behandling av uppgifter om juridiska personer:

1.2 § om personuppgiftsansvar,

2.2 kap. 1 § om tillåtna rättsliga grunder för behandling av per- sonuppgifter,

3.3 kap. 2 § om gemensamt tillgängliga uppgifter, och

4.4 kap. 1, 2 och 4 §§ om längsta tid som personuppgifter får behandlas.

Bestämmelserna om personuppgifter i följande paragrafer i brottsdatalagen (2018:000) gäller också vid sådan behandling:

1.2 kap. 2 § om diarieföring och handläggning i vissa fall,

2.2 kap. 3 § andra stycket om ändamålet med behandlingen,

3.2 kap. 17 § om längsta tid som personuppgifter får behandlas,

4.2 kap. 4 och 22 §§ om behandling för nya ändamål, och

5.3 kap. 6 § om tillgången till personuppgifter.

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 § Personuppgifter får behandlas om det är nödvändigt för att utföra en arbetsuppgift i syfte att

1.förebygga eller förhindra brottslig verksamhet,

2.utreda eller lagföra brott,

3.handlägga frågor om ändring eller verkställighet av straff- rättsliga påföljder,

4.handlägga frågor som rör upprätthållande av allmän ordning och säkerhet, eller

5.fullgöra förpliktelser som följer av internationella åtaganden.

142

SOU 2017:74

Författningsförslag

Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift.

2 § Förutsättningarna för att behandla personuppgifter, som be- handlas med stöd av 1 §, för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000).

Särskilda upplysningar

Känsliga personuppgifter

4 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte att brottsrubriceringar eller uppgifter som beskriver en persons utseende används vid sökning.

Utlämnande av personuppgifter

5 § Om det är förenligt med svenska intressen, får personupp- gifter lämnas ut till

1.Eurojust,

2.Interpol,

3.Europol, eller

4.en polismyndighet eller åklagarmyndighet i en stat som är an- sluten till Interpol.

Personuppgifter får lämnas ut enligt första stycket endast om mottagaren behöver uppgifterna för något av de syften som anges i 1 §.

143

Författningsförslag

SOU 2017:74

6 § Åklagarmyndigheten, Ekobrottsmyndigheten, Polismyndig- heten, Säkerhetspolisen, Tullverket, Kustbevakningen och Skatte- verket har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §, om den mottagande myndigheten behöver upp- gifterna för något av de syften som anges i 1 kap. 2 § brotts- datalagen (2018:000).

7 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt.

Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 3 kap. 5 §.

Föreskrifter

8 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen med- dela föreskrifter om

1.att personuppgifter får lämnas ut i andra fall än som anges i 5 och 6 §§, och

2.begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt 7 § första stycket.

3 kap.

	Allmän bestämmelse
1 §
Detta kapitel innehåller sär-	Detta kapitel innehåller sär-
skilda bestämmelser för behand-	skilda bestämmelser för behand-
ling av personuppgifter som	ling av personuppgifter som
görs eller har gjorts gemensamt	görs eller har gjorts gemensamt
tillgängliga i åklagarväsendets	tillgängliga med stöd av 2 §. Upp-
operativa verksamhet. Uppgifter	gifter som endast ett fåtal
som endast ett fåtal personer	personer har rätt att ta del av
har rätt att ta del av anses inte	anses inte som gemensamt till-
som gemensamt tillgängliga.	gängliga.
Detta kapitel gäller inte när	Detta kapitel gäller inte när
personuppgifter behandlas med	personuppgifter behandlas med

144

SOU 2017:74 Författningsförslag

stöd av 2 kap. 7 §.					stöd av 2 kap. 2 § brottsdatalagen
					(2018:000).
				2 §
Personuppgifter i åklagarvä-					Alla personuppgifter som be-
sendets operativa verksamhet får					handlas för syften som omfattas
göras gemensamt tillgängliga.					av denna lags tillämpningsom-
					råde får göras gemensamt till-
					gängliga.
Regeringen eller den myndig-
het som regeringen			bestämmer
kan med stöd av 8 kap. 7 § rege-
ringsformen	meddela		närmare
föreskrifter om sådana uppgifter.
				3 §
Vid sökning på namn, per-					Vid sökning i automatiserade
sonnummer,	samordningsnum-				behandlingssystem på namn, per-
mer eller andra liknande identi-					sonnummer, samordningsnum-
tetsbeteckningar i uppgifter som					mer eller andra liknande identi-
har gjorts gemensamt tillgäng-					tetsbeteckningar i uppgifter som
liga får sådana uppgifter tas fram					har gjorts gemensamt tillgäng-
som anger att den sökta personen					liga får endast sådana uppgifter
					tas fram som anger att den sökta
					personen
					1. är anmäld för brott,
1. är eller har varit misstänkt					2. är eller har varit misstänkt
för brott,					för brott,
2. är misstänkt för att ha ut-					3. är misstänkt för att ha ut-
övat eller komma att utöva					övat eller komma att utöva
brottslig verksamhet,					brottslig verksamhet,
3. har anmält ett brott,					4. har anmält ett brott,
4. är målsägande i ett ärende					5. är målsägande i ett ärende
som rör ansvar för brott,					som rör ansvar för brott,
5. är sökande,		motpart eller			6. är sökande, motpart eller
annan part eller kan jämställas					annan part eller kan jämställas
med part i ett ärende,					med part i ett ärende,
6. förekommer		i ett		ärende	7. förekommer i ett ärende
som vittne	eller	någon		annan	som vittne eller annan som läm-

145

Författningsförslag

SOU 2017:74

som lämnar eller har lämnat uppgifter eller yttrande,

7.är eller har varit åklagare i ett ärende, eller är eller har varit offentlig försvarare eller måls- ägandebiträde eller kan jämstäl- las med sådana, eller

8.har gett in eller tillhanda- hållits en handling.

nar eller har lämnat uppgifter eller yttrande,

8.är eller har varit åklagare i ett ärende, eller är eller har varit offentlig försvarare eller måls- ägandebiträde eller kan jämstäl- las med sådana, eller

9.har gett in eller tillhanda- hållits en handling.

						4 §
Bestämmelserna i					5 §	gäller	Bestämmelserna i		3 §	gäller
inte vid sökning i en viss hand-							inte vid sökning i en viss hand-
ling eller i ett visst ärende.							ling eller i ett visst ärende.
Regeringen kan med stöd av
8 kap. 7 § regeringsformen med-
dela	föreskrifter			om	ytterligare
undantag från 5 §.
						5 §
Åklagarmyndigheten,						Eko-	Åklagarmyndigheten,			Eko-
brottsmyndigheten,					Polismyn-		brottsmyndigheten,		Polismyn-
digheten,		Säkerhetspolisen,				Tull-	digheten, Säkerhetspolisen, Tull-
verket, Kustbevakningen						och	verket,	Kustbevakningen		och
Skatteverket får i den brotts-							Skatteverket får för något av de
bekämpande verksamheten med-							syften	som anges i	1 kap. 2 §
ges direktåtkomst till person-							brottsdatalagen (2018:000)			med-
uppgifter		i	åklagarväsendets				ges direktåtkomst till person-
operativa		verksamhet. Direktåt-					uppgifter som har gjorts gemen-
komsten får endast avse person-							samt tillgängliga med stöd av 2 §.
uppgifter som har gjorts gemen-
samt tillgängliga.
En myndighet som har med-
getts	direktåtkomst ansvarar för
att tillgången			till	personuppgifter
begränsas till det som varje tjäns-
teman behöver för att kunna full-
göra sina arbetsuppgifter.

146

SOU 2017:74

Författningsförslag

Regeringen eller den myndig- het som regeringen bestämmer kan med stöd av 8 kap. 7 § rege- ringsformen meddela närmare föreskrifter om omfattningen av direktåtkomsten och om behörig- het och säkerhet.

Föreskrifter

6 §

Regeringen kan med stöd av 8 kap. 7 § regeringsformen med- dela föreskrifter om ytterligare undantag från 3 §.

7 §

Regeringen eller den myndig- het som regeringen bestämmer kan med stöd av 8 kap. 7 § regerings- formen meddela föreskrifter om

1.gemensamt tillgängliga upp- gifter, och

2.omfattningen av direktåt- komst enligt 5 § och om behörig- het och säkerhet vid sådan åt- komst.

4 kap. Längsta tid som personuppgifter får behandlas

Allmän bestämmelse

1 § Detta kapitel gäller bara för automatiserad behandling.

147

Författningsförslag

SOU 2017:74

Personuppgifter i ärenden

2 § Personuppgifter i ett ärende får inte behandlas för ändamål inom denna lags tillämpningsområde längre än fem år efter ut- gången av det kalenderår då ärendet avslutades av åklagaren, eller, om frågan prövats av domstol, från utgången av det kalenderår då domstolens avgörande fick laga kraft.

3 § Om en förundersökning mot en person inte har inletts eller har lagts ner, om ett åtal har lagts ner eller om en frikännande dom har fått laga kraft, får personen inte längre vara sökbar som miss- tänkt.

Övriga personuppgifter

4 § Trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som inte kan hänföras till ett ärende inte behandlas längre än ett år efter utgången av det kalenderår då de behandlades automatiserat första gången.

Föreskrifter

5 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om

1.att uppgifter i vissa ärendetyper eller vissa kategorier av per- sonuppgifter får fortsätta att behandlas för ändamål inom denna lags tillämpningsområde under längre tid än vad som anges i 2 §,

2.att personuppgifter, med avvikelse från 4 §, får behandlas under längre tid för arkivändamål av allmänt intresse och veten- skapliga, statistiska eller historiska ändamål, och

3.begränsning av behandlingen av personuppgifter för ändamål inom denna lags tillämpningsområde vid digital arkivering.

148

SOU 2017:74

Författningsförslag

5 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § Sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i

1.2 kap. 1 § om tillåtna rättsliga grunder för behandling av per- sonuppgifter, eller

2.4 kap. 2 eller 4 § om längsta tid som personuppgifter får be- handlas.

Sanktionsavgiften ska vara minst 50 000 kronor och högst 20 000 000 kronor.

Skadestånd

Överklagande

3 § Bestämmelser om överklagande och om vilka beslut som får överklagas finns i 7 kap. brottsdatalagen (2018:000).

1.Denna lag träder i kraft den 1 maj 2018.

2.Sanktionsavgift enligt 5 kap. 1 § får beslutas endast för över- trädelser som har begåtts efter ikraftträdandet.

149

Författningsförslag

SOU 2017:74

1.21Förslag till

lag om ändring i utlänningsdatalagen (2016:27)

Härigenom föreskrivs att 14 § utlänningsdatalagen (2016:27) ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
	14 §

Migrationsverket får föra separata register över fingeravtryck och fotografier som tas med stöd av 9 kap. 8 § utlänningslagen (2005:716).

Med begränsning av de ändamål som annars gäller enligt 11 och 13 §§ får uppgifter om fingeravtryck eller fotografier i registren användas endast

1.vid prövning av ansökningar om uppehållstillstånd där skäl som anges i 4 kap. 1–2 a §§ utlänningslagen åberopas,

2.i ärenden om avvisning och utvisning,

3.i testverksamhet,

4.om det behövs för att kontrollera identiteten av en person på ett fotografi som kommit in till Migrationsverket, eller

5. om det behövs för att Mig-	5. om det behövs för att Mig-
rationsverket ska kunna kon-	rationsverket ska kunna kon-
trollera ett fingeravtryck mot	trollera ett fingeravtryck mot
det fingeravtrycks- och signale-	fingeravtrycks- och signalements-
mentsregister som Polismyndig-	register som Polismyndigheten
heten för enligt 4 kap. 11 § polis-	för enligt 5 kap. 11 § polisens
datalagen (2010:361).	brottsdatalag (2010:361).

Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela

1.ytterligare föreskrifter om vilka uppgifter som får behandlas i registren över fingeravtryck och fotografier, och

2.föreskrifter om gallring.

Denna lag träder i kraft den 1 maj 2018.

150

SOU 2017:74

Författningsförslag

1.22Förslag till

lag om ändring i tullagen (2016:253)

Härigenom föreskrivs att 4 kap. 8 § tullagen (2016:253) ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

4kap.

8 §

Ett transportföretag får lämna uppgifter enligt 6 § på så sätt att de görs läsbara för Tullverket genom terminalåtkomst.

Tullverket får ta del av upp-	Tullverket får ta del av upp-
gifter genom terminalåtkomst	gifter genom terminalåtkomst
endast i den omfattning och	endast i den omfattning och
under den tid som behövs för	under den tid som behövs för
att kontrollera aktuella tran-	att kontrollera aktuella trans-
sporter. Uppgifter som hålls till-	porter.
gängliga på detta sätt får inte
ändras eller på annat sätt bear-
betas eller lagras av Tullverket.
Uppgifter om enskilda perso-
ner som lämnats på annat sätt än
genom terminalåtkomst ska ome-
delbart förstöras, om de visar sig
sakna betydelse för utredning av
eller lagföring för brott.

Denna lag träder i kraft den 1 maj 2018.

151

Författningsförslag

SOU 2017:74

1.23Förslag till

lag om ändring i tullbrottsdatalagen (2017:447)

Härigenom föreskrivs i fråga om tullbrottsdatalagen (2017:447) dels att 1 och 2 kap. ska upphöra att gälla,

dels att 3 kap. 5 § och 4 kap. 5 § ska upphöra att gälla,

dels att nuvarande 3 kap. 6 § ska betecknas 3 kap. 5 §, att nuva- rande 3 kap. 7 § ska betecknas 3 kap. 6 §, att nuvarande 3 kap. 8 § ska betecknas 3 kap. 7 § och att rubriken före nuvarande 3 kap. 8 § ska placeras före nya 3 kap. 7 §, att nuvarande 4 kap. 2 § ska be- tecknas 4 kap. 12 §, att nuvarande 4 kap. 3 § ska betecknas 4 kap. 2 § och att rubriken före nuvarande 4 kap. 3 § ska placeras före nya 4 kap. 2 §, att nuvarande 4 kap. 4 § ska betecknas 4 kap. 3 §, att nuvarande 4 kap. 6 § ska betecknas 4 kap. 4 § och att rubriken före nuvarande 4 kap. 5 § ska placeras före nya 4 kap. 4 §, att nuvarande 4 kap. 7 § ska betecknas 4 kap. 5 §, att nuvarande 4 kap. 8 § ska betecknas 4 kap. 6 §, att nuvarande 4 kap. 9 § ska betecknas 4 kap. 8 § och att rubriken före nuvarande 4 kap. 9 § ska placeras före nya 4 kap. 7 §,

dels att 3 kap. 1–4 §§ och nya 3 kap. 5–7 §§, 4 kap. 1 § och nya 4 kap. 2–5, 8, 10 och 13 §§, rubriken till 4 kap. och rubriken före 4 kap. 1 § och nya 4 kap. 4 § ska ha följande lydelse,

dels att det ska införas sex nya paragrafer, 3 kap. 8 och 9 §§ och 4 kap. 7, 9, 11 och 12 §§ och nya rubriker före 3 kap. 1 §, nya 3 kap. 8 § och nya 4 kap. 12 §§ av följande lydelse,

dels att det ska införas tre nya kapitel, 1, 2 och 5 kap., av föl- jande lydelse,

dels att rubriken till lagen ska ha följande lydelse.

152

SOU 2017:74 Författningsförslag

Nuvarande lydelse	Föreslagen lydelse
Tullbrottsdatalag	Tullverkets brottsdatalag

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när Tull- verket i egenskap av behörig myndighet behandlar personuppgifter i syfte att bekämpa eller lagföra brott.

2 § I lagen (2017:496) om internationellt polisiärt samarbete och i föreskrifter som regeringen har meddelat i anslutning till den lagen, finns det särskilda bestämmelser om behandling av personuppgifter som följer av internationella överenskommelser om polisiärt sam- arbete. Om det i dessa författningar finns avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag.

Personuppgiftsansvar

3 § Tullverket är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför.

Lagens tillämpning på uppgifter om juridiska personer

4 § Bestämmelserna om personuppgifter i följande paragrafer gäller också vid behandling av uppgifter om juridiska personer:

1.3 § om personuppgiftsansvar,

2.2 kap. 1 § om tillåtna rättsliga grunder för behandling av per- sonuppgifter,

3.3 kap. 2 § om gemensamt tillgängliga uppgifter, och

4.4 kap. 1–5 och 8–11 §§ om längsta tid som personuppgifter får behandlas.

Bestämmelserna om personuppgifter i följande paragrafer i brottsdatalagen (2018:000) gäller också vid sådan behandling:

1.2 kap. 2 § om diarieföring och handläggning i vissa fall,

2.2 kap. 3 § andra stycket om ändamålet med behandlingen,

153

Författningsförslag

SOU 2017:74

3.2 kap. 17 § om längsta tid som personuppgifter får behandlas,

4.2 kap. 4 och 22 §§ om behandling för nya ändamål, och

5.3 kap. 6 § om tillgången till personuppgifter.

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 § Tullverket får behandla personuppgifter om det är nödvändigt för att utföra en arbetsuppgift i syfte att

1.förebygga, förhindra eller upptäcka brottslig verksamhet,

2.utreda eller lagföra brott, eller

3.fullgöra förpliktelser som följer av internationella åtaganden. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller

av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift.

2 § Förutsättningarna för att behandla personuppgifter, som be- handlas med stöd av 1 §, för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000).

Särskilda upplysningar

Känsliga personuppgifter

4 § Tullverket får behandla biometriska uppgifter enligt de förut- sättningar som anges i 2 kap. 12 § brottsdatalagen (2018:000).

5 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott eller uppgifter som beskriver en persons utseende används vid sökning.

154

SOU 2017:74

Författningsförslag

6 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte sökningar i syfte att få fram ett personurval grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning om sök- ningen görs i personuppgifter som inte har gjorts gemensamt till- gängliga.

Utlämnande av personuppgifter

7 § Om det är förenligt med svenska intressen, får personupp- gifter lämnas ut till

1.Interpol,

2.Europol,

3.en polismyndighet eller åklagarmyndighet i en stat som är an- sluten till Interpol, eller

4.en tullmyndighet eller kustbevakningsmyndighet inom Euro- peiska ekonomiska samarbetsområdet (EES).

Personuppgifter får lämnas ut enligt första stycket endast om mottagaren behöver uppgifterna för något av de syften som anges i 1 §.

8 § Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Kustbevakningen och Skatteverket har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlig- hets- och sekretesslagen (2009:400), rätt att ta del av personupp- gifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §, om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000).

9 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt.

Utlämnande genom direktåtkomst är tillåtet bara i den utsträck- ning som anges i 3 kap. 7 §.

155

Författningsförslag

SOU 2017:74

Personuppgifter från transportföretag

10 § Personuppgifter som tillhandahålls Tullverket enligt 15 § lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen eller 4 kap. 6 § tull- lagen (2016:253) får behandlas för att planera kontroller och välja ut kontrollobjekt för något av de syften som anges i 1 § första stycket 1 eller 2.

Personuppgifter som avses i första stycket får endast i ett en- skilt fall behandlas för nya ändamål enligt 2 kap. 4 eller 22 § brotts- datalagen (2018:000).

11 § Vid terminalåtkomst enligt 16 § lagen (1996:701) om Tull- verkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen eller 4 kap. 8 § tullagen (2016:253) får Tull- verket inte ändra eller på annat sätt bearbeta personuppgifterna.

12 § Vid sökning i personuppgifter som avses i 10 § första stycket får namn, personnummer, samordningsnummer och andra liknande identitetsbeteckningar användas som sökbegrepp endast om upp- gifterna avser en person som

1.är eller har varit misstänkt för brott,

2.är misstänkt för att ha utövat eller komma att utöva sådan brottslig verksamhet som avses i 3 kap. 2 § första stycket 1, eller

3.övervakas under de förutsättningar som anges i 3 kap. 2 § första stycket 2.

Föreskrifter

13 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om

1.att personuppgifter får lämnas ut i andra fall än som anges i 7 och 8 §§, och

2.begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt 9 § första stycket.

156

SOU 2017:74 Författningsförslag

3 kap.

		Allmän bestämmelse
	1 §
Detta kapitel innehåller sär-		Detta kapitel innehåller sär-
skilda bestämmelser för behand-		skilda bestämmelser för behand-
ling av personuppgifter	som	ling av personuppgifter	som
görs eller har gjorts gemensamt		görs eller har gjorts gemensamt
tillgängliga i Tullverkets brotts-		tillgängliga med stöd av	2 §.
bekämpande verksamhet.	Upp-	Uppgifter som endast ett fåtal
gifter som endast ett fåtal per-		personer har rätt att ta del av
soner har rätt att ta del av anses		anses inte som gemensamt till-
inte som gemensamt tillgängliga.		gängliga.
Detta kapitel gäller inte när		Detta kapitel gäller inte när
personuppgifter behandlas med		personuppgifter behandlas med
stöd av 2 kap. 7 §.		stöd av 2 kap. 2 § brottsdatalagen
		(2018:000).

2 §

Följande personuppgifter får göras gemensamt tillgängliga:

1. Uppgifter som kan antas ha samband med misstänkt brottslig verksamhet, om den misstänkta verksamheten

a)innefattar brott för vilket det är föreskrivet fängelse i ett år eller däröver, eller

b)sker systematiskt.

2. Uppgifter som behövs för	2. Uppgifter som behövs för
övervakningen av en person, om	övervakningen av en person som
han eller hon

a)kan antas komma att begå brott för vilket det är föreskrivet fängelse i två år eller däröver, och

b)är allvarligt kriminellt belastad.

3.Uppgifter som förekom- mer i ett ärende om utredning eller beivrande av brott.

4.Uppgifter som behövs för att fullgöra internationella åta- ganden, om det krävs för att den aktuella förpliktelsen ska kunna fullgöras.

3.Uppgifter som förekom- mer i ett ärende om utredning av eller lagföring för brott.

4.Uppgifter som har rappor- terats till Tullverkets lednings- centraler.

157

Författningsförslag

SOU 2017:74

5. Uppgifter som har rappor-	5. Uppgifter som behandlas i
terats till Tullverkets kommuni-	syfte	att fullgöra		internationella
kationscentral.	åtaganden, om det krävs för att
	den	aktuella	förpliktelsen ska
	kunna fullgöras.
	Personuppgifter			från	trans-
	portföretag som		behandlas		enligt
	2 kap. 10 § första stycket får göras
	gemensamt tillgängliga endast om
	det behövs i ett enskilt fall.

tillgänglig för andra.
		3 §
För	gemensamt	tillgängliga	Det ska framgå genom en sär-
uppgifter ska det genom en sär-			skild upplysning eller på något
skild upplysning eller på något			annat sätt		om personuppgifter
annat sätt framgå för vilket när-			har gjorts gemensamt tillgäng-
mare ändamål personuppgifterna			liga	med	stöd av	2 § första
behandlas. Har personuppgifter-			stycket 2.
na gjorts gemensamt tillgängliga
med stöd av 2 § första stycket 2,
ska detta särskilt framgå.
		4 §
Om uppgifter som är gemen-			Om uppgifter som är gemen-
samt	tillgängliga	direkt kan	samt	tillgängliga		direkt	kan
hänföras till en person som inte			hänföras till en person som inte
är misstänkt för brott eller för att			är misstänkt för att ha utövat
ha utövat eller komma att utöva			eller komma att utöva sådan
sådan brottslig verksamhet som			brottslig verksamhet som avses i
avses i 2 § första stycket 1, ska			2 §	första	stycket 1, ska		det
det genom en särskild upplys-			genom en		särskild	upplysning
ning eller på annat sätt framgå			eller på något annat sätt framgå
att personen inte är misstänkt.			att personen inte är misstänkt.
Uppgifter om en person som			Uppgifter om en person som

158

SOU 2017:74 Författningsförslag

kan antas ha samband med			kan antas ha direkt samband
misstänkt brottslig verksamhet			med sådan brottslig verksamhet
ska förses med en upplysning			som avses	i 2 § första stycket 1
om uppgiftslämnarens		trovär-	eller som övervakas med stöd av
dighet och uppgifternas riktig-			2 § första	stycket 2 ska	förses
het i sak, om inte detta är onö-			med en upplysning om uppgifts-
digt på grund av särskilda om-			lämnarens	trovärdighet	och
ständigheter.	Detsamma	gäller	uppgifternas riktighet i sak, om
uppgifter om personer som avses i			det inte på grund av omstän-
2 § första stycket 2.			digheterna är onödigt.
		5 §
Vid sökning på namn, per-			Vid sökning i automatiserade
sonnummer,	samordningsnum-		behandlingssystem på namn, per-
mer eller andra liknande identi-			sonnummer, samordningsnum-
tetsbeteckningar i uppgifter som			mer eller andra liknande identi-
har gjorts gemensamt tillgäng-			tetsbeteckningar i uppgifter som
liga får endast sådana uppgifter			har gjorts gemensamt tillgäng-
tas fram som anger att den sökta			liga får endast sådana uppgifter
personen			tas fram som anger att den sökta
			personen

1.är anmäld för brott,

2.är eller har varit misstänkt för brott,

3.är misstänkt för att ha utövat eller komma att utöva sådan brottslig verksamhet som avses i 2 § första stycket 1,

4.övervakas enligt 2 § första stycket 2,

5.har anmält ett brott,

6.är målsägande i ett ärende som rör ansvar för brott,

7.förekommer i ett ärende som vittne eller annan som lämnar eller har lämnat uppgifter eller yttrande,

8.har gett in eller tillhandahållits en handling,

9.har bedömts kunna komma att möta ett ingripande med grovt våld, eller

10.är efterlyst.

Regeringen eller den myndig- het som regeringen bestämmer kan med stöd av 8 kap. 7 § rege- ringsformen meddela föreskrifter om begränsning av tillgången till

159

Författningsförslag

SOU 2017:74

sådana uppgifter som avses i första stycket.

6 §

Bestämmelserna i 6 § gäller	Bestämmelserna i 5 § gäller
inte vid	inte vid sökning i en viss hand-
1. sökning i en viss handling	ling eller i ett visst ärende.
eller i ett visst ärende, eller
2. sökning i en uppgiftssamling
som har skapats för att undersöka
viss brottslighet eller vissa krimi-
nella grupperingar och som enbart
de som arbetar i undersökningen
har åtkomst till.
Bestämmelserna i 6 § gäller	Bestämmelserna i 5 § gäller
inte heller vid sökning som ut-	inte heller vid sökning som görs
förs av särskilt angivna tjänste-	av särskilt angivna tjänstemän
män och som görs

1. för att förebygga, förhindra eller upptäcka brottslig verksam- het som innefattar brott för vilket det är föreskrivet fängelse i fyra år eller däröver eller för sådant ändamål som avses i 2 § första stycket 2, eller

2. för att utreda brott för vil- ket det är föreskrivet fängelse i fyra år eller däröver.

Regeringen eller den myndig- het som regeringen bestämmer

1.när de utför beredningsupp- gifter i underrättelseverksamhet och arbetet befinner sig i ett in- ledande skede,

3.i syfte att utreda brott för vilket det är föreskrivet fängelse

ifyra år eller däröver, eller

4.i syfte att samordna utred- ningar om brott som kan vara systematiska och för vilka det är föreskrivet fängelse i två år eller däröver.

Bestämmelserna i 5 § gäller inte heller vid sökning som en

160

SOU 2017:74

Författningsförslag

kan med stöd av 8 kap. 7 § rege- ringsformen meddela föreskrifter om under vilka förutsättningar sökning får äga rum med stöd av första och andra styckena. Rege- ringen kan med stöd av 8 kap. 7 § regeringsformen meddela före- skrifter om ytterligare undantag från 6 §.

tjänsteman vid någon av Tull- verkets ledningscentraler utför på begäran av en tulltjänsteman som verkställer ett ingripande eller vidtar en åtgärd som rör en en- skild.

						7 §
	Polismyndigheten,					Säker-	Polismyndigheten,			Säker-
hetspolisen,			Ekobrottsmyndig-				hetspolisen, Ekobrottsmyndig-
heten,		Åklagarmyndigheten,					heten,	Åklagarmyndigheten,
Kustbevakningen				och		Skatte-	Kustbevakningen		och	Skatte-
verket får medges direktåtkomst							verket får för något av de syften
till personuppgifter i Tullverkets							som anges i 1 kap. 2 § brottsdata-
brottsbekämpande					verksamhet.		lagen (2018:000)		medges direkt-
Direktåtkomsten får					endast avse		åtkomst till personuppgifter som
personuppgifter som är gemen-							har gjorts gemensamt tillgängliga
samt tillgängliga.							med stöd av 2 §.
	En myndighet som har med-
getts direktåtkomst				ansvarar för
att	tillgången		till personuppgifter
begränsas till vad varje tjänste-
man behöver för att kunna full-
göra sina arbetsuppgifter.
	Regeringen eller den myndig-
het	som	regeringen			bestämmer
kan med stöd av 8 kap. 7 § rege-
ringsformen			meddela			närmare
föreskrifter		om omfattningen av

direktåtkomsten samt om behö- righet och säkerhet.

161

Författningsförslag

SOU 2017:74

Föreskrifter

8 §

Regeringen kan med stöd av 8 kap. 7 § regeringsformen med- dela föreskrifter om ytterligare undantag från 5 §.

	9 §
	Regeringen eller den myndighet
	som	regeringen		bestämmer			kan
	med stöd av 8 kap. 7 § regerings-
	formen meddela föreskrifter om
	1. begränsning				av	tillgången
	till	sådana	personuppgifter				som
	avses i 5 §,
	2. under		vilka förutsättningar
	sökning får utföras med stöd av
	6 §, och
	3. omfattningen				av	direktåt-
	komst enligt 7 § och behörighet
	och säkerhet vid sådan åtkomst.
4 kap. Bevarande och gallring	4 kap. Längsta tid som person-
av personuppgifter	uppgifter får behandlas
Generella bestämmelser	Allmän bestämmelse
1 §
	Detta kapitel gäller, om inte
	annat sägs, bara för automati-
	serad behandling.
Personuppgifter får inte be-	Av 2 kap. 17 §				första stycket
varas under längre tid än vad	brottsdatalagen (2018:000) fram-
som behövs för något eller några	går att personuppgifter inte får
av de ändamål som anges i lagen.	behandlas under längre tid än
	vad	som	är	nödvändigt			med

hänsyn till ändamålet med be- handlingen.

162

Trots det som sägs i 2 kap.

17 § andra stycket brottsdatalagen (2018:000) får personuppgifter som inte har gjorts gemensamt tillgängliga inte behandlas längre än

1. ett år efter det att ärendet avslutades, om de behandlas i ett ärende, eller

2. ett år efter det att de be- handlades automatiserat första gången, om de inte kan hänföras till ett ärende.

Första stycket gäller inte personuppgifter i ärenden om utredning av eller lagföring för brott.

SOU 2017:74

Författningsförslag

I följande paragrafer anges hur länge uppgifter som behandlas automatiserat längst får bevaras:

1.3 och 4 §§ om uppgifter som inte har gjorts gemensamt till- gängliga,

2.5–7 §§ om uppgifter i ären- den om utredning eller beivrande av brott som har gjorts gemen- samt tillgängliga, och

3.9 och 10 §§ om andra upp- gifter som har gjorts gemensamt tillgängliga än som anges i 2.

2 §

Personuppgifter som behand- las automatiserat och som inte har gjorts gemensamt tillgäng- liga ska, om de behandlas i ett ärende, gallras senast ett år efter det att ärendet avslutades. Om de inte kan hänföras till ett ärende, ska uppgifterna gallras senast ett år efter det att de behandlades automatiserat första gången.

Första stycket gäller inte personuppgifter i ärenden om utredning eller beivrande av brott.

3 §
I 4 kap. 8 § tullagen (2016:253)	Personuppgifter som med stöd
och 16 § lagen (1996:701) om	av 15 § lagen (1996:701)	om
Tullverkets befogenheter vid	Tullverkets befogenheter	vid
Sveriges gräns mot ett annat	Sveriges gräns mot ett annat
land inom Europeiska unionen	land inom Europeiska unionen

163

Författningsförslag

SOU 2017:74

finns bestämmelser om lagring och förstöring av vissa uppgifter från transportföretag.

eller 4 kap. 6 § tullagen (2016:253) tillhandahålls på annat sätt än genom terminalåtkomst ska omedelbart förstöras, om de visar sig sakna betydelse för något av de syften som anges i 2 kap. 1 § första stycket 1 eller 2.

Det som sägs i första stycket gäller också vid behandling av personuppgifter som ingår i en strukturerad samling personupp- gifter.

Gemensamt tillgängliga upp- gifter i ärenden om utredning eller beivrande av brott

Gemensamt tillgängliga upp- gifter i ärenden om utredning av eller lagföring för brott

				4 §
Om en brottsanmälan av-					Om en brottsanmälan av-
skrivs på grund av att den på-					skrivs på grund av att den på-
stådda	gärningen		inte	utgör	stådda	gärningen			inte utgör
brott,	får	personuppgifterna i			brott,	får	personuppgifterna i
anmälan inte längre behandlas i					anmälan inte			längre behandlas
Tullverkets		brottsbekämpande			för ändamål inom denna lags
verksamhet. Om en brottsan-					tillämpningsområde.				Om	en
mälan i annat fall inte har lett till					brottsanmälan i annat fall inte
förundersökning			eller	annan	har lett		till	förundersökning
motsvarande utredning, får per-					eller annan motsvarande utred-
sonuppgifterna inte behandlas i					ning, får personuppgifterna inte
Tullverkets		brottsbekämpande			behandlas		för	ändamål		inom
verksamhet när åtal inte längre					denna	lags tillämpningsområde
får väckas för brottet.					när åtal inte längre får väckas för
					brottet.

5 §

Om en förundersökning har Om en förundersökning har lett till åtal eller annan dom- lett till åtal eller annan dom- stolsprövning, får personupp- stolsprövning, får personupp-

164

SOU 2017:74 Författningsförslag


gifterna i		förundersökningen		gifterna	i	förundersökningen
inte	behandlas		i Tullverkets	inte behandlas för ändamål inom
brottsbekämpande verksamhet när				denna	lags	tillämpningsområde
det har förflutit fem år efter				längre än fem år efter utgången
utgången av det kalenderår då				av det kalenderår då domstolens
domen, eller det beslut som med-				avgörande fick laga kraft.
delades med anledning av talan,
fick laga kraft.
Om en förundersökning har				Om en förundersökning har
lagts ned eller avslutats på annat				lagts ner eller avslutats på annat
sätt än genom åtal, får person-				sätt än genom åtal, får person-
uppgifterna		i	förundersök-	uppgifterna		i	förundersök-
ningen inte behandlas i Tullver-				ningen inte behandlas för ända-
kets	brottsbekämpande verksam-			mål inom denna lags tillämp-
het när det har förflutit fem år				ningsområde längre än fem år
efter utgången av det kalenderår				efter utgången av det kalenderår
då åklagarens eller förundersök-				då åklagarens eller förundersök-
ningsledarens beslut meddelades.				ningsledarens beslut meddelades.

Första och andra styckena gäller även personuppgifter i andra utredningar som handläggs enligt bestämmelser i 23 kap. rätte-

gångsbalken.
7 §
Trots det	som	sägs i 2 kap.
17 § andra stycket brottsdatalagen
(2018:000)	får	personuppgifter

som har gjorts gemensamt till- gängliga med stöd av 3 kap. 2 § första stycket 1, 2, 4 eller 5 som längst behandlas under den tid som anges i 8–11 §§.

8 §

Personuppgifter som har gjorts gemensamt tillgängliga enligt 3 kap. 2 § första stycket 1 eller 2 ska gallras enligt andra–fjärde styckena.

165

Författningsförslag SOU 2017:74

						Personuppgifter som kan antas
						ha samband med sådan brottslig
						verksamhet som anges i 3 kap. 2 §
						första stycket 1 får, om de be-
						handlas i ett ärende, inte behand-
						las längre än ett år efter det att
						ärendet avslutades.
Uppgifter som kan antas ha						Om personuppgifterna inte
samband	med	sådan		brottslig		behandlas i ett ärende får de inte
verksamhet som anges i 3 kap.						behandlas längre än tre år efter
2 § första	stycket 1 ska				gallras	utgången av det kalenderår då
senast tre år efter utgången av						registreringen avseende			perso-
det kalenderår då registreringen						nen gjordes. Personuppgifter som
avseende	personen			gjordes.		kan antas ha samband med
Uppgifter som kan antas ha						brottslig verksamhet som inne-
samband med brottslig verk-						fattar brott för vilket det är
samhet som innefattar brott för						föreskrivet fängelse i två år eller
vilket det är föreskrivet fängelse						däröver får inte behandlas längre
i två år eller däröver ska dock						än fem år efter utgången av det
gallras senast fem år efter ut-						kalenderår	då	registreringen
gången av det kalenderår då						gjordes. Om en ny registrering
registreringen		gjordes. Om en				beträffande	personens		anknyt-
ny registrering beträffande per-						ning till brottslig verksamhet görs
sonen görs före utgången av						före utgången av de tiderna, får
gallringsfristen, behöver de upp-						de uppgifter som finns om per-
gifter som finns om personen						sonen fortsätta att behandlas så
inte gallras så länge någon av						länge någon av uppgifterna om
uppgifterna om			honom		eller	honom eller henne får behandlas.
henne får bevaras.
Uppgifter som har behandlats i
samband med sådan övervakning
som avses	i	3 kap.		2 §	första
stycket 2 ska gallras senast tio år
efter utgången av det kalenderår
då den senaste registreringen av-
seende personen gjordes.
Den tid då en misstänkt eller						Den tid då en misstänkt per-
övervakad	person		avtjänar ett			son avtjänar	ett	fängelsestraff
fängelsestraff		eller		genomgår		eller genomgår sluten ungdoms-

166

SOU 2017:74

Författningsförslag

sluten ungdomsvård eller rätts- psykiatrisk vård med särskild utskrivningsprövning ska inte räknas med vid beräkningen av de frister som anges i andra och tredje styckena.

vård eller rättspsykiatrisk vård med särskild utskrivningspröv- ning ska inte räknas med vid beräkningen av de tider som anges i andra stycket.

9 §

Personuppgifter som behandlas i samband med sådan övervak- ning som avses i 3 kap. 2 § första stycket 2 får inte behandlas längre än tio år efter utgången av det kalenderår då den senaste regi- streringen avseende personen gjordes.

Den tid då en övervakad person avtjänar ett fängelsestraff eller genomgår sluten ungdoms- vård eller rättspsykiatrisk vård med särskild utskrivningspröv- ning ska inte räknas med vid beräkningen av den tid som anges i första stycket.

		10 §
Personuppgifter som har gjorts
gemensamt	tillgängliga	enligt
3 kap. 2 § första stycket 4 eller 5
ska gallras enligt andra eller
tredje stycket.
Uppgifter som har behandlats			Personuppgifter som behand-
med stöd av	3 kap. 2 §	första	las med stöd av 3 kap. 2 § första
stycket 4 ska gallras senast ett år			stycket 4 får inte behandlas
efter utgången av det kalenderår			längre än ett år efter utgången av
då ärendet som uppgifterna be-			det kalenderår då de behandlades
handlades i avslutades.			automatiserat första gången.
Uppgifter som har behandlats
med stöd av	3 kap. 2 §	första

167

Författningsförslag

SOU 2017:74

stycket 5 ska gallras senast ett år efter utgången av det kalenderår då de behandlades automatiserat första gången.

11 §

Personuppgifter som behandlas med stöd av 3 kap. 2 § första stycket 5 får inte behandlas längre än ett år efter utgången av det kalenderår då ärendet som upp- gifterna behandlades i avslutades.

Föreskrifter

12 §

Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om


1. att vissa kategorier av per-	1. att vissa kategorier av per-
sonuppgifter får bevaras i den	sonuppgifter får fortsätta att be-
brottsbekämpande verksamheten	handlas för ändamål inom denna
under längre tid än vad som	lags tillämpningsområde		under
anges i 6, 7, 9 och 10 §§,	längre tid än vad som anges i 4,
	5 och 8–11 §§,
2. att personuppgifter, med	2. att	personuppgifter,		med
avvikelse från 3 § första stycket, 9	avvikelse från 2 § första stycket
och 10 §§, får bevaras för histo-	och 8–11 §§, får behandlas under
riska, statistiska eller vetenskap-	längre tid för arkivändamål av
liga ändamål, och	allmänt intresse och vetenskap-
	liga, statistiska eller historiska
	ändamål och
3. digital arkivering.	3. begränsning av behand-
	lingen	av personuppgifter		för
	ändamål inom denna lags till-
	lämpningsområde vid		digital
	arkivering.

168

SOU 2017:74

Författningsförslag

5 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § Sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i

1.2 kap. 1 § om tillåtna rättsliga grunder för behandling av per- sonuppgifter,

2.3 kap. 3 och 4 §§ om särskilda upplysningar, eller

3.4 kap. 2–5 eller 8–11 § om längsta tid som personuppgifter får behandlas.

Sanktionsavgiften ska vara minst 50 000 kronor och högst 20 000 000 kronor.

Skadestånd

Överklagande

3 § Bestämmelser om överklagande och om vilka beslut som får överklagas finns i 7 kap. brottsdatalagen (2018:000).

1.Denna lag träder i kraft den 1 maj 2018.

2.Sanktionsavgift enligt 5 kap. 1 § får beslutas endast för över- trädelser som har begåtts efter ikraftträdandet.

169

Författningsförslag

SOU 2017:74

1.24Förslag till

lag om ändring i skattebrottsdatalagen (2017:452)

Härigenom föreskrivs i fråga om skattebrottsdatalagen (2017:452)

dels att 1 och 2 kap. ska upphöra att gälla,

dels att 3 kap. 3 och 5 §§ och 4 kap. 4 § ska upphöra att gälla, dels att nuvarande 3 kap. 4 § ska betecknas 3 kap. 3 §, att nu-

varande 3 kap. 6 § ska betecknas 3 kap. 4 § och att rubriken före nuvarande 3 kap. 5 § ska placeras före nya 3 kap. 4 §, att nuvarande 3 kap. 7 § ska betecknas 3 kap. 5 §, att nuvarande 3 kap. 8 § ska be- tecknas 3 kap. 6 § och att rubriken före nuvarande 3 kap. 8 § ska placeras före nya 3 kap. 6 §, att nuvarande 4 kap. 2 § ska betecknas 4 kap. 9 §, att nuvarande 4 kap. 3 § ska betecknas 4 kap. 2 § och att rubriken före nuvarande 4 kap. 3 § ska placeras före nya 4 kap. 2 §, att nuvarande 4 kap. 5 § ska betecknas 4 kap. 3 § och att rubriken före nuvarande 4 kap. 4 ska placeras före nya 4 kap. 3 §, att nuva- rande 4 kap. 6 § ska betecknas 4 kap. 4 §, att nuvarande 4 kap. 7 § ska betecknas 4 kap. 5 §, att nuvarande 4 kap. 8 § ska betecknas 4 kap. 7 § och att rubriken före nuvarande 4 kap. 8 § ska placeras före nya 4 kap. 6 §,

dels att 3 kap. 1 och 2 §§ och nya 3 kap. 3–6 §§, 4 kap. 1 § och nya 4 kap. 2–4, 7 och 9 §§, rubriken till 4 kap. och rubriken före 4 kap. 1 § ska ha följande lydelse,

dels att det ska införas fyra nya paragrafer, 3 kap. 7 och 8 §§ och 4 kap. 6 och 8 §§ och nya rubriker före 3 kap. 1 §, nya 3 kap. 7 § och nya 4 kap. 9 § av följande lydelse,

dels att det ska införas tre nya kapitel, 1, 2 och 5 kap., av föl- jande lydelse,

dels att rubriken till lagen ska ha följande lydelse.

170

SOU 2017:74 Författningsförslag

Nuvarande lydelse	Föreslagen lydelse
Skattebrottsdatalag	Skatteverkets brottsdatalag

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 § Denna lag gäller utöver brottsdatalagen (2018:000) när Skat- teverket i egenskap av behörig myndighet behandlar personupp- gifter i syfte att bekämpa brott.

Personuppgiftsansvar

2 § Skatteverket är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför.

Lagens tillämpning på uppgifter om juridiska personer

3 § Bestämmelserna om personuppgifter i följande paragrafer gäller också vid behandling av uppgifter om juridiska personer:

1.2 § om personuppgiftsansvar,

2.2 kap. 1 § om tillåtna rättsliga grunder för behandling av per- sonuppgifter,

3.3 kap. 2 § om gemensamt tillgängliga uppgifter, och

4.4 kap. 1–4 och 7 och 8 §§ om längsta tid som personuppgifter får behandlas.

Bestämmelserna om personuppgifter i följande paragrafer i brottsdatalagen (2018:000) gäller också vid sådan behandling:

1.2 kap. 2 § om diarieföring och handläggning i vissa fall,

2.2 kap. 3 § andra stycket om ändamålet med behandlingen,

3.2 kap. 17 § om längsta tid som personuppgifter får behandlas,

4.2 kap. 4 och 22 §§ om behandling för nya ändamål, och

5.3 kap. 6 § om tillgången till personuppgifter.

171

Författningsförslag

SOU 2017:74

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 § Skatteverket får behandla personuppgifter om det är nödvän- digt för att utföra en arbetsuppgift i syfte att

1.förebygga, förhindra eller upptäcka brottslig verksamhet,

2.utreda brott, eller

3.fullgöra förpliktelser som följer av internationella åtaganden. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller

av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift.

2 § Förutsättningarna för att behandla personuppgifter, som be- handlas med stöd av 1 §, för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000).

Särskilda upplysningar

Sökning

Känsliga personuppgifter

4 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte att uppgifter som beskriver en persons utseende används vid sökning.

5 § Sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) hindrar inte sökning i syfte att få fram ett personurval grundat på etniskt ursprung, om sökningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga.

172

SOU 2017:74

Författningsförslag

Beskattningsdatabasen

6 § I lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet finns bestämmelser om beskattningsdata- basen. Vid sökning i beskattningsdatabasen som görs för något av de syften som anges i 1 § får endast uppgift om namn, personnum- mer eller samordningsnummer användas.

Utlämnande av personuppgifter

7 § Personuppgifter får lämnas ut till en utländsk myndighet eller mellanfolklig organisation, om utlämnandet följer av en internatio- nell överenskommelse som Sverige har tillträtt efter riksdagens godkännande.

8 § Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Kustbevakningen och Tullverket har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlig- hets- och sekretesslagen (2009:400), rätt att ta del av personupp- gifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 §, om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000).

9 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt.

Utlämnande genom direktåtkomst är tillåtet bara i den utsträck- ning som anges i 3 kap. 6 §.

Föreskrifter

10 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om

1.att personuppgifter får lämnas ut i andra fall än som anges i 7 och 8 §§, och

2.begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt 9 § första stycket.

173

Detta kapitel innehåller sär- skilda bestämmelser för be- handling av personuppgifter som görs eller har gjorts gemen- samt tillgängliga med stöd av 2 §. Uppgifter som endast ett fåtal personer har rätt att ta del av anses inte som gemensamt till- gängliga.

Detta kapitel gäller inte när personuppgifter behandlas med stöd av 2 kap. 2 § brottsdatalagen (2018:000).

Författningsförslag

SOU 2017:74

3 kap.

Allmän bestämmelse

1 §

Detta kapitel innehåller sär- skilda bestämmelser för be- handling av personuppgifter som görs eller har gjorts gemen- samt tillgängliga i Skatteverkets brottsbekämpande verksamhet. Uppgifter som endast ett fåtal personer har rätt att ta del av anses inte som gemensamt till- gängliga.

Detta kapitel gäller inte när personuppgifter behandlas med stöd av 2 kap. 7 §.

2 §

Följande personuppgifter får göras gemensamt tillgängliga:

1.Uppgifter som kan antas ha samband med misstänkt brottslig verksamhet, om den misstänkta verksamheten

a) innefattar brott för vilket det är föreskrivet fängelse i ett år eller däröver, eller

b) sker systematiskt.

2.Uppgifter som förekommer i ett ärende om utredning av brott.

3. Uppgifter som behövs för att fullgöra internationella åta- ganden, om det krävs för att den aktuella förpliktelsen ska kunna fullgöras.

3. Uppgifter som behandlas i syfte att fullgöra internationella åtaganden, om det krävs för att den aktuella förpliktelsen ska kunna fullgöras.

3 §
Om uppgifter som är gemen-	Om uppgifter som är gemen-
samt tillgängliga direkt kan	samt tillgängliga	direkt kan
hänföras till en person som inte	hänföras till en person som inte
är misstänkt för brott eller för att	är misstänkt för	att ha utövat

174

SOU 2017:74

Författningsförslag

ha utövat eller komma att utöva sådan brottslig verksamhet som avses i 2 § första stycket 1, ska det genom en särskild upplys- ning eller på annat sätt framgå att personen inte är misstänkt.

Uppgifter om en person som kan antas ha samband med misstänkt brottslig verksamhet ska förses med en upplysning om uppgiftslämnarens trovär- dighet och uppgifternas riktig- het i sak, om inte detta är onö- digt på grund av särskilda om- ständigheter.

eller komma att utöva sådan brottslig verksamhet som avses i 2 § 1, ska det genom en särskild upplysning eller på något annat sätt framgå att personen inte är misstänkt.

4 §

Vid sökning på namn, per-	Vid sökning i automatiserade
sonnummer, samordningsnum-	behandlingssystem på namn, per-
mer eller andra liknande identi-	sonnummer, samordningsnum-
tetsbeteckningar i uppgifter som	mer eller andra liknande identi-
har gjorts gemensamt tillgäng-	tetsbeteckningar i uppgifter som
liga får endast sådana uppgifter	har gjorts gemensamt tillgäng-
tas fram som anger att den sökta	liga får endast sådana uppgifter
personen	tas fram som anger att den sökta
	personen

1.är anmäld för brott,

2.är eller har varit misstänkt för brott,

3. är misstänkt för att ha ut-	3. är misstänkt för att ha ut-
övat eller komma att utöva så-	övat eller komma att utöva så-
dan brottslig verksamhet som	dan brottslig verksamhet som
avses i 2 § första stycket 1,	avses i 2 § 1,

4.har anmält ett brott,

5.är målsägande i ett ärende som rör ansvar för brott,

6.förekommer i ett ärende som vittne eller annan som lämnar eller har lämnat uppgifter eller yttrande,

7.har gett in eller tillhandahållits en handling,

8.har bedömts kunna komma att möta ett ingripande med grovt våld, eller

175

Författningsförslag

SOU 2017:74

9. är eller har varit registrerad som funktionär i en eller flera juridiska personer vilka kan antas ha samband med brottslig verk- samhet.

Regeringen eller den myndig- het som regeringen bestämmer kan med stöd av 8 kap. 7 § rege- ringsformen meddela föreskrifter om begränsning av tillgången till sådana uppgifter som avses i första stycket.

5 §

Bestämmelserna i 6 § gäller	Bestämmelserna i 4 § gäller
inte vid	inte vid sökning i en viss hand-
1. sökning i en viss handling	ling eller i ett visst ärende.
eller i ett visst ärende, eller
2. sökning i en uppgiftssamling
som har skapats för att undersöka
viss brottslighet eller vissa krimi-
nella grupperingar och som enbart
de som arbetar i undersökningen
har åtkomst till.
Bestämmelserna i 6 § gäller	Bestämmelserna i 4 § gäller
inte heller vid sökning som ut-	inte heller vid sökning som görs
förs av särskilt angivna tjänste-	av särskilt angivna tjänstemän
män och som görs

1. för att förebygga, förhindra eller upptäcka brottslig verksam- het som innefattar brott för vilket det är föreskrivet fängelse i fyra år eller däröver, eller

2. för att utreda brott för vil- ket det är föreskrivet fängelse i

1.när de utför beredningsupp- gifter i underrättelseverksamhet och arbetet befinner sig i ett inle- dande skede,

2.i syfte att i underrättelse- verksamhet bearbeta och analy- sera personuppgifter som har gjorts gemensamt tillgängliga med stöd av 2 § 1 eller 2 och som en- bart dessa tjänstemän har tillgång till, eller

3.i syfte att utreda brott för vilket det är föreskrivet fängelse

176

SOU 2017:74 Författningsförslag

fyra år eller däröver.

i fyra år eller däröver.

Regeringen eller den myndig-

het

som

regeringen

bestämmer

kan med stöd av 8 kap. 7 § rege-

ringsformen

meddela

föreskrifter

under

vilka

förutsättningar

sökning får äga rum med stöd av

första och andra styckena. Rege-

ringen kan med stöd av 8 kap. 7 §

regeringsformen

meddela

före-

skrifter om

ytterligare

undantag

från 6 §.

6 §

Polismyndigheten, Säkerhets-

polisen,

Ekobrottsmyndigheten,

polisen,

Ekobrottsmyndigheten,

Åklagarmyndigheten,

Tullverket

Åklagarmyndigheten,

Tullverket

och Kustbevakningen får med-

och

Kustbevakningen

får för

ges direktåtkomst till person-

något

syften som

anges i

uppgifter i Skatteverkets brotts-

1 kap.

2 §

brottsdatalagen

bekämpande verksamhet. Direkt-

(2018:000)

medges

direktåt-

åtkomsten får endast avse per-

komst till personuppgifter som

sonuppgifter

som

har

gjorts

har gjorts gemensamt till-

gemensamt tillgängliga.

gängliga med stöd av 2 §.

En myndighet som har med-

getts direktåtkomst

ansvarar för

att

tillgången till

personuppgifter

begränsas till vad varje tjänste-

man behöver för att kunna full-

göra sina arbetsuppgifter.

Regeringen eller den myndig-

het

som

regeringen

bestämmer

kan med stöd av 8 kap. 7 § rege-

ringsformen

meddela

närmare

föreskrifter

om omfattningen av

direktåtkomsten samt om behö- righet och säkerhet.

177

Författningsförslag

SOU 2017:74

Föreskrifter

7 §

Regeringen kan med stöd av 8 kap. 7 § regeringsformen med- dela föreskrifter om ytterligare undantag från 4 §.

	8 §
		Regeringen eller den myndig-
	het	som regeringen			bestämmer
	kan med stöd av 8 kap. 7 § rege-
	ringsformen		meddela		föreskrifter
	om
		1. begränsning		av	tillgången
	till	sådana	personuppgifter som
	avses i 4 §,
		2. under	vilka	förutsättningar
	sökning får utföras med stöd av
	5 §, och
		3. omfattningen		av direktåt-
	komst enligt 6 § och om behörig-
	het och säkerhet vid sådan åt-
	komst.
4 kap. Bevarande och	gallring 4 kap. Längsta tid som person-
av personuppgifter	uppgifter får behandlas
Generella bestämmelser	Allmän bestämmelse
	1 §

Personuppgifter får inte be- varas under längre tid än vad som behövs för något eller några av de ändamål som anges i lagen.

Detta kapitel gäller bara för automatiserad behandling.

Av 2 kap. 17 § första stycket brottsdatalagen (2018:000) fram- går att personuppgifter inte får behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen.

178

SOU 2017:74

Författningsförslag

I följande paragrafer anges hur länge uppgifter som behandlas automatiserat längst får bevaras:

1.3 § om uppgifter som inte har gjorts gemensamt tillgängliga,

2.4–6 §§ om uppgifter i ären- den om utredning av brott som har gjorts gemensamt tillgängliga, och

3.8 § om andra uppgifter som har gjorts gemensamt tillgängliga än som anges i 2.

				2 §
Personuppgifter		som		be-	Trots det som sägs i 2 kap. 17 §
handlas	automatiserat	och		som	andra stycket	brottsdatalagen
inte har gjorts gemensamt till-					(2018:000) får	personuppgifter
gängliga ska, om de behandlas i					som inte har gjorts gemensamt
ett ärende, gallras senast ett år					tillgängliga inte behandlas längre
efter det att ärendet avslutades.					än
Om de inte kan hänföras till ett					1. ett år efter det att ärendet
ärende,	ska uppgifterna		gallras		avslutades, om de behandlas i ett
senast ett år efter det att de be-					ärende, eller
handlades automatiserat			första		2. ett år efter det att de be-
gången.					handlades automatiserat första
					gången, om de inte kan hänföras
					till ett ärende.

Första stycket gäller inte personuppgifter i ärenden om utred-

ning av brott.
	3 §
Om en brottsanmälan av-		Om en brottsanmälan av-
skrivs på grund av att den på-		skrivs på grund av att den på-
stådda	gärningen inte utgör	stådda	gärningen inte utgör
brott,	får personuppgifterna i	brott,	får personuppgifterna i
anmälan inte längre behandlas i		anmälan inte längre		behandlas
Skatteverkets brottsbekämpande		för ändamål inom denna lags
verksamhet. Om en brottsan-		tillämpningsområde.		Om	en
mälan i annat fall inte har lett till		brottsanmälan i annat fall			inte

179

Författningsförslag

SOU 2017:74

förundersökning eller annan motsvarande utredning, får per- sonuppgifterna inte behandlas i Skatteverkets brottsbekämpande verksamhet när åtal inte längre får väckas för brottet.

har lett till förundersökning eller annan motsvarande utred- ning, får personuppgifterna inte behandlas för ändamål inom denna lags tillämpningsområde när åtal inte längre får väckas för brottet.

			4 §
Om en förundersökning har				Om en förundersökning har
lett till åtal eller annan dom-				lett till åtal eller annan dom-
stolsprövning,		får	personupp-	stolsprövning,			får	personupp-
gifterna i	förundersökningen			gifterna	i	förundersökningen
inte behandlas		i	Skatteverkets	inte behandlas för ändamål inom
brottsbekämpande			verksamhet	denna	lags	tillämpningsområde
när det har förflutit fem år efter				längre än fem år efter utgången
utgången av det kalenderår då				av det kalenderår då domstolens
domen, eller det beslut som med-				avgörande fick laga kraft.
delades med anledning av talan,
fick laga kraft.
Om en förundersökning har				Om en förundersökning har
lagts ned eller avslutats på annat				lagts ner eller avslutats på annat
sätt än genom åtal, får person-				sätt än genom åtal, får person-
uppgifterna	i förundersökning-			uppgifterna		i	förundersökning-
en inte behandlas i Skatteverkets				en inte behandlas för ändamål
brottsbekämpande			verksamhet	inom denna lags tillämpnings-
när det har förflutit fem år efter				område längre än fem år efter
utgången av det kalenderår då				utgången av det kalenderår då
åklagarens	eller		förundersök-	åklagarens		eller		förundersök-
ningsledarens beslut meddelades.				ningsledarens beslut meddelades.

Första och andra styckena gäller även personuppgifter i andra utredningar som handläggs enligt bestämmelser i 23 kap. rätte- gångsbalken.

180

SOU 2017:74 Författningsförslag

					6 §
					Trots det	som	sägs	i	2 kap.
					17 § andra stycket brottsdatalagen
					(2018:000)	får	personuppgifter
					som har gjorts gemensamt till-
					gängliga med stöd av 3 kap. 2 § 1
					eller 3 som längst behandlas under
					den tid som anges i 7 och 8 §§.
				7 §
Personuppgifter som har gjorts
gemensamt		tillgängliga		enligt
3 kap. 2 §	1	eller	3 ska	gallras
enligt andra och tredje styckena.
Uppgifter som kan antas ha					Personuppgifter som kan an-
samband	med sådan brottslig				tas ha samband med sådan
verksamhet som anges i 3 kap.					brottslig verksamhet som anges
2 § 1 ska gallras senast tre år efter					i 3 kap. 2 § 1 får		inte behandlas
utgången av det kalenderår då					längre än tre år efter utgången
registreringen avseende				perso-	av det kalenderår då registre-
nen gjordes. Uppgifter som kan					ringen avseende personen gjor-
antas ha samband med brottslig					des. Personuppgifter som					kan
verksamhet som innefattar brott					antas ha samband med brottslig
för vilket är föreskrivet fängelse					verksamhet som innefattar brott
i två år eller däröver ska dock					för vilket är föreskrivet fängelse
gallras senast fem år efter ut-					i två år eller däröver får inte be-
gången av det kalenderår då					handlas längre än fem år efter
registreringen gjordes. Om en					utgången av det kalenderår då
ny registrering beträffande per-					registreringen gjordes. Om					en
sonen görs före utgången av					ny registrering beträffande per-
gallringsfristen, behöver de upp-					sonens anknytning till			brottslig
gifter som finns om personen					verksamhet görs		före	utgången
inte gallras så länge någon av					av de tiderna, får de uppgifter
uppgifterna		om	honom	eller	som finns om personen fortsätta
henne får bevaras.					att behandlas så länge någon av
					uppgifterna	om	honom		eller
					henne får behandlas.
Uppgifter som har behandlats
med stöd	av 3 kap. 2 § 3 ska

181

Författningsförslag

SOU 2017:74

gallras senast ett år efter utgången av det kalenderår då ärendet som uppgifterna behandlades i avslu- tades.

8 §

Personuppgifter som behandlas med stöd av 3 kap. 2 § 3 får inte behandlas längre än ett år efter utgången av det kalenderår då ärendet som uppgifterna behand- lades i avslutades.

Föreskrifter

9 §

Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om

1. att vissa kategorier av per-	1. att vissa kategorier av per-
sonuppgifter får bevaras i den	sonuppgifter får fortsätta be-
brottsbekämpande verksamheten	handlas för ändamål inom denna
under längre tid än vad som	lags	tillämpningsområde	under
anges i 5, 6 och 8 §§,	längre tid än vad som anges i 3,
	4, 7 och 8 §§,
2. att personuppgifter, med	2. att personuppgifter,		med
avvikelse från 3 § första stycket	avvikelse från 2 § första stycket,
och 8 §, får bevaras för histo-	7 och 8 §§, får behandlas under
riska, statistiska eller vetenskap-	längre tid för arkivändamål av
liga ändamål, och	allmänt intresse och vetenskap-
	liga, statistiska eller historiska
	ändamål, och
3. digital arkivering.	3. begränsning av behandlingen
	av	personuppgifter för ändamål
	inom denna lags tillämpnings-
	område vid digital arkivering.

182

SOU 2017:74

Författningsförslag

5 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 § Sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelserna i

1.2 kap. 1 § om tillåtna rättsliga grunder för behandling av per- sonuppgifter,

2.3 kap. 3 § om särskild upplysning, eller

3.4 kap. 2–4, 7 eller 8 § om längsta tid som personuppgifter får behandlas.

Sanktionsavgiften ska vara minst 50 000 kronor och högst 20 000 000 kronor.

Skadestånd

Överklagande

3 § Bestämmelser om överklagande och om vilka beslut som får överklagas finns i 7 kap. brottsdatalagen (2018:000).

1.Denna lag träder i kraft den 1 maj 2018.

2.Sanktionsavgift enligt 5 kap. 1 § får beslutas endast för över- trädelser som har begåtts efter ikraftträdandet.

183

Författningsförslag

SOU 2017:74

1.25Förslag till

lag om ändring i lagen (2017:496) om internationellt polisiärt samarbete1

Härigenom föreskrivs att 6 kap. 1 §, 7 kap. 1, 3, 4 och 7 §§, 8 kap. 3 §, 9 kap. 4 och 5 §§ och 10 kap. 1–3 §§ lagen (2017:496) om internationellt polisiärt samarbete ska ha följande lydelse.

Nuvarande lydelse			Föreslagen lydelse
		6 kap.
		1 §
Om inte annat följer av			Om inte annat följer av
denna lag eller föreskrifter som			denna lag eller föreskrifter som
regeringen har meddelat i an-			regeringen har meddelat i an-
slutning till lagen gäller			slutning till lagen gäller följande
			författningar för respektive myn-
			dighet för behandling av person-
			uppgifter vid internationellt poli-
			siärt samarbete
			– brottsdatalagen	(2018:000),
			och
– polisdatalagen		(2010:361)	– polisens	brottsdatalag
för polisens behandling av per-			(2010:361),
sonuppgifter	vid	internationellt
polisiärt samarbete,
– kustbevakningsdatalagen			– Kustbevakningens brottsda-
(2012:145) för Kustbevakningens			talag (2012:145),
behandling	av personuppgifter
vid internationellt polisiärt sam-
arbete, och
– tullbrottsdatalagen			– Tullverkets	brottsdatalag
(2017:447) för Tullverkets be-			(2017:447), eller
handling av	personuppgifter vid

internationellt polisiärt samarbete.

1 Observera att hänsyn inte har tagits till de förslag som lämnas i SOU 2017:29 s. 76.

184

SOU 2017:74 Författningsförslag

– Säkerhetspolisens	datalag
(2018:000).

7kap.

1 §

Vid samarbete enligt Prümrådsbeslutet får ett utländskt kon- taktställe medges direktåtkomst till referensuppgifter i de svenska registren över dna-profiler.

Efter en överenskommelse mellan Sverige och en annan stat får kontaktstället i den andra staten göra en automatisk jämförelse mellan sina oidentifierade dna-profiler och referensuppgifter i de

svenska registren över dna-profiler.
Första och andra				styckena	Första		och andra			styckena
gäller endast de register över					gäller endast de register över
dna-profiler som regleras i polis-					dna-profiler som regleras i poli-
datalagen (2010:361).					sens brottsdatalag (2010:361).
				3 §
Vid samarbete enligt Prüm-					Vid samarbete enligt Prüm-
rådsbeslutet		får	ett	utländskt	rådsbeslutet			får	ett	utländskt
kontaktställe medges				direktåt-	kontaktställe			medges		direktåt-
komst	till	referensuppgifter i			komst	till	referensuppgifter i
svenska	fingeravtrycksregister				svenska	fingeravtrycksregister
som förs med stöd av polisdata-					som förs med stöd av polisens
lagen (2010:361).					brottsdatalag (2010:361).
				4 §
I syfte att förebygga, för-					I syfte att förebygga, för-
hindra	eller	upptäcka		brottslig	hindra	eller		upptäcka		brottslig
verksamhet eller utreda brott får					verksamhet eller utreda brott får
det svenska kontaktstället i en-					det svenska kontaktstället i en-
skilda fall genom direktåtkomst					skilda fall genom direktåtkomst
söka uppgifter i en annan stats					söka uppgifter i en annan stats
fingeravtrycksregister.				Uppgif-	fingeravtrycksregister.					Uppgif-
ter får behandlas endast i den					ter får behandlas endast i den
utsträckning		den	andra staten		utsträckning			den	andra staten
tillåter det och om behandlingen					tillåter det och om behandlingen
i motsvarande fall hade varit					i motsvarande fall hade varit
tillåten i svenska fingeravtrycks-					tillåten i svenska fingeravtrycks-

185

Författningsförslag

SOU 2017:74

register som förs med stöd av register som förs med stöd av polisdatalagen (2010:361). polisens brottsdatalag (2010:361).

Det svenska kontaktstället ansvarar för att kontrollera om det mottagna fingeravtrycket stämmer överens med det fingeravtryck sökningen avsåg.

7 §
Bestämmelserna i personupp-	Vid behandling av person-
giftslagen (1998:204) om rättelse	uppgifter	enligt detta kapitel
och skadestånd gäller vid be-	eller enligt föreskrifter som har
handling av personuppgifter en-	meddelats	i	anslutning	till
ligt detta kapitel eller enligt	kapitlet	ska	bestämmelsen	i
föreskrifter som har meddelats i	7 kap.	1 §	brottsdatalagen
anslutning till kapitlet.	(2018:000) om skadestånd till-
	lämpas på motsvarande sätt.

8kap.

3 §

Bestämmelserna i	personupp-	Vid behandling av person-
giftslagen (1998:204)	om rättelse	uppgifter	enligt detta kapitel
och skadestånd gäller vid be-		eller enligt föreskrifter som har
handling av personuppgifter en-		meddelats	i	anslutning	till
ligt detta kapitel eller enligt		kapitlet	ska	bestämmelsen	i
föreskrifter som har meddelats i		7 kap.	1 §	brottsdatalagen
anslutning till kapitlet.		(2018:000) om skadestånd till-
		lämpas på motsvarande sätt.

9kap.

4 §

Det är förbjudet att till tredjeland eller en internationell organi- sation överföra eller göra tillgängliga sådana personuppgifter som har hämtats från VIS och som har lagts in i systemet av en annan stat.

Detta är dock tillåtet i brådskande fall om

1.de villkor för sökning som anges i 1 § andra stycket är upp- fyllda,

2.det är förenligt med svenska intressen att uppgifterna lämnas

ut,

186

SOU 2017:74 Författningsförslag

3. den stat som har lagt in uppgifterna i systemet samtycker till

det, och
4. förutsättningarna i 33 och			4. förutsättningarna i					8 kap.
34 §§	personuppgiftslagen		1 § brottsdatalagen (2018:000) är
(1998:204) är uppfyllda.			uppfyllda.
		5 §
Bestämmelserna i		personupp-	Vid behandling av person-
giftslagen (1998:204)		om rättelse	uppgifter		enligt		detta	kapitel
och skadestånd gäller vid be-			eller enligt föreskrifter som har
handling av	personuppgifter		meddelats		i	anslutning till
enligt detta kapitel eller enligt			kapitlet ska bestämmelsen i 7 kap.
föreskrifter som har meddelats i			1 § brottsdatalagen (2018:000)
anslutning till kapitlet.			om skadestånd tillämpas på mot-
			svarande sätt.
		10 kap.
		1 §
Vid samarbete enligt avtalet			Vid	samarbete			enligt	avtalet
med USA får ett amerikanskt			med USA får ett amerikanskt
kontaktställe	trots 33 § person-		kontaktställe			medges direktåt-
uppgiftslagen (1998:204) medges			komst	till referensuppgifter i
direktåtkomst till referensupp-			svenska		fingeravtrycksregister
gifter i svenska fingeravtrycks-			som förs med stöd av polisens
register som förs med stöd av			brottsdatalag (2010:361).
polisdatalagen (2010:361).

2 §

På begäran av behöriga myndigheter får ett svenskt kontakt- ställe i enskilda fall genom direktåtkomst söka uppgifter i ameri- kanska fingeravtrycksregister i syfte att utreda ett brott för vilket det enligt svensk lag är föreskrivet fängelse i mer än ett år. Det- samma gäller om sökningen görs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar ett sådant brott.

Uppgifter får behandlas en-	Uppgifter får behandlas en-
dast om behandlingen i motsva-	dast om behandlingen i motsva-
rande fall hade varit tillåten i	rande fall hade varit tillåten i
svenska fingeravtrycksregister	svenska fingeravtrycksregister
som förs med stöd av polisdata-	som förs med stöd av polisens

187

Vid behandling av person- uppgifter enligt detta kapitel eller enligt föreskrifter som har meddelats i anslutning till kapit- let ska bestämmelsen i 7 kap. 1 § brottsdatalagen (2018:000) om skadestånd tillämpas på motsva- rande sätt.

Författningsförslag

SOU 2017:74

lagen (2010:361). brottsdatalag (2010:361).

Det svenska kontaktstället ansvarar för att kontrollera om det mottagna fingeravtrycket stämmer överens med det fingeravtryck sökningen avsåg.

3 §

Bestämmelserna i personupp- giftslagen (1998:204) om rättelse och skadestånd gäller vid be- handling av personuppgifter en- ligt detta kapitel eller enligt föreskrifter som har meddelats i anslutning till kapitlet.

1.Denna lag träder i kraft den 1 maj 2018.

2.Bestämmelsen om skadestånd i 48 § personuppgiftslagen (1998:204) gäller fortfarande för skada som har orsakats före ikraftträdandet vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till den.

188

SOU 2017:74

Författningsförslag

1.26Förslag till

lag om ändring i brottsdatalagen (2018:000)

Härigenom föreskrivs i fråga om brottsdatalagen (2018:000) dels att nuvarande 2 kap. 21 § ska betecknas 2 kap. 22 § och att

rubriken före nuvarande 2 kap. 21 § ska placeras före nya 2 kap. 22 §, nuvarande 2 kap. 22 § ska betecknas 2 kap. 23 § och att rub- riken före nuvarande 2 kap. 22 § ska placeras före nya 2 kap. 23 §,

dels att 2 kap. 4, 13 och 18 §§, 6 kap. 1 § och nya 2 kap. 22 § ska ha följande lydelse,

dels att det ska införas två nya paragrafer, 2 kap. 21 § och 3 kap. 16 §, och en ny rubrik före 2 kap. 21 § av följande lydelse.

Lydelse enligt SOU 2017:29

Föreslagen lydelse

2kap.

4 §

Innan personuppgifter får behandlas för ett nytt ändamål inom denna lags tillämpningsområde ska det säkerställas att

1. det finns en tillåten rättslig	1. det finns en tillåten rättslig
grund enligt 1 § för den nya be-	grund enligt 1 § för den nya be-
handlingen, och	handlingen och

2. behandlingen är nödvändig och proportionerlig för det nya ändamålet.

I den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning behöver någon prövning enligt första stycket inte göras. Det gäller dock inte upp- giftslämnande med stöd av 6 kap. 5 § offentlighets- och sekretess- lagen.

13 §

Personuppgifter som avses i	Personuppgifter som avses i
11 och 12 §§ betecknas i denna	11 och 12 §§ betecknas som
lag som känsliga personupp-	känsliga personuppgifter. Käns-

189

18 §

Om det inte är föreskrivet i Om det inte är föreskrivet i lag eller annan författning när lag eller annan författning när en viss kategori av personupp- en viss kategori av personupp- gifter inte längre får behandlas gifter inte längre får behandlas för andra ändamål än arkiv- för ändamål inom denna lags ändamål, ska den personupp- tillämpningsområde, ska den giftsansvarige årligen se över be- personuppgiftsansvarige årligen hovet av att fortsatt behandla se över behovet av att fortsatt personuppgifterna. behandla personuppgifterna.

Utlämnande av personuppgifter

21 §

Personuppgifter som är nöd- vändiga för att framställa rättssta- tistik ska lämnas till den myndig- het som ansvarar för att fram- ställa sådan statistik.

22 §

Av artikel 2.1 d i Europapar- Av artikel 2.2 d i Europapar- lamentets och rådets förordning lamentets och rådets förordning (EU) 2016/679 av den 27 april (EU) 2016/679 av den 27 april 2016 om skydd för fysiska per- 2016 om skydd för fysiska per- soner med avseende på behand- soner med avseende på behand- ling av personuppgifter och om ling av personuppgifter och om det fria flödet av sådana uppgif- det fria flödet av sådana uppgif- ter och om upphävande av ter och om upphävande av direktiv 95/46/EG (allmän data- direktiv 95/46/EG (allmän data- skyddsförordning), i den ur- skyddsförordning), i den ur- sprungliga lydelsen, framgår att sprungliga lydelsen, framgår att dataskyddsförordningen ska till- dataskyddsförordningen ska till- lämpas när en behörig myndig- lämpas när en behörig myndig- het behandlar personuppgifter het behandlar personuppgifter för ändamål utanför denna lags för ändamål utanför denna lags

190

gifter. Känsliga personuppgifter får behandlas med stöd av 2 §.

Författningsförslag

SOU 2017:74

liga personuppgifter får behand- las med stöd av 2 §.

SOU 2017:74 Författningsförslag

tillämpningsområde.	tillämpningsområde.
	Innan personuppgifter som be-
	handlas med stöd av denna lag
	behandlas för ett ändamål utanför
	lagens tillämpningsområde ska
	det säkerställas att behandlingen
	är nödvändig och proportionerlig
	för det ändamålet.
	I den utsträckning skyldighet
	att lämna uppgifter följer av lag
	eller förordning behöver någon
	prövning enligt andra stycket inte
	göras. Det gäller dock inte upp-
	giftslämnande med stöd av 6 kap.
	5 § offentlighets- och sekretess-
	lagen.

3 kap.

16§

Den som fullgör uppgift som

dataskyddsombud får inte obe- hörigen röja eller utnyttja det som han eller hon då har fått veta om enskilds personliga eller ekono- miska förhållanden.

I det allmännas verksamhet tillämpas offentlighets- och sekre- tesslagen (2009:400) i stället för första stycket.

6kap.

1 §

Sanktionsavgift får tas ut av en personuppgiftsansvarig vid över-

trädelse av bestämmelser i
1.	2 kap. 1–5, 7–12, 14–18	1.	2 kap. 1–5, 7–12, 14–18 §,
eller 19 § andra stycket,		19 §	andra stycket eller 22 §
		andra stycket,
2.	3 kap. 2–8 §§, eller	2.	3 kap. 2–8 §, eller
3.	8 kap. 1–6 eller 8 §.

191

Författningsförslag

SOU 2017:74

Sanktionsavgift får också tas ut om en personuppgiftsansvarig inte anmäler en personuppgiftsincident enligt 3 kap. 9 § första stycket, inte dokumenterar sådana incidenter eller underlåter att bistå tillsynsmyndigheten enligt 5 kap. 5 § eller att följa tillsyns- myndighetens beslut enligt 5 kap. 7 § första stycket 2 eller 3.

Denna lag träder i kraft den 1 maj 2018.

192

SOU 2017:74

Författningsförslag

1.27Förslag till

Säkerhetspolisens dataförordning (2018:000)

Härigenom föreskrivs följande.

1 kap. Allmänna bestämmelser

1 § I denna förordning finns kompletterande föreskrifter till Säkerhetspolisens datalag (2018:000).

2 § Uttryck som används i denna förordning har samma innebörd som i Säkerhetspolisens datalag (2018:000).

2 kap. Behandling av personuppgifter

Underrättelseskyldighet

1 § Om det visar sig	att sådana personuppgifter som	anges i
2 kap. 13 § eller 14 §	första stycket Säkerhetspolisens	datalag

(2018:000) har lämnats ut ska mottagaren omedelbart underrättas om det. Detsamma gäller så långt möjligt den som har tagit del av sådana personuppgifter som har gjorts tillgängliga.

2 § En underrättelse enligt 3 kap. 7 § andra stycket Säkerhetspoli- sens datalag (2018:000) ska göras innan Säkerhetspolisen första gången medger en utländsk underrättelse- eller säkerhetstjänst direktåtkomst. Av underrättelsen ska omfattningen av direktåt- komsten framgå.

Utlämnande av personuppgifter

3 § Säkerhetspolisen får meddela närmare föreskrifter om vad som krävs i fråga om behörighet och säkerhet för att myndigheten ska kunna medge direktåtkomst för de myndigheter som anges i 3 kap. 5 och 6 §§ Säkerhetspolisen datalag (2018:000).

193

Författningsförslag

SOU 2017:74

Direktåtkomst till uppgifterna får inte medges innan Säkerhets- polisen har försäkrat sig om att den mottagande myndigheten upp- fyller kraven på behörighet och säkerhet.

3 kap. Längsta tid för behandling m.m.

Rutiner för att säkerställa tidsfristerna

1 § Säkerhetspolisen ska se till att det finns rutiner för att säker- ställa att de som behandlar personuppgifter respekterar fristerna för när personuppgifter inte längre får behandlas.

Digital arkivering

2 § När Säkerhetspolisen arkiverar uppgifter och handlingar digi- talt ska de arkiverade uppgifterna och handlingarna avskiljas så att de inte kan behandlas för något av de syften som anges i 2 kap. 1 eller 2 § Säkerhetspolisens datalag (2018:000). Åtkomsten till arki- verade uppgifter och handlingar ska begränsas till särskilt angivna tjänstemän.

Säkerhetspolisen får, efter att ha gett Riksarkivet tillfälle att yttra sig, meddela närmare föreskrifter om digital arkivering.

Fortsatt behandling av vissa personuppgifter

3 § I 4–6 §§ föreskrivs att vissa kategorier av personuppgifter i brottsanmälningar och avslutade förundersökningar får behandlas för syften som anges i 2 kap. 1 § första stycket 2 Säkerhetspolisens datalag (2018:000), trots att den tid som anges i 4 kap. 3 eller 4 § samma lag har löpt ut. Detsamma gäller personuppgifter i andra utredningar som handläggs enligt bestämmelser i 23 kap. rätte- gångsbalken.

När personuppgifter får behandlas enligt 4–6 §§ får, utöver vad som sägs i de bestämmelserna, följande uppgifter behandlas:

1.ärendenummer eller liknande referensuppgifter,

2.brottskoder, och

3.uppgifter om omständigheterna kring brottet.

194

SOU 2017:74

Författningsförslag

4 § Uppgifter om den dömde i en förundersökning som lett till fällande dom får behandlas trots att den tid som anges i 4 kap. 4 § första stycket Säkerhetspolisens datalag (2018:000) har löpt ut, om behandlingen av särskilda skäl är nödvändig för att finna samband mellan olika brott eller mellan tänkbara gärningsmän.

Behandlingen ska dock upphöra senast i samband med att upp- gifterna om den dömde tas bort ur belastningsregistret enligt lagen (1998:620) om belastningsregister.

5 § Uppgifter om en person som har varit misstänkt i en för- undersökning som har lagts ner eller har avslutats på annat sätt än genom åtal, får i ett enskilt fall behandlas trots att den tid som anges i 4 kap. 4 § andra stycket Säkerhetspolisens datalag (2018:000) har löpt ut, om behandlingen är nödvändig för att trots detta kunna lagföra personen.

Behandlingen ska dock upphöra senast då åtal inte längre får väckas för brottet eller, i fall som avses i 35 kap. 2 § första stycket brottsbalken, senast sjuttio år från den dag då brottet begicks.

6 § Uppgifter om personer som har dömts för, eller har varit misstänkta för, brott där det finns en betydande risk för återfall i samma eller likartad brottslighet, får behandlas trots att den tid som anges i 4 kap. 3 eller 4 § Säkerhetspolisens datalag (2018:000) har löpt ut, om behandlingen av särskilda skäl är nödvändig för att förebygga, förhindra eller upptäcka brott för vilket fängelse i fyra år eller däröver är föreskrivet.

Behandlingen ska dock upphöra, i fråga om brott som har lett till fällande dom, senast i samband med att uppgifterna tas bort ur belastningsregistret enligt lagen (1998:620) om belastningsregister och i övriga fall senast femton år efter det att förundersökningen lades ner eller avslutades på annat sätt.

Behandling för arkivändamål av allmänt intresse m.m.

7 § Riksarkivet får, efter att ha gett Säkerhetspolisen tillfälle att yttra sig, meddela föreskrifter om att personuppgifter som avses i 4 kap. 2 och 7–11 §§ Säkerhetspolisens datalag (2018:000) får be-

195

Författningsförslag

SOU 2017:74

handlas under längre tid för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål.

4 kap. Skyldigheter som personuppgiftsansvarig
Tekniska och organisatoriska åtgärder
1 § De åtgärder som Säkerhetspolisen ska vidta	enligt	5 kap.
1 och 2 §§ Säkerhetspolisens datalag (2018:000) ska	vara	rimliga

med beaktande av behandlingens art, omfattning, sammanhang och ändamål och de särskilda riskerna med behandlingen. När Säker- hetspolisen vidtar åtgärder enligt 5 kap. 2 § samma lag ska även de tekniska möjligheterna och kostnaderna för åtgärderna beaktas.

Behörigheter

2 § För tilldelning av behörighet för åtkomst till personuppgifter ska det särskilt beaktas att det, utöver behovet av uppgifterna, ställs krav på utbildning och erfarenhet.

Säkerhetspolisen ansvarar för att det inom myndigheten finns rutiner för tilldelning, förändring, borttagning och regelbunden uppföljning av behörigheter för åtkomst till personuppgifter.

Dokumentationsskyldighet

Interna strategier

3 § De åtgärder som avses i 5 kap. 1 § Säkerhetspolisens datalag (2018:000) ska, om det inte är obehövligt med hänsyn till verksam- hetens begränsade omfattning, innefatta antagande och dokumen- tation av interna strategier för dataskydd.

4 § Säkerhetspolisen ska förteckna kategorier av behandlingar av personuppgifter som myndigheten ansvarar för. Registret ska, för- utom namnet på och kontaktuppgifter till myndigheten, gemen-

196

SOU 2017:74

Författningsförslag

samt personuppgiftsansvariga och dataskyddsombud, för varje kategori av behandling innehålla följande uppgifter.

1.Den rättsliga grunden för behandlingen.

2.Ändamålen med behandlingen.

3.Kategorier av tjänstemän som har tillgång till de personupp- gifter som behandlas.

4.Kategorier av mottagare till vilka uppgifterna kan komma att lämnas ut, även i tredjeland eller internationella organisationer.

5.Kategorier av registrerade som berörs av behandlingen.

6.Kategorier av personuppgifter som kan komma att behandlas.

7.Överföringar av personuppgifter till tredjeland eller interna- tionella organisationer.

Loggning

5 § Skyldigheten att föra loggar i automatiserade behandlingssys- tem enligt 5 kap. 4 § Säkerhetspolisens datalag (2018:000) ska om- fatta behandlingar som innebär insamling, ändring, läsning, utläm- ning, överföring till tredjeland eller internationella organisationer, sammanföring och radering av personuppgifter. Loggarna över läs- ning och utlämning ska visa datum och tidpunkt för behandlingen och, så långt möjligt, vem som har läst eller lämnat ut personupp- gifterna och vem som har fått ta del av personuppgifterna.

Konsekvensbedömning och samråd

6 § Konsekvensbedömningar som avses i 5 kap. 6 § första stycket Säkerhetspolisens datalag (2018:000) ska dokumenteras och inne- hålla följande uppgifter.

1.En allmän beskrivning av den planerade behandlingen.

2.En bedömning av riskerna för intrång i registrerades person- liga integritet.

3.Vilka åtgärder som planeras för att hantera riskerna.

4.Åtgärder och rutiner för att säkerställa skyddet av personupp- gifterna.

5.Rutiner för att visa att tillämpliga dataskyddsregler följs.

197

Författningsförslag

SOU 2017:74

7 § Vid förhandssamråd enligt 5 kap. 6 § andra stycket Säkerhets- polisens datalag (2018:000) ska Säkerhetspolisen ge in konsekvens- bedömningen till tillsynsmyndigheten och tillhandahålla den övriga information som begärs av myndigheten.

Vid bedömningen av om typen av behandling innebär sådan risk för intrång i registrerades personliga integritet att förhandssamråd ska äga rum ska ny teknik, nya rutiner eller nya förfaranden särskilt beaktas.

Anmälan av överträdelser

8 § Säkerhetspolisen ska ha interna rutiner för anmälan av överträdelser av bestämmelser om personuppgiftsbehandling som garanterar att anmälarens identitet skyddas.

Säkerheten vid behandling av personuppgifter

9 § Skyddsåtgärder enligt (2018:000) ska åstadkomma beaktande av

5 kap. 7 § Säkerhetspolisens datalag en skyddsnivå som är lämplig med

1.de tekniska möjligheterna,

2.kostnaderna för åtgärderna,

3.behandlingens art, omfattning, sammanhang och ändamål,

4.de särskilda riskerna med behandlingen,

5.om känsliga personuppgifter behandlas, och

6.hur integritetskänsliga övriga personuppgifter som behandlas

är.

Dataskyddsombud

10 § Säkerhetspolisen ska säkerställa att dataskyddsombud ges möjlighet att delta i de frågor som rör skyddet av personuppgifter.

Säkerhetspolisen ska se till att dataskyddsombud kan utföra de uppgifter som anges i 5 kap. 10 och 11 §§ Säkerhetspolisens datalag (2018:000) genom att tillhandahålla nödvändiga resurser, ge till- gång till dokumentation om behandling av personuppgifter och vid behov medge åtkomst till personuppgifter som behandlas. Säker-

198

SOU 2017:74

Författningsförslag

hetspolisen ska också se till att dataskyddsombud ges möjlighet att upprätthålla sin sakkunskap.

Personuppgiftsbiträden

Avtalets eller överenskommelsens innehåll

11 § Ett avtal eller en annan överenskommelse enligt 5 kap. 13 § Säkerhetspolisens datalag (2018:000) ska åtminstone ange vad behandlingen ska avse, hur länge behandlingen ska pågå, dess art och ändamål, typen av personuppgifter, kategorier av registrerade och Säkerhetspolisens skyldigheter och rättigheter. I avtalet eller överenskommelsen ska det särskilt föreskrivas att personuppgifts- biträdet ska

1.behandla personuppgifter bara enligt instruktioner från Säker- hetspolisen,

2.säkerställa att personer som har tillstånd att behandla person- uppgifter har förbundit sig att iaktta regler om tystnadsplikt eller omfattas av lagstadgad tystnadsplikt,

3.hjälpa Säkerhetspolisen att säkerställa att bestämmelserna om registrerades rättigheter följs,

4.radera eller återlämna alla personuppgifter till Säkerhetspo- lisen när uppdraget har slutförts och, om inte annat följer av lag eller förordning, radera befintliga kopior,

5.ge Säkerhetspolisen tillgång till den information som krävs för att visa att det som sägs i denna paragraf, 13 § och 5 kap. 12– 14 §§ Säkerhetspolisens datalag följs, och

6.respektera de villkor som framgår av denna paragraf, 12 § och 5 kap. 13 § Säkerhetspolisens datalag vid anlitande av ett annat personuppgiftsbiträde.

Underbiträden

12 § Har Säkerhetspolisen lämnat ett generellt tillstånd enligt 5 kap. 13 § andra stycket Säkerhetspolisens datalag (2018:000), ska personuppgiftsbiträdet informera Säkerhetspolisen innan nya per- sonuppgiftsbiträden anlitas.

199

Författningsförslag

SOU 2017:74

13 § Varje personuppgiftsbiträde ska förteckna kategorier av be- handlingar av personuppgifter som utförs för Säkerhetspolisens räkning. Registret ska innehålla namnet på och kontaktuppgifter till personuppgiftsbiträdet och Säkerhetspolisen och för varje kate- gori av behandling följande uppgifter.

1.Namnet på och kontaktuppgifter till eventuella underbi- träden.

2.Om överföringar av personuppgifter har gjorts till ett tredje- land eller en internationell organisation, vilka uppgifter som har överförts och till vem.

3.Om möjligt, en allmän beskrivning av de säkerhetsåtgärder som har vidtagits.

Övriga skyldigheter

14 § Det som sägs om Säkerhetspolisens skyldigheter i 5 och 9 §§ gäller även för personuppgiftsbiträden som Säkerhetspolisen anlitar.

Gemensamt personuppgiftsansvariga

15 § När Säkerhetspolisen är gemensamt personuppgiftsansvarig med annan ska Säkerhetspolisen säkerställa att myndigheterna i en skriftlig överenskommelse reglerar sina respektive förpliktelser i egenskap av personuppgiftsansvariga. Överenskommelsen får inte innebära att Säkerhetspolisens författningsenliga skyldigheter inte fullgörs.

Den registrerade får, trots en sådan överenskommelse som avses i första stycket, utöva sina rättigheter gentemot var och en av de personuppgiftsansvariga.

200

SOU 2017:74

Författningsförslag

Övriga bestämmelser

16 § Innan Säkerhetspolisen meddelar föreskrifter med stöd av denna förordning i frågor som berör särskilda risker för intrång i den personliga integriteten ska myndigheten samråda med tillsyns- myndigheten.

Föreskrifter

17 § Tillsynsmyndigheten får meddela närmare föreskrifter om

1.sådana åtgärder som avses i 5 kap. 1–3 och 7 §§ Säkerhets- polisens datalag (2018:000),

2.krav och rutiner för loggning enligt 5 kap. 4 § Säkerhetspoli- sens datalag, och

3.vilka typer av behandlingar som ska omfattas av förhandssam- råd enligt 5 kap. 6 § andra stycket Säkerhetspolisens datalag.

5 kap. Enskildas rättigheter

Krav på utformningen av information

1 § Information enligt 6 kap. 1 och 2 §§ Säkerhetspolisens datalag (2018:000) ska vara lättillgänglig och lättbegriplig och lämnas i lämplig form. Detsamma gäller information enligt 3–7 §§ denna förordning.

Enskilds begäran

2 § Begäran enligt 6 kap. 2, 6 eller 7 § Säkerhetspolisens datalag (2018:000) ska göras skriftligen hos Säkerhetspolisen.

Säkerhetspolisen ska säkerställa att begäran görs av en behörig person.

Beslut

3 § Beslut enligt 6 kap. 3 § första stycket, 5 § första stycket, 6 och 7 §§ och 9 § andra stycket Säkerhetspolisens datalag (2018:000) ska vara skriftliga. Beslut som går den registrerade emot ska motiveras.

201

Författningsförslag

SOU 2017:74

Av 6 kap. 3 § andra stycket Säkerhetspolisens datalag framgår att skälen för vissa beslut inte behöver lämnas ut.

Underrättelser

Underrättelser till enskilda

4 § Sökanden ska underrättas om beslut enligt 6 kap. 3 § första stycket Säkerhetspolisens datalag (2018:000). Någon underrättelse behöver inte lämnas om det skulle skada det intresse som föran- leder att information inte lämnas.

5 § Sökanden ska underrättas om beslut enligt 6 kap. 5 § första stycket eller 9 § andra stycket Säkerhetspolisens datalag (2018:000).

6 § Den registrerade ska underrättas om följande beslut enligt Säkerhetspolisens datalag (2018:000).

1.Beslut enligt 6 kap. 6 eller 7 §.

2.Beslut om att en begränsning enligt 6 kap. 6 § andra stycket upphör.

Underrättelser till andra

7 § Den myndighet från vilken personuppgifter kommer ska underrättas om beslut enligt 6 kap. 6 § första stycket Säkerhets- polisens datalag (2018:000).

Den som har tagit emot personuppgifter ska underrättas om beslut enligt 6 kap. 6 eller 7 § Säkerhetspolisens datalag.

6 kap. Tillsyn

Anmälningsskyldighet

1 § Om tillsynsmyndigheten i sin tillsyn uppmärksammar förhål- landen som kan utgöra brott, ska myndigheten anmäla det till Åklagarmyndigheten.

Tillsynsmyndigheten ska samråda med Åklagarmyndigheten innan en sådan anmälan görs. Till anmälan ska inspektionen foga

202

SOU 2017:74

Författningsförslag

det underlag som finns och även i övrigt lämna det bistånd som be- hövs i anledning av anmälan.

Förhandssamråd

2 § Om tillsynsmyndigheten anser att sådan planerad behandling som avses i 5 kap. 6 § andra stycket Säkerhetspolisens datalag (2018:000) kan komma att stå i strid med lag eller annan författ- ning, ska myndigheten senast inom tre månader efter att en be- gäran om samråd mottogs skriftligen lämna råd enligt 7 kap. 4 § första stycket samma lag. Om det finns skäl för det får tiden för- längas.

3 § Tillsynsmyndigheten ska informera Säkerhets- och integri- tetsskyddsnämnden om att samråd enligt 5 kap. 6 § andra stycket Säkerhetspolisens datalag (2018:000) har begärts. Om det är lämp- ligt ska nämnden ges tillfälle att yttra sig till tillsynsmyndigheten inom ramen för samrådet. Säkerhets- och integritetsskyddsnäm- nden har rätt att få tillgång till underlaget för samrådet och tillsyns- myndighetens yttrande.

7 kap. Överföring av personuppgifter till tredjeland och internationella organisationer

1 § Överföringar av personuppgifter enligt 9 kap. 4 § 2 och 5 § Säkerhetspolisens datalag (2018:000) ska dokumenteras. Av doku- mentationen ska framgå vilka personuppgifter som överförts, datum och tidpunkt för överföringen, ändamålet med och grunden för över- föringen och till vem personuppgifterna överfördes.

2 § Överföringar av personuppgifter enligt 9 kap. 6 § Säkerhets- polisens datalag (2018:000) ska dokumenteras.

1.Denna förordning träder i kraft den 1 maj 2018.

2.Bestämmelserna i 3 kap. 6 § om loggning behöver inte tilläm- pas på automatiserade behandlingssystem som inrättats före ikraft- trädandet förrän den 1 maj 2023.

203

Författningsförslag

SOU 2017:74

1.28Förslag till

domstolarnas brottsdataförordning (2018:000)

Härigenom föreskrivs följande.

Allmän bestämmelse

1 § I denna förordning finns kompletterande föreskrifter till domstolarnas brottsdatalag (2018:000).

Direktåtkomst

När direktåtkomst är tillåten

2 § Direktåtkomst enligt 2 kap. 12 § domstolarnas brottsdatalag (2018:000) får medges endast i de fall som anges i 3–7 §§ och med de ytterligare begränsningar som enligt 8 § gäller för direktåtkomst till personuppgifter i mål och ärenden som har avgjorts slutligt.

Direktåtkomst vid överklagande

3 § När ett mål eller ärende överklagas får den lägre domstolsin- stans som har prövat målet eller ärendet medge högre domstolsin- stanser direktåtkomst till personuppgifterna i målet eller ärendet och till personuppgifterna i andra mål och ärenden som har sam- band med det överklagade målet eller ärendet.

4 § När ett mål eller ärende överklagas får en högre domstolsin- stans medge de lägre domstolsinstanser som har prövat målet eller ärendet direktåtkomst till personuppgifterna i målet eller ärendet och till personuppgifterna i andra mål och ärenden som har sam- band med det överklagade målet eller ärendet.

5 § Vid tillämpningen av 3 och 4 §§ ska en ansökan om resning eller om återställande av försutten tid eller en klagan över domvilla jämställas med ett överklagande.

204

SOU 2017:74

Författningsförslag

Direktåtkomst till rättspraxis

6 § Högsta domstolen och hovrätterna får medge en allmän dom- stol direktåtkomst till domar och beslut. Högsta förvaltningsdom- stolen och kammarrätterna får medge en allmän förvaltningsdom- stol direktåtkomst till domar och beslut. Direktåtkomsten får även avse

1.uppgifter om parterna och deras ombud, biträden eller försva-

rare,

2.uppgifter om expediering, delgivning, överklagande och laga kraft,

3.uppgift om saken,

4.ärendemening,

5.uppgift om samband med andra mål,

6.en sammanfattning av domen eller beslutet,

7.uppgifter om domare, handläggare och andra tjänstemän vid domstolen, och

8.andra uppgifter med direkt anknytning till en dom eller ett beslut.

Direktåtkomst i samband med beredskapsverksamhet

7 § Domstolar som tillsammans deltar i beredskap får medge var- andra direktåtkomst till personuppgifter som behövs för handlägg- ningen av de mål och ärenden som omfattas av beredskapsverk- samheten.

Direktåtkomst till slutligt avgjorda mål och ärenden

8 § När ett mål eller ärende har avgjorts slutligt genom en dom eller ett beslut som har fått laga kraft får direktåtkomst till person- uppgifterna i målet eller ärendet medges endast under

1.sex månader efter det att domen eller beslutet fick laga kraft vid direktåtkomst enligt 3–5 §§, och

2.tjugo år efter det att domen eller beslutet fick laga kraft vid direktåtkomst enligt 6 §.

205

Författningsförslag

SOU 2017:74

Bemyndigande

9 § Domstolsverket får meddela föreskrifter om tillgången till personuppgifter. För tilldelning av behörighet för åtkomst till per- sonuppgifter ska det särskilt beaktas att det, utöver behovet av uppgifterna, ställs krav på utbildning och erfarenhet.

10 § Domstolsverket får meddela föreskrifter om begränsning av

1.möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst,

2.möjligheten att lämna ut personuppgifter genom direktåt- komst och om behörighet och säkerhet vid sådan åtkomst, och

3.behandling av personuppgifter som hänför sig till mål eller ärenden som har avgjorts slutligt genom dom eller beslut som har fått laga kraft.

11 § Domstolsverket får meddela de ytterligare föreskrifter som behövs för verkställighet av domstolarnas brottsdatalag (2018:000) och denna förordning.

Innan Domstolsverket meddelar föreskrifter med stöd av denna förordning, ska myndigheten samråda med Datainspektionen i frågor som berör särskilda risker för intrång i den personliga integriteten.

1.Denna förordning träder i kraft den 1 maj 2018.

2.Bestämmelserna i 8 § om begränsning av direktåtkomst i fråga om slutligt avgjorda mål och ärenden behöver inte tillämpas förrän den 1 januari 2019.

206

SOU 2017:74

Författningsförslag

1.29Förslag till

förordning (2018:000) om underrättelseskyldighet för Kriminalvården

Härigenom föreskrivs följande.

1 § Kriminalvården ska lämna underrättelse till nedan angivna myndigheter i följande fall.

Uppgift lämnas till	Uppgift lämnas om
1. Totalförsvarets rekryterings-	Intagning i eller avgång från
myndighet	kriminalvårdsanstalt av svenska
	medborgare som under kalen-
	deråret fyller 18–47 år.
	Beslut		om	förlängning		av
	verkställighetstid med minst en
	månad för intagen om vilken
	underrättelse har lämnats tidi-
	gare.
	Verkställighetens början vid
	verkställighet			utanför anstalt i
	form	av	intensivövervakning
	med	elektronisk			kontroll och
	tidpunkt		för	verkställighetens
	slut	för	svenska		medborgare
	som	under kalenderåret fyller
	18–47 år.
2. Försäkringskassan	Tidpunkt för frihetsberövan-
	de på grund av häktning eller
	hävande av häktningsbeslut.
	Tidpunkt			för	intagning	i
	eller avgång från kriminalvårds-
	anstalt eller tidpunkt då verk-
	ställighet		av	fängelsestraff		på

207

Författningsförslag

SOU 2017:74

annat sätt påbörjades och be- slutad tidpunkt för avgång från kriminalvårdsanstalt.

Tidpunkt för påbörjad eller avslutad vårdvistelse eller ut- ökad frigång enligt fängelse- lagen (2010:610).

Tidpunkt för avvikelse från kriminalvårdsanstalt eller från vistelse utanför anstalt i form av vårdvistelse eller utökad frigång enligt fängelselagen och tid- punkt för återupptagande av så- dan verkställighet efter avvikelse.

Tidpunkt för påbörjad eller avslutad vistelse på statens be- kostnad i ett sådant familjehem eller hem för vård eller boende som avses i socialtjänstlagen (2001:453) till följd av dom på skyddstillsyn med särskild be- handlingsplan.


3. Polismyndigheten	Intagning i eller avgång från
	kriminalvårdsanstalt eller				för-
	flyttning till annan anstalt.
	Verkställighetens början vid
	verkställighet			utanför anstalt i
	form	av	intensivövervakning
	med	elektronisk kontroll			och
	tidpunkt		för	verkställighetens
	slut och vistelse utanför anstalt
	i form av vårdvistelse, vistelse i

halvvägshus eller utökad frigång enligt fängelselagen.

208

SOU 2017:74 Författningsförslag

Verkställighetens början i kriminalvårdsanstalt när den sammanlagda tiden att avtjäna är fängelse i minst ett år.

Permission eller avgång från kriminalvårdsanstalt, om under- rättelsen kan antas vara av be- tydelse för myndighetens verk- samhet.

4. Säkerhetspolisen	Intagning i eller avgång från
	kriminalvårdsanstalt och per-

mission eller förflyttning till annan anstalt, om underrättel- sen kan antas vara av betydelse för Säkerhetspolisens verk- samhet.

Vistelse utanför anstalt i form av vårdvistelse, vistelse i halvvägshus eller utökad frigång enligt fängelselagen, om under- rättelsen kan antas vara av be- tydelse för Säkerhetspolisens verksamhet.

5. Pensionsmyndigheten	Tidpunkt för frihetsberövan-
	de på grund av häktning eller
	hävande av häktningsbeslut.
	Tidpunkt	för intagning	i
	eller avgång från kriminalvårds-
	anstalt eller tidpunkt då verk-
	ställighet av	fängelsestraff	på
	annat sätt påbörjades och be-
	slutad tidpunkt för avgång från
	kriminalvårdsanstalt.

209

Författningsförslag

SOU 2017:74

Tidpunkt för påbörjad eller avslutad vårdvistelse eller ut- ökad frigång enligt fängelse- lagen.

Tidpunkt för påbörjad eller avslutad vistelse på statens be- kostnad i ett sådant familjehem eller hem för vård eller boende som avses i socialtjänstlagen till följd av dom på skyddstillsyn med särskild behandlingsplan.

2 § Kriminalvården ska på Tullverkets begäran underrätta verket om var en person vistas som är häktad, intagen i kriminalvårds- anstalt eller vistas utanför kriminalvårdsanstalt i form av vårdvis- telse.

3 § Bestämmelser om skyldighet för Kriminalvården att i andra fall lämna uppgifter till Polismyndigheten finns i 30 § förordningen (1999:1134) om belastningsregister.

Denna förordning träder i kraft den 1 maj 2018.

210

SOU 2017:74

Författningsförslag

1.30Förslag till

förordning om ändring i förordningen (1970:517) om rättsväsendets informationssystem

Härigenom föreskrivs att 1 § förordningen (1970:517) om rätts- väsendets informationssystem ska ha följande lydelse.

Nuvarande lydelse Föreslagen lydelse

1 §1

För att samla in, lagra, bearbeta och lämna uppgifter som har samband med verksamhet inom polisen och domstolsväsendet ska personuppgifter behandlas automatiserat i rättsväsendets informa- tionssystem. Informationssystemet ska bestå av delsystem.

Frågor om väsentlig förändring av informationssystemet och om standarder i systemet bereds av den personuppgiftsansvarige i

samråd med berörda centrala myndigheter.
Bestämmelser om skyldighet			I kriminalvårdens brottsdata-
för	rättsväsendets myndigheter		förordning (2001:682) finns	det
att	på kriminalvårdens	område	bestämmelser om skyldighet för
lämna uppgifter finns i förord-			rättsväsendets myndigheter	att
ningen (2001:682) om behand-			lämna uppgifter.
ling	av personuppgifter	inom

kriminalvården.

Denna förordning träder i kraft den 1 maj 2018.

1 Senaste lydelse 2014:1119.

211

Författningsförslag

SOU 2017:74

1.31Förslag till

förordning om ändring i förordningen (1977:937) om allmänna förvaltningsdomstolars behörighet m.m.

Härigenom föreskrivs att 7 d § förordningen (1977:937) om all- männa förvaltningsdomstolars behörighet m.m. ska ha följande lydelse.

Nuvarande lydelse Föreslagen lydelse

7 d §1

Beslut av Kriminalvården som överklagas till en förvaltningsrätt ska tas upp av Förvaltningsrätten i Linköping om beslutet gäller en person som inte är inskriven vid en kriminalvårdsanstalt, ett häkte eller ett frivårdskontor i landet och beslutet avser ärenden enligt

1. lagen (1963:193)	om samarbete med Danmark, Finland,
Island och Norge angående verkställighet av straff m.m., eller
2. lagen (2001:617)	om be-	2. kriminalvårdens brottsdata-
handling av personuppgifter inom		lag (2001:617).
kriminalvården.

Denna förordning träder i kraft den 1 maj 2018.

1 Senaste lydelse 2009:872.

212

1. registrering i register som förs enligt lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregis- ter och polisens brottsdatalag

(2010:361),

2. annan behandling av upp- gifter enligt polisens brottsdata- lag eller Säkerhetspolisens datalag (2018:000), eller i övrigt inom rättsväsendets informations- system,

SOU 2017:74

Författningsförslag

1.32Förslag till

förordning om ändring i folkbokföringsförordningen (1991:749)

Härigenom föreskrivs att 5 a § folkbokföringsförordningen (1991:749) ska ha följande lydelse.

5 a §1

Samordningsnummer får tilldelas en person om det inte råder osäkerhet om hans eller hennes identitet.

Även om det råder osäkerhet om en persons identitet, får sam- ordningsnummer tilldelas för

1. registrering i register som förs enligt lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregis- ter, lagen (2010:362) om polisens allmänna spaningsregister och polisdatalagen (2010:361),

2. annan behandling av upp- gifter enligt polisdatalagen, eller i övrigt inom rättsväsendets informationssystem,

3.Migrationsverkets behandling av personuppgifter med stöd av utlänningsdatalagen (2016:27) när det gäller personer som omfattas av lagen (1994:137) om mottagande av asylsökande m.fl., eller

4.registrering i beskattningsdatabasen.

Denna förordning träder i kraft den 1 maj 2018.

1 Senaste lydelse 2016:31.

213

Författningsförslag

SOU 2017:74

1.33Förslag till

förordning om ändring i förordningen (1995:238) om totalförsvarsplikt

Härigenom föreskrivs att 3 kap. 7 § förordningen (1995:238) om totalförsvarsplikt ska ha följande lydelse.

Nuvarande lydelse		Föreslagen lydelse
	3 kap.
	7 §1
Bestämmelser om	skyldighet	I förordningen (2018:000) om
för Kriminalvården att till Total-		Kriminalvårdens underrättelse-
försvarets rekryteringsmyndig-		skyldighet finns det bestämmelser
het lämna uppgifter finns i för-		om Kriminalvårdens skyldighet
ordningen (2001:682)	om be-	att lämna uppgifter till Totalför-
handling av personuppgifter inom		svarets rekryteringsmyndighet.
kriminalvården.

Denna förordning träder i kraft den 1 maj 2018.

1 Senaste lydelse 2010:1473.

214

SOU 2017:74

Författningsförslag

1.34Förslag till

förordning om ändring i förordningen (1995:1301) om handläggning av skadeståndsanspråk mot staten

Härigenom föreskrivs att 3 § förordningen (1995:1301) om handläggning av skadeståndsanspråk mot staten ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

3 §1

Justitiekanslern handlägger anspråk på ersättning med stöd av

–36 kap. 17 § andra stycket brottsbalken,

–2 kap. 1 § eller 3 kap. 1 eller 2 § skadeståndslagen (1972:207), om anspråket grundas på ett påstående om felaktigt beslut eller underlåtenhet att meddela beslut,

–23 § datalagen (1973:289),

– 48 §	personuppgiftslagen				– 48 §		personuppgiftslagen
(1998:204),	2 kap.		6 §	lagen	(1998:204),		2 kap. 6 § lagen
(2007:258)	om	behandling av			(2007:258)		om	behandling av
personuppgifter i Försvarsmak-					personuppgifter i Försvarsmak-
tens försvarsunderrättelseverk-					tens försvarsunderrättelseverk-
samhet och militära säkerhets-					samhet och militära säkerhets-
tjänst och	2 kap.		5 §	lagen	tjänst, 2 kap. 5 § lagen (2007:259)
(2007:259)	om	behandling av			om behandling av person-
personuppgifter		i	Försvarets		uppgifter i Försvarets radio-
radioanstalts		försvarsunderrät-			anstalts	försvarsunderrättelse-
telse- och utvecklingsverksamhet,					och	utvecklingsverksamhet,
					7 kap.	1 §		brottsdatalagen
					(2018:000)		och	bestämmelser
					som hänvisar till den bestäm-
					melsen och 8 kap. 1 § Säkerhets-
					polisens datalag (2018:000).

1 Senaste lydelse 2017:508.

215

Författningsförslag

SOU 2017:74

–lagen (1998:714) om ersättning vid frihetsberövanden och andra tvångsåtgärder, dock inte anspråk som avses i 8 § i den lagen,

–5 kap. 3 § lagen (2017:496) om internationellt polisiärt sam- arbete, om anspråket grundas på ett påstående om felaktigt beslut eller underlåtenhet att meddela beslut,

–26 § lagen (2011:111) om förstörande av vissa hälsofarliga missbrukssubstanser,

–46 kap. 20 § skatteförfarandelagen (2011:1244), eller

–44 § kameraövervakningslagen (2013:460).

Justitiekanslern handlägger också anspråk på ersättning som grundas på ett påstående om överträdelse av gemenskapsrätten.

Av 4 § följer att vissa anspråk på ersättning med stöd av 3 kap. 1 eller 2 § skadeståndslagen handläggs av Kammarkollegiet.

Denna förordning träder i kraft den 1 maj 2018.

216

SOU 2017:74

Författningsförslag

1.35Förslag till

förordning om ändring i vapenförordningen (1996:70)

Härigenom föreskrivs att 1 kap. 4 § vapenförordningen (1996:70) ska ha följande lydelse.

1 kap.

4 §1

Följande kategorier av anställda vid Polismyndigheten får ges tillgång till uppgifter i vapenregister som regleras i 1 a kap. vapen- lagen (1996:67):

1.anställda som handlägger vapenärenden,

2.anställda som arbetar vid myndighetens ledningscentraler, och

3. de särskilt angivna tjänste-		3. de särskilt angivna tjänste-
män vid myndigheten som utför		män vid myndigheten som utför
uppgifter enligt 3 kap. 7 § andra		uppgifter enligt 3 kap. 6 § andra
stycket	polisdatalagen	stycket polisens brottsdatalag
(2010:361).		(2010:361).

Anställda vid Polismyndigheten som upprätthåller allmän ord- ning och säkerhet, bistår med handräckning eller utreder brott får ges tillgång till uppgift om huruvida någon har tillstånd att inneha vapen.

Denna förordning träder i kraft den 1 maj 2018.

1 Senaste lydelse 2014:1149.

217

Författningsförslag

SOU 2017:74

1.36Förslag till

förordning om ändring i förordningen (2001:682) om behandling av personuppgifter inom kriminalvården

Härigenom föreskrivs i fråga om förordningen (2001:682) om behandling av personuppgifter inom kriminalvården

dels att 2, 4, 7, 12, 14, 18, 20, 23, 25, 27, 29–33, 39, 43, 45–48 och 50 §§ ska upphöra att gälla,

dels att rubrikerna före 2, 4, 7, 12, 14, 18, 20, 23, 25, 27, 29–33, 45–48, 52, 54 och 55 §§ och rubrikerna efter 37, 45 och 48 §§ ska utgå,

dels att nuvarande 3 § ska betecknas 2 §, att rubriken efter nuva- rande 2 § ska placeras efter 1 § och att rubriken före nuvarande 3 § ska placeras före nya 2 §, att nuvarande 5 § ska betecknas 3 §, att rubriken efter nuvarande 4 § ska placeras efter nya 2 § och att rubriken före nuvarande 5 § ska placeras före nya 3 §, att nuvarande 8 § ska betecknas 4 § och att rubriken före nuvarande 8 § ska pla- ceras före nya 4 §, att nuvarande 9 § ska betecknas 4 §, att rubriken efter nuvarande 8 § ska placeras efter nya 4 § och att rubriken före nuvarande 9 § ska placeras före nya 5 §, att nuvarande 13 § ska betecknas 7 § och att rubriken före nuvarande 13 § ska placeras före nya 7 §, att nuvarande 15 § ska betecknas 8 §, att rubriken efter nuvarande 14 § ska placeras efter nya 7 § och att rubriken före nuvarande 15 § ska placeras före nya 8 §, att nuvarande 16 § ska betecknas 9 § och att rubriken före nuvarande 16 § ska placeras före nya 9 §, att nuvarande 19 § ska betecknas 10 § och att rubriken före nuvarande 19 § ska placeras före nya 10 §, att nuvarande 21 § ska betecknas 11 §, att rubriken efter nuvarande 20 § ska placeras efter nya 10 § och att rubriken före nuvarande 21 § ska placeras före nya 11 §, att nuvarande 22 § ska betecknas 12 § och att rubriken före nuvarande 22 § ska placeras före nya 12 §, att nuvarande 24 § ska betecknas 13 § och att rubriken före nuvarande 24 § ska placeras före nya 13 §, att nuvarande 26 § ska betecknas 14 §, att rubriken efter nuvarande 25 § ska placeras efter nya 13 § och att rubriken före nuvarande 26 § ska placeras före nya 14 §, att nuvarande 28 § ska betecknas 15 § och att rubriken före nuvarande 28 § ska

218

SOU 2017:74

Författningsförslag

placeras före nya 15 §, att nuvarande 34 § ska betecknas 16 §, att rubriken efter nuvarande 33 § ska placeras efter nya 15 § och att rubriken före nuvarande 34 § ska placeras före nya 16 §, att nu- varande 35 § ska betecknas 17 §, att nuvarande 36 § ska betecknas 18 § och att rubriken före nuvarande 36 § ska placeras före nya 18 §, att nuvarande 37 § ska betecknas 19 § och att rubriken före nuvarande 37 § ska placeras före nya 19 §, att nuvarande 40 § ska betecknas 21 §, att rubriken efter nuvarande 37 § ska placeras efter nya 20 § och att rubriken före nuvarande 39 § ska placeras före nya 21 §, att nuvarande 41 § ska betecknas 22 §, att nuvarande 44 § ska betecknas 23 § och att rubriken före nuvarande 44 § ska placeras före nya 23 §, att nuvarande 49 § ska betecknas 25 § och att rub- riken före nuvarande 49 § ska placeras före nya 25 §, att nuvarande 51 § ska betecknas 26 § och att rubriken före nuvarande 51 § ska placeras före nya 26 §, att nuvarande 52 § ska betecknas 27 §, att nuvarande 54 § ska betecknas 28 § och att nuvarande 55 § ska betecknas 29 §,

dels att 1 § och nya 2–17, 19, 21–23 och 25, 27–30 §§ och rubrikerna före 1 §, nya 4, 7, 10, 13, 15, 19, 21, 23 och 25 §, ska ha följande lydelse,

dels att rubriken efter nya 4 § ska lyda Behandling av uppgifter om häktade och rubriken före nya 26 § ska lyda Underrättelse- skyldighet,

dels att det ska införas två nya paragrafer, 20 och 24 §§, och nya rubriker före 20 och 27 §§ av följande lydelse,

dels att rubriken till förordningen ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Förordning om behandling av	Kriminalvårdens	brottsdataför-
personuppgifter inom kriminal-	ordning
vården
Inledande bestämmelser	Allmän bestämmelse
1 §
I denna förordning ges kom-	I denna förordning finns
pletterande föreskrifter om så-	kompletterande	föreskrifter till
dan behandling av personupp-	kriminalvårdens	brottsdatalag

219

Författningsförslag SOU 2017:74

gifter som omfattas av lagen								(2001:617).
(2001:617)			om		behandling		av
personuppgifter					inom kriminal-
vården.
	Av 34 och 39 §§ framgår att							Av 16 § framgår att Krimi-
det	inom		kriminalvården			skall		nalvården ska föra ett centralt
föras ett centralt kriminalvårds-								kriminalvårdsregister. I 18 § finns
register och				ett	säkerhetsregister.			bestämmelser om skyldighet för
I 36 §		finns		bestämmelser			om	myndigheter att lämna uppgifter
skyldighet			för		myndigheter		att	som behövs för registret.
lämna uppgifter som behövs för
det centrala kriminalvårdsregistret.
							2 §1
	I fråga om personer som avses							Om det är nödvändigt för att
i 1 §		första		stycket 1–9		lagen		utföra en arbetsuppgift för något
(2001:617)			om		behandling		av	av de syften som anges i 2 kap.
personuppgifter					inom kriminal-			1 § kriminalvårdens brottsdatalag
vården får, i den utsträckning det								(2001:617) får uppgifter om föl-
är nödvändigt för det ändamål								jande behandlas:
för	vilket		behandlingen			utförs,
följande personuppgifter behandlas:
	1. namn, personnummer eller annan identifieringsuppgift, foto-

grafi, adress, telefonnummer, yrke och utbildning, kön, medbor- garskap och språk,

2. kommun där den registre-	2. kommun där den registre-
rade är folkbokförd och social-	rade är folkbokförd,
distrikt,

3. namn, adress, telefonnummer, telefaxnummer och e-post- adress som rör

a)ombud eller ställföreträdare för den registrerade,

b)arbetsgivare, utbildningsanstalt eller liknande och kontakt- person,

c)statlig eller kommunal befattningshavare som i tjänsten tar

befattning med den registrerade, och

d) tolk som anlitas av krimi- d) tolk, nalvården,

1 Senaste lydelse 2006:1126.

220

SOU 2017:74 Författningsförslag

4. närståendes

namn,

adress

4. närståendes namn,

adress,

och telefonnummer samt relation

telefonnummer och relation till

till den registrerade,

den registrerade,

5. uppgifter

om genomförd

5. genomförd

personutred-

personutredning

och rättspsy-

ning och rättspsykiatrisk under-

kiatrisk

undersökning,

läkar-

sökning,

läkarintyg

enligt

7 §

intyg

enligt

7 §

lagen

lagen (1991:2041)

om särskild

(1991:2041) om särskild person-

personutredning

brottmål,

utredning i brottmål, m.m. samt

m.m. och utredning med ut-

utredning med ett utlåtande om

låtande om risk för återfall i

risk för återfall i brottslighet

brottslighet enligt

10 §

lagen

enligt 10 §

lagen (2006:45)

(2006:45)

omvandling

fängelse

på

fängelse på livstid,

livstid,

6. uppgifter om domstols dom

6. domstols dom eller slutliga

eller slutliga beslut som avser

beslut som

avser

fängelse,

skyddstillsyn,

villkor-

skyddstillsyn,

villkorlig

dom

lig dom med föreskrift om sam-

med föreskrift om samhälls-

hällstjänst

eller

förvandlings-

tjänst eller förvandlingsstraff för

straff för böter eller vite, samt

böter eller vite och beslut i häkt-

beslut i häktningsfråga,

ningsfrågor,

7. uppgifter om domstols av-

7. domstols

avräknings-

räkningsunderlag,

underlag,

8. brott för vilket den registrerade är skäligen misstänkt,

9. uppgifter

ansökan

9. ansökan om nåd och rege-

nåd samt regeringens beslut om

ringens beslut i sådana frågor,

nåd,

10. annat beslut av regeringen som avser den registrerade och som har betydelse för verkställigheten av påföljd,

11. uppgifter om ansökan och	11. ansökan och beslut enligt
beslut enligt lagen (2006:45) om	lagen om omvandling av fängel-
omvandling av fängelse på livs-	se på livstid,
tid,
12. uppgifter om dom, beslut	12. dom, beslut eller föreläg-
eller föreläggande av allmän för-	gande av allmän förvaltnings-
valtningsdomstol eller av myn-	domstol eller beslut av en myn-
dighet inom eller utom kriminal-	dighet som avser den registre-
vården som avser den registre-	rade och som har betydelse för
rade och som har betydelse för	verkställigheten av påföljd,

221

Författningsförslag

SOU 2017:74

verkställigheten av påföljd,
13. uppgifter om överklagande	13. överklagande av domstols
av domstols dom eller beslut,	dom eller beslut, regeringens
regeringens beslut eller myndig-	beslut eller myndighets beslut,
hets beslut,

14. tidpunkt för verkställighetens början, prövotid och övervak-

ningstid,

15. tidpunkt

för

frigivning

15. tidpunkt

för

frigivning

från kriminalvårdsanstalt

samt

från kriminalvårdsanstalt

och

återstående strafftid vid villkor-

lig frigivning,

16. uppgifter

verkställig-

16. verkställighet

sam-

het av samhällstjänst och inten-

hällstjänst och intensivövervak-

sivövervakning med elektronisk

ning med elektronisk kontroll,

kontroll,

17. beslut

myndighet

17. beslut av

myndighet i

Sverige eller annan stat om verk-

annan stat om verkställighet av

ställighet av påföljd som avser

påföljd som avser den registre-

den registrerade,

rade,

18. uppgifter

övrigt

angå-

18. andra uppgifter om verk-

ende verkställighet av påföljd,

ställighet av påföljd, och

19. tidpunkten

för bortfall-

19. tidpunkten

för bortfall-

ande av fängelse enligt 35 kap. 8

och 9 §§ brottsbalken eller för-

vandlingsstraff

för

böter

eller

vandlingsstraff

för

böter

eller

vite enligt 18 och 21 §§ bötes-

verkställighetslagen (1979:189),

verkställighetslagen (1979:189).

och

20. grunden

för

intagning

häkte eller kriminalvårdsanstalt i

fall som avses i 1 § första stycket 8

lagen om behandling av person-

uppgifter

inom

kriminalvården

(2001:617)

eller

anledning till

transport

inom

kriminalvårdens

transporttjänst.

222

SOU 2017:74 Författningsförslag

			3 §2
I fråga om personer som är				I fråga om personer som är
föremål för personutredning får				föremål för personutredning får
utöver vad som anges i 3 och				utöver vad som anges i 2 § upp-
4 §§	följande	personuppgifter		gifter om följande behandlas:
behandlas:
1. uppgift om att den registre-				1. att den registrerade är in-
rade är intagen i häkte eller kri-				tagen i häkte eller kriminal-
minalvårdsanstalt		med	angi-	vårdsanstalt med angivande av
vande av häktet eller anstalten,				häktet eller anstalten,
2. uppgifter om domstols begä-				2. begäran om personutred-
ran	om personutredning samt			ning och begäran om hjälp med
uppgifter om begäran om hjälp				yttrande från annan enhet inom
med yttrande från annan enhet				Kriminalvården,
inom Kriminalvården,
3. uppgifter om tidigare domar,				3. tidigare domar, brott den
brott den registrerade			tidigare	registrerade tidigare har begått,
har	begått, tidigare		ådömd	tidigare ådömd påföljd och upp-
påföljd och uppgifter om verk-				gifter om verkställigheten,
ställigheten av denna,

4.datum då personutredning har lämnats till domstolen,

5.datum för huvudförhandling och domstols dom,

6. uppgift om den påföljd som		6. den påföljd som den regi-
den registrerade har dömts till		strerade har dömts till eller upp-
eller uppgift om att åtalet har		gift om att åtalet har ogillats,
ogillats, och		och
7. uppgifter om	den miss-	7. den misstänktes personliga
tänktes personliga	förhållanden	förhållanden om det behövs för
som behövs för att utreda vilka		att utreda vilka åtgärder som
åtgärder som kan antas före-		kan antas förebygga framtida
bygga framtida brottslighet.		brottslighet.

2 Senaste lydelse 2005:1025.

223

Författningsförslag SOU 2017:74

Gallring		Längsta tid som personuppgifter
		får behandlas
	4 §3
Uppgifter som avses i 5–7 §§		Trots det	som sägs i 2 kap.
skall gallras senast två år efter		17 § andra stycket brottsdatalagen
det att det mål i vilket personut-		(2018:000)	får	uppgifter	som
redningen har begärts slutligt		avses i 3 § inte behandlas längre
har avgjorts. Om den som per-		än
sonutredningen avser har	dömts	1. två år efter det att det mål i
till fängelse, skyddstillsyn	eller	vilket personutredningen			har
villkorlig dom med föreskrift om		begärts slutligt har avgjorts, eller
samhällstjänst, skall dock uppgif-		2. tio år	efter det att		den
terna gallras senast tio år efter		senaste påföljden helt har verk-
det att den senaste påföljden		ställts, om den som personutred-
helt har verkställts.		ningen avser har dömts till fäng-
		else, skyddstillsyn		eller villkorlig
		dom med föreskrift om samhälls-
		tjänst.

5 §4

I fråga om personer som är	I fråga om personer som är
häktade får utöver vad som an-	häktade får utöver vad som an-
ges i 3 och 4 §§ följande person-	ges i 2 § uppgifter om följande
uppgifter behandlas:	behandlas:

1.uppgifter om den häktades ankomst till häktet och om tillde- lat inskrivningsnummer,

2.datum och tidpunkt för anhållande och häktning,

3.restriktioner som avses i 24 kap. 5 a § rättegångsbalken,

4.anknytning till annan häktad eller anhållen med anledning av att denne är misstänkt för delaktighet i samma brott som den häk- tade,

5.medgivande från den häktade om granskning av försändelse enligt 3 kap. 8 § häkteslagen (2010:611),

6.uppgifter om tid, plats, bevakning och villkor vid besök,

3Senaste lydelse 2005:10.

4Senaste lydelse 2011:148.

224

SOU 2017:74

Författningsförslag

7.tjänsteutövande besökares namn, adress, telefonnummer och

titel,

8.namn, personnummer, adress, telefonnummer och uppgift om språk och relation till den häktade samt sådana uppgifter som avses i 3 kap. 11 § häkteslagen om annan besökare än som avses i 7 och om person som en häktad tillåts att ha elektronisk kommuni- kation med,

9.tilldelat rum och specialkost samt uppgifter om förvaring av den häktades tillhörigheter,

10.behov av hälso- och sjukvård,

11.behov av vård eller behandling relaterad till missbruk eller till den häktades brottslighet,

12.behov av utbildning och uppgifter om sysselsättning,

13.plats utanför förvaringslokalen där den häktade vistas under permission eller med anledning av sjukdom, undersökning, förhör, förhandling eller liknande,

14.uppgifter om omständigheter som Kriminalvården måste be- akta vid frigivning,

15.uppgifter om att den häktade har svensk pension och om underrättelse till Försäkringskassan och Pensionsmyndigheten med anledning av frihetsberövandet,

16.uppgifter om transport,

17.uppgifter om tidigare inträffad fritagning eller avvikelse eller försök eller förberedelse till det samt risk för fritagning eller av- vikelse,

18.uppgifter om att den häktade tidigare i häkte eller under verkställigheten av fängelsestraff har gjort sig skyldig till våld eller hot om våld mot personal inom kriminalvården eller mot andra intagna i häkte eller anstalt eller uppgift om framtida risk för sådant våld eller hot,

19.uppgifter om att den häktade tidigare i häkte eller under verkställigheten av fängelsestraff allvarligt stört ordningen inom häktet eller anstalten eller uppgift om framtida risk för sådant handlande,

20.uppgifter om att den häktade tidigare i häkte eller under verkställigheten av fängelsestraff befattat sig med sådana medel som avses i 4 kap. 8 § häkteslagen eller 8 kap. 8 § fängelselagen (2010:610) eller uppgift om framtida risk för befattning med så- dana medel,

225

Författningsförslag

SOU 2017:74

21.uppgifter om annan misskötsamhet,

22.uppgifter om sådan kontroll som avses i 4 kap. 5 § häktes-

lagen,

23.underrättelse till häktades beskickning,

23.tidpunkt då den häktade har delgetts domstols dom och uppgifter om nöjdförklaring,

24.uppgifter om utskrivning,

25.uppgifter som är nödvän- diga för handläggningen av ett ärende som enligt lag eller för- ordning ska prövas av Kriminal- vården.

24.tidpunkt då den häktade har delgetts domstols dom och uppgifter om nöjdförklaring,

25.uppgifter om utskrivning,

och

26.uppgifter som är nödvän- diga för handläggningen av ett ärende som enligt lag eller för- ordning ska prövas av Kriminal- vården.

					6 §5
Kriminalvården får i fråga om						Kriminalvården får i fråga om
den som är häktad utöver vad						den som är häktad utöver vad
som anges i 3, 4 och 9 §§ be-						som anges i 2 och 5 §§ behandla
handla	personuppgifter			i	en	personuppgifter i en sådan jour-
sådan journal som avses i 5 §						nal som avses i 5 § häktesför-
häktesförordningen (2010:2011)						ordningen (2010:2011) och 6 §
och 6 § andra stycket förord-						andra	stycket förordningen
ningen (2007:1172) med					in-	(2007:1172) med instruktion för
struktion		för	Kriminalvården.			Kriminalvården. En sådan jour-
En sådan journal får innehålla						nal får innehålla uppgifter om
uppgifter om alla beslut som har						alla beslut som har fattats, vik-
fattats,	viktiga		händelser	under		tiga händelser under vistelsen i
vistelsen i häkte och väsentliga						häkte	och väsentliga uppgifter
uppgifter om vidtagna eller pla-						om vidtagna eller planerade åt-
nerade åtgärder som gäller den						gärder som gäller den häktade.
häktade. Den får även innehålla						Den får även innehålla uppgifter
uppgifter		om	omständigheter i			om omständigheter i övrigt som
övrigt som är av betydelse under						är av betydelse under vistelsen i
vistelsen i häkte.						häkte.

5 Senaste lydelse 2011:148.

226

SOU 2017:74 Författningsförslag

Gallring	Längsta tid som personuppgifter
	får behandlas
7 §
Uppgifter om en häktad skall	Trots det som sägs i 2 kap.
gallras senast två år efter det att	17 § andra stycket brottsdatalagen
den häktade har frigivits från	(2018:000) får uppgifter om en
häktet.	häktad inte behandlas längre än

1. två år efter det att den häktade frigavs från häktet eller

2. tio år efter det att påföljden helt har verkställts, om den häk- tade efter att ha frigetts från häkte har dömts till fängelse, skydds- tillsyn eller villkorlig dom med föreskrift om samhällstjänst.

8 §6

I fråga om personer som är	I fråga om personer som är
dömda till fängelse får utöver	dömda till fängelse, är ålagda
vad som anges i 3 och 4 §§ föl-	fängelse som förvandlingsstraff för
jande personuppgifter behandlas:	böter eller vite eller på grund av
	en utländsk dom ska verkställa
	fängelsepåföljd i Sverige får ut-
	över det som anges i 2 § uppgif-
	ter om följande behandlas:
1. sådana uppgifter som avses	1. sådana uppgifter som avses
i 5 § 7 samt 9 § 1, 6–12, 15–21	i 3 § 7 och 5 § 1, 6–12, 15–21
och 24 och som när det gäller	och 25 och som när det gäller
den som är häktad respektive	den som är häktad respektive
misstänkt i stället ska avse den	misstänkt i stället ska avse den
som är intagen i kriminalvårds-	som är intagen i kriminalvårds-
anstalt,	anstalt,

2. anknytning till annan intagen som är dömd för delaktighet i samma brott som den dömde,

6 Senaste lydelse 2015:649.

227

Författningsförslag

SOU 2017:74

3.uppgifter om placering i avskildhet och undersökning enligt 6 kap. fängelselagen (2010:610) och om användande av fängsel och undersökning enligt 8 kap. 10 § samma lag,

4.uppgifter om placering på säkerhetsavdelning,

5.uppgift om att målsägande i enlighet med 35 § fängelseför- ordningen (2010:2010) ska underrättas,

6.uppgifter om permissioner och vistelser utanför anstalt enligt 9 kap. 1 §, 10 kap. 1, 2 och 4 §§ samt 11 kap. 1 § fängelselagen,

7.uppgifter om sådan kontroll som avses i 8 kap. 6 § fängelse- lagen,

8.beslut om att den dömde ska inställa sig i anstalt eller påbörja intensivövervakning med elektronisk kontroll, beslut om uppskov med verkställighet och begäran om förpassning genom Polismyn- dighetens försorg,

9.övervakarens namn, adress och telefonnummer,

10.uppgift om att den dömde har ålagts näringsförbud, kon- taktförbud, förbud enligt 3 kap. 5 § lagen (2015:642) om europeisk skyddsorder eller tillträdesförbud,

11.uppgifter om beslut enligt 26 kap. 18 och 19 §§, 27 kap. 6 § 1 och 2 och 28 kap. 7 § brottsbalken, och

12.uppgifter som är nödvändiga för handläggningen av ett

ärende som enligt lag eller förordning ska prövas av Kriminalvår-

den.
I fråga om den som verkstäl-		I fråga om den som verkstäl-
ler fängelsestraffet genom inten-		ler fängelsestraffet genom inten-
sivövervakning med elektronisk		sivövervakning med elektronisk
kontroll tillämpas	bestämmel-	kontroll tillämpas	bestämmel-
serna i första stycket 1 när det		serna i första stycket 1 när det
gäller hänvisningen till 5 § 7 och		gäller hänvisningen till 3 § 7 och
första stycket 8–12.		första stycket 8–12.
	9 §7
Kriminalvården får i fråga om		Kriminalvården får i fråga om
den som är dömd till fängelse ut-		den som avses i 8 §	utöver vad
över vad som anges i 3, 4 och		som anges i 2 och 8 §§ behandla
15 §§ behandla personuppgifter		personuppgifter i en sådan jour-
i en sådan journal	som avses	nal som avses i 5 § fängelseför-

7 Senaste lydelse 2011:148.

228

SOU 2017:74 Författningsförslag

i 5 §	fängelseförordningen					ordningen (2010:2010),					12 §
(2010:2010), 12 § förordningen						förordningen			(1994:1060)		om
(1994:1060)		om		intensivöver-		intensivövervakning med					elek-
vakning med elektronisk kon-						tronisk	kontroll,			4 kap.	6 a §
troll, 4 kap.		6 a §		förordningen		förordningen (1998:642)					om
(1998:642) om verkställighet av						verkställighet			av	frivårdspåfölj-
frivårdspåföljder och 6 § andra						der och 6 § andra stycket för-
stycket förordningen (2007:1172)						ordningen (2007:1172) med in-
med instruktion för Kriminal-						struktion		för	Kriminalvården.
vården. En sådan journal får						En sådan journal får innehålla
innehålla uppgifter om alla be-						uppgifter om alla beslut som har
slut som har fattats, viktiga						fattats,	viktiga		händelser under
händelser under verkställigheten						verkställigheten och väsentliga
och väsentliga uppgifter om vid-						uppgifter om vidtagna eller pla-
tagna eller		planerade åtgärder				nerade	åtgärder			rörande	den
om den intagne, den som står						intagne, den som står under
under övervakning efter villkorlig						övervakning efter villkorlig fri-
frigivning och den som trans-						givning och den som transpor-
porteras	av		kriminalvårdens			teras av Kriminalvårdens trans-
transporttjänst.			Journalen		får	porttjänst. Journalen får					även
även innehålla uppgifter om om-						innehålla uppgifter om omstän-
ständigheter i övrigt som är av						digheter i övrigt som är av be-
betydelse för verkställigheten.						tydelse för verkställigheten.
Gallring						Längsta tid som personuppgifter
						får behandlas
					10 §8
Uppgifter i en sådan journal						Trots		det som		sägs i 2 kap.
som avses		i 16 §		skall gallras		17 § andra stycket brottsdatalagen
senast tio år efter det att det						(2018:000) får uppgifter i en
senaste	straffet		avseende		den	sådan journal som avses i 9 §
registrerade helt har verkställts.						inte behandlas längre än tio år
I övrigt skall uppgifter om en						efter det att det senaste straffet
person som är dömd till fängelse						avseende		den	registrerade		helt
gallras senast två år efter det att						har verkställts. I övrigt får upp-
villkorlig	frigivning har				skett	gifter om en person som avses i

8 Senaste lydelse 2005:10.

229

I fråga om personer som är dömda till skyddstillsyn eller som på grund av en utländsk dom ska undergå skyddstillsyn eller motsvarande påföljd i Sverige får utöver vad som anges i 2 § upp- gifter om följande behandlas:

1. sådana uppgifter som avses i 3 § 7 och 8 § 9–12, och

2. sysselsättning.

Författningsförslag

SOU 2017:74

eller intensivövervakning med elektronisk kontroll har upp- hört.

I fråga om uppgifter om perso- ner som avses i 1 § första stycket 8 lagen (2001:617) om behandling av personuppgifter inom krimi- nalvården skall dock gallring ske senast två år efter det att den registrerade har lämnat anstalten.

8 § inte behandlas längre än två

år efter det att villkorlig frigiv- ning har skett eller intensiv- övervakning med elektronisk kontroll har upphört.

11 §9

I fråga om personer som är dömda till skyddstillsyn får ut- över vad som anges i 3 och 4 §§ följande personuppgifter be- handlas:

1.sådana uppgifter som avses

i5 § 7 samt 15 § 10 och 11,

2.uppgifter om sysselsättning,

3.övervakarens namn, adress och telefonnummer,

4.uppgifter som är nödvän- diga för handläggningen av ett ärende som enligt lag eller för- ordning ska prövas av Kriminal- vården.

9 Senaste lydelse 2011:148.

230

Kriminalvården får i fråga om den som avses i 11 § utöver vad som anges i 2 och 11 §§ be- handla personuppgifter i en så- dan journal som avses i 2 kap. 10 § och 3 kap. 5 § förordningen (1998:642) om verkställighet av frivårdspåföljder och 6 § andra stycket förordningen (2007:1172) med instruktion för Kriminal- vården. En sådan journal får innehålla uppgifter om alla be- slut som har fattats, viktiga händelser under verkställigheten och väsentliga uppgifter om vidtagna eller planerade åtgärder som gäller den dömde. Den får även innehålla uppgifter om omständigheter i övrigt som är av betydelse för verkställig- heten.

Längsta tid som personuppgifter får behandlas

SOU 2017:74

Författningsförslag

12 §10

Kriminalvården får i fråga om den som är dömd till skyddstill- syn utöver vad som anges i 3, 4 och 21 §§ behandla personupp- gifter i en sådan journal som av- ses i 2 kap. 10 § och 3 kap. 5 § förordningen (1998:642) om verkställighet av frivårdspåfölj- der och 6 § andra stycket för- ordningen (2007:1172) med in- struktion för Kriminalvården. En sådan journal får innehålla uppgifter om alla beslut som har fattats, viktiga händelser under verkställigheten och väsentliga uppgifter om vidtagna eller pla- nerade åtgärder som gäller den dömde. Den får även innehålla uppgifter om omständigheter i övrigt som är av betydelse för verkställigheten.

Gallring

13 §11

Uppgifter i en sådan journal	Trots det som sägs i 2 kap.
som avses i 22 § skall gallras	17 § andra stycket brottsdatalagen
senast tio år efter det att den	(2018:000) får uppgifter i en
senaste påföljden avseende den	sådan journal som avses i 12 §
registrerade helt har verkställts.	inte behandlas längre än tio år
I övrigt skall uppgifter om en	efter det att den senaste påfölj-
person som är dömd till skydds-	den avseende den registrerade
tillsyn gallras senast två år efter	helt har verkställts. I övrigt får
det att övervakningen har upp-	uppgifter om en person som

10Senaste lydelse 2011:148.

11Senaste lydelse 2005:10.

231

Författningsförslag SOU 2017:74

hört.						avses i 11 § inte behandlas längre
						än två år efter det att övervak-
						ningen har upphört.
					14 §12
Kriminalvården får i fråga om						Kriminalvården får i fråga om
den som är dömd till villkorlig						den som är dömd till villkorlig
dom med föreskrift om sam-						dom med föreskrift om sam-
hällstjänst utöver vad som anges						hällstjänst, eller som på grund av
i 3 och 4 §§ behandla person-						en utländsk dom ska undergå
uppgifter i en sådan journal som						villkorlig dom med föreskrift om
avses i 3 kap. 5 § förordningen						samhällstjänst eller motsvarande
(1998:642) om verkställighet av						påföljd i Sverige, utöver vad som
frivårdspåföljder. En sådan jour-						anges i 2 § behandla personupp-
nal får innehålla uppgifter om						gifter i en sådan journal som
samtliga beslut som har fattats,						avses i 3 kap. 5 § förordningen
viktiga händelser under verk-						(1998:642) om verkställighet av
ställigheten och väsentliga upp-						frivårdspåföljder. En sådan jour-
gifter om vidtagna eller plane-						nal får innehålla uppgifter om
rade åtgärder som gäller den						samtliga beslut som har fattats,
dömde. Den får även innehålla						viktiga händelser under verk-
uppgifter om			omständigheter i			ställigheten och väsentliga upp-
övrigt som är av betydelse för						gifter om vidtagna eller plane-
verkställigheten.						rade åtgärder som gäller den
						dömde. Den får även innehålla
						uppgifter om omständigheter i
						övrigt som är av betydelse för
						verkställigheten.
Gallring						Längsta tid som personuppgifter
						får behandlas
					15 §13
Uppgifter i en sådan journal						Trots det som sägs i 2 kap.
som	avses	i	26 §	skall	gallras	17 § andra stycket brottsdatalagen
senast	tio	år	efter	det	att den	(2018:000) får uppgifter i en

12Senaste lydelse 2005:1025.

13Senaste lydelse 2005:10.

232

SOU 2017:74 Författningsförslag

senaste påföljden avseende den						sådan journal som avses i 14 §
registrerade helt har verkställts.						inte behandlas längre än tio år
I övrigt skall uppgifter om en						efter det att den senaste påfölj-
person som är dömd till villkor-						den avseende		den registrerade
lig dom med föreskrift om sam-						helt har verkställts. I övrigt får
hällstjänst gallras senast två år						uppgifter om en person som
efter det att föreskriften om						avses i 14 § inte behandlas längre
samhällstjänst helt har verk-						än två år efter det att föreskrif-
ställts.						ten om samhällstjänst helt har
						verkställts.
					16 §14
För de ändamål som anges i						Kriminalvården			ska	föra ett
3 § första	stycket 1 och				2 lagen	register (centrala kriminalvårds-
(2001:617) om			behandling av			registret) över personer som
personuppgifter		inom		kriminal-
vården skall Kriminalvården föra
ett register (centrala kriminal-
vårdsregistret)		över		personer
som
						1. är häktade,
1. har	dömts		till	fängelse,		2. har	dömts		till	fängelse,
skyddstillsyn		eller		villkorlig		skyddstillsyn		eller		villkorlig
dom med föreskrift om sam-						dom med föreskrift om sam-
hällstjänst,						hällstjänst,
2. har	ålagts		förvandlings-			3. har	ålagts		förvandlings-
straff för böter eller vite,						straff för böter eller vite, eller
3. eller på grund av en ut-						4. på	grund av		en	utländsk
ländsk brottmålsdom skall verk-						brottmålsdom ska			verkställa en
ställa en sådan påföljd som avses						sådan påföljd som avses i 2 eller
i 1 och 2 i Sverige.						3 i Sverige.
					17 §15
Det centrala			kriminalvårds-			Det centrala kriminalvårds-
registret	får	innehålla			sådana	registret	får	innehålla sådana
uppgifter som avses i 3 § 1, 5–7,						uppgifter som avses i 2 § 1, 5–7,

14Senaste lydelse 2005:1025.

15Senaste lydelse 2011:148.

233

Författningsförslag SOU 2017:74

9–11 och 13–19, i 15 § 1 när det						9–11 och 13–19,	5 § 16, 8 § 6
gäller hänvisningen till 9 § 16, i						och 9 och i 11 § 2.
15 § 6 och 9 och i 21 § 2.
Utlämnande av uppgifter m.m.						Utlämnande av uppgifter
					19 §16
Uppgifter i det centrala kri-						Uppgifter i centrala krimi-
minalvårdsregistret ska på begä-						nalvårdsregistret ska på begäran
ran lämnas ut till Regerings-						lämnas ut till Regeringskansliet,
kansliet, en domstol, Åklagar-						en domstol, Åklagarmyndig-
myndigheten,			Ekobrottsmyn-			heten, Ekobrottsmyndigheten,
digheten, Justitiekanslern, Riks-						Justitiekanslern,	Riksdagens
dagens	ombudsmän, Polismyn-					ombudsmän, Polismyndigheten,
digheten, Säkerhetspolisen, Data-						Säkerhetspolisen	och Datain-
inspektionen eller				en myndighet		spektionen.
som får besluta om frihets-
berövande		åtgärd enligt lagen
(1957:668)		om		utlämning	för
brott,	lagen (2003:1156)				om
överlämnande från Sverige enligt
en europeisk			arresteringsorder,
utlänningslagen (2005:716)					eller
lagen (2011:1165)				om överläm-
nande från Sverige enligt en nor-
disk arresteringsorder.
Dessutom			får	Regeringskans-
liet, Polismyndigheten och Säker-
hetspolisen		ha	direktåtkomst		till
registret.	För		Regeringskansliet

får dock endast sådana uppgifter göras tillgängliga som behövs i ärenden om nåd i brottmål.

16 Senaste lydelse 2014:1162.

234

SOU 2017:74

Författningsförslag

Direktåtkomst

20§

Regeringskansliet, Polismyn-

digheten och Säkerhetspolisen får medges direktåtkomst till regist- ret. För Regeringskansliet får en- dast sådana uppgifter göras till- gängliga som behövs i ärenden om nåd.

Registrets	ändamål	och Registrets innehåll
innehåll

21 §17

Säkerhetsregistret får utöver vad som anges i 39 § omfatta häktade eller intagna om det finns särskild anledning att anta att de under den tid som häktningen eller verkställigheten av fängelse- straffet pågår tillsammans med andra kan komma att

1.utöva allvarlig brottslig verksamhet,

2.göra sig skyldiga till hets mot folkgrupp enligt 16 kap. 8 § brottsbalken eller sådant brott mot allmän verksamhet som avses i 17 kap. 1, 2 och 10 §§ samma balk,

3.allvarligt störa ordningen inom häktet eller anstalten,

4.delta i nätverk som bidrar till allvarliga ordningsstörningar eller brottslig verksamhet, eller

5.förbereda rymning eller fri- tagning.

17 Senaste lydelse 2011:148.

235

Författningsförslag

SOU 2017:74

Om regeringen med stöd av

7 kap. 11 § fängelselagen (2010:610) har beslutat om av- vikelser från bestämmelserna i 7 kap. samma lag i fråga om en intagen, ska registret omfatta en sådan intagen, om det inte är uppenbart obehövligt.

Har regeringen med stöd av

7 kap. 11 § fängelselagen (2010:610) beslutat om avvikel- ser från bestämmelserna i 7 kap. samma lag i fråga om en intagen, ska uppgifter om honom eller henne föras in i säkerhetsregistret, om det inte är uppenbart obe- hövligt.

22 §

Säkerhetsregistret får föras för att samla, bearbeta och analysera information som ger underlag för åtgärder för att upprätthålla säkerheten eller förebygga brott

och får innehålla de uppgifter som
behövs för detta ändamål.
Registret skall innehålla			Av registret ska framgå
1. skälen	för	registrering,	1. skälen för registrering och
med särskilt angivande av de			de omständigheter som föranlett
omständigheter som ger anled-			registeringen, och
ning till ett sådant antagande som
avses i 40 §, och
2. upplysning		om varifrån	2. upplysning om varifrån
uppgifter i registret kommer och,			uppgifterna kommer och, om det
om det inte är obehövligt, en			inte är obehövligt, en bedöm-
bedömning	av uppgiftslämna-		ning av uppgiftslämnarens tro-
rens trovärdighet.			värdighet.
Säkerhetsregistret får om det är
oundgängligen nödvändigt inne-
hålla känsliga uppgifter. För sök-
ning i säkerhetsregistret får käns-
liga uppgifter användas som sök-
begrepp.

236

SOU 2017:74 Författningsförslag

Direktåtkomst och utlämnande						Utlämnande av uppgifter
av uppgifter inom kriminal-
vården
					23 §18
Rikspolischefen,			säkerhetspo-
lischefen och de personer som
respektive chef utser får ha direkt-
åtkomst till uppgifter om huru-
vida en person är registrerad i
säkerhetsregistret.			Polismyndig-
heten och Säkerhetspolisen					får
lämna ut en sådan uppgift till
Åklagarmyndigheten och Eko-
brottsmyndigheten,			om uppgiften
kan antas ha särskild betydelse för
en	pågående	undersökning			i
myndighetens		brottsutredande
verksamhet eller för andra brotts-
bekämpande åtgärder.
Uppgifter i		säkerhetsregist-				Uppgifter i säkerhetsregistret
ret får, efter prövning av chefen						ska lämnas ut till Polismyn-
för Kriminalvården eller av de						digheten, Säkerhetspolisen, Eko-
personer som han eller hon utser,						brottsmyndigheten och Åklagar-
lämnas ut till Polismyndigheten						myndigheten, om uppgiften kan
eller	Säkerhetspolisen.			Utläm-		antas ha särskild betydelse för
nandet får endast avse uppgifter
som kan antas ha särskild bety-
delse för
1. en pågående undersökning i						1. en förundersökning,
Polismyndighetens			eller	Säker-

hetspolisens brottsutredande verk- samhet,

2.andra brottsbekämpande åtgärder, eller

3.att upprätthålla ordningen och säkerheten i Kriminalvårdens verksamhet.

18 Senaste lydelse 2014:1162.

237

Författningsförslag

SOU 2017:74

Uppgifter i säkerhetsregist- ret får, efter prövning av chefen för Kriminalvården eller av de personer som han eller hon utser, även lämnas ut till Regerings- kansliet om uppgiften kan antas ha betydelse i ärenden

Uppgifter i säkerhetsregist- ret ska lämnas ut till Regerings- kansliet om uppgiften kan antas ha betydelse i ärenden

1.om nåd i brottmål,

2.enligt lagen (1991:572) om särskild utlänningskontroll, eller

3.enligt 7 kap. 11 § eller 13 kap. 6 § fängelselagen (2010:610).

Uppgifter i säkerhetsregist-	Uppgifter i säkerhetsregist-
ret får, efter prövning av chefen	ret får lämnas ut till en allmän
för Kriminalvården eller av de	domstol om uppgiften kan antas
personer som han eller hon utser,	ha betydelse i ärenden enligt
även lämnas ut till allmän dom-	lagen (2006:45) om omvandling
stol om uppgiften kan antas ha	av fängelse på livstid.
betydelse i ärenden som hand-
läggs enligt lagen (2006:45) om
omvandling av fängelse på livstid.
	Direktåtkomst
	24 §
	Direktåtkomst till säkerhetsre-
	gistret ska begränsas till uppgifter
	om huruvida någon som har regi-
	strerats	med stöd av 3 kap. 2 §
	andra stycket 1–4 kriminalvår-
	dens	brottsdatalag (2001:617)
	förekommer i registret.

238

SOU 2017:74 Författningsförslag

Skyldighet att anmäla oriktig-		Skyldighet att anmäla oriktig-
het i register, m.m.		het i register
	25 §19
Den som i tjänsten tar del av		Den som i tjänsten tar del av
uppgifter ur det centrala krimi-		uppgifter i centrala kriminal-
nalvårdsregistret eller säkerhets-		vårdsregistret eller säkerhetsre-
registret	och misstänker att	gistret och misstänker att regist-
registrets	innehåll är oriktigt	rets innehåll är oriktigt ska
skall genast anmäla det till Kri-		genast anmäla det till Kriminal-
minalvården.		vården.

		Föreskrifter
	26 §20
Riksarkivet får, efter samråd		Riksarkivet får, efter att ha
med Kriminalvården,	meddela	gett Kriminalvården tillfälle att
föreskrifter om att uppgifter som		yttra sig, meddela föreskrifter
skall gallras enligt bestämmelser i		om att personuppgifter som inte
denna förordning får bevaras för		längre får behandlas enligt denna
historiska, statistiska och veten-		förordning får behandlas under
skapliga ändamål.		längre tid för arkivändamål av
		allmänt intresse och vetenskap-
		liga, statistiska eller	historiska
		ändamål.
	27 §21
Kriminalvården	meddelar	Kriminalvården får,	efter att
närmare föreskrifter om om-		ha gett berörd myndighet tillfälle
fattningen av uppgiftsskyldig-		att yttra sig, meddela föreskrifter
heten i 36 och 46 §§ samt om		om omfattningen av uppgifts-
tiden och sättet för att fullgöra		skyldigheten i 18 och 26 §§ och
den efter samråd med berörd		om tiden och sättet för att full-
myndighet.		göra den.

19Senaste lydelse 2005:1025.

20Senaste lydelse 2005:1025.

21Senaste lydelse 2014:1162.

239

Författningsförslag

SOU 2017:74

28 §22

Kriminalvården får meddela	Kriminalvården			får meddela
föreskrifter om begränsningar av	föreskrifter om begränsning				av
de uppgifter som behandlas för	de personuppgifter som behand-
ett visst ändamål.	las enligt 2 kap. 1 § kriminalvår-
	dens brottsdatalag (2001:617).
29 §23
Kriminalvården får efter sam-	Kriminalvården			får meddela
råd med Datainspektionen med-	de ytterligare		föreskrifter som
dela de ytterligare föreskrifter	behövs	för	verkställighet		av
som behövs för verkställighet av	kriminalvårdens			brottsdatalag
lagen (2001:617) om behandling	(2001:617) och denna förord-
av personuppgifter inom krimi-	ning.
nalvården och denna förordning.
	Innan	Kriminalvården med-
	delar föreskrifter			med stöd	av

denna förordning, ska myndig- heten samråda med Datainspek- tionen i frågor som berör särskil- da risker för intrång i den person- liga integriteten.

1.Denna förordning träder i kraft den 1 maj 2018.

2.Äldre bestämmelser gäller fortfarande för uppgifter i hand- lingar som omhändertagits för arkivering före ikraftträdandet av denna förordning.

22Senaste lydelse 2005:1025.

23Senaste lydelse 2005:1025.

240

SOU 2017:74

Författningsförslag

1.37Förslag till

förordning om ändring i förordningen (2005:323) om tillträdesförbud vid idrottsarrangemang

Härigenom förskrivs att 2 § förordningen (2005:323) om tillträ- desförbud vid idrottsarrangemang ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

2 §1

Om en domstol eller åklagare

Om en domstol eller en åkla-

beslutar

tillträdesförbud

gare beslutar om tillträdesför-

eller häver eller ändrar ett sådant

bud eller häver eller ändrar ett

förbud,

ska

Polismyndigheten

sådant förbud, ska Polismyndig-

underrättas om beslutet. Åkla-

heten

underrättas

beslutet.

garmyndigheten ska, i fråga om

Åklagarmyndigheten ska, i fråga

den som är föremål för regi-

om den som är föremål för regi-

strering

enligt

lagen (2015:51)

strering i tillträdesförbudsregistret,

tillträdesförbud

till Polismyndigheten även lämna

vid

idrottsarrangemang,

till

sådana

uppgifter

som

anges i

Polismyndigheten

även

lämna

5 kap.

24 § polisens

brotts-

sådana uppgifter som anges i 8 §

datalag (2010:361)och som myn-

samma lag och som myndig-

digheten har tillgång till i ett

heten har tillgång till i ett ärende

ärende som rör tillträdesförbud.

som rör tillträdesförbud.

Bestämmelser

registre-

Bestämmelser

registre-

ring av beslut om tillträdesför-

bud finns i lagen (1998:620) om

bud finns i

belastningsregister

och

förord-

1. lagen (1998:620)

om be-

ningen (1999:1134) om

belast-

lastningsregister,

ningsregister

samt

lagen

2. förordningen

(1999:1134)

(2015:51) om register över till-

om belastningsregister,

trädesförbud

vid

idrottsarrange-

3. polisens

brottsdatalag

mang och förordningen (2015:54)

(2010:361), och

1 Senaste lydelse 2015:56.

241

Författningsförslag

SOU 2017:74

om register över tillträdesför-	4. förordningen (2015:54) om
bud vid idrottsarrangemang.	register över tillträdesförbud vid
	idrottsarrangemang.

Denna förordning träder i kraft den 1 maj 2018.

242

SOU 2017:74

Författningsförslag

1.38Förslag till

förordning om ändring i förordningen (2007:1141) med instruktion för Säkerhets- och integritetsskyddsnämnden

Härigenom föreskrivs att 2 och 20 §§ förordningen (2007:1141) med instruktion för Säkerhets- och integritetsskyddsnämnden ska ha följande lydelse.

Nuvarande lydelse Föreslagen lydelse

2 §1

Myndigheten har till uppgift att i ärenden om registerkontroll enligt säkerhetsskyddslagen (1996:627) pröva frågor om utlämnan-

de av uppgifter
1. från register som omfattas	av lagen (1998:620) om belast-
ningsregister,
2. från register som omfattas	2. från register som omfattas
av lagen (1998:621) om misstan-	av lagen (1998:621) om misstan-
keregister,	keregister, och
3. från register som omfattas
av lagen (2010:362) om polisens
allmänna spaningsregister, och
4. som behandlas med stöd av	3. som Polismyndigheten eller
polisdatalagen (2010:361).	Säkerhetspolisen		behandlar med
	stöd	av	brottsdatalagen
	(2018:000), polisens brottsdatalag
	(2010:361) eller		Säkerhetspoli-
	sens datalag (2018:000).

Myndigheten ska pröva frågor om utlämnande av uppgifter även i sådana fall som avses i 10 § förordningen (1989:149) om bevak- ningsföretag m.m. och 7 § skyddsförordningen (2010:523).

1 Senaste lydelse 2010:1158.

243

Författningsförslag SOU 2017:74

20 §2

Om nämnden i sin verksamhet uppmärksammar förhållanden som kan utgöra brott, ska nämnden anmäla det till Åklagarmyn- digheten (Riksåklagarens kansli) eller annan behörig myndighet.

Om nämnden uppmärksam-			Om nämnden när den utför
mar felaktigheter som kan med-			kontroll	enligt		3 §	lagen
föra skadeståndsansvar för sta-			(2007:980) om tillsyn över viss
ten gentemot en fysisk eller en			brottsbekämpande			verksamhet
juridisk	person, ska	nämnden	uppmärksammar			felaktigheter
anmäla det till Justitiekanslern.			som kan medföra skadestånds-
			ansvar för staten gentemot en
			fysisk eller en juridisk person,
			ska nämnden anmäla det till
			Justitiekanslern.
Om nämnden finner omstän-			Om nämnden			bedömer		att
digheter	som Datainspektionen		Säkerhetspolisen		brister		i	sina
bör uppmärksammas		på, ska	skyldigheter	vid	behandling			av
nämnden anmäla det till inspek-			personuppgifter på sådant sätt att
tionen.			Datainspektionens			korrigerande
			befogenheter kan behöva använ-
			das, ska nämnden anmäla det till
			inspektionen.
Nämnden ska samråda med			Nämnden ska samråda med
den berörda myndigheten innan			den berörda myndigheten innan
en sådan anmälan som avses i			en sådan anmälan som avses i
första–tredje styckena lämnas.			första–tredje styckena ges in.
Till anmälan ska nämnden foga			När anmälan har gjorts ska
sin utredning. Efter det att an-			nämnden	lämna		myndigheten
mälan har gjorts ska nämnden			det biträde som behövs. Myn-
lämna myndigheten det biträde			digheten har rätt att ta del av
som behövs.			nämndens underlag i den ut-
			sträckning som behövs.

Denna förordning träder i kraft den 1 maj 2018.

2 Senaste lydelse 2009:1516.

244

SOU 2017:74

Författningsförslag

1.39Förslag till

förordning om ändring i offentlighets- och sekretessförordningen (2009:641)

Härigenom föreskrivs att 2 § offentlighets- och sekretessförord- ningen (2009:641) ska ha följande lydelse.

Nuvarande lydelse

2 §1

Följande myndigheter är i den utsträckning som framgår nedan undantagna från registreringsskyldigheten enligt 5 kap. 1 § offent- lighets- och sekretesslagen (2009:400).

Myndighet	Handlingar som innehåller
	sekretessreglerade uppgifter och
	som inte behöver registreras

– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –

Pensionsmyndigheten	– handlingar i	försäkrings-
	ärenden, och
	– statistiskt primärmaterial
Polismyndigheten	– anteckningar	om	det
	löpande polisarbetet,

–sådana protokoll enligt 27 och 28 §§ polislagen (1984:387) eller enligt lagen (1976:511) om omhändertagande av berusade personer m.m. som avser avvis- ningar, avlägsnanden, omhän- dertaganden, gripanden eller fängselanvändning och som inte registreras i särskilda ärenden,

–underrättelser från Krimi- nalvården om permissioner,

–handlingar som utgör

1 Senaste lydelse 2016:864.

245

Författningsförslag

SOU 2017:74


	underlag		för	belastningsregi-
	stret,	misstankeregistret,						regi-
	ster	enligt		4 kap.			polisdata-
	lagen (2010:361)				eller		för på
	motsvarande sätt				strukturerade
	uppgiftssamlingar					som		avser
	brottslig		verksamhet				och	som
	förs med stöd av polisdatalagen,
	– framställningar					om finger-
	avtrycksundersökning, och
	– statistiskt primärmaterial
Riksbanken	– statistiskt primärmaterial

– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –


Statistiska centralbyrån		– statistiskt primärmaterial
Säkerhetspolisen		– anteckningar				om	det
		löpande polisarbetet,
		– underrättelser från Krimi-
		nalvården om permissioner,
		– handlingar			som		utgör
		underlag för strukturerade upp-
		giftssamlingar som avser brotts-
		lig verksamhet och som förs
		med stöd av polisdatalagen,
Totalförsvarets	rekryterings-	– patientjournaler				som rör
myndighet		totalförsvarspliktiga
Tullverket		– handlingar som rör klarer-
		ing av varor och transportmedel,
		– handlingar			som	innehåller
		bokningsuppgifter				inhämtade
		från transportföretag, och
		– handlingar som ingår i in-
		formationssystemet				om	trans-
		porter av sprit och cigaretter
åklagarmyndigheter		– utdrag		ur	folkbokförings-
		databasen,
		– utdrag		ur	belastningsregi-
		stret,	misstankeregistret				och
		register	enligt		polisdatalagen
		(2010:361),

246

SOU 2017:74

Författningsförslag

–utdrag ur vägtrafikregistret,

och

–rekvisitioner av sådana ut-

drag

Föreslagen lydelse

2 §

Följande myndigheter är i den utsträckning som framgår nedan undantagna från registreringsskyldigheten enligt 5 kap. 1 § offent- lighets- och sekretesslagen (2009:400).

Myndighet	Handlingar som innehåller
	sekretessreglerade uppgifter och
	som inte behöver registreras

– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –

Pensionsmyndigheten	– handlingar		i	försäkrings-
	ärenden, och
	– statistiskt primärmaterial
Polismyndigheten	– anteckningar om det löpan-
	de polisarbetet,
	– sådana protokoll enligt 27
	och 28 §§ polislagen (1984:387)
	eller enligt lagen (1976:511) om
	omhändertagande			av berusade
	personer m.m. som avser av-
	visningar,	avlägsnanden,			om-
	händertaganden, gripanden eller
	fängselanvändning och som inte
	registreras i särskilda ärenden,
	– underrättelser			från Krimi-
	nalvården om permissioner,
	– handlingar			som	utgör
	underlag	för	belastningsregi-
	stret, misstankeregistret,				regi-
	ster enligt 5 kap. polisens brotts-
	datalag (2010:361) eller för på
	motsvarande sätt			strukturerade
	uppgiftssamlingar			som	avser

247

Författningsförslag SOU 2017:74

	brottslig verksamhet och som
	förs med stöd av polisens brotts-
	datalag,
	– framställningar om finger-
	avtrycksundersökning, och
	– statistiskt primärmaterial
Riksbanken	– statistiskt primärmaterial

– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –


Statistiska centralbyrån	– statistiskt primärmaterial
Säkerhetspolisen	– anteckningar om det löpan-
	de polisarbetet,
	– underrättelser från					Krimi-
	nalvården om permissioner,
	– handlingar			som		utgör
	underlag för strukturerade upp-
	giftssamlingar som avser brottslig
	verksamhet och som förs med
	stöd av	Säkerhetspolisens				datalag
	(2018:000),
Totalförsvarets rekryterings-	– patientjournaler				som		rör
myndighet	totalförsvarspliktiga
Tullverket	– handlingar som rör klarer-
	ing av varor och transportmedel,
	– handlingar			som	innehåller
	bokningsuppgifter				inhämtade
	från transportföretag, och
	– handlingar			som	ingår i
	informationssystemet om trans-
	porter av sprit och cigaretter
åklagarmyndigheter	– utdrag		ur	folkbokförings-
	databasen,
	– utdrag		ur	belastningsregi-
	stret,	misstankeregistret					och
	register	enligt		polisens		brotts-

datalag (2010:361),

– utdrag ur vägtrafikregistret, och

– rekvisitioner av sådana ut- drag

248

SOU 2017:74

Författningsförslag

Denna förordning träder i kraft den 1 maj 2018.

249

Författningsförslag

SOU 2017:74

1.40Förslag till

förordning om ändring i polisdataförordningen (2010:1155)

Härigenom föreskrivs i fråga om polisdataförordningen (2010:1155)

dels att 2–4, 6, 8, 10, 12, 17 och 18 §§ ska upphöra att gälla, dels att rubrikerna före 2, 3 och 14 § ska utgå,

dels att nuvarande 4 a § ska betecknas 2 § och att rubriken efter nuvarande 2 a § ska placeras före nya 2 §, att nuvarande 5 § ska betecknas 3 § och att rubriken före nuvarande 5 § ska placeras före nya 3 §, att nuvarande 7 § ska betecknas 4 §, att nuvarande 11 § ska betecknas 5 § och att rubriken före nuvarande 10 § ska placeras före nya 5 §, att nuvarande 13 § ska betecknas 6 §, att nuvarande 14 § ska betecknas 7 §, att nuvarande 15 § ska betecknas 8 §, att nuva- rande 16 § ska betecknas 9 §, att nuvarande 18 a § ska betecknas 10 §, att nuvarande 18 b § ska betecknas 11 §, att nuvarande 19 § ska betecknas 12 § och att rubriken före nuvarande 19 § ska pla- ceras före nya 12 §, att nuvarande 20 § ska betecknas 13 § och att rubriken före nuvarande 20 § ska placeras före nya 13 §, att nuva- rande 21 § ska betecknas 14 §, att nuvarande 22 § ska betecknas 15 §, att nuvarande 23 § ska betecknas 16 §, att nuvarande 24 § ska betecknas 17 §, att nuvarande 25 § ska betecknas 18 §, att nuvaran- de 26 § ska betecknas 19 §, att nuvarande 27 § ska betecknas 20 § och att rubriken före nuvarande 27 § ska placeras före nya 20 §, att nuvarande 28 § ska betecknas 21 § och att rubriken före nuvarande 28 § ska placeras före nya 21 § och att nuvarande 29 § ska betecknas 22 §,

dels att rubriken efter nuvarande 18 b § ska placeras efter nya 11 § och lyda Längsta tid för behandling m.m.,

dels att 1 §, nya 2–9 och 12–22 §§ och rubrikerna före nya 5, 13 och 20 §§, ska ha följande lydelse,

dels att rubriken till förordningen ska ha följande lydelse.

250

SOU 2017:74 Författningsförslag

Nuvarande lydelse					Föreslagen lydelse
Polisdataförordning					Polisens brottsdataförordning
				1 §
I	denna förordning		finns		I	denna		förordning			finns
kompletterande föreskrifter				om	kompletterande				föreskrifter till
sådan behandling av personupp-					polisens brottsdatalag (2010:361).
gifter som omfattas av polisdata-
lagen (2010:361). Begrepp och
uttryck som används i denna för-
ordning har samma innebörd och
tillämpningsområde som i lagen.
				2 §1
Endast		tjänstemän vid		den	Endast		tjänstemän			vid	den
finansunderrättelseenhet				vid	finansunderrättelseenhet						vid
Polismyndigheten som anges i					Polismyndigheten som					anges i
35 §	förordningen (2014:1102)				35 §	förordningen (2014:1102)
med instruktion för Polismyn-					med instruktion för Polismyn-
digheten får ha tillgång till upp-					digheten får ha tillgång till upp-
gifter	i	penningtvättsregister			gifter	i	penningtvättsregister
som	förs	med stöd av	4 kap.		som	förs	med		stöd av 5 kap.
18 § polisdatalagen (2010:361).					18 §	polisens			brottsdatalag
					(2010:361).
Endast		tjänstemän vid		den	Endast tjänstemän som full-
nationella funktion för interna-					gör arbetsuppgifter vid den natio-
tionella uppgifter vid Polismyn-					nella funktion för internatio-
digheten som anges i 35 § för-					nella uppgifter vid Polismyndig-
ordningen med instruktion för					heten som anges i 35 § förord-
Polismyndigheten får ha tillgång					ningen med			instruktion			för
till uppgifter i det internatio-					Polismyndigheten får ha tillgång
nella registret som förs med					till uppgifter i det internatio-
stöd	av 4 kap. 21 § polisdata-				nella registret som förs med
lagen.					stöd	av	5 kap.		21 §	polisens
					brottsdatalag.

1 Senaste lydelse 2014:1181.

251

Författningsförslag

SOU 2017:74

Vid Polismyndigheten ska det löpande föras en förteckning över de tjänstemän vid myndigheten som behandlar uppgifter enligt första och andra styckena.

						3 §2
Vid sökning enligt 3 kap. 6 §							Vid sökning enligt 3 kap. 5 §
polisdatalagen			(2010:361)			får	polisens brottsdatalag (2010:361)
uppgift som visar att den sökta							får uppgifter som visar att den
personen tidigare varit miss-							sökta personen tidigare har varit
tänkt för ett visst brott inte tas							misstänkt för ett visst brott inte
fram om en domstol, genom av-							tas fram om en domstol, genom
görande som har vunnit laga							ett avgörande som har fått laga
kraft, har ogillat åtalet, meddelat							kraft, har ogillat åtalet, meddelat
frikännande dom eller avskrivit							frikännande dom eller avskrivit
målet sedan åtalet lagts ned.							målet sedan åtalet lagts ner.
Polismyndigheten får meddela
föreskrifter		om begränsning				av
tillgången till			sådana	uppgifter
som avses		i	3 kap. 6 §		första
stycket	polisdatalagen.			Särskild
hänsyn ska då tas till den enskil-
des rätt till skydd mot intrång i
den personliga integriteten. Till-
gången	till	personuppgifter				om
tidigare misstankar om brott ska
särskilt begränsas.
						4 §3
Vid	Polismyndigheten					ska	Polismyndigheten		och	Eko-
det löpande föras en förteckning							brottsmyndigheten ska löpande
över de tjänstemän vid myndig-							föra förteckning över de tjänste-
heten som utför uppgifter enligt							män	vid respektive	myndighet
3 kap.	7 §	andra stycket			polis-		som	utför uppgifter		enligt
datalagen (2010:361).							3 kap. 6 § andra stycket polisens
							brottsdatalag (2010:361).

2Senaste lydelse 2014:1181.

3Senaste lydelse 2014:1181.

252

SOU 2017:74

Författningsförslag

Ändamål för behandling och Utlämnande av personuppgifter utlämnande av vissa uppgifter

5 §

Om en uppgift i en förunder-

sökning kan antas ha betydelse

för

konkursutredning,

får

för

konkursutredning, har

uppgiften lämnas ut till kon-

konkursförvaltaren rätt att ta del

kursförvaltaren.

av uppgiften.

6 §

Uppgifter som behandlas en-

Personuppgifter som behand-

ligt

2 kap.

7 §

polisdatalagen

las

enligt

2 kap. 1 § polisens

(2010:361) får, om det är fören-

brottsdatalag (2010:361) får, om

ligt med svenska intressen, läm-

det är förenligt med svenska

nas ut till en utländsk myndig-

intressen, lämnas ut till en ut-

het som ansvarar för bekämp-

ländsk myndighet som ansvarar

ning av penningtvätt eller finan-

för bekämpning av penningtvätt

siering

särskilt

allvarlig

eller finansiering av särskilt all-

brottslighet, om det behövs för

varlig brottslighet, om det be-

att den utländska myndigheten

hövs för att den utländska myn-

ska kunna förebygga, förhindra,

digheten ska

kunna

förebygga,

upptäcka, utreda

eller

beivra

förhindra, upptäcka, utreda eller

brott.

lagföra brott.

7 §4

Polismyndigheten

får

med-

Polismyndigheten

får ställa

dela närmare föreskrifter om vad

villkor

i fråga om

behörighet

som krävs i fråga om behörighet

och säkerhet för att myndig-

heten ska medge direktåtkomst

heten ska kunna medge direkt-

enligt 3 kap. 7 § polisens brotts-

åtkomst till uppgifter för de myn-

datalag (2010:361).

Detsamma

digheter

som

anges i

3 kap.

8 §

gäller Ekobrottsmyndigheten.

polisdatalagen (2010:361).

Direktåtkomst

till

uppgifter-

Direktåtkomst får inte med-

na får inte medges innan Polis-

ges

innan

Polismyndigheten

myndigheten

har

försäkrat

sig

respektive

Ekobrottsmyndigheten

4 Senaste lydelse 2014:1181.

253

Säkerhetspolisens, Ekobrotts- myndighetens, Tullverkets, Kust- bevakningens och Skatteverkets direktåtkomst enligt 5 kap. 17 § polisens brottsdatalag (2010:361) till fingeravtrycks- och signale- mentsregister ska begränsas till uppgifter om huruvida någon förekommer i fingeravtrycks- register.

Författningsförslag

SOU 2017:74

om att den mottagande myndig- heten uppfyller kraven på behö- righet och säkerhet.

har försäkrat sig om att den mottagande myndigheten upp- fyller kraven på behörighet och säkerhet.

			8 §5
Säkerhetspolisens, Ekobrotts-				Säkerhetspolisens, Ekobrotts-
myndighetens,		Åklagarmyndig-		myndighetens,	Åklagarmyndig-
hetens, Tullverkets och Kust-				hetens, Tullverkets och Kust-
bevakningens		direktåtkomst		bevakningens direktåtkomst en-
enligt 4 kap. 10 § polisdatalagen				ligt 5 kap. 10 §	polisens	brotts-
(2010:361)	till register		över	datalag (2010:361) till		register
DNA-profiler ska begränsas till				över dna-profiler ska begränsas
uppgifter	om	huruvida	någon	till uppgifter om huruvida någon
förekommer i sådana register.				förekommer i sådana register.

9 §6

Säkerhetspolisens, Ekobrotts- myndighetens, Tullverkets, Kust- bevakningens och Skatteverkets direktåtkomst enligt 4 kap. 17 § polisdatalagen (2010:361) till personuppgifter om fingerav- tryck ska begränsas till uppgifter om huruvida någon förekommer i fingeravtrycksregister.

		12 §7
När	Polismyndigheten	eller		När uppgifter och handlingar
Säkerhetspolisen arkiverar		upp-	arkiveras digitalt ska uppgifterna
gifter och handlingar digitalt ska			och handlingarna avskiljas så att
de arkiverade uppgifterna		och	de inte kan behandlas för något
handlingarna avskiljas från myn-			av de syften som anges i 2 kap.
dighetens	brottsbekämpande		1 §	polisens	brottsdatalag

5Senaste lydelse 2014:1181.

6Senaste lydelse 2014:1181.

7Senaste lydelse 2014:1181.

254

SOU 2017:74

Författningsförslag

verksamhet. Åtkomsten till arki- verade uppgifter och handlingar ska begränsas till särskilt an- givna tjänstemän.

Polismyndigheten respektive

Säkerhetspolisen får, efter samråd med Riksarkivet, meddela när- mare föreskrifter om digital arkivering.

(2010:361). Åtkomsten till arki- verade uppgifter och handlingar ska begränsas till särskilt an- givna tjänstemän.

Polismyndigheten får, efter att ha gett Riksarkivet tillfälle att yttra sig, meddela närmare före- skrifter om digital arkivering.

Bevarande av uppgifter

Fortsatt

behandling

vissa

personuppgifter

13 §

21–26 §§

föreskrivs

att

I 14–19 §§ föreskrivs att vissa

vissa kategorier av uppgifter i

kategorier av

personuppgifter

brottsanmälningar och avslutade

förundersökningar får behandlas

polisens

brottsbekämpande

för ändamål som omfattas av

verksamhet efter utgången av den

tillämpningsområdet

för polisens

tid

som anges i

3 kap. 10

och

brottsdatalag (2010:361), trots att

11 §§

polisdatalagen (2010:361).

den tid som anges i 4 kap. 3 och

Detsamma

gäller uppgifter

4 §§ samma lag har löpt ut. Det-

andra utredningar som hand-

samma

gäller

personuppgifter

läggs

enligt

bestämmelser

andra utredningar som hand-

23 kap. rättegångsbalken.

läggs

enligt

bestämmelser

23 kap. rättegångsbalken.

När uppgifter

får

behandlas

När personuppgifter får be-

enligt 21–26 §§ får, utöver vad

handlas

enligt

14–19 §§

får,

som sägs i de bestämmelserna,

utöver vad som sägs i de be-

följande uppgifter behandlas:

stämmelserna,

följande uppgif-

ter behandlas:

1. ärendenummer

eller

lik-

1. ärendenummer

eller

lik-

nande referensuppgift,

nande referensuppgifter,

2. brottskod, och

2. brottskoder, och

3. uppgifter om omständigheterna kring brottet.

255

Uppgifter om en person som har varit misstänkt i en förun- dersökning som har lagts ner eller har avslutats på annat sätt än genom åtal, får i ett enskilt fall behandlas om det är nödvän- digt för att kunna lagföra per- sonen trots att den tid som anges i 4 kap. 4 § andra stycket polisens brottsdatalag (2010:361) har löpt ut.

Behandlingen ska dock upp- höra senast då åtal inte längre får väckas för brottet eller, i fall som avses i 35 kap. 2 § första stycket brottsbalken, senast sjuttio år från den dag då brottet begicks.

Uppgifter om den dömde i en förundersökning som har lett till fällande dom får behandlas trots att den tid som anges i 4 kap. 4 § första stycket polisens brotts- datalag (2010:361) har löpt ut, om behandlingen av särskilda skäl är nödvändig för att finna samband mellan olika brott eller mellan tänkbara gärningsmän.

Behandlingen ska dock upp- höra senast i samband med att uppgifterna om den dömde tas bort ur belastningsregistret en- ligt lagen (1998:620) om belast- ningsregister.

Författningsförslag

SOU 2017:74

14 §

Uppgifter om den dömde i en förundersökning som lett till fällande dom får behandlas efter utgången av den tid som anges i 3 kap. 11 § första stycket polis- datalagen (2010:361), om be- handlingen av särskilda skäl är nödvändig för att finna samband mellan olika brott eller mellan tänkbara gärningsmän.

Uppgifterna ska dock gallras senast i samband med att upp- gifterna om den dömde gallras ur belastningsregistret enligt lagen (1998:620) om belast- ningsregister.

15 §

Uppgifter om en person som har varit misstänkt i en förun- dersökning som har lagts ned eller har avslutats på annat sätt än genom åtal, får i ett enskilt fall behandlas efter utgången av den tid som anges i 3 kap. 11 § andra stycket polisdatalagen (2010:361), om behandlingen är nödvändig för att trots detta kunna lagföra personen.

Uppgifterna ska dock gallras senast då åtal inte längre får väckas för brottet eller, i fall som avses i 35 kap. 2 § första stycket brottsbalken, senast sjuttio år från den dag då brottet begicks.

256

SOU 2017:74 Författningsförslag

			16 §8
Uppgifter om personer som				Uppgifter om personer som
har dömts för, eller har varit				har dömts för, eller har varit
misstänkta för, brott där det				misstänkta för, brott där det
finns en betydande risk för				finns en betydande risk för
återfall i samma eller likartad				återfall i samma eller likartad
brottslighet,	får	behandlas efter		brottslighet, får		behandlas		trots
utgången av den tid som anges i				att den tid som anges i 4 kap. 3
3 kap. 10 och 11 §§ polisdatala-				och 4 §§	polisens		brottsdatalag
gen (2010:361),		om	behand-	(2010:361) har löpt ut, om be-
lingen av särskilda skäl är nöd-				handlingen av särskilda skäl är
vändig för att förebygga, för-				nödvändig	för	att	förebygga,
hindra eller upptäcka brott för				förhindra	eller	upptäcka		brott
vilket fängelse i fyra år eller där-				för vilket det är föreskrivet
över är föreskrivet.				fängelse i fyra år eller däröver.
Uppgifterna ska dock gallras, i				Behandlingen ska dock upp-
fråga om brott som har lett till				höra, i fråga om brott som har
fällande dom, senast i samband				lett till fällande dom, senast i
med att uppgifterna gallras ur				samband med att uppgifterna tas
belastningsregistret enligt lagen				bort ur belastningsregistret en-
(1998:620)	om	belastningsre-		ligt lagen (1998:620) om belast-
gister och i övriga fall senast				ningsregister och i övriga fall
femton år efter det att förunder-				senast femton år efter det att
sökningen lades ner eller avslu-				förundersökningen			lades	ner
tades på annat sätt.				eller avslutades på annat sätt.
Polismyndigheten får i samråd
med Säkerhetspolisen			meddela
närmare föreskrifter om vid vilka
typer av brott det får anses finnas
en sådan risk för återfall som
anges i första stycket.
			17 §
Om uppgifter om egendom				Om uppgifter om egendom
som har varit föremål för brott				som har varit föremål för brott
finns i en förundersökning eller				finns i en förundersökning eller
i en brottsanmälan, får			uppgif-	i en brottsanmälan, får uppgif-

8 Senaste lydelse 2014:1181.

257

Uppgifter om att en person varit eftersökt som försvunnen får inte behandlas för ändamålet att återfinna personen längre än tre månader efter det att personen har anträffats.

Författningsförslag

SOU 2017:74

terna behandlas efter utgången av den tid som anges i 3 kap. 10 och 11 §§ polisdatalagen (2010:361), om behandlingen av särskilda skäl är nödvändig för att kunna återställa egendomen till rätt ägare eller för att kunna spåra föremålets användning vid annat brott eller brottslig verksamhet.

Personuppgifter knutna till sådan egendom ska dock gallras när behandlingen inte längre är nödvändig för något av de ändamål som anges i första stycket.

terna behandlas trots att den tid som anges i 4 kap. 3 och 4 §§ polisens brottsdatalag (2010:361) har löpt ut, om behandlingen av särskilda skäl är nödvändig för att kunna återställa egendomen till rätt ägare eller för att kunna spåra föremålets användning vid annat brott eller brottslig verk- samhet.

Behandlingen av personupp- gifter som avser sådan egendom ska dock upphöra när den inte längre är nödvändig för något av de ändamål som anges i första stycket.

18 §

Uppgifter om en person som

är eftersökt såsom försvunnen får behandlas så länge uppgiften behövs för ändamålet med be- handlingen.

Uppgifterna ska dock gallras senast tre månader efter det att personen har anträffats.

			19 §
Skildringar av barn i det				Skildringar av barn i det
digitala referensbiblioteket över				digitala referensbiblioteket över
barnpornografiska			framställ-	barnpornografiska	framställ-
ningar får behandlas efter ut-				ningar får behandlas efter ut-
gången av den tid som anges i				gången av den tid som anges i
3 kap. 10	och	11 §§	polisdata-	4 kap. 3 och 4 §§ polisens brotts-
lagen (2010:361), om			behand-	datalag (2010:361), om behand-
lingen är nödvändig för att före-				lingen är nödvändig för att före-
bygga, förhindra eller upptäcka				bygga, förhindra eller upptäcka
följande	brott	mot barn: brott		följande brott mot	barn: brott

258

SOU 2017:74 Författningsförslag

mot	4 kap.	1 a §,		6 kap.		eller	mot 4 kap.	1 a §, 6 kap.	eller
16 kap. 10 a § brottsbalken.							16 kap. 10 a § brottsbalken.
Uppgifterna			ska dock gallras				Behandlingen ska dock upp-
senast fyrtio år efter det att de							höra senast fyrtio år efter det att
infördes i referensbiblioteket.							skildringarna infördes i refe-
							rensbiblioteket.
Undantag från gallring							Behandling för arkivändamål av
							allmänt intresse m.m.
						20 §9
Riksarkivet			får,	efter	samråd		Riksarkivet får, efter att ha
med Polismyndigheten respektive							gett berörd myndighet tillfälle att
Säkerhetspolisen, meddela före-							yttra sig, meddela föreskrifter
skrifter om att uppgifter som ska							om att personuppgifter som avses
gallras enligt		2 kap.		13 §,		3 kap.	i 4 kap. 2 och 7–10 §§ och 5 kap.
14 §, 4 kap. 14, 15, 20 och 22 §§							15, 16, 20 och 22 §§ polisens
eller 6 kap. 7 och 12 §§ polisda-							brottsdatalag (2010:361) får		be-
talagen (2010:361)				får	bevaras		handlas under längre tid för
för	historiska,		statistiska			eller	arkivändamål av allmänt intresse
vetenskapliga ändamål.							och vetenskapliga, statistiska eller
							historiska ändamål.
						21 §10
Polismyndigheten och Säker-							Polismyndigheten får,		efter
hetspolisen får för sina respektive							att ha gett berörd myndighet till-
verksamhetsområden meddela de							fälle att yttra sig, meddela de
ytterligare föreskrifter som be-							ytterligare föreskrifter som be-
hövs för verkställighet av polis-							hövs för verkställighet av poli-
datalagen (2010:361) och denna							sens brottsdatalag (2010:361) och
förordning.							denna förordning.
						22 §11
Innan Polismyndigheten eller							Innan	Polismyndigheten
Säkerhetspolisen meddelar						före-	meddelar föreskrifter med stöd
skrifter med stöd av denna för-							av denna förordning, ska myn-

9Senaste lydelse 2015:450.

10Senaste lydelse 2014:1181.

11Senaste lydelse 2014:1181.

259

Författningsförslag

SOU 2017:74

ordning i frågor som berör sär- skilda risker för intrång i den personliga integriteten ska myn- digheten samråda med Datain- spektionen och Säkerhets- och integritetsskyddsnämnden.

digheten samråda med Data- inspektionen i frågor som berör särskilda risker för intrång i den personliga integriteten.

Denna förordning träder i kraft den 1 maj 2018.

260

SOU 2017:74

Författningsförslag

1.41Förslag till

förordning om ändring i kustbevakningsdataförordningen (2012:146)

Härigenom föreskrivs i fråga om kustbevakningsdataförord- ningen (2012:146)

dels att 2–5, 7–9, 11, 19 och 20 §§ ska upphöra att gälla,

dels att rubriken efter 2 § och rubrikerna före 3 och 19 §§ ska utgå,

dels att nuvarande 6 § ska betecknas 2 § och att rubriken före nuvarande 5 § ska placeras före nya 2 §, att nuvarande 10 § ska betecknas 4 § och att rubriken före nuvarande 8 § ska placeras före nya 4 §, att rubriken efter nuvarande 11 § ska placeras efter nya 4 §, att nuvarande 12 § ska betecknas 5 § och att rubriken före nuvarande 12 § ska placeras före nya 5 §, att nuvarande 13 § ska betecknas 11 §, att nuvarande 14 § ska betecknas 6 § och att rubriken före nuvarande 14 § ska placeras före nya 6 §, att nuvarande 15 § ska betecknas 7 §, att nuvarande 16 § ska betecknas 8 §, att nuvarande 17 § ska betecknas 9 § och att nuvarande 18 § ska betecknas 10 §,

dels att 1 §, nya 2–11 §§ och rubrikerna före 1 § och nya 4–6 §§ och efter nya 4 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 3 §, och en ny rubrik före nya 11 § av följande lydelse,

dels att rubriken till förordningen ska ha följande lydelse.

Nuvarande lydelse Föreslagen lydelse

Kustbevakningsdataförordning Kustbevakningens brottsdata- förordning

Inledande bestämmelser

Allmän bestämmelse

1 §

I denna förordning finns I denna förordning finns kompletterande föreskrifter om kompletterande föreskrifter till sådan behandling av personupp- Kustbevakningens brottsdatalag

261

Författningsförslag

SOU 2017:74

gifter som omfattas av kustbevak-							(2012:145).
ningsdatalagen (2012:145). De ut-
tryck som används i denna för-
ordning har samma innebörd och
tillämpningsområde som i lagen.
						2 §
Vid sökning enligt 4 kap. 5 §							Vid sökning enligt 3 kap. 4 §
kustbevakningsdatalagen							Kustbevakningens brottsdatalag
(2012:145)		får		uppgifter		som	(2012:145) får uppgift som visar
visar att den sökta personen							att den sökta personen tidigare
tidigare har varit misstänkt för							har varit misstänkt för ett visst
ett visst brott inte tas fram om							brott inte tas fram om en dom-
en domstol, genom ett avgö-							stol, genom avgörande som har
rande som har vunnit laga kraft,							fått laga kraft, har ogillat åtalet,
har ogillat åtalet, meddelat fri-							meddelat frikännande dom eller
kännande dom eller skrivit av							skrivit av målet sedan åtalet
målet sedan åtalet lagts ned.							lagts ner.
Kustbevakningen får meddela
föreskrifter		om		begränsning av
tillgången		till	sådana uppgifter
som	avses	i	4 kap.		5 §	första
stycket kustbevakningsdatalagen.
Särskild hänsyn ska då tas till den
enskildes rätt till skydd mot in-
trång i den personliga integrite-
ten.	Tillgången			till	personupp-
gifter om tidigare misstankar om
brott ska särskilt begränsas.

3 §

Kustbevakningen ska löpande föra förteckning över de tjänste- män som utför uppgifter enligt 3 kap. 5 § andra stycket kustbevak- ningens brottsdatalag (2012:145).

262

SOU 2017:74 Författningsförslag

Elektroniskt		utlämnande			av	Direktåtkomst
personuppgifter
					4 §
Kustbevakningen får meddela						Kustbevakningen			får	ställa
närmare föreskrifter om vad som						villkor	i fråga	om	behörighet
krävs i fråga om behörighet och						och säkerhet för att myndig-
säkerhet	för att		myndigheten			heten ska medge direktåtkomst
ska kunna medge direktåtkomst						enligt	3 kap.	6 §	Kustbevak-
till personuppgifter för de myn-						ningens brottsdatalag (2012:145).
digheter som anges i 9 § denna
förordning och i 4 kap. 7 § kust-
bevakningsdatalagen (2012:145).
Direktåtkomst			till	uppgif-		Direktåtkomst får inte med-
terna får inte medges innan						ges innan Kustbevakningen har
Kustbevakningen			har	försäkrat		försäkrat sig om att den mot-
sig om att den mottagande myn-						tagande	myndigheten uppfyller
digheten uppfyller kraven på be-						kraven på behörighet och säker-
hörighet och säkerhet.						het.
Bevarande och gallring						Längsta tid för behandling m.m.
Allmänna		bestämmelser			om	Digital arkivering
arkivering och gallring
					5 §
När	Kustbevakningen				arki-	När uppgifter och handlingar
verar uppgifter och handlingar						arkiveras digitalt ska uppgifterna
digitalt ska de arkiverade upp-						och handlingarna avskiljas så att
gifterna och handlingarna av-						de inte kan behandlas för något
skiljas från myndighetens brotts-						av de syften som anges i				2 kap.
bekämpande verksamhet. Åt-						1 § Kustbevakningens brottsdata-
komsten till arkiverade uppgif-						lag (2012:145).		Åtkomsten till
ter och handlingar ska begränsas						arkiverade uppgifter och hand-
till särskilt angivna tjänstemän.						lingar ska begränsas till särskilt
						angivna tjänstemän.

263

Författningsförslag

SOU 2017:74

Bevarande		av	personuppgifter			Fortsatt behandling		av	vissa
som behandlas i den brottsbe-						personuppgifter
kämpande verksamheten
					6 §
I	15–18 §§		föreskrivs		att	I 7–10 §§ föreskrivs att vissa
vissa kategorier av uppgifter i						kategorier av	personuppgifter i
brottsanmälningar och avslutade						brottsanmälningar och avslutade
förundersökningar får behandlas						förundersökningar får behandlas
i Kustbevakningens brottsbekäm-						för ändamål som omfattas av
pande verksamhet efter utgången						tillämpningsområdet		för Kustbe-
av den tid som anges i 4 kap. 9						vakningens	brottsdatalag
och	10 §§	kustbevakningsdata-				(2012:145), trots att den tid som
lagen	(2012:145).			Detsamma		anges i 4 kap. 3 och 4 §§ samma
gäller uppgifter i andra utred-						lag har löpt ut. Detsamma gäller
ningar som handläggs enligt be-						personuppgifter i andra utred-
stämmelser i 23 kap. rättegångs-						ningar som handläggs enligt be-
balken.						stämmelser i 23 kap. rättegångs-
						balken.
Vid behandlingen av uppgifter						När personuppgifter får be-
enligt 15–18 §§ får, utöver vad						handlas enligt 7–10 §§ får, ut-
som sägs där, även följande						över vad som sägs i de bestäm-
uppgifter behandlas:						melserna, följande uppgifter be-
						handlas:
1. ärendenummer				och	lik-	1. ärendenummer		eller	lik-
nande referensuppgifter,						nande referensuppgifter,

2.brottskoder, och

3.uppgifter om omständigheterna kring brottet.

	7 §
Uppgifter om en dömd per-		Uppgifter om den dömde i en
son i en förundersökning som		förundersökning	som har lett
har lett till en fällande dom får		till fällande dom får behandlas
behandlas efter utgången av den		trots att den tid	som anges i
tid som anges	i 4 kap. 10 §	4 kap. 4 § första	stycket Kust-
första stycket	kustbevaknings-	bevakningens	brottsdatalag
datalagen (2012:145), om be-		(2012:145) har löpt ut, om be-
handlingen av särskilda skäl är		handlingen av särskilda skäl är
nödvändig för att finna samband		nödvändig för att finna samband

264

SOU 2017:74

Författningsförslag

mellan olika brott eller mellan tänkbara gärningsmän.

Uppgifterna ska dock gallras senast när uppgifterna om den dömde gallras ur belastningsre- gistret enligt lagen (1998:620) om belastningsregister.

mellan olika brott eller mellan tänkbara gärningsmän.

Behandlingen ska dock upp- höra senast i samband med att uppgifterna om den dömde tas bort ur belastningsregistret en- ligt lagen (1998:620) om belast- ningsregister.

8 §
Uppgifter om en person som	Uppgifter om en person som
har varit misstänkt i en förun-	har varit misstänkt i en förun-
dersökning som lagts ned eller	dersökning som har lagts ner
avslutats på annat sätt än genom	eller har avslutats på annat sätt
åtal får i ett enskilt fall behand-	än genom åtal, får i ett enskilt
las efter utgången av den tid som	fall behandlas om det är nöd-
anges i 4 kap. 10 § andra stycket	vändigt för att kunna lagföra per-
kustbevakningsdatalagen	sonen trots att den tid som anges
(2012:145), om behandlingen är	i 4 kap. 4 § andra stycket Kust-
nödvändig för att kunna lagföra	bevakningens	brottsdatalag
personen.	(2012:145) har löpt ut.
Uppgifterna ska dock gallras	Behandlingen ska dock upp-
senast då åtal inte längre får	höra senast då åtal inte längre får
väckas för brottet eller senast	väckas för brottet.
sjuttio år från den dag då brottet
begicks i fall som avses i 35 kap.
2 § första stycket brottsbalken.
9 §
Om uppgifter om egendom	Om uppgifter om egendom
som har varit föremål för brott	som har varit föremål för brott
finns i en förundersökning eller	finns i en förundersökning eller
i en brottsanmälan, får uppgif-	i en brottsanmälan, får uppgif-
terna behandlas efter utgången av	terna behandlas trots att den tid
den tid som anges i 4 kap. 9 och	som anges i 4 kap.	3 och 4 §§
10 §§ kustbevakningsdatalagen	Kustbevakningens	brottsdatalag
(2012:145). Detta gäller dock	(2012:145) har löpt ut, om be-
under förutsättning att behand-	handlingen av särskilda skäl är
lingen av särskilda skäl är nöd-	nödvändig för att	kunna åter-

265

Riksarkivet får, efter att ha gett Kustbevakningen tillfälle att yttra sig, meddela föreskrifter om att personuppgifter som avses i 4 kap. 2 § första stycket och 7– 9 §§ Kustbevakningens brotts- datalag (2012:145) får behandlas under längre tid för arkivända- mål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål.

Författningsförslag

SOU 2017:74

vändig för att kunna återställa egendomen till rätt ägare eller spåra föremålets användning vid annat brott eller brottslig verk- samhet.

Personuppgifter som gäller sådan egendom ska dock gallras när behandlingen inte längre är nödvändig för något av de ända- mål som anges i första stycket.

ställa egendomen till rätt ägare eller för att kunna spåra föremå- lets användning vid annat brott eller brottslig verksamhet.

Behandlingen av personupp- gifter som gäller sådan egendom ska dock upphöra när den inte längre är nödvändig för något av de ändamål som anges i första stycket.

10 §

Uppgifter om en person som	Uppgifter om att en person
är eftersökt som försvunnen får	varit eftersökt som försvunnen
behandlas så länge uppgiften be-	får inte behandlas längre än tre
hövs för ändamålet med behand-	månader efter det att personen
lingen.	har anträffats.
Uppgifterna ska dock gallras
senast tre månader efter det att
personen har anträffats.
	Behandling för arkivändamål av
	allmänt intresse m.m.

11 §

Riksarkivet får, efter samråd med Kustbevakningen, meddela föreskrifter om att uppgifter som ska gallras enligt 3 kap. 5 §, 4 kap. 13 § eller 5 kap. 7 § kust- bevakningsdatalagen (2012:145) får bevaras för historiska, statis- tiska eller vetenskapliga ändamål.

Denna förordning träder i kraft den 1 maj 2018.

266

SOU 2017:74

Författningsförslag

1.42Förslag till

förordning om ändring i förordningen (2014:405) om Polismyndighetens elimineringsdatabas

Härigenom föreskrivs i fråga om förordningen (2014:405) om Polismyndighetens elimineringsdatabas

dels att i 2–7 §§ ”DNA” ska bytas ut mot ”dna”, dels att 5 § ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
5 §1
Sökning i elimineringsdata-	Sökning i elimineringsdata-
basen får endast göras av särskilt	basen får endast göras av särskilt
angivna tjänstemän vid Natio-	angivna tjänstemän vid Natio-
nellt forensiskt centrum som är	nellt forensiskt centrum som är
behöriga att göra sökningar i de	behöriga att göra sökningar i de
register över DNA-profiler som	register över dna-profiler som
regleras i 4 kap. polisdatalagen	regleras i 5 kap. polisens brotts-
(2010:361).	datalag (2010:361).

Denna förordning träder i kraft den 1 maj 2018.

1 Senaste lydelse 2014:1189.

267

Författningsförslag

SOU 2017:74

1.43Förslag till

förordning om ändring i förordningen (2014:1103) med instruktion för Säkerhetspolisen

Härigenom föreskrivs att 10 § förordningen (2014:1103) med instruktion för Säkerhetspolisen ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

10 §

I 6 § polislagen (1984:387) finns grundläggande bestämmelser om Säkerhetspolisens samarbete med andra myndigheter och organ.

Säkerhetspolisen ska lämna lämna tekniskt biträde till Eko- brottsmyndigheten, Åklagarmyn- digheten och Tullverket i den ut- sträckning som myndigheterna kommer överens om.

Denna förordning träder i kraft den 1 maj 2018.

268

Polismyndigheten får med- dela de ytterligare föreskrifter som behövs för verkställighet av lagen (2015:51) om idrottsorga- nisationers behandling av upp- gifter om tillträdesförbud och denna förordning.

SOU 2017:74

Författningsförslag

1.44Förslag till

förordning om ändring i förordningen (2015:54) om register över tillträdesförbud vid idrottsarrangemang

Härigenom förskrivs i fråga om förordningen (2015:54) om register över tillträdesförbud vid idrottsarrangemang

dels att 2–4 §§ ska upphävas,

dels att rubriken före 2 § ska utgå, dels att 5–9 §§ ska betecknas 2–6 §§,

dels att rubriken före 3 § ska placeras före nya 2 §, rubriken före 7 § ska placeras före nya 4 § och rubriken före 8 § ska placeras före nya 5 §,

dels att nya 4 och 5 §§ ska ha följande lydelse.

Nuvarande lydelse					Föreslagen lydelse
				4 §
Bestämmelser om skyldighet					Bestämmelser om skyldighet
att lämna sådana uppgifter som					att lämna sådana uppgifter som
anges i	8 § lagen (2015:51)			om	anges i 5 kap.	24 §	polisens
register	över	tillträdesförbud		vid	brottsdatalag (2010:361)		finns i
idrottsarrangemang			finns i	2 §	2 § förordningen (2005:323) om
förordningen		(2005:323)		om	tillträdesförbud	vid	idrotts-
tillträdesförbud			vid idrotts-		arrangemang.
arrangemang.

5 §

Polismyndigheten får med- dela de ytterligare föreskrifter som behövs för verkställighet av lagen (2015:51) om register över tillträdesförbud vid idrotts- arrangemang och denna förord- ning.

Denna förordning träder i kraft den 1 maj 2018.

269

Författningsförslag

SOU 2017:74

1.45Förslag till

förordning om ändring i förordningen (2015:476) om behandling av personuppgifter i Nationellt forensiskt centrums uppdragsverksamhet

Härigenom föreskrivs att 1 § förordningen (2015:476) om be- handling av personuppgifter i Nationellt forensiskt centrums upp- dragsverksamhet ska ha följande lydelse.

Nuvarande lydelse		Föreslagen lydelse
	1 §
Denna förordning gäller vid		Denna förordning gäller vid
helt eller	delvis automatiserad	helt eller	delvis automatiserad
behandling	av personuppgifter	behandling	av personuppgifter
vid undersökningar som Natio-		vid undersökningar som Natio-
nellt forensiskt centrum i Polis-		nellt forensiskt centrum i Polis-
myndigheten utför på uppdrag		myndigheten utför på uppdrag
av andra än de myndigheter eller		av andra än de myndigheter eller
organ som anges i 5 kap. 1 §		organ som anges i 6 kap. 1 §
polisdatalagen (2010:361).		polisens brottsdatalag (2010:361).

Denna förordning träder i kraft den 1 maj 2018.

270

SOU 2017:74

Författningsförslag

1.46Förslag till

förordning om ändring i åklagardataförordningen (2015:575)

Härigenom föreskrivs i fråga om åklagardataförordningen (2015:575)

dels att 2, 3, 7 och 8 §§ ska upphöra att gälla, dels att rubrikerna före 2 och 6 §§ ska utgå,

dels att nuvarande 4 § ska betecknas 2 § och att rubriken före nuvarande 4 § ska placeras före nya 2 §, att nuvarande 5 § ska betecknas 3 §, att nuvarande 6 § ska betecknas 4 §, att rubriken efter nuvarande 8 § ska placeras efter nya 4 §, att nuvarande 9 § ska betecknas 5 § och att rubriken före nuvarande 9 § ska placeras före nya 5 §, att nuvarande 10 § ska betecknas 6 § och att rubriken före nuvarande 10 § ska placeras före nya 6 §, att nuvarande 11 § ska betecknas 7 § och att rubriken före nuvarande 11 § ska placeras före nya 7 § och att nuvarande 12 § ska betecknas 8 §,

dels att 1 § och nya 2–8 §§ och rubriken före nya 6 § ska ha föl- jande lydelse,

dels att rubriken efter nya 4 § ska lyda Längsta tid för behand- ling m.m.,

dels att det ska införas en ny rubrik före 1 § av följande lydelse, dels att rubriken till förordningen ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Åklagardataförordning	Åklagarväsendets brottsdataför-
	ordning
	Allmän bestämmelse
1 §
I denna förordning finns	I denna förordning finns
kompletterande föreskrifter om	kompletterande	föreskrifter till
sådan behandling av personupp-	åklagarväsendets	brottsdatalag
gifter som omfattas av åklagar-	(2015:433).
datalagen (2015:433). Begrepp och

271

Åklagarmyndigheten och

Ekobrottsmyndigheten får, om det är förenligt med svenska intressen, lämna personuppgif- ter som behandlas enligt 2 kap.

1 § åklagarväsendets brottsdata- lag (2015:433) till en utländsk myndighet, ett EU-organ eller en mellanfolklig organisation, om det behövs för att den ut- ländska myndigheten eller orga- nisationen ska kunna förebygga, förhindra, upptäcka, utreda eller lagföra brott.

Författningsförslag

SOU 2017:74

uttryck som används i denna för- ordning har samma innebörd och tillämpningsområde som i lagen.

	2 §
Åklagarmyndigheten	och	Åklagarmyndigheten	och
Ekobrottsmyndigheten får lämna		Ekobrottsmyndigheten får lämna
uppgifter om juridiska personer		uppgifter om juridiska personer
till Skatteverket om uppgifterna		till Skatteverket om myndigheten
behövs där för brottsbekämpande		behöver uppgifterna i syfte att
verksamhet.		bekämpa brott.

3 §

Åklagarmyndigheten och

Ekobrottsmyndigheten får, om det är förenligt med svenska intressen, lämna personuppgif- ter som behandlas enligt 2 kap.

5 § åklagardatalagen (2015:433) till en utländsk myndighet, ett EU-organ eller en mellanfolklig organisation, om det behövs för att mottagaren av uppgifterna ska kunna förebygga, förhindra, upptäcka, utreda eller beivra brott.

			4 §
Åklagarmyndigheten			får,	Åklagarmyndigheten respek-
efter att ha gett Ekobrottsmyn-				tive Ekobrottsmyndigheten får
digheten tillfälle att yttra sig,				ställa villkor i fråga om behörig-
meddela närmare föreskrifter om				het och säkerhet för att myndig-
omfattningen	av	direktåtkomst		heten ska medge direktåtkomst
och om vad som krävs i fråga om				enligt 3 kap. 5 § åklagarväsendets
behörighet och säkerhet för att				brottsdatalag (2015:433).
direktåtkomst	till	uppgifter	ska
kunna medges	de	myndigheter
som anges i 3 kap.		8 § åklagar-

272

273

SOU 2017:74

Författningsförslag

datalagen (2015:433). Direktåtkomst till uppgif-

terna får inte medges innan den myndighet som beslutar om direktåtkomst har försäkrat sig om att den mottagande myn- digheten uppfyller uppställda krav på behörighet och säkerhet.

Direktåtkomst får inte med- ges innan den myndighet som beslutar om direktåtkomst har försäkrat sig om att den motta- gande myndigheten uppfyller kraven på behörighet och säker- het.

						5 §
När Åklagarmyndigheten eller								När uppgifter och handlingar
Ekobrottsmyndigheten					arkiverar		arkiveras digitalt ska uppgifterna
uppgifter		och handlingar digitalt					och handlingarna avskiljas så att
ska	de	arkiverade uppgifterna					de inte kan behandlas för något
och	handlingarna avskiljas					från	av	de syften som anges i 2 kap.
myndighetens operativa verksam-							1 §	åklagarväsendets brottsdata-
het. Åtkomsten till arkiverade							lag (2015:433). Åtkomsten till
uppgifter			och	handlingar		ska	arkiverade uppgifter och hand-
begränsas			till	särskilt	angivna		lingar ska begränsas till särskilt
tjänstemän.							angivna tjänstemän.

Åklagarmyndigheten får, efter att ha gett Ekobrottsmyndig- heten och Riksarkivet tillfälle att yttra sig, meddela närmare före- skrifter om digital arkivering.

Undantag från gallring			Behandling för arkivändamål av
			allmänt intresse m.m.
		6 §
Riksarkivet får, efter att ha			Riksarkivet får, efter att ha
gett Åklagarmyndigheten		och	gett	Åklagarmyndigheten och
Ekobrottsmyndigheten tillfälle			Ekobrottsmyndigheten tillfälle
att yttra sig, meddela föreskrif-			att yttra sig, meddela föreskrif-
ter om att uppgifter som ska			ter om att personuppgifter som
gallras enligt	2 kap. 10 §	tredje	avses	i 4 kap. 4 § åklagarväsen-
stycket	åklagardatalagen		dets brottsdatalag (2015:433) får
(2015:433) får bevaras för histo-			behandlas under längre tid för
riska, statistiska eller vetenskap-			arkivändamål av allmänt intresse
liga ändamål.			och	vetenskapliga, statistiska
			eller historiska ändamål.

Åklagarmyndigheten får, efter att ha gett Ekobrottsmyndig- heten tillfälle att yttra sig, med- dela de ytterligare föreskrifter som behövs för verkställighet av

åklagarväsendets brottsdatalag

(2015:433) och denna förord- ning.

Författningsförslag

SOU 2017:74

7 §

Åklagarmyndigheten får, efter att ha gett Ekobrottsmyndig- heten tillfälle att yttra sig, med- dela de ytterligare föreskrifter som behövs för verkställighet av

åklagardatalagen (2015:433) och denna förordning.

	8 §
Innan Åklagarmyndigheten		Innan Åklagarmyndigheten
meddelar föreskrifter med stöd		meddelar föreskrifter med stöd
av denna förordning i frågor som		av denna förordning, ska myn-
berör särskilda risker för intrång i		digheten samråda med Data-
den personliga	integriteten ska	inspektionen i frågor som berör
myndigheten	ge Datainspek-	särskilda risker för intrång i den
tionen tillfälle att yttra sig.		personliga integriteten.

Denna förordning träder i kraft den 1 maj 2018.

274

SOU 2017:74

Författningsförslag

1.47Förslag till

förordning om ändring i tullbrottsdataförordningen (2017:450)

Härigenom föreskrivs i fråga om tullbrottsdataförordningen (2017:450)

dels att 2–4, 7–9 och 18 §§ ska upphöra att gälla,

dels att rubriken efter 2 § och rubriken före 3 § ska utgå,

dels att nuvarande 5 § ska betecknas 2 § och att rubriken före nuvarande 5 § ska placeras före nya 2 §, att nuvarande 6 § ska be- tecknas 3 §, att nuvarande 10 § ska betecknas 4 § och att rubriken före nuvarande 8 § ska placeras före nya 4 §, att rubriken efter nuvarande 10 § ska placeras efter nya 4 §, att nuvarande 11 § ska betecknas 5 § och att rubriken före nuvarande 11 § ska placeras före nya 5 §, att nuvarande 12 § ska betecknas 6 § och att rubriken före nuvarande 12 § ska placeras före nya 6 §, att nuvarande 13 § ska betecknas 7 §, att nuvarande 14 § ska betecknas 8 §, att nuvarande 15 § ska betecknas 9 §, att nuvarande 16 § ska betecknas 10 §, att nuvarande 17 § ska betecknas 11 § och rubriken före nuvarande 17 § ska placeras före nya 11 §, att nuvarande 19 § ska betecknas 12 § och att rubriken före nuvarande 18 § ska placeras före nya 12 §,

dels att rubriken efter nya 4 § ska lyda Längsta tid för behand- ling m.m.,

dels att 1 §, nya 2–12 §§ och rubrikerna före 1 § och nya 4, 6 och 11 §§ ska ha följande lydelse,

dels att rubriken till förordningen ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Tullbrottsdataförordning	Tullverkets brottsdataförordning
Inledande bestämmelser	Allmän bestämmelse
1 §
I denna förordning finns	I denna	förordning finns
kompletterande föreskrifter om	kompletterande föreskrifter till
sådan behandling av personupp-	Tullverkets	brottsdatalag

275

Vid sökning enligt 3 kap. 5 §

Tullverkets brottsdatalag

(2017:447) får uppgift som visar att den sökta personen tidigare har varit misstänkt för ett visst brott inte tas fram om en dom- stol, genom ett avgörande som har fått laga kraft, har ogillat åtalet, meddelat frikännande dom eller avskrivit målet sedan åtalet lagts ner.

Författningsförslag

SOU 2017:74

gifter som omfattas av tullbrotts- (2017:447). datalagen (2017:447). De uttryck

som används i denna förordning har samma innebörd och tillämp- ningsområde som i lagen.

2 §

Vid sökning enligt 3 kap. 6 § tullbrottsdatalagen (2017:447) får uppgifter som visar att den sökta personen tidigare har varit misstänkt för ett visst brott inte tas fram om en domstol, genom ett avgörande som har fått laga kraft, har ogillat åtalet, meddelat frikännande dom eller avskrivit målet sedan åtalet lagts ned.

Tullverket får meddela före- skrifter om begränsning av till- gången till sådana uppgifter som avses i 3 kap. 6 § första stycket tullbrottsdatalagen. Särskild hän- syn ska då tas till den enskildes rätt till skydd mot intrång i den personliga integriteten. Till- gången till personuppgifter om tidigare misstankar om brott ska särskilt begränsas.

	3 §
Tullverket	ska löpande föra	Tullverket ska	löpande	föra
en förteckning över de tjänste-		förteckning över de tjänstemän
män vid myndigheten som utför		vid myndigheten	som	utför
uppgifter enligt 3 kap. 7 § andra		uppgifter enligt 3 kap. 6 § andra
stycket	tullbrottsdatalagen	stycket Tullverkets	brottsdatalag
(2017:447).		(2017:447).

276

SOU 2017:74 Författningsförslag

Elektroniskt			utlämnande			av	Direktåtkomst
personuppgifter
						4 §
Tullverket får meddela när-							Tullverket får ställa			villkor
mare föreskrifter om vad som							i fråga om behörighet och säker-
krävs i fråga om behörighet och							het för att myndigheten ska
säkerhet		för	att	myndigheten			medge	direktåtkomst		enligt
ska kunna medge direktåtkomst							3 kap.	7 §	Tullverkets	brotts-
till uppgifter för de myndigheter							datalag (2017:447).
som anges i 3 kap. 8 § tullbrotts-
datalagen (2017:447).
Direktåtkomst				till	uppgif-		Direktåtkomst får inte med-
terna får inte medges innan							ges innan Tullverket har försäk-
Tullverket har försäkrat sig om							rat sig om att den mottagande
att den mottagande myndig-							myndigheten		uppfyller	kraven
heten uppfyller kraven på behö-							på behörighet och säkerhet.
righet och säkerhet.
						5 §
När		Tullverket			arkiverar		När	Tullverket arkiverar
uppgifter och handlingar digitalt							uppgifter och handlingar digitalt
ska	de	arkiverade uppgifterna					ska uppgifterna och handling-
och	handlingarna			avskiljas		från	arna avskiljas så att de inte kan
myndighetens			brottsbekämpande				behandlas för något av de syften
verksamhet. Åtkomsten till arki-							som anges i 2 kap. 1 § Tullverkets
verade uppgifter och handlingar							brottsdatalag (2017:447). Åt-
ska begränsas till särskilt an-							komsten till arkiverade uppgif-
givna tjänstemän.							ter och handlingar ska begränsas
							till särskilt angivna tjänstemän.

Tullverket får, efter att ha gett Riksarkivet tillfälle att yttra sig, meddela närmare föreskrifter om digital arkivering.

277

Författningsförslag SOU 2017:74

Bevarande		och		gallring	av	Fortsatt behandling			av	vissa
uppgifter						personuppgifter
					6 §
I	13–15 §§ föreskrivs				att	I 7–9 §§ föreskrivs att vissa
vissa kategorier av uppgifter i						kategorier av		personuppgifter			i
brottsanmälningar och avslutade						brottsanmälningar och avslutade
förundersökningar får behandlas						förundersökningar får behandlas
i Tullverkets			brottsbekämpande			för ändamål som omfattas av till-
verksamhet efter utgången av den						lämpningsområdet för Tullverkets
tid som anges i 4 kap. 6 och 7 §§						brottsdatalag (2017:447), trots att
tullbrottsdatalagen				(2017:447).		den tid som anges i 4 kap. 4 och
Detsamma		gäller		uppgifter	i	5 §§ samma lag har löpt ut. Det-
andra utredningar som hand-						samma	gäller	personuppgifter			i
läggs	enligt		bestämmelser		i	andra utredningar som hand-
23 kap. rättegångsbalken.						läggs	enligt	bestämmelser			i
						23 kap. rättegångsbalken.
När uppgifter behandlas en-						När	personuppgifter behand-
ligt	13–15 §§		får,	utöver vad		las enligt 7–9 §§ får, utöver vad
som sägs i de bestämmelserna,						som sägs i de bestämmelserna,
följande uppgifter behandlas:						följande uppgifter behandlas:
1. ärendenummer och liknan-						1. ärendenummer			eller	lik-
de referensuppgifter,						nande referensuppgifter,

2.brottskoder, och

3.uppgifter om omständigheterna kring brottet.

	7 §
Uppgifter om en dömd per-		Uppgifter om den dömde i en
son i en förundersökning som		förundersökning		som har lett
har lett till fällande dom får be-		till fällande dom får behandlas
handlas efter utgången av den tid		trots att den tid		som anges i
som anges i 4 kap. 7 § första		4 kap.	5 § första	stycket Tull-
stycket	tullbrottsdatalagen	verkets	brottsdatalag (2017:447)
(2017:447), om behandlingen av		har löpt ut, om behandlingen av
särskilda skäl är nödvändig för		särskilda skäl är nödvändig för
att finna samband mellan olika		att finna samband mellan olika
brott eller mellan tänkbara gär-		brott eller mellan tänkbara gär-
ningsmän.		ningsmän.
Uppgifterna	ska dock gallras	Behandlingen		ska dock upp-

278

SOU 2017:74 Författningsförslag

senast i samband med att upp-			höra senast i samband med att
gifterna om den dömde gallras			uppgifterna om den dömde tas
ur belastningsregistret		enligt	bort ur belastningsregistret en-
lagen (1998:620) om belast-			ligt lagen (1998:620) om belast-
ningsregister.			ningsregister.
		8 §
Uppgifter om en person som			Uppgifter om en person som
har varit misstänkt i en förun-			har varit misstänkt i en förun-
dersökning som har lagts ned			dersökning som har lagts ner
eller avslutats på annat sätt än			eller avslutats på annat sätt än
genom åtal får i ett enskilt fall			genom åtal får i ett enskilt fall
behandlas efter utgången av den			behandlas om det är nödvändigt
tid som anges i 4 kap. 7 § andra			för att personen ska kunna lag-
stycket	tullbrottsdatalagen		föras trots att den tid som anges i
(2017:447), om behandlingen är			4 kap.	5 §	andra stycket Tull-
nödvändig för att personen ska			verkets	brottsdatalag			(2017:447)
kunna lagföras.			har löpt ut.
Uppgifterna	ska dock	gallras	Behandlingen ska dock upp-
senast då åtal inte längre får			höra senast då åtal inte längre får
väckas för brottet eller senast			väckas för brottet.
sjuttio år från den dag då brottet
begicks i fall som avses i 35 kap.
2 § första stycket brottsbalken.
		9 §
Uppgifter om personer som			Uppgifter om personer som
har dömts för, eller har varit			har dömts för, eller har varit
misstänkta för, brott där det			misstänkta för, brott där det
finns en betydande risk för			finns en betydande risk för
återfall i samma eller likartad			återfall i samma eller likartad
brottslighet, får behandlas efter			brottslighet, får			behandlas trots
utgången av den tid som anges i			att den tid som anges i 4 kap. 4
4 kap. 6 och 7 §§ tullbrottsdata-			och 5 §§ Tullverkets brottsdatalag
lagen (2017:447), om behand-			(2017:447) har löpt ut, om be-
lingen av särskilda skäl är nöd-			handlingen av särskilda skäl är
vändig för att förebygga, för-			nödvändig		för	att	förebygga,
hindra eller upptäcka brott för			förhindra		eller	upptäcka brott
vilket det är föreskrivet fängelse			för vilket		det	är	föreskrivet

279

Författningsförslag SOU 2017:74

i fyra år eller däröver.				fängelse i fyra år eller däröver.
Uppgifterna ska dock gallras,				Behandlingen ska dock upp-
i fråga om brott som har lett till				höra, i fråga om brott som har
fällande dom, senast i samband				lett till fällande dom, senast i
med att uppgifterna gallras ur				samband med att uppgifterna tas
belastningsregistret enligt lagen				bort ur belastningsregistret en-
(1998:620)		om belastningsre-		ligt lagen (1998:620) om belast-
gister och i övriga fall senast				ningsregister och i övriga fall
femton år efter det att förunder-				senast femton år efter det att
sökningen lades ner eller avslu-				förundersökningen	lades ner
tades på annat sätt.				eller avslutades på annat sätt.
			10 §
Personuppgifter som behövs				Personuppgifter som behövs
för handläggning av ärenden i				för handläggning av ärenden i
det internationella			samarbetet	det internationella	samarbetet
ska, om behandlingen av sär-				får behandlas trots att den tid
skilda skäl är nödvändig efter				som anges i 4 kap. 11 § Tullver-
utgången av den tid som anges i				kets brottsdatalag (2017:447) har
4 kap.	10 §	andra	stycket tull-	löpt ut, om behandling av sär-
brottsdatalagen (2017:447) för att				skilda skäl är nödvändig för att
fullgöra	internationella åtagan-			fullgöra internationella åtagan-
den, gallras senast tre år efter				den.
utgången av det kalenderår då
ärendet som uppgifterna behand-
lades i avslutades.
				Behandlingen ska dock upp-
				höra senast tre år efter utgången
				av det kalenderår då ärendet som
				uppgifterna behandlades i avslu-
				tades.
Undantag från gallring				Behandling för arkivändamål
				av allmänt intresse m.m.
			11 §
Riksarkivet får, efter att ha				Riksarkivet får, efter att ha
gett Tullverket tillfälle att yttra				gett Tullverket tillfälle att yttra
sig, meddela föreskrifter om att				sig, meddela föreskrifter om att

280

SOU 2017:74 Författningsförslag

uppgifter		som ska gallras enligt			personuppgifter som				avses i
4 kap.	3 § första		stycket	och	4 kap. 2 § första stycket och 8–
4 kap.	9	och 10 §§	tullbrottsda-		11 §§ Tullverkets			brottsdatalag
talagen	(2017:447)		samt	16 §	(2017:447) och 10 § denna för-
denna förordning får bevaras för					ordning	får	behandlas under
historiska, statistiska eller veten-					längre tid för arkivändamål av
skapliga ändamål.					allmänt intresse och vetenskap-
					liga, statistiska eller historiska
					ändamål.
				12 §
Innan		Tullverket meddelar			Innan	Tullverket			meddelar
föreskrifter med stöd av denna					föreskrifter med stöd av denna
förordning, ska myndigheten ge					förordning,		ska	myndigheten
Datainspektionen			tillfälle	att	samråda med Datainspektionen i
yttra sig i frågor som berör sär-					frågor som berör särskilda risker
skilda risker för intrång i den					för intrång i den personliga
personliga integriteten.					integriteten.

Denna förordning träder i kraft den 1 maj 2018.

281

Författningsförslag

SOU 2017:74

1.48Förslag till

förordning om ändring i skattebrottsdataförordningen (2017:458)

Härigenom föreskrivs i fråga om skattebrottsdataförordningen (2017:458)

dels att 2–4, 7, 9, 10 och 17 §§ ska upphöra att gälla,

dels att rubriken efter 2 § och rubrikerna före 3 och 9 §§ ska utgå, dels att nuvarande 5 § ska betecknas 2 § och att rubriken före

nuvarande 5 § ska placeras före nya 2 §, att nuvarande 6 § ska be- tecknas 3 §, att nuvarande 8 § ska betecknas 4 § och rubriken före nuvarande 8 § ska placeras före nya 4 §, att nuvarande 11 § ska betecknas 5 § och att rubriken efter nuvarande 11 § ska placeras efter nya 5 §, att nuvarande 12 § ska betecknas 6 § och rubriken före nuvarande 12 § ska placeras före nya 6 §, att nuvarande 13 § ska betecknas 7 § och rubriken före nuvarande 13 § ska placeras före nya 7 §, att nuvarande 14 § ska betecknas 8 §, att nuvarande 15 § ska betecknas 9 §, att nuvarande 16 § ska betecknas 10 § och att rubriken före nuvarande 16 § ska placeras före nya 10 §, att nuvarande 18 § ska betecknas 11 § och rubriken före nuvarande 17 § ska placeras före nya 11 §,

dels att rubriken efter nya 5 § ska lyda Längsta tid för behand- ling m.m.,

dels att 1 § och nya 2–11 och rubrikerna före 1 § och nya 4, 7 och 10 §§ ska ha följande lydelse,

dels att rubriken till förordningen ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Skattebrottsdataförordning	Skatteverkets brottsdataförord-
	ning

Inledande bestämmelser	Allmän bestämmelse
1 §
I denna förordning finns	I	denna förordning finns
kompletterande bestämmelser	kompletterande		bestämmelser
om sådan behandling av person-	till	Skatteverkets	brottsdatalag

282

Vid sökning enligt 3 kap. 4 §

Skatteverkets brottsdatalag

(2017:452) får uppgifter som visar att den sökta personen tidigare har varit misstänkt för ett visst brott inte tas fram om en domstol, genom ett avgö- rande som har fått laga kraft, har ogillat åtalet, meddelat frikän- nande dom eller avskrivit målet sedan åtalet lagts ner.

SOU 2017:74 Författningsförslag

uppgifter som omfattas av skatte- (2017:452 ). brottsdatalagen (2017:452). De

uttryck som används i denna förordning har samma innebörd och tillämpningsområde som i lagen.

2 §

Vid sökning enligt 3 kap. 6 § skattebrottsdatalagen (2017:452) får uppgifter som visar att den sökta personen tidigare har varit misstänkt för ett visst brott inte tas fram om en domstol, genom ett avgörande som har fått laga kraft, har ogillat åtalet, meddelat frikännande dom eller avskrivit målet sedan åtalet lagts ned.

Skatteverket får meddela föreskrifter om begränsning av tillgången till sådana uppgifter som avses i 3 kap. 6 § första stycket skattebrottsdatalagen. Sär- skild hänsyn ska då tas till den enskildes rätt till skydd mot in- trång i den personliga integrite- ten. Tillgången till personupp- gifter om tidigare misstankar om brott ska särskilt begränsas.

	3 §
Skatteverket ska löpande föra		Skatteverket ska löpande föra
en förteckning över de tjänste-		förteckning över de tjänstemän
män vid myndigheten som utför		vid myndigheten som utför
uppgifter enligt 3 kap. 7 § andra		uppgifter enligt 3 kap. 5 § andra
stycket	skattebrottsdatalagen	stycket Skatteverkets brottsdata-
(2017:452).		lag (2017:452).

283

Författningsförslag

SOU 2017:74

Utlämnande av uppgifter							Utlämnande av personuppgifter
						4 §
Om en uppgift i en förunder-							Om en uppgift i en förunder-
sökning kan antas ha betydelse							sökning kan antas ha betydelse
för	en	konkursutredning,				får	för	en	konkursutredning, har
uppgiften lämnas till konkurs-							konkursförvaltaren rätt att ta del
förvaltaren.							av uppgiften.
						5 §
Skatteverket får meddela när-							Skatteverket får ställa villkor
mare föreskrifter om vad som							i fråga om behörighet och säker-
krävs i fråga om behörighet och							het för att myndigheten ska
säkerhet		för	att	myndigheten			medge		direktåtkomst		enligt
ska kunna medge direktåtkomst							3 kap.		6 § Skatteverkets		brotts-
till uppgifter för de myndigheter							datalag (2017:452).
som	anges i		3 kap.		8 § skatte-
brottsdatalagen (2017:452).
Direktåtkomst				till uppgifter-			Direktåtkomst får inte med-
na får inte medges innan Skatte-							ges innan Skatteverket har för-
verket har försäkrat sig om att							säkrat sig om att den motta-
den	mottagande			myndigheten			gande		myndigheten	uppfyller
uppfyller kraven				på behörighet			kraven på behörighet och säker-
och säkerhet.							het.
						6 §
När		Skatteverket			arkiverar		När		Skatteverket	arkiverar
uppgifter och handlingar digitalt							uppgifter och handlingar digitalt
ska	de	arkiverade uppgifterna					ska uppgifterna och handling-
och	handlingarna			avskiljas		från	arna avskiljas så att de inte kan
myndighetens			brottsbekämpande				behandlas för något av de syften
verksamhet. Åtkomsten till arki-							som anges i 2 kap. 1 § Skattever-
verade uppgifter och handlingar							kets	brottsdatalag (2017:452).
ska begränsas till särskilt an-							Åtkomsten till arkiverade upp-
givna tjänstemän.							gifter och handlingar ska be-
							gränsas		till särskilt		angivna
							tjänstemän.

Skatteverket får, efter att ha gett Riksarkivet tillfälle att yttra sig, meddela närmare föreskrifter om digital arkivering.

284

Uppgifter om den dömde i en förundersökning som har lett till fällande dom får behandlas trots att den tid som anges i 4 kap. 4 § första stycket Skatte- verkets brottsdatalag (2017:452) har löpt ut, om behandlingen av särskilda skäl är nödvändig för att finna samband mellan olika brott eller mellan tänkbara gär- ningsmän.

285

SOU 2017:74 Författningsförslag

Bevarande och gallring av upp-			Fortsatt	behandling	av	vissa
gifter			personuppgifter
		7 §
I 14 och 15 §§ föreskrivs att			I 8 och 9 §§ föreskrivs att
vissa kategorier av uppgifter i			vissa kategorier av personupp-
avslutade förundersökningar får			gifter i avslutade förundersök-
behandlas i Skatteverkets brotts-			ningar får behandlas för ändamål
bekämpande	verksamhet	efter	som omfattas av tillämpnings-
utgången av den tid som anges i			området för Skatteverkets brotts-
4 kap. 6 §	skattebrottsdatalagen		datalag (2017:452), trots att den
(2017:452).	Detsamma	gäller	tid som anges i 4 kap. 4 § samma
uppgifter i	andra utredningar		lag har löpt ut. Detsamma gäller
som handläggs enligt bestäm-			personuppgifter i andra utred-
melser i 23 kap. rättegångsbalken.			ningar som handläggs enligt be-
			stämmelser i 23 kap. rättegångs-
			balken.
När uppgifter behandlas en-			När	personuppgifter behand-
ligt 14 och 15 §§ får, utöver vad			las enligt 8 och 9 §§ får, utöver
som sägs i de bestämmelserna,			vad som sägs i de bestämmel-
följande uppgifter behandlas:			serna, följande uppgifter be-
			handlas:
1. ärendenummer och liknan-			1. ärendenummer		eller	lik-
de referensuppgifter,			nande referensuppgifter,

2.brottskoder, och

3.uppgifter om omständigheterna kring brottet.

8 §

Uppgifter om en dömd per- son i en förundersökning som har lett till fällande dom får be- handlas efter utgången av den tid som anges i 4 kap. 6 § första stycket skattebrottsdatalagen

(2017:452), om behandlingen av särskilda skäl är nödvändig för att finna samband mellan olika brott eller mellan tänkbara gär- ningsmän.

Författningsförslag

SOU 2017:74

Uppgifterna ska dock gallras senast i samband med att upp- gifterna om den dömde gallras ur belastningsregistret enligt lagen (1998:620) om belast- ningsregister.

Behandlingen ska dock upp- höra senast i samband med att uppgifterna om den dömde tas bort ur belastningsregistret en- ligt lagen (1998:620) om belast- ningsregister.

				9 §
Uppgifter om en person som					Uppgifter om en person som
har varit misstänkt i en förun-					har varit misstänkt i en förun-
dersökning som har lagts ned					dersökning som har lagts ner
eller avslutats på annat sätt än					eller avslutats på annat sätt än
genom åtal får i ett enskilt fall					genom åtal får i ett enskilt fall
behandlas efter utgången av den					behandlas om det är nödvändigt
tid som anges i 4 kap. 6 § andra					för att kunna lagföra personen
stycket		skattebrottsdatalagen			trots	att	den tid		som anges i
(2017:452), om behandlingen är					4 kap. 4 § andra stycket Skatte-
nödvändig för att personen ska					verkets		brottsdatalag (2017:452)
kunna lagföras.					har löpt ut.
Uppgifterna ska dock gallras					Behandlingen ska dock upp-
senast då åtal inte längre får					höra senast då åtal inte längre får
väckas för brottet eller senast					väckas för brottet.
sjuttio år från den dag då brottet
begicks i fall som avses i 35 kap.
2 § första stycket brottsbalken.
Undantag från gallring					Behandling			för	arkivändamål
					av allmänt intresse m.m.
				10 §
Riksarkivet får, efter att ha					Riksarkivet får, efter att ha
gett	Skatteverket			tillfälle att	gett	Skatteverket				tillfälle	att
yttra	sig,	meddela		föreskrifter	yttra	sig, meddela				föreskrifter
om att uppgifter som ska gallras					om att personuppgifter som anges
enligt	4 kap.		3 § första stycket		i 4 kap.		2 §	första		stycket eller
eller	4 kap.		8 § skattebrottsdata-		4 kap.		6–8 §§			Skatteverkets
lagen (2017:452), får bevaras för					brottsdatalag (2017:452), får						be-
historiska, statistiska eller veten-					handlas under längre tid för
skapliga ändamål.					arkivändamål av allmänt intresse

286

SOU 2017:74 Författningsförslag

	och vetenskapliga, statistiska
	eller historiska ändamål.
11 §
Innan Skatteverket meddelar	Innan Skatteverket meddelar
föreskrifter med stöd av denna	föreskrifter med stöd av denna
förordning, ska myndigheten ge	förordning, ska myndigheten
Datainspektionen tillfälle att	samråda med Datainspektionen i
yttra sig i frågor som berör sär-	frågor som berör särskilda risker
skilda risker för intrång i den	för intrång i den personliga inte-
personliga integriteten.	griteten.

Denna förordning träder i kraft den 1 maj 2018.

287

Författningsförslag

SOU 2017:74

1.49Förslag till

förordning om ändring i förordningen (2017:504) om internationellt polisiärt samarbete

Härigenom föreskrivs att 5 kap. 3, 11, 12 och 14 §§, 6 kap. 6, 7 och 9 §§, 7 kap. 10 och 11 §§ och 8 kap. 2, 4 och 8–10 §§ och rubrikerna före 5 kap. 11 §, 6 kap. 6 §, 7 kap. 10 § och 8 kap. 8 § förordningen (2017:504) om internationellt polisiärt samarbete ska ha följande lydelse.

Nuvarande lydelse Föreslagen lydelse

5 kap.

3 §

Det svenska kontaktstället ska bistå den egna myndigheten och de myndigheter som anges i andra stycket med att söka uppgifter i utländska dna-register, fingeravtrycksregister och fordonsregister enligt de förutsättningar som anges i 7 kap. 2 § första stycket samt 7 kap. 4 eller 6 § lagen (2017:496) om internationellt polisiärt sam-

arbete.
Myndigheter som får begära sökningar är
1. de som anges i bestämmel-			1. de som anges i bestämmel-
sen	om direktåtkomst	i 4 kap.	sen	om direktåtkomst i 5 kap.
10 §	polisdatalagen (2010:361)		10 §	polisens		brottsdatalag
när det gäller dna-register,			(2010:361) när det gäller dna-
			register,
2. de som anges i bestämmel-			2. de som anges i bestämmel-
sen	om direktåtkomst	i 4 kap.	sen	om direktåtkomst i 5 kap.
17 § polisdatalagen när det gäller			17 §	polisens	brottsdatalag när
fingeravtrycksregister, och			det gäller fingeravtrycksregister,
			och
3. Säkerhetspolisen,		Åklagarmyndigheten,			Ekobrottsmyndig-
heten och Tullverket när det gäller fordonsregister.

Polismyndigheten är svenskt kontaktställe vid utbyte av dna- profiler, fingeravtryck och fordonsuppgifter enligt Prümrådsbe- slutet.

288

I stället för att radera eller upp- höra med behandlingen av per- sonuppgifter enligt 11 § ska, om det finns skäl att anta att en sådan åtgärd skulle innebära skada för den person som uppgifterna rör, uppgifterna spärras. Att upp- gifterna är spärrade innebär att de endast får behandlas för att tillgodose det syfte som förhind- rade att uppgifterna raderades eller att behandlingen av dem upphörde.

289

Personuppgifter som har över- sänts från en annan stat enligt Prümrådsbeslutet ska raderas om uppgifterna är felaktiga eller inte borde ha översänts eller tagits emot. Felaktiga uppgifter får i stället rättas.

Behandlingen av personupp- gifter enligt första stycket som har översänts och tagits emot korrekt ska upphöra när syftet med översändandet har uppnåtts eller inte längre kan uppnås. Be- handlingen av uppgifter som har översänts från en annan stat i samband med ett större evene- mang med gränsöverskridande verkningar ska upphöra senast ett år från det att uppgifterna togs emot.

SOU 2017:74 Författningsförslag

Gallring, spärrning och sär-	Längsta tid för behandling,
skild upplysning	spärrning och särskild upplys-
	ning

11 §

Personuppgifter som har över- sänts från en annan stat enligt Prümrådsbeslutet ska gallras om uppgifterna är felaktiga eller inte borde ha översänts eller tagits emot. Felaktiga uppgifter får i stället rättas.

Personuppgifter enligt första stycket som har översänts och tagits emot korrekt ska gallras när syftet med översändandet har uppnåtts eller inte längre kan uppnås. Uppgifter som har översänts från en annan stat i samband med ett större evene- mang med gränsöverskridande verkningar ska gallras senast ett år från det att uppgifterna togs emot.

12 §

I stället för att gallra person- uppgifter enligt 11 § ska upp- gifterna spärras, om det finns skäl att anta att gallring skulle innebära skada för den person som uppgifterna rör. Att upp- gifterna är spärrade innebär att de endast får behandlas för att tillgodose det syfte som för- hindrade gallring.

Författningsförslag SOU 2017:74

14 §
Uppgifter som har registre-	Behandlingen				av		uppgifter
rats enligt 9 eller 10 § ska gallras	som har registrerats enligt 9 eller
två år efter registreringen.	10 §	ska	upphöra			två	år	efter
	registreringen.
6 kap.
Gallring, spärrning och sär-	Längsta tid för behandling, spärr-
skild upplysning	ning och särskild upplysning
6 §
Personuppgifter som har	Personuppgifter					som		har
översänts från en annan stat	översänts från en annan stat en-
enligt CBE-direktivet ska gallras	ligt CBE-direktivet ska raderas
om uppgifterna är felaktiga eller	om uppgifterna är felaktiga eller
inte borde ha översänts eller	inte borde ha översänts eller
tagits emot. Felaktiga uppgifter	tagits emot. Felaktiga uppgifter
får i stället rättas.	får i stället rättas.
Personuppgifter enligt första	Behandlingen av personupp-
stycket som har översänts och	gifter enligt första stycket som
tagits emot korrekt ska gallras	har översänts och tagits emot
när syftet med översändandet	korrekt ska upphöra när syftet
har uppnåtts eller inte längre	med översändandet har uppnåtts
kan uppnås.	eller inte längre kan uppnås.
7 §
I stället för att gallra person-	I stället för				att	radera		eller
uppgifter enligt 6 § ska uppgif-	upphöra		med	behandlingen av
terna spärras, om det finns skäl	personuppgifter				enligt		6 §	ska,
att anta att gallring skulle inne-	om det finns skäl att anta att en
bära skada för den person som	sådan	åtgärd		skulle			innebära
uppgifterna rör. Att uppgifterna	skada för den person som upp-
är spärrade innebär att de endast	gifterna rör, uppgifterna spärras.
får behandlas för att tillgodose	Att uppgifterna är spärrade in-
det syfte som förhindrade gall-	nebär att de endast får behandlas
ring.	för att tillgodose det syfte som
	förhindrade att uppgifterna rade-

rades eller att behandlingen av dem upphörde.

290

Behandlingen av uppgifter som har registrerats enligt 5 § ska upphöra två år efter regist- reringen

SOU 2017:74

Författningsförslag

9 §

Uppgifter som har registre- rats enligt 5 § ska gallras två år efter registreringen.

	7 kap.
Gallring		Längsta tid för behandling
	10 §
Uppgifter	som har hämtats	Behandlingen	av	uppgifter
från VIS och som har lagts in i		som har hämtats från VIS och
systemet av en annan stat ska		som har lagts in i systemet av en
gallras när	uppgifterna inte	annan stat ska upphöra när upp-
längre behövs för något av de		gifterna inte längre behövs för
ändamål som anges i 9 kap. 3 §		något av de ändamål som anges i
lagen (2017:496) om internatio-		9 kap. 3 § lagen (2017:496) om
nellt polisiärt samarbete.		internationellt	polisiärt sam-
		arbete.
	11 §
Uppgifter som har registre-		Behandlingen	av	uppgifter
rats enligt 5 eller 9 § ska gallras		som har registrerats enligt 5
ett år efter registreringen.		eller 9 § ska upphöra ett år efter
		registreringen.

8kap.

2 §

Om ett amerikanskt kon-	Om ett amerikanskt kon-
taktställe efter en sökning enligt	taktställe efter en sökning enligt
10 kap. 1 § lagen (2017:496) om	10 kap. 1 § lagen (2017:496) om
internationellt polisiärt samar-	internationellt polisiärt samar-
bete ansöker hos det svenska	bete ansöker hos det svenska
kontaktstället om att få ut	kontaktstället om att få ut
övriga tillgängliga personuppgif-	övriga tillgängliga personuppgif-
ter och ytterligare information	ter och ytterligare information
med anknytning till fingerav-	med anknytning till fingerav-
trycket, får det svenska kontakt-	trycket, får det svenska kontakt-
stället lämna ut uppgifter till det	stället lämna ut uppgifter till det

291

Författningsförslag

SOU 2017:74

amerikanska kontaktstället en- dast om det finns förutsätt- ningar enligt 2 kap. 15 § första stycket polisdatalagen (2010:361) och 33–35 §§ personuppgiftslagen (1998:204).

amerikanska kontaktstället en- dast om det finns förutsättning- ar enligt 2 kap. 10 § första stycket och 8 kap. 1 § brottsdata- lagen (2018:000).

4 §

Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten i den polisverksamhet som bedrivs vid myndigheten, Tullverket och Kustbevakningen får i enskilda fall, utan särskild begäran, lämna ut personuppgifter till ett amerikanskt kontaktställe enligt avtalet med USA, om särskilda omständigheter ger anledning att anta att den person som uppgifterna rör kommer att begå eller har begått brott för vilket det enligt svensk lag är föreskrivet fängelse i mer än ett år. Om det bedöms vara nödvändigt för att förebygga, förhindra eller upptäcka sådan brottslig verksamhet eller utreda ett sådant

brott, får även andra uppgifter än personuppgifter lämnas ut.
Uppgifter		enligt	första	Uppgifter		enligt	första
stycket får endast lämnas ut om				stycket får endast lämnas ut om
det finns	förutsättningar		enligt	det finns förutsättningar			enligt
2 kap. 15	§ första stycket polis-			2 kap.	10 § första stycket poli-
datalagen (2010:361) och 33–				sens brottsdatalag (2010:361) och
35 §§		personuppgiftslagen		8 kap.	1 §	brottsdatalagen
(1998:204).				(2018:000).

Det svenska kontaktstället ska översända uppgifterna till ett

amerikanskt kontaktställe.
Gallring och spärrning		Längsta tid för behandling och
		spärrning
	8 §
Personuppgifter	som har	Personuppgifter	som har
översänts från ett	amerikanskt	översänts från ett	amerikanskt
kontaktställe enligt avtalet med		kontaktställe enligt avtalet med
USA ska gallras om uppgifterna		USA ska raderas om uppgifterna
är felaktiga eller inte borde ha		är felaktiga eller inte borde ha
översänts eller tagits emot. Fel-		översänts eller tagits emot. Fel-
aktiga uppgifter får i stället rättas.		aktiga uppgifter får i stället rättas.

292

Behandlingen av uppgifter som har registrerats enligt 7 § ska upphöra två år efter regist- reringen.

SOU 2017:74

Författningsförslag

I stället för att gallra person- uppgifter enligt första stycket ska uppgifterna spärras, om det finns skäl att anta att gallring skulle innebära skada för den person som uppgifterna rör. Att uppgifterna är spärrade innebär att de endast får behandlas för att tillgodose det syfte som för- hindrade gallring.

I stället för att radera person- uppgifter enligt första stycket ska uppgifterna spärras, om det finns skäl att anta att radering skulle innebära skada för den person som uppgifterna rör. Att uppgifterna är spärrade innebär att de endast får behandlas för att tillgodose det syfte som för- hindrade radering.

			9 §
Personuppgifter		som	har	Behandlingen av personupp-
översänts och tagits emot kor-				gifter som har översänts och
rekt ska gallras när syftet med				tagits emot korrekt ska upphöra
översändandet	eller	vidarebe-		när	syftet med översändandet
handlingen har	uppnåtts		eller	eller	vidarebehandlingen har
inte längre kan uppnås.				uppnåtts eller inte längre kan
				uppnås.
			10 §

Uppgifter som har registre- rats enligt 7 § ska gallras två år efter registreringen.

Denna förordning träder i kraft den 1 maj 2018.

293

Författningsförslag

SOU 2017:74

1.50Förslag till

förordning om ändring i brottsdataförordningen (2018:000)

Härigenom föreskrivs att det i brottsdataförordningen (2018:000) ska införas tre nya paragrafer, 3 kap. 4 a, 4 b och 4 c §§, och en ny rubrik före 3 kap. 4 a § med följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

3 kap.

Tillgången till personupp- gifter

4 a §

För tilldelning av behörighet för åtkomst till personuppgifter ska, utöver behovet av uppgifter- na, utbildning och erfarenhet sär- skilt beaktas.

4 b §

I en behörig myndighet ska det finnas rutiner för tilldelning av, förändring, borttagning och regel- bunden uppföljning av behörighe- ter för åtkomst till personuppgif- ter.

4 c §

Tillgången till uppgifter om tidigare brottsmisstankar ska sär- skilt begränsas.

Denna förordning träder i kraft den 1 maj 2018.

294

2Utredningens uppdrag och arbete

2.1Utredningsuppdraget

Utredningsuppdraget består i att föreslå hur man i svensk rätt ska genomföra Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verk- ställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF. Direktiven för utredningsarbetet finns i bilaga 1.

I utredningens uppdrag ingår bl.a. att

–lämna förslag till en ny ramlagstiftning med bestämmelser om skydd av personuppgifter inom direktivets tillämpningsområde,

–analysera och bedöma behovet av författningsändringar i vissa centrala författningar om rättsväsendets behandling av person- uppgifter,

–lämna de förslag till ändringar som krävs för att anpassa dessa författningar till de nya förutsättningarna för regleringen,

–bedöma om direktivet ger anledning till ny eller ändrad reglering om tillsyn och vid behov lämna författningsförslag, och

–bedöma om det finns anledning att reglera Säkerhetspolisens personuppgiftsbehandling separat från den lagstiftning som gäller för Polismyndigheten och vid behov lämna författnings- förslag.

295

Utredningens uppdrag och arbete

SOU 2017:74

Utredningen har även åtagit sig att göra de anpassningar som kan krävas i lagen (2014:400) om Polismyndighetens elimineringsdata- bas, lagen (2015:51) om register över tillträdesförbud vid idrotts- arrangemang och lagen (2017:496) om internationellt polisiärt sam- arbete, alla med tillhörande förordningar.

2.2Genomförandet av uppdraget

Förslag till ny ramlagstiftning och tillsyn inom direktivets tillämp- ningsområde redovisades den 5 april 2017 i delbetänkandet Brotts- datalag (SOU 2017:29).

Utredningens arbete påbörjades i slutet av april 2016 och har bedrivits på sedvanligt sätt med regelbundna sammanträden med gruppen av sakkunniga och experter. Utredningen har sammanträtt vid sammanlagt fem tillfällen för att ta fram detta betänkande.

Utredaren och sekretariatet har i denna del av utredningsupp- draget samrått med andra utredningar enligt följande.

Utredaren och huvudsekreteraren samrådde med Utredningen om stärkt integritet i Rättsmedicinalverkets verksamhet (Ju 2016:18) den 11 oktober 2016 och den 30 juni 2017.

Utredaren och huvudsekreteraren samrådde den 8 februari och den 19 maj 2017 med Eva Lönkvist som fått i uppdrag att biträda Justitiedepartementet med att anpassa viss lagstiftning på området för allmän ordning och säkerhet till EU:s dataskyddsreform.

Utredaren och huvudsekreteraren samrådde med Socialdata- skyddsutredningen (S 2016:05) den 7 november 2016.

Den 7 november och 21 december 2016 och den 23 augusti 2017 samrådde utredaren och delar av sekretariatet med Peder Liljeqvist som fått i uppdrag att biträda Justitiedepartementet med att an- passa domstolsdatalagen, kriminalvårdens registerlagstiftning och utlänningsdatalagen till dataskyddsförordningen.

Utredaren och delar av sekretariatet har haft möte med företrä- dare för

–Kriminalvården den 14 oktober 2016 och 25 april 2017,

–Kustbevakningen den 8 februari 2017,

–Säkerhetspolisen den 15 februari och 16 maj 2017,

–Socialstyrelsen den 12 april 2017,

296

SOU 2017:74

Utredningens uppdrag och arbete

–Domstolsverket den 19 april 2017,

–Ekobrottsmyndigheten den 15 november 2016 och 7 juni 2017, och

–Polismyndigheten den 25 april och 7 juni 2017.

297

3 Brottsdatalagens innehåll

3.1Ny reglering av dataskyddet

3.1.1Dataskyddsreformen

Europeiska unionens (EU) nya dataskyddsreglering består av två rättsliga instrument. Det ena är Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysi- ska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (EUT L 119, 4.5.2016, s. 1, i fortsättningen dataskyddsförordningen). Det andra är Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behand- ling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambe- slut 2008/977/RIF (EUT L 119, 4.5.2016, s. 89, i fortsättningen direktivet). Reformen innebär att reglerna om personuppgiftsbe- handling i framtiden finns dels i dataskyddsförordningen, som är direkt tillämplig i svensk rätt, och den lagstiftning som komplet- terar förordningen, dels i de författningar som genomför direktivet.

Dataskyddsförordningen gäller inte när direktivet är tillämpligt. Hur direktivet genomförs får därigenom avgörande betydelse för vilket regelverk som är tillämpligt.

Dataskyddsutredningen, som haft i uppdrag att utreda bl.a. be- hovet av kompletterande lagstiftning till dataskyddsförordningen och vissa generella frågor med anknytning till dataskyddsreformen, har avgett betänkandet Ny dataskyddslag (SOU 2017:39). I betän- kandet föreslås bl.a. att personuppgiftslagen (1998:204) ska upp- höra att gälla den 25 maj 2018, då förordningen börjar gälla.

299

Brottsdatalagens innehåll

SOU 2017:74

3.1.2Genomförandet av dataskyddsdirektivet

I delbetänkandet Brottsdatalag beskrivs dataskyddsreformen när- mare (se SOU 2017:29 s. 119 f.). Utredningen lämnar där förslag till en ny ramlag, brottsdatalagen, och en ny förordning till den, brottsdataförordningen. Lagen och förordningen, som tillsammans genomför dataskyddsdirektivet, ska gälla generellt inom direktivets tillämpningsområde. Direktivet ska vara genomfört senast den 6 maj 2018.

Brottsdatalagen drar upp gränsen mellan å ena sidan den sär- skilda regleringen av behandling av personuppgifter vid brottsbe- kämpning, lagföring, straffverkställighet och upprätthållande av allmän ordning och säkerhet och å andra sidan dataskyddsförord- ningens tillämpningsområde. Lagen är kapitelindelad. I 1 kap. finns allmänna bestämmelser om lagens tillämpningsområde och där de- finieras också de uttryck som används i lagen. I 2 kap. regleras be- handlingen av personuppgifter och i 3 kap. de personuppgiftsansva- rigas skyldigheter. Enskildas rättigheter regleras i 4 kap. Tillsynen över personuppgiftsbehandling behandlas i 5 kap. och administra- tiva sanktionsavgifter i 6 kap. I 7 kap. behandlas skadestånd och rättsmedel och i 8 kap. överföring av personuppgifter till tredjeland och internationella organisationer.

Brottsdatalagen anger ramen för vilken personuppgiftsbehand- ling som är tillåten för de syften som anges i lagen och vilka som ska tillämpa lagen, vilket är de som är behöriga myndigheter enligt lagen. Där regleras frågor som är gemensamma för alla behöriga myndigheter. Brottsdatalagen kommer därigenom att för sitt till- lämpningsområde fylla i stort sett samma funktion som personupp- giftslagen gör i dag. På samma sätt som nu kommer det dessutom att finnas särskilda registerförfattningar för flertalet av de myndig- heter som kommer att tillämpa brottsdatalagen. De kommer dock inte att vara lika omfattande som i dag, eftersom de i vissa delar ersätts av den nya generella regleringen. I registerförfattningarna kommer bara de regler som är specifika för just den myndigheten att finnas. Det kommer vidare även fortsättningsvis att finnas sär- skilda författningar som reglerar enskilda register inom brottsdata- lagens tillämpningsområde.

300

SOU 2017:74

Brottsdatalagens innehåll

3.2Innehållet i brottsdatalagen

3.2.1Regler om behandlingen av personuppgifter

Lagens tillämpningsområde

Brottsdatalagen gäller för behandling av personuppgifter som ut- förs av en behörig myndighet i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verk- ställa straffrättsliga påföljder. Den gäller också för behandling av personuppgifter som en behörig myndighet utför i syfte att upp- rätthålla allmän ordning och säkerhet. Med behörig myndighet avses en myndighet som har till arbetsuppgift att bedriva sådan verksamhet eller en annan aktör som utövar myndighet för något av dessa syften. Vilka myndigheter som är behöriga räknas inte upp, men lagen kommer framför allt att tillämpas av Polismyndig- heten, Tullverket, Kustbevakningen, Skatteverket, Ekobrottsmyn- digheten, Åklagarmyndigheten, domstolarna och Kriminalvården.

En behörig myndighet ska dock bara tillämpa brottsdatalagen vid behandling av personuppgifter för brottsbekämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet. Syftet med behandlingen av personuppgifter i det en- skilda fallet blir därmed av avgörande betydelse för när lagen ska tillämpas, inte verksamheten som sådan. Om en behörig myndighet även har andra arbetsuppgifter, ska lagen inte tillämpas vid den personuppgiftsbehandling som utförs för de syftena.

Även andra än myndigheter som har fått till uppgift att utöva myndighet inom lagens tillämpningsområde är behöriga myndig- heter i lagens mening.

Lagen gäller enbart för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling som ingår i eller är avsedd att ingå i en strukturerad samling av per- sonuppgifter som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier.

Lagen gäller inte vid Säkerhetspolisens behandling av person- uppgifter som rör nationell säkerhet eller om Polismyndigheten har övertagit en arbetsuppgift som rör nationell säkerhet från Säker- hetspolisen.

Brottsdatalagen är subsidiär till annan lagstiftning. Det innebär att det kan finnas avvikande bestämmelser i registerförfattningarna

301

Brottsdatalagens innehåll

SOU 2017:74

för de behöriga myndigheterna. En behörig myndighet som saknar registerförfattning ska tillämpa brottsdatalagen för sådan person- uppgiftsbehandling som ligger inom lagens tillämpningsområde.

Rättslig grund för behandlingen av personuppgifter

All behandling av personuppgifter ska ha en rättslig grund. I brottsdatalagen finns det två bestämmelser om rättslig grund. En- ligt 2 kap. 1 § får personuppgifter behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra en arbetsuppgift i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa en straffrättslig påföljd eller upprätthålla allmän ordning och säkerhet. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut av regeringen. Enligt 2 kap. 2 § får person- uppgifter även behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning.

Ändamål för behandlingen av personuppgifter

Personuppgifter får enligt 2 kap. 3 § bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Om det inte framgår av sammanhanget eller på annat sätt för vilket ändamål personupp- gifterna behandlas, ska det tydliggöras genom en särskild upplys- ning. Det som åsyftas är ändamålet i det enskilda fallet, t.ex. att personuppgifterna behandlas i en viss förundersökning eller för handläggningen av ett visst brottmål.

Innan personuppgifter får behandlas för ett nytt ändamål som ligger inom brottsdatalagens tillämpningsområde ska det enligt 2 kap. 4 § säkerställas att det finns en rättslig grund för den nya be- handlingen och att behandlingen är nödvändig och proportionerlig för det nya ändamålet.

De behöriga myndigheterna får även enligt 2 kap. 5 § behandla personuppgifter för vetenskapliga, statistiska eller historiska ända- mål inom lagens tillämpningsområde.

302

SOU 2017:74

Brottsdatalagens innehåll

Krav på behandlingen av personuppgifter

Personuppgifter ska enligt 2 kap. 6 § behandlas författningsenligt och på ett korrekt sätt och enligt 2 kap. 8 § vara adekvata och rele- vanta i förhållande till ändamålen med behandlingen. Fler person- uppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Personuppgifterna ska dessutom enligt 2 kap. 7 § vara korrekta och, om det är nödvändigt, uppdate- rade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet.

Vidare ska det så långt möjligt görs åtskillnad mellan olika typer av personuppgifter. Kategorier av registrerade ska enligt 2 kap. 9 § kunna skiljas från varandra, t.ex. misstänkta och brottsoffer. Om det inte framgår av sammanhanget eller på annat sätt, ska det tyd- liggöras genom en särskild upplysning. Likaså ska enligt 2 kap. 10 § personuppgifter som grundar sig på fakta skiljas från uppgifter som grundar sig på personliga bedömningar. Om grunden inte framgår av sammanhanget eller på annat sätt ska den tydliggöras genom en särskild upplysning.

Behandling av känsliga personuppgifter

Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsik- ter, religiös eller filosofisk övertygelse eller medlemskap i fackföre- ning eller som rör hälsa, sexualliv eller sexuell läggning benämns känsliga personuppgifter och får enligt huvudregeln i 2 kap. 11 § inte behandlas. I de fall där uppgifter om en person redan behand- las får de dock kompletteras med känsliga personuppgifter när det är absolut nödvändigt för ändamålet med behandlingen.

Även biometriska uppgifter som används för att identifiera en person och genetiska uppgifter är enligt 2 kap. 12 § känsliga per- sonuppgifter. De får behandlas endast om det är särskilt föreskrivet och absolut nödvändigt för ändamålet med behandlingen.

Det är enligt 2 kap. 14 § förbjudet att göra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. Även sökningar som är tillåtna kan ibland resultera i ett sådant urval, men frågan om de uppgifter som tas fram får fortsätta att behandlas ska bedömas med utgångspunkt i de allmänna reglerna om behandling

303

Brottsdatalagens innehåll

SOU 2017:74

av personuppgifter. För sådana sammanställningar av personupp- gifter ska gälla absolut sekretess.

Rättelse, komplettering och radering av personuppgifter

Alla rimliga åtgärder ska enligt 2 kap. 15 § vidtas för att person- uppgifter som är felaktiga eller ofullständiga med hänsyn till ända- målet med behandlingen utan onödigt dröjsmål rättas och för att hindra att sådana uppgifter lämnas ut eller görs tillgängliga. Person- uppgifter som är inaktuella ska uppdateras om det är nödvändigt.

Alla rimliga åtgärder ska också enligt 2 kap. 16 § vidtas för att personuppgifter som behandlas i strid med grundläggande bestäm- melser om behandling utan onödigt dröjsmål raderas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Om personuppgifterna behöver finnas kvar som bevisning ska i stället behandlingen av uppgifterna utan onödigt dröjsmål begränsas.

Längsta tid som personuppgifter får behandlas

Personuppgifter får enligt huvudregeln i 2 kap. 17 § inte behandlas längre än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Det hindrar inte att en behörig myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. Om det inte finns en författningsbestämmelse om när en viss kategori av personuppgifter inte längre får behandlas för andra ändamål än arkivändamål, ska den personuppgiftsansva- rige enligt 2 kap. 18 § årligen se över behovet av att fortsätta att be- handla personuppgifterna.

Automatiserade beslut

Om ett beslut, som har rättsliga följder för en fysisk person eller annars i betydande grad påverkar honom eller henne, enbart grun- das på automatiserad behandling av sådana personuppgifter som är avsedda att bedöma hans eller hennes egenskaper, ska personen enligt 2 kap. 19 § ha möjlighet att på begäran få beslutet omprövat

304

SOU 2017:74

Brottsdatalagens innehåll

av någon person. Automatiserade beslut som grundas enbart på känsliga personuppgifter förbjuds.

Behandling för ändamål utanför brottsdatalagens tillämpningsområde

I 2 kap. 21 § erinras om att dataskyddsförordningen ska tillämpas när en behörig myndighet behandlar personuppgifter för ändamål utanför brottsdatalagens tillämpningsområde. Det innebär att för- ordningen ska tillämpas bl.a. när personuppgifter behandlas för att eventuellt lämnas ut till någon annan än en behörig myndighet för den myndighetens behov eller när en brottsbekämpande myndighet överväger att lämna ut personuppgifter för att användas i annan verksamhet som myndigheten bedriver.

3.2.2Personuppgiftsansvarigas skyldigheter

Personuppgiftsansvarets omfattning

I 3 kap. 1 § slås fast att den personuppgiftsansvarige är ansvarig för all behandling av personuppgifter som utförs under dennes ledning eller på dennes vägnar. Vem som är personuppgiftsansvarig framgår som regel av myndigheternas registerförfattningar.

Åtgärder för att säkerställa författningsenlig behandling

I 3 kap. 2–5 §§ anges vilka tekniska och organisatoriska åtgärder en personuppgiftsansvarig är skyldig att vidta för att säkerställa och kunna visa att personuppgiftsbehandlingen är författningsenlig och att registrerades rättigheter skyddas. Det rör sig både om inbyggt dataskydd, dataskydd som standard och krav på loggning i auto- matiserade behandlingssystem.

Den personuppgiftsansvarige ska också enligt 3 kap. 6 § se till att tillgången till personuppgifter begränsas till vad varje tjänste- man behöver för att kunna fullgöra sina arbetsuppgifter.

I 3 kap. 7 § regleras den personuppgiftsansvariges skyldighet att både inför en ny typ av behandling och vid betydande förändringar av redan pågående behandling, som antas medföra särskild risk för intrång i registrerades personliga integritet, göra en s.k. konse-

305

Brottsdatalagens innehåll

SOU 2017:74

kvensbedömning. Om den visar att det finns särskild risk för intrång i registrerades integritet, eller om typen av behandling inne- bär särskild risk för intrång, ska den personuppgiftsansvarige sam- råda med tillsynsmyndigheten innan behandlingen påbörjas eller förändringen genomförs, s.k. förhandssamråd.

Säkerheten för personuppgifter

Den personuppgiftsansvarige är enligt 3 kap. 8 § skyldig att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda per- sonuppgifterna, särskilt mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada.

Om det inträffar en personuppgiftsincident ska den personupp- giftsansvarige enligt 3 kap. 9 § anmäla det till tillsynsmyndigheten inom 72 timmar från det att den personuppgiftsansvarige fick kän- nedom om incidenten. Anmälningsskyldigheten gäller dock inte om incidenten rör nationell säkerhet. Någon anmälan behöver inte heller göras bl.a. om det kan antas att incidenten inte har medfört eller kommer att medföra någon risk för otillbörligt intrång i regi- strerades personliga integritet.

Den personuppgiftsansvarige ska enligt 3 kap. 10 § underrätta den registrerade om sådana personuppgiftsincidenter som ska an- mälas till tillsynsmyndigheten. Någon underrättelse behöver dock inte lämnas om det gäller sekretess eller tystnadsplikt, vilket fram- går av 3 kap. 11 §. Det finns även vissa andra undantag från anmäl- ningskyldigheten.

Samarbete med tillsynsmyndigheten

Enligt 3 kap. 12 § ska den personuppgiftsansvarige samarbeta med tillsynsmyndigheten när den utför uppgifter enligt brottsdatalagen med tillhörande förordning. Skyldigheten, som är mer långtgående än kraven i förvaltningslagen, gäller generellt.

306

SOU 2017:74

Brottsdatalagens innehåll

Dataskyddsombud

Den personuppgiftsansvarige ska enligt 3 kap. 13 § utse data- skyddsombud och anmäla till tillsynsmyndigheten när sådana utses och entledigas. Dataskyddsombudens uppgifter anges i 3 kap. 14 §. Ombuden ska bl.a. självständigt kontrollera att den personupp- giftsansvarige behandlar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter. Om den per- sonuppgiftsansvarige bryter mot bestämmelser om behandling av personuppgifter och inte vidtar rättelse, ska dataskyddsombudet enligt 3 kap. 15 § anmäla det till tillsynsmyndigheten.

Personuppgiftsbiträden

Enligt 3 kap. 17 § får den personuppgiftsansvarige får anlita person- uppgiftsbiträden om det är lämpligt. Den personuppgiftsansvarige ska försäkra sig om att biträdet vidtar lämpliga tekniska och organi- satoriska åtgärder för att behandlingen av personuppgifter ska vara författningsenlig och för att skydda registrerades rättigheter. Det ska enligt 3 kap. 18 § upprättas ett skriftligt avtal eller en annan skriftlig överenskommelse om personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räkning.

Ett personuppgiftsbiträde och de som arbetar under biträdets ledning får enligt 3 kap. 19 § bara behandla personuppgifter i enlig- het med instruktioner från den personuppgiftsansvarige.

Gemensamt personuppgiftsansvar

Två eller flera myndigheter får enligt 3 kap. 21 § vara gemensamt personuppgiftsansvariga endast i den utsträckning det följer av lag eller förordning eller regeringen i ett enskilt fall beslutar om det.

307

Brottsdatalagens innehåll

SOU 2017:74

3.2.3Enskildas rättigheter

Rätten till information

Den personuppgiftsansvarige ska enligt 4 kap. 1 § göra viss allmän information tillgänglig för registrerade, exempelvis på myndighe- tens webbplats. Det gäller den personuppgiftsansvariges identitet och kontaktuppgifter, dataskyddsombudets kontaktuppgifter, än- damålen med behandlingen, rätten att få information och att begära rättelse, radering eller begränsning av behandlingen och möjlig- heten att lämna in klagomål till tillsynsmyndigheten och kontakt- uppgifterna till den.

I specifika fall ska den personuppgiftsansvarige enligt 4 kap. 2 § på eget initiativ lämna viss ytterligare information till den registre- rade, om det behövs för att han eller hon ska kunna ta tillvara sina rättigheter. Det rör sig om bl.a. information om den rättsliga grun- den för behandlingen, kategorier av mottagare av uppgifterna, hur länge uppgifterna får behandlas och övrig nödvändig information.

Den personuppgiftsansvarige ska vidare enligt 4 kap. 3 § till den som begär det utan onödigt dröjsmål lämna skriftligt besked om personuppgifter som rör honom eller henne behandlas. Om så är fallet ska sökanden få del av dem och få viss information om be- handlingen. Informationen avser bl.a. vilka personuppgifter om sökanden som behandlas, varifrån de kommer, den rättsliga grun- den för behandlingen, ändamålen med behandlingen och hur länge personuppgifterna får behandlas.

Den som har varit föremål för ett automatiserat beslut får enligt 4 kap. 4 § begära närmare information om beslutet.

Information enligt 4 kap. 1, 2 och 4 §§ ska enligt 4 kap. 12 § lämnas utan avgift. Information enligt 4 kap. 3 § ska lämnas utan avgift en gång per år.

Begränsning av rätten till information

Rätten till information enligt 4 kap. 2 eller 3 § får enligt 4 kap. 5 § begränsas i den utsträckning det är författningsreglerat eller fram- går av beslut som har meddelats med stöd av författning att upp- gifter inte får lämnas ut. Begränsning får dock bara göras av hänsyn till vissa i paragrafen uppräknade intressen, bl.a. intresset av att

308

SOU 2017:74

Brottsdatalagens innehåll

förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätt- hålla allmän ordning och säkerhet och intresset av att nationell säkerhet skyddas.

Om det finns grund för att begränsa informationen är den per- sonuppgiftsansvarige inte skyldig att lämna ut skälen för beslutet eller för beslut i fråga om rättelse, radering eller begränsning av behandlingen.

Motsvarande undantag från informationsskyldigheten gäller för en behörig myndighet som inte tillämpar offentlighets- och sekre- tesslagen.

Rätten till rättelse, radering och begränsning av behandlingen

På begäran av den registrerade ska den personuppgiftsansvarige enligt 4 kap. 9 § utan onödigt dröjsmål rätta eller komplettera per- sonuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen. Om den personuppgiftsansvarige inte kan fastställa att personuppgifterna är korrekta ska behand- lingen av dem i stället utan onödigt dröjsmål begränsas.

På begäran av den registrerade ska den personuppgiftsansvarige enligt 4 kap. 10 § utan onödigt dröjsmål radera personuppgifter om de behandlas på otillåtet sätt. Detsamma gäller om radering krävs för att den personuppgiftsansvarige ska fullgöra en rättslig för- pliktelse. Om uppgifterna behöver sparas som bevisning ska be- handlingen av dem i stället utan onödigt dröjsmål begränsas.

Den personuppgiftsansvarige avgör enligt 4 kap. 11 § vilken åt- gärd som ska vidtas med anledning av en begäran om rättelse, rade- ring eller begränsning av behandlingen.

3.2.4Tillsyn

Tillsynsmyndighetens uppdrag och arbetsuppgifter

I 5 kap. 1 § anges de dubbla perspektiv som tillsynsmyndigheten ska ha. Myndigheten ska verka både för att fysiska personers grundläggande fri- och rättigheter skyddas i samband med behand-

309

Brottsdatalagens innehåll

SOU 2017:74

ling av personuppgifter och för att underlätta det fria flödet av per- sonuppgifter inom brottsdatalagens tillämpningsområde.

I 5 kap. 2–4 §§ anges vilka arbetsuppgifter tillsynsmyndigheten ska ha. Tillsynsmyndigheten ska utöva allmän tillsyn över person- uppgiftsbehandling, handlägga klagomål från registrerade, på begä- ran kontrollera om personuppgifter behandlas författningsenligt, ge råd och stöd till personuppgiftsansvariga och personuppgiftsbi- träden och på begäran bistå tillsynsmyndigheter i andra medlems- stater.

Tillsynsmyndighetens befogenheter

Tillsynsmyndighetens befogenheter regleras i 5 kap. 5–7 §§. Befo- genheterna bildar en trappa, där successivt mer ingripande befogen- heter kan användas.

Tillsynsmyndigheten har enligt 5 kap. 5 §, som reglerar myndig- hetens undersökande befogenheter, rätt att av personuppgiftsan- svariga på begäran få bl.a. tillgång till de personuppgifter som be- handlas, upplysningar om och dokumentation av behandlingen av personuppgifter och säkerhets- och skyddsåtgärder, tillträde till lokaler som den personuppgiftsansvarige disponerar och det biträ- de som behövs för att utöva tillsynen.

Om tillsynsmyndigheten bedömer att det finns risk för att per- sonuppgifter kan komma att behandlas i strid med lag eller annan författning ska myndigheten enligt 5 kap. 6 §, som reglerar de före- byggande befogenheterna, genom råd, rekommendationer eller påpekanden försöka förmå den personuppgiftsansvarige eller per- sonuppgiftsbiträdet att vidta åtgärder för att minska den risken. Myndigheten får utfärda en skriftlig varning för att planerad be- handling riskerar att stå i strid med lag eller annan författning. Var- ning får även utfärdas om det finns risk för att pågående behandling kan komma att strida mot lag eller annan författning.

Om tillsynsmyndigheten konstaterar att personuppgifter be- handlas i strid med lag eller annan författning, eller att den person- uppgiftsansvarige eller personuppgiftsbiträdet annars inte fullgör sina skyldigheter, får myndigheten använda sina korrigerande befo- genheter. De regleras i 5 kap. 7 §. Tillsynsmyndigheten får före- lägga den personuppgiftsansvarige eller personuppgiftsbiträdet att

310

SOU 2017:74

Brottsdatalagens innehåll

vidta åtgärder för att behandlingen ska bli författningsenlig eller för att uppfylla andra skyldigheter. Om bristen är allvarlig får myndig- heten förbjuda fortsatt behandling och myndigheten får även be- sluta om sanktionsavgift. Myndigheten får också använda sina före- byggande befogenheter, med undantag för varning.

Innan tillsynsmyndigheten fattar ett bindande beslut ska enligt 5 kap. 8 § den som beslutet gäller ges tillfälle att yttra sig.

Besked angående handläggningen av klagomål

Om tillsynsmyndigheten inte inom tre månader från det att ett klagomål kom in har tagit ställning till om tillsyn ska utövas i an- ledning av klagomålet, ska myndigheten enligt 5 kap. 9 § på skrift- lig begäran av den registrerade antingen lämna besked i frågan eller i ett särskilt beslut avslå begäran. Besked eller beslut ska meddelas inom två veckor från det att begäran kom in till myndigheten. Om tillsynsmyndigheten har avslagit en sådan begäran om besked får den registrerade enligt 5 kap. 10 § återkomma med en ny begäran om besked först efter tre månader.

Samarbete med tillsynsmyndigheter i andra medlemsstater

På begäran av en tillsynsmyndighet i en annan medlemsstat ska den svenska tillsynsmyndigheten bistå den utländska myndigheten. Tillsynsmyndigheten får då enligt 5 kap. 12 § använda sina vanliga befogenheter. En begäran om bistånd får enligt 5 kap. 11 § bara vägras om det skulle strida mot en bindande unionsrättsakt, en lag eller en förordning att tillmötesgå den.

Tillsynsmyndigheten får enligt 5 kap. 13 §, om det är förenligt med svenska intressen, lämna ut en sekretessbelagd uppgift till en behörig tillsynsmyndighet i en annan medlemsstat.

Information som tillsynsmyndigheten efter begäran har fått från en tillsynsmyndighet i en annan medlemsstat får enligt 5 kap. 14 § inte användas för något annat ändamål än det för vilket informatio- nen begärdes.

311

Brottsdatalagens innehåll

SOU 2017:74

Förfarandet när det finns anledning att ifrågasätta en unionsrättsakt

Om tillsynsmyndigheten vid handläggningen av ett ärende bedö- mer att det finns särskilda skäl att ifrågasätta giltigheten av en unionsrättsakt som påverkar tillämpningen av brottsdatalagen, får myndigheten enligt 5 kap. 15 § hos allmän förvaltningsdomstol an- söka om att en korrigerande åtgärd ska vidtas. Genom att föra talan vid domstol öppnas möjlighet för domstolen att begära ett för- handsavgörande av EU-domstolen.

3.2.5Sanktioner, skadestånd och rättsmedel

Sanktionsavgift

Ett nytt sanktionssystem med administrativa sanktionsavgifter in- förs. Regleringen innebär att den personuppgiftsansvarige ska be- tala sanktionsavgift om regelsystemet överträds. I vissa fall kan även personuppgiftsbiträden bli skyldiga att betala sanktionsavgift.

De överträdelser som kan föranleda att sanktionsavgift tas ut av den personuppgiftsansvarige räknas uttömmande upp i 6 kap. 1 §. Det gäller först och främst överträdelser som innebär att person- uppgifter behandlas på otillåtet sätt. Sanktionsavgift kan också tas ut om den personuppgiftsansvarige har underlåtit att anmäla en personuppgiftsincident till tillsynsmyndigheten, inte har dokumen- terat sådana incidenter, inte har bistått tillsynsmyndigheten på det sätt som krävs enligt lagen eller har underlåtit att följa bindande beslut som tillsynsmyndigheten har meddelat. I 6 kap. 2 § regleras i vilka fall sanktionsavgift får tas ut av personuppgiftsbiträden.

I 6 kap. 3 § anges hur stor sanktionsavgift som får tas ut. Sank- tionsavgiften är lägst 25 000 kronor och högst 10 miljoner kronor vid mindre allvarliga överträdelser. Vilka överträdelser som räknas som mindre allvarliga anges i paragrafen. Vid andra överträdelser är sanktionsavgiften lägst 50 000 kronor och högst 20 miljoner kro- nor. Om flera bestämmelser har överträtts genom samma person- uppgiftsbehandling eller genom sammankopplade behandlingar ska sanktionsavgiften bestämmas med hänsyn till samtliga överträdel- ser. Avgiften får dock aldrig överstiga maximibeloppet för den all- varligaste överträdelsen.

312

SOU 2017:74

Brottsdatalagens innehåll

I 6 kap. 4 § anges hur sanktionsavgiften ska bestämmas i det en- skilda fallet. Både vid bedömningen av om sanktionsavgift ska tas ut och när storleken på avgiften bestäms ska särskild hänsyn tas till bl.a. om överträdelsen varit uppsåtlig eller berott på oaktsamhet, den skada, fara eller kränkning som överträdelsen inneburit, över- trädelsens karaktär, svårhetsgrad och varaktighet och vad den per- sonuppgiftsansvarige gjort för att begränsa skadan.

Sanktionsavgift får enligt 6 kap. 5 § sättas ned helt eller delvis om överträdelsen är ursäktlig eller om det annars skulle vara oskä- ligt att ta ut avgift.

Skadestånd

Den personuppgiftsansvarige ska enligt 7 kap. 1 § ersätta den regi- strerade för den skada och kränkning av den personliga integriteten som behandling av personuppgifter i strid med lagen har orsakat. Någon möjlighet till jämkning av skadeståndet finns inte, t.ex. om någon annan har vidarebefordrat felaktiga personuppgifter som den personuppgiftsansvarige sedan har behandlat.

Överklagande av beslut som en myndighet fattat i egenskap av personuppgiftsansvarig

Beslut i fråga om bl.a. rättelse, komplettering, radering eller be- gränsning av behandlingen, som en myndighet har fattat i egenskap av personuppgiftsansvarig, får enligt 7 kap. 2 § överklagas till all- män förvaltningsdomstol. Uppräkningen av vilka beslut som får överklagas är uttömmande. Prövningstillstånd krävs vid överkla- gande till kammarrätten.

Överklagande av tillsynsmyndighetens beslut

Om den som har lämnat in ett klagomål till tillsynsmyndigheten inte inom tre månader har fått besked av myndigheten om klago- målet kommer att leda till tillsyn, får klaganden begära ett skriftligt besked i frågan och kan därefter, om myndigheten avslår begäran, enligt 7 kap. 3 § föra s.k. dröjsmålstalan i allmän förvaltningsdom-

313

Brottsdatalagens innehåll

SOU 2017:74

stol. En sådan talan innebär att domstolen bara tar ställning till om tillsynsmyndigheten borde ha lämnat klaganden besked, inte om tillsyn ska utövas eller inte. Domstolen kan förelägga tillsynsmyn- digheten att inom viss tid ge klaganden besked i fråga om tillsyn kommer att utövas.

Andra beslut som tillsynsmyndigheten har meddelat får enligt 7 kap. 4 § överklagas till allmän förvaltningsdomstol. Vid överkla- gande till kammarrätten krävs prövningstillstånd.

Några andra beslut än de som nu har angetts får enligt 7 kap. 5 § inte överklagas.

3.2.6Överföring av personuppgifter till tredjeland och internationella organisationer

Förutsättningar för att överföring ska vara tillåten

I 8 kap. 1–5 §§ anges förutsättningarna för att personuppgifter ska få överföras till ett tredjeland eller en internationell organisation. Personuppgifter får endast överföras om överföringen görs av en behörig myndighet och är nödvändig för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verk- ställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet och överföringen riktas till en behörig myndighet i ett tredjeland eller till en internationell organisation som är en behörig myndighet. Dessutom ska det finnas en adekvat skyddsnivå för behandlingen av personuppgifter i det tredjelandet eller hos den internationella organsationen. Beslut om adekvat skyddsnivå med- delas av Europeiska kommissionen. Om det inte finns ett sådant beslut får personuppgifterna ändå överföras om tillräckliga skydds- åtgärder har fastställts i ett avtal eller garanteras på annat sätt. I sista hand får personuppgifter överföras om överföringen är nöd- vändig i någon av de i lagen angivna undantagssituationerna.

Enligt 8 kap. 2 § får personuppgifter som en svensk myndighet har fått från en annan medlemsstat inte överföras till ett tredjeland eller en internationell organisation utan förhandsmedgivande av den medlemsstaten. Om medgivande inte hinner inhämtas får dock uppgifterna ändå överföras om det är nödvändigt för att avvärja en omedelbar och allvarlig fara för allmän säkerhet.

314

SOU 2017:74

Brottsdatalagens innehåll

Vidareöverföring

S.k. vidareöverföring regleras i 8 kap. 6 §. Med det avses överföring av personuppgifter som har lämnats av en medlemstat till en annan och som sedan har överförts till antingen ett tredjeland eller en internationell organisation som i sin tur vill överföra uppgifterna till antingen ett tredjeland eller en internationell organisation. En svensk myndighet får inte ge tillstånd till sådan vidareöverföring om personuppgifterna har kommit från en annan medlemsstat och den staten inte har medgett vidareöverföring. När en svensk behö- rig myndighet ska ta ställning till om personuppgifter ska få vida- reöverföras ska enligt 8 kap. 7 § särskild vikt läggas vid bl.a. brot- tets allvar, allvaret i faran för allmän säkerhet och det ändamål för vilket personuppgifterna ursprungligen lämnades till den andra medlemsstaten.

Överföring till någon annan än en behörig myndighet

I vissa fall kan personuppgifter behöva överföras till någon som inte är en behörig myndighet i ett tredjeland, t.ex. direkt till en målsägande som är etablerad där. Det får enligt 8 kap. 8 § göras endast om det är absolut nödvändigt för att den svenska myndig- heten ska kunna utföra en sådan arbetsuppgift som gör lagen till- lämplig och myndigheten underrättar mottagaren om för vilket eller vilka ändamål personuppgifterna får behandlas. Dessutom krävs att det skulle vara ineffektivt eller olämpligt att överföra per- sonuppgifterna till en behörig myndighet i det tredjelandet.

Villkor om användningsbegränsning

Om en svensk behörig myndighet har fått personuppgifter från ett tredjeland eller en internationell organisation och det på grund av en överenskommelse med det tredjelandet eller den internationella organisationen gäller villkor som begränsar möjligheten att använda uppgifterna, ska enligt 8 kap. 9 § svenska myndigheter följa villko- ren oavsett vad som är föreskrivet i lag eller annan författning.

En svensk behörig myndighet får, vid överföring av personupp- gifter till ett tredjeland eller en internationell organisation, enligt

315

Brottsdatalagens innehåll

SOU 2017:74

8 kap. 10 § i ett enskilt fall ställa upp villkor som begränsar motta- garens möjlighet att använda uppgifterna om det krävs med hänsyn till enskilds rätt eller från allmän synpunkt.

3.2.7Ikraftträdande och övergångsbestämmelser

Utredningen föreslår i delbetänkandet att den nya lagstiftningen ska träda i kraft den 1 maj 2018. Det nya sanktionssystemet kräver särskilda övergångsbestämmelser. Det krävs också särskilda över- gångsbestämmelser för hur pågående mål och ärenden om bl.a. tillsyn och skadestånd ska hanteras. Bestämmelserna om loggning i automatiserade behandlingssystem som inrättats före den 6 maj 2018 behöver inte tillämpas förrän den 1 maj 2023.

316

4Framtida utformning av registerförfattningarna

4.1Utgångspunkter

I utredningens uppdrag ingår att se över vissa författningar som reglerar personuppgiftsbehandling inom direktivets tillämpnings- område. Det gäller lagen (2001:617) om behandling av personupp- gifter inom kriminalvården, polisdatalagen (2010:361), kustbevak- ningsdatalagen (2012:145), åklagardatalagen (2015:433), domstols- datalagen (2015:728), tullbrottsdatalagen (2017:447) och skatte- brottsdatalagen (2017:452), alla med tillhörande förordningar. I det följande benämns de registerförfattningarna.

Uppdraget omfattar dels att analysera i vilken utsträckning för- fattningarna står i överensstämmelse med bestämmelserna i direkti- vet, dels att anpassa dem till de krav som ställs där och till förslagen i delbetänkandet. Utredningen ska enligt direktiven så långt det är lämpligt och möjligt sträva efter lösningar som är förenliga med gällande författningar och systematik (dir. 2016:21 s. 6).

Som redovisas i kapitel 3 föreslår utredningen i delbetänkandet en ny lag, brottsdatalagen, som kommer att fylla ungefär samma funktion som personuppgiftslagen gör i dag i verksamhet som rör brottsbekämpning, lagföring, straffverkställighet och upprätthål- lande av allmän ordning och säkerhet. I delbetänkandet konstaterar utredningen att det, vid sidan av brottsdatalagen, alltjämt kommer att behövas bestämmelser som tar hänsyn till de särskilda behov en viss behörig myndighet har av att kunna behandla personuppgifter för att utföra sina arbetsuppgifter. Sådan särreglering bör finnas i myndigheternas registerförfattningar (se SOU 2017:29 s. 140 f.).

317

Framtida utformning av registerförfattningarna

SOU 2017:74

4.2Det krävs anpassningar till den nya dataskyddsregleringen

Regleringen i registerförfattningarna utgår i dag från personupp- giftslagen, antingen genom att registerförfattningen gäller i stället för personuppgiftslagen men hänvisar till ett antal bestämmelser i den lagen eller genom att registerförfattningen gäller utöver per- sonuppgiftslagen.

Personuppgiftslagen, som är tillämplig vid personuppgiftsbe- handling i hela samhället, är allmänt hållen och tar i mycket begrän- sad utsträckning hänsyn till de särskilda behov som vissa samhälls- sektorer har. I och med att brottsdatalagen innehåller bestämmelser som är skräddarsydda för brottsbekämpning, lagföring, straffverk- ställighet och upprätthållande av allmän ordning och säkerhet min- skar behovet av att ha särregler i registerförfattningarna. Att den nya regleringen leder till större enhetlighet underlättar informa- tionsflödet, vilket är ett övergripande syfte med direktivet.

Utredningens utgångspunkt är att de generella bestämmelserna i brottsdatalagen ska ersätta motsvarande bestämmelser i registerför- fattningarna. Om det inte finns några sakliga skäl för särlösningar bör regleringarna så långt det är möjligt vara likadana för att under- lätta informationsutbytet. Det innebär att registerförfattningarna enligt utredningens mening ibland bör anpassas till varandra, även om det inte krävs för genomförandet av direktivet.

I detta kapitel tar utredningen upp några övergripande frågor som rör den framtida utformningen av myndigheternas register- författningar, medan behovet av ändringar i var och en av dem behandlas i de följande kapitlen. Vissa ändringar är desamma för flertalet av författningarna, medan det i andra fall krävs särskilda lösningar. Utredningen behandlar behovet av generella ändringar i kapitel 5 och 6, medan ändringar som är specifika för en viss myn- dighets registerförfattning behandlas i kapitel 7–13. Säkerhetspoli- sens personuppgiftsbehandling, som i dag regleras i polisdatalagen men ligger utanför brottsdatalagens tillämpningsområde, behandlas i kapitel 14 och 15.

318

SOU 2017:74

Framtida utformning av registerförfattningarna

4.3Merparten av bestämmelserna är förenliga med dataskyddsdirektivet

Utredningens bedömning: Merparten av bestämmelserna i registerförfattningarna är förenliga med direktivet och behöver inte ändras av det skälet. Många bestämmelser behöver dock ändras av andra skäl, bl.a. för att få en enhetlig terminologi. Det krävs också omfattande redaktionella ändringar.

Skälen för utredningens bedömning: Med undantag för krimi- nalvårdens lagstiftning har alla registerförfattningar som uppdraget omfattar tillkommit under de senaste åren. Det innebär att de uppfyller kraven som ställs i dataskyddsrambeslutet. Mot bakgrund av att direktivet i stor utsträckning bygger vidare på regleringen i dataskyddsrambeslutet är registerförfattningarna redan till stor del anpassade till de krav som ställs i direktivet. Det utesluter inte att det även i de nya registerförfattningarna kan finnas enskilda be- stämmelser som behöver ändras för att stå i överensstämmelse med hur brottsdatalagen genomför direktivet, eftersom det tillkommit vissa krav. Utredningen har vid en genomgång av de enskilda be- stämmelserna funnit att flertalet av dem inte behöver ändras för att uppfylla kraven i direktivet.

När det gäller Kriminalvårdens lagstiftning avviker den i många avseenden från den modernare lagstiftning som gäller för flertalet behöriga myndigheter. I motsats till de flesta andra registerförfatt- ningarna gäller Kriminalvårdens dessutom utöver personuppgiftsla- gen och skiljer sig på så sätt från de övriga även strukturmässigt. Den regleringen kräver därför särskilda överväganden.

Skillnaderna i fråga om registerförfattningarnas tillämpningsom- råden får betydelse för hur de bör anpassas till brottsdatalagen. Eftersom vissa författningar gäller för personuppgiftsbehandling både inom och utanför brottsdatalagens tillämpningsområde går det inte att använda samma mall för hur alla registerförfattningar bör anpassas till brottsdatalagen.

Eftersom det finns fler bestämmelser av generell karaktär i brottsdatalagen än i personuppgiftslagen behövs, som nyss nämnts, inte motsvarande bestämmelser i registerförfattningarna. När många bestämmelser i registerförfattningarna blir överflödiga be-

319

Framtida utformning av registerförfattningarna

SOU 2017:74

höver de omarbetas. Det krävs redaktionella ändringar även av andra skäl, exempelvis på grund av att vissa bestämmelser samlas eller på grund av ändrade hänvisningar. Vissa bestämmelser bör ändras för att få till stånd en mer enhetlig utformning eller termi- nologi, anpassad till brottsdatalagen.

De bestämmelser i registerförfattningarna som utredningen an- ser inte kräver någon saklig ändring kommer inte att kommenteras när respektive författning behandlas. Utredningen kommer inte heller att särskilt kommentera sådana bestämmelser som enbart blir föremål för mindre ändringar av språklig eller redaktionell karaktär.

4.4Lagarnas tillämpningsområden

4.4.1Tillämpningsområdet ska regleras

Utredningens bedömning: Registerlagarna bör även i fortsätt- ningen innehålla bestämmelser om tillämpningsområdet. Regle- ringen bör i likhet med tillämpningsområdet för brottsdatalagen utgå från syftet med personuppgiftsbehandlingen i stället för i vilken verksamhet den utförs.

Skälen för utredningens bedömning

Bestämmelser om tillämpningsområdet bör finnas kvar men anpassas

I dag anges det vilket tillämpningsområde respektive registerför- fattning har t.ex. genom att det föreskrivs att lagen gäller i en viss myndighets brottsbekämpande eller operativa verksamhet. I vissa registerförfattningar fyller bestämmelsen om tillämpningsområdet den funktionen att den anger att författningen gäller för flera myn- digheter (se t.ex. 1 kap. 2 § polisdatalagen). I andra fall har bestäm- melserna till syfte att avgränsa tillämpningsområdet till någon eller några delar av en myndighets verksamhet (se t.ex. 1 kap. 2 § tull- brottsdatalagen och 1 kap. 2 § skattebrottsdatalagen).

Uppdelningen mellan brottsdatalagen och dataskyddsförord- ningen innebär att alla registerförfattningar behöver en tydlig av- gränsning. Det är därför nödvändigt att även i fortsättningen ha bestämmelser om tillämpningsområdet i registerförfattningarna.

320

SOU 2017:74

Framtida utformning av registerförfattningarna

Utredningen återkommer i kapitel 7–14 till hur tillämpningsområ- det bör utformas för de olika myndigheterna.

Från verksamhet till syfte

Syftet med personuppgiftsbehandlingen är avgörande för om brottsdatalagen är tillämplig, medan regleringen i registerlagarna i dag bygger på i vilken verksamhet behandlingen utförs, t.ex. brottsbekämpande verksamhet. Regleringen i brottsdatalagen har sin grund i att direktivet utgår från syftet med behandlingen, inte i vilken verksamhet den utförs. Det är därför inte möjligt att behålla bestämmelser som författningstekniskt knyts till den verksamhet där behandlingen utförs. Utredningen redovisar i delbetänkandet ingående vad det innebär för tillämpningen att fokus flyttas från verksamheten som sådan till syftet med den enskilda behandlingen (se SOU 2017:29 s. 181 f.).

Utredningen har, i enlighet med direktiven för arbetet, strävat efter att behålla inarbetade begrepp. Mot bakgrund av regleringen i direktivet är det dock inte alltid möjligt. Ett sådant exempel är ut- trycket brottsbekämpande verksamhet, som i dag används i ett fler- tal av registerförfattningarna. Eftersom regleringen ska utgå från syftet med behandlingen av personuppgifter bör uttrycket brotts- bekämpande verksamhet utmönstras ur registerförfattningarna. I stället bör tillämpningsområdet utgå från utformningen av 1 kap. 2 § brottsdatalagen. Det innebär att tillämpningsområdet i varie- rande utsträckning bör knytas till att personuppgifter behandlas i något av de syften som anges i brottsdatalagen, dvs. att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet (se SOU 2017:29 s. 159 f.).

Myndigheten ska agera i egenskap av behörig myndighet

Det är inte enbart syftet med personuppgiftsbehandlingen som avgör om brottsdatalagen är tillämplig. Det krävs också att myndig- heten agerar i egenskap av behörig myndighet enligt den lagen. I 1 kap. 6 § brottsdatalagen definieras behörig myndighet som en myndighet som har till uppgift att förebygga, förhindra eller upp-

321

Framtida utformning av registerförfattningarna

SOU 2017:74

täcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säker- het. Det bör av tillämpningsområdet i respektive registerförfatt- ning framgå att författningen endast är tillämplig när myndigheten agerar i egenskap av behörig myndighet.

Hur förhåller sig regleringarna till varandra?

En särskild fråga är hur man ska se på det förhållandet att tillämp- ningsområdet i en myndighets registerförfattning inte är lika brett som brottsdatalagens tillämpningsområde. Som exempel kan näm- nas att tillämpningsområdet för flertalet registerförfattningar inte omfattar straffverkställighet och inte heller upprätthållande av all- män ordning och säkerhet. Utredningens utgångspunkt är att brottsdatalagen, som ska tillämpas i hela rättskedjan, bildar den yttre ramen och att tillämpningsområdena i registerförfattningarna inskränker rätten att behandla personuppgifter till vad som gäller för en viss myndighet eller till behandling av personuppgifter för vissa syften i en del av dess verksamhet.

En annan viktig fråga är hur brottsdatalagens tillämpningsom- råde och registerförfattningarnas tillämpningsområden förhåller sig till varandra. En utgångspunkt bör vara att en myndighets regis- terförfattning ska reglera all myndighetens personuppgiftsbehand- ling inom brottsdatalagens tillämpningsområde. I dag regleras dock framför allt Polismyndighetens personuppgiftsbehandling inom brottsdatalagens tillämpningsområde i flera olika författningar. Det framgår av 1 kap. 3 § polisdatalagen. Det är mot den bakgrunden inte möjligt att reglera all myndighetens personuppgiftsbehandling inom brottsdatalagens tillämpningsområde i registerförfattningen. Det bör enligt utredningens mening i så stor utsträckning som möjligt framgå av respektive registerförfattning om det finns annan reglering inom brottsdatalagens tillämpningsområde som helt er- sätter regleringen i registerförfattningen. Om det i någon författ- ning finns avvikande bestämmelser som till viss del ersätter regle- ringen i registerförfattningen bör det också framgå på samma sätt som i dag. Det är fallet med särregleringen i lagen (2017:496) om internationellt polisiärt samarbete och föreskrifter som har med- delats i anslutning till den lagen.

322

SOU 2017:74

Framtida utformning av registerförfattningarna

4.4.2Vad innebär det ändrade tillämpningsområdet?

Som framgått kommer de justeringar som görs beträffande till- lämpningsområdet att träffa alla myndigheter i rättskedjan. Det som framför allt får betydelse är att endast den personuppgiftsbe- handling som utförs i vissa angivna syften kommer att omfattas av registerförfattningarnas tillämpningsområde. I dag reglerar regis- terförfattningarna personuppgiftsbehandling såväl i myndigheter- nas kärnverksamhet som för att lämna uppgifter till andra – oavsett för vilket ändamål det görs. Efter anpassningen kommer register- författningarna att i fråga om uppgiftslämnande enbart reglera den personuppgiftsbehandling som ligger inom brottsdatalagens till- lämpningsområde. Det är en direkt effekt av att olika regelverk gäller för personuppgiftsbehandling inom brottsdatalagens respek- tive dataskyddsförordningens tillämpningsområden. Exempel på något som i många fall kommer att ligga utanför tillämpnings- området kan vara när Tullverkets brottsbekämpande verksamhet lämnar uppgifter till verksamheten under Effektiv handel. Utläm- nande av allmänna handlingar enligt tryckfrihetsförordningen lig- ger alltid utanför tillämpningsområdet.

Tillämpningsområdet för alla registerförfattningar blir därmed smalare än i dag, eftersom inte all personuppgiftsbehandling som utförs när en myndighet ägnar sig åt brottsbekämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet har ett sådant syfte att registerförfattningen är tillämplig.

Det förhållandet att tillämpningsområdet enbart omfattar den som agerar som behörig myndighet har däremot mindre betydelse, eftersom syftet med behandlingen och begreppet behörig myndig- het är så intimt förbundna med varandra och båda förutsättning- arna ska vara uppfyllda för att personuppgiftsbehandlingen ska ligga inom tillämpningsområdet.

323

Framtida utformning av registerförfattningarna

SOU 2017:74

4.5Ska registerförfattningarna reglera frågor som inte rör dataskydd?

Utredningens bedömning: Registerförfattningarna bör även i fortsättningen innehålla sekretessbrytande bestämmelser. De bör också reglera på vilket sätt personuppgifter får tillhandahål- las och viss föreskriftsrätt som inte direkt rör tillämpnings- området.

Skälen för utredningens bedömning

Registerförfattningarna ska även i fortsättningen innehålla annat än bara dataskyddsbestämmelser

Registerförfattningarna innehåller i dag inte bara dataskyddsbe- stämmelser utan också vissa andra bestämmelser som har direkt anknytning till dataskyddsregleringen. En kategori är de sekretess- brytande bestämmelser som finns i flertalet registerförfattningar. Det finns två typer av sådana bestämmelser. Den ena är de som gör det möjligt att medge direktåtkomst till vissa personuppgifter. Den andra är de som har till syfte att bryta sekretessen för visst infor- mationsutbyte som till stor del sker elektroniskt, t.ex. de brottsbe- kämpande myndigheternas informationsutbyte med Interpol och Europol. Enligt utredningens mening har de sekretessbrytande bestämmelserna så nära samband med personuppgiftsbehandlingen att de hör hemma i registerförfattningarna. Det är också svårt att se att de har en naturlig plats i någon annan befintlig författning. De bör därför finnas kvar i registerförfattningarna.

En annan kategori är de bestämmelser som reglerar på vilket sätt personuppgifter får tillhandahållas. Hit hör naturligtvis reglerna om direktåtkomst. I flertalet registerförfattningar finns det också en bestämmelse som föreskriver att endast enstaka personuppgifter får lämnas ut på medium för automatiserad behandling. Även dessa bestämmelser har enligt utredningens mening sin naturliga plats i registerförfattningarna. De medverkar dessutom indirekt till data- skyddet, eftersom de begränsar möjligheten att tillhandahålla per- sonuppgifter elektroniskt.

324

SOU 2017:74

Framtida utformning av registerförfattningarna

Den tredje kategorin är sådana bestämmelser som upplyser om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om att personuppgifter får behandlas för historiska, statistiska och vetenskapliga ändamål och om digital arkivering. Som utredningen utvecklar i avsnitt 5.5.2 och 5.5.3 bör även sådana bestämmelser finnas kvar i registerförfattningarna.

Ställningstagandet att registerförfattningarna även i fortsätt- ningen bör reglera dessa frågor ligger i linje med att det i direktiven för utredningen framhålls att den nuvarande strukturen så långt möjligt bör behållas.

Ingen uttömmande reglering av uppgiftslämnande och sekretessgenombrott

Det kan anmärkas att sekretessbrytande bestämmelser finns både i offentlighets- och sekretesslagen (2009:400) och i andra författ- ningar som också ska tillämpas av de myndigheter vilkas register- författningar ligger inom brottsdatalagens tillämpningsområde. Bestämmelserna i registerförfattningarna reglerar därmed inte ut- tömmande när sekretessen bryts.

Vissa bestämmelser som är sekretessbrytande syftar också till att ange till vem uppgifter får lämnas. Bestämmelser av det slaget finns även i andra författningar, både sådana som reglerar person- uppgiftsbehandling inom brottsdatalagens tillämpningsområde och sådana som helt eller delvis ligger utanför tillämpningsområdet. I exempelvis förordningen (1999:1134) om belastningsregister finns det bestämmelser om uppgiftslämnande både för ändamål inom brottsdatalagens tillämpningsområde och utanför. Registerförfatt- ningarna reglerar alltså inte uttömmande vilket uppgiftslämnande som är tillåtet.

325

5 Generella ändringar

5.1Registerförfattningarna har likartat innehåll

De brottsbekämpande myndigheternas registerförfattningar är uppbyggda på samma sätt och har framför allt i de inledande kapit- len till stor del ett likartat innehåll. Det beror på att polisdatalagen har använts som mönster när nyare registerförfattningar har utfor- mats. Eftersom registerförfattningarna har betydande likheter är behovet av ändringar i dem i stor utsträckning detsamma. Det finns därför anledning att i detta kapitel behandla de ändringar som är desamma för alla eller ett flertal av registerförfattningarna.

Kriminalvårdens registerlagstiftning skiljer sig visserligen till stora delar från övriga registerförfattningar, men även den innehål- ler vissa bestämmelser som liknar dem som finns i de övriga regis- terförfattningarna. När så är fallet behandlas även kriminalvårdens bestämmelser i detta kapitel.

Däremot behandlas domstolarnas registerlagstiftning inte här utan i kapitel 12. Utredningen föreslår där att en ny lag införs för domstolarnas personuppgiftsbehandling inom brottsdatalagens till- lämpningsområde.

Säkerhetspolisens registerlagstiftning diskuteras inte heller i detta avsnitt. Utredningen återkommer till den i avsnitt 14 och 15.

En närmare beskrivning av registerförfattningarna finns i kapi- tel 3 i delbetänkandet (se SOU 2017:29 s. 91 f.).

327

Generella ändringar

SOU 2017:74

5.2En ny lagteknisk struktur

Utredningens förslag: Registerförfattningarna ska gälla utöver brottsdatalagen.

Skälen för utredningens förslag: Polisdatalagen, kustbevaknings- datalagen, åklagardatalagen, tullbrottsdatalagen och skattebrotts- datalagen gäller i stället för personuppgiftslagen (se exempelvis 2 kap. 1 § polisdatalagen). Lagen om behandling av personuppgifter inom kriminalvården har en annan struktur. I 2 § föreskrivs att om inte annat följer av lagen eller föreskrifter som har meddelats med stöd av den tillämpas personuppgiftslagen.

Enligt delbetänkandet bör registerförfattningarna gälla utöver brottsdatalagen (se SOU 2017:29 s. 141 f.). De registerförfatt- ningar som i dag gäller i stället för personuppgiftslagen bör därför anpassas så att de gäller utöver brottsdatalagen. En bestämmelse som anger det bör tas in i respektive registerförfattning. Även Kri- minalvårdens registerlagstiftning bör anpassas så att den gäller ut- över brottsdatalagen i stället för utöver personuppgiftslagen.

I brottsdatalagen finns alla grundläggande bestämmelser om hur personuppgifter får behandlas. Där regleras också den personupp- giftsansvariges skyldigheter, enskildas rättigheter och tillsynen över personuppgiftsbehandling. Brottsdatalagen innehåller vidare be- stämmelser om administrativa sanktionsavgifter, skadestånd och rättsmedel. Där anges också vad som gäller för överföring av per- sonuppgifter till tredjeland. Att registerförfattningarna föreslås gälla utöver brottsdatalagen innebär att de framför allt bör inne- hålla bestämmelser som innebär preciseringar, undantag eller avvi- kelser från bestämmelserna i brottsdatalagen. Det innebär vidare att de bestämmelser som finns i registerförfattningarna ska läsas till- sammans med regleringen i brottsdatalagen. Det kan vara fråga om bestämmelser som t.ex. preciserar vilka särskilda krav som gäller vid behandling av en viss typ av personuppgifter eller hur länge en viss typ av personuppgifter får behandlas. Det kan även finnas be- stämmelser som inskränker möjligheten att behandla vissa person- uppgifter.

En konsekvens av att en registerförfattning gäller utöver brotts- datalagen är att tillämparen inte kan nöja sig med att ta del av regis- terförfattningens reglering utan också måste tolka bestämmelserna

328

SOU 2017:74

Generella ändringar

i registerförfattningen i ljuset av regleringen i brottsdatalagen. Om formuleringen av en bestämmelse i en registerförfattning t.ex. med- ger två olika tolkningar, men bara den ena av dem är förenlig med regleringen i brottsdatalagen, är det den tolkningen som gäller.

I en författning som gäller utöver en annan upprepas inte be- stämmelserna i den överordnade författningen, utom i de fall där det är nödvändigt för förståelsen av en bestämmelse i den först- nämnda författningen. Inte heller görs det hänvisningar till be- stämmelserna i den överordnade författningen om det inte är abso- lut nödvändigt för sammanhanget. En författning som gäller utöver en annan ställer därför särskilda krav på tillämparen.

5.3Bestämmelser som inte längre behövs

5.3.1Hänvisningar till personuppgiftslagen

Utredningens förslag: Alla hänvisningar till personuppgifts- lagen i registerförfattningarna ska upphävas.

Skälen för utredningens förslag

Några hänvisningar till personuppgiftslagen ska inte finnas

Dataskyddsutredningen föreslår att personuppgiftslagen ska upp- höra att gälla den 25 maj 2018, då dataskyddsförordningen ska börja tillämpas (se SOU 2017:39 s. 78 f.). I 2 kap. 2 § polisdatala- gen, 2 kap. 2 § kustbevakningsdatalagen, 2 kap. 2 § åklagardatala- gen, 2 kap. 2 § tullbrottsdatalagen och 2 kap. 2 § skattebrottsdata- lagen räknas det upp vilka paragrafer i personuppgiftslagen som ska tillämpas när personuppgifter behandlas enligt respektive lag. I lagen om behandling av personuppgifter inom kriminalvården finns det inte någon motsvarande uppräkning. Däremot föreskrivs i 8 § att bestämmelserna i personuppgiftslagen om rättelse och skade- stånd gäller även vid behandling av personuppgifter enligt kriminal- vårdens registerförfattning. Det finns även andra bestämmelser i den lagen som hänvisar till personuppgiftslagen.

Brottsdatalagen innehåller en för de behöriga myndigheterna gemensam reglering av all personuppgiftsbehandling som utförs i

329

Generella ändringar

SOU 2017:74

syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. När brottsdatalagen in- förs och personuppgiftslagen upphör att gälla bör det inte längre finnas några hänvisningar till personuppgiftslagen i registerförfatt- ningarna. Sådana bestämmelser bör därför upphävas.

Vissa hänvisningar ska inte ersättas

Alla de hänvisningar till personuppgiftslagen som räknas upp i nyss nämnda bestämmelser har inte någon motsvarighet i brottsdata- lagen. Hit hör bestämmelsen i 8 § första stycket personuppgifts- lagen om förhållandet till offentlighetsprincipen. Som framgår av delbetänkandet regleras den frågan fortsättningsvis i dataskydds- förordningen, varför det inte bör finnas några bestämmelser om förhållandet till offentlighetsprincipen vare sig i brottsdatalagen eller i registerförfattningarna (se SOU 2017:29 s. 179 f.).

Det gäller också kravet i 42 § personuppgiftslagen på upplys- ningar till allmänheten om sådana behandlingar som inte ska anmä- las till tillsynsmyndigheten. Det finns inte längre något behov av en sådan bestämmelse, eftersom varken direktivet eller brottsdatalagen föreskriver någon motsvarande anmälningsskyldighet.

Användningen av personnummer

I 22 § personuppgiftslagen, som registerförfattningarna hänvisar till, föreskrivs det att personnummer och samordningsnummer bara får behandlas utan samtycke när det är klart motiverat bl.a. med hänsyn till ändamålet med behandlingen och vikten av en säker identifiering. Bestämmelsen om behandling av personnum- mer och liknande identifieringsuppgifter har ingen motsvarighet i direktivet. Myndigheter som behöver behandla personnummer och liknande identifieringsuppgifter som ett led i sin verksamhet kan göra det i dag i syfte att fastställa en säker identitet. Utredningen ser inte något behov av att införa en generell bestämmelse som motsvarar 22 § personuppgiftslagen, eftersom kraven på en säker identifiering väger särskilt tungt i verksamhet inom brottsdatala- gens tillämpningsområde och användningen av personnummer och

330

SOU 2017:74

Generella ändringar

liknande identitetsuppgifter därmed nära nog alltid är motiverad. En sådan bestämmelse skulle därför inte fylla någon praktisk funktion för att skydda enskildas integritet. I viss verksamhet kan dock en sådan reglering vara motiverad (se avsnitt 12.4.4).

Undantaget från informationsskyldighet vid ljud och bild

Enligt 23 § personuppgiftslagen ska den personuppgiftsansvarige självmant informera den registrerade om behandling av personupp- gifter som samlas in från den registrerade själv. I 2 kap. 2 § tredje stycket polisdatalagen, 2 kap. 2 § tredje stycket kustbevaknings- datalagen och 2 kap. 2 § tredje stycket tullbrottsdatalagen görs undantag från den informationsskyldigheten vid behandling av personuppgifter genom bilder eller ljud och i samband med larm, om det med hänsyn till omständigheterna inte finns tid att infor- mera. Motsvarande undantag för behandling genom bilder eller ljud görs i 2 kap. 2 § tredje stycket skattebrottsdatalagen.

I brottsdatalagen finns det ingen motsvarighet till informations- skyldigheten i 23 § personuppgiftslagen. I 4 kap. 2 § brottsdatala- gen föreskrivs däremot att den registrerade ska informeras i speci- fika fall om det behövs för att han eller hon ska kunna ta tillvara sina rättigheter (se SOU 2017:29 s. 378 f.).

Enligt utredningens uppfattning fråntas den registrerade inte möjligheten att ta tillvara sina rättigheter om han eller hon inte informeras om att han eller hon förekommer i en bild- eller ljud- upptagning som har tillkommit i annat syfte än att samla in per- sonuppgifter om den registrerade (jfr Integritet och effektivitet i polisens brottsbekämpande verksamhet, prop. 2009/10:85, s. 86 och 314). Det kan t.ex. vara fråga om bilder från en brottsplats eller från en demonstration med våldsinslag eller en filmsekvens från ett oljeutsläpp. Värdet av att informera den enskilde i sådana situatio- ner kan ifrågasättas (jfr Kustbevakningsdatalag, prop. 2011/12:45, s. 81). Detsamma gäller information i samband med larm. De som larmar får anses känna till att deras personuppgifter registreras. Det innebär att det inte behövs någon information för att den regist- rerade ska kunna ta tillvara sina rättigheter.

Utredningen anser att det i dessa båda fall inte rör sig om sådana specifika fall som avses i 4 kap. 2 § brottsdatalagen. Myndigheten är

331

Generella ändringar

SOU 2017:74

då enligt direktivet inte skyldig att informera den registrerade. Det innebär att det nuvarande undantaget från informationsskyldighe- ten inte längre fyller någon funktion och därför bör tas bort.

5.3.2Hänvisningar till 2013 års lag

Utredningens förslag: Bestämmelser som hänvisar till 2013 års lag ska upphävas.

Skälen för utredningens förslag: Utredningen föreslår i delbetän- kandet att lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen (2013 års lag) ska upphävas när brotts- datalagen träder i kraft (se SOU 2017:29 s. 145 f.). I 2 a § lagen om behandling av personuppgifter inom kriminalvården, 1 kap. 5 § polisdatalagen, 1 kap. 2 a § kustbevakningsdatalagen, 1 kap. 3 § åklagardatalagen, 1 kap. 3 § andra stycket tullbrottsdatalagen och 1 kap. 3 § skattebrottsdatalagen hänvisas till att bestämmelserna i 2013 års lag, och i föreskrifter som har meddelats i anslutning till den lagen, ska tillämpas i stället för bestämmelserna i respektive författning. Som en konsekvens av att 2013 års lag upphävs bör alla hänvisningar till den lagen upphävas. Utredningen återkommer till frågan i avsnitt 17.5, eftersom det finns hänvisningar till 2013 års lag i ytterligare några författningar.

5.3.3Syftet med lagarna

Utredningens förslag: Bestämmelser som beskriver syftet med respektive registerförfattning ska upphävas.

Skälen för utredningens förslag: Enligt 1 kap. 1 § första stycket brottsdatalagen är syftet med lagen dels att skydda fysiska perso- ners grundläggande fri- och rättigheter i samband med behandling av personuppgifter, dels att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt (se SOU 2017:29 s. 144).

332

SOU 2017:74

Generella ändringar

I 1 kap. 1 § polisdatalagen, 1 kap. 1 § kustbevakningsdatalagen, 1 kap. 1 § åklagardatalagen, 1 kap. 1 § tullbrottsdatalagen och 1 kap. 1 § skattebrottsdatalagen anges det övergripande syftet med res- pektive lag. Exempelvis anges i 1 kap. 1 § polisdatalagen att syftet med lagen är att ge polisen möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin brottsbekämpande verksamhet och skydda människor mot att deras personliga integritet kränks vid sådan behandling. Brottsdatalagen kommer att tillämpas av alla myndigheter som behandlar personuppgifter inom lagens tillämp- ningsområde. Den dubbla målsättningen med lagen – att stärka integritetsskyddet och att samtidigt värna om att behöriga myn- digheter kan behandla personuppgifter på ett ändamålsenligt sätt – gäller således oavsett om det är t.ex. Polismyndigheten eller Kust- bevakningen som behandlar personuppgifter. Det finns då inte skäl att i registerförfattningarna behålla bestämmelser som anger att syftet med lagen i stort sett är detsamma som det övergripande syftet med brottsdatalagen. De bör därför upphävas. Som framgår av avsnitt 5.2 ska registerförfattningarna läsas tillsammans med brottsdatalagen. Att syftet inte framgår direkt av var och en av registerförfattningarna innebär därför inte att integritetsskyddet försvagas.

5.3.4Automatiserad behandling

Utredningens förslag: Bestämmelser om att registerförfatt- ningarna endast gäller vid behandling av personuppgifter som är automatiserad eller på annat sätt strukturerad ska upphävas.

Skälen för utredningens förslag: Enligt 1 kap. 3 § brottsdatalagen gäller lagen för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personupp- gifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier (se SOU 2017:29 s. 173 f.).

I 1 § andra stycket lagen om behandling av personuppgifter inom kriminalvården, 1 kap. 2 § andra stycket polisdatalagen, 1 kap. 2 § andra stycket kustbevakningsdatalagen, 1 kap. 2 § första stycket åklagardatalagen, 1 kap. 2 § tullbrottsdatalagen och 1 kap. 2 § skat-

333

Generella ändringar

SOU 2017:74

tebrottsdatalagen finns det bestämmelser med motsvarande inne- håll. Det finns inte något behov av att i registerförfattningarna upprepa att de i huvudsak gäller för automatiserad behandling. Så- dana bestämmelser bör därför upphävas.

5.3.5Bestämmelser om lagarnas uppbyggnad

Utredningens förslag: Bestämmelser om hur registerförfatt- ningarna är uppbyggda eller var en viss typ av bestämmelser finns ska som huvudregel upphävas.

Skälen för utredningens förslag: I 1 kap. 7 § polisdatalagen, 1 kap. 5 § kustbevakningsdatalagen, 1 kap. 5 § tullbrottsdatalagen och 1 kap. 5 § skattebrottsdatalagen anges hur respektive lag är upp- byggd. När polisdatalagen infördes såg lagstiftaren ett behov av att tydliggöra hur lagens olika kapitel förhöll sig till varandra, hur de skulle tillämpas och av vem. Den regleringen har senare använts som mönster för de övriga registerförfattningarna. Genom att brottsdatalagen innehåller den generella regleringen för de behöriga myndigheterna kommer åtskilliga bestämmelser i registerförfatt- ningarna inte längre att behövas. Tillämpningsområdet för flera av lagarna ändras också på det sättet att bestämmelser om behandling av personuppgifter för andra syften än de som anges i brottsdata- lagen rensas bort. Behovet av bestämmelser om lagarnas uppbygg- nad minskar till följd av dessa ändringar. Det bör därför inte finnas bestämmelser om hur lagarna är uppbyggda, om det inte finns sär- skilda skäl för det (se avsnitt 7.2.3).

I polisdatalagen och kustbevakningsdatalagen finns det bestäm- melser om bevarande och gallring i olika kapitel. Lagarna innehåller därför – för att skapa en överblick – bestämmelser som anger var i lagen bevarande och gallring regleras (se 2 kap. 12 § och 3 kap. 9 § polisdatalagen och 3 kap. 4 § kustbevakningsdatalagen). En annan lagstiftningsteknik används i tullbrottsdatalagen och skattebrotts- datalagen, där alla bestämmelser om bevarande och gallring är sam- lade i ett särskilt kapitel. Där inleds i stället kapitlet med en be- stämmelse som presenterar innehållet.

Utredningen anser som utvecklas i avsnitt 5.5.1 att bestämmel- ser om bevarande och gallring som huvudregel bör hållas samman.

334

SOU 2017:74

Generella ändringar

Därmed finns det inte längre behov av bestämmelser som tydliggör var i lagen sådana frågor regleras, varför de bör upphävas.

5.3.6Personuppgiftsombud

Utredningens förslag: Bestämmelser i registerförfattningarna om att de personuppgiftsansvariga ska utse personuppgiftsom- bud ska upphävas.

Skälen för utredningens förslag: Enligt 3 kap. 13 § brottsdata- lagen ska personuppgiftsansvariga utse ett eller flera dataskydds- ombud. Den personuppgiftsansvarige ska anmäla till tillsynsmyn- digheten både när ett dataskyddsombud utses och när ombudet entledigas (se SOU 2017:29 s. 340 f.).

I 2 kap. 5 § polisdatalagen, 2 kap. 5 § kustbevakningsdatalagen, 2 kap. 4 § åklagardatalagen, 2 kap. 4 § tullbrottsdatalagen och 2 kap. 4 § skattebrottsdatalagen föreskrivs skyldighet att utse ett eller flera personuppgiftsombud och att anmäla till tillsynsmyndigheten när ett sådant ombud utses eller entledigas. I och med att det i brottsdatalagen finns en generell bestämmelse om skyldighet att utse dataskyddsombud (som är den benämning som används i stäl- let för personuppgiftsombud) behövs inga sådana bestämmelser i registerförfattningarna. Bestämmelserna om att personuppgiftsom- bud ska utses bör därför upphävas.

5.3.7Behandling för diarieföring

Utredningens förslag: Bestämmelser i registerförfattningarna om att personuppgifter får behandlas om det är nödvändigt för diarieföring eller för att utföra andra nödvändiga handläggnings- åtgärder ska upphävas.

Skälen för utredningens förslag: Enligt 2 kap. 2 § brottsdatalagen får personuppgifter alltid behandlas om det är nödvändigt för dia- rieföring. Personuppgifter får också behandlas om uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller lik-

335

Generella ändringar

SOU 2017:74

nande och behandlingen är nödvändig för myndighetens handlägg- ning (se SOU 2017:29 s. 239 f.).

I 2 kap. 9 § polisdatalagen, 2 kap. 6 § kustbevakningsdatalagen, 2 kap. 7 § åklagardatalagen, 2 kap. 7 § tullbrottsdatalagen och 2 kap. 7 § skattebrottsdatalagen föreskrivs att personuppgifter får behand- las om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till myndigheten i en anmälan eller liknande och behand- lingen är nödvändig för handläggningen. Eftersom brottsdatalagen innehåller en motsvarande bestämmelse finns det inte något skäl att behålla bestämmelserna i registerförfattningarna. De bör därför upphävas.

5.3.8Behandling av känsliga personuppgifter

Utredningens förslag: Bestämmelser i registerförfattningarna om behandling av känsliga personuppgifter och användning av känsliga personuppgifter som sökbegrepp ska upphävas. Det gäller även bestämmelser om att uppgifter som beskriver en per- sons utseende ska utformas på ett objektivt sätt med respekt för människovärdet.

Skälen för utredningens förslag

Känsliga personuppgifter

I 2 kap. 11 och 12 §§ brottsdatalagen finns det bestämmelser om känsliga personuppgifter. I 2 kap. 11 § föreskrivs att personupp- gifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning inte får behandlas. Om uppgifter om en person behandlas får de dock kompletteras med känsliga personuppgifter när det är absolut nödvändigt för ändamålet med behandlingen. Enligt 2 kap. 12 § brottsdatalagen får biometriska uppgifter som används för att identifiera en person och genetiska uppgifter behandlas endast om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. Att biometriska uppgifter som används för att identifiera en person och genetiska uppgifter ingår i uppräkningen av känsliga person-

336

SOU 2017:74 Generella ändringar

uppgifter har sin grund i direktivet. Detsamma gäller uppgifter om sexuell läggning, även om de redan tidigare som regel har betraktats som känsliga personuppgifter (se SOU 2017:29 s. 264 f.).

I 5 § lagen om behandling av personuppgifter inom kriminalvår- den, 2 kap. 10 § polisdatalagen, 2 kap. 8 § åklagardatalagen, 2 kap.

7 § kustbevakningsdatalagen, 2 kap. 10 §	tullbrottsdatalagen	och
2 kap. 8 § skattebrottsdatalagen finns det	bestämmelser om	be-

handling av känsliga personuppgifter. Eftersom behandling av känsliga personuppgifter regleras i brottsdatalagen, finns det inte skäl att behålla motsvarande generella regler i registerförfattning- arna. De bör därför upphävas.

I avsnitt 5.3.7 föreslår utredningen att de allmänna bestämmel- serna i registerförfattningarna om behandling för diarieföring ska upphävas. Enligt 2 kap. 13 § brottsdatalagen, som hänvisar till 2 kap. 2 §, får även känsliga personuppgifter behandlas om det är nödvändigt för diarieföring. Detsamma gäller om uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller lik- nande och behandlingen är nödvändig för myndighetens handlägg- ning (se SOU 2017:29 s. 271 f.).

I 2 kap. 10 § andra stycket polisdatalagen, 2 kap. 7 § andra stycket kustbevakningsdatalagen, 2 kap. 8 § andra stycket åklagar- datalagen, 2 kap. 10 § andra stycket tullbrottsdatalagen och 2 kap. 8 § andra stycket skattebrottsdatalagen finns det motsvarande be- stämmelser om att känsliga personuppgifter får behandlas för dia- rieföring eller andra nödvändiga handläggningsuppgifter. Det finns inte anledning att behålla dessa bestämmelser, eftersom det finns en motsvarande reglering i brottsdatalagen. Bestämmelserna i regis- terförfattningarna bör därför upphävas.

Uppgifter som beskriver en persons utseende

I 2 kap. 7 § andra stycket brottsdatalagen föreskrivs att uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet (se SOU 2017:29 s. 259). Be- stämmelsen har placerats tillsammans med reglerna om person- uppgifters kvalitet i stället för i anslutning till bestämmelserna om behandling av känsliga personuppgifter, eftersom den gäller obero-

337

Generella ändringar

SOU 2017:74

ende av om uppgifterna om utseende är känsliga personuppgifter eller inte.

I 2 kap. 10 § tredje stycket polisdatalagen, 2 kap. 7 § tredje stycket kustbevakningsdatalagen, 2 kap. 8 § tredje stycket åklagar- datalagen, 2 kap. 10 § tredje stycket tullbrottsdatalagen och 2 kap. 8 § tredje stycket skattebrottsdatalagen finns det bestämmelser med motsvarande innehåll. Eftersom det i brottsdatalagen finns en bestämmelse om hur uppgifter om personers utseende ska utfor- mas behöver det inte regleras i registerförfattningarna. Bestämmel- ser om det bör således upphävas.

Registerförfattningarna ska inte längre innehålla sökförbud

I 2 kap. 14 § brottsdatalagen föreskrivs ett generellt förbud mot att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter.

Enligt 3 kap. 5 § polisdatalagen, 4 kap. 4 § kustbevakningsdata- lagen, 3 kap. 4 § åklagardatalagen, 3 kap. 5 § tullbrottsdatalagen och 3 kap. 5 § skattebrottsdatalagen får känsliga personuppgifter inte användas som sökbegrepp vid sökning i personuppgifter som gjorts gemensamt tillgängliga. Något motsvarande sökförbud finns inte för uppgifter som endast ett fåtal har tillgång till. Enligt 5 § tredje stycket lagen om behandling av personuppgifter inom kriminal- vården får känsliga personuppgifter inte användas som sökbegrepp om inte regeringen har föreskrivit det.

Mot bakgrund av att brottsdatalagen innehåller ett generellt sökförbud behövs inte längre bestämmelserna i registerförfattning- arna om användning av känsliga personuppgifter som sökbegrepp. De bör därför upphävas. Detsamma bör gälla 5 § tredje stycket lagen om behandling av personuppgifter inom kriminalvården och de bestämmelser om användning av känsliga personuppgifter som sökbegrepp som finns i tillhörande förordning.

Utredningen återkommer i kapitlen om de olika registerförfatt- ningarna till frågan om det behövs undantag från sökförbudet i brottsdatalagen.

338

SOU 2017:74

Generella ändringar

5.3.9Tillgången till personuppgifter

Utredningens förslag: Bestämmelser i registerförfattningarna om tillgången till personuppgifter ska upphävas. Det gäller även bestämmelser om att regeringen eller den myndighet som rege- ringen bestämmer har rätt att meddela föreskrifter om det.

Generella bestämmelser om vad den personuppgiftsansvarige ska beakta när tillgång ges till personuppgifter och om att det ska finnas rutiner för tilldelning, förändring, borttagning och regelbunden uppföljning av behörighet för åtkomst till person- uppgifter ska tas in i brottsdataförordningen. De ska ersätta motsvarande bestämmelser i registerförordningarna.

Skälen för utredningens förslag

Tillgången till personuppgifter bör enbart regleras i brottsdatalagen

Enligt 3 kap. 6 § brottsdatalagen ska den personuppgiftsansvarige se till att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter (se SOU 2017:29 s. 311 f.). Enligt 3 kap. 23 § 2 brottsdatalagen kan regeringen eller den myndighet som regeringen bestämmer med- dela föreskrifter om tillgången till personuppgifter.

I 2 kap. 11 § polisdatalagen, 2 kap. 3 § kustbevakningsdatalagen, 2 kap. 9 § åklagardatalagen, 2 kap. 11 § tullbrottsdatalagen och 2 kap. 10 § skattebrottsdatalagen föreskrivs att tillgången till per- sonuppgifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Bestämmelserna kompletteras av en möjlighet för regeringen, eller den myndighet som regeringen bestämmer, att meddela närmare föreskrifter om tillgången till per- sonuppgifter. I bestämmelser om direktåtkomst i nämnda lagar föreskrivs det att den mottagande myndigheten ansvarar för att tillgången till personuppgifter begränsas på motsvarande sätt (se t.ex. 3 kap. 8 § andra stycket polisdatalagen). Likartade bestämmel- ser finns i 6 och 10 §§ lagen om behandling av personuppgifter inom kriminalvården.

Eftersom det finns en generellt tillämplig bestämmelse i brotts- datalagen som föreskriver att tillgången till personuppgifter ska be- gränsas, finns det inte något behov av att behålla motsvarande be-

339

Generella ändringar SOU 2017:74

stämmelser i registerförfattningarna. Det gäller även bestämmelser om begränsning av tillgången till personuppgifter vid direktåt- komst. I registerförfattningarna bör det inte heller finnas några be- stämmelser om föreskriftsrätt om tillgången till personuppgifter, eftersom det är fråga om interna förhållanden i myndigheterna (se avsnitt 5.7).

Nya generella bestämmelser i brottsdataförordningen

I 3 § polisdataförordningen (2010:1155) föreskrivs att Polismyn- digheten och Säkerhetspolisen får meddela närmare föreskrifter om tillgången till personuppgifter för sina respektive verksamhetsom- råden. För tilldelning av behörighet för åtkomst till personuppgif- ter ska det särskilt beaktas att det, utöver behovet av uppgifterna, ställs krav på utbildning och erfarenhet. I 3 § kustbevakningsdata- förordningen (2012:146), 2 § åklagardataförordningen (2015:575), 3 § tullbrottsdataförordningen (2017:450) och 3 § skattebrottsdata- förordningen (2017:458) finns motsvarande bestämmelser.

Enligt 4 § polisdataförordningen ansvarar Polismyndigheten och Säkerhetspolisen för att det inom respektive myndighet finns ruti- ner för tilldelning, förändring, borttagning och regelbunden upp- följning av behörigheter för åtkomst till personuppgifter. Motsva-

rande bestämmelser finns i	4 § kustbevakningsdataförordningen,
3 § åklagardataförordningen,	4 § tullbrottsdataförordningen och

4 § skattebrottsdataförordningen.

De nu aktuella bestämmelserna är av den arten att de enligt ut- redningens mening bör gälla generellt inom brottsdatalagens till- lämpningsområde. Bestämmelser med den innebörden bör därför tas in i brottsdataförordningen och bestämmelserna i registerför- ordningarna bör upphävas. Myndigheterna bör dock inte ha någon föreskriftsrätt på området, eftersom det enbart rör sig om interna förhållanden som kan regleras på annat sätt än i föreskrifter (se avsnitt 5.7).

340

SOU 2017:74

Generella ändringar

5.3.10Särskilda upplysningar

Utredningens förslag: Registerförfattningarna ska inte inne- hålla bestämmelser som motsvarar brottsdatalagens bestämmel- ser om särskilda upplysningar. Bestämmelser om att vissa per- sonuppgifter ska förses med särskilda upplysningar ska dock finnas kvar för uppgifter som behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet.

Bestämmelserna om särskilda upplysningar ska liksom i dag enbart gälla vid behandling av personuppgifter som har gjorts gemensamt tillgängliga.

Skälen för utredningens förslag

Bestämmelser om särskilda upplysningar

Enligt 2 kap. 3 § andra stycket brottsdatalagen ska det ändamål som personuppgifter behandlas för tydliggöras genom en särskild upp- lysning, om det inte framgår av sammanhanget eller på annat sätt. I 2 kap. 9 § brottsdatalagen föreskrivs att personuppgifter som rör olika kategorier av registrerade så långt det är möjligt ska särskiljas, t.ex. personer som är misstänkta eller dömda för brott, brottsoffer eller andra som berörs av ett brott. Om det inte framgår av sam- manhanget eller på annat sätt vilken kategori personen tillhör, ska det tydliggöras genom en särskild upplysning. Enligt 2 kap. 10 § brottsdatalagen ska vidare personuppgifter som grundar sig på fakta så långt det är möjligt skiljas från personuppgifter som grun- dar sig på personliga bedömningar. Om grunden inte framgår av sammanhanget eller på något annat sätt ska den tydliggöras genom en särskild upplysning (se SOU 2017:29 s. 260 f.).

I flera av registerförfattningarna föreskrivs att det i vissa fall ska lämnas särskilda upplysningar. Bestämmelser om särskilda upplys- ningar, med något olika innehåll, finns i 3 kap. 3 och 4 §§ polisdata- lagen, 4 kap. 2 och 3 §§ kustbevakningsdatalagen, 3 kap. 3 § åkla- gardatalagen, 3 kap. 3 och 4 §§ tullbrottsdatalagen och 3 kap. 3 och 4 §§ skattebrottsdatalagen. De särskilda upplysningarna ska avse att personen i fråga inte är misstänkt vare sig för brott eller för att utöva brottslig verksamhet. I fråga om den som är misstänkt för att utöva eller att komma att utöva brottslig verksamhet ska de sär-

341

Generella ändringar

SOU 2017:74

skilda upplysningarna belysa uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Det ska också finnas en särskild upp- lysning om ändamålet med behandlingen, om det inte framgår på annat sätt. Bestämmelserna om särskilda upplysningar gäller endast för personuppgifter som har gjorts gemensamt tillgängliga.

Upplysningar om ändamålet med behandlingen

Registerförfattningarna bör inte innehålla bestämmelser som mot- svarar brottsdatalagens krav på att ändamålet med behandlingen ska framgå. Bestämmelser som ställer upp sådana krav bör därför upp- hävas.

Särskilda upplysningar bara om uppgifterna är gemensamt tillgängliga

I delbetänkandet konstaterar utredningen att det kan finnas skäl att i registerförfattningarna fortsatt göra undantag från bestämmel- serna om särskilda upplysningar för personuppgifter som inte har gjorts gemensamt tillgängliga (se SOU 2017:29 s. 262).

Behovet av särskilda upplysningar gör sig framför allt gällande om personuppgifter behandlas utanför sitt ursprungliga samman- hang. I förarbetena till polisdatalagen diskuteras ingående skälen för att ha sådana bestämmelser och när särskilda upplysningar inte behövs (se prop. 2009/10:85 s. 145 f.). Utredningen anser att det inte finns behov av särskilda upplysningar när det integritetsskydd som de särskilda upplysningarna syftar till att skapa tillgodoses på annat sätt, t.ex. genom att det fåtal personer som behandlar upp- gifterna är införstådda med varför det görs. Det finns också anled- ning att erinra om att direktivets krav på särskilda upplysningar beträffande vilken kategori en person tillhör och beträffande att fakta ska skiljas från personliga bedömningar bara gäller så långt det är möjligt att lämna sådan information. Det innebär att man varit väl införstådd med att sådana upplysningar inte alltid kommer att finnas. Det finns därför möjlighet att göra undantag från de kraven.

Kravet i 2 kap. 3 § andra stycket brottsdatalagen att ändamålet med behandlingen ska framgå följer inte av direktivet utan skapar ett sådant extra skydd för enskildas integritet som direktivet med-

342

SOU 2017:74

Generella ändringar

ger att nationell rätt får innehålla. Det finns därför även möjlighet att göra undantag från det kravet.

Bestämmelserna om särskilda upplysningar bör mot den bak- grunden på samma sätt som i dag enbart gälla vid behandling av personuppgifter som har gjorts gemensamt tillgängliga.

För de behöriga myndigheter som inte har en reglering som gör skillnad mellan uppgifter som har gjorts gemensamt tillgängliga och andra uppgifter kommer bestämmelserna i brottsdatalagen om särskilda upplysningar att gälla utan undantag. Det kan förefalla som om det därmed ställs högre krav på de myndigheter som i dag överhuvudtaget inte behöver förse personuppgifter med särskilda upplysningar, medan de myndigheter som har en sådan reglering får undantag från kraven i brottsdatalagen. Enligt brottsdatalagen ska personuppgifter förses med särskilda upplysningar bara om det förhållande som upplysningen skulle avse inte framgår av samman- hanget eller på något annat sätt. Som utredningen konstaterar i delbetänkandet är det framför allt i det inledande skedet av en för- undersökning och i underrättelseverksamhet som det kan vara otydligt vilken roll en person har och varför uppgifter om honom eller henne behandlas (se SOU 2017:29 s. 261). När det gäller andra myndigheter än de brottsbekämpande kommer det därför normalt inte att krävas några särskilda upplysningar och då finns det inte heller skäl att ha något undantag.

Upplysningar om vilken kategori en person tillhör

I brottsdatalagen ställs det delvis andra krav på särskilda upplys- ningar än i registerförfattningarna. Sådana bestämmelser i register- författningarna som innebär att det genom en särskild upplysning ska framgå att en viss person inte är misstänkt täcks, såvitt gäller brottsutredande och lagförande verksamhet, av regleringen i 2 kap. 9 § brottsdatalagen. Det finns därför inte skäl att i registerförfatt- ningarna behålla bestämmelser som föreskriver att det ska framgå att en person inte är misstänkt för brott.

Det väcker frågan hur man ska se på det förhållandet att begrep- pet misstänkt används i registerförfattningarna även om personer vilkas uppgifter behandlas i underrättelseverksamhet, trots att regelverket i övrigt förutsätter att ett konkret brott har begåtts för

343

Generella ändringar

SOU 2017:74

att någon ska kunna betecknas som misstänkt. Misstänkt används i detta sammanhang för att skilja ut personer som kan ha direkt sam- band med den brottsliga verksamheten från andra (se t.ex. 3 kap. 4 § polisdatalagen och 3 kap. 4 § tullbrottsdatalagen). Författnings- regleringen av underrättelseverksamhet är mycket begränsad och har inte en sådan tydlig uppdelning mellan olika kategorier av per- soner som regleringen i rättegångsbalken. Utredningen anser att det är minst lika viktigt ur integritetssynpunkt att det i underrättel- severksamheten görs tydlig skillnad mellan personer som har ett direkt samband med den brottsliga verksamheten och andra perso- ner som i annan verksamhet. Mot den bakgrunden bör det nuvaran- de kravet i registerförfattningarna på särskilda upplysningar i fråga om nu aktuella kategorier behållas.

Användningen av begreppet misstänkt i det sammanhanget kri- tiserades av Lagrådet när polisdatalagen infördes. Regeringen valde ändå att behålla det under hänvisning till tidigare lagstiftning på området (se prop. 2009/10:85 s. 150 och 522). Även om det kan diskuteras om det är lämpligt att använda uttrycket misstänkt av- seende brottslighet som inte är så konkret att brotten kan individu- aliseras anser utredningen att det är så inarbetat att det inte bör ändras.

Särskilda upplysningar om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak

När det gäller bestämmelsen i 2 kap. 10 § brottsdatalagen, som föreskriver att fakta ska skiljas från personliga bedömningar och att det ska anges genom en särskild upplysning om det inte framgår på annat sätt, kan det ifrågasättas om det går att dra en parallell med de bestämmelser som i dag finns i registerförfattningarna. Det är framför allt beträffande uppgifter som behandlas i underrättelse- verksamhet som det enligt 3 kap. 4 § polisdatalagen, 4 kap. 3 § kustbevakningsdatalagen, 3 kap. 4 § tullbrottsdatalagen och 3 kap. 4 § skattebrottsdatalagen krävs särskilda upplysningar om uppgifts- lämnarens trovärdighet och uppgifternas riktighet i sak. Sådana be- stämmelser preciserar enligt utredningens mening vilka upplys- ningar som krävs i fråga om personuppgifter som behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet. Ut- redningen anser därför att de bestämmelser i registerförfattning-

344

SOU 2017:74

Generella ändringar

arna som föreskriver att uppgifter om en person som kan antas ha samband med misstänkt brottslig verksamhet ska förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet bör behållas.

Det bör understrykas att upplysningar om en uppgiftslämnares trovärdighet och uppgifternas riktighet i sak inte bara är en fråga om dataskydd utan i minst lika stor utsträckning har betydelse för brottsbekämpningen. Utan sådana upplysningar ökar risken att fel- aktiga slutsatser dras om personers anknytning till brottslighet, vilket i sin tur kan leda till beslut och ingripanden riktade mot fel personer. Det ligger därför i myndigheternas eget intresse att det av uppgifter som görs gemensamt tillgängliga i underrättelseverksam- het framgår vilket värde som kan tillmätas dem. Det har emellertid framkommit att bestämmelserna i fråga anses vara svårtolkade och därför kan kräva förtydliganden.

En första fråga är om kravet på särskild upplysning bara gäller den person som har direkt samband med den misstänkta brottsliga verksamheten eller om det även gäller uppgifter om andra personer. Förarbetena är inte tydliga på den punkten och det finns omstän- digheter som kan anföras för båda tolkningarna. Enligt utredning- ens mening bör kravet på upplysning om uppgiftslämnarens tro- värdighet och uppgifternas riktighet i sak endast avse uppgifter om den som antas utöva eller komma att utöva den brottsliga verk- samheten. Eftersom det krav som gäller för anknytningen till den brottsliga verksamheten är mycket lågt ställt kan regleringen träffa betydligt fler personer än vad misstanke om ett konkret brott kan göra. Så snart det finns något som stöder ett antagande om att en person har direkt samband med brottslig verksamhet och det är fråga om uppgifter som görs gemensamt tillgängliga bör således en- ligt utredningens mening uppgifterna om personen förses med en särskild upplysning.

En andra fråga är vilka uppgifter om sådana personer som behö- ver förses med en särskild upplysning, eftersom det inte bör gälla alla upplysningar om personen i fråga. Enligt utredningens mening är det endast sådana uppgifter som belyser på vilket sätt personen är knuten till brottsligheten som bör förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Det kan, förutom till anknytningen till den brottsliga verksamhe- ten, t.ex. röra sig om uppgifter om brottslighetens art och omfatt-

345

Generella ändringar

SOU 2017:74

ning. Uppgifter av det slaget kan behöva förses med särskilda upp- lysningar för att personens anknytning till brottsligheten ska kunna bedömas.

På samma sätt som i dag bör det göras undantag från kravet på särskild upplysning om det inte finns något behov av en sådan, därför att det framgår av sammanhanget vem som är uppgiftsläm- nare och hur trovärdig uppgiften är eller det av annat skäl är onö- digt med en sådan upplysning. Om det t.ex. är fråga om uppgifter som hämtas från förundersökningar eller domar är en särskild upp- lysning som regel onödig om källan framgår. Enligt förarbetena till polisdatalagen anses det vara onödigt att bedöma trovärdigheten om uppgiftslämnaren är en polisman. Detsamma bör gälla andra tjänstemän med brottsbekämpande uppgifter. Däremot kan det även i ett sådant fall behövas en upplysning om uppgiftens riktighet i sak, eftersom förutsättningarna för att göra en viss iakttagelse kan behöva belysas (se prop. 2009/10:85 s. 341).

Den nuvarande formuleringen av bestämmelserna innebär att det krävs särskild upplysning om det inte på grund av särskilda omständigheter är onödigt. Regleringen tolkas i dag, på grund av uttalanden i förarbetena, så att det nästan undantagslöst krävs sär- skilda upplysningar, eftersom det är oklart vilka särskilda omstän- digheter som kan föranleda avsteg från huvudregeln. Det kan ifrå- gasättas om en så restriktiv tillämpning har varit avsedd. Det kan därför finnas anledning att ändra regleringen något.

Enligt utredningens mening bör det ställas krav på särskilda upplysningar om det inte på grund av omständigheterna är onödigt. Med en sådan formulering undviker man den osäkerhet som kan finnas om vilken typ av omständigheter som kan göra behovet av särskilda upplysningar överflödigt. Om de samlade omständighe- terna gör att trovärdigheten och riktigheten kan bedömas bör det vara tillräckligt.

5.3.11Längsta tid för behandling

Utredningens förslag: Bestämmelser i registerförfattningarna om att personuppgifter inte får bevaras under längre tid än vad som behövs för något eller några av de ändamål som anges i respektive författning ska upphävas.

346

SOU 2017:74

Generella ändringar

Skälen för utredningens förslag: Enligt 2 kap. 17 § första stycket brottsdatalagen får personuppgifter inte behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behand- lingen (se SOU 2017:29 s. 284 f.).

I 7 § lagen om behandling av personuppgifter inom kriminalvår- den, 2 kap. 12 § polisdatalagen, 3 kap. 4 § kustbevakningsdatalagen, 2 kap. 10 § åklagardatalagen, 4 kap. 1 § tullbrottsdatalagen och 4 kap. 1 § skattebrottsdatalagen föreskrivs att personuppgifter inte får bevaras under längre tid än vad som behövs för något eller några av de ändamål som anges i respektive lag.

Generella bestämmelser om att personuppgifter inte får behand- las under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen bör upphävas, eftersom det finns en motsvarande reglering i brottsdatalagen. Utredningen återkommer till bestämmelserna om längsta tid för behandling i avsnitt 5.5.

5.3.12Upplysning om regleringen i offentlighets- och sekretesslagen

Utredningens förslag: Hänvisningar i registerförfattningarna till att det finns bestämmelser om utlämnande i offentlighets- och sekretesslagen ska upphävas.

Skälen för utredningens förslag: I 2 kap. 19 § andra stycket och 5 kap. 9 § andra stycket polisdatalagen, 3 kap. 8 § andra stycket kustbevakningsdatalagen, 2 kap. 15 § andra stycket åklagardatala- gen, 2 kap. 14 § andra stycket tullbrottsdatalagen och 2 kap. 13 § andra stycket skattebrottsdatalagen, som alla reglerar viss före- skriftsrätt, finns det hänvisningar till regleringen om utlämnande i offentlighets- och sekretesslagen. Bestämmelserna erinrar om att det även i offentlighets- och sekretesslagen finns bestämmelser om utlämnande. Syftet med bestämmelserna är enbart att klargöra att det i den lagen finns bestämmelser om utlämnande. Eftersom det finns bestämmelser om utlämnande också i andra författningar, exempelvis i tryckfrihetsförordningen, och hänvisningen är så generellt utformad fyller bestämmelserna i registerförfattningarna inte någon funktion. Bestämmelserna innehåller inte heller någon materiell reglering. De bör därför upphävas.

347

Generella ändringar

SOU 2017:74

5.4Behov av nya bestämmelser och anpassningar

5.4.1Uppgifter om juridiska personer

Utredningens bedömning: Det är möjligt att i registerförfatt- ningarna behålla bestämmelser som rör behandling av uppgifter om juridiska personer.

Utredningens förslag: Hänvisningar ska också göras till de be- stämmelser i brottsdatalagen som motsvarar dem som i dag finns i registerförfattningarna och som är tillämpliga vid be- handling av uppgifter om juridiska personer.

Skälen för utredningens bedömning och förslag: I 1 kap. 6 § polisdatalagen, 1 kap. 3 § kustbevakningsdatalagen, 1 kap. 4 § åkla- gardatalagen, 1 kap. 4 § tullbrottsdatalagen och 1 kap. 4 § skatte- brottsdatalagen föreskrivs att vissa bestämmelser i författningarna även ska tillämpas på uppgifter om juridiska personer. Som anges i delbetänkandet gäller direktivet enbart till skydd för fysiska perso- ner och tillämpningsområdet för brottsdatalagen har utformats med det som grund (se SOU 2017:29 s. 665).

En första fråga är om dataskyddsreformen bör leda till att be- stämmelserna i registerförfattningarna om att de i vissa delar ska tillämpas på uppgifter om juridiska personer bör tas bort. Utred- ningen anser att det inte är nödvändigt. Det är visserligen allmänt sett inte lika angeläget att skydda uppgifter om juridiska personer som uppgifter om fysiska personer. Eftersom uppgifter om juri- diska personer i många fall samtidigt är indirekta personuppgifter kan behovet av särskilda skyddsregler för uppgifter om juridiska personer diskuteras. I de fall där lagstiftaren har ansett att det finns goda skäl att ge visst skydd även för uppgifter om juridiska per- soner finns det enligt utredningens mening inte skäl att ta bort det skyddet. Bestämmelser om skydd för uppgifter om juridiska per- soner bör därför behållas.

Frågan är då om bestämmelserna enbart bör ta sikte på frågor som regleras i respektive registerförfattning, trots att vissa frågor som i dag regleras i registerförfattningarna och som ska tillämpas även på uppgifter om juridiska personer regleras i brottsdatalagen. Eftersom utredningen anser att dagens reglering bör behållas bör

348

SOU 2017:74

Generella ändringar

en hänvisning göras till de bestämmelser i brottsdatalagen som motsvarar dem som i dag finns i registerförfattningarna och som är tillämpliga vid behandling av uppgifter om juridiska personer.

5.4.2Administrativa sanktionsavgifter

Utredningens förslag: Sanktionsavgift ska få tas ut av den per- sonuppgiftsansvarige vid överträdelse av vissa bestämmelser i registerförfattningarna. Det gäller överträdelse av bestämmelser om tillåtna rättsliga grunder för behandling av personuppgifter, särskilda upplysningar och längsta tid för behandling av person- uppgifter.

Sanktionsavgiften ska vara minst 50 000 kronor och högst 20 000 000 kronor.

Skälen för utredningens förslag

Vilka överträdelser ska kunna föranleda sanktionsavgift?

Utredningen gör i delbetänkandet bedömningen att överträdelser av regler om personuppgiftsbehandling inte bör vara straffsanktio- nerade, utöver vad som redan följer av brottsbalkens regler (se SOU 2017:29 s. 492 f.). I stället föreslår utredningen att det införs möjlighet att ta ut administrativa sanktionsavgifter. Bestämmelser om det har tagits in i 6 kap. brottsdatalagen.

Sanktionsavgift kan enligt brottsdatalagen tas ut vid överträdelse av bestämmelser i den lagen. Om en bestämmelse i en registerför- fattning ersätter, preciserar eller på annat sätt kompletterar en be- stämmelse i brottsdatalagen som kan föranleda sanktionsavgift, bör även överträdelse av bestämmelsen i registerförfattningen kunna föranleda sanktionsavgift.

Av de skäl som redovisas i delbetänkandet bör emellertid inte alla överträdelser kunna leda till sanktionsavgift (se SOU 2017:29 s. 509 f.). De principer som utredningen anger där bör tillämpas även när det gäller överträdelser av bestämmelser i registerförfatt- ningarna. Utredningen anser således att sanktionsavgift inte bör kunna tas ut vid överträdelse av bestämmelser som inte är data- skyddsbestämmelser, t.ex. sekretessbrytande bestämmelser.

349

Generella ändringar

SOU 2017:74

Med dessa utgångspunkter bedömer utredningen att överträdel- se av bestämmelser i de brottsbekämpande myndigheternas och kriminalvårdens registerförfattningar om tillåtna rättsliga grunder för behandling av personuppgifter och om längsta tid för behand- ling av personuppgifter bör kunna föranleda sanktionsavgift. Det- samma bör gälla bestämmelser om särskilda upplysningar. Bestäm- melser om när personuppgifter får göras gemensamt tillgängliga är visserligen mycket viktiga ur integritetssynpunkt, men enligt utred- ningens mening bör överträdelse av sådana bestämmelser inte kunna föranleda sanktionsavgift. Det beror på att det är fråga om tillämpning av bestämmelser som kräver bedömningar.

Det bör i respektive registerförfattning anges vilka överträdelser som kan föranleda sanktionsavgift.

Vad ska gälla för behandling av uppgifter om juridiska personer?

Utredningen gör i avsnitt 5.4.1 bedömningen att det är möjligt att i registerförfattningarna behålla bestämmelser om behandling av uppgifter om juridiska personer. Utredningen föreslår också att vissa bestämmelser i brottsdatalagen ska gälla vid sådan behandling. Överträdelse av vissa av de bestämmelser som föreslås vara tillämp- liga på uppgifter om juridiska personer kan föranleda sanktionsav- gift. Frågan är om det bör leda till att sanktionsavgift bör kunna tas ut även vid behandling av uppgifter om juridiska personer.

Bestämmelser som utvidgar tillämpningen av vissa bestämmelser till att gälla vid behandling av uppgifter om juridiska personer för- stärker indirekt skyddet för fysiska personer, eftersom det kan vara svårt att skilja uppgifter om fysiska personer som är ägare av eller ställföreträdare för en juridisk person från uppgifter som enbart rör den juridiska personen. Det kan tala för att även överträdelser vid behandling av uppgifter om juridiska personer bör kunna föranleda sanktionsavgift. Å andra sidan är det inte är lika angeläget att skydda uppgifter om juridiska personer som uppgifter om fysiska personer (jfr Domstolsdatalag, Ds 2013:10, s. 49 f.).

Sanktionsavgift är främst tänkt att utgöra en reaktion på sådan otillåten behandling av personuppgifter som riskerar att kränka den personliga integriteten, vilket talar för att inskränka tillämpningen till uppgifter om fysiska personer. Eftersom direktivet enbart skyd-

350

SOU 2017:74

Generella ändringar

dar uppgifter om fysiska personer och bestämmelserna om sank- tionsavgift har införts som en konsekvens av kravet på sanktioner i direktivet anser utredningen att det inte finns skäl att utsträcka möjligheten att ta ut sanktionsavgift till överträdelser som gäller behandling av uppgifter om juridiska personer. Omfattar behand- lingen även uppgifter om fysiska personer kan sanktionsavgift tas ut för den överträdelsen om förutsättningarna för det är uppfyllda.

Hur hög bör sanktionsavgiften vara?

Enligt 6 kap. 3 § första och andra styckena brottsdatalagen ska sanktionsavgift tas ut med ett lägre belopp vid mindre allvarliga överträdelser och med ett högre belopp vid allvarligare överträdel- ser. Det framgår av paragrafen vilka överträdelser som är mindre allvarliga respektive allvarliga. Överträdelse av brottsdatalagens be- stämmelser om tillåtna rättsliga grunder för behandling, särskilda upplysningar och längsta tid för behandling av personuppgifter är enligt paragrafen allvarliga överträdelser. Det bör gälla även vid överträdelse av motsvarande bestämmelser i registerförfattning- arna. För att motsvara regleringen i brottsdatalagen bör sanktions- avgiften vara minst 50 000 kronor och högst 20 000 000 kronor. En bestämmelse som anger sanktionsavgiftens storlek bör finnas i var och en av registerförfattningarna.

Vem ska betala sanktionsavgift?

Den som är personuppgiftsansvarig ansvarar även för den behand- ling som ett personuppgiftsbiträde utför. I delbetänkandet konsta- terar utredningen att sanktionsavgift bara ska kunna tas ut av per- sonuppgiftsbiträden i de fall där biträdet brutit mot uttryckliga skyldigheter enligt brottsdatalagen (se SOU 2017:29 s. 504 f.). Eftersom registerförfattningarna inte innehåller några sådana skyl- digheter för personuppgiftsbiträden bör sanktionsavgift för över- trädelser av bestämmelser i registerförfattningarna endast kunna tas ut av personuppgiftsansvariga. Om ett personuppgiftsbiträde i strid med brottsdatalagen har bestämt ändamålen med och medlen för behandlingen är biträdet att anse som personuppgiftsansvarig för den behandlingen och sanktionsavgift kan då tas ut i samma ut-

351

Generella ändringar

SOU 2017:74

sträckning som av en personuppgiftsansvarig (se 3 kap. 19 § andra stycket brottsdatalagen). Det kommer då att gälla även vid över- trädelse av bestämmelser i en registerförfattning.

Brottsdatalagens handläggningsbestämmelser gäller

I brottsdatalagen finns det bestämmelser i 6 kap. 3 § tredje stycket, 4 och 5 §§ om hur sanktionsavgiften ska bestämmas och i 6 kap. 6 och 7 §§ om vad som gäller i fråga om beslut om sanktionsavgift. Registerförfattningarna föreslås i avsnitt 5.2 gälla utöver brotts- datalagen. Det innebär enligt utredningens mening att de handlägg- nings- och verkställighetsregler som finns i brottsdatalagen gäller även i de fall där sanktionsavgift tas ut för överträdelser av bestäm- melser i registerförfattningarna. Några bestämmelser om handlägg- ningen behövs därför inte i registerförfattningarna.

5.4.3Skadestånd

Utredningens förslag: I registerförfattningarna ska det anges att bestämmelsen om skadestånd i brottsdatalagen ska tillämpas på motsvarande sätt när personuppgifter behandlas i strid med registerförfattningarna.

Skälen för utredningens förslag: Enligt 7 kap. 1 § brottsdatalagen ska den personuppgiftsansvarige ersätta den registrerade för den skada och kränkning av den personliga integriteten som person- uppgiftsbehandling i strid med brottsdatalagen, eller föreskrifter som har meddelats i anslutning till den, har orsakat (SOU 2017:29 s. 532 f.).

I registerförfattningarna finns det inte några bestämmelser om skadestånd. I stället hänvisas det i 2 kap. 2 § första stycket 12 polisdatalagen, 2 kap. 2 § första stycket 12 kustbevakningsdatala- gen, 2 kap. 2 § första stycket 12 åklagardatalagen, 2 kap. 2 § första stycket 12 tullbrottsdatalagen och 2 kap. 2 § första stycket 12 skattebrottsdatalagen till 48 § personuppgiftslagen när det gäller skadestånd. Enligt 8 § lagen om behandling av personuppgifter inom kriminalvården gäller personuppgiftslagens bestämmelser om

352

SOU 2017:74

Generella ändringar

skadestånd vid behandling av personuppgifter enligt den lagen eller föreskrifter som har meddelats i anslutning till den.

Rätten till skadestånd vid skada och kränkning bör vara den- samma när personuppgifter behandlas i strid med bestämmelser i registerförfattningarna som vid behandling i strid med brottsdata- lagen. Det bör framgå genom att det i registerförfattningarna före- skrivs att 7 kap. 1 § brottsdatalagen ska tillämpas på motsvarande sätt vid behandling av personuppgifter enligt respektive registerlag eller föreskrifter som har meddelats i anslutning till den.

I dag prövar Justitiekanslern frågor om skadeståndsskyldighet enligt 48 § personuppgiftslagen. Det bör därför vara Justitiekans- lern som prövar frågor om staten är skadeståndsskyldig enligt 7 kap. 1 § brottsdatalagen och enligt bestämmelser i registerförfatt- ningarna som hänvisar till den paragrafen. Ett tillägg bör därför göras i 3 § förordningen (1995:1301) om handläggning av skade- ståndsanspråk mot staten.

5.4.4Överklagande

Utredningens förslag: I registerförfattningarna ska framgå att det finns bestämmelser om överklagande i brottsdatalagen.

Skälen för utredningens förslag: Brottsdatalagen innehåller gene- rella bestämmelser om överklagande. I 7 kap. 2 § brottsdatalagen föreskrivs att beslut i fråga om rättelse eller komplettering, rade- ring eller begränsning av behandlingen av personuppgifter, som har meddelats av en myndighet i egenskap av personuppgiftsansvarig, får överklagas till allmän förvaltningsdomstol. Detsamma gäller beslut att inte lämna information på begäran av en registrerad, att ta ut avgift för att lämna information eller att inte medge omprövning av ett automatiserat beslut. I 7 kap. 3 § finns en särskild bestäm- melse om dröjsmålstalan. Även beslut med stöd av den paragrafen får överklagas. Enligt 7 kap. 4 § får tillsynsmyndighetens beslut enligt lagen eller enligt föreskrifter som har meddelats i anslutning till den överklagas till allmän förvaltningsdomstol. I 7 kap. 5 § före- skrivs att andra beslut enligt lagen än de nu nämnda inte får över- klagas (se SOU 2017:29 s. 537 f.).

353

Generella ändringar

SOU 2017:74

I 2 kap. 2 § första stycket 13 polisdatalagen, 2 kap. 2 § första stycket 13 kustbevakningsdatalagen, 2 kap. 2 § första stycket 13 åklagardatalagen, 2 kap. 2 § första stycket 13 tullbrottsdatalagen och 2 kap. 2 § första stycket 13 skattebrottsdatalagen hänvisas det till överklagandereglerna i 51 § första stycket, 52 § första stycket och 53 § personuppgiftslagen. I 51 § första stycket regleras rätten att överklaga tillsynsmyndighetens beslut om annat än föreskrifter. Enligt 52 § första stycket får en myndighets beslut i fråga om in- formation efter ansökan, om rättelse och underrättelse till tredje man, om information vid automatiserade beslut och om upplys- ningar till allmänheten om personuppgiftsbehandlingar som inte har anmälts till tillsynsmyndigheten överklagas. Enligt 53 § person- uppgiftslagen får andra beslut inte överklagas. I 12–16 §§ lagen om behandling av personuppgifter inom kriminalvården finns det sär- skilda överklagandebestämmelser.

I brottsdatalagen anges uttömmande vilka beslut av behöriga myndigheter som får överklagas. Rätten att överklaga omfattar en- bart sådana beslut som en myndighet har fattat i egenskap av per- sonuppgiftsansvarig och som berör den enskilde och går honom eller henne emot. Några andra beslut av en behörig myndighet får inte överklagas. Myndigheterna kommer att fatta beslut om exem- pelvis rättelse, radering eller begränsning av behandlingen med stöd av brottsdatalagen. Det blir alltså inte aktuellt att med stöd av någon av registerförfattningarna fatta sådana beslut som rör enskil- da som de bör ha rätt att överklaga. Det bör därför framgå av regis- terförfattningarna att överklagande regleras i brottsdatalagen.

5.4.5Uppgifter till rättsstatistiken

Utredningens förslag: I brottsdatalagen ska föreskrivas att per- sonuppgifter som är nödvändiga för att framställa rättsstatistik ska lämnas till den myndighet som ansvarar för att framställa sådan statistik. Motsvarande bestämmelser i registerförfattning- arna ska upphävas.

Skälen för utredningens förslag: I 9 § lagen om behandling av per- sonuppgifter inom kriminalvården, 2 kap. 14 § polisdatalagen, 2 kap. 12 § åklagardatalagen, 2 kap. 15 § tullbrottsdatalagen och

354

SOU 2017:74

Generella ändringar

2 kap. 14 § skattebrottsdatalagen föreskrivs att personuppgifter som är nödvändiga för att framställa rättsstatistik ska lämnas till den myndighet som ansvarar för att framställa sådan statistik. Eftersom regleringen är av generell natur bör det införas en be- stämmelse om det i brottsdatalagen. Bestämmelserna i registerför- fattningarna bör därmed upphävas.

Kustbevakningen har i dag ingen skyldighet att lämna sådan statistik och det finns därför ingen bestämmelse om uppgiftsläm- nande till rättsstatistiken i kustbevakningsdatalagen. Det hindrar inte att regleringen placeras i brottsdatalagen.

5.4.6Terminologin anpassas

Utredningens förslag: Terminologin i registerförfattningarna ska anpassas till brottsdatalagen och i viss utsträckning till data- skyddsförordningen.

Skälen för utredningens förslag

Uttrycket brottsbekämpning

Som framgår av avsnitt 4.4.1 bör uttrycket brottsbekämpande verk- samhet utmönstras ur registerförfattningarna. I stället bör som i brottsdatalagen utgångspunkten vara att personuppgifter behandlas i syfte att bekämpa eller lagföra brott, verkställa straffrättsliga på- följder eller upprätthålla allmän ordning och säkerhet.

Brottsbekämpande verksamhet anses i dag omfatta både att förebygga, förhindra och upptäcka brottslig verksamhet och att utreda och beivra brott. I brottsdatalagen görs dock, i linje med hur direktivet är utformat, skillnad mellan brottsbekämpning och lag- föring. Uppgiften att beivra brott hänförs till lagföring. Uttrycket brottsbekämpning kommer därmed att ha en snävare innebörd än i dag. Det blir emellertid ingen saklig skillnad för de myndigheter som har till uppgift att både utreda och beivra brott, eftersom både brottsbekämpning och lagföring omfattas av registerförfattningens tillämpningsområde. För Skatteverket, som i motsats till övriga myndigheter inte har några lagförande uppgifter, innebär det inte heller någon ändring i sak att terminologin ändras på detta sätt.

355

Generella ändringar

SOU 2017:74

Uttrycket beivra brott

Brottsdatalagen gäller för behandling av personuppgifter som ut- förs i syfte att förebygga, förhindra eller upptäcka brottslig verk- samhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Utredningen fram- håller i delbetänkandet att det modernare uttrycket lagföra brott bör användas i brottsdatalagen i stället för beivra brott (se SOU 2017:29 s. 162 f.).

I flera av registerförfattningarna används i dag uttrycket beivra brott. Det förekommer bl.a. i 2 kap. 7 § polisdatalagen, 3 kap. 2 § kustbevakningsdatalagen, 2 kap. 5 § åklagardatalagen och 2 kap. 5 § tullbrottsdatalagen. Registerförfattningarna bör anpassas så att ter- minologin stämmer överens med hur tillämpningsområdet anges i 1 kap. 2 § brottsdatalagen. Det innebär att uttrycket beivra brott bör ersättas av lagföra brott i registerförfattningarna.

Uttrycken bevarande och gallring

Att bestämmelserna om bevarande och gallring bör formuleras om och i stället utgå från hur länge personuppgifter får behandlas dis- kuteras i avsnitt 5.5.

5.5Särskilt om längsta tid för behandling

5.5.1Regleringen samlas

Utredningens bedömning: Bestämmelserna om bevarande och gallring i registerförfattningarna syftar till att skydda den per- sonliga integriteten och reglerar inte bevarande och gallring i arkivlagens mening. Bestämmelserna bör formuleras om så att det framgår att det är fråga om dataskyddsbestämmelser.

Utredningens förslag: Regler om hur länge uppgifter får be- handlas ska som huvudregel samlas i särskilda kapitel i register- författningarna.

356

SOU 2017:74

Generella ändringar

Skälen för utredningens bedömning och förslag

Olika typer av bestämmelser

I registerförfattningarna finns det bestämmelser om bevarande och gallring av personuppgifter. Regleringen gäller enbart personupp- gifter som behandlas automatiserat. Den styr således inte hur länge uppgifter som behandlas på papper får bevaras, varken i den brotts- bekämpande verksamheten eller för arkivändamål. När det i detta avsnitt talas om hur länge personuppgifter får behandlas eller i vil- ken utsträckning behandling för arkivändamål är tillåten avses en- bart automatiserad behandling.

Enligt de brottsbekämpande myndigheternas registerförfatt- ningar gäller som huvudregel att personuppgifter inte får behandlas längre än vad som behövs för något av de ändamål som omfattas av respektive lags tillämpningsområde. I avsnitt 5.3.11 föreslår utred- ningen att de bestämmelserna ska upphävas, eftersom motsvarande reglering finns i brottsdatalagen. Därutöver finns det två olika typer av bestämmelser om bevarande och gallring av personuppgif- ter. Tullbrottsdatalagen kan tas som exempel, men motsvarande bestämmelser finns i de övriga brottsbekämpande myndigheternas registerförfattningarna.

Den ena typen är bestämmelser om gallring (se 4 kap. 3, 9 och 10 §§ tullbrottsdatalagen). De gäller för personuppgifter som inte förekommer i ärenden om utredning av eller lagföring för brott. Regleringen innebär att personuppgifterna inte får behandlas auto- matiserat efter vissa i lagen angivna tidsfrister. De får alltså inte hel- ler arkiveras digitalt. Det följer av att det i 2 kap. 2 § andra stycket tullbrottsdatalagen görs undantag från 8 § andra stycket person- uppgiftslagen, som föreskriver att arkivlagstiftningen har företräde framför personuppgiftslagstiftningen. Behandling för arkivändamål är dock tillåten om det med stöd av 4 kap. 2 § 2 har meddelats före- skrifter om att personuppgifterna får bevaras för historiska, statis- tiska eller vetenskapliga ändamål.

Den andra typen av bestämmelser begränsar möjligheten att be- handla personuppgifter i myndighetens brottsbekämpande verk- samhet. Bestämmelserna gäller för personuppgifter som har gjorts gemensamt tillgängliga och som rör ärenden om utredning av eller lagföring för brott (se 4 kap. 6 och 7 §§ tullbrottsdatalagen). De föreskriver hur länge personuppgifter får behandlas i den brottsbe-

357

Generella ändringar

SOU 2017:74

kämpande verksamheten, men det hindrar inte att uppgifterna be- handlas för bl.a. arkivändamål. Regeringen eller den myndighet som regeringen bestämmer kan enligt 4 kap. 2 § 1 och 3 tullbrotts- datalagen meddela föreskrifter om att vissa kategorier av person- uppgifter får behandlas i den brottsbekämpande verksamheten under längre tid än vad som annars är föreskrivet och om digital arkivering.

Bestämmelser om bevarande och gallring är inte arkivrättsliga regler

Utgångspunkten i det arkivrättsliga regelverket är att uppgifter ska bevaras, medan presumtionen i regelverk som skyddar personupp- gifter är den omvända (se SOU 2017:29 s. 283). Gallring enligt det arkivrättsliga regelverket syftar till att begränsa arkivens omfatt- ning, medan gallring enligt registerförfattningarna syftar till att skydda enskildas personliga integritet.

Bestämmelserna om bevarande och gallring i registerförfattning- arna har alltså till syfte att skydda den personliga integriteten vid automatiserad behandling av personuppgifter (se exempelvis prop. 2009/10:85 s. 207 f. och prop. 2016/17:91 s. 169). Som utredningen konstaterar i delbetänkandet bör orden bevarande och gallring en- bart användas i den betydelse de har i arkivlagstiftningen, för att tydligt skilja mellan arkivrättsliga regler och regler om dataskydd. När syftet med bestämmelserna som i detta fall är att skydda den personliga integriteten bör regleringen därför i stället ange den yttersta gränsen för hur länge personuppgifterna får behandlas (se SOU 2017:29 s. 282 f.). Det gäller både gallringsbestämmelserna och bestämmelserna som begränsar möjligheten att behandla per- sonuppgifter i den brottsbekämpande verksamheten. Bestämmel- serna bör därför formuleras om så att det framgår att de är data- skyddsregler (se avsnitt 5.5.2 och 5.5.3).

En samlad reglering

I tullbrottsdatalagen och skattebrottsdatalagen, som båda nyligen har trätt i kraft, har bestämmelserna om bevarande och gallring samlats i ett särskilt kapitel. Den lösningen ger tillämparen en bättre överblick över hur länge personuppgifter får behandlas enligt

358

SOU 2017:74

Generella ändringar

lagen och bör så långt möjligt väljas i de övriga registerförfattning- arna. I de fall där behandling av personuppgifter i särskilda register eller viss specifik verksamhet regleras särskilt bör dock bestämmel- ser som reglerar hur länge personuppgifter får behandlas i registret eller verksamheten hållas samman med regleringen i övrigt.

5.5.2Bestämmelser om längsta tid för behandling oavsett ändamål

Utredningens förslag: De bestämmelser som i dag reglerar gall- ring ska formuleras om så att de i stället anger den längsta tid som personuppgifterna får behandlas.

Det ska alltjämt finnas bestämmelser om föreskriftsrätt avse- ende behandling av personuppgifter för vetenskapliga, statisti- ska eller historiska ändamål.

Skälen för utredningens förslag

Gallringsbestämmelserna ska finnas kvar men formuleras om

I delbetänkandet konstaterar utredningen att behandling av person- uppgifter för arkivändamål omfattas av dataskyddsförordningens tillämpningsområde (se SOU 2017:29 s. 287). Det kan mot den bakgrunden ifrågasättas om bestämmelser om gallring bör finnas i registerförfattningar som reglerar personuppgiftsbehandling inom brottsdatalagens tillämpningsområde. Som nyss konstaterats är gallringsbestämmelserna i registerförfattningarna emellertid inte gallringsbestämmelser i arkivrättslig mening, utan dataskyddsbe- stämmelser. Syftet är att skydda enskildas personliga integritet genom att det föreskrivs när den automatiserade behandlingen av personuppgifter ska upphöra. Om informationen överförs från elektronisk form till pappersform och därefter inte finns kvar elek- troniskt, anses detta skydd ha tillgodosetts (se t.ex. Tullbrottsdata- lag, prop. 2016/17:91, s. 171). Bestämmelserna reglerar således inte i vilken utsträckning det är tillåtet att behandla personuppgifterna för arkivändamål, utan styr endast i vilken form det får göras genom att ange att automatiserad behandling för arkivändamål inte är tillåten. De hindrar således inte arkivering på papper.

359

Generella ändringar

SOU 2017:74

Om det inte längre skulle finns några bestämmelser i register- författningarna som föreskriver när den automatiserade behand- lingen av personuppgifter ska upphöra, skulle arkivlagens huvud- regel om bevarande behöva tillämpas på om uppgifterna finns i allmänna handlingar. En del av dagens integritetsskydd går då för- lorat. Bestämmelser som reglerar hur länge personuppgifter får be- handlas automatiserat och vara digitalt tillgängliga är därför enligt utredningens mening nödvändiga för att tillgodose skyddet för enskildas personliga integritet. Sådana bestämmelser bör därför även fortsättningsvis finnas i registerförfattningarna.

Bestämmelserna om gallring bör emellertid formuleras om så att det framgår att de är dataskyddsbestämmelser. De bör utgå från hur länge personuppgifterna får behandlas automatiserat. Det gäller 7 § första stycket lagen om behandling av personuppgifter inom kriminalvården och de gallringsbestämmelser som finns i tillhöran- de förordning, 2 kap. 13 §, 3 kap. 14 §, 4 kap. 7, 14, 15, 20 och 22 §§ polisdatalagen, 3 kap. 5 § och 4 kap. 13 § kustbevakningsdatalagen, 2 kap. 10 § tredje stycket åklagardatalagen, 4 kap. 3, 9 och 10 §§ tullbrottsdatalagen och 4 kap. 3 och 8 §§ skattebrottsdatalagen. Någon ändring av hur länge personuppgifterna får behandlas bör som huvudregel inte göras (se dock avsnitt 7.6 och 8.6).

Arkivlagstiftningen ska inte ha företräde

Enligt 2 kap. 17 § första stycket brottsdatalagen får personuppgif- ter inte behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Det hindrar enligt andra stycket inte att en myndighet arkiverar och bevarar allmänna hand- lingar eller att arkivmaterial lämnas till en arkivmyndighet. Av registerförfattningarna följer att arkivlagstiftningen inte har före- träde när gallringsbestämmelser är tillämpliga (se t.ex. 2 kap. 2 § andra stycket polisdatalagen). Syftet med regleringen är som nyss nämnts att förtydliga att personuppgifter i dessa fall inte får be- handlas automatiserat för arkivändamål, det vill säga att uppgifterna inte får arkiveras digitalt. Uppgifterna får dock behandlas för arkiv- ändamål om de överförs till pappersform. För att tydliggöra att ingen förändring i det avseendet är avsedd, trots den ändrade termi-

360

SOU 2017:74 Generella ändringar

nologin, bör det i registerförfattningarna göras undantag från 2 kap. 17 § andra stycket brottsdatalagen i ovan nämnda paragrafer.

Föreskriftsrätten ska finnas kvar

I flertalet av registerförfattningarna upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela före- skrifter om att personuppgifter får bevaras för historiska, statisti- ska eller vetenskapliga ändamål. Sådana bestämmelser finns bl.a. i 2 kap. 13 § tredje stycket polisdatalagen, 3 kap. 5 § tredje stycket och 4 kap. 14 § andra stycket kustbevakningsdatalagen, 2 kap. 11 § 2 åklagardatalagen, 4 kap. 2 § 2 tullbrottsdatalagen och 4 kap. 2 § 2 skattebrottsdatalagen.

Det finns även i framtiden behov av att kunna meddela före- skrifter om att personuppgifter som behandlas med stöd av regis- terförfattningarna får fortsätta att behandlas automatiserat för så- dana ändamål när den längsta tillåtna tiden för behandling som anges i registerförfattningen löper ut. Sådana föreskrifter ger möj- lighet att tillgodose dels rätten att ta del av allmänna handlingar, dels rättskipningens, förvaltningens och forskningens behov. Be- stämmelserna bör dock formuleras om så att föreskriftsrätten avser hur länge personuppgifterna får behandlas. Utredningen återkom- mer till att de även bör formuleras om för att motsvara dataskydds- förordningens och dataskyddsdirektivets terminologi.

Enligt 7 § andra stycket lagen om behandling av personuppgifter inom kriminalvården får, trots vad som föreskrivs om gallring i första stycket, personuppgifter bevaras för historiska, statistiska eller vetenskapliga ändamål. Kriminalvården har även i fortsätt- ningen behov av att kunna behandla personuppgifter för statistik- och forskningsändamål. I likhet med vad som föreslås beträffande övriga registerförfattningar bör det därför upplysas om att rege- ringen eller den myndighet som regeringen bestämmer kan med- dela föreskrifter om att personuppgifter får behandlas för histo- riska, statistiska eller vetenskapliga ändamål. Föreskriftsrätten bör ersätta den nuvarande regleringen.

Det kan även här ifrågasättas om bestämmelser om föreskrifts- rätt som möjliggör fortsatt behandling av personuppgifter för his- toriska, statistiska eller vetenskapliga ändamål bör finnas i register-

361

Generella ändringar

SOU 2017:74

författningar som endast reglerar personuppgiftsbehandling inom brottsdatalagens tillämpningsområde. Eftersom föreskriftsrätten gäller personuppgifter som behandlas för ändamål som omfattas av registerförfattningens tillämpningsområde och inte för arkivända- mål kan föreskriftsrätten inte överföras till arkivlagstiftningen. Det finns inte heller någon annan naturlig plats för sådana bestämmel- ser. Utredningen anser därför att föreskriftsrätten även fortsätt- ningsvis bör regleras i registerförfattningarna.

Behandling för historiska, statistiska och vetenskapliga ändamål

Som nyss nämnts kan enligt bestämmelser i polisdatalagen, kustbe- vakningsdatalagen, åklagardatalagen, tullbrottsdatalagen och skatte- brottsdatalagen regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål.

I 9 § tredje stycket personuppgiftslagen används samma uttryck. I dataskyddsförordningen används i stället uttrycken arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsända- mål eller statistiska ändamål. Historiska ändamål delas alltså upp i arkivändamål av allmänt intresse och historiska forskningsändamål. Avsikten med uppdelningen är att förtydliga vad som avses med historiska ändamål. Även i direktivet görs i artikel 4.3 skillnad mel- lan behandling för arkivändamål av allmänt intresse och vetenskap- lig, statistisk och historisk användning för ändamål som omfattas av direktivets tillämpningsområde.

Som nyss nämnts finns det även i framtiden behov av att kunna meddela föreskrifter om att personuppgifter som behandlas med stöd av en viss registerförfattning får fortsätta att behandlas för vetenskapliga, statistiska och historiska ändamål när den längsta tiden för behandling enligt registerförfattningen löper ut. För att terminologin ska motsvara dataskyddsförordningens och data- skyddsdirektivets bör det framgå att föreskriftsrätten även omfat- tar behandling för arkivändamål av allmänt intresse.

362

SOU 2017:74

Generella ändringar

5.5.3Bestämmelser om längsta tid för behandling för ändamål inom tillämpningsområdet

Utredningens förslag: Bestämmelser som i dag reglerar hur länge personuppgifter får behandlas i den brottsbekämpande verksamheten ska formuleras om så att det framgår att de bara begränsar behandling för ändamål inom registerförfattningens tillämpningsområde.

Bestämmelser om föreskriftsrätt avseende digital arkivering ska finnas kvar i registerförfattningarna, men det ska förtydligas att de endast omfattar behandling av personuppgifter för ända- mål inom tillämpningsområdet.

Skälen för utredningens förslag

Endast begränsning av behandlingen för ändamål inom registerförfattningens tillämpningsområde

I 3 kap. 10 och 11 §§ polisdatalagen, 4 kap. 9 och 10 §§ kustbevak- ningsdatalagen, 4 kap. 6 och 7 §§ tullbrottsdatalagen och 4 kap. 5 och 6 §§ skattebrottsdatalagen anges hur länge vissa personupp- gifter får behandlas automatiserat i den brottsbekämpande verk- samheten. Enligt 2 kap. 10 § andra stycket åklagardatalagen gäller motsvarande vid behandling för ändamål i den operativa verksam- heten. Bestämmelserna hindrar inte att uppgifterna fortsätter att behandlas automatiserat för andra ändamål under längre tid än vad som anges i dem, vilket innebär att personuppgifterna bl.a. får be- handlas automatiserat för arkivändamål. Bestämmelserna begränsar alltså enbart möjligheten till fortsatt behandling i den verksamhet som regleras i respektive registerförfattning. För att tydliggöra det bör det framgå att bestämmelserna enbart reglerar hur länge per- sonuppgifter får behandlas för ändamål inom respektive register- författnings tillämpningsområde.

Den ändrade terminologin bör även medföra att 2 kap. 18 § brottsdatalagen ändras så att det tydliggörs att skyldigheten enligt den paragrafen att ompröva behovet av att behandla personuppgif- ter gäller om det inte finns en föreskrift i lag eller annan författning som anger när en viss kategori av personuppgifter inte längre får behandlas för ändamål inom brottsdatalagens tillämpningsområde.

363

Generella ändringar

SOU 2017:74

Konsekvenserna av att uppgifter har arkiverats

Att uppgifter har arkiverats, oavsett om det görs digitalt eller i pappersform, innebär naturligtvis inte att det är förbjudet att på nytt behandla personuppgifterna för något av de ändamål som anges i en registerförfattning. Det förutsätter dock att det finns en tillåten rättslig grund för att göra det och att regleringen i övrigt tillåter den nya behandlingen. Ett typiskt exempel kan vara att det kommer fram uppgifter som gör att en nedlagd förundersökning som har arkiverats bör återupptas eller att fråga om resning eller annat extraordinärt rättsmedel aktualiseras beträffande en dom eller ett beslut som har fått laga kraft. Ny behandling av de arkiverade uppgifterna kan då påbörjas för det ändamålet.

I de brottsbekämpande myndigheternas registerförordningar föreskrivs det att personuppgifterna ska avskiljas från myndighe- tens brottsbekämpande eller operativa verksamhet vid digital arki- vering. Syftet är att uppgifterna inte ska vara digitalt åtkomliga i den verksamheten. Det ska alltså inte vara möjligt för vem som helst att enkelt söka fram de digitalt arkiverade personuppgifterna. Normalt bör det bara vara arkivarier som förfogar över uppgifterna och kan göra sökningar i dem.

Med hänsyn till att arkivlagen inte hindrar eller ställer upp några begränsningar för fortsatt automatiserad behandling av arkiverade uppgifter finns det även i fortsättningen behov av att kunna med- dela föreskrifter till skydd för den personliga integriteten vid digital arkivering.

Det kan ifrågasättas om föreskrifter avseende arkiverade upp- gifter, som behandlas med stöd av dataskyddsförordningen, bör finnas i en registerförfattning som endast reglerar personuppgifts- behandling inom brottsdatalagens tillämpningsområde. Syftet med föreskrifterna är att reglera hur digitalt arkiverade uppgifter får be- handlas för ändamål inom respektive lags tillämpningsområde och att därigenom skydda enskildas integritet, t.ex. genom att ange vem som ska få ha tillgång till uppgifterna eller vilka sökningar som ska få göras. Mot den bakgrunden hör regleringen enligt utredningens mening hemma i personuppgiftslagstiftningen och inte i arkivlag- stiftningen.

364

SOU 2017:74

Generella ändringar

5.5.4Omständigheter som påverkar längsta tid för behandling i underrättelseverksamhet

Utredningens förslag: Endast uppgifter om en persons anknyt- ning till brottslig verksamhet ska påverka längsta tid för behand- ling av personuppgifter i underrättelseverksamhet.

Skälen för utredningens förslag: I dag föreskrivs det i vissa be- stämmelser att den tid som personuppgifter får behandlas i under- rättelseverksamhet kan förlängas om en ny registrering avseende personen i fråga görs. Sådana bestämmelser finns bl.a. i 3 kap. 14 §, 4 kap. 20 § och 6 kap. 12 § polisdatalagen, 4 kap. 13 § kustbevak- ningsdatalagen och 4 kap. 9 § tullbrottsdatalagen. Det framgår emellertid inte av bestämmelserna vad den registrering som kan föranleda att personuppgifter får fortsätta att behandlas ska avse. Det kan knappast ha varit lagstiftarens avsikt att tiden för hur länge personuppgifter får behandlas ska kunna påverkas av vilka uppgif- ter som helst. Normalt saknar t.ex. ny folkbokföringsadress, nytt registreringsnummer på fordon som personen disponerar eller någon annan sådan uppgift betydelse för frågan om personen ut- övar eller kan komma att utöva brottslig verksamhet. Enligt utred- ningens mening bör det tydliggöras att endast sådana omständig- heter som har betydelse för personens anknytning till brottslig verksamhet bör påverka hur länge personuppgifterna får behandlas. En sådan omständighet kan vara att personen har begått brott, men det bör då vara fråga om ett brott som har någon anknytning till den brottsliga verksamheten. Att en person t.ex. gör sig skyldig till skadegörelse eller misshandel av en anhörig kan sällan ha betydelse för om personen kan antas vara inblandad i narkotikabrottslighet.

Säkerhets- och integritetsskyddsnämnden har väckt ytterligare en fråga om hur bestämmelserna bör tolkas (nämndens uttalande den 4 maj 2017, dnr 223-2016). Det gäller frågan om huruvida en ny registrering avseende en person förlänger tiden för behandling enbart avseende den personen, eller om den registreringen även på- verkar tiden för behandling avseende personer som har anknytning till samma brottsliga verksamhet. Utredningen har inte haft utrym- me att behandla den frågan.

365

Generella ändringar

SOU 2017:74

5.6Särskilt om elektroniskt utlämnande

5.6.1Olika former av elektroniskt utlämnande

Direktåtkomst

Det finns inte någon legaldefinition av uttrycket direktåtkomst. Det som vanligtvis avses med direktåtkomst är att någon har direkt tillgång till någon annans register eller databas och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen. Enligt Informationshanteringsutred- ningen bör direktåtkomst anses föreligga om en myndighet hos en annan myndighet har sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § andra stycket tryckfrihetsförordningen, dvs. om upptagningen är tillgänglig för myndigheten med tekniskt hjälp- medel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas (se Myn- dighetsdatalag, SOU 2015:39, s. 390 f.). Högsta förvaltningsdom- stolen använde i rättsfallet HFD 2015 ref. 61 samma definition av direktåtkomst. I begreppet direktåtkomst ligger också att den som är personuppgiftsansvarig för registret eller databasen saknar kon- troll över vilka uppgifter som den som har direktåtkomst vid ett visst tillfälle tar del av. Från integritetssynpunkt har det därför an- setts viktigt att frågor om tillgång till uppgifter genom direktåt- komst regleras särskilt i registerlagstiftningarna (se Ökat informa- tionsutbyte mellan arbetslöshetsförsäkringen, socialförsäkringen och studiestödet, prop. 2000/01:129, s. 74, Lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten, prop. 2001/02:144, s. 35 f. och Elektronisk informationsöverföring hos arbetslöshetskassorna och inom Arbetsmarknadsverket, prop. 2005/06:52, s. 8).

Vid direktåtkomst fattas beslutet om överföring i varje enskilt fall av mottagaren. Den faktiska begränsningen av direktåtkomsten görs med hjälp av olika tekniska lösningar, beroende på hur om- fattningen av direktåtkomsten har begränsats i det enskilda fallet. Det kan göras exempelvis genom olika behörighetsnivåer. Direkt- åtkomst anses således föreligga inte bara när tillgång ges utan be- gränsning, utan även vid mer eller mindre förfinade avgränsningar av åtkomst till enstaka eller ett flertal uppgifter (se E-delegationens rapport Direktåtkomst och utlämnande på medium för automatise-

366

SOU 2017:74

Generella ändringar

rad behandling, s. 8). Den personuppgiftsansvarige ska se till att åtkomsten rent faktiskt begränsas på det sätt som föreskrivs.

Utlämnande på medium för automatiserad behandling

I princip anses allt elektroniskt utlämnande som inte görs genom direktåtkomst göras genom utlämnande på medium för automatise- rad behandling. Sådant utlämnande kan göras på många olika sätt. Det kan vara fråga om att personuppgifter lämnas t.ex. via e-post eller dvd-skiva eller genom direkt överföring från ett datasystem till ett annat via elektroniska kommunikationsnät. Begreppet ut- lämnande på medium för automatiserad behandling har dock i takt med att tekniken utvecklats ibland getts en vidare innebörd. Det används numera för överlämnande av elektroniskt lagrade uppgifter via alla slags medium för lagring och överföring (se Överskotts- information vid direktåtkomst, SOU 2012:90, s. 198). I förarbets- uttalanden har som exempel på sådant utlämnande bl.a. nämnts s.k. batchkörningar. Med det avses visst automatiskt utlämnande efter sökningar och sammanställningar där svar lämnas med viss tidsför- dröjning (se prop. 2000/01:129 s. 76 och Utökat elektroniskt infor- mationsutbyte, prop. 2007/08:160, s. 60).

5.6.2Behovet av att kommunicera elektroniskt

Dagens kommunikationsbehov

Myndigheter som sysslar med brottsbekämpning, lagföring och straffverkställighet har stora behov av att kommunicera med såväl andra myndigheter som enskilda. Det kan röra sig om att begära eller utbyta information, att begära eller lämna yttranden, att ge insyn i en förundersökning, att delge handlingar under förunder- sökningsförfarandet eller brottmålsprocessen eller att expediera strafförelägganden och andra beslut. Tyngdpunkten ligger på kom- munikation mellan behöriga myndigheter, men det rör sig också om kommunikation med andra. När det gäller andra myndigheter kan det exempelvis vara fråga om kontakter med Transportsty- relsen (trafikutredningar, expediering av strafförelägganden och be- slut), Arbetsförmedlingen (brottsutredningar, personutredning

367

Generella ändringar

SOU 2017:74

och straffverkställighet) eller Försäkringskassan (brottsutred- ningar, personutredning, straffverkställighet). När det gäller kom- munikation med enskilda kan som exempel nämnas att Polismyn- digheten i sin brottsbekämpande verksamhet har stort behov av att kunna kommunicera med bl.a. banker och försäkringsbolag och att Ekobrottsmyndigheten ofta har kontakt med finansiella aktörer.

Det finns också skäl att framhålla att behovet av kommunika- tion utanför ordinarie kontorstid är betydande, eftersom brotts- bekämpande verksamhet pågår även på annan tid. Det kan då vara nödvändigt att t.ex. kunna förse offentliga försvarare med hand- lingar elektroniskt.

Under lång tid sköttes kommunikationsbehovet i huvudsak på papper, bl.a. därför att regelverket i rättegångsbalken förutsatte sådan hantering. Framför allt det senaste decenniet har dock inne- burit att kommunikationen i allt större utsträckning kan skötas i elektronisk form.

Elektroniskt utlämnande ger effektivitetsvinster

Informationshanteringsutredningen, som hade i uppdrag att gene- rellt se över frågor om elektroniskt utlämnande, framhåller att frå- gan om hur den bästa effektiviteten kan uppnås för närvarande inte synes handla så mycket om vilken elektronisk utlämnandeform som bör väljas utan mer om myndigheternas möjlighet att över- huvudtaget åstadkomma det informationsutbyte som regeringen eller de själva vill ska förekomma. Problemen med att uppnå öns- kad effektivisering förefaller enligt den utredningen till viss del handla om legala förutsättningar för ett visst informationsutbyte (se SOU 2015:39 s. 148).

Både i Sverige och inom EU uppmuntras myndigheter att i så stor utsträckning som möjligt dra nytta av de effektivitetsvinster som modern teknik kan ge. Det pågår sedan länge ett utvecklings- arbete under ledning av Regeringskansliet, det s.k. RIF-arbetet, som syftar till att myndigheterna i rättskedjan i ökande utsträck- ning ska kunna dra nytta av personuppgifter som har lagrats elek- troniskt av de myndigheter som ligger tidigare i kedjan. Genom registerförfattningarna har myndigheterna i rättskedjan lagstöd för att kunna utbyta personuppgifter elektroniskt med varandra och att

368

SOU 2017:74

Generella ändringar

medge övriga myndigheter tillgång till vissa uppgifter genom direktåtkomst. Av effektivitetsskäl kan de emellertid behöva lämna ut personuppgifter i elektronisk form även till andra. Den möjlig- heten begränsas i dag genom reglerna om utlämnande på medium för automatiserad behandling.

Risker med elektroniskt utlämnande

När det gäller elektroniskt utlämnande brukar utlämnande genom direktåtkomst förknippas med särskilda risker. Ett skäl till det är att de upptagningar som direktåtkomsten avser blir allmänna hand- lingar hos den mottagande myndigheten (se SOU 2012:90 s. 64 f. och 123 f. och SOU 2015:39 s. 134 f.). Sammanställningar av upp- gifter som i samband med direktåtkomst görs tekniskt tillgängliga för den mottagande myndigheten anses enligt 2 kap. 3 § andra stycket tryckfrihetsförordningen förvarade hos den mottagande myndigheten och utgör således allmänna handlingar där. Ju fler myndigheter som har direktåtkomst till uppgifter i ett datasystem, desto större blir allmänhetens möjlighet att få tillgång till uppgif- terna (se Utlänningsdatalag, SOU 2003:40, s. 201 och Personupp- giftsbehandling på utlännings- och medborgarskapsområdet, SOU 2015:73, s. 304). Ett annat skäl till att direktåtkomst anses innebära särskilda risker är att den typiskt sett innebär att uppgifter blir tillgängliga för fler personer och att den utlämnande myndighetens möjligheter att kontrollera användningen av uppgifterna minskar (se Utlänningsdatalag, prop. 2015/16:65, s. 89 f.).

Det förhållandet att en myndighet får tillgång till uppgifter genom direktåtkomst ger dock inte mottagaren rätt att behandla personuppgifterna. Mottagaren måste ha rättsligt stöd i sin egen registerlagstiftning för personuppgiftsbehandlingen och även i övrigt uppfylla alla skyldigheter som är förenade med den.

Inte bara direktåtkomst utan även utlämnande av personupp- gifter på medium för automatiserad behandling anses medföra ris- ker från integritetssynpunkt. Sådant utlämnande innebär nämligen som regel att mottagaren kan bearbeta informationen, t.ex. genom att samköra den mot elektroniska uppgifter som har hämtats från andra informationskällor. Det ökar risken för att uppgifterna be- handlas i strid med de grundläggande kraven på dataskydd.

369

Generella ändringar

SOU 2017:74

För att minska de risker som ökat elektroniskt utlämnande an- ses medföra har det bl.a. införts en ny sekretessbestämmelse. Enligt 21 kap. 7 § offentlighets- och sekretesslagen gäller sekretess för personuppgift, om det kan antas att utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. Syftet med bestämmelsen är att det ska vara möjligt att hindra s.k. massuttag, om det finns skäl att anta att uppgifterna skulle missbrukas.

5.6.3Utlämnande genom direktåtkomst

Utredningens bedömning: Möjligheterna att tillhandahålla per- sonuppgifter genom direktåtkomst behöver inte ändras.

Skälen för utredningens bedömning

Nuvarande reglering

Av 2 kap. 21 § polisdatalagen framgår att utlämnande genom direktåtkomst bara är tillåtet i den utsträckning som följer av lagen. Sådana bestämmelser finns bl.a. i 4 kap., där vissa register särregle- ras. I 3 kap. 8 § polisdatalagen anges vilka myndigheter som får medges direktåtkomst till andra personuppgifter än de som be- handlas i särskilda register. Där föreskrivs också att direktåtkomst endast får avse personuppgifter som gjorts gemensamt tillgängliga. Liknande bestämmelser finns i 2 kap. 9 § kustbevakningsdatalagen, 2 kap. 17 § åklagardatalagen, 2 kap. 17 § och 3 kap. 8 § tullbrotts- datalagen och 2 kap. 16 § och 3 kap. 8 § skattebrottsdatalagen.

Även i kriminalvårdens registerlagstiftning finns det bestämmel- ser om direktåtkomst, men de finns i huvudsak i förordning (se 37, 43 och 44 §§ förordningen om behandling av personuppgifter inom kriminalvården).

Reglerna om direktåtkomst behöver inte ändras

Informationshanteringsutredningen anser att det även i fortsätt- ningen bör göras skillnad mellan direktåtkomst och annat elektro- niskt utlämnande, eftersom konsekvenserna av direktåtkomst till

370

SOU 2017:74

Generella ändringar

personuppgifter skiljer sig från annat elektroniskt utlämnande (se SOU 2015:39 s. 136 f.).

Direktåtkomst kräver i dag lagstöd enligt samtliga registerför- fattningar med undantag av kriminalvårdens. Enligt 10 § första stycket 2 lagen om behandling av personuppgifter inom kriminal- vården meddelar regeringen föreskrifter om vilka myndigheter som får ha direktåtkomst. Riksdagen ska således i de flesta fall ta ställ- ning till om en viss myndighet kan tillåtas att få direktåtkomst.

Med något enstaka undantag är det endast myndigheter som till- lämpar brottsdatalagen som enligt registerförfattningarna får med- ges direktåtkomst. Enligt utredningens mening ger de nuvarande bestämmelserna om direktåtkomst ett tillräckligt skydd för den personliga integriteten och är även i övrigt förenliga med direktivet. Möjligheterna att tillhandahålla personuppgifter genom direktåt- komst behöver därför inte ändras.

5.6.4Annat elektroniskt utlämnande tillåts i större utsträckning

Utredningens förslag: Personuppgifter ska få lämnas ut elekt- roniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Regeringen ska genom föreskrifter kunna begränsa möjligheten att tillhandahålla personuppgifter på det sättet.

Skälen för utredningens förslag

Nuvarande reglering

Registerförfattningarna för de brottsbekämpande myndigheterna innehåller bestämmelser om elektroniskt utlämnande. I 2 kap. 20 § polisdatalagen, 2 kap. 8 § kustbevakningsdatalagen, 2 kap. 16 § åklagardatalagen, 2 kap. 16 § tullbrottsdatalagen och 2 kap. 15 § skattebrottsdatalagen föreskrivs att enstaka personuppgifter får lämnas ut på medium för automatiserad behandling. Registerför- fattningarna innehåller dessutom bestämmelser om att regeringen kan meddela föreskrifter om att uppgifter får lämnas ut på medium för automatiserad behandling även i andra fall. I de förordningar som kompletterar registerlagarna finns det i varierande utsträck-

371

Generella ändringar

SOU 2017:74

ning bestämmelser om att uppgifter får lämnas ut på medium för automatiserad behandling i större utsträckning än vad som anges i respektive lag. Begränsningen till enstaka personuppgifter gäller t.ex. inte i förhållande till de myndigheter som får medges direkt- åtkomst. Det innebär att begränsningen inte gäller i förhållande till andra brottsbekämpande myndigheter.

I domstolsdatalagen har en delvis annan reglering valts. Enligt 16 § domstolsdatalagen får personuppgifter lämnas ut på medium för automatiserad behandling om det inte är olämpligt.

Dataskyddsdirektivet reglerar inte hur personuppgifter tillhandahålls

Varken dataskyddsdirektivet eller dataskyddsförordningen innehål- ler några bestämmelser om elektroniskt utlämnande av personupp- gifter. Det gör inte heller det nu gällande dataskyddsdirektivet. Att lämna ut personuppgifter elektroniskt innebär behandling av per- sonuppgifter och utlämnande förutsätter därmed att reglerna om behandling av personuppgifter följs och att inte annan lagstiftning hindrar utlämnandet.

Eftersom dataskyddsdirektivet inte reglerar på vilket sätt per- sonuppgifter får lämnas ut, finns det inget som hindrar att de nu- varande reglerna om elektroniskt utlämnande behålls.

Kritik mot reglerna om utlämnande av enstaka personuppgifter

Bestämmelserna om att bara enstaka personuppgifter får lämnas ut på medium för automatiserad behandling har kritiserats. Redan när de infördes framförde vissa remissinstanser invändningar mot att begränsa det elektroniska utlämnandet till enstaka uppgifter. Det ansågs otidsenligt och i alltför hög grad begränsa myndigheternas möjlighet att utnyttja de fördelar som elektronisk kommunikation kan ge (se bl.a. prop. 2009/10:85 s. 184 f.). Det var också omfat- tande kritik mot begränsningen till enstaka uppgifter som ledde till att en annan lösning valdes i domstolsdatalagen (se Domstolsdata- lag, prop. 2014/15:148, s. 75 f.)

Till kritikerna hör Informationshanteringsutredningen, som föreslår att det i myndighetsdatalagen tas in en bestämmelse som medger elektroniskt utlämnande till enskilda om det inte är olämp-

372

SOU 2017:74

Generella ändringar

ligt. Däremot bör det enligt den utredningen inte gälla några lagliga begränsningar för att tillhandahålla myndigheter personuppgifter i elektronisk form (se SOU 2015:39 s. 447).

De myndigheter som har en reglering som föreskriver att endast enstaka personuppgifter får tillhandahållas på medium för automa- tiserad behandling har instämt i kritiken och under utrednings- arbetet framfört önskemål om en reglering som motsvarar den som finns i domstolsdatalagen. Mot det har Datainspektionen anfört att det av integritetsskäl alltjämt bör vara lagstiftaren som avgör om utlämnande i viss form är lämpligt.

Även uttrycket ”utlämnande på medium för automatiserad be- handling” har kritiserats, bl.a. på den grunden att det är otydligt (se SOU 2012:90 s. 198 f. och SOU 2015:39 s. 442).

Bör regleringen ändras?

Numera förväntar sig både myndigheter och enskilda att hand- lingar i stor utsträckning kan förmedlas elektroniskt. Frågan är om den utvecklingen bör mötas med bestämmelser som förenklar för myndigheterna i rättskedjan att kunna kommunicera elektroniskt.

I avsnitt 5.6.2 framhålls att de brottsbekämpande myndigheter- na behöver kommunicera elektroniskt med andra myndigheter och med enskilda. Det är en utveckling som kan antas fortsätta. Elek- tronisk kommunikation är som regel kostnadseffektiv om man jämför med postbefordran. I vissa avseenden är elektronisk kom- munikation säkrare än traditionell befordran, eftersom spårbarhe- ten är större. Elektronisk kommunikation gör det också enkelt att sända större informationsmängder. För mottagaren är skillnaden mellan att få uppgifter på papper och i elektronisk form inte heller så stor i dag. Med modern teknik kan nämligen text på papper enkelt omvandlas till elektroniska uppgifter.

I förarbetena till bl.a. polisdatalagen och kustbevakningsdatala- gen framhålls att när ordet enstaka används i bestämmelsen om utlämnande av uppgifter på medium för automatiserad behandling har ordet en annan innebörd än i vanligt språkbruk. När person- uppgifter förekommer i en eller ett fåtal handlingar är bestämmel- sen inte avsedd att utgöra ett hinder mot att handlingen lämnas ut t.ex. via e-post. Det förhållandet att en handling, t.ex. en lista över

373

Generella ändringar

SOU 2017:74

telefonnummer, innehåller ett stort antal personuppgifter hindrar inte att handlingen lämnas ut med stöd av bestämmelsen. Bestäm- melsen ger också stöd för utlämnande av t.ex. ett ärende eller delar av ett ärende där personuppgifter förekommer. Ett förundersök- ningsprotokoll kan således ofta lämnas ut elektroniskt. Däremot får inte en större mängd uppgifter, t.ex. ett helt register eller delar av ett register, lämnas ut med stöd av en sådan bestämmelse (se prop. 2009/10:85 s. 333 och prop. 2011/12:45 s. 98).

Det finns uppenbara nackdelar med en reglering som gång på gång föranleder samma kritik. Det finns enligt utredningens mening risk att bestämmelser – som enligt sin ordalydelse talar för en mer restriktiv tillämpning av elektroniskt utlämnade än vad som förefaller vara avsedd – kan motverka statsmakternas strävanden att myndigheterna ska dra nytta av effektivitetsvinsterna med ny tek- nik. Det är också olyckligt om förarbetena ger uttryck för att lag- regler ska tolkas annorlunda än sin ordalydelse. Det riskerar att undergräva förtroendet för lagstiftningen. En annan risk med hur bestämmelserna är formulerade i dag är att de ger sken av att ge ett starkare integritetsskydd än vad som i praktiken är fallet.

Mot den nu angivna bakgrunden anser utredningen att bestäm- melserna om utlämnande av personuppgifter på medium för auto- matiserad behandling i registerförfattningarna bör ses över, trots att riksdagen nyligen har godkänt sådana bestämmelser i tullbrotts- datalagen och skattebrottsdatalagen.

Samma reglering som för domstolarna

Utredningen delar uppfattningen att tiden nu är mogen att lämna större utrymme för utlämnande i elektronisk form för de brottsbe- kämpande myndigheterna. Även om det i relativt stor utsträckning förekommer integritetskänsliga personuppgifter i framför allt brottsbekämpande verksamhet och vid straffverkställighet måste riskerna med att överföra sådana uppgifter elektroniskt vägas mot behovet av snabb och effektiv kommunikation. Sekretessbestäm- melserna tillsammans med regleringen av personuppgiftsbehand- ling skyddar enskilda mot att möjligheten att lämna ut personupp- gifter elektroniskt missbrukas. Den som överväger att lämna ut personuppgifter, oavsett i vilken form det görs, måste alltid över-

374

SOU 2017:74

Generella ändringar

väga om sekretessregleringen lägger hinder i vägen och, om så inte är fallet, om regelverket för personuppgiftsbehandling gör det möj- ligt att lämna uppgifterna i elektronisk form.

För polisen, Kustbevakningen, åklagarväsendet, Tullverket och Skatteverket har regeringen redan i förordning öppnat för elektro- niskt uppgiftslämnande på annat sätt än genom direktåtkomst om det inte är olämpligt. Det gäller dock enbart i förhållande till vissa i förordningarna uppräknade kategorier av mottagare, framför allt sådana till vilka det förekommer frekvent uppgiftslämnande.

Mot den bakgrunden bör enligt utredningens mening samma lagtekniska lösning som i domstolsdatalagen väljas i de brottsbe- kämpande myndigheternas registerförfattningar. Utredningen före- slår således att bestämmelserna ändras på det sättet att personupp- gifter ska få lämnas ut elektroniskt om det inte är olämpligt.

Informationshanteringsutredningen anser att uttrycket ”utläm- nande på medium för automatiserad behandling” bör utmönstras och föreslår att uttrycket ”utlämnande i elektronisk form” ska an- vändas i stället (se SOU 2015:39 s. 442).

Ett modernare uttryckssätt är enligt utredningens mening att föredra. Eftersom registerförfattningarna ses över är det lämpligt att göra den förändringen nu. Även fortsättningsvis bör det i regis- terförfattningarna göras tydlig skillnad mellan elektroniskt utläm- nande i form av direktåtkomst och elektroniskt utlämnande på annat sätt.

När kan elektroniskt utlämnande komma i fråga?

I fråga om elektroniskt utlämnande på annat sätt än genom direkt- åtkomst bör enligt utredningens mening skillnad göras mellan ut- lämnande till myndigheter och utlämnande till enskilda. Det bör normalt inte anses olämpligt att lämna personuppgifter elektro- niskt till myndigheter (jfr SOU 2015:39 s. 447 f.). Om det i ett enskilt fall skulle bedömas vara olämpligt bör emellertid person- uppgifterna lämnas på annat sätt.

Även när det gäller utlämnande till enskilda har lagstiftaren redan tagit ställning till att sådant utlämnande är godtagbart till vissa kategorier av mottagare, om det inte är olämpligt. Det gäller t.ex. uppgifter som lämnas till konkursförvaltare i vissa fall. Person-

375

Generella ändringar

SOU 2017:74

uppgifter bör kunna lämnas ut elektroniskt till sådana kategorier i samma utsträckning som i dag.

När det gäller andra enskilda än de som i dag pekas ut i förord- ning kan det krävas närmare överväganden bl.a. med hänsyn till vem mottagaren är och vilken säkerhet mottagaren har för sin per- sonuppgiftsbehandling. I de fallen är det svårare att göra en generell bedömning av om elektroniskt utlämnande kan vara lämpligt. Ut- redningen anser att regeringen bör kunna meddela föreskrifter som begränsar möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst.

5.7Frågor om föreskriftsrätt m.m.

Utredningens bedömning: Bestämmelserna om föreskriftsrätt bör samlas i registerförfattningarna.

Utredningens förslag: Sådan föreskriftsrätt som inte längre fyller någon funktion ska tas bort.

Innan en myndighet utfärdar föreskrifter i frågor som berör särskilda risker för intrång i den personliga integriteten ska den samråda med Datainspektionen. Det ska regleras i förordning.

Skälen för utredningens bedömning och förslag

Föreskriftsrätt

I registerförfattningarna finns det ett flertal bestämmelser där det upplyses att regeringen själv kan meddela föreskrifter i en viss fråga, eller delegera den uppgiften till en myndighet. I dag är dessa bestämmelser utspridda i registerförfattningarna. Utredningen an- ser att regleringen blir lättare att överblicka och enklare att till- lämpa om bestämmelserna om föreskriftsrätt samlas i slutet av varje kapitel i registerförfattningarna.

En annan fråga som aktualiserats vid genomgången av register- författningarna är om alla bestämmelser om föreskriftsrätt fyller någon praktisk funktion. I en del fall rör det sig om föreskriftsrätt som är knuten till bestämmelser som inte längre ska finnas kvar i registerförfattningarna. Sådana bestämmelser bör upphävas. Det

376

SOU 2017:74

Generella ändringar

finns också vissa bestämmelser om vidaredelegation av föreskrifts- rätt som inte bör behållas därför att det som regleringen avser enbart rör myndighetsinterna frågor eller därför att det är uppgifter som följer med rollen som personuppgiftsansvarig. Myndigheterna bör alltså inte ha någon föreskriftsrätt om det är fråga om interna förhållanden som kan regleras på annat sätt än i föreskrifter. Det gäller exempelvis föreskriftsrätten i 3 § polisdataförordningen om tillgången till personuppgifter, i 5 § andra stycket om begränsning av tillgången till vissa uppgifter och 8 § om sökning. Motsvarande bestämmelser i övriga registerförordningar bör också upphävas.

Samråd inför utfärdande av föreskrifter

I 29 § polisdataförordningen föreskrivs att innan Polismyndigheten eller Säkerhetspolisen meddelar föreskrifter i frågor som berör sär- skilda risker för intrång i den personliga integriteten, ska myndig- heten samråda med Datainspektionen och Säkerhets- och integri- tetsskyddsnämnden. Motsvarande bestämmelser, som föreskriver samrådsskyldighet med enbart Datainspektionen, finns i 20 § kust- bevakningsdataförordningen, 12 § åklagardataförordningen, 19 § tullbrottsdataförordningen och 18 § skattebrottsdataförordningen. Bestämmelserna är lite olika utformade. I vissa av paragraferna talas det om samråd och i andra om att Datainspektionen ska ges tillfälle att yttra sig.

Enligt utredningens mening är samarbetet mellan de person- uppgiftsansvariga och tillsynsmyndigheten av stor betydelse. Reg- lerna om samrådsskyldighet bör vara likalydande, för att det inte ska råda någon tvekan om omfattningen av skyldigheten. I 3 kap. 7 § brottsdatalagen regleras samarbetet mellan personuppgiftsan- svariga och tillsynsmyndigheten vid s.k. förhandssamråd. Utred- ningen anser att även det samarbete som bör föregå att föreskrifter utfärdas bör ha formen av samråd med tillsynsmyndigheten.

I 6 och 7 §§ kustbevakningsdataförordningen finns det bestäm- melser om att Kustbevakningen får meddela föreskrifter. Enligt ut- redningens förslag tas föreskriftsrätten bort. Någon samrådsskyl- dighet med Datainspektionen bör då inte heller finnas.

377

6Tillåtna rättsliga grunder och behandling för nya ändamål

6.1Ändamål eller tillåtna rättsliga grunder?

6.1.1Dagens ändamålsbestämmelser

Primära och sekundära ändamål

En grundläggande princip för all personuppgiftsbehandling är att personuppgifter får samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. De får inte heller behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in. I registerförfattningar finns det därför normalt bestämmelser om för vilka ändamål personuppgifter får behandlas. Syftet är att ange ramen för vilken behandling som är tillåten. På så sätt kan användning och spridning av personuppgifter begränsas.

I de brottsbekämpande myndigheternas registerförfattningar delas ändamålen upp i primära och sekundära (se 2 kap. 7 och 8 §§ polisdatalagen, 3 kap. 2 och 3 §§ kustbevakningsdatalagen, 2 kap. 5 och 6 §§ åklagardatalagen, 2 kap. 5 och 6 §§ tullbrottsdatalagen och 2 kap. 5 och 6 §§ skattebrottsdatalagen). Bestämmelserna har sam- ma utformning och liknande innehåll. När ändamålsbestämmelser diskuteras i detta kapitel avses dessa bestämmelser.

De primära ändamålen i de brottsbekämpande myndigheternas registerförfattningar reglerar behandlingen av de personuppgifter som behövs i den berörda myndighetens egen brottsbekämpande verksamhet. De sekundära ändamålen reglerar i vilken utsträckning personuppgifter som behandlas för något av de primära ändamålen får behandlas för att lämnas ut till andra myndigheter eller till en- skilda för att tillgodose deras behov. Det kan också vara fråga om att personuppgifter i den brottsbekämpande verksamheten behöver

379

Tillåtna rättsliga grunder och behandling för nya ändamål

SOU 2017:74

lämnas till verksamhet i samma myndighet som inte är brottsbe- kämpande för den verksamhetens behov.

Syftet med uppdelningen i primära och sekundära ändamål är att göra det tydligt både hur personuppgifter får användas i den brotts- bekämpande verksamheten och för vilka ändamål och till vem upp- gifterna får lämnas ut.

Även de ändamålsbestämmelser som gäller för Säkerhetspolisen och domstolarna är uppdelade i primära och sekundära. De har dock en annan utformning och ett annat innehåll och behandlas därför inte i detta kapitel. Ändamålsbestämmelserna i kriminalvår- dens registerlagstiftning är också annorlunda utformade och be- handlas inte heller i detta kapitel.

Informationshanteringsutredningens slutsatser

Informationshanteringsutredningen anser att det har skett en sam- manblandning mellan vad som i dataskyddsrättslig mening är sär- skilda bestämda ändamål respektive tillåtna rättsliga grunder för behandling. Det finns enligt den utredningen risk att tillämparen blandar samman ändamål med rättslig grund och godtar ett i för- fattning bestämt allmänt ändamål som ett särskilt och tillräckligt preciserat ändamål och drar den felaktiga slutsatsen att kravet på att det ska finnas särskilda, uttryckligt angivna och berättigade ända- mål för behandlingen därmed är uppfyllt. Informationshanterings- utredningen anser att det skulle ge ett bättre integritetsskydd om personuppgiftsansvariga enbart vore hänvisade till att, utifrån de grundläggande kraven i 9 § första stycket c personuppgiftslagen, på eget ansvar formulera ändamål som är tillräckligt specifika för att ge ledning för vilka personuppgifter som är adekvata och inte för många för den aktuella behandlingen. Därför innehåller förslaget till myndighetsdatalag inga ändamålsbestämmelser och förutsätter inte heller att sådana ska finnas. I förslaget anges endast att person- uppgifter får behandlas om det är nödvändigt för att en myndighet ska kunna utföra sin verksamhet (se SOU 2015:39 s. 277 f.).

Förslaget har fått ett blandat mottagande. Vissa remissinstanser anser att ändamålsbestämmelser har betydelse för att göra det tyd- ligt för enskilda inom vilka ramar myndigheter får samla in och behandla personuppgifter och menar att den föreslagna bestämmel-

380

SOU 2017:74

Tillåtna rättsliga grunder och behandling för nya ändamål

sen är alltför vag. Andra är positiva till förslaget och framhåller att det förenklar bedömningen av vilken personuppgiftsbehandling som är tillåten.

6.1.2Bestämmelser om rättslig grund

Det måste alltid finnas en rättslig grund för behandling

Både dataskyddsdirektivet och dataskyddsförordningen utgår från att varje behandling av personuppgifter måste vila på en rättslig grund för att vara laglig. Det är alltså endast om det finns en rättslig grund som personuppgifter överhuvudtaget får behandlas.

Kravet på att det alltid ska finnas en rättslig grund för behand- lingen av personuppgifter är inte nytt. Det framgår av artikel 7 i det nu gällande dataskyddsdirektivet och kommer till uttryck i bl.a. 10 § personuppgiftslagen. Det förs dock inga resonemang kring kravet på rättslig grund i förarbetena till de brottsbekämpande myndigheternas registerförfattningar. Det finns därför skäl att nu lyfta fram den frågan och diskutera hur kravet på rättslig grund förhåller sig till de primära och sekundära ändamålen i registerför- fattningarna.

I artikel 6.1 i dataskyddsförordningen finns det en uttömmande uppräkning av de rättsliga grunderna för behandling av personupp- gifter enligt förordningen. Utredningen återkommer till dem i av- snitt 6.4.1. Någon motsvarande uppräkning finns inte i direktivet. Däremot anges förutsättningarna för att en behandling ska vara lag- lig i artikel 8.1.

Regleringen i brottsdatalagen

Brottsdatalagen innehåller bestämmelser om tillåtna rättsliga grun- der för behandlingen. Enligt 2 kap. 1 §, som genomför artikel 8.1 i direktivet, får personuppgifter behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra en arbetsuppgift i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa en straffrättslig påföljd eller upprätt- hålla allmän ordning och säkerhet. Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett

381

Tillåtna rättsliga grunder och behandling för nya ändamål

SOU 2017:74

särskilt beslut i vilket regeringen uppdragit åt den behöriga myn- digheten att ansvara för en sådan uppgift.

Grunden för att behandla personuppgifter finns alltså i regle- ringen av den behöriga myndighetens arbetsuppgifter. Som exem- pel kan nämnas att det i 2 § polislagen (1984:387) anges att en av Polismyndighetens huvuduppgifter är att utreda och beivra brott. Den arbetsuppgiften preciseras av bestämmelser i framför allt rät- tegångsbalken som reglerar hur förundersökning ska bedrivas och i vilka fall en polisman får utfärda föreläggande om ordningsbot. Ytterligare bestämmelser finns i bl.a. lagen (1964:167) med sär- skilda bestämmelser om unga lagöverträdare och olika lagar om användningen av straffprocessuella tvångsmedel. På motsvarande sätt anges det i 3 § förordningen (2007:853) med instruktion för Kustbevakningen att myndigheten bl.a. ska bedriva övervakning för att förebygga och ingripa mot störningar i sjötrafiken, förhindra och upptäcka brottslig verksamhet, ingripa vid misstanke om brott och utreda och beivra eller bistå med utredningen av brott. Vilka brott Kustbevakningen har till uppgift att ingripa mot framgår bl.a. av lagen (1982:395) om Kustbevakningens medverkan vid polisiär övervakning och lagen (2000:1225) om straff för smuggling. Hur det ska göras regleras framför allt i rättegångsbalken och nyss nämnda lagar. Regleringar av motsvarande slag finns för övriga be- höriga myndigheter.

Grunden för att behandla personuppgifter kan även finnas i regler som primärt gäller för andra myndigheter. Skyldigheten en- ligt 23 kap. 3 § andra stycket rättegångsbalken att biträda åklagare vid brottsutredning utgör den rättsliga grunden för att polisen ska kunna överlämna personuppgifter till åklagare i det brottsbekäm- pande arbetet. Motsvarande bestämmelser finns för Tullverket, Skatteverket och Kustbevakningen.

Regleringen i 2 kap. 1 § brottsdatalagen är således en del av den rättsliga grunden genom att de behöriga myndigheterna där ges rättsligt stöd för att behandla personuppgifter automatiserat för att utföra sina arbetsuppgifter. Ett sådant stöd krävs, eftersom regle- ringen av arbetsuppgiften i sig (t.ex. att hålla vittnesförhör) inte ger någon rätt att behandla personuppgifter. Det behöver dock inte finnas uttryckliga bestämmelser om att personuppgifter får be- handlas automatiserat för att utföra en viss arbetsuppgift. Det är tillräckligt att behandlingen är ett nödvändigt led för att kunna

382

SOU 2017:74

Tillåtna rättsliga grunder och behandling för nya ändamål

utföra arbetsuppgiften, om arbetsuppgiften ligger inom brottsdata- lagens tillämpningsområde och täcks av myndighetens registerför- fattning. Regleringen av personuppgiftsbehandling är i sig inte till- räcklig, om det saknas författningsstöd för själva arbetsuppgiften (se SOU 2017:29 s. 238 f.). Att behandlingen av personuppgifter är rättsligt grundad innebär alltså att det finns både en reglerad arbets- uppgift och bestämmelser om att personuppgifter får behandlas för att utföra arbetsuppgiften.

Skyldigheten att diarieföra inkomna handlingar regleras i 5 kap. offentlighets- och sekretesslagen (2009:400). I 2 kap. 2 § brotts- datalagen föreskrivs att personuppgifter får behandlas om det är nödvändigt för diarieföring eller om uppgifterna lämnats till en be- hörig myndighet i en anmälan, ansökan eller liknande och behand- lingen är nödvändig för handläggningen.

Att behandlingen är rättsligt grundad räcker inte

Den omständigheten att viss behandling är rättsligt grundad inne- bär inte att vilka personuppgifter som helst får behandlas eller att det får göras på valfritt sätt. Den personuppgiftsansvarige måste också iaktta de krav som föreskrivs i övriga bestämmelser i brotts- datalagen. Personuppgifter får enbart behandlas för särskilda, ut- tryckligt angivna och berättigade ändamål. Bara de personuppgifter som är adekvata och relevanta för ändamålet med behandlingen får behandlas. För behandling av känsliga personuppgifter gäller sär- skilda krav. Dessutom ska den personuppgiftsansvarige iaktta even- tuella särregler och andra bestämmelser i registerförfattningar som också gäller för personuppgiftsbehandlingen i fråga.

6.1.3Primära och sekundära ändamålsbestämmelser är bestämmelser om rättslig grund

Utredningens bedömning: De bestämmelser i polisdatalagen, kustbevakningsdatalagen, åklagardatalagen, tullbrottsdatalagen och skattebrottsdatalagen som kallas primära och sekundära ändamålsbestämmelser är en del av den rättsliga grunden för be- handling av personuppgifter.

383

Tillåtna rättsliga grunder och behandling för nya ändamål

SOU 2017:74

Skälen för utredningens bedömning

De primära ändamålsbestämmelserna

Utredningen anser att det finns fog för Informationshanterings- utredningens uppfattning att vad som i dataskyddsrättslig mening är tillåtna rättsliga grunder för behandling och vad som är renod- lade ändamålsbestämmelser ibland har blandats samman. Det kan leda till att tillämparen förväxlar ändamål med rättslig grund och godtar ett i författning angivet allmänt ändamål som ett särskilt och tillräckligt preciserat ändamål i det enskilda fallet. Ett exempel är uppgiftssamlingen benämnd ”Kringresande” som fördes av Polis- myndigheten i Skåne. Säkerhets- och integritetsskyddsnämnden kritiserade vid sin granskning bl.a. att ändamålet med personupp- giftsbehandlingen var alldeles för vitt. Personuppgifterna hade sam- lats in för specifika ändamål men lagrades och behandlades sedan i uppgiftssamlingen för ändamålet länsövergripande brottslighet. Ändamålet låg visserligen inom ramen för sådan underrättelseverk- samhet som avses i 2 kap. 7 § 1 polisdatalagen. Det uppfyllde dock inte det grundläggande kravet på att behandling bara ska utföras för särskilda, uttryckligt angivna och berättigade ändamål (uttalande den 15 november 2013, dnr 173-2013).

Enligt 2 kap. 3 § brottsdatalagen ska all behandling av person- uppgifter utföras för särskilda, uttryckligt angivna och berättigade ändamål. Det är i förhållande till ändamålen som det ska prövas vilka personuppgifter som är adekvata och relevanta för behand- lingen, att inte för många personuppgifter behandlas och att de inte behandlas under längre tid än nödvändigt. Ändamålen måste där- med vara tillräckligt specifika för att ge ledning för den bedöm- ningen.

Författningsbestämmelser som anger för vilket eller vilka ända- mål personuppgifter får behandlas i en viss verksamhet måste vara generellt utformade, eftersom de ska kunna tåla utvecklingen av ny teknik och vissa förändringar i myndighetens sätt att arbeta. En ändamålsbestämmelse bör dock enligt utredningens mening ge någon ledning för prövningen av vilka personuppgifter som är ade- kvata och relevanta för behandlingen.

De primära ändamålsbestämmelserna i registerförfattningarna ger enligt utredningens mening inte någon egentlig ledning för prövningen av vilka personuppgifter som får behandlas. I exem-

384

SOU 2017:74

Tillåtna rättsliga grunder och behandling för nya ändamål

pelvis 2 kap. 7 § polisdatalagen anges endast att Polismyndigheten får behandla personuppgifter för att utföra vissa av sina huvudsak- liga arbetsuppgifter, bl.a. utreda och beivra brott. Syftet med be- stämmelsen är att precisera när personuppgifter alls får behandlas i myndighetens brottsbekämpande verksamhet. Den utgör den yttre ramen inom vilken de särskilda, uttryckliga och berättigade ända- målen med behandlingen i enskilda fall ska bestämmas. Utred- ningen anser därför att de bestämmelser i myndigheternas regis- terförfattningar som i dag kallas primära ändamålsbestämmelser inte är ändamålsbestämmelser i egentlig mening. De är däremot på samma sätt som 2 kap. 1 § brottsdatalagen en del av den rättsliga grunden och tydliggör att personuppgiftsbehandling är tillåten när arbetsuppgifterna fullgörs. I avsnitt 6.3.1 diskuteras om innehållet i de primära ändamålsbestämmelserna bör behållas.

De sekundära ändamålsbestämmelserna

De sekundära ändamålsbestämmelserna reglerar i vilken utsträck- ning personuppgifter som behandlas för något primärt ändamål även får behandlas för att lämnas till andra för att tillgodose deras behov. De reglerar alltså behandling för nya ändamål. Enligt be- stämmelserna får personuppgifter behandlas framför allt för att ge andra myndigheter information som behövs i viss typ av verksam- het där eller för att lämna information till andra verksamheter inom den egna myndigheten för att de ska kunna utföra en viss arbets- uppgift.

På samma sätt som de primära ändamålsbestämmelserna är de sekundära i stor utsträckning allmänt hållna och ger inte någon egentlig ledning för prövningen av vilka personuppgifter som får behandlas. I 2 kap. 8 § polisdatalagen anges i punkten 1 att person- uppgifter får lämnas ut om de behövs i brottsbekämpande verk- samhet hos Säkerhetspolisen, Ekobrottsmyndigheten, Åklagar- myndigheten, Tullverket, Kustbevakningen och Skatteverket. Det motsvarar de primära ändamålsbestämmelserna i de mottagande myndigheternas registerförfattningar. Enligt punkten 2 får person- uppgifter också lämnas ut om uppgifterna behövs i brottsbekäm- pande verksamhet hos utländska myndigheter eller mellanfolkliga organisationer. Personuppgifter får alltså lämnas ut till andra

385

Tillåtna rättsliga grunder och behandling för nya ändamål

SOU 2017:74

brottsbekämpande myndigheter för att tillgodose behov i deras motsvarande verksamhet. Punkterna 3, 4, 5 och 7 anger att person- uppgifter som Polismyndigheten behandlar i den brottsbekäm- pande verksamheten under vissa förutsättningar får behandlas för att lämnas till andra verksamheter inom myndigheten och till andra myndigheter för att tillgodose informationsbehov där. Samtliga nu nämnda punkter, som endast anger att personuppgifter får behand- las om det behövs för någon annans verksamhet, är enligt utred- ningens mening bestämmelser om rättslig grund. Det är endast punkten 6, där det anges att personuppgifter får lämnas till Migra- tionsverket för att verket ska kunna kontrollera fingeravtryck som tagits med stöd av 9 kap. 8 § utlänningslagen (2005:716) mot Polis- myndighetens fingeravtrycks- och signalementsregister, som enligt utredningens mening är så konkret att den är en ändamålsbestäm- melse. Den bestämmelsen behandlas i avsnitt 7.7.2. I avsnitt 6.3.2 och 6.4.2 diskuteras om de övriga punkterna kan och bör behållas.

Regleringen i 2 kap. 8 § polisdatalagen har utgjort mönster för övriga brottsbekämpande myndigheters sekundära ändamålsbe- stämmelser. Motsvarande bedömning som har gjorts i fråga om den paragrafen görs beträffande de sekundära ändamålsbestämmelserna i de övriga registerförfattningarna.

6.2Ny utgångspunkt i brottsdatalagen

Som framgår av avsnitt 6.1 skiljer regleringen i registerförfattning- arna mellan behandling för den egna brottsbekämpande verksam- hetens behov och behandling för att tillhandahålla information för andras behov. När personuppgifter lämnas ut som ett led i myndig- hetens egen brottsbekämpande verksamhet, inte i syfte att tillgo- dose någon annans behov, anses utlämnandet omfattas av de pri- mära ändamålen.

Enligt 2 kap. 3 § brottsdatalagen får som nyss nämnts person- uppgifter behandlas bara för särskilda, uttryckligt angivna och be- rättigade ändamål. Innan personuppgifter behandlas för ett nytt ändamål inom lagens tillämpningsområde ska det enligt 2 kap. 4 § säkerställas dels att det finns en tillåten rättslig grund för den nya behandlingen, dels att behandlingen är både nödvändig och pro- portionerlig för det nya ändamålet. Som utredningen konstaterar i

386

SOU 2017:74

Tillåtna rättsliga grunder och behandling för nya ändamål

delbetänkandet saknar det betydelse om det är den personuppgifts- ansvarige som ursprungligen har samlat in personuppgifterna som utför behandlingen för det nya ändamålet eller om det är en annan personuppgiftsansvarig, så länge de båda är behöriga myndigheter och ändamålet med behandlingen ligger inom lagens tillämpnings- område. Även behandling för att lämna ut personuppgifter till någon som inte är en behörig myndighet kan omfattas av lagen, om ändamålet med behandlingen ligger inom tillämpningsområdet (se SOU 2017:29 s. 247 f.). Det saknar således betydelse om behand- lingen för det nya ändamålet utförs för behov i myndighetens egen brottsbekämpande verksamhet eller för att tillgodose en annan myndighets behov av information, så länge ändamålet med behand- lingen ligger inom lagens tillämpningsområde. Det centrala är i stäl- let den prövning som alltid ska göras innan personuppgifter får be- handlas för ett nytt ändamål.

Regleringen i 2 kap. 4 § brottsdatalagen gäller dock bara vid be- handling för nya ändamål inom lagens tillämpningsområde. Av 2 kap. 21 § framgår att dataskyddsförordningen ska tillämpas vid behandling för ändamål utanför brottsdatalagens tillämpningsom- råde. I utredningens uppdrag ingår att analysera om det finns ut- rymme för och behov av att inom dataskyddsförordningens till- lämpningsområde införa eller behålla specifik reglering i svensk rätt om behandling av personuppgifter för att tillhandahålla informa- tion (dir. 2016:21 s. 10 f.). I avsnitt 6.3.2 diskuteras behandling för nya ändamål inom brottsdatalagens tillämpningsområde. Behand- ling för ändamål utanför tillämpningsområdet tas upp i avsnitt 6.4.

6.3Behandling för ändamål inom brottsdatalagens tillämpningsområde

6.3.1Tillåtna rättsliga grunder för behandling

Utredningens förslag: Det ska finnas bestämmelser i register- författningarna om vad som utgör tillåtna rättsliga grunder för behandling.

387

Tillåtna rättsliga grunder och behandling för nya ändamål

SOU 2017:74

Skälen för utredningens förslag

Bestämmelser om tillåtna rättsliga grunder för behandling

Som konstateras i avsnitt 6.1.3 bör dagens primära ändamålsbe- stämmelser ses som en del av den rättsliga grunden som ger stöd för att behandla personuppgifter för att utföra vissa arbetsuppgif- ter. Frågan är om det alltjämt finns behov av sådana bestämmelser i registerförfattningarna när 2 kap. 1 § brottsdatalagen innehåller en generell bestämmelse om tillåtna rättsliga grunder för behandling av personuppgifter.

Ingen av de behöriga myndigheterna har i dag en registerförfatt- ning som gäller för hela brottsdatalagens tillämpningsområde. Även om det finns bestämmelser som avgränsar tillämpningsområdet för de olika registerförfattningarna fyller bestämmelser som tydliggör inom vilka ramar var och en av myndigheterna får behandla per- sonuppgifter en viktig funktion både för tillämpare och för enskil- da. Bestämmelser som sätter ramar för personuppgiftsbehandlingen innebär också att lagstiftaren tvingas överväga behovet av ändrad reglering av personuppgiftsbehandlingen om myndigheten tillförs nya arbetsuppgifter. Det är enligt utredningens mening till fördel från integritetsskyddssynpunkt (jfr SOU 2015:39 s. 281). Innehål- let i de bestämmelser som i dag kallas primära ändamålsbestäm- melser bör därför behållas.

Det bör dock tydliggöras att bestämmelserna i fråga är en del av den rättsliga grunden. För att det inte ska uppstå någon tvekan om hur regleringarna förhåller sig till varandra bör bestämmelserna där- för ersätta 2 kap. 1 § brottsdatalagen inom respektive registerför- fattnings tillämpningsområde. I vilken utsträckning bestämmelser- na i registerförfattningarna behöver anpassas till terminologin i brottsdatalagen behandlas i kapitlen om de särskilda registerför- fattningarna.

Det kan tillfogas att den närmare innebörden av de tillåtna rätts- liga grunderna i respektive myndighets registerförfattning måste uttolkas tillsammans med regleringen av arbetsuppgifterna. Polis- myndighetens uppgift att utreda brott är generell, medan Tull- verket, Kustbevakningen och Skatteverket bara har till uppgift att utreda vissa typer av brott. På motsvarande sätt har Polismyndig- heten ett generellt uppdrag att förebygga, förhindra och upptäcka

388

SOU 2017:74

Tillåtna rättsliga grunder och behandling för nya ändamål

brottslig verksamhet, medan de andra myndigheterna endast har den uppgiften när det gäller vissa typer av brottslighet.

För åklagarväsendets del innefattar lagföra brott både beslut om åtalsunderlåtelse, åtalsbeslut och beslut om strafföreläggande. För Tullverket, som har vissa åklagarfunktioner, innebär begreppet i huvudsak detsamma men bara såvitt avser sådana brott som myn- digheten får lagföra. Till det kommer att utfärda förelägganden av ordningsbot för sådana brott. För Polismyndigheten och Kustbe- vakningen är tillämpningsområdet smalare. Där innefattar lagföra brott enbart utfärdande av förelägganden av ordningsbot. Polis- myndighetens rätt att utfärda ordningsbot är generell, men för Kustbevakningen är rätten begränsad till vissa brottstyper.

Även när det gäller straffverkställighet och ordningshållning finns det vissa skillnader i fråga om arbetsuppgifterna som påverkar vilken personuppgiftsbehandling som är tillåten.

Behandling i registervårdande syfte behöver inte regleras

Både Säkerhets- och integritetsskyddsnämnden och Datainspektio- nen har påtalat att myndigheter behöver rättsligt stöd för att kunna behandla personuppgifter i registervårdande syfte. Det gäller fram- för allt möjligheterna att använda känsliga personuppgifter som sökbegrepp (se nämndens uttalande den 14 juni 2016, dnr 112- 2015, och inspektionens samrådsyttrande den 1 juli 2016, dnr 1047- 2016).

Det är givetvis viktigt att personuppgiftsansvariga kan göra sök- ningar och på annat sätt behandla personuppgifter om det behövs för att kunna se till att bestämmelserna om personuppgiftsbehand- ling efterlevs. Det kan exempelvis krävas för att kontrollera att per- sonuppgifter inte behandlas för länge eller att sökningar med användande av känsliga personuppgifter inte utförs i strid med regelverket. I kontrollarbetet kan sökningar eller annan personupp- giftsbehandling som hade varit förbjuden i den operativa verksam- heten vara nödvändig. Enligt utredningens mening måste sådan registervård anses vara en integrerad del av den personuppgifts- ansvariges skyldigheter enligt brottsdatalagen och registerförfatt- ningarna. Det bör också noteras att det är få personer som arbetar med registervård och att de behandlar personuppgifterna enbart i

389

Tillåtna rättsliga grunder och behandling för nya ändamål

SOU 2017:74

syfte att kontrollera att regelverket efterlevs, vilket knappast påver- kar enskildas integritet negativt.

Lagrådet har vid granskning av registerlagstiftning uttalat att planering, uppföljning och utvärdering av verksamheten är en inte- grerad del av själva verksamheten och inte någon fristående aktivi- tet som behöver regleras särskilt. Det har därför ansetts att det inte behövs någon särskild ändamålsbestämmelse som ger stöd för be- handling av personuppgifter för bl.a. planering och uppföljning av verksamheten (se t.ex. Tullverkets brottsbekämpning – Effektivare uppgiftsbehandling, prop. 2004/05:164, s. 179 och Åklagardatalag, 2014/15:63, s. 63). Motsvarande bedömning bör enligt utredning- ens mening göras när det gäller registervård. Det behöver således inte regleras särskilt att personuppgiftsbehandling för registervård är tillåten.

6.3.2Behandling för nya ändamål

Utredningens bedömning: Enligt brottsdatalagen ska det, in- nan personuppgifter behandlas för nya ändamål, säkerställas att det finns en rättslig grund för behandlingen och att den är nödvändig och proportionerlig för det nya ändamålet. Någon annan begränsning av utlämnande av personuppgifter bör inte införas.

Utredningens förslag: De sekundära ändamålsbestämmelserna i polisdatalagen, kustbevakningsdatalagen, åklagardatalagen, tull- brottsdatalagen och skattebrottsdatalagen ska upphävas i de delar de avser behandling för ändamål inom brottsdatalagens tillämpningsområde.

Skälen för utredningens bedömning och förslag

Nuvarande reglering av behandling för nya ändamål

390

SOU 2017:74

Tillåtna rättsliga grunder och behandling för nya ändamål

oförenligt med det ändamål för vilket uppgifterna samlades in. Be- stämmelsen gäller för alla myndigheter i rättskedjan.

De sekundära ändamålsbestämmelserna i de brottsbekämpande myndigheternas registerförfattningar innehåller särskilda regler om vidarebehandling. De reglerar när det är tillåtet att behandla per- sonuppgifter som behandlas för något av de primära ändamålen för att tillhandahålla information till andra myndigheter eller till andra verksamheter inom den egna myndigheten för deras behov. Det handlar alltså alltid om behandling av redan insamlade uppgifter för nya ändamål. De sekundära ändamålen omfattar behandling för ändamål som ligger både inom och utanför brottsdatalagens till- lämpningsområde. I detta avsnitt behandlar utredningen de delar av bestämmelserna som avser ändamål inom brottsdatalagens tillämp- ningsområde. Behandling för ändamål utanför tillämpningsområdet behandlas i avsnitt 6.4.2.

Enligt de sekundära ändamålsbestämmelserna får de brottsbe- kämpande myndigheterna för det första lämna ut personuppgifter som redan behandlas, om uppgifterna behövs i brottsbekämpande verksamhet hos övriga brottsbekämpande myndigheter och hos utländsk myndighet eller mellanfolklig organisation. Polismyndig- heten och Tullverket får dessutom tillhandahålla information till Kriminalvården för att den myndigheten ska kunna förebygga brott och upprätthålla säkerheten i sin verksamhet. Polismyndigheten får även lämna personuppgifter ur en förundersökning till konkursför- valtare.

I kapitel 8 i delbetänkandet behandlar utredningen olika gräns- dragningsfrågor (se SOU 2017:29 s. 181 f.). Där framgår att det på vissa områden inte går att säga att all behandling omfattas av brottsdatalagens tillämpningsområde eller ligger utanför det, utan att syftet med behandlingen i det enskilda fallet blir avgörande för vilket regelverk som ska tillämpas. Det innebär att vissa punkter i en sekundär ändamålsbestämmelse kan omfatta ändamål som ligger både inom och utanför tillämpningsområdet för brottsdatalagen. Det gäller t.ex. rätten att behandla personuppgifter för att fullgöra författningsreglerade uppgiftsskyldigheter. Exempel på sådan upp- giftsskyldighet som ligger inom brottsdatalagens tillämpningsom- råde är Polismyndighetens omfattande skyldighet att lämna per- sonuppgifter enligt 36 § förordningen (2001:682) om behandling av personuppgifter inom kriminalvården. Även rätten att behandla

391

Tillåtna rättsliga grunder och behandling för nya ändamål

SOU 2017:74

personuppgifter för att tillhandahålla information som behövs i en annan myndighets verksamhet, om det åligger den brottsbekäm- pande myndigheten att bistå den andra myndigheten med viss upp- gift, kan avse ändamål både inom och utanför brottsdatalagens till- lämpningsområde. Detsamma gäller information som tillhandahålls inom ramen för myndighetsöverskridande samverkan mot brott och Polismyndighetens tillhandahållande av information till sådan verksamhet hos myndigheten som avser handräckning.

Kan nuvarande reglering av utlämnande behållas?

Innan personuppgifter behandlas för ett nytt ändamål inom brotts- datalagens tillämpningsområde ska det enligt 2 kap. 4 § säkerställas dels att det finns en tillåten rättslig grund för behandlingen, dels att behandlingen är nödvändig och proportionerlig för det nya ända- målet. Frågan är om det vid sidan av den regeln kan finnas bestäm- melser som motsvarar de sekundära ändamålsbestämmelserna.

Behandling för nya ändamål kan leda till ökad spridning av per- sonuppgifter genom att fler får tillgång till dem. Det kan också leda till att uppgifterna behandlas under längre tid än vad som var avsett från början. Behandling för nya ändamål kan därmed medföra ökat intrång i enskildas personliga integritet. Som utredningen framhål- ler i delbetänkandet är det därför viktigt att en noggrann prövning görs innan personuppgifter behandlas för ett nytt ändamål (se SOU 2017:29 s. 249). Om den nuvarande utformningen av de sekundära ändamålsbestämmelserna skulle behållas, där utlämnande av personuppgifter i de flesta fall är tillåtet utan någon annan pröv- ning än om det är nödvändigt att tillhandahålla informationen, skulle prövningen enligt 2 kap. 4 § brottsdatalagen sättas ur spel. En sådan prövning krävs enligt artikel 4.2 i direktivet. Det är därför inte förenligt med direktivet att behålla de sekundära ändamålsbe- stämmelserna med den utformning de har i dag.

392

SOU 2017:74

Tillåtna rättsliga grunder och behandling för nya ändamål

Bör möjligheterna att lämna ut personuppgifter begränsas på annat sätt?

Utredningen konstaterar i delbetänkandet att direktivet inte hind- rar att man i nationell rätt sätter gränser för i vilken utsträckning personuppgifter får lämnas mellan myndigheter. Sådana begräns- ningar kan bidra till att skydda enskildas personliga integritet och göra det tydligt och förutsebart i vilken utsträckning behöriga myndigheter får lämna personuppgifter till andra (se SOU 2017:29 s. 253). I förarbetena till flera av registerförfattningarna framhåller regeringen emellertid att det från brottsbekämpande synpunkt är angeläget att samhällets samlade resurser används på ett så ratio- nellt och effektivt sätt som möjligt. Brottsligheten känner inga geo- grafiska gränser eller myndighetsgränser och det framstår därför som självklart att brottsbekämpande myndigheter ska samverka med varandra. Sådan samverkan förutsätter möjligheter till effek- tivt utbyte av information (se bl.a. prop. 2009/10:85 s. 166 f. och prop. 2016/17:91 s. 96 f.).

Ett av syftena med brottsdatalagen är att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varan- dra på ett ändamålsenligt sätt. Den prövning som enligt 2 kap. 4 § brottsdatalagen ska göras innan personuppgifter behandlas för ett nytt ändamål ska alltid göras innan en behörig myndighet får lämna ut information. Enligt utredningens mening är den prövningen tillräcklig för att skydda enskildas integritet. Det finns därför inte skäl att föreslå någon annan begränsning i möjligheten att tillhan- dahålla information för ändamål inom brottsdatalagens tillämp- ningsområde. Det innebär att de sekundära ändamålsbestämmel- serna i polisdatalagen, kustbevakningsdatalagen, åklagardatalagen, tullbrottsdatalagen och skattebrottsdatalagen bör upphävas i de delar de avser behandling för ändamål inom brottsdatalagens till- lämpningsområde. Utredningen återkommer i avsnitt 6.5 till vad som bör gälla vid författningsreglerad uppgiftsskyldighet.

393

Tillåtna rättsliga grunder och behandling för nya ändamål

SOU 2017:74

6.4Behandling för ändamål utanför brottsdatalagens tillämpningsområde

6.4.1Tillämpningen av dataskyddsförordningen

Nuvarande reglering av behandling för nya ändamål

Som anges i avsnitt 6.3.2 regleras vidarebehandling av personupp- gifter dels i 9 § första stycket d personuppgiftslagen, dels i de sekundära ändamålsbestämmelserna i registerförfattningarna. De sekundära ändamålsbestämmelserna reglerar behandling för ända- mål som både ligger inom och utanför brottsdatalagens tillämp- ningsområde. I detta avsnitt behandlas de delar som reglerar ända- mål utanför tillämpningsområdet.

Polismyndigheten och Tullverket får behandla personuppgifter för att tillhandahålla information som behövs i annan verksamhet som respektive myndighet ansvarar för, om det finns särskilda skäl för det. Motsvarande bestämmelser finns för Kustbevakningen och Skatteverket, men de är mer preciserade.

Flera av punkterna i de sekundära ändamålsbestämmelserna om- fattar som nyss nämnts ändamål som ligger både inom och utanför brottsdatalagens tillämpningsområde. Det gäller bl.a. rätten att behandla personuppgifter för att fullgöra författningsreglerade uppgiftsskyldigheter. Utanför tillämpningsområdet ligger exempel- vis Polismyndighetens skyldighet att lämna personuppgifter enligt 14 kap. 1 § socialtjänstlagen (2001:453) och 6 kap. 12 § smitt- skyddslagen (2004:168). Även rätten att behandla personuppgifter för att tillhandahålla information som behövs i en annan myndig- hets verksamhet, om det åligger den brottsbekämpande myndig- heten att bistå den andra myndigheten med viss uppgift, kan avse ändamål utanför brottsdatalagens tillämpningsområde. Som exem- pel kan nämnas skyldigheten att bistå Riksdagens ombudsmän vid granskning av andra myndigheter, t.ex. socialförvaltningen. Det gäller också information som tillhandahålls inom ramen för myn- dighetsöverskridande samverkan mot brott, om syftet med utläm- nandet t.ex. är att bidrag eller andra utbetalningar ska kunna dras in. Även Polismyndighetens tillhandahållande av information till sådan verksamhet hos myndigheten som avser handräckning kan avse ändamål utanför brottsdatalagens tillämpningsområde, exem-

394

SOU 2017:74

Tillåtna rättsliga grunder och behandling för nya ändamål

pelvis om handräckning lämnas åt någon som bedriver hälso- och sjukvård.

Dataskyddsförordningen ska tillämpas redan vid utlämnandet

I 2 kap. 21 § brottsdatalagen upplyses om att dataskyddsförord- ningen ska tillämpas när en behörig myndighet behandlar person- uppgifter för ändamål utanför lagens tillämpningsområde. Som anges i delbetänkandet ska förordningen tillämpas redan när en be- hörig myndighet tillhandahåller personuppgifter till andra, om ändamålet ligger utanför brottsdatalagens tillämpningsområde (se SOU 2017:29 s. 292). Det gäller när personuppgifter ska lämnas ut till myndigheter och andra aktörer som inte är behöriga myndig- heter för deras behov. Som exempel kan nämnas när Kustbevak- ningen lämnar personuppgifter till Sjöfartsverket eller Transport- styrelsen efter en fartygskollision. Personuppgifter som en behörig myndighet behandlar enligt brottsdatalagen kan också behöva läm- nas till en enhet inom samma myndighet som bedriver verksamhet utanför lagens tillämpningsområde. Personuppgifter som behandlas i Polismyndighetens brottsbekämpande verksamhet kan t.ex. be- höva lämnas till den verksamhet inom myndigheten där frågor om pass eller olika typer av tillstånd behandlas.

Regleringen i dataskyddsförordningen

Dataskyddsförordningen utgår, på samma sätt som direktivet, från att varje behandling av personuppgifter måste vila på en rättslig grund. De rättsliga grunderna räknas uttömmande upp i artikel 6.1 i förordningen. Om ingen av dem är tillämplig är behandlingen inte laglig och får därmed inte utföras. De rättsliga grunder som räknas upp i artikel 6.1 är bl.a. följande:

a)Den registrerade har lämnat sitt samtycke till behandlingen.

b)Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås.

c)Behandlingen är nödvändig för att fullgöra en rättslig förplik- telse som den personuppgiftsansvarige har.

395

Tillåtna rättsliga grunder och behandling för nya ändamål

SOU 2017:74

d)Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller en annan fysisk person.

e)Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myn- dighetsutövning.

Hur de olika punkterna ska tolkas utvecklas av Dataskyddsutred- ningen. Den utredningen uttalar bl.a. att det är rimligt att anta att alla uppgifter som utförs av statliga myndigheter i syfte att uppfylla ett uttryckligt uppdrag av riksdag eller regering är av allmänt intresse (se SOU 2017:39 s. 124). Det är därför framför allt arti- kel 6.1 e som kan bli relevant när behöriga myndigheter lämnar ut personuppgifter för ändamål utanför brottsdatalagens tillämpnings- område. Även artikel 6.1 c och d bör kunna aktualiseras.

Enligt artikel 6.2 får medlemsstaterna i vissa fall behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen med hänsyn till behandling av per- sonuppgifter för att efterleva artiklarna 6.1 c eller e. I artikel 6.3 anges att den rättsliga grunden för behandling som avses i punk- terna i fråga ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt. Artikel 6.3 ger också ett visst utrym- me för medlemsstaterna att specificera villkoren för när personupp- gifter får behandlas och hur det ska gå till. I artikeln anges att den rättsliga grund som fastställer en rättslig förpliktelse, myndighets- utövning eller en uppgift av allmänt intresse kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen. Som exempel nämns bl.a. de allmänna villkor som ska gälla för behandlingen, vilken typ av personuppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka per- sonuppgifterna får lämnas ut och för vilka ändamål. Av skäl 10 framgår att förordningen inte utesluter att det i medlemsstaternas nationella rätt fastställs närmare omständigheter för specifika situa- tioner där personuppgifter behandlas, inbegripet mer exakta villkor för laglig behandling. Bestämmelser som specificerar villkoren för laglig behandling måste dock uppfylla ett mål av allmänt intresse och vara proportionerliga mot det legitima mål som eftersträvas. Det innebär enligt Dataskyddsutredningen att lagstiftaren måste göra en avvägning mellan å ena sidan behovet av att uppgiften kan

396

SOU 2017:74

Tillåtna rättsliga grunder och behandling för nya ändamål

utföras på ett effektivt och rättssäkert sätt och å andra sidan den enskildes rätt till skydd för sina personuppgifter (SOU 2017:39 s. 134).

6.4.2En prövning ska göras innan personuppgifter lämnas ut

Utredningens förslag: Det ska inte längre anges i vilka situatio- ner personuppgifter som behandlas med stöd av registerförfatt- ningarna får lämnas ut. Regleringen ska i stället bygga på att det ska göras en prövning innan uppgifterna lämnas ut.

De sekundära ändamålsbestämmelserna i polisdatalagen, kustbevakningsdatalagen, åklagardatalagen, tullbrottsdatalagen och skattebrottsdatalagen ska upphävas även i de delar de avser behandling för ändamål utanför brottsdatalagens tillämpnings- område.

Skälen för utredningens förslag

Kan den nuvarande regleringen behållas?

Det råder enligt utredningens mening ingen tvekan om att det är tillåtet att i registerförfattningar reglera utlämnandefrågor på data- skyddsförordningens tillämpningsområde. Till skillnad från vad som gäller vid behandling för nya ändamål inom brottsdatalagens tillämpningsområde skulle det därmed vara möjligt att behålla inne- hållet i de sekundära ändamålsbestämmelserna när det är fråga om behandling för nya ändamål utanför tillämpningsområdet.

I förarbetena till de brottsbekämpande myndigheternas register- författningar har regeringen gjort bedömningen att det inte är möj- ligt att uttömmande reglera alla de situationer där vidarebehandling av personuppgifter kan komma att aktualiseras. De sekundära ändamålen har därför uttryckts så preciserat och fullständigt som möjligt, men kompletteras av en möjlighet att i enskilda fall till- handahålla personuppgifter för andra ändamål än de angivna, om det nya ändamålet inte kan anses oförenligt med insamlingsända- målet (se t.ex. prop. 2009/10:85 s. 98 f. och prop. 2016/17:91 s. 89). Målsättningen är enligt förarbetena att de sekundära ändamålen ska omfatta merparten av myndigheternas uppgiftslämnande.

397

Tillåtna rättsliga grunder och behandling för nya ändamål

SOU 2017:74

Det är inte heller nu möjligt att reglera alla de situationer där personuppgifter kan behöva behandlas för nya ändamål för att tillhandahållas annan verksamhet inom myndigheten eller lämnas till andra myndigheter eller enskilda. Om regleringen ska behållas måste den således kompletteras med en bestämmelse som ger möj- lighet att tillhandahålla personuppgifter även i andra fall än de som räknas upp i de sekundära ändamålsbestämmelserna. Som anges i delbetänkandet bedömer utredningen att den behandling som görs då blir en ursprungsbehandling enligt dataskyddsförordningen, vilket gör att finalitetsprincipen inte ska tillämpas på den behand- lingen (se SOU 2017:29 s. 292 f.). Även om det är möjligt att be- hålla innehållet i de sekundära ändamålsbestämmelserna kan de alltså inte ha samma utformning som i dag.

Bör regleringen behållas?

Ett syfte med dagens sekundära ändamålsbestämmelser är att underlätta bedömningen av om kraven enligt finalitetsprincipen är uppfyllda. Lagstiftaren har bedömt att det är förenligt med det ursprungliga ändamålet med behandlingen att vidarebehandla per- sonuppgifterna i de angivna situationerna (se bl.a. prop. 2009/10:85 s. 99 och prop. 2016/17:91 s. 102). Tillämparen behöver därför i de flesta fall bara pröva om det är nödvändigt att tillhandahålla infor- mationen som någon annan har behov av. För Polismyndigheten och Tullverket gäller en ytterligare begränsning i de fall där per- sonuppgifter behövs i annan verksamhet som respektive myndighet ansvarar för. Då får personuppgifter tillhandahållas endast om det finns särskilda skäl för det (se 2 kap. 8 § första stycket 4 polisdata- lagen och 2 kap. 6 § första stycket 4 tullbrottsdatalagen).

Om behandling för ändamål utanför brottsdatalagens tillämp- ningsområde skulle regleras ungefär på samma sätt som i dag, dvs. att de situationer där det är tillåtet att tillhandahålla information räknas upp så fullständigt som möjligt så att merparten av upp- giftslämnandet omfattas, skulle det innebära att tillämparen i de flesta fall inte behöver göra någon annan prövning än om det är nödvändigt att lämna uppgifterna. I 2 kap. 4 § brottsdatalagen före- skrivs att det innan personuppgifter behandlas för ett nytt ändamål inom lagens tillämpningsområde ska säkerställas att det finns en

398

SOU 2017:74

Tillåtna rättsliga grunder och behandling för nya ändamål

tillåten rättslig grund för den nya behandlingen och att behand- lingen är nödvändig och proportionerlig för det nya ändamålet. Det skulle enligt utredningens mening skapa en omotiverad skillnad att kräva en noggrannare prövning för behandling för nya ändamål inom brottsdatalagens tillämpningsområde än utanför det. Det borde snarare ställas högre krav för att få behandla personuppgifter som förekommer i den brottsbekämpande verksamheten för nya ändamål utanför brottsdatalagens tillämpningsområde.

Det kan tilläggas att personuppgifter som behandlas med stöd av dataskyddsförordningen får behandlas för nya ändamål endast om behandlingen är förenlig med finalitetsprincipen. Det måste således göras en prövning av om det nya ändamålet är förenligt med det ändamål som uppgifterna samlades in för när personuppgifter vidarebehandlas enligt förordningen.

Även om det är olika prövningar som ska göras så krävs det alltså en prövning innan personuppgifter behandlas för nya ända- mål både inom brottdatalagens och inom dataskyddsförordningens tillämpningsområde. Mot den bakgrunden anser utredningen att är rimligt att kräva en prövning även när personuppgifter som be- handlas med stöd av brottsdatalagen ska behandlas för ändamål utanför lagens tillämpningsområde. De situationer där personupp- gifter som redan behandlas bör få behandlas för att tillhandahållas andra bör därför inte längre räknas upp. Regleringen bör i stället utgå från att det alltid ska göras en prövning innan uppgifter be- handlas för nya ändamål. De sekundära ändamålsbestämmelserna i polisdatalagen, kustbevakningsdatalagen, åklagardatalagen, tull- brottsdatalagen och skattebrottsdatalagen bör därför upphävas även i de delar de avser behandling för ändamål utanför brottsdata- lagens tillämpningsområde.

399

Tillåtna rättsliga grunder och behandling för nya ändamål

SOU 2017:74

6.4.3Utformningen av regleringen

Utredningens förslag: Innan personuppgifter, som behandlas med stöd av brottsdatalagen, behandlas för ändamål utanför lagens tillämpningsområde ska det säkerställas att behandlingen är nödvändig och proportionerlig för det nya ändamålet.

Överträdelse av bestämmelsen om behandling för nya ända- mål utanför brottsdatalagens tillämpningsområde ska kunna för- anleda sanktionsavgift.

Skälen för utredningens förslag

En prövning av nödvändighet och proportionalitet ska alltid göras

Frågan är då vad som bör krävas för att personuppgifter, som be- handlas för ändamål inom brottsdatalagens tillämpningsområde, ska få behandlas för ändamål utanför det. Redan dagens reglering innebär att det ska prövas om det är nödvändigt att tillhandahålla personuppgifterna i de situationer som räknas upp i de sekundära ändamålsbestämmelserna. För att Polismyndigheten och Tullverket ska få lämna information till andra verksamheter inom respektive myndighet krävs det också särskilda skäl (se 2 kap. 8 § första stycket 4 polisdatalagen och 2 kap. 6 § första stycket 4 tullbrotts- datalagen). I förarbetena framhålls att kravet på särskilda skäl inne- bär att information inte får tillhandahållas rutinmässigt utan att det i det enskilda fallet måste finnas särskilda skäl som talar för att informationen bör tillhandahållas den andra verksamheten (prop. 2009/10:85 s. 322 och prop. 2016/17:91 s. 102). Det krävs alltså en individuell prövning.

Som nyss nämnts ska det enligt 2 kap. 4 § brottsdatalagen prö- vas om behandlingen är nödvändig och proportionerlig innan per- sonuppgifter får behandlas för ett nytt ändamål inom lagens till- lämpningsområde. I delbetänkandet anges att syftet med kravet på proportionalitet är att det ska göras en bedömning i det enskilda fallet av behovet av den nya behandlingen ställt i relation till in- trånget i den personliga integriteten (se SOU 2017:29 s. 252).

Oavsett om man ställer krav på särskilda skäl eller nödvändighet och proportionalitet är det centrala enligt både polisdatalagen, tull- brottsdatalagen och brottsdatalagen att det görs en noggrann pröv-

400

SOU 2017:74

Tillåtna rättsliga grunder och behandling för nya ändamål

ning av skälen för den nya behandlingen innan personuppgifter behandlas för ett nytt ändamål. Det skulle skapa en enhetlig till- lämpning och underlätta för myndigheterna om den prövning som ska göras innan personuppgifter behandlas för nya ändamål är den- samma oavsett om det nya ändamålet ligger inom eller utanför brottsdatalagens tillämpningsområde.

Den prövning som bör krävas innan personuppgifter behandlas för nya ändamål utanför brottsdatalagens tillämpningsområde bör därför enligt utredningens mening avse om den nya behandlingen är nödvändig och proportionerlig. En sådan prövning utgör en lämplig avvägning mellan mottagarens behov av personuppgifterna och skyddet för enskildas personliga integritet. Ett krav på sådan prövning är också förenligt med regleringen i dataskyddsförord- ningen.

I de flesta fall som räknas upp i dagens sekundära ändamålsbe- stämmelser ställs det inte krav på särskilda skäl för att personupp- gifter ska få tillhandahållas. En proportionalitetsprövning kommer därmed att ställa ökade krav. Som regel måste det dock anses proportionerligt att behandla personuppgifter för att tillhandahålla information i de situationer som i dag räknas upp i de sekundära ändamålsbestämmelserna. Den nya regleringen kommer därmed enligt utredningens bedömning inte att påverka omfattningen av uppgiftslämnandet i de fallen.

Utformningen av regleringen

Utgångspunkten för regleringen är alltså att samma prövning bör göras oavsett om personuppgifterna ska behandlas för nya ändamål inom eller utanför brottsdatalagens tillämpningsområde. Innan per- sonuppgifter behandlas för ett nytt ändamål inom lagens tillämp- ningsområde ska det enligt 2 kap. 4 § brottsdatalagen säkerställas dels att det finns en tillåten rättslig grund för den nya behand- lingen, dels att behandlingen är nödvändig och proportionerlig för det nya ändamålet. Att det ska finnas en rättslig grund för behand- lingen när personuppgifter behandlas för ändamål utanför brotts- datalagens tillämpningsområde regleras i artikel 6 i dataskyddsför- ordningen och bör inte upprepas i den nationella regleringen. Det bör därför framgå att det innan behandling påbörjas för ett nytt

401

Tillåtna rättsliga grunder och behandling för nya ändamål

SOU 2017:74

ändamål utanför brottsdatalagens tillämpningsområde – utöver de krav som gäller enligt förordningen – ska säkerställas att behand- lingen är nödvändig och proportionerlig för det nya ändamålet.

I kravet på proportionalitet ligger att skälen för den nya behand- lingen ska väga tyngre än det intrång som behandlingen innebär för den enskilde. Det som står att vinna med behandlingen ska alltså vägas mot intrånget i enskildas integritet (jfr SOU 2017:29 s. 251 f.). Det kan exempelvis finnas information i Polismyndig- hetens brottsbekämpande verksamhet om att en person har sådana kontakter i kriminella kretsar att han eller hon vid en helhetsbe- dömning t.ex. ter sig olämplig för att få en viss befattning eller till- stånd att bedriva viss verksamhet. Det kan då anses vara propor- tionerligt att informationen tillhandahålls för att användas vid prövningen av anställnings- eller tillståndsärendet. Det kan på mot- svarande sätt vara proportionerligt att lämna information om det i Tullverkets brottsbekämpande verksamhet kommer fram uppgifter om hur personer kringgår regelverket som har betydelse för hur verksamheten under Effektiv handel bör inrikta sina kontroller.

Det är också av betydelse vilken typ av personuppgifter det är fråga om och i vilken verksamhet de ska användas. Att en uppgift om var någon uppehåller sig lämnas från Polismyndighetens brotts- bekämpande verksamhet till delgivningsverksamheten är generellt sett harmlöst. Däremot kan det finnas andra uppgifter som det inte är proportionerligt att lämna för tillgodose någon annans behov. Det krävs starkare skäl för att tillhandahålla exempelvis känsliga personuppgifter, men även det kan vara motiverat om det motstå- ende intresset är tillräckligt starkt.

Regleringen bör vara densamma för alla brottsbekämpande myndigheter. Den bör därför placeras i brottsdatalagen och inte i respektive myndighets registerförfattning. Om den även bör gälla i domstolarnas och Kriminalvårdens verksamhet återkommer utred- ningen till i avsnitt 12.4.2 och 13.3.1.

Annat skydd för den personliga integriteten

Det är dock inte enbart prövningen av om det är nödvändigt och proportionerligt att behandla personuppgifterna för det nya ända- målet som sätter gränser för när uppgifterna får tillhandahållas

402

SOU 2017:74

Tillåtna rättsliga grunder och behandling för nya ändamål

andra. Mottagaren måste självfallet också ha rätt att behandla dem. Det måste finnas en tillåten rättslig grund för behandlingen enligt dataskyddsförordningen och alla principer för behandling av per- sonuppgifter ska iakttas för att den nya behandlingen ska vara till- låten, t.ex. att personuppgifterna är adekvata och relevanta för ändamålet med behandlingen och att de inte behandlas längre än nödvändigt med hänsyn till ändamålet med behandlingen. Den prövningen kan endast göras av mottagaren och är inget som den som tillhandahåller information behöver beakta vid överväganden av om informationen kan tillhandahållas.

Dessutom sätter sekretessregleringen gränser för i vilken ut- sträckning uppgifter får lämnas ut. Det gäller framför allt när upp- gifter lämnas mellan myndigheter. Enligt 8 kap. 2 § offentlighets- och sekretesslagen kan sekretess emellertid gälla även mellan olika verksamhetsgrenar inom en myndighet, om de är att anse som självständiga i förhållande till varandra. Så är fallet i t.ex. Skattever- ket, där bl.a. den brottsbekämpande verksamheten utgör en själv- ständig verksamhetsgren i förhållande till andra verksamheter.

Överträdelse ska kunna föranleda sanktionsavgift

I 6 kap. 1 och 2 §§ brottsdatalagen föreskrivs vilka överträdelser som kan föranleda sanktionsavgift. Enligt 6 kap. 1 § 1 får sank- tionsavgift tas ut bl.a. vid överträdelse av bestämmelsen i 2 kap. 4 § om behandling för nya ändamål inom lagens tillämpningsområde. Med hänsyn till att utredningen nu föreslår att samma prövning ska göras innan personuppgifter behandlas för ett nytt ändamål – oav- sett om det ligger inom eller utanför lagens tillämpningsområde – bör även överträdelse av bestämmelsen om behandling för nytt ändamål utanför tillämpningsområdet kunna föranleda sanktions- avgift.

403

Tillåtna rättsliga grunder och behandling för nya ändamål

SOU 2017:74

6.5Uppgiftsskyldighet ersätter prövningen

Utredningens förslag: I den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning behöver någon prövning av om behandlingen är nödvändig och proportionerlig för det nya ändamålet inte göras. En prövning ska dock göras innan uppgifter lämnas med stöd av 6 kap. 5 § offentlighets- och sekretesslagen.

Skälen för utredningens förslag

Författningsreglerad uppgiftsskyldighet

Enligt de sekundära ändamålsbestämmelserna är det i dag tillåtet att lämna uppgifter i den utsträckning det finns skyldighet att göra det enligt lag eller förordning. Som nyss nämnts kan sådana skyldig- heter avse ändamål både inom och utanför brottsdatalagens till- lämpningsområde.

Både i förundersöknings- och brottmålsförfarandet finns det omfattande skyldigheter att informera myndigheter och andra. I förundersökningskungörelsen (1947:948) finns ingående bestäm- melser om uppgiftsskyldighet. Sådana skyldigheter föreskrivs också i bl.a. 12 § strafföreläggandekungörelsen (1970:60), där det regleras till vilka fysiska eller juridiska personer domar, beslut och under- rättelser i brottmål ska expedieras. Liknande skyldigheter finns även på andra områden. Enligt 36 § förordningen om behandling av personuppgifter inom kriminalvården har Polismyndigheten en vidsträckt skyldighet att lämna underrättelser till Kriminalvården.

Även i andra fall är behöriga myndigheter skyldiga att lämna viss information. Ett exempel är 14 kap. 1 § 2 socialtjänstlagen enligt vilken rättspsykiatrisk undersökningsverksamhet, Kriminalvården, Polismyndigheten och Säkerhetspolisen är skyldiga att genast an- mäla till socialnämnden om de i sin verksamhet får kännedom om eller misstänker att barn far illa.

När det i lag eller förordning föreskrivs att uppgifter ska lämnas har lagstiftaren tagit ställning till att det dels är så viktigt att det ska införas en skyldighet att lämna information, dels att eventuell sek- retess ska brytas. Lagstiftaren får då också anses ha tagit ställning

404

SOU 2017:74

Tillåtna rättsliga grunder och behandling för nya ändamål

till att uppgiftslämnandet är nödvändigt och proportionerligt. En- ligt utredningens mening bör sådan uppgiftsskyldighet ersätta den föreslagna prövningen av om behandlingen är nödvändig och pro- portionerlig för det nya ändamålet, oavsett om det gäller ändamål inom eller utanför brottsdatalagens tillämpningsområde. Det bör tydliggöras i bestämmelserna.

Om det i lag eller förordning bara föreskrivs en möjlighet, men ingen skyldighet, att lämna uppgifter ska myndigheten däremot pröva om det är nödvändigt och proportionerligt att lämna dem, eftersom lagstiftaren då inte har gjort den prövningen.

Uppgiftslämnande enligt 6 kap. 5 § offentlighets- och sekretesslagen

En särskild fråga är hur man ska se på uppgiftslämnande med stöd av 6 kap. 5 § offentlighets- och sekretesslagen. Enligt den paragra- fen ska en myndighet på begäran av en annan myndighet lämna uppgift som den förfogar över, i den mån hinder inte möter på grund av bestämmelse om sekretess eller av hänsyn till arbetets behöriga gång. Bestämmelsen anses innebära en skyldighet att lämna uppgifter (se t.ex. Behandling av personuppgifter inom stu- diestödsområdet, prop. 2008/09:96, s. 80 och prop. 2009/10:85 s. 120 f.). Bestämmelser om sekretess har ett annat syfte än bestäm- melser om skydd av personuppgifter. Sekretess kan skydda enskil- das integritet, men det är långt ifrån alltid det primära syftet med lagstiftningen. Att det konstateras att sekretess inte gäller för en uppgift och att den därmed kan lämnas till en myndighet med stöd av 6 kap. 5 § offentlighets- och sekretesslagen innebär inte att lag- stiftaren har tagit ställning till att tillhandahållandet är nödvändigt och proportionerligt i brottsdatalagens mening. Trots att uppgifts- lämnande enligt paragrafen betraktas som en uppgiftsskyldighet gör den inte prövningen av nödvändighet och proportionalitet en- ligt brottsdatalagen obehövlig. Det bör framgå av regleringen att uppgiftslämnande med stöd av 6 kap. 5 § offentlighets- och sekre- tesslagen inte ersätter prövningen av om den nya behandlingen är nödvändig och proportionerlig.

405

7 Polisdatalagen

7.1Polisdatalagen behöver anpassas

7.1.1Nuvarande reglering

Polisdatalagen gäller enligt 1 kap. 2 § vid behandling av personupp- gifter i brottsbekämpande verksamhet vid Polismyndigheten och Säkerhetspolisen och i polisiär verksamhet vid Ekobrottsmyndig- heten. Den gäller enligt 1 kap. 3 § däremot inte vid behandling av personuppgifter enligt vapenlagen (1996:67), lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregister, lagen (2000:344) om Schengens informationssystem, lagen (2006:444) om passagerarregister, lagen (2010:362) om polisens allmänna spa- ningsregister och lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang. I 2 kap. finns allmänna bestämmelser om behandling av personuppgifter. För personuppgifter som har gjorts gemensamt tillgängliga gäller 2 och 3 kap. medan 4 kap. gäller i stäl- let för 3 kap. vid behandling av personuppgifter i särskilda register. Behandling för forensiska ändamål regleras i 5 kap. och behandling av personuppgifter i Säkerhetspolisens verksamhet i 6 kap.

Som anges i avsnitt 4.2 måste registerförfattningarna ändras i vissa avseenden med anledning av dataskyddsdirektivet och anpas- sas till brottsdatalagen. Många bestämmelser behöver överhuvud- taget inte anpassas eller endast ändras redaktionellt. Utredningen behandlar de anpassningar och ändringar som är gemensamma för registerförfattningarna i kapitel 5 och 6. De övriga anpassningar som krävs i polisdatalagen behandlas i detta kapitel. Regleringen av Säkerhetspolisens personuppgiftsbehandling i frågor som rör natio- nell säkerhet behandlas i kapitel 14 och 15.

407

Polisdatalagen

SOU 2017:74

7.1.2Polisdatalagen ges ett nytt namn

Utredningens förslag: Polisdatalagen med tillhörande förord- ning ska benämnas polisens brottsdatalag och polisens brotts- dataförordning.

Skälen för utredningens förslag: Som framgår av avsnitt 9.1.2 föreslår utredningen att Kustbevakningens personuppgiftsbehand- ling i den operativa verksamheten ska regleras i två olika register- författningar. Detsamma föreslås för åklagarväsendets och dom- stolarnas personuppgiftsreglering (se avsnitt 11.1.2 och 12.1.3). För att tydliggöra vilka registerförfattningar som ska gälla utöver brottsdatalagen finns det skäl att i så stor utsträckning som möjligt ha enhetliga benämningar på dem. Ett namnbyte får också till effekt att det tydligare framgår att det har gjorts genomgripande förändringar av lagstiftningens struktur med anledning av att brottsdatalagen införs. Polisdatalagen bör därför ges ett nytt namn.

Namnet bör knyta an till hur brottsdatalagen benämns. Det bör vara kort och ange för vem författningen gäller och vad den handlar om. Det är enligt utredningens mening inte lämpligt att använda myndighetsbenämningar i namnet på lagen, eftersom den på samma sätt som i dag ska tillämpas av flera myndigheter och namnet blir för långt om alla myndigheter skulle anges. Gemensamt för de myndigheter som ska tillämpa lagen är att lagen ska gälla i deras polisiära verksamhet. Utredningen föreslår därför att lagen ska be- nämnas polisens brottsdatalag. Polisdataförordningen bör i kon- sekvens med det benämnas polisens brottsdataförordning.

Som en konsekvens av att lagens namn ändras måste alla hänvis- ningar till den ändras.

408

SOU 2017:74

Polisdatalagen

7.2Allmänna bestämmelser

7.2.1Tillämpningsområdet

Utredningens förslag: Polisens brottsdatalag ska gälla utöver brottsdatalagen när

1.Polismyndigheten i egenskap av behörig myndighet behand- lar personuppgifter i syfte att bekämpa eller lagföra brott eller upprätthålla allmän ordning och säkerhet,

2.Ekobrottsmyndigheten i egenskap av behörig myndighet behandlar personuppgifter i syfte att utreda brott och det inte är fråga om åklagarverksamhet, och

3.Säkerhetspolisen i egenskap av behörig myndighet behandlar personuppgifter i frågor som inte rör nationell säkerhet om uppgifterna behandlas i syfte att bekämpa eller lagföra brott.

Lagen ska inte gälla vid personuppgiftsbehandling enligt lagen om belastningsregister, lagen om misstankeregister, lagen om Schengens informationssystem, lagen om passagerarregister eller lagen om Polismyndighetens elimineringsdatabas.

Skälen för utredningens förslag

Den nuvarande regleringen behöver anpassas

I avsnitt 4.4.1 tar utredningen ställning till att registerförfattning- arna även i fortsättningen ska innehålla bestämmelser om tillämp- ningsområdet och anger övergripande vad som bör gälla för den regleringen. Vidare föreslår utredningen i avsnitt 5.2 att registerför- fattningarna ska gälla utöver brottsdatalagen.

Polisdatalagen gäller enligt 1 kap. 2 § för behandling av person- uppgifter i brottsbekämpande verksamhet vid Polismyndigheten och Säkerhetspolisen och i polisiär verksamhet vid Ekobrottsmyn- digheten. Tillämpningsområdet måste dock anpassas till brottsdata- lagens tillämpningsområde, så att det dels utgår från syftet med behandlingen, dels omfattar den personuppgiftsbehandling som myndigheterna utför inom brottsdatalagens tillämpningsområde

409

Polisdatalagen

SOU 2017:74

och som inte regleras i någon annan lag. Det bör också framgå att lagen endast gäller när myndigheterna agerar i egenskap av behöriga myndigheter, eftersom det är en viktig avgränsning för tillämp- ningsområdet (se SOU 2017:29 s. 159 f.).

Polisdatalagen gäller i dag även i Säkerhetspolisens brottsbe- kämpande verksamhet. Som framgår av avsnitt 14.2.2 anser utred- ningen att Säkerhetspolisens personuppgiftsbehandling som rör nationell säkerhet bör regleras i en särskild lag. I detta avsnitt dis- kuteras därför enbart i vilken utsträckning Säkerhetspolisen bör tillämpa polisens brottsdatalag.

Tillämpningsområdet för Polismyndigheten

Polisdatalagen gäller vid behandling av personuppgifter i Polis- myndighetens brottsbekämpande verksamhet. Som framgår av av- snitt 5.4.6 anses lagföring av brott i dag ingå i begreppet brottsbe- kämpning, medan det i brottsdatalagen görs skillnad mellan brotts- bekämpning och lagföring. För att tillämpningsområdet ska täcka det som i dag omfattas av regleringen bör det därför inkludera per- sonuppgiftsbehandling i syfte att bekämpa och lagföra brott.

Brottsdatalagens tillämpningsområde omfattar även personupp- giftsbehandling i syfte att upprätthålla allmän ordning och säker- het. Polismyndigheten har enligt 2 § polislagen i uppdrag att före- bygga, förhindra och upptäcka brottslig verksamhet och andra störningar av den allmänna ordningen eller säkerheten och att över- vaka den allmänna ordningen och säkerheten och ingripa när stör- ningar har inträffat. Som anges i delbetänkandet anser utredningen att det normalt krävs fysisk närvaro på platsen där oordning före- kommer eller riskerar att göra det för att det ska vara fråga om upprätthållande av allmän ordning och säkerhet (se SOU 2017:29 s. 166 f.). För att polisens brottsdatalag så långt möjligt ska täcka all Polismyndighetens behandling av personuppgifter som omfattas av brottsdatalagens tillämpningsområde bör myndighetens behand- ling av personuppgifter vid upprätthållande av allmän ordning och säkerhet omfattas av tillämpningsområdet. Var gränsen för tillämp- ningsområdet bör gå diskuteras närmare i delbetänkandet (se SOU 2017:29 s. 227 f.).

410

SOU 2017:74

Polisdatalagen

Brottsdatalagens tillämpningsområde omfattar även personupp- giftsbehandling i syfte att verkställa straffrättsliga påföljder. Enligt 3 § bötesverkställighetsförordningen (1979:197) är Polismyndighe- ten central uppbördsmyndighet och ansvarar för uppbörd av böter oavsett vilken myndighet som har utfärdat ett föreläggande av ord- ningsbot eller ett strafföreläggande. Polismyndigheten ansvarar även för uppbörd av böter som utdömts av allmän domstol. I departementspromemorian Uppbörd av böter (Ds 2015:5) föreslås att Polismyndighetens behandling av personuppgifter i verksamhe- ten för verkställighet av bötesstraff ska regleras i en särskild lag – lagen om register över uppbörd av böter. Personuppgiftsbehand- lingen ska enligt förslaget undantas från polisdatalagens tillämp- ningsområde. Promemorian har remitterats och bereds för närva- rande i Regeringskansliet. Mot den bakgrunden lämnar utredningen inget förslag till hur Polismyndighetens personuppgiftsbehandling i syfte att verkställa straff bör regleras.

Tillämpningsområdet för Ekobrottsmyndigheten

Ekobrottsmyndigheten är en åklagarmyndighet med ett utökat uppdrag. I myndigheten integreras åklagarverksamheten med den polisiära verksamhet som krävs för att utreda de brott som Eko- brottsmyndigheten har i uppdrag att bekämpa (se prop. 2014/15:63 s. 21 f.). Den operativa verksamheten kan delas in i tre verksam- hetsområden: underrättelseverksamhet, utrednings- och lagförings- verksamhet och brottsförebyggande verksamhet. Huvuddelen av Ekobrottsmyndighetens verksamhet består i att utreda brott. Åkla- gare är alltid förundersökningsledare i förundersökningar vid myn- digheten och fattar beslut om lagföring.

Personuppgiftsbehandlingen vid Ekobrottsmyndigheten regle- ras i dag i både åklagardatalagen och polisdatalagen. Polisdatalagen gäller i den polisiära verksamheten medan åklagardatalagen gäller i den övriga operativa verksamheten. Det har framkommit att det finns osäkerhet om vilket regelverk som ska tillämpas.

Enligt utredningens mening bör utgångspunkten för vilket regelverk som ska tillämpas vara densamma när det gäller Eko- brottsmyndigheten som när det gäller Åklagarmyndigheten och Polismyndigheten. Den personuppgiftsbehandling som utförs för

411

Polisdatalagen

SOU 2017:74

att fullgöra åklagaruppgifter i utredningsverksamheten bör därför styras av den registerförfattning som gäller för åklagarväsendet. På samma sätt som gäller för förundersökningar som utförs av Polis- myndigheten, oavsett vem som leder förundersökningen, bör den personuppgiftsbehandling som utförs i den övriga utredningsverk- samheten vid Ekobrottsmyndigheten regleras i polisens brotts- datalag.

I dag används uttrycket polisiär verksamhet för att avgränsa till- lämpningsområdet för polisdatalagen. Det finns ingen definition av vad som är polisiär verksamhet. Sådan verksamhet är vittomfat- tande och berör många sektorer av samhället. Det är därför enligt utredningens mening bättre att regleringen utgår från åklagarverk- samheten vid avgränsningen av tillämpningsområdet, eftersom det är tydligare vad som ingår i åklagarverksamhet än i polisiär verk- samhet.

Åklagarverksamhet består av två huvuddelar, brottsutredning och lagföring, men åklagare har även vissa andra författningsregle- rade uppgifter inom brottsdatalagens tillämpningsområde. Brotts- utredning avser först och främst att åklagare fattar beslut i fråga om huruvida förundersökning ska inledas eller begränsas, läggas ned eller avslutas på annat sätt. Det innefattar också alla beslut som åklagare fattar om åtgärder under en förundersökning, exempelvis om straffprocessuella tvångsmedel eller framställningar till dom- stol. Beslut i samband med att förundersökningar läggs ned eller avslutas på annat sätt, t.ex. genom åtalsunderlåtelse, och uppgifter i samband med besluten ingår således i åklagarverksamheten. Åkla- gare är enligt 22 kap. rättegångsbalken skyldiga att biträda måls- ägande. Åklagarverksamhet inkluderar även att förbereda och föra olika former av talan som kan föras i ett brottmål i samband med ansvarstalan, t.ex. talan om enskilt anspråk, näringsförbud, rådgiv- ningsförbud eller skattetillägg. Lagföring avser huvudsakligen att utfärda strafförelägganden och besluta om åtal, att föra ansvarstalan och att företräda staten i andra frågor i brottmål. På samma sätt som domstol har åklagare omfattande skyldigheter att expediera beslut när en förundersökning inte inleds, läggs ned eller åtals- frågan avgörs av åklagaren på annat sätt än genom åtal och i sam- band med beslut i fråga om tvångsmedel.

Det är dock inte längre möjligt att låta regleringen bygga endast på den verksamhet som personuppgifterna behandlas i. Som nyss

412

SOU 2017:74

Polisdatalagen

nämnts är syftet med personuppgiftsbehandlingen avgörande för lagens tillämpningsområde. Polisens brottsdatalag bör därför gälla vid personuppgiftsbehandling i syfte att utreda brott, om det inte är fråga om åklagarverksamhet. Vid Ekobrottsmyndigheten är det enbart åklagare som fattar beslut om lagföring. Därför bör myndig- hetens personuppgiftsbehandling i det syftet inte regleras i polisens brottsdatalag (jfr avsnitt 11.2).

Det bedrivs även underrättelseverksamhet vid Ekobrottsmyn- digheten. Den verksamheten leds och utförs dock av Polismyn- digheten. Polisens brottsdatalag ska tillämpas på den behandlingen, på samma sätt som vid annan personuppgiftsbehandling som Polis- myndigheten utför.

Tillämpningsområdet för Säkerhetspolisen

Säkerhetspolisen ska enligt 13 § förordningen (2014:1103) med instruktion för Säkerhetspolisen bistå vid polisverksamhet som leds av Polismyndigheten om myndigheten i ett enskilt fall begär det och det inte finns särskilda skäl mot det. Säkerhetspolisen ska också lämna tekniskt biträde och annan hjälp till Polismyndigheten i den utsträckning som myndigheterna kommer överens om. När Säkerhetspolisen lämnar sådant biträde omfattas personuppgifts- behandlingen av brottsdatalagens tillämpningsområde, om det inte rör nationell säkerhet (se SOU 2017:29 s. 177).

Enligt 30 § förordningen (2014:1102) med instruktion för Polismyndigheten får chefen för Nationella operativa avdelningen i samråd med biträdande säkerhetspolischefen i ett enskilt fall be- stämma att en förundersökning eller annan liknande uppgift i den brottsbekämpande verksamheten ska lämnas över till Säkerhets- polisen för fortsatt handläggning. Syftet med bestämmelsen är bl.a. att jävssituationer ska kunna undvikas (se prop. 2013/14:110 s. 400). När Säkerhetspolisen med stöd av ett beslut enligt den paragrafen genomför en förundersökning eller utför någon annan uppgift som normalt skulle utföras av Polismyndigheten och som omfattas av brottsdatalagens tillämpningsområde bör Säkerhets- polisen tillämpa den lagen (se SOU 2017:29 s. 177).

För Polismyndighetens del kompletteras brottsdatalagen av polisens brottsdatalag och polisens brottsdataförordning. När

413

Polisdatalagen

SOU 2017:74

Säkerhetspolisen biträder eller övertar en arbetsuppgift från Polis- myndigheten bör Säkerhetspolisen därför tillämpa samma regle- ring. Säkerhetspolisen bör således tillämpa polisens brottsdatalag i frågor som inte rör nationell säkerhet, om personuppgifterna be- handlas i syfte att bekämpa eller lagföra brott.

Frågan är då vad som bör gälla när Säkerhetspolisen biträder andra myndigheter i deras brottsbekämpning. I dag föreskrivs det i 6 kap. 1 § 6 polisdatalagen att personuppgifter får behandlas om det behövs för att Säkerhetspolisen ska lämna tekniskt biträde till Polismyndigheten, Ekobrottsmyndigheten, Åklagarmyndigheten eller Tullverket. Den personuppgiftsbehandling som avses rör i huvudsak tekniskt biträde avseende verkställighet av vissa hemliga tvångsmedel (se SOU 2012:44 s. 146 f.). Säkerhetspolisens roll vid sådant biträde kan närmast liknas vid att vara personuppgiftsbi- träde. Det är den myndighet som fått tillstånd till att använda tvångsmedlet som anger vilka personuppgifter som ska behandlas och hur de får användas. Det är då också logiskt att det är den myn- dighetens registerlagstiftning som ska tillämpas. För att det ska vara tydligt att Säkerhetspolisen även i fortsättningen ska lämna tekniskt biträde till de angivna myndigheterna bör det införas en bestämmelse om det i myndighetens instruktion.

Lagen ska inte gälla vid behandling i vissa register

Enligt 1 kap. 3 § polisdatalagen gäller lagen inte vid behandling enligt vapenlagen, lagen om belastningsregister, lagen om miss- tankeregister, lagen om Schengens informationssystem, lagen om passagerarregister, lagen om polisens allmänna spaningsregister och lagen om register över tillträdesförbud vid idrottsarrangemang.

Som konstateras i avsnitt 4.4.1 är det inte möjligt att reglera all Polismyndighetens personuppgiftsbehandling inom brottsdata- lagens tillämpningsområde i polisens brottsdatalag. Den bör därför på samma sätt som i dag inte gälla vid behandling av personupp- gifter som regleras särskilt i andra författningar. Undantag bör dock endast göras för personuppgiftsbehandling som skulle ha om- fattats av lagens tillämpningsområde om någon särreglering inte fanns. Vid samråd med den utredare som har i uppdrag att anpassa författningar på området för allmän ordning och säkerhet har det

414

SOU 2017:74

Polisdatalagen

framkommit att utredaren anser att bestämmelserna om person- uppgiftsbehandling i vapenlagen kompletterar dataskyddsförord- ningen. Utredningen gör ingen annan bedömning. Personuppgifts- behandling enligt vapenlagen bör därför inte längre anges bland undantagen. Eftersom lagen (2010:362) om polisens allmänna spa- ningsregister har upphört att gälla bör hänvisningen till den tas bort. Som framgår av avsnitt 16.2 anser utredningen att Polismyn- dighetens behandling av personuppgifter i tillträdesförbudsregistret bör regleras i polisens brottsdatalag. Hänvisningen till den lagen bör därför också tas bort.

Enligt lagen om Polismyndighetens elimineringsdatabas får Polismyndigheten föra ett register över dna-profiler i syfte att stärka kvaliteten i den forensiska verksamheten med dna-analyser. Både dna-profiler som inte kan hänföras till en identifierbar person och dna-profiler från prov som har tagits med stöd av 28 kap. rätte- gångsbalken från en misstänkt jämförs med dna-profilerna i elimi- neringsdatabasen innan de läggs in i spårregistret respektive utred- ningsregistret eller dna-registret. Syftet med det är att säkerställa att sökningar i registren inte ger felaktiga resultat på grund av att kontaminerade dna-profiler har registrerats.

I delbetänkandet konstaterar utredningen att behandling av dna- profiler i elimineringsdatabasen är en verksamhet som är oupplös- ligt förbunden med Polismyndighetens hantering av de övriga dna- registren. Den regleringen bör därför omfattas av brottsdatalagens tillämpningsområde (se SOU 2017:29 s. 190 f.).

Med hänsyn till att elimineringsdatabasen inte får användas för att utreda brott ansåg regeringen att regleringen av den inte passade in i polisdatalagen, eftersom den lagen gäller i den brottsbekämpan- de verksamheten (se prop. 2013/14:110 s. 456). Utredningen anser att det alltjämt finns goda skäl att reglera databasen särskilt, dels för att regleringen av både provtagning och personuppgiftsbehand- ling ska vara samlad i en författning, dels för att markera att per- sonuppgifterna i databasen rör andra än personer med anknytning till brott och brottslig verksamhet och inte får användas i brottsbe- kämpningen. Behandling som utförs enligt lagen om Polismyndig- hetens elimineringsdatabas bör därför undantas från polisens brottsdatalags tillämpningsområde.

415

Polisdatalagen

SOU 2017:74

7.2.2Personuppgiftsansvar

Utredningens förslag: Polismyndigheten ska vara personupp- giftsansvarig för den behandling av personuppgifter som utförs vid myndigheten och för den behandling som myndigheten ut- för vid Ekobrottsmyndigheten i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet.

Ekobrottsmyndigheten ska vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför i syfte att utreda brott.

Säkerhetspolisen ska vara personuppgiftsansvarig för den be- handling av personuppgifter som myndigheten utför.

Skälen för utredningens förslag: Polismyndigheten är i dag enligt 2 kap. 4 § polisdatalagen personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför och den behandling som utförs i polisiär verksamhet vid Ekobrottsmyndigheten.

Att Polismyndigheten även fortsättningsvis bör vara personupp- giftsansvarig för den behandling av personuppgifter som utförs vid den egna myndigheten är självklart, liksom att Säkerhetspolisen bör vara personuppgiftsansvarig för den behandling som myndigheten utför enligt lagen. Vem som bör vara personuppgiftsansvarig för den behandling som utförs vid Ekobrottsmyndigheten är däremot inte lika självklart.

Frågan har länge varit föremål för diskussion. Ekobrottsmyn- digheten har i olika lagstiftningsärenden framfört att myndigheten bör vara personuppgiftsansvarig för all den behandling av person- uppgifter som utförs vid myndigheten, eftersom det inte är möjligt att dela upp personuppgiftsansvaret beroende på vem som hanterar personuppgifterna eller vilket it-system som används (se prop. 2009/10:85 s. 92 f. och prop. 2013/14:110 s. 447 f.).

Ekobrottsmyndigheten är enligt 2 kap. 3 § åklagardatalagen per- sonuppgiftsansvarig för den personuppgiftsbehandling som utförs vid myndigheten enligt åklagardatalagen. När Ekobrottsmyndig- heten inrättades var myndigheten även personuppgiftsansvarig för personuppgiftsbehandlingen i den polisverksamhet som bedrevs vid myndigheten. Myndigheten omfattades däremot inte av den tidigare gällande polisdatalagens (1998:622) tillämpningsområde, eftersom den är en åklagarmyndighet. Myndighetens personupp-

416

SOU 2017:74

Polisdatalagen

giftsbehandling reglerades, förutom i förordningen (2006:937) om behandling av personuppgifter inom åklagarväsendet, i person- uppgiftslagen. För att Ekobrottsmyndigheten skulle kunna bedriva kriminalunderrättelseverksamhet ändrades den tidigare gällande polisdatalagen (1998:622) och gjordes från den 1 januari 2004 till- lämplig på polisverksamheten i myndigheten (Övergångsbestäm- melserna till polisdatalagen m.m., prop. 2002/03:144, s. 15 f.). Då- varande Rikspolisstyrelsen blev personuppgiftsansvarig för den personuppgiftsbehandling vid Ekobrottsmyndigheten som utför- des med stöd av polisdatalagen.

Personuppgiftsansvarig definieras i 1 kap. 6 § brottsdatalagen som den behöriga myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Enligt förarbetena till den nu gällande polisdata- lagen bör huvudregeln vara att den myndighet som utför själva be- handlingen också ska ha personuppgiftsansvaret för den. Rege- ringen ansåg dock att någon förändring av personuppgiftsansvaret vid Ekobrottsmyndigheten inte var motiverad när polisdatalagen infördes (se prop. 2009/10:85 s. 93). Inte heller när åklagardata- lagen infördes gjordes någon ändring (se prop. 2014/15:63 s. 45).

Polismyndigheten leder underrättelse- och spaningsverksamhe- ten vid de polisoperativa enheterna vid Ekobrottsmyndigheten. Även om personuppgiftsbehandlingen utförs vid Ekobrottsmyn- digheten är det Polismyndigheten som leder den verksamheten och som därigenom bestämmer ändamålen med och medlen för be- handlingen. Polismyndigheten bör därför även i fortsättningen vara personuppgiftsansvarig för den personuppgiftsbehandling som ut- förs i syfte att förebygga, förhindra eller upptäcka brottslig verk- samhet vid Ekobrottsmyndigheten. Däremot är det Ekobrottsmyn- digheten som genomför brottsutredningarna och som därigenom bestämmer ändamålen med och medlen för behandlingen. Polis- myndigheten har ingen praktisk möjlighet att fullgöra personupp- giftsansvaret i den verksamheten. Så som personuppgiftsansvarig definieras i brottsdatalagen bör Ekobrottsmyndigheten därför pekas ut som personuppgiftsansvarig för den behandling som myn- digheten utför i syfte att utreda brott enligt polisens brottsdatalag (se avsnitt 7.2.1 och 11.2).

417

Polisdatalagen

SOU 2017:74

7.2.3En bestämmelse om hur lagen är uppbyggd

Utredningens förslag: Polisens brottsdatalag ska innehålla en bestämmelse om hur lagen är uppbyggd.

Skälen för utredningens förslag: I avsnitt 5.3.5 föreslår utred- ningen att registerförfattningarna inte längre ska innehålla bestäm- melser om hur lagarna är uppbyggda, om det inte finns särskilda skäl för det.

Alla kapitel i polisdatalagen gäller inte för all personuppgiftsbe- handling inom tillämpningsområdet. Personuppgiftsbehandling i vissa register och i den forensiska verksamheten kommer även i fortsättningen att regleras i särskilda kapitel på grund av att bara delar av lagen ska vara tillämpliga. Vidare är det bara vissa kapitel som gäller för Ekobrottsmyndigheten och Säkerhetspolisen. Det behöver därför tydliggöras vad som gäller för dem och hur lagens kapitel förhåller sig till varandra. Bestämmelsen om lagens upp- byggnad bör således behållas men anpassas till hur Säkerhetspoli- sens personuppgiftsbehandling regleras (se avsnitt 14.2.2) och de strukturella förändringar som föreslås i kapitel 5.

7.3Grundläggande bestämmelser om behandling

7.3.1Tillåtna rättsliga grunder och behandling för nya ändamål

Utredningens förslag: Personuppgifter ska få behandlas om det är nödvändigt för att utföra en arbetsuppgift i syfte att

1.förebygga, förhindra eller upptäcka brottslig verksamhet,

2.utreda eller lagföra brott,

3.upprätthålla allmän ordning och säkerhet, eller

4.fullgöra förpliktelser som följer av internationella åtaganden.

Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket rege-

418

SOU 2017:74

Polisdatalagen

ringen uppdragit åt myndigheten att ansvara för en sådan upp- gift.

Det ska framgå genom en hänvisning att personuppgifter som behandlas med stöd av lagen ska få behandlas för nya ända- mål enligt de förutsättningar som anges i brottsdatalagen.

Skälen för utredningens förslag

En bestämmelse som ersätter brottsdatalagens bestämmelse om tillåtna rättsliga grunder för behandling

Som anges i avsnitt 6.3.1 bör registerförfattningarna innehålla be- stämmelser om tillåtna rättsliga grunder för behandling av person- uppgifter. Regleringen i 2 kap. 7 § polisdatalagen bör således behål- las, men det ska framgå att det inte är en ändamålsbestämmelse i egentlig mening. Bestämmelsen är på samma sätt som 2 kap. 1 § brottsdatalagen en del av den rättsliga grunden och ger Polismyn- digheten, Ekobrottsmyndigheten och Säkerhetspolisen rättsligt stöd för att behandla personuppgifter automatiserat för att utföra sina arbetsuppgifter (se avsnitt 6.1.2).

Polismyndigheten får i dag behandla personuppgifter om det be- hövs för att förebygga, förhindra eller upptäcka brottslig verksam- het, utreda eller beivra brott eller fullgöra de förpliktelser som föl- jer av internationella åtaganden. Polismyndigheten bör givetvis få fortsätta att behandla personuppgifter om det är nödvändigt för att fullgöra sådana arbetsuppgifter, men regleringen bör anpassas till brottsdatalagens terminologi. Det bör i tillämpliga delar gälla även för övriga myndigheter som tillämpar polisens brottsdatalag.

Som framgår av avsnitt 7.2.1 föreslår utredningen att polisens brottsdatalag ska tillämpas på Polismyndighetens personuppgifts- behandling vid upprätthållande av allmän ordning och säkerhet. Upprätthållande av allmän ordning och säkerhet bör därför också vara en tillåten rättslig grund.

Polisens brottsdatalag föreslås gälla utöver brottsdatalagen. För att det inte ska råda någon osäkerhet om hur bestämmelsen i 2 kap. 1 § brottsdatalagen förhåller sig till bestämmelsen om tillåtna rätts- liga grunder i registerförfattningen bör den senare helt ersätta be- stämmelsen i brottsdatalagen. Det bör därför på samma sätt som i brottsdatalagen i polisens brottsdatalag föreskrivas att den arbets-

419

Polisdatalagen

SOU 2017:74

uppgift som ska utföras ska framgå av en bindande unionsrättsakt eller en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift. Vad det innebär utvecklas i delbetänkandet (se SOU 2017:29 s. 238 f.).

Behandling för nya ändamål

I dag regleras behandling för nya ändamål till viss del i den sekun- dära ändamålsbestämmelsen i 2 kap. 8 § polisdatalagen. Utred- ningen anser som framgår av avsnitt 6.3.2 och 6.4.2 att de sekun- dära ändamålsbestämmelserna bör upphävas. Förutsättningarna för behandling för nya ändamål bör i stället regleras i brottsdatalagen. Innan personuppgifter får behandlas för nya ändamål inom brotts- datalagens tillämpningsområde ska det enligt 2 kap. 4 § brottsdata- lagen säkerställas att behandlingen är nödvändig och proportioner- lig för det nya ändamålet. Utredningen föreslår att samma prövning ska göras när de brottsbekämpande myndigheterna behandlar per- sonuppgifter för nya ändamål utanför tillämpningsområdet. Det bör införas en bestämmelse i polisens brottsdatalag som tydliggör att förutsättningarna för att behandla personuppgifter, som be- handlas med stöd av den lagen, för nya ändamål regleras i brotts- datalagen.

7.3.2Behandling av biometriska och genetiska uppgifter

Utredningens förslag: Polismyndigheten och Säkerhetspolisen ska få behandla biometriska uppgifter enligt de förutsättningar som anges i brottsdatalagen.

Utredningens bedömning: Säkerhetspolisen och Ekobrotts- myndigheten bör inte få behandla genetiska uppgifter. Polis- myndigheten bör endast få behandla genetiska uppgifter i den forensiska verksamheten.

420

SOU 2017:74

Polisdatalagen

Skälen för utredningens förslag och bedömning

Förutsättningarna för att behandla biometriska och genetiska uppgifter

Biometriska uppgifter är enligt 1 kap. 6 § brottsdatalagen person- uppgifter som rör en persons fysiska, fysiologiska eller beteende- mässiga kännetecken, som tagits fram genom särskild teknisk be- handling och som möjliggör eller bekräftar unik identifiering av personen i fråga. Vanliga fotografier och filmer omfattas inte av definitionen om de inte bearbetas tekniskt på något sätt så att iden- tifiering blir möjlig, t.ex. i ett ansiktsigenkänningsprogram (se SOU 2017:29 s. 148 f.).

Genetiska uppgifter är enligt 1 kap. 6 § brottsdatalagen person- uppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som härrör från analys av ett spår eller ett prov av personen i fråga. Det är framför allt information som kan tas fram vid dna-analyser, men även motsvarande information som tas fram vid andra analyser omfattas (se SOU 2017:29 s. 149 f. och 265.).

Enligt 2 kap. 12 och 13 §§ brottsdatalagen utgör biometriska uppgifter som används för att identifiera en person och genetiska uppgifter känsliga personuppgifter. Sådana uppgifter får endast be- handlas om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. Det finns därför skäl att överväga myndigheternas behov av att behandla sådana uppgifter.

Biometriska uppgifter

Biometri är ett samlingsnamn för sådan automatiserad teknik som syftar till att identifiera en person eller avgöra om en påstådd iden- titet är riktig. Den baseras på mätning av fysiska karaktärsdrag hos den som ska identifieras. Fingeravtryck, ansiktsgeometri, ögats iris eller nät- eller regnbågshinna, röst, hand, blodkärl, dna eller rörel- semönster kan användas.

Fingeravtryck och dna har använts länge i den polisiära verk- samheten, men den tekniska utvecklingen har förändrat förutsätt- ningarna för att använda framför allt biometri. Det har under de senaste åren utvecklats helt nya möjligheter att använda exempelvis ansikts- och röstigenkänning. Utveckligen går fort och det är svårt att förutse vad som kommer att vara möjligt inom några år.

421

Polisdatalagen

SOU 2017:74

Polisen bör även i fortsättningen ha möjlighet att behandla biometriska uppgifter i brottsbekämpningen. Det är viktigt att den rättsliga regleringen inte hämmar eller hindrar utvecklingen och användningen av ny teknik. Enligt 2 kap. 12 § brottsdatalagen får biometriska uppgifter som används för att identifiera en person be- handlas bara om det är absolut nödvändigt för ändamålet med be- handlingen. Utredningen bedömer att det för närvarande inte finns skäl att begränsa möjligheterna att använda biometriska uppgifter ytterligare.

Polismyndigheten och Säkerhetspolisen har behov av att be- handla biometriska uppgifter medan det är svårt att se att Eko- brottsmyndigheten har ett sådant behov (jfr avsnitt 11.3.2). Det bör därför införas en bestämmelse i polisens brottsdatalag som medger att Polismyndigheten och Säkerhetspolisen får behandla biometriska uppgifter enligt de förutsättningar som anges i brotts- datalagen.

Det bör anmärkas att de personuppgifter som förekommer i ett utlåtande som baseras på en teknisk bearbetning av biometriska eller genetiska uppgifter inte i sig utgör sådana uppgifter. Det kom- mer alltså att vara möjligt att behandla personuppgifter i sådana utlåtanden i samma utsträckning som i dag.

Utredningen återkommer till frågan om behandling av biomet- riska uppgifter i den forensiska verksamheten i avsnitt 7.8.4.

Genetiska uppgifter

Genetiska uppgifter behandlas vid dna-analyser för att ta fram dna- profiler eller forensiska uppslag. Själva dna-profilen, som behandlas i Polismyndighetens dna-register, är endast en sifferkombination och är därmed ingen genetisk uppgift. Den är i stället en biometrisk uppgift, eftersom den tas fram genom en särskild teknisk behand- ling av en persons arvsmassa för att möjliggöra unik identifiering av personen i fråga (se SOU 2017:29 s. 265)

Av avsnitt 7.8.4 framgår i vilken utsträckning Polismyndigheten bör få behandla genetiska uppgifter i den forensiska verksamheten. Det har i övrigt inte framkommit att någon av de andra myndig- heter som tillämpar polisens brottsdatalag har behov av att be- handla genetiska uppgifter och utredningen anser därför att de inte

422

SOU 2017:74

Polisdatalagen

bör få behandla sådana uppgifter. Någon bestämmelse som medger sådan behandling bör därför inte finnas i lagen.

7.3.3Sökning på känsliga personuppgifter

Utredningens förslag: Sökförbudet i brottsdatalagen ska inte hindra att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott, uppgifter om verkställighet av påföljd eller uppgifter som beskriver en persons utseende används vid sökning.

Det ska inte heller hindra sökning i syfte att få fram ett per- sonurval grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sök- ningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga.

Skälen för utredningens förslag

Undantag från sökförbudet i brottsdatalagen vid sökning i alla slags personuppgifter

I avsnitt 5.3.8 föreslår utredningen att förbudet i 3 kap. 5 § polis- datalagen att använda känsliga personuppgifter som sökbegrepp ska upphävas, eftersom det i 2 kap. 14 § brottsdatalagen finns ett gene- rellt sökförbud. Det förbudet utgår till skillnad från dagens regle- ring från syftet med sökningen. Om syftet inte är att få fram ett personurval grundat på känsliga personuppgifter är sökningen tillåten, även om känsliga personuppgifter används vid sökningen (se SOU 2017:29 s. 272 f.).

Eftersom sökförbudet har en ny utformning är det nödvändigt att se över bestämmelserna om sökning. Enligt 3 kap. 5 § andra stycket polisdatalagen är det tillåtet att använda brottsrubriceringar och uppgifter som beskriver en persons utseende som sökbegrepp vid sökning i uppgifter som har gjorts gemensamt tillgängliga. Det finns även i fortsättningen behov av att kunna använda sådana upp- gifter vid sökning, även om det leder till att man får fram ett per- sonurval grundat på känsliga personuppgifter. Det bör därför enligt utredningens mening göras undantag från brottsdatalagens sökför-

423

Polisdatalagen

SOU 2017:74

bud i polisens brottsdatalag för sådana sökningar. För att möjlig- heterna till sökning ska vara desamma som i dag bör undantaget omfatta sökningar i alla slags personuppgifter, dvs. oberoende av om uppgifterna har gjorts gemensamt tillgängliga eller inte.

Polisen har även behov av att kunna göra sökningar på tillväga- gångssätt vid brott. Sådana sökningar kan i vissa fall leda till ett personurval grundat på känsliga personuppgifter. Som exempel kan nämnas att tillvägagångssätt vid sexualbrott kan avslöja uppgifter om sexualliv eller sexuell läggning. Tillvägagångssätt vid både sexu- albrott och andra brott kan avslöja skador som gärningsmannen ådragit sig, dvs. avslöja uppgifter om hälsa. Undantaget från sök- förbudet bör därför omfatta tillvägagångssätt vid brott.

Även sökning på verkställighet av påföljd kan ibland vara nöd- vändiga. Det är framför allt vårdpåföljder som polisen har intresse av att få fram vid sökning och som kan leda till ett personurval grundat på känsliga personuppgifter. Det kan vara fallet exempelvis om det har begåtts brott som bär tydliga tecken av att gärnings- mannen lider av en psykisk störning. Polisen har då intresse av att kartlägga om personer som undergår rättspsykiatrisk vård haft fri- gång eller permission. Att någon är föremål för rättspsykiatrisk vård avslöjar en uppgift om hälsa. Kriminalvården är enligt 46 § förordningen om behandling av personuppgifter inom kriminalvår- den skyldig att underrätta Polismyndigheten och Säkerhetspolisen bl.a. om permissioner och vårdvistelser inom ramen för fängelse- straff. Även sådan information, t.ex. om att någon vistas på en viss typ av behandlingshem, kan avslöja uppgifter om bl.a. hälsa. Undantaget från sökförbudet i brottsdatalagen bör därför även omfatta sökning på uppgifter om verkställighet av påföljd.

Undantag vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga

Det nuvarande förbudet i polisdatalagen mot att använda känsliga personuppgifter som sökbegrepp gäller endast vid sökning i upp- gifter som har gjorts gemensamt tillgängliga. Det innebär att käns- liga personuppgifter får användas vid sökning i uppgifter som enbart ett fåtal har tillgång till. Den enda begränsningen i dag är att behandling av känsliga personuppgifter ska vara absolut nödvändig.

424

SOU 2017:74

Polisdatalagen

Utredningens utgångspunkt är att de behöriga myndigheternas möjlighet att använda känsliga personuppgifter vid sökning inte ska försämras. För att effektivt kunna bekämpa brott kan polisen ha behov av att göra sammanställningar i syfte att få fram ett person- urval grundat på känsliga personuppgifter vid sökning i uppgifter som inte har gjorts gemensamt tillgängliga. Det finns därför skäl att göra vissa undantag från sökförbudet i brottsdatalagen när det gäller sökning i uppgifter som enbart ett fåtal har tillgång till.

Framför allt i underrättelseverksamheten kan det finnas behov av sökningar som innebär att sammanställningar grundade på käns- liga personuppgifter skapas. Organiserad brottslighet av olika slag kräver inte sällan kartläggning av misstänktas kontakter och vanor. Då kan olika typer av känsliga personuppgifter avslöjas. Det kan t.ex. visa sig att en övervakad person regelbundet besöker en lokal där det förekommer religiösa ceremonier (uppgift om religiös över- tygelse) eller politisk eller facklig verksamhet (uppgift om politisk åsikt eller medlemskap i fackförening) eller umgås huvudsakligen med personer som har visst ursprung (uppgift om etniskt ur- sprung). Polisen måste kunna göra sökningar i sådana underrät- telseuppgifter för att förebygga, förhindra eller upptäcka brottslig verksamhet som begås av flera personer som förenas genom sitt etniska ursprung, sin religiösa eller filosofiska övertygelse eller sina politiska åsikter. Likaså måste polisen kunna göra sökningar i syfte förebygga, förhindra och upptäcka brott som riktar sig mot per- soner av visst etniskt ursprung eller med viss religiös övertygelse. I utredningsverksamheten finns motsvarande behov av att kunna söka på känsliga personuppgifter.

Polisen har dock inte behov av att kunna ta fram personurval grundade på alla kategorier av känsliga personuppgifter. Det kan aldrig finnas behov av att göra sammanställningar grundade på ras, eftersom det inte finns någon vetenskaplig grund för att dela in människor i skilda raser (se SOU 2017:29 s. 267). Behovet av att göra sammanställningar grundade på genetiska och biometriska uppgifter i den forensiska verksamheten vid Polismyndigheten be- handlas i avsnitt 7.8.4. Av avsnitt 14.7.3 framgår att utredningen inte anser att behandling av biometriska uppgifter i ansiktsigenkän- ningsprogram är att anse som sökning. Det finns därför inte något behov av undantag för sökning när det gäller biometriska uppgifter utanför den forensiska verksamheten.

425

Polisdatalagen

SOU 2017:74

Undantaget från sökförbudet i brottsdatalagen bör därför ut- formas så att sökning möjliggörs när det gäller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlem- skap i fackförening eller uppgifter som rör hälsa, sexualliv eller sexuell läggning. Det innebär att möjligheterna att använda känsliga personuppgifter vid sökning i uppgifter som inte har gjorts gemen- samt tillgängliga begränsas i förhållande till vad som gäller i dag. Eftersom det inte finns behov av ett generellt undantag bedömer utredningen att förslaget inte innebär någon försämring.

Hur förhåller sig sökmöjligheterna till sekretessbestämmelsen?

Som anges i delbetänkandet kan det ifrågasättas om sökförbudet i 2 kap. 14 § brottsdatalagen uppfyller kraven för att omfattas av begränsningsregeln i 2 kap. 3 § tredje stycket tryckfrihetsförord- ningen. För att säkerställa att allmänheten inte med stöd av offent- lighetsprincipen ska kunna få ut sammanställningar grundade på känsliga personuppgifter som myndigheten själv inte får ta fram föreslår utredningen en bestämmelse om absolut sekretess (se SOU 2017:29 s. 274 f. och 643 f.). Sekretessen gäller hos behöriga myn- digheter till skydd för enskild för uppgifter i ett sådant personurval som avses i 2 kap. 14 § brottsdatalagen.

Sekretessbestämmelsen är enbart tänkt att träffa sökning som är förbjuden. Syftet är att allmänheten inte ska ha större möjligheter än myndigheterna själva att få fram sammanställningar grundade på känsliga personuppgifter. Allmänheten bör ha samma möjlighet som myndigheterna själva att begära ut sådana sammanställningar. När det nu föreslås undantag från sökförbudet får det prövas om uppgifterna i sammanställningen omfattas av någon annan sekre- tessbestämmelse, t.ex. sekretess som skyddar förundersökning eller sekretess i underrättelseverksamhet enligt 18 kap. 1 eller 2 § offent- lighets- och sekretesslagen. Även sekretess till skydd för enskilds personliga förhållanden enligt 35 kap. offentlighets- och sekretess- lagen skyddar normalt uppgifter av det här slaget.

Den föreslagna sekretessbestämmelsen skyddar sammanställ- ningar som tas fram i strid med förbudet i brottsdatalagen. Den behöver enligt utredningens mening inte ändras med anledning av de föreslagna undantagen från sökförbudet.

426

SOU 2017:74

Polisdatalagen

7.4Personuppgifter från transportföretag

7.4.1Personuppgiftsbehandlingen bör regleras i polisens brottsdatalag

Utredningens förslag: Bestämmelserna om hur Polismyndig- heten och Säkerhetspolisen får behandla personuppgifter som transportföretag på begäran tillhandahåller myndigheterna enligt polislagen ska tas in i polisens brottsdatalag. Sådana personupp- gifter ska få behandlas i syfte att förebygga, förhindra eller upp- täcka brottslig verksamhet eller utreda eller lagföra brott.

Skälen för utredningens förslag

Nuvarande reglering

Enligt 25 § polislagen är transportföretag skyldiga att på begäran skyndsamt lämna vissa personuppgifter till Polismyndigheten och Säkerhetspolisen. Det rör sig bl.a. om uppgifter om resenärers namn, medresenärers namn och transportmedel. Uppgifterna får endast begäras om de kan ha betydelse för myndighetens brotts- bekämpande verksamhet. Regleringen har sitt ursprung i de lag- ändringar som krävdes med anledning av att Sverige blev medlem i EU (se avsnitt 8.4.1).

Personuppgifterna får tillhandahållas genom terminalåtkomst till transportföretagens bokningssystem där polisen endast får läsa uppgifterna men inte bearbeta eller lagra dem. Terminalåtkomst tillåts enligt 26 § bara i den omfattning och under den tid som be- hövs för att kontrollera aktuella transporter. Uppgifterna får även lämnas på annat sätt om transportföretaget anser att det är bättre. Uppgifterna lämnas ofta elektroniskt, men det förekommer även att de tillhandahålls på papper. Utredningen utgår från att person- uppgifterna, oavsett på vilket sätt de tillhandahålls, normalt är strukturerade på ett sådant sätt att polisens brottsdatalag är till- lämplig på behandlingen.

Uppgifter om enskilda som lämnas på annat sätt än genom ter- minalåtkomst ska enligt 26 § tredje stycket polislagen omedelbart förstöras, om de visar sig sakna betydelse för utredning av eller lag- föring för brott. Syftet med bestämmelsen är att hindra att uppgif-

427

Polisdatalagen

SOU 2017:74

terna sprids, eftersom det till allra största delen är fråga om infor- mation om enskilda personer som inte är misstänkta för vare sig brott eller brottslig verksamhet.

Personuppgiftsbehandlingen bör regleras i registerförfattningen

I polislagen regleras alltså inte bara transportföretagens uppgifts- skyldighet, utan även på vilket sätt och hur länge polisen får behandla personuppgifterna. Tullverket har motsvarande tillgång till uppgifter från transportföretag enligt bestämmelser i lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen (inregränslagen) och tullagen (2016:253).

För polisens del finns det i dag ingen reglering av behandlingen av personuppgifter från transportföretag i polisdatalagen. Tullver- kets behandling av personuppgifter från transportföretag regleras däremot både i inregränslagen och tullagen och i 2 kap. 8 och 9 §§ tullbrottsdatalagen. I avsnitt 8.4.1 behandlas frågan om regleringen av Tullverkets behandling av uppgifter från transportföretag bör samlas i tullbrottsdatalagen.

Utredningens utgångspunkt är att myndigheternas personupp- giftsbehandling inom brottsdatalagens tillämpningsområde i så stor utsträckning som möjligt ska regleras i deras registerförfattningar (se avsnitt 4.4.1). Enstaka bestämmelser om personuppgiftsbe- handling i annan lagstiftning än myndigheternas registerförfatt- ningar riskerar därför att komma i skymundan. För enskilda blir regleringen mycket svåröverskådlig. Det är i detta fall särskilt olyckligt med tanke på att de flesta uppgifterna rör personer som inte kan misstänkas för brott. Det är också mindre lämpligt att ha enstaka bestämmelser om personuppgiftsbehandling i lagar som i övrigt reglerar polisens verksamhet och befogenheter. Utredningen anser därför att det finns skäl att föra över bestämmelserna om hur polisen får behandla personuppgifter från transportföretag till poli- sens brottsdatalag. Transportföretagens skyldigheter bör alltjämt regleras i polislagen.

428

SOU 2017:74

Polisdatalagen

Hur får uppgifterna behandlas?

Enligt 26 § polislagen får transportföretagen tillhandahålla Polis- myndigheten och Säkerhetspolisen passageraruppgifter genom att göra dem läsbara via terminalåtkomst. Uppgifter som hålls tillgäng- liga på det sättet får inte ändras eller på annat sätt bearbetas eller lagras av myndigheterna. Bestämmelsen kan uppfattas på det sättet att myndigheterna inte får hantera personuppgifterna på annat sätt än att läsa dem på en terminal. Det kan dock inte ha varit avsikten att regleringen ska tolkas så snävt, eftersom tillgången till sådana uppgifter skulle vara helt meningslös om uppgifter av betydelse för brottsbekämpningen inte skulle få tillföras den brottsbekämpande verksamheten. Av förarbetena till Tullverkets motsvarande bestäm- melse framgår att uppgifterna kan behöva bevaras så länge de har betydelse för vidare åtgärder, vilket antogs vara i undantagsfall (se Tullens befogenheter vid den inre gränsen, prop. 1995/96:166, s. 84).

Det bör förtydligas att den nu aktuella bestämmelsen endast hindrar ändring eller bearbetning av uppgifterna i transportbola- gens it-system. Om personuppgifter i ett enskilt fall ger upphov till ett underrättelseuppslag eller behövs i en brottsutredning kan de som regel behandlas enligt de generella bestämmelserna i brotts- datalagen och polisens brottsdatalag.

Polismyndigheten har framför allt behov av att kunna behandla bokningsuppgifter för att kontrollera en viss persons resande eller vilka som vid ett visst tillfälle reser till en viss destination. Polis- myndigheten kan ha behov av sådana uppgifter både i sin under- rättelseverksamhet och för brottsutredning. I underrättelseverk- samheten kan det t.ex. vara viktigt att kartlägga hur vissa varor förs in i landet. Vid s.k. kontrollerade leveranser av narkotika kan bok- ningsuppgifter vara av stor betydelse. Vid utredning av brott kan det t.ex. vara av värde att kunna kartlägga möjliga vägar att föra stöldgods ut ur landet eller att följa narkotikans väg till Sverige. Polismyndigheten bör därför i enskilda fall kunna dra nytta av upp- gifter från transportföretagen både i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet och i syfte att utreda eller lag- föra brott.

I avsnitt 7.4.4 behandlas frågan om det i polisens brottsdatalag bör finnas en särskild bestämmelse om att personuppgifter från

429

Polisdatalagen

SOU 2017:74

transportföretag ska förstöras om de visar sig sakna betydelse för brottsbekämpningen.

PNR-utredningens förslag

Den 27 april 2016 antogs Europaparlamentets och rådets direktiv (EU) 2016/681 om användning av passageraruppgiftssamlingar (PNR-uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet. Direktivet reglerar skyldigheten för flygbolag att överföra passageraruppgiftssamlingar till särskilda enheter för passagerarinformation i medlemsstaterna, för vilka ändamål personuppgifterna får behandlas, hur länge de får lagras och under vilka förutsättningar de får lämnas ut. PNR-utred- ningen har haft i uppdrag att föreslå hur direktivet ska genomföras. I betänkandet Lag om flygpassageraruppgifter i brottsbekämp- ningen (SOU 2017:57) föreslår PNR-utredningen en ny lag som reglerar användningen av flygpassageraruppgifter i brottsbekämp- ningen. Lagen föreslås ha företräde framför bestämmelserna i polis- datalagen och polislagen. Förslagen bereds i Regeringskansliet. Ut- redningen har inte beaktat PNR-utredningens förslag.

7.4.2Begränsningar i möjligheterna att behandla personuppgifter

Utredningens förslag: Vid sökning i personuppgifter från tran- sportföretag får namn, personnummer, samordningsnummer och andra liknande identitetsbegrepp användas som sökbegrepp endast om uppgifterna avser en person som är eller har varit misstänkt för brott eller viss brottslig verksamhet eller som övervakas på visst sätt.

Personuppgifter som transportföretag tillhandahåller ska endast i enskilda fall få behandlas för nya ändamål enligt brotts- datalagen.

430

SOU 2017:74

Polisdatalagen

Skälen för utredningens förslag

Det bör regleras vilka sökbegrepp som får användas

I dag gäller inga begränsningar i polisens möjligheter att söka i upp- gifter från transportföretag. Det gör det däremot om motsvarande uppgifter lämnas till Tullverket. Enligt 2 kap. 9 § tullbrottsdata- lagen får vid sökning i uppgifter från transportföretag direkta per- sonuppgifter som namn, personnummer och samordningsnummer användas som sökbegrepp bara om uppgifterna avser en person som är eller har varit misstänkt för brott eller viss brottslig verk- samhet eller som övervakas på visst sätt.

I förarbetena till bestämmelserna om hur Tullverket får be- handla uppgifter från transportföretag framhåller regeringen att sökning på resenärers namn i uppgifter från transportföretag är förenade med särskilda integritetsrisker mot bakgrund av dels att transportföretagen är skyldiga att lämna ut uppgifterna, dels att de flesta uppgifterna avser personer som inte kan misstänkas för någon brottslighet (se prop. 1995/96:166 s. 79 f.). Även om det vore effektivt för brottsbekämpningen om Tullverket kunde sam- köra uppgifter som kommit in från transportföretag med andra uppgifter från den brottsbekämpande verksamheten och på så sätt få fram vilka som redan övervakas eller kan misstänkas ha samband med brottslig verksamhet slås det fast i förarbetena till tullbrotts- datalagen att det inte bör tillåtas. Det är tillräckligt att Tullverket har möjlighet att söka efter personer som redan är eller har varit misstänkta för brott eller kan antas ha samband med brottslig verksamhet eller personer som är föremål för viss övervakning (se prop. 2016/17:91 s. 107).

Det gäller alltså helt olika regler för samma typ av personupp- gifter beroende på vilken myndighet som tar emot dem. Det är en- ligt utredningens mening otillfredsställande ur integritetsynpunkt att regelverken skiljer sig åt, särskilt mot bakgrund av att det till största delen är fråga om överskottsinformation. Även om upp- gifter från transportföretag används på olika sätt av Tullverket och polisen anser utredningen att polisen inte bör ha vidare möjligheter att söka i uppgifter från transportföretag än vad Tullverket har. En motsvarande bestämmelse om sökbegränsning bör därför tas in i polisens brottsdatalag.

431

Polisdatalagen

SOU 2017:74

Behandling för nya ändamål

I dag finns det inga bestämmelser om vidarebehandling av person- uppgifter som transportföretag tillhandahåller. Det gör det där- emot om motsvarande uppgifter lämnas till Tullverket. Enligt 2 kap. 8 § tullbrottsdatalagen får Tullverket endast om det behövs i ett enskilt fall behandla personuppgifter från transportföretag för något annat primärt ändamål. Det innebär att uppgifterna exem- pelvis får användas för att utreda brott.

Behandling för nya ändamål inom brottsdatalagens tillämp- ningsområde regleras i 2 kap. 4 § brottsdatalagen. För att sådan be- handling ska vara tillåten krävs dels att det finns en tillåten rättslig grund för behandlingen, dels att behandlingen är nödvändig och proportionerlig för det nya ändamålet. Utredningen föreslår i av- snitt 6.4.3 att samma prövning ska göras när personuppgifter be- handlas för nya ändamål utanför brottsdatalagens tillämpningsom- råde.

Riksdagen har nyligen ställt sig bakom att Tullverket ska få be- handla personuppgifter av nu aktuellt slag för nya ändamål endast om det behövs i enskilda fall (se prop. 2016/17:91 s. 107). Mot den bakgrunden bör polisens rätt att behandla personuppgifter som till- handahålls av transportföretag för nya ändamål begränsas på mot- svarande sätt. Behandling för nya ändamål bör därför vara tillåten endast i enskilda fall.

7.4.3Uppgifter från transportföretag får göras gemensamt tillgängliga

Utredningens bedömning: Personuppgifter från transportföre- tag får göras gemensamt tillgängliga. Det kräver ingen särskild reglering.

Skälen för utredningens bedömning: Uppgifterna från transport- företagen är till allra största delen information om personer som inte är intressanta ur ett brottsbekämpningsperspektiv. Utgångs- punkten är därför att uppgifterna ska ges så liten spridning som möjligt.

432

SOU 2017:74

Polisdatalagen

När bestämmelserna om Tullverkets tillgång till uppgifter från transportföretag infördes konstaterade regeringen att uppgifternas karaktär krävde begränsningar av hur uppgifterna fick användas (se prop. 1995/96:166 s. 83 f.). Enligt 2 kap. 8 § andra stycket tull- brottsdatalagen får personuppgifter från transportföretag bara göras gemensamt tillgängliga i enskilda fall. Av förarbetena framgår att det skulle strida mot intentionerna bakom bestämmelserna om tillgång till uppgifter från transportföretag att generellt tillåta att sådana uppgifter görs gemensamt tillgängliga. Om uppgifterna, t.ex. efter en kontroll, visar sig vara nödvändiga för att utreda brott eller ha samband med allvarlig misstänkt brottslig verksamhet bör de dock få behandlas inom ramen för den utredningen eller det underrättelseärendet och göras gemensamt tillgängliga (se prop. 2016/17:91 s. 107).

Även polisen bör få göra nu aktuella personuppgifter gemen- samt tillgängliga. Det kan dock inte bli fråga om att göra större mängder information gemensamt tillgänglig, eftersom den till största delen rör personer som inte är intressanta för brottsbe- kämpningen. I stället kommer det att vara uppgifter om någon eller några personer eller transporter som är av betydelse i underrättelse- verksamheten eller i en brottsutredning som görs gemensamt till- gängliga. Vilka uppgifter som får göras gemensamt tillgängliga framgår av 3 kap. 2 § första stycket polisdatalagen. Enligt punk- ten 1 får uppgifter som kan antas ha samband med viss misstänkt brottslig verksamhet göras gemensamt tillgängliga. Detsamma gäl- ler enligt punkten 3 uppgifter som förekommer i ett ärende om utredning eller beivrande av brott. Utredningen kan inte se att det skulle finnas andra fall i vilka uppgifter från transportföretag skulle behöva göras gemensamt tillgängliga. Någon särskild reglering be- hövs därför inte.

7.4.4Hur länge personuppgifterna får behandlas

Utredningens förslag: Det ska inte finnas någon särskild be- stämmelse om att uppgifter från transportföretag ska förstöras om de visar sig sakna betydelse för utredning av eller lagföring för brott.

433

Polisdatalagen

SOU 2017:74

Skälen för utredningens förslag: Enligt 26 § tredje stycket polis- lagen ska uppgifter om enskilda personer som ett transportföretag lämnat på annat sätt än genom terminalåtkomst omedelbart förstö- ras om de visar sig sakna betydelse för utredning av eller lagföring för brott.

Polismyndigheten har inte samma behov som Tullverket att i sin brottsbekämpande verksamhet fortlöpande ta del av alla uppgifter från transportföretag inför att transporterna ankommer. Behovet av uppgifter är mera relaterat till att i vissa fall kunna kontrollera vilka som förväntas komma med en viss transport eller att i efter- hand kunna granska vilka personer som åkt med en viss transport. Mot den bakgrunden finns det inte samma behov av en särregel om förstörande. Enligt 2 kap. 17 § första stycket brottsdatalagen får personuppgifter inte behandlas under längre tid än nödvändigt med hänsyn till ändamålet med behandlingen. Bestämmelsen ger enligt utredningens mening tillräckligt skydd för uppgifterna. Det finns därför inte något behov av att införa en bestämmelse motsvarande 26 § tredje stycket polislagen när regleringen flyttas till polisens brottsdatalag (jfr avsnitt 5.3.11).

7.5Gemensamt tillgängliga uppgifter

7.5.1Nya kategorier av personuppgifter får göras gemensamt tillgängliga

Utredningens förslag: Personuppgifter som förekommer i ärenden om kontaktförbud eller om personskydd ska få göras gemensamt tillgängliga. Uppgifterna ska inte få behandlas längre än ett år efter det att ärendet som de behandlades i avslutades.

Personuppgifter som behandlas i syfte att upprätthålla allmän ordning och säkerhet ska också få göras gemensamt tillgängliga. De ska inte få behandlas längre än ett år efter utgången av det kalenderår då de behandlades automatiserat första gången.

434

SOU 2017:74

Polisdatalagen

Skälen för utredningens förslag

Personuppgifter i ärenden om kontaktförbud eller personskydd

I 3 kap. 2 § första stycket polisdatalagen anges vilka personupp- gifter som får göras gemensamt tillgängliga. Det är bl.a. uppgifter som kan antas ha samband med misstänkt brottslig verksamhet, om den innefattar brott för vilket är föreskrivet fängelse i ett år eller däröver eller sker systematiskt, och uppgifter som förekommer i ärenden om utredning eller beivrande av brott som får göras gemensamt tillgängliga.

Om någon utsätts för hot eller våld är det viktigt att polisen så snabbt som möjligt får kännedom om huruvida han eller hon tidi- gare har varit utsatt för brott eller är föremål för skyddsåtgärder av något slag. Det finns då bättre förutsättningar att snabbt hitta gär- ningsmannen. När det gäller personer som skyddas av exempelvis kontaktförbud eller personsäkerhetsåtgärder är det dock inte alltid som personuppgifterna kan knytas till misstanke om brottslig verk- samhet eller en utredning om brott så att uppgifterna av det skälet får göras gemensamt tillgängliga. Det finns därför behov av att kunna göra uppgifter om personer med någon form av skydds- behov gemensamt tillgängliga. Det kan vara personer som skyddas av ett kontaktförbud, är föremål för vittnesskydd eller annat personsäkerhetsarbete.

Det är dock inte bara uppgifter om den person som har ett sådant skyddsbehov som bör få göras gemensamt tillgängliga. Det bör även gälla uppgifter om närstående till sådana personer, efter- som hot eller våld kan riktas mot dem för att komma åt den person som har det egentliga skyddsbehovet. Bestämmelsen kan lämpligen formuleras så att personuppgifter som förekommer i ärenden om kontaktförbud eller om personskydd får göras gemensamt tillgäng- liga. Med hänsyn till att personuppgifterna förekommer i ärenden bör de inte få behandlas längre än ett år efter det att ärendet som uppgifterna behandlades i avslutades. Regleringen av hur länge uppgifterna får behandlas behöver inte på samma sätt som i 3 kap. 14 § fjärde stycket polisdatalagen knytas till kalenderår, eftersom det enligt uppgift numera är tekniskt möjligt att ta bort uppgifterna oberoende av när under året tidsfristen löper ut.

435

Polisdatalagen

SOU 2017:74

Personuppgifter som behandlas i syfte att upprätthålla allmän ordning och säkerhet

Som framgår av avsnitt 7.2.1 föreslår utredningen att polisens brottsdatalag ska tillämpas på Polismyndighetens personuppgifts- behandling i syfte att upprätthålla allmän ordning och säkerhet. I förarbetena till polisdatalagen framhålls att det är svårt att dra en tydlig gräns mellan polisens ordningshållning och brottsbekämp- ning, vilket beror på att övervakning och ordningshållande verk- samhet även kan syfta till att förebygga och ingripa mot brott. Så- dan verksamhet kan också ofta övergå i brottsbekämpning (se prop. 2009/10:85 s. 75). Inför kommenderingar vid särskilda hän- delser där ordningsstörningar befaras, t.ex. en fotbollsmatch eller en demonstration, kan det finnas behov av att göra uppgifter om tillträdesförbud eller uppgifter om personer som tidigare orsakat ordningsstörningar gemensamt tillgängliga. Även om sådana upp- gifter i vissa fall skulle kunna göras gemensamt tillgängliga med stöd av 3 kap. 2 § första stycket 1 polisdatalagen är det inte givet att så alltid är fallet. Därför bör det tydliggöras att personuppgifter som behandlas i syfte att upprätthålla allmän ordning och säkerhet får göras gemensamt tillgängliga.

Personuppgifter som görs gemensamt tillgängliga i syfte att upprätthålla allmän ordning och säkerhet bör inte få behandlas längre än ett år efter utgången av det kalenderår då de behandlades automatiserat första gången.

7.5.2Sökning i gemensamt tillgängliga uppgifter

Utredningens förslag: Bestämmelsen som begränsar resultatet vid sökning i gemensamt tillgängliga uppgifter med hjälp av namn, personnummer, samordningsnummer eller liknande iden- titetsbeteckningar ska enbart gälla i automatiserade behandlings- system. Vid sådan sökning får uppgifter om personer som be- rörs av ett kontaktförbud eller av åtgärder i ett personskydds- ärende tas fram.

Begränsningarna ska inte gälla vid sökning i en viss handling eller i ett visst ärende. De ska inte heller gälla vid sökning som görs av särskilt angivna tjänstemän

436

SOU 2017:74

Polisdatalagen

1.när de utför beredningsuppgifter inom underrättelseverk- samhet och arbetet befinner sig i ett inledande skede,

2.i syfte att i underrättelseverksamhet bearbeta och analysera personuppgifter som har gjorts gemensamt tillgängliga enligt vissa bestämmelser och som enbart dessa tjänstemän har till- gång till,

3.i syfte att utreda brott för vilket det är föreskrivet fängelse i fyra år eller däröver, eller

4.i syfte att samordna utredningar om brott som kan vara systematiska och för vilka det är föreskrivet fängelse i två år eller däröver.

Det ska också göras undantag för sökning som en tjänsteman vid någon av Polismyndighetens ledningscentraler utför på be- gäran av en polisman som verkställer ett ingripande eller vidtar en åtgärd som rör en enskild.

Skälen för utredningens förslag

Begränsning endast i automatiserade behandlingssystem

Från integritetssynpunkt är en av de viktigaste aspekterna med be- handling av personuppgifter i vilken utsträckning uppgifter kan sökas och sammanställas. Ett av syftena med polisdatalagen är att polisen på ett bättre sätt ska kunna dra nytta av redan insamlad information. Lagen ger utrymme för att samla in och behandla en mängd olika personuppgifter, vilket gör att det kan finnas uppgifter om samma person i olika system och uppgiftssamlingar. De möj- ligheter till behandling som lagen ger och mängden information skulle – om det inte fanns några begränsningar – skapa utrymme för kvalificerade kartläggningar av enskildas personliga förhållan- den, vilket kan utgöra ett intrång i den personliga integriteten (se prop. 2009/10:85 s. 153). För att värna den personliga integriteten har det därför i polisdatalagen införts särskilda begränsningar vid sökning i gemensamt tillgängliga uppgifter.

Eftersom sökning med hjälp av personnummer är ett viktigt in- slag i polisens verksamhet och sådana identitetsbeteckningar är av

437

Polisdatalagen

SOU 2017:74

stor betydelse för att säkerställa identiteten och undvika person- förväxlingar, ansågs det nödvändigt att medge sådan sökning i gemensamt tillgängliga uppgifter. I 3 kap. 6 § polisdatalagen regle- ras därför vilka uppgifter som får tas fram vid sökning på namn, personnummer, samordningsnummer eller andra liknande identi- tetsuppgifter. I 3 kap. 7 § görs vissa undantag från bestämmelserna i 3 kap. 6 §. I förarbetena diskuteras ingående vilka sökningar som bör vara tillåtna och vilka begränsningar som bör gälla (se prop. 2009/10:85 s. 159 f.). Syftet med begränsningsregeln är att det vid en initial allmän sökning bara ska vara möjligt att få fram vissa typer av uppgifter som ansetts vara polisiärt intressanta. Om det finns förutsättningar för att gå vidare och söka efter andra upp- gifter beror på syftet med sökningen i det enskilda fallet och vilken behörighet den som söker informationen har tilldelats. Bestämmel- sen ska alltså inte förstås så att den hindrar vidare sökning för den som har behov av det för att fullgöra sina arbetsuppgifter och som har tilldelats den behörighet som fortsatt sökning kräver.

Begränsningen gäller bara för uppgifter som behandlas med stöd av polisdatalagen. Den hindrar inte att det vid sökning även tas fram andra uppgifter som polisen har tillgång till, exempelvis genom direktåtkomst till folkbokföringen eller körkorts-, fordons- eller fastighetsregister. Vilken sökning som är tillåten i andra register regleras i de författningar som gäller för dem.

Regleringen är inte heller tänkt att träffa alla uppgifter som görs gemensamt tillgängliga. Det är varken tekniskt eller praktiskt möj- ligt att vid en allmän sökning inom rimlig tid ge tillgång till så stora mängder information. Genom att det numera är möjligt att göra fritextsökning i stora mängder information skulle det ställas orim- liga krav på att information i vanliga textdokument skulle katego- riseras och göras sökbara respektive icke sökbara beroende på vad uppgiften gäller enbart för att uppfylla kraven på att begränsa resultatet vid sökning. För att tydliggöra att bestämmelsen inte är avsedd att träffa sådana sökningar bör det framgå att den enbart gäller i automatiserade behandlingssystem. Genom ett sådant för- tydligande kan vissa missförstånd om hur bestämmelsen är tänkt att tillämpas undanröjas.

438

SOU 2017:74

Polisdatalagen

Bör ytterligare uppgifter få tas fram vid sökning?

Övergångsbestämmelserna till polisdatalagen innebär att bestäm- melserna i 3 kap. 6 och 7 §§ ännu inte har börjat tillämpas. Det sak- nas därför erfarenheter av hur begränsningarna kommer att fungera i praktiken. Det kan också noteras att regeringen enligt 3 kap. 7 § fjärde stycket har möjlighet att göra ytterligare undantag från bestämmelserna i 3 kap. 6 §.

Mot bakgrund av de noggranna överväganden som gjordes när reglerna infördes finns det nu främst anledning att överväga om lagens delvis ändrade tillämpningsområde bör föranleda någon änd- ring. För Polismyndighetens del omfattar polisens brottsdatalag även behandling av personuppgifter för att upprätthålla allmän ord- ning och säkerhet. De uppgifter som då främst kan vara av intresse är uppgifter om att någon har straffats för eller är misstänkt för brott mot allmän ordning. Sådana uppgifter är redan i dag tillgäng- liga vid sökning. Detsamma gäller uppgifter om att någon kan antas komma att möta ett polisingripande med grovt våld. Det som i vissa sammanhang kan vara av intresse är uppgift om att någon har meddelats tillträdesförbud enligt lagen om tillträdesförbud vid idrottsarrangemang. Uppgifter om att någon har meddelats tillträ- desförbud registreras i belastningsregistret och är på det sättet till- gängliga.

I avsnitt 7.5.1 föreslår utredningen att personuppgifter i ärenden om kontaktförbud eller om personskydd ska få göras gemensamt tillgängliga. För att den bestämmelsen ska få avsedd effekt, bör det vid sökning i gemensamt tillgängliga uppgifter få tas fram uppgifter som visar att den sökta personen berörs av ett kontaktförbud eller av åtgärder i ett personskyddsärende. Genom användningen av ordet berörs täcks även närstående. Det kan vara svårt att avgöra vilka uppgifter om en sådan person som bör göras sökbara, efter- som personen i fråga kan ha skyddade adressuppgifter eller annat skydd. Som regel torde det räcka att uppgifter om att personen har särskilt skyddsbehov görs sökbara.

I övrigt finns det inte anledning att utöka de nu gällande möj- ligheterna att få fram uppgifter vid en allmän sökning.

439

Polisdatalagen

SOU 2017:74

Behövs det fler eller andra undantag från begränsningsregeln?

Det som däremot bör övervägas är om det kan finnas skäl att göra någon ändring i undantagen från bestämmelserna i 3 kap. 6 § polis- datalagen om vad som får tas fram vid sökning. Enligt uppgift har undantaget i 3 kap. 7 § första stycket punkten 2 ibland tolkats på det sättet att man kan kringgå begränsningarna i 3 kap. 6 § genom att skapa en särskild uppgiftssamling, eftersom det gäller ett gene- rellt undantag för personuppgifter som behandlas i sådana upp- giftssamlingar. Att bestämmelsen kan missbrukas är givetvis olyck- ligt och den bör mot den bakgrunden ändras.

Ändringen kan lämpligen göras på det sättet att undantaget knyts till att uppgifter behandlas i underrättelseverksamhet i syfte att bearbeta och analysera information som dels har gjorts gemen- samt tillgänglig enligt 3 kap. 2 § första stycket 1 eller 2, dels endast särskilt angivna tjänstemän har tillgång till. I den regleringen täcks både 3 kap. 7 § första stycket punkten 2 och andra stycket punk- ten 1. Dessa båda punkter ersätts således av den nya, mer generellt utformade, punkten. Den ger ökade möjligheter till sökning, men begränsar samtidigt sökmöjligheterna på det sättet att endast sär- skilt angivna tjänstemän får utföra sådana sökningar. Utredningen anser att det är en rimlig avvägning mellan brottsbekämpningens behov och skyddet för personlig integritet.

Mot bakgrund av ökande problem med organiserad brottslighet i form av bl.a. kringresande ligor och annan seriebrottslighet kan det också finnas skäl att göra undantag vid sökning som utförs som ett led i att utreda brott som kan vara systematiska och för vilka det är föreskrivet fängelse i två år eller däröver, om sökningen görs av särskilt utpekade tjänstemän som sysslar med brottssamordning.

Den polispersonal som arbetar i yttre tjänst har ofta behov av att kunna få hjälp av personal vid Polismyndighetens ledningscen- traler med sökning i syfte att klarlägga t.ex. en gripen eller om- händertagen persons identitet. Det kan också finnas behov av att söka fram uppgifter om minderårigas adress och vårdnadshavare eller att söka efter anhöriga till någon som har skadats i samband med ett brott. Vid sökningar av det slaget kan det vara nödvändigt att ta fram andra typer av information, samtidigt som den ingri- pande polismannen inte alltid har tillgång till nödvändiga sök- möjligheter i sin utrustning. Det bör därför även göras undantag

440

SOU 2017:74

Polisdatalagen

från begränsningsregeln för sökning som görs i Polismyndighetens ledningscentraler på begäran av en polisman i yttre tjänst.

I 6 § polisdataförordningen görs undantag från 3 kap. 6 § första stycket polisdatalagen för sökning som görs av särskilt angivna tjänstemän för att utföra beredningsuppgifter inom underrättelse- verksamhet. Syftet med bestämmelsen är att möjliggöra att fler uppgifter kan tas fram i det inledande skedet av underrättelsear- bete. Bestämmelsen bör i likhet med övriga undantag från begräns- ningsregeln finnas i lag. Det bör också tydliggöras att undantaget endast avser sökning i ett inledande skede.

7.6Längsta tid för behandling

Utredningens förslag: Personuppgifter som kan antas ha sam- band med viss brottslig verksamhet ska, om de behandlas i ett ärende, inte få behandlas längre än ett år efter det att ärendet av- slutades.

Skälen för utredningens förslag: I 3 kap. 14 § andra stycket polis- datalagen regleras hur länge personuppgifter som behandlas i viss underrättelseverksamhet får behandlas.

I underrättelseverksamhet behandlas personuppgifter som huvudregel inte i ärenden och regleringen av när behandlingen ska upphöra utgår därför från när den senaste registreringen avseende personen gjordes. I t.ex. samarbetet mot grov organiserad brotts- lighet görs vissa personuppgifter gemensamt tillgängliga i under- rättelseverksamheten för att andra myndigheter ska kunna ta del av dem, trots att de endast behandlas av ett fåtal personer vid Polis- myndigheten. Sådan information behandlas då i särskilda ärenden. Detsamma kan vara fallet i anslutning till en särskild händelse eller om myndigheterna får i uppdrag att samarbeta på visst sätt inom underrättelseverksamheten. När personuppgifter behandlas i ären- den i underrättelseverksamhet bör uppgifterna, på samma sätt som vid behandling av personuppgifter i andra ärenden, inte få behand- las längre än ett år efter det att ärendet avslutades. Hur bestäm- melsen bör formuleras behandlas i avsnitt 5.5.2 och 7.5.1.

441

Polisdatalagen

SOU 2017:74

7.7Personuppgiftsbehandling i särskilda register

7.7.1Dna-register

Utredningens förslag: I polisens brottsdatalag ska det anges för vilka syften Polismyndigheten får föra dna-register.

Skälen för utredningens förslag: Enligt 4 kap. 1 § första stycket polisdatalagen får Polismyndigheten i den brottsbekämpande verk- samheten föra register över dna-profiler. Av 1 kap. 7 § framgår att 2 kap. gäller vid behandling av personuppgifter i register enligt 4 kap. Det innebär att dna-registren får föras för de ändamål som anges i 2 kap. 7 § (se prop. 2009/10:85 s. 351). Registren får även föras för att underlätta identifiering av avlidna personer.

På samma sätt som när det gäller bestämmelserna om tillämp- ningsområde och tillåtna rättsliga grunder för behandling bör regle- ringen av dna-registren inte längre utgå från i vilken verksamhet personuppgiftsbehandlingen utförs, utan från syftet med behand- lingen. Utredningen anser att det blir tydligare att räkna upp för vilka syften registren får föras i stället för att det ska läsas ut genom en hänvisning till bestämmelser i ett annat kapitel. Dna-registren bör på samma sätt som i dag få föras i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, full- göra förpliktelser som följer av internationella åtaganden och underlätta identifiering av avlidna personer.

Hur 4 kap. 7 § polisdatalagen som reglerar gallring i dna-regist- ren bör formuleras behandlas i avsnitt 5.5.2.

7.7.2Fingeravtrycks- och signalementsregister

Utredningens förslag: I polisens brottsdatalag ska det anges för vilka syften Polismyndigheten får föra fingeravtrycks- och sig- nalementsregister.

Skälen för utredningens förslag: Enligt 4 kap. 11 § polisdatalagen får Polismyndigheten föra fingeravtrycks- och signalementsregis- ter. Av 1 kap. 7 § framgår att 2 kap. gäller vid behandling av per- sonuppgifter i register enligt 4 kap. Det innebär att fingeravtrycks-

442

SOU 2017:74 Polisdatalagen

och signalementsregister får föras för de ändamål som anges i 2 kap. 7 § (se prop. 2009/10:85 s. 355). Registren får även föras för att underlätta identifiering av okända personer.

På samma sätt som när det gäller dna-registren bör det tydliggö- ras för vilka syften fingeravtrycks- och signalementsregister får föras i stället för att det ska läsas ut genom en hänvisning till be- stämmelser i ett annat kapitel. Fingeravtrycks- och signalements- register bör på samma sätt som i dag få föras i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, fullgöra förpliktelser som följer av internationella åtaganden och underlätta identifiering av okända personer.

Registren bör även i likhet med i dag få föras för att kontrollera fingeravtryck som Migrationsverket tagit enligt 9 kap. 8 § utlän- ningslagen, vilket motsvarar regleringen i 2 kap. 8 § första stycket 6 polisdatalagen.

I avsnitt 5.5.2 behandlar utredningen frågan om hur 4 kap. 14 och 15 §§ som reglerar gallring i fingeravtrycks- och signalements- register bör formuleras.

7.8Personuppgiftsbehandling för forensiska ändamål

7.8.1Vad är forensiska ändamål?

Personuppgiftsbehandling vid Polismyndigheten för forensiska ändamål regleras i 5 kap. polisdatalagen. Forensik är ett samman- fattande begrepp för utveckling och tillämpning av metoder från olika vetenskapliga ämnesområden – t.ex. biologi, kemi eller tekno- logi – på frågeställningar om framför allt olika typer av fysiska spår som undersöks i anledning av misstanke om brott. Särskilda krav ställs på oberoende och vetenskaplig grund. Det är alltså bara de åtgärder som vilar på denna forensiska grund som kan sägas vara forensiska åtgärder. I kravet på oberoende ligger också att forensi- ska undersökningar, analyser och jämförelser hanteras helt separat från annat utredningsarbete under en förundersökning. Vad som görs och hur det dokumenteras är enbart beroende av vilket behov som finns i det enskilda ärendet av att forensiskt undersöka och analysera visst material. För frågan om ett visst föremål eller mate- rial hanteras för forensiska ändamål eller inte saknar det betydelse

443

Polisdatalagen

SOU 2017:74

om det har tagits i beslag. Att en undersökning äger rum inom ramen för en förundersökning är inte heller avgörande för frågan om bevismaterial hanteras för forensiska ändamål eller inte. Gräns- dragningen mellan forensiska ändamål och brottsbekämpande ändamål diskuteras utförligt i förarbetena till 5 kap. (se Den nya polisorganisationen – några frågor om personuppgiftsbehandling m.m., prop. 2014/15:94, s. 56 f.).

Behandling för forensiska ändamål vid Polismyndigheten utförs huvudsakligen av Nationellt forensiskt centrum, men även andra enheter inom myndigheten utför viss sådan behandling. I delbe- tänkandet bedömer utredningen att den behandling för forensiska ändamål som Nationellt forensiskt centrum utför åt den egna myn- digheten och åt andra behöriga myndigheter omfattas av brotts- datalagens tillämpningsområde (se SOU 2017:29 s. 189 f.). Det gäller även motsvarande behandling för forensiska ändamål av per- sonuppgifter vid en annan enhet inom Polismyndigheten.

I förarbetena till 5 kap. anges att syftet med regleringen är att skapa en sammanhållen reglering av den forensiska processen inom Polismyndigheten (se prop. 2014/15:94 s. 56). De särskilda reg- lerna för personuppgiftsbehandling för forensiska ändamål är så- ledes inte tillämpliga i Ekobrottsmyndighetens och Säkerhetspoli- sens verksamhet.

7.8.2Regleringen av forensiska ändamål behålls

Utredningens bedömning: Bestämmelserna om för vilka ända- mål personuppgifter får behandlas i den forensiska verksamhe- ten bör behållas.

Skälen för utredningens bedömning: I 5 kap. 1–3 §§ polisdata- lagen anges för vilka ändamål personuppgifter får behandlas i den forensiska verksamheten vid Polismyndigheten. Ändamålen delas upp i primära och sekundära på samma sätt som i 2 kap. 7 och 8 §§ polisdatalagen. De primära ändamålen anger den behandling som utförs för forensiska ändamål vid Polismyndigheten, medan de sekundära ändamålen anger när uppgifter som behandlas för foren- siska ändamål får användas i andra delar av myndighetens verksam-

444

SOU 2017:74

Polisdatalagen

het eller lämnas ut till andra myndigheter eller organisationer för deras behov.

I avsnitt 6.1.3 konstaterar utredningen att vad som i dataskydds- rättslig mening är tillåtna rättsliga grunder för behandling och vad som är renodlade ändamålsbestämmelser ibland har blandats sam- man. En ändamålsbestämmelse bör enligt utredningens mening ge ledning för prövningen av vilka personuppgifter som är adekvata och relevanta för behandlingen. Utredningen anser att 2 kap. 7 § polisdatalagen inte är en ändamålsbestämmelse i egentlig mening utan att den är en del av den rättsliga grunden och anger ramen för när personuppgifter får behandlas. Bestämmelserna i 5 kap. 1 och 2 §§ polisdatalagen om för vilka ändamål personuppgifter får be- handlas i den forensiska verksamheten är betydligt mer konkreta och ger tydlig ledning för vilka personuppgifter som är adekvata och relevanta för behandlingen. De är således enligt utredningens mening ändamålsbestämmelser. De behöver inte anpassas till reg- leringen i brottsdatalagen utan bör behållas oförändrade.

7.8.3Behandling för nya ändamål

Utredningens förslag: Det ska framgå genom en hänvisning att personuppgifter som behandlas för forensiska ändamål ska få behandlas för nya ändamål enligt de förutsättningar som anges i brottsdatalagen. Enbart personuppgifter som behandlas för vissa forensiska ändamål ska få behandlas för nya ändamål utanför den forensiska verksamheten.

Skälen för utredningens förslag

Kan den nuvarande regleringen av utlämnande behållas?

Den sekundära ändamålsbestämmelsen i 5 kap. 3 § polisdatalagen reglerar som nyss nämnts i vilken utsträckning personuppgifter som behandlas för något primärt forensiskt ändamål även får be- handlas för att lämnas ut till andra för att tillgodose deras behov. Den reglerar alltså behandling för nya ändamål. Enligt paragrafen får personuppgifter som behandlas för vissa av de primära ända- målen även behandlas när det är nödvändigt för att tillhandahålla

445

Polisdatalagen

SOU 2017:74

information som behövs i annan brottsbekämpande verksamhet hos Polismyndigheten eller i brottsbekämpande verksamhet hos Säkerhetspolisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Tullverket, Kustbevakningen eller Skatteverket. I ett enskilt fall får personuppgifter som behandlas för forensiska ändamål även be- handlas för att tillhandahålla information för något annat ändamål, under förutsättning att ändamålet inte är oförenligt med det ända- mål som uppgifterna samlades in för.

Innan personuppgifter behandlas för ett nytt ändamål inom brottsdatalagens tillämpningsområde ska det enligt 2 kap. 4 § brottsdatalagen säkerställas dels att det finns en tillåten rättslig grund för behandlingen, dels att behandlingen är nödvändig och proportionerlig för det nya ändamålet. Det innebär att en prövning alltid måste göras innan personuppgifter behandlas för nya ända- mål, oavsett om det är för forensiska ändamål eller för andra ända- mål inom brottsdatalagens tillämpningsområde. Om den sekundära ändamålsbestämmelsen skulle behållas, där utlämnande av person- uppgifter i de flesta fall är tillåtet utan någon annan prövning än om det är nödvändigt att tillhandahålla informationen, skulle prövning- en enligt brottsdatalagen sättas ur spel. En sådan prövning krävs enligt artikel 4.2 i direktivet. Det är således inte förenligt med direktivet att behålla den sekundära ändamålsbestämmelsen med den utformning den har i dag.

Bör möjligheterna att lämna ut personuppgifter begränsas på annat sätt?

I dag är det som huvudregel bara personuppgifter som behandlas för vissa forensiska ändamål som får behandlas utanför den foren- siska verksamheten för att tillhandahållas de brottsbekämpande myndigheterna. Personuppgifter som behandlas när Nationellt forensiskt centrum begär eller utför forensiska åtgärder åt Rätts- medicinalverket, utländska laboratorier, utländska brottsbekäm- pande myndigheter, mellanfolkliga organisationer eller EU-organ med brottsbekämpande uppgifter, när centrumet begär åtgärder av ett annat expertorgan eller när uppgifter behandlas för forskning och statistik får som huvudregel inte behandlas utanför den foren- siska verksamheten. Skälet till det är enligt förarbetena att det då inte finns skäl att redovisa resultaten för någon annan än uppdrags-

446

SOU 2017:74

Polisdatalagen

givaren (se prop. 2014/15:94 s. 67). Samma begränsningar bör gälla även i fortsättningen. Med hänsyn till kraven på nödvändighet och proportionalitet innan personuppgifter behandlas för nya ändamål finns det dock inte längre skäl att räkna upp till vilka myndigheter uppgifterna får lämnas ut.

I ett enskilt fall får också personuppgifter som behandlas för något forensiskt ändamål behandlas för andra ändamål, om det inte är oförenligt med insamlingsändamålet. Det kan avse ändamål både inom och utanför brottsdatalagens tillämpningsområde. Som anges i delbetänkandet bedömer utredningen att finalitetsprincipen inte ska tillämpas vare sig vid behandling inom tillämpningsområdet eller utanför det (se SOU 2017:29 s. 247 f. och 292 f.) Bestämmel- sen kan därför inte behållas.

Utredningen föreslår i avsnitt 6.4.3 att en prövning av att be- handlingen är nödvändig och proportionerlig ska göras även när de brottsbekämpande myndigheterna behandlar personuppgifter för nya ändamål utanför brottsdatalagens tillämpningsområde. En så- dan prövning utgör enligt utredningens mening en lämplig avväg- ning mellan mottagarens behov av personuppgifterna och skyddet för enskildas personliga integritet även när det gäller personuppgif- ter som behandlas för forensiska ändamål. Den föreslagna bestäm- melsen i brottsdatalagen bör därför gälla även vid behandling för forensiska ändamål.

7.8.4Behandling av känsliga personuppgifter

Utredningens förslag: Biometriska uppgifter och genetiska uppgifter ska få behandlas för forensiska ändamål enligt de för- utsättningar som anges i brottsdatalagen.

Sökförbudet i brottsdatalagen ska inte hindra sökningar i register som regleras särskilt i 5 kap. polisens brottsdatalag i syfte att få fram ett personurval grundat på uppgifter som rör hälsa eller biometriska eller genetiska uppgifter.

447

Polisdatalagen

SOU 2017:74

Skälen för utredningens förslag

Behandling av biometriska och genetiska uppgifter

I avsnitt 7.3.2 beskrivs vad som avses med biometriska och gene- tiska uppgifter. Enligt 2 kap. 12 och 13 §§ brottsdatalagen utgör biometriska uppgifter som används för att identifiera en person och genetiska uppgifter känsliga personuppgifter. Sådana uppgifter får endast behandlas om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen. Behandling av sådana uppgifter är en viktig del i den forensiska verksamheten, inte minst vid dna-analyser och behandling av personuppgifter i dna-registren och fingeravtrycks- och signalementsregistret. Den tekniska ut- vecklingen ger också nya möjligheter att använda framför allt bio- metri. Det kommer därför sannolikt att finnas ett ökande behov av att kunna behandla biometriska uppgifter för forensiska ändamål. Det bör därför föreskrivas att biometriska och genetiska uppgifter får behandlas för sådana ändamål.

Med hänsyn till att sådana uppgifter enligt brottsdatalagen endast får behandlas om det är absolut nödvändigt för ändamålet med behandlingen bedömer utredningen att det för närvarande inte finns skäl att begränsa möjligheterna att behandla biometriska och genetiska uppgifter ytterligare.

Undantag från sökförbudet i brottsdatalagen

Sökförbudet i 2 kap. 14 § brottsdatalagen utgår till skillnad från dagens reglering från syftet med sökningen. Om syftet inte är att få fram ett personurval grundat på känsliga personuppgifter är sök- ningen tillåten, även om känsliga personuppgifter används vid sök- ningen.

Det är Nationellt forensiskt centrum vid Polismyndigheten som administrerar dna-registren och fingeravtrycks- och signalements- register. Vid sökning i registren används dna-profiler respektive fingeravtryck, vilket är biometriska uppgifter (se SOU 2017:29 s. 265 f.). Sökning på fingeravtryck resulterar alltid i en träfflista, vilket då blir ett personurval grundat på biometriska uppgifter. Det bör därför vara tillåtet att göra sökningar i syfte att få fram ett

448

SOU 2017:74 Polisdatalagen

personurval grundat på biometriska uppgifter i den forensiska verksamheten.

Information i forensiska databaser kan användas för att ge övriga delar av Polismyndigheten spaningsuppslag, s.k. forensiska uppslag. Tanken med det är att de iakttagelser som görs vid foren- siska undersökningar i olika ärenden ska kunna komma till nytta i polisverksamheten som helhet eller i annan brottsbekämpande verksamhet (se prop. 2014/15:94 s. 62 f.). Det går exempelvis att genomföra s.k. familjesökning, vilket innebär att man jämför dna- profiler för att finna släktingar till en viss person, exempelvis en oidentifierad misstänkt. Familjesökning baserar sig på att nära släk- tingar till viss del har överensstämmande arvsmassa och sökningar görs då mellan en dna-profil och registrerade dna-profiler med en längre grad av matchning mellan profilernas str-markörer. Sådana sökningar kan resultera i ett personurval grundat på biometriska uppgifter. Det finns därför skäl att göra undantag från sökförbudet när det gäller behandling av biometriska uppgifter i den forensiska verksamheten.

Möjligheterna att ta fram information ur dna-prover utvecklas hela tiden. Det går redan i dag att få fram olika personliga egen- skaper som ögonfärg, ärftliga sjukdomar eller en persons biogene- tiska ursprung. Det bör vara tillåtet att göra sökningar i syfte att få fram ett personurval grundat på genetiska uppgifter eller uppgifter som rör hälsa i den forensiska verksamheten.

449

8 Tullbrottsdatalagen

8.1Tullbrottsdatalagen behöver anpassas

8.1.1Nuvarande reglering

Tullbrottsdatalagen gäller enligt 1 kap. 2 § vid behandling av per- sonuppgifter i Tullverkets brottsbekämpande verksamhet. Lagen trädde i kraft den 1 juli 2017. Vissa bestämmelser behöver dock inte tillämpas före den 1 januari 2019.

Vid myndighetens personuppgiftsbehandling i annan operativ verksamhet gäller lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet.

Som anges i avsnitt 4.2 måste registerförfattningarna ändras i vissa avseenden med anledning av dataskyddsdirektivet och anpas- sas till brottsdatalagen. Många bestämmelser behöver överhuvud- taget inte anpassas eller endast ändras redaktionellt. Utredningen behandlar de anpassningar och ändringar som är gemensamma för registerförfattningarna i kapitel 5 och 6. De ytterligare anpass- ningar som krävs i tullbrottsdatalagen behandlas i detta kapitel.

8.1.2Tullbrottsdatalagen ges ett nytt namn

Utredningens förslag: Tullbrottsdatalagen med tillhörande för- ordning ska benämnas Tullverkets brottsdatalag och Tullverkets brottsdataförordning.

Skälen för utredningens förslag: Av de skäl som anges i av- snitt 7.1.2 finns det skäl att byta namn på registerförfattningarna inom brottsdatalagens tillämpningsområde. Trots att tullbrotts- datalagen nyligen fått sitt namn bör lagen därför enligt utredning-

451

Tullbrottsdatalagen

SOU 2017:74

ens mening ges ett nytt namn. Namnet bör knyta an till hur brotts- datalagen benämns. Det bör vara kort och tydligt ange för vem författningen gäller och vad den handlar om. Utredningen föreslår därför att lagen ska benämnas Tullverkets brottsdatalag. Tullbrotts- dataförordningen bör i konsekvens med det benämnas Tullverkets brottsdataförordning. Som en konsekvens av att lagens namn ändras måste alla hänvisningar till den ändras.

8.2Tillämpningsområdet

Utredningens förslag: Lagen ska gälla utöver brottsdatalagen när Tullverket i egenskap av behörig myndighet behandlar per- sonuppgifter i syfte att bekämpa eller lagföra brott.

Skälen för utredningens förslag: I avsnitt 4.4.1 tar utredningen ställning till att registerförfattningarna även i fortsättningen ska innehålla bestämmelser om tillämpningsområdet. Vidare föreslår utredningen i avsnitt 5.2 att registerförfattningarna ska gälla utöver brottsdatalagen.

Enligt 1 kap. 2 § tullbrottsdatalagen gäller lagen i Tullverkets brottsbekämpande verksamhet. Tillämpningsområdet måste dock anpassas till brottsdatalagens tillämpningsområde så att det utgår från syftet med behandlingen i stället för i vilken verksamhet be- handlingen utförs. Det bör också framgå att lagen endast gäller när Tullverket agerar i egenskap av behörig myndighet, eftersom det är en viktig avgränsning för tillämpningsområdet (se SOU 2017:29 s. 159 f.).

Som framgår av avsnitt 5.4.6 anses lagföring av brott i dag ingå i begreppet brottsbekämpning, medan det i brottsdatalagen görs skillnad mellan brottsbekämpning och lagföring. Det bör därför klargöras att tillämpningsområdet omfattar personuppgiftsbehand- ling i syfte att bekämpa och lagföra brott.

I avsnitt 4.4.2 diskuterar utredningen vad det ändrade tillämp- ningsområdet innebär.

452

SOU 2017:74

Tullbrottsdatalagen

8.3Grundläggande bestämmelser om behandling

8.3.1Tillåtna rättsliga grunder och behandling för nya ändamål

Utredningens förslag: Tullverket ska få behandla personupp- gifter om det är nödvändigt för att utföra en arbetsuppgift i syfte att

1.förebygga, förhindra eller upptäcka brottslig verksamhet,

2.utreda eller lagföra brott, eller

3.fullgöra förpliktelser som följer av internationella åtaganden.

Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket rege- ringen uppdragit åt myndigheten att ansvara för en sådan upp- gift.

Det ska framgå genom en hänvisning att personuppgifter som behandlas med stöd av lagen ska få behandlas för nya ända- mål enligt de förutsättningar som anges i brottsdatalagen.

Skälen för utredningens förslag

En bestämmelse som ersätter brottsdatalagens bestämmelse om tillåtna rättsliga grunder för behandling

Som anges i avsnitt 6.3.1 bör registerförfattningarna innehålla be- stämmelser om tillåtna rättsliga grunder för behandling av person- uppgifter. Regleringen i 2 kap. 5 § tullbrottsdatalagen bör således behållas, men det ska framgå att det inte är en ändamålsbestäm- melse i egentlig mening. Bestämmelsen är på samma sätt som 2 kap. 1 § brottsdatalagen en del av den rättsliga grunden och ger Tullver- ket rättsligt stöd för att behandla personuppgifter automatiserat för att utföra sina arbetsuppgifter (se avsnitt 6.1.2).

Tullverket får i dag behandla personuppgifter om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra de förpliktelser som följer av inter- nationella åtaganden. Tullverket bör givetvis även i fortsättningen få behandla personuppgifter om det är nödvändigt för att fullgöra

453

Tullbrottsdatalagen

SOU 2017:74

sådana arbetsuppgifter, men regleringen bör anpassas till brotts- datalagens terminologi.

Tullverkets brottsdatalag föreslås gälla utöver brottsdatalagen. För att det inte ska råda någon osäkerhet om hur bestämmelsen i 2 kap. 1 § brottsdatalagen förhåller sig till bestämmelsen om tillåtna rättsliga grunder i registerförfattningen bör den senare helt ersätta bestämmelsen i brottsdatalagen. Det bör därför på samma sätt som i brottsdatalagen i Tullverkets brottsdatalag föreskrivas att den arbetsuppgift som ska utföras ska framgå av en bindande unions- rättsakt eller en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt Tullverket att ansvara för en sådan uppgift. Vad det innebär utvecklas i delbetänkandet (se SOU 2017:29 s. 238 f.).

Gränsdragningen mot kontrollverksamhet

I delbetänkandet behandlar utredningen frågor om hur gränsen ska dras mellan brottsbekämpning och sådan kontrollverksamhet som ligger utanför brottsdatalagens tillämpningsområde. Som utred- ningen påpekar där kan gränsdragningen vara svår när det gäller Tullverkets verksamhet (se SOU 2017:29 s. 198 f.). Det gäller framför allt Tullverkets underrättelseverksamhet, som i stor ut- sträckning ger underlag till de selektiva kontroller av varor och resande som utgör en viktig bas i myndighetens brottsbekämpning, särskilt när det gäller organiserad brottslighet. Den kunskap som upparbetas i underrättelseverksamheten om bl.a. resrutter, metoder för att dölja otillåtna varor och typiska kännetecken för någon som kan vara smugglare läggs sedan till grund för att bedöma vilka kate- gorier av personer som bör underkastas kontroll. Underrättelse- verksamheten hämtar bl.a. information från andra delar av myndig- hetens verksamhet, t.ex. upplysningar om iakttagelser som har gjorts vid kontroller och i samband med att personer har ertappats för smugglingsbrott. Det krävs därför ett nära samarbete mellan dem som bedriver underrättelseverksamhet inom Tullverket och dem som utför fysiska tullkontroller i syfte att bekämpa brott. En förutsättning för att Tullverkets brottsbekämpning ska vara fram- gångsrik är att personuppgifter kan utbytas mellan underrättelse- verksamheten och dem som utför kontroller i syfte att bekämpa

454

SOU 2017:74

Tullbrottsdatalagen

brott. De tillåtna rättsliga grunderna ger samma förutsättningar som i dag för sådant informationsutbyte.

Behandling för nya ändamål

I dag regleras behandling för nya ändamål till viss del i den sekun- dära ändamålsbestämmelsen i 2 kap. 6 § tullbrottsdatalagen. Utred- ningen anser som framgår av avsnitt 6.3.2 och 6.4.2 att de sekun- dära ändamålsbestämmelserna bör upphävas. Förutsättningarna för behandling för nya ändamål bör i stället regleras i brottsdatalagen. Innan personuppgifter får behandlas för nya ändamål inom brotts- datalagens tillämpningsområde ska det enligt 2 kap. 4 § brottsdata- lagen säkerställas att behandlingen är nödvändig och proportioner- lig för det nya ändamålet. Utredningen föreslår att samma prövning ska göras när de brottsbekämpande myndigheterna behandlar per- sonuppgifter för nya ändamål utanför tillämpningsområdet. Det bör införas en bestämmelse i Tullverkets brottsdatalag som tydlig- gör att förutsättningarna för att behandla personuppgifter, som be- handlas med stöd av den lagen, för nya ändamål regleras i brotts- datalagen.

8.3.2Behandling av biometriska och genetiska uppgifter

Utredningens förslag: Tullverket ska få behandla biometriska uppgifter enligt de förutsättningar som anges i brottsdatalagen.

Utredningens bedömning: Tullverket bör inte få behandla genetiska uppgifter.

Skälen för utredningens förslag och bedömning: I avsnitt 7.3.2 anges vad som avses med biometriska och genetiska uppgifter och vilken betydelse sådana uppgifter har i brottsbekämpningen. Tull- verket bör på samma sätt som polisen ha möjlighet att använda biometriska uppgifter i brottsbekämpningen. Enligt 2 kap. 12 § brottsdatalagen får biometriska uppgifter som används för att iden- tifiera en person behandlas bara om det är absolut nödvändigt för ändamålet med behandlingen. Utredningen bedömer att det för

455

Tullbrottsdatalagen

SOU 2017:74

närvarande inte finns skäl att begränsa möjligheterna att använda biometriska uppgifter ytterligare. Det bör därför införas en be- stämmelse i Tullverkets brottsdatalag som medger behandling av biometriska uppgifter enligt de förutsättningar som anges i brotts- datalagen.

Det har inte framkommit att Tullverket har behov av att be- handla genetiska uppgifter. Utredningen anser därför att myndig- heten inte bör få behandla sådana uppgifter. Någon bestämmelse som medger sådan behandling bör därför inte finnas i Tullverkets brottsdatalag.

8.3.3Sökning på känsliga personuppgifter

Utredningens förslag: Sökförbudet i brottsdatalagen ska inte hindra att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott eller uppgifter som beskriver en persons utseende används vid sökning.

Det ska inte heller hindra sökning i syfte att få fram ett per- sonurval grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexual- liv eller sexuell läggning, om sökningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga.

Skälen för utredningens förslag

Undantag från sökförbudet i brottsdatalagen vid sökning i alla slags personuppgifter

I avsnitt 5.3.8 föreslår utredningen att förbudet i 3 kap. 5 § tull- brottsdatalagen att använda känsliga personuppgifter som sökbe- grepp ska upphävas, eftersom det i 2 kap. 14 § brottsdatalagen finns ett generellt förbud. Det förbudet utgår till skillnad från dagens reglering från syftet med sökningen. Om syftet inte är att få fram ett personurval grundat på känsliga personuppgifter är sökningen tillåten, även om känsliga personuppgifter används vid sökningen (se SOU 2017:29 s. 272 f.).

Eftersom sökförbudet har en ny utformning är det nödvändigt att se över bestämmelserna om sökning. Enligt 3 kap. 5 § andra

456

SOU 2017:74

Tullbrottsdatalagen

stycket tullbrottsdatalagen är det tillåtet att använda uppgifter som beskriver en persons utseende som sökbegrepp vid sökning i upp- gifter som har gjorts gemensamt tillgängliga. På samma sätt som Polismyndigheten har Tullverket även i fortsättningen behov av att kunna använda sådana uppgifter som sökbegrepp, även om syftet är att få fram ett personurval grundat på känsliga personuppgifter (se avsnitt 7.3.3). Det bör därför enligt utredningens mening göras undantag från brottsdatalagens sökförbud i Tullverkets brottsdata- lag. För att möjligheterna till sökning ska vara samma som i dag bör undantaget omfatta sökning i alla slags personuppgifter, dvs. oberoende av om uppgifterna har gjorts gemensamt tillgängliga eller inte.

Tullverket har i likhet med Polismyndigheten behov av att kunna göra sökningar på tillvägagångssätt vid brott och brottsrub- riceringar. Sådana sökningar kan i vissa fall leda till ett personurval grundat på känsliga personuppgifter. Som exempel kan nämnas att smugglingsmetoder eller föremål som smugglas kan avslöja religiös övertygelse eller politiska åsikter. Ett annat exempel är att Tullver- ket vid kontroll av förbudet mot införsel och utförsel av barnpor- nografi kan behöva söka på brottsrubriceringar som kan avslöja en persons sexualliv eller sexuella läggning. Undantaget från sökförbu- det i brottsdatalagen bör därför även omfatta sökning på uppgifter om tillvägagångssätt vid brott och brottsrubriceringar.

I samband med att beslag hävs behöver Tullverket få kännedom om huruvida ägaren verkställer en straffrättslig påföljd och var han eller hon i så fall befinner sig. Om personen verkställer påföljden genom vårdvistelse kan en sådan sökning avslöja uppgifter om hälsa. Behovet av sådan sökning kan enligt utredningens mening tillgodoses på annat sätt än genom ett undantag från sökförbudet. Det kan lämpligen göras genom att Kriminalvården ges skyldighet att på begäran underrätta Tullverket om var en häktad eller intagen är placerad (se avsnitt 13.7.3). Tullverket behöver därför i motsats till Polismyndigheten inget undantag från sökförbudet när det gäller uppgifter om verkställighet av påföljd.

457

Tullbrottsdatalagen

SOU 2017:74

Undantag vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga

Det nuvarande förbudet i tullbrottsdatalagen mot att använda käns- liga personuppgifter som sökbegrepp gäller endast vid sökning i uppgifter som har gjorts gemensamt tillgängliga. Det innebär att känsliga personuppgifter får användas vid sökning i uppgifter som enbart ett fåtal har tillgång till. Den enda begränsningen i dag är att behandling av känsliga personuppgifter ska vara absolut nödvändig.

Utredningens utgångspunkt är att de behöriga myndigheternas möjlighet att använda känsliga personuppgifter vid sökning inte ska försämras. För att effektivt kunna bekämpa brott kan Tullverket ha behov av att kunna göra sammanställningar i syfte att få fram ett personurval grundat på känsliga personuppgifter vid sökningar i uppgifter som inte har gjorts gemensamt tillgängliga. Det finns därför skäl att göra vissa undantag från sökförbudet i brottsdata- lagen när det gäller sökning i uppgifter som inte har gjorts gemen- samt tillgängliga.

Framför allt i underrättelseverksamheten kan Tullverket behöva göra sökningar som innebär att sammanställningar grundade på etniskt ursprung, religiös övertygelse eller politiska åsikter skapas. Det kan t.ex. vara fallet om det är känt att en viss narkotikasort används av en grupp med visst etniskt ursprung eller religiös över- tygelse. Smuggling av drogen kat, som endast odlas utomlands, hör hit. Vid hanteringen av frihetsberövade behöver Tullverket även kunna sammanställa uppgifter om personer som är självmordsbe- nägna eller s.k. sväljare, vilket innebär att uppgifter om hälsa kan avslöjas. Det är vidare sedan länge känt att det finns politiska eller andra ideologiskt motiverade grupperingar i utlandet som finansie- rar sin verksamhet genom organiserad brottslighet, t.ex. smuggling av cigarretter eller narkotika. De kan vara aktiva även i Sverige (se Lägesbild organiserad brottslighet 2011, Tullverket). Organiserad brottslighet av olika slag kräver inte sällan kartläggning av miss- tänktas kontakter och vanor som innebär att olika typer av känsliga personuppgifter kan avslöjas (jfr avsnitt 7.3.3). I kampen mot smuggling av barnpornografiska bilder kan Tullverket även ha be- hov av att söka på uppgifter som kan avslöja en persons sexualliv eller sexuella läggning, t.ex på ordet pedofil eller vissa typer av sex- leksaker. I utredningsverksamheten finns motsvarande behov av att

458

SOU 2017:74

Tullbrottsdatalagen

kunna söka på känsliga personuppgifter vid brott med okänd gär- ningsman.

Tullverket har dock inte behov av att kunna ta fram personurval grundade på alla kategorier av personuppgifter. Det kan aldrig fin- nas behov av att göra sammanställningar grundade på ras, eftersom det inte finns någon vetenskaplig grund för att dela in människor i skilda raser (se SOU 2017:29 s. 267). Det finns inte heller behov av kunna göra sammanställningar grundade på medlemskap i fack- förening eller på genetiska uppgifter. Av avsnitt 14.7.3 framgår att utredningen inte anser att behandling av biometriska uppgifter i ansiktsigenkänningsprogram är att anse som sökning. Det finns därför inte heller något behov av undantag för sökning när det gäl- ler biometriska uppgifter.

Undantaget bör därför utformas så att sökning möjliggörs när det gäller uppgifter som kan avslöja etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse och uppgifter om hälsa, sexualliv eller sexuell läggning. Det innebär att möjligheterna att använda känsliga personuppgifter vid sökning i uppgifter som inte har gjorts gemensamt tillgängliga begränsas i förhållande till vad som gäller i dag. Eftersom Tullverket inte har behov av ett generellt undantag innebär undantaget ingen försämring.

Hur förhåller sig sökmöjligheterna till sekretessbestämmelsen?

I avsnitt 7.3.3 redogörs för hur bestämmelserna om sökning på känsliga personuppgifter förhåller sig till bestämmelser om sekre- tess. Som framgår där kommer utredningens tidigare förslag om att absolut sekretess ska gälla för sökningar som utförs i strid med det generella sökförbudet i 2 kap. 14 § brottdatalagen inte att gälla för sökningar som görs med stöd av de nu föreslagna undantagen. Ut- lämnande av känsliga personuppgifter i en sådan sammanställning får i stället prövas mot andra bestämmelser om sekretess.

459

Tullbrottsdatalagen

SOU 2017:74

8.4Personuppgifter från transportföretag

8.4.1Reglerna om personuppgiftsbehandling samlas

Utredningens förslag: Bestämmelserna om hur personuppgifter som transportföretag tillhandahåller Tullverket enligt bestäm- melser i inregränslagen och tullagen får behandlas ska samlas i Tullverkets brottsdatalag.

Skälen för utredningens förslag

Transportföretagens uppgiftsskyldighet

Enligt 15 § lagen om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen (inregränslagen) och 4 kap. 6 och 7 §§ tullagen är transportföretag skyldiga att på begäran skyndsamt lämna vissa personuppgifter till Tullverket. Det rör sig bl.a. om resenärers namn, medresenärers namn och tran- sportmedel. Av bestämmelserna framgår att Tullverket endast får begära sådana uppgifter om de kan antas ha betydelse för Tullver- kets brottsbekämpande verksamhet.

Personuppgifterna får tillhandahållas genom terminalåtkomst till transportföretagens bokningssystem, där Tullverket endast får läsa uppgifterna men inte bearbeta eller lagra dem. Terminalåt- komst tillåts enligt 16 § inregränslagen och 4 kap. 8 § tullagen bara i den omfattning och under den tid som behövs för att kontrollera aktuella transporter. Uppgifterna kan även lämnas på annat sätt, om transportföretaget anser att det är bättre. De lämnas ofta elek- troniskt, men det förekommer även att de tillhandahålls på papper. Utredningen utgår från att personuppgifterna, oavsett på vilket sätt de tillhandahålls, normalt är strukturerade på ett sådant sätt att tullbrottsdatalagen är tillämplig på behandlingen.

Uppgifter om enskilda personer som lämnats på annat sätt än genom terminalåtkomst ska enligt 16 § inregränslagen och 4 kap. 8 § tullagen omedelbart förstöras, om de visar sig sakna betydelse för utredning av eller lagföring för brott. Syftet med bestämmel- serna är att hindra att uppgifterna sprids, eftersom det till allra största delen är fråga om information om enskilda personer som inte är misstänkta för brott eller har samband med brottslig verk-

460

SOU 2017:74

Tullbrottsdatalagen

samhet. I inregränslagen och tullagen regleras således inte bara transportföretagens uppgiftsskyldighet utan även på vilket sätt och hur länge personuppgifterna får behandlas.

Uppgifter från transportföretag behandlas och analyseras i Tull- verkets underrättelseverksamhet av ett fåtal särskilt utpekade tjäns- temän. Eftersom Tullverkets möjlighet att utföra fysiska kontroller i princip är knuten till gränspassage är intresset av bokningsupp- gifter bara kortvarigt. När en transport har anlänt har myndigheten normalt inte längre något behov av samtliga uppgifter. Bestämmel- serna om Tullverkets tillgång till uppgifter är utformade med särskild hänsyn till det (se prop. 1995/96:166 s. 83 f.).

Bestämmelserna om transportföretagens skyldighet tillkom i samband med Sveriges anslutning till EU, som en kompensatorisk åtgärd för att minska risken för negativa konsekvenser av den fria rörligheten för personer och varor. För att skapa bättre förutsätt- ningar för kontroller vid den inre gränsen i kampen mot narkotika- brottslighet och annan internationell brottslighet gavs Tullverket möjlighet att i den brottsbekämpande verksamheten inhämta vissa uppgifter om varor, passagerare och fordon. Avsikten var att upp- gifterna från transportföretagen skulle användas för att med ökad träffsäkerhet rikta kontroller mot varusändningar och mot perso- ner som skulle kunna misstänkas för brottslighet inom Tullverkets verksamhetsområde (se prop. 1995/96:166 s. 72 f.). Metoden att med hjälp av uppgifter från transportföretag göra profilsökningar och kunna identifiera riskbeteenden redan innan en transport har nått Sverige ansågs dock vara lika viktig vid den yttre som den inre gränsen. Uppgiftsskyldigheten reglerades därför i både inregräns- lagen och tullagen (se prop. 1995/96:166 s. 80 f.).

Regleringen i tullbrottsdatalagen

Enligt 2 kap. 8 § tullbrottsdatalagen får personuppgifter, som har lämnats av transportföretag enligt nyssnämnda bestämmelser i inregränslagen och tullagen, behandlas av Tullverket om det är tillåtet enligt dessa lagar, men enbart i den utsträckning det behövs för planering av kontrollverksamheten och urval av kontrollobjekt. Om det behövs i ett enskilt fall får sådana personuppgifter behand- las även för något annat ändamål enligt 2 kap. 5 § tullbrottsdatala-

461

Tullbrottsdatalagen

SOU 2017:74

gen och göras gemensamt tillgängliga. Enligt 2 kap. 9 § är det endast tillåtet att söka på namn, personnummer eller annan identi- tetsbeteckning om uppgifterna avser en person som är eller har varit misstänkt för brott, är misstänkt för att ha utövat eller komma att utöva viss brottslig verksamhet eller är föremål för övervakning enligt lagen.

Kan den nuvarande regleringen behållas?

EU:s dataskyddsreform innebär att det behövs en tydligare gräns- dragning mellan sådan behandling av personuppgifter som regleras i brottsdatalagen respektive dataskyddsförordningen med kom- pletterande lagstiftning, eftersom antingen det ena eller det andra regelverket gäller (se SOU 2017:29 s. 159 f.). Regleringen i 2 kap. 8 § tullbrottsdatalagen aktualiserar frågor dels om regleringen hör hemma där, dels om regleringen av vilken personuppgiftsbehand- ling som är tillåten bör delas upp på det sätt som görs i dag.

I delbetänkandet framhåller utredningen att kontrollverksamhet normalt ligger utanför brottsdatalagens tillämpningsområde. Ut- gångspunkten är att verksamheten övergår till att vara brottsbe- kämpande först när det i kontrollverksamheten finns anledning att anta att ett visst konkret brott begåtts, eller viss brottslig verksam- het utövas, (se SOU 2017:29 s. 198 f.). Det kan konstateras att de syften som i dag anges i 2 kap. 8 § tullbrottsdatalagen – planering av kontrollverksamheten och urval av kontrollobjekt – åtminstone vid första påseendet inte verkar vara förenliga med brottsdatalagens tillämpningsområde. Samtidigt tillåter regleringen i inregränslagen och tullagen bara att uppgifterna hämtas in i den brottsbekämpande verksamheten.

Tullverkets underrättelseverksamhet går i stor utsträckning ut på att förebygga, förhindra och upptäcka smuggling av framför allt narkotika och andra farliga föremål genom att studera resmönster, betalningssätt, vilka som reser i sällskap och liknande. Det framgår också tydligt av förarbetena att syftet med att ge Tullverket tillgång till personuppgifter i transportföretagens bokningssystem var att förhindra olaglig införsel av varor till Sverige och att därigenom förhindra narkotikabrottslighet och annan allvarlig brottslighet (se prop. 1995/96:166 s. 72 f.). I inregränslagen och tullagen föreskrivs

462

SOU 2017:74

Tullbrottsdatalagen

som nyss nämnts att uppgifter från transportföretag enbart får inhämtas om de kan ha betydelse för Tullverkets brottsbekäm- pande verksamhet. I förarbetena till tullbrottsdatalagen under- stryks att det endast är kontroller som utförs i brottsbekämpande syfte som åsyftas i 2 kap. 8 § (se prop. 2016/17:91 s. 108). Till- gången till uppgifter från transportföretag är av stor betydelse för Tullverkets möjligheter att förebygga och förhindra brottslig verk- samhet och att upptäcka brott i samband med gränspassage. Ut- redningen anser därför att regleringen bör finnas i Tullverkets brottsdatalag, men att den behöver renodlas och anpassas till de nya förutsättningar som gäller för behandling av personuppgifter till följd av EU:s dataskyddsreform.

Ett samlat regelverk

Som framgått innehåller inregränslagen och tullagen inte bara be- stämmelser om transportföretagens uppgiftsskyldighet utan även regler som dels begränsar tillgången till personuppgifter i trans- portföretagens bokningssystem, dels anger hur uppgifterna får behandlas av Tullverket. Där finns bestämmelser om vilken sök- ning som är tillåten och hur länge uppgifter som härrör från transportföretag får behandlas i den brottsbekämpande verksam- heten. Samtidigt finns stödet för att behandla personuppgifterna automatiserat i tullbrottsdatalagen.

Bestämmelserna om transportföretags uppgiftsskyldighet inför- des som nyss nämnts i samband med att Sverige blev medlem i EU. I förarbetena till Tullverkets registerförfattningar har frågan om de delar av bestämmelserna som avser Tullverkets behandling av per- sonuppgifter borde samlas i en författning inte tagits upp.

Av de skäl som anges i avsnitt 7.4.1 bör bestämmelserna om hur personuppgifter från transportföretag får behandlas och hur länge de får behandlas flyttas från inregränslagen och tullagen till Tull- verkets brottsdatalag. Med en sådan lösning blir regleringen mer överskådlig och lättillämpad. Transportföretagens uppgiftsskyldig- het bör däremot alltjämt regleras i inregränslagen och tullagen.

463

Tullbrottsdatalagen

SOU 2017:74

8.4.2En i huvudsak oförändrad reglering

Utredningens förslag: Tullverket ska få behandla personupp- gifter som transportföretag på Tullverkets begäran tillhandahål- ler enligt bestämmelser i inregränslagen och tullagen för att pla- nera kontroller och välja ut kontrollobjekt i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. Sådana personuppgifter ska endast i enskilda fall få behandlas för nya ändamål.

Skälen för utredningens förslag

Syftena med regleringen

Av förarbetena till tullbrottsdatalagen framgår att den enda remiss- instans som yttrade sig över 2 kap. 8 § ifrågasatte om användning för planering av kontrollverksamheten och urval av kontrollobjekt stämde överens med lagens övergripande syften. Regeringen be- mötte det bl.a. genom att peka på att lagens tillämpningsområde är Tullverkets brottsbekämpande verksamhet (se prop. 2016/17:91 s. 108). Utredningen anser att det med den nya regleringen i brottsdatalagen är nödvändigt att klargöra att syftet med bestäm- melsen inte är att planera Tullverkets allmänna kontrollverksamhet.

Vid inre gräns är det inte tillåtet att göra slumpmässiga kontrol- ler, t.ex. att ta ut var tionde eller tjugonde person som passerar gränsen för kontroll. Däremot är det tillåtet att göra selektiva kon- troller. Med det avses kontroller som bygger på att den som passe- rar gränsen uppfyller särskilda kriterier som pekar på förhöjd risk för att personen begår brott genom att t.ex. medföra otillåtna varor. Arbetet med att ta fram sådana kriterier som kan motivera att en viss person tas ut för kontroll och att identifiera riskprofiler görs av Tullverkets underrättelseverksamhet. Genom att med hjälp av transportföretagens uppgifter kartlägga bl.a. resmönster, betal- ningssätt, ålder och vilka som reser i sällskap ökar möjligheterna att kunna avslöja brott och att upptäcka nya smugglingsmetoder (se avsnitt 8.4.1).

Utredningen anser att det inte råder någon tvekan om att den kontrollverksamhet som avses i 2 kap. 8 § tullbrottsdatalagen är

464

SOU 2017:74

Tullbrottsdatalagen

sådan som avser att förebygga, förhindra eller upptäcka brottslig verksamhet.

Bestämmelserna ska i huvudsak vara desamma

Enligt utredningens mening bör de bestämmelser som flyttas över från inregränslagen och tullagen till Tullverkets brottsdatalag i huvudsak ha samma innehåll som i dag. De behöver dock anpassas till den lagens tillämpningsområde. Att personuppgifterna endast får behandlas för att planera kontroller och välja ut kontrollobjekt i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet bör framgå av bestämmelsen.

I avsnitt 7.4.1 föreslår utredningen att polisen ska få behandla uppgifter från transportföretag inte bara i syfte att förebygga, för- hindra och upptäcka brottslig verksamhet utan även för att utreda eller lagföra brott.

Även om Tullverket främst har intresse av att behandla uppgif- ter från transportföretag för att effektivt kunna förebygga brott och för att bygga upp kunskap om smugglingsvägar och smugg- lingsmetoder, har myndigheten i likhet med polisen även behov av sådana uppgifter i sin utredningsverksamhet. Vid s.k. kontrollerade leveranser av narkotika kan bokningsuppgifter vara av stor praktisk betydelse. Vid utredning av smugglingsbrott är det viktigt att kunna kontrollera uppgifter om om resväg, ressällskap och lik- nande. Tullverket bör därför kunna dra nytta av uppgifter från transportföretagen både i syfte att förebygga, förhindra eller upp- täcka brottslig verksamhet och i syfte att utreda eller lagföra brott.

I 2 kap. 8 § tullbrottsdatalagen anges att sådana uppgifter bara får behandlas i den utsträckning det är tillåtet enligt inregränslagen respektive tullagen. Någon motsvarande bestämmelse behövs inte i Tullverkets brottsdatalag, eftersom det alltid ska finnas en rättslig grund för behandlingen.

På samma sätt som i polisens brottsdatalag bör det förtydligas att bestämmelserna om terminalåtkomst endast hindrar ändring eller bearbetning av uppgifterna i transportbolagens it-system (se avsnitt 7.4.2). Finner Tullverket att personuppgifter i ett enskilt fall föranleder ett underrättelseuppslag eller behövs för en brottsutred-

465

Tullbrottsdatalagen

SOU 2017:74

ning kan de som regel behandlas enligt de generella bestämmel- serna i brottsdatalagen och Tullverkets brottsdatalag.

Uppgifter om enskilda personer som lämnats på annat sätt än genom terminalåtkomst bör omedelbart förstöras, om de saknar betydelse för brottsbekämpning eller lagföring. Regleringen om förstörande i inregränslagen och tullagen gäller inte bara person- uppgifter som behandlas automatiserat utan även annan behand- ling. Den nya regleringen bör därför täcka all behandling som om- fattas av Tullverkets brottsdatalags tillämpningsområde. Kravet på förstörande bör dock inte omfatta de personuppgifter som myn- digheten i ett enskilt fall behandlar i syfte att bekämpa eller lagföra brott.

Utredningen återkommer i avsnitt 8.5.2 till frågan om uppgifter från transportföretag får göras gemensamt tillgängliga.

Behandling för nya ändamål

I 2 kap. 8 § tullbrottsdatalagen föreskrivs att personuppgifter från transportföretag också får behandlas för något annat ändamål som anges i 2 kap. 5 § om det behövs i ett enskilt fall. Det innebär att sådana uppgifter t.ex. får användas för att utreda brott.

Behandling för nya ändamål inom brottsdatalagens tillämp- ningsområde regleras i 2 kap. 4 § brottsdatalagen. För att sådan be- handling ska vara tillåten krävs det dels att det finns en tillåten rättslig grund för behandling för det nya ändamålet, dels att be- handlingen är nödvändig och proportionerlig för det nya ändamå- let. Utredningen föreslår i avsnitt 6.4.3 att samma prövning ska göras när personuppgifter behandlas för nya ändamål utanför brottsdatalagens tillämpningsområde.

Riksdagen har nyligen ställt sig bakom att Tullverket i ett en- skilt fall får behandla personuppgifter av nu aktuellt slag för något annat ändamål som anges i 2 kap. 5 § tullbrottsdatalagen. Enligt direktivet är det inte möjligt att göra undantag från den prövning som kommer till uttryck i 2 kap. 4 § brottsdatalagen. Det innebär att en sådan prövning alltid krävs när uppgifter från transportföre- tag i ett enskilt fall ska behandlas för ett nytt ändamål. Även om uppgifter från transportföretag bara får hämtas in och behandlas för ändamål inom lagens tillämpningsområde kan det inte uteslutas

466

SOU 2017:74

Tullbrottsdatalagen

att det därefter uppkommer en situation där frågan om behandling för ändamål utanför tillämpningsområdet aktualiseras, t.ex. genom en begäran om att få del av en allmän handling. Det bör därför vara tillåtet att behandla uppgifterna för ändamål utanför tillämpnings- området, men prövningen av nödvändighet och proportionalitet måste då göras (se avsnitt 6.4.3).

PNR-utredningens förslag

Som redovisas i avsnitt 7.4.1 har PNR-utredningen lämnat förslag till en ny lag om flygpassageraruppgifter i brottsbekämpningen som gäller för uppgifter som samlas in från flygbolag. Lagen före- slås ha företräde framför inregränslagen, tullagen och tullbrotts- datalagen. Utredningen har inte beaktat PNR-utredningens förslag.

8.5Gemensamt tillgängliga uppgifter

8.5.1Sökning i gemensamt tillgängliga uppgifter

Begränsningarna ska inte gälla vid sökning i en viss handling eller i ett visst ärende. De ska inte heller gälla vid sökning som görs av särskilt angivna tjänstemän

1.när de utför beredningsuppgifter i underrättelseverksamhet, om arbetet befinner sig i ett inledande skede,

3.i syfte att utreda brott för vilket det är föreskrivet fängelse i fyra år eller däröver, eller

467

Tullbrottsdatalagen

SOU 2017:74

4.i syfte att samordna utredningar om brott som kan vara systematiska och för vilka det är föreskrivet fängelse i två år eller däröver.

Det ska också göras undantag för sökning som en tjänsteman vid någon av Tullverkets ledningscentraler utför på begäran av en tjänsteman som verkställer ett ingripande eller vidtar en åt- gärd som rör en enskild.

Skälen för utredningens förslag

Begränsning endast i automatiserade behandlingssystem

Eftersom sökning med hjälp av namn, personnummer och samord- ningsnummer är ett viktigt inslag i Tullverkets verksamhet och så- dana identitetsbeteckningar är av stor betydelse för att säkerställa identiteten och undvika personförväxlingar, ansågs det nödvändigt att medge sådan sökning i gemensamt tillgängliga uppgifter (jfr avsnitt 7.5.2). I 3 kap. 6 § tullbrottsdatalagen regleras därför vilka uppgifter som får tas fram vid sökning på namn, personnummer, samordningsnummer eller andra liknande identitetsbeteckningar. I 3 kap. 7 § görs vissa undantag från bestämmelserna i 3 kap. 6 §. I förarbetena diskuteras ingående vilka typer av sökning som bör vara tillåtna och vilka begränsningar som bör gälla (se prop. 2016/17:91 s. 138 f.). Paragraferna är utformade efter mönster av polisdatalagen.

Tullbrottsdatalagen har nyligen trätt i kraft och de aktuella be- stämmelserna behöver inte tillämpas förrän år 2019. Liknande över- gångsbestämmelser gäller även för polisen, som därför ännu inte heller har erfarenhet av att tillämpa bestämmelserna. Av de skäl som anges i avsnitt 7.5.2 bör det tydliggöras att regleringen enbart gäller vid sökning i automatiserade behandlingssystem. Där görs också vissa uttalanden om hur regleringen bör tolkas som är giltiga även för Tullverket.

468

SOU 2017:74

Tullbrottsdatalagen

Behövs det fler eller andra undantag från begränsningsregeln?

Undantagen i 3 kap. 7 § tullbrottsdatalagen från begränsningarna av vilka uppgifter som får tas fram vid sökning är utformade efter mönster av polisdatalagen. Av de skäl som anges i avsnitt 7.5.2 bör undantagen ändras även i Tullverkets brottsdatalag. Det gäller undantagen för att bearbeta och analysera information i underrät- telseverksamhet. Vidare bör även Tullverket kunna göra sökningar i syfte att samordna brottsutredningar som avser brott som kan vara systematiska och för vilka det är föreskrivet fängelse i två år eller däröver. Regleringen bör utformas på samma sätt som för Polis- myndigheten.

De tulltjänstemän som arbetar i yttre tjänst har ofta behov av att kunna få hjälp av personal vid Tullverkets ledningscentraler, t.ex. vakthavande befäl eller rikssambandscentralen, med sökning i syfte att klarlägga t.ex. en gripen persons identitet. Vid sökningar av det slaget kan det vara nödvändigt att få fram andra typer av infor- mation, samtidigt som den ingripande tulltjänstemannen inte alltid har tillgång till nödvändiga sökmöjligheter i sin utrustning. Det bör därför även göras undantag från begränsningsregeln för sådana sök- ningar som görs i Tullverkets ledningscentraler på begäran av en tulltjänsteman i yttre tjänst.

8.5.2Uppgifter från transportföretag får göras gemensamt tillgängliga

Utredningens förslag: Bestämmelsen om i vilka fall personupp- gifter från transportföretag får göras gemensamt tillgängliga ska arbetas in i regleringen om gemensamt tillgängliga uppgifter.

Skälen för utredningens förslag: I avsnitt 8.4.2 föreslår utredning- en att regleringen av Tullverkets behandling av personuppgifter från transportföretag i huvudsak ska vara densamma som i dag. Utgångspunkten är att uppgifter från transportföretagen till allra största delen är information om personer som inte är intressanta för brottsbekämpningen och att sådana personuppgifter därför ska ges så liten spridning som möjligt. När bestämmelserna i inregräns- lagen och tullagen infördes konstaterade regeringen att uppgifter-

469

Tullbrottsdatalagen

SOU 2017:74

nas karaktär krävde begränsningar av hur de fick användas (se prop. 1995/96:166 s. 83 f.). Uppgifterna får därför som utgångspunkt inte göras gemensamt tillgängliga.

Enligt 2 kap. 8 § andra stycket tullbrottsdatalagen får person- uppgifter från transportföretag bara göras gemensamt tillgängliga i enskilda fall. Av förarbetena framgår att det skulle strida mot inten- tionerna bakom bestämmelserna att generellt tillåta att sådana upp- gifter görs gemensamt tillgängliga. Om personuppgifterna, t.ex. efter en kontroll, behövs för en brottsutredning eller ha samband med misstänkt brottslig verksamhet bör de dock få behandlas inom ramen för den utredningen eller det underrättelseärendet och göras gemensamt tillgängliga (se prop. 2016/17:91 s. 107).

I 3 kap. 2 § tullbrottsdatalagen anges under vilka förutsättningar som personuppgifter får göras gemensamt tillgängliga. Genom sär- regleringen i 2 kap. 8 § andra stycket av i vilka fall uppgifter från transportföretag får göras gemensamt tillgängliga skapas det enligt utredningens mening en otydlighet som kan leda till motsatsslut när det gäller andra slag av personuppgifter. Utredningen föreslår därför att den bestämmelsen utan någon ändring i sak flyttas till 3 kap. 2 §. På samma sätt som i dag bör alltså sådana uppgifter få göras gemensamt tillgängliga om det behövs i ett enskilt fall.

8.6Längsta tid för behandling

Skälen för utredningens förslag: I 4 kap. 9 § andra stycket tull- brottsdatalagen regleras hur länge personuppgifter som behandlas i viss underrättelseverksamhet får behandlas.

I underrättelseverksamhet behandlas personuppgifter som huvudregel inte i ärenden och regleringen av när behandlingen ska upphöra utgår därför från när registreringen avseende personen gjordes. Som anges i avsnitt 7.6 behandlas personuppgifter i under- rättelseverksamheten ibland i ärenden, exempelvis i samarbetet mot grov organiserad brottslighet eller i samband med en särskild hän-

470

SOU 2017:74

Tullbrottsdatalagen

delse. När personuppgifter i underrättelseverksamhet behandlas i ärenden bör uppgifterna, på samma sätt som vid behandling av per- sonuppgifter i andra ärenden, inte få behandlas längre än ett år efter det att ärendet avslutades. Hur bestämmelsen bör formuleras be- handlas i avsnitt 5.5.2 och 7.5.1.

8.7Övergångsbestämmelser till tullbrottsdatalagen

Utredningens bedömning: Övergångsbestämmelserna till tull- brottsdatalagen behöver inte ändras.

Skälen för utredningens bedömning: Det finns övergångsbestäm- melser till tullbrottsdatalagen. I punkten 3 b föreskrivs att be- stämmelserna i 4 kap. 6 och 7 §§ tullbrottsdatalagen om hur länge vissa personuppgifter får behandlas inte behöver tillämpas förrän den 1 januari 2019. Den bestämmelsen står inte i strid med brotts- datalagens reglering om hur länge personuppgifter får behandlas och kan därmed behållas. Det bör dock framhållas att Tullverket måste iaktta skyldigheten i 2 kap. 18 § brottsdatalagen att återkom- mande se över behovet av att behandla uppgifterna fram till dess att bestämmelserna börjar tillämpas.

Övergångsbestämmelserna i punkterna 3 a och c som avser vissa bestämmelser om sökning kan också behållas, eftersom direktivet inte ställer några krav på sökbegränsningar.

Utredningens förslag till anpassningar av tullbrottsdatalagen innebär att de bestämmelser som övergångsbestämmelserna tar sikte på får ny placering eller numrering. Övergångsbestämmelser behöver i sådana fall inte ändras utan ska fortsätta att tillämpas på samma sätt som tidigare.

I 18 kap. behandlas behovet av nya övergångsbestämmelser.

471

9 Kustbevakningsdatalagen

9.1Kustbevakningsdatalagen behöver anpassas

9.1.1Nuvarande reglering

Kustbevakningsdatalagen gäller enligt 1 kap. 2 § vid behandling av personuppgifter i Kustbevakningens brottsbekämpande verksam- het och i annan operativ verksamhet, t.ex. sjöövervakning och räddningstjänst. Bestämmelserna i 3 och 4 kap. gäller vid behand- ling av personuppgifter i den brottsbekämpande verksamheten, medan bestämmelserna i 5 kap. gäller vid personuppgiftsbehandling i annan operativ verksamhet.

Som anges i avsnitt 4.2 måste registerförfattningarna ändras i vissa avseenden med anledning av dataskyddsdirektivet och anpas- sas till brottsdatalagen. Många bestämmelser behöver överhuvud- taget inte anpassas eller endast ändras redaktionellt. Utredningen behandlar de anpassningar och ändringar som är gemensamma för registerförfattningarna i kapitel 5 och 6. De ytterligare ändringar som krävs i kustbevakningsdatalagen behandlas i detta kapitel.

En annan utredare har fått i uppdrag att anpassa den del av kust- bevakningsdatalagen som ligger utanför brottsdatalagens tillämp- ningsområde till dataskyddsförordningen (Ju 2016:H).

9.1.2Kustbevakningsdatalagen delas upp

Utredningens förslag: Kustbevakningsdatalagen med tillhöran- de förordning ska bara innehålla bestämmelser om personupp- giftsbehandling inom brottsdatalagens tillämpningsområde och ges nya namn. De ska benämnas Kustbevakningens brottsdata- lag och Kustbevakningens brottsdataförordning.

473

Kustbevakningsdatalagen

SOU 2017:74

Skälen för utredningens förslag

Den nuvarande regleringen renodlas

Vid kustbevakningsdatalagens tillkomst övervägde regeringen om Kustbevakningens personuppgiftsbehandling skulle regleras i två lagar, mot bakgrund av att myndigheten har arbetsuppgifter inom flera olika verksamhetsområden. Eftersom Kustbevakningens ope- rativa verksamhet är integrerad och inte organisatoriskt indelad i självständiga verksamhetsgrenar ansåg regeringen att övervägande skäl talade för att myndighetens personuppgiftsbehandling skulle regleras i en lag (se prop. 2011/12:45 s. 63). Med hänsyn till hur den nya dataskyddsregleringen är utformad finns det emellertid skäl att på nytt överväga frågan.

Kustbevakningsdatalagen reglerar i dag personuppgiftsbehand- ling inom både brottsdatalagens och dataskyddsförordningens till- lämpningsområden. Om man skulle behålla en samlad reglering för Kustbevakningens personuppgiftsbehandling skulle den därför be- höva dels gälla utöver brottsdatalagen, dels komplettera data- skyddsförordningen.

Den nya dataskyddsregleringen gör det nödvändigt att dela upp regleringen av Kustbevakningens personuppgiftsbehandling på ett annat sätt än i dag. Det skulle i och för sig vara möjligt att göra alla nödvändiga ändringar i den befintliga lagen. Ett annat alternativ är att dela upp regleringen i två separata regelverk – ett för brotts- datalagens tillämpningsområde och ett för dataskyddsförordning- ens. Att ha separata registerförfattningar för en myndighets olika verksamheter är inget nytt. Skatteverket och Tullverket har i dag olika regleringar för personuppgiftsbehandlingen beroende på i vilken verksamhet uppgifterna behandlas, där regleringen för den brottsbekämpande verksamheten finns i en särskild lag. Lösningen med två separata regleringar är enligt utredningens mening tydlig och lätt att tillämpa. Att Kustbevakningen inte på samma sätt som de myndigheterna har en organisatorisk uppdelning i olika verk- samhetsgrenar hindrar enligt utredningens mening inte en sådan lösning, eftersom syftet med personuppgiftsbehandlingen är av- görande för vilket regelverk som ska tillämpas.

Trots de skäl som anges i förarbetena till kustbevakningsdatala- gen bör därför Kustbevakningens personuppgiftsbehandling fort- sättningsvis regleras i två olika registerförfattningar. Den del av

474

SOU 2017:74

Kustbevakningsdatalagen

Kustbevakningens personuppgiftsbehandling som ligger inom brottsdatalagens tillämpningsområde bör regleras i den befintliga lagen med hänsyn till att den i dag till största delen rör brottsbe- kämpande verksamhet. Utredningen har samrått om den lösningen med den utredare som har i uppdrag att anpassa Kustbevakningens registerförfattningar till dataskyddsförordningen.

Mot den bakgrunden bör de bestämmelser i kustbevakningsda- talagen som tar sikte på frågor som ligger utanför brottsdatalagens tillämpningsområde upphävas. Även 2 kap. 10 §, som ställer krav på att det ska framgå i vilken operativ verksamhet personuppgifter be- handlas, bör upphävas.

Kustbevakningsdatalagen ges ett nytt namn

Eftersom endast den del av Kustbevakningens personuppgiftsbe- handling som ligger inom brottsdatalagens tillämpningsområde ska regleras i kustbevakningsdatalagen, bör det övervägas om lagens namn ska bytas. Av de skäl som anges i avsnitt 7.1.2 finns det an- ledning att byta namn på registerförfattningarna inom brottsdata- lagens tillämpningsområde. Namnet bör knyta an till hur brotts- datalagen benämns. Det bör vara kort och ange vem författningen gäller för och vad den handlar om. Utredningen föreslår därför att lagen ska benämnas Kustbevakningens brottsdatalag. Kustbevak- ningsdataförordningen bör i konsekvens med det benämnas Kust- bevakningens brottsdataförordning. Som en konsekvens av att lagens namn ändras måste alla hänvisningar till den ändras.

9.2Tillämpningsområdet

Utredningens förslag: Lagen ska gälla utöver brottsdatalagen när Kustbevakningen i egenskap av behörig myndighet behand- lar personuppgifter i syfte att bekämpa eller lagföra brott eller upprätthålla allmän ordning och säkerhet.

475

Kustbevakningsdatalagen

SOU 2017:74

Skälen för utredningens förslag

Den nuvarande regleringen behöver anpassas

Kustbevakningsdatalagen gäller enligt 1 kap. 2 § vid behandling av personuppgifter i Kustbevakningens operativa verksamhet som rör bl.a. brottsbekämpning, sjöövervakning och räddningstjänst. Tillämpningsområdet måste anpassas till brottsdatalagens tillämp- ningsområde så att det dels utgår från syftet med behandlingen, dels bara omfattar den personuppgiftsbehandling som Kustbevak- ningen utför inom brottsdatalagens tillämpningsområde. Det bör också framgå att lagen endast gäller när Kustbevakningen agerar i egenskap av behörig myndighet, eftersom det är en viktig avgräns- ning för tillämpningsområdet (se SOU 2017:29 s. 159 f.).

Närmare om tillämpningsområdet

Kustbevakningsdatalagen gäller för behandling av personuppgifter som rör bl.a. brottsbekämpning. Som framgår av avsnitt 5.4.6 anses lagföring av brott i dag ingå i begreppet brottsbekämpning, medan det i brottsdatalagen görs skillnad mellan brottsbekämpning och lagföring. För att tillämpningsområdet ska täcka det som i dag om- fattas av regleringen bör det därför inkludera personuppgiftsbe- handling i syfte att bekämpa eller lagföra brott.

Brottsdatalagens tillämpningsområde omfattar även personupp- giftsbehandling i syfte att upprätthålla allmän ordning och säker- het. Kustbevakningen har vissa ordningshållande uppgifter.

En av Kustbevakningens arbetsuppgifter är att genom sjööver- vakning förebygga och ingripa mot störningar av ordningen i sjö- trafiken (3 § förordningen [2007:853] med instruktion för Kustbe- vakningen). I 5 kap. 1 § första stycket 1 kustbevakningsdatalagen regleras behandling av personuppgifter för ändamålet att övervaka den allmänna ordningen och säkerheten till sjöss. Sådan sjööver- vakning syftar enligt förarbetena till att öka respekten för lagar och

476

SOU 2017:74

Kustbevakningsdatalagen

föreskrifter och till att öka säkerheten till sjöss. Verksamheten omfattar allmän övervakningsverksamhet i form av patrullering och sjösäkerhetsövervakning. Till denna verksamhet räknas inte aktivi- teter som föranleds av misstanke om brott eller brottslig verksam- het (se prop. 2011/12:45 s. 157).

Inom ramen för sjöövervakningen har Kustbevakningens tjäns- temän rätt att ingripa vid ordningsstörningar i trafiken till sjöss eller när det behövs för att avvärja brott mot föreskrifter om trafik- regler och säkerhetsanordningar för sjötrafiken, åtgärder mot vat- tenföroreningar från fartyg och dumpning av avfall i vatten. Vid ett sådant ingripande har en kustbevakningstjänsteman enligt 3 § lagen om Kustbevakningens medverkan vid polisiär övervakning samma befogenhet som en polisman har enligt 13 § polislagen att avvisa, avlägsna eller omhänderta den som genom sitt uppträdande stör ordningen eller utgör omedelbar fara för den. Det gäller dock bara vid ordningsstörningar till sjöss som utgör en omedelbar fara och i samband med att Kustbevakningen ingriper mot vissa brott enligt lagen om Kustbevakningens medverkan vid polisiär övervakning. Kustbevakningen har också ordningshållande uppgifter enligt dels lagen (2006:1209) om hamnskydd, dels lagen (2004:487) om sjö- fartsskydd.

För att Kustbevakningens brottsdatalag ska täcka all Kustbevak- ningens behandling av personuppgifter som omfattas av brottsda- talagens tillämpningsområde bör myndighetens behandling av per- sonuppgifter vid upprätthållande av allmän ordning och säkerhet omfattas av tillämpningsområdet.

Gränsdragningen för tillämpningsområdet

Utredningen konstaterar i delbetänkandet att det är personupp- giftsbehandling i syfte att upprätthålla allmän ordning och säkerhet som omfattas av brottsdatalagens tillämpningsområde. Utgångs- punkten är att det krävs fysisk närvaro på den plats där oordning förekommer eller riskerar att uppstå för att det ska vara fråga om upprätthållande av allmän ordning och säkerhet (se SOU 2017:29 s. 164 f. och 167).

När en kustbevakningstjänsteman ingriper eller är beredd att in- gripa vid en konkret ordningsstörning, eller en potentiell sådan

477

Kustbevakningsdatalagen

SOU 2017:74

störning vid en specifik händelse, är det fråga om upprätthållande av allmän ordning och säkerhet. Personuppgiftsbehandling vid så- dan verksamhet bör följaktligen omfattas av tillämpningsområdet för Kustbevakningens brottsdatalag. Detsamma bör gälla vid ingri- panden och andra åtgärder för att avvärja konkreta brott.

Den verksamhet som består av allmän övervakning i trygghets- skapande syfte och att genom närvaro se till att allmän ordning och säkerhet inte störs, ligger däremot utanför tillämpningsområdet. Sådan övervakning kan utföras t.ex. genom rutinmässig patrullering till sjöss eller flygövervakning eller övervakning med hjälp av kameror eller annan digital utrustning i en ledningscentral. Denna typ av övervakning görs utan att den är inriktad mot en konkret störning eller konkret risk för störning. Allmän övervakning av sådant slag kan emellertid övergå till att ha ett ordningshållande syfte och därmed omfattas av tillämpningsområdet. Så är fallet om ledningscentralen tar radiokontakt med ett övervakat fartyg för att ge anvisningar om t.ex. vilken kurs fartyget ska hålla för att und- vika ett avlyst vattenområde. I dessa fall upprätthålls allmän ord- ning och säkerhet utan någon fysisk närvaro på platsen där oord- ning förekommer eller riskerar att uppstå.

Även vid rutinmässig patrullering till sjöss kan det upptäckas ordningsstörningar som kräver ingripande. Det är oftast först vid ingripanden som det blir fråga om att behandla personuppgifter. Gränsdragningen avseende vilket regelverk som gäller i enskilda fall blir ytterst en fråga för tillämpningen.

9.3Grundläggande bestämmelser om behandling

9.3.1Tillåtna rättsliga grunder och behandling för nya ändamål

Utredningens förslag: Kustbevakningen ska få behandla per- sonuppgifter om det är nödvändigt för att utföra en arbetsupp- gift i syfte att

1.förebygga, förhindra eller upptäcka brottslig verksamhet,

2.utreda eller lagföra brott,

3.upprätthålla allmän ordning och säkerhet, eller

478

SOU 2017:74

Kustbevakningsdatalagen

4. fullgöra förpliktelser som följer av internationella åtaganden.

Det ska framgå genom en hänvisning att personuppgifter som behandlas med stöd av lagen ska få behandlas för nya ända- mål enligt de förutsättningar som anges i brottsdatalagen.

Skälen för utredningens förslag

En bestämmelse som ersätter brottsdatalagens bestämmelse om tillåtna rättsliga grunder för behandling

Som anges i avsnitt 6.3.1 bör registerförfattningarna innehålla be- stämmelser om tillåtna rättsliga grunder för behandling av person- uppgifter. Regleringen i 3 kap. 2 § kustbevakningsdatalagen bör således behållas, men det ska framgå att det inte är en ändamålsbe- stämmelse i egentlig mening. Bestämmelsen är på samma sätt som 2 kap. 1 § brottsdatalagen en del av den rättsliga grunden och ger Kustbevakningen rättsligt stöd för att behandla personuppgifter automatiserat för att utföra sina arbetsuppgifter (se avsnitt 6.1.2).

Kustbevakningen får i dag behandla personuppgifter i den brottsbekämpande verksamheten om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra de förpliktelser som följer av internationella åtaganden. Kustbevakningen bör givetvis även i fortsättningen få behandla personuppgifter om det är nödvändigt för att fullgöra sådana arbetsuppgifter, men regleringen bör anpassas till brotts- datalagens terminologi.

I avsnitt 9.2 föreslår utredningen att tillämpningsområdet för Kustbevakningens brottsdatalag ska omfatta personuppgiftsbe- handling vid upprätthållande av allmän ordning och säkerhet. Det bör därför också vara en tillåten rättslig grund för myndighetens personuppgiftsbehandling.

Kustbevakningens brottsdatalag föreslås gälla utöver brottsdata- lagen. För att det inte ska råda någon osäkerhet om hur bestämmel- sen i 2 kap. 1 § brottsdatalagen förhåller sig till bestämmelsen om

479

Kustbevakningsdatalagen

SOU 2017:74

tillåtna rättsliga grunder i registerförfattningen bör den senare er- sätta bestämmelsen i brottsdatalagen. Det bör därför föreskrivas i Kustbevakningens brottsdatalag, på samma sätt som i brottsdatala- gen, att den arbetsuppgift som Kustbevakningen ska utföra ska framgå av en bindande unionsrättsakt eller en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift. Vad det innebär utvecklas i delbe- tänkandet (se SOU 2017:29 s. 238 f.).

Behandling för nya ändamål

I dag regleras behandling för nya ändamål till viss del i den sekun- dära ändamålsbestämmelsen i 3 kap. 3 § kustbevakningsdatalagen. Utredningen anser som framgår av avsnitt 6.3.2 och 6.4.2 att de sekundära ändamålsbestämmelserna bör upphävas. Förutsättning- arna för behandling för nya ändamål bör i stället regleras i brotts- datalagen. Innan personuppgifter får behandlas för nya ändamål inom brottsdatalagens tillämpningsområde ska det enligt 2 kap. 4 § brottsdatalagen säkerställas att behandlingen är nödvändig och pro- portionerlig för det nya ändamålet. Utredningen föreslår att samma prövning ska göras när de brottsbekämpande myndigheterna be- handlar personuppgifter för nya ändamål utanför tillämpningsom- rådet. I lagen bör det införas en bestämmelse som tydliggör att förutsättningarna för att behandla personuppgifter, som behandlas med stöd av den lagen, för nya ändamål regleras i brottsdatalagen.

9.3.2Behandling av biometriska och genetiska uppgifter

Utredningens bedömning: Kustbevakningen bör inte få be- handla biometriska och genetiska uppgifter.

Skälen för utredningens bedömning: I avsnitt 7.3.2 redovisas vad som avses med biometriska och genetiska uppgifter och vilken be- tydelse sådana uppgifter har vid brottsbekämpning.

480

SOU 2017:74

Kustbevakningsdatalagen

handlas om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen.

Det är svårt att se att Kustbevakningen har något behov av att behandla biometriska och genetiska uppgifter och utredningen anser därför att det inte bör finnas någon bestämmelse som medger sådan behandling i Kustbevakningens brottsdatalag.

9.3.3Sökning på känsliga personuppgifter

Det ska inte heller hindra sökning i syfte att få fram ett per- sonurval grundat på etniskt ursprung, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, om sökningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga.

Skälen för utredningens förslag

Undantag från sökförbudet i brottsdatalagen vid sökning i alla slags personuppgifter

I avsnitt 5.3.8 föreslår utredningen att förbudet i 4 kap. 4 § första stycket kustbevakningsdatalagen att använda känsliga personupp- gifter som sökbegrepp ska upphävas, eftersom det finns ett gene- rellt sökförbud i 2 kap. 14 § brottsdatalagen. Det förbudet utgår till skillnad från dagens reglering från syftet med sökningen. Om syf- tet inte är att få fram ett personurval grundat på känsliga person- uppgifter är sökningen tillåten, även om känsliga personuppgifter används vid sökningen (se SOU 2017:29 s. 272 f.).

Eftersom sökförbudet har en ny utformning är det nödvändigt att se över bestämmelserna om sökning. Enligt 4 kap. 4 § andra stycket kustbevakningsdatalagen är det tillåtet att använda brotts- rubriceringar eller uppgifter som beskriver en persons utseende som sökbegrepp vid sökning i uppgifter som har gjorts gemensamt tillgängliga. Kustbevakningen har alltjämt behov av att kunna an- vända sådana uppgifter vid sökning, även om det leder till att man

481

Kustbevakningsdatalagen

SOU 2017:74

får fram ett personurval grundat på känsliga personuppgifter. Det bör därför enligt utredningens mening göras undantag från brotts- datalagens sökförbud i Kustbevakningens brottsdatalag för sådana sökningar. För att möjligheterna till sökning ska vara desamma som i dag bör undantaget omfatta sökning i alla slags personupp- gifter, dvs. oberoende av om de har gjorts gemensamt tillgängliga eller inte.

Kustbevakningen behöver i likhet med Polismyndigheten och Tullverket kunna göra sökningar på tillvägagångssätt vid brott (se avsnitt 7.3.3 och 8.3.3). Sådana sökningar kan i vissa fall leda till ett personurval grundat på känsliga personuppgifter. Som exempel kan nämnas att smugglingsmetoder kan avslöja uppgifter om såväl reli- giös övertygelse och politiska åsikter som uppgifter om gärnings- mannens hälsa.

Undantag vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga

Det nuvarande förbudet i kustbevakningsdatalagen mot att använda känsliga personuppgifter som sökbegrepp gäller endast vid sökning i uppgifter som har gjorts gemensamt tillgängliga. Det innebär att känsliga personuppgifter får användas vid sökning i uppgifter som enbart ett fåtal har tillgång till. Den enda begränsningen i dag är att behandling av känsliga personuppgifter ska vara absolut nödvändig.

Utredningens utgångspunkt är att de behöriga myndigheternas möjlighet att använda känsliga personuppgifter vid sökning inte ska försämras. Kustbevakningen kan behöva göra sammanställningar i syfte att få fram ett personurval grundat på känsliga personuppgif- ter vid sökning i uppgifter som inte har gjorts gemensamt tillgäng- liga. Framför allt Kustbevakningens underrättelseverksamhet kan behöva göra sökningar som innebär att sammanställningar grun- dade på etniskt ursprung eller religiös eller filosofisk övertygelse skapas. Organiserad brottslighet av olika slag kräver inte sällan kartläggning av misstänktas kontakter och vanor. Då kan olika typer av känsliga personuppgifter avslöjas (jfr avsnitt 7.3.3 och 8.3.3). Kustbevakningen måste kunna göra sökningar för att före- bygga, förhindra eller upptäcka brottslig verksamhet som begås av flera personer som förenas genom sitt etniska ursprung eller sin religiösa eller filosofiska övertygelse. I utredningsverksamheten

482

SOU 2017:74

Kustbevakningsdatalagen

finns motsvarande behov av att kunna söka på känsliga personupp- gifter vid brott med okänd gärningsman. Det finns därför skäl att göra undantag från sökförbudet i brottsdatalagen när det gäller sökning i uppgifter som inte har gjorts gemensamt tillgängliga.

Kustbevakningen har dock inte behov av att kunna ta fram per- sonurval grundade på alla kategorier av känsliga personuppgifter. Det kan aldrig finnas behov av att göra sammanställningar grun- dade på ras, eftersom det inte finns någon vetenskaplig grund för att dela in människor i skilda raser (se SOU 2017:29 s. 267). Utred- ningen ser inte heller något behov av att kunna göra sammanställ- ningar grundade på genetiska eller biometriska uppgifter, uppgifter om medlemskap i fackförening eller politiska åsikter eller uppgifter som rör sexualliv eller sexuell läggning. Undantaget från sökförbu- det i brottsdatalagen bör därför utformas så att sökning i person- uppgifter som inte har gjorts gemensamt tillgängliga möjliggörs när det gäller uppgifter som kan avslöja etniskt ursprung, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa. Det innebär att möjligheterna att använda känsliga personuppgifter vid sökning i uppgifter som inte har gjorts gemensamt tillgängliga begränsas i förhållande till vad som gäller i dag. Eftersom det inte finns behov av ett generellt undantag bedömer utredningen att förslaget inte innebär någon försämring.

Hur förhåller sig sökmöjligheterna till sekretessbestämmelsen?

I avsnitt 7.3.3 redovisas hur de nu föreslagna bestämmelserna om undantag från sökförbudet förhåller sig till bestämmelser om sek- retess. Som framgår där kommer utredningens förslag om att abso- lut sekretess ska gälla hos behöriga myndigheter till skydd för en- skild för uppgifter i ett sådant personurval som avses i 2 kap. 14 § brottsdatalagen inte att gälla för sökningar som görs med stöd av ett undantag från sökförbudet. Utlämnande av känsliga personupp- gifter i en sådan sammanställning får i stället prövas mot andra be- stämmelser om sekretess.

483

Kustbevakningsdatalagen

SOU 2017:74

9.4Gemensamt tillgängliga uppgifter

9.4.1Behandling för diarieföring ska undantas

Utredningens förslag: Det som föreskrivs om gemensamt till- gängliga uppgifter ska inte gälla när personuppgifter behandlas med stöd av den särskilda bestämmelsen i brottsdatalagen om behandling av personuppgifter för diarieföring eller för att ut- föra andra nödvändiga handläggningsuppgifter.

Skälen för utredningens förslag: I polisdatalagen, åklagardatala- gen, tullbrottsdatalagen och skattebrottsdatalagen föreskrivs att reglerna om gemensamt tillgängliga personuppgifter inte är tillämp- liga när personuppgifter behandlas med stöd av den särskilda be- stämmelsen om behandling av personuppgifter för diarieföring eller för att utföra andra nödvändiga handläggningsuppgifter. Någon sådan bestämmelse finns inte i kustbevakningsdatalagen.

Bestämmelsen om personuppgiftsbehandling vid diarieföring syftar inte till att möjliggöra behandling av personuppgifter i den operativa verksamheten, utan enbart till att inkomna handlingar ska kunna hanteras enligt offentlighets- och sekretesslagen och att till- godose rätten till tillgång till allmänna handlingar enligt tryckfri- hetsförordningen. Flera av de bestämmelser som gäller vid behand- ling av gemensamt tillgängliga personuppgifter är inte lämpade att reglera behandling av personuppgifter i diarier (se bl.a. Skatte- brottsdatalag, prop. 2016/17:89, s. 87 f.). Det har giltighet även för Kustbevakningen. Det bör därför föreskrivas att reglerna om gemensamt tillgängliga personuppgifter inte gäller när personupp- gifter behandlas med stöd av 2 kap. 2 § brottsdatalagen.

9.4.2En ny kategori av personuppgifter får göras gemensamt tillgängliga

Utredningens förslag: Personuppgifter som behandlas i syfte att upprätthålla allmän ordning och säkerhet ska få göras gemensamt tillgängliga. De ska inte få behandlas längre än ett år efter utgången av det kalenderår då de behandlades automatise- rat första gången.

484

SOU 2017:74

Kustbevakningsdatalagen

Skälen för utredningens förslag: De personuppgifter som Kust- bevakningen behandlar i annan operativ verksamhet än den brotts- bekämpande och som behövs för att övervaka den allmänna ord- ningen och säkerheten till sjöss får i dag göras gemensamt tillgäng- liga enligt 5 kap. 1 § kustbevakningsdatalagen. Som framgår av av- snitt 9.2 föreslår utredningen att Kustbevakningens brottsdatalag ska tillämpas vid personuppgiftsbehandling i syfte att upprätthålla allmän ordning och säkerhet. Inför kommenderingar vid särskilda händelser där ordningsstörningar befaras kan det finnas behov av att göra uppgifter om personer som tidigare orsakat ordningsstör- ningar gemensamt tillgängliga. Utredningen anser därför att Kust- bevakningen av de skäl som anges i avsnitt 7.5.1 bör kunna göra personuppgifter som behandlas i syfte att upprätthålla allmän ord- ning och säkerhet gemensamt tillgängliga.

9.4.3Sökning i gemensamt tillgängliga uppgifter

Begränsningarna ska inte gälla vid sökning som utförs av särskilt angivna tjänstemän i syfte att i underrättelseverksamhet bearbeta och analysera personuppgifter som har gjorts gemen- samt tillgängliga enligt vissa bestämmelser och som enbart dessa tjänstemän har tillgång till.

485

Kustbevakningsdatalagen

SOU 2017:74

Skälen för utredningens förslag

Begränsning endast i automatiserade behandlingssystem

Eftersom sökning med hjälp av namn, personnummer och samord- ningsnummer är ett viktigt inslag i Kustbevakningens verksamhet och sådana identitetsbeteckningar är av stor betydelse för att säker- ställa identiteten och undvika personförväxlingar, ansågs det nöd- vändigt att medge sådan sökning i gemensamt tillgängliga uppgifter (se prop. 2011/12:45 s. 126 och avsnitt 7.5.2). I 4 kap. 5 § kustbe- vakningsdatalagen regleras därför vilka uppgifter som får tas fram vid sökning på namn, personnummer, samordningsnummer eller andra liknande identitetsbeteckningar. I 4 kap. 6 § görs vissa undantag från bestämmelserna i 4 kap. 5 §. I förarbetena diskuteras ingående vilka typer av sökning som bör vara tillåtna och vilka begränsningar som bör gälla (se prop. 2011/12:45 s. 126 f.). Para- graferna är utformade efter mönster av polisdatalagen.

Av de skäl som anges i avsnitt 7.5.2 bör det tydliggöras att regle- ringen enbart gäller vid sökning i automatiserade behandlingssys- tem. Där görs också vissa uttalanden om hur regleringen bör tolkas som är giltiga även för Kustbevakningen.

Sökning i gemensamt tillgängliga uppgifter

Det bör övervägas om det för Kustbevakningen delvis ändrade till- lämpningsområdet för lagen bör föranleda någon ändring av be- gränsningsregeln i 4 kap. 5 § kustbevakningsdatalagen. Kustbevak- ningens brottsdatalag omfattar även behandling av personuppgifter i syfte att upprätthålla allmän ordning och säkerhet. De uppgifter som då främst kan vara av intresse är uppgifter om att någon är eller har varit misstänkt för brott mot allmän ordning. Sådana upp- gifter är redan i dag tillgängliga vid en sökning. Detsamma gäller uppgifter om att någon kan antas komma att möta ett ingripande med grovt våld. Det finns därför inte anledning att utöka de nu gällande möjligheterna att få fram uppgifter vid en allmän sökning.

Det bör även övervägas om det kan finnas skäl att göra någon ändring i undantagen från begränsningarna. Av de skäl som anges i avsnitt 7.5.2 bör undantaget för sökning i underrättelseverksamhet

486

SOU 2017:74

Kustbevakningsdatalagen

ändras på motsvarande sätt i Kustbevakningens brottsdatalag för att motverka att regleringen misstolkas.

487

10 Skattebrottsdatalagen

10.1Skattebrottsdatalagen behöver anpassas

10.1.1Nuvarande reglering

Skattebrottsdatalagen gäller enligt 1 kap. 2 § vid behandling av per- sonuppgifter i Skatteverkets brottsbekämpande verksamhet. Det är dock bara en mycket begränsad del av myndighetens verksamhet. Lagen är ny och trädde i kraft den 1 juli 2017. Vissa av bestäm- melserna i lagen behöver inte tillämpas före den 1 januari 2019.

Som anges i avsnitt 4.2 måste registerförfattningarna ändras i vissa avseenden med anledning av dataskyddsdirektivet och anpas- sas till brottsdatalagen. Många bestämmelser behöver överhuvud- taget inte anpassas eller endast ändras redaktionellt. Utredningen behandlar de anpassningar och ändringar som är gemensamma för registerförfattningarna i kapitel 5 och 6. De ytterligare anpass- ningar som krävs i skattebrottsdatalagen behandlas i detta kapitel.

10.1.2Skattebrottsdatalagen ges ett nytt namn

Utredningens förslag: Skattebrottsdatalagen med tillhörande förordning ska benämnas Skatteverkets brottsdatalag och Skat- teverkets brottsdataförordning.

Skälen för utredningens förslag: Av de skäl som anges i av- snitt 7.1.2 finns det anledning att byta namn på registerförfattning- arna inom brottsdatalagens tillämpningsområde. Det gäller även skattebrottsdatalagen, trots att den nyligen fått sitt nuvarande namn. Namnet bör knyta an till hur brottsdatalagen benämns. Det bör vara kort och ange för vem författningen gäller och vad den

489

Skattebrottsdatalagen

SOU 2017:74

handlar om. Utredningen föreslår därför att lagen ska benämnas Skatteverkets brottsdatalag. Skattebrottsdataförordningen bör i konsekvens med det benämnas Skatteverkets brottsdataförordning. Som en konsekvens av att lagens namn ändras måste alla hänvis- ningar till den ändras.

10.2Tillämpningsområdet

Utredningens förslag: Lagen ska gälla utöver brottsdatalagen när Skatteverket i egenskap av behörig myndighet behandlar personuppgifter i syfte att bekämpa brott.

Skälen för utredningens förslag: I avsnitt 4.4.1 tar utredningen ställning till att registerförfattningarna även i fortsättningen ska innehålla bestämmelser om tillämpningsområdet och anger över- gripande hur regleringen bör utformas. Vidare föreslår utredningen i avsnitt 5.2 att registerförfattningarna ska gälla utöver brottsdata- lagen.

Skattebrottsdatalagen gäller enligt 1 kap. 2 § för behandling av personuppgifter i Skatteverkets brottsbekämpande verksamhet. Tillämpningsområdet måste anpassas till brottsdatalagens tillämp- ningsområde så att det utgår från syftet med behandlingen i stället för i vilken verksamhet behandlingen utförs. Det bör också framgå att Skatteverkets brottsdatalag endast gäller när myndigheten age- rar i egenskap av behörig myndighet, eftersom det är en viktig av- gränsning för tillämpningsområdet (se SOU 2017:29 s. 159 f.).

Som framgår av avsnitt 5.4.6 anses lagföring av brott i dag ingå i begreppet brottsbekämpning. I brottsdatalagen görs det däremot skillnad mellan brottsbekämpning och lagföring. Skatteverket har dock inga lagförande uppgifter, vilket framgår av 2 kap. 5 § skatte- brottsdatalagen. Tillämpningsområdet bör därför endast omfatta personuppgiftsbehandling i syfte att bekämpa brott.

I avsnitt 4.4.2 diskuterar utredningen vad det ändrade tillämp- ningsområdet innebär.

490

SOU 2017:74

Skattebrottsdatalagen

10.3Grundläggande bestämmelser om behandling

10.3.1Tillåtna rättsliga grunder och behandling för nya ändamål

Utredningens förslag: Skatteverket ska få behandla personupp- gifter om det är nödvändigt för att utföra en arbetsuppgift i syfte att

1.förebygga, förhindra eller upptäcka brottslig verksamhet,

2.utreda brott, eller

3.fullgöra förpliktelser som följer av internationella åtaganden.

Det ska framgå genom en hänvisning att personuppgifter som behandlas med stöd av lagen ska få behandlas för nya ända- mål enligt de förutsättningar som anges i brottsdatalagen.

Skälen för utredningens förslag

En bestämmelse som ersätter brottsdatalagens bestämmelse om tillåtna rättsliga grunder för behandling

Som anges i avsnitt 6.3.1 bör registerförfattningarna innehålla be- stämmelser om tillåtna rättsliga grunder för behandling av person- uppgifter. Regleringen i 2 kap. 5 § skattebrottsdatalagen bör således behållas, men det ska framgå att det inte är en ändamålsbestäm- melse i egentlig mening. Bestämmelsen är på samma sätt som 2 kap. 1 § brottsdatalagen en del av den rättsliga grunden och ger Skatte- verket rättsligt stöd för att behandla personuppgifter automatiserat för att utföra sina arbetsuppgifter (se avsnitt 6.1.2).

Skatteverket får i dag behandla personuppgifter om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda brott eller fullgöra de förpliktelser som följer av internatio- nella åtaganden. Myndigheten bör givetvis även i fortsättningen få behandla personuppgifter om det är nödvändigt för att fullgöra

491

Skattebrottsdatalagen

SOU 2017:74

sådana arbetsuppgifter, men regleringen bör anpassas till brotts- datalagens terminologi.

Skatteverkets brottsdatalag föreslås gälla utöver brottsdatalagen. För att det inte ska råda någon osäkerhet om hur bestämmelsen i 2 kap. 1 § brottsdatalagen förhåller sig till bestämmelsen om tillåtna rättsliga grunder i registerförfattningen bör den senare helt ersätta bestämmelsen i brottsdatalagen. I Skatteverkets brottsdatalag bör det därför på samma sätt som i brottsdatalagen föreskrivas att den arbetsuppgift som ska utföras ska framgå av en bindande unions- rättsakt eller en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan upp- gift. Vad det innebär utvecklas i delbetänkandet (se SOU 2017:29 s. 238 f.).

Behandling för nya ändamål

I dag regleras behandling för nya ändamål till viss del i den sekun- dära ändamålsbestämmelsen i 2 kap. 6 § skattebrottsdatalagen. Ut- redningen anser som framgår av avsnitt 6.3.2 och 6.4.2 att de sekundära ändamålsbestämmelserna bör upphävas. Förutsättning- arna för behandling för nya ändamål bör i stället regleras i brotts- datalagen. Innan personuppgifter får behandlas för nya ändamål inom brottsdatalagens tillämpningsområde ska det enligt 2 kap. 4 § brottsdatalagen säkerställas att behandlingen är nödvändig och pro- portionerlig för det nya ändamålet. Utredningen föreslår att samma prövning ska göras när de brottsbekämpande myndigheterna be- handlar personuppgifter för nya ändamål utanför tillämpningsom- rådet. Det bör införas en bestämmelse i Skatteverkets brottsdatalag som tydliggör att förutsättningarna för att behandla personupp- gifter, som behandlas med stöd av den lagen, för nya ändamål reg- leras i brottsdatalagen.

10.3.2Behandling av biometriska och genetiska uppgifter

Utredningens bedömning: Skatteverket bör inte få behandla biometriska och genetiska uppgifter.

492

SOU 2017:74

Skattebrottsdatalagen

Skälen för utredningens bedömning: I avsnitt 7.3.2 redovisas vad som avses med biometriska och genetiska uppgifter och vilken be- tydelse de har vid brottsbekämpning.

Enligt 2 kap. 12 och 13 §§ brottsdatalagen utgör biometriska uppgifter som används för att identifiera en person och genetiska uppgifter känsliga personuppgifter. Sådana uppgifter får endast behandlas om det är särskilt föreskrivet och det är absolut nödvän- digt för ändamålet med behandlingen.

Det är svårt att se att Skatteverket har något behov av att be- handla biometriska och genetiska uppgifter och utredningen anser därför att det inte bör finnas någon bestämmelse som medger så- dan behandling i Skatteverkets brottsdatalag.

10.3.3Sökning på känsliga personuppgifter

Utredningens förslag: Sökförbudet i brottsdatalagen ska inte hindra att uppgifter som beskriver en persons utseende används vid sökning.

Det ska inte heller hindra sökning i syfte att få fram ett per- sonurval grundat på etniskt ursprung, om sökningen görs i per- sonuppgifter som inte har gjorts gemensamt tillgängliga.

Skälen för utredningens förslag

Undantag från sökförbudet i brottsdatalagen vid sökning i alla slags personuppgifter

I avsnitt 5.3.8 föreslår utredningen att förbudet i 3 kap. 5 § skatte- brottsdatalagen att använda känsliga personuppgifter som sökbe- grepp ska upphävas, eftersom det finns ett generellt sökförbud i 2 kap. 14 § brottsdatalagen. Det förbudet utgår till skillnad från dagens reglering från syftet med sökningen. Om syftet inte är att få fram ett personurval grundat på känsliga personuppgifter är sök- ningen tillåten, även om känsliga personuppgifter används vid sök- ningen (se SOU 2017:29 s. 272 f.).

Eftersom sökförbudet har en ny utformning är det nödvändigt att se över bestämmelserna om sökning. Enligt 3 kap. 5 § andra stycket skattebrottsdatalagen är det tillåtet att använda uppgifter

493

Skattebrottsdatalagen

SOU 2017:74

som beskriver en persons utseende som sökbegrepp vid sökning i uppgifter som gjorts gemensamt tillgängliga. Det finns även i fort- sättningen behov att kunna använda sådana uppgifter vid sökning, även om det leder till att man får fram ett personurval grundat på känsliga personuppgifter. Det bör därför enligt utredningens mening göras undantag från brottsdatalagens sökförbud i Skatte- verkets brottsdatalag. För att möjligheterna till sökning ska vara desamma som i dag bör undantaget omfatta sökningar i alla slags personuppgifter, dvs. oberoende av om uppgifterna har gjorts gemensamt tillgängliga eller inte.

Undantag vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga

Det nuvarande förbudet i skattebrottsdatalagen mot att använda känsliga personuppgifter som sökbegrepp gäller endast vid sökning i uppgifter som har gjorts gemensamt tillgängliga. Det innebär att känsliga personuppgifter kan användas vid sökning i uppgifter som endast ett fåtal har tillgång till. Den enda begränsningen i dag är att behandling av känsliga personuppgifter ska vara absolut nödvändig.

Utredningens utgångspunkt är att de behöriga myndigheternas möjlighet att använda känsliga personuppgifter vid sökning inte ska försämras. För att effektivt kunna bekämpa brott behöver Skatte- verket kunna göra sammanställningar i syfte att få fram ett person- urval grundat på vissa känsliga personuppgifter vid sökning i upp- gifter som inte har gjorts gemensamt tillgängliga. Det finns därför skäl att göra undantag från sökförbudet i brottsdatalagen vid sök- ning i uppgifter som inte har gjorts gemensamt tillgängliga.

Framför allt i underrättelseverksamheten kan det finnas behov av sökning som innebär att sammanställningar grundade på etniskt ursprung skapas. I t.ex. ärenden om falska identitetshandlingar eller gränsöverskridande ekonomisk brottslighet kan etniskt ursprung vara en gemensam faktor som knyter samman personer i ett nät- verk. I utredningsverksamheten finns motsvarande behov av att kunna söka på sådana känsliga personuppgifter. Skatteverket har i övrigt inget behov av att kunna ta fram personurval grundade på känsliga personuppgifter.

Undantaget från sökförbudet i brottsdatalagen bör utformas så att sökning möjliggörs endast när det gäller etniskt ursprung. Det

494

SOU 2017:74

Skattebrottsdatalagen

innebär att möjligheterna att använda känsliga personuppgifter vid sökning i uppgifter som inte har gjorts gemensamt tillgängliga be- gränsas i förhållande till vad som gäller i dag. Eftersom det inte finns behov av ett generellt undantag bedömer utredningen att för- slaget inte innebär någon försämring.

Hur förhåller sig sökmöjligheterna till sekretessbestämmelsen?

I avsnitt 7.3.3 redogörs för hur bestämmelserna om sökning på känsliga personuppgifter förhåller sig till bestämmelser om sekre- tess. Som framgår där kommer utredningens tidigare förslag om att absolut sekretess ska gälla för sökning som utförs i strid med det generella sökförbudet i 2 kap. 14 § brottdatalagen inte att gälla för sökningar som görs med stöd av de nu föreslagna undantagen. Ut- lämnande av känsliga personuppgifter i en sådan sammanställning får i stället prövas mot andra bestämmelser om sekretess.

10.4Gemensamt tillgängliga uppgifter

Begränsningarna ska inte gälla vid sökning i en viss handling eller i ett visst ärende. De ska inte heller gälla vid sökning som görs av särskilt angivna tjänstemän

1.när de utför beredningsuppgifter i underrättelseverksamhet, om arbetet befinner sig i ett inledande skede,

3.i syfte att utreda brott för vilket är föreskrivet fängelse i fyra år eller däröver.

495

Skattebrottsdatalagen

SOU 2017:74

Skälen för utredningens förslag

Begränsning endast i automatiserade behandlingssystem

Eftersom sökning med hjälp av namn, personnummer och samord- ningsnummer är ett viktigt inslag i Skatteverkets verksamhet och sådana identitetsbeteckningar är av stor betydelse för att säkerställa identiteten och undvika personförväxlingar, ansågs det nödvändigt att medge sådan sökning i gemensamt tillgängliga uppgifter (jfr avsnitt 7.5.2). I 3 kap. 6 § skattebrottsdatalagen regleras därför vilka uppgifter som får tas fram vid sökning på namn, personnum- mer, samordningsnummer eller andra liknande identitetsbeteck- ningar. I 3 kap. 7 § görs vissa undantag från bestämmelserna i 3 kap. 6 §. I förarbetena diskuteras ingående vilka typer av sökning som bör vara tillåtna och vilka begränsningar som bör gälla (se prop. 2016/17:89 s. 96 f.). Paragraferna är utformade efter mönster av polisdatalagen.

Skattebrottsdatalagen har nyligen trätt i kraft och de aktuella bestämmelserna behöver inte tillämpas förrän år 2019. Liknande övergångsbestämmelser gäller även för polisen, som därför ännu inte heller har erfarenhet av att tillämpa bestämmelserna. Av de skäl som anges i avsnitt 7.5.2 bör det tydliggöras att regleringen enbart gäller vid sökning i automatiserade behandlingssystem. Där görs också vissa uttalanden om hur regleringen bör tolkas som är giltiga även för Skatteverket.

Sökning i gemensamt tillgängliga uppgifter

Undantagen i 3 kap. 7 § skattebrottsdatalagen från begränsningarna av vilka uppgifter som får tas fram vid sökning är utformade efter mönster av polisdatalagen. Av de skäl som anges i avsnitt 7.5.2 bör undantagen ändras även i Skatteverkets brottsdatalag. Det gäller undantagen för att bearbeta och analysera information i underrät- telseverksamhet. Regleringen bör utformas på samma sätt som för Polismyndigheten.

496

SOU 2017:74

Skattebrottsdatalagen

10.5Övergångsbestämmelser till skattebrottsdatalagen

Utredningens bedömning: Övergångsbestämmelserna till skat- tebrottsdatalagen behöver inte ändras.

Skälen för utredningens bedömning: Utredningen föreslår i av- snitt 5.3.10 att vissa bestämmelser om särskilda upplysningar ska finnas kvar. I 3 kap. 4 § första stycket skattebrottsdatalagen före- skrivs att om uppgifter som är gemensamt tillgängliga direkt kan hänföras till en person som inte är misstänkt för brott eller för att ha utövat eller komma att utöva viss brottslig verksamhet, ska det genom en särskild upplysning eller på annat sätt framgå att perso- nen inte är misstänkt. Vidare krävs det enligt andra stycket sär- skilda upplysningar i vissa fall om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Till paragrafen finns det över- gångsbestämmelser i punkterna 3 och 4 a. Punkten 3 innebär att bestämmelsen om särskilda upplysningar inte behöver tillämpas på uppgifter som har samlats in före lagens ikraftträdande och punk- ten 4 a att den inte behöver tillämpas förrän den 1 januari 2019 när det gäller annat än underrättelseverksamhet.

Enligt 2 kap. 9 § brottsdatalagen ska uppgifter om olika katego- rier av personer så långt möjligt särskiljas. Om det inte framgår av sammanhanget eller på annat sätt till vilken kategori en person hör ska det framgå genom en särskild upplysning. I delbetänkandet be- dömer utredningen att det inte är nödvändigt att förse alla äldre personuppgifter med sådana upplysningar om de saknar det (se SOU 2017:29 s. 262). Det bör därför vara möjligt att behålla punk- ten 3 i övergångsbestämmelserna. Det kan däremot ifrågasättas om det är möjligt att ha kvar punkten 4 a med hänsyn till kraven i arti- kel 6 i direktivet på att det ska göras tydlig åtskillnad mellan olika kategorier av registrerade. Eftersom Skatteverket har anpassat sig till övergångsbestämmelsen i fråga och tiden mellan brottsdata- lagens ikraftträdande och när övergångsbestämmelsen upphör att gälla är så kort anser utredningen att det inte finns skäl att upphäva övergångsbestämmelsen.

I punkten 4 c i övergångsbestämmelserna föreskrivs att 4 kap. 5 och 6 §§ om hur länge vissa personuppgifter får behandlas inte be-

497

Skattebrottsdatalagen

SOU 2017:74

höver tillämpas förrän den 1 januari 2019. En sådan övergångsbe- stämmelse står inte i strid med brottsdatalagens reglering om hur länge personuppgifter får behandlas och kan därmed behållas. Det bör dock framhållas att Skatteverket måste iaktta skyldigheten i 2 kap. 18 § brottsdatalagen att återkommande se över behovet av att behandla uppgifterna fram till dess att den nu aktuella bestäm- melsen i Skatteverkets brottsdatalag börjar tillämpas.

Övergångsbestämmelserna till bestämmelserna om sökning kan behållas då direktivet inte ställer några krav på sökbegränsningar.

Utredningens förslag till anpassningar av skattebrottsdatalagen innebär att de bestämmelser som övergångsbestämmelserna tar sikte på får ny placering eller numrering. Övergångsbestämmelser behöver i sådana fall inte ändras utan ska fortsätta att tillämpas på samma sätt som tidigare.

I kapitel 18 behandlas behovet av nya övergångsbestämmelser.

498

11 Åklagardatalagen

11.1Åklagardatalagen behöver anpassas

11.1.1Nuvarande reglering

Åklagardatalagen gäller enligt 1 kap. 2 § första stycket vid behand- ling av personuppgifter i Åklagarmyndighetens och Ekobrottsmyn- dighetens (åklagarväsendets) operativa verksamhet. Med operativ verksamhet avses dels brottsbekämpande verksamhet, dels full- görandet av andra åklagaruppgifter enligt lag eller förordning. Det senare kan t.ex. vara att föra talan om hävande av registrering av varumärkesrätt, att företräda staten i mål om vattenförorenings- avgift eller att fatta beslut om förstörande av vissa hälsofarliga missbrukssubstanser (se prop. 2014/15:63 s. 43 f. och 68 f.). Lagen gäller enligt 1 kap. 2 § andra stycket inte vid behandling av person- uppgifter i den polisiära verksamheten vid Ekobrottsmyndigheten. Vid sådan behandling gäller i stället polisdatalagen och andra för- fattningar som reglerar polisens personuppgiftsbehandling.

Som anges i avsnitt 4.2 måste registerförfattningarna ändras i vissa avseenden med anledning av dataskyddsdirektivet och anpas- sas till brottsdatalagen. Många bestämmelser behöver överhuvud- taget inte anpassas eller endast ändras redaktionellt. Utredningen behandlar de anpassningar och ändringar som är gemensamma för registerförfattningarna i kapitel 5 och 6. De ytterligare anpass- ningar som krävs i åklagardatalagen behandlas i detta kapitel.

Frågan om anpassning av den del av åklagardatalagen som ligger utanför brottsdatalagens tillämpningsområde bereds för närvarande i Regeringskansliet.

499

Åklagardatalagen

SOU 2017:74

11.1.2Åklagardatalagen delas upp

Utredningens förslag: Åklagardatalagen med tillhörande för- ordning ska bara innehålla bestämmelser om personuppgiftsbe- handling inom brottsdatalagens tillämpningsområde och ges nya namn. De ska benämnas åklagarväsendets brottsdatalag och åklagarväsendets brottsdataförordning.

Skälen för utredningens förslag

Den nuvarande regleringen renodlas

Vid åklagardatalagens tillkomst övervägde regeringen om åklagar- datalagen endast skulle omfatta personuppgiftsbehandling i den brottsbekämpande verksamheten. Eftersom arbetsuppgifter utan- för den brottsbekämpande verksamheten utgör en mycket liten del av åklagarverksamheten ansåg regeringen dock att det inte behöv- des någon särskild författning för annan operativ verksamhet. Eftersom personuppgiftslagens allmänna bestämmelser inte heller var ändamålsenliga för sådan integritetskänslig verksamhet ansåg regeringen att åklagardatalagen borde omfatta all personuppgiftbe- handling som rör åklagaruppgifter (se prop. 2014/15:63 s. 43 f.). Med hänsyn till hur den nya dataskyddsregleringen är utformad finns det emellertid skäl att på nytt överväga den frågan.

Åklagardatalagen reglerar alltså huvudsakligen personuppgifts- behandling inom brottsdatalagens tillämpningsområde, men även till viss del inom dataskyddsförordningens. Om man skulle behålla en samlad reglering för åklagarväsendets personuppgiftsbehandling skulle den därför till största delen gälla utöver brottsdatalagen, men skulle i övrigt komplettera dataskyddsförordningen.

Ett alternativ är att dela upp regleringen i två separata regelverk

– ett för brottsdatalagens tillämpningsområde och ett för data- skyddsförordningens. Som anges i avsnitt 9.1.2 är strukturen med olika registerförfattningar för en myndighets olika verksamheter ingen nyhet.

Den nya dataskyddsregleringen gör det nödvändigt att dela upp regleringen av åklagarväsendets personuppgiftsbehandling på ett annat sätt än i dag. Det skulle i och för sig vara möjligt att göra alla nödvändiga ändringar i den befintliga lagen. Lösningen med två

500

SOU 2017:74

Åklagardatalagen

separata regleringar blir emellertid enligt utredningens mening tyd- ligare och lättare att tillämpa. Trots de skäl som anges i förarbetena till åklagardatalagen bör därför åklagarväsendets personuppgiftsbe- handling fortsättningsvis regleras i olika registerförfattningar. Den del av personuppgiftsbehandlingen som ligger inom brottsdata- lagens tillämpningsområde bör regleras i den befintliga lagen med hänsyn till att den i dag till största delen rör brottsbekämpande verksamhet. Mot den bakgrunden bör 2 kap. 5 § andra stycket åklagardatalagen, som reglerar behandling av personuppgifter utan- för brottsdatalagens tillämpningsområde, upphävas.

Åklagardatalagen ges ett nytt namn

Eftersom endast den del av åklagarväsendets personuppgiftsbe- handling som ligger inom brottsdatalagens tillämpningsområde ska regleras i åklagardatalagen, bör det övervägas om lagens namn bör bytas. Av de skäl som anges i avsnitt 7.1.2 finns det anledning att byta namn på registerförfattningarna inom brottsdatalagens till- lämpningsområde. Namnet bör knyta an till hur brottsdatalagen benämns. Det bör vara kort och ange för vem författningen gäller och vad den handlar om. Eftersom lagen ska gälla för både Åkla- garmyndigheten och Ekobrottsmyndigheten bör det av namnet framgå att lagen omfattar båda myndigheterna, som tillsammans bildar åklagarväsendet. Utredningen föreslår därför att lagen ska benämnas åklagarväsendets brottsdatalag. Åklagardataförordningen bör i konsekvens med det benämnas åklagarväsendets brottsdata- förordning. Som en konsekvens av att lagens namn ändras måste alla hänvisningar till den ändras.

11.2Tillämpningsområdet

Utredningens förslag: Lagen ska gälla utöver brottsdatalagen när myndigheterna i åklagarväsendet i egenskap av behöriga myndigheter behandlar personuppgifter i åklagarverksamhet i syfte att bekämpa eller lagföra brott eller handlägga frågor om ändring eller verkställighet av straffrättsliga påföljder eller upp- rätthållande av allmän ordning och säkerhet.

501

Åklagardatalagen

SOU 2017:74

Skälen för utredningens förslag

Den nuvarande regleringen behöver anpassas

Enligt 1 kap. 2 § åklagardatalagen gäller lagen vid behandling av personuppgifter i åklagarväsendets operativa verksamhet. Tillämp- ningsområdet måste anpassas till brottsdatalagens, så att det dels utgår från syftet med behandlingen, dels omfattar bara den person- uppgiftsbehandling som Åklagarmyndigheten och Ekobrottsmyn- digheten utför inom brottsdatalagens tillämpningsområde och som inte regleras i någon annan lag. Det bör framgå att åklagarväsendets brottsdatalag endast gäller när någon av myndigheterna agerar i egenskap av behöriga myndigheter, eftersom det är en viktig av- gränsning för tillämpningsområdet (se SOU 2017:29 s. 159 f.).

Närmare om tillämpningsområdet

Som framgår av avsnitt 5.4.6 anses lagföring av brott i dag ingå i be- greppet brottsbekämpning, medan det i brottsdatalagen görs skill- nad mellan brottsbekämpning och lagföring. För att tillämpnings- området ska täcka det som i dag omfattas av regleringen bör det därför inkludera personuppgiftsbehandling i syfte att bekämpa eller lagföra brott.

Brottsdatalagens tillämpningsområde omfattar även personupp- giftsbehandling i syfte att verkställa straffrättsliga påföljder. Åkla- gare för talan om ändring av påföljd enligt bestämmelser i 27, 28 och 38 kap. brottsbalken. Åklagare prövar även vissa frågor om straffverkställighet vid beslut att utfärda en europeisk eller nordisk arresteringsorder (se 2 och 4 §§ förordningen [2003:1178] om överlämnande till Sverige enligt en europeisk arresteringsorder och 2 och 4 §§ förordningen [2012:566] om överlämnande till Sverige enligt en nordisk arresteringsorder). Åklagare ska också yttra sig i vissa frågor om rättspsykiatrisk vård med särskild utskrivnings- prövning. Personuppgiftsbehandling när åklagare handlägger frågor

502

SOU 2017:74

Åklagardatalagen

som rör ändring av påföljd eller frågor om straffverkställighet bör därför också omfattas av lagens tillämpningsområde.

Brottsdatalagens tillämpningsområde omfattar även personupp- giftsbehandling i syfte att upprätthålla allmän ordning och säker- het. Enligt 6 § lagen (2005:321) om tillträdesförbud vid idrotts- arrangemang prövar allmän åklagare frågor om tillträdesförbud. Som framgår av delbetänkandet är brottsdatalagen tillämplig på be- handling av personuppgifter vid sådan prövning (se SOU 2017:29 s. 228 f.). Tillämpningsområdet bör därför också omfatta person- uppgiftsbehandling när åklagare handlägger frågor om upprätthål- lande av allmän ordning och säkerhet.

Särskilt om verksamheten vid Ekobrottsmyndigheten

Ekobrottsmyndigheten är en åklagarmyndighet som ansvarar för bekämpning av ekonomisk brottslighet. Åklagarmyndigheten an- svarar för all annan åklagarverksamhet än den som ankommer på Ekobrottsmyndigheten. I avsnitt 7.2.1 redogör utredningen för Ekobrottsmyndighetens organisation och arbetsuppgifter. Som framgår där består Ekobrottsmyndighetens operativa verksamhet av underrättelseverksamhet, utrednings- och lagföringsverksamhet och brottsförebyggande verksamhet. Huvuddelen av myndighetens verksamhet är att utreda brott.

Personuppgiftsbehandlingen vid Ekobrottsmyndigheten regle- ras i dag i både åklagardatalagen och polisdatalagen. Polisdatalagen gäller i den polisiära verksamheten, medan åklagardatalagen gäller i den övriga operativa verksamheten. Utredningen föreslår i av- snitt 7.2.1 att uttrycket åklagarverksamhet ska användas för att av- gränsa tillämpningsområdet för polisdatalagen. Skälet till det är att det är tydligare vad som ingår i åklagarverksamhet än i polisiär verksamhet. Utredningen föreslår där att polisens brottsdatalag ska gälla vid personuppgiftsbehandling i syfte att utreda brott, om det inte är fråga om åklagarverksamhet. Åklagarväsendets brottsdatalag bör med hänsyn till det gälla vid personuppgiftsbehandling som utförs i åklagarverksamhet i syfte att utreda och lagföra brott.

Behandling av personuppgifter i den underrättelseverksamhet som bedrivs vid Ekobrottsmyndigheten ska inte omfattas av åkla- garväsendets brottsdatalag, eftersom den verksamheten leds, styrs

503

Åklagardatalagen

SOU 2017:74

och utförs av Polismyndigheten på Ekobrottsmyndighetens upp- drag. Den utgör därmed inte någon åklagarverksamhet.

11.3Grundläggande bestämmelser om behandling

11.3.1Tillåtna rättsliga grunder och behandling för nya ändamål

Utredningens förslag: Personuppgifter ska få behandlas om det är nödvändigt för att utföra en arbetsuppgift i syfte att

1.förebygga eller förhindra brottslig verksamhet,

2.utreda eller lagföra brott,

3.handlägga frågor om ändring eller verkställighet av straff- rättsliga påföljder,

4.handlägga frågor som rör upprätthållande av allmän ordning och säkerhet, eller

5.fullgöra förpliktelser som följer av internationella åtaganden.

Det ska framgå genom en hänvisning att personuppgifter som behandlas med stöd av lagen ska få behandlas för nya ända- mål enligt de förutsättningar som anges i brottsdatalagen.

Skälen för utredningens förslag

En bestämmelse som ersätter brottsdatalagens bestämmelse om tillåtna rättsliga grunder för behandling

Som anges i avsnitt 6.3.1 bör registerförfattningarna innehålla be- stämmelser om tillåtna rättsliga grunder för behandling av person- uppgifter. Regleringen i 2 kap. 5 § första stycket åklagardatalagen bör alltså behållas, men det ska framgå att det inte är en ändamåls- bestämmelse i egentlig mening. Bestämmelsen är på samma sätt

504

SOU 2017:74

Åklagardatalagen

som 2 kap. 1 § brottsdatalagen en del av den rättsliga grunden och ger åklagare rättsligt stöd för att behandla personuppgifter automa- tiserat för att utföra sina arbetsuppgifter (se avsnitt 6.1.2).

I dag får personuppgifter behandlas i åklagarväsendets brottsbe- kämpande verksamhet om det behövs för att förebygga eller för- hindra brottslig verksamhet, utreda eller beivra brott eller fullgöra de förpliktelser som följer av internationella åtaganden. Åklagar- myndigheten och Ekobrottsmyndigheten bör givetvis även i fort- sättningen få behandla personuppgifter om det är nödvändigt för att fullgöra sådana arbetsuppgifter, men regleringen bör anpassas till brottsdatalagens terminologi.

Åklagare för talan om ändring av påföljder bl.a. med stöd av 38 kap. 2 och 2 a §§ brottsbalken. Som framgår av avsnitt 11.2 prö- var åklagare numera även vissa frågor om straffverkställighet när de utfärdar en nordisk eller europeisk arresteringsorder. Eftersom det ingår i åklagares arbetsuppgifter att handlägga frågor om ändring eller verkställighet av straffrättsliga påföljder bör det också vara en tillåten rättslig grund för åklagares personuppgiftsbehandling.

Utredningen föreslår i avsnitt 11.2 att tillämpningsområdet för åklagarväsendets brottsdatalag ska omfatta personuppgiftsbehand- ling när åklagare handlägger frågor om upprätthållande av allmän ordning och säkerhet. Att handlägga frågor som rör upprätthål- lande av allmän ordning och säkerhet bör därför också vara en till- låten rättslig grund för personuppgiftsbehandlingen.

Åklagarväsendets brottsdatalag föreslås gälla utöver brottsdata- lagen. För att det inte ska råda någon osäkerhet om hur bestämmel- sen i 2 kap. 1 § brottsdatalagen förhåller sig till bestämmelsen om tillåtna rättsliga grunder i registerförfattningen bör den senare helt ersätta bestämmelsen i brottsdatalagen. Det bör därför, på samma sätt som i brottsdatalagen, föreskrivas att den arbetsuppgift som ska utföras ska framgå av en bindande unionsrättsakt eller en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt åklagare att ansvara för en sådan uppgift. Vad det innebär ut- vecklas i delbetänkandet (se SOU 2017:29 s. 238 f.).

505

Åklagardatalagen

SOU 2017:74

Behandling för nya ändamål

I dag regleras behandling för nya ändamål till viss del i den sekun- dära ändamålsbestämmelsen i 2 kap. 6 § åklagardatalagen. Utred- ningen anser som framgår av avsnitt 6.3.2 och 6.4.2 att de sekun- dära ändamålsbestämmelserna bör upphävas. Förutsättningarna för behandling för nya ändamål bör i stället regleras i brottsdatalagen. Innan personuppgifter får behandlas för nya ändamål inom brotts- datalagens tillämpningsområde ska det enligt 2 kap. 4 § brottsdata- lagen säkerställas att behandlingen är nödvändig och proportioner- lig för det nya ändamålet. Utredningen föreslår att samma prövning ska göras när de brottsbekämpande myndigheterna behandlar per- sonuppgifter för nya ändamål utanför tillämpningsområdet. Det bör införas en bestämmelse i åklagarväsendets brottsdatalag som tydliggör att förutsättningarna för att behandla personuppgifter, som behandlas med stöd av den lagen, för nya ändamål regleras i brottsdatalagen.

11.3.2Behandling av biometriska och genetiska uppgifter

Utredningens bedömning: Åklagarmyndigheten och Eko- brottsmyndigheten bör inte få behandla biometriska och gene- tiska uppgifter.

Skälen för utredningens bedömning: I avsnitt 7.3.2 redovisas vad som avses med biometriska och genetiska uppgifter och vilken be- tydelse de har vid brottsbekämpning.

Enligt 2 kap. 12 och 13 §§ brottsdatalagen utgör biometriska uppgifter som används för att identifiera en person och genetiska uppgifter känsliga personuppgifter. Sådana uppgifter får endast behandlas om det är särskilt föreskrivet och det är absolut nödvän- digt för ändamålet med behandlingen.

Det är svårt att se att åklagare har något behov av att behandla biometriska och genetiska uppgifter och utredningen anser därför att det inte bör finnas någon bestämmelse som medger sådan be- handling i åklagarväsendets brottsdatalag.

Det bör anmärkas att de personuppgifter som förekommer i ett utlåtande som baseras på en teknisk bearbetning av biometriska

506

SOU 2017:74

Åklagardatalagen

eller genetiska uppgifter inte i sig utgör sådana uppgifter. Åklagare kommer alltså att kunna behandla personuppgifter i sådana utlåtan- den i samma utsträckning som i dag.

11.3.3Sökning på känsliga personuppgifter

Utredningens förslag: Sökförbudet i brottsdatalagen ska inte hindra att brottsrubriceringar eller uppgifter som beskriver en persons utseende används vid sökning.

Skälen för utredningens förslag

Undantag från sökförbudet i brottsdatalagen vid sökning i alla slags personuppgifter

I avsnitt 5.3.8 föreslår utredningen att förbudet i 3 kap. 4 § första stycket åklagardatalagen att använda känsliga personuppgifter som sökbegrepp ska upphävas, eftersom det finns ett generellt sökför- bud i 2 kap. 14 § brottsdatalagen. Det förbudet utgår till skillnad från dagens reglering från syftet med sökningen. Om syftet inte är att få fram ett personurval grundat på känsliga personuppgifter är sökningen tillåten, även om känsliga personuppgifter används vid sökningen (se SOU 2017:29 s. 272 f.).

Eftersom sökförbudet har en ny utformning är det nödvändigt att se över bestämmelserna om sökning. Enligt 3 kap. 4 § andra stycket åklagardatalagen är det tillåtet att använda brottsrubrice- ringar eller uppgifter som beskriver en persons utseende som sök- begrepp vid sökning i uppgifter som har gjorts gemensamt tillgäng- liga. Myndigheterna har även i fortsättningen behov av att kunna använda sådana uppgifter vid sökning, även om det leder till att man får fram ett personurval grundat på känsliga personuppgifter. Det bör därför enligt utredningens mening göras undantag från brottsdatalagens sökförbud i åklagarväsendets brottsdatalag för sådana sökningar. För att möjligheterna till sökning ska vara de- samma som i dag bör undantaget omfatta sökning i alla slags per- sonuppgifter, dvs. oberoende av om uppgifterna har gjorts gemen- samt tillgängliga eller inte.

507

Åklagardatalagen

SOU 2017:74

Behövs det undantag vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga?

Det nuvarande förbudet i åklagardatalagen mot att använda käns- liga personuppgifter som sökbegrepp gäller endast vid sökning i personuppgifter som har gjorts gemensamt tillgängliga. Det inne- bär att känsliga personuppgifter får användas vid sökning i uppgif- ter som enbart ett fåtal har tillgång till.

Utredningens utgångspunkt är att de behöriga myndigheternas möjlighet att använda känsliga personuppgifter vid sökning inte ska försämras. Enligt utredningens mening behövs det inte något undantag vid sökning i uppgifter som inte har gjorts gemensamt tillgängliga, eftersom sammanställningar grundande på känsliga personuppgifter normalt inte görs av åklagare. Förändringen inne- bär därmed inte någon försämring.

Hur förhåller sig sökmöjligheterna till sekretessbestämmelsen?

I avsnitt 7.3.3 redogörs för hur den nu föreslagna bestämmelsen om undantag från sökförbudet förhåller sig till bestämmelser om sekretess. Som framgår där kommer utredningens förslag om att absolut sekretess ska gälla hos behöriga myndigheter till skydd för enskild för uppgifter i ett sådant personurval som avses i 2 kap. 14 § brottsdatalagen inte att gälla för sökning som görs med stöd av ett undantag från sökförbudet. Utlämnande av känsliga person- uppgifter i en sådan sammanställning får i stället prövas mot andra bestämmelser om sekretess.

11.4Gemensamt tillgängliga uppgifter

Vid en sådan sökning ska även uppgifter få tas fram som anger att den sökta personen är anmäld för brott.

508

SOU 2017:74

Åklagardatalagen

Skälen för utredningens förslag

Begränsning endast i automatiserade behandlingssystem

Eftersom sökning med hjälp av namn, personnummer och samord- ningsnummer är ett viktigt inslag i åklagares verksamhet och så- dana identitetsbeteckningar är av stor betydelse för att säkerställa identiteten och undvika personförväxlingar, ansågs det nödvändigt att medge sådan sökning i gemensamt tillgängliga uppgifter (se prop. 2014/15:63 s. 88 f. och avsnitt 7.5.2). I 3 kap. 5 § åklagardata- lagen regleras därför vilka uppgifter som får tas fram vid sökning på namn, personnummer, samordningsnummer eller andra liknande identitetsbeteckningar. I 3 kap. 6 § görs undantag från bestämmel- serna i 3 kap. 5 § vid sökning i en viss handling eller i ett visst ären- de. I förarbetena diskuteras ingående vilka typer av sökning som bör vara tillåtna och vilka begränsningar som bör gälla (se prop. 2014/15:63 s. 88 f.). Paragraferna är utformade efter mönster av polisdatalagen.

Bör ytterligare uppgifter få tas fram vid sökning?

Som nyss nämnts föreskrivs det i 3 kap. 5 § åklagardatalagen vilka uppgifter som får tas fram vid sökning på namn, personnummer, samordningsnummer eller andra liknande identitetsbeteckningar i uppgifter som har gjorts gemensamt tillgängliga. Det rör sig bl.a. om uppgifter som anger att den sökta personen är eller har varit misstänkt för brott, är misstänkt för att ha utövat eller komma att utöva brottslig verksamhet eller har anmält ett brott. Motsvarande bestämmelser finns i bl.a. 3 kap. 6 § polisdatalagen, 4 kap. 5 § kust- bevakningsdatalagen och 3 kap. 6 § tullbrottsdatalagen. De senare bestämmelserna skiljer sig dock från bestämmelsen i åklagardatala- gen på det sättet att de även anger att uppgift om att någon är an- mäld för brott får tas fram. Frågan är om det bör införas en mot- svarande bestämmelse i åklagarväsendets brottsdatalag.

509

Åklagardatalagen

SOU 2017:74

Utgångspunkten är att brott normalt ska anmälas till Polismyn- digheten eller någon av de andra myndigheter som har till uppgift att ta upp anmälningar om brott. I vissa fall görs dock en brotts- anmälan direkt till åklagare. Det gäller t.ex. anmälningar enligt 7 kap. 16 § konkurslagen (1987:672) från konkursförvaltare, men det kan även förekomma i andra fall. Det förhållandet att vissa an- mälningar görs direkt till åklagare motiverar enligt utredningens mening att även sådana uppgifter bör vara sökbara.

510

12 Domstolsdatalagen

12.1Behovet av ny reglering

12.1.1Nuvarande reglering

Domstolsdatalagen gäller enligt 2 § vid behandling av personupp- gifter i de allmänna domstolarnas, de allmänna förvaltningsdom- stolarnas och hyres- och arrendenämndernas rättskipande och rättsvårdande verksamhet. Lagen gäller också när personuppgifter vidarebehandlas i den administrativa verksamheten för att lämnas ut efter begäran.

Lagen gäller enligt 4 § i stället för personuppgiftslagen, men vissa bestämmelser i den lagen som räknas upp i 5 § ska ändå till- lämpas. Domstolsdatalagen kompletteras av domstolsdataförord- ningen, som framför allt innehåller mer preciserade bestämmelser om sökning och direktåtkomst.

12.1.2Regleringen för domstolarna kräver särskilda överväganden

Domstolsdatalagen liknar i vissa avseenden övriga registerförfatt- ningar. Den räknar upp vilka bestämmelser i personuppgiftslagen som ska tillämpas i domstolarnas verksamhet och delar upp ända- målen i primära och sekundära. Det som framför allt skiljer dom- stolsdatalagen från övriga registerförfattningar är att den har en annan lagteknisk struktur. Lagen är inte kapitelindelad och större delen av regleringen finns i förordning. I de avseendena liknar den mer kriminalvårdens registerlagstiftning. Vissa bestämmelser i domstolsdatalagen avviker från motsvarande bestämmelser i övriga registerförfattningar, där det också finns bestämmelser som helt saknar motsvarighet i domstolsdatalagen. Som exempel kan nämnas

511

Domstolsdatalagen

SOU 2017:74

att lagen inte innehåller några bestämmelser om bevarande och gallring, utan i stället bestämmelser som begränsar möjligheterna att söka i avgjorda mål och ärenden. Lagen är inte heller tillämplig på behandling av uppgifter om juridiska personer.

Domstolsdatalagen kräver därför särskilda överväganden, vilket gör att utredningen behandlar den för sig. De överväganden som görs i kapitel 5 och 6 om övriga registerförfattningar har trots det i stor utsträckning bäring på regleringen av domstolarnas person- uppgiftsbehandling inom brottsdatalagens tillämpningsområde.

I domstolsdatalagen regleras personuppgiftsbehandling inom både brottsdatalagens och dataskyddsförordningens tillämpnings- område. De delar av domstolsdatalagen och domstolsdataförord- ningen som ligger utanför brottsdatalagens tillämpningsområde har övervägts av en annan utredare. Förslagen redovisas i promemorian En omarbetad domstolsdatalag (Ds 2017:41).

12.1.3En särskild registerlagstiftning inom brottsdatalagens tillämpningsområde

Utredningens förslag: En ny lag och en ny förordning, som inom brottsdatalagens tillämpningsområde ersätter domstols- datalagen med tillhörande förordning, ska införas. De ska be- nämnas domstolarnas brottsdatalag och domstolarnas brotts- dataförordning.

Skälen för utredningens förslag

Den nuvarande regleringen bör renodlas

Domstolsdatalagen med tillhörande förordning reglerar person- uppgiftsbehandling såväl inom som utanför brottsdatalagens till- lämpningsområde Utredningen redovisar i delbetänkandet sin syn på när brottsdatalagen är tillämplig vid personuppgiftsbehandling inom domstolsväsendet (se SOU 2017:29 s. 181 f., 206 f., 225 f. och 228 f.). När brottsdatalagen och dataskyddsförordningen bör- jar tillämpas kommer domstolsdatalagen alltså att vara tillämplig både vid personuppgiftsbehandling inom och utanför brottsdata- lagens tillämpningsområde, om ingen ändring görs. Som utredning-

512

SOU 2017:74

Domstolsdatalagen

en utvecklar i avsnitt 9.1.2 och 11.1.2 bör lösningen med en gemen- sam reglering som dels kompletterar dataskyddsförordningen, dels gäller utöver brottsdatalagen inte väljas. Utredningen har samrått med den utredare som haft i uppdrag att anpassa domstolsdatalagen till dataskyddsförordningen om att dela upp regleringen i två sepa- rata regelverk – ett som ska gälla för brottsdatalagens tillämpnings- område och ett för dataskyddsförordningens. Den utredaren före- slår i enlighet med det att domstolsdatalagen renodlas så att den enbart reglerar personuppgiftsbehandling inom dataskyddsförord- ningens tillämpningsområde (se Ds 2017:41 s. 55 f.).

Det bör mot den bakgrunden införas en ny lag och en ny för- ordning som ersätter domstolsdatalagen med tillhörande förord- ning inom brottsdatalagens tillämpningsområde. Lagen bör ha samma struktur som övriga registerförfattningar.

Registerförfattningens namn

Eftersom endast den del av domstolarnas personuppgiftsbehand- ling som ligger inom brottsdatalagens tillämpningsområde ska reg- leras i den nya lagen bör lagen ha ett namn som tydliggör register- författningens anknytning till brottsdatalagen. Namnet bör vara kort och tydligt ange för vem författningen gäller och vad den rör. Den nya lagens namn bör följa samma systematik som föreslås för registerförfattningarna i övrigt (se t.ex. avsnitt 7.1.2). Utredningen föreslår därför att lagen ska benämnas domstolarnas brottsdatalag. Den tillhörande förordningen bör i konsekvens med det benämnas domstolarnas brottsdataförordning.

12.2Utgångspunkter för regleringen

12.2.1Den nya lagen ska gälla utöver brottsdatalagen

Utredningens förslag: Den nya lagen ska gälla utöver brotts- datalagen.

Skälen för utredningens förslag: I avsnitt 5.2 föreslår utredningen att registerförfattningarna för övriga myndigheter i rättskedjan ska gälla utöver brottsdatalagen. Detsamma bör gälla den nya lagen för

513

Domstolsdatalagen

SOU 2017:74

domstolarna. Lagen bör innehålla bestämmelser som innebär preci- seringar, undantag eller avvikelser från bestämmelserna i brotts- datalagen. Det medför att bestämmelserna i den nya lagen måste läsas tillsammans med regleringen i brottsdatalagen och tolkas i ljuset av den regleringen.

12.2.2Domstolsdatalagen kan bilda mönster

Vid personuppgiftsbehandling inom brottsdatalagens tillämpnings- område kommer den lagen att fylla ungefär samma funktion som personuppgiftslagen gör i dag, eftersom den innehåller grundläg- gande bestämmelser om behandlingen. Det behövs emellertid också bestämmelser som tar hänsyn till domstolarnas särskilda behov av att kunna behandla personuppgifter (se SOU 2017:29 s. 140 f.).

Domstolsdatalagen har nyligen införts. Det innebär att den, som konstateras i avsnitt 4.3, i likhet med övriga registerförfatt- ningar uppfyller kraven som ställs i dataskyddsrambeslutet. Mot bakgrund av att direktivet i stor utsträckning bygger vidare på reg- leringen i dataskyddsrambeslutet är domstolsdatalagen därmed till stor del redan anpassad till de krav som ställs i direktivet. Det inne- bär att den nya lagen kan utformas med domstolsdatalagen som mönster.

Som framgår av avsnitt 12.1.3 kommer det att finnas olika regel- verk för domstolarnas personuppgiftsbehandling i den rättskipande och rättsvårdande verksamheten. Det är en fördel om regleringen i den nya lagen kan stämma överens med regleringen i domstols- datalagen. I vissa avseenden skiljer sig dock dataskyddsdirektivets reglering från dataskyddsförordningens. Eftersom den nya lagen måste vara förenlig med direktivet är det oundvikligt att den till viss del kommer att avvika från regleringen i domstolsdatalagen.

12.2.3Vissa bestämmelser i domstolsdatalagen behövs inte

Utredningens bedömning: Eftersom brottsdatalagen innehåller en generell reglering behövs inte vissa av de bestämmelser som i dag finns i domstolsdatalagen.

514

SOU 2017:74

Domstolsdatalagen

Skälen för utredningens bedömning: Den nya lagen ska som nyss nämnts gälla utöver brottsdatalagen. Eftersom brottsdatalagen innehåller en generell reglering behövs ingen motsvarighet till vissa bestämmelser som i dag finns i domstolsdatalagen. Det gäller bl.a. bestämmelserna om lagens syfte, personuppgiftsombud, behand- ling av känsliga personuppgifter och tillgången till personuppgifter (jfr avsnitt 5.3.3, 5.3.6, 5.3.8 och 5.3.9). Ett annat exempel är be- stämmelsen om att lagen enbart gäller för automatiserad och annan strukturerad behandling (jfr avsnitt 5.3.4). Utredningen återkom- mer i avsnitt 12.7 till i vilken utsträckning föreskrifter om tillgång till personuppgifter bör kunna meddelas.

I 11 § första stycket domstolsdatalagen föreskrivs att den som är personuppgiftsombud ska föra en förteckning över de behandlingar som utförs. Enligt förarbetena bör domstolarna vara skyldiga att sammanställa och tillgängliggöra den information som en anmälan enligt 36 § första stycket personuppgiftslagen av automatiserad behandling skulle ha innehållit (se prop. 2014/15:148 s. 85 f.). En- ligt 3 kap. 3 § brottsdataförordningen ska den personuppgiftsan- svarige föra register över behandlingar. Där ska bl.a. kategorier av behandlingar av personuppgifter förtecknas och för varje kategori ska registret ange bl.a. den rättsliga grunden för behandlingen och ändamålen med behandlingen. Någon bestämmelse motsvarande 11 § domstolsdatalagen behövs därför inte i den nya lagen. Det gäller även föreskriftsrätten som är knuten till den paragrafen.

Enligt 12 § domstolsdatalagen ska den personuppgiftsansvarige till var och en som begär det lämna upplysningar om sina behand- lingar av personuppgifter. Upplysningarna ska i princip omfatta samma information som ska framgå av den förteckning som per- sonuppgiftsombudet ska föra enligt 11 §. Motsvarande bestämmel- se finns i 42 § personuppgiftslagen, men av lagtekniska skäl ansåg lagstiftaren att det inte var lämpligt att hänvisa till den (se prop. 2014/15:148 s. 86). Som utredningen konstaterar i avsnitt 5.3.1 finns det ingen motsvarighet till 42 § personuppgiftslagen i direk- tivet. Även om det inte finns något som hindrar att en motsvarande bestämmelse tas in i den nya lagen ser utredningen inget behov av det. Regleringen i 3 kap. 3 § brottsdataförordningen fyller behovet av sådan information.

515

Domstolsdatalagen

SOU 2017:74

12.3Allmänna bestämmelser

12.3.1Tillämpningsområdet

Utredningens förslag: Lagen ska gälla utöver brottsdatalagen när allmän domstol i egenskap av behörig myndighet behandlar personuppgifter, om uppgifterna behandlas i syfte att handlägga mål eller ärenden om utredning av eller lagföring för brott, änd- ring eller verkställighet av straffrättsliga påföljder eller upprätt- hållande av allmän ordning och säkerhet.

Lagen ska också gälla när allmän förvaltningsdomstol i egen- skap av behörig myndighet behandlar personuppgifter, om upp- gifterna behandlas i syfte att handlägga mål om verkställighet av häktning eller straffrättsliga påföljder.

Skälen för utredningens förslag

Nya utgångpunkter för avgränsningen av tillämpningsområdet

I avsnitt 4.4.1 tar utredningen ställning till att registerförfattning- arna ska innehålla bestämmelser om tillämpningsområdet. Dom- stolsdatalagen gäller vid personuppgiftsbehandling i domstolarnas rättskipande och rättsvårdande verksamhet och när personuppgif- terna vidarebehandlas i den administrativa verksamheten för att lämnas ut efter begäran.

Brottsdatalagen gäller enligt 1 kap. 2 § för behandling av person- uppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också för behandling av personuppgifter som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet. Det som är av- görande för brottsdatalagens tillämpning är alltså, förutom att det ska vara en behörig myndighet som behandlar personuppgifterna, att personuppgiftsbehandlingen görs för något av dessa syften. Tillämpningsområdet för den nya lagen kan därför inte knytas till domstolarnas rättskipande och rättsvårdande verksamhet utan bör avgränsas på ett annat sätt. Tillämpningsområdet bör i stället utgå från syftet med behandlingen. Det bör också framgå att den nya lagen gäller när domstolar agerar i egenskap av behöriga myndig-

516

SOU 2017:74

Domstolsdatalagen

heter, eftersom det är en viktig avgränsning för tillämpningsom- rådet (se SOU 2017:29 s. 159 f.).

Närmare om tillämpningsområdet

Den nya lagen bör omfatta all personuppgiftsbehandling som dom- stolar utför inom brottsdatalagens tillämpningsområde. Domsto- larnas kärnverksamhet består i att handlägga mål och ärenden (jfr 6 § domstolsdatalagen). Tillämpningsområdet för den nya lagen bör därför knytas till personuppgiftsbehandling som utförs i syfte att handlägga mål och ärenden av vissa slag.

För allmän domstol bör tillämpningsområdet framför allt om- fatta brottmålsförfarandet. Tillämpningsområdet bör alltså omfatta personuppgiftsbehandling i syfte att handlägga mål och ärenden om lagföring för brott.

Allmän domstol prövar också ofta frågor om häktning och andra straffprocessuella tvångsmedel under en förundersökning. Domstolarna fattar även beslut enligt 23 kap. 19 § rättegångsbalken om komplettering av förundersökningar och kan hålla vittnesför- hör och besluta i andra frågor under pågående förundersökningar. Personuppgiftsbehandling för sådana syften bör också omfattas av tillämpningsområdet. I konsekvens med hur tillämpningsområdet uttrycks för de brottsbekämpande myndigheterna bör den arbets- uppgiften anges som handläggning av mål eller ärenden om utred- ning av brott.

Vidare prövar allmän domstol vissa frågor om ändring av påföljd och om verkställighet av påföljd (se SOU 2017:29 s. 228 f.). Hand- läggning av mål och ärenden som rör ändring och verkställighet av straffrättsliga påföljder bör därmed ingå i tillämpningsområdet.

Eftersom allmän domstol även prövar frågor om tillträdesförbud vid idrottsarrangemang bör tillämpningsområdet också omfatta handläggning av mål och ärenden om upprätthållande av allmän ordning och säkerhet (se SOU 2017:29 s. 228 f.).

För allmän förvaltningsdomstol bör tillämpningsområdet endast omfatta personuppgiftsbehandling i syfte att handlägga mål om verkställighet av häktning och straffrättsliga påföljder. Det avser verkställighet av rättspsykiatrisk vård, andra vårdpåföljder och vissa frihetsberövande påföljder (se SOU 2017:29 s. 226). Även när den

517

Domstolsdatalagen

SOU 2017:74

gren inom de allmänna förvaltningsdomstolarna som handlägger migrationsmål, dvs. Migrationsöverdomstolen och migrationsdom- stolarna, handlägger mål som rör personer som av allmän domstol utvisats på grund av brott behandlas personuppgifter i sådant syfte.

Eftersom hyres- och arrendenämnderna inte behandlar person- uppgifter för något av de syften som omfattas av direktivets till- lämpningsområde är det inte möjligt att reglera deras personupp- giftsbehandling i den nya lagen. Tillämpningsområdet bör därför endast omfatta allmän domstol och allmän förvaltningsdomstol.

Hela målets eller ärendets handläggning bör omfattas

När mål eller ärenden handläggs för något av de syften som anges i lagen bör hela handläggningen fram till dess att domstolen slutligt avgjort frågan omfattas av lagens tillämpningsområde. Det innebär att all personuppgiftsbehandling som utförs vid handläggningen av ett brottmål omfattas av tillämpningsområdet. Även handläggning av enskilda anspråk bör omfattas, trots att det är en civilrättslig talan, så länge de handläggs inom ramen för brottmålet. Lagen bör dock inte vara tillämplig om anspråket avskiljs för att handläggas som tvistemål. Det bör på motsvarande sätt gälla vissa andra former av särskild talan och talan om förbud som förs i brottmål (se SOU 2017:29 s. 208 f.).

Vidare bör all expediering i ett mål eller ärende som är en del av handläggningen omfattas. Det spelar alltså ingen roll om domar eller beslut expedieras till Kriminalvården för verkställighet av på- följd eller till Inspektionen för vård och omsorg för att den ska kunna ta ställning till om en läkare som dömts för brott ska få be- hålla sin läkarlegitimation. Även expediering för att tillgodose partsinsynen i mål eller ärenden bör omfattas. Det avgörande är att expedieringen utförs i mål eller ärenden som domstolen handlägger för något av de syften som omfattas av lagens tillämpningsområde och att expedieringen utgör en del av handläggningen. Tillämp- ningsområdet bör även omfatta den expediering som är direkt knu- ten till att avgörandet får laga kraft.

Däremot bör domstolens behandling av personuppgifter för arkivering eller för att överlämna allmänna handlingar till en arkiv- myndighet inte omfattas av den nya lagens tillämpningsområde.

518

SOU 2017:74

Domstolsdatalagen

Som anges i delbetänkandet omfattas behandling för arkivändamål av dataskyddsförordningens tillämpningsområde, oavsett om det är den behöriga myndigheten som arkiverar personuppgifterna eller om de överlämnas till en arkivmyndighet (se SOU 2017:29 s. 287).

Om handläggning för något av de syften som anges i lagen aktu- aliseras på nytt, t.ex. genom en ansökan om resning i ett brottmål, är den nya lagen tillämplig på handläggningen.

Utlämnande omfattas inte av tillämpningsområdet

Domstolsdatalagen gäller inte bara i den rättskipande och rättsvår- dande verksamheten utan även i den del av den administrativa verk- samheten som avser att på begäran lämna ut uppgifter ur mål och ärenden till en enskild eller en myndighet (se prop. 2014/15:148 s. 27 f.). Domstolsdatalagens tillämpningsområde omfattar exem- pelvis utlämnande av allmänna handlingar enligt 2 kap. tryckfri- hetsförordningen. Sådan vidarebehandling av personuppgifter om- fattas inte av direktivets tillämpningsområde och kan därför inte heller ingå i den nya lagens tillämpningsområde. Det gäller oavsett om målet eller ärendet är under handläggning eller har avslutats.

12.3.2Personuppgiftsansvar

Utredningens förslag: Varje domstol ska vara personuppgifts- ansvarig för den behandling av personuppgifter som den utför.

Skälen för utredningens förslag: Personuppgiftsansvarig definie- ras i 1 kap. 6 § brottsdatalagen som den behöriga myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Enligt 3 kap. 1 § är den personuppgiftsansvarige ansvarig för all behandling av person- uppgifter som utförs under dennes ledning eller på dennes vägnar.

Enligt 9 § domstolsdatalagen är varje domstol personuppgifts- ansvarig för den behandling av personuppgifter som den utför. Att varje domstol ansvarar för den behandling som domstolen utför är med hänsyn till domstolarnas självständighet centralt. En bestäm-

519

Domstolsdatalagen

SOU 2017:74

melse som motsvarar 9 § domstolsdatalagen bör därför tas in i den nya lagen.

12.3.3Ska domstolarna utse dataskyddsombud?

Utredningens bedömning: Domstolarna bör inte undantas från skyldigheten i brottsdatalagen att utse dataskyddsombud.

Skälen för utredningens bedömning: Enligt 3 kap. 13 § brotts- datalagen ska behöriga myndigheter utse dataskyddsombud (se SOU 2017:29 s. 340 f.). Domstolars och andra oberoende rättsliga myndigheters dömande verksamhet får dock enligt artikel 32 i direktivet undantas från skyldigheten att utse dataskyddsombud.

Enligt 10 § domstolsdatalagen är domstolarna i dag skyldiga att utse ett eller flera personuppgiftsombud. Personuppgiftsombud motsvarar det som i brottsdatalagen benämns dataskyddsombud. I förarbetena till domstolsdatalagen framhålls att hanteringen av personuppgifter i den rättskipande och rättsvårdande verksamheten indirekt begränsas av de processuella regelverken. I syfte att åstad- komma ett stärkt integritetsskydd ansåg regeringen dock att dom- stolarna borde vara skyldiga att utse ett eller flera personuppgifts- ombud (se prop. 2014/15:148 s. 91).

Direktivet innebär att dataskyddsombuden delvis får nya arbets- uppgifter som har karaktär av intern rådgivning. Deras uppdrag syftar tydligare till att bistå tillsynsmyndigheten. Dataskyddsom- budens roll i förhållande till enskilda regleras inte i brottsdatalagen. Tanken är att de ändå ska fylla samma funktion som personupp- giftsombuden (se SOU 2017:29 s. 344 f.) Ombuden fortsätter allt- så att vara av central betydelse för skyddet för personlig integritet. Det finns därför inte skäl att utnyttja möjligheten i artikel 32 i direktivet att undanta domstolarna från skyldigheten att utse data- skyddsombud i den dömande verksamheten. Den utredare som övervägt anpassningar av domstolsdatalagen till dataskyddsförord- ningen föreslår inte heller att motsvarande undantag i förordningen ska utnyttjas (se Ds 2017:41 s. 157 f.).

520

SOU 2017:74

Domstolsdatalagen

12.3.4Uppgifter om juridiska personer

Utredningens bedömning: Lagen bör inte reglera behandling av uppgifter om juridiska personer.

Skälen för utredningens bedömning: Frågan om domstolsdata- lagen skulle tillämpas på uppgifter om juridiska personer lyftes under lagstiftningsarbetet men ledde inte till något lagförslag. Som skäl för det angavs att det är tveksamt om begreppet personlig inte- gritet har någon relevans för juridiska personer (se Ds 2013:10 s. 49 f.). Domstolsdatalagen är alltså inte tillämplig på uppgifter om juridiska personer.

I 1 kap. 6 § polisdatalagen, 1 kap. 3 § kustbevakningsdatalagen, 1 kap. 4 § åklagardatalagen, 1 kap. 4 § tullbrottsdatalagen och 1 kap. 4 § skattebrottsdatalagen föreskrivs däremot att vissa bestämmelser i respektive lag ska tillämpas på uppgifter om juridiska personer. Även om juridiska personer inte har samma behov av integritets- skydd som fysiska personer har det ansetts att vissa grundläggande bestämmelser om personuppgiftsbehandling bör tillämpas även på uppgifter om juridiska personer. Dessutom kan det vara svårt att i elektronisk hantering skilja uppgifter om juridiska personer från uppgifter om fysiska personer som är ägare av eller ställföreträdare för sådana (se t.ex. prop. 2009/10:85 s. 78). Utredningen anser att bestämmelserna som skyddar uppgifter om juridiska personer bör behållas i övriga registerförfattningar (se avsnitt 5.4.1).

Frågan är om det finns skäl att införa en motsvarande reglering i den nya lagen, trots att uppgifter om juridiska personer inte har något särskilt skydd i dag. Det bör beaktas att den utredare som föreslagit anpassningar av domstolsdatalagen till dataskyddsförord- ningen inte föreslår att uppgifter om juridiska personer ska ha något särskilt skydd. Om den nya lagen skulle tillämpas på upp- gifter om juridiska personer skulle regleringen av domstolarnas personuppgiftsbehandling bli olika utan att det krävs för att genomföra direktivet. Även om det finns fördelar med en enhetlig reglering för myndigheterna i rättskedjan bör en enhetlig reglering för domstolarna i detta fall väga tyngre. Mot den bakgrunden bör den nya lagen inte reglera behandling av uppgifter om juridiska personer.

521

Domstolsdatalagen

SOU 2017:74

12.4Grundläggande bestämmelser om behandling

12.4.1Tillåtna rättsliga grunder för behandling

Utredningens förslag: Personuppgifter ska få behandlas om det är nödvändigt och syftet är att handlägga mål eller ärenden om

1.utredning av eller lagföring för brott,

2.verkställighet av häktning eller ändring eller verkställighet av straffrättsliga påföljder, eller

3.upprätthållande av allmän ordning och säkerhet.

Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket rege- ringen uppdragit åt domstol att ansvara för en sådan uppgift.

Skälen för utredningens förslag

En bestämmelse som ersätter brottsdatalagens bestämmelse om tillåtna rättsliga grunder för behandling

I 6 och 7 §§ domstolsdatalagen regleras för vilka ändamål domsto- larna får behandla personuppgifter. Ändamålen delas liksom för de brottsbekämpande myndigheterna upp i primära och sekundära. De primära ändamålen reglerar den behandling av personuppgifter som behövs vid domstolens handläggning av mål och ärenden. De sekundära ändamålen reglerar i vilken utsträckning personuppgifter som behandlas för något av de primära ändamålen får behandlas för att tillgodose andras behov av information.

Som framgår av avsnitt 6.1.3 anser utredningen att en ändamåls- bestämmelse bör ge någon ledning för prövningen av vilka person- uppgifter som är adekvata och relevanta för behandlingen. Den primära ändamålsbestämmelsen i 6 § domstolsdatalagen ger enligt utredningens mening inte någon egentlig ledning för prövningen av vilka personuppgifter som får behandlas. Där anges endast att per- sonuppgifter får behandlas om det behövs för att domstolarna ska kunna utföra sin huvudsakliga arbetsuppgift, att handlägga mål och ärenden. Syftet med bestämmelsen är att precisera när personupp- gifter alls får behandlas i domstolarnas rättskipande och rättsvår-

522

SOU 2017:74

Domstolsdatalagen

dande verksamhet. Den utgör den yttre ramen inom vilken de sär- skilda, uttryckliga och berättigade ändamålen med behandlingen i enskilda fall ska bestämmas. Av samma skäl som anges beträffande de primära ändamålsbestämmelserna i de brottsbekämpande myn- digheternas registerförfattningar anser utredningen därför att 6 § domstolsdatalagen inte i egentlig mening är en ändamålsbestäm- melse. Den är i stället, på samma sätt som 2 kap. 1 § brottsdata- lagen, en del av den rättsliga grunden och tydliggör att personupp- giftsbehandling är tillåten när arbetsuppgifterna fullgörs.

I avsnitt 6.3.1 konstaterar utredningen att de bestämmelser i de brottsbekämpande myndigheternas registerförfattningar som i dag kallas primära ändamålsbestämmelser bör behållas, men att det ska framgå att de inte är ändamålsbestämmelser i egentlig mening. I domstolarnas brottsdatalag bör det av samma skäl finnas en be- stämmelse som motsvarar 6 § domstolsdatalagen. Det bör dock framgå att det inte är en ändamålsbestämmelse i egentlig mening.

Domstolarna bör givetvis få behandla personuppgifter om det är nödvändigt för att fullgöra en arbetsuppgift inom den nya lagens tillämpningsområde. För att bestämmelsen ska stämma överens med den terminologi som används i brottsdatalagen måste den ut- formas på annat sätt än 6 § domstolsdatalagen. Allmän domstol bör få behandla personuppgifter om det är nödvändigt för att handlägga mål och ärenden om utredning av eller lagföring för brott, ändring eller verkställighet av straffrättsliga påföljder eller upprätthållande av allmän ordning och säkerhet. Allmän förvaltningsdomstol bör få behandla personuppgifter om det är nödvändigt för att handlägga mål om verkställighet av häktning eller straffrättsliga påföljder.

Domstolarnas brottsdatalag föreslås gälla utöver brottsdatala- gen. För att det inte ska råda någon osäkerhet om hur 2 kap. 1 § brottsdatalagen förhåller sig till bestämmelsen om tillåtna rättsliga grunder i registerförfattningen bör den senare helt ersätta bestäm- melsen i brottsdatalagen. I domstolarnas brottsdatalag bör det där- för på samma sätt som i brottsdatalagen föreskrivas att den arbets- uppgift som domstolen ska utföra ska framgå av en bindande unionsrättsakt eller en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt domstol att ansvara för en sådan uppgift. Utredningen utvecklar i delbetänkandet vad det innebär (se SOU 2017:29 s. 238 f.).

523

Domstolsdatalagen

SOU 2017:74

12.4.2Behandling för nya ändamål

Utredningens förslag: Det ska framgå genom en hänvisning att personuppgifter som behandlas med stöd av lagen ska få be- handlas för nya ändamål inom den nya lagens tillämpnings- område enligt de förutsättningar som anges i brottsdatalagen.

Det ska framgå genom en hänvisning att förutsättningarna för att behandla personuppgifter, som behandlas med stöd av den nya lagen, för nya ändamål utanför tillämpningsområdet regleras i brottsdatalagen. Någon prövning av om behandlingen är nödvändig och proportionerlig ska inte krävas när domstols- datalagen ska tillämpas.

Skälen för utredningens förslag

Nya ändamål inom brottsdatalagens tillämpningsområde

I 9 § första stycket d personuppgiftslagen finns en generell bestäm- melse om vidarebehandling. Där regleras finalitetsprincipen, enligt vilken personuppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in. Be- stämmelsen gäller för domstolarna genom en hänvisning i 5 § första stycket 3 domstolsdatalagen. I den sekundära ändamålsbestämmel- sen i 7 § domstolsdatalagen regleras även viss vidarebehandling. Personuppgifter som behandlas med stöd av den primära ändamåls- bestämmelsen i 6 § får även behandlas för att fullgöra uppgiftsläm- nande som sker i överensstämmelse med lag eller förordning.

Innan personuppgifter behandlas för ett nytt ändamål inom brottsdatalagens tillämpningsområde ska det enligt 2 kap. 4 § den lagen säkerställas dels att det finns en tillåten rättslig grund för be- handlingen, dels att behandlingen är nödvändig och proportionerlig för det nya ändamålet. För domstolarnas del kan det vara fallet t.ex. när personuppgifter i ett brottmål behövs för handläggningen av ett annat brottmål.

Enligt förarbetena tillåter 7 § domstolsdatalagen att domstolen lämnar ut personuppgifter inte bara om det finns en uttrycklig skyldighet i lag eller förordning att göra det, utan också i de fall där det kan anses påbjudet eller önskvärt att domstolen gör det (se prop. 2014/15:148 s. 41 f.). En prövning av nödvändighet och pro-

524

SOU 2017:74

Domstolsdatalagen

portionalitet krävs enligt artikel 4.2 i direktivet alltid innan person- uppgifter behandlas för ett nytt ändamål inom tillämpningsom- rådet. Som framgår i avsnitt 6.5 anser utredningen att det bara är i de fall där det finns en uttrycklig uppgiftsskyldighet som lagstif- taren kan anses ha tagit ställning till att uppgiftslämnandet är nöd- vändigt och proportionerligt. Det skulle därför inte vara förenligt med direktivet att ha en bestämmelse som motsvarar 7 § domstols- datalagen i den nya lagen. Det bör i stället tas in en bestämmelse som tydliggör att förutsättningarna för att behandla personupp- gifter, som redan behandlas, för nya ändamål inom lagens tillämp- ningsområde regleras i brottsdatalagen.

Nya ändamål utanför brottsdatalagens tillämpningsområde

Regleringen av domstolarnas personuppgiftsbehandling skiljer sig i detta avseende från de brottsbekämpande myndigheternas. Domstolsdatalagen gäller i dag även när personuppgifter vidarebe- handlas i den administrativa verksamheten för att tillhandahållas enskilda eller myndigheter som begär att få ta del av personupp- gifter som behandlas i den rättskipande och rättsvårdande verk- samheten (se prop. 2014/15:148 s. 101). Den utredare som över- vägt hur domstolsdatalagen ska anpassas till dataskyddsförord- ningen anser att den ordningen bör bestå (se Ds 2017:41 s. 89).

När personuppgifter ska behandlas för nya ändamål och ända- målet omfattas av domstolsdatalagens tillämpningsområde, t.ex. utlämnande på begäran, skulle en möjlig lösning därför kunna vara

525

Domstolsdatalagen

SOU 2017:74

att föreskriva att domstolarna ska tillämpa den lagen i stället för att göra den prövning som utredningen föreslår i brottsdatalagen (se avsnitt 6.4.3). En stor del av behandlingen för nya ändamål utanför brottsdatalagens tillämpningsområde skulle med en sådan lösning följa samma regelverk som domstolarnas personuppgiftsbehandling inom dataskyddsförordningens tillämpningsområde. Det skulle naturligtvis underlätta för domstolarna om regleringen är densam- ma. Utredningen har samrått med den utredare som föreslår an- passningar av domstolsdatalagen till dataskyddsförordningen. Den utredaren föreslår en reglering som möjliggör det (se Ds 2017:41 s. 89 f. och 119 f.).

Förutsättningarna för att behandla personuppgifter, som be- handlas med stöd av den nya lagen, för nya ändamål utanför lagens tillämpningsområde bör på samma sätt som för övriga myndigheter i rättskedjan regleras i brottsdatalagen, men lösningen bör vara annorlunda. Någon prövning av nödvändighet och proportionalitet bör inte krävas när domstolsdatalagen ska tillämpas. All behandling för nya ändamål utanför brottsdatalagens tillämpningsområde kommer dock inte att omfattas av domstolsdatalagens tillämp- ningsområde. Vid behandling för sådana nya ändamål som varken omfattas av brottsdatalagens eller domstolsdatalagens tillämpnings- område bör domstolarna göra samma prövning som i avsnitt 6.4.3 föreslås för de brottsbekämpande myndigheterna.

12.4.3Särskilda upplysningar

Utredningens bedömning: Lagen bör inte innehålla något undantag från brottsdatalagens bestämmelser om särskilda upp- lysningar.

Skälen för utredningens bedömning: Enligt 2 kap. 3 § andra stycket brottsdatalagen ska det ändamål som personuppgifter be- handlas för tydliggöras genom en särskild upplysning, om det inte framgår av sammanhanget eller på något annat sätt. I 2 kap. 9 § brottsdatalagen föreskrivs att personuppgifter som rör olika kate- gorier av registrerade så långt det är möjligt ska särskiljas, t.ex. per- soner som är misstänkta eller dömda för brott, brottsoffer eller andra som berörs av ett brott. Om det inte framgår av samman-

526

SOU 2017:74

Domstolsdatalagen

hanget eller på något annat sätt vilken kategori personen tillhör, ska det tydliggöras genom en särskild upplysning. Enligt 2 kap. 10 § brottsdatalagen ska personuppgifter som grundar sig på fakta så långt det är möjligt skiljas från personuppgifter som grundar sig på personliga bedömningar. Om grunden inte framgår av samman- hanget eller på något annat sätt ska den tydliggöras genom en sär- skild upplysning (se SOU 2017:29 s. 260 f.).

I avsnitt 5.3.10 föreslår utredningen att bestämmelser om sär- skilda upplysningar på samma sätt som i dag enbart ska gälla vid behandling av personuppgifter som har gjorts gemensamt tillgäng- liga. Domstolarna har i dag inga bestämmelser om särskilda upplys- ningar. Det beror på att det i domstolsdatalagen inte görs någon skillnad mellan uppgifter som har gjorts gemensamt tillgängliga och uppgifter som endast ett fåtal personer har tillgång till. I mot- sats till de brottsbekämpande myndigheterna behöver domstolarna därför inte något undantag från brottsdatalagens bestämmelser. Som konstateras i delbetänkandet framgår det vid handläggning i domstol oftast varför personuppgifter behandlas, vilken kategori av registrerade de gäller och om de grundar sig på fakta eller inte (se SOU 2017:29 s. 242 f. och 260 f.).

12.4.4Behandling av personnummer

Utredningens förslag: Personnummer, samordningsnummer och liknande identitetsbeteckningar får endast behandlas när det är motiverat med hänsyn till vikten av en säker identifiering eller något annat beaktansvärt skäl.

Skälen för utredningens förslag: Enligt 22 § personuppgiftslagen får personnummer eller samordningsnummer behandlas utan sam- tycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Det innebär att den personuppgiftsansvarige ska göra en intresseavvägning mellan skälen för att behandla uppgif- terna och de integritetsrisker det innebär. Domstolsdatalagen hän- visar till paragrafen i fråga för att markera vikten av den principen (se prop. 2014/15:148 s. 51).

527

Domstolsdatalagen

SOU 2017:74

I delbetänkandet konstaterar utredningen att det, utöver reg- lerna om känsliga personuppgifter, inte bör tas in några regler i brottsdatalagen om vilka personuppgifter som får behandlas (se SOU 2017:29 s. 276 f.). I avsnitt 5.3.1 gör utredningen bedöm- ningen att det inte bör finnas någon motsvarighet till 22 § person- uppgiftslagen i övriga registerförfattningar.

Frågan är om det finns skäl att göra en annan bedömning för domstolarnas del. Behovet av säker identifiering är givetvis lika stort för domstolarna som för övriga myndigheter i rättskedjan. Det som skiljer domstolarnas verksamhet från de övrigas är att verksamheten till allra största delen är offentlig. Allmänheten har därmed mycket större möjligheter att få kännedom om de personer vilkas uppgifter behandlas. Tillgången till personnummer öppnar ytterligare möjligheter att få fram uppgifter om dem. Det kan en- ligt utredningens mening motivera en fortsatt reglering av hur per- sonnummer och andra liknande identitetsbeteckningar får behand- las i domstolarnas verksamhet. Dessutom föreslås en liknande reglering på dataskyddsförordningens område (se 3 kap. 13 § lagen med kompletterande bestämmelser till EU:s dataskyddsförord- ning). Den utredare som övervägt anpassningar av domstolsdata- lagen till dataskyddsförordningen anser att den bestämmelsen bör gälla för domstolarna (se Ds 2017:47 s. 130 f.). Det bör mot den bakgrunden tas in en bestämmelse som motsvarar 22 § personupp- giftslagen i den nya lagen.

Den omständigheten att det enbart är i domstolarnas register- författning som möjligheterna att behandla personnummer begrän- sas påverkar inte övriga myndigheters möjlighet att utbyta sådana personuppgifter med domstolarna. Det strukturerade informa- tionsflödet i RIF-samarbetet som nämns i avsnitt 5.6.2 påverkas så- ledes inte. Bestämmelsen innebär endast att domstolen måste pröva behovet av att behandla personnummer och liknande identitetsbe- teckningar så att de inte behandlas i onödan.

12.4.5Behandling av biometriska och genetiska uppgifter

Utredningens bedömning: Domstolarna bör inte få behandla biometriska och genetiska uppgifter.

528

SOU 2017:74

Domstolsdatalagen

Skälen för utredningens bedömning: Biometriska uppgifter är enligt 1 kap. 6 § brottsdatalagen personuppgifter som rör en per- sons fysiska, fysiologiska eller beteendemässiga kännetecken, som tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar unik identifiering av personen i fråga. Genetiska uppgifter är enligt samma paragraf personuppgifter som rör en per- sons nedärvda eller förvärvade genetiska kännetecken och som här- rör från analys av ett spår av eller ett prov från personen i fråga. Enligt 2 kap. 13 § brottsdatalagen utgör biometriska uppgifter som används för att identifiera en person och genetiska uppgifter käns- liga personuppgifter. Sådana uppgifter får enligt 2 kap. 12 § brotts- datalagen endast behandlas om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen.

Det är svårt att se att domstolarna har något behov av att be- handla biometriska och genetiska uppgifter och utredningen anser därför att det inte bör finnas någon bestämmelse som medger så- dan behandling i domstolarnas brottsdatalag.

Det bör anmärkas att de personuppgifter som förekommer i ett utlåtande som baseras på en teknisk bearbetning av biometriska eller genetiska uppgifter inte i sig utgör sådana uppgifter. Dom- stolarna kommer alltså att kunna behandla personuppgifter i sådana utlåtanden i samma utsträckning som i dag.

12.5Sökning

12.5.1Sökförbudet i brottsdatalagen ska inte gälla

Utredningens förslag: Förbudet i brottsdatalagen mot sökning i syfte att få fram ett personurval grundat på känsliga person- uppgifter ska inte gälla för domstolarna.

Skälen för utredningens förslag: I 2 kap. 11–13 §§ brottsdatalagen anges vilka uppgifter som betecknas som känsliga personuppgifter. I 2 kap. 14 § förbjuds sökning i syfte att få fram ett personurval grundat på känsliga personuppgifter. Förbudet kompletteras av en bestämmelse om absolut sekretess för sammanställningar grundade på känsliga personuppgifter.

529

Domstolsdatalagen

SOU 2017:74

Enligt 14 § domstolsdatalagen är det förbjudet att vid sökning i personuppgifter som sökbegrepp använda bl.a. känsliga personupp- gifter. Regleringen omfattar även uppgifter om nationell anknyt- ning och brott eller misstanke om brott, eftersom sökning med användande av sådana uppgifter har ansetts innebära särskilda risker i domstolarnas verksamhet. Från sökförbudet görs sedan vissa undantag i 14 § andra stycket och 15 §. Undantagen begränsas emellertid i 3–6 §§ domstolsdataförordningen (2015:729).

Regleringen av vilken sökning som är tillåten har utformats med beaktande av dels domstolarnas behov och intresset av insyn, dels skyddet för enskildas personliga integritet. I förarbetena konstate- ras att det inte är motiverat att begränsa endast domstolspersona- lens möjligheter till sökning, om inte allmänhetens möjligheter att med stöd av offentlighetsprincipen begära sökning begränsas på motsvarande sätt. De största integritetsriskerna ligger inte i de sök- ningar som domstolens personal gör utan i de möjligheter till kart- läggning som sökningar på begäran av allmänheten innebär (se prop. 2014/15:148 s. 53 f.). Någon särskild sekretessbestämmelse för sådana personuppgifter som sökningar kan resultera i finns inte, eftersom principiella skäl har ansetts tala mot att ha en sådan be- stämmelse. Intresset av insyn och öppenhet anses vara särskilt starkt i domstolarna och det finns ett betydande värde i att både journalister och enskilda kan begära att avgöranden söks fram efter bestämda kriterier (se prop. 2014/15:148 s. 55 f.).

Utredningen bedömer mot den bakgrunden att sökförbudet i brottsdatalagen inte bör gälla för domstolarna utan att en annan, för den verksamheten särskilt anpassad, reglering bör gälla i stället.

530

SOU 2017:74

Domstolsdatalagen

12.5.2Särskilda sökförbud

Utredningens förslag: Vid sökning i personuppgifter ska det vara förbjudet att som sökbegrepp använda uppgifter som av- slöjar känsliga personuppgifter eller nationell anknytning.

I allmän domstol får sökbegrepp som avslöjar brott eller misstanke om brott inte användas vid sökning i personuppgifter i mål eller ärenden som har avgjorts slutligt genom en dom eller ett beslut längre än fem år efter utgången av det kalenderår då avgörandet fick laga kraft. Sådana sökbegrepp får inte heller an- vändas vid sökning i tvistemål.

I allmän förvaltningsdomstol får sökbegrepp som avslöjar brott eller misstanke om brott inte användas vid sökning i per- sonuppgifter i mål som har avgjorts slutligt genom en dom eller ett beslut längre än tjugo år efter utgången av det kalenderår då avgörandet fick laga kraft. Sådana sökbegrepp får inte heller an- vändas i mål som handläggs av Migrationsöverdomstolen eller en migrationsdomstol.

Namn, personnummer, samordningsnummer och andra direkta personuppgifter får inte användas som sökbegrepp vid sökning i personuppgifter i brottmål som har avgjorts slutligt genom en dom eller ett beslut längre än fem år efter utgången av det kalenderår då avgörandet fick laga kraft.

Skälen för utredningens förslag

Nuvarande reglering

I 14 § domstolsdatalagen förbjuds som nyss nämnts användning av sökbegrepp som avslöjar känsliga personuppgifter, uppgifter om brott eller misstanke om brott eller nationell anknytning. Förbudet omfattar dock inte användning av särskilda beteckningar för identi- fiering av vissa mål- eller ärendetyper. Från förbudet undantas enligt 15 § sökning i en viss handling eller i ett visst mål eller ären- de. Förbudet gäller inte heller i allmän domstol eller allmän förvalt- ningsdomstol, såvitt gäller sökbegrepp som avslöjar brott eller misstanke om brott, eller i allmän förvaltningsdomstol såvitt gäller sökbegrepp som avslöjar hälsa.

531

Domstolsdatalagen

SOU 2017:74

I 3–5 §§ domstolsdataförordningen begränsas möjligheten till sökning i äldre avgjorda mål och ärenden. Vidare förbjuds använd- ning av sökbegrepp som avslöjar brott eller misstanke om brott i allmän domstol vid sökning i tvistemål och i Migrationsöverdom- stolen och migrationsdomstolarna användning av sökbegrepp som avslöjar brott eller misstanke om brott eller hälsa. Det görs också undantag från sökförbuden vid sökning i viss handling eller i visst mål eller ärende.

Utgångspunkter för regleringen i den nya lagen

Den nuvarande regleringen tillgodoser både domstolarnas berät- tigade behov av att kunna utföra sökning på känsliga personuppgif- ter och andra integritetskänsliga uppgifter och skyddet för enskil- das integritet. Den är enligt utredningens mening också en rimlig avvägning mellan domstolarnas behov och allmänhetens rätt till in- syn. Det innebär att regleringen i domstolsdatalagen kan bilda ut- gångspunkt för regleringen i den nya lagen. Det bör dock övervägas om det finns skäl att ändra utformningen av bestämmelserna om sökning även om innehållet i sak blir detsamma.

Förbud att söka på vissa typer av personuppgifter är ett viktigt inslag i skyddet för enskildas integritet. Sådana bestämmelser bör finnas i lag. Argumentet för att reglera vissa begränsningar av möj- ligheten till sökning i domstolarnas verksamhet i förordning i stäl- let för i lag har enligt utredningens mening inte samma tyngd när brottsdatalagen är tillämplig (jfr prop. 2014/15:148 s. 62 f.). Utred- ningen anser därför att sökförbuden bör regleras i den nya lagen. Regeringen eller den myndighet som regeringen bestämmer bör på samma sätt som i dag kunna meddela föreskrifter om användningen av sökbegrepp.

Sökförbud för känsliga personuppgifter

Enligt direktivet får känsliga personuppgifter behandlas bara om det är absolut nödvändigt och det finns särskilda skyddsåtgärder. Som framgår av delbetänkandet anser utredningen att sökförbudet i 2 kap. 14 § brottsdatalagen är en sådan skyddsåtgärd som direktivet kräver (se SOU 2017:29 s. 272). Eftersom sökförbudet i brotts-

532

SOU 2017:74

Domstolsdatalagen

datalagen inte ska gälla för domstolarna behövs det någon annan form av skyddsåtgärd i den nya lagen. En lämplig lösning är att på samma sätt som i dag förbjuda användningen av känsliga person- uppgifter som sökbegrepp och att kombinera det med undantag. Genom en hänvisning till bestämmelserna om känsliga personupp- gifter i brottsdatalagen kommer alla uppgifter som benämns käns- liga personuppgifter att omfattas av förbudet.

Sökförbud för andra integritetetskänsliga uppgifter

Sökförbudet i domstolsdatalagen gäller inte bara för känsliga per- sonuppgifter utan även för vissa andra uppgifter som ansetts vara särskilt integritetskänsliga, nämligen uppgifter som avslöjar natio- nell anknytning och brott eller misstanke om brott. I motsats till regleringen i det nu gällande dataskyddsdirektivet och dataskydds- förordningen finns det inte några särskilda restriktioner för be- handling av uppgifter om lagöverträdelser i det nya dataskydds- direktivet. Uppgifter om nationell anknytning regleras inte heller. Något sökförbud som motsvarar 14 § första stycket punkterna 7 och 8 krävs därför inte för att genomföra direktivet. De skäl som ligger bakom att sökförbudet i domstolsdatalagen även omfattar sådana uppgifter har dock enligt utredningens mening alltjämt bär- kraft. Direktivet tillåter nationella regler som ger starkare integri- tetsskydd. Även uppgifter om brott och misstanke om brott och om nationell anknytning bör därför omfattas av sökförbudet i den nya lagen.

När det gäller användningen av uppgifter som avslöjar brott eller misstanke om brott som sökbegrepp bör dock regleringen i den nya lagen inte utgå från domstolsdatalagens systematik som bygger på förbud och generella undantag.

Förbuden mot behandling bör motsvara de begränsningar som finns i domstolsdataförordningen. Det innebär för allmän domstol att sökbegrepp som avslöjar brott eller misstanke om brott inte bör få användas vid sökning i personuppgifter i tvistemål eller efter viss tid i andra mål och ärenden som är slutligt avgjorda. För allmän förvaltningsdomstol innebär det att sökbegrepp som avslöjar brott eller misstanke om brott inte bör får användas vid sökning i per- sonuppgifter efter viss tid. Migrationsöverdomstolen och migra-

533

Domstolsdatalagen

SOU 2017:74

tionsdomstolarna bör på samma sätt som i dag överhuvudtaget inte få använda sådana sökbegrepp.

Förbud mot att använda direkta personuppgifter vid sökning

I 4 § domstolsdataförordningen förbjuds användning av namn, per- sonnummer, samordningsnummer och andra uppgifter som direkt kan hänföras till en fysisk person som är i livet som sökbegrepp vid sökning i personuppgifter i brottmål som har avgjorts slutligt fem år efter utgången av det kalenderår då avgörandet fick laga kraft. De skäl som ligger bakom detta förbud har enligt utredningens mening alltjämt bärkraft. Direktivet ställer inga sådana krav men tillåter nationella regler som ger starkare integritetsskydd. En be- stämmelse som motsvarar 4 § domstolsdataförordningen bör därför tas in i den nya lagen.

12.5.3Tillåtna sökningar

Utredningens förslag: Sökförbuden hindrar inte sökning i en viss handling eller i ett visst mål eller ärende, eller med använ- dande av särskilda beteckningar för identifiering av en viss mål- eller ärendetyp.

Sökförbuden hindrar inte att allmän förvaltningsdomstol använder uppgifter som avslöjar hälsa som sökbegrepp. Sådana uppgifter får dock inte användas vid sökning i personuppgifter i mål som har avgjorts slutligt genom en dom eller ett beslut längre än tjugo år efter utgången av det kalenderår då avgöran- det fick laga kraft. Undantaget från sökförbudet ska inte heller gälla vid sökning i personuppgifter i mål som handläggs av Migrationsöverdomstolen eller en migrationsdomstol.

Skälen för utredningens förslag: Det behövs på samma sätt som i dag vissa undantag från sökförbuden. Domstolarna använder i stor utsträckning särskilda beteckningar för att identifiera vissa mål- eller ärendetyper, s.k. målgrupps- och måltypskoder. Av de skäl som anförs i förarbetena till domstolsdatalagen bör sökning

534

SOU 2017:74

Domstolsdatalagen

med användning av sådana beteckningar undantas från sökförbuden i den nya lagen (se prop. 2014/15:148 s. 63).

Sökförbuden bör på samma sätt som i dag inte heller gälla vid sökning i en viss handling eller i ett visst mål eller ärende. Som regeringen konstaterar i förarbetena innebär sökning bland en be- gränsad mängd uppgifter mindre integritetsrisker än sökning i större uppgiftsmängder (se prop. 2014/15:148 s. 63 f.). Det bör så- ledes göras undantag från sökförbuden även för sådana sökningar.

De allmänna förvaltningsdomstolarna får genom undantag i 15 § domstolsdatalagen använda uppgifter om hälsa som sökbegrepp. Det får dock inte göras tjugo år efter det kalenderår då det slutliga avgörandet i målet eller ärendet fick laga kraft. Ett motsvarande undantag bör finnas i den nya lagen. Det svarar mot domstolarnas behov av att kunna söka på sådana uppgifter. På samma sätt som i dag bör det undantaget emellertid inte omfatta sökningar i mål som handläggs av Migrationsöverdomstolen eller en migrations- domstol (jfr prop. 2014/15:148 s. 59 f.).

Regeringen eller den myndighet som regeringen bestämmer bör på samma sätt som i dag kunna meddela föreskrifter om använd- ningen av sökbegepp.

12.6Utlämnande av personuppgifter

12.6.1Direktåtkomst

Utredningens förslag: Direktåtkomst ska få medges

1.en allmän domstol,

2.en allmän förvaltningsdomstol, eller

3.en part eller partens ombud, biträde eller försvarare.

Direktåtkomst enligt punkten 3 får endast avse personuppgifter i partens mål eller ärende.

Begränsning av direktåtkomst och behörighet och säkerhet vid direktåtkomst ska regleras i förordning.

535

Domstolsdatalagen

SOU 2017:74

Skälen för utredningens förslag: Enligt 17 § domstolsdatalagen får direktåtkomst endast medges en allmän domstol, en allmän förvalt- ningsdomstol, en hyres- och arrendenämnd eller en part eller par- tens ombud, biträde eller försvarare. I 7–13 §§ domstolsdataförord- ningen preciseras när direktåtkomst är tillåten till äldre avgjorda mål och ärenden, vid överklagande, till rättspraxis och i samband med beredskapsverksamhet.

Reglerna om direktåtkomst i domstolsdatalagen och domstols- dataförordningen är resultatet av en avvägning mellan domstolarnas behov och skyddet för enskildas integritet. Den bedömning som gjordes i dessa avseenden vid domstolsdatalagens tillkomst har alltjämt bärkraft och regleringen i den nya lagen bör därför utfor- mas på samma sätt. Det gäller även uppdelningen av bestämmel- serna mellan lag och förordning (se prop. 2014/15:148 s. 64 f.).

Hyres- och arrendenämnderna bör inte kunna medges direktåt- komst enligt lagen. De ska som framgår av avsnitt 12.3.1 inte till- lämpa lagen, eftersom de inte handlägger mål eller ärenden i något av de syften som lagen omfattar. Hyres- och arrendenämnderna har inte heller av något annat skäl behov av direktåtkomst till person- uppgifter som behandlas med stöd av lagen.

Regeringen eller den myndighet som regeringen bestämmer bör på samma sätt som i dag kunna meddela föreskrifter om begräns- ning av direktåtkomsten och om behörighet och säkerhet vid sådan åtkomst.

12.6.2Elektroniskt utlämnande

Utredningens förslag: Personuppgifter ska få lämnas ut elekt- roniskt på annat sätt än genom direktåtkomst om det inte är olämpligt.

Begränsning av möjligheten att lämna ut personuppgifter på sådant sätt ska regleras i förordning.

Skälen för utredningens förslag: Enligt 16 § domstolsdatalagen får personuppgifter lämnas ut på medium för automatiserad behand- ling om det inte är olämpligt. Regeringen eller den myndighet som regeringen bestämmer kan meddela ytterligare föreskrifter om be-

536

SOU 2017:74

Domstolsdatalagen

gränsning av möjligheten att lämna ut personuppgifter på det sättet (se prop. 2014/15:148 s. 73 f.).

Varken brottsdatalagen eller direktivet innehåller bestämmelser om på vilket sätt personuppgifter får lämnas ut. Det finns inget som hindrar att nationell lagstiftning innehåller sådana bestämmel- ser. I avsnitt 5.6.4 föreslår utredningen att uttrycket utlämnande på medium för automatiserad behandling ska ersättas med elektro- niskt utlämnande på annat sätt än genom direktåtkomst. Domsto- larna bör enligt utredningens mening kunna lämna ut handlingar elektroniskt i samma utsträckning som i dag. En bestämmelse som motsvarar 16 § domstolsdatalagen bör därför tas in i den nya lagen och formuleras på samma sätt som i övriga registerförfattningar. Begränsning av möjligheten att lämna ut uppgifter på sådant sätt kan regleras i förordning.

12.7Frågor om föreskriftsrätt

Utredningens förslag: Den myndighet som regeringen bestäm- mer ska få meddela föreskrifter om tillgången till personupp- gifter, om begränsning av möjligheten att lämna ut personupp- gifter elektroniskt och frågor som hör samman med det och om möjligheterna till sökning.

Innan myndigheten utfärdar föreskrifter i frågor som berör särskilda risker för intrång i den personliga integriteten ska den samråda med Datainspektionen. Det ska regleras i förordning.

Skälen för utredningens förslag

Föreskriftsrätt för Domstolsverket

I domstolsdatalagen finns det ett flertal bestämmelser där det anges att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter i en viss fråga.

När det gäller föreskriftsrätt skiljer sig regleringen för domsto- larna från vad som gäller för övriga myndigheter i rättskedjan. I dag har Domstolsverket genom bestämmelser i domstolsdataförord- ningen rätt att utfärda föreskrifter som rör behandling av person- uppgifter. Domstolarnas nuvarande verksamhetsstöd för handlägg-

537

Domstolsdatalagen

SOU 2017:74

ning av mål och ärenden, Vera, utvecklas och tillhandahålls av Domstolsverket i myndighetens egenskap av tekniskt serviceorgan åt domstolarna och är gemensamt för alla domstolar. Någon mot- svarighet till den rollen finns inte för de andra myndigheterna i rättskedjan.

Domstolsverket har även i fortsättningen behov av att kunna meddela föreskrifter för domstolarna för att säkerställa att person- uppgiftsbehandlingen i gemensamma it-system uppfyller författ- ningskraven på bl.a. säkerhet. Föreskriftsrätten bör avse tillgång till personuppgifter, begränsning av möjligheten att lämna ut person- uppgifter elektroniskt och frågor om behörighet och säkerhet vid sådant utlämnande. Föreskriftsrätten bör också omfatta begräns- ning av sökning och de ytterligare föreskrifter som behövs för verkställighet av den nya lagen och förordningen. Det innebär att Domstolsverket kommer att ha samma föreskriftsrätt som i dag.

Utredningen föreslår i avsnitt 5.3.9 att det ska tas in en generell bestämmelse i brottsdataförordningen som föreskriver att den per- sonuppgiftsansvarige vid tilldelning av behörighet, utöver behovet av uppgifterna, särskilt ska beakta utbildning och erfarenhet. Den bestämmelsen ska tillämpas av domstolarna. Den är däremot inte tillämplig på Domstolsverket, eftersom verket inte är en behörig myndighet och inte heller personuppgiftsansvarig för behand- lingen. Föreskriftsrätten bör därför på samma sätt som i dag komp- letteras med motsvarande reglering om vad som ska beaktas vid till- delning av behörighet.

Samråd inför utfärdande av föreskrifter

Som framgår av avsnitt 5.7 är de brottsbekämpande myndigheterna skyldiga att samråda med eller ge Datainspektionen tillfälle att yttra sig innan föreskrifter utfärdas i frågor som berör särskilda risker för intrång i den personliga integriteten. Domstolsverket som i dag har föreskriftsrätt enligt domstolsdataförordningen har ingen sådan samrådsskyldighet.

Även om Domstolsverket inte är personuppgiftsansvarig för behandling av personuppgifter som utförs enligt brottsdatalagen eller den nya lagen har verket genom sin föreskriftsrätt en roll som motsvarar t.ex. Åklagarmyndighetens när den utfärdar föreskrifter.

538

SOU 2017:74

Domstolsdatalagen

Därför bör även Domstolsverket vara skyldig att samråda med Datainspektionen innan verket meddelar sådana föreskrifter.

12.8Administrativa sanktionsavgifter

Utredningens förslag: Sanktionsavgift ska få tas ut av den per- sonuppgiftsansvarige vid överträdelse av bestämmelser om till- låten rättslig grund för behandling och om sökbegränsningar.

Sanktionsavgiften ska bestämmas till minst 50 000 kronor och högst 20 000 000 kronor.

Skälen för utredningens förslag: I delbetänkandet konstaterar ut- redningen att tillsyn kommer att kunna utövas över domstolarnas personuppgiftsbehandling men att regeringsformens skydd för självständigheten i dömande verksamhet ska beaktas. Till tillsyns- myndighetens befogenheter hör enligt 5 kap. 7 § första stycket 4 brottsdatalagen att kunna besluta om sanktionsavgift enligt 6 kap. brottsdatalagen. De överträdelser som enligt brottsdatalagen kan leda till att sanktionsavgift tas ut är bl.a. bestämmelser om hur per- sonuppgifter får behandlas (se SOU 2017:29 s. 506 f.)

Reglerna om sanktionsavgift i brottsdatalagen gäller vid överträ- delse av bestämmelser i den lagen. Som framgår av avsnitt 5.4.2 anser utredningen att sanktionsavgift också bör kunna tas ut vid överträdelse av vissa bestämmelser i registerförfattningarna. Det gäller bestämmelser som ersätter, preciserar eller kompletterar be- stämmelser i brottsdatalagen som kan föranleda sanktionsavgift. Överträdelse av vissa bestämmelser i den nya lagen bör av samma skäl kunna föranleda sanktionsavgift.

Det som bör kunna föranleda sanktionsavgift är överträdelse av bestämmelser om tillåtna rättsliga grunder för behandling. Enligt brottsdatalagen är det möjligt att ta ut sanktionsavgift vid överträ- delse av sökförbudet avseende känsliga personuppgifter. För dom- stolarna kommer dock det sökförbudet inte att gälla. Utredningen föreslår i stället i avsnitt 12.5 särskilda bestämmelser om sökförbud för domstolarna som inte bara gäller känsliga personuppgifter. Överträdelse av de bestämmelserna bör kunna leda till att sank- tionsavgift tas ut. Det finns dock inte skäl att föreskriva att sank- tionsavgift får tas ut om någon överträder bestämmelser om tillåtna

539

Domstolsdatalagen

SOU 2017:74

sökningar. Det beror på att en sådan sökning automatiskt blir en överträdelse av det generella sökförbudet, vilket kan föranleda sanktionsavgift. Det bör framgå av en bestämmelse i den nya lagen i vilka fall det är möjligt att ta ut sanktionsavgift.

Som konstateras i avsnitt 5.4.2 är de överträdelser som kan för- anleda sanktionsavgift enligt registerförfattningarna av den arten att det är fråga om allvarligare överträdelser. Det gäller även de överträdelser som bör kunna leda till sanktionsavgift enligt den nya lagen. Sanktionsavgift bör därför tas ut med minst 50 000 kronor och högst 20 000 000 kronor. Sanktionsavgift bör av de skäl som anges i avsnitt 5.4.2 endast kunna tas ut av den personuppgifts- ansvarige.

I 6 kap. 3 § tredje stycket, 4 och 5 §§ brottsdatalagen finns det bestämmelser om hur sanktionsavgiften ska bestämmas och i 6 kap. 6 och 7 §§ om vad som gäller i fråga om beslut om sanktionsavgift. Den nya lagen föreslås gälla utöver brottsdatalagen. Det innebär enligt utredningens mening att handläggnings- och verkställighets- reglerna i brottsdatalagen gäller även i de fall där sanktionsavgiften fastställs med stöd av en bestämmelse i den nya lagen. Några be- stämmelser om handläggningen behövs därför inte.

12.9Skadestånd

Utredningens förslag: Bestämmelsen om skadestånd i brotts- datalagen ska tillämpas på motsvarande sätt vid behandling av personuppgifter i strid med den nya lagen eller föreskrifter som har meddelats i anslutning till den.

Skälen för utredningens förslag: Enligt 7 kap. 1 § brottsdatalagen ska den personuppgiftsansvarige ersätta den registrerade för den skada och kränkning av den personliga integriteten som behandling av personuppgifter i strid med brottsdatalagen, eller föreskrifter som har meddelats i anslutning till den, har orsakat (SOU 2017:29 s. 532 f.).

Rätten till skadestånd vid skada och kränkning bör gälla även när personuppgifter behandlas i strid med det nya regelverket. Det bör därför framgå att 7 kap. 1 § brottsdatalagen ska tillämpas på motsvarande sätt vid behandling av personuppgifter i strid med den

540

SOU 2017:74

Domstolsdatalagen

nya lagen eller föreskrifter som har meddelats i anslutning till den (jfr avsnitt 5.4.3).

12.10 Överklagande

Utredningens förslag: I lagen ska det framgå att det finns be- stämmelser om överklagande i brottsdatalagen.

Sådana beslut av en hovrätt, en tingsrätt eller en förvalt- ningsrätt, som får överklagas enligt brottsdatalagen, överklagas till kammarrätt. Beslut av en kammarrätt överklagas till Högsta förvaltningsdomstolen. Prövningstillstånd ska inte krävas.

Beslut som Högsta domstolen eller Högsta förvaltningsdom- stolen fattar i egenskap av personuppgiftsansvarig får dock inte överklagas.

Skälen för utredningens förslag

Inga bestämmelser om överklagande i den nya lagen

Brottsdatalagen innehåller generella bestämmelser om överklagan- de. I 7 kap. 2 § brottsdatalagen föreskrivs att beslut i fråga om rät- telse eller komplettering, radering eller begränsning av behand- lingen av personuppgifter, som har meddelats av en myndighet i egenskap av personuppgiftsansvarig, får överklagas till allmän för- valtningsdomstol. Detsamma gäller beslut att inte lämna informa- tion på begäran av en registrerad, att ta ut avgift för att lämna infor- mation eller att inte medge omprövning av ett automatiserat beslut. I 7 kap. 3 § finns en särskild bestämmelse om dröjsmålstalan. Även beslut med stöd av den paragrafen får överklagas. Enligt 7 kap. 4 § får tillsynsmyndighetens beslut enligt lagen eller enligt föreskrifter som har meddelats i anslutning till den överklagas till allmän för- valtningsdomstol. I 7 kap. 5 § föreskrivs att andra beslut än de nu nämnda inte får överklagas (se SOU 2017:29 s. 537 f.).

I 19–22 §§ domstolsdatalagen finns det bestämmelser om över- klagande. I avsnitt 5.4.4 konstaterar utredningen att det inte längre behövs några bestämmelser om överklagande i de övriga register- författningarna. Det beror på att frågan om vilka beslut som har fattats av de behöriga myndigheterna i egenskap av personuppgifts-

541

Domstolsdatalagen

SOU 2017:74

ansvariga som får överklagas regleras uttömmande i brottsdatala- gen. Den nya lagen bör av samma skäl inte reglera möjligheterna att överklaga. Av tydlighetsskäl bör det dock finnas en hänvisning till brottsdatalagens bestämmelser om överklagande.

En särskild instansordning

Enligt 7 kap. 2 § brottsdatalagen ska som nyss nämnts beslut som en myndighet fattar i egenskap av personuppgiftsansvarig överkla- gas till allmän förvaltningsdomstol. För att förhindra att förvalt- ningsdomstolarna överprövar sina egna beslut eller högre instansers beslut behövs det en särskild regel om instansordningen i den nya lagen. På samma sätt som i dag bör en förvaltningsrätts beslut över- klagas till kammarrätt och en kammarrätts beslut till Högsta för- valtningsdomstolen. Beslut av en tingsrätt eller en hovrätt bör också överklagas till kammarrätt (jfr prop. 2014/15:148 s. 93 f.). Kammarrätten blir därmed första instans. Något krav på pröv- ningstillstånd bör därför inte gälla (se prop. 2014/15:148 s. 94). Den särskilda instansordningen bör framgå av den nya lagen. Av tydlighetsskäl bör det också framgå att beslut som Högsta domsto- len eller Högsta förvaltningsdomstolen har fattat i egenskap av per- sonuppgiftsansvarig inte får överklagas.

12.11 Övergångsbestämmelser

Utredningens förslag: Begränsningar avseende sökning och direktåtkomst i fråga om slutligt avgjorda mål och ärenden be- höver inte tillämpas förrän den 1 januari 2019.

Skälen för utredningens förslag: I 3–5 och 13 §§ domstolsdata- förordningen begränsas möjligheten till sökning i och direktåt- komst till slutligt avgjorda mål och ärenden. Till dem finns det övergångsbestämmelser i punkten 2 som föreskriver att bestäm- melserna om sökbegränsning och direktåtkomst till slutligt avgjor- da mål och ärenden ska tillämpas första gången den 1 januari 2019.

Utredningen föreslår motsvarande reglering i avsnitt 12.5.2, 12.5.3 och 12.6.1. Frågan är om det bör finnas övergångsbestäm-

542

SOU 2017:74

Domstolsdatalagen

melser till den nya regleringen som motsvarar dem som finns i punkten 2 .

Enligt uppgift från Domstolsverket finns det fortfarande behov av övergångsbestämmelser för att verksamhetsstöden ska hinna anpassas. Det finns inget som hindrar att övergångsbestämmelser till bestämmelserna om sökning tas in i den nya lagen, eftersom direktivet inte ställer några krav på sökbegränsning. Detsamma gäl- ler övergångsbestämmelser om direktåtkomst. Det bör därför tas in motsvarande övergångsbestämmelser i den nya regleringen.

Behovet av övergångsbestämmelser i övrigt och frågan om ikraftträdande behandlas i kapitel 18.

543

13Lagen om behandling av personuppgifter inom kriminalvården

13.1Lagen om behandling av personuppgifter inom kriminalvården behöver anpassas

13.1.1Lagens nuvarande struktur

I kriminalvården ingår myndigheten Kriminalvården och övervak- ningsnämnderna. Lagen om behandling av personuppgifter inom kriminalvården gäller enligt 1 § vid behandling av personuppgifter i kriminalvårdens verksamhet i fråga om vissa personkategorier, bl.a. den som är föremål för personutredning, häktad eller dömd till fängelse, skyddstillsyn eller villkorlig dom med föreskrift om sam- hällstjänst. Kriminalvården får enligt 3 § behandla personuppgifter bara om det behövs för vissa särskilt angivna ändamål, däribland att fullgöra sina uppgifter i enlighet med vad som föreskrivs i lag eller förordning och att underlätta tillgången till sådana uppgifter om verkställighet av påföljd eller häktning som rättsväsendets övriga myndigheter behöver.

Lagen, som enligt 2 § gäller utöver personuppgiftslagen, inne- håller även bestämmelser om personuppgiftsansvar (4 §), behand- ling av känsliga personuppgifter (5 §), direktåtkomst (6 §), gallring (7 §) och utlämnande av uppgifter för rättsstatistiken (9 §). I fråga om rättelse och skadestånd gäller personuppgiftslagens bestämmel- ser (8 §). Lagen innehåller särskilda bestämmelser om omprövning och överklagande (12–16 §§). Merparten av regleringen finns emel- lertid i förordningen (2001:682) om behandling av personuppgifter inom kriminalvården.

545

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

Även annan reglering av personuppgiftsbehandling är i viss ut- sträckning tillämplig i Kriminalvården. Det gäller bl.a. patientdata- lagen (2008:355), som gäller när Kriminalvården bedriver hälso- och sjukvård.

13.1.2En omodern lagstiftning

Kriminalvårdens lagstiftning avviker i många avseenden från den modernare lagstiftning som gäller för övriga myndigheter i rätts- kedjan. De andra registerförfattningarna har tillkommit under de senaste åren, medan kriminalvårdens registerlagstiftning tillkom bara några år efter personuppgiftslagen. Den har inte setts över materiellt sedan dess.

Kriminalvårdens lagstiftning har en annan lagteknisk struktur än övriga registerförfattningar. Den gäller utöver personuppgiftslagen. Lagen är inte som de andra registerförfattningarna indelad i kapitel och består endast av 16 paragrafer. Större delen av regleringen finns i stället i den till lagen hörande förordningen. Den ordningen kan ifrågasättas mot bakgrund av det utökade grundlagsskyddet i 2 kap. 6 § andra stycket regeringsformen. Grundlagsskyddet tar sikte på integritetsintrång i form av övervakning och kartläggning som görs utan samtycke. Det ligger i sakens natur att viss verksamhet på häkten och kriminalvårdsanstalter kan omfattas av grundlagsskyd- det, t.ex. teknisk övervakning eller registrering av personuppgifter. Det är dock endast betydande intrång som omfattas av grundlags- skyddet (se En reformerad grundlag, prop. 2009/10:80, s. 171 f.). Vad det närmare innebär är inte helt klart. I förarbetena pekas bl.a. på att myndighetsregister med ett stort antal registrerade och sär- skilt känsligt innehåll normalt ska regleras i lag (se prop 2009/10:80 s. 183). Det krävs därför en närmare bedömning av i vilken ut- sträckning de register som Kriminalvården för i dag kan fortsätta att i sin helhet regleras i förordning. Utredningen återkommer till det i avsnitt 13.4.

Under de mer än 15 år som förflutit efter tillkomsten av krimi- nalvårdens registerlagstiftning har förutsättningarna för verksam- heten på häkten och kriminalvårdsanstalter förändrats avsevärt. Brottsligheten har ändrat karaktär. Ändringarna i påföljdsystemet, särskilt möjligheten att avtjäna fängelsestraff med fotboja, medför

546

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

att de som verkställer fängelsestraff i anstalt i dag generellt sett avtjänar straff för tyngre kriminalitet än förr. Även demografiska faktorer påverkar hur verksamheten på häkten och i kriminalvårds- anstalter bedrivs. Kriminalvården måste t.ex. vid placering av in- tagna ta större hänsyn än tidigare till sådana faktorer som organise- rad brottslighet och tillhörighet till olika kriminella grupperingar.

Vidare har synen på hur registerlagstiftning för myndigheterna inom rättskedjan bör utformas och vad som bör regleras i lag re- spektive förordning ändrats. Modernare registerlagstiftning bygger inte i samma utsträckning på en detaljerad uppräkning av vilka per- sonuppgifter som får behandlas.

Mot den bakgrunden behöver kriminalvårdens registerlagstift- ning enligt utredningens mening ses över och moderniseras. Det finns t.ex. fördelar om den kan ges en struktur och ett innehåll som i större utsträckning liknar övriga registerförfattningar, vilket ut- vecklas i avsnitt 13.4.2. Även om utredningen nu föreslår vissa för- ändringar som ett led i anpassningen till brottsdatalagen, krävs det en total översyn av kriminalvårdens registerlagstiftning för att kri- minalvården ska kunna behandla personuppgifter på ett ändamåls- enligt sätt. Utredningen föreslår därför ingen ny lag, trots att alla bestämmelser ändras och lagen får en ny utformning.

I kapitel 4 behandlas behovet av ändringar i myndigheternas registerförfattningar. Anpassningar och ändringar som är gemen- samma för registerförfattningarna behandlas i kapitel 5. De ytter- ligare ändringar som bör göras i lagen om behandling av person- uppgifter inom kriminalvården med tillhörande förordning behand- las i detta kapitel.

En annan utredare har i uppdrag att anpassa den del av kriminal- vårdens registerlagstiftning som ligger utanför brottsdatalagens till- lämpningsområde till dataskyddsförordningen (Ju 2016:G).

13.1.3Två olika registerlagar för kriminalvården

Utredningens förslag: Lagen och förordningen om behandling av personuppgifter inom kriminalvården ska bara innehålla be- stämmelser om personuppgiftsbehandling inom brottsdata- lagens tillämpningsområde. De ska benämnas kriminalvårdens brottsdatalag respektive kriminalvårdens brottsdataförordning.

547

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

Skälen för utredningens förslag

Den nuvarande regleringen renodlas

Lagen om behandling av personuppgifter inom kriminalvården reglerar huvudsakligen personuppgiftsbehandling inom brottsdata- lagens tillämpningsområde, men även till viss del inom dataskydds- förordningens. Utredningen redovisar i delbetänkandet sin syn på när brottsdatalagen är tillämplig på verksamhet inom kriminalvår- den (se SOU 2017:29 s. 191 f., 214 f. och 217 f.). Om man skulle behålla en samlad reglering för kriminalvårdens personuppgiftsbe- handling skulle den därför till största delen gälla utöver brottsdata- lagen, men skulle i övrigt komplettera dataskyddsförordningen med tillhörande lagstiftning. Ett alternativ är att dela upp regle- ringen i två separata regelverk – ett för brottsdatalagens tillämp- ningsområde och ett för dataskyddsförordningens. Som anges i av- snitt 9.1.2 är strukturen med olika registerförfattningar för en myndighets olika verksamheter ingen nyhet.

Den nya dataskyddsregleringen gör det nödvändigt att dela upp regleringen av kriminalvårdens personuppgiftsbehandling på ett annat sätt än i dag. Det skulle i och för sig vara möjligt att göra alla nödvändiga ändringar i den befintliga regleringen. Lösningen med två separata regleringar blir emellertid enligt utredningens mening tydligare och lättare att tillämpa. Den del av kriminalvårdens per- sonuppgiftsbehandling som ligger inom brottsdatalagens tillämp- ningsområde bör regleras i den befintliga registerförfattningen eftersom den till största delen rör häktning och straffverkställighet. De bestämmelser i kriminalvårdens registerförfattningar som tar sikte på frågor som ligger utanför brottsdatalagens tillämpnings- område bör därför upphävas. Utredningen har samrått om den lös- ningen med den utredare som har i uppdrag att anpassa kriminal- vårdens registerförfattningar till dataskyddsförordningen.

Registerförfattningen ges ett nytt namn

Eftersom endast den del av kriminalvårdens personuppgiftsbehand- ling som ligger inom brottsdatalagens tillämpningsområde ska reg- leras i lagen om behandling av personuppgifter inom kriminalvår- den, bör det övervägas om namnet på lagen ska bytas. Av de skäl

548

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

som anges i avsnitt 7.1.2 finns det anledning att byta namn på registerförfattningarna inom brottsdatalagens tillämpningsområde. Namnet bör knyta an till hur brottsdatalagen benämns. Det bör vara kort och ange för vem författningen gäller och vad den rör.

Övriga registerförfattningar föreslås få namn där ordet brotts- datalag ingår. En nackdel med det är att det då inte framgår att lagen gäller för behandling av personuppgifter vid straffverkställig- het. Det är kriminalvårdens huvudsakliga arbetsuppgift, men som utredningen konstaterar i delbetänkandet består den i att verkställa påföljder för brott (se SOU 2017:29 s. 142 f.). Den tydliga kopp- lingen mellan straffverkställighet och brott gör att namnet brotts- datalag inte blir missvisande. Fördelen med ett namn som följer samma systematik som övriga registerförfattningar uppväger nack- delen med att namnet inte helt återspeglar lagens tillämpningsom- råde. Utredningen föreslår därför att lagen ska benämnas kriminal- vårdens brottsdatalag. Förordningen som kompletterar lagen bör då benämnas kriminalvårdens brottsdataförordning.

Eftersom lagens och förordningens namn ändras måste alla hän- visningar till dem i andra författningar ändras.

13.2Allmänna bestämmelser

13.2.1Tillämpningsområdet

Utredningens förslag: Lagen ska gälla utöver brottsdatalagen när någon av myndigheterna inom kriminalvården i egenskap av behörig myndighet behandlar personuppgifter i syfte att verk- ställa häktning eller straffrättsliga påföljder eller biträda en annan behörig myndighet när den utför arbetsuppgifter för något av de syften som anges i brottsdatalagen.

Skälen för utredningens förslag

Den nuvarande regleringen behöver anpassas

549

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

regleringen. Vidare föreslår utredningen i avsnitt 5.2 att registerför- fattningarna ska gälla utöver brottsdatalagen.

Enligt 1 § lagen om behandling av personuppgifter inom krimi- nalvården gäller lagen vid behandling av personuppgifter i kriminal- vårdens verksamhet i fråga om personer som är föremål för per- sonutredning, som är häktade eller som är dömda till fängelse, skyddstillsyn eller villkorlig dom med föreskrift om samhällstjänst, som är ålagda fängelse som förvandlingsstraff för böter eller vite, som på grund av utländsk dom ska verkställa nämnda påföljder i Sverige, som på annan grund är intagna i häkte eller kriminalvårds- anstalt eller som annars transporteras av kriminalvårdens transport- tjänst.

Tillämpningsområdet utgår i dag alltså från att personuppgifts- behandlingen ska avse en person i någon av de uppräknade katego- rierna. Den utformningen är inte förenlig med regleringen i brotts- datalagen, eftersom det är syftet med personuppgiftsbehandlingen som är avgörande för vilket regelverk som ska tillämpas, inte om personen tillhör en viss kategori. Regleringen kan därför inte bygga enbart på en uppräkning av personkategorier. Uppräkningar av det slaget hör inte heller hemma i en modern registerförfattning. Till- lämpningsområdet bör i stället utgå från syftet med personupp- giftsbehandlingen. Det bör också framgå att lagen endast gäller när myndigheterna agerar i egenskap av behöriga myndigheter, efter- som det är en viktig avgränsning för tillämpningsområdet (se SOU 2017:29 s. 159 f.).

Personuppgiftsbehandling vid verkställighet av häktning och straffrättsliga påföljder

En av Kriminalvårdens huvuduppgifter är enligt 1 § förordningen (2007:1172) med instruktion för Kriminalvården att verkställa ut- dömda påföljder. Det som avses är verkställighet av fängelsestraff och vissa frivårdspåföljder. Personuppgiftsbehandling för sådana syften bör därför omfattas av tillämpningsområdet

Enligt 2 § instruktionen ska Kriminalvården verka för att påfölj- der verkställs på ett säkert sätt och att återfall i brott förebyggs. Kriminalvården ska särskilt vidta åtgärder som syftar till att brotts- lighet under verkställigheten förhindras. Enligt 3 § första stycket 3 lagen om behandling av personuppgifter inom kriminalvården får

550

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

Kriminalvården behandla personuppgifter om det behövs för att upprätthålla säkerheten och förebygga brott under häktning och verkställighet av påföljder. Personuppgiftsbehandling för sådana syften bör även i fortsättningen omfattas av tillämpningsområdet.

En annan av Kriminalvårdens huvuduppgifter är enligt 1 § in- struktionen att bedriva häktesverksamhet. Utredningen konstaterar i delbetänkandet att brottsdatalagen ska tillämpas vid behandling av personuppgifter avseende den som är anhållen eller häktad för brott (se SOU 2017:29 s. 191 f.). Detsamma gäller den som är häktad efter dom i avvaktan på att domen får laga kraft och vid häktning för att hindra att den dömde undandrar sig verkställighet av beslut om utvisning på grund av brott. Lagen ska också tillämpas på den som är omhändertagen efter beslut enligt 26 kap. 22 § och 28 kap. 6 b § brottsbalken och förvaras i häkte. Personuppgifts- behandling i syfte att verkställa häktning bör därmed också om- fattas av tillämpningsområdet. Verkställighet av häktning för syften som ligger utanför brottsdatalagens tillämpningsområde bör dock inte omfattas av tillämpningsområdet. All förvaring i häkte och alla transporter som Kriminalvården utför bör inte omfattas, utan en- bart sådana åtgärder för ändamål inom brottsdatalagens tillämp- ningsområde.

Övervakningsnämnderna prövar vissa frågor om verkställighet utanför anstalt enligt fängelselagen (2010:610). Nämnderna har även uppgifter som rör verkställigheten av skyddstillsyn. När över- vakningsnämnderna hanterar personuppgifter för sådana syften görs det inom ramen för straffverkställighet och bör därför omfat- tas av tillämpningsområdet.

Personuppgiftsbehandling vid biträde åt andra behöriga myndigheter

Kriminalvården ansvarar för att utföra personutredningar i brott- mål. I lagen (1991:2041) om särskild personutredning i brottmål, m.m. föreskrivs att Kriminalvården dels ska genomföra sådan ut- redning om en misstänkts personliga förhållanden som krävs för att domstolen ska kunna avgöra påföljdsfrågan, dels ska avge yttranden som belyser återfallsrisken. När Kriminalvården genomför en per- sonutredning eller avger ett yttrande görs det primärt för att det ska finnas ett tillräckligt underlag för att kunna lagföra någon för

551

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

brott. Vid personutredning kan Kriminalvården sägas biträda fram- för allt domstolarna vid lagföring av brott.

Enligt överenskommelse med Polismyndigheten driver Krimi- nalvården Polismyndighetens arrestverksamhet på vissa platser i landet. I sådan verksamhet får Kriminalvården anses biträda Polis- myndigheten i dess brottsbekämpande och ordningshållande verk- samhet.

Kriminalvården bedriver även transporttjänst. När t.ex. häktade transporteras till och från häkten i samband med domstolsförhand- lingar biträder Kriminalvården åklagare och domstolar vid brotts- bekämpning och lagföring. När personer transporteras från häkten till kriminalvårdsanstalter eller mellan kriminalvårdsanstalter görs det inom ramen för straffverkställigheten. Transporter som inte görs för lagföring eller straffverkställighet utan med stöd av t.ex. tvångsvårdslagstiftningen eller utlänningslagstiftningen, ligger där- emot utanför tillämpningsområdet (se SOU 2017:29 s. 194).

Kriminalvården ansvarar vidare för den som av domstol eller övervakningsnämnd har omhändertagits med stöd av 28 kap. 11 § brottsbalken och som förvaras i häkte. Kriminalvården biträder i dessa fall andra behöriga myndigheter vid verkställighet av påföljd. Lagens tillämpningsområde bör därför även omfatta behandling av personuppgifter vid Kriminalvårdens biträde åt andra behöriga myndigheter för något syfte inom brottsdatalagens tillämpnings- område.

13.2.2Personuppgiftsansvar

Utredningens förslag: Kriminalvården ska vara personuppgifts- ansvarig för den behandling av personuppgifter som myndig- heten utför.

En övervakningsnämnd ska vara personuppgiftsansvarig för den personuppgiftsbehandling som nämnden utför.

Skälen för utredningens förslag: Enligt 4 § lagen om behandling av personuppgifter inom kriminalvården är Kriminalvården person- uppgiftsansvarig. Bestämmelsen fick sin nuvarande utformning i samband med att Kriminalvården blev en myndighet (se Krimi- nalvården – en myndighet, prop. 2004/05:176, s. 76). Det bör enligt

552

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

utredningens mening även i fortsättningen framgå av lagen att Kriminalvården är personuppgiftsansvarig för den personuppgifts- behandling som myndigheten utför.

Övervakningsnämnderna ska som framgår av avsnitt 13.2.1 till- lämpa lagen. Det finns i dag 28 övervakningsnämnder. De är fri- stående myndigheter och har en domstolsliknande funktion. För övervakningsnämnderna gäller förordningen (2007:1174) med in- struktion för övervakningsnämnderna. I dag är det oklart vilken myndighet som är personuppgiftsansvarig för den personuppgifts- behandling som utförs av en övervakningsnämnd. Med hänsyn till vikten av att det finns ett tydligt regelverk som anger vem som är ansvarig för personuppgiftsbehandlingen är det inte godtagbart. Det är enligt utredningens mening inte lämpligt att Kriminalvården ansvarar för den personuppgiftsbehandling som utförs av övervak- ningsnämnderna, eftersom de är fristående myndigheter. Det bör därför framgå av lagen att varje övervakningsnämnd är personupp- giftsansvarig för sin personuppgiftsbehandling.

Den omständigheten att övervakningsnämnderna blir person- uppgiftsansvariga hindrar inte att de samarbetar med Kriminalvår- den, t.ex. på det sättet att Kriminalvården kan vara personuppgifts- biträde åt nämnderna. Möjligheten att utse ett gemensamt data- skyddsombud kan också övervägas (se SOU 2017:29 s. 342 f.).

13.3Grundläggande bestämmelser om behandling

13.3.1Tillåtna rättsliga grunder och behandling för nya ändamål

Utredningens förslag: Personuppgifter ska få behandlas om det är nödvändigt för att utföra en arbetsuppgift i syfte att

1.verkställa häktning eller straffrättsliga påföljder,

2.förebygga, förhindra eller upptäcka brottslig verksamhet i samband med sådan verkställighet,

3.biträda andra myndigheter när de fullgör arbetsuppgifter för något av de syften som anges i brottsdatalagen, eller

4.fullgöra förpliktelser som följer av internationella åtaganden.

553

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

Arbetsuppgiften ska framgå av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket rege- ringen uppdragit åt kriminalvården att ansvara för en sådan upp- gift.

Det ska framgå genom en hänvisning att personuppgifter som behandlas med stöd av lagen ska få behandlas för nya ända- mål enligt de förutsättningar som anges i brottsdatalagen.

Skälen för utredningens förslag

Den nuvarande regleringen behöver anpassas

Enligt 2 kap. 1 § brottsdatalagen får personuppgifter behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra en arbetsuppgift i syfte att förebygga, förhindra eller upptäcka brotts- lig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet.

Enligt 3 § lagen om behandling av personuppgifter inom krimi- nalvården får kriminalvården behandla personuppgifter om det behövs för att myndigheten ska kunna fullgöra sina uppgifter i en- lighet med vad som föreskrivs i lag eller förordning, underlätta till- gången till sådana uppgifter om verkställighet av påföljd eller häkt- ning som rättsväsendets myndigheter behöver eller upprätthålla säkerheten och förebygga brott under den tid som en åtgärd enligt 1 § första stycket 2–9 pågår. Hänvisningen avser tid under vilken någon är häktad eller avtjänar ett fängelsestraff, verkställer en fri- vårdande påföljd i form av villkorlig dom med föreskrift om sam- hällstjänst eller skyddstillsyn, är ålagd fängelse som förvandlings- straff för böter eller vite eller på grund av utländsk dom verkställer någon av nämnda påföljder i Sverige, på annan grund är intagen i häkte eller kriminalvårdsanstalt eller annars transporteras av Krimi- nalvårdens transporttjänst. De personuppgifter som kriminalvården får behandla får också behandlas om det behövs för tillsyn, plane- ring, uppföljning och kvalitetssäkring av verksamheten.

Som anges i avsnitt 6.3.1 bör de brottsbekämpande myndighe- ternas registerförfattningar innehålla bestämmelser om tillåtna rättsliga grunder för behandling av personuppgifter. Det bör även gälla för kriminalvården.

554

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

En bestämmelse som ersätter brottsdatalagens bestämmelse om tillåtna rättsliga grunder för behandling

Kriminalvårdens brottsdatalag bör alltså innehålla en bestämmelse om tillåtna rättsliga grunder för behandling av personuppgifter som ger kriminalvården rättsligt stöd för att behandla personuppgifter automatiserat för att utföra sina arbetsuppgifter (jfr avsnitt 6.1.2).

I avsnitt 13.2.1 föreslår utredningen att tillämpningsområdet ska omfatta behandling av personuppgifter vid verkställighet av häkt- ning eller straffrättsliga påföljder. Det bör framgå av lagen att per- sonuppgifter får behandlas för de syftena. Det omfattar även be- handling av personuppgifter som rör säkerheten vid verkställighet, exempelvis frågor om en intagen medför förhöjd risk för rymning eller fritagning och vem som besöker den häktade eller intagne.

Personuppgifter bör även få behandlas när Kriminalvården biträ- der andra behöriga myndigheter vid brottsbekämpning, lagföring, verkställighet av straffrättsliga påföljder eller upprätthållande av all- män ordning och säkerhet. Vad sådant biträde kan innebära redo- visas i avsnitt 13.2.1. I biträdet ingår att ge rättsväsendets myndig- heter information om häktesverksamheten och verkställigheten av påföljder och att tillhandahålla de personuppgifter som behövs för att andra myndigheter ska kunna fullgöra arbetsuppgifter inom brottsdatalagens tillämpningsområde. Ett exempel på det först- nämnda är information till åklagare och domstolar som rör häktade och på det sistnämnda den information som Kriminalvården ger Polismyndigheten om avslutade vårdvistelser. Kriminalvården bör därför få behandla personuppgifter om det är nödvändigt för att bi- träda en annan behörig myndighet för något av de syften som anges i brottsdatalagen.

Kriminalvården har vissa internationella förpliktelser, bl.a. att under vissa förutsättningar ta över verkställigheten av en utländsk frivårdspåföljd eller ett utländskt fängelsestraff och att förvara per- soner som är föremål för transitering genom Sverige för verkstäl- lighet av fängelsestraff i annat land. Fullgörande av internationella förpliktelser bör därför vara en tillåten rättslig grund för Kriminal- vårdens personuppgiftsbehandling (jfr bl.a. 2 kap. 7 § polisdata- lagen, 2 kap. 5 § skattebrottsdatalagen och 2 kap. 5 § tullbrottsdata- lagen).

555

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

Kriminalvårdens brottsdatalag föreslås i avsnitt 5.2 gälla utöver brottsdatalagen. För att det inte ska råda någon osäkerhet om hur bestämmelsen i 2 kap. 1 § brottsdatalagen förhåller sig till be- stämmelsen om tillåtna rättsliga grunder i registerförfattningen bör den senare helt ersätta den i brottsdatalagen. Av bestämmelsen bör det därför på samma sätt som i brottsdatalagen framgå att den arbetsuppgift som kriminalvården ska utföra ska framgå av en bindande unionsrättsakt eller en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift. Vad det innebär utvecklas i delbetänkandet (se SOU 2017:29 s. 238 f.).

Särskilt om Kriminalvårdens brottsförebyggande arbete

Enligt 2 § myndighetens instruktion ska Kriminalvården särskilt vidta åtgärder som syftar till att brottslighet under verkställigheten förhindras, frigivningen förbereds, narkotikamissbruket bekämpas och innehållet i verkställigheten anpassas efter varje individs behov. Arbetet med att förebygga och förhindra att brott begås av den som verkställer straff är enligt utredningens mening en viktig del i straffverkställigheten. Fokus är att förhindra både att brott plane- ras eller begås under verkställigheten och att de intagna återfaller i brott senare. Andra viktiga frågor är att förhindra att narkotika förekommer på häkten och i kriminalvårdsanstalter och att hindra rymning och fritagning.

Det bör emellertid framhållas att Kriminalvården varken har sär- skilda arbetsuppgifter eller befogenheter på området, utöver rätten att ta hand om och förstöra narkotika som påträffas på häkten och i kriminalvårdsanstalter. Det brottsförebyggande arbetet består där- för i åtgärder som Kriminalvården vidtar eller beslutar om under själva verkställigheten, även om syftet är att förebygga att den häk- tade eller intagne begår brott efter frigivning eller avslutad straff- verkställighet. Kriminalvården har således inte någon arbetsuppgift som syftar till brottsbekämpning som inte har att göra med häktes- verksamheten eller verkställighet av straff.

Kriminalvården behöver kunna behandla personuppgifter för den brottsförebyggande verksamheten. Det bör därför framgå av lagen att Kriminalvården har rätt att behandla uppgifter för att

556

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

förebygga, förhindra eller upptäcka brottslig verksamhet i samband med verkställighet av häktning eller straffrättsliga påföljder.

Kriminalvårdens forsknings- och statistikverksamhet

Kriminalvården ansvarar i dag för underlaget till en stor del av den samlade rättsstatistiken. Myndigheten har även för sin egen verk- samhet behov av omfattande statistik. Dessutom bedriver Krimi- nalvården sedan länge viss forskning som rör framför allt verkstäl- lighet av straffrättsliga påföljder. Enligt 2 kap. 5 § brottsdatalagen får en behörig myndighet behandla personuppgifter för vetenskap- liga, statistiska eller historiska ändamål inom lagens tillämpnings- område (se SOU 2017:29 s. 253 f.). Kriminalvårdens statistik- och forskningsverksamhet är ett led i arbetsuppgifter som ligger inom brottsdatalagens tillämpningsområde. Den rättsliga grunden i kri- minalvårdens brottsdatalag täcker därmed även behandling av per- sonuppgifter för sådana syften.

Behandling för nya ändamål

Kriminalvårdens registerförfattning reglerar inte när personuppgif- ter får behandlas för nya ändamål. Det styrs i stället av finalitets- principen i personuppgiftslagen.

I brottsdatalagen regleras förutsättningarna för att personupp- gifter ska få behandlas för nya ändamål. Enligt 2 kap. 4 § brotts- datalagen ska den som överväger att behandla personuppgifter för ett nytt ändamål göra en prövning av om behandlingen är nödvän- dig och proportionerlig innan uppgifterna får behandlas för nya ändamål inom lagens tillämpningsområde. Utredningen föreslår att samma prövning ska göras när de brottsbekämpande myndigheter- na behandlar personuppgifter för nya ändamål utanför tillämp- ningsområdet (se avsnitt 6.4.3). En sådan prövning utgör enligt ut- redningens mening en lämplig avvägning mellan mottagarens behov av personuppgifterna och skyddet för enskildas personliga integri- tet även i kriminalvården. Samma prövning bör göras av kriminal- vården innan personuppgifter behandlas för ett nytt ändamål utan- för brottsdatalagens tillämpningsområde. Det bör införas en be- stämmelse i kriminalvårdens brottsdatalag som tydliggör att förut-

557

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

sättningarna för att behandla personuppgifter, som behandlas med stöd av den lagen, för nya ändamål regleras i brottsdatalagen.

13.3.2Behandling av biometriska och genetiska uppgifter

Utredningens förslag: Kriminalvården ska få behandla biomet- riska uppgifter enligt de förutsättningar som anges i brotts- datalagen.

Utredningens bedömning: Kriminalvården bör inte få behandla genetiska uppgifter.

Skälen för utredningens förslag och bedömning: I avsnitt 7.3.2 redovisas vad som avses med biometriska och genetiska uppgifter. Enligt 2 kap. 12 § brottsdatalagen får sådana uppgifter behandlas endast om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen.

I dag behandlar Kriminalvården varken biometriska eller gene- tiska uppgifter. Det pågår emellertid utveckling av teknik för att med hjälp av biometri möjliggöra säkrare identifiering vid exempel- vis transporter inom en kriminalvårdsanstalt. På samma sätt som för polisen och Tullverket är det viktigt för Kriminalvården att den rättsliga regleringen inte hämmar eller hindrar utvecklingen och användningen av ny teknik (jfr avsnitt 7.3.2). Även om Kriminal- vården i dagsläget inte använder biometri anser utredningen att myndigheten bör ges rättslig möjlighet att behandla biometriska uppgifter, eftersom det inom en snar framtid kommer att finnas behov av det. Utredningen bedömer att det för närvarande inte finns skäl att begränsa möjligheten att behandla biometriska upp- gifter utöver vad som föreskrivs i brottsdatalagen. Det bör därför införas en bestämmelse i kriminalvårdens brottsdatalag som med- ger behandling av biometriska uppgifter enligt de förutsättningar som anges i brottsdatalagen.

Det har inte framkommit att Kriminalvården har behov av att behandla genetiska uppgifter och utredningen anser därför att myndigheten inte bör få behandla sådana uppgifter. Någon be- stämmelse som medger sådan behandling bör därför inte finnas i kriminalvårdens brottsdatalag.

558

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

13.3.3Utlämnande av personuppgifter

Utredningens förslag: Kriminalvården ska till en utländsk myn- dighet få lämna ut de personuppgifter som behövs för

1.prövning och genomförande av överflyttning av straffverk- ställighet,

2.transitering och förvaring av en person som är frihetsberövad för brottsbekämpning, lagföring eller verkställighet av straff, eller

3.tillfällig överflyttning av en frihetsberövad person för brotts- bekämpning, lagföring eller straffverkställighet.

Skälen för utredningens förslag: I 48 § förordningen om behand- ling av personuppgifter inom kriminalvården regleras förutsätt- ningarna för att lämna ut personuppgifter till en annan stat när verkställighet av påföljd ska överflyttas dit. Enligt paragrafen får uppgifter lämnas ut om bl.a. namn, personnummer eller andra iden- tifikationsbeteckningar, genomförd personutredning och andra lik- nande utredningar, domstols dom och avräkningsunderlag, liksom uppgifter i journal för häktad, fängelsedömd, skyddstillsynsdömd eller den som är dömd till villkorlig dom med föreskrift om sam- hällstjänst. Sådana personuppgifter får lämnas ut till den myndighet i den andra staten som är ansvarig för verkställigheten.

Utredningen anser att bestämmelsen om att personuppgifter får lämnas ut till annan stat om det behövs för att den staten ska kunna överta straffverkställigheten av en påföljd är av sådant slag att den bör ha lagform (jfr avsnitt 13.1.2). Den bör därför tas in i kriminal- vårdens brottsdatalag. Bestämmelsen bör dock göras mer generell. Det kan förutses att det internationella samarbetet kommer att öka, särskilt inom EU. Den nya bestämmelsen bör därför utformas så att den täcker de områden där det kan förutses behov av att kunna behandla och överlämna personuppgifter till en annan stats myndigheter. Den bör vara sekretessbrytande. Det är framför allt för tre typer av ärenden som det finns behov av att kunna lämna information.

En av dessa är överflyttning av straffverkställighet. Den ökade rörligheten över gränserna har medfört att frågor om överflyttning

559

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

av verkställighet till en annan stat är betydligt vanligare i dag än tidigare. I de fallen behövs ofta ingående information om den dömde, både för att pröva frågan om överflyttning och för den framtida verkställigheten om överflyttning kommer till stånd. Den reglering som i dag finns i 48 § förordningen om behandling av per- sonuppgifter inom kriminalvården ger ledning för vilka typer av personuppgifter som kan behöva överföras. Regleringen behöver dock enligt utredningens mening inte vara så detaljerad.

En annan situation där Kriminalvården behöver kunna överföra personuppgifter är vid transitering av frihetsberövade. Vid transi- tering ska den frihetsberövade tas om hand tillfälligt i transiterings- staten. Kriminalvården måste då kunna lämna nödvändig informa- tion till en annan stats myndigheter om personen som ska transi- teras och i samband med det tillfälligt förvaras i den andra staten.

Den tredje situationen som den nya bestämmelsen bör täcka är tillfällig överflyttning till en annan stat. Om exempelvis en person som avtjänar ett längre fängelsestraff i Sverige behöver överföras tillfälligt till en annan stat för att lagföras eller medverka i en brottsutredning där behöver personuppgifter överföras för att den andra staten ska kunna förvara den dömde på ett säkert sätt till dess att han eller hon återförs till Sverige för att återuppta straffverkstäl- ligheten.

Förslaget tar sikte på Kriminalvårdens behov av att kunna över- föra personuppgifter till en annan stat. Att Kriminalvården i mot- svarande fall får behandla personuppgifter som myndigheten får från en annan stat följer av rätten att behandla personuppgifter för att fullgöra förpliktelser som följer av internationella åtaganden.

13.4Kriminalvårdens register

13.4.1Nuvarande reglering

I förordningen om behandling av personuppgifter inom kriminal- vården regleras två register, det centrala kriminalvårdsregistret och säkerhetsregistret. Det centrala kriminalvårdsregistret innehåller uppgifter om i princip alla som verkställer en påföljd som Kriminal- vården ansvarar för. Säkerhetsregistret innehåller något förenklat uppgifter om personer som verkställer häktning eller påföljd och

560

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

som kan utgöra en säkerhetsrisk i något avseende. Det finns också ett flertal bestämmelser i förordningen om journalföring.

I 34 § förordningen om behandling av personuppgifter inom kriminalvården regleras det centrala kriminalvårdsregistret, som förs av Kriminalvården. Registret innehåller uppgifter om personer som har dömts till fängelse, skyddstillsyn eller villkorlig dom med föreskrift om samhällstjänst, har ålagts förvandlingsstraff för böter eller vite eller som på grund av en utländsk brottmålsdom verkstäl- ler en sådan påföljd i Sverige. I 35 § anges genom hänvisningar till andra bestämmelser i förordningen vilka uppgifter registret får innehålla. Andra myndigheters skyldighet att lämna uppgifter som ska registreras i centrala kriminalvårdsregistret regleras i 36 §. Kri- minalvårdens skyldighet att lämna uppgifter till andra myndigheter regleras i 37 §. Där anges också vilka myndigheter som får medges direktåtkomst till registret.

Enligt 39 § för Kriminalvården också säkerhetsregistret. Regist- ret innehåller uppgifter om häktade eller intagna som är dömda till fängelse eller på grund av utländsk dom verkställer fängelsestraff och som på något av de i paragrafen uppräknade sätten utgör en säkerhetsrisk. Det är fråga om personer som är eller tidigare har varit placerade på säkerhetsavdelning, under tid i häkte eller under verkställighet av ett fängelsestraff har gjort sig skyldiga till allvarligt hot eller våld mot personal eller andra intagna, under sådan tid har befattat sig med narkotika som inte varit avsedd för eget bruk eller som rymt eller fritagits från häkte eller kriminalvårdsanstalt eller förberett eller gjort försök till rymning eller fritagning. Dessutom omfattar regleringen personer som misstänks för att under tid i häkte eller under verkställighet av ett fängelsestraff ha deltagit i nätverk som bidrar till allvarliga ordningsstörningar eller brottslig verksamhet.

Utöver de personkategorier som nämnts får säkerhetsregistret enligt 40 § innehålla uppgifter om häktade eller intagna, om det finns särskild anledning att anta att de under häktning eller verk- ställighet av fängelsestraff kan komma att utöva allvarlig brottslig verksamhet tillsammans med andra, göra sig skyldiga till hets mot folkgrupp eller vissa andra brott mot allmän verksamhet, allvarligt störa ordningen inom häktet eller anstalten, delta i nätverk som bidrar till allvarliga ordningsstörningar eller brottslig verksamhet eller förbereda rymning eller fritagning.

561

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

Säkerhetsregistret får enligt 41 § första stycket föras för att samla, bearbeta och analysera information som ger underlag för åtgärder för att upprätthålla säkerheten eller förebygga brott. Registret får innehålla de uppgifter som behövs för det. Enligt andra stycket ska säkerhetsregistret innehålla skälen för registre- ringen, med särskilt angivande av de omständigheter som ger an- ledning till ett sådant antagande som avses i 40 §, och upplysning om varifrån uppgifterna kommer och, om det inte är obehövligt, en bedömning av uppgiftslämnarens trovärdighet. I 43 och 44 §§ finns det bestämmelser om direktåtkomst till uppgifter i och utlämnande av uppgifter ur säkerhetsregistret. I 45 § regleras gallring av upp- gifter i registret.

13.4.2Hur bör den framtida regleringen se ut?

Både det centrala kriminalvårdsregistret och säkerhetsregistret innehåller uppgifter om ett stort antal registrerade. Enligt 2 kap. 6 § andra stycket regeringsformen är enskilda gentemot det allmänna skyddade mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av personliga förhållanden. Det skydd som bestämmelsen ger får endast begränsas genom lag och under vissa förutsättningar. I för- arbetena pekas bl.a. på att myndighetsregister med ett stort antal registrerade och särskilt känsligt innehåll normalt ska regleras i lag (se prop. 2009/10:80 s. 183). Det kan enligt utredningens mening ifrågasättas om inte de två större register som Kriminalvården för bör regleras i lag, både med hänsyn till antalet registrerade och karaktären av de uppgifter som registreras (jfr Behandling av personuppgifter inom kriminalvården, prop. 2000/01:126, s. 21).

Vid en allmän översyn av hur kriminalvårdens personuppgifts- behandling bör regleras i framtiden bör enligt utredningens mening en reglering som ligger mera i linje med vad som gäller för övriga myndigheter i rättskedjan övervägas. Det skulle t.ex. kunna över- vägas om registren bör regleras på samma sätt som i dag eller om det skulle vara möjligt att skapa en mer generell reglering som utgår från vilka uppgifter som behöver göras gemensamt tillgängliga för verksamhetens behov.

562

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

Det ingår inte i utredningens uppdrag att göra en materiell över- syn av de författningar som berörs av brottsdatalagen utan enbart att anpassa dem till den lagen. Det står emellertid utredningen fritt att ta upp och lämna förslag i närliggande frågor som aktualiseras under utredningsarbetet (dir. 2016:21 s. 14). Med hänsyn till det har utredningen valt att ändå se över regleringen av säkerhetsre- gistret, som bl.a. innehåller uppgifter från Kriminalvårdens under- rättelseverksamhet. Behandling av personuppgifter av det slaget regleras sedan länge i lag när det gäller andra myndigheter. För- slagen utgår från hur registret är reglerat i dag, eftersom det finns skäl som talar för att registret även i framtiden kan behöva särregle- ras. Det är emellertid en fråga för en materiell översyn av kriminal- vårdens registerlagstiftning.

Att utredningen endast tar upp frågor som rör säkerhetsregist- ret innebär inte att det är mindre angeläget med en översyn av be- handlingen av personuppgifter i det centrala kriminalvårdsregistret. Överväganden beträffande det registret kräver dock enligt utred- ningens bedömning betydligt mer arbete, bl.a. på grund av att reg- leringen av vilka uppgifter som får föras i registret är svåröverskåd- lig och att behovet av registrering och informationsutbyte behöver analyseras närmare.

13.5Säkerhetsregistret

13.5.1Reglering i lag

Utredningens förslag: Det ska i lagen föreskrivas att Kriminal- vården får föra ett säkerhetsregister. I säkerhetsregistret ska personuppgifter få behandlas i syfte att

1.förebygga, förhindra eller upptäcka brott eller brottslig verk- samhet på häkten och i kriminalvårdsanstalter eller i samband med annan straffverkställighet, och

2.säkerställa ordning och säkerhet på häkten och i kriminal- vårdsanstalter och annan verksamhet som Kriminalvården bedriver.

563

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

Skälen för utredningens förslag: Behandling av personuppgifter i register med många registrerade eller känsligt innehåll regleras inom brottsdatalagens tillämpningsområde huvudsakligen i lag. Frågan om säkerhetsregistret borde lagregleras aktualiserades redan före grundlagsändringen (se Antagande av rambeslut om skydd för personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete, Ds 2008:30, s. 147, jfr också prop. 2000/01:126, s. 21). Säkerhetsregistret innehåller personuppgifter av sådant slag att åtminstone huvuddragen enligt utredningens mening bör regleras i lag.

Det bör således av lagen framgå att Kriminalvården får föra ett säkerhetsregister. Syftet med registret bör vara att Kriminalvården ska kunna förebygga, förhindra eller upptäcka brott eller brottslig verksamhet på häkten och i kriminalvårdsanstalter eller i samband med annan straffverkställighet som Kriminalvården ansvarar för. Uppgifterna i registret bör också kunna användas i syfte att säker- ställa ordning och säkerhet på häkten och i kriminalvårdsanstalter och annan verksamhet som Kriminalvården bedriver. Att även annan verksamhet omfattas är viktigt med tanke på kriminalvår- dens frivårdsverksamhet och att fängelsestraff till stor del kan verk- ställas utanför anstalt.

När rätten att föra säkerhetsregistret lagregleras bör också de bestämmelser om registret som i motsvarande fall brukar finnas i lag tas in i kriminalvårdens brottsdatalag. Det gäller bestämmelser om innehållet i registret, sökning på känsliga personuppgifter, vilka som får medges direktåtkomst och hur länge personuppgifterna får behandlas. Vissa detaljer beträffande säkerhetsregistret bör dock alltjämt regleras i förordning.

564

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

13.5.2Registrering av häktade och intagna

Utredningens förslag: I säkerhetsregistret ska uppgifter få be- handlas om en person som är häktad eller verkställer fängelse- straff och som är eller har varit placerad på säkerhetsavdelning. I registret ska även uppgifter få behandlas om en person som är häktad eller verkställer fängelsestraff, om det finns risk för att han eller hon

1.under häktning eller verkställighet av fängelsestraff begår brott som inte är ringa eller deltar i brottslig verksamhet som är allvarlig,

2.förbereder rymning eller försöker rymma,

3.blir föremål för fritagning,

4.medverkar i eller på annat sätt bidrar till att allvarligt störa ordningen eller säkerheten på ett häkte eller i en kriminal- vårdsanstalt, eller

5.utsätts för våld eller hot under verkställigheten.

Skälen för utredningens förslag

En riskbedömning blir avgörande

Säkerhetsregistret bör i allt väsentligt omfatta uppgifter om samma kategorier av häktade och intagna som i dag. Det ska således inte omfatta uppgifter om alla häktade eller intagna utan enbart de som är häktade eller intagna för de syften som anges i brottsdatalagen och som bedöms medföra särskilda säkerhetsrisker. De personkate- gorier som i dag anges i 39 § förordningen om behandling av personuppgifter inom kriminalvården kan enligt utredningens mening medföra sådana särskilda risker vid verkställigheten eller för häktesverksamheten att behandling av personuppgifter i säker- hetsregistret är motiverad. Regleringen bör dock moderniseras och göras generell. Eftersom den nuvarande regleringen är svårtolkad och saknar förarbeten finns det risk att den tolkas på ett sätt som inte har varit avsett. Den svarar inte heller mot dagens behov.

565

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

Regleringen bör enligt utredningens mening utgå från vilka per- soner som kan medföra säkerhetsrisk under verkställigheten och en bedömning av den risken. Rekvisitet risk förekommer i olika typer av lagstiftning. Det används t.ex. i 4 § lagen (2006:45) om omvand- ling av fängelse på livstid. Det är också ett centralt rekvisit i 24 kap. 1 § och 25 kap. 1 § rättegångsbalken för när vissa straffprocessuella tvångsmedel får användas. Enligt 23 och 24 a §§ polislagen ska lika- så en bedömning av risken för att något inträffar göras. Ett annat exempel är bestämmelsen i 4 kap. 12 § andra stycket utsöknings- balken. Inom Kriminalvården är man van vid att göra olika former av riskbedömningar, se t.ex. 2 kap. 4 §, 10 kap. 1 och 2 §§ och 11 kap. 1–5 §§ fängelselagen (2010:610). Utredningen anser därför att förutsättningen för att registrera någon i säkerhetsregistret som huvudregel ska utgå från en riskbedömning.

Bara vissa häktade och intagna får registreras

En viktig utgångspunkt för behandling av personuppgifter i säker- hetsregistret bör vara om någon som är häktad eller intagen är eller har varit placerad på säkerhetsavdelning. I dag är placering på säker- hetsavdelning enligt 39 § 1 förordningen om behandling av person- uppgifter inom kriminalvården en grund för registrering i säker- hetsregistret. Förutsättningarna för placering på säkerhetsavdelning anges i 2 kap. 4 § fängelselagen. Sådan placering förutsätter an- tingen varaktig risk för rymning eller fritagning och att det kan antas att den intagne är särskilt benägen att fortsätta brottslig verk- samhet eller att det finns särskild anledning att anta att placeringen behövs för att hindra den intagne från allvarlig brottslig verksamhet under anstaltsvistelsen. Om omständigheterna är sådana att det finns grund för placering på säkerhetsavdelning bör också förut- sättningarna för behandling av personuppgifter i säkerhetsregistret vara uppfyllda.

Risk för brott eller att brottslig verksamhet utövas

Enligt 39 § 2 förordningen om behandling av personuppgifter inom kriminalvården får personuppgifter behandlas i säkerhetsregistret bl.a. om någon under tid i häkte eller under verkställighet gjort sig

566

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

skyldig till allvarligt hot eller våld mot personal eller andra intagna. Enligt 39 § 3 får vidare uppgifter behandlas om någon befattat sig med narkotika som inte varit avsedd för eget bruk. Enligt utred- ningens mening bör dessa bestämmelser vara utgångspunkten för i vilka andra fall personer får registreras i säkerhetsregistret. Regle- ringen bör dock göras mer generell.

Om det finns risk för att personer kan begå brott på häkte eller under verkställighet av fängelsestraff, bör uppgifter om dem få behandlas i säkerhetsregistret om det är fråga om brott som kan antas påverka vistelsen på häktet eller i anstalten eller annars på- verka Kriminalvårdens verksamhet. Det finns andra typer av brott än de som i dag räknas upp i förordningen som kan skapa säker- hetsrisker. Som exempel kan nämnas att brott som rör dopnings- medel kan innebära en minst lika stor risk för säkerheten och ord- ningen under verkställigheten som brott som rör narkotika. En mer generell reglering ger Kriminalvården bättre förutsättningar att reagera bl.a. mot pågående brott eller brottslig verksamhet.

Enligt utredningens mening kan i princip alla typer av brott som en häktad eller intagen begår på ett häkte eller under verkställighet i anstalt eller motsvarande, innebära risk för att han eller hon begår nya brott i den miljön. Det skulle emellertid kunna leda till att be- tydligt fler än i dag skulle kunna bli föremål för registrering i säkerhetsregistret om alla brott fick läggas till grund för registre- ring. Det ter sig inte rimligt att ringa brott, t.ex. snatteri eller andra brott som har ett lågt straffvärde, skulle få sådana konsekvenser. Därför bör endast brott som inte är ringa kunna läggas till grund för registrering i säkerhetsregistret.

Av samma skäl bör endast risk för brottslig verksamhet av all- varligare slag kunna föranleda registrering. Med det avser utred- ningen sådan brottslig verksamhet som innefattar brott där två års fängelse eller mer ingår i straffskalan. Det motsvarar det krav för registrering i säkerhetsregistret som gäller i dag (se 2 § förord- ningen om behandling av personuppgifter inom kriminalvården).

Det nuvarande kravet att någon ska ha gjort sig skyldig till våld eller hot kan uppfattas som att det krävs en straffrättslig prövning för att personuppgifter ska få behandlas, vilket knappast kan ha varit avsikten. Det bör enligt utredningens mening vara tillräckligt att det finns risk för att en häktad eller intagen begår brott, t.ex. utsätter personal eller andra intagna för hot eller våld.

567

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

Risk för rymning eller fritagning

Enligt 39 § 4 förordningen får personuppgifter behandlas i säker- hetsregistret om den som har rymt eller fritagits från häkte eller kriminalvårdsanstalt eller har förberett eller gjort försök till rym- ning eller fritagning. Dessa kategorier bör liksom i dag kunna regi- streras, men regleringen bör i stället utgå från risken för att perso- nen rymmer eller blir föremål för fritagning. Har en rymning eller fritagning inträffat får det anses föreligga risk för framtida rymning eller fritagning, om inte omständigheterna talar emot det.

Risk för allvarliga ordningsstörningar

Enligt 39 § 5 förordningen får personuppgifter registreras om en häktad eller intagen som under tid i häkte eller under verkställighet av ett fängelsestraff misstänks för att ha deltagit i nätverk som bi- drar till allvarliga ordningsstörningar eller brottslig verksamhet. Utredningen anser att formuleringen att någon misstänks för att ha deltagit i ett nätverk är för otydlig och svårtillämpad. Använd- ningen av uttrycket misstänks ger också intryck av att deltagande i nätverk är kriminaliserat, vilket inte är fallet. Grunden för registre- ring bör därför uttryckas annorlunda. Regleringen bör utgå från be- hovet av att förebygga allvarliga ordningsstörningar och annat som kan äventyra säkerheten på häkten och i kriminalvårdsanstalter. Om det finns risk för att en person medverkar i eller på annat sätt bidrar till att allvarligt störa ordningen eller säkerheten på ett häkte eller i en kriminalvårdsanstalt under verkställigheten bör det kunna vara grund för behandling av personuppgifter i säkerhetsregistret.

Risk för våld eller hot mot häktade eller intagna

I dag har Kriminalvården inte rätt att behandla uppgifter i säker- hetsregistret om häktade eller intagna som inte själva utgör säker- hetsrisker men som riskerar att utsättas för våld eller hot av andra häktade eller intagna. Oftast kan ett hot härledas till andra häktade eller intagna och därmed utgöra en grund för att behandla person- uppgifter om dem. Det kan emellertid ibland finnas en allvarlig hotbild mot en häktad eller intagen, samtidigt som det saknas kun-

568

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

skap om vem eller vilka som ligger bakom hotet. Det är då viktigt att Kriminalvården kan ta hänsyn till hotbilden vid placering och transporter, för att undvika att den häktade eller intagne utsätts för brott under verkställigheten. Det kan också ha betydelse för vilka säkerhetsåtgärder och andra åtgärder som krävs för att möta hotet och hur personalen bör dimensioneras vid ett visst tillfälle. Att det finns risk för att en häktad eller intagen utsätts för våld eller hot bör således enligt utredningens mening också kunna utgöra grund för behandling av personuppgifter i säkerhetsregistret. Det följer av 2 kap. 9 § brottsdatalagen att det ska framgå att personen i fråga inte själv utgör en säkerhetsrisk.

13.5.3Registrering av den som utövar våld eller hot

Utredningens förslag: I säkerhetsregistret ska uppgifter få be- handlas om en person som verkställer en påföljd inom krimi- nalvården, om det finns risk för att han eller hon utövar våld eller hot mot eller otillbörlig påverkan på personal eller andra personer som uppehåller sig i kriminalvårdens lokaler.

Skälen för utredningens förslag: I dag har Kriminalvården ingen rätt att registrera uppgifter i säkerhetsregistret om andra än häk- tade och intagna, trots att det kan finnas personer som utgör säker- hetsrisker i Kriminalvårdens övriga verksamhet. Det finns enligt utredningens mening behov av att i vissa fall kunna registrera upp- gifter om personer oavsett vilken påföljd de avtjänar dels för att de ska kunna bemötas på rätt sätt, dels för att trygga personalens och andra klienters säkerhet. Förutsättningarna för att få behandla uppgifter i säkerhetsregistret på denna grund bör dock vara betyd- ligt snävare. Det bör krävas att det finns risk för att klienten riktar hot mot eller utövar våld mot eller otillbörlig påverkan på personal, klienter eller andra personer som uppehåller sig i kriminalvårdens lokaler. Regleringen bör täcka angrepp mot både kriminalvårdens personal och andra som befinner sig i kriminalvårdens lokaler.

569

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

13.5.4Registrering avseende andra

Utredningens förslag: Om det är absolut nödvändigt för ända- målet med behandlingen ska uppgifter få behandlas i säkerhets- registret om en person som har personlig anknytning till eller annan nära förbindelse med en registrerad. Om den förstnämn- de inte är häktad eller verkställer fängelsestraff ska det framgå genom en särskild upplysning.

Skälen för utredningens förslag: Även den häktades eller intagnes kontakter med omvärlden kan vara förknippade med säkerhets- risker, t.ex. besök och annan kommunikation. Kriminalvården bör därför även få behandla uppgifter om vissa andra personer i säker- hetsregistret. Registrering av andra personer än häktade och intag- na bör bl.a. kunna avse personer som den registrerade får besök av eller på annat sätt håller kontakt med. Behovet av registrering rör i första hand anhöriga eller andra som har en personlig anknytning till den registrerade. Det är störst risk att intagna försöker påverka närstående att t.ex. medföra otillåtna föremål till häkten eller kri- minalvårdsanstalter. Även andra personer som på något sätt har en nära förbindelse med den registrerade kan på motsvarande sätt leda till säkerhetsrisker. Det kan t.ex. vara fråga om personer som har begått brott tillsammans. Det kan även röra sig om personer som tillhör samma kriminella nätverk eller våldsbejakande extremistiska rörelse. Regleringen bör inte omfatta personer som har professio- nella kontakter med registrerade, exempelvis advokater.

Ett grundläggande krav för registrering bör vara att personupp- giftsbehandlingen är absolut nödvändig för ändamålet med att upp- gifter om den häktade eller intagne behandlas i säkerhetsregistret. Det innebär att bestämmelsen ska tillämpas restriktivt. Det kan exempelvis vara absolut nödvändigt att behandla personuppgifter om någon som försökt arrangera fritagning eller försökt föra in eller har fört in otillåtna föremål på ett häkte eller i en kriminal- vårdsanstalt.

Det är viktigt att den som tar del av uppgifter i säkerhetsregist- ret får vetskap om det är den registrerade som utgör säkerhetsris- ken eller om registreringen gjorts av något annat skäl. Enligt 2 kap. 9 § brottsdatalagen ska olika personkategorier kunna särskiljas. Det kravet gäller även för dem som registreras i säkerhetsregistret. Den

570

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

regleringen täcker t.ex. den situationen att en intagen utgör ett hot mot en annan intagen (se avsnitt 13.5.2). Den täcker emellertid inte behovet av att kunna skilja ut personer som registreras på grund av deras anknytning till någon som förekommer i säkerhetsregistret. För att det tydligt ska framgå om personerna inte själva är häktade eller verkställer fängelsestraff bör registreringen förses med en sär- skild upplysning om det.

13.5.5Sökning på känsliga personuppgifter

Utredningens förslag: Sökförbudet i brottsdatalagen hindrar inte sökning i personuppgifter i säkerhetsregistret i syfte att få fram ett personurval grundat på etniskt ursprung, politiska åsik- ter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning.

Skälen för utredningens förslag: Sökförbudet i 2 kap. 14 § brotts- datalagen utgår till skillnad från dagens reglering från syftet med sökningen. Om syftet inte är att få fram ett personurval grundat på känsliga personuppgifter är sökningen tillåten, även om känsliga personuppgifter används vid sökningen (se SOU 2017:29 s 272 f.).

Enligt 41 § tredje stycket andra meningen förordningen om be- handling av personuppgifter inom kriminalvården får känsliga per- sonuppgifter användas som sökbegrepp för sökning i säkerhetsre- gistret. Kriminalvården har även i fortsättningen behov av att kunna använda känsliga personuppgifter vid sökning i personupp- gifter i säkerhetsregistret. Det bör därför göras undantag i krimi- nalvårdens brottsdatalag från det generella sökförbudet i brotts- datalagen. För att kunna placera intagna och av hänsyn till de in- tagnas och personalens säkerhet har Kriminalvården behov av att kunna göra sökning i syfte att få fram personurval grundade på de flesta kategorier av känsliga personuppgifter. Det kan aldrig finnas behov av att söka på ras, eftersom det inte finns någon vetenskaplig grund för att dela in människor i skilda raser (se SOU 2017:29 s. 267). Kriminalvården har inte heller behov av att kunna göra sökning i syfte att få fram ett personurval grundat på medlemskap i fackförening eller biometriska eller genetiska uppgifter. Sådana sökningar bör därför inte vara tillåtna. Det innebär att möjlighe-

571

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

terna att använda känsliga personuppgifter vid sökning i säker- hetsregistret begränsas i förhållande till vad som gäller i dag. Efter- som Kriminalvården inte har behov av ett generellt undantag be- dömer utredningen att undantaget inte innebär någon försämring.

13.5.6Direktåtkomst och annat utlämnande

Utredningens förslag: Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten och Åklagarmyndigheten ska få medges direktåtkomst till personuppgifter i säkerhetsregistret.

I förordning ska föreskrivas att åtkomsten ska begränsas till uppgift om huruvida någon förekommer i registret.

Skälen för utredningens förslag

Direktåtkomst till uppgifter i säkerhetsregistret

Enligt 44 § förordningen om behandling av personuppgifter inom kriminalvården får rikspolischefen, säkerhetspolischefen och de personer som respektive chef utser ha direktåtkomst till uppgifter om huruvida en person är registrerad i säkerhetsregistret. Polis- myndigheten och Säkerhetspolisen får i sin tur lämna ut en sådan uppgift till Åklagarmyndigheten och Ekobrottsmyndigheten, om uppgiften kan antas ha särskild betydelse för en pågående under- sökning i myndighetens brottsutredande verksamhet eller för andra brottsbekämpande åtgärder. Bestämmelsen om direktåtkomst till personuppgifter i säkerhetsregistret är omodern, bl.a. av det skälet att den detaljreglerar tillgången till uppgifterna och att den även reglerar mottagarens användning.

Direktåtkomst bör enligt utredningens mening medges myn- digheter i stället för enskilda befattningshavare. Det bör därför föreskrivas att Polismyndigheten och Säkerhetspolisen får medges direktåtkomst. Även Ekobrottsmyndigheten och Åklagarmyndig- heten bör kunna medges direktåtkomst, om samma krets som i dag ska kunna få tillgång till uppgifter i registret. Direktåtkomsten bör på samma sätt som i dag begränsas till enbart uppgift om huruvida någon förekommer i registret. Uppgift om att någon har registre- rats på grund av risk för att utsättas för hot eller våld eller på grund

572

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

av personlig anknytning till eller annan nära förbindelse med en registrerad bör dock inte kunna lämnas ut. Detaljerna kan regleras i förordning.

Skälet till att vissa befattningshavare pekas ut i 44 § får antas vara att endast en mycket begränsad krets ska ges tillgång till upp- gifter i registret. I 3 kap 6 § brottsdatalagen föreskrivs att den per- sonuppgiftsansvarige ska se till att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Det gäller även uppgifter som en myndighet får tillgång till genom direktåtkomst (se SOU 2017:29 s. 312). Som framgår av avsnitt 5.3.9 behövs därför inte längre bestämmelser som begränsar tillgången till uppgifter.

Tillgången till personuppgifter i registret för Kriminalvårdens personal bör inte längre regleras genom en bestämmelse om direkt- åtkomst. Regleringen i 3 kap. 6 § brottsdatalagen är tillräcklig. Kri- minalvården kan, förutom att begränsa behörigheten tekniskt, ut- färda interna föreskrifter om tillgången om det anses nödvändigt. Någon ytterligare reglering av tillgången till personuppgifter i registret behövs därför inte.

Det bör inte heller regleras hur mottagaren får behandla sådana personuppgifter. Det styrs av brottsdatalagen och den mottagande myndighetens registerförfattning.

Behovet av en sekretessbrytande bestämmelse

Direktåtkomsten till uppgifter i säkerhetsregistret är som framgått författningsreglerad i dag. Frågan om det behövs sekretessbrytande bestämmelser för att kunna medge direktåtkomst övervägs normalt innan det införs möjlighet till direktåtkomst (se avsnitt 14.12.2). Den frågan berördes emellertid inte i förarbetena till kriminalvår- dens registerlagstiftning och förefaller hittills inte ha utgjort något problem. Att vissa bestämmelser om registret nu föreslås flyttas till lag gör dock att frågan om det krävs sekretessbrytande bestämmel- ser aktualiseras. Utredningen har inte haft utrymme att behandla den frågan.

573

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

13.5.7Längsta tid som personuppgifter får behandlas

Utredningens förslag: Personuppgifter i säkerhetsregistret ska inte få behandlas längre än fem år efter det att den registrerade blivit villkorligt frigiven från fängelsestraff eller annars helt har verkställt straffet eller, utan att ha dömts till sådant straff, har frigetts från häkte.

Skälen för utredningens förslag: Enligt 45 § förordningen om behandling av personuppgifter inom kriminalvården ska uppgifter i säkerhetsregistret gallras senast fem år efter det att den registrerade har frigetts från häkte eller blivit frigiven. Om villkorlig frigivning inte har ägt rum ska uppgifterna gallras senast fem år efter att den registrerade helt verkställt fängelsestraffet. En bestämmelse med motsvarande innehåll bör tas in i lagen.

Bestämmelsen syftar till att skydda enskildas integritet och är därför inte en gallringsbestämmelse i arkivrättslig mening. Den bör av de skäl som anges i avsnitt 5.5.2 i stället ange hur länge person- uppgifter i registret får behandlas.

13.5.8Föreskrifter

Utredningens förslag: Regeringen eller den myndighet som regeringen bestämmer ska kunna meddela föreskrifter om inne- hållet i säkerhetsregistret och utlämnande av personuppgifter ur registret.

Skälen för utredningens förslag: I 40 § förordningen om behand- ling av personuppgifter inom kriminalvården anges vissa kategorier av personer utöver dem som anges i 39 § som får registreras i säker- hetsregistret. Enligt 41 § ska bl.a. skälen för registrering och ytter- ligare upplysningar om omständigheterna kring registreringen framgå. I 43 och 44 §§ finns bestämmelser om utlämnande av per- sonuppgifter ur registret.

Även fortsättningsvis bör enligt utredningens mening vissa be- stämmelser om innehållet i säkerhetsregistret och utlämnande av uppgifter ur registret finnas i förordning. Det bör därför framgå av

574

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

lagen att regeringen eller den myndighet som regeringen bestäm- mer kan meddela föreskrifter i sådana frågor.

13.6Bestämmelser som inte längre behövs

13.6.1Sökning på känsliga personuppgifter

Utredningens förslag: Bestämmelsen om att känsliga person- uppgifter inte får användas som sökbegrepp om inte regeringen har föreskrivit det ska upphävas.

Skälen för utredningens förslag: I 2 kap. 14 § brottsdatalagen finns ett generellt förbud mot att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. Enligt 5 § tredje stycket lagen om behandling av personuppgifter inom kriminalvården får känsliga personuppgifter inte användas som sökbegrepp om inte regeringen har föreskrivit det. I paragrafen anges de närmare förutsättningarna för att få meddela sådana före- skrifter. Mot bakgrund av att brottsdatalagen innehåller ett gene- rellt sökförbud bör bestämmelsen i 5 § om förbud mot att använda känsliga personuppgifter som sökbegrepp upphävas. I avsnitt 13.5.5 föreslås en särskild regel om sökningar i säkerhetsregistret.

13.6.2Tillgången till personuppgifter

Utredningens förslag: Bestämmelsen om tillgång till person- uppgifter vid direktåtkomst ska upphävas.

Skälen för utredningens förslag: Enligt 3 kap. 6 § brottsdatalagen ska den personuppgiftsansvarige se till att tillgången till personupp- gifter begränsas till vad varje tjänsteman behöver för att kunna full- göra sina arbetsuppgifter. Eftersom det finns en bestämmelse i brottsdatalagen som begränsar tillgången till personuppgifter före- slår utredningen i avsnitt 5.3.9 att sådana bestämmelser i register- författningarna ska upphävas.

Enligt 6 § första stycket lagen om behandling av personuppgif- ter inom kriminalvården ska direktåtkomst till de personuppgifter

575

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

som behandlas enligt lagen vara förbehållen de personer som på grund av sina arbetsuppgifter inom kriminalvården behöver tillgång till uppgifterna. Syftet med bestämmelsen är att internt begränsa tillgången till de personuppgifter som behandlas. Endast de perso- ner som på grund av sina arbetsuppgifter behöver ha tillgång till personuppgifterna ska ha åtkomst till dem (se prop. 2000/01:126 s. 34 f.). Bestämmelsen fyller samma funktion som 3 kap. 6 § brottsdatalagen. Den bör därför upphävas.

I 6 § andra stycket föreskrivs att 10 § gäller i fråga om direkt- åtkomst till uppgifter som får lämnas ut till en annan myndighet. Där föreskrivs att direktåtkomst till personuppgifter ska förbehål- las de personer som på grund av sina arbetsuppgifter behöver till- gång till dem. Med hänsyn till regleringen i 3 kap. 6 § brottsdata- lagen finns det inte behov av en bestämmelse om tillgången till personuppgifter hos andra behöriga myndigheter. Bestämmelsen bör därför upphävas.

13.6.3Omprövning

Utredningens förslag: Bestämmelserna om omprövning av be- slut ska upphävas.

Skälen för utredningens förslag: Enligt 13 § lagen om behandling av personuppgifter inom kriminalvården får Kriminalvårdens beslut om rättelse och om information enligt 26 § personuppgiftslagen inte överklagas innan beslutet har omprövats av Kriminalvården. Omprövning får begäras av den som beslutet angår om det har gått honom eller henne emot. Överklagande av ett beslut som inte har omprövats ska enligt 13 § ses som en begäran om omprövning. Vid omprövningen får beslutet inte ändras till den enskildes nackdel. I 14 och 15 §§ anges formkraven för begäran om omprövning och rättidsprövning. Omprövningsförfarandet tillkom i samband med att Kriminalvården blev en myndighet. Syftet var bl.a. att begränsa antalet överklaganden och undvika att måltillströmningen till de allmänna förvaltningsdomstolarna ökade (se prop. 2004/05:176 s. 61 f.).

Varken direktivet eller brottsdatalagen ställer krav på att ett be- slut ska omprövas innan det får överklagas. I övriga registerför-

576

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

fattningar föreskrivs inte heller något omprövningsförfarande. Det är svårt att se att den särreglering som finns för Kriminalvården är ändamålsenlig, särskilt som antalet överklaganden uppges vara få. Det saknas därför enligt utredningens mening anledning att för- dröja överklagandena genom krav på omprövning. Omprövnings- förfarandet bör därför tas bort och samtliga bestämmelser som rör det upphävas.

13.6.4Överklagande

Utredningens förslag: De särskilda bestämmelserna om över- klagande ska upphävas.

Skälen för utredningens förslag

Överklagandebestämmelsen upphävs

I 7 kap. 2 § brottsdatalagen föreskrivs att beslut i fråga om rättelse eller komplettering enligt 4 kap. 9 § första stycket, radering enligt 4 kap. 10 § första stycket eller begränsning av behandlingen enligt 4 kap. 9 § andra stycket eller 10 § andra stycket, som har meddelats av en myndighet i egenskap av personuppgiftsansvarig, får överkla- gas till allmän förvaltningsdomstol. Detsamma gäller beslut att inte lämna information enligt 4 kap. 3 eller 4 §, att ta ut avgift enligt 4 kap. 12 § andra stycket eller att inte medge omprövning av ett automatiserat beslut enligt 2 kap. 19 § första stycket. Av överkla- gandebestämmelsen framgår även att det krävs prövningstillstånd vid överklagande till kammarrätten och att beslut av regeringen, Högsta domstolen, Högsta förvaltningsdomstolen och riksdagens ombudsmän inte får överklagas.

Enligt 12 § lagen om behandling av personuppgifter inom kri- minalvården får beslut om rättelse och om information enligt 26 § personuppgiftslagen överklagas hos allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten.

Eftersom det finns generella bestämmelser om överklagande i brottsdatalagen finns det inte anledning att behålla den särskilda regleringen. Av de skäl som anges i avsnitt 5.4.4 bör det i stället

577

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

införas en bestämmelse som upplyser om att bestämmelser om överklagande finns i brottsdatalagen.

Den särskilda forumbestämmelsen upphävs

Enligt 14 § lagen (1971:289) om allmänna förvaltningsdomstolar ska beslut överklagas till en förvaltningsrätt, om det i lag eller annan författning föreskrivs att talan ska väckas vid eller beslut överklagas till allmän förvaltningsdomstol. Som huvudregel ska ett beslut överklagas till den förvaltningsrätt inom vars domkrets ärendet först prövats.

I 16 § lagen om behandling av personuppgifter inom kriminal- vården finns en särskild forumbestämmelse. Kriminalvårdens beslut om rättelse och om information enligt 26 § personuppgiftslagen ska överklagas till den förvaltningsrätt inom vars domkrets den kriminalvårdsanstalt, det häkte eller det frivårdskontor är beläget där den enskilde var inskriven när det första beslutet i ärendet fat- tades. Beslut som gäller en person som inte är inskriven vid en kri- minalvårdsanstalt, ett häkte eller ett frivårdskontor i landet ska överklagas till den förvaltningsrätt som regeringen bestämmer. Enligt 7 d § 2 förordningen (1977:937) om allmänna förvaltnings- domstolars behörighet m.m. ska beslut av Kriminalvården som överklagas till en förvaltningsrätt tas upp av Förvaltningsrätten i Linköping om beslutet gäller en person som inte är inskriven vid en kriminalvårdsanstalt, ett häkte eller ett frivårdskontor i landet och beslutet avser bl.a. ärenden enligt lagen om behandling av person- uppgifter inom kriminalvården.

Den särskilda forumbestämmelsen tillkom i samband med att Kriminalvården blev en myndighet. Syftet var att så långt möjligt sprida målen över landets samtliga förvaltningsdomstolar (se prop. 2004/05:176 s. 67).

Utredningen bedömer att det i dag inte finns något behov av en särskild forumbestämmelse för överklagande av beslut som rör per- sonuppgiftsbehandling. Någon motsvarande bestämmelse finns varken i brottsdatalagen eller i övriga registerförfattningar. Den särskilda forumbestämmelsen bör därför upphävas. Det innebär att de allmänna bestämmelserna om forum ska tillämpas vid överkla- gande av beslut som meddelas inom kriminalvården.

578

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

13.7Anpassningar av förordningen om behandling av personuppgifter inom kriminalvården

13.7.1Behovet av översyn

I utredningens uppdrag ingår också att anpassa den förordning som kompletterar lagen om behandling av personuppgifter inom krimi- nalvården till brottsdatalagen. Utredningen anser att det finns ett stort behov av en total översyn av förordningen. Den detaljerade regleringen svarar inte mot dagens krav på registerförfattningar. Utredningen lämnar därför i huvudsak bara förslag till de ändringar som är nödvändiga för att anpassa förordningen till regleringen i brottsdatalagen och de övriga förslag som lämnas beträffande kri- minalvårdens registerlag. Vissa redaktionella ändringar görs också, t.ex. sammanslagningar och omflyttningar av paragrafer och viss modernisering av språk och terminologi. Sådana ändringar kom- menteras inte vidare här. Kriminalvården har under utredningsar- betet påtalat några problem med den nuvarande regleringen som utredningen ser som angeläget att genomföra, trots att det inte in- går i uppdraget.

13.7.2Anpassningar till brottsdatalagen och kriminalvårdens brottsdatalag

Utredningens förslag: Bestämmelser om behandling av känsliga personuppgifter ska upphävas. I övrigt ska bestämmelserna an- passas till kriminalvårdens brottsdatalag och bestämmelser som inte längre behövs upphävas.

Skälen för utredningens förslag

Bestämmelser om behandling av känsliga personuppgifter upphävs

Enligt 2 kap. 11 § brottsdatalagen får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk över- tygelse eller medlemskap i fackförening eller som rör hälsa, sexual- liv eller sexuell läggning inte behandlas. Om uppgifter om en per- son redan behandlas, är det dock tillåtet att komplettera dem med

579

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

sådana personuppgifter när det är absolut nödvändigt för ändamålet med behandlingen.

I 4, 7, 12, 18, 23, 27 och 32 §§ förordningen om behandling av personuppgifter inom kriminalvården föreskrivs att känsliga per- sonuppgifter får behandlas om det är oundgängligen nödvändigt. Enligt 41 § tredje stycket får säkerhetsregistret innehålla känsliga personuppgifter om det är oundgängligen nödvändigt. I 48 § andra stycket föreskrivs att vid överflyttning av verkställighet av påföljd till annan stat får känsliga personuppgifter lämnas ut endast om det kan anses oundgängligen nödvändigt.

Eftersom det i brottsdatalagen finns generella bestämmelser om behandling av känsliga personuppgifter finns det inte skäl att be- hålla särskilda regler om det i förordningen. Bestämmelserna om behandling av känsliga personuppgifter bör därför upphävas.

Anpassningar till kriminalvårdens brottsdatalag

I flera paragrafer i förordningen finns det hänvisningar till lagen om behandling av personuppgifter inom kriminalvården där det med utgångspunkt i personkategorier anges vilka personuppgifter som får behandlas och för vilka ändamål. Sådana hänvisningar bör änd- ras till att i stället gälla i förhållande till kriminalvårdens brotts- datalag och tillåtna rättsliga grunder för personuppgiftsbehandling. Eftersom regleringen i lagen inte längre bygger på en uppräkning av personkategorier bör det, om det behövs, i förordningen uttryck- ligen anges vilka personer som avses, t.ex. personer dömda till fängelse. I vissa fall är det dock lämpligare att hänvisa till för vilket syfte personuppgifter får behandlas.

Behandling av uppgifter om sådana personer som i dag anges i 1 § första stycket 8 och 9 lagen om behandling av personuppgifter inom kriminalvården, dvs. personer som är intagna i häkte eller kriminalvårdsanstalt eller transporteras av Kriminalvårdens trans- porttjänst, görs för andra syften än de som anges i brottsdatalagen. Behandling av sådana personuppgifter ligger utanför tillämpnings- området för kriminalvårdens brottsdatalag och bestämmelser som rör personkategorierna i fråga bör därför tas bort.

580

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

Gallringsbestämmelserna i förordningen bör av de skäl som anges i avsnitt 5.5.2 formuleras om så att de i stället utgår från hur länge personuppgifter får behandlas.

I 50 § förordningen finns bestämmelser om gallring när en över- rätt i vissa fall ändrar en underrätts dom eller beslut. Eftersom det i 2 kap. 17 § första stycket brottsdatalagen föreskrivs att person- uppgifter inte får behandlas under längre tid än vad som är nödvän- digt med hänsyn till ändamålet med behandlingen fyller bestäm- melsen inte någon funktion. Är det inte relevant att behandla en personuppgift, vilket t.ex. kan bero på att personen har beviljats resning och därefter frikänts, får uppgiften inte längre behandlas. Paragrafen bör därför upphävas.

I 2 § förordningen om behandling av personuppgifter inom kri- minalvården definieras uttrycken känsliga personuppgifter, person- utredning och allvarlig brottslighet. Eftersom det inte kommer att finnas kvar några bestämmelser om känsliga personuppgifter i för- ordningen finns det inte något behov av en sådan definition. Ut- trycket allvarlig brottslighet kommer enligt utredningens förslag inte heller att användas i förordningen. När det gäller ordet person- utredning råder det enligt utredningens mening ingen tvekan om vad som avses. Kriminalvården anser att det inte finns behov av definitionen i fråga. Bestämmelsen om definitioner bör därför upp- hävas.

13.7.3Andra ändringar i förordningen

Utredningens förslag: Uppgifter om häktade ska få föras in i centrala kriminalvårdsregistret.

Om en häktad har frigetts från häkte och sedan döms till fängelse, skyddstillsyn eller villkorlig dom med föreskrift om samhällstjänst, ska personuppgifter inte få behandlas längre än tio år efter det att påföljden helt har verkställts.

Bestämmelser om Kriminalvårdens underrättelseskyldighet ska brytas ut och regleras i en särskild förordning.

581

Lagen om behandling av personuppgifter inom kriminalvården

SOU 2017:74

Skälen för utredningens förslag

Uppgifter om häktade får föras in i centrala kriminalvårdsregistret

Kriminalvården för centrala kriminalvårdsregistret bl.a. för att underlätta tillgången till sådana uppgifter om verkställighet av på- följd eller häktning som rättsväsendets myndigheter behöver. En- ligt 34 § förordningen om behandling av personuppgifter inom kri- minalvården ska registret innehålla uppgifter om personer som har dömts till fängelse, skyddstillsyn eller villkorlig dom med föreskrift om samhällstjänst eller har ålagts förvandlingsstraff för böter eller vite eller på grund av en utländsk brottmålsdom ska verkställa någon sådan påföljd i Sverige.

I dag saknas det uttryckligt stöd för att registrera uppgifter om häktade i centrala kriminalvårdsregistret. Både Kriminalvården och övriga myndigheter i rättskedjan har stort behov av sådana uppgif- ter. Eftersom registerlagstiftningen är omodern är det oklart i vil- ken utsträckning uppgifter om häktade får behandlas i centrala kri- minalvårdsregistret, trots att häktade enligt 1 § lagen om behand- ling av personuppgifter inom kriminalvården är en kategori vars personuppgifter får behandlas. Det bör genom en ändring i förord- ningen tydliggöras att sådan registrering är tillåten.

Längsta tid för behandling av personuppgifter om häktade

Enligt 13 § förordningen om behandling av personuppgifter inom kriminalvården ska uppgifter om en häktad person gallras senast två år efter det att den häktade har frigetts från häktet.

Den nuvarande formuleringen av bestämmelsen vållar enligt uppgift problem genom att tidsfristen löper från det att den häk- tade har frigetts från häktet. Ett exempel är att en person har varit häktad men frigetts i avvaktan på dom och senare döms till ett fängelsestraff eller en frivårdspåföljd som han eller hon börjar verk- ställa. Det är då inte rimligt att den längsta tid som personuppgif- terna får behandlas räknas från när personen frigavs från häktet, eftersom det kan leda till att behandlingen av personuppgifterna måste upphöra trots att straffet inte är helt verkställt. Om en per- son döms till fängelse, skyddstillsyn eller villkorlig dom med före- skrift om samhällstjänst bör samma regler gälla för hur länge per-

582

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården

sonuppgifterna får behandlas, oavsett om personen har varit häktad och frigetts eller inte. Personuppgifterna bör således inte få be- handlas längre än tio år efter det att påföljden helt har verkställts. Längsta tid för behandling av personuppgifter rörande den som varit häktad men inte dömts till en påföljd som verkställs inom Kriminalvården bör inte ändras. Hur bestämmelsen bör formuleras behandlas i avsnitt 5.5.2.

Det kan anmärkas att 8 § förordningen, som rör uppgifter om personer som är föremål för personutredning, är utformad på det sätt som nu föreslås. Det kan därför antas att det inte har varit lagstiftarens avsikt att gallringsregeln beträffande häktade skulle ha någon annan innebörd.

Bestämmelser om underrättelseskyldighet

Förordningen om behandling av personuppgifter inom kriminal- vården innehåller bestämmelser om dels andra myndigheters under- rättelseskyldighet gentemot Kriminalvården för att myndigheten ska kunna föra det centrala kriminalvårdsregistret, dels Kriminal- vårdens underrättelseskyldighet till vissa myndigheter om verkstäl- ligheten av straffrättsliga påföljder.

Att en registerförfattning innehåller bestämmelser om skyldig- het att lämna uppgifter som ska utgöra underlag för ett visst regis- ter som regleras i författningen är inte ovanligt. Däremot regleras andra underrättelseskyldigheter ofta på annat sätt än i registerför- fattningar. Eftersom förordningen om behandling av personupp- gifter inom kriminalvården är detaljbetonad och i många avseenden skiljer sig från andra motsvarande författningar, skulle det enligt utredningens mening bidra till att renodla förordningen om Krimi- nalvårdens underrättelseskyldighet bryts ut och placeras i en ny förordning. I den bör det även regleras att Kriminalvården ska vara skyldig att ge Tullverket besked om var en häktad eller intagen vistas (se avsnitt 8.3.3).

583

14Säkerhetspolisens behandling av personuppgifter

14.1Bakgrund

14.1.1Säkerhetspolisens uppdrag och verksamhet

Enligt 1 § andra stycket polislagen bedrivs polisverksamhet av Polismyndigheten och Säkerhetspolisen. Säkerhetspolisens huvud- sakliga uppgifter och ansvar framgår av 3 §. Säkerhetspolisen ska förebygga, förhindra och upptäcka brottslig verksamhet som inne- fattar brott mot rikets säkerhet eller terrorbrott och utreda och beivra sådana brott, fullgöra uppgifter i samband med personskydd av den centrala statsledningen och andra som regeringen eller Säkerhetspolisen bestämmer, fullgöra uppgifter enligt säkerhets- skyddslagen (1996:627), leda annan polisverksamhet om regeringen föreskriver det och i övrigt bedriva sådan verksamhet som framgår av lag eller förordning eller som regeringen uppdragit åt Säkerhets- polisen att i särskilda hänseenden ansvara för. I förordningen med instruktion för Säkerhetspolisen preciseras myndighetens uppdrag. Enligt 1 § ska Säkerhetspolisen, i egenskap av säkerhetstjänst, be- driva underrättelse- och säkerhetsarbete. I 3 § anges vilka typer av brott som Säkerhetspolisen ansvarar för och i 4 § utvecklas vad som avses med personskydd för den centrala statsledningen.

Säkerhetspolisens verksamhet är indelad i fem huvudområden. Kontraspionageverksamheten ska förebygga och avslöja spioneri och annan olovlig underrättelseverksamhet som kan rikta sig mot Sverige och svenska intressen utomlands, mot utländska intressen i Sverige och mot flyktingar. Kontraterrorismverksamheten syftar till att förebygga och avslöja bl.a. terrorism som riktas mot Sverige, svenska intressen utomlands och utländska intressen i Sverige, internationella terroristnätverks förgreningar i Sverige och stöd och

585

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

finansiering av terroristverksamhet. Den författningsskyddande verksamheten har till uppgift att motverka verksamhet som genom trakasserier, hot, våld, tvång eller korruption syftar till att påverka det demokratiska statsskickets funktioner. Säkerhetspolisen ansva- rar även för personskyddet av den centrala statsledningen och främmande statsbeskickningsmedlemmar och vid statsbesök och liknande händelser. Säkerhetspolisen bedriver också säkerhets- skyddsverksamhet, som syftar till att höja säkerhetsnivån i sam- hället genom analyser, registerkontroller, tillsyn och rekommen- dationer till myndigheter vilkas verksamhet har betydelse för rikets säkerhet.

Säkerhetspolisen har också vissa uppgifter enligt utlännings- och medborgarskapslagstiftningen. Enligt 1 kap. 7 § utlänningslagen är säkerhetsärenden ärenden där Säkerhetspolisen av skäl som rör rikets säkerhet eller som annars har betydelse för allmän säkerhet förordar att vissa beslut ska meddelas, exempelvis att en utlänning ska avvisas eller utvisas eller att en utlännings ansökan om uppe- hållstillstånd ska avslås. Säkerhetspolisen har rätt att överklaga Migrationsverkets beslut i sådana ärenden. Säkerhetspolisen är också verkställande myndighet i säkerhetsärenden, vilket ger myn- digheten rätt att fatta beslut i frågor om förvar och uppsikt. Säker- hetspolisen utför även uppgifter enligt lagen (1991:572) om sär- skild utlänningskontroll. Med stöd av den lagen kan myndigheten ansöka om att en utlänning ska utvisas ur landet. Säkerhetspolisen ansvarar för att beslut om utvisning enligt lagen verkställs. Enligt lagen (2001:82) om svenskt medborgarskap kan Säkerhetspolisen förorda att en ansökan om svenskt medborgarskap ska avslås av skäl som rör rikets säkerhet eller allmän säkerhet. Myndigheten har även rätt att överklaga sådana beslut.

Säkerhetspolisen arbetar även med frågor som rör ickespridning. Den verksamheten syftar till att förhindra spridning och anskaff- ning av produkter som kan användas för att producera massförstö- relsevapen. Arbetet går främst ut på att förhindra att kunskaper, produkter, ämnen eller mikroorganismer förs från eller via Sverige till aktörer som har ambitioner att anskaffa eller vidareutveckla massförstörelsevapen.

Säkerhetspolisen samverkar också med Polismyndigheten inom vissa områden, exempelvis verkställighet av hemlig rumsavlyssning och hemliga tvångsmedel på teleområdet.

586

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

14.1.2Säkerhetspolisens organisation

Säkerhetspolisen blev den 1 januari 2015 en självständig myndighet. Myndigheten leds av en säkerhetspolischef, som är generaldirektör, och en biträdande säkerhetspolischef. De biträds av generaldirek- törens stab.

Sedan den 1 oktober 2016 är Säkerhetspolisens kärnverksamhet uppdelad i två avdelningar; säkerhetsunderrättelseavdelningen och säkerhetsavdelningen. Den förstnämnda ansvarar för myndighetens säkerhetsunderrättelseverksamhet, dvs. arbetet med att bedöma och reducera hotaktörers avsikt och förmåga att bedriva säkerhets- hotande verksamhet. Avdelningen ansvarar även för brottsutred- ningar och ärenden enligt utlännings- och medborgarskapslagstift- ningen. Där bedrivs också underrättelsearbete med främsta syfte att förse myndigheten med beslutsunderlag för säkerhetsåtgärder. Säkerhetsavdelningen ansvarar för verksamhet inom områdena säkerhetsskydd och personskydd och för det interna säkerhetsar- betet och den interna riskhanteringen.

Det finns också en inhämtningsavdelning, en informations- och utvecklingsavdelning och en avdelning för verksamhetsstöd. In- hämtningsavdelningen utför på uppdrag av säkerhets- eller säker- hetsunderrättelseavdelningen inhämtnings- eller åtgärdsuppdrag. Avdelningen ansvarar för operativ stödverksamhet avseende bl.a. hemliga tvångsmedel. Vid avdelningen finns också myndighetens funktion för finansiella underrättelser och Säkerhetspolisens kom- munikationscentral. Informations- och utvecklingsavdelningen an- svarar för myndighetens samlade informationsförsörjning genom att registrera och grundbearbeta den information som kommer in till myndigheten och göra den tillgänglig för övriga delar av myn- digheten. Avdelningen samordnar utvecklingsarbetet avseende bl.a. systemförvaltning. Avdelningen för verksamhetsstöd ansvarar för Säkerhetspolisens administrativa verksamhet som rör bl.a. personal och ekonomi.

587

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

14.1.3Regleringen av personuppgiftsbehandlingen

Polisdatalagen

Allmänt

I 6 kap. polisdatalagen regleras behandling av personuppgifter i Säkerhetspolisens brottsbekämpande verksamhet. Där anges ända- målen för Säkerhetspolisens personuppgiftsbehandling, som delvis avviker från Polismyndighetens. Det finns även särskilda bestäm- melser om behandling av känsliga personuppgifter och om bevaran- de och gallring. I 6 kap. 4 § polisdatalagen hänvisas till ett flertal bestämmelser i 2 kap. i lagen som ska tillämpas även av Säkerhets- polisen. Polisdatalagen gäller enligt 2 kap. 1 § i stället för person- uppgiftslagen, men i 2 kap. 2 § hänvisas till ett antal bestämmelser i personuppgiftslagen som gäller vid behandling av personuppgifter enligt polisdatalagen. Många bestämmelser som gäller för Polis- myndigheten gäller således även för Säkerhetspolisen.

Polisdataförordningen gäller också i tillämpliga delar för Säker- hetspolisen. Där finns ytterligare bestämmelser om bl.a. behörig- hetstilldelning, ändamål, elektroniskt utlämnande och bevarande och gallring.

Ändamål för behandling

I 6 kap. 1–3 §§ polisdatalagen anges för vilka ändamål Säkerhetspo- lisen får behandla personuppgifter. Ändamålen delas in i primära och sekundära. De primära ändamålen, som avser behandling av personuppgifter för behoven i Säkerhetspolisens brottsbekämpan- de verksamhet, anges uttömmande i 6 kap. 1 § polisdatalagen. Per- sonuppgifter får behandlas om det behövs för att förebygga, för- hindra eller upptäcka brottslig verksamhet som innefattar brott mot rikets säkerhet, terrorbrott eller tryck- eller yttrandefrihets- brott med rasistiska eller främlingsfientliga motiv. Personuppgifter får även behandlas för att utreda eller beivra sådana brott eller, efter särskilt beslut, annat brott. Säkerhetspolisen får också behandla personuppgifter om det behövs för att fullgöra uppgifter i samband med personskydd av den centrala statsledningen och andra som regeringen eller Säkerhetspolisen bestämmer, fullgöra uppgifter en- ligt säkerhetsskyddslagen, fullgöra förpliktelser som följer av inter-

588

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

nationella åtaganden, lämna tekniskt biträde till Polismyndigheten, Ekobrottsmyndigheten, Åklagarmyndigheten eller Tullverket eller fullgöra annan verksamhet som anges i lag eller förordning eller särskilt beslut av regeringen.

De sekundära ändamålen aktualiseras när personuppgifter som redan behandlas i Säkerhetspolisens brottsbekämpande verksamhet lämnas ut till andra myndigheter eller organisationer för deras be- hov. Enligt de sekundära ändamålen, som anges i 6 kap. 2 § polis- datalagen, får personuppgifter behandlas när det är nödvändigt för att tillhandahålla information som behövs i brottsbekämpande verksamhet hos Polismyndigheten, Ekobrottsmyndigheten, Åkla- garmyndigheten, Tullverket, Kustbevakningen och Skatteverket eller hos en utländsk myndighet eller mellanfolklig organisation. Utlämnande är vidare tillåtet om behandlingen är nödvändig för att tillhandahålla information som behövs i en myndighets verksam- het, om informationen tillhandahålls inom ramen för myndighets- överskridande samverkan mot brott eller i Försvarsmaktens för- svarsunderrättelseverksamhet och militära säkerhetstjänst om det finns särskilda skäl att tillhandahålla informationen. Detsamma gäller om Säkerhetspolisen enligt lag eller förordning ska bistå en myndighet med viss uppgift. Säkerhetspolisen får även behandla personuppgifter om det är nödvändigt för att tillhandahålla infor- mation till bl.a. riksdagen och regeringen. Personuppgifter får dess- utom behandlas för att tillhandahålla information för något annat ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in (finalitetsprincipen). I 12 § polisdataförordningen finns ytterligare bestämmelser om ändamål för utlämnande av personuppgifter.

Personuppgifter får enligt 6 kap. 3 § polisdatalagen också be- handlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till Säkerhetspolisen i en anmälan eller liknande och behandlingen är nödvändig för handläggningen.

Utlämnande av personuppgifter

När det gäller utlämnande av personuppgifter och uppgiftsskyldig- het gäller i huvudsak samma bestämmelser för Säkerhetspolisen som för Polismyndigheten. Bestämmelserna i 2 kap. 14 och 15 §§

589

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

polisdatalagen gäller även för Säkerhetspolisen. I 14 § föreskrivs att personuppgifter får lämnas ut för att framställa rättsstatistik. I 15 § finns sekretessbrytande bestämmelser som anger i vilken utsträck- ning personuppgifter får lämnas ut till bl.a. Interpol, Europol, ut- ländsk underrättelse- eller säkerhetstjänst och annan utländsk myn- dighet eller mellanfolklig organisation.

Även bestämmelserna om elektroniskt utlämnande i 2 kap. 20 och 21 §§ polisdatalagen gäller för Säkerhetspolisen. Där föreskrivs att enstaka personuppgifter får lämnas ut på medium för automati- serad behandling och att utlämnande genom direktåtkomst är till- låtet bara i den utsträckning som följer av lagen. Säkerhetspolisen har inte getts någon möjlighet att lämna ut personuppgifter genom direktåtkomst. I polisdataförordningen finns kompletterande be- stämmelser om elektroniskt utlämnande. Där föreskrivs bl.a. att fler än enstaka personuppgifter under vissa förutsättningar får läm- nas ut på medium för automatiserad behandling till ett antal an- givna myndigheter.

Behandling av känsliga personuppgifter

Bestämmelserna om behandling av känsliga personuppgifter i 2 kap. 10 § polisdatalagen gäller för Säkerhetspolisen. Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexu- alliv. Om uppgifter om en person behandlas på annan grund får de kompletteras med sådana uppgifter om det är absolut nödvändigt för syftet med behandlingen.

Behandling av gemensamt tillgängliga uppgifter

På samma sätt som för Polismyndigheten regleras Säkerhetspoli- sens behandling av gemensamt tillgängliga uppgifter särskilt. I 6 kap. 8 § polisdatalagen föreskrivs att personuppgifter får göras gemensamt tillgängliga i Säkerhetspolisen verksamhet om det be- hövs för de ändamål för vilka Säkerhetspolisen får behandla person- uppgifter.

590

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

När personuppgifter görs gemensamt tillgängliga ska det, enligt 6 kap. 9 §, genom en särskild upplysning eller på något annat sätt framgå för vilket närmare ändamål personuppgifterna behandlas. Om uppgifterna direkt kan hänföras till en person som inte är misstänkt för brott eller för att ha utövat eller komma att utöva brottslig verksamhet ska det enligt 6 kap. 10 § framgå att personen inte är misstänkt. Uppgifter om en person som kan antas ha sam- band med misstänkt brottslig verksamhet ska förses med upplys- ning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Sådana upplysningar behöver dock inte lämnas om det på grund av särskilda omständigheter är onödigt eller om uppgifterna ingår i en uppgiftssamling som har skapats för att bearbeta och ana- lysera information och bearbetningen och analysen befinner sig i ett inledande skede.

Vid sökning i gemensamt tillgängliga uppgifter får Säkerhetspo- lisen enligt 6 kap. 11 § polisdatalagen använda känsliga personupp- gifter som sökbegrepp endast om det är absolut nödvändigt.

Bevarande och gallring

I 6 kap. 6 § polisdatalagen föreskrivs att Säkerhetspolisen inte får bevara personuppgifter under längre tid än vad som behövs för något eller några av de ändamål som anges i lagen. I 6 kap. 7 och 12–14 §§ regleras hur länge uppgifter längst får bevaras.

Personuppgifter som inte har gjorts gemensamt tillgängliga ska, om de behandlas i ett ärende, gallras senast ett år efter att ärendet avslutats. Om uppgifterna inte kan hänföras till ett ärende ska de gallras senast ett år efter att de behandlades automatiserat första gången.

Personuppgifter som har gjorts gemensamt tillgängliga ska gall- ras senast tio år efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. Särskilda regler gäller för personuppgifter som behandlas i en uppgiftssamling som har ska- pats för att bearbeta och analysera information och som enbart särskilt angivna tjänstemän har tillgång till. Sådana personuppgifter ska gallras senast tre år efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. Om det finns särskilda skäl får Säkerhetspolisen besluta att personuppgifter får

591

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

bevaras längre tid om uppgifterna fortfarande behövs för det ända- mål för vilket de behandlas.

Annan tillämplig lagstiftning

Säkerhetspolisen tillämpar också lagen om internationellt polisiärt samarbete och föreskrifter som har meddelats i anslutning till den lagen. Lagen tillämpas på polisiärt samarbete mellan Sverige och andra stater i den utsträckning som Sverige i en internationell över- enskommelse har gjort sådana åtaganden som avses i lagen. Enligt 6 kap. 1 § lagen om internationellt polisiärt samarbete gäller polis- datalagen för polisens behandling av personuppgifter vid interna- tionellt polisiärt samarbete, om inte annat följer av lagen om inter- nationellt polisiärt samarbete eller förskrifter som regeringen har meddelat i anslutning till den lagen.

I 7–9 kap. lagen om internationellt polisiärt samarbete regleras informationsutbyte enligt vissa EU-rättsakter; Prümrådsbeslutet, CBE-direktivet och VIS-rådsbeslutet.

Säkerhetspolisen kan även tillämpa 2013 års lag, men i delbetän- kandet föreslår utredningen att den lagen ska upphävas (se SOU 2017:29 s. 145 f.).

14.2En ny lag för Säkerhetspolisens personuppgiftsbehandling

14.2.1Allmänna utgångspunkter

En fristående myndighet

Vid polisdatalagens tillkomst var Säkerhetspolisen en avdelning vid Rikspolisstyrelsen. Den tidigare gällande polisdatalagen (1998:622) gällde vid behandling av personuppgifter i polisens brottsbekäm- pande verksamhet vid Rikspolisstyrelsen, polismyndigheterna och Ekobrottsmyndigheten. Vid den nuvarande polisdatalagens till- komst ansåg regeringen att detsamma borde gälla för den lagen (se prop. 2009/10:85 s. 71). Regeringen framhöll att Säkerhetspolisens verksamhet i stor utsträckning bedrivs på liknande sätt som annan polisverksamhet och att den reglering som föreslogs för polisen i

592

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

övrigt därför i många avseenden borde tillämpas även av Säkerhets- polisen. I förarbetena konstaterades dock att särdragen i Säkerhets- polisens verksamhet motiverade att vissa bestämmelser utformades på ett sätt som var mer anpassat till den verksamheten (se prop. 2009/10:85 s. 250 f.). Säkerhetspolisens behandling av personupp- gifter i den brottsbekämpande verksamheten regleras därför i dag i ett särskilt kapitel i polisdatalagen.

När Säkerhetspolisen blev en fristående myndighet gjordes det vissa ändringar i polisdatalagen (se Den nya polisorganisationen – några frågor om personuppgiftbehandling m.m., prop. 2014/15:94, s. 82 f.). Eftersom Säkerhetspolisens personuppgiftsbehandling var föremål för grundlig översyn när polisdatalagen infördes ansåg regeringen emellertid att det inte fanns något behov av att se över den materiella regleringen (se prop. 2013/14:110 s. 480 f.). Säker- hetspolisens personuppgiftsbehandling i den brottsbekämpande verksamheten regleras därför även efter omorganisationen i polis- datalagen.

Säkerhetspolisens verksamhet skiljer sig från Polismyndighetens

Även om Säkerhetspolisens och Polismyndighetens verksamhet i stor utsträckning bedrivs på liknande sätt, skiljer sig Säkerhetspoli- sens uppdrag från Polismyndighetens. Säkerhetspolisen har en be- tydligt mer begränsad verksamhet, inriktad på några få områden. Tyngdpunkten ligger på att förebygga och förhindra brott. Säker- hetspolisen har i uppdrag att skydda Sveriges demokratiska system, medborgarnas fri- och rättigheter och den nationella säkerheten. Säkerhetspolisens verksamhet rör därmed i princip uteslutande nationell säkerhet.

Säkerhetspolisens uppdrag är att förebygga, förhindra och upp- täcka brottslig verksamhet som innefattar brott mot rikets säkerhet och terrorbrott och att utreda och beivra sådana brott och vissa andra brott. Arbetet förutsätter att myndigheten har förmåga att identifiera och kartlägga sådan brottslig verksamhet. Säkerhetspoli- sen behöver kunna behandla personuppgifter på ett tidigt stadium, innan en person eller en gruppering har konkreta brottsplaner eller har vidtagit åtgärder för att begå brott. Säkerhetspolisens arbete är alltså främst inriktat mot att identifiera planer på och förstadier av

593

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

brottslig verksamhet. När Säkerhetspolisen identifierar brottslig verksamhet i ett så tidigt skede kan brottsligheten normalt förhind- ras. Då kan konkreta brottsliga gärningar vara svåra att urskilja. Säkerhetspolisens polisiära verksamhet fokuserar alltså på att före- bygga och förhindra brott. Det innebär att det finns avgörande skillnader i Säkerhetspolisens verksamhet och arbetsmetoder jäm- fört med Polismyndighetens.

I motsats till vad som gäller för Polismyndigheten är Säkerhets- polisens brottsutredande verksamhet mycket liten och initieras endast undantagsvis genom anmälningar om brott. Vid misstanke om brott inleds förundersökning, som bedrivs enligt samma regler som gäller för Polismyndigheten. Vid misstanke om vissa brott ska utredningen alltid skötas av Säkerhetspolisen. Det gäller bl.a. spio- neri, grovt spioneri, obehörig befattning med hemlig uppgift, grov obehörig befattning med hemlig uppgift, olovlig underrättelseverk- samhet och vissa tryckfrihets- och yttrandefrihetsbrott. Förunder- sökningen leds alltid av åklagare. Säkerhetspolisen får även utreda vissa andra brott men kan avstå från det och överlämna frågan till Polismyndigheten. Under en förundersökning har Säkerhetspolisen samma befogenheter som Polismyndigheten och genomför exem- pelvis husrannsakan och förhör i syfte att få fram ett tillräckligt beslutsunderlag för åklagaren.

Säkerhetspolisen är också säkerhetstjänst

Säkerhetspolisen är, förutom polisiär myndighet, också nationell säkerhetstjänst. En säkerhetstjänst arbetar för att höja säkerhets- nivån i den egna staten. Det görs dels genom att avslöja och redu- cera säkerhetshot som riktas mot staten, dels genom att reducera sårbarheter. Säkerhetspolisen bedriver i egenskap av säkerhetstjänst underrättelse- och säkerhetsarbete. Myndigheten bedriver omfat- tande säkerhetsunderrättelseverksamhet för att ta fram hot- och sårbarhetsbedömningar. Verksamheten är inriktad på att avslöja om viss brottslighet kan komma att begås. Bedömningarna tjänar som underlag för beslut om vilka åtgärder Säkerhetspolisen ska vidta i sitt förebyggande arbete. De ligger också till grund för beslut om t.ex. personskydd eller andra säkerhetsskyddsåtgärder. Ett övergri- pande mål med säkerhetsunderrättelseverksamheten är att hämta in

594

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

kunskap som kan omsättas i operativ verksamhet (se En tydligare organisation för Säkerhetspolisen, SOU 2012:77, s. 56 f.).

Den brottslighet som Säkerhetspolisen ska förebygga har ofta koppling till andra stater. Det gäller inte minst bekämpning av ter- rorbrott. Säkerhetsunderrättelseverksamheten förutsätter därför ett väl fungerande informationsutbyte med utländska underrättelse- och säkerhetstjänster.

Brottsdatalagen gäller inte i Säkerhetspolisens verksamhet

Brottsdatalagen ska enligt 1 kap. 2 § gälla för behandling av per- sonuppgifter som utförs i syfte att förebygga, förhindra eller upp- täcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säker- het. Enligt 1 kap. 4 § gäller lagen dock inte vid Säkerhetspolisens behandling av personuppgifter som rör nationell säkerhet eller om Polismyndigheten har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspolisen.

Till Säkerhetspolisens huvuduppgifter hör som nyss nämnts att förebygga, förhindra och upptäcka brottslig verksamhet som inne- fattar brott mot rikets säkerhet och terrorbrott och att utreda och beivra sådana brott. Säkerhetspolisen ansvarar vidare för person- skyddet av den centrala statsledningen. De uppgifterna avser natio- nell säkerhet. Säkerhetspolisen har även andra uppgifter som avser nationell säkerhet eller som har mycket nära samband med sådan verksamhet. Merparten av Säkerhetspolisens behandling av person- uppgifter ligger härigenom utanför brottsdatalagens tillämpnings- område (se SOU 2017:29 s. 174 f.).

Dataskyddsförordningens tillämpning utvidgas

Nationell säkerhet har undantagits även från dataskyddsförord- ningens tillämpningsområde. Dataskyddsutredningen föreslår dock att dataskyddsförordningens tillämpningsområde ska utsträckas och gälla generellt, även vid sådan behandling av personuppgifter som inte omfattas av EU-rätten (se SOU 2017:39 s. 89 f.). Genom den regleringen säkerställs det enligt Dataskyddsutredningen att det finns ett fullgott skydd för behandlingen av personuppgifter

595

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

inom varje verksamhet. Genom förslaget kommer Säkerhetspoli- sens personuppgiftsbehandling att regleras av dataskyddsförord- ningen med kompletterande lagstiftning, om det inte finns avvikan- de bestämmelser.

14.2.2En särskild lag för Säkerhetspolisens personuppgiftsbehandling

Utredningens förslag: Det ska införas en ny lag om Säkerhets- polisens behandling av personuppgifter och 6 kap. polisdata- lagen ska upphävas. Den nya lagen ska benämnas Säkerhetspoli- sens datalag. När personuppgifter behandlas enligt den nya lagen ska lagen med kompletterande bestämmelser till EU:s dataskyddsförordning inte gälla.

Skälen för utredningens förslag

Förutsättningarna har förändrats

Säkerhetspolisen har lika stort behov av särregler för sin person- uppgiftsbehandling när brottsdatalagen träder i kraft som myndig- heten har i dag. Frågan är då om behovet av särreglering även fort- sättningsvis bör tillgodoses genom särskilda regler i polisdatalagen eller om personuppgiftsbehandlingen bör regleras i en särskild lag.

Brottsdatalagen förutsätter att myndigheternas registerförfatt- ningar ses över och anpassas till den nya regleringen. I avsnitt 5.2 föreslår utredningen att polisdatalagen ska gälla utöver brottsdata- lagen. Många frågor som i dag regleras i polisdatalagen kommer då i stället att regleras i brottsdatalagen. Det medför att ett stort antal bestämmelser i polisdatalagen upphävs. Eftersom brottsdatalagen inte kommer att vara tillämplig i större delen av Säkerhetspolisens verksamhet och polisdatalagen kommer att anpassas till brottsdata- lagen blir det komplicerat att reglera Säkerhetspolisens personupp- giftsbehandling i polisdatalagen. Det finns därför starka lagtekniska skäl som talar för att Säkerhetspolisens behandling av personupp- gifter bör regleras i en särskild lag.

596

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

Dataskyddsförordningen görs generellt tillämplig

Enligt 1 kap. 4 § brottsdatalagen omfattas Säkerhetspolisens be- handling av personuppgifter som rör nationell säkerhet inte av lagens tillämpningsområde. Samtidigt föreslår Dataskyddsutred- ningen att dataskyddsförordningen ska vara generellt tillämplig och omfatta även personuppgiftsbehandling som utförs i verksamhet som rör nationell säkerhet.

Eftersom dataskyddsförordningen varken är tillämplig på per- sonuppgiftsbehandling som rör nationell säkerhet eller som utförs i brottsbekämpande syfte har bestämmelserna i förordningen inte skapats med beaktande av den typen av verksamhet. Merparten av bestämmelserna i förordningen är därmed inte anpassade till Säker- hetspolisens verksamhet och kan inte heller tillämpas direkt där. Att dataskyddsförordningen föreslås bli generellt tillämplig innebär inte att behovet av särregler för Säkerhetspolisens verksamhet har förändrats.

Dataskyddsutredningen föreslår att det på områden som inte regleras av EU-rätten ska vara möjligt att genom sektorsspecifik lagstiftning göra undantag från dataskyddsförordningens bestäm- melser (se SOU 2017:39 s. 91 f.). Säkerhetspolisens verksamhet är av sådan karaktär att det med hänsyn både till effektivitets- och integritetsskäl krävs en reglering som avviker från dataskyddsför- ordningen. Eftersom verksamhet som rör nationell säkerhet ligger utanför förordningens tillämpningsområde behöver förordningens bestämmelser inte beaktas vid införandet av särregler.

En ny lag bör införas

Mot bakgrund av att det nationella regelverket för personuppgifts- behandling kommer att förändras, att Säkerhetspolisens verksam- het förutsätter en delvis annan reglering och att Säkerhetspolisen numera är en självständig myndighet framstår det som lämpligast att bryta ut regleringen av Säkerhetspolisens personuppgiftsbe- handling ur polisdatalagen och ta in den i en särskild lag.

Utredningen gör i delbetänkandet bedömningen att Säkerhets- polisen bör kunna tillämpa vissa bestämmelser i brottsdatalagen även i verksamhet som rör nationell säkerhet (se SOU 2017:29 s. 176). Eftersom Säkerhetspolisens personuppgiftsbehandling som

597

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

rör nationell säkerhet uttryckligen undantas från brottsdatalagens tillämpningsområde ter det sig dock mindre lämpligt att föreskriva att Säkerhetspolisen trots det ska tillämpa den lagen i vissa delar. Den nya lagen bör därför inte hänvisa till bestämmelser i brotts- datalagen. Den bör säkerställa att Säkerhetspolisen kan fortsätta att behandla personuppgifter på i huvudsak samma sätt som i dag och innehålla alla de bestämmelser som behövs för det.

Med hänsyn till att en ny lag föreslås bör bestämmelserna om Säkerhetspolisens personuppgiftsbehandling i 6 kap. polisdatalagen upphävas.

Lagens benämning

Flertalet registerförfattningar inom brottsdatalagens tillämpnings- område har ordet datalag i namnet, t.ex. polisdatalagen, åklagar- datalagen och domstolsdatalagen. Även Tullverkets och Skattever- kets nya registerförfattningar innehåller ordet datalag. Utredningen har bl.a. av den anledningen valt att benämna den lag som genom- för direktivet brottsdatalagen (se SOU 2017:29 s. 142 f.).

När det gäller övriga registerförfattningar föreslår utredningen som huvudregel att myndighetsnamnet tillsammans med ordet brottsdatalag ska bilda författningens namn, t.ex. Tullverkets brottsdatalag och Kustbevakningens brottsdatalag (se avsnitt 8.1.2 och 9.1.2). Eftersom Säkerhetspolisens personuppgiftsbehandling som rör nationell säkerhet undantas från brottsdatalagens tillämp- ningsområde kan den nya lagen inte gälla utöver brottsdatalagen på det sätt som föreslås för övriga myndigheter i rättskedjan (se av- snitt 5.2). Mot den bakgrunden är det inte lämpligt att kalla den nya lagen Säkerhetspolisens brottsdatalag. Det namnet skulle ge ett felaktigt intryck av att lagen har samma kopplingar till brottsdata- lagen som övriga registerförfattningar.

Den nya lagen för Säkerhetspolisens personuppgiftsbehandling bör ha ett så enkelt och tydligt namn som möjligt. Samtidigt bör namnet återspegla lagens innehåll. Att knyta lagens namn till till- lämpningsområdet skulle resultera i ett för långt namn. Ett namn med den utformningen kritiserades dessutom av Lagrådet när polisdatalagen granskades (se prop. 2009/10:85 s. 66 och 519). En- ligt utredningens mening är de författningsnamn som innehåller

598

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

ordet datalag tydliga och ändamålsenliga. Lagen bör därför benäm- nas Säkerhetspolisens datalag.

Förhållandet till lagen med kompletterande bestämmelser till EU:s dataskyddsförordning

Som nyss nämnts föreslår Dataskyddsutredningen att dataskydds- förordningens tillämpningsområde ska utsträckas till att omfatta även personuppgiftsbehandling som utförs i verksamhet som rör nationell säkerhet. Lagen (2018:000) med kompletterande bestäm- melser till EU:s dataskyddsförordning föreslås vara subsidiär till avvikande bestämmelser i annan lag eller i förordning. Det bör tyd- liggöras i den nya lagen att dataskyddsförordningen och lagen med kompletterande bestämmelser till den inte i någon del ska tillämpas när Säkerhetspolisen behandlar personuppgifter enligt den nya lagen (jfr 1 kap. 1 § andra stycket lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet).

14.2.3Lagens syfte

Utredningens förslag: Syftet med lagen ska vara att skydda fysiska personers grundläggande fri- och rättigheter i samband med behandling av personuppgifter och att säkerställa att Säker- hetspolisen kan behandla och utbyta personuppgifter på ett ändamålsenligt sätt.

Skälen för utredningens förslag: Enligt 1 kap. 1 § polisdatalagen är syftet med lagen att ge polisen möjlighet att behandla person- uppgifter på ett ändamålsenligt sätt i sin brottsbekämpande verk- samhet och att skydda människor mot att deras personliga integri- tet kränks vid sådan behandling. Enligt 1 kap. 1 § brottsdatalagen är syftet med lagen att skydda fysiska personers grundläggande fri- och rättigheter i samband med behandling av personuppgifter och att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt.

599

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

Det har inte enbart en symbolisk eller informativ betydelse att uttryckligen slå fast lagens syfte. Att en lags syfte uttryckligen anges kan få relevans i rättstillämpningen genom att det ger vägled- ning för tolkningen av de materiella bestämmelserna i lagen (se SOU 2017:29 s. 144 f.). En bestämmelse som anger lagens syfte bör därför finnas i den nya lagen. Bestämmelsen bör formuleras som motsvarande bestämmelse i brottsdatalagen.

14.3Lagens tillämpningsområde

14.3.1Avgränsningen av tillämpningsområdet

Utredningens förslag: Lagen ska gälla vid behandling av per- sonuppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lagförande verksamhet.

Lagen ska gälla för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en struk- turerad samling av personuppgifter som är tillgängliga för sök- ning eller sammanställning enligt särskilda kriterier.

Skälen för utredningens förslag

Lagen ska gälla för behandling av personuppgifter som rör nationell säkerhet

I 1 kap. 4 § brottsdatalagen undantas Säkerhetspolisens personupp- giftsbehandling som rör nationell säkerhet från tillämpningsom- rådet. Den begränsade del av Säkerhetspolisens personuppgiftsbe- handling som ligger inom brottsdatalagens tillämpningsområde ska därför inte omfattas av den nya lagen. Den får därmed ett något snävare tillämpningsområde än den nuvarande regleringen. Föränd- ringen av tillämpningsområdet är dock marginell.

I 19 kap. brottsbalken används numera uttrycket Sveriges säker- het i stället för det äldre rikets säkerhet. När uttrycket byttes ut konstaterade regeringen att innebörden av rikets säkerhet hade förändrats och blivit vidare. Regeringen konstaterade emellertid att rikets säkerhet har en tillräckligt klar och tydlig innebörd och att

600

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

uttrycket är väl etablerat i praxis. Regeringen ansåg därför att ut- trycket även i framtiden borde tjäna som utgångspunkt för straff- bestämmelserna i 19 kap. brottsbalken, men att det, på grund av att det var ålderdomligt, borde ändras till Sveriges eller landets säker- het (se Förstärkt skydd mot främmande makts underrättelseverk- samhet, prop. 2013/14:51, s. 20 och 36).

I betänkandet En ny säkerhetsskyddslag används också ut- trycket Sveriges säkerhet. Utredningen om säkerhetsskyddslagen påtalar emellertid att det, mot bakgrund av att uttrycket är centralt i annan lagstiftning där orsaken till skyddsbehoven kan sägas vara snävare, finns viss risk för att tillämpningsområdet tolkas för snävt. Den utredningen diskuterar några andra uttryck, men stannar ändå för att använda Sveriges säkerhet i beskrivningen av det område som ska skyddas (se SOU 2015:25 s. 267 f.).

Undantagen från tillämpningsområdet utgår både i direktivet och dataskyddsförordningen från uttrycket nationell säkerhet. I delbetänkandet har utredningen bl.a. av det skälet valt att använda uttrycket nationell säkerhet för att avgränsa det som undantas från brottsdatalagens tillämpningsområde (se SOU 2017:29 s. 174 f.). Det uttrycket kan ges en något vidare innebörd än uttrycket Sveriges säkerhet. En fråga som rör nationell säkerhet i något av våra grannländer kan t.ex. vara av den karaktären att den även indirekt kan komma att påverka Sveriges nationella säkerhet. När det gäller gränsöverskridande terrorism är det av stor betydelse att Säkerhetspolisen både kan ta emot och lämna information som kan bidra till att förhindra terrorbrott, oavsett vilken stats nationella säkerhet som hotas. Uttrycket Sveriges säkerhet kan därför bli för snävt. Av det skälet och då det är viktigt att inget faller utanför brottsdatalagens och den nya lagens tillämpningsområde bör samma uttryck användas för att avgränsa tillämpningsområdet i båda lagarna.

Lagen ska gälla vid behandling av personuppgifter i brottsbekämpande och lagförande verksamhet

Brottsdatalagens tillämpningsområde avgränsas framför allt genom syftet med behandlingen. Det beror på att direktivets tillämpnings- område är avgränsat på det sättet (se SOU 2017:29 s. 159 f.). I direktivet och dataskyddsförordningen anges att de inte ska tilläm-

601

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

pas på behandling som utgör ett led i en verksamhet som inte om- fattas av unionsrätten. Säkerhetspolisens verksamhet ligger därmed som nyss nämnts till allra största delen utanför både direktivets och förordningens tillämpningsområde. Syftet med behandlingen be- höver därför inte användas för att avgränsa tillämpningsområdet för den nya lagen. Tillämpningsområdet bör i stället, på samma sätt som i dag, kopplas till Säkerhetspolisens verksamhet.

Frågan är om tillämpningsområdet i den nya lagen bör avgränsas på samma sätt som i polisdatalagen, dvs. genom en hänvisning till brottsbekämpande verksamhet, eller genom någon annan formule- ring, t.ex. operativ verksamhet (jfr 1 kap. 2 § åklagardatalagen).

I förarbetena till polisdatalagen konstaterar regeringen att arbe- tet inom Säkerhetspolisens olika verksamhetsområden är förebyg- gande och ytterst syftar till att förhindra att brott begås och att det därför får anses utgöra en del av Säkerhetspolisens brottsbekäm- pande verksamhet (se prop. 2009/10:85 s. 255 f.). Därför räknas samtliga områden där myndigheten bedriver verksamhet upp i 6 kap. 1 § polisdatalagen som reglerar för vilka ändamål personupp- gifter får behandlas. Även i senare förarbeten har det uttalats att all verksamhet vid Säkerhetspolisen i någon mån är brottsbekämpande (se prop. 2013/14:110 s. 480 f.). Det talar för att uttrycket brotts- bekämpande verksamhet bör användas även i den nya lagen.

Även om all Säkerhetspolisens verksamhet har ansetts vara i någon mån brottsbekämpande finns det delar av verksamheten som inte har ett lika tydligt brottsbekämpande syfte som övrig verk- samhet. Det beror på att Säkerhetspolisen också är en säkerhets- tjänst. I den rollen arbetar Säkerhetspolisen för att höja nivån på säkerheten i Sverige. Verksamheten är främst inriktad på att be- döma om viss säkerhetshotande brottslighet kan antas komma att begås. Bedömningarna tjänar som underlag för beslut om vilka åt- gärder Säkerhetspolisen vidtar i sitt förebyggande arbete. De ligger också till grund för beslut om t.ex. personskydd för den centrala statsledningen eller andra säkerhetsskyddsåtgärder. Eftersom verk- samheten och åtgärderna är inriktade på att förebygga att säker- hetshot skapas och kan förverkligas kan de indirekt sägas ha brotts- bekämpande syfte.

Det kan diskuteras om Säkerhetspolisens roll som säkerhets- tjänst gör det lämpligare att använda ett annat uttryck än brottsbe- kämpning. Uttrycket operativ verksamhet skulle kunna användas

602

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

för att avgränsa lagens tillämpningsområde. Ett alternativ skulle kunna vara att låta lagen omfatta brottsbekämpande och annan operativ verksamhet. Det har inte framkommit några problem med att använda uttrycket brottsbekämpande verksamhet för att av- gränsa tillämpningsområdet. Inarbetade begrepp bör inte ändras om inte starka skäl talar för det. Även om det skulle finnas fördelar med ett annat uttryck talar enligt utredningens mening övervä- gande skäl för att behålla samma avgränsning som i dag.

Med brottsbekämpning avses i dag både arbetsuppgifterna att förebygga, förhindra och upptäcka brottslig verksamhet och att ut- reda och beivra brott. I brottsdatalagen görs det emellertid skillnad mellan brottsbekämpning och lagföring. Det beror på att direktivet är utformat på det sättet. Uppgiften att beivra brott hänförs till lag- föring. Brottsbekämpning har därmed i brottsdatalagen fått en snä- vare innebörd än i dag (se avsnitt 5.4.6). Brottsbekämpning bör ha samma innebörd i den nya lagen. Säkerhetspolisen har enligt sin instruktion i uppgift att utreda och beivra, dvs. lagföra, vissa typer av brott. Den nuvarande regleringen omfattar således även lagfö- ring. Den nya lagen bör därför gälla personuppgiftsbehandling som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lagförande verksamhet.

Intern och administrativ verksamhet bör inte omfattas

För Säkerhetspolisens behandling av personuppgifter i intern och administrativ verksamhet gäller i dag personuppgiftslagen. Som exempel på administrativ verksamhet kan nämnas personalfrågor och ekonomihantering. Exempel på interna åtgärder är framtagande av interna föreskrifter, handböcker och policydokument.

Viss behandling av personuppgifter som utförs i Säkerhetspoli- sens interna eller administrativa verksamhet kan vara av sådan karaktär att den gäller nationell säkerhet, t.ex. vissa personaladmi- nistrativa ärenden. När det gäller vissa kategorier av anställda vid Säkerhetspolisen anses i princip alla uppgifter om den anställde och hans eller hennes anställning röra nationell säkerhet, t.ex. tidsrap- portering, ledighetsansökningar och tjänsteresor. Sekretess gäller därför i större utsträckning än normalt för uppgifter som rör Säkerhetspolisens personal (se t.ex. 15 kap. 2 § och 18 kap. 2 och

603

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

5 §§ offentlighets- och sekretesslagen). Det ska inte vara möjligt för en annan stat att med hjälp av offentliga uppgifter kunna kart- lägga hela Säkerhetspolisens organisation, även om öppenheten är mycket större i Sverige än i många andra stater.

I den mån personuppgifter behandlas i intern och administrativ verksamhet görs det för andra syften än brottsbekämpning. Be- handlingen bygger dessutom som regel på samtycke från den en- skilde. Det har därför inte ansetts nödvändigt att specialreglera behandlingen av personuppgifter i sådan verksamhet (se t.ex. prop. 2014/15:63 s. 45). Enligt utredningens mening finns det inte anled- ning att göra någon annan bedömning när det gäller Säkerhetspoli- sens personuppgiftsbehandling i sådan verksamhet. Mot den bak- grunden anser utredningen att det inte finns skäl att låta den nya lagen omfatta personuppgiftsbehandling i intern och administrativ verksamhet ens om behandlingen rör nationell säkerhet.

Helt eller delvis automatiserad behandling

Den nya lagen bör på samma sätt som i dag gälla för behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är till- gängliga för sökning eller sammanställning enligt särskilda kriterier.

14.3.2Ska andra myndigheter tillämpa lagen?

Utredningens förslag: Polismyndigheten ska tillämpa den nya lagen när myndigheten har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspolisen.

Skälen för utredningens förslag

Polismyndigheten

Enligt 28 § förordningen med instruktion för Polismyndigheten ska myndigheten bistå vid polisverksamhet som leds av Säkerhets- polisen om Säkerhetspolisen i ett enskilt fall begär det och det inte

604

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

finns särskilda skäl mot det. Polismyndigheten ska vidare, i den utsträckning som myndigheterna kommer överens om, lämna tek- niskt biträde och annan hjälp till Säkerhetspolisen. Enligt 15 § in- struktionen för Säkerhetspolisen får biträdande säkerhetspolis- chefen i samråd med chefen för Nationella operativa avdelningen, trots den ansvarsfördelning som annars gäller mellan myndigheter- na, i ett enskilt fall bestämma att en förundersökning eller annan uppgift i den brottsbekämpande verksamheten ska lämnas över till Polismyndigheten för fortsatt handläggning.

Eftersom det när Säkerhetspolisen begär biträde av Polismyn- digheten eller överlämnar en arbetsuppgift till myndigheten med stöd av 15 § instruktionen för Säkerhetspolisen i de flesta fall är fråga om en arbetsuppgift som rör nationell säkerhet, föreslår ut- redningen i delbetänkandet att Polismyndigheten inte ska tillämpa brottsdatalagen i vidare mån än vad Säkerhetspolisen skulle ha gjort om uppgiften legat kvar där (se SOU 2017:29 s. 178). I dessa fall bör Polismyndigheten i stället tillämpa den särreglering som gäller för Säkerhetspolisen. Det bör därför framgå av den nya lagen att den gäller för Polismyndigheten i vissa situationer. Skulle det vara fråga om en arbetsuppgift i brottsbekämpningen som inte rör nationell säkerhet skulle Säkerhetspolisen tillämpa brottsdatalagen om uppgiften legat kvar där och då bör även Polismyndigheten till- lämpa den regleringen om den biträder eller övertar arbetsuppgif- ten från Säkerhetspolisen.

Försvarsmakten

Säkerhetspolisen får enligt 1 § andra stycket lagen (2006:343) om Försvarsmaktens stöd till polisen vid terrorismbekämpning begära visst stöd från Försvarsmakten. Som framgår av delbetänkandet bör Försvarsmakten i sådana situationer inte tillämpa brottsdatalagen i vidare mån än vad Säkerhetspolisen skulle ha gjort i samma situa- tion (se SOU 2017:29 s. 178). Enligt utredningens mening är det inte heller lämpligt att Försvarsmakten tillämpar Säkerhetspolisens nya lag i sådana situationer. Den reglering som gäller för Försvars- maktens verksamhet bör i stället tillämpas.

605

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

14.3.3Säkerhetspolisen ska även tillämpa brottsdatalagen

Utredningens förslag: Det ska framgå genom en hänvisning att Säkerhetspolisen ska tillämpa brottsdatalagen och polisens brottsdatalag vid behandling av personuppgifter i frågor som inte rör nationell säkerhet.

Skälen för utredningens förslag: Även om merparten av Säker- hetspolisens personuppgiftsbehandling rör nationell säkerhet och därför undantas från brottsdatalagens tillämpningsområde, om- fattas viss behandling i myndighetens brottsbekämpande verksam- het av brottsdatalagen och polisens brottsdatalag (se avsnitt 7.2.1). Den nya lagen bör innehålla en bestämmelse som upplyser om att de lagarna i vissa fall är tillämpliga.

14.4Regleringen ska utgå från regleringen i polisdatalagen

Anledningen till att utredningen föreslår att Säkerhetspolisens per- sonuppgiftsbehandling ska regleras i en särskild lag är främst att EU:s dataskyddsreform medför andra krav än i dag på regelverket för nationell personuppgiftsbehandling. Regleringen i polisdata- lagen av Säkerhetspolisens personuppgiftsbehandling är relativt ny och den har i allt väsentligt fungerat som avsett. Enligt utred- ningens direktiv ska en utgångspunkt vara att regleringen av Säker- hetspolisens personuppgiftsbehandling nyligen har moderniserats och bedömts vara ändamålsenlig (dir. 2016:21 s. 13). Bestämmel- serna i polisdatalagen bör därför till stor del kunna bilda mönster för bestämmelserna i den nya lagen.

Då den nya lagen ska vara heltäckande kommer den dock att bli betydligt mer omfattande än den nuvarande regleringen för Säker- hetspolisen. Den bör därför indelas i kapitel. Det kan också finnas skäl att överväga om några av de nya bestämmelser som föreslås i polisens brottsdatalag även bör tas in i den nya regleringen för Säkerhetspolisen.

Eftersom varken direktivet eller dataskyddsförordningen omfat- tar behandling av personuppgifter som utförs i verksamhet som rör nationell säkerhet finns det ur EU-rättslig synvinkel inte något

606

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

som hindrar att den nya lagen utformas på annat sätt än brotts- datalagen. Den EU-rättsliga regleringen bygger emellertid på och vidareutvecklar dataskyddskonventionen. Konventionen gäller även i verksamhet som rör nationell säkerhet och Sverige är folkrättsligt bundet av konventionen med dess tilläggsprotokoll. En särreglering av Säkerhetspolisens personuppgiftsbehandling får således inte strida mot bestämmelserna i dataskyddskonventionen.

Även om det EU-rättsliga regelverket inte är tillämpligt på be- handling av personuppgifter i verksamhet som rör nationell säker- het bör särregleringen för Säkerhetspolisen enligt utredningens mening ändå till största delen följa brottsdatalagens systematik och innehåll. Det är en fördel eftersom myndigheten kommer att till- lämpa båda regelverken i sin verksamhet.

14.5Allmänna bestämmelser

14.5.1Förhållandet till annan lagstiftning

Utredningens förslag: Avvikande bestämmelser om behandling av personuppgifter i lagen om internationellt polisiärt samarbete eller i föreskrifter som meddelats i anslutning till den lagen ska tillämpas i stället för bestämmelserna i den nya lagen.

Bestämmelserna i den nya lagen ska inte tillämpas i den ut- sträckning det skulle inskränka skyldigheten enligt 2 kap. tryck- frihetsförordningen att lämna ut personuppgifter.

Skälen för utredningens förslag: Av 1 kap. 4 § polisdatalagen framgår att om det i lagen om internationellt polisiärt samarbete finns avvikande bestämmelser om behandling av personuppgifter, ska de bestämmelserna tillämpas i stället för polisdatalagen. I övrigt tillämpas de generella bestämmelserna i polisdatalagen, inklude- rande vissa bestämmelser i personuppgiftslagen, vid behandling av personuppgifter enligt lagen och förordningen om internationellt polisiärt samarbete.

Säkerhetspolisen tillämpar bestämmelserna i lagen om interna- tionellt polisiärt samarbete vid samarbete med andra stater. Den ordningen bör gälla även i fortsättningen. Det bör därför i den nya lagen finnas en bestämmelse som tydliggör förhållandet till lagen

607

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

och förordningen om internationellt polisiärt samarbete. Det krä- ver en följdändring i uppräkningen av lagar i 6 kap. 1 § lagen om internationellt polisiärt samarbete.

Av 8 § första stycket personuppgiftslagen framgår att person- uppgiftslagen inte ska tillämpas i den utsträckning det skulle in- skränka en myndighets skyldighet att lämna ut personuppgifter enligt 2 kap tryckfrihetsförordningen. I 2 kap. 2 § första stycket 2 polisdatalagen hänvisas till 8 § i personuppgiftslagen, vilket innebär att den bestämmelsen gäller för personuppgiftsbehandling hos Säkerhetspolisen. En bestämmelse som motsvarar 8 § första stycket personuppgiftslagen bör tas in i den nya lagen.

14.5.2Personuppgiftsansvar

Utredningens förslag: Säkerhetspolisen ska vara personupp- giftsansvarig för den personuppgiftsbehandling som myndighe- ten utför. Polismyndigheten ska vara personuppgiftsansvarig för den behandling som myndigheten utför. Personuppgiftsansvaret ska omfatta all behandling av personuppgifter som utförs under respektive myndighets ledning eller på dess vägnar.

Säkerhetspolisen ska få vara gemensamt personuppgiftsan- svarig med annan endast i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det.

Skälen för utredningens förslag

Det ska framgå vem som är personuppgiftsansvarig

Enligt 6 kap. 5 § första stycket polisdatalagen är Säkerhetspolisen personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Det bör även gälla enligt den nya lagen. Efter- som Polismyndigheten i vissa fall ska tillämpa lagen bör myndig- heten vara personuppgiftsansvarig för den behandlingen.

I 3 kap. 1 § brottsdatalagen föreskrivs att den personuppgiftsan- svarige är ansvarig för all behandling av personuppgifter som utförs under dennes ledning eller på dennes vägnar. Det bör gälla även enligt den nya lagen. På så sätt tydliggörs att personuppgiftsansva- ret omfattar dels den personuppgiftsbehandling som förekommer

608

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

vid respektive myndighet, dels den personuppgiftsbehandling som ett personuppgiftsbiträde utför på någon av myndigheternas vägnar. Det är myndigheten som är personuppgiftsansvarig, inte chefen eller någon anställd. Ytterst är det dock respektive myndig- hets chef som bär ansvaret för hur personuppgifter behandlas.

Gemensamt personuppgiftsansvar bara om statsmakterna medger det

Utredningen redogör i delbetänkandet för sin syn på gemensamt personuppgiftsansvar inom brottsdatalagens tillämpningsområde. Där framgår att sådant ansvar endast bör övervägas i speciella situa- tioner där samarbetet mellan behöriga myndigheter är utformat så att ansvarsfördelningen inte kan utläsas på annat sätt. Bedöm- ningen av när gemensamt personuppgiftsansvar är sakligt motiverat bör enligt förslaget inte lämnas till de behöriga myndigheterna själva utan göras av riksdagen eller regeringen (se SOU 2017:29 s. 362 f.). I 3 kap. 21 § brottsdatalagen föreskrivs därför att två eller flera behöriga myndigheter får vara gemensamt personuppgifts- ansvariga endast i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. I delbetän- kandet diskuterar utredningen ingående skillnaden mellan delat ansvar och gemensamt ansvar (se SOU 2017:29 s. 360 f.).

Det som sägs om gemensamt personuppgiftsansvar i delbetän- kandet gör sig gällande även för Säkerhetspolisen. Det bör därför i den nya lagen tas in en bestämmelse som föreskriver att gemensamt personuppgiftsansvar endast får förekomma i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det.

14.5.3Definitioner

Utredningens förslag: Vissa uttryck som används i den nya lagen ska definieras. Definitionerna ska i allt väsentligt stämma överens med dem som används i brottsdatalagen.

609

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

Skälen för utredningens förslag: I 3 § personuppgiftslagen defi- nieras vissa uttryck som är centrala vid behandling av personupp- gifter. Den bestämmelsen gäller för Säkerhetspolisen, vilket fram- går genom hänvisningar i 2 kap. 2 § och 6 kap. 4 § polisdatalagen.

I 1 kap. 6 § brottsdatalagen definieras vissa uttryck som används i den lagen. Motsvarande reglering bör finnas i den nya lagen. Defi- nitionerna bör så långt möjligt stämma överens med dem som an- vänds i brottsdatalagen.

Uttrycken behandling av personuppgifter, biometriska uppgif- ter, dataskyddsombud, genetiska uppgifter, internationell organisa- tion, mottagare, personuppgift, personuppgiftsansvarig, person- uppgiftsbiträde, registrerad, tredje man och uppgift som rör hälsa bör definieras i den nya lagen och ha samma innebörd som i brotts- datalagen (se SOU 2017:29 s. 148 f.).

Utredningen återkommer till definitionen av tillsynsmyndighet i avsnitt 15.3 och till definitionen av tredjeland i avsnitt 14.17.1.

I polisdatalagen definieras även uttrycken dna-analys, dna-profil och fingeravtryck. De används inte i den nya lagen och det finns därför inte något behov av att definiera dem.

14.5.4Uppgifter om juridiska personer

Utredningens förslag: Lagen ska i viss utsträckning tillämpas vid behandling av uppgifter om juridiska personer.

Skälen för utredningens förslag: I 1 kap. 6 § polisdatalagen före- skrivs att vissa bestämmelser i lagen även ska tillämpas på uppgifter om juridiska personer. För Säkerhetspolisen gäller det bestämmel- serna om ändamålen med behandlingen, tillgången till personupp- gifter, bevarande och gallring och gemensamt tillgängliga uppgifter. Utredningen föreslår i avsnitt 5.4.1 att bestämmelser om skydd för uppgifter om juridiska personer i övriga registerförfattningar ska behållas. Eftersom det bör gälla även för Säkerhetspolisen bör den nya lagen ha en motsvarande reglering.

610

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

14.6Ändamål och rättsliga grunder för behandlingen

14.6.1Ändamål för behandling av personuppgifter

Utredningens förslag: Säkerhetspolisen ska få behandla person- uppgifter bara för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifter ska inte få behandlas för något ända- mål som är oförenligt med det ändamål för vilket personupp- gifterna ursprungligen behandlades.

Säkerhetspolisen ska få behandla personuppgifter för veten- skapliga, statistiska eller historiska ändamål inom den nya lagens tillämpningsområde.

Skälen för utredningens förslag

Behandling för särskilda, uttryckligt angivna och berättigade ändamål.

Det grundläggande kravet på att personuppgifter får samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål finns i 9 § första stycket c personuppgiftslagen. Kravet gäller för Säker- hetspolisens personuppgiftsbehandling genom hänvisningar i 2 kap. 2 § och 6 kap. 4 § polisdatalagen. En liknande bestämmelse bör tas in i den nya lagen.

I delbetänkandet redovisar utredningen vad som avses med sär- skilda, uttryckligt angivna och berättigade ändamål (se SOU 2017:29 s. 243 f.). En mycket stor del av den information som Säkerhetspolisen behandlar är underrättelseinformation. I under- rättelseverksamhet, där personuppgifter behandlas på ett tidigt sta- dium i processen, är det långtifrån alltid möjligt att ange ändamålen för behandlingen lika tydligt och detaljerat som i annan brottsbe- kämpande verksamhet. I Säkerhetspolisens verksamhet går det exempelvis inte att urskilja lika tydliga kopplingar till konkreta brott eller till brottslig verksamhet som i annan brottsbekämpande verksamhet. Å andra sidan är Säkerhetspolisens verksamhet inrik- tad mot ett fåtal väl avgränsade företeelser som är av särskilt sam- hällsfarlig karaktär (se prop. 2009/10:85 s. 256). Det får därför accepteras att beskrivningen av ändamålen inte alltid kan ha samma precision som i annan brottsbekämpande verksamhet. Utredningen

611

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

återkommer till frågan om att ändamålen i vissa fall ska framgå genom en särskild upplysning (se avsnitt 14.9.2).

Behandling för nya ändamål

Av 9 § första stycket d personuppgiftslagen följer att personupp- gifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Bestämmelsen ger uttryck för den s.k. finalitetsprincipen som gäller för Säkerhetspolisen genom hänvisningar i 2 kap. 2 § och 6 kap. 4 § polisdatalagen.

I 2 kap. 4 § brottsdatalagen föreskrivs att det, innan personupp- gifter får behandlas för ett nytt ändamål inom lagens tillämpnings- område, ska säkerställas att det finns en tillåten rättslig grund för den nya behandlingen och att behandlingen är nödvändig och pro- portionerlig för det nya ändamålet. Att en sådan bedömning ska göras vid behandling för nya ändamål inom brottsdatalagens till- lämpningsområde framgår av artikel 4.2 i direktivet. Finalitetsprin- cipen regleras emellertid också i direktivet. I artikel 4.1 b anges att personuppgifter inte får behandlas på ett sätt som står i strid med de ändamål som uppgifterna samlades in för. Som framgår av del- betänkandet gör utredningen bedömningen att all behandling för ändamål inom direktivets tillämpningsområde ska anses vara fören- lig med insamlingsändamålen, under förutsättning att behandlingen är nödvändig och står i proportion till det nya ändamålet. Någon prövning mot det ursprungliga ändamålet behöver således inte göras vid behandling för nya ändamål inom brottsdatalagens till- lämpningsområde (se SOU 2017:29 s. 247 f.). Eftersom bestäm- melserna i dataskyddsförordningen ska tillämpas vid behandling för ändamål utanför brottsdatalagens tillämpningsområde ska någon prövning mot det ursprungliga ändamålet inte göras då heller. Det beror på att den behandlingen blir ursprungsbehandling enligt för- ordningen och att det därför inte är fråga om någon vidarebehand- ling där finalitetsprincipen ska tillämpas (se SOU 2017:29 s. 292 f.). Finalitetsprincipen regleras därför inte i brottsdatalagen.

Säkerhetspolisen behöver i likhet med andra brottsbekämpande myndigheter kunna behandla personuppgifter för nya ändamål, t.ex. använda information från en förundersökning för att före- bygga nya brott. Frågan är om prövningen enligt finalitetsprincipen

612

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

bör ersättas av samma prövning av nödvändighet och proportio- nalitet som för övriga brottsbekämpande myndigheter.

Kraven på nödvändighet och proportionalitet i brottsdatalagen har sin grund i direktivet. Säkerhetspolisen är inte bunden av de kraven, eftersom behandling av personuppgifter som rör nationell säkerhet undantas från direktivets tillämpningsområde. Det finns därför inget som hindrar att en reglering som bygger på finalitets- principen väljs för Säkerhetspolisen. Utredningen anser att det med tanke på Säkerhetspolisens uppdrag finns fördelar med att behålla den inarbetade ordningen. Finalitetsprincipen bör därför fortsätta att gälla för Säkerhetspolisens behandling av personuppgifter för nya ändamål.

När Säkerhetspolisen ska behandla personuppgifter för nya ändamål bör myndigheten alltid pröva om det nya ändamålet är förenligt med det ändamål som personuppgifterna samlades in för. Eftersom verksamheten är inriktad på att bekämpa brott som är systemhotande kan Säkerhetspolisens behandling av personuppgif- ter för nya ändamål för den egna verksamheten i de allra flesta fall anses förenlig med ursprungsändamålet. Vad som bör gälla när myndigheten behandlar personuppgifter för att tillhandahålla infor- mation som behövs i annan verksamhet tas upp i avsnitt 14.6.5.

Behandling för vetenskapliga, statistiska och historiska ändamål

Enligt 9 § andra stycket personuppgiftslagen ska behandling av personuppgifter för historiska, statistiska eller vetenskapliga ända- mål inte anses oförenlig med de ändamål för vilka personuppgif- terna samlades in. Bestämmelsen gäller genom hänvisningar i 2 kap. 2 § och 6 kap. 4 § polisdatalagen för Säkerhetspolisen och innebär att personuppgifter som regel får behandlas för sådana ändamål.

I 2 kap. 5 § brottsdatalagen föreskrivs att en behörig myndighet får behandla personuppgifter för vetenskapliga, statistiska eller his- toriska ändamål inom lagens tillämpningsområde. Genom att det lyfts fram att behandling av personuppgifter kan inbegripa veten- skaplig, statistisk eller historisk användning blir det tydligt att lagens övriga bestämmelser ska tillämpas även vid behandling för sådana ändamål (se SOU 2017:29 s. 253 f.). Behandling för veten- skapliga, statistiska och historiska ändamål bör vara tillåten enligt

613

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

den nya lagen. Bestämmelsen bör formuleras på samma sätt som motsvarande bestämmelse i brottsdatalagen.

14.6.2Primära och sekundära ändamålsbestämmelser är bestämmelser om rättslig grund

Utredningens bedömning: Det som i dag kallas primära och sekundära ändamålsbestämmelser är en del av den rättsliga grun- den för behandling av personuppgifter. Regleringen bör ha i huvudsak samma innehåll som i dag.

Det bör på samma sätt som i dag göras skillnad mellan Säker- hetspolisens behandling av personuppgifter för den egna verk- samhetens behov och behandling för att tillhandahålla infor- mation för andras behov.

Skälen för utredningens bedömning

De primära ändamålsbestämmelserna

I 6 kap. 1 och 2 §§ polisdatalagen anges för vilka ändamål Säker- hetspolisen får behandla personuppgifter i sin brottsbekämpande verksamhet. Ändamålen delas upp i primära och sekundära på samma sätt som i 2 kap. 7 och 8 §§ polisdatalagen.

Regleringen i 6 kap. 1 § polisdatalagen är delvis annorlunda ut- formad än de primära ändamålsbestämmelserna i övriga registerför- fattningar. Paragrafen är mer detaljerad. Trots det ger den enligt utredningens mening inte någon egentlig ledning för prövningen av vilka personuppgifter som får behandlas. Det anges endast att

614

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

Säkerhetspolisen får behandla personuppgifter för att utföra vissa av sina arbetsuppgifter. Syftet är att precisera när personuppgifter alls får behandlas i Säkerhetspolisens brottsbekämpande verksam- het. Paragrafen utgör den yttre ram inom vilken de särskilda, ut- tryckligt angivna och berättigade ändamålen med behandlingen i enskilda fall ska bestämmas. Den är därför av samma skäl som de primära ändamålsbestämmelserna i övriga registerförfattningar inte en ändamålsbestämmelse i egentlig mening, utan en del av den rättsliga grunden. Regleringen bör som utredningen utvecklar i av- snitt 14.6.3 i huvudsak ha samma innehåll som i dag.

De sekundära ändamålsbestämmelserna

De sekundära ändamålsbestämmelserna i 6 kap. 2 § polisdatalagen reglerar i vilken utsträckning personuppgifter som behandlas för något primärt ändamål även får behandlas för att tillhandahållas andra för att tillgodose deras behov. De reglerar alltså behandling för nya ändamål.

Paragrafen motsvarar till stor del Polismyndighetens sekundära ändamålsbestämmelser i 2 kap. 8 § polisdatalagen. I avsnitt 6.1.3 konstaterar utredningen att i princip alla punkter i den paragrafen är så allmänt hållna att de inte ger någon egentlig ledning för pröv- ningen av vilka personuppgifter som får behandlas. De är därför inte att anse som ändamålsbestämmelser i egentlig mening utan som bestämmelser om rättslig grund. Säkerhetspolisens sekundära ändamålsbestämmelser har utformats på samma sätt som Polismyn- dighetens och utredningen gör därför samma bedömning beträf- fande innehållet i 6 kap. 2 §. Regleringen bör som utvecklas i av- snitt 14.6.5 i huvudsak ha samma innehåll som i dag.

Skillnaden mellan behandling för egna behov och andras behov behålls

Regleringen av Säkerhetspolisens personuppgiftsbehandling skiljer i dag mellan behandling för den egna brottsbekämpande verksam- hetens behov och behandling för att tillhandahålla information för andras behov. När personuppgifter lämnas ut som ett led i myndig-

615

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

hetens egen brottsbekämpande verksamhet, inte i syfte att tillgodo- se någon annans behov, omfattas det av de primära ändamålen.

Som utredningen konstaterar i avsnitt 6.3.2 och 6.4.2 är det var- ken möjligt eller lämpligt att behålla den nuvarande utformningen av de sekundära ändamålsbestämmelserna för övriga brottsbekäm- pande myndigheter. Det beror på att direktivet ställer nya krav på att en prövning alltid ska föregå varje behandling för nya ändamål, vilket innebär att finalitetsprincipen inte ska tillämpas. Som fram- går av avsnitt 14.6.1 är Säkerhetspolisen inte bunden av kravet på sådan prövning, eftersom behandling av personuppgifter som rör nationell säkerhet undantas från direktivets tillämpningsområde. Det finns inte heller något annat hinder mot att tillämpa finalitets- principen vid Säkerhetspolisens personuppgiftsbehandling. Utred- ningen anser därför att den nuvarande regleringen som bygger på en uppräkning av olika situationer där utlämnande kan komma i fråga och som kompletteras med en möjlighet att tillämpa finali- tetsprincipen i enskilda fall bör behållas (se avsnitt 14.6.5).

En konsekvens av att regleringen i huvudsak kommer att se ut som i dag är att skillnaden mellan behandling för egna behov och för andras behov består. Säkerhetspolisens reglering kommer däri- genom att skilja sig från övriga brottsbekämpande myndigheters.

616

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

14.6.3Rättslig grund för behandling – huvudregeln

Utredningens förslag: Säkerhetspolisen ska få behandla per- sonuppgifter om det är nödvändigt för att utföra en arbetsupp- gift i syfte att

1.förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar

a)brott mot rikets säkerhet,

b)terrorbrott, eller

c)tryckfrihetsbrott eller yttrandefrihetsbrott med rasistiska eller främlingsfientliga motiv,

2.utreda eller lagföra sådana brott som avses i 1, eller, efter sär- skilt beslut, annat brott,

3.fullgöra uppgifter

a)i samband med personskydd av den centrala statsledningen och andra som regeringen eller Säkerhetspolisen bestämmer,

b)enligt säkerhetsskyddslagen (1996:627), eller

c)enligt utlännings- och medborgarskapslagstiftningen,

4.fullgöra annan arbetsuppgift som rör nationell säkerhet och som anges i lag eller förordning eller särskilt beslut av rege- ringen, eller

5.fullgöra förpliktelser som följer av internationella åtaganden.

Arbetsuppgiften ska framgå av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift.

Skälen för utredningens förslag

En bestämmelse om tillåtna rättsliga grunder behövs

Som konstateras i avsnitt 6.1.2 krävs det både en rättslig grund i form av en reglerad arbetsuppgift och bestämmelser om att person- uppgifter får behandlas för att utföra arbetsuppgiften för att per- sonuppgiftsbehandling ska vara tillåten. Detsamma bör gälla för Säkerhetspolisen. Det bör därför finnas en bestämmelse i den nya

617

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

lagen som anger de tillåtna rättsliga grunderna för personuppgifts- behandlingen.

Regleringen i 6 kap. 1 § polisdatalagen korresponderar i princip med 3 § polislagen som anger Säkerhetspolisens huvudsakliga arbetsuppgifter. Bestämmelsen har endast förändrats marginellt sedan polisdatalagens tillkomst. Den bedömning av Säkerhetspoli- sens behov av att behandla personuppgifter som gjordes då gör sig fortfarande gällande (se prop. 2009/10:85 s. 255 f.). Enligt utred- ningens mening bör den nya lagen i huvudsak innehålla samma reg- lering. Terminologin bör anpassas så att den stämmer överens med terminologin i brottsdatalagen och de övriga registerförfattning- arna. Det bör dessutom anges att arbetsuppgifterna ska framgå av en lag, en förordning, eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en viss arbetsuppgift.

Enligt 6 kap. 1 § 5 polisdatalagen får Säkerhetspolisen behandla personuppgifter om det behövs för att lämna tekniskt biträde till vissa andra brottsbekämpande myndigheter. Den arbetsuppgiften kommer att omfattas av brottsdatalagens tillämpningsområde (se avsnitt 7.2.1). Personuppgiftsbehandling för sådant biträde bör där- för inte regleras i den nya lagen.

Uppgifter enligt utlännings- och medborgarskapslagstiftningen

Som redovisas i avsnitt 14.1.1 har Säkerhetspolisen vissa uppgifter enligt utlännings- och medborgarskapslagstiftningen. Det framgår inte av förarbetena till polisdatalagen hur lagstiftaren ser på per- sonuppgiftsbehandling för sådana ändamål.

I förarbetena till utlänningsdatalagen (2016:27) konstaterar regeringen att all verksamhet hos Säkerhetspolisen i någon mening är brottsbekämpande. Mot den bakgrunden och då Säkerhetspoli- sens uppgifter på utlännings- och medborgarskapsområdet är för- hållandevis begränsade ansågs det inte vara ändamålsenligt att låta Säkerhetspolisen omfattas av utlänningsdatalagens reglering. Kon- sekvensen blev att Säkerhetspolisen i stället antingen ska tillämpa de särskilda regler om personuppgiftsbehandling som gäller för myndigheten enligt polisdatalagen eller personuppgiftslagen (se Utlänningsdatalag, prop. 2015/16:65, s. 40). Mot bakgrund av för- arbetsuttalandena och att personuppgiftslagen ska upphävas är det

618

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

nödvändigt att reglera myndighetens personuppgiftsbehandling på området.

Säkerhetspolisens arbetsuppgifter enligt utlännings- och med- borgarskapslagstiftningen syftar till att förhindra att individer som är eller kan bli ett säkerhetshot mot Sverige etablerar sig i landet. Utifrån vad som är känt om personens bakgrund, kontakter eller egna aktiviteter gör Säkerhetspolisen en bedömning av om han eller hon kan komma att ägna sig åt säkerhetshotande verksamhet. Säkerhetsskälen kan exempelvis bestå av kopplingar till personer som antas syssla med olovlig underrättelseverksamhet eller terro- rism. Mot den bakgrunden anser utredningen att Säkerhetspolisens uppgifter enligt utlännings- och medborgarskapslagstiftningen är ett led i uppgifterna som rör nationell säkerhet och bör anges som en tillåten rättslig grund för behandling av personuppgifter.

14.6.4Rättslig grund i undantagsfall för diarieföring och handläggning

Utredningens förslag: Personuppgifter ska få behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till Säkerhetspolisen i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning.

Skälen för utredningens förslag: Säkerhetspolisen tar dagligen emot stora mängder information, ofta i elektronisk form. De in- kommande uppgifterna kan vara en del av en allmän handling i tryckfrihetsförordningens mening. Enligt 5 kap. 1 § offentlighets- och sekretesslagen ska som huvudregel allmänna handlingar som kommit in till en myndighet registreras, dvs. diarieföras, så snart som möjligt. En myndighet måste därför alltid ha möjlighet att be- handla personuppgifter för att diarieföra och handlägga inkomman- de handlingar. Det gäller även i de fall där myndigheten inte behö- ver behandla personuppgifterna för att utföra sina arbetsuppgifter (se prop. 2009/10:85 s. 112 f.) I 6 kap. 3 § polisdatalagen föreskrivs att Säkerhetspolisen får behandla personuppgifter om det är nöd- vändigt för diarieföring eller om uppgifterna har lämnats i en anmä- lan eller liknande och behandlingen är nödvändig för handlägg-

619

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

ningen. Det bör tas in en motsvarande bestämmelse i den nya lagen som tydliggör att det är en tillåten rättslig grund för behandling.

14.6.5Rättslig grund för behandling genom utlämnande

Utredningens förslag: Personuppgifter som Säkerhetspolisen behandlar ska även få behandlas om det är nödvändigt för att tillhandahålla information som behövs

1.för brottsbekämpning, lagföring, straffverkställighet eller upprätthållande av allmän ordning och säkerhet hos Polis- myndigheten, Ekobrottsmyndigheten, Åklagarmyndigheten, Tullverket, Kustbevakningen och Skatteverket,

2.i en myndighets verksamhet, om informationen tillhandahålls inom ramen för myndighetsöverskridande samverkan mot brott,

3.i Försvarsmaktens försvarsunderrättelseverksamhet och mili- tära säkerhetstjänst och i Försvarets radioanstalts förvarsun- derrättelseverksamhet, om det finns särskilda skäl att tillhan- dahålla informationen,

4.i en myndighets verksamhet om Säkerhetspolisen enligt lag eller förordning ska bistå myndigheten med viss uppgift,

5.i brottsbekämpande verksamhet hos en utländsk myndighet eller mellanfolklig organisation, eller

6.i verksamhet hos en utländsk underrättelse- eller säkerhets- tjänst.

Personuppgifter ska även få behandlas om det är nödvändigt för att tillhandahålla information till riksdagen och regeringen och till andra, om skyldighet att lämna uppgifter följer av lag eller förordning.

I ett enskilt fall ska personuppgifter få behandlas för att till- handahålla information för något annat ändamål än de ovan uppräknade, om det nya ändamålet inte är oförenligt med det ändamål som uppgifterna samlades in för.

620

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

Skälen för utredningens förslag: Som framgår av avsnitt 14.6.2 anser utredningen att den nuvarande regleringen som bygger på en uppräkning av olika situationer där information behöver tillhanda- hållas och som kompletteras med möjligheten att tillämpa finali- tetsprincipen i enskilda fall bör behållas. Utredningen anser att reg- leringen i 6 kap. 2 § polisdatalagen återspeglar Säkerhetspolisens behov av att behandla personuppgifter för att tillgodose andras in- formationsbehov. De skäl som anfördes när regleringen infördes gör sig fortfarande gällande (se prop. 2009/10:85 s. 260 f. och prop. 2014/15:94 s. 83 f.). Den nya lagen bör därför i huvudsak ha samma innehåll.

Som framgår av avsnitt 14.11.3 behöver Säkerhetspolisen i vissa fall även lämna ut uppgifter till Försvarets radioanstalt. Säkerhets- polisen och försvarsunderrättelsemyndigheterna har angränsande uppdrag som förutsätter nära samarbete och kontinuerligt informa- tionsutbyte. Även om Säkerhetspolisen i de flesta fall lämnar in- formation till Försvarets radioanstalt för den egna verksamhetens behov, kan det inte uteslutas att Försvarets radioanstalt kan behöva sådan information för sin egen verksamhet. Det bör därför enligt utredningens mening finnas rättsligt stöd även för sådant utläm- nande. Av samma anledning som när det gäller information till För- svarsmakten bör det krävas särskilda skäl för att Säkerhetspolisen ska få lämna ut uppgifterna (se prop. 2009/10:85 s. 262). Försvarets radioanstalt bör därför läggas till i bestämmelsen som reglerar ut- lämnande till Försvarsmakten.

Enligt 16 § instruktionen för Säkerhetspolisen ska myndigheten samarbeta med utländska myndigheter och organ i den utsträck- ning som behövs för myndighetens verksamhet och som rege- ringen närmare bestämmer. Säkerhetspolisen har flera utländska samarbetspartner och utbyter kontinuerligt information med dem. I avsnitt 14.11.4 föreslås att Säkerhetspolisen ska kunna medge underrättelse- och säkerhetstjänster i EU och EES direktåtkomst till vissa uppgifter. Även om Säkerhetspolisen i de flesta fall lämnar informationen till dem för den egna verksamhetens behov, kan det inte uteslutas att Säkerhetspolisen även kan behöva lämna informa- tion för att tillgodose de utländska tjänsternas behov. Det kan t.ex. gälla misstanke om ett förestående attentat som uteslutande berör en annan stat. I 6 kap. 2 § polisdatalagen anges endast brottsbe- kämpande verksamhet hos utländsk myndighet eller mellanfolklig

621

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

organisation som mottagare. Utländska underrättelse- och säker- hetstjänster har inte alltid den arbetsuppgiften. För att det ska vara tydligt att Säkerhetspolisen får lämna information om det behövs för sådana tjänsters behov bör det införas rättsligt stöd för det.

14.7Grundläggande krav på behandlingen

14.7.1Författningsenlig och korrekt behandling

Utredningens förslag: Personuppgifter ska behandlas författ- ningsenligt och på ett korrekt sätt.

Skälen för utredningens förslag: Enligt 9 § första stycket a och b personuppgiftslagen får personuppgifter behandlas bara om det är lagligt. Personuppgifterna ska vidare behandlas på ett korrekt sätt och i enlighet med god sed. Bestämmelserna gäller genom hänvis- ningar i 2 kap. 2 § och 6 kap. 4 § polisdatalagen för Säkerhetspoli- sen. I 2 kap. 6 § brottsdatalagen föreskrivs att personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. Skälen bakom bestämmelsen och vad den innebär framgår av delbetänkandet (se SOU 2017:29 s. 256 f.). En motsvarande bestämmelse bör tas in i den nya lagen.

14.7.2Personuppgifter ska vara korrekta, adekvata och relevanta

Utredningens förslag: De personuppgifter som behandlas ska vara korrekta och, om det är nödvändigt, uppdaterade.

Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet.

De personuppgifter som behandlas ska vara adekvata och re- levanta i förhållande till ändamålen med behandlingen. Fler per- sonuppgifter än vad som är nödvändigt med hänsyn till ända- målen med behandlingen ska inte få behandlas.

622

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

Skälen för utredningens förslag

Personuppgifter ska vara korrekta och uppdaterade

Enligt 9 § första stycket g personuppgiftslagen ska personuppgifter som behandlas vara riktiga och, om nödvändigt, aktuella. Bestäm- melsen gäller för Säkerhetspolisen genom hänvisningar i 2 kap. 2 § och 6 kap. 4 § polisdatalagen. I 2 kap. 7 § första stycket brottsdata- lagen föreskrivs att personuppgifter ska vara korrekta och, om det är nödvändigt, uppdaterade. En motsvarande bestämmelse bör tas in i den nya lagen. Vad som avses med korrekta och uppdaterade framgår av delbetänkandet (se SOU 2017:29 s. 258 f.).

I 2 kap. 10 § tredje stycket polisdatalagen, som gäller för Säker- hetspolisen, föreskrivs att uppgifter som beskriver en persons ut- seende ska utformas på ett objektivt sätt och med respekt för människovärdet. Samma reglering finns i 2 kap. 7 § andra stycket brottsdatalagen. En motsvarande bestämmelse bör finnas i den nya lagen. Som utredningen konstaterar i delbetänkandet bör den pla- ceras tillsammans med bestämmelserna om personuppgifternas kvalitet (se SOU 2017:29 s. 259).

Personuppgifter ska vara adekvata och relevanta

Enligt 9 § första stycket e och f personuppgiftslagen ska de person- uppgifter som behandlas vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen. Bestämmelsen gäller för Säkerhetspolisen genom hänvisningar i 2 kap. 2 § och 6 kap. 4 § polisdatalagen. Motsvarande reglering finns i 2 kap. 8 § brottsdatalagen. En likadan bestämmelse bör tas in i den nya lagen.

Vilka uppgifter som är adekvata och relevanta ska bedömas i förhållande till ändamålen med behandlingen. Detsamma gäller hur många personuppgifter det finns behov av att behandla. Det kan emellertid vara svårare att bedöma att uppgifterna är adekvata och relevanta i Säkerhetspolisens verksamhet än i annan polisverksam- het, eftersom det som regel inte är lika tydligt vari den brottsliga verksamheten eller säkerhetshotet består.

623

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

Att det krävs att uppgifterna ska vara adekvata och relevanta får betydelse för hur s.k. överskottsinformation ska hanteras, dvs. uppgifter som samlas in och som visar sig inte vara adekvata eller relevanta för det bestämda ändamålet. Om uppgifterna inte behövs för något annat tillåtet ändamål får de inte lagras för framtida be- hov. Det finns särskilda regler om i vilken utsträckning överskotts- information överhuvudtaget får behandlas i vissa sammanhang (se t.ex. 27 kap. 23 a § rättegångsbalken).

Med hänsyn till Säkerhetspolisens känsliga verksamhet kan det, bl.a. vid bedömningen av hur många personuppgifter som behöver behandlas i förhållande till ändamålet, vara nödvändigt att utöver behoven i det konkreta ärendet ta hänsyn till andra aspekter, fram- för allt kravet på informationssäkerhet. Säkerhetspolisen kan t.ex. i vissa situationer behöva begära uppgifter om fler personer än den som är misstänkt, för att inte avslöja vem eller vilka personer som myndigheten intresserar sig för i underrättelsearbetet eller en brottsutredning. Kravet på att uppgifterna ska vara adekvata och relevanta och inte för många i förhållande till ändamålet med be- handlingen bör då ändå anses vara uppfyllt. Behandlingen av upp- gifter om de personer som myndigheten inte har något intresse av annat än för att avleda uppmärksamheten ska givetvis upphöra så snart det syftet är uppnått. Behovet av att behandla sådana uppgif- ter är alltså kortvarigt.

Särskilt om material från användning av hemliga tvångsmedel

Säkerhetspolisen behandlar i stor utsträckning material från hem- liga tvångsmedel. Det beror dels på att Säkerhetspolisen biträder andra brottsbekämpande myndigheter med tekniska åtgärder, dels på att sådana tvångsmedel förekommer i Säkerhetspolisens egen verksamhet. För behandling av uppgifter som inhämtas genom hemliga tvångsmedel gäller dels reglerna i rättegångsbalken eller motsvarande lagstiftning, dels myndighetens registerlagstiftning (se prop. 2009/10:85 s. 78). Material av nu aktuellt slag kan både behöva bearbetas tekniskt eller på annat sätt, och i vissa fall även tolkas eller översättas, innan det kan granskas på det sätt som för- utsätts i rättegångsbalken och annan motsvarande lagstiftning. Det ligger i sakens natur att kravet på granskning av det materiella inne-

624

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

hållet inte kan uppfyllas innan det har gjorts tillgängligt på sådant sätt att en åklagare eller den utredningspersonal som biträder honom eller henne kan ta del av det. Det innebär att personuppgif- ter måste kunna behandlas för att den granskningen ska kunna komma till stånd. Kravet på att sådant material som härrör från hemliga tvångsmedel och som är ovidkommande ska tas bort så snabbt som möjligt måste därför ses i ljuset av möjligheterna att på ett tidigt stadium kunna bedöma värdet av informationen.

14.7.3Känsliga personuppgifter

Utredningens förslag: Säkerhetspolisen ska inte få behandla personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning. Om uppgifter om en person behandlas ska de dock få komplet- teras med sådana uppgifter när det är absolut nödvändigt för än- damålet med behandlingen.

Säkerhetspolisen ska få behandla biometriska uppgifter en- dast om det är absolut nödvändigt för ändamålet med behand- lingen men ska inte få behandla genetiska uppgifter.

Känsliga personuppgifter ska också få behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till Säkerhetspolisen i en anmälan, ansökan eller liknande och be- handlingen är nödvändig för myndighetens handläggning.

Det ska vara förbjudet att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. Sökförbu- det ska inte hindra att brottsrubriceringar, uppgifter om tillvä- gagångssätt vid brott eller uppgifter som beskriver en persons utseende används vid sökning. Det ska inte heller hindra sök- ning i syfte att få fram ett personurval grundat på etniskt ur- sprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sök- ningen är absolut nödvändig för något av de syften som Säker- hetspolisen får behandla personuppgifter för.

625

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

Skälen för utredningens förslag

Säkerhetspolisen ska få behandla känsliga personuppgifter i samma utsträckning som i dag

Enligt 2 kap. 10 § polisdatalagen, som genom en hänvisning i 6 kap. 4 § gäller för Säkerhetspolisen, får uppgifter om en person inte be- handlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska över- tygelse, medlemskap i fackförening, hälsa eller sexualliv. Om upp- gifter om en person redan behandlas på någon annan grund, får de dock kompletteras med känsliga personuppgifter, om det är absolut nödvändigt för syftet med behandlingen. Innebörden är att det t.ex. inte är tillåtet att föra särskilda register över personer baserat på deras politiska åsikter. Om uppgifter om en person redan be- handlas får dock uppgifter om politiska åsikter behandlas, om det bedöms vara absolut nödvändigt för ändamålet med behandlingen. Det kan t.ex. vara fallet om motivet för ett brott är politiskt.

I brottsdatalagen utökas uppräkningen av vad som betecknas som känsliga personuppgifter. Dit hör enligt 2 kap. 11 § även uppgifter som rör sexuell läggning och enligt 2 kap. 12 § biomet- riska uppgifter som används för att identifiera en person och gene- tiska uppgifter.

För att den nya regleringen så långt möjligt ska stämma överens med övriga registerförfattningar bör uppräkningen av känsliga per- sonuppgifter i den nya lagen omfatta både uppgifter som rör sexu- alliv och sexuell läggning. Även biometriska och genetiska uppgif- ter bör i den nya lagen betecknas som känsliga personuppgifter. Vad som avses med genetiska och biometriska uppgifter redovisas i delbetänkandet (se SOU 2017:29 s. 265 f.).

På samma sätt som i dag bör Säkerhetspolisen bara få behandla känsliga personuppgifter om uppgifter om personen redan behand- las på någon annan grund och behandlingen av känsliga personupp- gifter är absolut nödvändig för ändamålet med behandlingen. Be- stämmelserna i den nya lagen om känsliga personuppgifter bör formuleras på samma sätt som i brottsdatalagen. Det blir då tyd- ligare vilka uppgifter som utgör känsliga personuppgifter och när de får behandlas. Någon förändring av synen på vad som är absolut nödvändigt vid behandling av känsliga personuppgifter är inte av- sedd. Sådana uppgifter ska alltjämt användas restriktivt och behovet

626

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

av att komplettera med sådana uppgifter ska prövas noga i det enskilda ärendet (se prop. 2009/10:85 s. 325).

Behandling av biometriska och genetiska uppgifter

I avsnitt 7.3.2 redogör utredningen för vad som avses med biomet- riska och genetiska uppgifter. Säkerhetspolisen har som framgår där behov av att kunna behandla biometriska uppgifter. Det gäller även när behandlingen rör nationell säkerhet. En motsvarande be- stämmelse bör därför tas in i den nya lagen.

Att behandling av genetiska uppgifter regleras i brottsdatalagen beror på att det är nödvändigt för att genomföra direktivet. Ut- redningen föreslår i avsnitt 7.8.4 att sådana uppgifter enbart ska få behandlas i Polismyndighetens forensiska verksamhet. Säkerhets- polisen behandlar inte genetiska uppgifter i dag och det kan inte heller förutses något framtida behov av det. Det bör framgå av den nya lagen att Säkerhetspolisen inte får behandla sådana uppgifter.

Behandling för diarieföring eller liknande

Enligt 2 kap. 10 § andra stycket polisdatalagen får Säkerhetspolisen behandla känsliga personuppgifter om det är nödvändigt för dia- rieföring eller om uppgifterna har lämnats till myndigheten i en anmälan eller liknande och behandlingen är nödvändig för hand- läggningen. Som framgår av avsnitt 14.6.4 måste Säkerhetspolisen alltid ha möjlighet att behandla personuppgifter för att diarieföra och handlägga inkommande anmälningar, ansökningar och andra liknande handlingar. Det bör gälla även i de fall där sådana hand- lingar innehåller känsliga personuppgifter, eftersom det ligger ut- anför Säkerhetspolisens kontroll om sådana uppgifter finns i hand- lingarna. Det bör därför framgå att sådan behandling är tillåten.

Ett sökförbud med undantag

Enligt 6 kap. 11 § polisdatalagen får Säkerhetspolisen använda käns- liga personuppgifter som sökbegrepp vid sökning i personuppgifter som har gjorts gemensamt tillgängliga endast om det är absolut

627

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

nödvändigt för de ändamål som myndigheten får behandla person- uppgifter för. Brottsrubriceringar och uppgifter som beskriver en persons utseende får dock användas som sökbegrepp utan några begränsningar. Några begränsningar gäller inte heller vid sökning i personuppgifter som endast ett fåtal har tillgång till.

I 2 kap. 14 § brottsdatalagen finns ett generellt sökförbud som förbjuder sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. Utredningen redogör för innebörden av förbudet i delbetänkandet (se SOU 2017:29 s. 272 f.). Utredningen föreslår att det i övriga registerförfattningar ska föreskrivas undan- tag från sökförbudet som är anpassade till de behov som respektive myndighet har (se avsnitt 7.3.3, 8.3.3, 9.3.3, 10.3.3, 11.3.3 och 13.5.5). Frågan är om samma systematik bör väljas även för Säker- hetspolisen.

Vid polisdatalagens tillkomst ansåg regeringen att verksamhets- skäl talade för att Säkerhetspolisen inte borde förbjudas att använda känsliga personuppgifter som sökbegrepp, eftersom uppgifter av det slaget kan ha stor betydelse i myndighetens verksamhet. Rege- ringen framhöll samtidigt att verksamhetsintresset måste vägas mot intresset av att skydda de personer, vilkas uppgifter behandlas, mot intrång i den personliga integriteten. Vidare framhölls att utform- ningen av bestämmelsen om sökning gör att känsliga personupp- gifter inte rutinmässigt kan användas som sökbegrepp utan först sedan det vid en prövning av behovet i det enskilda fallet konsta- terats att det finns ett påtagligt behov (se prop. 2009/10:85 s. 266).

Säkerhetspolisen har alltjämt behov av att kunna använda käns- liga personuppgifter vid sökning. I arbetet med att förebygga och upptäcka terroristbrott kan t.ex. uppgifter om en persons politiska åsikt eller religiösa övertygelse vara viktiga. Vid brott mot rikets säkerhet kan uppgifter av det slaget bidra till att fastställa motivet för gärningen. Säkerhetspolisen bör därför ges i huvudsak samma möjligheter som i dag att använda känsliga personuppgifter vid sökning.

Eftersom Säkerhetspolisens reglering i större utsträckning än övriga registerförfattningar tillåter sökning skulle det kunna hävdas att ett generellt sökförbud skulle bli innehållslöst då det skulle be- höva förses med så många undantag. Utredningen anser dock att en reglering som bygger på ett generellt förbud med undantag som är anpassade för verksamheten ger en tydligare signal om att känsliga

628

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

personuppgifter ska användas restriktivt. Det finns också fördelar med att regleringen för alla brottsbekämpande myndigheter över- ensstämmer i den delen. Regleringen i den nya lagen bör därför bygga på ett generellt förbud som utgår från syftet med sökningen. Förbudet bör på samma sätt som för övriga brottsbekämpande myndigheter gälla vid sökning i alla slags uppgifter, dvs. även i upp- gifter som bara behandlas av ett fåtal. Från förbudet bör det göras undantag som tillgodoser Säkerhetspolisens behov av att kunna använda känsliga personuppgifter.

Genom att sökförbudet utgår från syftet med sökningen är sök- ning som inte görs i syfte att få fram ett personurval grundat på känsliga personuppgifter tillåten, även om känsliga personuppgifter används vid sökningen (jfr SOU 2017:29 s. 272 f.). Även tillåtna sökningar kan således resultera i ett personurval grundat på käns- liga personuppgifter. I vilken utsträckning det är tillåtet att be- handla personuppgifterna i en sådan sammanställning får prövas mot huvudregeln om behandling av känsliga personuppgifter.

Som anges i delbetänkandet kan det ifrågasättas om utform- ningen av sökförbudet i brottsdatalagen uppfyller kraven för att omfattas av begränsningsregeln i tryckfrihetsförordningen. För att allmänheten inte med stöd av offentlighetsprincipen ska kunna få del av sammanställningar grundade på känsliga personuppgifter föreslår utredningen en bestämmelse om absolut sekretess för dem (se SOU 2017:29 s. 274 f. och 643 f.). Samma sekretess bör gälla hos Säkerhetspolisen. Ett tillägg bör därför göras i sekretessbe- stämmelsen.

Vilka undantag bör göras från sökförbudet?

Enligt 6 kap. 11 § andra stycket polisdatalagen är det tillåtet att använda brottsrubriceringar och uppgifter som beskriver en per- sons utseende som sökbegrepp. Säkerhetspolisen har också i fort- sättningen behov av att kunna använda sådana uppgifter vid sök- ning, även om det leder till att man får fram ett personurval grundat på känsliga personuppgifter. I likhet med Polismyndigheten be- höver Säkerhetspolisen också kunna söka på tillvägagångssätt vid brott, även om det skulle avslöja känsliga personuppgifter som t.ex.

629

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

politiska åsikter (se avsnitt 7.3.3). Det bör därför göras undantag från sökförbudet för sådana sökningar.

Utredningen föreslår att övriga brottsbekämpande myndigheter tillåts göra sökningar i syfte att få fram personurval grundade på vissa känsliga personuppgifter, under förutsättning att sökningen görs i personuppgifter som inte har gjorts gemensamt tillgängliga. För att Säkerhetspolisens sökmöjligheter ska vara desamma som i dag bör myndigheten tillåtas att göra sökningar i syfte att få fram personurval grundade på i princip alla typer av känsliga personupp- gifter. Även om det i dag inte finns någon begränsning när det gäller vilka uppgifter som får användas som sökbegrepp bör det emellertid av de skäl som anges i avsnitt 7.3.3 inte vara tillåtet att ta fram personurval grundat på uppgifter som kan avslöja ras. Säker- hetspolisen har enligt uppgift inte heller något behov av att göra sökningar på medlemskap i fackförening eller på genetiska uppgif- ter. Det bör därför inte vara tillåtet att ta fram personurval grun- dade på sådana uppgifter.

Teknik för ansiktsigenkänning används i dag bl.a. för att under- lätta identifiering när endast en del av ett ansikte är synligt på en bild eller en film eller om bildkvaliteten är dålig. Behandlingen i ett ansiktsigenkänningsprogram kan i sådana fall resultera i en träfflista med flera möjliga kandidater. Det skulle kunna hävdas att resultatet blir ett personurval grundat på biometriska uppgifter. Det är dock i dessa fall inte fråga om sökning i syfte att få fram ett visst person- urval, utan om normal behandling av biometriska uppgifter. Sådan behandling föreslås vara tillåten om den är absolut nödvändig för ändamålet med behandlingen. Det finns därför enligt utredningens mening inte något behov av att göra undantag från sökförbudet för att sådan behandling ska vara tillåten.

Säkerhetspolisen får i dag använda känsliga personuppgifter som sökbegrepp vid sökning i alla slags uppgifter, dvs. oavsett om de har gjorts gemensamt tillgängliga eller inte. Eftersom Säkerhets- polisen även i fortsättningen bör tillåtas att göra sökningar i alla slags personuppgifter, går det inte att utforma undantaget på samma sätt som i övriga registerförfattningar. För att sökmöjlig- heterna inte ska bli alltför vida bör det på samma sätt som i dag krävas att det är absolut nödvändigt att göra sökningen.

Även om regleringen utformas på ett delvis annorlunda sätt och det inte längre blir möjligt att söka på ras och medlemskap i fack-

630

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

förening bedömer utredningen att Säkerhetspolisens möjligheter att använda känsliga personuppgifter vid sökning inte försämras jämfört med i dag.

14.7.4Åtgärder för att säkerställa personuppgifternas kvalitet

Utredningens förslag: Säkerhetspolisen ska vidta alla rimliga åtgärder för att personuppgifter som är felaktiga eller ofullstän- diga med hänsyn till ändamålet med behandlingen rättas utan onödigt dröjsmål. Detsamma gäller för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Personuppgifter som är inaktuella ska uppdateras om det är nödvändigt.

Alla rimliga åtgärder ska vidtas för att personuppgifter som behandlas på otillåtet sätt utan onödigt dröjsmål raderas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgäng- liga. Detsamma ska gälla om radering krävs för att utföra en rättslig förpliktelse.

I stället för att radera personuppgifterna ska Säkerhetspolisen utan onödigt dröjsmål begränsa behandlingen av dem, om de be- höver finnas kvar som bevisning.

Skyldigheten att underrätta mottagare av personuppgifterna om att de är felaktiga eller behandlas på otillåtet sätt ska regleras i förordning.

Skälen för utredningens förslag

Nuvarande reglering och bestämmelserna i brottsdatalagen

Enligt 9 § första stycket h personuppgiftslagen ska alla rimliga åt- gärder vidtas för att rätta, blockera eller utplåna sådana personupp- gifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Det gäller för Säkerhetspolisen genom hänvis- ningar i 2 kap. 2 § och 6 kap. 4 § polisdatalagen.

Bestämmelserna i brottsdatalagen, som reglerar den personupp- giftsansvariges skyldighet att på eget initiativ rätta, radera eller be- gränsa behandlingen av personuppgifter, är mer detaljerade och anger på ett tydligare sätt vilken åtgärd som ska vidtas. Enligt 2 kap. 15 § första stycket brottsdatalagen ska alla rimliga åtgärder

631

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

vidtas för att personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen utan onödigt dröjs- mål rättas och för att förhindra att sådana uppgifter lämnas ut eller görs tillgängliga. Personuppgifter som är inaktuella ska uppdateras om det är nödvändigt. När personuppgifter lämnas ut till en behö- rig myndighet, ska mottagaren så långt det är möjligt ges informa- tion som gör det möjligt att bedöma i vilken utsträckning uppgif- terna är korrekta, fullständiga, uppdaterade och tillförlitliga. Enligt 2 kap. 16 § ska alla rimliga åtgärder vidtas för att personuppgifter som behandlas på ett otillåtet sätt utan onödigt dröjsmål raderas och för att förhindra att sådana uppgifter lämnas ut eller görs till- gängliga. Detsamma gäller om radering krävs för att utföra en rättslig förpliktelse. I stället för att radera personuppgifterna ska den personuppgiftsansvarige utan onödigt dröjsmål begränsa be- handlingen av dem, om de behöver finnas kvar som bevisning. Regleringen i brottsdatalagen utgår alltså från att felaktiga person- uppgifter ska rättas och att personuppgifter som behandlas på otill- låtet sätt ska raderas.

Regleringen ska i huvudsak motsvara regleringen i brottsdatalagen

När det gäller skyldigheten att på eget initiativ rätta, radera eller begränsa behandlingen av felaktiga eller ofullständiga personupp- gifter eller personuppgifter som behandlats på otillåtet sätt, anser utredningen att i princip samma krav bör ställas på Säkerhetspoli- sen som på övriga brottsbekämpande myndigheter. Det gäller även ansvaret att se till att felaktiga eller ofullständiga uppgifter inte lämnas ut eller görs tillgängliga. Det bör därför i den nya lagen tas in bestämmelser med samma innebörd som 2 kap. 15 och 16 §§ brottsdatalagen.

Kravet på information i samband med utlämnande eller tillgäng- liggörande av personuppgifter som regleras i 2 kap. 15 § andra stycket brottsdatalagen har sin grund i direktivet. Något sådant krav ställs inte på Säkerhetspolisen i dag. Det ligger i sakens natur att Säkerhetspolisen inte i samma utsträckning som andra brotts- bekämpande myndigheter kan avslöja vilken information som lig- ger till grund för t.ex. en misstanke om någons delaktighet i brotts-

632

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

lig verksamhet. Någon motsvarande bestämmelse bör därför inte tas in i den nya lagen.

Som utredningen konstaterar i delbetänkandet är det naturligt att, om det upptäcks att felaktiga personuppgifter eller personupp- gifter som behandlas på otillåtet sätt har lämnats ut, den som har fått uppgifterna underrättas så att uppgifterna kan rättas eller rade- ras eller behandlingen av dem begränsas (se SOU 2017:29 s. 281). Underrättelseskyldigheten kan regleras i förordning.

14.8Uppgifter från transportföretag

Utredningens förslag: I den nya lagen ska det regleras hur Säkerhetspolisen får behandla personuppgifter som transportfö- retag på begäran tillhandahåller myndigheten enligt polislagen. Sådana personuppgifter ska endast i enskilda fall få behandlas för nya ändamål.

Skälen för utredningens förslag: I avsnitt 7.4.1 redovisas bestäm- melserna i polislagen om transportföretags skyldighet att på begä- ran lämna vissa personuppgifter till polisen. Utredningen föreslår där att bestämmelserna om personuppgiftsbehandling ska föras över till polisens brottsdatalag. Det skäl som anges där för att per- sonuppgiftsbehandlingen bör regleras i myndighetens registerför- fattning har giltighet även för Säkerhetspolisen. Regleringen av hur sådana personuppgifter får behandlas bör därför tas in i den nya lagen och utformas i huvudsak på samma sätt som i polisens brotts- datalag. Det innebär att samma begränsningar bör gälla vid termi- nalåtkomst. Vidare bör sådana personuppgifter endast i enskilda fall få behandlas för nya ändamål.

I avsnitt 7.4.2 föreslås att samma sökbegränsningar som gäller för Tullverket i dag ska gälla vid behandling enligt polisens brotts- datalag av personuppgifter som tillhandahålls av transportföretag. I förarbetena till polisdatalagen konstaterar regeringen att det var- ken är möjligt eller lämpligt att ha samma sökbegränsningar för Säkerhetspolisen som för Polismyndigheten (se prop. 2009/10:85 s. 267). Mot den bakgrunden anser utredningen att Säkerhetspoli- sens användning av direkta personuppgifter vid sökning i uppgifter från transportföretag inte bör begränsas i större utsträckning än

633

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

i dag. Regeringen bör dock ha möjlighet att meddela föreskrifter om begränsning av möjligheterna att göra sökning.

14.9Gemensamt tillgängliga uppgifter

14.9.1Allmänt om regleringen

Utredningens förslag: Särskilda bestämmelser ska gälla för be- handling av personuppgifter som görs eller har gjorts gemen- samt tillgängliga.

Personuppgifter ska få göras gemensamt tillgängliga om det behövs för något av de syften för vilka Säkerhetspolisen får be- handla personuppgifter.

Bestämmelserna om gemensamt tillgängliga uppgifter ska inte gälla när personuppgifter behandlas med stöd av bestäm- melsen om behandling av personuppgifter för diarieföring eller för att utföra andra nödvändiga handläggningsuppgifter.

Skälen för utredningens förslag: I 6 kap. polisdatalagen finns sär- skilda bestämmelser som gäller vid behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga. Med gemensamt tillgängliga uppgifter avses uppgifter som inte enbart ett fåtal har tillgång till. För behandling av sådana uppgifter ställs det t.ex. krav på särskilda upplysningar och vidare begränsas möjligheten till sökning. Sådana bestämmelser bör finnas även i den nya lagen. För att få en enhetlig systematik bör regleringen om gemensamt till- gängliga uppgifter finnas i ett särskilt kapitel.

Av 6 kap. 8 § polisdatalagen framgår att personuppgifter får göras gemensamt tillgängliga i Säkerhetspolisens verksamhet om det behövs för något av de ändamål för vilka personuppgifter får behandlas. Bestämmelsen är inte lika preciserad och begränsande som motsvarande bestämmelse för Polismyndigheten. I förarbetena till polisdatalagen konstaterar regeringen att de intressen som Säkerhetspolisen har till uppgift att skydda motiverar att myndig- heten ges större handlingsfrihet i fråga om vilka uppgifter som får göras gemensamt tillgängliga. Skälet till det är bl.a. att Säkerhets- polisens verksamhet är inriktad mot brottslighet som till sin natur är svår att upptäcka och att tyngdpunkten i dess brottsbekämpande

634

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

arbete ligger på underrättelsearbete och renodlat förebyggande arbete. Det konstateras vidare att det är svårt att förutse och i lag uttrycka de olika kategorier av personuppgifter som bör få göras gemensamt tillgängliga hos Säkerhetspolisen och att myndighetens verksamhet till sin natur är sådan att informationen sprids i mindre utsträckning än inom polisen i övrigt (se prop. 2009/10:85 s. 264).

Enligt utredningens mening är de skäl som anges i förarbetena fortfarande aktuella. Regleringen av när personuppgifter får göras gemensamt tillgängliga bör därför i princip tas in oförändrad i den nya lagen. Den bör dock knytas till de syften för vilka Säkerhets- polisen får behandla personuppgifter, i stället för till ändamålen med behandlingen.

I 6 kap. 8 § andra stycket polisdatalagen föreskrivs att bestäm- melserna om gemensamt tillgängliga uppgifter inte gäller när per- sonuppgifter behandlas med stöd av den särskilda bestämmelsen om behandling av personuppgifter för diarieföring eller för att ut- föra andra nödvändiga handläggningsuppgifter. En motsvarande bestämmelse bör tas in i den nya lagen.

14.9.2Särskilda upplysningar

Utredningens förslag: Om det ändamål som gemensamt till- gängliga personuppgifter behandlas för inte framgår av samman- hanget eller på något annat sätt, ska det tydliggöras genom en särskild upplysning.

Om uppgifter som är gemensamt tillgängliga direkt kan hänföras till en person som inte är misstänkt för brott eller för att ha utövat eller komma att utöva brottslig verksamhet, ska det framgå genom en särskild upplysning eller på något annat sätt att personen inte är misstänkt för brott eller brottslig verk- samhet som omfattas av lagens tillämpningsområde.

Uppgifter om en person som kan antas ha direkt samband med misstänkt brottslig verksamhet ska som regel förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Någon sådan upplysning behöver dock inte läm- nas om det på grund av omständigheterna är onödigt.

635

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

Skälen för utredningens förslag

Särskild upplysning om ändamålet med behandlingen

Enligt 6 kap. 9 § polisdatalagen ska det genom en särskild upplys- ning eller på något annat sätt framgå för vilket närmare ändamål personuppgifter som har gjorts gemensamt tillgängliga behandlas. Både av hänsyn till verksamheten och till den personliga integrite- ten är det viktigt att det framgår för vilket ändamål en personupp- gift behandlas. Från integritetssynpunkt har det betydelse bl.a. för möjligheterna att genom tekniska förfaranden eller administrativa bestämmelser kunna styra åtkomsten till vissa uppgifter. Att ända- målet med behandlingen framgår kan vara en förutsättning för att en tillsynsmyndighet ska kunna kontrollera om viss behandling är berättigad och utförs i enlighet med lagens bestämmelser. Informa- tion om ändamålet med behandlingen behövs för att de tjänstemän som får tillgång till personuppgifter ska kunna värdera uppgifterna korrekt och använda sig av dem på ett effektivt och lagenligt sätt. Informationen behövs bl.a. för att kunna ta ställning till om uppgif- ten får och bör behandlas för ett nytt ändamål. En bestämmelse som föreskriver att det ska framgå för vilket ändamål personuppgif- ter behandlas bör därför tas in i den nya lagen. På samma sätt som i dag bör dock särskilda upplysningar krävas endast om ändamålet inte framgår av sammanhanget eller på något annat sätt. Bestäm- melsen bör formuleras på samma sätt som 2 kap. 3 § andra stycket brottsdatalagen.

Kravet på att ändamålet med behandlingen ska framgå omfattar i dag bara uppgifter som har gjorts gemensamt tillgängliga. Om uppgifter behandlas av en liten, klart avgränsad grupp vet de inblan- dade personerna som regel varifrån uppgifterna kommer och varför de behandlas. I de fallen framgår det normalt av sammanhanget för vilket ändamål personuppgifter behandlas. Som utredningen kon- staterar i delbetänkandet vore det orimligt att kräva att uppgifterna då ska förses med en särskild upplysning (se SOU 2017:29 s. 245). Kravet på att ändamålet med behandlingen ska framgå bör därför även i den nya lagen gälla endast för uppgifter som har gjorts gemensamt tillgängliga (jfr avsnitt 5.3.10).

636

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

Upplysning om att den registrerade inte är misstänkt

Om uppgifter direkt kan hänföras till en person som inte är miss- tänkt för brott eller för att ha utövat eller komma att utöva brotts- lig verksamhet, ska det enligt 6 kap. 10 § första stycket polisdata- lagen genom en särskild upplysning eller på något annat sätt framgå att personen inte är misstänkt. En liknande bestämmelse finns i 2 kap. 9 § brottsdatalagen. Där föreskrivs att så långt det är möjligt ska personuppgifter som rör olika kategorier av registrerade, som personer som är misstänkta eller dömda för brott, brottsoffer eller andra som berörs av ett brott, särskiljas. Om det inte framgår av sammanhanget eller på något annat sätt vilken kategori personen tillhör, ska det tydliggöras genom en särskild upplysning. I av- snitt 5.3.10 föreslår utredningen att bestämmelserna om särskilda upplysningar ska finnas kvar i övriga registerförfattningar vid per- sonuppgiftsbehandling i underrättelseverksamhet.

Det är av stor betydelse för skyddet av den personliga integri- teten vid brottsbekämpning att personuppgifter behandlas på ett sådant sätt att det framgår om personen är misstänkt eller inte. En bestämmelse motsvarande den som finns i polisdatalagen bör där- för tas in i den nya lagen. Det bör tydliggöras att upplysningen ska avse om personen i fråga är misstänkt för sådant brott eller sådan brottslig verksamhet som Säkerhetspolisen har till uppgift att be- kämpa. Ofta framgår det av omständigheterna eller sammanhanget i vilket personuppgifterna behandlas att en uppgift avser en person som inte är misstänkt. Som utredningen konstaterar i delbetänkan- det är det främst i det inledande skedet av en förundersökning och i underrättelseverksamhet som det kan vara otydligt vilken roll en person har och det är framför allt när uppgifter behandlas utanför sitt ursprungliga sammanhang som särskilda upplysningar kan be- hövas (se SOU 2017:29 s. 261 f.).

På samma sätt som när det gäller upplysning om ändamålet bör upplysning om att en registrerad inte är misstänkt endast krävas för uppgifter som har gjorts gemensamt tillgängliga. Om uppgifterna bara är tillgängliga för ett fåtal framgår det normalt av samman- hanget till vilken kategori personen hör och det vore då orimligt att ställa upp ett krav på särskild upplysning (se SOU 2017:29 s. 262).

637

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

Upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak

I 6 kap. 10 § andra stycket polisdatalagen ställs det krav på att uppgifter om en person som kan antas ha samband med misstänkt brottslig verksamhet ska förses med en upplysning om uppgifts- lämnarens trovärdighet och uppgifternas riktighet i sak. Någon upplysning krävs dock inte om det på grund av särskilda omstän- digheter är onödigt eller om uppgifterna ingår i en uppgiftssamling som har skapats för att bearbeta och analysera information och bearbetningen och analysen befinner sig i ett inledande skede.

På samma sätt som det är viktigt att det framgår om en uppgift rör en icke misstänkt person, är det viktigt att det framgår hur till- förlitlig en underrättelseuppgift bedöms vara. Syftet med en sådan bestämmelse är dels att stärka skyddet för den enskildes integritet, dels att förhindra att uppgifter, vilkas tillförlitlighet och trovärdig- het är begränsad, läggs till grund för bedömningar och åtgärder som inte är sakligt motiverade (se prop. 2009/10:85 s. 265). En motsvarande bestämmelse bör därför tas in i den nya lagen. Av de skäl som anges i avsnitt 5.3.10 bör bestämmelsen dock formuleras något annorlunda än i dag. Kravet på särskild upplysning bör på samma sätt som i dag endast gälla för uppgifter som har gjorts gemensamt tillgängliga. Utredningen återkommer till undantaget för ostrukturerad underrättelseinformation.

14.10Behandling av personuppgifter i ostrukturerad information

14.10.1 Behovet av reglering

Informationsmängden ökar ständigt

Säkerhetspolisen tar varje dag emot stora mängder information i olika former och från olika källor. Informationsflödet påverkas av vad som händer i omvärlden och är av naturliga skäl som mest in- tensivt i samband med särskilda händelser. Som exempel kan näm- nas när Säkerhetspolisen valde att lämna information till media om en person som vistades i Sverige och som man befarade inom kort skulle utföra ett terroristattentat. Det resulterade i en oerhört stor

638

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

mängd tips från allmänheten. Samtidigt var informationsutbytet intensivt både nationellt och internationellt. Motsvarande kraftiga informationsflöde uppkom vid terroristattentatet på Drottning- gatan i Stockholm i april 2017. Även händelser utomlands kan periodvis generera stora mängder information. Säkerhetspolisen kan också förväntas få ta emot allt större informationsmängder generellt.

Bearbetning och analys av underrättelseinformation

Alla handlingar som kommer in till eller upprättas vid Säkerhets- polisen diarieförs i myndighetens dokument- och ärendehante- ringssystem. Den första bedömningen av uppgifterna görs så snart som möjligt av ansvarig handläggare i det systemet. Om uppgif- terna behöver behandlas i Säkerhetspolisens underrättelseverksam- het förs de därefter som regel över till it-systemet för bearbetning och analys. Det systemet innehåller två delar. Den ena delen är en uppgiftssamling med uppgifter för bearbetning och analys och den andra en uppgiftssamling med bedömd information.

När en handling har tillförts uppgiftssamlingen för bearbetning och analys bedöms den även av en särskild granskningsfunktion. Granskningen syftar bl.a. till att säkerställa att Säkerhetspolisen överhuvudtaget får behandla uppgifterna. Behovet av att behandla känsliga personuppgifter prövas särskilt. Känsliga personuppgifter som inte får behandlas tas bort genom maskning. Därefter bearbe- tas informationen genom att uppgifterna bryts ut och kopplas samman med annan information, tematiseras och tillförs särskilda upplysningar om det krävs.

När bearbetningen är klar kan uppgifterna föras över till upp- giftssamlingen med bedömd information eller tas bort. Det före- kommer dock att uppgifterna ligger kvar i uppgiftssamlingen med uppgifter under bearbetning och analys även en tid efter det att bearbetningen är färdig.

639

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

14.10.2 Undantag från kravet på särskilda upplysningar

Utredningens förslag: Gemensamt tillgängliga personuppgifter behöver inte förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak om

1.uppgifterna ingår i en uppgiftssamling som har skapats för att bearbeta och analysera information och som enbart sär- skilt angivna tjänstemän har åtkomst till och

2.bearbetningen av uppgifterna inte har genomförts.

Skälen för utredningens förslag

Särskilda bestämmelser för gemensamt tillgängliga uppgifter

I 6 kap. polisdatalagen finns det särskilda bestämmelser om gemen- samt tillgängliga uppgifter, bl.a. att de vid behov ska förses med särskilda upplysningar. I avsnitt 14.9.1 föreslår utredningen att så- dana bestämmelser ska finnas även i den nya lagen.

När det gäller ostrukturerad information kan det vara svårt för Säkerhetspolisen att uppfylla vissa av de krav som ställs på gemen- samt tillgängliga uppgifter. Svårigheten gäller främst kravet i 6 kap. 10 § andra stycket polisdatalagen på upplysningar om uppgifts- lämnarens trovärdighet och uppgifternas riktighet i sak (se av- snitt 14.9.2). Uppgifterna kan normalt inte förses med sådana upp- lysningar förrän de har bearbetats. Därför görs det i 6 kap. 10 § andra stycket undantag från kravet på sådan upplysning, om per- sonuppgifterna ingår i en uppgiftssamling som har skapats för att bearbeta och analysera information och bearbetningen och analy- sen befinner sig i ett inledande skede. Enligt förarbetena ska det vara fråga om en kortare period (se prop. 2009/10:85 s. 370 f.).

Bör undantaget justeras?

Som framgår av förarbetena till polisdatalagen är det inte meningen att ostrukturerad underrättelseinformation ska behandlas i en upp- giftssamling för bearbetning och analys någon längre tid utan att den bearbetas. Utgångspunkten är att Säkerhetspolisen ska genom-

640

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

föra analysen av den ostrukturerade informationen så snabbt som möjligt. På grund av den omfattande mängd information som periodvis kan komma in till Säkerhetspolisen har myndigheten dock inte alltid möjlighet att strukturera de uppgifter som förs in i uppgiftssamlingen för bearbetning och analys så snabbt som för- utsätts i 6 kap. 10 § andra stycket polisdatalagen. Konsekvensen blir att uppgifterna inte kan göras gemensamt tillgängliga, eftersom de inte helt uppfyller de krav som ställs på sådana uppgifter.

Säkerhetspolisen behöver emellertid kunna tillgängliggöra sådan ostrukturerad information till fler än ett fåtal tjänstemän som arbetar med bearbetning och analys och i vissa fall under längre tid än under ett inledande skede. Det finns risk för att relevant information inte kommer den operativa verksamheten till del om den inte kan göras gemensamt tillgänglig. En konsekvens kan bli att viktig information om t.ex. nära förestående attentat inte upp- täcks i tid. Om sådan information inte tillgängliggörs förrän den är färdigbearbetad kan det också leda till att Säkerhetspolisens för- måga att identifiera, bedöma och reducera hot och sårbarheter min- skar. Tillgång till ostrukturerad information är enligt uppgift sär- skilt viktig för att kunna identifiera aktörer som agerar ensamma.

Säkerhetspolisen har till uppgift att skydda grundläggande sam- hällsfunktioner och att bekämpa terrorism. Vid en intresseavväg- ning mellan verksamhetens behov och enskildas integritet väger därför verksamhetsintresset tyngre än annars. Att tillåta att infor- mation tillgängliggörs i något större utsträckning än i dag trots att den inte hunnit struktureras och, där det krävs, förses med sär- skilda upplysningar får enligt utredningens mening mot den bak- grunden accepteras.

Det befintliga undantaget från kravet på upplysning om upp- giftslämnarens trovärdighet och uppgifternas riktighet i sak behö- ver därför enligt utredningens mening justeras.

Utformningen av undantaget

I Säkerhetspolisens underrättelsearbete är utgångspunkten att upp- gifter som inte har bedömts och tillförts en upplysning om upp- giftslämnarens trovärdighet och uppgifternas riktighet i sak varken kan läggas till grund för beslut, bedömningar eller åtgärder. Per-

641

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

sonalen är således van vid att hantera svårbedömd information och det finns, enligt myndigheten, tydliga rutiner för hur ostrukturerad information ska behandlas. Risken för att sådan information leder till felbedömningar och åtgärder som inte är sakligt motiverade anses mot den bakgrunden vara liten.

De skäl som Säkerhetspolisen har fört fram för att undantaget bör tillåta att ostrukturerad information får tillgängliggöras i större utsträckning än i dag gör att undantaget bör omformuleras. Det är först när bearbetningen är genomförd som det är möjligt att påföra de särskilda upplysningar om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak som krävs i vissa fall. Undantaget bör därför gälla fram till dess att bearbetningen av uppgifterna är genomförd. En sådan lösning tillgodoser Säkerhetspolisens behov på ett bättre sätt. Genom den formuleringen blir det också tyd- ligare hur länge undantaget gäller. Viktig underrättelseinformation kan då vid behov göras gemensamt tillgänglig på ett sätt som bättre svarar mot Säkerhetspolisens behov. Utgångspunkten är dock fort- farande att Säkerhetspolisen ska genomföra bearbetningen och ana- lysen av den ostrukturerade informationen så snart som möjligt.

Det är viktigt att understryka att hela uppgiftssamlingen för bearbetning och analys inte undantas från kravet på särskilda upp- lysningar. Undantaget omfattar endast sådana uppgifter i uppgifts- samlingen som inte har hunnit bearbetas. Så snart bearbetningen är genomförd och informationen strukturerad är undantaget inte längre tillämpligt. Personuppgifterna ska då förses med särskilda upplysningar om det behövs.

När ska behandlingen senast upphöra?

Enligt 6 kap. 12 § andra stycket polisdatalagen ska personuppgifter i en uppgiftssamling för bearbetning och analys gallras senast tre år efter utgången av det kalenderår då den senaste registreringen av- seende personen gjordes. Enligt huvudregeln i 6 kap. 6 § första stycket polisdatalagen får uppgifter dock inte bevaras under längre tid än som behövs för något eller några av de ändamål för vilka Säkerhetspolisen får behandla personuppgifter. Utredningen före- slår i avsnitt 14.13.2 och 14.13.4 att motsvarande reglering ska fin- nas i den nya lagen.

642

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

Den generella bestämmelsen om längsta tid för behandling innebär att behandlingen ska upphöra så fort Säkerhetspolisen be- dömer att det inte längre finns behov av att behandla uppgifterna för något eller några av de syften för vilka myndigheten får be- handla personuppgifter. Behandlingen ska således upphöra även om tidsfristen om tre år inte har löpt ut. Det förutsätter dock att det går att bedöma om personuppgifterna behövs för något av dessa syften. Bestämmelsen ger stöd för fortsatt behandling så länge upp- gifterna behövs för något eller några av de syften som anges i lagen (se avsnitt 14.13.2). Det finns således stöd för fortsatt behandling om Säkerhetspolisen t.ex. bedömer att uppgifterna allmänt är vär- defulla för att förebygga, förhindra och upptäcka brottslig verk- samhet (se prop. 2009/10:85 s. 327 och 367 f.).

När det gäller ostrukturerad underrättelseinformation ligger det i sakens natur att det är svårt att bedöma det fortsatta behovet av behandling. Bedömningen måste innan bearbetningen och analysen är klar göras på ett mer övergripande plan och i större utsträckning utgå från sannolikheten att uppgifterna kan komma att behövas i verksamheten än en reell bedömning av den enskilda uppgiften. Enligt utredningens mening kan det vid en sådan övergripande be- dömning ofta finnas behov av fortsatt behandling av den ostruk- turerade informationen för något av de syften som anges i lagen.

14.11 Elektroniskt utlämnande

14.11.1Elektroniskt utlämnande på annat sätt än genom direktåtkomst

Utredningens förslag: Säkerhetspolisen ska få lämna ut person- uppgifter elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt.

Regeringen ska genom föreskrifter kunna begränsa möjlig- heten att lämna ut personuppgifter på det sättet.

Skälen för utredningens förslag: Enligt 2 kap. 20 § polisdatalagen får enstaka personuppgifter lämnas ut på medium för automatise- rad behandling. Regleringen i 2 kap. 20 § polisdatalagen gäller genom en hänvisning i 6 kap. 4 § för Säkerhetspolisen. Regeringen

643

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

kan meddela föreskrifter om att uppgifter får lämnas ut på sådant medium även i andra fall. Sådana föreskrifter finns i bl.a. 18 § polis- dataförordningen. I avsnitt 5.6.4 föreslår utredningen att möjlig- heten att lämna ut personuppgifter i annan elektronisk form än genom direktåtkomst ska utvidgas i de brottsbekämpande myndig- heternas registerförfattningar. De skäl som anges där för en utvidg- ning är giltiga även för Säkerhetspolisen. I den nya lagen bör det därför tas in en bestämmelse som ger Säkerhetspolisen möjlighet att lämna ut uppgifter elektroniskt på annat sätt än genom direkt- åtkomst om det inte är olämpligt. Regeringen bör kunna meddela föreskrifter om begränsning av möjligheten att lämna ut person- uppgifter på det sättet.

14.11.2 Behovet av direktåtkomst

Utredningens förslag: Elektroniskt utlämnande genom direkt- åtkomst ska vara tillåtet enbart i den utsträckning som anges i den nya lagen.

Skälen för utredningens förslag

Nuvarande reglering

I avsnitt 5.6.1 och 5.6.2 redogör utredningen för vad som är direkt- åtkomst och vilka risker det anses medföra. I förarbetena till polis- datalagen konstaterar regeringen att en ordning som innebär infor- mationsutbyte enbart genom manuell behandling skapar praktiska problem, eftersom brottsbekämpningen bedrivs dygnet runt. Upp- gifter som en tjänsteman behöver omedelbart för att kunna utföra en tjänsteåtgärd måste vara lätt tillgängliga även utanför vanlig kon- torstid. Därför infördes regler om direktåtkomst i polisdatalagen. Regeringen ansåg dock att det inte borde vara möjligt att medge direktåtkomst till personuppgifter som behandlas av Säkerhetspoli- sen, eftersom myndigheten behandlar särskilt känsliga uppgifter. Några skäl för att ge möjlighet till direktåtkomst till sådana person- uppgifter framkom varken under det utredningsarbete som låg till grund för lagstiftningen eller under remissbehandlingen (se prop.

644

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

2009/10:85 s. 178 f.). Säkerhetspolisen har därför i dag inte någon möjlighet att tillhandahålla personuppgifter genom direktåtkomst.

Ett effektivare informationsutbyte är nödvändigt

Säkerhetspolisen utbyter i dag information med andra myndigheter manuellt. Begränsningarna när det gäller elektroniskt utlämnande av personuppgifter medför att myndigheten måste delge operativ information antingen i pappersform eller elektroniskt i enskilda handlingar. Det gäller både i förhållande till svenska och utländska myndigheter. Eftersom Säkerhetspolisen dagligen utbyter mellan 50 och 100 meddelanden med andra staters underrättelse- och säkerhetstjänster innebär det en avsevärd begränsning. Information som andra myndigheter har behov av kommer enligt Säkerhetspoli- sen inte myndigheterna till del i den utsträckning som är önskvärd på grund av att sätten för utlämnande är ineffektiva och resurskrä- vande. Det finns därför risk att viktig och brådskande information inte når fram i tid.

Säkerhetspolisens behov av effektivare informationsutbyte har ökat markant under de senaste åren. Det politiska läget i Sverige och i omvärlden, med bl.a. omfattande flyktingströmmar och ett ständigt terrorhot, ställer nya krav på samarbete och effektivt in- formationsutbyte med både svenska och utländska myndigheter. Säkerhetspolisen har under utredningsarbetet understrukit behovet av att kunna dela viss information med andra myndigheter genom direktåtkomst.

Ökade möjligheter till elektroniskt utlämnande räcker inte

Lagstiftaren såg vid polisdatalagens tillkomst inte något behov av att reglera direktåtkomst till personuppgifter som Säkerhetspolisen behandlar. Någon egentlig analys av det lämpliga i att tillåta direkt- åtkomst gjordes inte (se prop. 2009/10:85 s. 178 f.). Saken har nu kommit i ett annat ljus i och med att Säkerhetspolisen har påtalat behovet av att kunna dela information på ett helt annat sätt än tidi- gare, bl.a. i det europeiska samarbetet mot terrorism. Regeringens uttalanden i förarbetena hindrar inte att en annan bedömning görs nu, särskilt mot bakgrund av att regeringen nyligen föreslagit viss

645

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

direktåtkomst till Säkerhetspolisens information (se lagrådsremis- sen den 7 september 2017, Ett mer effektivt informationsutbyte vid Nationellt centrum för terrorhotbedömning, s. 19 f.).

Eftersom brottsbekämpning bedrivs dygnet runt är en ordning med i huvudsak manuellt utlämnande begränsande. Uppgifter som en tjänsteman behöver omedelbart för att kunna genomföra en tjänsteåtgärd måste vara tillgängliga även utanför kontorstid. Elek- troniskt utlämnande på annat sätt än genom direktåtkomst förut- sätter att det finns personal på plats och att de har utrymme att bedöma om informationen kan lämnas ut. Om så inte är fallet för- dröjs informationsöverföringen, vilket kan få allvarliga konsekven- ser för brottsbekämpningen. I förarbetena till polisdatalagen kon- staterar regeringen också att direktåtkomst inte bara är ett enkelt och arbetsbesparande sätt att lämna ut information utan ibland det enda i praktiken möjliga sättet att göra uppgifterna tillgängliga när de behövs (se prop. 2009/10:85 s. 168).

I jämförelse med annat elektroniskt utlämnande innebär direkt- åtkomst effektivitetsvinster. Den myndighet som vill ha informa- tion behöver inte begära att få uppgifterna, utan kan söka i den in- formation som har gjorts tillgänglig. Den myndighet som medgett direktåtkomst behöver inte avsätta resurser för att hantera förfråg- ningar från den andra myndigheten. Utlämnande genom direktåt- komst kan även innebära fördelar ur informationssäkerhetssyn- punkt, eftersom överföring av information vid direktåtkomst kan göras på säkrare sätt än genom t.ex. e-post (se nyss nämnda lag- rådsremiss s. 21). Uppgifter som lämnas ut elektroniskt på annat sätt än genom direktåtkomst, t.ex. via e-post, riskerar att snabbt bli inaktuella, eftersom de inte uppdateras automatiskt. Inaktuella uppgifter kan ibland vara mer skadliga än ingen information alls.

Det kan ofta vara bråttom att hantera den information som kommer in till Säkerhetspolisen. Det kan t.ex. röra sig om infor- mation om ett planerat attentat mot mål i Sverige eller mot svenska intressen. Det är då viktigt att Säkerhetspolisen kan dela med sig av informationen till andra berörda myndigheter så fort som möjligt. Om det kan göras genom direktåtkomst sparas tid och resurser samtidigt som berörda mottagare kan ta del av informationen när det passar dem. Information som inte behöver förmedlas muntligt eller genom att särskilda dokument framställs utan i stället kan delas i sitt ursprungliga skick ökar kvaliteten i informationsutbytet.

646

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

Den utökade möjlighet att lämna ut personuppgifter elektro- niskt som föreslås i avsnitt 14.11.1 räcker därför enligt utredning- ens mening inte för att effektivisera Säkerhetspolisens informa- tionsutbyte. Myndigheten har behov av att kunna lämna ut vissa uppgifter genom direktåtkomst.

Den nya lagen bör medge direktåtkomst

Direktåtkomst medför att uppgifter blir tillgängliga för fler per- soner och att den utlämnande myndighetens möjligheter att kon- trollera användningen av uppgifterna minskar. En möjlighet till direktåtkomst anses därför generellt sett medföra ökad risk för intrång i den personliga integriteten. Säkerhetspolisen behandlar stora mängder personuppgifter i sina uppgiftssamlingar och många av dem är av känslig karaktär. Ju fler personer som har tillgång till sådana uppgiftssamlingar desto mer påtaglig är risken för intrång. Även om det är möjligt att genom särskilda åtgärder motverka eventuella risker är det viktigt att mottagarnas behov av direktåt- komst övervägs noga och att behoven vägs mot integritetsriskerna. Verksamhetsbehoven måste därför vägas mot hänsynen till den en- skildes integritet.

Enligt 2 kap. 21 § första stycket polisdatalagen är utlämnande genom direktåtkomst tillåtet bara i den utsträckning som följer av lagen. I förarbetena till polisdatalagen framhålls att det från integri- tetssynpunkt finns fördelar med en lösning där det i lagen framgår i vilken utsträckning direktåtkomst får medges. Det underlättar för tillämparen om det anges i vilken utsträckning direktåtkomst kan förekomma (se prop. 2009/10:85 s. 172). En motsvarande bestäm- melse bör därför införas i den nya lagen. Genom det säkerställs att riksdagen beslutar om i vilken utsträckning det är tillåtet att medge direktåtkomst.

Säkerhetspolisen utbyter redan en stor mängd information med både nationella och utländska myndigheter. Möjligheten att medge direktåtkomst innebär inte att Säkerhetspolisen får behandla eller lämna ut fler eller andra personuppgifter än i dag. Utlämnande genom direktåtkomst är endast ett mer effektivt sätt att tillhanda- hålla den information som ändå får lämnas ut. Det ligger också i sakens natur att Säkerhetspolisen lägger särskild vikt vid att pröva

647

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

om information ska delas med andra. Myndigheten har starkt intresse av att se till att inte fler uppgifter än nödvändigt tillgäng- liggörs för andra. Möjligheten att medge direktåtkomst förändrar ingenting i det avseendet.

14.11.3 Direktåtkomst för vissa svenska myndigheter

Utredningens förslag: Polismyndigheten ska för att kunna förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott få medges direktåtkomst till person- uppgifter som Säkerhetspolisen behandlar för vissa syften.

Försvarets radioanstalt och Försvarsmakten ska i sin för- svarsunderrättelseverksamhet och militära säkerhetstjänst få medges direktåtkomst till personuppgifter som Säkerhetspoli- sen behandlar för vissa syften.

Direktåtkomsten ska endast få avse personuppgifter som har gjorts gemensamt tillgängliga.

Vad som ska gälla angående omfattningen av direktåtkoms- ten och behörighet och säkerhet vid sådan åtkomst ska regleras i förordning.

Skälen för utredningens förslag

Direktåtkomst bara för några få myndigheter

De brottsbekämpande myndigheterna behöver samarbeta för att bekämpa brottslighet. Av samma skäl som det är viktigt att man inom Säkerhetspolisen på ett effektivt sätt kan tillgodogöra sig den information som samlats inom myndigheten är det viktigt att nyt- tiggöra informationen i samarbetet med andra brottsbekämpande myndigheter (jfr prop. 2009/10:85 s. 166 f.). Bland de brottsbe- kämpande myndigheterna är det dock enligt utredningens mening bara Polismyndigheten som har sådana arbetsuppgifter att det bör övervägas om Säkerhetspolisen ska kunna tillhandahålla informa- tion genom direktåtkomst.

Säkerhetspolisen samarbetar också nära med försvarsunderrät- telsemyndigheterna. Samarbetet är av stor betydelse för att Säker- hetspolisen ska kunna fullgöra sina uppgifter som säkerhetstjänst.

648

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

Även i förhållande till dessa myndigheter bör det därför övervägas om Säkerhetspolisen ska kunna tillhandahålla information genom direktåtkomst.

För att Säkerhetspolisen på ett effektivt sätt ska kunna före- bygga, förhindra och upptäcka brottslig verksamhet och utreda och lagföra brott krävs det ett utvecklat samarbete även med andra myndigheter. Säkerhetspolisen är initiativtagare och sammankal- lande i Samverkansrådet mot terrorism där 13 andra myndigheter ingår. Samarbetet syftar till att stärka Sveriges förmåga att mot- verka och hantera terrorism. Ett annat exempel är Säkerhetspoli- sens samarbete med Migrationsverket i syfte att identifiera säker- hetshot i migrationsströmmarna till Sverige. Utredningen anser att det i dag inte finns något behov av att kunna medge någon av dessa myndigheter direktåtkomst.

Direktåtkomst för Polismyndigheten

Säkerhetspolisen och Polismyndigheten har ett väl utvecklat sam- arbete. Säkerhetspolisen ska enligt 11 § instruktionen samarbeta med Polismyndigheten i den utsträckning som behövs för att polisverksamheten ska kunna bedrivas effektivt. Ett effektivt poli- siärt samarbete kräver ett omfattande utbyte av information. Infor- mationsutbytet kan vara helt avgörande för att kunna bedöma och reducera hot. I operativa ärenden är behovet av information dess- utom tidskritiskt. Som exempel kan nämnas attentatet på Drott- ninggatan i Stockholm i april 2017 och mordet på statsminister Olof Palme. Det går i sådana situationer inte att förlita sig enbart på manuell hantering. Det talar för att Säkerhetspolisen bör ges möjlighet att medge Polismyndigheten direktåtkomst till person- uppgifter som behandlas hos myndigheten.

Personuppgifter som Säkerhetspolisen typiskt sett bör kunna delge Polismyndigheten behandlas med stöd av flertalet av de till- låtna rättsliga grunderna som gäller för Säkerhetspolisen. Ett stort antal av de personer som Säkerhetspolisen har ögonen på är samti- digt föremål för underrättelseverksamhet eller brottsutredning hos Polismyndigheten, på grund av att de misstänks för annan brotts- lighet. I Säkerhetspolisens brottsbekämpning kan inte sällan andra brott avslöjas. Information som rör allvarliga brott som har begåtts

649

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

eller planeras bör naturligtvis kunna delas. Ett effektivt informa- tionsutbyte mellan Säkerhetspolisen och Polismyndigheten är där- för en förutsättning för att kunna förebygga och förhindra såväl terrorism som organiserad brottslighet. Myndigheterna kan vidare ha ett ömsesidigt intresse av att känna till om den andra myndig- heten vill ha hjälp med iakttagelser rörande vissa personer. Likaså finns det ibland intresse av att se till att den andra myndigheten inte ingriper mot en viss person om ett obetydligt brott skulle be- gås, eftersom det skulle kunna skada pågående brottsspaning eller brottsutredning som rör allvarligare brott.

Säkerhetspolisen har intresse av att sprida information om per- soner som skulle kunna utgöra säkerhetshot och om företeelser som Polismyndigheten bör vara vaksam på. Sådana uppgifter kan behöva spridas exempelvis för att underlätta personskyddsarbetet eller skapa bättre förutsättningar för samarbete om hotnivån för- ändras. Även Säkerhetspolisens arbetsuppgifter inom författnings- skyddet och på utlännings- och medborgarskapsområdet kan gene- rera behov av informationsutbyte.

Polismyndigheten har inte behov av att ta del av information från Säkerhetspolisen genom direktåtkomst i alla sina verksamhets- grenar. Behovet gör sig främst gällande när Polismyndigheten utför en arbetsuppgift i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller att utreda eller lagföra brott. Myndig- heten har således inget behov av direktåtkomst till uppgifter hos Säkerhetspolisen för att fullgöra förpliktelser som följer av interna- tionella åtaganden eller för att utföra en arbetsuppgift i syfte att upprätthålla allmän ordning och säkerhet. Direktåtkomst bör där- för inte få medges för sådana syften.

Direktåtkomst för Försvarets radioanstalt och Försvarsmakten

Säkerhetspolisen, Försvarsmakten och Försvarets radioanstalt har uppdrag som till viss del tangerar eller överlappar varandra och där- med förutsätter ett nära samarbete och kontinuerligt informations- utbyte. Försvarsmakten och Försvarets radioanstalt har möjlighet att medge Säkerhetspolisen direktåtkomst till vissa uppgiftssam- lingar hos respektive myndighet. Vidare är Säkerhetspolisen en av de myndigheter som enligt 4 § lagen (2008:717) om signalspaning i

650

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

försvarsunderrättelseverksamhet får ange inriktning för Försvarets radioanstalts signalspaning.

Ett exempel på ett mer formaliserat samarbete mellan myndig- heterna är samarbetet inom ramen för Nationellt centrum för ter- rorhotbedömning. Där arbetar myndigheterna tillsammans i gemensamma lokaler och tar gemensamt fram rapporter om terror- hotet mot Sverige och svenska intressen. Syftet är att stärka den samlade förmågan hos Säkerhetspolisen, Försvarsmakten och För- svarets radioanstalt och att ta tillvara myndigheternas samlade kompetens. Samarbetet kräver ett omfattande informationsutbyte (se Behandling av personuppgifter inom Nationellt centrum för terrorhotbedömning, Ds 2016:31, s. 170 f.). Regeringen har som nyss nämnts beslutat en lagrådsremiss med förslag om att Säker- hetspolisen ska få medge dessa myndigheter direktåtkomst till vissa uppgifter inom ramen för det samarbetet.

Myndigheternas behov av att utbyta information är emellertid inte begränsat till arbetet vid Nationellt centrum för terrorhotbe- dömning. Uppgifter som behandlas av en av myndigheterna kan tillsammans med uppgifter som behandlas av en annan ge en hel- hetsbild som inte framträder om bara den ena delen analyseras. Ett effektivt informationsutbyte kan alltså vara en förutsättning för att myndigheterna ska kunna fullgöra sina respektive uppdrag.

Mot den bakgrunden anser utredningen att övervägande skäl talar för att Säkerhetspolisen bör ges möjlighet att medge Försva- rets radioanstalt och Försvarsmakten direktåtkomst till person- uppgifter som behandlas hos Säkerhetspolisen.

Försvarets radioanstalt har enligt utredningens mening behov av att ta del av information från Säkerhetspolisen genom direktåt- komst enbart i sin försvarsunderrättelseverksamhet. Försvarsmak- ten har behov av att ta del av information genom direktåtkomst i både försvarsunderrättelseverksamheten och den militära säker- hetstjänsten.

Risken för integritetsintrång ska minimeras

Direktåtkomst innebär som nyss nämnts inte att fler eller andra personuppgifter får behandlas eller tillhandahållas. För att det ska vara acceptabelt att tillåta direktåtkomst måste det emellertid

651

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

säkerställas att det finns ett tillfredsställande skydd för den per- sonliga integriteten.

En första viktig aspekt är vilket sekretesskydd personuppgif- terna har hos den mottagande myndigheten. Sekretessregleringen ger i princip samma skydd för uppgifter i den brottsbekämpande verksamheten och i försvarsunderrättelseverksamheten. Uppgifter hos Säkerhetspolisen omfattas som regel av sekretess enligt 15 kap. 1 och 2 §§ och 18 kap. 1 och 2 §§ offentlighets- och sekretesslagen, dvs. utrikessekretess, försvarssekretess och sekretess till skydd för brottsbekämpning. Dessa sekretessbestämmelser gäller även hos Polismyndigheten, Försvarsmakten och Försvarets radioanstalt. Skyddet för enskildas personliga och ekonomiska förhållanden reg- leras i olika kapitel i offentlighets- och sekretesslagen för myndig- heterna i fråga. För Säkerhetspolisen och Polismyndigheten finns reglerna i 35 kap. och 37 kap. offentlighets- och sekretesslagen, medan de för försvarsunderrättelsemyndigheterna finns i 38 kap. Regleringen ger dock i princip samma skydd.

En annan viktig fråga är hur uppgifterna kommer att användas hos den mottagande myndigheten. Om kretsen av personer som får tillgång till uppgifterna kan begränsas är risken för integritetsin- trång generellt sett mindre. Av respektive myndighets registerför- fattning framgår att tillgången till personuppgifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsupp- gifter. Det är således endast de tjänstemän som har behov av upp- gifterna som får ges tillgång till dem.

Informationssäkerheten hos den mottagande myndigheten är också en viktig fråga. Är den säkerheten hög, så att det kan garan- teras att informationen endast når dem som har rätt till den, inger möjlighet till direktåtkomst mindre betänkligheter från integritets- synpunkt än vad som annars hade varit fallet (jfr prop. 2009/10:85 s. 176). Polismyndigheten, Försvarets radioanstalt och Försvars- makten har generellt en mycket hög säkerhet när det gäller hante- ring av information.

I förarbetena till polisdatalagen framhålls att det i fråga om direktåtkomst bör vara den myndighet som ansvarar för datasyste- men som avgör i vilken utsträckning en annan myndighet kan anses tillgodose kraven på tillräcklig säkerhet. Den som medger direktåt- komst ska kunna ha kontroll över att det egna datasystemet allt- jämt har tillräcklig säkerhet även efter det att andra myndigheter

652

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

fått tillgång till det (se prop. 2009/10:85 s. 178). Den närmare be- dömningen av tekniska och andra förutsättningar för direktåt- komst bör därför göras av Säkerhetspolisen. Innan Säkerhetspoli- sen medger direktåtkomst bör myndigheten således försäkra sig om att den mottagande myndigheten har en acceptabel säkerhets- nivå. Det kan exempelvis vara fråga om system för utlämnande av behörighet, loggning av transaktioner och annan intern kontroll. Säkerhetspolisen bör kunna ställa upp villkor som rör sådana frå- gor. Det kan regleras i förordning.

De ökade integritetsrisker som möjlighet till direktåtkomst skulle kunna medföra kan alltså motverkas genom reglering av annat slag, som bestämmelser om sekretess, tillgång till uppgifter, informationssäkerhet och en effektiv tillsyn. Mot den bakgrunden anser utredningen att Säkerhetspolisen bör få möjlighet att medge vissa myndigheter direktåtkomst.

I avsnitt 14.12.2 och 14.12.3 behandlas frågan om hur sekretess- regleringen förhåller sig till de föreslagna bestämmelserna om direktåtkomst.

Hur bör direktåtkomsten avgränsas?

Det föreslagna informationsutbytet innebär att uppgifter som be- handlas av Säkerhetspolisen blir tillgängliga utanför det samman- hang där de ursprungligen behandlades. Det är då ur ett integri- tetsperspektiv rimligt att de särskilda, mer begränsande, reglerna om gemensamt tillgängliga uppgifter alltid tillämpas. Direktåt- komst bör därför endast kunna medges till uppgifter som är gemensamt tillgängliga i Säkerhetspolisens verksamhet.

Från ett integritetsperspektiv är det en fördel om det tydligt framgår av författningstexten vilka uppgifter som får lämnas ut genom direktåtkomst. Några begränsningar av det slaget har emel- lertid inte ansetts möjliga att utforma inom annan brottsbekäm- pande verksamhet. De enda undantagen är direktåtkomsten till dna-register och fingeravtrycksregister, där de myndigheter som har direktåtkomst endast får veta om en person förekommer i registren. Det är enligt utredningens mening varken möjligt eller lämpligt att i den nya lagen begränsa vilken typ av uppgifter som

653

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

direktåtkomsten får avse. Åtkomsten bör i stället begränsas till personuppgifter som Säkerhetspolisen behandlar för vissa syften.

När det gäller Polismyndigheten har Säkerhetspolisen främst behov av att dela information som behandlas inom områdena kon- traterrorism, kontraspionage, författningsskydd och personskydd. Sådana uppgifter kan ha betydelse för Polismyndighetens brottsbe- kämpande verksamhet, särskilt när det gäller underrättelseverksam- heten och det brottsförebyggande arbetet, men även för brottsut- redningar i enskilda fall. För försvarsunderrättelsemyndigheterna är det främst uppgifter som rör kontraterrorism, kontraspionage och författningsskydd som kan behöva delas. Direktåtkomsten bör där- för begränsas till sådana uppgifter.

Som tidigare konstaterats behöver de mottagande myndighe- terna bara ta del av uppgifter från Säkerhetspolisen inom vissa delar av sin verksamhet. Det bör framgå av bestämmelserna om direktåt- komst att den endast får medges för vissa syften eller viss verksam- het. På så sätt kan åtkomsten begränsas. Finns det behov av att begränsa omfattningen av direktåtkomsten ytterligare bör det göras i förordning eller i myndighetsinterna regler.

En annan fråga är hur direktåkomsten bör avgränsas tekniskt. Ett alternativ är att direktåtkomst endast ges till en avskild upp- giftssamling som upprättats i syfte att dela information. I av- snitt 14.11.4 föreslår utredningen en sådan lösning när det gäller direktåtkomst för utländska underrättelse- och säkerhetstjänster. Nackdelen med den lösningen är att den inte är teknikneutral. Dessutom finns det risk att de uppgifter som Säkerhetspolisen överför till uppgiftssamlingen inte uppdateras när uppgifterna upp- dateras i verksamheten. Det kan därför vara lämpligare att medge direktåtkomst till viss information i Säkerhetspolisens it-system och i stället begränsa tillgången till informationen genom tilldel- ning av behörighet eller på annat sätt. Möjligheten att begränsa till- gången är i stort sett densamma oavsett vilken teknisk lösning som väljs. Bestämmelserna om direktåtkomst i den nya lagen bör mot den bakgrunden utformas teknikneutralt och inte begränsas till en uppgiftssamling eller någon liknande teknisk lösning.

Det bör framgå av lagen att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om omfattningen av direktåtkomsten och om behörighet och säkerhet vid sådan åt- komst.

654

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

14.11.4Direktåtkomst för underrättelse- och säkerhetstjänster inom EU och EES

Utredningens förslag: Om det behövs för samarbetet mot ter- rorism ska Säkerhetspolisen få medge en underrättelse- eller säkerhetstjänst i en medlemsstat i Europeiska unionen eller Europeiska ekonomiska samarbetsområdet direktåtkomst till personuppgifter i en avskild uppgiftssamling som upprättats i syfte att dela information med sådana mottagare. Uppgiftssam- lingen ska endast få innehålla personuppgifter som har gjorts gemensamt tillgängliga och som behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar terrorbrott.

Innan direktåtkomst medges en utländsk underrättelse- eller säkerhetstjänst ska Säkerhetspolisen underrätta regeringen.

Skälen för utredningens förslag

Säkerhetsläget har förändrats

Antalet terroristattentat i Europa har ökat efter att den s.k. islami- ska staten i september 2014 uppmanade sina sympatisörer att agera mot västvärlden. Under de senaste åren har antalet attentat och attentatshot med koppling till Sverige ökat. Sverige har också i större utsträckning kommit att omnämnas som ett legitimt atten- tatsmål (se 2016 års redogörelse för tillämpningen av lagen om sär- skild utlänningskontroll, skr. 2016/17:72, s. 7). Från den 2 mars 2016 bedöms hotnivån avseende terrorism ligga på nivå tre (förhöjt hot). Det innebär att Säkerhetspolisen bedömer att terrorattentat kan drabba Sverige.

Det största terrorhotet mot Sverige kommer enligt Säkerhets- polisen från våldsbejakande islamistiska grupper. Flera hundra per- soner har rest från Sverige till konfliktområden för att ansluta sig till al-Qaidainspirerade grupper eller till islamiska staten. Motsva- rande situation råder i andra europeiska länder. Bara av dem som rest till konflikten i Syrien och Irak har ett hundratal återvänt till Sverige (se skr. 2016/17:72 s. 5 f.). De som rest till ett konfliktom- råde utomlands och tränat eller stridit för våldsfrämjande grupper har förvärvat förmågor och skapat kontakter med individer som

655

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

kan hjälpa dem att begå terroristattentat eller radikalisera eller rek- rytera andra efter hemkomsten. De som rest till konfliktområden för att strida återvänder inte nödvändigtvis till det land de reste ifrån. Attentaten i Bryssel i mars 2016, där två personer med kopp- lingar till Sverige deltog, visar att hotaktörer ibland planerar dåden i ett land och utför dem i ett annat (se Säkerhetspolisens årsbok 2016 s. 40 f.). Återvändare utgör enligt Säkerhetspolisen ett poten- tiellt hot mot Sverige och Europa, oavsett deras vistelseort, ur- sprungsland och nationalitet.

Behovet av att kunna medge direktåtkomst

Enligt 16 § instruktionen för Säkerhetspolisen ska myndigheten samarbeta med utländska myndigheter och organ i den utsträck- ning som behövs för Säkerhetspolisens verksamhet och som rege- ringen närmare bestämmer. Enligt Säkerhetspolisen är det i kontra- terrorverksamheten som behovet av gränsöverskridande samarbete är störst.

Den internationella utvecklingen på terrorområdet, den våldsbe- jakande islamismens alltmer globala karaktär och ambitioner och utvecklingen i Sverige har enligt Säkerhetspolisen sammantaget ökat behovet av nära samverkan med säkerhets- och underrättelse- tjänster i andra stater på både strategisk, taktisk och operativ nivå (se Ds 2016:31 s. 158). De våldsbejakande islamistiska grupperna är internationella organisationer med följare i hela världen. Hotet från sådana grupper är därför ett för många stater gemensamt problem. Att Säkerhetspolisen, utöver att motverka terrorism i Sverige, även ska bidra till att förhindra terrorism utomlands ligger inte bara i svenskt intresse utan följer också av internationella åtaganden. Ett väl fungerande samarbete med andra underrättelse- och säkerhets- tjänster är därför en förutsättning för att Säkerhetspolisen ska kunna fullgöra sina arbetsuppgifter.

Underrättelse- och säkerhetstjänster i de nordiska länderna och inom EU är särskilt viktiga samarbetsparter. Utöver de bilaterala kontakterna deltar Säkerhetspolisen i flera arbetsgrupper inom ramen för EU-samarbetet, i arbetet vid Europol och i det europe- iska forumet Counter-terrorism Group (CTG).

656

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

Utvecklingen av det internationella samarbetet mot terrorism går mot ett allt snabbare och mer omfattande elektroniskt utbyte av information. Mot bakgrund av den nuvarande hotbilden är det viktigt att Säkerhetspolisen kan bidra aktivt till samarbetet inom CTG. För att Säkerhetspolisen ska kunna dela information om hot, händelser och personer när det behövs för att motverka terrorism behöver myndigheten enligt utredningens mening rättsliga förut- sättningar för att kunna utbyta information effektivare än i dag.

Direktåtkomst för utländska myndigheter

Polisdatalagen ger i dag inte någon av de myndigheter som tilläm- par lagen möjlighet att medge en utländsk myndighet direktåt- komst till personuppgifter. Det innebär emellertid inte att det sak- nas sådant informationsutbyte. Inom ramen för EU-samarbetet har olika lösningar skapats som ger större möjligheter att överföra per- sonuppgifter elektroniskt än vad polisdatalagen ger intryck av. Ett exempel är Schengen Information System (SIS), som regleras i lagen om Schengens informationssystem. Varje stat ansvarar för sin del av systemet och registrerar uppgifter som genom EU:s försorg är åtkomliga genom direktåtkomst i varje stat som är medlem i Schengensamarbetet. Inom ramen för samarbetet enligt Prümråds- beslutet får medlemsstaterna medge varandra direktåtkomst till uppgifter i dna- och fingeravtrycksregister. Ett annat exempel är samarbetet med Europol. Europol ansvarar för olika databaser och uppgiftssamlingar och ger myndigheter i medlemsstaterna tillgång till vissa uppgiftssamlingar genom direktåtkomst. Införlivandet av CBE-direktivet ger brottsbekämpande myndigheter direktåtkomst till uppgifter i andra staters fordonsregister. Även brottsbekäm- pande myndigheters tillgång till uppgifter i EU:s viseringsdatabas (VIS) är exempel på direktåtkomst över gränserna.

Eftersom nationell säkerhet ligger utanför EU-samarbetet kan det inte förväntas att liknande lösningar kommer att finnas inom Säkerhetspolisens verksamhetsområde. För att möjliggöra direktåt- komst krävs därför en annan reglering. I avsnitt 14.11.2 konstaterar utredningen att den utökade möjligheten att lämna ut uppgifter elektroniskt som föreslås i avsnitt 14.11.1 inte är tillräcklig för att

657

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

tillgodose Säkerhetspolisens nuvarande behov. Det gäller även ut- lämnande till utländska underrättelse- och säkerhetstjänster.

Bör direktåtkomst kunna medges?

Vid risk för terroristattentat är snabbhet i informationsutbytet av avgörande betydelse för att undvika skador. På samma sätt som när det gäller informationsutbytet med svenska myndigheter finns det därför behov av att kunna dela viss information genom direktåt- komst med utländska myndigheter. Det gäller framför allt andra staters underrättelse- och säkerhetstjänster.

Det ligger närmast till hands att tillåta informationsutbyte av nu aktuellt slag med de andra nordiska länderna. Det nära samarbete som förekommer inom EU när det gäller bekämpning av terrorism och de kopplingar till Sverige som man har kunnat konstatera vid några av terroristattentaten i Europa under senare år gör emellertid enligt utredningens mening att en begränsning till enbart de nor- diska länderna blir för snäv. Mot den bakgrunden bör möjligheten till direktåtkomst omfatta medlemsstater i EU och EES.

När personuppgifter lämnas ut till utländska myndigheter för behandling där kan det inte sällan vara svårt att avgöra vilket skydd uppgifterna får. Det gäller emellertid inte om utlämnandet begrän- sas till underrättelse- och säkerhetstjänster inom EU och EES. Där är regleringen av personuppgiftsbehandling och skyddet för per- sonuppgifter till stor del desamma, eftersom alla stater är bundna av dataskyddskonventionen. För EU:s medlemsstater gäller även andra rättsakter som skapar en enhetlig reglering. Det rör sig vidare om utlämnande till myndigheter som generellt sett har mycket hög säkerhet när det gäller hantering av information.

Utredningen anser alltså att det i den nya lagen bör tas in en be- stämmelse som möjliggör utlämnande genom direktåtkomst till underrättelse- och säkerhetstjänster inom EU och EES.

Hur bör direktåtkomsten avgränsas?

Förutom att endast underrättelse- och säkerhetstjänster i stater som är medlemmar i EU eller EES bör få medges direktåtkomst bör uppgiftslämnandet begränsas till personuppgifter som Säker-

658

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

hetspolisen behandlar i syfte att förebygga, förhindra eller upptäcka terrorbrott eller utreda sådana brott och som behövs för samarbe- tet mot terrorism. Möjligheten till direktåtkomst kommer inte att innebära att Säkerhetspolisen får tillhandahålla andra uppgifter än i dag. Ett effektivare uppgiftsutbyte och formen för utlämnandet kan ändå leda till att något fler uppgifter tillhandahålls.

För att ytterligare begränsa åtkomsten till uppgifterna och för- hindra att utländska myndigheter får del av fler uppgifter än vad de behöver bör direktåtkomst endast få ges till en avskild uppgifts- samling som Säkerhetspolisen har upprättat i direkt syfte att dela information med sina utländska motsvarigheter. Med den lös- ningen säkerställs att Säkerhetspolisen på förhand dels avgör om det finns sakliga skäl att låta en utländsk underrättelse- eller säker- hetstjänst få del av personuppgiften, dels bedömer de rättsliga för- utsättningarna att lämna ut den. Det görs då innan personuppgiften tillförs uppgiftssamlingen. Det minimerar risken för att fler upp- gifter än nödvändigt tillgängliggörs. På samma sätt som när det gäller direktåtkomst för Polismyndigheten och försvarsunderrät- telsemyndigheterna bör direktåtkomst bara kunna ges till uppgifter som har gjorts gemensamt tillgängliga. Innan Säkerhetspolisen till- handahåller uppgifter till utländska myndigheter ska en sekretess- prövning givetvis göras (se avsnitt 14.12.3). Uppgiftslämnandet ska också vara förenligt med bestämmelserna i övrigt i den nya lagen.

Underrättelseskyldighet till regeringen

Det är enligt utredningens mening särskilt viktigt att ett beslut att medge en utländsk myndighet direktåtkomst föregås av noggranna överväganden, även om det bara är fråga om tillgång till vissa upp- giftssamlingar som Säkerhetspolisen upprättar i syfte att kunna dela med sig av information. För att säkerställa att sådana överväganden görs och att det lämpliga i att en annan stats myndighet bereds möjlighet att genom direktåtkomst få del av sådana uppgiftssam- lingar noga övervägs, bör det i den nya lagen tas in en bestämmelse som föreskriver att Säkerhetspolisen, innan direktåtkomst medges första gången, ska underrätta regeringen. En sådan underrättelse ger regeringen möjlighet att, om det skulle visa sig vara nödvändigt, kunna utfärda närmare föreskrifter om direktåtkomsten.

659

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

14.12 Sekretessbrytande bestämmelser

14.12.1 Uppgiftsskyldighet gällande rättsstatistik

Utredningens förslag: Personuppgifter som är nödvändiga för att framställa rättsstatistik ska lämnas till den myndighet som ansvarar för att framställa sådan statistik.

Skälen för utredningens förslag: Enligt 2 kap. 14 § polisdatalagen ska personuppgifter som är nödvändiga för att framställa rättssta- tistik lämnas till den myndighet som ansvarar för att framställa sådan statistik. Bestämmelsen gäller för Säkerhetspolisen. Enligt 2 § förordningen (2016:1201) med instruktion för Brottsförebyggande rådet är rådet statistikansvarig myndighet. Enligt 24 kap. 8 § första stycket offentlighets- och sekretesslagen gäller absolut sekretess för uppgifter om en enskilds personliga och ekonomiska förhållan- den i sådan särskild verksamhet hos en myndighet som avser fram- ställning av statistik. I avsnitt 5.4.5 föreslås att skyldigheten att lämna uppgifter till rättsstatistiken ska regleras i brottsdatalagen. En motsvarande bestämmelse bör finnas i den nya lagen.

14.12.2 Sekretessgenombrott gentemot svenska myndigheter

Utredningens förslag: Polismyndigheten ska, trots sekretess enligt 21 kap. 3 § första stycket, 35 kap. 1 § och 37 kap. 1 § offentlighets- och sekretsslagen, ha rätt att ta del av personupp- gifter som har gjorts gemensamt tillgängliga och som Säker- hetspolisen behandlar för vissa syften, om Polismyndigheten behöver uppgifterna för brottsbekämpning eller lagföring.

Försvarets radioanstalt och Försvarsmakten ska, trots sekre- tess enligt 21 kap. 3 § första stycket, 35 kap. 1 § och 37 kap. 1 § offentlighets- och sekretsslagen, ha rätt att ta del av personupp- gifter som har gjorts gemensamt tillgängliga och som Säkerhets- polisen behandlar för vissa syften, om den mottagande myndig- heten behöver uppgifterna i sin försvarsunderrättelseverksamhet eller militära säkerhetstjänst.

660

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

Skälen för utredningens förslag

Sekretess hos Säkerhetspolisen

De personuppgifter som Säkerhetspolisen behandlar omfattas som regel av sekretess enligt 15 kap. 1 och 2 §§ och 18 kap. 1 och 2 §§ offentlighets- och sekretesslagen. Där regleras utrikes- och för- svarssekretessen och sekretessen till skydd för brottsbekämp- ningen. Bestämmelserna är tillämpliga på uppgifter som hänför sig till eller rör viss verksamhet. Det innebär att de gäller i all verksam- het där sådana uppgifter förekommer.

Uppgifter om enskilda i Säkerhetspolisens verksamhet omfattas som regel av sekretess enligt 35 kap. 1 § offentlighets- och sekre- tesslagen. Enligt paragrafen gäller sekretess för uppgifter som rör enskildas personliga och ekonomiska förhållanden och som före- kommer i verksamhet för att bl.a. förebygga brott. Uppgifter om enskilda kan även omfattas av sekretess enligt 37 kap. 1 § och 21 kap. 3 och 5 §§. Enligt 37 kap. 1 § gäller sekretess i verksamhet för kontroll över utlänningar och i ärenden om svenskt medborgar- skap. Enligt 21 kap. 3 § gäller sekretess för enskildas kontaktupp- gifter i vissa situationer och enligt 5 § gäller sekretess till skydd för utlännings säkerhet i vissa fall.

Sekretessen måste brytas

I avsnitt 14.11.3 föreslår utredningen att Säkerhetspolisen ska ges möjlighet att lämna ut personuppgifter till Polismyndigheten, För- svarets radioanstalt och Försvarsmakten genom direktåtkomst. Eftersom de uppgifter som Säkerhetspolisen behandlar i sin brotts- bekämpande verksamhet som regel omfattas av sekretess behövs det bestämmelser som bryter sekretessen för att sådant utlämnande ska vara möjligt. Några sådana bestämmelser finns inte i dag.

Offentlighets- och sekretesslagen innehåller flera sekretessbry- tande bestämmelser. Exempelvis hindrar sekretess inte att uppgifter lämnas till en annan myndighet om uppgiftsskyldighet följer av lag eller förordning, vilket framgår av 10 kap. 28 §. En bestämmelse om direktåtkomst reglerar endast själva formen för utlämnandet, dvs. på vilket sätt uppgifterna får lämnas ut, och är inte en sådan upp- giftsskyldighet som har sekretessbrytande verkan. Bestämmelser

661

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

om direktåtkomst brukar därför ofta kompletteras med sekretess- brytande bestämmelser som är utformade som uppgiftsskyldighe- ter på det sätt som avses i 10 kap. 28 §. Sådana bestämmelser bör enligt utredningen införas i den nya lagen för att möjliggöra utläm- nande genom direktåtkomst.

Bestämmelser om uppgiftsskyldighet

Det ligger i sakens natur att sekretessbrytande bestämmelser som ska möjliggöra direktåtkomst mellan myndigheter måste vara gene- rellt utformade, eftersom det vid direktåtkomst saknas möjlighet att göra en sekretessprövning i varje enskilt fall. Prövningen måste i stället göras i förväg (se prop. 2009/10:85 s. 192).

Sekretessbrytande bestämmelser i form av uppgiftsskyldighet brukar formuleras som en rätt för mottagaren att ta del av vissa uppgifter. Så har bestämmelserna om uppgiftsskyldighet formule- rats i övriga registerförfattningar. Den formuleringen bör därför användas i den nya lagen.

Uppgiftsskyldigheten bör endast omfatta sådana uppgifter som de mottagande myndigheterna får ta del av genom direktåtkomst. De mottagande myndigheterna bör dessutom bara få tillgång till de aktuella uppgifterna när de behöver det för att kunna utföra vissa av sina arbetsuppgifter. Det bör framgå av bestämmelserna.

Vilka sekretessbestämmelser ska den nya regleringen avse?

Frågan är vilken slags sekretess som behöver brytas för att Säker- hetspolisen ska kunna lämna ut uppgifter genom direktåtkomst. Bestämmelserna i 15 kap. 1 och 2 §§ och 18 kap. 1 och 2 §§ offent- lighets- och sekretesslagen avser att skydda nationens intressen och den verksamhet som Säkerhetspolisen bedriver. Enligt utredning- ens mening bör det inte medföra någon fara för rikets säkerhet eller innebära någon skada för Säkerhetspolisens verksamhet eller för nationen att sådana uppgifter som Säkerhetspolisen anser bör göras tillgängliga för Polismyndigheten och försvarsunderrättelsemyn- digheterna lämnas ut till dessa myndigheter. Skaderekvisitet är då inte uppfyllt och något generellt behov av att bryta sekretessen en- ligt dessa bestämmelser kan inte anses föreligga. I de fall där ut-

662

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

lämnandet av en uppgift till någon av de aktuella myndigheterna skulle innebära att Säkerhetspolisens egen verksamhet riskerar att skadas, bör direktåtkomst givetvis inte komma ifråga.

Utredningen gör samma bedömning i fråga om uppgifter som omfattas av sekretess enligt 21 kap. 5 § offentlighets- och sekre- tesslagen. Den sekretessen gäller till skydd för utlännings säkerhet i vissa fall. Sekretess gäller om det kan antas att röjande av uppgiften skulle medföra fara för att någon utsätts för övergrepp eller lider annat allvarligt men som föranleds av förhållandet mellan utlän- ningen och en utländsk stat eller myndighet eller organisation av utlänningar. Uppgiftslämnande till de angivna myndigheterna bör inte medföra någon sådan fara för enskilda. Bestämmelsen är dess- utom tillämplig hos de mottagande myndigheterna. Det finns där- för inget behov av att bryta sekretessen enligt den paragrafen.

Uppgifter om enskildas personliga och ekonomiska förhållan- den omfattas hos Säkerhetspolisen av sekretess enligt 21 kap. 3 §, 35 kap. 1 § och 37 kap. 1 § offentlighets- och sekretesslagen. Ut- lämnande av sådana uppgifter torde nästan alltid anses vara till skada eller men för den enskilde. När sådana uppgifter ska lämnas ut måste dessutom en sekretessprövning göras i varje enskilt fall. Det är inte möjligt att på förhand göra en generell intresseavväg- ning beträffande sådana uppgifter. För att Säkerhetspolisen ska kunna lämna ut den typen av uppgifter till Polismyndigheten och försvarsunderrättelsemyndigheterna genom direktåtkomst krävs det därför att sekretessen bryts.

Bestämmelserna om sekretess till skydd för enskilda i 35 kap. 1 § och 37 kap. 1 § offentlighets- och sekretesslagen gäller även i Polismyndighetens verksamhet. För försvarsunderrättelsemyndig- heterna finns en motsvarande bestämmelse om sekretess till skydd för enskilda i 38 kap. 4 §. Samtliga nu angivna bestämmelser gäller för uppgift om en enskilds personliga och ekonomiska förhållan- den, om det inte står klart att uppgiften kan röjas utan att den en- skilde eller någon närstående till honom eller henne lider skada eller men. Sekretesskyddet för uppgifter om enskilda ser således i princip likadant ut för de aktuella myndigheterna. Bestämmelsen i 21 kap. 3 § är tillämplig i hela den statliga förvaltningen och gäller således hos alla myndigheter.

Bestämmelserna om uppgiftsskyldighet gentemot Polismyndig- heten, Försvarets radioanstalt och Försvarsmakten bör således

663

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

bryta den sekretess som gäller enligt 21 kap. 3 § första stycket, 35 kap. 1 § och 37 kap. 1 § offentlighets- och sekretesslagen. I den mån andra sekretessbestämmelser är tillämpliga får det, på samma sätt som nu, göras en bedömning i det enskilda fallet av om sekre- tessen hindrar att uppgifterna lämnas ut.

14.12.3 Sekretessgenombrott i övrigt

Utredningens förslag: Om det är förenligt med svenska intres- sen, ska personuppgifter få lämnas ut till Interpol eller Europol, eller till en polismyndighet eller åklagarmyndighet i en stat som är ansluten till Interpol, om det behövs för att myndigheten eller organisationen ska kunna förebygga, förhindra, upptäcka, utreda eller lagföra brott. Om det är förenligt med svenska intressen ska personuppgifter också få lämnas ut till en utländsk underrättelse- eller säkerhetstjänst.

Personuppgifter ska vidare få lämnas ut till en utländsk myn- dighet eller mellanfolklig organisation, om utlämnandet följer av en internationell överenskommelse som Sverige har tillträtt efter riksdagens godkännande.

Skälen för utredningens förslag: Uppgifter som omfattas av sek- retess får inte röjas för en utländsk myndighet. Lagstiftaren har dock föreskrivit undantag från denna huvudregel bl.a. om utläm- nandet görs i enlighet med särskild föreskrift i lag eller förordning. Det framgår av 8 kap. 3 § 1 offentlighets- och sekretesslagen. En sådan föreskrift finns i 2 kap. 15 § polisdatalagen. Där regleras ut- lämnande av personuppgifter till utländska myndigheter och organ. Bestämmelsen gäller genom hänvisningen i 6 kap. 4 § i Säkerhets- polisens verksamhet. Om det är förenligt med svenska intressen får personuppgifter lämnas ut till Interpol eller Europol, eller till en polismyndighet eller åklagarmyndighet i en stat som är ansluten till Interpol, om det behövs för att myndigheten eller organisationen ska kunna förebygga, förhindra, upptäcka, utreda eller lagföra brott. Om det är förenligt med svenska intressen får personupp- gifter också lämnas ut till utländsk underrättelse- eller säkerhets- tjänst. Personuppgifter får dessutom lämnas ut till en utländsk myndighet eller mellanfolklig organisation, om utlämnandet följer

664

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

av en internationell överenskommelse som Sverige har tillträtt efter riksdagens godkännande.

Säkerhets- och integritetsskyddsnämnden har vid en granskning uttalat sig om den bedömning som ska göras vid utlämnande med stöd av 2 kap. 15 § polisdatalagen. Nämnden hänvisar till förarbe- tena till den tidigare gällande sekretesslagen (1980:100), där det anges att det intresse som sekretessen ska skydda ska tas med i be- dömningen av om ett utlämnande kan anses förenligt med svenska intressen. Nämnden konstaterar att Säkerhetspolisens behov av att lämna uppgifter alltid måste vägas mot sekretessintresset, t.ex. det integritetsintrång och de konsekvenser som det kan innebära för den enskilde, vid bedömningen av om känslig underrättelseinfor- mation kan lämnas till utlandet (se uttalande den 22 maj 2013, dnr 205-2012 s. 3).

Säkerhetspolisen bör kunna lämna ut uppgifter till en utländsk myndighet eller mellanfolklig organisation i samma utsträckning som i dag. En bestämmelse om det bör därför tas in i den nya lagen.

Det bör påpekas att när Säkerhetspolisen lämnar personuppgif- ter till mottagare i tredjeland eller till internationella organisationer måste myndigheten se till att utlämnandet är förenligt med bestäm- melserna om överföring till sådana mottagare (se avsnitt 14.17).

14.13 Längsta tid som personuppgifter får behandlas

14.13.1 Innebörden av nuvarande reglering

Utredningens bedömning: Bestämmelserna om gallring och bevarande i polisdatalagen syftar till att skydda den personliga integriteten och reglerar inte gallring eller bevarande i arkiv- lagens mening. Motsvarande bestämmelser bör tas in i den nya lagen men formuleras så att det framgår att det är fråga om data- skyddsbestämmelser.

665

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

Skälen för utredningens bedömning

Olika typer av bestämmelser

Enligt huvudregeln i 6 kap. 6 § första stycket polisdatalagen får per- sonuppgifter som Säkerhetspolisen behandlar inte bevaras under längre tid än vad som behövs för något eller några av de ändamål som anges i kapitlet. I 6 kap. polisdatalagen finns det ytterligare två typer av bestämmelser om bevarande och gallring av personuppgif- ter. De gäller enbart personuppgifter som behandlas automatiserat.

Den ena typen är bestämmelser om gallring och finns i 6 kap. 7 och 12 §§. De gäller för personuppgifter som inte förekommer i ärenden om utredning av eller lagföring för brott. Regleringen innebär att personuppgifterna inte får behandlas automatiserat efter vissa i lagen angivna tidsfrister. De får alltså inte heller arkiveras digitalt. Det följer av att det i 2 kap. 2 § andra stycket polisdata- lagen, som gäller även för Säkerhetspolisen, görs undantag från 8 § andra stycket personuppgiftslagen, som föreskriver att arkivlag- stiftningen har företräde framför personuppgiftslagstiftningen. Be- handling för arkivändamål är dock tillåten om det med stöd av 6 kap. 7 § tredje stycket eller 6 kap. 14 § har meddelats föreskrifter om att personuppgifterna får bevaras för historiska, statistiska eller vetenskapliga ändamål.

Den andra typen av bestämmelser finns i 6 kap. 13 § polisdata- lagen, som hänvisar till 3 kap. 9–13 §§ samma lag. De begränsar möjligheten att behandla personuppgifter i myndighetens brottsbe- kämpande verksamhet. Bestämmelserna gäller för personuppgifter som har gjorts gemensamt tillgängliga i ärenden om utredning av eller lagföring för brott. De föreskriver hur länge personuppgif- terna får behandlas i den brottsbekämpande verksamheten, men det hindrar inte att uppgifterna behandlas bl.a. för arkivändamål. Rege- ringen kan enligt 6 kap. 6 § tredje stycket meddela föreskrifter om digital arkivering.

Bestämmelserna är inte arkivrättsliga regler

Bestämmelser som reglerar hur länge personuppgifter får behandlas är viktiga för att skydda den personliga integriteten. Det bör därför tas in bestämmelser i den nya lagen som motsvarar regleringen i

666

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

polisdatalagen om hur länge olika typer av personuppgifter får be- handlas. I avsnitt 5.5.1 redovisar utredningen sin syn på dagens regler om gallring och bevarande. Det som sägs där har giltighet även för Säkerhetspolisens regelverk. När syftet med bestämmel- serna är att skydda den personliga integriteten bör regleringen där- för ange den yttersta gränsen för hur länge personuppgifterna får behandlas (se SOU 2017:29 s. 282 f.). Det gäller både gallringsbe- stämmelserna och bestämmelserna som begränsar möjligheten att behandla personuppgifter i den brottsbekämpande verksamheten. Bestämmelserna i den nya lagen bör formuleras så att det framgår att de är dataskyddsregler. De kan lämpligen samlas i ett särskilt kapitel som i övriga registerförfattningar.

14.13.2 Hur länge får personuppgifter behandlas?

Utredningens förslag: Personuppgifter ska inte få behandlas under längre tid än vad som behövs för något eller några av de syften för vilka Säkerhetspolisen får behandla personuppgifter. Det hindrar inte att Säkerhetspolisen arkiverar och bevarar all- männa handlingar eller att arkivmaterial lämnas till en arkivmyn- dighet.

Skälen för utredningens förslag

En generell bestämmelse om hur länge personuppgifter får behandlas

Enligt huvudregeln i 6 kap. 6 § första stycket polisdatalagen får per- sonuppgifter inte bevaras under längre tid än vad som behövs för något eller några av de ändamål som anges i kapitlet. Bestämmelsen kompletteras av mer precisa bestämmelser om bevarande och gall- ring av vissa kategorier av personuppgifter.

En generell bestämmelse som anger hur länge personuppgifter får behandlas bör tas in i den nya lagen. Den bör utformas med 6 kap. 6 § första stycket polisdatalagen som mönster. För att tyd- liggöra att det inte är fråga om bevarande i arkivlagens mening bör ordet behandlas användas i stället för bevaras. Säkerhetspolisen bör alltså inte få behandla personuppgifter under längre tid än vad som behövs för något eller några av de syften för vilka myndigheten får

667

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

behandla personuppgifter enligt lagen. Liksom i polisdatalagen bör bestämmelsen kompletteras med mer detaljerade bestämmelser om hur länge vissa kategorier av personuppgifter får behandlas. Utred- ningen återkommer till det.

Behandling för arkivändamål

Enligt 8 § andra stycket personuppgiftslagen hindrar bestämmel- serna i lagen inte att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndig- het. Arkivlagstiftningen har alltså i fråga om allmänna handlingar företräde framför personuppgiftslagens bestämmelser om längsta bevarandetid. För Säkerhetspolisens del görs i polisdatalagen undantag från 8 § andra stycket personuppgiftslagen när det gäller personuppgifter som ska gallras enligt polisdatalagen.

Undantaget i polisdatalagen gäller bara när bestämmelser om gallring är tillämpliga. I övriga delar av Säkerhetspolisens verksam- het gäller 8 § andra stycket personuppgiftslagen, vilket innebär att arkivlagstiftningen har företräde. En bestämmelse med motsvaran- de innehåll bör tas in i den nya lagen.

Det bör anmärkas att behandling för arkivändamål omfattas av dataskyddsförordningens tillämpningsområde, oavsett om det är Säkerhetspolisen som arkiverar personuppgifterna eller om de över- lämnas till en arkivmyndighet (jfr SOU 2017:29 s. 287).

14.13.3Personuppgifter som inte har gjorts gemensamt tillgängliga

Utredningens förslag: Personuppgifter som inte har gjorts gemensamt tillgängliga ska inte få behandlas längre än ett år efter det att ärendet avslutades, om de behandlas i ett ärende, och inte längre än ett år efter det att de behandlades automatise- rat första gången, om de inte kan hänföras till ett ärende.

Skälen för utredningens förslag: I 6 kap 7 § första stycket polis- datalagen föreskrivs att personuppgifter som behandlas automa- tiserat av Säkerhetspolisen och som inte har gjorts gemensamt till-

668

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

gängliga ska gallras senast ett år efter det att ärendet avslutades, om de behandlas i ett ärende. Om de inte kan hänföras till ett ärende ska uppgifterna gallras senast ett år efter det att de behandlades automatiserat första gången. Enligt utredningens mening finns det inte skäl att ändra på hur länge sådana uppgifter får behandlas. En motsvarande bestämmelse bör därför tas in i den nya lagen men den bör reglera hur länge personuppgifterna får behandlas.

Av 2 kap. 2 § andra stycket polisdatalagen följer att arkivlag- stiftningen inte ska ha företräde om 6 kap. 7 § är tillämplig. Syftet med regleringen är att förtydliga att personuppgifter i dessa fall inte får behandlas automatiserat för arkivändamål. Det bör gälla även enligt den nya lagen. Det bör således göras undantag från be- stämmelsen om att arkivlagstiftningen ska ha företräde (se av- snitt 14.13.2).

Den nu föreslagna regleringen bör inte gälla personuppgifter i ärenden om utredning av eller lagföring för brott. Den frågan be- handlas i avsnitt 14.13.6.

14.13.4 Personuppgifter som har gjorts gemensamt tillgängliga

Utredningens förslag: Personuppgifter som har gjorts gemen- samt tillgängliga ska inte få behandlas längre än tio år efter ut- gången av det kalenderår då den senaste registreringen avseende personen gjordes. Uppgifter om en person som vid tiden för registreringen inte fyllt 18 år ska dock inte få behandlas längre än fem år efter utgången av det kalenderår då den senaste registreringen gjordes avseende den unge. Det förutsätter att någon ny registrering inte har gjorts efter det att han eller hon fyllt 18 år.

Personuppgifter som behandlas i en uppgiftssamling som har skapats för att bearbeta och analysera information ska inte få behandlas längre än tre år efter utgången av det kalenderår då den senaste registreringen gjordes avseende personen.

När personuppgifter behandlas i underrättelseverksamhet ska endast registrering som avser personens anknytning till brottslig verksamhet påverka längsta tid för behandling.

669

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

Skälen för utredningens förslag

Gemensamt tillgängliga personuppgifter ska som huvudregel få behandlas lika länge som i dag

Enligt 6 kap. 12 § polisdatalagen ska gemensamt tillgängliga per- sonuppgifter gallras senast tio år efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. Person- uppgifter som behandlas i en uppgiftssamling som har skapats för att bearbeta och analysera information ska dock gallras senast tre år efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes.

I förarbetena till polisdatalagen görs bedömningen att en allmän gallringsfrist om tio år utgjorde en lämplig avvägning mellan Säker- hetspolisens behov och den enskildes krav på att uppgifter inte bevaras alltför lång tid. I fråga om personuppgifter som förekom- mer i en uppgiftssamling som skapats för att bearbeta och analysera information gjordes dock bedömningen att en kortare gallringsfrist borde gälla (se prop. 2009/10:85 s. 269). Den bedömning som gjor- des då av hur länge personuppgifter bör få behandlas har enligt ut- redningens mening fortfarande fog för sig. Bestämmelserna bör av de skäl som anges i avsnitt 14.13.1 formuleras så att de anger hur länge uppgifterna får behandlas. Utredningen återkommer till be- hovet av att beträffande några kategorier av personuppgifter ha en mer differentierad reglering.

Av 2 kap. 2 § andra stycket polisdatalagen följer att arkivlag- stiftningen inte ska ha företräde om 6 kap. 12 § är tillämplig. Det- samma bör gälla enligt den nya lagen. Det bör därför göras undan- tag från den föreslagna regeln om att arkivlagstiftningen ska ha företräde för nu aktuella personuppgifter.

En särskild bestämmelse för personuppgifter som rör barn

Polisdatalagen innehåller inte några särskilda bestämmelser om be- handling av personuppgifter som avser barn. Samma bestämmelser gäller således vid personuppgiftsbehandlingen oavsett den registre- rades ålder. Säkerhetspolisen har i sina interna styrdokument regle- rat gallringsfristen i myndighetens centralregister för personer som vid tiden för registreringen inte fyllt 18 år. Sådana uppgifter gallras

670

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

senast fem år efter det att en uppgift om personen senast infördes. Säkerhets- och integritetsskyddsnämnden har särskilt granskat hur brottsbekämpande myndigheter behandlar personuppgifter om barn. Nämnden har uttalat att integritetsskyddande regler i polis- datalagen gör sig gällande i särskilt hög grad vid behandling av upp- gifter om barn. Nämnden är också positiv till Säkerhetspolisens interna bestämmelser om kortare gallringsfrist för sådana uppgifter (se uttalande den 17 februari 2016, dnr 50-2015 s. 5 och 8). Mot den bakgrunden anser utredningen att det i den nya lagen bör före- skrivas kortare tid för behandling av uppgifter om personer som vid registreringen inte hade fyllt 18 år. Sådana uppgifter bör inte få behandlas längre än fem år efter utgången av det kalenderår då den senaste registreringen avseende den unge gjordes.

Omständigheter som kan påverka längsta tid för behandling

I avsnitt 5.5.4 föreslås att endast sådana omständigheter som har betydelse för personens anknytning till brottslig verksamhet bör kunna påverka att personuppgifter får fortsätta att behandlas i underrättelseverksamhet på grund av att det har tillkommit en ny registrering. Av de skäl som anges där bör regleringen i den nya lagen utformas på motsvarande sätt när det gäller personuppgifter i Säkerhetspolisens underrättelseverksamhet. När det gäller person- uppgifter som behandlas för bl.a. personskydd, säkerhetsskydd eller ärenden enligt utlännings- och medborgarskapslagstiftningen bör regleringen på samma sätt som i dag utgå från när den senaste registreringen avseende personen gjordes.

14.13.5Personuppgifter som rör viss säkerhetshotande verksamhet

Utredningens förslag: Personuppgifter som hänför sig till sådan säkerhetshotande verksamhet som avses i 18 och 19 kap. brottsbalken som utövas av främmande makt ska inte få behand- las längre än 40 år efter utgången av det kalenderår då den senaste registreringen gjordes avseende personens anknytning till brott eller brottslig verksamhet.

671

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

Skälen för utredningens förslag

Vad är kontraspionage?

Säkerhetspolisens kontraspionageverksamhet har till uppgift att förebygga, förhindra och upptäcka spioneri, olaglig underrättelse- verksamhet och andra brott mot rikets säkerhet. Kontraspionage omfattar inhämtning av underrättelser om och bedömning av andra staters spionage mot Sverige. Sådant underrättelsearbete skapar underlag för olika typer av åtgärder mot andra staters säkerhets- hotande underrättelseverksamhet och är en del av Sveriges försvar.

Spioneribrott utövas ofta av två aktörer i förening. Den ena är en underrättelseofficer som tillhör en utländsk underrättelsetjänst. Den andra är spionen som t.ex. kan ha tillgång till information och miljöer där information kan inhämtas på uppdrag av underrättelse- officeren. Underrättelseofficerare arbetar långsiktigt med att leta efter lämpliga mål, att närma sig och odla kontakter med personer som har information om målet, för att i senare skeden eventuellt kunna rekrytera dem som spioner och handleda dem. Andra stater söker alltså fortlöpande efter lämpliga personer att rekrytera. Själva processen fram till värvningstillfället kan ta några år och i vissa fall ännu längre tid. I den efterföljande handledningsfasen kan den vär- vade personen handledas så länge han eller hon har tillgång eller kan få tillgång till den information som den andra statens under- rättelsetjänst är intresserad av. Det kan pågå i flera decennier. En underrättelseofficer är däremot som regel bara stationerad i Sverige några år och förflyttas sedan till ett annat land. Eftersom statione- ringstiden är begränsad måste värvning och handledning av spioner lämnas över mellan underrättelseofficerare.

Säkerhetspolisen arbetar med två olika metoder för att identi- fiera spioner. En metod är att leta direkt efter dem. En annan är att kartlägga och följa utländska underrättelseofficerares aktiviteter för att kunna identifiera misstänkta spioner. Genom att underrättel- seofficerare lämnar handledningen vidare till sina efterträdare inne- bär byte av underrättelseofficerare en möjlighet för Säkerhetspoli- sen att kunna identifiera misstänkta spioner. Det är emellertid svårt, eftersom underrättelseofficerare är tränade i att undvika värd- landets säkerhetstjänst. Det innebär att iakttagelser som görs be- träffande en underrättelseofficer kanske inte byggs på med nya

672

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

iakttagelser förrän efter flera byten på posten. Under tiden behöver informationen från kartläggningen behållas.

Andra staters underrättelseverksamhet i Sverige bygger således på långsiktigt arbete. En anledning till det är att det är relativt svårt att värva spioner. Alla stater strävar därför efter att använda dem så länge som möjligt. Spioneri är oftast en livslång sysselsättning. Det finns också exempel både i Sverige och utomlands på att spioner rekryterar sina barn som spioner. Säkerhetspolisens kontraspiona- geverksamhet måste därför anpassas till det långsiktiga tidsper- spektivet.

Oavsett vilken metod Säkerhetspolisen använder kräver kontra- spionage lagring av information i flera decennier. Exempelvis an- vänder Säkerhetspolisen i dag regelmässigt uppgifter som inhäm- tades på 1980- och 90-talen. Erfarenheter från både Sverige och andra länder visar att det ofta tar mycket lång tid innan en spion av- slöjas. Spionerna Stig Wennerström och Arne Treholt kan nämnas som exempel på det.

Nuvarande bestämmelser är inte ändamålsenliga

Säkerhetspolisen har i dag möjlighet att behandla personuppgifter i sin brottsbekämpande verksamhet under relativt lång tid. Enligt 6 kap. 12 § första stycket polisdatalagen ska personuppgifter som gjorts gemensamt tillgängliga gallras senast tio år efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. Om det finns särskilda skäl får Säkerhetspolisen dock be- sluta att personuppgifter får bevaras längre, om uppgifterna fortfa- rande behövs för det ändamål för vilket de behandlas. Säkerhetspo- lisen kan således under vissa förutsättningar besluta att förlänga gallringsfristen för personuppgifter inom kontraspionaget med ytterligare tio år.

Säkerhetspolisen förlänger regelmässigt gallringsfristen för per- sonuppgifter i kontraspionaget. Från den 1 januari 2017 till den 23 mars 2017 fattades enligt Säkerhetspolisen drygt 400 enskilda beslut om att förlänga gallringsfristen för personuppgifter som behandlas inom kontraspionaget. Det rör sig således om fler än tusen enskilda förlängningsbeslut per år. Hanteringen medför om- fattande administrativt arbete för personal med särskild sakkunskap

673

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

på området, eftersom lagstiftningen kräver att det fattas beslut om bevarande i varje enskilt fall.

Det finns risk för att personuppgifter, som borde bevaras, tas bort på grund av att Säkerhetspolisen i vissa fall måste prioritera operativa insatser före förlängningsbeslut. Inom kontraspionaget är det dessutom ofta svårt att vid tidpunkten för beslut om förläng- ning veta exakt vilka uppgifter som kommer att behövas i fram- tiden. Förlängning av fristen kan inte beslutas retroaktivt. Säker- hetspolisen har uppgett att myndigheten i ett flertal fall har gallrat personuppgifter där det i efterhand har visat sig att informationen varit relevant och därför borde ha behandlats längre.

Uppgifter inom kontraspionaget ska få behandlas längre

Enligt utredningens mening finns det på grund av kontraspionagets särdrag behov av att behandla personuppgifter hänförliga till sådan verksamhet under betydligt längre tid än huvudregeln i polisdata- lagen medger. Säkerhetspolisen har visserligen möjlighet att genom särskilda beslut förlänga tiden för behandling. Det är emellertid inte rimligt att lägga betydande resurser på att regelbundet fatta beslut om sådan förlängning när det ofta på förhand kan förutses att förlängning av fristen är nödvändig. Risken att uppgifter gallras på grund av tidsbrist eller felaktiga beslut bör också vägas in.

Mot den bakgrunden anser utredningen att Säkerhetspolisen bör få behandla personuppgifter hänförliga till området kontraspionage under längre tid än vad som är tillåtet i dag. Det gäller framför allt uppgifter där grunden för registreringen är att personen är en miss- tänkt utländsk underrättelseofficer och hans eller hennes närmaste anhöriga. Det gäller också uppgifter om misstänkta spioner och deras närmaste anhöriga och händelser kopplade till dessa personer. Om sådana personuppgifter får behandlas under längre tid skulle det ge Säkerhetspolisen större möjligheter att inte bara identifiera misstänkta spioner och underrättelseofficerare, utan också att av- föra eventuella felaktiga misstankar. På så sätt kan en förlängd tids- frist i det här fallet också till viss del stärka integritetsskyddet.

Frågan är hur tidsfristen för behandling av aktuella uppgifter bör bestämmas. Från integritetssynpunkt är det viktigt att person- uppgifter inte behandlas för länge. Samtidigt måste tidsfristen be-

674

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

stämmas på ett sätt som är ändamålsenligt och tillgodoser de behov som finns.

Försvarssekretessen, som regleras i 15 kap. 2 § offentlighets- och sekretesslagen, gäller enligt 4 § offentlighets- och sekretess- förordningen (2009:641) i 95 år om uppgifterna rör underrättelse- verksamheten inom underrättelse- och säkerhetstjänsten. Den svenska militära underrättelsetjänstens arbete och källor skyddas således under lång tid och man skulle kunna argumentera för att Säkerhetspolisens uppgifter som rör kontraspionage borde kunna behandlas lika länge. En annan möjlighet är att utgå från hur länge sekretess gäller för uppgifter i brottsbekämpande verksamhet, vil- ket är 70 år. En så lång tidsfrist som någon av de nu nämnda skulle dock innebära betydligt större integritetsintrång än i dag, eftersom det inte är sannolikt att Säkerhetspolisen fattar förlängningsbeslut för hela den tiden. Enligt utredningens mening kan verksamhets- behoven tillgodoses med en kortare tidsfrist.

Erfarenheterna har visat att spioneri under 30–40 år inte är ovanligt. Med beaktande av det anser utredningen att fristen för hur länge personuppgifter i kontraspionageverksamheten ska få be- handlas inte bör vara kortare än 40 år. Behandlingen av personupp- gifterna kan då fortgå under en tid som motsvarar en spions yrkes- verksamma liv. Med hänsyn till att det är fråga om mycket allvarliga brott anser utredningen att den föreslagna tidsfristen är en rimlig avvägning mellan samhällsintressena och enskildas integritet. I av- snitt 14.13.7 föreslår utredningen att Säkerhetspolisen även fort- sättningsvis ska kunna fatta beslut om att i enskilda fall förlänga fristen för behandling av uppgifter.

Det bör alltså i den nya lagen tas in en bestämmelse som före- skriver att personuppgifter som hänför sig till sådan säkerhetsho- tande verksamhet som avses i 18 och 19 kap. brottsbalken som utövas av främmande makt inte får behandlas längre än 40 år efter utgången av det kalenderår då den senaste registreringen gjordes avseende personens anknytning till brott eller brottslig verksamhet. Utredningen återkommer till det i avsnitt 14.3.7. Undantag bör göras för uppgifter som behandlas i en uppgiftssamling för bearbet- ning och analys. För sådana uppgifter bör tidsfristen om tre år gälla (se avsnitt 14.13.4).

675

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

14.13.6 Ärenden om utredning av eller lagföring för brott

Utredningens förslag: Bestämmelser om begränsningar i möj- ligheten att behandla gemensamt tillgängliga uppgifter i brotts- anmälningar, avslutade förundersökningar och andra liknande utredningar ska tas in i den nya lagen. Det ska framgå av be- stämmelserna att de endast begränsar behandling för ändamål inom lagens tillämpningsområde.

Skälen för utredningens förslag

Nuvarande reglering

I 3 kap. 10–12 §§ polisdatalagen regleras hur länge personuppgifter som har gjorts gemensamt tillgängliga i ärenden om utredning av eller lagföring för brott längst får behandlas automatiserat i den brottsbekämpande verksamheten. Där föreskrivs bl.a. att om en brottsanmälan avskrivs på grund av att den påstådda gärningen inte utgör brott, får personuppgifterna i anmälan inte längre behandlas i den brottsbekämpande verksamheten. När det gäller förundersök- ningar och andra liknande utredningar föreskrivs att personupp- gifter inte får behandlas i den brottsbekämpande verksamheten när det har förflutit fem år efter utgången av det kalenderår då en dom, eller ett beslut med anledning av domstolsprövning, vann laga kraft eller sedan fem år förflutit från utgången av det kalenderår då för- undersökningen lades ned eller avslutades på annat sätt. I 3 kap. 13 § föreskrivs att om en förundersökning har lagts ned, om åtal har lagts ned eller om frikännande dom som har vunnit laga kraft har meddelats, får personen inte vara sökbar som misstänkt. Att bestämmelserna gäller i Säkerhetspolisens verksamhet framgår genom en hänvisning i 6 kap. 13 § polisdatalagen.

Samma reglering som i dag

Bestämmelserna om längsta tid för behandling av personuppgifter i ärenden om utredning av och lagföring för brott är utförligt moti- verade i förarbetena (se prop. 2009/10:85 s. 223 f.). Skälen bakom den nuvarande ordningen gör sig fortfarande gällande. Det har inte

676

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

heller framkommit skäl att ändra regelverket. Därför bör bestäm- melser med motsvarande innehåll tas in i den nya lagen.

Bestämmelserna i 3 kap. 10 och 11 §§ polisdatalagen hindrar inte att personuppgifter som behandlas automatiserat i den brottsbe- kämpande verksamheten fortsätter att behandlas automatiserat för ändamål utanför lagens tillämpningsområde under längre tid än vad som anges i bestämmelserna. De inskränker alltså enbart behand- ling i den brottsbekämpande verksamheten, vilket innebär att per- sonuppgifterna t.ex. får behandlas automatiserat för arkivändamål. För att tydliggöra det bör det framgå av bestämmelserna i den nya lagen att de enbart reglerar hur länge personuppgifter får behandlas för ändamål inom lagens tillämpningsområde.

14.13.7 Möjlighet att förlänga tiden för behandling

Utredningens förslag: Om det finns särskilda skäl ska Säker- hetspolisen få besluta att personuppgifter får behandlas under längre tid än vad som anges för en viss kategori av uppgifter, om de fortfarande behövs för det ändamål för vilket de behandlas. Om personuppgifter behandlas med stöd av ett sådant beslut ska frågan om fortsatt behandling prövas på nytt senast vid utgången av det tionde kalenderåret efter beslutet eller, om det är fråga om uppgifter i en uppgiftssamling som har skapats för att bearbeta och analysera information, senast vid utgången av det tredje kalenderåret efter beslutet. Tiden för behandling får vid varje tillfälle förlängas med längst samma tid som den ursprung- liga eller, om uppgifterna rör säkerhetshotande verksamhet eller avser någon som är under 18 år, längst tio år.

Skälen för utredningens förslag: Säkerhetspolisen har enligt 6 kap. 12 § tredje stycket polisdatalagen möjlighet att besluta att personuppgifter får bevaras längre än vad som anges i paragrafen, om det finns särskilda skäl och uppgifterna fortfarande behövs för det ändamål för vilket de behandlas. För uppgifter som får bevaras längst tio år får tiden förlängas med tio år och för uppgifter som får bevaras längst tre år får tiden förlängas med tre år.

Säkerhetspolisen bör även fortsättningsvis ha möjlighet att i vissa fall besluta om förlängd tid för behandling. En motsvarande

677

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

bestämmelse bör därför tas in i den nya lagen, men den bör formu- leras så att den anger hur länge uppgifterna får behandlas.

Det bör enligt utredningens mening inte införas någon särskild frist för uppgifter om personer som vid tiden för registreringen inte har fyllt 18 år. Om Säkerhetspolisen gör bedömningen att det i ett enskilt fall finns särskilda skäl att förlänga fristen för behandling av sådana personuppgifter bör de kunna behandlas som längst ytterligare tio år.

Enligt utredningens mening bör Säkerhetspolisen ges möjlighet att förlänga tidsfristen även för behandling av personuppgifter som enligt den särskilda bestämmelsen om personuppgifter som rör viss säkerhetshotande verksamhet får behandlas längst 40 år. En för- längning motsvarande den tid som personuppgifterna ursprung- ligen får behandlas skulle dock i dessa fall leda till att uppgifterna får behandlas alltför länge. I likhet med vad som gäller för gemen- samt tillgängliga uppgifter i övrigt bör uppgifterna få behandlas som längst tio år efter beslutet, om inte ett nytt beslut om förläng- ning fattas inom den fristen.

14.13.8 Föreskrifter

Utredningens förslag: Regeringen ska kunna meddela före- skrifter om att vissa kategorier av personuppgifter får behandlas för ändamål inom den nya lagens tillämpningsområde under längre tid än vad som anges i lagen.

Regeringen eller den myndighet som regeringen bestämmer ska kunna meddela föreskrifter om att personuppgifter får be- handlas under längre tid än vad som anges i den nya lagen för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål och om begränsning av behandlingen av personuppgifter för ändamål inom den nya lagens tillämpnings- område vid digital arkivering.

678

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

Skälen för utredningens förslag

Föreskrifter om fortsatt behandling av vissa kategorier av personuppgifter

Enligt 3 kap. 12 § polisdatalagen har regeringen möjlighet att med- dela föreskrifter om att vissa kategorier av personuppgifter i en brottsanmälan, förundersökning eller annan utredning som hand- läggs enligt bestämmelserna i 23 kap. rättegångsbalken får behand- las i den brottsbekämpande verksamheten under längre tid än vad som anges i 3 kap. 10 och 11 §§. Skälen för regleringen är utförligt redovisade i förarbetena till polisdatalagen (se prop. 2009/10:85 s. 226 f.). De gör sig alltjämt gällande och en motsvarande före- skriftsrätt bör därför tas in i den nya lagen.

Föreskrifter om fortsatt behandling för arkivändamål

Regeringen eller den myndighet som regeringen bestämmer har enligt 6 kap. 7 § tredje stycket och 14 § polisdatalagen möjlighet att meddela föreskrifter om att personuppgifter får bevaras för histo- riska, statistiska eller vetenskapliga ändamål. Motsvarande före- skriftsrätt bör finnas i den nya lagen. För att terminologin ska stämma överens med dataskyddsförordningen och övriga register- författningar inom brottsdatalagens tillämpningsområde bör det göras ett tillägg som innebär att föreskriftsrätten även omfattar behandling för arkivändamål av allmänt intresse (jfr avsnitt 5.5.2).

Föreskrifter om digital arkivering

Regeringen eller den myndighet som regeringen bestämmer har enligt 6 kap. 6 § tredje stycket polisdatalagen möjlighet att meddela föreskrifter om digital arkivering. Brottsanmälningar, förundersök- ningar och andra brottsutredningar bör få behandlas för arkivända- mål med stöd av arkivlagen trots att de inte längre får behandlas i den brottsbekämpande verksamheten. Mot bakgrund av att arkiv- lagen inte hindrar eller ställer upp några begränsningar för fortsatt behandling av digitalt arkiverade uppgifter i den brottsbekämpande verksamheten, behövs det föreskrifter som anger ramen för fortsatt behandling inom lagens tillämpningsområde för att skapa nödvän-

679

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

digt integritetsskydd (jfr avsnitt 5.5.3). Sådana föreskrifter kan tas in i förordning. Det bör därför finnas en bestämmelse om före- skriftsrätt som motsvarar 6 kap. 6 § tredje stycket polisdatalagen i den nya lagen.

14.14 Skyldigheter som personuppgiftsansvarig

Utredningens förslag: Det ska i den nya lagen tas in bestäm- melser motsvarande dem i brottsdatalagen om den personupp- giftsansvariges skyldigheter i fråga om

–tekniska och organisatoriska åtgärder,

–tillgången till personuppgifter,

–konsekvensbedömning och förhandssamråd,

–skyddsåtgärder,

–samarbete med tillsynsmyndigheten,

–dataskyddsombud, och

–personuppgiftsbiträden.

Skyldigheten att föra register över kategorier av behandling av personuppgifter och att införa interna rutiner för anmälan av överträdelser ska regleras i förordning. Föreskrifter som fyller ut och preciserar bestämmelserna om Säkerhetspolisens skyldig- heter som personuppgiftsansvarig ska också tas in i förordning.

Skälen för utredningens förslag

Nuvarande reglering

Som personuppgiftsansvarig är Säkerhetspolisen skyldig att vidta en mängd åtgärder, bl.a. för att säkerställa att personuppgiftsbe- handlingen utförs författningsenligt och att skydda personuppgif- terna. Skyldigheterna regleras dels i personuppgiftslagen, dels i polisdatalagen.

680

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

I 30 och 31 §§ personuppgiftslagen finns det bestämmelser om säkerhetsåtgärder och krav vid anlitande av personuppgiftsbiträden och i 38–40 §§ regleras personuppgiftsombudens uppgifter. I 2 kap. 11 § polisdatalagen föreskrivs att tillgången till personuppgifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter och i 6 kap. 5 § andra stycket föreskrivs att Säkerhetspolisen ska utse ett eller flera personuppgiftsombud. Vidare ska Säkerhetspolisen enligt 2 § polisdataförordningen i vissa situationer samråda med Datainspektionen och Säkerhets- och integritetsskyddsnämnden.

Regleringen i brottsdatalagen

I 3 kap. brottsdatalagen regleras de personuppgiftsansvarigas skyl- digheter. Där ställs krav på olika åtgärder för att säkerställa författ- ningsenlig personuppgiftsbehandling och lämplig säkerhetsnivå. Det föreskrivs också att ett eller flera dataskyddsombud ska utses och det regleras utförligt vilka arbetsuppgifter ombuden ska ha. Det finns också bestämmelser om vad som gäller vid anlitande av personuppgiftsbiträden och vilka skyldigheter sådana biträden har. Vidare ställs det krav på samarbete med tillsynsmyndigheten. Rege- ringen kan meddela föreskrifter om skyldigheten att föra register över behandlingar och skyldigheten att införa interna rutiner för anmälan av överträdelser.

Regleringen bör vara densamma som i brottsdatalagen

Flertalet av de skyldigheter som behöriga myndigheter har enligt brottsdatalagen i egenskap av personuppgiftsansvariga gäller redan för Säkerhetspolisen. Vissa bestämmelser har motsvarigheter i Säkerhetspolisens nuvarande reglering, men är mer detaljerade eller har en något annorlunda utformning i brottsdatalagen. En del be- stämmelser har emellertid ingen motsvarighet i dagens reglering och innebär således nya skyldigheter.

Enligt utredningens mening är huvuddelen av bestämmelserna om personuppgiftsansvarigas skyldigheter i brottsdatalagen av så- dan karaktär att de bör tillämpas av Säkerhetspolisen. Ett flertal av skyldigheterna gäller redan i dag. Mot bakgrund av det anser utred-

681

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

ningen att merparten av bestämmelserna i 3 kap. brottsdatalagen bör ha sin motsvarighet i den nya lagen.

Vilka bestämmelser bör gälla för Säkerhetspolisen?

Bestämmelserna i 3 kap. 2–5 §§ brottsdatalagen som reglerar kraven på tekniska och organisatoriska åtgärder, t.ex. inbyggt dataskydd, dataskydd som standard och loggning, har ingen direkt motsva- righet i dag (se SOU 2017:29 s. 300 f.). Det bör dock i detta avse- ende ställas samma krav på Säkerhetspolisen som på övriga brotts- bekämpande myndigheter. Det bör därför tas in bestämmelser med samma innehåll i den nya lagen.

Eftersom Säkerhetspolisen enligt polisdatalagen är skyldig att se till att tillgången till personuppgifter begränsas till vad varje tjänste- man behöver för att kunna fullgöra sina arbetsuppgifter bör en bestämmelse som motsvarar 3 kap. 6 § brottsdatalagen tas in i den nya lagen.

Säkerhetspolisen är i dag skyldig att i vissa situationer samråda med Datainspektionen och Säkerhets- och integritetsskyddsnämn- den. Polismyndigheten har motsvarande samrådsskyldighet och Kustbevakningen ska i liknande situationer samråda med Datain- spektionen. För Polismyndigheten och Kustbevakningen kommer samrådsskyldigheten att ersättas av regleringen i 3 kap. 7 § brotts- datalagen. För att uppnå enhetlighet för tillsynsmyndigheten bör enligt utredningens mening samrådsskyldigheten för Säkerhetspo- lisen formuleras på samma sätt som i brottsdatalagen. Eftersom samrådsskyldigheten i brottsdatalagen är knuten till skyldigheten att göra konsekvensbedömningar bör även en bestämmelse som föreskriver sådan skyldighet tas in i den nya lagen. Säkerhetspoli- sens skyldighet att samråda med tillsynsmyndigheten kommer häri- genom att förändras något, men utredningen anser att kravet på konsekvensbedömning fyller en viktig funktion ur ett integritets- perspektiv. Utredningen återkommer till frågan om vilken tillsyns- myndighet som Säkerhetspolisen ska samråda med i avsnitt 15.4.2.

I 3 kap. 8 § brottsdatalagen regleras vilka skyddsåtgärder den personuppgiftsansvarige ska vidta. Regleringen motsvarar 31 § per- sonuppgiftslagen och gäller således för Säkerhetspolisen i dag. I brottsdatalagen har skyldigheten dock preciserats genom att det

682

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

anges vad personuppgifterna särskilt ska skyddas mot. En bestäm- melse med motsvarande innehåll bör tas in i den nya lagen.

Det är enligt utredningens mening rimligt att kräva att Säker- hetspolisen i samma utsträckning som andra brottsbekämpande myndigheter ska samarbeta med den myndighet som utövar tillsyn över myndighetens personuppgiftsbehandling. En bestämmelse motsvarande 3 kap. 12 § brottsdatalagen om skyldigheten att sam- arbeta med tillsynsmyndigheten bör därför tas in i den nya lagen.

Liksom i dag bör Säkerhetspolisen också vara skyldig att utse ett eller flera dataskyddsombud och anmäla det till tillsynsmyndig- heten. Dataskyddsombud bör vara anställda vid myndigheten. En bestämmelse om skyldigheten att utse dataskyddsombud bör tas in i den nya lagen. Eftersom dataskyddsombudens arbetsuppgifter bör vara enhetliga bör också bestämmelser motsvarande 3 kap. 14 och 15 §§ brottsdatalagen tas in i den nya lagen. Säkerhetspolisens data- skyddsombud kommer därmed att få en något förändrad roll och några fler arbetsuppgifter (se SOU 2017:29 s. 344 f.)

Bestämmelserna om personuppgiftsbiträden och sådana biträ- dens skyldigheter i 3 kap. 17–20 §§ brottsdatalagen bör för Säker- hetspolisens del utformas på samma sätt. De motsvarar i allt väsentligt vad som redan gäller enligt personuppgiftslagen.

Skyldigheten att föra register över kategorier av behandlingar och skyldigheten att införa interna rutiner för anmälan av överträ- delser bör enligt utredningens mening gälla även för Säkerhetspoli- sen. Det kan regleras i förordning (jfr SOU 2017:29 s. 319 f. och 323 f.). En förteckning över de behandlingar som utförs av myn- digheten förs i dag av personuppgiftsombudet. Den nya ordningen innebär att skyldigheten i stället läggs på myndigheten i egenskap av personuppgiftsansvarig. Skyldigheten att införa interna rutiner för anmälan av överträdelser har ingen motsvarighet i dag.

Det kan finnas behov av att precisera och fylla ut de bestämmel- ser som reglerar Säkerhetspolisens skyldigheter som personupp- giftsansvarig (jfr SOU 2017:29 s. 364 f.). Det kan t.ex. röra sig om dokumentations- eller underrättelseskyldigheter eller bestämmelser som reglerar ett visst förfarande. För att undvika en alltför detalje- rad lagreglering bör sådana bestämmelser tas in i förordning.

683

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

Ingen skyldighet att anmäla personuppgiftsincidenter

I 3 kap. 9–11 §§ brottsdatalagen regleras den personuppgiftsansva- riges skyldigheter vid en personuppgiftsincident. Där föreskrivs bl.a. att sådana incidenter ska anmälas till tillsynsmyndigheten inom viss tid och att den registrerade i vissa fall ska underrättas om incidenten. Enligt 3 kap. 9 § första stycket gäller anmälningsskyl- digheten inte om personuppgiftsincidenten rör nationell säkerhet.

It-incidenter ska som huvudregel anmälas till Myndigheten för samhällsskydd och beredskap. Det framgår av 20 § första stycket förordningen (2015:1052) om krisberedskap och bevakningsansva- riga myndigheters åtgärder vid höjd beredskap. Det gäller dock inte sådana it-incidenter som enligt 10 a § säkerhetsskyddsförordningen (1996:633) ska rapporteras till Säkerhetspolisen eller Försvarsmak- ten. Exempel på sådana incidenter är incidenter i informationssys- tem där hemliga uppgifter som gäller Sveriges säkerhet behandlas eller i informationssystem som särskilt behöver skyddas mot terro- rism. Behovet av att skydda sådan information anses vara så viktigt att endast den myndighet som utövar tillsyn över säkerhetsskyddet ska få ta del av den. Mot bakgrund av det, och då nationell säkerhet ligger utanför direktivets tillämpningsområde, har personuppgifts- incidenter som rör nationell säkerhet undantagits från anmälnings- skyldigheten i brottsdatalagen (se SOU 2017:29 s. 331 f.).

Den nya lagen ska tillämpas vid behandling av personuppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lagförande verksamhet. Personuppgiftsincidenter som inträffar i myndighetens informationssystem och som drabbar personupp- gifter som behandlas med stöd av den nya lagen kommer alltid att röra nationell säkerhet och därmed, enligt brottsdatalagens reg- lering, vara undantagna från anmälningsskyldighet. Det finns där- för inte skäl att i den nya lagen ta in bestämmelser som reglerar anmälan av personuppgiftsincidenter till tillsynsmyndigheten.

684

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

14.15 Enskildas rättigheter

Utredningens förslag: Det ska i den nya lagen tas in bestäm- melser om Säkerhetspolisens skyldighet att

–lämna allmän information till registrerade,

–på begäran lämna besked om personuppgiftsbehandling, och

–på begäran rätta, radera eller begränsa behandlingen av per- sonuppgifter.

Det ska också tas in bestämmelser som reglerar möjligheten att begränsa rätten till information och som anger när avgift får tas ut för informationen.

Föreskrifter som fyller ut och preciserar bestämmelserna om enskildas rättigheter ska tas in i förordning.

Skälen för utredningens förslag

Nuvarande reglering

I 23 och 25–27 §§ personuppgiftslagen, som genom hänvisningar i 2 kap. 2 § och 6 kap. 4 § polisdatalagen ska tillämpas av Säkerhets- polisen, regleras vilken information som ska lämnas till den regist- rerade och när informationsskyldigheten inte gäller. I 23 och 25 §§ regleras vad som gäller om uppgifterna har lämnats av den registre- rade själv och vilken information som den personuppgiftsansvarige då ska lämna. För Säkerhetspolisen görs enligt 2 kap. 2 § tredje stycket polisdatalagen undantag från informationsskyldigheten i 23 § dels vid insamling av personuppgifter genom bilder eller ljud, dels om uppgifterna samlas in i samband med larm och det med hänsyn till omständigheterna inte finns tid att lämna informatio- nen. I 26 § personuppgiftslagen föreskrivs att den personuppgifts- ansvarige är skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande behandlas eller inte. Det anges också vilken informa- tion som i sådana fall ska lämnas. Av 27 § framgår att undantag från informationsskyldigheten gäller vid sekretess och tystnadsplikt.

685

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

I 28 § personuppgiftslagen regleras den personuppgiftsansvari- ges skyldighet att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats på det sätt som föreskrivs i lagen eller föreskrifter som har utfärdats med stöd av den. Bestämmelsen gäller genom nyss nämnda hänvisningar för Säkerhetspolisen.

Regleringen i brottsdatalagen

I 4 kap. 1–3 §§ brottsdatalagen regleras dels vilken allmän informa- tion som ska göras tillgänglig för registrerade, dels vilken person- relaterad information som ska lämnas till den registrerade om det behövs i specifika fall eller om den enskilde begär det.

I 4 kap. 5–7 §§ regleras begränsning av rätten till personrelaterad information. Informationen får bara begränsas för vissa i lagen an- givna syften. Liksom i personuppgiftslagen föreskrivs att informa- tionsskyldigheten inte omfattar personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckningar eller liknande. Om en begäran om information är orimlig eller uppenbart ogrundad får den personuppgiftsansva- rige avslå den.

Rätten till rättelse, radering och begränsning av behandling reg- leras i 4 kap. 9 och 10 §§. Bestämmelserna motsvarar i princip 28 § personuppgiftslagen men är mer detaljerade och anger tydligare när rättelse, radering respektive begränsning ska vidtas.

I 4 kap. 12 § regleras förutsättningarna för att ta ut avgift för personrelaterad information.

Merparten av bestämmelserna bör tillämpas av Säkerhetspolisen

Bestämmelser som reglerar enskildas rättigheter fyller en mycket viktig funktion i dataskyddslagstiftningen. Enligt utredningens mening bör i princip samma krav ställas på Säkerhetspolisen som på andra myndigheter när det gäller enskildas rättigheter. På så sätt blir det lättare för den enskilde att ta tillvara sina rättigheter. Regle- ringen i brottsdatalagen skiljer sig inte i någon större utsträckning från vad som gäller enligt personuppgiftslagen. Enligt utredningens bedömning kan merparten av bestämmelserna i 4 kap. brottsdatala-

686

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

gen utan problem tillämpas av Säkerhetspolisen. Mot den bakgrun- den bör huvuddelen av bestämmelserna i brottsdatalagen som reg- lerar enskildas rättigheter ha sin motsvarighet i den nya lagen.

Vilka bestämmelser bör gälla för Säkerhetspolisen?

Det bör finnas en bestämmelse som reglerar Säkerhetspolisens skyldighet att självmant göra allmän information om myndighetens personuppgiftsbehandling tillgänglig. Det bör också finnas en be- stämmelse som föreskriver att Säkerhetspolisen ska lämna skriftligt besked till den som begär det om personuppgifter som rör honom eller henne behandlas, s.k. registerutdrag. Bestämmelserna bör for- muleras på samma sätt som motsvarande bestämmelser i brotts- datalagen. En närmare genomgång av vilken information det är fråga om finns i delbetänkandet (se SOU 2017:29 s. 377 f. och 381 f.). Brottsdatalagen föreskriver att behöriga myndigheter ska informera om möjligheten att lämna in klagomål till tillsynsmyn- digheten och kontaktuppgifter till den, eftersom direktivet kräver det och har en särskild reglering för handläggningen av klagomål. Utredningen föreslår ingen motsvarighet till den regleringen i den nya lagen. Säkerhetspolisens informationsskyldighet bör därför inte omfatta sådana uppgifter.

Sådan allmän information som ska göras tillgänglig får enligt brottsdatalagen inte begränsas med hänsyn till sekretess utan ska alltid finnas tillgänglig för de registrerade. Det rör sig om så allmän information att det enligt utredningens mening inte bör utgöra något problem för Säkerhetspolisen att leva upp till kraven. Reg- leringen i den nya lagen bör mot den bakgrunden utformas på samma sätt som i brottsdatalagen.

Eftersom hantering av frågor som rör nationell säkerhet är av mycket känslig natur bör det inte ställas krav på att Säkerhetspo- lisen självmant ska lämna ut information i andra situationer än de tidigare nämnda. Någon bestämmelse motsvarande 4 kap. 2 § brottsdatalagen bör därför inte tas in i den nya lagen. Eftersom det inte förekommer automatiserade beslut i Säkerhetspolisens verk- samhet behöver inte heller information om sådana beslut regleras.

Säkerhetspolisens möjlighet att begränsa rätten till information bör också regleras i den nya lagen. Till skillnad från vad som gäller

687

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

enligt brottsdatalagen bör sådan begränsning dock inte enbart få göras med hänsyn till vissa angivna intressen. Det kravet ställs upp i direktivet men bör inte gälla för Säkerhetspolisen. Regleringen bör i stället utformas med 27 § personuppgiftslagen som mönster. Be- stämmelserna om begränsning av rätten till information bör i övrigt formuleras på samma sätt som i 4 kap. brottsdatalagen.

Bestämmelser som reglerar den enskildes rätt till rättelse, rade- ring och begränsning av behandling bör också finnas i den nya lagen. De bör formuleras på samma sätt som 4 kap. 9–11 §§ brotts- datalagen. Regleringen kommer således, liksom för övriga brotts- bekämpande myndigheter, att bli mer preciserad än i dag. Innebör- den är dock i stort sett densamma. Säkerhetspolisen bör också få avgöra vilken åtgärd som ska vidtas med anledning av en begäran om rättelse, radering eller begränsning av behandlingen.

På samma sätt som för övriga myndigheter bör den information som Säkerhetspolisen lämnar som huvudregel vara kostnadsfri. En bestämmelse som anger det bör tas in i den nya lagen. Den bör formuleras på samma sätt som 4 kap. 12 § brottsdatalagen. Säker- hetspolisen ges då möjlighet att ta ut avgift för personrelaterad information om sådan begärs oftare än en gång per år.

Det kan finnas behov av att på olika sätt kunna precisera och fylla ut bestämmelserna om enskildas rättigheter. Sådana bestäm- melser bör tas in i förordning.

14.16 Sanktioner, skadestånd och rättsmedel

14.16.1 Ingen straffbestämmelse i den nya lagen

Utredningens bedömning: Överträdelse av bestämmelserna om personuppgiftsbehandling bör inte vara straffsanktionerade, ut- över vad som gäller enligt brottsbalken.

Skälen för utredningens bedömning: Bestämmelsen om straffan- svar i 49 § personuppgiftslagen gäller inte för Säkerhetspolisen. Skälet till det är enligt förarbetena att det i brottsbalken föreskrivs straffrättsligt ansvar för otillåten hantering av personuppgifter, t.ex. tjänstefel enligt 20 kap. 1 § brottsbalken och dataintrång enligt 4 kap. 9 c § brottsbalken. Därför ansågs det inte vara aktuellt att

688

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

tillämpa straffbestämmelsen i personuppgiftslagen mot någon an- ställd inom polisen (se prop. 2009/10:85 s. 91).

Någon straffbestämmelse föreslås inte heller i brottsdatalagen. Som framgår av delbetänkandet anser utredningen att en krimina- lisering motsvarande 49 § personuppgiftslagen inte skulle vara en tillräckligt effektiv sanktion, eftersom den i huvudsak skulle träffa andra än personuppgiftsansvariga och personuppgiftsbiträden (se SOU 2017:29 s. 495 f.).

De skäl mot en straffbestämmelse som framförs i förarbetena till polisdatalagen och i delbetänkandet gör sig gällande även för Säkerhetspolisen. Eftersom Säkerhetspolisens behandling av per- sonuppgifter enligt polisdatalagen inte är straffsanktionerad och någon straffbestämmelse inte heller föreslås i brottsdatalagen bör någon sådan bestämmelse inte tas in i den nya lagen.

14.16.2 Sanktionsavgift bör inte få tas ut

Utredningens bedömning: Det bör inte tas in bestämmelser om sanktionsavgift i den nya lagen.

Skälen för utredningens bedömning

Dagens sanktionssystem

Vid sidan om reglerna om straffansvar i 49 § personuppgiftslagen finns det i 44 och 45 §§ bestämmelser som ger tillsynsmyndigheten rätt att vid vite förbjuda behandling på annat sätt än genom lagring. Vidare får tillsynsmyndigheten enligt 47 § hos domstol ansöka om att personuppgifter som behandlats på olagligt sätt ska utplånas. Regleringen i 44, 45 och 47 §§ gäller för Säkerhetspolisen genom hänvisning i 2 kap. 2 § och 6 kap. 4 § polisdatalagen. Av 2 kap. 2 § fjärde stycket polisdatalagen framgår emellertid att förbud enligt 44 eller 45 § personuppgiftslagen inte får förenas med vite. I förarbe- tena motiveras undantaget med att vite inte bör användas mellan statliga myndigheter (se prop. 2009/10:85 s. 90).

689

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

Ett nytt sanktionssystem i brottsdatalagen

Enligt dataskyddsdirektivet ska medlemsstaterna föreskriva sank- tioner för överträdelser av de bestämmelser som genomför direk- tivet. Sanktionerna ska vara effektiva, proportionerliga och av- skräckande. Utredningen föreslår att det i brottsdatalagen införs en ny administrativ sanktion – sanktionsavgift. Som framgår av delbe- tänkandet ska sanktionsavgift kunna tas ut av personuppgiftsan- svariga och personuppgiftsbiträden vid överträdelser av vissa be- stämmelser i brottsdatalagen (se SOU 2017:29 s. 496 f.). Enligt 6 kap. 6 § brottsdatalagen ska tillsynsmyndigheten fatta beslut om sanktionsavgift (se SOU 2017:29 s. 520 f.). I avsnitt 5.4.2 föreslår utredningen att sanktionsavgift ska kunna tas ut av den personupp- giftsansvarige även vid överträdelser av vissa bestämmelser i regis- terförfattningarna.

Sanktionsavgift bör inte kunna tas ut av Säkerhetspolisen

Frågan är om det bör införas ett sanktionssystem som motsvarar det i brottsdatalagen för Säkerhetspolisen. Säkerhetspolisen ska tillämpa brottsdatalagen och polisens brottsdatalag i vissa fall (se avsnitt 7.2.1. Myndigheten kommer då att omfattas av sanktions- systemet i de lagarna. Även dataskyddsförordningen föreskriver att administrativa sanktionsavgifter ska kunna tas ut vid överträdelse av bestämmelser om personuppgiftsbehandling. Det bör därför övervägas om sanktionsavgift bör kunna tas ut vid överträdelse av bestämmelser i den nya lagen.

Huvudskälet till att utredningen föreslår att sanktionsavgift ska kunna tas ut av behöriga myndigheter är att motsvarande sank- tionssystem gäller enligt dataskyddsförordningen. Eftersom de be- höriga myndigheterna kommer att tillämpa båda regelverken finns det fördelar med en enhetlig reglering. För flera av myndigheterna kommer sannolikt en större del av personuppgiftsbehandlingen att regleras av dataskyddsförordningen. Det gäller Skatteverket, Tull- verket och domstolarna. Även Polismyndigheten kommer i bety- dande utsträckning att tillämpa dataskyddsförordningen. Det är då svårt att motivera att helt olika sanktionssystem ska gälla beroende på om brottsdatalagen eller förordningen är tillämplig vid överträ-

690

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

delser som är likartade och som därför kan antas motivera samma sanktion (se SOU 2017:29 s. 492).

Säkerhetspolisen kommer att tillämpa dataskyddsförordningen i en begränsad del av verksamheten som är av intern och administra- tiv karaktär. Det är också bara i speciella fall som myndigheten kommer att tillämpa brottsdatalagen och polisens brottsdatalag. Skälen för ett enhetligt sanktionssystem gör sig därför inte gällande på samma sätt i Säkerhetspolisens verksamhet. Eftersom Säkerhets- polisens verksamhet som rör nationell säkerhet inte omfattas av vare sig dataskyddsdirektivets eller dataskyddsförordningens till- lämpningsområde är lagstiftaren inte heller bunden av de krav på sanktioner som ställs i dessa rättsakter.

Dataskyddskonventionen, som även omfattar personuppgiftsbe- handling som rör nationell säkerhet, ställer krav på att det ska fin- nas lämpliga sanktioner för överträdelser av bestämmelser om data- skydd. I konventionen anges dock inte vilka krav som ställs på sådana sanktioner. Konventionens krav på sanktioner är därmed enligt utredningens bedömning inte lika långtgående som data- skyddsdirektivets och dataskyddsförordningens krav. Den nuva- rande regleringen ger möjlighet till ersättning genom skadestånd. Vidare kan straffrättsligt ansvar utkrävas enligt brottsbalken. Det har ansetts att rätten till skadestånd tillsammans med tillsynsmyn- dighetens befogenheter uppfyller kraven i konventionen på lämp- liga sanktioner. Utredningen har ingen annan uppfattning.

I avsnitt 14.16.3 föreslår utredningen att Säkerhetspolisen ska kunna åläggas skadestånd vid felaktig personuppgiftsbehandling. I kapitel 15 diskuterar utredningen hur tillsynen över Säkerhetspoli- sens personuppgiftsbehandling bör utövas och vilka befogenheter tillsynsmyndigheten bör ha. Sanktionssystemet i den nya lagen kommer att motsvara det som gäller i dag.

Enligt utredningens mening är de sanktionsmöjligheter som finns i dag tillräckliga. Med beaktande av det, och då skälen för ett enhetligt sanktionssystem inte har samma styrka när det gäller be- handling av personuppgifter som rör nationell säkerhet, anser ut- redningen att det inte bör införas någon möjlighet att ta ut sank- tionsavgift vid överträdelse av bestämmelser i den nya lagen.

691

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

14.16.3 Skadestånd

Utredningens förslag: Säkerhetspolisen ska ersätta den regist- rerade för den skada och kränkning av den personliga integrite- ten som behandling av personuppgifter i strid med den nya lagen, eller föreskrifter som har meddelats i anslutning till den, har orsakat.

Skälen för utredningens förslag: Enligt 48 § personuppgiftslagen ska den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som behandling av personuppgifter i strid med lagen har orsakat. Ersättningsskyldig- heten kan jämkas om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. I polisdatalagen hänvisas till 48 § personuppgiftslagen. Säkerhetspolisens skadeståndsansvar om- fattar därmed överträdelser av de bestämmelser i polisdatalagen och personuppgiftslagen som gäller för myndigheten.

I 7 kap. 1 § brottsdatalagen finns en bestämmelse som motsvarar 48 § första stycket personuppgiftslagen. Eftersom det inte finns någon exculperingsbestämmelse i direktivet har utredningen dock inte ansett det möjligt att öppna möjlighet till jämkning i brotts- datalagen (se SOU 2017:29 s. 535 f.).

Det bör i den nya lagen finnas en bestämmelse som reglerar Säkerhetspolisens skadeståndsansvar. Den bör formuleras på samma sätt som i brottsdatalagen. Bestämmelsen skulle kunna före- skriva att skadeståndsersättning får jämkas, eftersom regleringen inte behöver följa direktivets bestämmelser. Det underlättar emel- lertid både för tillämparen och för den enskilde om regleringen i den delen stämmer överens med övriga registerförfattningar på området. Intresset av en enhetlig personuppgiftsreglering väger enligt utredningen tyngre än Säkerhetspolisens behov av att kunna få jämkning av eventuella skadeståndsanspråk. Den nya lagen bör därför inte innehålla någon jämkningsbestämmelse.

Av de skäl som anges i avsnitt 5.4.3 bör Justitiekanslern pröva frågor om skadeståndsskyldighet för staten för felaktig personupp- giftsbehandling vid tillämpning av den nya lagen. Ett tillägg som klargör det bör göras i 3 § förordningen om handläggning av skade- ståndsanspråk mot staten.

692

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

14.16.4 Överklagande

Utredningens förslag: Beslut i fråga om rättelse, komplettering, radering eller begränsning av behandlingen som har meddelats på begäran av den registrerade, ska kunna överklagas till allmän förvaltningsdomstol. Detsamma gäller beslut att inte lämna in- formation på begäran av en registrerad eller att ta ut avgift för att lämna sådan information. Vid överklagande till kammarrät- ten ska det krävas prövningstillstånd.

Några andra beslut än de som uttryckligen anges i lagen ska inte få överklagas.

Skälen för utredningens förslag: I 52 § första stycket personupp- giftslagen, som polisdatalagen hänvisar till, anges att vissa beslut som fattas av den personuppgiftsansvarige får överklagas till allmän förvaltningsdomstol. Det gäller beslut om information enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om infor- mation enligt 29 § andra stycket och om upplysningar enligt 42 §. Av 53 § framgår att andra beslut som en personuppgiftsansvarig myndighet fattat enligt lagen inte får överklagas och att prövnings- tillstånd krävs vid överklagande till kammarrätten.

I 7 kap. 2 § brottsdatalagen föreskrivs att beslut som har med- delats på begäran av den registrerade i fråga om rättelse, komplette- ring, radering eller begränsning av behandlingen får överklagas till allmän förvaltningsdomstol. Detsamma gäller beslut att inte lämna information på begäran av en registrerad, att ta ut avgift för att lämna sådan information eller att inte medge omprövning av ett automatiserat beslut. Vid överklagande till kammarrätten krävs det prövningstillstånd. Av 7 kap. 5 § framgår att andra beslut inte får överklagas. Bestämmelserna i brottsdatalagen om överklagande av en personuppgiftsansvarig myndighets beslut har således i princip samma innehåll som överklagandebestämmelserna i personupp- giftslagen.

Bestämmelser om överklagande som motsvarar dem i brotts- datalagen bör tas in i den nya lagen. Eftersom det inte förekommer några automatiserade beslut i Säkerhetspolisens verksamhet behövs dock inte någon bestämmelse om överklagande av sådana beslut. På samma sätt som i brottsdatalagen bör det i lagen anges att några andra beslut än de som räknas upp inte ska få överklagas.

693

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

Överklagande av tillsynsmyndighetens beslut behandlas i av- snitt 15.6.2.

14.17Överföring av personuppgifter till tredjeland och internationella organisationer

14.17.1 Utgångspunkter

Utredningens bedömning: Överföring av personuppgifter till tredjeland och internationella organisationer bör regleras i den nya lagen. Regleringen bör i huvudsak motsvara den som finns i brottsdatalagen.

Utredningens förslag: Tredjeland ska definieras som en stat som inte är medlem i Europeiska unionen eller Europeiska eko- nomiska samarbetsområdet och som inte heller på grund av av- tal med Europeiska unionen har en motsvarande ställning.

Skälen för utredningens bedömning och förslag

Nuvarande reglering

I 33–35 §§ personuppgiftslagen finns det bestämmelser om överfö- ring av personuppgifter till tredjeland. De gäller genom hänvis- ningar i 2 kap. 2 § och 6 kap. 4 § polisdatalagen för Säkerhets- polisen. Enligt 33 § personuppgiftslagen är det förbjudet att till tredjeland föra över personuppgifter som är under behandling, om landet inte har en adekvat skyddsnivå för personuppgifter. Förbu- det gäller även överföring av personuppgifter för behandling där. Trots avsaknad av adekvat skyddsnivå är, enligt 34 § personupp- giftslagen, överföring av personuppgifter till tredjeland tillåten om den enskilde har lämnat sitt samtycke till överföringen eller om överföringen är nödvändig i vissa särskilt uppräknade fall. Paragra- fen reglerar således vissa undantag från överföringsförbudet i 33 §. Ett viktigt undantag är att personuppgifter får överföras för an- vändning enbart i en stat som har anslutit sig till dataskyddskon- ventionen. Enligt 35 § personuppgiftslagen kan regeringen före- skriva ytterligare undantag från förbudet, bl.a. om det behövs med

694

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

hänsyn till ett viktigt allmänt intresse. Sådana föreskrifter finns i 12–14 §§ personuppgiftsförordningen (1998:1191).

Regleringen i brottsdatalagen

Överföring av personuppgifter till tredjeland och internationella organisationer regleras i 8 kap. brottsdatalagen. Av 8 kap. 1 § fram- går att personuppgifter får överföras till ett tredjeland eller en internationell organisation om överföringen är nödvändig för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätt- hålla allmän ordning och säkerhet. Överföringen ska riktas till en behörig myndighet i ett tredjeland eller till en internationell organi- sation som är en behörig myndighet. Personuppgifter får dessutom överföras endast om Europeiska kommissionen (i fortsättningen kommissionen) har antagit beslut om adekvat skyddsnivå, om per- sonuppgifterna omfattas av tillräckliga skyddsåtgärder hos adressa- ten eller om ett undantag för särskilda situationer är tillämpligt. I 8 kap. 2 § föreskrivs att personuppgifter som en svensk myndighet har fått från en annan medlemsstat får överföras till ett tredjeland eller en internationell organisation endast om den medlemsstat som lämnat uppgifterna till en svensk myndighet har medgett att de överförs.

I 8 kap. 3–5 §§ brottsdatalagen regleras de tillåtna grunderna för överföring närmare. Det finns också bestämmelser om vidareöver- föring (6 och 7 §§), om överföring till andra än behöriga myndig- heter (8 §) och om användningsbegränsningar (9 och 10 §§).

Överföring av personuppgifter till tredjeland och internationella organisationer ska regleras

Informationsutbyte är en central del av Säkerhetspolisens samar- bete med andra stater. Samarbetet berör stater både inom och utan- för EU. På samma sätt som på många andra områden är samarbetet med övriga nordiska länder särskilt nära. Eftersom Säkerhetspoli- sens behandling av personuppgifter som rör nationell säkerhet inte omfattas av EU-rätten, behöver regleringen om överföring av per- sonuppgifter till andra länder inte göra skillnad mellan överföring

695

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

till medlemsstater i EU och tredjeland. I förarbetena till polis- datalagen ansågs emellertid att bestämmelserna om överföring av personuppgifter till tredjeland borde gälla även för Säkerhetspoli- sen (se prop. 2009/10:85 s. 88 och 252 f.). Den nuvarande regle- ringen, som är väl inarbetad, är därmed uppbyggd på det sättet.

En reglering som innebär högre krav för överföringar till stater som inte är medlemmar i EU eller anslutna till EES-samarbetet är viktig ur integritetssynpunkt, eftersom det inte kan garanteras samma skydd för personuppgifterna i sådana stater. I 8 kap. brotts- datalagen ställs det högre krav när personuppgifter ska överföras till tredjeland och internationella organisationer. Enligt utredning- ens mening bör i huvudsak samma krav gälla för Säkerhetspolisen. Det finns därför inte skäl att nu välja en annan lösning beträffande överföring av personuppgifter till tredjeland och internationella organisationer. Villkoren för sådana överföringar bör således regle- ras i den nya lagen.

Utgångspunkten bör vara att Säkerhetspolisen ska kunna över- föra personuppgifter till tredjeland och internationella organisatio- ner i samma utsträckning som i dag. Bestämmelserna i brottsdata- lagen bör tas som utgångspunkt. Regleringen av överföringar till tredjeland och internationella organisationer kommer därmed att bli betydligt utförligare men ger samtidigt större möjligheter att överföra personuppgifter till sådana mottagare än i dag.

Regleringen för Säkerhetspolisen bör dock anpassas till att det internationella samarbetet mellan underrättelse- och säkerhetstjän- ster har en annan prägel än det allt närmare samarbetet mellan brottsbekämpande myndigheter inom EU. Mot den bakgrunden bör lagtexten inte byggas med utgångspunkt i uttrycket medlems- stat utan stat.

Definitionen av vad som är tredjeland bör i sak vara densamma som i brottsdatalagen men formuleras annorlunda. Med tredjeland bör avses en stat som inte är medlem i EU eller EES eller som på grund av avtal har motsvarande ställning. Definitionen innebär att EU:s medlemsstater, Island, Norge, Liechtenstein och Schweiz inte är tredjeland i lagens mening.

696

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

14.17.2 Grundläggande förutsättningar för överföring

Utredningens förslag: Säkerhetspolisen ska få överföra person- uppgifter som behandlas till ett tredjeland eller en internationell organisation om överföringen riktas till en brottsbekämpande myndighet, en underrättelse- eller säkerhetstjänst eller en inter- nationell organisation med brottsbekämpande uppdrag. Person- uppgifterna ska dock endast få överföras om kommissionen har antagit ett beslut om adekvat skyddsnivå, om personuppgifterna annars omfattas av tillräckliga skyddsåtgärder eller om ett undantag för särskilda situationer är tillämpligt.

Regleringen ska gälla även vid överföring av personuppgifter för behandling i ett tredjeland eller av en internationell organi- sation.

Personuppgifter som Säkerhetspolisen har fått från en annan stat ska få överföras till ett tredjeland eller en internationell organisation endast om den stat som lämnat uppgifterna till Säkerhetspolisen har medgett att de överförs.

Skälen för utredningens förslag

De grundläggande förutsättningarna för överföring ska anges

Utgångspunkten i den nya lagen bör, liksom i brottsdatalagen, vara att Säkerhetspolisen ska få överföra personuppgifter till ett tredje- land eller en internationell organisation om vissa villkor är upp- fyllda. En bestämmelse som anger de grundläggande förutsättning- arna för överföring bör tas in i den nya lagen.

Enligt direktivet får personuppgifter överföras endast om det är nödvändigt för vissa angivna ändamål och överföringen görs till någon som är behörig myndighet. Bestämmelsen i brottsdatalagen har utformats med det som utgångspunkt. I personuppgiftslagen ställs inte några sådana krav. Det går inte heller att knyta Säker- hetspolisens reglering till behöriga myndigheter, eftersom nationell säkerhet undantagits från direktivets tillämpningsområde. Regle- ringen i den nya lagen bör utformas med brottsdatalagen som mön- ster, men vissa frågor kräver en annan lösning.

Säkerhetspolisen har i motsats till andra brottsbekämpande myndigheter inte några internationella åtaganden som tvingar myn-

697

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

digheten att lämna viss information. Säkerhetspolisen råder därmed i större utsträckning över vilken information som lämnas, på vilket sätt det görs och vilka villkor som ställs för den andra statens användning av informationen. Uppgiftsutbyte sker huvudsakligen inom ramen för överenskommelser och bygger på ömsesidigt för- troende. Mot den bakgrunden bör någon motsvarighet till kravet i brottsdatalagen på att överföringen ska vara nödvändig för vissa angivna ändamål inte finnas.

Frågan är om regleringen, på samma sätt som i brottsdatalagen, bör ta sikte på överföring till vissa mottagare. En sådan reglering ger större förutsebarhet och bättre integritetsskydd och bör därför väljas framför en mer generell reglering. I den grundläggande be- stämmelsen bör det därför anges att överföringen ska riktas till en brottsbekämpande myndighet eller en underrättelse- eller säker- hetstjänst i tredjeland eller till en internationell organisation med brottsbekämpande uppdrag. Det tillgodoser enligt utredningens mening Säkerhetspolisens behov av att kunna överföra personupp- gifter i syfte att bistå myndigheter i andra stater. Säkerhetspolisens möjlighet att i vissa fall överföra personuppgifter till andra aktörer behandlas i avsnitt 14.17.4.

Liksom i brottsdatalagen bör det ställas krav på att viss skydds- nivå ska vara säkerställd. Personuppgifterna bör endast få överföras om det finns beslut om adekvat skyddsnivå, om personuppgifterna omfattas av tillräckliga skyddsåtgärder hos adressaten eller om ett undantag för särskilda situationer är tillämpligt. Syftet med regle- ringen är att den skyddsnivå som säkerställs genom dataskydds- direktivet och som gäller inom EU som utgångpunkt ska gälla även när personuppgifter överförs till ett tredjeland eller en internatio- nell organisation (se SOU 2017:29 s. 585 f.). Enligt utredningens mening är det rimligt att samma krav ställs på Säkerhetspolisen även om myndighetens verksamhet inte omfattas av direktivets till- lämpningsområde. Liknande krav på skydd ställs i dag i personupp- giftslagen och personuppgiftsförordningen.

698

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

Överföring av uppgifter från andra stater ska vara medgiven

I 8 kap. 2 § brottsdatalagen föreskrivs att en överföring av person- uppgifter som härrör från en annan medlemsstat ska vara medgi- ven. Något sådant krav gäller inte för Säkerhetspolisen i dag.

För att skydda underrättelseinformation tillämpar Säkerhetspo- lisen en s.k. tredjepartsregel i det internationella samarbetet med utländska underrättelse- och säkerhetstjänster. Den innebär att uppgifter som myndigheten har fått från en utländsk samarbets- partner inte får föras vidare utan uttryckligt samtycke. Regeln är central i Säkerhetspolisens verksamhet och utgör grunden för ett effektivt underrättelseutbyte. Den har tillkommit i syfte att skapa förtroende mellan underrättelse- och säkerhetstjänsterna, eftersom det finns ett stort behov av att skydda uppgifter om bl.a. källor och arbetsmetoder. Principen att uppgifter som kommer från en annan stat inte får föras vidare till ett tredjeland eller en internationell organisation utan medgivande tillämpas således redan i dag. Efter- som det i brottsdatalagen ställs krav på medgivande vid överföring till tredjeland och internationella organisationer bör det enligt ut- redningens mening införas en sådan bestämmelse i den nya lagen. Den bör återspegla den tredjepartsregel som redan tillämpas och omfatta information från alla stater och oberoende vilken myndig- het som lämnat informationen. Den bör således ha ett vidare till- lämpningsområde än motsvarande bestämmelse i brottsdatalagen.

Eftersom Säkerhetspolisen aldrig lämnar ut uppgifter som myn- digheten fått från en annan medlemsstat utan medgivande från den staten bör något undantag från kravet på medgivande av det slag som finns i 8 kap. 2 § andra stycket brottsdatalagen inte tas in i den nya lagen.

14.17.3 Tillåtna grunder för överföring

Utredningens förslag: Det ska finnas bestämmelser om tillåtna grunder för överföring i den nya lagen. I första hand ska det krävas beslut om adekvat skyddsnivå och i andra hand tillräck- liga skyddsåtgärder. Först i tredje hand ska personuppgifter få överföras i särskilda situationer.

699

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

Skälen för utredningens förslag

Viss skyddsnivå ska vara säkerställd

Som framgår av avsnitt 14.17.2 bör personuppgifter få överföras till tredjeland och internationella organisationer endast om en viss nivå på skyddet för personuppgifter kan säkerställas. Det innebär att överföringen bör omfattas av i första hand ett beslut om adekvat skyddsnivå, i andra hand tillräckliga skyddsåtgärder och i tredje hand ett undantag för särskilda situationer. Bestämmelser om dessa villkor bör tas in i den nya lagen och utformas på i huvudsak samma sätt som i brottsdatalagen.

Det kan anmärkas att Säkerhetspolisen naturligtvis aldrig är skyldig att överföra personuppgifter till ett tredjeland eller en internationell organisation.

Beslut om adekvat skyddsnivå

Personuppgifter bör som huvudregel få överföras om det tredje- landet eller den internationella organisationen omfattas av beslut från kommissionen om att landet eller organisationen har adekvat skyddsnivå (se SOU 2017:29 s. 589 f.). Det motsvarar vad som gäller i dag enligt 13 § första stycket 1 personuppgiftsförordningen. Även om Säkerhetspolisens verksamhet som rör nationell säkerhet inte omfattas av unionsrätten bör kommissionens beslut om ade- kvat skyddsnivå vara vägledande för myndigheten. Finns det inget beslut om adekvat skyddsnivå får Säkerhetspolisen i stället pröva om det finns tillräckliga skyddsåtgärder eller om det är fråga om en sådan undantagssituation som anges i lagen.

Tillräckliga skyddsåtgärder

Om det inte finns ett beslut om adekvat skyddsnivå, bör person- uppgifter ändå få överföras till ett tredjeland eller en internationell organisation om skyddsåtgärder för personuppgifter har fastställts i ett avtal som ger tillräckliga garantier till skydd för registrerades rättigheter, eller om den myndighet eller organisation som uppgif- terna ska överföras till på annat sätt garanterar tillräckligt skydd för dem (jfr SOU 2017:29 s. 591 f.).

700

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

Tillräckliga skyddsåtgärder fastställs främst genom att den mot- tagande myndigheten eller organisationen garanterar tillräckligt skydd för uppgifterna. Informationsutbyte mellan underrättelse- och säkerhetstjänster bygger i stor utsträckning på förtroende. Om en underrättelse- eller säkerhetstjänst missbrukar förtroendet blir konsekvensen att den inte längre kommer att få del av relevant information i samma utsträckning som andra. Det har en självreg- lerande effekt genom att den mottagande underrättelse- och säker- hetstjänsten måste garantera tillräckligt skydd för uppgifterna för att kunna få del av dem.

Överföring i särskilda situationer

I enskilda fall kan det, trots bristen på skydd för personuppgifter, vara angeläget att kunna föra över vissa personuppgifter till ett tredjeland eller en internationell organisation. Så kan t.ex. vara fal- let om Säkerhetspolisen har information om att en misstänkt terro- rist befinner sig här i landet men personen identifieras först när han eller hon har rest till ett tredjeland och kan antas komma att begå allvarliga brott där. Säkerhetspolisen har även i vissa fall behov av att kunna utbyta information med underrättelse- och säkerhets- tjänster i tredjeländer som har svårt att garantera tillräckligt skydd för personuppgifterna. Det kan gälla vissa särskilda ärenden, situa- tioner eller tidsperioder.

Om det varken finns beslut om adekvat skyddsnivå eller till- räckliga skyddsåtgärder garanteras bör personuppgifter få överföras till ett tredjeland eller en internationell organisation endast om överföringen är nödvändig i vissa särskilda undantagssituationer. Samma undantagssituationer som i brottsdatalagen bör gälla för Säkerhetspolisen. Utredningen redogör närmare för undantags- situationerna i delbetänkandet (se SOU 2017:29 s. 595 f.). När det gäller undantag för myndigheters intresse i enskilda fall bör be- stämmelsen anpassas till Säkerhetspolisens verksamhet. Överfö- ringen bör vara nödvändig för att i ett enskilt fall kunna förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott.

Det bör, på samma sätt som i brottsdatalagen, ställas krav på en intresseavvägning. Personuppgifter bör inte få överföras till ett

701

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

tredjeland eller en internationell organisation om den registrerades intresse av skydd mot kränkning av grundläggande fri- och rättig- heter väger tyngre än det allmännas intresse av att överföringen görs i det enskilda fallet för ett myndighetsintresse eller för att kunna fastslå, göra gällande eller försvara ett rättsligt anspråk.

14.17.4 Överföring till andra mottagare

Utredningens förslag: Säkerhetspolisen ska i ett enskilt fall få överföra personuppgifter till andra mottagare i ett tredjeland än brottsbekämpande myndigheter och underrättelse- och säker- hetstjänster. En sådan överföring ska få göras endast om det är absolut nödvändigt för att Säkerhetspolisen ska kunna utföra vissa arbetsuppgifter och det skulle vara ineffektivt eller olämp- ligt att överföra personuppgifterna till en brottsbekämpande myndighet eller en underrättelse- eller säkerhetstjänst i det tredjelandet.

Sådana överföringar ska inte få göras om den registrerades intresse av skydd mot kränkning av grundläggande fri- och rät- tigheter väger tyngre än det allmännas intresse av att överfö- ringen görs.

Skälen för utredningens förslag: Regleringen i personuppgiftsla- gen gör ingen skillnad mellan myndigheter och andra mottagare när det gäller överföringar till tredjeland. Säkerhetspolisen kan således enligt den nuvarande regleringen överföra personuppgifter både till myndigheter, andra aktörer och enskilda i tredjeländer om villko- ren i övrigt är uppfyllda.

I delbetänkandet redogör utredningen för övriga myndigheters behov av att kunna överföra personuppgifter till andra än behöriga myndigheter i tredjeland (se SOU 2017:29 s. 613 f.). I 8 kap. 8 § brottsdatalagen regleras överföringar till andra än behöriga myn- digheter i tredjeland. Sådana överföringar får göras om vissa villkor är uppfyllda. Säkerhetspolisen har samma behov som övriga brotts- bekämpande myndigheter att i vissa fall kunna överföra personupp- gifter till andra mottagare än brottsbekämpande myndigheter eller underrättelse- eller säkerhetstjänster i ett tredjeland. En liknande bestämmelse bör därför tas in i den nya lagen.

702

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

Enligt 8 kap. 8 § brottsdatalagen ska den svenska myndigheten informera den som tar emot personuppgifter om de specifika ända- mål för vilka uppgifterna får behandlas. Ytterligare informations- skyldighet föreskrivs i 7 kap. 2 § brottsdataförordningen. Skyldig- heterna har sin grund i direktivet och har ingen motsvarighet i dag. Frågan är om de bör gälla för Säkerhetspolisen.

Det finns situationer där det inte är lämpligt att Säkerhetspoli- sen avslöjar att det är myndigheten som överför viss information. Så kan exempelvis vara fallet när Säkerhetspolisen gör sökningar i vissa utländska databaser som innehåller uppgifter om t.ex. fastig- heter eller bolag eller använder liknande tjänster. Sådana sökningar innebär en överföring av personuppgifter till den aktör som ansva- rar för databasen eller tjänsten. Säkerhetspolisen kan då i vissa fall behöva dölja att det är myndigheten som gör sökningen. Syftet med informationsskyldigheten är att kunna begränsa den fortsatta användningen av personuppgifterna. Det kan emellertid göras på andra sätt, som inte riskerar att äventyra verksamheten. Något krav på att Säkerhetspolisen alltid ska informera den som tar emot upp- gifterna om för vilka ändamål uppgifterna får behandlas eller in- formera behörig myndighet på det sätt som anges i 7 kap. 2 § brottsdataförordningen bör därför inte införas.

Säkerhetspolisen bör alltså i ett enskilt fall få överföra person- uppgifter till en mottagare som inte är en brottsbekämpande myn- dighet eller en underrättelse- eller säkerhetstjänst i ett tredjeland om överföringen är absolut nödvändig för att Säkerhetspolisen ska kunna utföra vissa arbetsuppgifter inom lagens tillämpningsområde och det skulle vara ineffektivt eller olämpligt att överföra person- uppgifterna till en brottsbekämpande myndighet eller en under- rättelse- eller säkerhetstjänst i det tredjelandet. Utredningen redo- gör närmare för innebörden av dessa villkor i delbetänkandet (se SOU 2017:29 s. 611 f.).

På samma sätt som i brottsdatalagen bör det föreskrivas att en intresseavvägning ska göras vid överföringar av detta slag.

703

Säkerhetspolisens behandling av personuppgifter

SOU 2017:74

14.17.5 Villkor för användningen av personuppgifter

Utredningens förslag: Säkerhetspolisen ska kunna ställa villkor för användningen av personuppgifter.

Skälen för utredningens förslag

Villkor som ställs upp av utländska myndigheter eller organ

I 8 kap. 9 § brottsdatalagen föreskrivs att en svensk behörig myn- dighet som har fått personuppgifter från en annan stat ska följa de villkor för användningen av personuppgifterna som ställs upp i en överenskommelse som har träffats med den som har lämnat upp- gifterna (se SOU 2017:29 s. 618 f.). Som tidigare nämnts är sådana villkor viktiga i Säkerhetspolisens internationella samarbete. En motsvarande bestämmelse bör därför tas in i den nya lagen. Villkor av det slaget ska följas oavsett vad som annars gäller.

Villkor när Säkerhetspolisen överför personuppgifter

Som utredningen konstaterar i delbetänkandet finns det, när en svensk myndighet överför personuppgifter till ett tredjeland eller en internationell organisation, ibland skäl att ställa villkor som be- gränsar användningen av uppgifterna, t.ex. för vilket ändamål och hur länge de får behandlas. Att personuppgifterna förses med vill- kor för användningen kan vara en förutsättning för att det ska anses vara lämpligt att överföra dem (se SOU 2017:29 s. 619).

I flera lagar på det brottsbekämpande området finns det be- stämmelser om att svenska myndigheter under vissa förutsättningar får ställa upp villkor som begränsar möjligheten att använda upp- gifter som lämnas till en annan stat (se SOU 2017:29 s. 620). Även i brottsdatalagen finns det en sådan bestämmelse. En bestämmelse som reglerar Säkerhetspolisens möjlighet att ställa upp villkor för användningen bör med hänsyn till vikten av att myndigheten kan begränsa användningen av känslig information tas in i den nya lagen. Den bör utformas efter mönster av bestämmelsen i brotts- datalagen.

704

SOU 2017:74

Säkerhetspolisens behandling av personuppgifter

14.17.6 Dokumentationskrav

Utredningens förslag: Skyldigheten att i vissa fall dokumentera överföringar som görs till tredjeland och internationella organi- sationer ska regleras i förordning.

Skälen för utredningens förslag: Utredningen föreslår i delbetän- kandet att de behöriga myndigheterna i vissa fall ska vara skyldiga att dokumentera överföringar som görs till tredjeland och inter- nationella organisationer, men att det ska regleras i förordning. Detsamma gäller skyldigheten att informera tillsynsmyndigheten om vissa sådana överföringar (se SOU 2017:29 s. 621 f.). Kraven på dokumentation och information har sin grund i direktivet och gäl- ler inte i dag.

Enligt utredningens mening är det lämpligt att Säkerhetspolisen dokumenterar överföringar som gjorts till tredjeland eller inter- nationella organisationer i samma utsträckning som övriga brotts- bekämpande myndigheter. Skyldigheten kan regleras i förordning.

Skyldigheten att självmant informera tillsynsmyndigheten om de överföringar som görs till tredjeland och internationella organisa- tioner riskerar att medföra resurskrävande administrativt arbete för både Säkerhetspolisen och tillsynsmyndigheten. Något sådant krav bör därför inte ställas. I avsnitt 15.5.1 föreslås att Säkerhetspolisen ska ge tillsynsmyndigheten tillgång till dokumentation av behand- lingen om den begär det. Det är enligt utredningens mening till- räckligt att dokumentationen görs tillgänglig för tillsynsmyndig- heten inom ramen för den skyldigheten.

705

15 Tillsyn över Säkerhetspolisen

15.1Det behövs en särskild reglering

Utredningens bedömning: Tillsynen över Säkerhetspolisens behandling av personuppgifter som rör nationell säkerhet bör regleras i Säkerhetspolisens datalag.

Skälen för utredningens bedömning

Tillsynen enligt dagens reglering

I dag utövas tillsynen över Säkerhetspolisens behandling av person- uppgifter i den brottsbekämpande verksamheten både av Datain- spektionen och Säkerhets- och integritetsskyddsnämnden (i fort- sättningen nämnden). I delbetänkandet redovisa vilken tillsyn som i dag utövas över personuppgiftsbehandling inom brottsdatalagens tillämpningsområde (se SOU 2017:29 s. 425 f.).

Datainspektionen är enligt 2 § personuppgiftsförordningen till- synsmyndighet enligt personuppgiftslagen. Datainspektionen har därmed det generella ansvaret för tillsyn över behandling av per- sonuppgifter. Tillsynen avser personuppgiftsbehandling enligt både personuppgiftslagen och myndigheters registerförfattningar, t.ex. polisdatalagen. Av hänvisningarna i 2 kap. 2 § första stycket 11 och 13 och 6 kap. 4 § 1 polisdatalagen följer att personuppgiftslagens bestämmelser om tillsyn är tillämpliga i Säkerhetspolisens brotts- bekämpande verksamhet.

Enligt 1 § andra stycket lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet utövar nämnden tillsyn över den behandling av personuppgifter enligt polisdatalagen som utförs av Polismyndigheten, Säkerhetspolisen och Ekobrottsmyndigheten.

707

Tillsyn över Säkerhetspolisen

SOU 2017:74

Tillsynen ska särskilt avse behandling av känsliga personuppgifter. Tillsynen över Säkerhetspolisen omfattar även behandling enligt den tidigare gällande polisdatalagen (1998:622). Nämnden utövar också tillsyn över de brottsbekämpande myndigheternas använd- ning av hemliga tvångsmedel och kvalificerade skyddsidentiteter och därmed sammanhängande verksamhet.

Om en annan myndighet har behörighet att utöva tillsyn avstår Datainspektionen normalt från att utöva tillsyn på det området (se Ett samlat ansvar för tillsyn över den personliga integriteten, SOU 2016:65, s. 79).

Förslag från Utredningen om tillsynen över den personliga integriteten

Utredningen om tillsynen över den personliga integriteten föreslår att Datainspektionen ska utses till tillsynsmyndighet enligt både dataskyddsdirektivet och dataskyddsförordningen och representera Sverige i den styrelse som inrättas genom dataskyddsförordningen (se SOU 2016:65 s. 142). Som representant för Sverige i styrelsen kommer Datainspektionen att delta i arbetet med att utfärda rikt- linjer, rekommendationer och bästa praxis i frågor som rör person- uppgiftsbehandling inom både direktivets och förordningens till- lämpningsområden.

Utredningen föreslår också att nämnden inte längre ska utöva någon tillsyn över Polismyndighetens personuppgiftsbehandling. Däremot föreslås tillsynen över Säkerhetspolisens personuppgifts- behandling i den brottsbekämpande verksamheten även fortsätt- ningsvis utövas av både Datainspektionen och nämnden. Nämn- dens tillsyn över brottsbekämpande myndigheters användning av hemliga tvångsmedel och användning av kvalificerade skyddsiden- titeter och därmed sammanhängande verksamhet ska enligt försla- get inte ändras. Nämnden ska liksom i dag på begäran av enskild kontrollera om han eller hon i strid med lag eller annan författning har utsatts för ett hemligt tvångsmedel eller varit föremål för Säker- hetspolisens personuppgiftsbehandling (se SOU 2016:65 s. 175 f. och 189).

708

SOU 2017:74

Tillsyn över Säkerhetspolisen

Tillsyn enligt brottsdatalagen

I delbetänkandet redogör utredningen för vilka uppgifter och befo- genheter tillsynsmyndigheten bör ha enligt brottsdatalagen och föreslår hur tillsynen ska bedrivas (se SOU 2017:29 s. 445 f.).

I tillsynsmyndighetens uppgifter ingår enligt 5 kap. 2 och 4 §§ brottsdatalagen att utöva allmän tillsyn över personuppgiftsbe- handling, handlägga klagomål från registrerade, på begäran av fysi- ska personer kontrollera om deras personuppgifter behandlas för- fattningsenligt, på begäran bistå utländska tillsynsmyndigheter med tillsynsåtgärder och lämna råd och stöd till personuppgiftsansvariga och personuppgiftsbiträden. Tillsynsmyndigheten förutsätts följa den tekniska utvecklingen och är inom ramen för ett formaliserat förhandssamråd i vissa fall skyldig att lämna råd om sådana nya typer av behandling eller förändringar av pågående behandling som antas medföra särskilda integritetsrisker (5 kap. 4 § brottsdataför- ordningen).

Tillsynsmyndigheten har rätt att få tillgång till de personupp- gifter som behandlas, upplysningar och dokumentation om be- handlingen och om säkerhets- och skyddsåtgärder. Myndigheten har också rätt till tillträde till lokaler där personuppgifter behandlas och till det biträde och den information som den behöver för sin tillsyn (5 kap. 5 § brottsdatalagen).

Till tillsynsmyndighetens förebyggande befogenheter, som inte är bindande, hör råd, rekommendationer och påpekanden. Tillsyns- myndigheten har också möjlighet att utfärda skriftlig varning om att det finns risk för att viss behandling kan komma att stå i strid med regelverket. Till de korrigerande befogenheterna, som är bin- dande, hör förelägganden om rättelse, radering och begränsning av behandlingen, beslut om förbud mot fortsatt behandling och beslut om sanktionsavgift (5 kap. 6 och 7 §§ brottsdatalagen).

Tillsynen över Säkerhetspolisen bör särregleras

På samma sätt som i dag bör naturligtvis personuppgiftsbehandling som rör nationell säkerhet stå under tillsyn och en utgångspunkt bör vara att tillsynen inte ska försämras.

Enligt 1 kap. 4 § brottsdatalagen gäller lagen inte vid Säkerhets- polisens behandling av personuppgifter som rör nationell säkerhet.

709

Tillsyn över Säkerhetspolisen

SOU 2017:74

Den gäller inte heller för Polismyndigheten när den övertagit en arbetsuppgift från Säkerhetspolisen som rör nationell säkerhet. Dataskyddsutredningen föreslår som framgår av avsnitt 14.2.1 att dataskyddsförordningen ska vara tillämplig även på verksamheter som inte regleras i EU-rätten. Eftersom verksamhet som rör natio- nell säkerhet inte omfattas av förordningens tillämpningsområde är förordningens bestämmelser om tillsyn inte anpassade till sådan verksamhet. Det är därför nödvändigt att särreglera tillsynen över Säkerhetspolisens personuppgiftsbehandling som rör nationell säkerhet.

I avsnitt 14.2.2 föreslår utredningen en särskild lag – Säkerhets- polisens datalag – som ska gälla vid Säkerhetspolisens behandling av personuppgifter som rör nationell säkerhet i syfte att bekämpa och lagföra brott. Även Polismyndigheten föreslås i begränsad ut- sträckning tillämpa lagen (se avsnitt 14.3.2). I den nya lagen bör det regleras vilken tillsyn över personuppgiftsbehandling enligt den nya lagen som ska förekomma.

Utgångspunkter för regleringen

Eftersom behandling av personuppgifter som rör nationell säkerhet har undantagits från både direktivets och förordningens tillämp- ningsområde styr bestämmelserna om tillsyn i rättsakterna inte hur den svenska lagstiftningen bör utformas. Som framgår av av- snitt 14.3.1 anses all Säkerhetspolisens operativa verksamhet vara i någon mening brottsbekämpande. Det talar för att regleringen bör efterlikna brottsdatalagens bestämmelser om tillsyn.

Säkerhetspolisens brottsbekämpande verksamhet syftar till att på ett tidigt stadium förebygga och förhindra brott som utgör ett samhällshot eller hotar grundläggande demokratiska funktioner. Säkerhetspolisen har för att kunna utföra sitt uppdrag behov av omfattande informationshantering och att kunna utbyta informa- tion med andra myndigheter. Brott som rör nationell säkerhet har ofta sin grund i ideologiska uppfattningar, bl.a. religiös övertygelse eller politiska åsikter. Säkerhetspolisen har därmed särskilt stort behov av att behandla känsliga personuppgifter.

För verksamheten vid Säkerhetspolisen gäller i stor utsträckning sekretess och allmänheten och enskilda har begränsad insyn i den.

710

SOU 2017:74

Tillsyn över Säkerhetspolisen

Det innebär bl.a. att enskilda inte på samma sätt som i annan verk- samhet kan reagera över felaktigheter eller komma med allmänna klagomål över hur verksamheten bedrivs. Den kontroll som all- mänhetens tillgång till allmänna handlingar normalt innebär för offentlig verksamhet ger, på grund av den omfattande sekretessen, därmed inte samma effekt som i annan verksamhet.

I delbetänkandet diskuterar utredningen ingående vilka utgångs- punkter som är viktiga vid överväganden om tillsyn över person- uppgiftsbehandling inom brottsdatalagens tillämpningsområde. Åtskilligt av det som sägs där är relevant även för tillsynen över Säkerhetspolisens personuppgiftsbehandling. Här bör nämnas att en fri och oberoende tillsyn måste värnas, vilket bl.a. bör komma till uttryck på det sättet att tillsynen inte detaljregleras. Det är även viktigt med tydliga regler för verksamheten så att både tillsyns- myndigheten, tillsynsobjekten och enskilda vet vilka rättigheter och skyldigheter som gäller och kan förhålla sig till det. Utred- ningen konstaterar att en effektiv tillsyn bäst gagnas av att den som utövar tillsynen får så stor frihet som möjligt att välja arbetsformer, utan att det görs avkall på rättssäkerheten (se SOU 2017:29 s. 431).

15.2Vem ska utöva tillsyn över Säkerhetspolisen?

15.2.1För- och nackdelar med parallell tillsyn

Det finns skäl att överväga tillsynen över Säkerhetspolisen på nytt

Dataskyddsutredningens förslag att dataskyddsförordningen ska vara generellt tillämplig och vårt förslag att Säkerhetspolisens per- sonuppgiftsbehandling ska regleras i en ny lag innebär att förut- sättningarna för tillsynen över Säkerhetspolisens personuppgiftsbe- handling har förändrats sedan Utredningen om tillsynen över den personliga integriteten lämnade sitt betänkande. Det finns därför anledning att på nytt överväga hur tillsynen över Säkerhetspolisens behandling av personuppgifter bör utövas.

711

Tillsyn över Säkerhetspolisen

SOU 2017:74

För- och nackdelar med parallell tillsyn

Den första frågan är om tillsynen bör utövas av en eller två myn- digheter. En fördel med parallell tillsyn är att myndigheterna kan inrikta sin granskning på olika områden, vilket kan bidra till en mer omfattande och allsidig tillsyn. Två tillsynsmyndigheter med olika uppdrag och fokus kan på så sätt komplettera varandra. En sådan förstärkt tillsyn har ansetts vara särskilt värdefull i verksamhet som omfattas av stark sekretess och där allmänheten och enskilda har begränsad insyn (se Ytterligare rättssäkerhetsgarantier vid använ- dandet av hemliga tvångsmedel, m.m., prop. 2006/07:133, s. 30 f., prop. 2009/10:85 s. 273 f. och SOU 2016:65 s. 175 f.).

Nackdelarna med parallell tillsyn är att det kan leda till oklar ansvarsfördelning mellan tillsynsmyndigheterna. Det finns då risk för att vissa frågor aldrig blir föremål för tillsyn eller att samma fråga granskas gång på gång. Även om myndigheterna har olika fokus och inriktning på sin tillsyn kan parallell tillsyn vidare leda till motstridig praxis. Ett överlappande ansvar riskerar också att medföra dubbelarbete och skapa samordningsbehov och därmed inte vara resurseffektivt (se Riksrevisionens rapport om Säkerhets- och integritetsskyddsnämndens tillsyn över brottsbekämpande myndigheter, skr. 2015/16:188, s. 31 f.).

En särskild nackdel med parallell tillsyn är att den kan leda till att fler personer får insyn i speciellt känslig verksamhet där hemliga uppgifter hanteras i stor omfattning.

Den parallella tillsynen över Polismyndighetens personuppgifts- behandling har enligt Utredningen om tillsynen över den person- liga integriteten visat sig medföra gränsdragningsproblem och otydlighet om vem som ska utföra tillsynen, vad tillsynen ska avse och resultaten av den. Den utredningen ser inte några fördelar med dagens parallella tillsyn över Polismyndigheten (se SOU 2016:65 s. 185 f.). Det kan enligt den utredningen dock förekomma att någon annan myndighet har begränsade tillsynsuppgifter inom vissa särskilda områden och att den ordningen inte bör eller kan er- sättas med en ordning där all tillsyn utövas av en myndighet. I fråga om tillsyn över Säkerhetspolisen föreslår den utredningen därför att dagens parallella tillsyn behålls. De särskilda omständigheter som motiverar att det bedrivs parallell tillsyn över Säkerhetspolisen gör sig dock enligt den utredningens mening inte gällande med

712

SOU 2017:74

Tillsyn över Säkerhetspolisen

samma styrka vid tillsyn över Polismyndigheten. Beträffande den tillsynen talar enligt den utredningen övervägande skäl för att bara en myndighet bör utöva tillsyn (se SOU 2016:65 s. 143 f., 175 f. och 185 f.).

15.2.2Bör den parallella tillsynen bestå?

Utredningens bedömning: Tillsynen över Säkerhetspolisens behandling av personuppgifter bör utövas av både Datainspek- tionen och Säkerhets- och integritetsskyddsnämnden. Deras till- syn bör i huvudsak vara densamma som i dag.

Skälen för utredningens bedömning

En lösning med en tillsynsmyndighet vore bäst

Enligt utredningens mening var lagstiftarens intentioner goda när parallell tillsyn över Säkerhetspolisens personuppgiftsbehandling infördes. Parallell tillsyn ger dock fördelar endast om fler än en till- synsmyndighet faktiskt utför tillsynen och myndigheterna sam- arbetar för att reducera de negativa effekter som parallell tillsyn kan medföra. Datainspektionen har inte förrän nyligen utövat någon egentlig tillsyn över Säkerhetspolisen, som därmed i praktiken inte har varit föremål för parallell tillsyn.

De skäl som har lyfts fram för att bara en myndighet ska utöva tillsyn över Polismyndighetens personuppgiftsbehandling talar en- ligt utredningens mening lika starkt för att endast en myndighet bör utöva tillsyn över Säkerhetspolisens personuppgiftsbehandling. Frågan är då vilken myndighet som skulle vara bäst lämpad att göra det, om endast en myndighet ska göra det. Valet står mellan Data- inspektionen och nämnden.

För- och nackdelar med nämnden som tillsynsmyndighet

Nämnden inrättades bl.a. för att förstärka tillsynen över Säkerhets- polisen. Nämndens särskilda beslutsform, med parlamentarisk för- ankring, har ansetts utgöra dess styrka och vara särskilt viktig för

713

Tillsyn över Säkerhetspolisen SOU 2017:74

att tillgodose allmänhetens insyn i verksamhet som omfattas av stark sekretess (se prop. 2006/07:133 s. 65 och prop. 2009/10:85 s. 272 f.). Bestämmelserna i 42 kap. offentlighets- och sekretess- lagen om sekretess hos nämnden har också anpassats till behovet av att kunna hantera hemliga uppgifter i tillsynen. Regeringen har framhållit att nämnden har särskild insikt i och erfarenhet av sådan verksamhet som nu är ifråga. Det ökar enligt förarbetena till polis- datalagen förutsättningarna för att tillsynen inriktas på de områden där det finns särskilda risker för intrång i enskildas integritet (se prop. 2009/10:85 s. 273 f.).

Det som särskilt talar för att välja nämnden som tillsynsmyndig- het är därför dess särskilda kompetens, erfarenhet och vana att ut- öva tillsyn över personuppgiftsbehandling i känslig verksamhet där sekretessen är mycket omfattande. Förutom att ha god kännedom om den verksamhet som tillsynen avser är nämnden också väl för- trogen med den personuppgiftsbehandling som utförs och vilka personuppgiftssamlingar som förs av Säkerhetspolisen. En annan fördel är att nämnden har ett begränsat tillsynsuppdrag, vilket ger den goda förutsättningar att säkerställa att tillsyn över Säkerhets- polisen bedrivs på ett aktivt och kontinuerligt sätt. Nämnden har hittills i praktiken ensam utövat tillsynen över Säkerhetspolisen. Riksrevisionen har nyligen granskat verksamheten och funnit att nämnden utför sina uppgifter på ett ändamålsenligt sätt (se skr. 2015/16:188 s. 3). Sekretessregleringen är också särskilt anpas- sad för tillsynen över Säkerhetspolisen.

Det som kan tala mot att nämnden ensam utses till tillsynsmyn- dighet är att den är liten och därmed sårbar för personalföränd- ringar vilket kan leda till att värdefull erfarenhet går förlorad. Ur ett säkerhetsperspektiv kan det samtidigt vara en fördel att nämn- den är liten, eftersom det innebär att färre personer blir involverade i tillsynen.

Det som framför allt talar mot att välja nämnden är att den i dag inte har de befogenheter som krävs för att utöva tillsynen på egen hand, vilket är nödvändigt för att Sverige ska leva upp till kraven på ett effektivt rättsmedel enligt artikel 13 i den europeiska konven- tionen om skydd för de mänskliga rättigheterna och de grundläg- gande friheterna (Europakonventionen). Det är också tveksamt om det är lämpligt att ge nämnden sådana befogenheter med hänsyn till hur nämnden är organiserad. Vidare får nämndens avgöranden inte

714

SOU 2017:74

Tillsyn över Säkerhetspolisen

överklagas. Samtidigt talar starka skäl för att det bör finnas möjlig- het att klaga på vissa av tillsynsmyndighetens beslut, eftersom de kan få långtgående konsekvenser för tillsynsobjektet.

För- och nackdelar med Datainspektionen som tillsynsmyndighet

Det som särskilt talar för att välja Datainspektionen som tillsyns- myndighet är att den har bred kompetens och lång erfarenhet av tillsyn över hur personuppgifts- och integritetsskyddslagstiftning tillämpas. Inspektionen har därför goda förutsättningar att utöva tillsyn över tillämpningen av allmänna principer för behandling av personuppgifter. Eftersom inspektionen utövar tillsyn över övriga brottsbekämpande myndigheter får den också en allmän överblick som nämnden saknar.

Datainspektionen kommer att ha ett generellt uppdrag att följa den tekniska utvecklingen på personuppgiftsområdet. Inspektionen kommer också att genomföra förhandssamråd med de flesta myn- digheter och andra personuppgiftsansvariga. Genom samarbetet inom EU kommer inspektionen att få en överblick över den tek- niska utvecklingen även i andra stater. Det skapar goda förutsätt- ningar för rådgivning i frågor som gäller uppbyggnad av it-system.

Datainspektionen utövar i dag tillsyn över Försvarsmakten en- ligt lagen (2007:258) om behandling av personuppgifter i Försvars- maktens försvarsunderrättelseverksamhet och militära säkerhets- tjänst och över Försvarets radioanstalt enligt lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvars- underrättelse- och utvecklingsverksamhet. Inspektionen har där- med erfarenhet av att utöva tillsyn över känslig verksamhet med omfattande sekretess som liknar Säkerhetspolisens.

Det som främst talar mot att välja Datainspektionen är att in- spektionen har ett mycket omfattande tillsynsuppdrag och att till- synen över en viss myndighet därför av naturliga skäl bara kan ägnas begränsade resurser. Inspektionen har i praktiken inte heller förrän nyligen utövat någon tillsyn över Säkerhetspolisen och har därför inte samma kunskap som nämnden om Säkerhetspolisens verksamhet och personuppgiftsbehandling. Genom EU:s data- skyddsreform får inspektionen dessutom ett utökat uppdrag som

715

Tillsyn över Säkerhetspolisen

SOU 2017:74

kan medföra att utrymmet att bedriva tillsyn över enskilda myn- digheter i praktiken begränsas ytterligare.

Myndigheternas tillsyn ska i huvudsak vara oförändrad

Enligt utredningens mening finns det alltså både för- och nackdelar om någon av de två myndigheterna skulle väljas som ensam till- synsmyndighet. Även om det ideala vore att ta bort den parallella tillsynen över Säkerhetspolisen, på samma sätt som Utredningen om tillsynen över den personliga integriteten föreslår beträffande tillsynen över Polismyndigheten, går det inte att välja bara en av myndigheterna eftersom deras styrkor kompletterar varandra. Den utredningen lyfter fram det som argument för att nämnden, vid sidan av Datainspektionen, ska fortsätta att ha tillsyn över Säker- hetspolisens personuppgiftsbehandling (se SOU 2016:65 s. 179).

En annan viktig faktor att ta hänsyn till är att tillsynen över Säkerhetspolisens personuppgiftsbehandling skulle minska betyd- ligt i omfattning om den parallella tillsynen skulle upphöra, efter- som det inte är realistiskt att förvänta sig att Datainspektionens tillsyn skulle kunna ersätta den omfattande tillsyn som i dag utövas av nämnden. Även utredningen om tillsynen över den personliga integriteten påpekar att fortsatt parallell tillsyn torde innebära att de huvudsakliga tillsynsinsatserna på samma sätt som i dag kommer utföras av nämnden (se SOU 2016:65 s. 183). Tillsynen över Säker- hetspolisens personuppgiftsbehandling bör mot den bakgrunden i huvudsak vara densamma som i dag.

Utredningen om tillsynen över den personliga integriteten hade som en av sina huvuduppgifter att analysera och bedöma vilken myndighet som bör utöva tillsyn över personuppgiftsbehandling enligt både dataskyddsförordningen och direktivet. Det kommer sannolikt inte att finnas något ställningstagande i den frågan när vi ska redovisa vårt uppdrag. Vi utgår därför, på samma sätt som i del- betänkandet, från det förslag som Utredningen om tillsynen över den personliga integriteten presenterat om vem som bör utöva till- syn över personuppgiftsbehandlingen på direktivets område. Det innebär att vi inte tar ställning till om nämnden bör utöva tillsyn över Polismyndighetens personuppgiftsbehandling.

716

SOU 2017:74

Tillsyn över Säkerhetspolisen

15.3Tillsynsområdet

Utredningens förslag: Tillsynsmyndighet ska definieras som den myndighet som regeringen utser att enligt Säkerhetspoli- sens datalag utöva tillsyn över behandlingen av personuppgifter.

Skälen för utredningens förslag: På samma sätt som brottsdata- lagen bör Säkerhetspolisens datalag innehålla bestämmelser om till- synen. Det bör då också tas in en definition av uttrycket tillsyns- myndighet som preciserar vad tillsynen ska omfatta.

Eftersom Säkerhetspolisens datalag ska tillämpas av både Säker- hetspolisen och Polismyndigheten och sistnämnda myndighet endast i mycket begränsad omfattning kommer att tillämpa lagen är det inte möjligt att knyta tillsynsområdet till viss verksamhet. Till- synsområdet bör i stället knytas till behandling av personuppgifter enligt lagen.

En särskild fråga är om tillsynen bör omfatta både de myndig- heter som tillämpar lagen och eventuella personuppgiftsbiträden som de anlitar. När det gäller Säkerhetspolisens verksamhet är de faktiska möjligheterna att låta personuppgiftsbiträden hantera per- sonuppgifter i den operativa verksamheten betydligt mer begrän- sade än i annan brottsbekämpande verksamhet på grund av sekre- tessen. Behovet av att låta tillsynen omfatta personuppgiftsbiträden är därmed begränsat. Det finns emellertid inte skäl att ha en annan lösning för tillsynen enligt Säkerhetspolisens datalag än den som gäller för andra brottsbekämpande myndigheter. Tillsynen bör så- ledes även omfatta personuppgiftsbehandling som personuppgifts- biträden utför enligt lagen.

Av lagen bör det även framgå att det finns ytterligare bestäm- melser om tillsyn i lagen om tillsyn över viss brottsbekämpande verksamhet.

Som framgår av avsnitt 14.3.3 ska Säkerhetspolisen tillämpa brottsdatalagen och polisens brottsdatalag med tillhörande förord- ningar vid behandling av personuppgifter som avser brottsbekämp- ning eller lagföring och som inte rör nationell säkerhet. Då gäller i stället bestämmelserna om tillsyn i brottsdatalagen.

717

Tillsyn över Säkerhetspolisen

SOU 2017:74

15.4Tillsynen enligt Säkerhetspolisens datalag

15.4.1Allmän tillsyn

Utredningens förslag: Tillsynsmyndigheten ska utöva allmän tillsyn över Säkerhetspolisens personuppgiftsbehandling.

Skälen för utredningens förslag

Allmän tillsyn har stor betydelse

Det bör av lagen framgå att tillsynsmyndigheten ska utöva allmän tillsyn. Det som avses är rättslig tillsyn över hur Säkerhetspolisen tillämpar den nya lagen om personuppgiftsbehandling. Sådan tillsyn har av naturliga skäl främst ett tillbakablickande perspektiv. Den inriktas i första hand på att kontrollera om behandlingen av per- sonuppgifter är författningsenlig. Sådan tillsyn utförs normalt genom granskning av dokumentation och inspektioner på plats. Vad det innebär att utöva allmän tillsyn över personuppgiftsbe- handling vid brottsbekämpning och lagföring utvecklas i delbetän- kandet (se SOU 2017:29 s. 460).

Som utredningen påpekar i avsnitt 15.1 saknas det en viktig faktor för tillsynen över Säkerhetspolisens personuppgiftsbehand- ling, nämligen de impulser som klagomål från enskilda kan ge. En- skilda har visserligen samma rätt att framföra klagomål mot Säker- hetspolisens personuppgiftsbehandling till myndigheten eller till någon tillsynsmyndighet som mot annan offentlig verksamhet. De praktiska förutsättningarna för sådana klagomål är emellertid annorlunda när det gäller Säkerhetspolisens verksamhet, eftersom de registrerade sällan känner till att deras personuppgifter behand- las. Tillsynen kan därför inte i samma utsträckning som annars bygga på klagomål från allmänheten och mediegranskning. Den all- männa tillsynen måste i stället bygga på att de som utövar tillsyn har goda kunskaper om både verksamheten och de risker för den personliga integriteten som personuppgiftsbehandlingen i den kan föra med sig. Det sagda innebär att uppgiften att bedriva allmän tillsyn är viktigare än annars och delvis kräver andra överväganden.

718

SOU 2017:74

Tillsyn över Säkerhetspolisen

Klagomålshanteringen bör inte regleras

Som nyss nämnts har enskilda samma rätt att framföra klagomål mot Säkerhetspolisens personuppgiftsbehandling som mot andra brottsbekämpande myndigheters. I delbetänkandet redovisar ut- redningen vad som allmänt gäller i fråga om hantering av klagomål (se SOU 2017:29 s. 449 och 541 f.). Den formella regleringen i brottsdatalagen av hur klagomål bör hanteras har sin grund i direk- tivet. Någon motsvarande reglering krävs därför inte när det gäller Säkerhetspolisen. De allmänna principerna för tillsyn och reglerna i förvaltningslagen (1986:223) är enligt utredningens mening till- räckliga för att tillsynsmyndigheten ska kunna handlägga eventuella klagomål mot Säkerhetspolisens personuppgiftsbehandling. Klago- målshanteringen bör således inte regleras.

Inga ytterligare tillsynsuppgifter

I dag ingår det inte i Datainspektionens tillsynsuppgifter att på be- gäran av enskild kontrollera om personuppgiftsbehandlingen är författningsenlig. Däremot utförs sådan kontroll över Säkerhetspo- lisens personuppgiftsbehandling av nämnden. Även om Datain- spektionen i brottsdatalagen ges motsvarande uppgift finns det inte anledning att nu införa parallell tillsyn när det gäller kontroll på begäran av enskild. Sådan kontroll är resurskrävande och till det kommer att parallell tillsyn skulle kräva samordning mellan till- synsmyndigheterna på ett helt annat sätt än i dag, eftersom den enskilde har rätt att kräva att kontrollen utförs. Utredningen anser därför att det inte bör införas bestämmelser om kontroll på begäran av enskild i Säkerhetspolisens datalag.

Det finns i dag inga internationella åtaganden om samarbete mellan tillsynsmyndigheter när det gäller tillsyn över personupp- giftsbehandling som rör nationell säkerhet. Någon motsvarighet till regleringen i 5 kap. 2 § 4 brottsdatalagen om bistånd till utländska tillsynsmyndigheter behövs därför inte i Säkerhetspolisens datalag.

719

Tillsyn över Säkerhetspolisen

SOU 2017:74

15.4.2Förhandssamråd och annat råd och stöd

Utredningens förslag: Tillsynsmyndigheten ska ge råd och stöd till Säkerhetspolisen och personuppgiftsbiträden om deras skyl- digheter enligt lag eller annan författning vid förhandssamråd och när det i övrigt är påkallat. Tillsynsmyndighetens närmare skyldigheter ska regleras i förordning.

Tillsynsmyndigheten ska om det är lämpligt låta nämnden yttra sig inom ramen för förhandssamråd.

Skälen för utredningens förslag

Dagens samrådsskyldighet

Enligt 2 § polisdataförordningen ska Polismyndigheten och Säker- hetspolisen samråda med Datainspektionen i god tid innan beslut fattas om nya it-system av större omfattning eller betydande för- ändringar genomförs i befintliga it-system om de kan innebära sär- skilda risker för intrång i den personliga integriteten. Om det krävs ska Säkerhetspolisen även samråda med nämnden.

Säkerhetspolisen samråder normalt med båda myndigheterna. Deras rådgivning skiljer sig åt på så sätt att Datainspektionen läm- nar mer omfattande och generella synpunkter, medan nämndens uttalanden oftast är kortare och riktar in sig mer på konkreta frågor om personuppgiftsbehandlingen. Säkerhetspolisen anser att det är värdefullt med båda myndigheternas råd.

Polismyndigheten har kritiserat den dubbla samrådsskyldighe- ten enligt 2 § polisdataförordningen och framhållit att den får nega- tiva konsekvenser. Det krävs ofta tolkning av hur myndigheternas samrådssynpunkter förhåller sig till varandra (se skr. 2015/16:188 s. 31 f.). Även Säkerhetspolisen har påtalat risken att tillsynsmyn- digheterna lämnar motstridiga råd.

Tillsynsmyndighetens skyldigheter vid förhandssamråd

I avsnitt 14.14 föreslås att Säkerhetspolisen ska samråda med till- synsmyndigheten om en konsekvensbedömning visar särskild risk för intrång i registrerades personliga integritet eller om typen av

720

SOU 2017:74

Tillsyn över Säkerhetspolisen

behandling innebär särskild risk för intrång. Förhandssamrådet motsvarar i stort det samråd som regleras i 2 § polisdataförord- ningen.

Tillsynsmyndighetens skyldigheter vid samråd är i dag inte när- mare reglerade. Som framgår av avsnitt 14.14 bör Säkerhetspolisens skyldigheter vid förhandssamråd regleras på samma sätt som i brottsdatalagen. Tillsynsmyndigheten bör då också ha i huvudsak motsvarande skyldigheter. Det innebär att tillsynsmyndigheten bör vara skyldig att lämna skriftliga råd i vissa fall. Detaljfrågorna kan regleras i förordning.

Nämndens roll vid förhandssamråd

Frågan är om Säkerhetspolisen även i fortsättningen bör ha samma skyldighet att samråda med nämnden som den har i dag.

Nämndens tillsynsuppdrag avser rättslig granskning i efterhand och uttalanden om behov av förändringar i verksamheten eller i lag- stiftningen. I förarbetena framhålls att planerade åtgärder inte kan bli föremål för granskning och att nämndens verksamhet således inte kan uppfattas som ett godkännande av framtida åtgärder (se prop. 2006/07:133 s. 63). Även om tyngdpunkten i nämndens till- syn alltjämt kommer att vara tillsyn i efterhand, bör nämnden inte stängas ute vid överväganden som kan komma att påverka den framtida personuppgiftsbehandlingen. Eftersom Datainspektionens och nämndens kompetens och erfarenheter kompletterar varandra anser utredningen att nämnden även i fortsättningen bör ha en roll vid förhandssamråd.

Det är dock inte lämpligt att behålla den dubbla samrådsskyl- digheten som den är utformad i dag. I stället bör tillsynsmyndig- heten, om det är lämpligt, ge nämnden tillfälle att yttra sig inom ramen för förhandssamrådet. Nämnden bör då också ha rätt att ta del av underlaget för förhandssamrådet. Nämnden får på det sättet möjlighet att lämna synpunkter utan att det uppfattas som ett god- kännande av viss behandling på förhand. Den lösningen innebär att risken för att Säkerhetspolisen får motstridiga råd kan undvikas. Skulle Säkerhetspolisen föreslå att Datainspektionen låter nämnden yttra sig bör inspektionen givetvis beakta det. Samrådsskyldigheten kan regleras i förordning.

721

Tillsyn över Säkerhetspolisen

SOU 2017:74

Annat råd och stöd

En viktig uppgift vid tillsyn är att även i andra fall lämna råd och stöd till personuppgiftsansvariga och personuppgiftsbiträden om deras skyldigheter enligt lagstiftningen. Den skyldigheten bör åter- speglas i lagen.

I avsnitt 14.14 föreslås bestämmelser om Säkerhetspolisens skyldigheter i egenskap av personuppgiftsansvarig som i huvudsak motsvarar regleringen i brottsdatalagen. Säkerhetspolisen kan där- för ha samma behov som andra brottsbekämpande myndigheter av att rådgöra med tillsynsmyndigheten på eget initiativ. Tillsynsmyn- digheten bör mot den bakgrunden ha rådgivande uppgifter som motsvarar dem som anges i 5 kap. 4 § brottsdatalagen.

15.5Befogenheter vid tillsynen enligt den nya lagen

15.5.1Undersökningsbefogenheter

Utredningens förslag: Tillsynsmyndigheten ska ha rätt att av Säkerhetspolisen eller ett personuppgiftsbiträde på begäran få

1.tillgång till alla personuppgifter som behandlas,

2.upplysningar om och dokumentation av behandlingen av per- sonuppgifter och säkerhets- och skyddsåtgärder,

3.tillträde till lokaler som Säkerhetspolisen eller ett personupp- giftsbiträde disponerar och tillgång till utrustning och andra medel för behandling av personuppgifter, och

4.det biträde och annan information som behövs för tillsynen.

Skälen för utredningens förslag: Som utredningen utvecklar i delbetänkandet består rättslig tillsyn till stor del av granskning av dokumentation, men den kan även kräva besök på plats hos den personuppgiftsansvarige för att ta del av personuppgifterna. För- utom tillgång till de personuppgifter som behandlas behöver till- synsmyndigheten även upplysningar om och dokumentation av pågående behandlingar. Tillsynsmyndigheten kan även behöva annan information som inte är direkt kopplad till den behandling som ska granskas och besöka lokaler där personuppgiftsbehandling

722

SOU 2017:74

Tillsyn över Säkerhetspolisen

pågår för att bl.a. inspektera säkerhetsåtgärder. Myndigheten kan även behöva praktiskt biträde vid sin tillsyn (se SOU 2017:29 s. 464 f.). Tillsynsmyndighetens undersökande befogenheter bör enligt utredningens mening vara desamma vid tillsyn över Säker- hetspolisens personuppgiftsbehandling som vid tillsyn över andra brottsbekämpande myndigheter. Regleringen i Säkerhetspolisens datalag kan därför utformas på samma sätt som i 5 kap. 5 § brotts- datalagen.

15.5.2Både förebyggande och korrigerande befogenheter behövs

Utredningens bedömning: Tillsynsmyndigheten bör ha både förebyggande och korrigerande befogenheter.

Skälen för utredningens bedömning: I direktivet och dataskydds- förordningen görs tydlig skillnad mellan förebyggande och korrige- rande befogenheter, vilket återspeglas i regleringen i brottsdata- lagen (se SOU 2017:29 s. 467 f.). De befogenheter som föreslås för tillsynsmyndigheten i brottsdatalagen har sin grund i regleringen i direktivet och de krav som ställs där. Som tidigare nämnts finns det inga motsvarande krav när det gäller tillsyn över personuppgifts- behandling som rör nationell säkerhet.

Enligt utredningens mening är det lämpligt att tillsynsmyndig- heten får befogenheter som ger möjlighet att successivt använda kraftfullare medel och därigenom stegra påtryckningarna om Säker- hetspolisen inte självmant rättar sig efter myndighetens anvisningar (jfr SOU 2017:29 s. 468). Det innebär att tillsynsmyndigheten bör ha både förebyggande och korrigerande befogenheter. Det bör vidare göras tydlig skillnad mellan de förebyggande och de korrige- rande befogenheterna på samma sätt som i brottsdatalagen. Mot bakgrund av Säkerhetspolisens speciella verksamhet är det dock inte självklart att tillsynsmyndigheten bör ha alla de befogenheter som regleras i brottsdatalagen.

723

Tillsyn över Säkerhetspolisen

SOU 2017:74

15.5.3Förebyggande befogenheter

Utredningens förslag: Om tillsynsmyndigheten bedömer att det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska den genom råd, rekommendationer eller påpekanden försöka förmå den person- uppgiftsansvarige att vidta åtgärder för att minska den risken.

Tillsynsmyndigheten ska få utfärda en skriftlig varning för att planerad behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Detsamma ska gälla om pågåen- de behandling riskerar att stå i strid med lag eller annan för- fattning.

Skälen för utredningens förslag

Råd, rekommendationer eller påpekanden

Om tillsynsmyndigheten bedömer att det finns risk för att person- uppgifter kan komma att behandlas i strid med lag eller annan för- fattning ska den enligt 5 kap. 6 § första stycket brottsdatalagen genom råd, rekommendationer eller påpekanden försöka förmå den personuppgiftsansvarige eller personuppgiftsbiträdet att vidta åt- gärder för att minska den risken.

Som nyss nämnts bör tillsynsmyndigheten ha förebyggande be- fogenheter. En bestämmelse som motsvarar 5 kap. 6 § första stycket brottsdatalagen bör därför tas in i Säkerhetspolisens data- lag. På vilket sätt råd, rekommendationer eller påpekanden ska lämnas bör inte författningsregleras. Som framgår av avsnitt 15.4.2 är dock tillsynsmyndigheten skyldig att lämna skriftliga råd vid förhandssamråd.

Varning bör kunna utfärdas

Enligt 5 kap. 6 § andra stycket brottsdatalagen får tillsynsmyndig- heten utfärda varning i vissa fall. En varning är inte bindande utan är tänkt att kunna användas som ett påtryckningsmedel innan bin- dande föreläggande att vidta viss åtgärd utfärdas, för att i ett enskilt fall markera allvaret. Varning får även användas om en pågående

724

SOU 2017:74

Tillsyn över Säkerhetspolisen

behandling riskerar att strida mot lag eller annan författning (se SOU 2017:29 s. 469). De skäl som anförs i delbetänkandet för att tillsynsmyndigheten ska kunna utfärda varning har giltighet även vid tillsyn över Säkerhetspolisen. Mot den bakgrunden bör även en bestämmelse som motsvarar 5 kap. 6 § andra stycket brottsdata- lagen tas in i Säkerhetspolisens datalag.

15.5.4Korrigerande befogenheter

Utredningens förslag: Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författ- ning, eller att Säkerhetspolisen eller ett personuppgiftsbiträde annars inte fullgör sina skyldigheter, får tillsynsmyndigheten

1.genom råd, rekommendationer eller påpekanden försöka för- må Säkerhetspolisen eller personuppgiftsbiträdet att vidta åt- gärder för att behandlingen ska bli författningsenlig eller att uppfylla andra skyldigheter,

2.förelägga Säkerhetspolisen eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att fullgöra andra skyldigheter, eller

3.förbjuda fortsatt behandling om bristen är allvarlig.

Om tillsynsmyndigheten utfärdar ett föreläggande ska det av föreläggandet framgå när åtgärderna senast ska vara genomförda och, om det är lämpligt, vilka åtgärder som ska vidtas.

Skälen för utredningens förslag: För att tillsynen ska bli effektiv måste tillsynsmyndigheten kunna utfärda bindande förelägganden om att en viss åtgärd ska vidtas av den personuppgiftsansvarige (se En tydlig, rättssäker och effektiv tillsyn, skr. 2009/10:79, s. 42).

De korrigerande befogenheterna i 5 kap. 7 § brottsdatalagen är av fyra slag. Tillsynsmyndigheten får för det första använda sig av råd, rekommendationer eller påpekanden för att försöka förmå den personuppgiftsansvarige eller personuppgiftsbiträdet att vidta åt- gärder för att personuppgiftsbehandlingen ska vara författningsen- lig eller att fullgöra andra skyldigheter. För det andra får myndig-

725

Tillsyn över Säkerhetspolisen

SOU 2017:74

heten förelägga den personuppgiftsansvarige eller personuppgifts- biträdet att vidta sådana åtgärder. Tillsynsmyndigheten får vidare förbjuda fortsatt behandling och besluta om sanktionsavgift.

Som framgår av avsnitt 14.16.2 bör sanktionsavgift inte kunna tas ut av Säkerhetspolisen. Utredningen anser att tillsynsmyndighe- ten i övrigt bör ha samma korrigerande befogenheter som enligt brottsdatalagen. Vad de korrigerande åtgärderna innebär utvecklas i delbetänkandet (se SOU 2017:29 s. 470 f.).

Regleringen bör byggas upp på samma sätt som i brottsdatala- gen, vilket innebär att åtgärderna i princip ska prövas i den ordning de anges i bestämmelsen. Det bör dock inte krävas att alla lindri- gare åtgärder har prövats. Om omständigheterna är sådana att det redan från början står klart att fortsatt behandling bör förbjudas, bör tillsynsmyndigheten kunna besluta om det utan att ha prövat någon annan åtgärd först.

Förelägganden kan avse korrigeringsåtgärder men även andra åtgärder som den personuppgiftsansvarige eller personuppgifts- biträdet ska vidta. När det gäller korrigeringsåtgärder kan det vara lämpligt att ange vilken åtgärd som ska vidtas, exempelvis rättelse. När det behövs andra åtgärder, t.ex. tekniska åtgärder, kan tillsyns- objektet vara bättre lämpad att avgöra vad som bör göras för att behandlingen ska bli författningsenlig. Tillsynsmyndigheten bör därför endast när de finner det lämpligt ange vilken åtgärd som ska vidtas. Däremot bör det alltid framgå av föreläggandet när åtgärden senast ska vara genomförd.

15.6Handläggningen av tillsynsfrågor

15.6.1Kommunikationsskyldighet

Utredningens förslag: Innan tillsynsmyndigheten fattar ett bin- dande beslut, ska den som beslutet gäller ges tillfälle att inom en bestämd tid yttra sig över allt material av betydelse för beslutet, om det inte är uppenbart obehövligt.

Skälen för utredningens förslag: Eftersom det inte anses finnas några parter i ett tillsynsärende är förvaltningslagens regler om kommunikation inte tillämpliga (se SOU 2017:29 s. 448 och 474).

726

SOU 2017:74

Tillsyn över Säkerhetspolisen

Det föreskrivs därför i 5 kap. 8 § brottsdatalagen att tillsynsmyn- digheten ska ge tillsynsobjektet tillfälle att yttra sig innan beslut meddelas. Det behövs en motsvarande bestämmelse om kommu- nikationsskyldighet i den nya lagen. Skyldigheten bör omfatta allt material som tillförts ärendet, både inkomna handlingar från andra än tillsynsobjektet och handlingar som har upprättats av tillsyns- myndigheten. Vad skyldigheten innebär utvecklas i delbetänkandet (se SOU 2017:29 s. 474 f.).

15.6.2Överklagande

Utredningens förslag: Tillsynsmyndighetens beslut enligt lagen eller föreskrifter meddelade i anslutning till den ska få över- klagas till allmän förvaltningsdomstol.

Vid överklagande till kammarrätten ska det krävas pröv- ningstillstånd.

Skälen för utredningens förslag: Enligt 22 § förvaltningslagen får ett beslut överklagas av den som beslutet angår, om det har gått honom eller henne emot och är överklagbart. Enligt 51 § första stycket personuppgiftslagen får Datainspektionens beslut, med undantag av beslut om föreskrifter, överklagas till allmän förvalt- ningsdomstol. Det innebär att exempelvis beslut om förbud mot fortsatt behandling kan överklagas. I praxis har även vissa föreläg- ganden som inspektionen utfärdat bedömts vara överklagbara (se SOU 2015:39 s. 622 f.). Enligt 7 kap. 4 § brottsdatalagen får till- synsmyndighetens beslut enligt lagen eller föreskrifter som med- delats i anslutning till den överklagas. I delbetänkandet redovisar utredningen vad som gäller för myndigheters rätt att överklaga (se SOU 2017:29 s. 561 f.).

Av de skäl som anges i delbetänkandet bör tillsynsmyndighetens beslut få överklagas (se SOU 2017:29 s. 562 f.). Regleringen av överklagande bör vara densamma i Säkerhetspolisens datalag som i brottsdatalagen. Det innebär att besluten bör överklagas till allmän förvaltningsdomstol och att prövningstillstånd bör krävas för att frågan ska prövas av kammarrätt.

727

Tillsyn över Säkerhetspolisen

SOU 2017:74

15.6.3Anmälningsskyldighet

Utredningens förslag: Om tillsynsmyndigheten uppmärksam- mar förhållanden som kan utgöra brott ska den anmäla det till Åklagarmyndigheten. Det ska regleras i förordning.

Skälen för utredningens förslag: Enligt 5 kap. 3 § brottsdataför- ordningen är tillsynsmyndigheten skyldig att anmäla vissa förhål- landen som det ankommer på andra myndigheter att ingripa mot. Det bör gälla även vid tillsyn över personuppgiftsbehandling enligt Säkerhetspolisens datalag. Anmälningsskyldigheten bör regleras i förordning.

15.7Säkerhets- och integritetsskyddsnämndens tillsyn

15.7.1Nämndens allmänna tillsyn

Utredningens förslag: Nämnden ska utöva tillsyn över person- uppgiftsbehandling som rör nationell säkerhet i Säkerhetspoli- sens brottsbekämpande och lagförande verksamhet. Det ska tydliggöras att nämnden har rätt att få tillgång till all informa- tion och alla upplysningar som den behöver för sin tillsyn.

Skälen för utredningens förslag

Tillsynsområdet

I 1 § andra stycket lagen om tillsyn över viss brottsbekämpande verksamhet föreskrivs att nämnden ska utöva tillsyn över den be- handling av personuppgifter enligt polisdatalagen och lagen om polisens allmänna spaningsregister som utförs av Polismyndig- heten, Säkerhetspolisen och Ekobrottsmyndigheten. När det gäller Säkerhetspolisen ska tillsynen även avse behandling enligt den tidi- gare gällande polisdatalagen (1998:622). Tillsynen ska särskilt avse behandlingen av känsliga personuppgifter. Av 1 § tredje stycket framgår att tillsynen ska syfta till att säkerställa att den verksamhet

728

SOU 2017:74

Tillsyn över Säkerhetspolisen

som tillsynen omfattar bedrivs i enlighet med lag eller annan för- fattning.

Utredningen om tillsynen över den personliga integriteten före- slår att paragrafen ändras på det sättet att tillsynsområdet knyts till Säkerhetspolisens brottsbekämpande verksamhet i stället för till en uppräkning av vissa författningar. Den utredningen föreslår vidare att nämndens tillsyn över Polismyndighetens personuppgiftsbe- handling ska upphöra (se SOU 2016:65 s. 23).

Utredningen delar den uppfattning som framförs av Utred- ningen om tillsynen över den personliga integriteten om att till- synsområdet inte bör knytas till en uppräkning av författningar. Säkerhetspolisens personuppgiftsbehandling kommer till allra stör- sta delen att regleras i Säkerhetspolisens datalag. Tillämpningsom- rådet för den lagen utgår från personsuppgiftsbehandling som rör nationell säkerhet. Tillsynsområdet bör anpassas till det. Nämnden bör således utöva tillsyn över Säkerhetspolisens personuppgiftsbe- handling som rör nationell säkerhet i brottsbekämpande och lag- förande verksamhet.

Undersökningsbefogenheter

Enligt 4 § lagen om tillsyn över viss brottsbekämpande verksamhet har nämnden rätt att av de myndigheter som omfattas av tillsynen få de uppgifter och det biträde som den begär. Regleringen omfat- tar alla uppgifter och handlingar som nämnden bedömer behövs för tillsynen. Biträde kan bestå i att tillsynsobjekten gör lokaler, arkiv och personuppgiftssamlingar tillgängliga för nämnden (se prop. 2006/07:133 s. 68 f. och s. 82).

Lagstiftarens intentioner verkar ha varit att nämnden ska ha rätt till alla de handlingar och uppgifter som kan behövas för att klar- lägga de förhållanden som nämnden har tillsyn över. Av ordalydel- sen i 4 § framgår det emellertid inte tydligt att bestämmelsen även ger rätt till information som inte har direkt anknytning till person- uppgiftsbehandlingen men som behövs för tillsynen. Som framgår av delbetänkandet är det viktigt (se SOU 2017:29 s. 464). Enligt utredningens mening bör det därför förtydligas att nämnden även har rätt till sådan information och andra relevanta upplysningar. Regleringen bör därför ändras så att det framgår att nämnden har

729

Tillsyn över Säkerhetspolisen

SOU 2017:74

rätt till de uppgifter, upplysningar och information som den behö- ver för sin tillsyn.

15.7.2Kontroll på begäran av enskild

Utredningens förslag: Säkerhets- och integritetsskyddsnämn- den ska kunna vägra att utföra kontroll på begäran av enskild om begäran är orimlig eller uppenbart ogrundad.

Skälen för utredningens förslag

En begäran om kontroll bör kunna vägras

Enligt 3 § lagen om tillsyn över viss brottsbekämpande verksamhet är nämnden skyldig att på begäran av en enskild kontrollera om han eller hon har utsatts för hemliga tvångsmedel eller viss behandling av personuppgifter och om detta har skett i enlighet med lag eller annan författning. Enskild ska enligt förarbetena tolkas så att kon- troll kan begäras av antingen en fysisk eller en juridisk person (se prop. 2006/07:133 s. 81). Den enskilde ska underrättas om att kon- trollen har utförts. Som framgår av avsnitt 15.2.2 och 15.4.1 bör tillsynen i huvudsak vara densamma som i dag, vilket innebär att nämnden ensam ska göra sådana kontroller.

Kontroller på begäran av enskilda fyller en viktig funktion. De kan dock vara mycket resurskrävande för nämnden. Mot den bak- grunden utformades motsvarande bestämmelse i brottsdatalagen på ett annat sätt (se SOU 2017:29 s. 452). Enligt 5 kap. 3 § brottsda- talagen ska en enskild som begär kontroll visa att han eller hon först har begärt information av den personuppgiftsansvarige för att kontrollen ska utföras. Tillsynsmyndigheten får vidare vägra att utföra kontroll om begäran är orimlig eller uppenbart ogrundad.

Frågan är om det är möjligt att begränsa nämndens skyldighet att utföra kontroll på motsvarande sätt. Eftersom en enskild i prin- cip aldrig kan få information om huruvida uppgifter om honom eller henne behandlas genom att vända sig till Säkerhetspolisen kan det inte göras till en förutsättning för kontroll. En enskild kan inte heller känna till vilka behandlingar som utförs av myndigheten. Att ställa upp krav på att en begäran preciseras eller avgränsas på lik-

730

SOU 2017:74

Tillsyn över Säkerhetspolisen

nande sätt som i brottsdatalagen är därför inte möjligt. Det är då inte heller möjligt att begränsa nämndens skyldighet att utföra kontroll på begäran av enskild på det sätt som görs i brottsdata- lagen (jfr SOU 2017:29 s. 452 f.).

I dag har nämnden ingen möjlighet att vägra att utföra kontroll ens om begäran om kontroll är orimlig eller uppenbart ogrundad. Det skulle enligt utredningens mening innebära en viss lättnad om nämnden åtminstone får uttryckligt stöd för att inte utföra någon kontroll i sådana fall. Som nyss nämnts kan en vägran dock inte grundas på att den enskilde inte har gjort tillräckligt för att själv klarlägga om hans eller hennes personuppgifter behandlas eller om han eller hon varit föremål för hemliga tvångsmedel.

Vid tillsyn över Säkerhetspolisen bör det t.ex. kunna ses som orimligt att kontrollera förhållanden som ligger långt tillbaka i tiden. Finns det inte längre någon möjlighet att begära skadestånd för kränkande personuppgiftsbehandling, saknas det som regel an- ledning att utföra kontroll. Likaså bör det kunna anses orimligt att utföra upprepade kontroller med korta tidsintervall eller beträf- fande frågor som redan har kontrollerats. Utredningen föreslår där- för att nämnden bör ges möjlighet att vägra att utföra kontroll om begäran är orimlig eller uppenbart ogrundad. Enligt utredningens mening bör enskildas möjlighet att begära kontroll inte begränsas utöver det, mot bakgrund av rätten till ett effektivt rättsmedel en- ligt Europakonventionen (jfr prop. 2006/07:133 s. 64 f. och SOU 2016:65 s. 177 f.).

Nämndens avgöranden bör inte kunna överklagas

Enligt 6 § lagen om tillsyn över viss brottsbekämpande verksamhet får nämndens avgöranden inte överklagas, vilket hör samman med att dess uttalanden inte är bindande. Det får till följd att den en- skilde fritt kan återkomma med begäran om ny kontroll (se prop. 2006/07:133 s. 71). En konsekvens av att införa en ordning där nämnden kan vägra att utföra kontroll är att sådana beslut inte heller kommer att kunna överklagas. Även om nämnden måste fatta beslut om att vägra utföra kontroll bedömer utredningen att den ordningen är mindre resurskrävande för nämnden än att genomföra orimliga eller uppenbart ogrundade kontroller.

731

Tillsyn över Säkerhetspolisen

SOU 2017:74

15.7.3Anmälningsskyldighet

Utredningens förslag: Nämndens skyldighet att anmäla om- ständigheter som bör komma till tillsynsmyndighetens känne- dom ska förtydligas.

Nämndens anmälningsskyldighet till Justitiekanslern ska be- gränsas till frågor som nämnden uppmärksammar vid kontroll på begäran av enskild.

Skälen för utredningens förslag: Nämnden är enligt 20 § förord- ningen (2007:1141) med instruktion för Säkerhets- och integritets- skyddsnämnden skyldig att anmäla vissa förhållanden som det an- kommer på andra myndigheter att ingripa mot.

Om nämnden finner omständigheter som Datainspektionen bör uppmärksammas på, ska nämnden anmäla det till inspektionen. Ordalydelsen ger inte något klart besked om vad skyldigheten om- fattar. Utredningen om tillsynen över den personliga integriteten påtalar att Datainspektionen och nämnden tolkar skyldigheten på olika sätt men anser inte att det krävs någon ändring av bestäm- melsen (se SOU 2016:65 s. 184).

Mot bakgrund av att regleringen av tillsyn i brottsdatalagen bygger på en delvis annan syn än i dag, där framför allt skillnaden mellan förebyggande och korrigerande befogenheter betonas, anser utredningen att nämndens anmälningsskyldighet bör förtydligas. Enligt utredningens mening bör nämndens skyldighet att påtala frågor som bör komma till tillsynsmyndighetens kännedom be- gränsas till brister som är av så allvarlig karaktär att det kan finnas skäl för tillsynsmyndigheten att överväga om någon korrigerande befogenhet behöver användas. Anmälningsskyldigheten bör alltså inte omfatta mindre allvarliga brister, men det finns naturligtvis inget som hindrar att nämnden ändå uppmärksammar tillsynsmyn- digheten på sådana brister. Skyldigheten kan lämpligen utformas på det sättet att om nämnden bedömer att Säkerhetspolisen brister i sina skyldigheter vid behandling av personuppgifter på sådant sätt att korrigerande befogenheter kan behöva användas, ska nämnden anmäla det till tillsynsmyndigheten.

Om nämnden i sin verksamhet uppmärksammar förhållanden som kan medföra skadeståndsskyldighet för staten, ska nämnden enligt 20 § anmäla det till Justitiekanslern. Anmälningsskyldigheten

732

SOU 2017:74

Tillsyn över Säkerhetspolisen

omfattar alla felaktigheter som nämnden upptäcker i sin tillsyns- verksamhet. När en sådan anmälan görs leder det till att integri- tetskänsliga uppgifter om en person kan komma att spridas utan hans eller hennes vetskap eller vilja. Om nämnden t.ex. upptäcker att känsliga personuppgifter har behandlats felaktigt är det inte självklart att den berörde vill att någon utomstående ska få känne- dom om det, vilket kan bli följden av en anmälan till Justitiekans- lern. Det bör inte krävas att nämnden alltid tar kontakt med den berörde för att höra om han eller hon är intresserad av eventuell möjlighet att kräva staten på skadeståndsersättning. Mot den bak- grunden anser utredningen att bestämmelsen om nämndens anmäl- ningsskyldighet till Justitiekanslern bör begränsas till de situationer där den enskilde själv har vänt sig till nämnden med begäran om kontroll enligt 3 § lagen om tillsyn över viss brottsbekämpande verksamhet. Han eller hon får då anses ha gett uttryck för att eventuella felaktigheter ska föranleda någon form av reaktion.

733

16Register över tillträdesförbud vid idrottsarrangemang

16.1Nuvarande reglering

16.1.1Tillträdesförbudsregistret

Förutsättningarna för beslut om tillträdesförbud

Enligt 1 § lagen (2005:321) om tillträdesförbud vid idrottsarrange- mang får en person förbjudas att få tillträde till och vistas på en inhägnad plats som huvudsakligen är avsedd för idrottsutövning när idrottsarrangemang anordnas på platsen av en idrottsorgani- sation, s.k. tillträdesförbud. Det gäller även om allmänheten har tillträde till platsen.

För att en person ska kunna meddelas tillträdesförbud ska det på grund av särskilda omständigheter finnas risk att han eller hon kommer att begå brott under idrottsarrangemang som anordnas av en idrottsorganisation på en inhägnad plats huvudsakligen avsedd för idrottsutövning och att brottet är ägnat att störa ordningen eller säkerheten där.

Frågor om tillträdesförbud prövas av åklagare, som kan utfärda tillträdesförbud för viss tid, högst tre år med möjlighet till förläng- ning. Åklagarens beslut kan prövas av allmän domstol. Den som bryter mot ett tillträdesförbud döms för överträdelse av tillträdes- förbud till böter eller fängelse i högst sex månader.

Tillträdesförbudsregistrets syfte och innehåll

I samband med att reglerna om tillträdesförbud skärptes år 2015 in- fördes särskilda regler om registrering av sådana förbud. Lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang

735

SOU 2017:74

syftar enligt 1 § till att ge dels Polismyndigheten, dels idrottsorga- nisationer möjlighet att behandla personuppgifter för att på ett ändamålsenligt sätt kunna upprätthålla gällande beslut om tillträ- desförbud vid idrottsarrangemang. Lagen gäller enligt 4 § utöver personuppgiftslagen. Det innebär att om det inte finns avvikande bestämmelser i lagen eller föreskrifter som har meddelats med stöd av den ska personuppgiftslagen tillämpas.

Polismyndigheten för enligt 2 § ett särskilt register, tillträdes- förbudsregistret. Det får enligt 8 § endast innehålla de uppgifter om en person som har meddelats tillträdesförbud

1.som behövs för de ändamål för vilka Polismyndigheten får föra registret och

2.som avser

a)namn,

b)personnummer eller samordningsnummer,

c)folkbokföringsadress och annan stadigvarande adress,

d)alias,

e)fotografi,

f)anknytning till idrott och idrottsorganisation,

g)omfattningen och giltighetstiden av beslut om tillträdesför- bud, och

h)överträdelse av gällande tillträdesförbud.

En uppgift i tillträdesförbudsregistret ska enligt 12 § gallras om uppgiften inte längre behövs för något av de ändamål för vilka Polismyndigheten får behandla personuppgifter enligt lagen. Upp- gifterna ska dock gallras senast när tillträdesförbudets giltighetstid löper ut eller om tillträdesförbudet dessförinnan upphävs.

16.1.2Polismyndighetens roll

Enligt 3 § gäller lagen vid Polismyndighetens behandling av person- uppgifter i tillträdesförbudsregistret. Lagen gäller vid behandling som är helt eller delvis automatiserad eller om personuppgifterna

736

SOU 2017:74

ingår i eller är avsedda att ingå i en strukturerad samling av person- uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Polismyndigheten är enligt 5 § person- uppgiftsansvarig för den personuppgiftsbehandling som myndig- heten utför enligt lagen.

Polisdatalagen är tillämplig på behandling av personuppgifter som rör tillträdesförbud och som inte utförs i tillträdesförbudsre- gistret. Polisdatalagen tillämpas således dels i sådana utredningar som ska föregå beslut om tillträdesförbud, dels vid utredning av överträdelser av tillträdesförbud.

Polismyndigheten får enligt 6 § behandla personuppgifter i till- trädesförbudsregistret om det behövs för att förebygga, förhindra eller upptäcka överträdelser av tillträdesförbud. Personuppgifter som behandlas enligt 6 § får också behandlas av Polismyndigheten för att dels tillhandahålla idrottsorganisationer den information som behövs för att de ska kunna upprätthålla gällande tillträdesför- bud, dels fullgöra myndighetens uppgiftslämnande enligt lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen.

Personuppgifter får enligt 10 § lagen om register över tillträdes- förbud vid idrottsarrangemang lämnas ut på medium för automa- tiserad behandling.

Enligt 11 § ska tillgången till personuppgifter begränsas till vad den som arbetar vid Polismyndigheten behöver för att kunna full- göra sina arbetsuppgifter.

I förarbetena framhålls att Polismyndighetens behandling av personuppgifter enligt lagen åtminstone delvis är brottsbekämpan- de (se Register över tillträdesförbud vid idrottsarrangemang, prop. 2013/14:254, s. 43).

16.1.3Idrottsorganisationernas roll

En idrottsorganisation får enligt 7 § lagen om register över tillträ- desförbud vid idrottsarrangemang behandla personuppgifter från tillträdesförbudsregistret om det behövs för att förebygga, förhin- dra eller upptäcka överträdelser av tillträdesförbud vid ett idrotts- arrangemang som organisationen anordnar. En sådan organisation har också enligt 9 § rätt att ta del av uppgifter i tillträdesförbuds-

737

SOU 2017:74

registret trots att det enligt 35 kap. 4 a § offentlighets- och sekre- tesslagen gäller sekretess för uppgifterna.

Tillgången till personuppgifter ska enligt 11 § begränsas till vad den som arbetar eller utför uppdrag åt en idrottsorganisation behö- ver för att kunna fullgöra arbetsuppgifterna eller uppdraget.

En uppgift som en idrottsorganisation har fått tillgång till från tillträdesförbudsregistret ska enligt 13 § tas bort om uppgiften inte längre behövs för de ändamål för vilka idrottsorganisationen får behandla uppgifter. Uppgifterna ska dock tas bort senast när tillträ- desförbudets giltighetstid löper ut eller om tillträdesförbudet dess- förinnan upphävs.

Den som arbetar eller utför uppdrag åt en idrottsorganisation och som tar befattning med en uppgift som har inhämtats med stöd av lagen får enligt 14 § inte obehörigen röja vad han eller hon fått veta om någon enskilds personliga förhållanden. Tystnadsplikten har ett vidare tillämpningsområde och träffar inte bara den som behandlar personuppgifter (se prop. 2013/14:254 s. 25).

16.2Två olika regleringar

Utredningens förslag: Polismyndighetens behandling av per- sonuppgifter i tillträdesförbudsregistret ska regleras i polisens brottsdatalag, medan lagen om register över tillträdesförbud vid idrottsarrangemang i fortsättningen bara ska reglera idrottsorga- nisationernas behandling av personuppgifter. Lagen ska benäm- nas lagen om idrottsorganisationers behandling av uppgifter om tillträdesförbud. Bestämmelserna i lagen som rör Polismyndig- hetens personuppgiftsbehandling ska upphävas.

Skälen för utredningens förslag

Ändrade förutsättningar

EU:s dataskyddsreform medför skillnader mellan behandling av personuppgifter som regleras i brottsdatalagen och dataskydds- förordningen. Som framgår av bl.a. avsnitt 9.1.2 får det framför allt betydelse för anpassningen av sådana författningar som reglerar personuppgiftsbehandling både inom och utanför brottsdatalagens

738

SOU 2017:74

tillämpningsområde. Hit hör lagen om register över tillträdesför- bud vid idrottsarrangemang, eftersom den både reglerar Polismyn- dighetens och idrottsorganisationernas behandling av personupp- gifter. I delbetänkandet konstaterar utredningen att idrottsorgani- sationernas behandling av personuppgifter enligt lagen ligger utan- för brottsdatalagens tillämpningsområde, eftersom någon myndig- hetsutövning inte har överlåtits till dem (se SOU 2017:29 s. 229).

Det sagda innebär att idrottsorganisationer som utgångspunkt ska tillämpa dataskyddsförordningen med kompletterande lagstift- ning vid behandling av personuppgifter som härrör från tillträdes- förbudsregistret. Som framgår av Dataskyddsutredningens betän- kande finns det inget som hindrar att Sverige i viss utsträckning behåller särreglering även inom dataskyddsförordningens tillämp- ningsområde (se SOU 2017:39 s. 78 f.).

Det finns enligt utredningens mening starka skäl för att behålla den särskilda regleringen av hur idrottsorganisationer får behandla personuppgifter som härrör från tillträdesförbudsregistret. Det är uppgifter som kan vara integritetskänsliga. Är det fråga om uppgif- ter om överträdelse av tillträdesförbud avser uppgifterna lagöver- trädelser. För att idrottsorganisationerna ska kunna behandla upp- gifter om lagöverträdelser i samma utsträckning som i dag krävs det särreglering.

I delbetänkandet konstaterar utredningen att behöriga myndig- heters behandling av personuppgifter som rör tillträdesförbud lig- ger inom brottsdatalagens tillämpningsområde, eftersom den inte bara omfattar brottsbekämpning utan även upprätthållande av all- män ordning och säkerhet (se SOU 2017:29 s. 228 f.). Bestämmel- serna om Polismyndighetens personuppgiftsbehandling i tillträdes- förbudsregistret behöver därmed anpassas till brottsdatalagen.

Bör dagens reglering behållas?

I förarbetena till lagen om register över tillträdesförbud vid idrotts- arrangemang redovisas inte skälen för att lagstiftaren valde att reg- lera både Polismyndighetens och idrottsorganisationernas behand- ling av personuppgifter i samma författning. Det mesta talar dock för att det ansågs vara en praktisk lösning.

739

SOU 2017:74

Om samma lagtekniska lösning skulle gälla även fortsättningsvis måste Polismyndighetens personuppgiftsbehandling regleras så att bestämmelserna gäller utöver brottsdatalagen, medan idrottsorga- nisationernas personuppgiftsbehandling ska förhålla sig till data- skyddsförordningen och den svenska lagstiftning som komplette- rar den. Det skulle i och för sig vara möjligt att skapa en sådan reg- lering, t.ex. genom att dela in lagen i kapitel och låta dem förhålla sig till respektive lagstiftning. Det är emellertid enligt utredningens mening svårt att finna några övertygande skäl för att behålla en gemensam reglering. Varken handläggningsskäl eller effektivitets- skäl talar för det. Lagtekniska skäl talar också mot det, om det går att finna en annan rimlig lösning.

För idrottsorganisationerna regleras framför allt hur uppgifter som härrör från tillträdesförbudsregistret får behandlas. Motsva- rande regelverk finns normalt inte i de författningar som reglerar myndighetsregister. Även det talar mot att behålla den nuvarande författningsstrukturen.

Utredningens slutsats är att den nuvarande regleringen bör delas upp på två olika regelverk – ett för Polismyndighetens personupp- giftsbehandling och ett för idrottsorganisationernas personupp- giftsbehandling.

Polismyndighetens personuppgiftsbehandling regleras i polisens brottsdatalag

Utgångspunkten för lagstiftaren var enligt förarbetena till polisda- talagen att bestämmelserna om Polismyndighetens behandling av personuppgifter så långt möjligt ska vara samlade i den lagen. Det ansågs enligt förarbetena inte lämpligt att föra in regleringen av vissa register i polisdatalagen (se prop. 2009/10:85 s. 76 f.). I dag undantas i 1 kap. 3 § polisdatalagen behandling av personuppgifter i bl.a. tillträdesförbudsregistret från lagens tillämpningsområde. Skä- len för det är framför allt att lagen om register över tillträdesförbud vid idrottsarrangemang bara till viss del ansågs kunna hänföras till brottsbekämpning. För att inte fler än en författning skulle vara tillämplig på samma behandling av personuppgifter undantogs be- handlingen i registret från polisdatalagens tillämpningsområde (se prop. 2013/14:254 s. 43).

740

SOU 2017:74

Även om lagstiftningen om tillträdesförbudsregistret är relativt ny, anser utredningen att det finns skäl att på nytt överväga frågan om bestämmelserna om Polismyndighetens behandling av person- uppgifter i tillträdesförbudsregistret kan föras in i polisens brotts- datalag. Det är möjligt att arbeta in bestämmelserna i den lagen när den genom dataskyddsreformen får ett bredare tillämpningsområde och även omfattar upprätthållande av allmän ordning och säkerhet (se avsnitt 7.1.2). Det tidigare hindret mot att reglera all Polismyn- dighetens personuppgiftsbehandling i samma författning har där- med undanröjts. En förutsättning för att föra över regleringen till polisens brottsdatalag bör dock vara att tillträdesförbudsregistret alltjämt regleras som ett särskilt register.

Om bestämmelserna om Polismyndighetens behandling av per- sonuppgifter i tillträdesförbudsregistret upphävs och motsvarande bestämmelser införs i polisens brottsdatalag kan lagen om register över tillträdesförbud vid idrottsarrangemang renodlas till att enbart omfatta idrottsorganisationernas personuppgiftsbehandling. Ut- redningen anser att det är den bästa lösningen.

Idrottsorganisationernas personuppgiftsbehandling

Den som anordnar en offentlig tillställning, exempelvis sporttäv- lingar, ansvarar enligt 2 kap. 16 § ordningslagen (1993:1617) för att det gäller god ordning vid tillställningen. Polismyndigheten får meddela de villkor som behövs för att upprätthålla ordning och säkerhet vid tillställningen. Ansvaret för att idrottsarrangemang kan anordnas på ett tryggt sätt med hög säkerhet för såväl aktiva som publik vilar alltså i första hand på de arrangerande idrottsorga- nisationerna (se prop. 2013/14:254 s. 19). Det är också de som ska se till att gällande tillträdesförbud respekteras. Det är av det skälet som idrottsorganisationerna ges tillgång till uppgifter om tillträdes- förbud. Att arrangörerna har kännedom om vilka personer som har tillträdesförbud och kan identifiera dem vid inpasseringskontrollen ger möjlighet att hindra att personer med tillträdesförbud släpps in när ett idrottsarrangemang äger rum.

I avsnitt 6.4.1 redovisar utredningen vilka rättsliga grunder som är tillåtna enligt dataskyddsförordningen. Enligt artikel 6.1 e är det bl.a. om behandlingen är nödvändig för att utföra en uppgift av

741

SOU 2017:74

allmänt intresse och enligt artikel 6.1 c om behandlingen är nöd- vändig för att fullgöra en rättslig förpliktelse. Enligt artikel 6.3 ska den rättsliga grunden för sådan behandling fastställas i enlighet med unionsrätten eller nationell rätt.

Idrottsorganisationernas uppgift att förebygga och förhindra ordningsstörningar vid idrottsarrangemang genom att se till att ut- färdade tillträdesförbud får effekt innebär enligt utredningens mening att idrottsorganisationerna utför en uppgift av allmänt in- tresse. Som redovisas närmare i förarbetena till lagen om register över tillträdesförbud vid idrottsarrangemang är det då nödvändigt att de kan behandla vissa personuppgifter rörande dem som har meddelats tillträdesförbud. Utredningen anser därför att reglerna om idrottsorganisationernas rätt att behandla vissa personuppgifter i lagen kan behållas. Viss anpassning av bestämmelserna kan dock krävas. Utredningen återkommer till det i avsnitt 16.4.

Idrottsorganisationernas personuppgiftsbehandling bör enligt utredningens mening även fortsättningsvis regleras i lagen om regi- ster över tillträdesförbud vid idrottsarrangemang. Om lagen renod- las på det sättet att bestämmelserna om Polismyndighetens be- handling av personuppgifter om tillträdesförbud i sin helhet reg- leras i polisens brottsdatalag bör dock namnet på lagen ändras. Den bör benämnas lagen om idrottsorganisationers behandling av upp- gifter om tillträdesförbud.

16.3Regleringen för Polismyndigheten

Utredningens förslag: De nuvarande bestämmelserna om rätten att föra tillträdesförbudsregistret, för vilka ändamål personupp- gifter får behandlas i registret, dess innehåll, hur länge uppgif- terna får behandlas, under vilka förutsättningar de får lämnas ut och den sekretessbrytande bestämmelsen ska flyttas till polisens brottsdatalag.

742

SOU 2017:74

Skälen för utredningens förslag

Bestämmelser flyttas till polisens brottsdatalag

Som framgår av avsnitt 16.2 är syftet med Polismyndighetens be- handling av personuppgifter i tillträdesförbudsregistret sådant att det ligger inom brottsdatalagens tillämpningsområde. De nuvaran- de bestämmelserna om Polismyndighetens behandling av person- uppgifter i tillträdesförbudsregistret bör oförändrade i sak föras över till polisens brottsdatalag. De bör placeras i det kapitel där vissa andra register som myndigheten för särregleras. Härigenom kommer fortsättningsvis all behandling av personuppgifter som Polismyndigheten utför när det gäller tillträdesförbud att regleras i den lagen.

Många bestämmelser som i dag reglerar Polismyndighetens be- handling av personuppgifter i tillträdesförbudsregistret blir emel- lertid överflödiga om regleringen flyttas till polisens brottsdatalag, eftersom motsvarande bestämmelser redan finns antingen i den lagen eller brottsdatalagen. Det gäller bl.a. bestämmelserna om att behandlingen enligt huvudregeln ska vara automatiserad, om per- sonuppgiftsansvar och om tillgången till personuppgifter. De kan därför upphävas utan att ersättas. Det behövs inte heller någon sär- skild bestämmelse om rättelse eller skadestånd.

De bestämmelser som bör flyttas till polisens brottsdatalag, och i förekommande fall anpassas, är bestämmelserna om rätten att föra tillträdesförbudsregistret (2 §), för vilka ändamål personuppgifter får behandlas i registret (6 §), dess innehåll (8 §) och hur länge uppgifterna får behandlas (12 §). Någon förändring i sak bör inte göras, men bestämmelserna behöver anpassas till polisens brotts- datalag. Det innebär bl.a. att gallringsbestämmelsen, av de skäl som anges i avsnitt 5.5.2, bör göras om till en bestämmelse om längsta tid för behandling.

Även den sekretessbrytande bestämmelsen, som ger idrottsor- ganisationer rätt att ta del av uppgifter ur registret trots den sekre- tess som gäller för sådana uppgifter (9 §), bör flyttas till polisens brottsdatalag. Bestämmelsen, som bör placeras i 2 kap. tillsammans med övriga sekretessbrytande regler, bör inte ändras i sak.

Förslagen kräver vissa följdändringar i förordningen (2015:54) om register över tillträdesförbud vid idrottsarrangemang.

743

SOU 2017:74

16.4Regleringen för idrottsorganisationerna

Utredningens förslag: En bestämmelse som anger hur lagen om idrottsorganisationers behandling av uppgifter om tillträdesför- bud förhåller sig till dataskyddsförordningen och komplette- rande nationell lagstiftning ska införas.

Skälen för utredningens förslag: Lagen om register över tillträ- desförbud vid idrottsarrangemang gäller i dag utöver personupp- giftslagen. Den hänvisningen bör av de skäl som anges i av- snitt 5.3.1 upphävas, eftersom personuppgiftslagen upphör att gälla när dataskyddsförordningen ska börja tillämpas. Det bör i stället införas en bestämmelse som upplyser om att dataskyddsförord- ningen gäller och att, om det inte finns särregler i lagen, den komp- letterande lagstiftningen ska tillämpas vid idrottsorganisationers behandling av uppgifter som rör tillrädesförbud,. Vidare bör gall- ringsbestämmelsen, av de skäl som anges i avsnitt 5.5.2, göras om till en bestämmelse om längsta tid för behandling. I övrigt kan be- stämmelserna om idrottsorganisationers behandling av personupp- gifter enligt utredningens mening behållas oförändrade. På grund av att bestämmelserna om Polismyndighetens behandling av per- sonuppgifter bryts ut krävs det omfattande redaktionella ändringar i lagen.

16.5Följdändringar

Utredningens förslag: Hänvisningar till lagen om register över tillträdesförbud vid idrottsarrangemang ska ändras till hänvis- ningar till polisens brottsdatalag.

Skälen för utredningens förslag

Sekretessen för uppgifter i tillträdesförbudsregistret

Sekretessen för uppgifter i tillträdesförbudsregistret regleras i 35 kap. 4 a § offentlighets- och sekretesslagen. Den gäller i verk- samhet som avser förande av register enligt lagen om register över

744

SOU 2017:74

tillträdesförbud vid idrottsarrangemang för uppgift om enskildas personliga förhållanden, om det inte står klart att uppgiften kan röjas utan men för den enskilde eller någon närstående. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

Om bestämmelserna om tillträdesförbudsregistret flyttas till polisens brottsdatalag, och regleras i 5 kap. (nuvarande 4 kap.) till- sammans med vissa andra register, kan det diskuteras om den sär- skilda sekretessbestämmelsen behövs. Enligt 35 kap. 1 § offentlig- hets- och sekretesslagen gäller sekretess för bl.a. uppgift om en- skilds personliga eller ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men och upp- giften förekommer i register som Polismyndigheten för enligt 4 kap. polisdatalagen. För uppgift i en allmän handling gäller sek- retessen i högst sjuttio år.

Den särskilda sekretessbestämmelsen för tillträdesförbudsre- gistret är dock inte identisk med den som gäller för övriga register som nu regleras i 4 kap. polisdatalagen. Skaderekvisitet i 35 kap. 1 § är vidare och omfattar både skada och men. Föremålet för sekre- tessen skiljer sig också på det sättet att sekretessen i 35 kap. 4 a § enbart skyddar enskilds personliga förhållanden, medan sekretessen i 35 kap. 1 § skyddar enskilds personliga och ekonomiska förhål- landen. Utredningen anser därför att den särskilda sekretessbe- stämmelsen för tillträdesförbudsregistret bör behållas men en hän- visning behöver ändras när regleringen flyttas.

Lagen och förordningen om tillträdesförbud vid idrottsarrangemang

I 8 a § lagen om tillträdesförbud vid idrottsarrangemang föreskrivs att en polisman eller annan anställd vid Polismyndigheten får foto- grafera en person som har eller skäligen kan antas få tillträdesför- bud enligt lagen, för att fotografiet ska kunna tillföras tillträdes- förbudsregistret. Eftersom regleringen av tillträdesförbudsregistret flyttas bör hänvisningen till lagen om register över tillträdesförbud vid idrottsarrangemang ändras. Det krävs även ändringar i förord- ningen (2005:323) om tillträdesförbud vid idrottsarrangemang.

745

17 Övriga författningsändringar

17.1Tystnadsplikt för dataskyddsombud

Utredningens förslag: Den som fullgör uppgift som data- skyddsombud ska inte obehörigen få röja eller utnyttja det som han eller hon har fått veta om enskilds personliga eller ekono- miska förhållanden.

I det allmännas verksamhet ska offentlighets- och sekre- tesslagen tillämpas.

Skälen för utredningens förslag

Behovet av en bestämmelse om tystnadsplikt

Det är inte bara myndigheterna i rättskedjan som ska tillämpa brottsdatalagen utan även andra myndigheter. I vissa fall ska även andra aktörer tillämpa lagen. I delbetänkandet föreslår utredningen att alla som tillämpar brottsdatalagen ska utse dataskyddsombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas (se SOU 2017:29 s. 340 f.). Det gäller således även andra aktörer än myndigheter.

Utredningen konstaterar i delbetänkandet att det kommer att krävas en regel om tystnadsplikt för dataskyddsombud som inte ska tillämpa offentlighets- och sekretesslagen. Eftersom det är önskvärt att en sådan regel utformas på samma sätt för både dataskyddsförordningens och brottsdatalagens tillämpningsområ- den valde utredningen att avvakta Dataskyddsutredningens förslag (se SOU 2017:29 s. 631 f.).

747

Övriga författningsändringar

SOU 2017:74

Dataskyddsutredningens förslag

Dataskyddsutredningen gör följande bedömning när det gäller dataskyddsombud som inte är offentliganställda (se SOU 2017:39 s. 263).

Dataskyddsombudets ställning kan i vissa avseenden likställas med revisorns eller skyddsombudets, och tystnadsplikten för dataskydds- ombud bör därför utformas på ett liknande sätt. Tystnadsplikten ska således avgränsas med ett obehörighetsrekvisit vilket bland annat in- nebär att uppgifter kan lämnas ut med samtycke, till tillsynsmyndighet eller annars som en följd av en skyldighet i lag eller författning.

Bestämmelsen om tystnadsplikt för dataskyddsombud bör enligt Dataskyddsutredningen utformas på följande sätt (se SOU 2017:39 s. 40).

Den som utsetts till dataskyddsombud enligt artikel 37 i dataskydds- förordningen får inte obehörigen röja det som han eller hon vid fullgö- randet av sin uppgift har fått veta om enskilds personliga och ekono- miska förhållanden.

I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen.

En bestämmelse om tystnadsplikt införs i brottsdatalagen

Dataskyddsombud som utses av myndigheter ska tillämpa be- stämmelserna i offentlighets- och sekretesslagen. Det behövs enligt utredningens mening inte någon ytterligare reglering av deras tyst- nadsplikt. Dataskyddsutredningen gör samma bedömning när det gäller dataskyddsförordningens tillämpningsområde.

De dataskyddsombud som kommer att vara verksamma inom brottsdatalagens tillämpningsområde och som inte träffas av regle- ringen i offentlighets- och sekretesslagen kommer sannolikt att ha uppgifter enligt både den lagen och dataskyddsförordningen. Det är då lämpligt att reglerna om tystnadsplikt är utformade på samma sätt. Bestämmelsen om tystnadsplikt för dataskyddsombud bör därför utformas efter mönster av den bestämmelse som Data- skyddsutredningen föreslår. Det innebär att regleringen bör utgå från ett obehörighetsreksvisit och föreskriva att den som fullgör uppgift som dataskyddsombud inte obehörigen får röja eller ut- nyttja det som han eller hon har fått veta om enskilds personliga

748

SOU 2017:74

Övriga författningsändringar

och ekonomiska förhållanden. Bestämmelsen bör placeras i 3 kap. brottsdatalagen.

17.2Sekretessfrågor

17.2.1Följdändringar i offentlighets- och sekretesslagen

Utredningens förslag: Hänvisningar i offentlighets- och sekre- tesslagen till de registerförfattningar vilkas namn byts ut ska ändras. Andra hänvisningar ska också ändras.

Skälen för utredningens förslag: Ett flertal paragrafer i offentlig- hets- och sekretesslagen innehåller hänvisningar till en eller flera av de registerförfattningar som utredningen föreslår ska anpassas till brottsdatalagen. Det gäller 18 kap. 2 och 18 §§, 35 kap. 1 och 10 §§ och 37 kap. 7 §. I 35 kap. 1 och 10 §§ offentlighets- och sekre- tesslagen nämns polisens, Skatteverkets, Tullverkets, Kustbevak- ningens och åklagarväsendets registerförfattningar vid namn. Vissa av dem nämns på motsvarande sätt i 18 kap. 2 §. Eftersom utred- ningen föreslår att registerförfattningarna ska få nya namn behöver hänvisningarna i dessa paragrafer ändras. Det gäller även hänvis- ningar till kapitel och paragrafer i vissa av lagarna. Ändringarna i polisdatalagen innebär vidare att kapitelnumreringen ändras. Hän- visningen i 35 kap. 1 § till 4 kap. polisdatalagen behöver därmed ändras. Som framgår av avsnitt 16.5 behöver även hänvisningarna i 35 kap. 4 a § och 10 b § ändras med anledning av de ändringar som föreslås beträffande regleringen av tillträdesförbudsregistret.

På motsvarande sätt behöver hänvisningarna till den reglering som gäller för Säkerhetspolisen ändras i 18 kap. 2 § och 35 kap. 1 § offentlighets- och sekretesslagen. Ett tillägg bör också göras i 35 kap. 10 §, eftersom Säkerhetspolisens personuppgiftsbehandling föreslås regleras i en särskild lag.

749

Övriga författningsändringar

SOU 2017:74

17.2.2Sekretess för uppgifter i verksamhet för teknisk bearbetning och lagring

Utredningens bedömning: Bestämmelsen om sekretess i verk- samhet för enbart teknisk bearbetning eller teknisk lagring för någon annans räkning behöver inte ändras.

Skälen för utredningens bedömning: Enligt 40 kap. 5 § offent- lighets- och sekretesslagen gäller sekretess i verksamhet som består av enbart teknisk bearbetning eller teknisk lagring för någon annans räkning av sådana personuppgifter som avses i personupp- giftslagen. Sekretessen gäller oavsett om det är fråga om bearbet- ning eller lagring för en annan myndighets räkning eller för en- skildas räkning. Med teknisk bearbetning avses t.ex. att text på papper scannas in för att lagras elektroniskt. Teknisk lagring avser alla former av lagring som kräver särskilda tekniska anordningar, t.ex. lagring av information på hårddisk eller i molntjänster. Sekre- tessbestämmelsen hänvisar i fråga om personuppgifter till person- uppgiftslagen. Sekretessen, som är absolut, skyddar uppgifter om enskildas personliga och ekonomiska förhållanden.

Dataskyddsutredningen föreslår att hänvisningen till person- uppgiftslagen i 40 kap. 5 § offentlighets- och sekretesslagen ska ersättas med en dynamisk hänvisning till artikel 4.1 i dataskydds- förordningen (se SOU 2017:39 s. 52 och 270 f.). Som framgår av delbetänkandet är det inte ovanligt att myndigheter agerar person- uppgiftsbiträden åt varandra eller på annat sätt biträder med tek- nisk bearbetning eller annan behandling av personuppgifter inom brottsdatalagens tillämpningsområde (se SOU 2017:29 s. 351). Dataskyddsutredningens förslag innebär att sekretessen i 40 kap. 5 § inte längre skulle omfatta teknisk bearbetning eller teknisk lag- ring inom brottsdatalagens tillämpningsområde. Om det förslaget skulle genomföras skulle det därför behövas en hänvisning även till brottsdatalagen i paragrafen.

I propositionen Utökat sekretesskydd i verksamhet för teknisk bearbetning och lagring föreslår regeringen emellertid att kopp- lingen till personuppgiftsbehandling ska upphöra och att sekretes- sen ska gälla generellt för alla uppgifter om enskilds personliga eller ekonomiska förhållanden i sådan verksamhet (se prop. 2016/17:198 s. 15 f.). Där föreslås också en ny bestämmelse om överföring av

750

SOU 2017:74

Övriga författningsändringar

sekretess. Om en myndighet, i verksamhet för enbart teknisk bear- betning eller teknisk lagring, för en annan myndighets räkning får en uppgift som hos sistnämnda myndighet är sekretessbelagd av hänsyn till ett allmänt intresse, ska sekretessbestämmelsen även tillämpas hos den mottagande myndigheten. Lagändringarna före- slås träda i kraft den 1 januari 2018.

Under förutsättning att förslaget till ändring av 40 kap. 5 § offentlighets- och sekretesslagen antas av riksdagen knyts sekretes- sen inte längre till behandling av personuppgifter. Det finns då inget behov av att ändra bestämmelsen på det sätt som utredningen i delbetänkandet förutsåg kunde bli nödvändigt.

17.2.3Sekretess för uppgifter som behandlas i strid med personuppgiftsregleringen

Utredningens bedömning: Sekretessen för personuppgifter som behandlas i strid med personuppgiftsregleringen behöver inte ändras.

Skälen för utredningens bedömning: Enligt 21 kap. 7 § offentlig- hets- och sekretesslagen gäller sekretess för personuppgift om det kan antas att utlämnande skulle medföra att uppgifter behandlas i strid med personuppgiftslagen. Dataskyddsutredningen föreslår att bestämmelsen ändras. Förslaget innebär för det första att det tyd- liggörs att det som sekretessen syftar till att skydda är att person- uppgiften behandlas i strid med personuppgiftsregleringen efter det att den har lämnats ut. Vidare föreslås att hänvisningen till person- uppgiftslagen byts ut mot dels en statisk hänvisning till data- skyddsförordningen, dels en hänvisning till lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning (se SOU 2017:39 s. 265 f.).

Den fråga som väcks är om det förhållandet att det när person- uppgiftslagen upphör att gälla kommer att finnas två olika regel- verk för personuppgiftsbehandling (dels dataskyddsförordningen med kompletterande nationell lagstiftning, dels brottsdatalagen) bör föranleda någon ändring i 21 kap. 7 § offentlighets- och sekre- tesslagen.

751

Övriga författningsändringar

SOU 2017:74

Syftet med sekretessbestämmelsen är att skydda mot att per- sonuppgifter som lämnas ut kommer att behandlas i strid med per- sonuppgiftsregleringen. Förslaget till ändring av paragrafen innebär att det tydliggörs att den tar sikte på den personuppgiftsbehandling som utförs efter utlämnandet. Man kan enligt utredningens mening utgå från att de som kan antas komma att behandla personuppgifter i strid med regelverket om de får tillgång till personuppgifter som har behandlats med stöd av brottsdatalagen eller någon av regis- terförfattningarna ska tillämpa dataskyddsförordningen. Det är därför tillräckligt att det i sekretessbestämmelsen hänvisas till det regelverket. Någon ändring i paragrafen, utöver det som Data- skyddsutredningen föreslår, behövs därför inte.

17.2.4Sekretess för personuppgiftsincidenter

Utredningens bedömning: Det finns inte skäl att ändra sekre- tessregleringen för personuppgiftsincidenter.

Skälen för utredningens bedömning: I delbetänkandet konstate- rar utredningen att det i dag gäller viss sekretess för rapporter om it-incidenter enligt 18 kap. offentlighets- och sekretesslagen. Sek- retessen i 18 kap. 1 och 2 §§ skyddar uppgifter i brottsanmälningar. Sekretessen i 18 kap. 3 § kompletterar den sekretessen och skyddar det underlag för en brottsanmälan som tas fram av en myndighet som avser att göra en sådan anmälan. Det sekretesskyddet gäller hos alla myndigheter, oberoende av deras arbetsuppgifter. Enligt utredningens mening är den nuvarande sekretessen tillräcklig för att skydda uppgifter om sådana personuppgiftsincidenter som kan utgöra brott (se SOU 2017:29 s. 645 f.).

Utredningen redogör också för sekretessen enligt 18 kap. 8 § 3 offentlighets- och sekretesslagen som gäller för uppgift som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs och åtgärden avser telekommunikation eller system för auto- matiserad behandling av information. Eftersom Utredningen om genomförande av NIS-direktivet hade i uppdrag att överväga om sekretesskyddet för rapportering av it-incidenter i 18 kap. 8 § 3 är tillräckligt ansåg vi att det inte fanns skäl att behandla frågan i del-

752

SOU 2017:74

Övriga författningsändringar

betänkandet men att det, beroende på vad Utredningen om genom- förande av NIS-direktivet kom fram till, kunde finnas anledning att återkomma till den.

Utredningen om genomförande av NIS-direktivet anser att det nuvarande sekretesskyddet är tillräckligt och föreslår därför ingen ändring i sekretessregleringen (se SOU 2017:36 s. 253 f.). Den ut- redningen anser att allt tyder på att sekretessbestämmelsen också har tillämpats som det har varit avsett.

Utredningen om genomförande av NIS-direktivet hänvisar i sitt betänkande bl.a. till att Kammarrätten i Göteborg i flera avgöran- den under senare år har kommit fram till att incidentrapporter om- fattas av sekretess. Kammarrätten i Stockholm har däremot nyligen

– utan att argumentera för varför skaderekvisitet inte var uppfyllt i det enskilda fallet – intagit ståndpunkten att uppgift om att en incidentrapport har lämnats inte skyddas av sekretess (dom den 20 april 2017 i mål 835-17). Datainspektionen har därefter i en skrivelse till Justitiedepartementet väckt frågan om skyndsam ut- redning av sekretessen hos myndigheten för anmälningar om per- sonuppgiftsincidenter (se inspektionens skrivelse den 7 juli 2017, dnr 1704-2017).

Det finns anledning att noga följa utvecklingen på området, men utredningen delar Utredningens om genomförande av NIS-direk- tivet uppfattning att det inte nu finns skäl att ändra regleringen avseende sekretess för personuppgiftsincidenter.

17.3Lagen om internationellt polisiärt samarbete

Utredningens förslag: Lagen om internationellt polisiärt sam- arbete ska gälla utöver brottsdatalagen. Förhållandet mellan per- sonuppgiftsregleringen i lagen och annan personuppgiftslagstift- ning inom brottsdatalagens tillämpningsområde ska tydliggöras genom en bestämmelse i förstnämnda lag, där också vissa be- stämmelser ska anpassas till brottsdatalagens reglering.

Bestämmelser i lagen om internationellt polisiärt samarbete som hänvisar till personuppgiftslagen i fråga om skadestånd ska i stället hänvisa till brottsdatalagen.

753

Övriga författningsändringar

SOU 2017:74

Skälen för utredningens förslag

Anpassningar till brottsdatalagen och registerförfattningarna

I lagen om internationellt polisiärt samarbete finns det bestämmel- ser om informationsutbyte i 6–10 kap. Regleringen behöver anpas- sas till den nya personuppgiftsregleringen i flera olika avseenden.

Av 6 kap. 1 § framgår att lagen gäller utöver polisdatalagen, kustbevakningsdatalagen och tullbrottsdatalagen. Det innebär att även de generella bestämmelserna i personuppgiftslagen som regi- sterförfattningarna hänvisar till ska tillämpas vid behandling av personuppgifter vid internationellt polisiärt samarbete (se prop. 2010/11:129 s. 47 f). För att samma reglering som i dag ska gälla bör det föreskrivas att lagen om internationellt polisiärt samarbete ska gälla utöver brottsdatalagen. Lagen bör tillämpas i den utsträck- ning den innehåller bestämmelser om personuppgiftsbehandling som avviker från bestämmelserna i brottsdatalagen och de särskilt uppräknade registerförfattningarna. Där bör även Säkerhetspoli- sens datalag nämnas, eftersom myndighetens personuppgiftsbe- handling föreslås regleras i en särskild lag (se avsnitt 14.2.2).

Hänvisningar till personuppgiftslagen

I 7 kap. 7 §, 8 kap. 3 §, 9 kap. 5 § och 10 kap. 3 § lagen om inter- nationellt polisiärt samarbete finns det bestämmelser som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd. De bestämmelserna bör ersättas med hänvisningar till brottsdata- lagen. När det gäller rättelse behövs inte någon hänvisning, efter- som lagen om internationellt polisiärt samarbete föreslås gälla ut- över brottsdatalagen och den innehåller generella bestämmelser om rättelse. På samma sätt som i registerförfattningarna bör hänvis- ningarna till personuppgiftslagens bestämmelse om skadestånd ändras till hänvisningar till bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen. Av de skäl som anges i avsnitt 5.4.3 bör Justi- tiekanslern handlägga sådana skadeståndsanspråk.

I 9 kap. 4 § och 10 kap. 1 § lagen om internationellt polisiärt samarbete finns det hänvisningar till reglerna i 33 och 34 §§ per- sonuppgiftslagen om överföring av personuppgifter till tredjeland. De hänvisningarna bör upphävas. Hänvisningen i 9 kap. 4 § bör

754

SOU 2017:74

Övriga författningsändringar

ersättas med en hänvisning till motsvarande bestämmelser i brotts- datalagen. Frågan är hur hänvisningen bör utformas, eftersom reg- lerna i personuppgiftslagen utgår från ett förbud mot överföring, medan brottsdatalagen reglerar när överföring är tillåten. Utred- ningen anser att den lämpligaste lösningen är att i 9 kap. 4 § hänvisa till bestämmelsen om grundläggande förutsättningar för överföring av personuppgifter i 8 kap. 1 § brottsdatalagen. Då ger regleringen i princip samma skydd som i dag. När det gäller hänvisningen i 10 kap. 1 § är den av en annan karaktär. Den hör samman med att 33 § personuppgiftslagen förbjuder överföring till tredjeland. Efter- som brottsdatalagen har en annan lagteknisk utformning behövs inte någon motsvarande bestämmelse. Den bör därför inte ersättas.

Viss anpassning bör också göras i förordningen (2017:504) om internationellt polisiärt samarbete.

17.4Lagen om Polismyndighetens elimineringsdatabas

Utredningens förslag: Lagen om Polismyndighetens elimine- ringsdatabas ska gälla utöver brottsdatalagen. Bestämmelser som blir överflödiga till följd av det ska upphävas.

Bestämmelserna om gallring ska ändras till bestämmelser om längsta tid som personuppgifter får behandlas. Hänvisningen till personuppgiftslagens bestämmelse om skadestånd ska ändras till en hänvisning till brottsdatalagen.

Skälen för utredningens förslag

Lagen ska gälla utöver brottsdatalagen

Enligt 2 § lagen (2014:400) om Polismyndighetens eliminerings- databas gäller lagen utöver personuppgiftslagen. Av de skäl som an- ges i avsnitt 5.2 bör lagen om Polismyndighetens elimineringsdata- bas gälla utöver brottsdatalagen. Den paragraf som anger lagens förhållande till personuppgiftslagen bör därför ändras.

Förslaget att lagen om Polismyndighetens elimineringsdatabas ska gälla utöver brottsdatalagen innebär att 6 § om skyldighet att

755

Övriga författningsändringar

SOU 2017:74

utse personuppgiftsombud och 7 § om tillgången till personupp- gifter inte längre behövs, eftersom det finns en generell reglering om det i brottsdatalagen. De paragraferna bör därför upphävas.

Bestämmelserna om gallring och skadestånd

I avsnitt 5.5.1 konstaterar utredningen att vissa bestämmelser om gallring inte är gallringsbestämmelser i arkivrättslig mening utan dataskyddsregler. Utredningen föreslår i avsnitt 5.5.2 att sådana be- stämmelser i myndigheternas registerförfattningar ska formuleras om så att de i stället reglerar hur länge personuppgifter får behand- las. Gallringsbestämmelserna i 11 § lagen om Polismyndighetens elimineringsdatabas är enligt utredningens mening dataskyddsbe- stämmelser. De bör därför ändras så att de i stället anger hur länge uppgifterna i registret får behandlas.

I 12 § föreskrivs att personuppgiftslagens bestämmelser om rättelse och skadestånd ska tillämpas på motsvarande sätt vid per- sonuppgiftsbehandling enligt lagen om Polismyndighetens elimine- ringsdatabas eller enligt föreskrifter som har meddelats i anslutning till den. Eftersom lagen föreslås gälla utöver brottsdatalagen behövs det ingen särskild bestämmelse om rättelse. Paragrafen bör däremot ändras på det sättet att den hänvisar till brottsdatalagens bestäm- melse om skadestånd. Av de skäl som anges i avsnitt 5.4.3 bör Justitiekanslern handlägga sådana skadeståndsanspråk.

Viss anpassning bör också göras i förordningen (2014:405) om Polismyndighetens elimineringsdatabas.

17.5Hänvisningar till 2013 års lag ska upphävas

Utredningens förslag: Kvarvarande hänvisningar till 2013 års lag ska upphävas.

Skälen för utredningens förslag: I delbetänkandet föreslår utred- ningen att 2013 års lag ska upphävas (se SOU 2017:29 s. 145 f.). I ett flertal lagar föreskrivs det att bestämmelserna i 2013 års lag har företräde. I delbetänkandet föreslår utredningen att hänvisningarna till 2013 års lag i lagen (2000:562) om internationell rättslig hjälp i

756

SOU 2017:74

Övriga författningsändringar

brottmål, lagen (2000:1219) om internationellt tullsamarbete, lagen (2003:1174) om vissa former av internationellt samarbete i brotts- utredningar och lagen om internationellt polisiärt samarbete ska upphävas. Även hänvisningar i andra lagar och förordningar bör upphävas. Det som nu är aktuellt är upphävande av bestämmelser i lagen om belastningsregister, lagen om misstankeregister och lagen (2001:184) om behandling av personuppgifter i Kronofogdemyn- dighetens verksamhet. Den uppdrag som haft i uppdrag att anpassa domstolsdatalagen till dataskyddsförordningen föreslår att motsva- rande bestämmelse i domstolsdatalagen ska upphävas, varför utred- ningen inte lägger fram något sådant förslag (se Ds 2017:41 s. 127).

757

18Ikraftträdande och övergångsbestämmelser

18.1Ikraftträdande

Utredningens förslag: De nya författningarna, ändringarna i de befintliga registerförfattningarna och övriga författningsförslag ska träda i kraft den 1 maj 2018.

Skälen för utredningens förslag: Brottsdatalagen föreslås träda i kraft den 1 maj 2018 (se SOU 2017:29 s. 655). Registerförfatt- ningarna föreslås gälla utöver brottsdatalagen. De nya författ- ningarna, ändringarna i de befintliga registerförfattningarna och övriga författningsförslag som behandlas i detta betänkande bör därför träda i kraft samma dag.

18.2Samma övergångsbestämmelser för flertalet författningar

18.2.1Behovet av övergångsbestämmelser

I delbetänkandet föreslår utredningen övergångsbestämmelser till brottsdatalagen (se SOU 2017:29 s. 655 f.). Viss reglering kommer i fortsättningen enbart att finnas i brottsdatalagen, medan andra bestämmelser kompletteras eller preciseras i registerförfattningarna (se avsnitt 5.2). Det kan då krävas motsvarande övergångsbestäm- melser till registerförfattningarna som till brottsdatalagen. Det är framför allt bestämmelserna om skadestånd och sanktionsavgift som gör att det krävs samma typ av övergångsbestämmelser till registerförfattningarna. I kapitlen som behandlar registerförfatt- ningarna tar utredningen enbart upp frågan om befintliga över-

759

Ikraftträdande och övergångsbestämmelser

SOU 2017:74

gångsbestämmelser kan behållas eller måste ändras (se avsnitt 8.7 och 10.5) och om det finns behov av nya specifika övergångsbe- stämmelser till en viss registerförfattning (se avsnitt 12.11). Det generella behovet av övergångsbestämmelser behandlas alltså i detta avsnitt.

18.2.2Skadestånd

Utredningens förslag: Äldre bestämmelser ska fortsätta att gälla för frågor om skadestånd för skada vid personuppgiftsbe- handling enligt registerförfattningarna, om skadan har orsakats före ikraftträdandet.

Skälen för utredningens förslag: Enligt punkten 8 i övergångsbe- stämmelserna till brottsdatalagen ska bestämmelserna om skade- stånd i 48 § personuppgiftslagen fortsätta att gälla för skada som har orsakats före ikraftträdandet av brottsdatalagen vid behandling av personuppgifter som rör brottsbekämpning, lagföring, straff- verkställighet och upprätthållande av allmän ordning och säkerhet (se SOU 2017:29 s. 658 f.).

Motsvarande övergångsbestämmelser behövs i registerförfatt- ningarna, eftersom övergångsbestämmelsen till brottsdatalagen inte täcker personuppgiftsbehandling i strid med registerförfattningar- na. Sådana övergångsbestämmelser behövs även i andra författ- ningar som gäller utöver brottsdatalagen och som hänvisar till brottsdatalagens reglering i fråga om skadestånd.

18.2.3Sanktioner

Utredningens förslag: Sanktionsavgift ska inte få tas ut för överträdelse av bestämmelser om personuppgiftsbehandling i registerförfattningarna, om överträdelsen har begåtts före ikraft- trädandet.

Äldre bestämmelser ska fortsätta att gälla för sådana överträ- delser som i dag kan föranleda straffansvar enligt personupp- giftslagen och som ligger före ikraftträdandet.

760

SOU 2017:74

Ikraftträdande och övergångsbestämmelser

Skälen för utredningens förslag: Enligt punkten 4 i övergångsbe- stämmelserna till brottsdatalagen får sanktionsavgift inte tas ut för överträdelser av bestämmelser om personuppgiftsbehandling som har begåtts före ikraftträdandet. Om överträdelsen var straffbelagd enligt 49 § personuppgiftslagen ska enligt punkten 5 äldre före- skrifter fortsätta att gälla (se SOU 2017:29 s. 659 f.).

Utredningen föreslår att vissa överträdelser av bestämmelser i registerförfattningarna ska kunna leda till att sanktionsavgift tas ut (se avsnitt 5.4.2 och 12.8). Av samma skäl som det behövs över- gångsbestämmelser till bestämmelsen om sanktionsavgift i brotts- datalagen behövs sådana till registerförfattningarna.

Straffbestämmelsen i 49 § personuppgiftslagen gäller endast för kriminalvårdens personuppgiftsbehandling. Det är således endast till kriminalvårdens brottsdatalag som det behövs en särskild över- gångsbestämmelse som anger att straffbestämmelsen ska fortsätta att tillämpas på överträdelser som begåtts före ikraftträdandet.

18.3Övergångsbestämmelser till Säkerhetspolisens datalag och domstolarnas brottsdatalag

18.3.1Ärendehandläggning m.m.

Utredningens bedömning: Det behövs inga övergångsbestäm- melser för Säkerhetspolisens och domstolarnas behandling av personuppgifter.

Utredningens förslag: För ärenden om tillsyn över personupp- giftsbehandling som omfattas av de nya lagarnas tillämpnings- område och som inte har avgjorts när de träder i kraft ska äldre bestämmelser om handläggningen fortsätta att gälla.

Äldre bestämmelser ska också fortsätta att gälla för överkla- ganden och frågor om skadestånd för skada vid personuppgifts- behandling som orsakats före ikraftträdandet.

Skälen för utredningens bedömning och förslag: Utredningen föreslår att det införs nya lagar för Säkerhetspolisens personupp- giftsbehandling som rör nationell säkerhet i myndighetens brotts- bekämpande och lagförande verksamhet och för domstolarnas be-

761

Ikraftträdande och övergångsbestämmelser

SOU 2017:74

handling av personuppgifter inom brottsdatalagens tillämpnings- område. Det som behöver regleras i övergångsbestämmelser till de nya lagarna är framför allt hur pågående ärenden hos dessa myn- digheter och hos tillsynsmyndigheterna bör hanteras.

I frågor som rör behandling av personuppgifter bör den nya lag- stiftningen tillämpas från det att den träder i kraft. Det innebär exempelvis att framställningar om att få del av information, ären- den om rättelse och andra oavslutade ärenden ska hanteras enligt de nya lagarna. Några övergångsbestämmelser för handläggningen av frågor som rör personuppgiftsbehandlingen behövs därmed inte.

Beträffande tillsynsåtgärder följer det av allmänna principer att förelägganden och förbud som har meddelats med stöd av person- uppgiftslagen och som rör den nya lagens tillämpningsområde fort- sätter att gälla trots att personuppgiftslagen upphävts (se SOU 2017:29 s. 658). Det behövs därför inte några särskilda övergångs- bestämmelser för det.

När det gäller andra frågor om tillsyn över behandling av per- sonuppgifter föreslår utredningen i delbetänkandet att äldre be- stämmelser ska fortsätta att gälla för ärenden som har påbörjats före ikraftträdandet men inte hunnit avgöras när brottsdatalagen träder i kraft (se SOU 2017:29 s. 658 f.). Motsvarande övergångs- bestämmelser bör tas in i de nya lagarna.

Av de skäl som anges i delbetänkandet bör äldre bestämmelser fortsätta att gälla vid skada som har orsakats vid personuppgiftsbe- handling enligt nuvarande reglering. Detsamma bör gälla för över- klaganden i ännu inte avslutade ärenden som rör behandlingen av personuppgifter, om det överklagade beslutet har meddelats före ikraftträdandet (se SOU 2017:29 s. 658 f.). Övergångsbestämmel- ser med den innebörden bör därför tas in i de nya lagarna.

18.3.2Övergångsbestämmelser i övrigt

Utredningens förslag: Bestämmelserna om loggning behöver inte tillämpas förrän den 1 maj 2023 i automatiserade behand- lingssystem som Säkerhetspolisen har inrättat före den nya lagens ikraftträdande.

762

SOU 2017:74

Ikraftträdande och övergångsbestämmelser

Skälen för utredningens förslag

Särskilda övergångsbestämmelser för existerande behandlingssystem

Utredningen föreslår en övergångsbestämmelse till brottsdatalagen som föreskriver att bestämmelserna om loggning inte behöver till- lämpas förrän den 1 maj 2023 i automatiserade behandlingssystem som har inrättats före den 6 maj 2018, vilket är det datum då de författningar som genomför direktivet senast ska vara i kraft. Skälet till det är att det skulle kräva oproportionerliga ansträngningar för myndigheterna att redan när brottsdatalagen träder ikraft anpassa sina system till de nya loggningskraven och att direktivet medger anstånd med anpassningen (se SOU 2017:29 s. 663).

Säkerhetspolisen använder automatiserade behandlingssystem som har inrättats före den 1 maj 2018, vilket är det datum då den nya lagen föreslås träda i kraft. Det som har framförts angående övriga myndigheters behov av extra tid för anpassning av systemen är relevant även för Säkerhetspolisen. Det finns därmed behov av en övergångsbestämmelse som reglerar kraven på loggning i den nya lagen med tillhörande förordning. Den bör föreskriva att de nya reglerna om loggning inte behöver tillämpas förrän vid en senare tidpunkt om det är fråga om automatiserade behandlings- system som har inrättats före den nya lagens ikraftträdande. Enligt utredningens mening bör Säkerhetspolisen få samma tid för anpass- ning av it-systemen som övriga brottsbekämpande myndigheter. Övergångsbestämmelsen bör således föreskriva att bestämmelserna om loggning inte behöver tillämpas förrän den 1 maj 2023. Någon motsvarande övergångsbestämmelse behövs inte för domstolarna, eftersom de omfattas av övergångsbestämmelsen till brottsdata- lagen.

Som utredningen påpekar i delbetänkandet påverkar den nu aktuella övergångsbestämmelsen inte de generella krav på loggning som redan gäller (se SOU 2017:29 s. 663).

763

Ikraftträdande och övergångsbestämmelser

SOU 2017:74

18.4Särskilda övergångsproblem

18.4.1Den nya dataskyddsregleringen medför särskilda övergångsproblem

Direktivet ska vara genomfört den 6 maj 2018. Utredningen före- slår därför att brottsdatalagen och övriga författningsförslag ska träda i kraft den 1 maj 2018. Dataskyddsförordningen ska däremot börja tillämpas först den 25 maj 2018. Den nationella lagstiftningen som kompletterar den föreslås träda i kraft samma dag, då person- uppgiftslagen ska upphöra att gälla. Den omständigheten att tid- punkterna för när direktivet ska vara genomfört och när förord- ningen ska börja tillämpas är olika kan leda till övergångsproblem när det gäller de registerförfattningar som i dag innehåller bestäm- melser inom både brottsdatalagens och dataskyddsförordningens tillämpningsområde. Det gäller kriminalvårdens, Kustbevakningens och åklagarväsendets registerförfattningar.

För Säkerhetspolisen är eventuella övergångsproblem i stället kopplade till om polisdatalagen ändras innan det finns ny lagstift- ning för Säkerhetspolisens personuppgiftsbehandling. För domsto- larna är det den omständigheten att arbetet med att genomföra direktivet kan dra ut på tiden som kan medföra problem.

Några motsvarande problem finns inte för övriga registerför- fattningar.

18.4.2Problemen med olika ikraftträdandetidpunkter

Utredningens bedömning: Om ändringarna i lagen om behand- ling av personuppgifter inom kriminalvården, kustbevaknings- datalagen och åklagardatalagen träder i kraft innan det finns nya författningar som reglerar personuppgiftsbehandlingen utanför brottsdatalagens tillämpningsområde, bör de nuvarande bestäm- melserna i registerförfattningarna i fråga och i personuppgifts- lagen fortsätta att gälla tills vidare.

Om ändringarna i polisdatalagen träder i kraft innan det finns ny lagstiftning för Säkerhetspolisen, bör bestämmelserna i polis- datalagen och personuppgiftslagen fortsätta att gälla tills vidare.

764

SOU 2017:74

Ikraftträdande och övergångsbestämmelser

Utredningens förslag: Vissa bestämmelser som reglerar idrotts- organisationernas behandling av uppgifter om tillträdesförbud ska börja tillämpas senare än ändringarna som reglerar Polis- myndighetens personuppgiftsbehandling i tillträdesförbuds- registret.

Skälen för utredningens bedömning och förslag

Kustbevakningens, åklagarväsendets och kriminalvårdens registerförfattningar

Utredningen föreslår att endast de delar av Kustbevakningens, åklagarväsendets och kriminalvårdens personuppgiftsbehandling som ligger inom brottsdatalagens tillämpningsområde ska regleras i de befintliga registerförfattningarna. Det innebär att den 1 maj 2018, då lagstiftningen som genomför direktivet föreslås träda i kraft, kommer de bestämmelser i myndigheternas registerförfatt- ningar som reglerar frågor utanför brottsdatalagens tillämpnings- område att upphävas.

Som tidigare nämnts utreds de delar av lagen om behandling av personuppgifter inom kriminalvården och kustbevakningsdatalagen som ligger utanför brottsdatalagens tillämpningsområde av andra utredare, medan motsvarande fråga beträffande åklagardatalagen hanteras i Regeringskansliet (se avsnitt 9.1.1, 11.1.1 och 13.1.2). De andra utredarna har föreslagit eller förväntas föreslå att personupp- giftsregleringen utanför brottsdatalagens tillämpningsområde ska träda i kraft den 25 maj 2018 när dataskyddsförordningen ska börja tillämpas. Om den lagstiftning som genomför direktivet träder i kraft den 1 maj 2018 kommer det under mellantiden inte att fin- nas någon reglering för den personuppgiftsbehandling som ligger utanför brottsdatalagens tillämpningsområde. Därför behövs det övergångsbestämmelser så att de bestämmelser i kriminalvårdens, Kustbevakningens och åklagarväsendets nuvarande registerförfatt- ningar som reglerar frågor utanför brottsdatalagens tillämpnings- område fortsätter att gälla fram till dess att de nya lagarna träder i kraft. Eftersom registerförfattningarna hänvisar till bestämmelser i personuppgiftslagen måste även förhållandet till den lagen regle- ras. En sådan reglering skulle kunna utformas på följande sätt.

765

Ikraftträdande och övergångsbestämmelser

SOU 2017:74

Lagen om behandling av personuppgifter inom kriminalvården i dess lydelse före den 1 maj 2018 och personuppgiftslagen (1998:204) gäller fortfarande för sådan behandling av personuppgifter som inte utförs i syfte att verkställa häktning eller straffrättsliga påföljder eller biträda en annan behörig myndighet när den utför arbetsuppgifter för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000).

Kustbevakningsdatalagen i dess lydelse före den 1 maj 2018 och per- sonuppgiftslagen (1998:204) gäller fortfarande för sådan behandling av personuppgifter som inte utförs i syfte att bekämpa eller lagföra brott eller upprätthålla allmän ordning och säkerhet.

Åklagardatalagen i dess lydelse före den 1 maj 2018 och personupp- giftslagen (1998:204) gäller fortfarande för sådan behandling av per- sonuppgifter som inte utförs i syfte att bekämpa eller lagföra brott eller handlägga frågor om ändring eller verkställighet av straffrättsliga påföljder eller upprätthållande av allmän ordning och säkerhet.

Övergångsbestämmelserna kan upphävas när de nya lagarna träder i kraft.

Säkerhetspolisens registerförfattning

Utredningen föreslår i avsnitt 14.2.2 att Säkerhetspolisens person- uppgiftsbehandling inte längre ska regleras i polisdatalagen utan i en ny lag. De bestämmelser som rör Säkerhetspolisens personupp- giftsbehandling i polisdatalagen ska därför enligt förslaget upphä- vas. Om ändringarna i polisdatalagen träder i kraft innan den nya lagen träder i kraft, kommer Säkerhetspolisens personuppgiftsbe- handling att vara oreglerad under viss tid. Det behövs därför en övergångsbestämmelse som föreskriver att bestämmelserna i polis- datalagen ska fortsätta att gälla fram till dess att den nya lagen trä- der i kraft. Dessutom måste det säkerställas att de hänvisningar till personuppgiftslagen som görs i polisdatalagen också fortsätter att gälla. En sådan reglering skulle kunna utformas på följande sätt.

Polisdatalagen i dess lydelse före den 1 maj 2018 och personuppgifts- lagen (1998:204) gäller fortfarande för Säkerhetspolisens behandling av personuppgifter.

Övergångsbestämmelsen kan upphävas när den nya lagen träder i kraft.

766

SOU 2017:74

Ikraftträdande och övergångsbestämmelser

Lagen om register över tillträdesförbud vid idrottsarrangemang

När det gäller ändringarna i lagen om register över tillträdesförbud vid idrottsarrangemang bör ändringarna träda i kraft den 1 maj 2018, eftersom bestämmelserna om Polismyndighetens personupp- giftsbehandling bör börja tillämpas samtidigt som övriga anpass- ningar av myndighetens registerlagstiftning. Även de ändringar som föreslås för idrottsorganisationernas personuppgiftsbehand- ling kan till största delen börja tillämpas då. Däremot är det inte möjligt att låta de bestämmelser som i dag är knutna till person- uppgiftslagen upphöra förrän dataskyddsförordningen börjar till- lämpas den 25 maj 2018. De paragrafer som hänvisar till bestäm- melser i personuppgiftslagen (4 och 15 §§) bör därför fortsätta att gälla fram till dess. Den bestämmelse som tydliggör att dataskydds- förordningen med kompletterande lagstiftning ska tillämpas vid idrottsorganisationernas personuppgiftsbehandling kan inte börja tillämpas förrän den 25 maj 2018, vilket bör framgå genom en över- gångsbestämmelse.

18.4.3Problem om genomförandet av direktivet fördröjs

Utredningens bedömning: Om ändringarna i domstolsdata- lagen träder i kraft före domstolarnas brottsdatalag, bör dom- stolsdatalagen i dess lydelse före den 25 maj 2018 och person- uppgiftslagen fortsätta att gälla tills vidare för sådan behandling av personuppgifter som undantas från dataskyddsförordningens tillämpningsområde.

Skälen för utredningens bedömning: För domstolarna kan över- gångsproblem uppstå om ändringarna i domstolsdatalagen träder i kraft före domstolarnas brottsdatalag. Det skulle kunna inträffa om arbetet med att genomföra direktivet drar ut på tiden. Som framgår av delbetänkandet bedömer utredningen att det finns viss risk för det och att det därför kan komma att krävas en övergångs- reglering (se SOU 2017:29 s. 655 f.).

Domstolsdatalagen föreslås endast innehålla bestämmelser om domstolarnas personuppgiftsbehandling inom dataskyddsförord- ningens tillämpningsområde (se Ds 2017:41 s. 55). Det innebär att

767

Ikraftträdande och övergångsbestämmelser

SOU 2017:74

om ändringarna i domstolsdatalagen träder i kraft innan domsto- larnas brottsdatalag gör det, kommer det under mellantiden inte att finnas någon registerförfattning för domstolarnas personuppgifts- behandling inom brottsdatalagens tillämpningsområde. Då behövs det en övergångsbestämmelse som reglerar vad som ska gälla fram till dess att domstolarnas brottsdatalag träder i kraft. En sådan reglering bör tas in i domstolsdatalagen. Regleringen bör av de skäl som anges i delbetänkandet varken utgå från direktivet eller brotts- datalagen (se SOU 2017:29 s. 657). Den lagstiftning som genomför direktivet och som mejslar ut dess tillämpningsområde kommer nämligen inte att gälla vid den tidpunkten. Eftersom direktivets tillämpningsområde utgör en spegling av det undantag som görs i artikel 2.2 i dataskyddsförordningen bör regleringen i stället utgå från hur tillämpningsområdet formuleras i den artikeln.

Övergångsregleringen bör innebära att domstolsdatalagen i dess lydelse före den 25 maj 2018 ska fortsätta att gälla tills vidare för den del av domstolarnas personuppgiftsbehandling som ligger inom brottsdatalagens tillämpningsområde fram till dess att domstolar- nas brottsdatalag träder i kraft. Dessutom måste det säkerställas att de hänvisningar till personuppgiftslagen som görs i domstolsdata- lagen också fortsätter att gälla. Bestämmelsen bör kunna utformas på följande sätt.

Domstolsdatalagen i dess lydelse före den 25 maj 2018 och person- uppgiftslagen (1998:204) gäller fortfarande för sådan behandling av personuppgifter som avses i artikel 2.2 d i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), i den ursprungliga lydelsen.

Övergångsbestämmelsen kan upphävas när domstolarnas brotts- datalag träder i kraft.

768

19 Konsekvenser

19.1Allmänt om konsekvenserna

19.1.1Anpassningar av registerförfattningarna

Utredningens bedömning: Anpassningarna av registerförfatt- ningarna medför inga andra konsekvenser än dem som följer av att brottsdatalagen införs och att författningarna därmed får ett delvis annat tillämpningsområde än tidigare.

Skälen för utredningens bedömning: Samtliga registerförfatt- ningar för myndigheterna i rättskedjan ändras i större eller mindre utsträckning till följd av att de föreslås gälla utöver brottsdatalagen. Det innebär framför allt att registerförfattningarna får nya tillämp- ningsområden, som är anpassade till brottsdatalagens. I fortsätt- ningen är det syftet med behandlingen, inte den verksamhet som uppgifterna behandlas i, som är avgörande för om en registerför- fattning är tillämplig.

De registerförfattningar som i dag reglerar personuppgiftsbe- handling både inom och utanför brottsdatalagens tillämpningsom- råde renodlas så att de bara reglerar personuppgiftsbehandling inom tillämpningsområdet. Kriminalvårdens, Kustbevakningens och åklagarväsendets lagstiftning ändras på det sättet. För domsto- larna införs en ny lag (se avsnitt 19.1.2).

För övriga myndigheter ändras också tillämpningsområdet för registerförfattningarna. För polisens del flyttas den reglering som gäller för Säkerhetspolisen till en särskild lag. Att tillämpningsom- rådet för brottsdatalagen omfattar upprätthållande av allmän ord- ning och säkerhet påverkar tillämpningsområdena för Polismyndig- heten, Kustbevakningen, åklagarväsendet och domstolarna. För Ekobrottsmyndigheten förtydligas det när myndigheten ska till-

769

Konsekvenser

SOU 2017:74

lämpa polisens respektive åklagarväsendets brottsdatalag. Även till- lämpningsområdena för Tullverkets och Skatteverkets registerför- fattningar påverkas, men det beror på att tillämpningsområdena inte längre knyts till viss verksamhet utan till vilket syfte person- uppgifterna behandlas för.

Förslagen till anpassningar innebär att den generella regleringen i brottsdatalagen till stor del ersätter bestämmelser i registerför- fattningarna, som inte blir lika omfattande som tidigare. De kom- pletteras med bestämmelser om sanktionsavgift för överträdelse av bestämmelserna i dem. Terminologin ändras också och görs mer enhetlig. Ett annat led i att göra registerförfattningarna mer enhet- liga är att samla vissa bestämmelser, antingen i ett visst kapitel eller inom kapitlen. Bestämmelserna om föreskrifter anpassas också till den nya regleringen.

Anpassningarna medför inga andra konsekvenser än dem som följer av att brottsdatalagen införs. Konsekvenserna av det redo- visar utredningen i delbetänkandet (se SOU 2017:29 s. 647 f.)

19.1.2Två nya lagar men inga nya arbetsuppgifter

Utredningens bedömning: Den nya lagen för domstolarnas personuppgiftsbehandling innebär inga nya arbetsuppgifter och ansluter nära till den reglering som finns i dag.

Den nya lagen för Säkerhetspolisens behandling av person- uppgifter innebär inte heller några nya arbetsuppgifter. Säker- hetspolisens skyldigheter i egenskap av personuppgiftsansvarig motsvarar till stor del vad som gäller i dag. Vissa av förslagen kommer att innebära förenklingar och förbättringar för Säker- hetspolisen, bl.a. ökade möjligheter till elektroniskt informa- tionsutbyte.

Skälen för utredningens bedömning: I kapitel 12 föreslår utred- ningen att det ska införas en ny lag för domstolarnas personupp- giftsbehandling inom brottsdatalagens tillämpningsområde, dom- stolarnas brottsdatalag. Utredningen föreslår i kapitel 14 att det ska införas en ny lag för Säkerhetspolisens personuppgiftsbehandling vid brottsbekämpning och lagföring som rör nationell säkerhet, Säkerhetspolisens datalag. Lagarna ersätter till stor del tidigare lag-

770

SOU 2017:74

Konsekvenser

stiftning. Utredningen gör samma bedömning när det gäller konse- kvenserna av de nya lagarna som beträffande brottsdatalagen, näm- ligen att de visserligen innebär förändringar men inte kräver att det inrättas några nya it-system eller leder till några nya arbetsupp- gifter.

För domstolarna har utredningen strävat efter lösningar som ligger nära den reglering som kan förväntas gälla för domstolarna när de ska tillämpa dataskyddsförordningens regelverk. Utred- ningen bedömer därför att den nya lagstiftningen inte får några särskilda konsekvenser, utöver dem som hör samman med att man i framtiden måste tillämpa olika regelverk beroende på för vilket syfte personuppgifterna behandlas.

När det gäller Säkerhetspolisen anpassas lagen till myndighetens verksamhet, vilket innebär att myndigheten får en modern och skräddarsydd lagstiftning. Regleringen förefaller bli betydligt mer omfattande än i dag, med det beror på att den ska vara heltäckande och inte hänvisa till annan generell reglering. Vissa av förslagen, framför allt möjligheten att i ökad utsträckning tillhandahålla per- sonuppgifter elektroniskt både genom direktåtkomst och på annat sätt, innebär att Säkerhetspolisens verksamhet kan effektiviseras och lättare möta de ökade kraven på informationsutbyte bl.a. för att bekämpa terrorism. En annan effektivisering är att vissa person- uppgifter får behandlas under längre tid än i dag, eftersom myndig- heten inte i samma utsträckning behöver avsätta resurser för att fatta beslut om förlängning av den tid under vilka uppgifterna får behandlas.

Utredningen föreslår att tillsynen över Säkerhetspolisens per- sonuppgiftsbehandling i huvudsak ska bedrivas på samma sätt som i dag, men tillsynsmyndigheterna får tydligare befogenheter. Som utredningen påpekar i delbetänkandet ligger frågan om ekonomiska konsekvenser av förslagen när det gäller tillsynsverksamheten utan- för utredningens uppdrag (se SOU 2017:29 s. 648).

19.1.3Modernisering av vissa författningar

Utredningens bedömning: Förslagen till moderniseringar och förtydliganden bör leda till förenklingar för myndigheterna.

771

Konsekvenser

SOU 2017:74

Skälen för utredningens bedömning: Utöver nödvändiga anpass- ningar till det nya dataskyddsregelverket föreslår utredningen som nyss nämnts att registerförfattningarna i större utsträckning görs enhetliga. Om regleringen överensstämmer underlättar det infor- mationsutbytet mellan myndigheterna, vilket är ett av syftena med dataskyddsdirektivet.

När det gäller polisdatalagen flyttas dels bestämmelserna om tillträdesförbudsregistret, dels de bestämmelser om personupp- giftsbehandling som i dag finns i polislagen till polisens brottsdata- lag. Registerförfattningen blir därmed mer heltäckande och regle- ringen mer enhetlig.

Vissa bestämmelser om personuppgiftsbehandling i tullagen och lagen om Sveriges gräns mot ett annat land inom Europeiska unio- nen flyttas på motsvarande sätt till Tullverkets brottsdatalag.

För de brottsbekämpande myndigheterna ändras vissa bestäm- melser om hur gemensamt tillgängliga uppgifter får behandlas så att de blir mer funktionella. I andra bestämmelser förtydligas vilka krav som ställs på behandlingen, vilket gör lagstiftningen mer transparent och lättillämpad. Dessutom moderniseras bestämmel- serna om utlämnande på medium för automatiserad behandling i de brottsbekämpande myndigheternas registerförfattningar. Person- uppgifter ska få tillhandahållas på det sättet om det inte är olämp- ligt, vilket underlättar elektronisk kommunikation.

Kriminalvårdens registerlag får en betydligt modernare utform- ning. Regleringen görs mer generell och lättillämpad. Bestämmel- serna om säkerhetsregistret lyfts av integritetsskäl upp i lag. Detalj- regler rensas bort ur både lagen och förordningen. Utredningen bedömer att förslagen skapar en tydligare och mer transparent lag- stiftning, men behovet av en genomgripande materiell översyn av regleringen kvarstår.

I kriminalvårdens registerförfattning finns det i dag särskilda bestämmelser om överklagande och om omprövning. Utredningen föreslår i avsnitt 13.6.3 och 13.6.4 att de ska upphävas, liksom även den särskilda forumregel som finns. Ändringarna kan komma att påverka Förvaltningsrätten i Linköping marginellt, eftersom det inte kan uteslutas att de leder till att domstolen får något fler mål. Utredningen bedömer dock att förändringen inte kommer att öka belastningen på domstolen annat än mycket obetydligt, mot bak-

772

SOU 2017:74

Konsekvenser

grund av att överklagandena under de senaste åren varit så få att det inte gått att få fram några statistiska uppgifter om dem.

19.2Ekonomiska konsekvenser

19.2.1Konsekvenser för staten

Utredningens bedömning: Anpassningarna av registerförfatt- ningarna medför inga extra kostnader för berörda myndigheter. Eventuella merkostnader är inte större än att de ryms inom befintliga ekonomiska ramar.

Eftersom tillsynen över Säkerhetspolisens personuppgiftsbe- handling ska bedrivas på i huvudsak samma sätt som i dag leder förslagen i den delen inte till några merkostnader.

Förslagen till moderniseringar ger utrymme för viss effektivi- sering.

Skälen för utredningens bedömning: Förslagen i detta betän- kande innebär inga skyldigheter för myndigheterna att inrätta nya it-system. Några kostnader för det bör således inte beräknas med anledning av förslagen. Förslagen medför, av de skäl som anges i delbetänkandet, inte heller några ökade kostnader i övrigt för behö- riga myndigheter utöver vad som kan krävas för utbildning av per- sonalen angående den nya lagstiftningen. I delbetänkandet gör ut- redningen bedömningen att kostnaderna för utbildning ryms inom befintliga ekonomiska ramar (se SOU 2017:29 s. 649 f.). Utred- ningen gör samma bedömning beträffande de förslag som läggs fram nu.

När det gäller tillsynen över Säkerhetspolisen konstaterar ut- redningen att den i huvudsak bör bedrivas på samma sätt som i dag. Förslagen bör därmed inte leda till några merkostnader.

Förändringen beträffande överklagande av Kriminalvårdens be- slut ger så marginella effekter att de ryms inom befintliga ekono- miska ramar.

Förslagen till moderniseringar ger utrymme för viss effektivise- ring. Det gäller särskilt utökade möjligheter att kommunicera elek- troniskt. Det är dock svårt att bedöma effekterna av förslagen i dessa delar.

773

Konsekvenser

SOU 2017:74

19.2.2Konsekvenser för kommuner, landsting och enskilda

Utredningens bedömning: Förslagen medför inga ökade kost- nader för kommuner och landsting eller för enskilda.

Skälen för utredningens bedömning: I detta betänkande behand- las inga frågor som direkt berör kommuner och landsting, utöver den prövning som utredningen föreslår i avsnitt 6.4. Den innebär att innan en personuppgift behandlas för ett nytt ändamål ska en prövning göras av om behandlingen för det nya ändamålet är nöd- vändig och proportionerlig. Den prövningen ska göras av alla som ska tillämpa brottsdatalagen, vilket innebär att den även ska göras av aktörer som verkställer exempelvis vårdpåföljder. Förslaget i den delen kan dock inte antas påverka dem ekonomiskt, eftersom pröv- ningen ersätter den finalitetsprövning som ska göras enligt person- uppgiftslagen.

Förslagen syftar, i likhet med förslagen i delbetänkandet, till att stärka integritetsskyddet för enskilda och att ge dem bättre möjlig- heter att kunna kontrollera hur deras personuppgifter behandlas. Förslagen förväntas inte leda till några kostnadsökningar för en- skilda. Visserligen föreslår utredningen i de nya lagarna att de per- sonuppgiftsansvariga i vissa fall ska kunna ta ut avgift för informa- tion som begärs, men det är i situationer där den enskilde alltför ofta återkommer med begäran om information. Den personupp- giftsansvarige kan då ge den enskilde informationen mot avgift i stället för att avslå begäran.

19.3Konsekvenser för det brottsförebyggande arbetet

Utredningens bedömning: Förbättrat dataskydd och moderna författningar ger möjlighet till ökat informationsutbyte mellan brottsbekämpande myndigheter, vilket är positivt för det brottsförebyggande arbetet. Förslagen förväntas inte få några direkta effekter på brottsligheten.

774

SOU 2017:74

Konsekvenser

Skälen för utredningens bedömning: Förslagen kan inte förväntas få några direkta effekter på brottsligheten, eftersom det handlar om en administrativ reform. Som utredningen framhåller i delbetän- kandet kan däremot ett ökat informationsutbyte inom Sverige och mellan medlemsstaterna få positiv effekt på det brottsförebyggande arbetet.

19.4Konsekvenser i övrigt

Utredningens bedömning: Förslagen förväntas inte få några andra konsekvenser.

Skälen för utredningens bedömning: Förslagen får inte några samhällsekonomiska konsekvenser eller några konsekvenser för den kommunala självstyrelsen. Förslagen får inte heller några kon- sekvenser för jämställdheten eller andra sådana konsekvenser som avses i 14 § kommittéförordningen (1998:1474) eller 7 § förord- ningen (2007:1244) om konsekvensutredning vid regelgivning.

775

20 Författningskommentar

20.1Förslaget till Säkerhetspolisens datalag (2018:000)

1 kap. Allmänna bestämmelser

Syftet med lagen

1 §

I paragrafen, som behandlas i avsnitt 14.2.3, anges syftet med lagen. Syftet är att skydda fysiska personers grundläggande fri- och rättig- heter i samband med behandling av personuppgifter och att säker- ställa att Säkerhetspolisen kan behandla och utbyta personuppgifter på ett ändamålsenligt sätt. Paragrafen motsvarar 1 kap. 1 § brotts- datalagen (2018:000).

Lagens tillämpningsområde

2 §

Paragrafen reglerar, tillsammans med 3 §, lagens tillämpningsom- råde. Den behandlas i avsnitt 14.2.2, 14.3.1 och 14.3.2.

I första stycket anges att lagen gäller vid behandling av person- uppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbe- kämpande och lagförande verksamhet. Vad som är en personupp- gift och behandling av personuppgifter definieras i 9 §.

I Säkerhetspolisens brottsbekämpande verksamhet ingår att förebygga, förhindra och upptäcka brottslig verksamhet och att ut- reda brott. Den lagförande verksamheten syftar till att ställa per- soner till ansvar för brott. All verksamhet vid Säkerhetspolisen anses i någon mån vara brottsbekämpande (se prop. 2013/14:110

777

Författningskommentar

SOU 2017:74

s. 480 f.). I avsnitt 14.3.1 utvecklas vad som avses med uttrycken brottsbekämpande och lagförande verksamhet.

Lagen gäller endast vid behandling av personuppgifter som rör nationell säkerhet. Nationell säkerhet behöver inte alltid avse en- bart Sveriges säkerhet. En fråga som rör nationell säkerhet i något av våra grannländer kan t.ex. vara av den karaktären att den även indirekt berör Sveriges nationella säkerhet, exempelvis vid gräns- överskridande terrorism.

I 6 § upplyses om att Säkerhetspolisen i vissa fall ska tillämpa brottsdatalagen och polisens brottsdatalag i stället för denna lag. Behandling av personuppgifter i intern och administrativ verksam- het ligger utanför lagens tillämpningsområde.

Av andra stycket framgår att lagen i tillämpliga delar gäller vid Polismyndighetens behandling av personuppgifter när myndighe- ten har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspolisen. Det innebär att det som sägs i lagen om Säker- hetspolisen då i stället gäller Polismyndigheten. Enligt 15 § förord- ningen (2014:1103) med instruktion för Säkerhetspolisen får biträ- dande säkerhetspolischefen i samråd med chefen för Nationella operativa avdelningen, trots den ansvarsfördelning som annars gäl- ler mellan myndigheterna, bestämma att en förundersökning eller annan uppgift i den brottsbekämpande verksamheten ska lämnas över till Polismyndigheten för fortsatt handläggning. Enligt 28 § förordningen (2014:1102) med instruktion för Polismyndigheten ska myndigheten också bistå vid polisverksamhet som leds av Säkerhetspolisen, om Säkerhetspolisen i ett enskilt fall begär det och det inte finns särskilda skäl mot det. Polismyndigheten ska vidare, i den utsträckning som myndigheterna kommer överens om, lämna tekniskt biträde och annan hjälp till Säkerhetspolisen. Det får avgöras i det enskilda fallet om biståndet eller biträdet är av den arten att lagen ska tillämpas.

Enligt tredje stycket gäller inte lagen (2018:000) med komplette- rande bestämmelser till EU:s dataskyddsförordning när person- uppgifter behandlas enligt denna lag.

778

SOU 2017:74

Författningskommentar

3 §

Paragrafen, som motsvarar 1 kap. 3 § brottsdatalagen (2018:000), begränsar lagens tillämpningsområde huvudsakligen till helt eller delvis automatiserad behandling av personuppgifter, men även viss manuell behandling omfattas. Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 671.

Förhållandet till annan reglering

4 §

Paragrafen anger hur regleringen i lagen förhåller sig till lagen (2017:496) om internationellt polisiärt samarbete med tillhörande förordning. Paragrafen, som motsvarar nuvarande 1 kap. 4 § polis- datalagen (2010:361), behandlas i avsnitt 14.5.1.

Av paragrafen framgår att det i de nämnda författningarna finns särbestämmelser om behandling av personuppgifter som följer av internationella överenskommelser. Exempel på en sådan överens- kommelse är Prümrådsbeslutet. Om det i de nämnda författning- arna finns bestämmelser som avviker från förevarande lag, ska de tillämpas i stället.

5 §

Paragrafen, som behandlas i avsnitt 14.5.1, klargör att bestämmel- serna i lagen inte ska tillämpas om det skulle inskränka Säkerhets- polisens skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter. Paragrafen har utformats efter mönster av 8 § första stycket personuppgiftslagen (1998:204). Den innebär t.ex. att Säkerhetspolisen inte kan vägra att ta fram och lämna ut upp- gifter i enlighet med tryckfrihetsförordningens bestämmelser med hänvisning till att personuppgifterna inte får behandlas enligt 2 kap. 1 §. Offentlighetsprincipen innebär dock inte någon skyldighet att lämna ut uppgifter elektroniskt. Enligt 2 kap. 19 § får personupp- gifter bara lämnas ut elektroniskt på annat sätt än genom direkt- åtkomst om det inte är olämpligt. Vidare måste det prövas om sek- retess hindrar utlämnande.

779

Författningskommentar

SOU 2017:74

6 §

I paragrafen, som behandlas i avsnitt 7.2.1 och 14.3.3, upplyses om att Säkerhetspolisen ska tillämpa brottsdatalagen och polisens brottsdatalag med tillhörande förordningar vid behandling av per- sonuppgifter i frågor som inte rör nationell säkerhet. Det framgår av 1 kap. 1 § första stycket 3 polisens brottsdatalag (2010:361).

Personuppgiftsansvar

7 §

I paragrafen, som behandlas i avsnitt 14.5.2, regleras personupp- giftsansvaret. Personuppgiftsansvarig definieras i 1 kap. 9 §. Skyl- digheterna som personuppgiftsansvarig regleras i 5 kap.

I första stycket, som motsvarar nuvarande 6 kap. 5 § första stycket polisdatalagen (2010:361), föreskrivs att Säkerhetspolisen är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Det gäller även den personuppgiftsbe- handling som utförs av personuppgiftsbiträden som myndigheten anlitar.

Eftersom Polismyndigheten i vissa fall ska tillämpa lagen före- skrivs det i andra stycket att myndigheten är personuppgiftsansvarig för den behandling som myndigheten utför när den tillämpar lagen.

I tredje stycket regleras personuppgiftsansvarets omfattning. Be- stämmelsen motsvarar 3 kap. 1 § brottsdatalagen (2018:000). Vad personuppgiftsansvaret innebär utvecklas i SOU 2017:29 s. 698 f.

8 §

Paragrafen, som behandlas i avsnitt 14.5.2, reglerar gemensamt per- sonuppgiftsansvar. Paragrafen motsvarar 3 kap. 21 § brottsdata- lagen (2018:000). Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 715.

780

SOU 2017:74

Författningskommentar

Uttryck i lagen

9 §

I paragrafen, som behandlas i avsnitt 14.5.3, definieras olika uttryck som används i lagen. Definitionerna stämmer, med undantag för definitionerna av tillsynsmyndighet och tredjeland, överens med dem som finns i 1 kap. 6 § brottsdatalagen (2018:000). Uttrycken förklaras i SOU 2017:29 s. 672 f.

Tillsynsmyndighet

Med tillsynsmyndighet avses den myndighet som regeringen utser att enligt lagen utöva tillsyn över personuppgiftsbehandling. Defi- nitionen behandlas i avsnitt 15.3.

Tredjeland

Tredjeland definieras som en stat som inte är medlem i Europeiska unionen eller Europeiska ekonomiska samarbetsområdet och som inte heller på grund av avtal med Europeiska unionen har en mot- svarande ställning. Förutom medlemsstaterna i EU är det Island, Liechtenstein, Norge och Schweiz som inte är tredjeland i lagens mening. Definitionen behandlas i avsnitt 14.17.1.

Lagens tillämpning på uppgifter om juridiska personer

10 §

I paragrafen anges vilka bestämmelser i lagen som gäller för be- handling av uppgifter om juridiska personer. Paragrafen behandlas i avsnitt 14.5.4. Uppräkningen i paragrafen av bestämmelser som ska gälla vid behandling av uppgifter om juridiska personer motsvarar nuvarande 1 kap. 6 § polisdatalagen (2010:361).

781

Författningskommentar

SOU 2017:74

2 kap. Behandling av personuppgifter

Tillåtna rättsliga grunder för behandling av personuppgifter

1 §

Paragrafen reglerar tillsammans med 2 och 3 §§ de tillåtna rättsliga grunderna för behandling av personuppgifter. Den behandlas i av- snitt 14.6.3. Paragrafen motsvarar nuvarande 6 kap. 1 § polisdata- lagen (2010:361).

Personuppgifter får enligt första stycket behandlas om det är nödvändigt för att utföra en arbetsuppgift i vissa särskilt angivna syften. Bestämmelsen bildar den yttre ramen för när behandling av personuppgifter är tillåten. Att ordet nödvändigt används i stället för behövs innebär ingen ändring i sak.

Enligt punkten 1 a–c får personuppgifter behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet som inne- fattar brott mot rikets säkerhet, terrorbrott eller tryckfrihetsbrott eller yttrandefrihetsbrott med rasistiska eller främlingsfientliga motiv. Brott mot rikets säkerhet brukar anses innefatta bl.a. sådana brott som avses i 18 och 19 kap. brottsbalken. Med terrorbrott avses brott mot lagen (2003:148) om straff för terroristbrott, lagen (2002:444) om straff för finansiering av särskilt allvarlig brottslig- het i vissa fall och lagen (2010:299) om straff för offentlig upp- maning, rekrytering och utbildning avseende terroristbrott och annan särskilt allvarlig brottslighet.

Med uttrycket förebygga, förhindra eller upptäcka brottslig verksamhet avses framför allt Säkerhetspolisens underrättelseverk- samhet. I sådan verksamhet samlas information in, analyseras och bearbetas i syfte att förhindra eller upptäcka brottslig verksamhet när det ännu inte finns misstankar om att något konkret brott har begåtts (se prop. 2009/10:85 s. 318). Om det finns misstankar om ett konkret brott kan personuppgifter behandlas för att utreda brottet enligt punkten 2.

I punkten 1 ingår bl.a. myndighetens kartläggning och kontroll av personer, företeelser och annat som kan belysa riskerna för brott av nu aktuellt slag. Insamling av uppgifter om verksamheter, sam- manslutningar och annat som kan utvecklas till konkreta hot mot det svenska samhället eller mot enskilda personer i statsledningen är ett annat exempel. Även spaning i syfte att uppdaga sådan

782

SOU 2017:74

Författningskommentar

brottslig verksamhet som Säkerhetspolisen bekämpar hör hit (se prop. 2009/10:85 s. 362 f.).

Under den punkten ryms också handläggningen av tvångsme- delsfrågor enligt lagen (2007:979) om åtgärder för att förhindra vissa särskilt allvarliga brott och lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekäm- pande myndigheternas underrättelseverksamhet. Även behandling av överskottsinformation med stöd av 27 kap. 23 a § rättegångs- balken omfattas, om syftet är att förhindra brott. Personuppgifts- behandling vid annan brottsförebyggande verksamhet omfattas också.

Enligt punkten 2 får personuppgifter behandlas i syfte att utreda eller lagföra sådana brott som avses i punkten 1. Vidare omfattas utredning och lagföring av brott i de fall där Säkerhetspolisen har hand om eller är delaktig i en brottsutredning efter särskilt beslut.

Att utreda brott innebär framför allt att genomföra förunder- sökning enligt 23 kap. rättegångsbalken. Med brott avses konkreta brott, men det kan vara fråga om såväl brott som bevisligen har begåtts som brott som det enbart finns misstankar om. Misstan- karna behöver inte vara riktade mot någon bestämd person. Även personuppgiftsbehandling vid åtgärder som vidtas med stöd av 23 kap. 3 och 8 §§ rättegångsbalken omfattas. Under denna punkt ligger också det biträde som Säkerhetspolisen ger åklagare i för- undersökningar, vilket även inkluderar hanteringen av hemliga tvångsmedel. Även spaning under förundersökning hör hit, liksom användning av överskottsinformation för att utreda brott (se prop. 2009/10:85 s. 363).

Enligt punkten 3 a får Säkerhetspolisen behandla personuppgif- ter för att fullgöra uppgifter i samband med personskydd av den centrala statsledningen och andra som regeringen eller Säkerhets- polisen bestämmer. Det innefattar exempelvis behandling av upp- gifter rörande den skyddade personen själv, personer i hans eller hennes närmaste krets och andra personer som han eller hon kom- mer i kontakt med och uppgifter om personer som kan utgöra hot mot den skyddade personen. Det är dock bara uppgifter som be- hövs för att skyddsuppgiften ska kunna fullgöras som får behandlas med stöd av den här punkten. Den omfattar även behandlingen av personuppgifter för själva bevaknings- och säkerhetsarbetet, exem-

783

Författningskommentar

SOU 2017:74

pelvis uppgifter om vem som fullgör bevakningsuppgiften vid ett visst tillfälle (se prop. 2009/10:85 s. 363).

Punkten 3 b ger Säkerhetspolisen möjlighet att behandla person- uppgifter för att fullgöra uppgifter som anges i säkerhetsskydds- lagen (1996:627). I uppgifterna ingår bl.a. registerkontroll och ut- lämnande av uppgifter med anledning av sådan kontroll.

I punkten 3 c regleras Säkerhetspolisens personuppgiftsbehand- ling för att fullgöra uppgifter enligt utlännings- och medborgar- skapslagstiftningen. Det som avses är framför allt Säkerhetspoli- sens personuppgiftsbehandling i s.k. säkerhetsärenden enligt utlän- ningslagen (2005:716), men även i verkställighetsärenden enligt den lagen. Säkerhetspolisen har också uppgifter enligt lagen (1991:572) om särskild utlänningskontroll och lagen (2001:82) om svenskt medborgarskap. Personuppgiftsbehandling i sådana ärenden omfat- tas också.

I punkten 4 föreskrivs att Säkerhetspolisen får behandla person- uppgifter om det är nödvändigt för att utföra en annan arbetsupp- gift som rör nationell säkerhet, om arbetsuppgiften anges i lag eller förordning eller särskilt beslut av regeringen.

I punkten 5 regleras den personuppgiftsbehandling som krävs för att Säkerhetspolisen ska kunna fullgöra förpliktelser som följer av internationella åtaganden. Till dem hör bl.a. att skydda vissa företrädare för utländska stater som besöker Sverige, främst stats- överhuvuden och regeringsföreträdare. I den mån personuppgifts- behandling vid skyddet av dem inte regleras i punkten 3 a, t.ex. där- för att skyddet i huvudsak fullgörs av utländsk säkerhetspersonal, regleras det i denna punkt.

Säkerhetspolisen lämnar, i likhet med Polismyndigheten, i viss utsträckning andra länder rättslig hjälp i brottsutredningar. Punk- ten omfattar den behandling av personuppgifter som behövs för det. Den täcker också Säkerhetspolisens informations- och erfa- renhetsutbyte med motsvarande myndigheter i andra stater, i den mån utbytet grundar sig på ett internationellt åtagande. Om infor- mationsutbytet äger rum enbart i svenskt intresse hör det normalt hemma under någon av de andra punkterna. Däremot hör sådant informationsutbyte som enbart gagnar den utländska myndigheten, t.ex. uppgifter om brott i en annan stat, hemma under denna punkt (se prop. 2009/10:85 s. 363 f.).

784

SOU 2017:74

Författningskommentar

Enligt andra stycket ska det vara fråga om en arbetsuppgift som framgår av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan upp- gift. Personuppgiftsbehandlingen måste således alltid ha stöd i Säkerhetspolisens arbetsuppgifter så som de kommer till uttryck i svensk lagstiftning och andra för verksamheten bindande beslut om arbetsuppgifter som regeringen meddelat.

2 §

Paragrafen reglerar tillsammans med 1 och 3 §§ de tillåtna rättsliga grunderna för Säkerhetspolisens behandling av personuppgifter. Den behandlas i avsnitt 14.6.5. Bestämmelsen motsvarar nuvarande 6 kap. 2 § polisdatalagen (2010:361). Behandling enligt denna para- graf förutsätter att uppgifterna redan är föremål för behandling med stöd av 1 §.

Första stycket ger Säkerhetspolisen stöd för att behandla person- uppgifter för att kunna lämna ut dem till bl.a. andra brottsbekäm- pande myndigheter. Enligt punkten 1 får Säkerhetspolisen, vars brottsbekämpning rör ett relativt begränsat område, utföra den be- handling som krävs för att till rätt myndighet vidarebefordra bl.a. uppgifter om brott eller brottslig verksamhet som Säkerhetspolisen upptäcker men själv saknar behörighet att handlägga (se prop. 2009/10:85 s. 365).

Punkten 2 ger Säkerhetspolisen stöd för att behandla uppgifter för att lämna ut dem till en annan myndighet inom ramen för myn- dighetsöverskridande samverkan mot brott. I första hand tillgodo- ser punkten behovet av informationsutbyte med andra myndighe- ter än brottsbekämpande, eftersom punkten 1 i huvudsak täcker det behovet.

Enligt punkten 3 får Säkerhetspolisen behandla personuppgifter för att kunna lämna ut dem till Försvarsmaktens försvarsunderrät- telseverksamhet och militära säkerhetstjänst eller till Försvarets radioanstalts försvarsunderrättelseverksamhet. Punkten medger att Säkerhetspolisen behandlar personuppgifter som den anser kan vara värdefulla för någon av dessa myndigheter och vill vidarebe- fordra dit. Möjligheterna till sådan behandling begränsas genom

785

Författningskommentar

SOU 2017:74

kravet på att det ska finnas särskilda skäl att tillhandahålla infor- mationen (se prop. 2009/10:85 s. 365 f.).

I punkten 4 ges Säkerhetspolisen rättsligt stöd för att behandla personuppgifter om myndigheten enligt lag eller förordning har till uppgift att bistå en annan myndighet med viss uppgift. Punkten omfattar bl.a. den behandling som kan krävas för att Säkerhetspo- lisen ska kunna bistå Riksdagens ombudsmän eller Justitiekanslern med uppgifter när de uppträder som förundersökningsledare och åklagare (se prop. 2014/15:94 s. 137).

Enligt punkten 5 får information som behandlas med stöd av 1 § också behandlas för att tillhandahålla information som är nödvän- dig för den brottsbekämpande verksamheten vid en utländsk myn- dighet eller en mellanfolklig organisation (se prop. 2009/10:85 s. 366). I 16 § finns en sekretessbrytande bestämmelse som möjlig- gör sådant utlämnande.

Punkten 6 ger Säkerhetspolisen möjlighet att behandla person- uppgifter för att lämna ut dem till en utländsk underrättelse- eller säkerhetstjänst om det inte täcks av någon av de övriga punkterna i paragrafen.

Av andra stycket framgår att personuppgifter får behandlas om det är nödvändigt för att tillhandahålla information till riksdagen eller regeringen och, i den utsträckning skyldighet att lämna upp- gifter följer av lag eller förordning, till andra. Vad bestämmelsen innebär utvecklas i prop. 2009/10:85 s. 323 och 366.

I tredje stycket tydliggörs att de i paragrafen angivna rättsliga grunderna för att lämna ut personuppgifter som redan behandlas inte är uttömmande. Bestämmelsen ger Säkerhetspolisen stöd för att i ett enskilt fall behandla personuppgifter, som behandlas med stöd av 1 §, för något annat syfte än de som anges första och andra styckena. För att sådan behandling ska vara tillåten krävs det dock att ändamålet med behandlingen inte är oförenligt med det ändamål för vilket personuppgifterna samlades in (finalitetsprincipen).

3 §

Paragrafen reglerar, tillsammans med 1 och 2 §§, de tillåtna rättsliga grunderna för behandling av personuppgifter. Den motsvarar nuva- rande 6 kap. 3 § polisdatalagen (2010:361).

786

SOU 2017:74

Författningskommentar

I paragrafen, som behandlas i avsnitt 14.6.4, regleras två särskilt angivna fall där det är tillåtet att behandla personuppgifter, trots att förutsättningarna för behandling enligt 1 eller 2 § inte är uppfyllda. Tillämpningsområdet för paragrafen är begränsat, eftersom det enbart är personuppgifter som inkommit till Säkerhetspolisen som får behandlas. Vad regleringen innebär utvecklas i SOU 2017:29 s. 682 f.

Ändamål för behandling av personuppgifter

4 §

I paragrafen regleras kravet på ändamål för behandling av person- uppgifter. Den behandlas i avsnitt 14.6.1.

I första stycket föreskrivs att personuppgifter får behandlas bara för särskilda, uttryckligt angivna och berättigade ändamål. En mot- svarande bestämmelse finns i 2 kap. 3 § brottsdatalagen (2018:000). Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 683 f.

Eftersom Säkerhetspolisens personuppgiftsbehandling till över- vägande del utförs i myndighetens underrättelseverksamhet är det inte alltid möjligt att ange ändamålen för behandlingen lika preci- serat som i annan brottsbekämpande verksamhet. Verksamhetens natur innebär att ändamålen ofta får anges mer övergripande. Kra- vet på särskilda ändamål måste ses i ljuset av detta.

I andra stycket föreskrivs att personuppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål för vilket personuppgifterna ursprungligen behandlades (finalitetsprincipen). När Säkerhetspolisen ska behandla personuppgifter för nya ända- mål måste myndigheten alltid pröva om det nya ändamålet är för- enligt med det ändamål som personuppgifterna samlades in för. Eftersom Säkerhetspolisens verksamhet är inriktad på att bekämpa brott som till sin natur är systemhotande kan behandling av per- sonuppgifter för nya ändamål inom den egna organisationen i de allra flesta fall anses förenlig med ursprungsändamålet. I de fall som anges i 2 § får behandlingen som regel också anses förenlig med de ändamål för vilka personuppgifterna ursprungligen behandlades.

787

Författningskommentar

SOU 2017:74

5 §

I paragrafen slås fast att Säkerhetspolisen får behandla personupp- gifter för vetenskapliga, statistiska eller historiska ändamål inom lagens tillämpningsområde. Paragrafen behandlas i avsnitt 14.6.1. En motsvarande bestämmelse finns i 2 kap. 5 § brottsdatalagen (2018:000). Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 685.

Grundläggande krav på behandling av personuppgifter

Laglig och korrekt behandling

6 §

I paragrafen, som motsvarar 2 kap. 6 § brottsdatalagen (2018:000), föreskrivs att personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. Den behandlas i avsnitt 14.7.1. Vad regleringen innebär utvecklas i SOU 2017:29 s. 686.

Personuppgifternas kvalitet

7 §

Paragrafen, som motsvarar 2 kap. 7 § brottsdatalagen (2018:000), reglerar hur de personuppgifter som behandlas ska vara beskaffade. Den behandlas i avsnitt 14.7.2.

I första stycket föreskrivs att de personuppgifter som behandlas ska vara korrekta och, om nödvändigt, uppdaterade. Vad det inne- bär utvecklas i SOU 2017:29 s. 687.

Av andra stycket framgår att uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt och med respekt för människovärdet. Vad det innebär utvecklas i SOU 2017:29 s. 687 f.

8 §

Paragrafen, som motsvarar 2 kap. 8 § brottsdatalagen (2018:000), reglerar omfattningen av behandlingen av personuppgifter. Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 688 f.

788

SOU 2017:74

Författningskommentar

Det kan vara svårare att bedöma om uppgifterna är adekvata och relevanta i Säkerhetspolisens verksamhet än i annan polisverksam- het, eftersom det som regel inte är lika tydligt vari den brottsliga verksamheten eller säkerhetshotet består. Vid bedömningen av mängden personuppgifter som behöver behandlas i förhållande till ändamålet kan hänsyn också behöva tas till andra aspekter än en- bart behoven i det enskilda fallet. För att pågående underrättelse- eller utredningsverksamhet inte ska avslöjas kan Säkerhetspolisen ibland behöva behandla fler uppgifter än vad som krävs i ett visst ärende, för att inte avslöja vem eller vilka som myndigheten intres- serar sig för. Kravet på att uppgifterna ska vara adekvata och rele- vanta och inte för många i förhållande till ändamålet med behand- lingen får i dessa fall ändå anses vara uppfyllt.

Paragrafen behandlas i avsnitt 14.7.2.

Känsliga personuppgifter

9 §

Paragrafen, som motsvarar 2 kap. 11 § brottsdatalagen (2018:000), reglerar tillsammans med 10–12 §§ i vilken utsträckning känsliga personuppgifter får behandlas. Att uppgifterna betecknas som känsliga framgår av 11 §. Paragrafen behandlas i avsnitt 14.7.3.

I första stycket föreskrivs förbud mot att behandla personupp- gifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning. Om andra uppgifter om en person behandlas får de dock, enligt andra stycket, komp- letteras med sådana uppgifter när det är absolut nödvändigt för ändamålet med behandlingen. Vad regleringen innebär utvecklas i SOU 2017:29 s. 690 f.

10 §

I paragrafen, som tillsammans med 9, 11 och 12 §§ reglerar i vilken utsträckning känsliga personuppgifter får behandlas, föreskrivs att Säkerhetspolisen får behandla biometriska uppgifter endast om det

789

Författningskommentar

SOU 2017:74

är absolut nödvändigt för ändamålet med behandlingen. Biometri- ska uppgifter definieras i 1 kap. 9 §.

Bestämmelsen möjliggör användning av särskild teknisk be- handling för att bekräfta unik identifiering av en person. Det inne- bär att t.ex. fingeravtryck, ansiktsgeometri, röstigenkänning eller rörelsemönster kan användas för att identifiera en person. Behovet av att behandla biometriska uppgifter måste prövas noga i ett en- skilt ärende. Paragrafen behandlas i avsnitt 14.7.3.

Säkerhetspolisen får däremot inte behandla genetiska uppgifter. Uttrycket definieras i 1 kap. 9 §.

11 §

Paragrafen reglerar tillsammans med 9, 10 och 12 §§ i vilken ut- sträckning känsliga personuppgifter får behandlas. Paragrafen be- handlas i avsnitt 14.7.3.

I paragrafen klargörs att sådana personuppgifter som avses i 9 och 10 §§ betecknas som känsliga personuppgifter i lagen. Vidare slås fast att sådana uppgifter alltid får behandlas i de fall som avses i 3 §, dvs. om det är nödvändigt för diarieföring eller, i fråga om upp- gifter i en anmälan, ansökan eller liknande, om det är nödvändigt för myndighetens handläggning. Vad regleringen innebär utvecklas i SOU 2017:29 s. 692 f.

12 §

Paragrafen, som behandlas i avsnitt 14.7.3, reglerar användningen av känsliga personuppgifter vid sökning. I 9 och 10 §§ anges vilka personuppgifter som är känsliga personuppgifter.

Paragrafen gäller vid sökning i alla slags personuppgifter, dvs. såväl personuppgifter som har gjorts gemensamt tillgängliga som personuppgifter som inte har det.

Enligt första stycket är det förbjudet att utföra sökning i syfte att få fram ett personurval grundat på känsliga personuppgifter. Där- med förbjuds sökning i syfte att att få fram ett urval av personer som t.ex. har viss politisk åskådning eller religiös övertygelse.

I andra stycket klargörs att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott och uppgifter som beskriver en persons

790

SOU 2017:74

Författningskommentar

utseende får användas vid sökning, även om det skulle leda till ett personurval grundat på känsliga personuppgifter.

Enligt tredje stycket hindrar sökförbudet inte sökning i syfte att få fram ett personurval grundat på etniskt ursprung, politiska åsik- ter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sökningen är absolut nödvändig för de syften som anges i 1 §. Säkerhetspolisen kan behöva söka på uppgifter som rör politiska åsikter, religös övertygelse eller etniskt ursprung, eftersom det ingår i Säkerhetspolisens uppdrag att kart- lägga sådan verksamhet som kan komma att hota vitala samhälls- funktioner och att skydda statsledningen. Sådan sökning kan även behöva göras t.ex. för att förebygga och förhindra tryck- eller ytt- randefrihetsbrott med rasistiska eller främlingsfientliga motiv.

Kravet på att det ska vara absolut nödvändigt att göra sökningen gör att utrymmet för sådana sökningar är begränsat och att rutin- mässiga sökningar på känsliga uppgifter inte är tillåtna.

I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana upp- gifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 9 §. Rätten att göra sök- ning medför således inte en generell rätt att fortsätta att behandla uppgifterna.

Åtgärder för att säkerställa personuppgifternas kvalitet

13 §

I paragrafen föreskrivs vad Säkerhetspolisen ska göra för att för- hindra att felaktiga eller ofullständiga personuppgifter behandlas, lämnas ut eller görs tillgängliga och hur inaktuella uppgifter ska hanteras. Paragrafen behandlas i avsnitt 14.7.4 och motsvarar 2 kap. 15 § första stycket brottsdatalagen (2018:000). I 6 kap. 6 § regleras vad som gäller när den registrerade begär att personuppgifter ska rättas eller kompletteras.

Vad regleringen innebär utvecklas i SOU 2017:29 s. 693 f.

791

Författningskommentar

SOU 2017:74

14 §

I paragrafen, som motsvarar 2 kap. 16 § brottsdatalagen (2018:000), föreskrivs vilka åtgärder som ska vidtas om personuppgifter be- handlas på otillåtet sätt. Den behandlas i avsnitt 14.7.4. I 6 kap. 7 § regleras vad som gäller när den registrerade begär att motsvarande åtgärder ska vidtas.

I första stycket föreskrivs att alla rimliga åtgärder ska vidtas för att personuppgifter som behandlas i strid med 1–6, 8–10 eller 12 § eller 4 kap. 1 § första stycket, 2–4 eller 7–11 § utan onödigt dröjs- mål ska raderas. Säkerhetspolisen ska också se till att sådana upp- gifter inte lämnas ut eller görs tillgängliga. Det gäller också när radering krävs för att utföra en rättslig förpliktelse. När radering kan komma i fråga, förutsättningarna för det och vad som kan vara en rättslig förpliktelse utvecklas i SOU 2017:29 s. 726 f.

I stället för att radera personuppgifter som behandlas på otillåtet sätt ska Säkerhetspolisen enligt andra stycket utan onödigt dröjsmål begränsa behandlingen av uppgifterna om de behöver sparas som bevisning. Vad det innebär utvecklas i SOU 2017:29 s. 727 f.

Uppgiftsskyldighet och utlämnande av personuppgifter

15 §

Paragrafen, som behandlas i avsnitt 14.12.1, reglerar utlämnande för att framställa rättsstatistik. Den motsvarar nuvarande 2 kap. 14 § polisdatalagen (2010:361).

Bestämmelsen bryter den sekretess som kan gälla för person- uppgifterna. Av 2 § förordningen (2016:1201) med instruktion för Brottsförebyggande rådet framgår att myndigheten ansvarar för kriminalstatistiken.

16 §

Paragrafen, som behandlas i avsnitt 14.12.3, innehåller sekretess- brytande bestämmelser om utlämnande till utländska myndigheter och mellanfolkliga organisationer. Den motsvarar nuvarande 2 kap. 15 § polisdatalagen (2010:361). I fråga om innebörden av bestäm- melsen hänvisas till prop. 2009/10:85 s. 329 f.

792

SOU 2017:74

Författningskommentar

17 §

Paragrafen innehåller en bestämmelse som bryter viss sekretess som annars skulle ha gällt gentemot Polismyndigheten. Den be- handlas i avsnitt 14.12.2.

I paragrafen regleras Polismyndighetens rätt att, trots viss i paragrafen angiven sekretess till skydd för enskild, för vissa syften få del av personuppgifter som har gjorts gemensamt tillgängliga och som Säkerhetspolisen behandlar i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller fullgöra uppgifter i samband med personskydd. Paragrafen har ut- formats som en uppgiftsskyldighet. En förutsättning för att upp- gifter ska lämnas ut är att Polismyndigheten behöver uppgifterna för att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. Det är Säkerhetspolisen som avgör om Polismyndigheten behöver uppgifterna.

18 §

Paragrafen innehåller en bestämmelse som bryter viss sekretess som annars skulle ha gällt gentemot Försvarets radioanstalt och Försvarsmakten. Den behandlas i avsnitt 14.12.2.

I paragrafen regleras rätten för Försvarets radioanstalt och För- svarsmakten att, trots viss i paragrafen angiven sekretess till skydd för enskild, i försvarsunderrättelseverksamheten och den militära säkerhetstjänsten få del av personuppgifter som har gjorts gemen- samt tillgängliga och som Säkerhetspolisen behandlar i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller ut- reda eller lagföra brott. Paragrafen har utformats som en uppgifts- skyldighet. En förutsättning för att uppgifter ska lämnas ut är att uppgifterna behövs i försvarsunderrättelseverksamheten eller den militära säkerhetstjänsten. Det är Säkerhetspolisen som avgör om Försvarets radioanstalt och Försvarsmakten behöver uppgifterna.

793

Författningskommentar

SOU 2017:74

19 §

Paragrafen reglerar elektroniskt utlämnande.

I första stycket föreskrivs att personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomsten om det inte är olämpligt. En motsvarande bestämmelse finns i 2 kap. 16 § polisens brottsdatalag (2010:361). I fråga om innebörden av bestämmelsen hänvisas till kommentaren till den paragrafen. Frågan behandlas i avsnitt 14.11.1.

I andra stycket klargörs att elektroniskt utlämnande genom direktåtkomst bara får förekomma i den utsträckning som anges i 3 kap. 5–7 §§. Frågan behandlas i avsnitt 14.11.2. Vad direktåt- komst innebär utvecklas i avsnitt 5.6.1.

Personuppgifter från transportföretag

20 §

Paragrafen reglerar, tillsammans med 21 §, hur personuppgifter som ett transportföretag enligt 25 § polislagen (1984:387) tillhan- dahåller Säkerhetspolisen får behandlas. Regleringen avser upp- gifter om ankommande eller avgående transporter av passagerare och fordon som företagen befordrar till och från Sverige. Det rör sig alltså om bokningsuppgifter i flyg- och färjetrafik. Paragrafen behandlas i avsnitt 14.8. Transportföretagens skyldighet att tillhan- dahålla uppgifter regleras alltjämt i polislagen.

I första stycket tydliggörs att personuppgifter från transportfö- retag endast får behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller för personskydd.

Av andra stycket framgår att personuppgifter får behandlas för ett nytt ändamål endast i ett enskilt fall. Ett typiskt exempel är att uppgifterna behövs i ett visst underrättelseärende. Att sådana upp- gifter får göras gemensamt tillgängliga framgår av 3 kap. 2 §.

794

SOU 2017:74

Författningskommentar

21 §

I paragrafen anges hur bokningsuppgifter som Säkerhetspolisen får del av genom terminalåtkomst får användas. Paragrafen, som mot- svarar nuvarande 26 § andra stycket polislagen (1984:387), behand- las i avsnitt 14.8.

Paragrafen reglerar enbart behandling vid terminalåtkomst till personuppgifter hos transportföretag, medan 20 § anger vad som gäller i fråga om personuppgifter som förs över till myndighetens it-system eller behandlas strukturerat på annat sätt.

Genom terminalåtkomsten till företagens it-system får Säker- hetspolisen tillgång till omfattande överskottsinformation om resande. Myndigheten får inte ändra eller på annat sätt bearbeta uppgifter i sådana system. Syftet med regleringen är att myndig- heten inte ska kunna föra över en hel sådan uppgiftssamling till sina egna it-system för att bearbeta, ändra och lagra personuppgifterna där. Som framgår av 20 § andra stycket får däremot uppgifter föras över i enskilda fall om förutsättningarna för det är uppfyllda.

Föreskrifter

22 §

I paragrafen upplyses om att regeringen kan meddela föreskrifter om att personuppgifter får lämnas ut även i andra fall än som anges i 15–18 §§ (vilket motsvarar nuvarande 2 kap. 19 § första stycket polisdatalagen), om begränsning av möjligheten att lämna ut per- sonuppgifter elektroniskt på annat sätt än genom direktåtkomst och om underrättelseskyldighet och sökning i personuppgifter.

3 kap. Gemensamt tillgängliga uppgifter

Allmän bestämmelse

1 §

Av paragrafen, som behandlas i avsnitt 14.9.1, framgår att kapitlet innehåller bestämmelser om behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga. Vad som avses med

795

Författningskommentar SOU 2017:74

gemensamt tillgängliga uppgifter utvecklas i prop. 2009/10:85 s. 334 f.

Av andra stycket framgår att bestämmelserna i kapitlet inte gäller för behandling av personuppgifter med stöd av den särskilda be- stämmelsen om behandling för diarieföring och nödvändiga hand- läggningsåtgärder i 2 kap. 3 §.

Personuppgifter som får göras gemensamt tillgängliga

2 §

Paragrafen reglerar vilka personuppgifter som får göras gemensamt tillgängliga. Frågan behandlas i avsnitt 14.9.1. Av paragrafen fram- går att personuppgifter får göras gemensamt tillgängliga om det be- hövs för något av de syften som anges 2 kap. 1 §.

Särskilda upplysningar

3 §

Enligt paragrafen ska det framgå för vilket ändamål gemensamt till- gängliga uppgifter behandlas om det inte framgår av sammanhanget eller på något annat sätt. Paragrafen behandlas i avsnitt 14.9.2 och motsvarar nuvarande 6 kap. 9 § polisdatalagen (2010:361). I fråga om innebörden hänvisas till prop. 2009/10:85 s. 369 f.

4 §

Enligt paragrafen, som behandlas i avsnitt 14.9.2 och 14.10.2, ska uppgifter som är gemensamt tillgängliga förses med särskilda upp- lysningar i vissa fall. Den motsvarar nuvarande 6 kap. 10 § polis- datalagen (2010:361).

Enligt första stycket ska gemensamt tillgängliga uppgifter som direkt kan hänföras till en person som inte är misstänkt för brott eller för att ha utövat eller komma att utöva brottslig verksamhet förses med en särskild upplysning om det, om det inte på annat sätt framgår att personen inte är misstänkt. Det kan t.ex. framgå att personen är uppgiftslämnare. Genom hänvisningen till 2 kap. 1 §

796

SOU 2017:74

Författningskommentar

första stycket 1 eller 2 klargörs att upplysningen ska avse om per- sonen i fråga är misstänkt för brott eller brottslig verksamhet som Säkerhetspolisen har till uppgift att bekämpa.

Enligt andra stycket ska uppgifter om personer som kan antas ha direkt samband med sådan brottslig verksamhet som avses i 2 kap. 1 § första stycket 1 förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Kravet på samband är lågt ställt. Så snart det finns något som stöder ett antagande om att en person har direkt samband med sådan brottslig verksamhet och det är fråga om uppgifter som görs gemensamt tillgängliga ska uppgifterna om personen förses med en särskild upplysning. Sam- bandet kan t.ex. bestå i att en person ofta träffar eller har annan kontakt med någon annan som är misstänkt för att utöva brottslig verksamhet eller rör sig i en miljö där brottslighet förekommer, utan att ha naturliga skäl att befinna sig där. Personuppgifter om den som är anhörig till en person som kan antas ha samband med misstänkt brottslig verksamhet faller alltså utanför, utom i de fall där båda kan antas ha samband med brottslig verksamhet.

Det är bara uppgifter som rör en person som behöver förses med upplysning om uppgiftslämnarens trovärdighet och uppgif- ternas riktighet i sak. Det är, förutom uppgifter om på vilket sätt personen är knuten till den brottsliga verksamheten, framför allt fråga om uppgifter som belyser brottslighetens art och omfattning. Uppgifterna kan då behöva förses med särskilda upplysningar för att personens anknytning till brottsligheten ska kunna bedömas.

Det krävs inte någon upplysning om det på grund av omständig- heterna är onödigt. Det kan vara fallet om uppgiftslämnaren är en polisman eller någon annan vars trovärdighet är väl känd. Även i sådana fall kan det behövas en särskild upplysning om uppgifternas riktighet i sak, om inte källan framgår på annat sätt.

Av tredje stycket framgår att uppgifter som ingår i en uppgifts- samling som har skapats för att bearbeta och analysera information och som enbart särskilt angivna tjänstemän har tillgång till, inte behöver förses med någon upplysning enligt andra stycket om be- arbetningen inte har genomförts. Undantaget innebär att person- uppgifter i en sådan uppgiftssamling får göras gemensamt tillgäng- liga trots att de inte har hunnit förses med upplysningar om upp- giftslämnarens trovärdighet och uppgifternas riktighet i sak. Så snart bearbetningen är genomförd och uppgifterna kopplats till

797

Författningskommentar

SOU 2017:74

annan information måste personuppgifterna kompletteras med så- dana upplysningar om det behövs.

Undantaget är kopplat till om bearbetningen av uppgifterna är genomförd. Hur lång tid det kan ta kan variera beroende på bl.a. mängden information och uppgifternas karaktär. Utgångspunkten är att bearbetningen ska genomföras så snart som möjligt.

I 4 kap. 9 § anges hur länge uppgifter i en sådan uppgiftssamling får behandlas.

Direktåtkomst

5 §

I paragrafen föreskrivs att Polismyndigheten under vissa förutsätt- ningar får medges direktåtkomst till personuppgifter som Säker- hetspolisen behandlar. Paragrafen behandlas i avsnitt 14.11.2 och 14.11.3.

Direktåtkomsten får bara avse personuppgifter som har gjorts gemensamt tillgängliga och som Säkerhetspolisen behandlar i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller fullgöra uppgifter i samband med person- skydd.

Möjligheten att ge Polismyndigheten direktåtkomst begränsas till personuppgifter som behövs för något av de syften som anges i 2 kap. 1 § första stycket 1 och 2 polisens brottsdatalag (2010:361). Det innebär att Polismyndigheten bara får ta del av uppgifter genom direktåtkomst för att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. Om Polismyn- digheten behöver få tillgång till personuppgifter för att utföra andra arbetsuppgifter ska uppgifterna lämnas på något annat sätt.

Paragrafen innebär inte att Polismyndigheten har rätt till direkt- åtkomst. En bestämmelse om direktåtkomst anger endast i vilken form personuppgifter får tillhandahållas. Det är Säkerhetspolisen som avgör om personuppgifterna kan lämnas på det sättet. Möjlig- heten att tillhandahålla vissa personuppgifter genom direktåtkomst kan också begränsas av att uppgifterna är skyddade av sekretess. I 2 kap. 17 § finns en sekretessbrytande bestämmelse. Direktåtkoms- ten kan begränsas till t.ex. en viss typ av uppgifter, enskilda upp-

798

SOU 2017:74

Författningskommentar

giftssamlingar eller ärenden eller till uppgifter om vissa företeelser som har anknytning till en viss person eller händelse.

6 §

I paragrafen anges att Försvarets radioanstalt och Försvarsmakten under vissa förutsättningar får medges direktåtkomst till person- uppgifter som behandlas av Säkerhetspolisen. Frågan behandlas i avsnitt 14.11.3.

Försvarsunderrättelsemyndigheterna får endast medges direkt- åtkomst inom ramen för försvarsunderrättelseverksamheten och den militära säkerhetstjänsten. Direktåtkomsten får bara avse per- sonuppgifter som har gjorts gemensamt tillgängliga och som Säker- hetspolisen behandlar i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott.

Paragrafen innebär inte att de mottagande myndigheterna har rätt till direktåtkomst. En bestämmelse om direktåtkomst anger endast i vilken form personuppgifter får lämnas ut. Möjligheten att lämna ut vissa personuppgifter genom direktåtkomst kan vara be- gränsad genom att uppgifterna är skyddade av sekretess. Det finns en sekretessbrytande bestämmelse i 2 kap. 18 §.

Säkerhetspolisen avgör om den kan medge försvarsunderrättel- semyndigheterna direktåtkomst och i vilken omfattning. Direkt- åtkomsten kan begränsas t.ex. till en viss typ av uppgifter eller på annat lämpligt sätt.

7 §

I paragrafen regleras Säkerhetspolisens möjlighet att medge under- rättelse- och säkerhetstjänster inom EU och EES direktåtkomst till vissa personuppgifter. Paragrafen behandlas i avsnitt 14.11.4.

I första stycket anges förutsättningarna för att direktåtkomst ska kunna medges. Möjligheten att dela information genom direktåt- komst begränsas till underrättelse- och säkerhetstjänster i med- lemsstater inom EU och EES. Underrättelse- och säkerhetstjäns- terna får endast medges direktåtkomst om det behövs för samarbe- tet mot terrorism. Direktåtkomsten får endast avse personuppgifter som Säkerhetspolisen behandlar i syfte att förebygga, förhindra

799

Författningskommentar

SOU 2017:74

eller upptäcka brottslig verksamhet som innefattar terrorbrott. Det kan även vara fråga om uppgifter som har kommit fram vid utred- ning av eller lagföring för terrorbrott och som Säkerhetspolisen fortsätter att behandla med stöd av 2 kap. 1 § första stycket 1 b.

Direktåtkomst får endast medges till en avskild uppgiftssamling som Säkerhetspolisen upprättat i syfte att dela sådan information som rör arbete mot terrorism med de aktuella mottagarna. Person- uppgifter som Säkerhetspolisen avser att dela med utländska under- rättelse- eller säkerhetstjänster måste således först föras över till en särskild uppgiftssamling.

Innan personuppgifter tillförs en sådan uppgiftssamling måste Säkerhetspolisen avgöra om det finns sakliga skäl att låta utländska underrättelse- och säkerhetstjänster få del av uppgifterna, dvs. om det finns behov av att lämna ut uppgifterna för att främja bekämp- ningen av terrorism. Innan uppgifterna förs över ska Säkerhetspoli- sen bedöma om det finns rättsliga förutsättningar att lämna ut upp- gifterna till utländska mottagare, bl.a. om sekretess hindrar det.

Av andra stycket framgår att Säkerhetspolisen ska underrätta regeringen innan direktåtkomst medges en utländsk underrättelse- eller säkerhetstjänst enligt paragrafen. Underrättelseskyldigheten omfattar enbart det förhållandet att Säkerhetspolisen avser att dela information genom direktåtkomst, inte innehållet i informationen.

Föreskrifter

8 §

I paragrafen upplyses om att regeringen kan meddela föreskrifter om underrättelseskyldighet vid direktåtkomst. Det är underrättel- seskyldigheten i 7 § andra stycket som avses.

9 §

I paragrafen upplyses om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om bl.a. omfatt- ningen av direktåtkomsten och om behörighet och säkerhet när personuppgifter lämnas ut på det sättet.

800

SOU 2017:74

Författningskommentar

4 kap. Längsta tid som personuppgifter får behandlas

Allmän bestämmelse

1 §

Paragrafen, som behandlas i avsnitt 14.13.2, innehåller en generell bestämmelse om hur länge Säkerhetspolisen får behandla person- uppgifter.

I första stycket föreskrivs att personuppgifter inte får behandlas under längre tid än vad som behövs för något eller några av de syf- ten som anges i 2 kap. 1–3 §§. Bestämmelsen motsvarar nuvarande 6 kap. 6 § första stycket polisdatalagen (2010:361). Regleringen gäller vid all behandling av personuppgifter som omfattas av lagens tillämpningsområde, dvs. såväl automatiserad behandling som annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är till- gängliga för sökning eller sammanställning enligt särskilda kriterier (se 1 kap. 3 §).

Personuppgifter behandlas ibland för flera olika syften samti- digt. Att det inte längre finns behov av att behandla personuppgif- ten för ett visst syfte medför inte att behandlingen av den måste upphöra för alla andra syften samtidigt. Å andra sidan innebär det förhållandet att personuppgiften fortfarande behövs för ett visst syfte inte att den får fortsätta att behandlas för alla syften lika länge.

Bestämmelsen ger exempelvis stöd för fortsatt behandling av personuppgifter i ett avslutat ärende om uppgifterna bedöms ha ett allmänt värde för Säkerhetspolisens verksamhet att förebygga, för- hindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. En grundläggande förutsättning för fortsatt behandling är att Säkerhetspolisen bedömer att uppgifterna behöver finnas tillgäng- liga ytterligare en viss tid för brottsbekämpning eller lagföring eller något annat av de ändamål för vilka Säkerhetspolisen får behandla personuppgifter.

Behandlingen av personuppgifterna ska upphöra så snart det står klart att de inte längre behövs för något av de syften som anges i lagen. När det gäller ostrukturerad underrättelseinformation kan det vara särskilt svårt att bedöma det fortsatta behovet av behand- ling. Bedömningen måste innan bearbetningen är genomförd göras

801

Författningskommentar

SOU 2017:74

på ett mer övergripande plan och i större utsträckning utgå från sannolikheten av att personuppgifterna kan komma att behövas i verksamheten än en reell bedömning av den enskilda uppgiften.

Av andra stycket framgår att bestämmelsen om längsta tid för behandling inte hindrar att Säkerhetspolisen arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyn- dighet. Bestämmelsen tydliggör att arkivlagstiftningen i fråga om allmänna handlingar har företräde framför lagens bestämmelser om längsta tid för behandling.

I tredje stycket föreskrivs att övriga bestämmelser i kapitlet, som anger hur länge en viss typ av personuppgifter får behandlas inom den ram som sätts av huvudregeln i första stycket, endast gäller vid automatiserad behandling. Det innebär att de paragraferna inte gäl- ler för annan strukturerad behandling som omfattas av lagens till- lämpningsområde.

Oavsett vilken bedömning som görs av nyttan med behand- lingen av en viss personuppgift får den inte behandlas längre än vad som anges i respektive paragraf. Om det redan vid en tidigare tid- punkt står klart att uppgifterna saknar betydelse för det syfte för vilket de behandlas, ska behandlingen upphöra då.

Personuppgifter som inte har gjorts gemensamt tillgängliga

2 §

I paragrafen, som motsvarar nuvarande 6 kap. 7 § polisdatalagen (2010:361), anges hur länge personuppgifter som inte har gjorts gemensamt tillgängliga får behandlas. Paragrafen behandlas i av- snitt 14.13.3.

Enligt första stycket får personuppgifter som behandlas i ett ärende inte behandlas längre än ett år efter det att ärendet avsluta- des, medan uppgifter som inte hör till något ärende inte får be- handlas längre än ett år efter det att de behandlades automatiserat första gången. Vad som avses med ett ärende i denna paragraf ut- vecklas i prop. 2009/10:85 s. 328.

Det klargörs att uppgifterna, trots det som sägs 1 § andra stycket om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av personuppgifterna ska upphöra när den tid som anges i para-

802

SOU 2017:74

Författningskommentar

grafen har löpt ut, vilket innebär att de ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i denna paragraf (jfr 13 §).

Enligt andra stycket gäller paragrafen inte personuppgifter i ärenden om utredning av eller lagföring för brott.

Gemensamt tillgängliga uppgifter i ärenden om utredning av eller lagföring för brott

3 §

I paragrafen, som motsvarar nuvarande 3 kap. 10 § polisdatalagen (2010:361), anges hur länge personuppgifter i en anmälan om brott får behandlas. Paragrafen behandlas i avsnitt 14.13.6. I fråga om innebörden av regleringen hänvisas till prop. 2009/10:85 s. 347.

Enligt paragrafen inskränks enbart behandlingen av personupp- gifter för de ändamål som regleras i lagen, vilket innebär att uppgif- terna får fortsätta att behandlas automatiserat för t.ex. arkivända- mål efter de tidpunkter som anges i paragrafen.

4 §

Paragrafen, som motsvarar nuvarande 3 kap. 11 § polisdatalagen (2010:361), reglerar hur länge personuppgifter i förundersökningar och andra utredningar som handläggs enligt bestämmelserna i 23 kap. rättegångsbalken får behandlas. Paragrafen behandlas i av- snitt 14.13.6. I fråga om innebörden av bestämmelsen hänvisas till prop. 2009/10:85 s. 347 f. Enligt paragrafen inskränks enbart be- handlingen av personuppgifter för de ändamål som regleras i lagen. Det innebär att uppgifterna får fortsätta att behandlas automati- serat för t.ex. arkivändamål efter de tidpunkter som anges.

I första stycket anges hur länge personuppgifter i mål och ären- den som varit föremål för domstolsprövning får behandlas. I andra stycket regleras hur länge personuppgifter i nedlagda förundersök- ningar får behandlas. Av tredje stycket framgår att regleringen i

803

Författningskommentar

SOU 2017:74

paragrafen även ska tillämpas på andra utredningar som handläggs enligt bestämmelser i 23 kap. rättegångsbalken.

5 §

Paragrafen, som behandlas i avsnitt 14.13.6 och motsvarar nuva- rande 3 kap. 13 § polisdatalagen (2010:361), reglerar vad som gäller i fråga om personuppgifter som rör någon som har varit misstänkt i en förundersökning som har lagts ner eller där åtal har lagts ner eller frikännande dom har meddelats och fått laga kraft. En sådan person får då inte längre vara sökbar som misstänkt. I fråga om innebörden av regleringen hänvisas till prop. 2009/10:85 s. 348 f.

Övriga gemensamt tillgängliga uppgifter

6 §

I paragrafen anges att det i de följande paragraferna regleras hur vissa typer av gemensamt tillgängliga personuppgifter som inte förekommer i ärenden om utredning av eller lagföring för brott som längst får behandlas. Det klargörs att uppgifterna, trots det som sägs i 1 § andra stycket om att arkivlagstiftningen har före- träde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av personuppgifterna ska upphöra när den tid som anges i 7–11 §§ har löpt ut, vilket innebär att uppgif- terna ska tas bort. Endast om det har meddelats uttryckliga före- skrifter som innebär att uppgifterna i fråga får behandlas för arkiv- ändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i de följande paragraferna (jfr 13 §).

7 §

Paragrafen, som motsvarar nuvarande 6 kap. 12 § första stycket polisdatalagen (2010:361), reglerar hur länge personuppgifter som avses i 2 kap. 1 § första stycket 1, och som har gjorts gemensamt tillgängliga, får behandlas. Paragrafen behandlas i avsnitt 14.13.4.

804

SOU 2017:74

Författningskommentar

Huvudregeln i första stycket innebär att personuppgifter som har gjorts gemensamt tillgängliga inte får behandlas längre än tio år efter utgången av det kalenderår då den senaste registreringen gjor- des avseende personens anknytning till brottslig verksamhet. Registrering av t.ex. ändrade bostadsförhållanden eller något annat som inte har betydelse för anknytningen till den brottsliga verk- samheten påverkar alltså inte hur länge uppgifterna får behandlas. Det saknar också betydelse om uppgifterna har samband med den först aktuella brottsliga verksamheten eller registreras av något annat skäl (jfr prop. 2009/10:85 s. 372).

Uppgifter om en person som vid tiden för registreringen inte fyllt 18 år får dock enligt andra stycket inte behandlas längre än fem år efter utgången av det kalenderår då den senaste registreringen gjordes avseende den unges anknytning till brottslig verksamhet. Femårsfristen gäller bara registreringar som har gjorts innan den unge fyllt 18 år. Om nya uppgifter om honom eller henne regist- reras därefter, förlängs tidsfristen för alla uppgifter enligt huvud- regeln i första stycket.

8 §

Paragrafen reglerar hur länge personuppgifter som avses i 2 kap. 1 § första stycket 3–5, och som har gjorts gemensamt tillgängliga, får behandlas. Paragrafen behandlas i avsnitt 14.13.4.

Huvudregeln i första stycket innebär att sådana personuppgifter som har gjorts gemensamt tillgängliga och som behandlas för bl.a. personskydd, säkerhetsskydd och för handäggning av frågor enligt utlännings- eller medborgarskapslagstiftningen inte får behandlas längre än tio år efter utgången av det kalenderår då den senaste registreringen beträffande personen gjordes.

Om uppgiften rör en person under 18 år är tiden som framgår av andra stycket längst fem år, om inte en ny registrering beträf- fande den unge har gjorts innan han eller hon har fyllt 18 år. Om nya uppgifter om honom eller henne registreras senare och de är av den arten att de påverkar hur länge personuppgifterna får behand- las, förlängs tidsfristen för alla uppgifter enligt huvudregeln i första stycket.

805

Författningskommentar

SOU 2017:74

9 §

Paragrafen, som motsvarar nuvarande 6 kap. 12 § andra stycket polisdatalagen (2010:361), reglerar hur länge uppgifter i sådana särskilda uppgiftssamlingar som avses i 3 kap. 4 § tredje stycket får behandlas. Paragrafen behandlas i avsnitt 14.13.4.

I punkten 1 föreskrivs att uppgifter i uppgiftssamlingar som be- handlas i underrättelseverksamhet får behandlas längst tre år efter utgången av det kalenderår då den senaste registreringen gjordes avseende personens anknytning till brottslig verksamhet. Enligt punkten 2 får uppgifter som Säkerhetspolisen behandlar för andra syften i en sådan uppgiftssamling inte behandlas längre än tre år efter utgången av det kalenderår då den senaste registreringen gjor- des avseende personen.

Om nya uppgifter om personen samlas in förlängs alltså tidsfris- ten, under förutsättning att uppgifterna är av den arten att de på- verkar hur länge personuppgifterna får behandlas. Vad det innebär utvecklas i kommentaren till 7 §.

10 §

Paragrafen anger hur länge personuppgifter som hänför sig till så- dan säkerhetshotande verksamhet som avses i 18 och 19 kap. brottsbalken och som utövas av främmande makt får behandlas. Frågan behandlas i avsnitt 14.13.5.

Sådana personuppgifter som anges i paragrafen får behandlas längst 40 år efter utgången av det kalenderår då den senaste regist- reringen gjordes avseende personens anknytning till brott eller brottslig verksamhet. Den tidsfristen gäller dock inte personupp- gifter som behandlas i sådana särskilda uppgiftssamlingar som avses i 3 kap. 4 § tredje stycket. För sådana personuppgifter gäller 9 § även om uppgifterna hänför sig till sådan säkerhetshotande verk- samhet som avses i 18 och 19 kap. brottsbalken.

Uppgifter som hänför sig till sådan säkerhetshotande verksam- het kan t.ex. vara uppgifter där grunden för registreringen är att personen antas vara utländsk underrättelseofficer och hans eller hennes anhöriga. Det kan också vara uppgifter om personer som misstänks för spioneri eller andra brott enligt 18 och 19 kap. brottsbalken som främmande makt står bakom och om personer

806

SOU 2017:74

Författningskommentar

med anknytning till dem. Registreringen kan även avse händelser kopplade till dessa personer.

11 §

I paragrafen, som motsvarar nuvarande 6 kap. 12 § tredje stycket polisdatalagen (2010:361), ges Säkerhetspolisen möjlighet att, om det finns särskilda skäl, genom ett beslut i det enskilda fallet för- länga tidsfristen för behandlingen av vissa personuppgifter. Para- grafen behandlas i avsnitt 14.13.7. Vad regleringen innebär utveck- las i prop. 2009/10:85 s. 372.

Tidsfristerna om tio respektive tre år motsvarar den nuvarande regleringen. Samma tid gäller även om personuppgifterna rör någon som inte har fyllt 18 år. Den gäller också för sådana personuppgif- ter som anges i 10 §.

Föreskrifter

12 §

I paragrafen, som motsvarar nuvarande 3 kap. 12 § polisdatalagen (2010:361) och behandlas i avsnitt 14.13.8, upplyses om att rege- ringen kan meddela föreskrifter om att vissa kategorier av person- uppgifter i en brottsanmälan, förundersökning eller annan utred- ning om brott får fortsätta att behandlas för ändamål inom lagens tillämpningsområde under längre tid än vad som anges i respektive paragraf i kapitlet.

13 §

I paragrafen, som behandlas i avsnitt 14.13.8, upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter dels om avvikelse från bestämmelserna i 2 § första stycket och 7–11 §§ att personuppgifter får behandlas under längre tid för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål (vilket motsvarar nuvarande 6 kap. 7 § tredje stycket och 6 kap. 14 § polisdatalagen [2010:361]), dels om begränsning av behandlingen av personuppgifter för ända-

807

Författningskommentar

SOU 2017:74

mål inom lagens tillämpningsområde vid digital arkivering (vilket motsvarar nuvarande 6 kap. 6 § tredje stycket polisdatalagen).

5 kap. Skyldigheter som personuppgiftsansvarig

Åtgärder för att säkerställa författningsenlig behandling

Tekniska och organisatoriska åtgärder

1 §

Paragrafen reglerar, tillsammans med 2–4 §§, de krav som ställs på Säkerhetspolisen i fråga om tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av personupp- gifter är författningsenlig och att registrerades rättigheter skyddas. Tekniska och organisatoriska åtgärder för att skydda personupp- gifterna regleras i 7 §.

Paragrafen, som behandlas i avsnitt 14.14, motsvarar 3 kap. 2 § brottsdatalagen (2018:000). Vad regleringen innebär utvecklas i SOU 2017:29 s. 699 f.

I 16 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen.

2 §

Paragrafen, som behandlas i avsnitt 14.14, reglerar skyldigheten att beakta principen om inbyggt dataskydd vid behandling av person- uppgifter. Paragrafen kan ses som en precisering av den övergri- pande skyldigheten i 1 § och är också tätt förknippad med regle- ringen i 3 och 7 §§.

Paragrafen motsvarar 3 kap. 3 § brottsdatalagen (2018:000). Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 700 f.

I 16 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen.

808

SOU 2017:74

Författningskommentar

3 §

Paragrafen, som behandlas i avsnitt 14.14, föreskriver att Säker- hetspolisen är skyldig att i automatiserade behandlingssystem in- föra dataskydd som standard. Paragrafen kan i likhet med 2 § ses som en precisering av den övergripande skyldigheten i 1 §.

Paragrafen motsvarar 3 kap. 4 § brottsdatalagen (2018:000). Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 701 f.

I 16 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen.

4 §

Paragrafen, som behandlas i avsnitt 14.14, reglerar Säkerhetspo- lisens skyldighet att säkerställa att det i automatiserade behand- lingssystem förs loggar över vissa typer av behandlingar.

Paragrafen motsvarar 3 kap. 5 § brottsdatalagen (2018:000). Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 702 f. Paragrafen gäller enligt 15 § även för personuppgiftsbiträden som Säkerhets- polisen anlitar.

I 16 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen.

Tillgången till personuppgifter

5 §

Paragrafen, som behandlas i avsnitt 14.14, reglerar den interna till- gången till personuppgifter för dem som arbetar vid Säkerhets- polisen.

Paragrafen motsvarar 3 kap. 6 § brottsdatalagen (2018:000). Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 703 f. Paragrafen gäller enligt 15 § även för personuppgiftsbiträden som Säkerhets- polisen anlitar.

I 16 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen.

809

Författningskommentar

SOU 2017:74

Konsekvensbedömning och förhandssamråd

6 §

Paragrafen, som behandlas i avsnitt 14.14, slår fast Säkerhetspoli- sens skyldighet att inför vissa behandlingar göra en konsekvensbe- dömning och samråda med tillsynsmyndigheten. Paragrafen mot- svarar 3 kap. 7 § brottsdatalagen (2018:000).

Av första stycket framgår att en konsekvensbedömning ska göras om det kan antas att en viss typ av ny behandling kommer att med- föra särskild risk för intrång i registrerades personliga integritet. Detsamma gäller vid betydande förändringar av redan pågående be- handling som kan antas medföra sådan risk. Vad regleringen inne- bär utvecklas i SOU 2017:29 s. 704.

Andra stycket reglerar s.k. förhandssamråd. När en konsekvens- bedömning pekar på att det finns särskild risk för intrång i regist- rerades personliga integritet eller när typen av behandling innebär särskild risk för intrång, ska Säkerhetspolisen samråda med tillsyns- myndigheten. Vad det innebär utvecklas i SOU 2017:29 s. 704. Till- synsmyndighetens roll vid förhandssamråd regleras i 7 kap. 1 § 2.

I 16 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen.

Säkerheten för personuppgifter

7 §

I paragrafen, som behandlas i avsnitt 14.14, regleras Säkerhetspoli- sens skyldighet att genom lämpliga tekniska och organisatoriska åtgärder skydda de personuppgifter som behandlas.

Paragrafen motsvarar 3 kap. 8 § brottsdatalagen (2018:000). Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 705 f. Paragrafen gäller enligt 15 § även för personuppgiftsbiträden som Säkerhets- polisen anlitar.

I 16 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådana åtgärder som avses i paragrafen.

810

SOU 2017:74

Författningskommentar

Samarbete med tillsynsmyndigheten

8 §

I paragrafen, som behandlas i avsnitt 14.14, regleras Säkerhetspoli- sens skyldighet att samarbeta med tillsynsmyndigheten. Paragrafen motsvarar 3 kap. 12 § brottsdatalagen (2018:000). Skyldigheten omfattar enbart samarbete med den myndighet som enligt lagen har utsetts till tillsynsmyndighet. I 7 kap. 3 § finns ytterligare be- stämmelser om skyldighet att bistå tillsynsmyndigheten.

Paragrafen gäller enligt 15 § även för personuppgiftsbiträden som Säkerhetspolisen anlitar.

Dataskyddsombud

9 §

Paragrafen, som behandlas i avsnitt 14.14, reglerar Säkerhetspoli- sens skyldighet att utse dataskyddsombud. Dataskyddsombud defi- nieras i 1 kap. 9 §. Paragrafen motsvarar 3 kap. 13 § brottsdatalagen (2018:000).

I paragrafen föreskrivs att ett eller flera dataskyddsombud ska utses. Dataskyddsombudet ska vara anställd hos myndigheten. Säkerhetspolisen ska anmäla till tillsynsmyndigheten när data- skyddsombud utses och entledigas.

10 §

I paragrafen, som behandlas i avsnitt 14.14, anges vilka uppgifter dataskyddsombud ska utföra. Paragrafen motsvarar 3 kap. 14 § brottsdatalagen (2018:000). Vad bestämmelsen innebär både i fråga om interna uppgifter, samarbete med tillsynsmyndigheten och kontakter med enskilda utvecklas i SOU 2017:29 s. 710 f.

811

Författningskommentar

SOU 2017:74

11 §

Paragrafen, som behandlas i avsnitt 14.14, reglerar dataskyddsom- budens skyldighet att anmäla brister till tillsynsmyndigheten. Para- grafen motsvarar 3 kap. 15 § brottsdatalagen (2018:000). Vad be- stämmelsen innebär utvecklas i SOU 2017:29 s. 712.

Personuppgiftsbiträden

12 §

Av paragrafen framgår att personuppgiftsbiträden får anlitas om det är lämpligt och vad Säkerhetspolisen måste göra innan ett per- sonuppgiftsbiträde anlitas. Personuppgiftsbiträde definieras i 1 kap. 9 §. Paragrafen, som behandlas i avsnitt 14.14, motsvarar 3 kap. 17 § brottsdatalagen (2018:000). Vad bestämmelsen innebär ut- vecklas i SOU 2017:29 s. 712 f.

13 §

Paragrafen reglerar förhållandet mellan Säkerhetspolisen och per- sonuppgiftsbiträden. Den behandlas i avsnitt 14.14 och motsvarar 3 kap. 18 § brottsdatalagen (2018:000).

I första stycket regleras kravet på att det ska finnas ett skriftligt avtal eller en annan skriftlig överenskommelse med personuppgifts- biträden. I andra stycket föreskrivs att personuppgiftsbiträdet inte får anlita underbiträden utan skriftligt tillstånd från Säkerhetspoli- sen. Vad regleringen innebär utvecklas i SOU 2017:29 s. 713.

I 16 § upplyses om att det kan finnas föreskrifter på lägre nivå om innehållet i sådana avtal och överenskommelser som avses i första stycket.

14 §

Paragrafen, som behandlas i avsnitt 14.14, reglerar vad som gäller vid behandling av personuppgifter hos ett personuppgiftsbiträde. Paragrafen motsvarar 3 kap. 19 § brottsdatalagen (2018:000).

812

SOU 2017:74

Författningskommentar

I första stycket slås fast att personuppgiftsbiträdet och de som arbetar under biträdets ledning bara får behandla personuppgifter i enlighet med instruktioner från Säkerhetspolisen.

Av andra stycket framgår att ett personuppgiftsbiträde som i strid med Säkerhetspolisens instruktioner fastställer ändamålen med och medlen för behandlingen anses vara personuppgiftsan- svarig för den behandlingen.

Vad regleringen innebär utvecklas i SOU 2017:29 s. 714.

15 §

I paragrafen föreskrivs vilka skyldigheter som gäller för person- uppgiftsbiträden. Paragrafen, som behandlas i avsnitt 14.14, mot- svarar 3 kap. 20 § brottsdatalagen (2018:000).

Hänvisningen till 4 och 5 §§ innebär att de personuppgiftbiträ- den som Säkerhetspolisens anlitar är skyldiga att dels säkerställa att loggar förs i automatiserade behandlingssystem, dels se till att an- ställda bara ges tillgång till de personuppgifter som krävs för att fullgöra arbetsuppgifterna. Innebörden av bestämmelserna framgår av SOU 2017:29 s. 702 f.

Skyldigheten enligt 7 § att vidta lämpliga skyddsåtgärder gäller även för personuppgiftsbiträden. Innebörden av skyldigheten ut- vecklas i SOU 2017:29 s. 705 f.

Personuppgiftsbiträden är också, genom hänvisningen till 8 §, skyldiga att i samma utsträckning som Säkerhetspolisen samarbeta med tillsynsmyndigheten. Innebörden av skyldigheten framgår av kommentaren till den paragrafen. Vad skyldigheten därutöver kan innebära utvecklas i SOU 2017:29 s. 714 f.

Att personuppgiftsbiträden åläggs vissa skyldigheter fråntar inte Säkerhetspolisen dess ansvar. Säkerhetspolisen är, som framgår av kommentaren till 1 kap. 7 §, ansvarig för den behandling av person- uppgifter som personuppgiftsbiträdet utför på myndighetens väg- nar. Den omständigheten att personuppgiftsbiträden ges en direkt skyldighet att vidta vissa åtgärder innebär dock att tillsynsmyndig- heten vid brister kan vidta åtgärder mot både personuppgiftsbiträ- det och Säkerhetspolisen.

813

Författningskommentar

SOU 2017:74

Föreskrifter

16 §

I paragrafen, som behandlas i avsnitt 14.14, upplyses om att rege- ringen eller den myndighet som regeringen bestämmer kan med- dela föreskrifter om sådana åtgärder som avses i 1–4, 6 och 7 §§, om tillgången till personuppgifter, om skyldigheten att föra regis- ter över kategorier av behandlingar av personuppgifter, om skyldig- heten att införa rutiner för anmälan av överträdelser och om inne- hållet i sådana avtal och överenskommelser som avses i 13 §.

6 kap. Enskildas rättigheter

Rätten till information

Allmän information

1 §

I paragrafen, som behandlas i avsnitt 14.15, anges vilken allmän information som Säkerhetspolisen på eget initiativ ska göra till- gänglig för registrerade. Informationen, som riktar sig till allmän- heten eller en obestämd, större krets av registrerade, kan göras till- gänglig t.ex. på myndighetens webbplats. Paragrafen motsvarar 4 kap. 1 § brottsdatalagen (2018:000).

Enligt punkten 1 ska myndighetens identitet och kontaktupp- gifter göras tillgängliga. Med det avses uppgifter om myndighetens namn, post- och besöksadress, telefonnummer och e-postadress.

Säkerhetspolisen är enligt 5 kap. 9 § skyldig att utse dataskydds- ombud. Enligt punkten 2 ska dataskyddsombudets kontaktuppgif- ter anges. Det behöver inte vara en kontaktuppgift direkt till data- skyddsombudet, t.ex. hans eller hennes e-postadress, utan det är tillräckligt att ombudet går att nå med hjälp av uppgifterna.

I punkten 3 föreskrivs att ändamålen med behandlingen ska framgå. Det är inte ändamålen med behandlingen av personuppgif- ter i enskilda fall som avses utan för vilka typer av ändamål som myndigheten behandlar personuppgifter. Det kan vara förunder- sökning, underrättelsearbete och åtgärder inom ett särskilt verk- samhetsområde, t.ex. kontraterrorism, eller åtgärder som vidtas

814

SOU 2017:74

Författningskommentar

inom ramen för säkerhetsskyddsarbetet, exempelvis säkerhets- prövning och registerkontroll.

I punkterna 4 och 5 föreskrivs att Säkerhetspolisen ska upplysa om de rättigheter som enskilda har enligt 2, 6 och 7 §§. Det gäller rätten för registrerade att få information om behandlingen av per- sonuppgifter och att få del av dem och rätten att begära rättelse, komplettering, radering eller begränsning av behandlingen.

I 10 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådan information som regleras i denna paragraf.

Personrelaterad information

2 §

I paragrafen regleras enskildas rätt att få besked om huruvida deras personuppgifter behandlas, att få del av sådana uppgifter och att få viss information om behandlingen av dem. Paragrafen behandlas i avsnitt 14.15 och motsvarar 4 kap. 3 § brottsdatalagen (2018:000).

I första stycket anges vilken information sökanden kan få del av. I andra stycket undantas sådana personuppgifter som sökanden har tagit del av från skyldigheten att lämna ut uppgifterna. Sökanden ska dock informeras om att personuppgifterna i fråga behandlas. Vad regleringen innebär utvecklas i SOU 2017:29 s. 719 f.

I 9 § föreskrivs att informationen ska lämnas till den registre- rade avgiftsfritt en gång per år och att utlämnande därutöver kan avgiftsbeläggas. Om en begäran om information är orimlig eller uppenbart ogrundad får den avslås enligt 5 § första stycket. Beslut att vägra att lämna information får enligt 8 kap. 2 § överklagas.

I 10 § upplyses om att det kan finnas föreskrifter på lägre nivå om sådan information som regleras i denna paragraf och om kraven på en begäran om information.

Begränsning av rätten till information

3 §

I paragrafen, som behandlas i avsnitt 14.15, görs undantag från Säkerhetspolisens informationsskyldighet. Paragrafen är delvis ut- formad efter mönster av 27 § personuppgiftslagen (1998:204).

815

Författningskommentar

SOU 2017:74

Enligt första stycket gäller Säkerhetspolisens skyldighet att till- handahålla personrelaterad information enligt 2 § inte i den ut- sträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av för- fattning att uppgifterna inte får lämnas ut. Det är främst sekretess och tystnadsplikt enligt offentlighets- och sekretesslagen som av- ses. Även andra bestämmelser om tystnadsplikt och bestämmelser som begränsar möjligheten att använda uppgifter som en svensk myndighet har fått från en myndighet i en annan stat kan begränsa informationsskyldigheten. Regleringen innebär att Säkerhetspoli- sen får begränsa eller utelämna informationen. Undantaget från informationsskyldigheten gäller även vid beslut som har meddelats med stöd av författning, t.ex. beslut om förbehåll enligt 10 kap. 4 eller 4 a § offentlighets- och sekretesslagen (2009:400).

Säkerhetspolisen är enligt andra stycket inte heller skyldig att lämna ut skälen för beslut enligt första stycket och beslut i fråga om rättelse, radering eller begränsning av behandlingen om moti- veringen skulle riskera att skada något av de intressen som sekre- tessen eller tystnadsplikten avser att skydda.

4 §

I paragrafen föreskrivs i första stycket undantag från informations- skyldigheten i 2 § för personuppgifter i viss typ av text. Undan- taget gäller dock enligt andra stycket inte i vissa fall. Paragrafen, som behandlas i avsnitt 14.15, motsvarar 4 kap. 6 § brottsdata- lagen (2018:000). Vad regleringen innebär utvecklas i SOU 2017:29 s. 723 f.

5 §

I paragrafen föreskrivs att information enligt 2 § inte behöver läm- nas om begäran är orimlig eller uppenbart ogrundad. Paragrafen, som behandlas i avsnitt 14.15, motsvarar 4 kap. 7 § brottsdatalagen (2018:000).

Enligt första stycket får Säkerhetspolisen avslå en begäran om information om behandlingen av personuppgifter och att få del av

816

SOU 2017:74

Författningskommentar

uppgifterna om begäran är orimlig eller uppenbart ogrundad. Vad regleringen innebär utvecklas i SOU 2017:29 s. 724 f.

I andra stycket upplyses det om att myndigheten med stöd av 9 § andra stycket i vissa fall får ta ut avgift i stället för att avslå begäran.

Rätten till rättelse, radering och begränsning av behandlingen

6 §

Paragrafen reglerar enskildas rätt att begära rättelse eller komplet- tering av felaktiga eller ofullständiga personuppgifter. Paragrafen, som behandlas i avsnitt 14.15, motsvarar 4 kap. 9 § brottsdatalagen (2018:000). I 2 kap. 13 § regleras Säkerhetspolisens skyldighet att på eget initiativ rätta felaktiga eller ofullständiga personuppgifter och uppdatera inaktuella personuppgifter.

I första stycket regleras registrerades rätt att begära rättelse eller komplettering. Om Säkerhetspolisen inte kan fastställa att person- uppgifterna är korrekta, ska myndigheten enligt andra stycket i stäl- let begränsa behandlingen av dem. Vad regleringen innebär utveck- las i SOU 2017:29 s. 687 och 725 f.

Beslut i fråga om rättelse eller komplettering av personuppgifter eller begränsning av behandlingen får enligt 8 kap. 2 § överklagas.

I 10 § upplyses om att det kan finnas föreskrifter på lägre nivå om kraven på en begäran om korrigeringsåtgärd.

7 §

Paragrafen reglerar enskildas rätt att vid otillåten behandling av per- sonuppgifter begära radering eller, om personuppgifterna behöver finnas kvar som bevisning, begränsning av behandlingen. Para- grafen behandlas i avsnitt 14.15 och motsvarar 4 kap. 10 § brotts- datalagen (2018:000). I 2 kap. 14 § regleras Säkerhetspolisens skyl- dighet att på eget initiativ radera eller begränsa behandlingen av personuppgifter som behandlas på otillåtet sätt.

Enligt första stycket ska Säkerhetspolisen på begäran av den regi- strerade radera personuppgifter som rör honom eller henne om uppgifterna behandlas i strid med 2 kap. 1–6, 8–10 eller 12 § eller 4 kap. 1 § första stycket, 2–4 eller 7–11 § eller om det krävs för att

817

Författningskommentar

SOU 2017:74

myndigheten ska utföra en rättslig förpliktelse. Vårdnadshavare och andra ställföreträdare kan begära radering för en registrerad som inte har rätt att själv göra det. Vad regleringen innebär utveck- las i SOU 2017:29 s. 726 f.

Om förutsättningarna för att radera personuppgifterna är upp- fyllda, men uppgifterna behöver finnas kvar som bevisning, ska Säkerhetspolisen enligt andra stycket på begäran av den registrerade i stället begränsa behandlingen av uppgifterna. Vad det innebär ut- vecklas i SOU 2017:29 s. 727 f.

Beslut i fråga om radering av personuppgifter och begränsning av behandlingen får enligt 8 kap. 2 § överklagas.

I 10 § upplyses om att det kan finnas föreskrifter på lägre nivå om kraven på en begäran om radering eller begränsning av behand- lingen.

8 §

Enligt paragrafen, som behandlas i avsnitt 14.15 och motsvarar 4 kap. 11 § brottsdatalagen (2018:000), avgör Säkerhetspolisen vil- ken åtgärd som ska vidtas med anledning av en begäran om rättelse, radering eller begränsning av behandlingen. Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 728.

Avgiftsfri information

9 §

Paragrafen, som motsvarar 4 kap. 12 § brottsdatalagen (2018:000), föreskriver att information som huvudregel ska vara avgiftsfri. Den behandlas i avsnitt 14.15.

I första stycket slås fast att den information som Säkerhetspolisen på eget initiativ ska göra tillgänglig ska vara avgiftsfri, medan den information om behandlingen av den registrerades personuppgifter som lämnas på hans eller hennes begäran ska vara utan avgift en gång per år.

Om någon begär att få information om behandlingen av person- uppgifter och att få del av dem oftare än en gång per år får Säker- hetspolisen enligt andra stycket ta ut en rimlig avgift för det. Ett

818

SOU 2017:74 Författningskommentar

sådant beslut får enligt 8 kap. 2 § överklagas. Säkerhetspolisen får, i stället för att ta ut avgift, avslå begäran, vilket regleras i 5 § första stycket. Vad bestämmelsen innebär utvecklas i SOU 2017:29 s. 729.

I 10 § upplyses om att det kan finnas föreskrifter på lägre nivå om avgift för information.

Föreskrifter

10 §

I paragrafen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om allmän och personrelaterad information, om kraven på begäran om informa- tion och begäran om rättelse-, raderings- eller begränsningsåtgärder och om avgift för informationen.

7 kap. Tillsyn

Tillsyn över personuppgiftsbehandlingen

1 §

I paragrafen, som behandlas i avsnitt 15.4.1 och 15.4.2, anges vilka tillsynsuppgifter som tillsynsmyndigheten har.

I punkten 1 föreskrivs att tillsynsmyndigheten ska utöva allmän tillsyn över behandlingen av personuppgifter. Vad tillsynen innebär utvecklas i SOU 2017:29 s. 460 f. och 730 f. Tillsynsmyndigheten avgör om och i vilken utsträckning tillsyn ska utövas och hur tillsy- nen ska genomföras.

I punkten 2 regleras tillsynsmyndighetens rådgivande uppgifter. De omfattar både allmän rådgivning till personuppgiftsansvariga och personuppgiftsbiträden och rådgivning vid förhandssamråd enligt 5 kap. 6 §. Vad uppgifterna innebär utvecklas i SOU 2017:29 s. 732 f.

819

Författningskommentar

SOU 2017:74

2 §

Paragrafen upplyser om den tillsyn som Säkerhets- och integritets- skyddsnämnden utövar över Säkerhetspolisens personuppgiftsbe- handling enligt lagen (2007:980) om tillsyn över viss brottsbekäm- pande verksamhet. Den behandlas i avsnitt 15.1 och 15.7.

Befogenheter

Undersökningsbefogenheter

3 §

I paragrafen, som behandlas i avsnitt 15.5.1, regleras tillsynsmyn- dighetens undersökningsbefogenheter.

Undersökningsbefogenheterna omfattar bl.a. rätt att få tillgång till de personuppgifter som behandlas och till dokumentation, lokaler och utrustning. Tillsynsmyndigheten ska också ha rätt till det biträde som behövs för tillsynen.

Paragrafen motsvarar 5 kap. 5 § brottsdatalagen (2018:000). Vad den innebär utvecklas i SOU 2017:29 s. 733.

Förebyggande befogenheter

4 §

Paragrafen, som behandlas i avsnitt 15.5.3, reglerar tillsynsmyndig- hetens befogenheter i det förebyggande arbetet. De åtgärder som regleras i paragrafen är inte av tvingande karaktär. De syftar till att förebygga att framtida behandling av personuppgifter kommer att stå i strid med regelverket.

I första stycket regleras vad tillsynsmyndigheten kan göra om den bedömer att det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning. Det kan gälla såväl planerad som pågående behandling. Tillsynsmyndigheten ska i första hand försöka förmå Säkerhetspolisen eller personuppgifts- biträdet att minska den risken genom råd, rekommendationer eller påpekanden. Bestämmelsen motsvarar 5 kap. 6 § första stycket

820

SOU 2017:74 Författningskommentar

brottsdatalagen (2018:000). Vad den innebär utvecklas i SOU 2017:29 s. 734 f.

I andra stycket regleras tillsynsmyndighetens möjlighet att ut- färda en skriftlig varning för att planerad eller pågående behandling av personuppgifter riskerar att stå i strid med lag eller annan för- fattning. Bestämmelsen motsvarar 5 kap. 6 § andra stycket brotts- datalagen. Vad den innebär utvecklas i SOU 2017:29 s. 735.

Korrigerande befogenheter

5 §

I paragrafen, som behandlas i avsnitt 15.5.4, regleras tillsynsmyn- dighetens korrigerande befogenheter. De är avsedda att användas om tillsynsmyndigheten har konstaterat att personuppgifter be- handlas i strid med lag eller annan författning.

Enligt första stycket punkten 1 får tillsynsmyndigheten även när den har konstaterat att behandlingen inte är författningsenlig an- vända icke bindande påtryckningsmedel i form av råd, rekommen- dationer eller påpekanden för att försöka förmå Säkerhetspolisen eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att uppfylla andra skyldigheter.

Enligt punkten 2 får tillsynsmyndigheten förelägga Säkerhetspo- lisen eller personuppgiftsbiträdet att vidta en viss åtgärd eller upp- fylla någon annan skyldighet. Sådana förelägganden är bindande för mottagaren. Tillsynsmyndigheten kan t.ex. förelägga Säkerhets- polisen att ändra viss personuppgiftsbehandling eller att uppfylla krav på loggning eller dokumentationsskyldighet.

Punkten 3 ger tillsynsmyndigheten möjlighet att förbjuda att viss behandling fortsätter. Ett sådant beslut är också bindande för mottagaren. Förbud får dock bara meddelas om bristen är allvarlig och förutsätter att tillsynsmyndigheten bedömer att det inte finns något annat sätt att komma till rätta med bristen.

I andra stycket föreskrivs att det av ett föreläggande ska framgå när åtgärderna senast ska ha vidtagits. Om det är lämpligt ska det också anges vilka åtgärder som ska vidtas. Ett exempel kan vara att en viss personuppgift ska korrigeras eller tas bort.

821

Författningskommentar

SOU 2017:74

Paragrafen motsvarar 5 kap. 7 § punkterna 1–3 brottsdatalagen (2018:000). I SOU 2017:29 s. 735 f. utvecklas innebörden av befo- genheterna.

Kommunikation

6 §

Paragrafen reglerar tillsynsmyndighetens kommunikationsskyldig- het. Den behandlas i avsnitt 15.6.1.

Paragrafen motsvarar 5 kap. 8 § brottsdatalagen. Vad skyldig- heten innebär utvecklas i SOU 2017:29 s 738.

8 kap. Skadestånd och rättsmedel

Skadestånd

1 §

I paragrafen, som motsvarar 7 kap. 1 § brottsdatalagen (2018:000), regleras den registrerades rätt till skadestånd för den skada och kränkning som behandling av personuppgifter i strid med regel- verket har orsakat. Paragrafen behandlas i avsnitt 14.16.3.

Rätt till skadestånd kan uppkomma på grund av behandling i strid med bestämmelser i lagen eller i föreskrifter som meddelats i anslutning till den. Säkerhetspolisen eller ett personuppgiftsbiträde som är personuppgiftsansvarig enligt 5 kap. 14 § andra stycket kan åläggas skadestånd. Vad regleringen innebär utvecklas i SOU 2017:29 s. 749 f.

Överklagande

Överklagande av Säkerhetspolisens beslut

2 §

I paragrafen, som motsvarar 7 kap. 2 § brottsdatalagen (2018:000), anges vilka av Säkerhetspolisens beslut som får överklagas. Paragra- fen behandlas i avsnitt 14.16.4.

822

SOU 2017:74

Författningskommentar

Vilka typer av beslut som får överklagas räknas upp i första stycket. Uppräkningen är uttömmande. Att andra beslut än de som anges i paragrafen inte får överklagas framgår av 4 §.

Beslut i fråga om rättelse, komplettering eller radering av per- sonuppgifter eller begränsning av behandlingen av personuppgifter får överklagas om den registrerade har begärt åtgärden och beslutet har gått honom eller henne emot. Rätten att överklaga kan gälla även i de fall där myndigheten har vidtagit en annan åtgärd än den som den registrerade begärt. Beslut som innebär att Säkerhetspoli- sen, helt eller delvis, inte har tillmötesgått en begäran om person- relaterad information får också överklagas. Detsamma gäller beslut att ta ut avgift för sådan information.

Besluten överklagas till allmän förvaltningsdomstol. Vilken för- valtningsdomstol som är behörig framgår av 14 § lagen (1971:289) om allmänna förvaltningsdomstolar. För att kammarrätten ska ta upp ett beslut till prövning krävs det enligt andra stycket prövnings- tillstånd.

Överklagande av tillsynsmyndighetens beslut

3 §

I paragrafen, som behandlas i avsnitt 15.6.2, regleras överklagande av tillsynsmyndighetens beslut.

I första stycket föreskrivs att tillsynsmyndighetens beslut enligt lagen får överklagas till allmän förvaltningsdomstol. Det är fråga om beslut enligt 7 kap. 5 §, exempelvis beslut om rättelse eller rade- ring. Även beslut som tillsynsmyndigheten meddelat med stöd av föreskrifter som meddelats i anslutning till lagen kan överklagas.

För att kammarrätten ska ta upp ett beslut till prövning krävs det enligt andra stycket prövningstillstånd.

Beslut som inte får överklagas

4 §

Enligt paragrafen, som behandlas i avsnitt 14.16.4, får inga andra beslut än de som räknas upp i 2 och 3 §§ överklagas. Uppräkningen är uttömmande. Någon rätt att med stöd av förvaltningslagen över-

823

Författningskommentar

SOU 2017:74

klaga andra beslut som har fattats med stöd av lagen finns alltså inte. Det gäller både beslut av Säkerhetspolisen, tillsynsmyndig- heten och personuppgiftsbiträden.

9 kap. Överföring av personuppgifter till tredjeland och internationella organisationer

Grundläggande förutsättningar för överföring

1 §

I paragrafen anges de grundläggande förutsättningarna för att få överföra personuppgifter till ett tredjeland eller en internationell organisation. Paragrafen har utformats efter mönster av 8 kap. 1 § brottsdatalagen (2018:000). Den behandlas i avsnitt 14.17.2.

Enligt första stycket får personuppgifter som behandlas i Sverige överföras till ett tredjeland eller en internationell organisation. Det gäller också om personuppgifterna överförs till ett tredjeland eller en internationell organisation för att behandlas där. Tredjeland och internationell organisation definieras i 1 kap. 9 §.

Överföring är en form av personuppgiftsbehandling. Behandling av personuppgifter definieras i 1 kap. 9 §. För att personuppgifter ska få överföras till ett tredjeland eller en internationell organisa- tion måste de grundläggande förutsättningarna för att behandla personuppgifter alltid vara uppfyllda. Vad som avses med över- föring och vilka överföringar som omfattas av regleringen utvecklas i SOU 2017:29 s. 754 f.

Överföring till ett tredjeland eller en internationell organisation får endast göras om de i punkten 1 angivna villkoren och något av alternativen i punkten 2 samtidigt är uppfyllda.

Punkten 1 anger till vilka utländska mottagare personuppgifter får överföras. Personuppgifter får som huvudregel bara överföras till en brottsbekämpande myndighet eller en underrättelse- eller säkerhetstjänst i ett tredjeland eller till en internationell organisa- tion med brottsbekämpande uppdrag. Möjligheten att i vissa fall överföra personuppgifter till andra regleras i 6 §.

Kravet på att överföringen ska göras till en brottsbekämpande myndighet innebär att den myndighet eller organisation som ska ta emot personuppgifterna ska ha som arbetsuppgift att förebygga,

824

SOU 2017:74

Författningskommentar

förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. När det gäller internationella organisationer är det framför allt Interpol som är av intresse. Även vissa utredningsorgan under FN torde kunna ha brottsbekämpande uppdrag, liksom in- ternationella tribunaler.

I punkten 2 ställs det krav på att viss skyddsnivå ska vara säker- ställd för att personuppgifter ska få överföras till ett tredjeland eller till en internationell organisation. Kraven motsvarar de som ställs i 8 kap. 1 § första stycket 3 brottsdatalagen (2018:000). Vad kraven innebär utvecklas i SOU 2017:29 s. 757.

2 §

Paragrafen, som behandlas i avsnitt 14.17.2, anger förutsättningarna för att få överföra personuppgifter som Säkerhetspolisen har fått från en annan stat till ett tredjeland eller till en internationell orga- nisation. Paragrafen motsvarar 8 kap. 2 § första stycket brottsdata- lagen (2018:000).

Enligt paragrafen krävs det medgivande från den stat som Säker- hetspolisen har fått personuppgifterna från för att uppgifterna ska få överföras till ett tredjeland eller till en internationell organisa- tion. Sådant medgivande krävs oavsett från vilken stat som upp- gifterna kommer och ska alltid finnas innan överföringen får göras.

Tillåtna grunder för överföring

Beslut om adekvat skyddsnivå

3 §

Paragrafen, som motsvarar 8 kap. 3 § brottsdatalagen (2018:000), innehåller den första tillåtna grunden för att överföra personupp- gifter till ett tredjeland eller till en internationell organisation. Det är först om förutsättningarna i denna paragraf inte är uppfyllda som alternativen att överföra personuppgifter med stöd av reglerna om tillräckliga skyddsåtgärder i 4 § eller särskilda situationer i 5 § ska prövas. Paragrafen behandlas i avsnitt 14.17.3.

Säkerhetspolisen får alltid överföra personuppgifter till ett tredjeland eller en internationell organisation som enligt ett beslut

825

Författningskommentar

SOU 2017:74

av Europeiska kommissionen har en adekvat skyddsnivå för per- sonuppgifter. Eftersom Säkerhetspolisens verksamhet som rör nationell säkerhet inte omfattas av unionsrätten är kommissionens beslut inte formellt bindande för myndigheten, men paragrafen ger Säkerhetspolisen samma möjlighet som andra brottsbekämpande myndigheter att överföra personuppgifter till ett tredjeland eller en internationell organisation om det finns ett sådant beslut. Om kommissionen har meddelat ett sådant beslut för ett territorium eller en sektor i ett tredjeland får personuppgifter överföras dit. Avgränsningen avgörs av innehållet i kommissionens beslut.

De grundläggande förutsättningarna för överföring av person- uppgifter till ett tredjeland eller en internationell organisation i 1 § ska alltid vara uppfyllda för att personuppgifter ska få överföras med stöd av ett beslut om adekvat skyddsnivå. Är det fråga om personuppgifter som Säkerhetspolisen har fått från en annan stat ska även kravet i 2 § vara uppfyllt.

Om kommissionen beslutar att ett tredjeland, eller en del av det, eller en internationell organisation inte längre säkerställer en ade- kvat skyddsnivå får personuppgifter inte överföras dit med stöd av paragrafen. Det hindrar inte att personuppgifter överförs till det tredjelandet eller den internationella organisationen om någon av de andra tillåtna grunderna för överföring är tillämplig.

Tillräckliga skyddsåtgärder

4 §

I paragrafen behandlas den andra tillåtna grunden för överföring av personuppgifter till ett tredjeland eller en internationell organi- sation. Paragrafen motsvarar 8 kap. 4 § brottsdatalagen (2018:000) och behandlas i avsnitt 14.17.3.

Om det inte finns ett beslut om adekvat skyddsnivå enligt 3 § får Säkerhetspolisen ändå överföra personuppgifter till ett tredje- land, eller till en internationell organisation, om det garanteras till- räckliga skyddsåtgärder för uppgifterna. De grundläggande förut- sättningarna i 1 och 2 §§ ska dock alltid vara uppfyllda.

Enligt punkten 1 kan tillräckliga skyddsåtgärder finnas om så- dana har fastställts i ett avtal som ger tillräckliga garantier till skydd för registrerades rättigheter. Personuppgifter kan normalt överfö-

826

SOU 2017:74

Författningskommentar

ras till länder som är anslutna till dataskyddskonventionen eller om det annars finns avtal om internationellt samarbete som innehåller dataskyddsregler som är tillämpliga på överföringen. Det kan t.ex. vara fråga om bilaterala avtal som Sverige ingått med ett tredjeland och som sörjer för att kravet på dataskydd uppfylls och att regist- rerades rättigheter respekteras.

Enligt punkten 2 får personuppgifter också överföras om den myndighet eller organisation som uppgifterna ska överföras till garanterar tillräckligt skydd för dem på annat sätt än genom avtal. Säkerhetspolisen ska bedöma alla omständigheter kring överfö- ringen och komma till slutsatsen att skyddsåtgärderna är tillräckliga för att överföringen ska vara tillåten. Exempel på sådant som kan vägas in vid bedömningen av om tillräckligt skydd garanteras är bl.a. åtaganden att inte sprida personuppgifterna vidare eller att inte använda personuppgifterna efter viss tidpunkt.

Överföring i särskilda situationer

5 §

Paragrafen reglerar möjligheten att överföra personuppgifter till ett tredjeland eller till en internationell organisation när det varken finns beslut om adekvat skyddsnivå eller tillräckliga skyddsåtgärder kan garanteras för uppgifterna. Kravet är att det då ska vara fråga om en särskild situation som motiverar överföringen. Paragrafen, som behandlas i avsnitt 14.17.3, motsvarar 8 kap. 5 § brottsdata- lagen (2018:000).

Överföringen ska enligt första stycket vara nödvändig i någon av de särskilda situationer som räknas upp i punkterna 1–4. Punkterna är alternativa. Oavsett vilken situation som är för handen ska de grundläggande förutsättningarna för överföring till tredjeland och internationella organisationer i 1 och 2 §§ alltid vara uppfyllda.

I punkten 1 regleras två situationer som kan göra överföringen nödvändig. Det är dels för att skydda vitala intressen för den regi- strerade eller en annan fysisk person, dels för att skydda andra be- rättigade intressen för den registrerade. Vad det innebär utvecklas i SOU 2017:29 s. 761 f.

Punkten 2 tillgodoser behovet av att i ett enskilt fall kunna överföra personuppgifter till ett tredjeland eller en internationell

827

Författningskommentar

SOU 2017:74

organisation som inte uppfyller kraven på adekvat skyddsnivå eller garanterar tillräckligt skydd för personuppgifterna. Överföringen ska vara nödvändig för något av de ändamål som omfattas av lagens tillämpningsområde. Som exempel på när personuppgifter kan be- höva överföras i ett enskilt fall för ett sådant syfte kan nämnas be- visupptagning vid utländsk domstol, kvarstad på och beslag av egendom som finns i ett tredjeland och husrannsakan i en bostad eller lokal som är belägen där. En annan situation kan vara att Säkerhetspolisen har information om att en misstänkt terrorist befinner sig i landet men personen identifieras först när han eller hon har rest till ett tredjeland och kan antas komma att begå brott där. Överföringen kan även avse information som rör personskydd.

Åtgärden behöver inte vara nödvändig för att tillgodose Säker- hetspolisens behov och intressen. Det kan finnas förutsättningar för att tillämpa punkten om ett tredjeland behöver få tillgång till svenska personuppgifter, t.ex. uppgift om att en viss person är dömd för ett visst brott. Personuppgifter kan överföras både på be- gäran och på Säkerhetspolisens eget initiativ.

Punkten 3 innebär att personuppgifter kan överföras till ett tredjeland eller en internationell organisation om överföringen är nödvändig i ett enskilt fall för att kunna fastställa, göra gällande eller försvara ett rättsligt anspråk. Det rättsliga anspråket ska vara hänförligt till ett ändamål som omfattas av lagens tillämpningsom- råde. Exempel på sådana rättsliga anspråk är bl.a. skadestånd i an- ledning av brott.

Enligt punkten 4 får en överföring också göras till ett tredjeland eller en internationell organisation om det behövs för att avvärja en omedelbar och allvarlig fara för allmän säkerhet. Vad som avses med sådan fara och vad regleringen i övrigt innebär utvecklas i SOU 2017:29 s. 763.

Enligt andra stycket ska en intresseavvägning göras när person- uppgifter ska överföras enligt punkten 2 eller 3. Vad regeleringen innebär utvecklas i SOU 2017:29 s. 763.

828

SOU 2017:74

Författningskommentar

Överföring till andra mottagare

6 §

Paragrafen, som behandlas i avsnitt 14.17.4, reglerar undantag från kravet i 1 § första stycket 1 att överföring av personuppgifter till tredjeland ska göras till brottsbekämpande myndigheter, interna- tionella organisationer med brottsbekämpande uppdrag eller under- rättelse- och säkerhetstjänster. Om förutsättningarna i paragrafen är uppfyllda får personuppgifter överföras även till andra än sådana myndigheter. Det kan t.ex. vara till företag och privatpersoner i ett tredjeland. Det kan också vara fråga om överföring till andra kate- gorier av myndigheter än de som anges i 1 § första stycket, t.ex. en specialmyndighet som hanterar frågor om finansiering av terrorism. Överföring till andra mottagare får dock göras endast om samtliga i första stycket angivna förutsättningar är uppfyllda. Paragrafen har utformats efter mönster av 8 kap. 8 § brottsdatalagen (2018:000).

Enligt punkten 1 ska överföringen vara absolut nödvändig för att Säkerhetspolisen ska kunna utföra en sådan arbetsuppgift som anges i 2 kap. 1 eller 2 §. Kravet på absolut nödvändighet innebär att överföringen inte kan underlåtas. Ett exempel kan vara att Säkerhetspolisen i sin underrättelseverksamhet behöver kontakta ett privat företag i ett tredjeland för att få fram information som behövs omedelbart i den brottsbekämpande verksamheten.

Enligt punkten 2 krävs det också att Säkerhetspolisen bedömer att det skulle vara ineffektivt eller på något annat sätt olämpligt att i stället överföra personuppgifterna till en brottsbekämpande myn- dighet eller en underrättelse- eller säkerhetstjänst i det tredjelandet. Det kan vara något i tidigare kontakter med myndigheten i det landet eller andra indikationer som ger anledning att tro att syftet med överföringen kan komma att förfelas eller att det på något annat sätt skulle vara olämpligt att överföra personuppgifterna via en sådan myndighet.

Ett exempel är överföringar till olika internetoperatörer i syfte att t.ex. identifiera och kartlägga misstänkta terrorister och andra personer som kan utgöra säkerhetshot. Det skulle vara ineffektivt om varje sådan överföring skulle behöva göras genom en myndig- het i mottagarlandet med hänsyn både till mängden förfrågningar och till den brådska som ofta råder. Ett annat exempel är informa- tion som lämnas till en bank för att förhindra att banken utnyttjas

829

Författningskommentar

SOU 2017:74

för brottsliga penningöverföringar, t.ex. finansiering av terrorism. I sådana fall kan kontakt behöva tas omedelbart.

Enligt andra stycket ska det göras en intresseavvägning mellan den registrerades intresse av skydd mot kränkning av grundläg- gande fri- och rättigheter och det allmännas intresse av att en över- föring kommer till stånd. Intresseavvägningen motsvarar den som enligt 5 § andra stycket ska göras när personuppgifter ska överföras i vissa särskilda situationer. Vad regleringen innebär utvecklas i SOU 2017:29 s. 768.

Villkor om användningsbegränsning

7 §

I paragrafen, som behandlas i avsnitt 14.17.5, anges vad som gäller om Säkerhetspolisen har fått personuppgifter från ett tredjeland eller en internationell organisation och överföringen försetts med villkor för användningen av uppgifterna. Paragrafen motsvarar 8 kap. 9 § brottsdatalagen (2018:000). Vad regleringen innebär ut- vecklas i SOU 2017:29 s. 768.

8 §

Enligt paragrafen får Säkerhetspolisen, när den överför personupp- gifter till ett tredjeland eller en internationell organisation ställa upp villkor som begränsar det tredjelandets eller den internationella organisationens rätt att använda uppgifterna. Paragrafen behandlas i avsnitt 14.17.5.

Säkerhetspolisen har normalt anledning att ställa upp villkor som begränsar användningen av personuppgifter för att skydda sin egen verksamhet och de källor som myndigheten använder sig av. Villkor kan också behövas för att skydda andra allmänna intressen. Villkoren kan t.ex. gälla för vilka ändamål personuppgifterna får behandlas och hur länge behandlingen får pågå. Det finns oftast också skäl att ställa upp villkor som begränsar möjligheten att lämna personuppgifterna vidare.

I vissa fall kan Säkerhetspolisen även behöva ställa upp villkor av hänsyn till enskild. Det kan t.ex. vara fallet om uppgifter från

830

SOU 2017:74

Författningskommentar

användning av hemliga tvångsmedel lämnas ut till en annan stat. Då kan det vara lämpligt att ställa upp villkor om att uppgifterna ska förstöras efter viss tid.

Liknande bestämmelser finns i 8 kap. 10 § brottsdatalagen (2018:000), 5 kap. 2 § lagen (2000:562) om internationell rättslig hjälp i brottmål och 6 kap. 4 § lagen (2017:496) om internationellt polisiärt samarbete.

Föreskrifter

9 §

I paragrafen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om dokumentation av överföringar till tredjeland och internationella organisationer. Frågan behandlas i avsnitt 14.17.6.

Övergångsbestämmelser

Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 18.1 och 18.3.

Punkten 1 föreskriver när lagen ska träda i kraft.

I punkten 2 föreskrivs att bestämmelsen om loggning i 5 kap. 4 § inte behöver tillämpas på automatiserade behandlingssystem som har inrättats före lagens ikraftträdande förrän den 1 maj 2023.

Punkten 3 föreskriver att ärenden om tillsyn över Säkerhetspoli- sens behandling av personuppgifter i verksamhet inom lagens till- lämpningsområde som har inletts hos Datainspektionen eller Säkerhets- och integritetsskyddsnämnden före ikraftträdandet men ännu inte har avgjorts när lagen träder i kraft ska handläggas enligt äldre föreskrifter.

Enligt punkten 4 ska äldre föreskrifter också gälla för överkla- gande av sådana beslut om behandling av personuppgifter som rör behandling av personuppgifter som rör nationell säkerhet i verk- samhet inom lagens tillämpningsområde och som har meddelats före ikraftträdandet. Med äldre föreskrifter avses här personupp- giftslagen och personuppgiftsförordningen. Punkten tar emellertid sikte inte bara på själva överklagandet utan också på vilket regel-

831

Författningskommentar

SOU 2017:74

verk som ska tillämpas när överklagandet prövas. Äldre föreskrifter i polisdatalagen (2010:361) och föreskrifter som har meddelats i anslutning till den ska då tillämpas.

Punkten 5 innebär att bestämmelserna om skadestånd i 48 § per- sonuppgiftslagen (1998:204) fortfarande ska gälla för skada som har orsakats före ikraftträdandet vid behandling av personuppgifter i strid med regelverket.

20.2Förslaget till domstolarnas brottsdatalag (2018:000)

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 §

I paragrafen, som behandlas i avsnitt 12.3.1, anges lagens tillämp- ningsområde.

Lagen gäller utöver brottsdatalagen för de allmänna domstolarna och de allmänna förvaltningsdomstolarna när de i egenskap av be- höriga myndigheter enligt brottsdatalagen behandlar personuppgif- ter för vissa syften. Behörig myndighet, personuppgift och behand- ling av personuppgifter definieras i 1 kap. 6 § brottsdatalagen (2018:000).

Att lagen gäller utöver brottsdatalagen innebär bl.a. att lagen enligt 1 kap. 3 § brottsdatalagen bara gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är till- gängliga för sökning eller sammanställning enligt särskilda kriterier.

I brottsdatalagen finns alla de grundläggande bestämmelserna om hur personuppgifter får behandlas. Den nu aktuella lagen inne- håller bestämmelser som innebär preciseringar, undantag eller av- vikelser från bestämmelser i brottsdatalagen. Det innebär att be- stämmelserna i lagen ska läsas tillsammans med regleringen i brottsdatalagen och tolkas i ljuset av den regleringen.

Enligt punkten 1 får en allmän domstol behandla personuppgif- ter i syfte att handlägga mål och ärenden om utredning av eller

832

SOU 2017:74

Författningskommentar

lagföring för brott, ändring eller verkställighet av straffrättsliga på- följder eller upprätthållande av allmän ordning och säkerhet. Vad det innebär utvecklas i kommentaren till 2 kap. 1 §.

Enligt punkten 2 får allmän förvaltningsdomstol behandla per- sonuppgifter enligt lagen i syfte att handlägga mål och ärenden om verkställighet av häktning eller straffrättsliga påföljder. Vad det innebär utvecklas i kommentaren till 2 kap. 1 §.

Lagen är tillämplig under hela handläggningen av ett sådant mål eller ärende som anges i paragrafen. Om t.ex. ett enskilt anspråk handläggs tillsammans med ett brottmål är lagen tillämplig även på den personuppgiftsbehandling som krävs för handläggningen av an- språket. Detsamma gäller vissa andra former av särskild talan och talan om förbud som förs i brottmål (se SOU 2017:29 s. 208 f.). Om ett enskilt anspråk avskiljs för att handläggas i den ordning som gäller för tvistemål är lagen inte längre tillämplig.

Personuppgiftsansvar

2 §

I paragrafen, som motsvarar 9 § domstolsdatalagen (2015:728), anges vem som är personuppgiftsansvarig. Paragrafen behandlas i avsnitt 12.3.2. Domstolarnas personuppgiftsansvar innebär att en domstol är personuppgiftsansvarig för all den behandling av per- sonuppgifter som utförs vid domstolen eller under dess ledning. Personuppgiftsansvarigas skyldigheter regleras i 3 kap. brottsdata- lagen (2018:000).

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 §

Paragrafen reglerar de tillåtna rättsliga grunderna för behandling av personuppgifter. Den behandlas i avsnitt 12.4.1.

Paragrafen, som är anpassad till hur de rättsliga grunderna för behandling av personuppgifter anges i 2 kap. 1 § brottsdatalagen (2018:000), ersätter den bestämmelsen. Regleringen i 2 kap. 2 §

833

Författningskommentar

SOU 2017:74

brottsdatalagen ger domstolarna rättsligt stöd för att behandla per- sonuppgifter för diarieföring och nödvändig handläggning, trots brist på stöd i denna paragraf.

Personuppgifter får enligt första stycket behandlas om det är nödvändigt och syftet är att handlägga mål och ärenden inom lagens tillämpningsområde. Bestämmelsen bildar den yttre ramen för när behandling av personuppgifter är tillåten. Behandlas per- sonuppgifter för något annat syfte gäller inte lagen. Eftersom lagen tillämpas både av allmän domstol och allmän förvaltningsdomstol och dessa handlägger olika typer av mål och ärenden inom lagens tillämpningsområde, måste paragrafen läsas tillsammans med regle- ringen i 1 kap. 1 § för att avgöra vilka punkter som är relevanta.

För allmän domstol gäller lagen vid all handläggning i brottmål. Även behandling vid expediering inom ramen för målet eller ären- dets handläggning omfattas, t.ex. underrättelser till andra myndig- heter om påföljden som dömts ut eller om den dömde tillhör en viss yrkeskategori där domstolen är skyldig att underrätta ett till- synsorgan om domen. Även expediering för att tillgodose partsin- synen omfattas.

Lagen ska tillämpas vid handläggning av mål eller ärenden om utredning av eller lagföring för brott, verkställighet av häktning eller ändring eller verkställighet av straffrättsliga påföljder eller upprätthållande av allmän ordning och säkerhet. Den gäller även vid handläggning av mål och ärenden om resning eller användning av något annat extraordinärt rättsmedel om det ursprungliga målet eller ärendet ligger inom lagens tillämpningsområde. Möjligheten att ta fram ett arkiverat mål eller ärende regleras däremot inte i lagen.

Typiska frågor som hänför sig till punkten 1 och som rör utred- ning av brott är när en domstol prövar häktningsfrågor eller ger tillstånd till eller prövar andra frågor om användning av straffpro- cessuella tvångsmedel under en förundersökning. Under punkten hör också en domstols beslut om vittnesförhör under förundersök- ningen eller förordnande av sakkunnig enligt 23 kap. 13 § respek- tive 14 § rättegångsbalken och prövning av frågor som rör kom- plettering av förundersökning eller insyn i förundersökning eller 23 kap. 19 § rättegångsbalken. Den omfattar även handläggning av ärenden där frågor som anges i lagen (2007:979) om åtgärder för att förhindra vissa särskilt allvarliga brott prövas.

834

SOU 2017:74

Författningskommentar

Till lagföring hör prövning av ansvarstalan och annan talan som förs i ett brottmål, t.ex. talan om enskilt anspråk, näringsförbud eller skattetillägg. Även frågor om resning eller andra extraordinära rättsmedel hör hit.

Punkten 2 innebär att en domstol får behandla personuppgifter om syftet är att handlägga mål eller ärenden om verkställighet av häktning eller ändring eller verkställighet av straffrättsliga påfölj- der. Allmän domstol prövar frågor om ändring av påföljd bl.a. en- ligt 28 kap. 8 § brottsbalken (undanröjande av skyddstillsyn) och 38 kap. 2 och 2 a §§ brottsbalken (omprövning av påföljden på grund av ändrade förutsättningar). Allmän domstol prövar också enligt 15–19 §§ bötesverkställighetslagen (1979:189) om böter ska omvandlas till fängelse.

Allmän förvaltningsdomstol prövar vissa beslut av Kriminalvår- den enligt bl.a. 14 kap. fängelselagen (2010:610) och 7 kap. häktes- lagen (2010:611). Allmän förvaltningsdomstol prövar också frågor om rättspsykiatrisk vård och vissa beslut av övervakningsnämnd. Även beslut enligt lagen (1998:603) om verkställighet av sluten ungdomsvård prövas av allmän förvaltningsdomstol. Migrations- överdomstolen och migrationsdomstolar prövar vissa frågor som rör utvisning på grund av brott. En närmare redogörelse för vilka frågor som kan vara aktuella finns i SOU 2017:29 s. 181 f., 207 f. och 225 f.

Åklagares beslut enligt lagen (2005:321) om tillträdesförbud vid idrottsarrangemang kan prövas av allmän domstol. Handläggning av sådana frågor omfattas av punkten 3, upprätthållande av allmän ordning och säkerhet. Prövning av frågor som regleras i ordnings- lagen (1993:1617) ligger däremot utanför tillämpningsområdet (se SOU 2017:29 s. 228).

Behandling av personuppgifter vid utlämnande enligt tryckfri- hetsförordningen eller som ett led i serviceskyldigheten till andra myndigheter ligger också utanför tillämpningsområdet. Enligt 2 § andra stycket tillämpas domstolsdatalagen (2015:728) i dessa fall. Behandling av personuppgifter för arkivändamål omfattas inte av lagens tillämpningsområde.

Enligt andra stycket ska det vara fråga om en arbetsuppgift som framgår av en bindande unionsrättsakt eller av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt domstol att

835

Författningskommentar

SOU 2017:74

ansvara för uppgiften. Motsvarande bestämmelse finns i 2 kap. 1 § brottsdatalagen. Vad den innebär utvecklas i SOU 2017:29 s. 238 f.

2 §

Paragrafen, som behandlas i avsnitt 12.4.2, anger vad som gäller när fråga uppkommer om att behandla personuppgifter, som behandlas med stöd av 1 §, för nya ändamål.

I första stycket upplyses om att förutsättningarna för att behand- la personuppgifter för nya ändamål inom lagens tillämpningsom- råde regleras i 2 kap. 4 § brottsdatalagen (2018:000). Innan person- uppgifter får behandlas för ett nytt ändamål krävs en prövning enligt den paragrafen. Vad prövningen innebär utvecklas i SOU 2017:29 s. 249 f.

Enligt andra stycket regleras förutsättningarna för behandling för nya ändamål som inte omfattas av lagens tillämpningsområde i 2 kap. 22 § brottsdatalagen. Innan personuppgifter får behandlas för ett nytt ändamål utanför lagens tillämpningsområde krävs en prövning enligt den paragrafen. Vad prövningen innebär utvecklas i avsnitt 6.4.3. Om det nya ändamålet omfattas av domstolsdata- lagens (2015:728) tillämpningsområde ska emellertid den lagen till- lämpas och någon prövning enligt 2 kap. 22 § andra stycket brotts- datalagen krävs då inte.

Behandling av personnummer

3 §

Paragrafen, som behandlas i avsnitt 12.4.4, reglerar användningen av personnummer, samordningsnummer och liknande identitets- beteckningar.

Enligt första stycket får sådana identitetsbeteckningar behandlas endast när det är motiverat med hänsyn till vikten av en säker iden- tifiering eller något annat beaktansvärt skäl. Den har utformats efter mönster av 22 § personuppgiftslagen (1998:204).

Personnummer måste kunna behandlas av domstolarna i många situationer. De behöver bl.a. kunna ta emot, lagra, vidarebefordra och på andra sätt behandla stämningsansökningar och andra inlagor

836

SOU 2017:74

Författningskommentar

i mål och ärenden som omfattas av lagens tillämpningsområde. Handlingar av det slaget innehåller ofta personnummer, samord- ningsnummer och andra liknande identitetsbeteckningar. Det gäller även sådana handlingar som sänds in elektroniskt. Domstolarna behöver också i stor utsträckning använda identitetsbeteckningar i sitt verksamhetsstöd, i domar och beslut och vid expedieringen av dem. Paragrafen hindrar således inte att andra myndigheter lämnar uppgifter om personnummer och andra identitetsbeteckningar till domstolarna och att domstolarna lagrar eller vidarebefordrar dem eller behandlar dem på annat sätt. Behovet av att behandla sådana uppgifter kan dock förändras över tid. En parts personnummer kan t.ex. behöva behandlas i ett skede av handläggningen av ett mål eller ärende men inte i ett annat. Ett exempel kan vara att målsägandens personnummer behövs för att identifiera honom eller henne, för att säkerställa att rätt person kallas till rättegången för att höras. Per- sonnumret behöver däremot inte anges i domen om målsäganden inte för talan.

Behandlingen av personnummer och andra identitetsbeteck- ningar får aldrig bli slentrianbetonad. Paragrafen ska i likhet med 22 § personuppgiftslagen förhindra omotiverad behandling av per- sonnummer och andra liknande identitetsbeteckningar (se prop. 2014/15:148 s. 51).

I andra stycket upplyses om att det i 8 § finns bestämmelser om i vilken utsträckning sådana identitetsbeteckningar som anges i para- grafen får användas vid sökning.

Sökning

Undantag från brottsdatalagens sökförbud

4 §

Paragrafen, som behandlas i avsnitt 12.5.1, innebär att det generella sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) inte gäller för domstolarna vid personuppgiftsbehandling enligt lagen. För dem gäller i stället de särskilda bestämmelserna om sökning i 5–10 §§ och föreskrifter som har meddelats i anslutning till lagen.

837

Författningskommentar

SOU 2017:74

Känsliga personuppgifter och nationell anknytning

5 §

Paragrafen, som behandlas i avsnitt 12.5.2, förbjuder att uppgifter som avslöjar sådana uppgifter som anges i 2 kap. 11 och 12 §§ brottsdatalagen (2018:000), dvs. känsliga personuppgifter, används som sökbegrepp vid sökning i personuppgifter. Med känsliga per- sonuppgifter avses uppgifter om ras, etniskt ursprung, politisk åsikt, religiös eller filosofisk övertygelse, medlemskap i fackföre- ning eller uppgifter som kan avslöja hälsa, sexualliv eller sexuell läggning. Även biometriska och genetiska uppgifter betecknas som känsliga personuppgifter. Biometriska och genetiska uppgifter uppgifter som rör hälsa definieras i 1 kap. 6 § brottsdatalagen.

Vidare är det förbjudet för en domstol att använda uppgifter som avslöjar nationell anknytning som sökbegrepp. Med uppgifter som avslöjar nationell anknytning avses bl.a. uppgifter om med- borgarskap, födelseort eller utlandsfödda föräldrar. Varje form av nationell anknytning omfattas dock inte av bestämmelsen utan det krävs att uppgifterna visar på en anknytning till ett visst land som inte är alltför svag. En uppgift om att en person besökt ett land eller känner någon i landet är inte uppgifter som omfattas av sök- förbudet. Normalt anses uppgifter om språkkunskaper eller om behov av tolk inte som uppgifter om nationell anknytning (se prop. 2014:15/148 s. 112).

Brott eller misstanke om brott

6 §

I paragrafen, som behandlas i avsnitt 12.5.2, regleras möjligheterna för allmän domstol att använda sökbegrepp som avslöjar brott eller misstanke om brott vid sökning i personuppgifter. Vad som gäller för användning av sådana sökbegrepp i allmän förvaltningsdomstol regleras i 7 §.

Lagen innehåller inte något generellt förbud mot användning av sökbegrepp som avslöjar brott eller misstanke om brott, exempel- vis brottsrubriceringar (se prop. 2014/15:148 s. 113). Utgångs- punkten är alltså att det är tillåtet att använda sökbegrepp som

838

SOU 2017:74

Författningskommentar

avslöjar brott eller misstanke om brott. I paragrafen anges två olika situationer i vilka det inte är tillåtet att använda sådana sökbegrepp.

Enligt punkten 1 får sökbegrepp som avslöjar brott eller miss- tanke om brott inte användas vid sökning i slutligt avgjorda mål eller ärenden längre än fem år efter utgången av det kalenderår då avgörandet fick laga kraft.

I punkten 2 får sökbegrepp som avslöjar brott eller misstanke om brott inte användas i tvistemål. Sådana mål handläggs visser- ligen inte i något av de syften som omfattas av lagen, men bestäm- melsen klargör att det inte heller är tillåtet att använda sökbegrepp som avslöjar brott eller misstanke om brott vid sökningar i sådana mål i syfte att samla in information för att användas i t.ex. ett brottmål.

7 §

I paragrafen, som behandlas i avsnitt 12.5.2, regleras möjligheterna för allmän förvaltningsdomstol att använda sökbegrepp som avslö- jar brott eller misstanke om brott. Vad som gäller för användning av sådana sökbegrepp i allmän domstol regleras i 6 §.

Enligt punkten 1 får sökbegrepp som avslöjar brott eller miss- tanke om brott inte användas vid sökning i personuppgifter i slut- ligt avgjorda mål längre än tjugo år efter utgången av det kalenderår då avgörandet fick laga kraft. Sådana sökbegrepp får enligt punk- ten 2 inte heller användas av Migrationsöverdomstolen och migra- tionsdomstolarna.

Direkta personuppgifter

8 §

I paragrafen, som behandlas i avsnitt 12.5.2, regleras hur länge direkta personuppgifter får användas som sökbegrepp vid sökning i personuppgifter i brottmål som har avgjorts slutligt.

Enligt paragrafen får personnamn, personnummer, samord- ningsnummer och andra uppgifter som direkt kan hänföras till en fysisk person som är i livet inte användas som sökbegrepp i brott- mål som har avgjorts slutligt längre än fem år efter utgången av det

839

Författningskommentar

SOU 2017:74

kalenderår då avgörandet fick laga kraft. Eftersom regleringen avser sökning i brottmål innebär det att paragrafen bara är tillämplig i allmän domstol.

Tillåtna sökningar

9 §

I paragrafen, som behandlas i avsnitt 12.5.3, regleras generella undantag från sökförbuden i 5–8 §§. Paragrafen är tillämplig i både i allmän domstol och allmän förvaltningsdomstol.

Enligt punkten 1 gäller sökförbuden inte vid sökning i en viss handling eller i ett visst mål eller ärende.

I punkten 2 klargörs att användning av särskilda beteckningar för identifiering av en viss mål- eller ärendetyp inte omfattas av förbu- den. Bestämmelsen tar sikte på s.k. målgrupps- och måltypskoder. Sökning med hjälp av sådana är alltså tillåten.

10 §

I paragrafen, som behandlas i avsnitt 12.5.3, föreskrivs att allmän förvaltningsdomstol får använda uppgifter som avslöjar hälsa som sökbegrepp. Det får dock enligt punkten 1 inte göras vid sökning i personuppgifter i slutligt avgjorda mål längre än tjugo år efter utgången av det kalenderår då avgörandet fick laga kraft. Av punk- ten 2 framgår dock att Migrationsöverdomstolen eller en migra- tionsdomstol aldrig får använda uppgifter som avslöjar hälsa som sökbegrepp.

Utlämnande av personuppgifter

11 §

I paragrafen, som behandlas i avsnitt 12.6.2, föreskrivs att person- uppgifter får lämnas ut elektroniskt på annat sätt än genom direkt- åtkomst om det inte är olämpligt. Elektroniskt utlämnade genom direktåtkomst är tillåtet bara i den utsträckning som anges i 12 § och i föreskrifter som har meddelats i anslutning till lagen. Bestäm-

840

SOU 2017:74

Författningskommentar

melsen motsvarar 16 § domstolsdatalagen (2015:728), men termi- nologin ändras. Hur bestämmelsen ska tillämpas utvecklas i prop. 2014/15:148 s. 113 f.

12 §

Paragrafen, som behandlas i avsnitt 12.6.1, reglerar direktåtkomst. Den motsvarar 17 § domstolsdatalagen (2015:728). Hur den ska tillämpas utvecklas i prop. 2014/15:148 s. 114 f.

I första stycket ange vilka domstolar och andra som får medges direktåtkomst.

I andra stycket begränsas direktåtkomsten för andra än dom- stolar. Ytterligare begränsning av möjligheten att medge direktåt- komst regleras i förordning.

Föreskrifter

13 §

I paragrafen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om ytterligare be- gränsning av möjligheten att använda de sökbegrepp som anges i 6, 7 och 10 §§ (vilket motsvarar nuvarande 15 § tredje stycket dom- stolsdatalagen [2015:728]), om direktåtkomst och behörighet och säkerhet vid sådan åtkomst (vilket motsvarar nuvarande 17 § tredje stycket domstolsdatalagen), om begränsning av möjligheterna att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst (vilket motsvarar nuvarande 16 § andra stycket domstolsdatalagen) och om behandling av personuppgifter i slutligt avgjorda mål och ärenden (vilket motsvarar nuvarande 18 § dom- stolsdatalagen).

841

Författningskommentar

SOU 2017:74

3 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 §

Paragrafen reglerar vid vilka överträdelser sanktionsavgift får tas ut. Frågan behandlas i avsnitt 12.8.

I första stycket anges vid vilka överträdelser sanktionsavgift får tas ut av den personuppgiftsansvarige. Tillsynsmyndigheten avgör i det enskilda fallet om det är påkallat att ta ut sanktionsavgift, vilket framgår av formuleringen att avgift får tas ut. Uppräkningen av vilka överträdelser som kan föranleda sanktionsavgift är uttöm- mande. Sanktionsavgift kan tas ut för överträdelse av bestämmel- serna om tillåtna rättsliga grunder och bestämmelser om sökning. Brottsdatalagens förfaranderegler när det gäller sanktionsavgift till- lämpas även vid överträdelser enligt denna lag. I brottsdatalagen och tillhörande förordning finns också bestämmelser om handlägg- ningen av frågor om sanktionsavgift.

I andra stycket anges storleken på de sanktionsavgifter som kan komma i fråga. De överträdelser som enligt lagen kan föranleda sanktionsavgift är alla av allvarligt slag. Lägsta sanktionsavgift är därför 50 000 kronor.

Skadestånd

2 §

I paragrafen regleras den registrerades rätt till skadestånd för be- handling av personuppgifter i strid med regelverket. Paragrafen behandlas i avsnitt 12.9.

Paragrafen hänvisar till 7 kap. 1 § brottsdatalagen (2018:000), som ska tillämpas på motsvarande sätt när det har förekommit fel- aktig behandling av personuppgifter enligt förevarande lag eller föreskrifter som har meddelats i anslutning till den. Det innebär att den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som behand- lingen av personuppgifter har orsakat. Med skada avses person- skada, sakskada eller ren förmögenhetsskada. Med kränkning avses ideell skada som består i att den enskildes integritet kränkts genom

842

SOU 2017:74

Författningskommentar

behandlingen. Någon möjlighet till jämkning av skadeståndet finns inte.

Överklagande

3 §

I paragrafen upplyses om att det finns bestämmelser om överkla- gande och om vilka beslut som får överklagas i 7 kap. brottsdata- lagen (2018:000). Paragrafen behandlas i avsnitt 12.10.

4 §

Paragrafen, som har utformats efter mönster av 20 § domstolsda- talagen (2015:728), behandlas i avsnitt 12.10.

I första stycket föreskrivs en annan instansordning än den som gäller enligt 7 kap. 2 § brottsdatalagen (2018:000) vid överklagande av beslut som en domstol har fattat i egenskap av personuppgifts- ansvarig.

Av andra stycket framgår att det inte finns någon möjlighet att överklaga beslut som har fattats av de högsta domstolarna.

I tredje stycket föreskrivs att kravet på prövningstillstånd i 7 kap. 2 § andra stycket brottsdatalagen inte gäller vid överklagande, vil- ket hör samman med den särskilda instansordningen.

Övergångsbestämmelser

Ikraftträdande- och övergångsbestämmelserna behandlas i av- snitt 12.11, 18.1, 18.2 och 18.3.1.

Punkten 1 föreskriver när lagen ska träda i kraft.

Enligt punkten 2 behöver bestämmelserna i 2 kap. 6 § 1, 7 § 1, 8 § och 10 § 1 om begränsning av sökning i slutligt avgjorda mål och ärenden inte tillämpas förrän den 1 januari 2019.

Punkten 3 föreskriver att ärenden om tillsyn över behandling av personuppgifter, som rör behandling av personuppgifter vid hand- läggningen av sådana mål och ärenden som anges i 2 kap. 1 § första stycket, som har inletts hos Datainspektionen före ikraftträdandet

843

Författningskommentar

SOU 2017:74

men ännu inte har avgjorts när lagen träder i kraft ska handläggas enligt äldre föreskrifter.

Enligt punkten 4 ska äldre föreskrifter också gälla för överkla- gande av sådana beslut om behandling av personuppgifter som rör behandling av personuppgifter vid handläggningen av sådana mål och ärenden som anges i 2 kap. 1 § första stycket som har medde- lats före ikraftträdandet. Med äldre föreskrifter avses här person- uppgiftslagen och personuppgiftsförordningen. Punkten tar inte bara sikte på själva överklagandet utan också på vilket regelverk som ska tillämpas när överklagandet prövas. Äldre föreskrifter ska tillämpas även i det fallet.

Sanktionsavgift får enligt punkten 5 beslutas endast för överträ- delser som har begåtts efter ikraftträdandet.

Punkten 6 innebär att bestämmelsen om skadestånd i 48 § per- sonuppgiftslagen fortfarande ska gälla för skada som har orsakats före ikraftträdandet vid behandling av personuppgifter i sådana mål och ärenden som avses i 2 kap. 1 §.

20.3Förslaget till lag om ändring i rättegångsbalken

28 kap.

12 a §

Paragrafen reglerar kroppsbesiktning i form av salivprov som tas på den som är skäligen misstänkt. Ändringen, som behandlas i av- snitt 7.1.2, består i en ändrad hänvisning till en lag som byter namn och redaktionella ändringar.

12 b §

Paragrafen reglerar kroppsbesiktning i form av salivprov som tas på annan än den som är skäligen misstänkt.

I första stycket görs endast en redaktionell ändring.

I andra stycket ändras en hänvisning till en lag som byter namn, vilket behandlas i avsnitt 7.1.2. Vidare görs redaktionella ändringar.

Tredje stycket är oförändrat.

844

SOU 2017:74

Författningskommentar

20.4Förslaget till lag om ändring i polislagen (1984:387)

26 §

I paragrafen regleras på vilket sätt Polismyndigheten och Säker- hetspolisen får ta del av uppgifter som med stöd av 25 § tillhanda- hålls av transportföretag. Ändringen behandlas i avsnitt 7.4.1.

Första stycket är oförändrat.

I andra stycket regleras numera endast i vilken omfattning Polis- myndigheten och Säkerhetspolisen får ta del av uppgifter genom terminalåtkomst. Myndigheternas behandling av sådana person- uppgifter regleras i polisens brottsdatalag (2010:361) och Säker- hetspolisens datalag (2018:000).

20.5Förslaget till lag om ändring i säkerhetsskyddslagen (1996:627)

3 §

I paragrafen anges vad som avses med registerkontroll. I paragrafen ändras hänvisningen till en lag som byter namn, vilket behandlas i avsnitt 7.1.2. Hänvisningen till lagen (2010:362) om polisens all- männa spaningsregister tas bort, eftersom den lagen har upphört att gälla.

20.6Förslaget till lag om ändring i lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen

16 §

I paragrafen, som behandlas i avsnitt 8.4.2, regleras på vilket sätt Tullverket får ta del av uppgifter som lämnas av transportföretag med stöd av 15 §.

Första stycket är oförändrat.

I andra stycket regleras numera endast i vilken omfattning Tull- verket får ta del av uppgifter genom terminalåtkomst. Myndighe-

845

Författningskommentar

SOU 2017:74

tens behandling av sådana personuppgifter regleras i Tullverkets brottsdatalag (2017:447).

20.7Förslaget till lag om ändring i lagen (2000:344) om Schengens informationssystem

5 §

I paragrafen anges övergripande vad registret får innehålla och vem som får behandla personuppgifter i registret.

Första stycket är oförändrat.

I andra stycket ersätts hänvisningen till personuppgiftslagen (1998:204) med en hänvisning till brottsdatalagen (2018:000). Hän- visningen till en lag som byter namn ändras också, vilket behandlas i avsnitt 7.1.2.

20.8Förslaget till lag om ändring i lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet

1 kap.

1 §

Paragrafen anger tillämpningsområdet för lagen.

Första och andra styckena är oförändrade.

I tredje stycket tas en hänvisning bort, eftersom det i fortsätt- ningen får avgöras utifrån syftet med behandlingen vilken reglering som är tillämplig när personuppgifter behandlas i Tullverkets brottsbekämpande verksamhet. Om syftet är att förebygga, för- hindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott tillämpas brottsdatalagen (2018:000) och Tullverkets brotts- datalag (2017:447), medan dataskyddsförordningen med komplet- terande lagstiftning är tillämplig om syftet ligger utanför dessa lagars tillämpningsområden.

846

SOU 2017:74

Författningskommentar

4 §

I paragrafen anges i vilken utsträckning personuppgifter som be- handlas med stöd av lagen får behandlas för att tillhandahållas till annan verksamhet inom Tullverket.

Första stycket är oförändrat.

I andra stycket ändras hänvisningen till en lag som byter namn, vilket behandlas i avsnitt 8.1.2.

20.9Förslaget till lag om ändring i lagen (2001:617) om behandling av personuppgifter inom kriminalvården

Lagen renodlas så att den bara omfattar behandling av personupp- gifter inom brottsdatalagens tillämpningsområde.

Lagen anpassas också till brottsdatalagen (2018:000), vilket leder till en kraftig omarbetning av den. Flertalet paragrafer upp- hävs eller ändras. Samtidigt upphävs vissa särbestämmelser som inte längre fyller någon praktisk funktion. De grundläggande be- stämmelserna om säkerhetsregistret, som hittills har reglerats i förordning, tas in i lagen. Lagen delas in i kapitel på samma sätt som övriga registerförfattningar. Som en anpassning till brottsdata- lagen tillkommer ett kapitel om administrativa sanktionsavgifter och rättsmedel.

De generella ändringarna i lagen behandlas i kapitel 4 och 5 och övriga ändringar i kapitel 13.

Lagen får också ett nytt namn, kriminalvårdens brottsdatalag.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 §

Paragrafen anger lagens tillämpningsområde. Den behandlas i av- snitt 13.2.1.

Lagen gäller för behandling av personuppgifter när en myndig- het inom kriminalvården i egenskap av behörig myndighet enligt brottsdatalagen behandlar personuppgifter för vissa syften. I krimi-

847

Författningskommentar

SOU 2017:74

nalvården ingår dels myndigheten Kriminalvården, dels övervak- ningsnämnderna. Behörig myndighet, personuppgift och behand- ling av personuppgifter definieras i 1 kap. 6 § brottsdatalagen (2018:000).

Tillämpningsområdet omfattar huvudsakligen verkställighet av häktning och straffrättsliga påföljder. Av häktesverksamheten om- fattas endast sådan häktning som ligger inom brottsdatalagens till- lämpningsområde. Det innebär att verkställighet av häktning enligt konkurslagen inte omfattas och inte heller förvaring i häkte för andra ändamål än brottsutredning, lagföring och verkställighet av straffrättsliga påföljder. Att annan häktesverksamhet ligger utanför tillämpningsområdet beror på att Kriminalvården då inte agerar som behörig myndighet enligt brottsdatalagen.

I straffverkställighet ingår verkställighet av fängelsestraff och av vissa frivårdspåföljder som Kriminalvården har ansvaret för. I verk- ställigheten ingår också att förhindra eller förebygga brott under häktning och verkställighet av påföljder, att förebygga återfall i brott och att upprätthålla säkerheten på häkten och i kriminal- vårdsanstalter. När övervakningsnämnderna behandlar personupp- gifter görs det också inom ramen för straffverkställighet. Straff- verkställighet omfattar även utländska domar, om verkställigheten har övertagits från den andra staten.

Lagen gäller för sådan personuppgiftsbehandling som utförs inom kriminalvården i syfte att biträda andra behöriga myndigheter när de bekämpar eller lagför brott, verkställer straffrättsliga påfölj- der eller upprätthåller allmän ordning och säkerhet. Vad det inne- bär utvecklas i avsnitt 13.2.1 och i kommentaren till 2 kap. 1 §.

848

SOU 2017:74

Författningskommentar

Personuppgiftsansvar

2 §

I paragrafen, som behandlas i avsnitt 13.2.2, anges vilken myndig- het som är personuppgiftsansvarig. Personuppgiftsansvarig definie- ras i 1 kap. 6 § brottsdatalagen (2018:000). Personuppgiftsansvari- gas skyldigheter regleras i 3 kap. brottsdatalagen.

I första stycket anges att Kriminalvården är personuppgiftsansva- rig för den behandling av personuppgifter som myndigheten utför. Bestämmelsen motsvarar i den delen nuvarande 4 §.

Enligt andra stycket är en övervakningsnämnd personuppgiftsan- svarig för den behandling av personuppgifter som nämnden utför. Övervakningsnämnderna är självständiga myndigheter och ansvarar alltså för sin egen personuppgiftsbehandling. Det hindrar inte att nämnderna kan samarbeta och t.ex. utse ett gemensamt data- skyddsombud.

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 §

Paragrafen reglerar de tillåtna rättsliga grunderna för behandling av personuppgifter. Den behandlas i avsnitt 13.3.1.

Paragrafen, som är anpassad till hur de rättsliga grunderna för behandling av personuppgifter anges i 2 kap. 1 § brottsdatalagen (2018:000), ersätter den bestämmelsen. Regleringen i 2 kap. 2 § brottsdatalagen ger rättsligt stöd för att behandla personuppgifter enbart för diarieföring och nödvändig handläggning, trots brist på rättsligt stöd i denna paragraf.

Kriminalvården får enligt första stycket behandla personuppgifter om det är nödvändigt för att utföra en arbetsuppgift i vissa särskilt angivna syften. Bestämmelsen bildar den yttre ramen för när be- handling av personuppgifter är tillåten.

Enligt punkten 1 får kriminalvården behandla personuppgifter för att kunna verkställa häktning eller straffrättsliga påföljder. De påföljder som är aktuella är fängelsestraff, skyddstillsyn och vill- korlig dom med föreskrift om samhällstjänst. Med fängelsestraff

849

Författningskommentar

SOU 2017:74

avses här även sådant fängelsestraff som utgör förvandlingsstraff för böter eller vite. Regleringen omfattar även motsvarande straff- rättsliga påföljder som utdömts i en annan stat om påföljden ska verkställas i Sverige. Verkställigheten av häktning omfattar som framgår av kommentaren till 1 kap. 1 § endast sådan häktning som ligger inom brottsdatalagens tillämpningsområde.

Kriminalvården får enligt punkten 2 behandla personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet i samband med verkställighet. Med verkställighet avses här både verkställighet av häktning och verkställighet av straffrättsliga på- följder. När myndigheten behandlar personuppgifter i sådana syf- ten, t.ex. för att undvika att placera intagna som tillhör rivaliserade gäng tillsammans eller förhindra att narkotika tas in på ett häkte eller i en kriminalvårdsanstalt, utgör det alltså en tillåten behand- ling. För att regleringen inte ska tolkas för snävt används här ut- trycket i samband med verkställighet. Det kan t.ex. vara osäkert om ett visst handlande som har betydelse ur säkerhetssynpunkt ligger före, under eller efter verkställigheten.

Enligt punkten 3 får Kriminalvården behandla personuppgifter vid biträde åt andra behöriga myndigheter när de bekämpar eller lagför brott, verkställer straffrättsliga påföljder eller upprätthåller allmän ordning och säkerhet. I det ingår bl.a. Kriminalvårdens per- sonutredningar i brottmål och transporter av häktade under brotts- utredningar eller till och från domstolsförhandlingar i brottmål. Vidare omfattas det biträde som består i att Kriminalvården på vissa orter hanterar Polismyndighetens arrestverksamhet. Även biträde åt övervakningsnämnder eller domstolar bl.a. vid omhändertagande enligt 28 kap. 11 § brottsbalken omfattas.

Kriminalvården får enligt punkten 4 hantera personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra en arbets- uppgift som följer av en internationell förpliktelse. Sådana interna- tionella förpliktelser kan bestå i exempelvis att ta över straffverk- ställighet från en annan stat eller att tillfälligt förvara personer som transporteras genom Sverige för straffverkställighet i ett annat land. Det kan också vara fråga om att hantera någon som har frihetsbe- rövats med stöd av en arresteringsorder.

850

SOU 2017:74

Författningskommentar

behöriga myndigheten att ansvara för en sådan uppgift. Motsva- rande bestämmelse finns i 2 kap. 1 § brottsdatalagen. Vad den inne- bär utvecklas i SOU 2017:29 s. 238 f.

2 §

I paragrafen, som behandlas i avsnitt 13.3.1, upplyses om att förut- sättningarna för att personuppgifter ska få behandlas för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000). Innan personuppgifter får behandlas för ett nytt ändamål inom eller utanför brottsdatalagens tillämpningsområde krävs en pröv- ning enligt någon av paragraferna.

Känsliga personuppgifter

3 §

I paragrafen, som behandlas i avsnitt 13.3.2, regleras när Kriminal- vården får behandla biometriska uppgifter. Biometriska uppgifter definieras i 1 kap. 6 § brottsdatalagen (2018:000).

Paragrafen möjliggör användning av särskild teknisk behandling för att bekräfta unik identifiering av en person. Det innebär att t.ex. fingeravtryck, ansiktsgeometri, röstigenkänning eller rörelse- mönster får användas för att identifiera en person.

Biometriska uppgifter får behandlas av Kriminalvården enligt de förutsättningar som anges i 2 kap. 12 § brottsdatalagen. Behand- lingen av de biometriska uppgifterna ska vara absolut nödvändig för ändamålet med behandlingen. Det innebär att behovet av att be- handla sådana uppgifter måste prövas noga.

Utlämnande av personuppgifter

4 §

I paragrafen, som behandlas i avsnitt 13.3.3, anges när personupp- gifter får lämnas ut i samband med framför allt straffverkställighet. Bestämmelserna är sekretessbrytande. När personuppgifter över-

851

Författningskommentar

SOU 2017:74

förs till tredjeland ska även bestämmelserna i 8 kap. brottsdatalagen (2018:000) beaktas.

Punkten 1 gäller vid överflyttning av straffverkställighet till en annan stat. En liknande bestämmelse finns i nuvarande 48 § förord- ningen (2001:682) om behandling av personuppgifter inom krimi- nalvården. En förutsättning är att informationen lämnas till en myndighet i den andra staten som har till uppdrag att pröva om straffverkställigheten ska överflyttas eller att genomföra överflytt- ningen av verkställigheten till den andra staten. De personuppgifter som det kan vara fråga om rör bl.a. påföljden och den dömdes anknytning till den andra staten. Om verkställighet pågår i Sverige är uppgifter om verkställigheten av stor betydelse.

Punkten 2 avser den situationen att Kriminalvården behöver lämna information till en annan stats myndigheter om en person som är frihetsberövad och ska transiteras genom den andra staten. Personuppgifter som kan behöva överföras kan t.ex., utöver direkta personuppgifter, röra säkerhetsfrågor eller frågor som rör den en- skildes behov av specialkost eller medicinering.

Enligt punkten 3 får personuppgifter lämnas ut till en annan stats myndigheter om det behövs t.ex. för att en person som avtjä- nar fängelsestraff i Sverige tillfälligt ska kunna överföras till den andra staten för att där vittna i en brottmålsrättegång eller lagföras för brott begångna i den staten. De personuppgifter som det kan röra sig om är av samma slag som anges i punkten 2.

Längsta tid som personuppgifter får behandlas

5 §

Paragrafen anger den längsta tid under vilken uppgifter om en per- son får behandlas automatiserat. Frågan behandlas i avsnitt 5.5.2.

Bestämmelsen i första stycket, som motsvarar nuvarande 7 §, anger hur länge personuppgifter får behandlas för något av de syf- ten som anges i 2 kap. 1 §. Det klargörs att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Ut- gångspunkten är alltså att all automatiserad behandling av person- uppgifterna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att de ska tas bort. Endast om det har meddelats

852

SOU 2017:74

Författningskommentar

uttryckliga föreskrifter som innebär att uppgifterna i fråga får be- handlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i denna paragraf (jfr 6 §).

I andra stycket upplyses om att det i 3 kap. 7 § finns bestämmel- ser om längsta tid för behandling av personuppgifter i säkerhetsre- gistret.

Föreskrifter

6 §

I paragrafen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om vilka person- uppgifter som får behandlas, utlämnande av personuppgifter i andra fall än som anges i lagen, frågor som rör direktåtkomst till person- uppgifter och längsta tid som personuppgifter får behandlas.

Regeringen eller den myndighet som regeringen bestämmer kan även meddela föreskrifter om att personuppgifter får behandlas under längre tid än vad som följer av 5 § för arkivändamål av all- mänt intresse och för vetenskapliga, statistiska eller historiska ändamål (vilket motsvarar nuvarande 7 § andra stycket).

3 kap. Säkerhetsregistret

Rätten att föra register

1 §

I paragrafen regleras rätten att föra det s.k. säkerhetsregistret. Para- grafen behandlas i avsnitt 13.5.1. Bestämmelser om säkerhetsregist- ret finns i nuvarande 39–41 och 43–45 §§ förordningen (2001:682) om behandling av personuppgifter inom kriminalvården.

I säkerhetsregistret får personuppgifter behandlas för två syften. Enligt punkten 1 får personuppgifter behandlas i syfte att före- bygga, förhindra eller upptäcka brott eller brottslig verksamhet på häkten och i kriminalvårdsanstalter eller i samband med annan straffverkställighet. Personuppgifter får enligt punkten 2 behandlas för att säkerställa ordning och säkerhet på häkten och i kriminal-

853

Författningskommentar

SOU 2017:74

vårdsanstalter och annan verksamhet som Kriminalvården bedriver. Till det sistnämnda hör bl.a. halvvägshus och utslussningsenheter som Kriminalvården driver.

Innehåll

2 §

Paragrafen reglerar, tillsammans med 3 och 4 §§, vilka personkate- gorier som får registreras i säkerhetsregistret. I denna paragraf anges huvudregeln för behandling av personuppgifter i registret. Den behandlas i avsnitt 13.5.2.

Utgångspunkten för att det ska få finnas uppgifter om en per- son i registret är att han eller hon bedöms utgöra en säkerhetsrisk. Endast uppgifter om personer som är häktade eller verkställer ett fängelsestraff och som på någon av de särskilt uppräknade grun- derna bedöms medföra en säkerhetsrisk för häktesverksamheten eller vid straffverkställigheten får behandlas i registret enligt denna paragraf. Regleringen träffar bara dem som är häktade eller intagna i kriminalvårdsanstalt för sådana syften som omfattas av brotts- datalagens tillämpningsområde. Därför får t.ex. personuppgifter om den som är häktad enligt konkurslagen eller som förvaras i häkte med stöd av utlänningslagstiftningen inte behandlas i regist- ret. Grunderna för registrering motsvarar i allt väsentligt regle- ringen i nuvarande 39 § förordningen (2001:682) om behandling av personuppgifter inom kriminalvården men är mer generella.

Av första stycket framgår att uppgifter om personer som är eller har varit placerade på säkerhetsavdelning får behandlas i registret. Vad som krävs för placering på säkerhetsavdelning framgår av 2 kap. 4 § fängelselagen (2010:610).

Registret får enligt andra stycket innehålla uppgifter om en inta- gen eller häktad, om det finns risk för att han eller hon under häkt- ningen eller verkställigheten av straffet begår brott eller deltar i viss brottslig verksamhet eller på annat sätt äventyrar ordning och säkerhet på ett häkte eller i en kriminalvårdsanstalt. Registreringen bygger således på en riskbedömning.

Enligt punkten 1 får personuppgifter behandlas i registret om det finns risk att en häktad eller intagen begår brott som inte är ringa. Om ett brott är ringa eller inte får bedömas med utgångs-

854

SOU 2017:74

Författningskommentar

punkt i omständigheterna i det enskilda fallet och brottets straff- skala. Redan misstanke om brott kan läggas till grund för regist- rering, eftersom det är fråga om en riskbedömning. För registrering krävs det således inte att det är straffrättsligt prövat att personen har begått brott. Den som under verkställighet av ett fängelsestraff gör sig skyldig till t.ex. våld eller hot mot en annan intagen eller deltar i narkotikahandel på en anstalt lagförs långtifrån alltid.

Vidare får personuppgifter behandlas om det finns risk att den häktade eller intagne deltar i brottslig verksamhet som innefattar brott för vilket det är föreskrivet fängelse i två år eller däröver. Det är straffskalan för brottet som är avgörande för om uppgifterna får registreras. Regleringen innebär att brott som har ett maximistraff om två års fängelse eller mer omfattas. Genom formuleringen om- fattas även livstidsstraff.

Det är endast brott eller brottslig verksamhet i häkte eller under verkställighet av fängelsestraff som får beaktas.

Punkten 2 innebär att personuppgifter får behandlas beträffande en häktad eller intagen, om det finns risk att han eller hon förbere- der rymning eller försöker rymma. Enligt punkten 3 får uppgifter registreras om en häktad eller intagen om det finns risk att han eller hon blir föremål för fritagning. Tidigare försök till rymning eller fritagning tyder på att det finns en sådan risk, om inte omständig- heterna talar emot det.

Enligt punkten 4 får uppgifter om en häktad eller intagen be- handlas om det finns risk att han eller hon medverkar i eller på annat sätt bidrar till att allvarligt störa ordningen eller säkerheten på häkte eller i kriminalvårdsanstalt. Det behöver inte vara fråga om ett straffbart handlande. Kravet på att ordningsstörningen ska vara allvarlig innebär att inte alla störningar får beaktas.

Punkten 5 innebär att uppgifter om en person som riskerar att utsättas för våld eller hot under verkställigheten också får regist- reras i säkerhetsregistret. Det kan behövas för att förhindra att en intagen placeras tillsammans med personer som kan utgöra ett hot mot honom eller henne under verkställigheten. Det ska framgå av registret att personen i fråga inte själv utgör en säkerhetsrisk.

855

Författningskommentar

SOU 2017:74

3 §

Paragrafen reglerar tillsammans med 2 och 4 §§ vilka personkatego- rier som registreras i säkerhetsregistret. Den behandlas i av- snitt 13.5.3.

Gruppen av personer som får registreras med stöd av denna paragraf är bredare än i 2 §. Paragrafen kan tillämpas på alla som verkställer en påföljd inom kriminalvården. Förutom fängelsestraff är det fråga om frivårdspåföljder som kriminalvården ansvarar för. Förutsättningen för att personuppgifter ska få behandlas är att det finns risk att personen utövar våld eller hot mot eller otillbörlig påverkan på personal inom kriminalvården eller andra personer som uppehåller sig i kriminalvårdens lokaler. Otillbörlig påverkan kan i vissa fall innefatta ett straffbart handlande, t.ex. utpressning, men även andra former av påverkan kan utgöra grund för registrering, t.ex. förtäckta hot. Den som t.ex. genom brev eller telefonsamtal hotar kriminalvårdens personal omfattas av regleringen, eftersom det inte krävs att hotet uttalas i kriminalvårdens lokaler. Regle- ringen träffar också den som i kriminalvårdens lokaler t.ex. utövar våld mot andra klienter eller personer som tillfälligt befinner sig i lokalerna.

4 §

Paragrafen, som behandlas i avsnitt 13.5.4, reglerar möjligheten att i säkerhetsregistret behandla uppgifter om personer som inte är in- tagna i häkte eller verkställer påföljd.

Enligt paragrafen får Kriminalvården i säkerhetsregistret även behandla uppgifter om personer som har personlig anknytning till eller annan nära förbindelse med någon som är registrerad med stöd av 2 §. Det krävs dock att registreringen är absolut nödvändig för ändamålet med behandlingen. Det ställs således väsentligt högre krav för registrering med stöd av nu aktuell paragraf.

Med personlig anknytning avses t.ex. anhöriga eller andra när- stående till en registrerad. En person som har nära förbindelse med den som är registrerad enligt 2 § kan exempelvis vara en tidigare medbrottsling. Däremot omfattas inte kontakter med professio- nella aktörer, t.ex. försvarare, kontaktpersoner och tolkar. Uppgif- ter om sådana personer får alltså inte registreras.

856

SOU 2017:74

Författningskommentar

Uppgifter om personer som registreras med stöd av paragrafen och som inte själva är häktade eller intagna ska alltid förses med en särskild upplysning om det. Genom sådana upplysningar kan man skilja anknytningspersoner från sådana personer som utgör en säkerhetsrisk.

Sökning

5 §

Paragrafen, som behandlas i avsnitt 13.5.5, reglerar Kriminalvårdens möjlighet att använda känsliga personuppgifter vid sökning i per- sonuppgifter i säkerhetsregistret. Paragrafen motsvarar nuvarande 41 § andra stycket förordningen (2001:682) om behandling av per- sonuppgifter inom kriminalvården.

I paragrafen görs undantag från det generella sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000). Enligt paragrafen är det till- låtet att utföra sökningar i syfte att få fram ett personurval grundat på vissa känsliga personuppgifter. Därmed tillåts sökningar som görs för att få fram ett urval av personer som t.ex. har visst etniskt ursprung eller viss religiös åskådning. Sökningar av det slaget kan behövas för placering av intagna eller för att de ska ges möjlighet att utöva sin religion. Sökningar på känsliga personuppgifter kan också vara nödvändiga för att den häktade eller intagne ska få nöd- vändig läkarvård, medicinering eller specialkost.

Rätten att söka på känsliga personuppgifter gäller dock inte sök- ning på ras eller medlemskap i fackförening eller sökning i gene- tiska eller biometriska uppgifter. Sökning som syftar till att få fram ett personurval grundat på sådana uppgifter är alltså inte tillåten.

I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana uppgif- ter som sökningen resulterat i får prövas mot huvudregeln om be- handling av känsliga personuppgifter i 2 kap. 11 § brottsdatalagen. Rätten att göra sökningar enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna.

857

Författningskommentar

SOU 2017:74

Direktåtkomst

6 §

I paragrafen, som behandlas i avsnitt 13.5.6, regleras möjligheten att medge direktåtkomst till säkerhetsregistret. Den motsvarar nu- varande 44 § första stycket förordningen (2001:682) om behand- ling av personuppgifter inom kriminalvården.

De myndigheter som räknas upp i paragrafen är Polismyndig- heten, Säkerhetspolisen, Ekobrottsmyndigheten och Åklagarmyn- digheten. Direktåtkomst får endast medges för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000). Vilka person- uppgifter som får göras tillgängliga genom direktåtkomst regleras i förordning.

Längsta tid som personuppgifter får behandlas

7 §

Paragrafen, som behandlas i avsnitt 13.5.7 och motsvarar nuvarande 45 § förordningen (2001:682) om behandling av personuppgifter inom kriminalvården, anger den längsta tid som personuppgifter i säkerhetsregistret får behandlas. Det klargörs att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av per- sonuppgifterna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att de ska tas bort. Endast om det har med- delats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för veten- skapliga, statistiska eller historiska ändamål får de behandlas auto- matiserat längre än vad som anges i denna paragraf (jfr 2 kap. 6 §).

858

SOU 2017:74

Författningskommentar

Föreskrifter

8 §

I paragrafen, som behandlas i avsnitt 13.5.8, upplyses om att rege- ringen, eller den myndighet som regeringen bestämmer, kan med- dela föreskrifter om innehållet i säkerhetsregistret och om utläm- nande av personuppgifter ur registret.

4 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 §

Paragrafen, som är ny, reglerar vid vilka överträdelser sanktions- avgift får tas ut. Frågan behandlas i avsnitt 5.4.2.

I första stycket anges vid vilka överträdelser sanktionsavgift får tas ut av den personuppgiftsansvarige. Tillsynsmyndigheten avgör i det enskilda fallet om det är påkallat att ta ut sanktionsavgift, vilket framgår av formuleringen att avgift får tas ut. Uppräkningen av vilka överträdelser som kan föranleda sanktionsavgift är uttöm- mande. Sanktionsavgift kan tas ut för överträdelse av bestämmel- serna om tillåtna rättsliga grunder, särskilda upplysningar och längsta tid som personuppgifter får behandlas. Brottsdatalagens förfaranderegler när det gäller sanktionsavgifter tillämpas även vid överträdelser enligt denna lag. I brottsdatalagen och tillhörande förordning finns också bestämmelser om handläggningen av frågor om sanktionsavgift.

Enligt andra stycket får sanktionsavgift även tas ut vid överträ- delse av föreskrifter som har meddelats i anslutning till lagen och som rör särskild upplysning eller längsta tid som personuppgifter får behandlas.

I tredje stycket anges storleken på de sanktionsavgifter som kan komma i fråga. De överträdelser som enligt lagen kan föranleda sanktionsavgift är alla av allvarligt slag. Lägsta sanktionsavgift är därför 50 000 kronor.

859

Författningskommentar

SOU 2017:74

Skadestånd

2 §

I paragrafen, som motsvarar nuvarande 8 §, regleras den registre- rades rätt till skadestånd för behandling av personuppgifter i strid med regelverket. Frågan behandlas i avsnitt 5.4.3.

Paragrafen hänvisar till 7 kap. 1 § brottsdatalagen (2018:000), som ska tillämpas på motsvarande sätt vid behandling av person- uppgifter enligt förevarande lag eller föreskrifter som har medde- lats i anslutning till den. Det innebär att den personuppgiftsansva- rige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som behandling av personuppgifter i strid med lagen, eller föreskrifter som har meddelats i anslutning till den, har orsakat. Med skada avses personskada, sakskada eller ren för- mögenhetsskada. Med kränkning avses ideell skada som består i att den enskildes integritet kränkts genom behandlingen. Någon möj- lighet till jämkning av skadeståndet finns inte.

Överklagande

3 §

I paragrafen, som behandlas i avsnitt 5.4.4, upplyses om att det i 7 kap. brottsdatalagen (2018:000) finns bestämmelser om överkla- gande och om vilka beslut som får överklagas.

Övergångsbestämmelser

Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 18.1 och 18.2.

Punkten 1 föreskriver när lagen ska träda i kraft.

Sanktionsavgift får enligt punkten 2 beslutas endast för överträ- delser som har begåtts efter ikraftträdandet. Bestämmelsen tydlig- gör att sanktionsavgift inte får beslutas för en överträdelse som har begåtts före ikraftträdandet, även om sanktionsavgift skulle be- traktas som en mildare åtgärd än ett straff.

Enligt punkten 3 ska äldre bestämmelser fortsätta att gälla för överträdelser av bestämmelser om personuppgiftsbehandling som

860

SOU 2017:74

Författningskommentar

begåtts före ikraftträdandet. Den gäller endast för sådana överträ- delser som varit straffbara enligt 49 § personuppgiftslagen. Vid be- dömningen av om det varit fråga om en överträdelse ska de krav som gällde för personuppgiftsbehandling vid tidpunkten för över- trädelsen tillämpas.

I punkten 4 föreskrivs att äldre föreskrifter också ska gälla för överklagande av beslut om behandling av personuppgifter i sådana syften som anges i 1 kap. 1 § som har meddelats före ikraftträdan- det. Punkten tar inte bara sikte på själva överklagandet utan också på vilket regelverk som ska tillämpas när överklagandet prövas. Äldre föreskrifter ska tillämpas även i det fallet.

Punkten 5 innebär att bestämmelsen om skadestånd i 48 § per- sonuppgiftslagen fortfarande ska gälla för skada som har orsakats före ikraftträdandet vid behandling av personuppgifter enligt lagen eller föreskrifter som har meddelats i anslutning till den.

20.10Förslaget till lag om ändring i lagen (2005:321) om tillträdesförbud vid idrottsarrangemang

8 a §

Paragrafen reglerar rätten att fotografera den som har eller skäligen kan antas få tillträdesförbud. I paragrafen, som behandlas i av- snitt 16.5, ändras en hänvisning till en lag som byter namn.

20.11Förslaget till lag om ändring i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet

1 §

I paragrafen anges vad Säkerhets- och integritetsskyddsnämnden utövar tillsyn över. Paragrafen, som behandlas i avsnitt 15.7.1, utgår från det förslag som Utredningen om tillsynen över den personliga integriteten har lagt fram (se SOU 2016:65).

Första stycket är oförändrat.

I andra stycket tydliggörs vad tillsynen över Säkerhetspolisens personuppgiftsbehandling omfattar. Stycket knyter an till hur till-

861

Författningskommentar

SOU 2017:74

lämpningsområdet för Säkerhetspolisens datalag (2018:000) är ut- format. Tillsynen ska särskilt avse behandling av känsliga person- uppgifter.

Det tredje stycket finns i paragrafens nuvarande lydelse men före- faller av misstag ha fallit bort i tidigare författningsförslag. Det är oförändrat.

3 §

Paragrafen reglerar Säkerhets- och integritetsskyddsnämndens skyldighet att på begäran av enskild kontrollera om han eller hon har varit föremål för personuppgiftsbehandling eller användning av hemliga tvångsmedel och om handläggningen har varit författ- ningsenlig.

Ändringarna i första stycket är enbart redaktionella.

Det andra stycket motsvarar sista meningen i paragrafens nuva- rande lydelse.

I tredje stycket, som är nytt och behandlas i avsnitt 15.7.2, före- skrivs att nämnden får vägra att utföra kontroll om begäran är orimlig eller uppenbart ogrundad. Syftet med bestämmelsen är att skapa utrymme för nämnden att underlåta att utföra kontroll i vissa fall. En begäran om kontroll kan vara orimlig om den upprepas med alltför täta intervall. Det är inte heller alltid rimligt att nämnden ska behöva kontrollera personuppgiftsbehandling som ligger långt till- baka i tiden. Finns det inte längre möjlighet att begära skadestånd för kränkande personuppgiftsbehandling saknas det som regel an- ledning att utföra kontroll. Någon bestämd gräns för hur gamla förhållanden som bör kontrolleras anges dock inte.

4 §

I paragrafen slås fast att nämnden har rätt att få de uppgifter och det biträde för sin tillsyn som den begär. Paragrafen behandlas i av- snitt 15.7.1.

I paragrafen tydliggörs genom ett tillägg att nämnden har rätt att få tillgång till all den information och de upplysningar som den anser sig behöva för sin tillsyn. När det gäller tillsyn över person- uppgiftsbehandling innebär det exempelvis att nämnden har samma

862

SOU 2017:74

Författningskommentar

undersökningsbefogenheter som den myndighet som är tillsyns- myndighet enligt Säkerhetspolisens datalag. Det innebär en rätt att inte bara få tillgång till de personuppgifter som behandlas och dokumentation som rör den behandlingen utan också tillgång till dokumentation som rör it-system, information om säkerhetsåt- gärder och liknande.

20.12Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400)

18 kap.

2 §

Paragrafen reglerar sekretess till skydd för underrättelseverksam- het. I första stycket ändras hänvisningarna till Polismyndighetens och Säkerhetspolisens reglering av personuppgiftsbehandling. I andra stycket ändras hänvisningar till lagar som byter namn, vilket behandlas i avsnitt 17.2.1. Tredje och fjärde styckena är oförändrade.

18 §

I paragrafen, som innehåller en sekretessbrytande bestämmelse, ändras en hänvisning till en lag som byter namn, vilket behandlas i avsnitt 17.2.1.

35 kap.

1 §

Paragrafen reglerar sekretess för enskilds personliga och ekono- miska förhållanden i viss brottsbekämpande verksamhet.

I första stycket ändras hänvisningarna till lagar som byter namn, vilket behandlas i avsnitt 17.2.1. Vidare läggs Säkerhetspolisens datalag (2018:000) till. Hänvisningen till lagen (2010:362) om poli- sens allmänna spaningsregister tas bort, eftersom den lagen upp- hört att gälla.

Andra–fjärde styckena är oförändrade.

863

Författningskommentar

SOU 2017:74

4 a §

Paragrafen reglerar sekretessen för tillträdesförbudsregistret.

I första stycket ändras hänvisningen till lagen (2015:51) om regis- ter över tillträdesförbud vid idrottsarrangemang till en hänvisning till polisdatalagen (2010:361), där registret numera regleras. Änd- ringen behandlas i avsnitt 16.5. Andra stycket är oförändrat.

4 b §

Paragrafen reglerar sekretessen för uppgifter i sammanställningar av känsliga personuppgifter.

I första stycket läggs personurval enligt 2 kap. 12 § Säkerhetspoli- sens datalag (2018:000) till så att även sådana personurval omfattas av sekretessen. Frågan behandlas i avsnitt 14.7.3.

Andra stycket är oförändrat.

10 §

Paragrafen innehåller hänvisningar till sekretessbrytande bestäm- melser i ett antal andra lagar. Hänvisningar till lagar som byter namn ändras, vilket behandlas i avsnitt 17.2.1. Säkerhetspolisens datalag (2018:000) läggs till i uppräkningen i punkten 4. Vidare görs redaktionella ändringar.

10 b §

Paragrafen, som behandlas i avsnitt 16.5, innehåller en sekretess- brytande bestämmelse. Hänvisningen till lagen (2015:51) om regis- ter över tillträdesförbud vid idrottsarrangemang ändras till en hän- visning till polisens brottsdatalag (2010:361), där registret numera regleras.

864

SOU 2017:74

Författningskommentar

37 kap.

7 §

I paragrafen, som innehåller en sekretessbrytande bestämmelse, ändras en hänvisning till en lag som byter namn. Frågan behandlas i avsnitt 17.2.1.

20.13Förslaget till lag om ändring i polisdatalagen (2010:361)

Lagen anpassas till bestämmelserna i brottsdatalagen, vilket leder till en kraftig omarbetning av den. Fyra kapitel upphävs och fem nya införs. Även i de övriga kapitlen upphävs vissa paragrafer, sam- tidigt som nya paragrafer tillkommer. Bestämmelserna om före- skrifter, som i dag är utspridda, samlas i slutet av varje kapitel. Dessa förändringar föranleder omnumreringar av vissa paragrafer.

Vidare flyttas bestämmelserna om behandling av personuppgif- ter som transportföretag tillhandahåller enligt bestämmelser i polis- lagen och bestämmelserna i tillträdesförbudsregistret till den nu aktuella lagen.

Flertalet bestämmelser om längsta tid för behandling av person- uppgifter samlas i ett särskilt kapitel. Det gäller dock inte de be- stämmelser om längsta tid för behandling som är knutna till sär- skilda register. De regleras alltjämt i samma kapitel som registret i fråga.

Som en anpassning till brottsdatalagen tillkommer ett nytt kapi- tel om administrativa sanktionsavgifter och rättsmedel.

Bestämmelserna om Säkerhetspolisens behandling av person- uppgifter upphävs, eftersom den fortsättningsvis regleras i en sär- skild lag, Säkerhetspolisens datalag (2018:000).

De generella ändringarna i lagen behandlas i kapitel 4, 5 och 6 och övriga ändringar i kapitel 7.

Lagen får också ett nytt namn, polisens brottsdatalag.

865

Författningskommentar

SOU 2017:74

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 §

I paragrafen, som behandlas i avsnitt 7.2.1, anges lagens tillämp- ningsområde.

Av första stycket framgår att lagen gäller utöver brottsdatalagen för Polismyndigheten, Ekobrottsmyndigheten och Säkerhetspo- lisen när någon av dem i egenskap av behörig myndighet enligt den lagen behandlar personuppgifter för vissa syften. Behörig myndig- het, personuppgift och behandling av personuppgifter definieras i 1 kap. 6 § brottsdatalagen (2018:000).

Enligt punkten 1 gäller lagen för Polismyndigheten om person- uppgifter behandlas i syfte att bekämpa eller lagföra brott eller upp- rätthålla allmän ordning och säkerhet. Vad det närmare innebär ut- vecklas i kommentaren till 2 kap. 1 §.

För Ekobrottsmyndigheten gäller lagen enligt punkten 2 om syftet med personuppgiftsbehandlingen är att utreda brott och det inte är fråga om åklagarverksamhet. I sådan verksamhet gäller i stäl- let åklagarväsendets brottsdatalag. Vad som avses med åklagarverk- samhet utvecklas i avsnitt 7.2.1. Polisens brottsdatalag ska tillämpas i myndighetens övriga verksamhet för att utreda brott. Att lagen även ska tillämpas i den underrättelseverksamhet som förekommer vid Ekobrottsmyndigheten följer av punkten 1, eftersom det är Polismyndigheten som bedriver den verksamheten.

866

SOU 2017:74

Författningskommentar

För Säkerhetspolisen gäller lagen enligt punkten 3 enbart när myndigheten agerar som behörig myndighet enligt brottsdatalagen i frågor som inte rör nationell säkerhet och syftet med personupp- giftsbehandlingen är att bekämpa och lagföra brott. Det handlar om ett fåtal situationer där Säkerhetspolisen övertar en arbetsupp- gift från Polismyndigheten eller där Säkerhetspolisen biträder Polismyndigheten. I Säkerhetspolisens brottsbekämpning och lag- föring som rör nationell säkerhet gäller Säkerhetspolisens datalag.

I andra stycket tydliggörs att det är endast är vissa kapitel i lagen som gäller för Ekobrottsmyndigheten och Säkerhetspolisen. Kapi- tel 5 om särskilda register och kapitel 6 om behandling av person- uppgifter vid Polismyndigheten för forensiska ändamål ska således bara tillämpas av Polismyndigheten.

2 §

I paragrafen, som motsvarar nuvarande 1 kap. 3 §, föreskrivs att lagen inte gäller vid behandling av personuppgifter enligt fem upp- räknade lagar. Dessa lagar innehåller särregler inom brottsdata- lagens tillämpningsområde. Paragrafen behandlas i avsnitt 7.2.1.

3 §

Paragrafen, som motsvarar nuvarande 1 kap. 4 §, anger hur regle- ringen i lagen förhåller sig till regleringen i lagen (2017:496) om internationellt polisiärt samarbete. Frågan behandlas i avsnitt 17.3.

Personuppgiftsansvar

4 §

I paragrafen, som behandlas i avsnitt 7.2.2 och motsvarar nuvarande 2 kap. 4 §, regleras personuppgiftsansvaret. Personuppgiftsansvarig definieras i 1 kap. 6 § brottsdatalagen (2018:000). Personuppgifts- ansvarigas skyldigheter regleras i 3 kap. brottsdatalagen.

Regleringen i första stycket av Polismyndighetens personupp- giftsansvar anpassas till den terminologi som används i lagen i övrigt. Ansvaret omfattar dels all behandling av personuppgifter

867

Författningskommentar

SOU 2017:74

enligt lagen vid Polismyndigheten, dels den behandling av person- uppgifter som myndigheten utför vid Ekobrottsmyndigheten. Det sistnämnda avser behandling av personuppgifter i syfte att före- bygga, förhindra eller upptäcka brottslig verksamhet.

Av andra stycket framgår att Ekobrottsmyndigheten är person- uppgiftsansvarig för den behandling av personuppgifter som myn- digheten utför enligt lagen i syfte att utreda brott.

Säkerhetspolisens personuppgiftsansvar, som regleras i tredje stycket, omfattar behandling av personuppgifter som myndigheten utför enligt lagen.

Uttryck i lagen

5 §

Paragrafen, som motsvarar nuvarande 2 kap. 3 §, innehåller defini- tioner av vissa uttryck som används i lagen. I paragrafen görs endast språkliga ändringar.

Lagens tillämpning på uppgifter om juridiska personer

6 §

I paragrafen, som motsvarar nuvarande 1 kap. 6 §, anges vilka be- stämmelser i lagen och i brottsdatalagen som gäller för behandling av uppgifter om juridiska personer. Frågan behandlas i avsnitt 5.4.1.

Uppräkningen av bestämmelser som gäller vid behandling av uppgifter om juridiska personer motsvarar nuvarande reglering.

Lagens uppbyggnad

7 §

Paragrafen, som motsvarar nuvarande 1 kap. 7 § och behandlas i av- snitt 7.2.3, anger hur lagen är uppbyggd.

Enligt första stycket gäller 1 kap., som innehåller allmänna be- stämmelser, för all behandling enligt lagen. Detsamma gäller 7 kap., som innehåller bestämmelser om administrativa sanktionsavgifter och rättsmedel. I 2 kap. finns det grundläggande bestämmelser om

868

SOU 2017:74

Författningskommentar

behandling. Det gäller också för all behandling enligt lagen, med undantag för behandling enligt 6 kap. I 4 kap., som reglerar längsta tid för behandling av personuppgifter, finns det också generella regler, men de är inte tillämpliga på behandling i de särskilda regis- ter som regleras i 5 kap. De ska inte heller tillämpas vid behandling av personuppgifter i Polismyndighetens forensiska verksamhet, som regleras i 6 kap.

Av andra stycket framgår att 3 kap. enbart gäller för uppgifter som görs eller har gjorts gemensamt tillgängliga.

I 5 kap. särregleras vissa register. Av tredje stycket framgår att det kapitlet gäller i stället för 3 och 4 kap.

I fjärde stycket anges vad som gäller för behandling av person- uppgifter i den forensiska verksamheten, som regleras i 6 kap. Då gäller det kapitlet i stället för 2–4 kap.

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 §

Paragrafen reglerar de tillåtna rättsliga grunderna för behandling av personuppgifter. Den behandlas i avsnitt 6.1, 6.3 och 7.3.1.

Paragrafen, som är anpassad till hur de rättsliga grunderna för behandling av personuppgifter anges i 2 kap. 1 § brottsdatalagen (2018:000), ersätter den bestämmelsen. Regleringen i 2 kap. 2 § brottsdatalagen ger myndigheterna rättsligt stöd för att i vissa fall behandla personuppgifter enbart för diarieföring och nödvändig handläggning, trots brist på stöd i denna paragraf.

Personuppgifter får enligt första stycket behandlas om det är nödvändigt för att utföra en arbetsuppgift i vissa särskilt angivna syften inom lagens tillämpningsområde. Bestämmelsen bildar den yttre ramen för när behandling av personuppgifter är tillåten. Efter- som lagen tillämpas av flera myndigheter måste bestämmelsen läsas tillsammans med regleringen i 1 kap. 1 § av tillämpningsområdet för att det ska kunna avgöras vilka punkter som är relevanta för respektive myndighet.

Enligt punkten 1 får personuppgifter behandlas i syfte att före- bygga, förhindra eller upptäcka brottslig verksamhet. Det är fram-

869

Författningskommentar

SOU 2017:74

för allt underrättelseverksamhet som regleras i punkten. Med det avses arbete med insamling, bearbetning och analys av information i syfte att förhindra eller upptäcka brottslig verksamhet när det ännu inte finns misstankar om att något konkret brott har begåtts (se prop. 2009/10:85 s. 318). Även behandling av överskottsinfor- mation med stöd av 27 kap. 23 a § rättegångsbalken omfattas, om syftet är att förhindra brott. Personuppgiftsbehandling vid annan brottsförebyggande verksamhet omfattas också.

Enligt punkten 2 får personuppgifter behandlas i syfte att utreda eller lagföra brott. Med utreda brott avses framför allt att genom- föra förundersökning enligt 23 kap. rättegångsbalken, oavsett om det är Polismyndigheten eller åklagare som leder förundersök- ningen. Med brott avses konkreta brott, men det kan vara fråga om både brott som bevisligen har begåtts och brott som det enbart finns misstankar om. Misstankarna behöver inte vara riktade mot någon bestämd person. Är det fråga om undersökning av icke kon- kretiserad brottslig verksamhet tillämpas punkten 1 (se prop. 2009/10:85 s. 318).

Även personuppgiftsbehandling inom ramen för den form av förenklat utredningsförfarande som regleras i 23 kap. 22 § rätte- gångsbalken och vid åtgärder som vidtas med stöd av 23 kap. 3 och 8 §§ rättegångsbalken omfattas. Punkten omfattar även annan ut- redning som görs enligt bestämmelserna i 23 kap. rättegångsbalken (se prop. 2009/10:85 s. 319).

Med lagföra brott avses att utfärda förelägganden av ordnings- bot. I tidigare förarbeten utvecklas närmare vad det innebär (se prop. 2009/10:85 s. 318 f.).

Enligt punkten 3 får personuppgifter behandlas i syfte att upp- rätthålla allmän ordning och säkerhet. Det är endast Polismyndig- heten som har sådana arbetsuppgifter att personuppgiftsbehandling enligt denna punkt kan bli aktuell. Vilka arbetsuppgifter det kan vara fråga om utvecklas i SOU 2017:29 s. 227 f.

Personuppgifter får enligt punkten 4 också behandlas i syfte att fullgöra förpliktelser som följer av internationella åtaganden. Be- handling enligt denna punkt tar sikte på sådana förpliktelser som syftar till att gagna utländsk brottsbekämpande verksamhet (se prop. 2009/10:85 s. 319).

I andra stycket anges att det ska vara fråga om en arbetsuppgift som framgår av en bindande unionsrättsakt eller av en lag, en för-

870

SOU 2017:74

Författningskommentar

ordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift. Motsvarande be- stämmelse finns i 2 kap. 1 § brottsdatalagen. Vad den innebär ut- vecklas i SOU 2017:29 s. 238 f.

2 §

I paragrafen, som behandlas i avsnitt 7.3.1, upplyses om att förut- sättningarna för att personuppgifter ska få behandlas för nya ända- mål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000). Innan personuppgifter får behandlas för ett nytt ändamål inom eller utan- för brottsdatalagens tillämpningsområde krävs det en prövning enligt någon av paragraferna. Vad prövningen innebär utvecklas i SOU 2017:29 s. 249 f. och avsnitt 6.4.3.

Särskilda upplysningar

3 §

Känsliga personuppgifter

4 §

I paragrafen, som behandlas i avsnitt 7.3.2, regleras när biometriska uppgifter får behandlas. Biometriska uppgifter definieras i 1 kap. 6 § brottsdatalagen (2018:000). Att biometriska uppgifter också får behandlas i den forensiska verksamheten framgår av 6 kap. 4 §.

Paragrafen möjliggör användning av särskild teknisk behandling för att bekräfta unik identifiering av en person. Det innebär att

871

Författningskommentar

SOU 2017:74

t.ex. fingeravtryck, ansiktsgeometri, röstigenkänning eller rörelse- mönster får användas för att identifiera en person.

Biometriska uppgifter får behandlas av Polismyndigheten och Säkerhetspolisen enligt de förutsättningar som anges i 2 kap. 12 § brottsdatalagen. Behandlingen av de biometriska uppgifterna ska vara absolut nödvändig för ändamålet med behandlingen. Det inne- bär att behovet av att behandla sådana uppgifter måste prövas noga.

5 §

I paragrafen, som tillsammans med 6 § reglerar när det är tillåtet att använda känsliga personuppgifter vid sökning, görs det undantag från sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000). Paragra- fen behandlas i avsnitt 7.3.3.

Undantaget gäller vid sökning i alla slags uppgifter, dvs. såväl personuppgifter som har gjorts gemensamt tillgängliga som per- sonuppgifter som inte har det. Sökförbudet hindrar inte att brotts- rubriceringar, uppgifter om tillvägagångssätt vid brott, uppgifter om verkställighet av påföljd eller uppgifter som beskriver en per- sons utseende används vid sökning, även om det skulle leda till ett personurval grundat på känsliga personuppgifter.

Med uppgifter som beskriver en persons utseende avses signa- lementsuppgifter som t.ex. kroppsbyggnad, ansiktsform, hår- och hudfärg, klädsel och fysiska kännetecken som födelsemärken, blindhet och tatueringar (jfr prop. 2011/12:45 s. 124). En sökning på ett fysiskt särdrag kan ge ett personurval grundat på uppgifter som rör hälsa.

Sökning på t.ex. vissa sexualbrott eller tillvägagångssätt vid brott kan resultera i ett personurval grundat på sexualliv eller sexuell läggning. Ett personurval grundat på uppgifter om hälsa kan även bli resultatet vid sökning på exempelvis olika vårdpåföljder. Sök- ning på uppgifter om en persons utseende kan avse exempelvis fysiska skador eller särdrag som kan avslöja uppgifter om hälsa. Uppgifter om tatueringar kan t.ex. avslöja viss politisk åsikt eller religiös övertygelse.

I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana upp- gifter som sökningen resulterat i får prövas mot huvudregeln om

872

SOU 2017:74

Författningskommentar

behandling av känsliga personuppgifter i 2 kap. 11 § brottsdata- lagen. Rätten att göra sökning enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna.

6 §

I paragrafen, som tillsammans med 5 § reglerar när det är tillåtet att använda känsliga personuppgifter vid sökning, görs det undantag från sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000). Paragra- fen behandlas i avsnitt 7.3.3.

Undantaget gäller enbart vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga, dvs. personuppgifter som endast ett fåtal har tillgång till. Sökning i sådana uppgifter får göras i syfte att få fram ett personurval grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening eller uppgifter som rör hälsa, sexualliv eller sexuell lägg- ning. Sådana sökningar kan aktualiseras bl.a. vid utredning av brott som kan ha etniska, politiska eller religiösa motiv. Sökning kan också vara motiverad för att kartlägga sambandet mellan personer i kriminella nätverk som hålls samman av etniskt ursprung eller per- soner som begår vissa brott på grund av sin ideologiska övertygelse. Vid vissa brottstyper, exempelvis sexualbrott, kan återfall i brott vara vanligt och motivera att sökning görs som kan avslöja sexualliv eller sexuell läggning vid brott med okänd gärningsman.

Rätten att söka på känsliga personuppgifter gäller dock inte sökning på ras. Sökning i genetiska eller biometriska uppgifter är enligt 6 kap. 4 § enbart tillåtet i den forensiska verksamheten.

I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana upp- gifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 2 kap. 11 § brottsdata- lagen. Rätten att göra sökning enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna.

873

Författningskommentar

SOU 2017:74

Utlämnande av personuppgifter

7 §

Paragrafen innehåller sekretessbrytande bestämmelser om utläm- nande av personuppgifter till utländska myndigheter och mellan- folkliga organisationer. Den motsvarar nuvarande 2 kap. 15 §.

Första stycket ändras endast redaktionellt.

Ändringen i andra stycket är en följd av att uttrycket brottsbe- kämpande verksamhet utmönstras ur lagen, vilket behandlas i av- snitt 4.4.1. Sekretessen bryts och personuppgifter får lämnas ut om mottagaren behöver dem för något av de syften som räknas upp i 1 §. Det innebär att möjligheterna till utlämnande vidgas något, eftersom lagen även gäller vid upprätthållande av allmän ordning och säkerhet. När det gäller mottagare i tredjeland ska regleringen i 8 kap. 1 § brottsdatalagen (2018:000) också beaktas.

I tredje stycket görs en redaktionell ändring.

8 §

Genom paragrafen bryts viss sekretess som annars skulle ha gällt gentemot andra brottsbekämpande myndigheter. Den motsvarar nuvarande 2 kap. 16 §.

I första stycket läggs Polismyndigheten till i uppräkningen av myndigheter i förhållande till vilka sekretessen bryts. Det tydlig- görs också att sekretessen bryts om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000). Ändringen är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behand- las i avsnitt 4.4.1.

I andra stycket görs en redaktionell ändring.

9 §

Paragrafen innehåller en bestämmelse som i fråga om uppgifter i dna-register bryter viss sekretess som annars skulle ha gällt gente- mot andra brottsbekämpande myndigheter. Den motsvarar nuva- rande 2 kap. 17 §. Det tydliggörs att sekretessen bryts om den mottagande myndigheten behöver uppgifterna för något av de syf-

874

SOU 2017:74

Författningskommentar

ten som anges i 1 kap. 2 § brottsdatalagen (2018:000). Ändringen är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4.1. Paragrafen ändras också redaktionellt.

10 §

Paragrafen innehåller en bestämmelse som i fråga om uppgifter i fingeravtrycks- och signalementsregister bryter viss sekretess som annars skulle ha gällt gentemot andra brottsbekämpande myndig- heter. Den motsvarar nuvarande 2 kap. 18 §. Det tydliggörs att sek- retessen bryts om den mottagande myndigheten behöver uppgif- terna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000). Ändringen är en följd av att uttrycket brottsbekäm- pande verksamhet utmönstras ur lagen, vilket behandlas i av- snitt 4.4.1. Paragrafen ändras även redaktionellt.

11 §

Paragrafen innehåller en sekretessbrytande bestämmelse som mot- svarar nuvarande 9 § lagen (2015:51) om register över tillträdes- förbud vid idrottsarrangemang. Tillträdesförbudsregistret regleras i 5 kap. 23–26 §§. Paragrafen behandlas i avsnitt 16.3.

12 §

Paragrafen reglerar när personuppgifter får lämnas ut elektroniskt. I första stycket föreskrivs att personuppgifter får lämnas ut elek-

troniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Med sådant utlämnande avses bl.a. utlämnande genom e- post eller annan elektronisk överföring eller på ett usb-minne eller annat motsvarande medium. Frågan behandlas i avsnitt 5.6.4.

Det har betydelse vem mottagaren är för frågan om det är olämpligt att lämna ut uppgifter elektroniskt. Som regel kan det inte anses vara olämpligt att lämna ut uppgifter på det sättet till en myndighet (se prop. 2014/15:148 s. 113, jfr SOU 2015:39 s. 447 f.).

875

Författningskommentar

SOU 2017:74

När det gäller utlämnande till enskilda krävs en mer nyanserad bedömning. Om det finns en författningsreglerad skyldighet att sända en handling till en viss person får det avgöras om elektroniskt utlämnande är olämpligt med hänsyn till bl.a. innehållet i hand- lingen, vem som är mottagare, behovet av att kunna visa att perso- nen i fråga har tagit del av handlingen och andra omständigheter. Är det fråga om processmaterial som översänds till parter eller om- bud bör även principen om equality of arms beaktas.

Frågan är särskilt svårbedömd när uppgifter ska lämnas ut till enskilda och det på grund av uppgifternas art, struktur, antal eller någon annan särskild omständighet finns anledning att befara att utlämnandet kan leda till integritetsrisker (jfr prop. 2014/15:148 s. 114). Bedömer myndigheten att det finns risk för att personupp- gifterna kan komma att missbrukas om de lämnas ut elektroniskt gäller sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400). De får då inte lämnas ut till följd av sekretess.

Det kan också finnas särskild anledning att iaktta försiktighet när det gäller utlämnande av bild- och ljudupptagningar (jfr prop. 2016/17:68 s. 51 f.).

Vid prövningen av om personuppgifter bör lämnas ut elektro- niskt bör även informationssäkerheten vägas in.

Om någon begär att få tillgång till en allmän handling med stöd av tryckfrihetsförordningen får den utlämnande myndigheten inte efterforska syftet med begäran. Det kan ha betydelse för möjlig- heten att få underlag för att bedöma om det i ett enskilt fall är lämpligt att lämna ut en handling med personuppgifter elektroniskt (se JO dnr 4171-2011).

Elektroniskt utlämnande genom direktåtkomst regleras i andra stycket, som motsvarar nuvarande 2 kap. 21 §. Det är tillåtet endast i den utsträckning som anges i lagen.

Personuppgifter från transportföretag

13 §

Paragrafen reglerar, tillsammans med 14 och 15 §§, hur personupp- gifter som ett transportföretag tillhandahåller enligt 25 § polislagen (1984:387) får behandlas. Regleringen avser uppgifter om ankom- mande eller avgående transporter av bl.a. passagerare och fordon

876

SOU 2017:74

Författningskommentar

som transportföretag befordrar till och från Sverige. Det rör sig alltså om bokningsuppgifter i framför allt flyg- och färjetrafik. Paragrafen behandlas i avsnitt 7.4.1 och 7.4.2. Transportföretagens skyldighet att tillhandahålla uppgifter regleras alltjämt i polislagen.

I första stycket tydliggörs att uppgifter från transportföretag endast får behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. Möjligheten att söka i sådana uppgifter med hjälp av personnummer och andra lik- nande identitetsbeteckningar regleras i 15 §.

Om det vid den behandling som görs, eller vid kontroll vid an- komsten till Sverige, framkommer skäl att behandla personuppgif- terna för ett nytt ändamål får det enligt andra stycket bara göras om förutsättningarna för behandling för nya ändamål i 2 kap. 4 eller 22 § brottsdatalagen (2018:000) är uppfyllda i det enskilda fallet. Ett typiskt exempel är att ett brott upptäcks och att uppgifterna behövs för att utreda och lagföra brottet. Det kan också visa sig att vissa av uppgifterna behövs i ett underrättelseärende.

Det framgår av 3 kap. 2 § i vilken utsträckning som personupp- gifter från transportföretag får göras gemensamt tillgängliga

14 §

I paragrafen anges hur uppgifter från transportföretag som tillhan- dahålls genom terminalåtkomst får behandlas. Paragrafen, som motsvarar nuvarande 26 § andra stycket polislagen (1984:387), be- handlas i avsnitt 7.4.1.

Paragrafen reglerar enbart behandling vid terminalåtkomst till personuppgifter hos transportföretag, medan 13 och 15 §§ anger vad som gäller i fråga om personuppgifter som förs över till myn- dighetens it-system eller behandlas strukturerat på annat sätt.

Genom terminalåtkomsten till företagens it-system får polisen tillgång till omfattande överskottsinformation om resande. Myn- digheten får inte ändra eller på annat sätt bearbeta uppgifter i så- dana system. Syftet med regleringen är att myndigheten inte heller ska kunna föra över en hel sådan uppgiftssamling till sina egna it- system för att bearbeta, ändra och lagra personuppgifterna där. Som framgår av 13 § får uppgifter däremot föras över i enskilda fall om förutsättningarna för det är uppfyllda.

877

Författningskommentar

SOU 2017:74

15 §

I paragrafen, som behandlas i avsnitt 7.4.2, regleras i vilken ut- sträckning direkta personuppgifter får användas vid sökning i upp- gifter som tillhandahålls av transportföretag.

I paragrafen begränsas möjligheten att söka i personuppgifter som avses i 13 § första stycket. När sökning görs med hjälp av per- sonnummer, samordningsnummer och liknande identitetsbeteck- ningar får sökningen enbart avse personer som är eller har varit misstänkta för brott, är misstänkta för att utöva eller komma att utöva brottslig verksamhet avseende brott för vilket är föreskrivet fängelse i ett år eller mer eller personer som övervakas enligt 3 kap. 2 § första stycket 2. Det förhållandet att en person reser under annat namn eller använder ett känt alias hindrar inte sökning som görs på det eller de namnen under de förutsättningar som nu nämnts. Eftersom begränsningen bara gäller vid sökning med an- vändande av direkta personuppgifter är sökning där sådana upp- gifter inte används tillåtna, t.ex. för att ta fram resandeprofiler.

Föreskrifter

17 §

I paragrafen, där bestämmelser om föreskrifter samlas, upplyses om att regeringen kan meddela föreskrifter om att personuppgifter får lämnas ut i andra fall än som anges i 7–11 §§ (vilket motsvarar nu- varande 2 kap. 19 § första stycket) och om begränsning av möj- ligheterna att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst. Frågan behandlas i avsnitt 5.6.4.

3 kap.

1 §

Av paragrafen framgår att kapitlet innehåller särskilda bestämmel- ser om behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga. Vad som avses med att uppgifter görs gemensamt tillgängliga utvecklas i prop. 2009/10:85 s. 334 f.

878

SOU 2017:74

Författningskommentar

I första stycket anpassas regleringen till att uttrycket brottsbe- kämpande verksamhet utmönstras ur lagen, vilket behandlas i av- snitt 4.4.1.

Av andra stycket framgår att kapitlet inte gäller när personupp- gifter behandlas med stöd av den särskilda bestämmelsen i 2 kap. 2 § brottsdatalagen (2018:000) om behandling av personuppgifter för diarieföring eller för att utföra andra nödvändiga handlägg- ningsuppgifter.

2 §

I paragrafen anges vilka personuppgifter som får göras gemensamt tillgängliga.

I första stycket finns två nya punkter som anger ytterligare upp- gifter som får göras gemensamt tillgängliga. Ändringarna behandlas i avsnitt 7.5.1.

Enligt punkten 4 får personuppgifter som förekommer i ett ärende om kontaktförbud eller ett ärende om personskydd göras gemensamt tillgängliga. Utöver de uppgifter som registreras i be- lastningsregistret om den som meddelas kontaktförbud, finns det andra uppgifter som ligger till grund för sådana beslut som kan be- höva göras gemensamt tillgängliga. Det kan t.ex. vara fråga om uppgifter om närstående till en person som skyddas av ett kontakt- förbud, där det antingen kan vara viktigt att personens adressupp- gifter inte röjs i andra sammanhang eller att det finns tillgång till uppgifter om närstående som också kan komma att utsättas för trakasserier eller brott. Genom formuleringen ”berörs av” tydlig- görs att om t.ex. en person som skyddas av ett kontaktförbud har barn som bor på samma adress och som inte själva skyddas av kontaktförbud, får uppgifter om barnen också göras gemensamt tillgängliga om det behövs för skyddet.

Det kan i vissa fall vara viktigt att kunna göra uppgifter om en person som har begärt kontaktförbud gemensamt tillgängliga trots att frågan om kontaktförbud ännu inte är slutligt avgjord, om det bedöms finnas akut risk för att personen utsätts för brott. Även uppgifter i ärenden där någon ansökt om kontaktförbud, men där underlaget inte har bedömts räcka till för ett sådant förbud, kan i

879

Författningskommentar

SOU 2017:74

vissa fall vara viktiga att kunna göra gemensamt tillgängliga i syfte att uppmärksamma risken för brott mot personen i fråga.

På motsvarande sätt kan uppgifter som förekommer i ärenden om personskydd och om närstående till den som har personskydd i vissa fall behöva göras gemensamt tillgängliga, för att det inom myndigheten ska finnas allmän kännedom om att en viss person är i behov av sådant skydd.

Enligt punkten 6 får uppgifter som behandlas i syfte att upprätt- hålla allmän ordning och säkerhet också göras gemensamt tillgäng- liga. Det kan t.ex. vara fråga om uppgifter om personer som be- döms kunna utgöra hot mot allmän ordning och säkerhet i sam- band med ett planerat idrottsarrangemang, en demonstration eller en politisk sammankomst. Sådana uppgifter torde i många fall kunna göras gemensamt tillgängliga med stöd av andra punkter i paragrafen. Denna punkt ger emellertid generell möjlighet att göra sådana personuppgifter tillgängliga utan någon kontroll av om den som personuppgiften rör är registrerad i underrättelseverksamhe- ten, är misstänkt för brott eller förekommer i något annat sam- manhang som ger möjlighet att göra personuppgifterna gemensamt tillgängliga.

Punkterna 1–3 ändras endast redaktionellt och punkten 5 är oförändrad. Punkten 7 motsvarar nuvarande punkten 4.

I andra stycket görs endast redaktionella ändringar.

Tredje stycket är oförändrat.

3 §

I paragrafen föreskrivs att personuppgifter som har gjorts gemen- samt tillgängliga med stöd av 2 § första stycket 2 eller 5 ska förses med en särskild upplysning. Att det ska framgå för vilket närmare ändamål personuppgifterna behandlas följer av 2 kap. 3 § brotts- datalagen (2018:000). Paragrafen ändras också redaktionellt.

4 §

I paragrafen, som behandlas i avsnitt 5.3.10, regleras i vilken ut- sträckning uppgifter i underrättelseverksamhet som är gemensamt tillgängliga ska förses med särskilda upplysningar.

880

SOU 2017:74

Författningskommentar

Enligt första stycket ska det framgå av uppgifter i underrättelse- verksamhet att en person inte är misstänkt för att utöva brottslig verksamhet. Det ska alltså gå att skilja mellan personer som är föremål för polisens intresse på grund av inblandning i brottslig verksamhet och personer som inte är missstänkta för det. Att det ska framgå om en person är misstänkt för brott eller är ett brotts- offer regleras i 2 kap. 9 § brottsdatalagen (2018:000).

Enligt andra stycket ska uppgifter om personer som kan antas ha samband med misstänkt brottslig verksamhet eller som övervakas på visst sätt förses med upplysning om uppgiftslämnarens trovär- dighet och uppgifternas riktighet i sak. Det tydliggörs att kravet på särskild upplysning bara gäller uppgifter om en person som kan antas ha direkt samband med misstänkt brottslig verksamhet. Kra- vet på samband är lågt ställt. Så snart det finns något som stöder ett antagande om att en person har ett direkt samband med brottslig verksamhet och det är fråga om uppgifter som görs gemensamt tillgängliga ska det framgå på vilket sätt personen har anknytning till den brottsliga verksamheten. Sambandet kan t.ex. bestå i att en person ofta träffar eller har annan kontakt med andra personer som är misstänkta för att utöva brottslig verksamhet eller ofta rör sig i miljöer där brottslighet förekommer, utan att ha naturliga skäl att befinna sig där. Uppgifter om den som är anhörig till en person som kan antas ha samband med misstänkt brottslig verksamhet faller alltså utanför, utom i de fall där båda kan antas ha direkt sam- band med brottslig verksamhet.

Det är bara uppgifter som rör en person som är misstänkt för att utöva eller komma att utöva brottslig verksamhet som behöver förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. De uppgifter som är av intresse är, för- utom uppgifter om på vilket sätt personen är knuten till den brottsliga verksamheten, framför allt uppgifter som belyser brotts- lighetens art och omfattning. Uppgifter av det slaget kan behöva förses med särskilda upplysningar för att personens anknytning till brottsligheten ska kunna bedömas.

Utrymmet för att underlåta att förse uppgifter med upplysning om trovärdighet och riktighet vidgas något genom att det inte längre krävs särskilda omständigheter för att upplysningskravet inte ska gälla. Det är tillräckligt att det på grund av de samlade om- ständigheterna är onödigt att förse uppgifterna med en upplysning.

881

Författningskommentar

SOU 2017:74

5 §

Paragrafen, som motsvarar nuvarande 3 kap. 6 §, innehåller en all- män begränsning av vilka uppgifter som får tas fram vid sökning i gemensamt tillgängliga uppgifter på namn, personnummer, sam- ordningsnummer eller liknande identitetsbeteckningar. Den be- handlas i avsnitt 7.5.2.

Genom ett tillägg tydliggörs att paragrafen endast gäller vid sök- ning i automatiserade behandlingssystem. Vad som avses med auto- matiserade behandlingssystem anges i SOU 2017:29 s. 306 f.

Punkterna 1–6 är oförändrade.

Enligt punkten 7, som är ny, får uppgifter om att en person be- rörs av ett kontaktförbud eller av åtgärder i ett personskyddsärende tas fram vid sökning.

I punkterna 8–12 görs enbart redaktionella ändringar.

6 §

Paragrafen, som behandlas i avsnitt 7.5.2, innehåller undantag från begränsningarna i 5 §.

Enligt första stycket, som motsvarar nuvarande 3 kap. 7 § första stycket 1, gäller inga begränsningar vid sökning i en viss handling eller i ett visst ärende.

Enligt andra stycket gäller begränsningarna i 5 § inte vid vissa sökningar som utförs av särskilt angivna tjänstemän. Det gäller enligt punkten 1, som motsvarar nuvarande 6 § i polisdataförord- ningen (2010:1155), när de utför beredningsuppgifter och arbetet befinner sig i ett inledande skede i underrättelseverksamheten. Syf- tet med bestämmelsen är att tjänstemännen inledningsvis ska ha större möjligheter att göra sökningar för att kunna finna samband mellan nya och befintliga underrättelseuppgifter. Det är således bara under en begränsad tid efter det att uppgifterna kom in som punkten är tillämplig. Så snart beredningsarbetet har avslutats upp- hör möjligheten att göra sökningar med stöd av den nu aktuella punkten.

Enligt punkten 2, som motsvarar nuvarande 3 kap. 7 § första stycket 2 och andra stycket 1, är sökningar i syfte att bearbeta och analysera personuppgifter som har gjorts gemensamt tillgängliga i underrättelseverksamhet eller för övervakningen av en allvarligt

882

SOU 2017:74

Författningskommentar

kriminellt belastad person tillåtna, om det endast är de tjänstemän som får göra sökningen som också har tillgång till uppgifterna.

Punkten 3, som motsvarar nuvarande 3 kap. 7 § andra stycket 2, ändras endast redaktionellt.

Enligt punkten 4, som är ny, gäller inte begränsningarna i 5 § vid sökning i syfte att samordna utredningar av brott som kan vara systematiska och för vilka det är föreskrivet fängelse i två år eller däröver. Sådana sökningar kan krävas för att finna samband mellan brott som kan ha begåtts i organiserad form eller i olika delar av landet eller där det annars finns inslag av systematik.

Undantaget i tredje stycket är nytt. Det innebär att begränsning- arna i 5 § inte gäller när en tjänsteman i någon av Polismyndighe- tens ledningscentraler utför sökning på begäran av en polisman som verkställer ett ingripande eller vidtar en åtgärd som rör en enskild.

7 §

I paragrafen, som motsvarar nuvarande 3 kap. 8 § första stycket, anges vilka myndigheter som får medges direktåtkomst till upp- gifter som har gjorts gemensamt tillgängliga och för vilka syften. Polismyndigheten läggs till i uppräkningen. Paragrafen ändras med anledning av att uttrycket brottsbekämpande verksamhet utmön- stras ur lagen, vilket behandlas i avsnitt 4.4.1. Den ändras också redaktionellt.

8 §

I paragrafen, som motsvarar nuvarande 3 kap. 7 § fjärde stycket, upplyses om att regeringen kan meddela föreskrifter om ytterligare undantag från bestämmelserna om sökning i 5 §.

9 §

883

Författningskommentar SOU 2017:74

till sådana uppgifter som anges i 5 § (vilket motsvarar nuvarande 3 kap. 6 § andra stycket), under vilka förutsättningar sökning får utföras med stöd av 6 § (vilket motsvarar nuvarande 3 kap. 7 § tredje stycket) och omfattningen av direktåtkomst och om behö- righet och säkerhet vid sådan åtkomst (vilket motsvarar nuvarande

3kap. 8 § tredje stycket).

4kap. Längsta tid som personuppgifter får behandlas

Allmän bestämmelse

1 §

Flertalet av bestämmelserna som anger hur länge personuppgifter får behandlas samlas i detta kapitel. Frågan behandlas i avsnitt 5.5.1. Bestämmelser om hur länge personuppgifter får behandlas i de register som regleras i 5 kap. och i den forensiska verksamheten som regleras i 6 kap. finns dock alltjämt i de kapitlen.

I första stycket föreskrivs att bestämmelserna i kapitlet endast gäller för uppgifter som behandlas automatiserat.

Andra stycket upplyser om att den grundläggande bestämmelsen om att personuppgifter inte får behandlas längre än vad som är nödvändigt med hänsyn till ändamålet med behandlingen finns i 2 kap. 17 § första stycket brottsdatalagen (2018:000). I övriga para- grafer i kapitlet anges hur länge vissa typer av personuppgifter får behandlas inom den ram som sätts av denna huvudregel. Oavsett vilken bedömning som görs av nyttan med behandlingen av en viss personuppgift får den inte behandlas längre än vad som anges i respektive paragraf.

Tredje stycket innehåller en uppräkning av de bestämmelser om hur länge personuppgifter får behandlas som finns i 5 och 6 kap.

884

SOU 2017:74

Författningskommentar

Personuppgifter som inte har gjorts gemensamt tillgängliga

2 §

I paragrafen, som motsvarar nuvarande 2 kap. 13 §, anges hur länge uppgifter som inte har gjorts gemensamt tillgängliga får behandlas. Regleringen behandlas i avsnitt 5.5.2. Någon ändring av hur länge sådana personuppgifter får behandlas görs inte.

I första stycket klargörs att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) om att arkiv- lagstiftningen har företräde, inte får arkiveras digitalt. Utgångs- punkten är alltså att all automatiserad behandling av personupp- gifterna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att de ska tas bort. Endast om det har meddelats ut- tryckliga föreskrifter som innebär att uppgifterna i fråga får be- handlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i denna paragraf (jfr 12 § 1).

Andra stycket klargör att paragrafen inte ska tillämpas på ären- den om utredning av eller lagföring för brott.

Gemensamt tillgängliga uppgifter i ärenden om utredning av eller lagföring för brott

3 §

Paragrafen, som motsvarar nuvarande 3 kap. 10 §, reglerar hur länge personuppgifter i en anmälan om brott får behandlas. Terminologin anpassas till den som används i lagen i övrigt och till att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behand- las i avsnitt 4.4.1.

Enligt paragrafen inskränks enbart behandlingen av personupp- gifter för de ändamål som regleras i lagen, vilket innebär att uppgif- terna får fortsätta att behandlas automatiserat för bl.a. arkivända- mål efter de tidpunkter som anges i paragrafen. Frågan behandlas i avsnitt 5.5.3.

885

Författningskommentar

SOU 2017:74

4 §

Paragrafen, som motsvarar nuvarande 3 kap. 11 §, reglerar hur länge personuppgifter i förundersökningar och andra utredningar som handläggs enligt bestämmelserna i 23 kap. rättegångsbalken får be- handlas.

Enligt paragrafen inskränks enbart behandlingen av personupp- gifter för de ändamål som regleras i lagen, vilket innebär att uppgif- terna får fortsätta att behandlas automatiserat för bl.a. arkivända- mål efter de tidpunkter som anges i paragrafen. Frågan behandlas i avsnitt 5.5.3.

Terminologin i första stycket anpassas till den som används i lagen i övrigt. Vissa redaktionella ändringar görs också. Termino- login anpassas även i andra stycket.

Tredje stycket är oförändrat.

5 §

Paragrafen, som motsvarar nuvarande 3 kap. 13 §, reglerar vad som gäller i fråga om personuppgifter som rör någon som har varit misstänkt i en förundersökning som har lagts ner eller där åtal har lagts ner eller frikännande dom har meddelats och fått laga kraft. Paragrafen ändras endast redaktionellt.

Övriga gemensamt tillgängliga uppgifter

6 §

I paragrafen anges att det i de följande paragraferna finns bestäm- melser om hur länge vissa typer av gemensamt tillgängliga uppgif- ter, som inte förekommer i ärenden om utredning av eller lagföring för brott, får behandlas. Det klargörs att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Ut- gångspunkten är alltså att all automatiserad behandling av person- uppgifterna ska upphöra när den tid som anges i 7–10 §§ har löpt ut, vilket innebär att uppgifterna ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för

886

SOU 2017:74

Författningskommentar

vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i de följande paragraferna (jfr 12 §). Frågan behandlas i avsnitt 5.5.2.

7 §

Paragrafen, som motsvarar nuvarande 3 kap. 14 § andra och sjätte styckena, reglerar hur länge personuppgifter får behandlas i under- rättelseverksamhet.

Enligt första stycket, som är nytt och behandlas i avsnitt 7.6, får personuppgifter som kan antas ha samband med sådan brottslig verksamhet som anges i 3 kap. 2 § första stycket 1 och som be- handlas i ett ärende inte behandlas längre än ett år efter det att ärendet avslutades.

I andra stycket görs ingen ändring i fråga om hur länge person- uppgifterna får behandlas men stycket anpassas till den terminologi som används i lagen i övrigt. Det tydliggörs att fristen för hur länge personuppgifter får behandlas endast ska påverkas av om det görs en ny registrering beträffande personens anknytning till brottslig verksamhet. Andra uppgifter som tillförs, t.ex. uppgifter om änd- rade bostadsförhållanden eller annat som inte har betydelse för an- knytningen till den brottsliga verksamheten, påverkar alltså inte hur länge personuppgifterna får behandlas. Frågan behandlas i av- snitt 5.5.4.

Tredje stycket ändras endast redaktionellt.

8 §

Paragrafen, som motsvarar nuvarande 3 kap. 14 § tredje och sjätte styckena, reglerar hur länge uppgifter om en person som är föremål för övervakning enligt 3 kap. 2 § första stycket 2 får behandlas. Första och andra styckena anpassas till den terminologi som används i lagen i övrigt.

887

Författningskommentar

SOU 2017:74

9 §

Paragrafen reglerar hur länge personuppgifter som behandlas i ärenden om kontaktförbud eller personskydd eller som behandlas i syfte att fullgöra internationella åtaganden får behandlas.

Första stycket, som är nytt, reglerar hur länge uppgifter i ärenden om kontaktförbud eller personskydd får behandlas, vilket behand- las i avsnitt 7.5.1. Sådana personuppgifter får inte behandlas längre än ett år efter det att ärendet som uppgifterna behandlades i av- slutades.

I andra stycket, som motsvarar nuvarande 3 kap. 14 § fjärde stycket, anges hur länge personuppgifter som behandlas i syfte att fullgöra internationella åtaganden får behandlas. Sådana uppgifter får inte behandlas längre än ett år efter utgången av det kalenderår då ärendet som uppgifterna behandlades i avslutades.

Paragrafen anpassas till den terminologi som används i lagen i övrigt.

10 §

Paragrafen reglerar hur länge personuppgifter som har rapporterats till Polismyndighetens ledningscentraler och uppgifter som har gjorts gemensamt tillgängliga i syfte att upprätthålla allmän ord- ning och säkerhet får behandlas.

Den frist som gäller för hur länge uppgifter som har rapporte- rats till Polismyndighetens ledningscentraler får behandlas, som motsvarar nuvarande 3 kap. 14 § femte stycket, ändras inte. Samma frist gäller för personuppgifter som har gjorts gemensamt tillgäng- liga i syfte att upprätthålla allmän och säkerhet, vilket behandlas i avsnitt 7.5.1. Sådana personuppgifter får inte behandlas längre än ett år efter utgången av det kalenderår då de behandlades automati- serat första gången.

Paragrafen anpassas till den terminologi som används i lagen i övrigt.

888

SOU 2017:74

Författningskommentar

Föreskrifter

11 §

I paragrafen, som motsvarar nuvarande 3 kap. 12 § och 15 § första stycket, upplyses om att regeringen kan meddela föreskrifter om att vissa kategorier av personuppgifter får fortsätta att behandlas för ändamål inom lagens tillämpningsområde under längre tid än vad som anges i 3, 4 och 7–10 §§.

12 §

I paragrafen upplyses om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter dels om att per- sonuppgifter, trots att den tillåtna tiden för behandling har löpt ut, får fortsätta att behandlas för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål (vilket motsvarar nuvarande 2 kap. 12 § andra stycket och 13 § tredje stycket och 3 kap. 15 § andra stycket), dels om begränsning av behandlingen av personuppgifter för ändamål inom lagens tillämpningsområde vid digital arkivering (vilket motsvarar motsvarande 2 kap. 12 § tredje stycket). Frågan behandlas i avsnitt 5.5.2 och 5.5.3.

5 kap.

Rätten att föra register

1 §

Paragrafen, som motsvarar nuvarande 4 kap. 1 §, reglerar Polismyn- dighetens rätt att föra dna-register (dna-registret, utredningsregist- ret och spårregistret).

I första stycket förtydligas i vilka syften dna-registren får föras, vilket behandlas i avsnitt 7.7.1. Någon ändring i sak är inte avsedd. Stycket ändras också redaktionellt.

Andra stycket är oförändrat.

889

Författningskommentar

SOU 2017:74

Dna-registret

2 §

Paragrafen, som motsvarar nuvarande 4 kap. 2 §, är oförändrad frånsett språkliga justeringar.

3 §

Paragrafen, som motsvarar nuvarande 4 kap. 3 §, är oförändrad frånsett en språklig justering.

Utredningsregistret

4 §

Paragrafen, som motsvarar nuvarande 4 kap. 4 §, är oförändrad frånsett språkliga justeringar.

Spårregistret

5 §

Paragrafen, som motsvarar nuvarande 4 kap. 5 §, är oförändrad frånsett en språklig justering.

6 §

Paragrafen, som motsvarar nuvarande 4 kap. 6 §, är oförändrad frånsett språkliga justeringar.

890

SOU 2017:74

Författningskommentar

Längsta tid som personuppgifter får behandlas

7 §

Paragrafen, som motsvarar nuvarande 4 kap. 7 §, anger den längsta tid under vilken uppgifter om en person får behandlas i dna-regist- ren. Regleringen behandlas i avsnitt 5.5.2. Någon ändring i fråga om hur länge uppgifterna får behandlas görs inte.

I första stycket klargörs att personuppgifter av nu aktuellt slag, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) om att arkivlagstiftningen har företräde, inte får arkive- ras digitalt. Behandlingen av personuppgifterna ska upphöra när den tid som anges i paragrafen har löpt ut. Terminologin anpassas till den som används i lagen i övrigt.

Andra och tredje styckena anpassas till den terminologi som används i lagen i övrigt.

I fjärde stycket ersätts uppräkningen av vissa brott med en hän- visning till 35 kap. 2 § första stycket brottsbalken. Det innebär ingen ändring i sak.

Prover för dna-analys

8 §

Paragrafen, som motsvarar nuvarande 4 kap. 8 §, är oförändrad frånsett språkliga justeringar.

9 §

Paragrafen, som motsvarar nuvarande 4 kap. 9 §, är oförändrad frånsett språkliga justeringar.

Direktåtkomst

10 §

I paragrafen, som motsvarar nuvarande 4 kap. 10 § första stycket, anges förutsättningarna för att medge direktåtkomst till dna-regist- ren. Direktåtkomst får bara medges för något av de syften som

891

Författningskommentar

SOU 2017:74

anges i 1 kap. 2 § brottsdatalagen (2018:000). Ändringen är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4.1.

Fingeravtrycks- och signalementsregister

Rätten att föra register

11 §

Paragrafen, som motsvarar nuvarande 4 kap. 11 § och 12 § tredje stycket och behandlas i avsnitt 7.7.2, reglerar Polismyndighetens rätt att föra fingeravtrycks- och signalementsregister.

I en uppräkning anges i vilka syften fingeravtrycks- och signale- mentsregister får föras. Genom ett tillägg, som motsvarar nuva- rande 2 kap. 8 § första stycket punkten 6, tydliggörs att registret också får föras för att kontrollera fingeravtryck som Migrations- verket har tagit enligt 9 kap. 8 § utlänningslagen (2005:716). Någon ändring i sak är inte avsedd.

Innehåll

12 §

I paragrafen, som motsvarar nuvarande 4 kap. 12 §, regleras vilka personer som fingeravtrycks- och signalementsregister får innehålla uppgifter om. Första och andra styckena är oförändrade. I tredje stycket görs en redaktionell ändring.

13 §

Paragrafen, som motsvarar nuvarande 4 kap. 12 a §, reglerar be- handling av fingeravtrycks- och signalementsuppgifter som över- förts till Sverige med stöd av det s.k. Ecris-beslutet. Den är oför- ändrad.

892

SOU 2017:74

Författningskommentar

14 §

Paragrafen, som motsvarar nuvarande 4 kap. 13 § och anger vilka uppgifter fingeravtrycks- och signalementsregister får innehålla, är oförändrad.

Längsta tid som personuppgifter får behandlas

15 §

Paragrafen, som motsvarar nuvarande 4 kap. 14 §, anger tillsam- mans med 16 § den längsta tid under vilken uppgifter om en person får behandlas i fingeravtrycks- och signalementsregister. Termino- login anpassas till den som används i lagen i övrigt.

I paragrafen klargörs att personuppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) om att arkiv- lagstiftningen har företräde, inte får arkiveras digitalt. Utgångs- punkten är alltså att all automatiserad behandling ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att upp- gifterna ska tas bort. Endast om det har meddelats uttryckliga före- skrifter som innebär att uppgifterna i fråga får behandlas för arkiv- ändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i paragrafen (jfr 27 §). Frågan behandlas i avsnitt 5.5.2.

16 §

Paragrafen, som motsvarar nuvarande 4 kap. 15 §, anger tillsam- mans med 15 § den längsta tid under vilken uppgifter om en person får behandlas i fingeravtrycks- och signalementsregister. Ändring- arna är av samma slag som i 15 § och behandlas i avsnitt 5.5.2.

Direktåtkomst

17 §

I paragrafen, som motsvarar nuvarande 4 kap. 17 § första stycket, regleras förutsättningarna för att medge direktåtkomst. Direktåt- komst får bara medges för något av de syften som anges i 1 kap. 2 §

893

Författningskommentar

SOU 2017:74

brottsdatalagen (2018:000). Ändringen beror på att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behand- las i avsnitt 4.4.1.

Penningtvättsregister

Rätten att föra register

18 §

I paragrafen, som motsvarar nuvarande 4 kap. 18 § första stycket, regleras Polismyndighetens rätt att föra penningtvättsregister. Den är oförändrad.

19 §

I paragrafen, som motsvarar nuvarande 4 kap. 19 §, regleras vilka personuppgifter som får behandlas i penningtvättsregister. Den ändras endast redaktionellt.

Längsta tid som personuppgifter får behandlas

20 §

Paragrafen, som motsvarar nuvarande 4 kap. 20 § första stycket, anger den längsta tid under vilken uppgifter om en person får be- handlas i penningtvättsregister. Fristen för hur länge personuppgif- ter får behandlas ska endast påverkas av om det görs en ny registre- ring beträffande personens anknytning till brottslig verksamhet. Andra uppgifter som tillförs, t.ex. uppgifter om ändrade bostads- förhållanden eller annat som inte har betydelse för anknytningen till den brottsliga verksamheten, påverkar alltså inte hur länge per- sonuppgifterna får behandlas. Övriga ändringar är av samma slag som i 15 §. Frågan behandlas i avsnitt 5.5.2 och 5.5.4.

894

SOU 2017:74

Författningskommentar

Det internationella registret

Rätten att föra register

21 §

I paragrafen, som motsvarar nuvarande 4 kap. 21 § första och andra styckena, regleras Polismyndighetens rätt att föra ett internatio- nellt register. Den är oförändrad.

Längsta tid som personuppgifter får behandlas

22 §

Paragrafen, som motsvarar nuvarande 4 kap. 22 § första stycket, anger den längsta tid under vilken uppgifter om en person får be- handlas i det internationella registret. Ändringarna är av samma slag som i 15 §. Frågan behandlas i avsnitt 5.5.2.

Tillträdesförbudsregistret

Rätten att föra register

23 §

Paragrafen reglerar Polismyndighetens rätt att föra ett särskilt register över tillträdesförbud vid idrottsarrangemang, tillträdesför- budsregistret. Paragrafen, som behandlas i avsnitt 16.3, motsvarar nuvarande 2 § och 6 § första stycket lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang.

Innehåll

24 §

Paragrafen, som reglerar vilka uppgifter som tillträdesförbudsregi- stret får innehålla, motsvarar nuvarande 8 § lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang. Den behand- las i avsnitt 16.3.

895

Författningskommentar

SOU 2017:74

25 §

Paragrafen, som behandlas i avsnitt 16.3, ger Polismyndigheten rätt att behandla personuppgifter i syfte att tillgodose idrottsorganisa- tionernas behov av att få tillgång till uppgifter om gällande tillträ- desförbud.

Paragrafen motsvarar nuvarande 6 § andra stycket lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang, men anpassas till den terminologi som används i lagen i övrigt. Någon ändring i sak är inte avsedd.

I 2 kap. 11 § finns en sekretessbrytande regel som ger idrottsor- ganisationer rätt att ta del av nu aktuella uppgifter utan hinder av den sekretess som gäller enligt 35 kap. 4 a § offentlighets- och sek- retesslagen (2009:400).

Längsta tid som personuppgifter får behandlas

26 §

Paragrafen, som anger hur länge uppgifter får behandlas i tillträ- desförbudsregistret, motsvarar nuvarande 12 § lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang. Ändringarna är av samma slag som i 15 §. Paragrafen behandlas i avsnitt 16.3.

Föreskrifter

27 §

I paragrafen, där bestämmelser om föreskrifter samlas, upplyses om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om omfattningen av direktåtkomsten till dna- register och fingeravtrycks- och signalementsregister och om be- hörighet och säkerhet vid direktåtkomst (vilket motsvarar nuvaran- de 4 kap. 10 § tredje stycket och 17 § tredje stycket), tillgången till personuppgifter i penningtvättsregister och det internationella registret (vilket motsvarar nuvarande 4 kap. 18 § andra stycket och 21 § tredje stycket) och att personuppgifter i fingeravtrycks- och signalementsregister, penningtvättsregister, det internationella registret och tillträdesförbudsregistret får behandlas under längre

896

SOU 2017:74

Författningskommentar

tid för arkivändamål av allmänt intresse och vetenskapliga, statisti- ska eller historiska ändamål (vilket motsvarar nuvarande 4 kap. 16 §, 20 § andra stycket och 22 § andra stycket).

6 kap.

3 §

I paragrafen anges vad som gäller när personuppgifter som be- handlas för forensiska ändamål ska behandlas för nya ändamål. Paragrafen behandlas i avsnitt 7.8.3.

Förutsättningarna för behandling för nya ändamål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000). Möjligheten att behandla sådana uppgifter för nya ändamål utanför den forensiska verksamheten begränsas till vissa typer av uppgifter och till att det ska vara fråga om behandling i enskilda fall. Paragrafen ändras också till följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4.1.

4 §

Paragrafen, som är ny, anger förutsättningarna för att behandla biometriska och genetiska uppgifter i den forensiska verksamheten. Paragrafen behandlas i avsnitt 7.8.4. Biometriska respektive gene- tiska uppgifter definieras i 1 kap. 6 § brottsdatalagen (2018:000).

Biometriska och genetiska uppgifter får behandlas enligt de för- utsättningar som anges i 2 kap. 12 § brottsdatalagen. Det innebär att de bara får behandlas om det är absolut nödvändigt för ändamå- let med behandlingen. Om material har samlats in på en brottsplats eller annars tagits om hand inom ramen för en brottsutredning och materialet behöver analyseras forensiskt, får det anses vara absolut nödvändigt att behandla personuppgifterna i fråga.

897

Författningskommentar

SOU 2017:74

5 §

I paragrafen, som är ny och behandlas i avsnitt 7.8.4, görs undantag från sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000).

Undantaget innebär att det i forensisk verksamhet är tillåtet att göra sökningar i dna-register och fingeravtrycks- och signalements- register i syfte att få fram ett personurval grundat på uppgifter som rör hälsa eller biometriska eller genetiska uppgifter. Dna-registren och fingeravtrycksregister består till stor del av biometriska upp- gifter. Sökning på uppgifter i dessa register leder därmed till per- sonurval grundade på biometriska uppgifter. I fingeravtrycksregis- ter kan det t.ex. behöva göras sökningar för att få fram uppgifter om personer som saknar en eller flera fingrar, vilket förutom att vara en biometrisk uppgift också kan vara en uppgift om hälsa.

6 §

Paragrafen, som motsvarar nuvarande 5 kap. 7 §, anger den längsta tid under vilken uppgifter om en person får behandlas för forensi- ska uppslag. Någon ändring i fråga om hur länge personuppgifterna får behandlas görs inte. Paragrafen anpassas till den terminologi som används i lagen i övrigt.

7 §

Paragrafen, som motsvarar nuvarande 5 kap. 8 §, innehåller en sek- retessbrytande bestämmelse.

Första stycket ändras till följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4.1. I andra stycket görs endast en redaktionell ändring.

8 §

I paragrafen, som är ny, föreskrivs att personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Vilka omständigheter som kan påverka den bedöm- ningen framgår av kommentaren till 2 kap. 12 §. Frågan behandlas i avsnitt 5.6.4.

898

SOU 2017:74

Författningskommentar

9 §

I paragrafen, som är ny, upplyses om att regeringen kan meddela föreskrifter om begränsning av möjligheten att lämna ut person- uppgifter elektroniskt på annat sätt än genom direktåtkomst. Frå- gan behandlas i avsnitt 5.6.4.

10 §

I paragrafen, som motsvarar nuvarande 5 kap. 6 § andra stycket, upplyses om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter som begränsar behandlingen av personuppgifter vid digital arkivering.

7 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 §

Paragrafen, som är ny, reglerar vid vilka överträdelser sanktions- avgift får tas ut. Frågan behandlas i avsnitt 5.4.2.

I första stycket anges vid vilka överträdelser sanktionsavgift får tas ut av den personuppgiftsansvarige. Tillsynsmyndigheten avgör i det enskilda fallet om det är påkallat att ta ut sanktionsavgift, vilket framgår av formuleringen att avgift får tas ut. Uppräkningen av vilka överträdelser som kan föranleda sanktionsavgift är uttöm- mande. Sanktionsavgift kan tas ut för överträdelse av bestämmel- serna om tillåtna rättsliga grunder, särskilda upplysningar och längsta tid som personuppgifter får behandlas. Brottsdatalagens förfaranderegler när det gäller sanktionsavgifter tillämpas även vid överträdelser enligt denna lag. I brottsdatalagen med tillhörande förordning regleras också handläggningen av frågor om sanktions- avgift.

899

Författningskommentar

SOU 2017:74

Skadestånd

2 §

I paragrafen regleras den registrerades rätt till skadestånd för be- handling av personuppgifter i strid med regelverket. Paragrafen be- handlas i avsnitt 5.4.3.

Överklagande

3 §

I paragrafen, som behandlas i avsnitt 5.4.4, upplyses om att det i 7 kap. brottsdatalagen (2018:000) finns bestämmelser om överkla- gande och om vilka beslut som får överklagas.

Övergångsbestämmelser

Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 18.1 och 18.2.

Punkten 1 föreskriver när lagen ska träda i kraft.

Sanktionsavgift får enligt punkten 2 beslutas endast för överträ- delser som har begåtts efter ikraftträdandet.

Punkten 3 innebär att bestämmelsen om skadestånd i 48 § per- sonuppgiftslagen fortfarande ska gälla för skada som har orsakats före ikraftträdandet vid behandling av personuppgifter enligt lagen eller föreskrifter som har meddelats i anslutning till den.

900

SOU 2017:74

Författningskommentar

20.14Förslaget till lag om ändring i kustbevakningsdatalagen (2012:145)

Lagen renodlas så att den enbart omfattar personuppgiftsbehand- ling inom brottsdatalagens tillämpningsområde. Det innebär bl.a. att ett av kapitlen upphävs.

Lagen anpassas till bestämmelserna i brottsdatalagen, vilket leder till en kraftig omarbetning av den. Ytterligare tre kapitel upp- hävs och fyra nya införs. Bestämmelserna om föreskrifter, som nu är utspridda, samlas i slutet av varje kapitel. Dessa förändringar föranleder omnumreringar av vissa paragrafer.

Bestämmelserna om längsta tid för behandling av personupp- gifter samlas i ett särskilt kapitel. Som en anpassning till brotts- datalagen tillkommer ett nytt kapitel om administrativa sanktions- avgifter och rättsmedel.

De generella ändringarna i lagen behandlas i kapitel 4, 5 och 6 och övriga ändringar i kapitel 9.

Lagen får också ett nytt namn, Kustbevakningens brottsdatalag.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 §

I paragrafen, som behandlas i avsnitt 9.2, anges lagens tillämp- ningsområde.

Lagen gäller utöver brottsdatalagen när Kustbevakningen i egen- skap av behörig myndighet enligt den lagen behandlar personupp- gifter för vissa syften. Behörig myndighet, personuppgift och behandling av personuppgifter definieras i 1 kap. 6 § brottsdata- lagen (2018:000).

901

Författningskommentar

SOU 2017:74

Lagen gäller om syftet med personuppgiftsbehandlingen är att bekämpa eller lagföra brott eller upprätthålla allmän ordning och säkerhet. Vad det innebär utvecklas i kommentaren till 2 kap. 1 §.

2 §

Paragrafen, som motsvarar nuvarande 1 kap. 2 § tredje stycket, anger hur regleringen i lagen förhåller sig till regleringen i lagen (2017:496) om internationellt polisiärt samarbete. Frågan behand- las i avsnitt 17.3.

Personuppgiftsansvar

3 §

Paragrafen, som motsvarar nuvarande 2 kap. 4 §, reglerar person- uppgiftsansvaret. Personuppgiftsansvarig definieras i 1 kap. 6 § brottsdatalagen (2018:000). Personuppgiftsansvarigas skyldigheter regleras i 3 kap. brottsdatalagen.

Lagens tillämpning på uppgifter om juridiska personer

4 §

I paragrafen, som motsvarar nuvarande 1 kap. 3 §, anges vilka be- stämmelser i lagen och i brottsdatalagen som gäller för behandling av uppgifter om juridiska personer. Frågan behandlas i avsnitt 5.4.1.

Uppräkningen i paragrafen av bestämmelser som gäller vid be- handling av uppgifter om juridiska personer motsvarar nuvarande reglering.

902

SOU 2017:74

Författningskommentar

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 §

Paragrafen reglerar de tillåtna rättsliga grunderna för behandling av personuppgifter. Den behandlas i avsnitt 6.1, 6.3 och 9.3.1.

Paragrafen, som är anpassad till hur de rättsliga grunderna för behandling av personuppgifter anges i 2 kap. 1 § brottsdatalagen (2018:000), ersätter den bestämmelsen. Regleringen i 2 kap. 2 § brottsdatalagen ger myndigheten rättsligt stöd för att i vissa fall behandla personuppgifter för diarieföring eller för att utföra andra nödvändiga handläggningsuppgifter, trots brist på stöd i denna paragraf.

Kustbevakningen får enligt första stycket behandla personupp- gifter om det är nödvändigt för att utföra en arbetsuppgift i vissa särskilt angivna syften inom lagens tillämpningsområde. Bestäm- melsen bildar den yttre ramen för när behandling av personuppgif- ter är tillåten.

Enligt punkten 1 får personuppgifter behandlas i syfte att före- bygga, förhindra eller upptäcka brottslig verksamhet. Det är fram- för allt Kustbevakningens underrättelseverksamhet som avses. Med underrättelseverksamhet avses arbete med insamling, bearbetning och analys av information i syfte att förebygga, förhindra eller upp- täcka brottslig verksamhet när det ännu inte finns misstankar om att något konkret brott har begåtts (se prop. 2011/12:45 s. 203). Även behandling av överskottsinformation med stöd av 27 kap. 23 a § rättegångsbalken omfattas, om syftet är att förhindra brott. Personuppgiftsbehandling vid annan brottsförebyggande verksam- het omfattas också.

Enligt punkten 2 får personuppgifter behandlas i syfte att utreda eller lagföra brott. Att utreda brott innebär framför allt att genom- föra förundersökning enligt 23 kap. rättegångsbalken. Med brott avses konkreta brott, men det kan vara fråga om både brott som bevisligen har begåtts och brott som det enbart finns misstankar om. Misstankarna behöver inte vara riktade mot någon bestämd person. Även personuppgiftsbehandling inom ramen för den form av förenklat utredningsförfarande som regleras i 23 kap. 22 § rätte-

903

Författningskommentar

SOU 2017:74

gångsbalken och vid åtgärder som vidtas med stöd av 23 kap. 3 och 8 §§ rättegångsbalken omfattas.

Med lagföra brott avses att utfärda förelägganden av ordnings- bot.

Kustbevakningen får enligt punkten 3 behandla personuppgifter i syfte att upprätthålla allmän ordning och säkerhet. När en kustbe- vakningstjänsteman ingriper vid en konkret ordningsstörning, eller en potentiell sådan störning vid en specifik händelse, är det fråga om att upprätthålla allmän ordning och säkerhet. Detsamma gäller vid ingripande eller andra åtgärder för att avvärja brott. Det kan t.ex. vara fråga om åtgärder enligt 13 § polislagen (1984:387) eller enligt lagstiftningen om sjöfartsskydd eller hamnskydd.

Kustbevakningen får enligt punkten 4 behandla personuppgifter i syfte att fullgöra förpliktelser som följer av internationella åta- ganden. Behandling enligt denna punkt tar sikte på förpliktelser som syftar till att gagna utländsk brottsbekämpande verksamhet (se prop. 2011/12:45 s. 204).

I andra stycket anges att det ska vara fråga om en arbetsuppgift som framgår av en bindande unionsrättsakt eller av en lag, en för- ordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för en sådan uppgift. Motsvarande be- stämmelse finns i 2 kap. 1 § brottsdatalagen. Vad den innebär ut- vecklas i SOU 2017:29 s. 238 f.

2 §

I paragrafen, som behandlas i avsnitt 9.3.1, upplyses om att förut- sättningarna för att personuppgifter ska få behandlas för nya än- damål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000). Innan personuppgifter får behandlas för ett nytt ändamål inom eller utanför brottsdatalagens tillämpningsområde krävs det en prövning enligt någon av paragraferna. Vad prövningen innebär utvecklas i SOU 2017:29 s. 249 f. och avsnitt 6.4.3.

904

SOU 2017:74

Författningskommentar

Särskilda upplysningar

3 §

Känsliga personuppgifter

4 §

Undantaget gäller vid sökning i alla slags personuppgifter, dvs. i såväl personuppgifter som har gjorts gemensamt tillgängliga som personuppgifter som inte har det. Sökförbudet hindrar inte att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott eller uppgifter som beskriver en persons utseende används vid sökning, även om det skulle leda till ett personurval grundat på känsliga per- sonuppgifter. Att uppgifter om tillvägagångssätt vid brott får an- vändas vid sökning är nytt. Sådan sökning kan aktualiseras bl.a. vid vissa smugglingsbrott.

Med uppgifter som beskriver en persons utseende avses signa- lementsuppgifter som t.ex. kroppsbyggnad, ansiktsform, hår- och hudfärg, klädsel och fysiska kännetecken som födelsemärken, blindhet och tatueringar (se prop. 2011/12:45 s. 124). En sökning på ett fysiskt särdrag kan ge ett personurval grundat på uppgifter som rör hälsa.

I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana upp- gifter som sökningen resluterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 2 kap. 11 § brottsdata-

905

Författningskommentar

SOU 2017:74

lagen. Rätten att göra sökning enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna.

5 §

I paragrafen, som tillsammans med 4 § reglerar när det är tillåtet att använda känsliga personuppgifter vid sökning, görs det undantag från sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000). Paragra- fen behandlas i avsnitt 9.3.3.

Rätten att söka på känsliga personuppgifter gäller dock inte sök- ning på ras, politiska åsikter, medlemskap i fackförening, sexualliv eller sexuell läggning eller sökning i genetiska eller biometriska uppgifter. Sökningar som syftar till att få fram ett personurval grundat på sådana uppgifter är alltså inte tillåtna.

I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana uppgif- ter som sökningen resulterat i får prövas mot huvudregeln om be- handling av känsliga personuppgifter i 2 kap. 11 § brottsdatalagen. Rätten att göra sökning enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna.

Utlämnande av personuppgifter

6 §

Paragrafen innehåller sekretessbrytande bestämmelser om utläm- nande av personuppgifter till utländska myndigheter och mellan- folkliga organisationer. Den motsvarar nuvarande 3 kap. 6 §.

I första stycket görs endast en redaktionell ändring.

Av andra stycket framgår att personuppgifter får lämnas ut bara om mottagaren behöver dem för något av de syften som anges i 1 §.

906

SOU 2017:74

Författningskommentar

Det innebär att möjligheterna till utlämnande vidgas något, efter- som lagen även gäller vid upprätthållande av allmän ordning och säkerhet. När det gäller mottagare i tredjeland ska regleringen i 8 kap. 1 § brottsdatalagen (2018:000) också beaktas.

I tredje stycket görs endast en redaktionell ändring.

7 §

Paragrafen innehåller en bestämmelse som bryter viss sekretess som annars skulle ha gällt gentemot andra brottsbekämpande myn- digheter. Den motsvarar nuvarande 3 kap. 7 §.

Det tydliggörs att sekretessen bryts om den mottagande myn- digheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000). Ändringen, som är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, behandlas i avsnitt 4.4.1.

8 §

Paragrafen reglerar när personuppgifter får lämnas ut elektroniskt. I första stycket föreskrivs att personuppgifter får lämnas ut

elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Med sådant utlämnande avses bl.a. utlämnande genom e- post eller annan elektronisk överföring eller på ett usb-minne eller annat motsvarande medium. Frågan behandlas i avsnitt 5.6.4.

907

Författningskommentar SOU 2017:74

utlämnandet kan leda till integritetsrisker (jfr prop. 2014/15:148 s. 114). Bedömer myndigheten att det finns risk för att personupp- gifterna kan komma att missbrukas om de lämnas ut elektroniskt gäller sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400). De får då inte lämnas ut till följd av sekretess.

Det kan också finnas särskild anledning att iaktta försiktighet när det gäller utlämnande av bild- och ljudupptagningar (jfr prop. 2016/17:68 s. 51 f.).

Vid prövningen av om personuppgifter bör lämnas ut elektro- niskt bör givetvis även informationssäkerheten vägas in.

Elektroniskt utlämnande genom direktåtkomst regleras i andra stycket, som motsvarar nuvarande 2 kap. 9 §. Det är tillåtet bara i den utsträckning som anges i lagen.

Föreskrifter

9 §

I paragrafen upplyses om att regeringen kan meddela föreskrifter om att personuppgifter får lämnas ut även i andra fall än som anges i 6 och 7 §§ (vilket motsvarar nuvarande 3 kap. 8 § första stycket) och om begränsning av möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst, vilket behand- las i avsnitt 5.6.4.

3 kap.

1 §

Av paragrafen framgår att kapitlet innehåller bestämmelser om behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga.

908

SOU 2017:74

Författningskommentar

I första stycket anges vad kapitlet innehåller. Vidare anges vad som avses med uttrycket gemensamt tillgängliga uppgifter, vilket motsvarar nuvarande 1 kap. 4 §. Vad det innebär utvecklas i prop. 2011/12:145 s. 210 f.

2 §

I paragrafen, som motsvarar nuvarande 4 kap. 1 § och behandlas i avsnitt 9.4.2, anges vilka personuppgifter som får göras gemensamt tillgängliga. Regleringen anpassas till att uttrycket brottsbekämpan- de verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4.1.

I punkten 1 görs endast en redaktionell ändring.

I punkten 2 anpassas terminologin till den som används i lagen i övrigt.

Enligt punkten 3, som är ny, får personuppgifter som behandlas i syfte att upprätthålla allmän ordning och säkerhet göras gemen- samt tillgängliga. Det kan t.ex. vara fråga om uppgifter om personer som bedöms kunna utgöra ett hot mot allmän ordning och säker- het. Inför förväntade ordningsstörningar riktade mot sjötrafiken eller enskilda fartyg kan Kustbevakningen behöva göra uppgifter gemensamt tillgängliga om personer som vid tidigare tillfällen gjort sig skyldiga till ordningsstörningar.

Punkten 4 är oförändrad.

Punkten 5 motsvarar nuvarande punkten 3.

3 §

I paragrafen, som behandlas i avsnitt 5.3.10 och motsvarar nuva- rande 4 kap. 3 §, föreskrivs att uppgifter i underrättelseverksamhet som är gemensamt tillgängliga ska förses med särskilda upplys- ningar.

Enligt första stycket ska det framgå av uppgifter i underrättelse- verksamhet att en person inte är misstänkt för att utöva brottslig

909

Författningskommentar

SOU 2017:74

verksamhet. Det ska alltså gå att skilja mellan personer som är före- mål för myndighetens intresse på grund av inblandning i brottslig verksamhet och personer som inte är misstänkta för det. Att det ska framgå om en person är misstänkt för brott eller är ett brotts- offer, regleras i 2 kap. 9 § brottsdatalagen (2018:000).

Enligt andra stycket ska uppgifter om personer som kan antas ha samband med misstänkt brottslig verksamhet förses med upplys- ning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Det tydliggörs att kravet på särskild upplysning bara gäller uppgifter om en person som kan antas ha direkt samband med misstänkt brottslig verksamhet. Kravet på samband är lågt ställt. Så snart det finns något som stöder ett antagande om att en person har ett direkt samband med brottslig verksamhet och det är fråga om uppgifter som görs gemensamt tillgängliga ska det framgå på vilket sätt personen har anknytning till den brottsliga verksamhe- ten. Sambandet kan t.ex. bestå i att en person ofta träffar eller har annan kontakt med andra personer som är misstänkta för att utöva brottslig verksamhet eller ofta rör sig i miljöer där brottslighet förekommer, utan att ha naturliga skäl att befinna sig där. Upp- gifter om den som är anhörig till en person som kan antas ha sam- band med misstänkt brottslig verksamhet faller alltså utanför, utom i de fall där båda kan antas ha direkt samband med brottslig verk- samhet.

Det är bara uppgifter som rör en person som är misstänkt för att utöva eller komma att utöva brottslig verksamhet som behöver förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. De uppgifter som är av intresse är, förutom uppgifter om på vilket sätt personen är knuten till den brottsliga verksamheten, framför allt uppgifter som belyser brotts- lighetens art och omfattning. Uppgifter av det slaget kan behöva förses med särskilda upplysningar för att personens anknytning till brottsligheten ska kunna bedömas.

910

SOU 2017:74

Författningskommentar

4 §

Paragrafen, som behandlas i avsnitt 9.4.3 och motsvarar nuvarande 4 kap. 5 § första stycket, innehåller en allmän begränsning av vilka uppgifter som får tas fram vid sökning i gemensamt tillgängliga uppgifter på namn, personnummer, samordningsnummer eller lik- nande identitetsbeteckningar.

Genom ett tillägg tydliggörs att paragrafen endast gäller vid sök- ning i automatiserade behandlingssystem. Vad som avses med auto- matiserade behandlingssystem anges i SOU 2017:29 s. 306 f. Para- grafen ändras i övrigt endast redaktionellt.

5 §

Paragrafen, som behandlas i avsnitt 9.4.3 och motsvarar nuvarande 4 kap. 6 § första stycket, gör undantag från begränsningarna i 4 §.

Enligt första stycket gäller inga begränsningar vid sökning i en viss handling eller i ett visst ärende.

Enligt andra stycket gäller begränsningarna i 4 § inte vid vissa sökningar som utförs av särskilt angivna tjänstemän i syfte att bear- beta och analysera personuppgifter som har gjorts gemensamt till- gängliga i underrättelseverksamhet, om det endast är de tjänstemän som får göra sökningen som har tillgång till informationen.

6 §

I paragrafen, som motsvarar nuvarande 4 kap. 7 § första stycket, anges vilka myndigheter som får medges direktåtkomst till upp- gifter som har gjorts gemensamt tillgängliga och för vilka syften. Paragrafen ändras som en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4.1. Den ändras också redaktionellt.

7 §

I paragrafen, som motsvarar nuvarande 4 kap. 6 § tredje stycket, upplyses om att regeringen kan meddela föreskrifter om ytterligare undantag från bestämmelserna om sökning i 4 §.

911

Författningskommentar

SOU 2017:74

8 §

I paragrafen, där övriga bestämmelser om föreskrifter samlas, upp- lyses om att regeringen, eller den myndighet som regeringen be- stämmer, kan meddela föreskrifter om begränsning av tillgången till sådana uppgifter som avses i 4 § (vilket motsvarar nuvarande 4 kap. 5 § andra stycket), under vilka förutsättningar sökning får utföras med stöd av 5 § (vilket motsvarar nuvarande 4 kap. 6 § andra stycket) och omfattningen av direktåtkomsten och om behö- righet och säkerhet vid sådan åtkomst (vilket motsvarar nuvarande 4 kap. 7 § tredje stycket).

4 kap. Längsta tid som personuppgifter får behandlas

Allmän bestämmelse

1 §

De bestämmelser som anger hur länge personuppgifter får behand- las samlas i detta kapitel. Frågan behandlas i avsnitt 5.5.1.

I första stycket föreskrivs att bestämmelserna i kapitlet endast gäller för personuppgifter som behandlas automatiserat.

Andra stycket upplyser om att den grundläggande bestämmelsen om att personuppgifter inte får behandlas längre än vad som är nödvändigt med hänsyn till ändamålet med behandlingen finns i 2 kap. 17 § första stycket brottsdatalagen (2018:000). I övriga para- grafer i kapitlet anges hur länge vissa typer av personuppgifter får behandlas inom den ram som sätts av denna huvudregel. Oavsett vilken bedömning som görs av nyttan med behandlingen av en viss personuppgift får den dock inte behandlas längre än vad som anges i respektive paragraf.

912

SOU 2017:74

Författningskommentar

Personuppgifter som inte har gjorts gemensamt tillgängliga

2 §

I paragrafen, som motsvarar nuvarande 3 kap. 5 §, anges hur länge personuppgifter som inte har gjorts gemensamt tillgängliga får be- handlas. Regleringen behandlas i avsnitt 5.5.2. Någon ändring av hur länge sådana personuppgifter får behandlas görs inte.

I första stycket klargörs att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av personuppgifterna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att de ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i förevarande paragraf (jfr 11 §).

Andra stycket klargör att paragrafen inte ska tillämpas på ärenden om utredning av eller lagföring för brott.

Gemensamt tillgängliga uppgifter i ärenden om utredning av eller lagföring för brott

3 §

Paragrafen, som motsvarar nuvarande 4 kap. 9 §, reglerar hur länge personuppgifter i en anmälan om brott får behandlas. Terminologin anpassas till den som används i lagen i övrigt och till att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behand- las i avsnitt 4.4.1.

Enligt paragrafen inskränks enbart behandlingen av personupp- gifter för de ändamål som regleras i lagen, vilket innebär att upp- gifterna får fortsätta att behandlas automatiserat för bl.a. arkiv- ändamål efter de tidpunkter som anges i paragrafen. Frågan be- handlas i avsnitt 5.5.3.

913

Författningskommentar

SOU 2017:74

4 §

Paragrafen, som motsvarar nuvarande 4 kap. 10 §, reglerar hur länge personuppgifter i förundersökningar och andra utredningar som handläggs enligt bestämmelserna i 23 kap. rättegångsbalken får be- handlas.

Enligt paragrafen inskränks enbart behandlingen av personupp- gifter för de ändamål som regleras i lagen, vilket innebär att uppgif- terna får fortsätta att behandlas automatiserat bl.a. för arkivända- mål efter de tidpunkter som anges i paragrafen. Frågan behandlas i avsnitt 5.5.3.

Terminologin i första och andra styckena anpassas till den som används i lagen i övrigt och till att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4.1. Vissa redaktionella ändringar görs också.

Tredje stycket är oförändrat.

5 §

Paragrafen, som motsvarar nuvarande 4 kap. 12 §, reglerar vad som gäller i fråga om personuppgifter som rör någon som har varit misstänkt i en förundersökning som har lagts ner eller där åtal har lagts ner eller frikännande dom har meddelats och fått laga kraft. I paragrafen görs endast en redaktionell ändring.

Övriga gemensamt tillgängliga uppgifter

6 §

I paragrafen anges att det i de följande paragraferna finns bestäm- melser om hur länge vissa typer av gemensamt tillgängliga uppgif- ter, som inte förekommer i ärenden om utredning av eller lagföring för brott, får behandlas. Det klargörs att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Ut- gångspunkten är alltså att all automatiserad behandling av person- uppgifterna ska upphöra när den tid som anges i 7–9 §§ har löpt ut, vilket innebär att uppgiferna ska tas bort. Endast om det har med- delats uttryckliga föreskrifter som innebär att uppgifterna i fråga

914

SOU 2017:74

Författningskommentar

får behandlas för arkivändamål av allmänt intresse eller för veten- skapliga, statistiska eller historiska ändamål får de behandlas auto- matiserat längre än vad som anges i de följande paragraferna (jfr 11 §). Frågan behandlas i avsnitt 5.5.2.

7 §

Paragrafen, som motsvarar nuvarande 4 kap. 13 § andra stycket, reglerar hur länge personuppgifter får behandlas i underrättelse- verksamhet. Någon ändring görs inte i fråga om hur länge person- uppgifterna får behandlas. Det tydliggörs att fristen för hur länge personuppgifter får behandlas endast ska påverkas av om det görs en ny registrering beträffande personens anknytning till brottslig verksamhet. Andra uppgifter som tillförs, t.ex. uppgifter om änd- rade bostadsförhållanden eller annat som inte har betydelse för an- knytningen till den brottsliga verksamheten, påverkar alltså inte hur länge personuppgifterna får behandlas. Frågan behandlas i av- snitt 5.5.4.

Paragrafen anpassas också till den terminologi som används i lagen i övrigt.

8 §

Paragrafen, som motsvarar nuvarande 4 kap. 13 § fjärde stycket, reglerar hur länge personuppgifter som behandlas i syfte att upp- rätthålla allmän ordning och säkerhet och personuppgifter som har rapporterats till Kustbevakningens ledningscentraler får behandlas.

Den frist som gäller för hur länge uppgifter som har rappor- terats till Kustbevakningens ledningscentraler får behandlas, som motsvarar nuvarande 4 kap. 13 § tredje stycket, ändras inte. Samma frist gäller för personuppgifter som har gjorts gemensamt tillgäng- liga i syfte att upprätthålla allmän ordning och säkerhet, vilket be- handlas i avsnitt 9.4.2. Sådana personuppgifter får inte behandlas längre än ett år efter utgången av det kalenderår då de behandlades automatiserat första gången.

Paragrafen anpassas till den terminologi som används i lagen i övrigt.

915

Författningskommentar

SOU 2017:74

9 §

Paragrafen, som motsvarar nuvarande 4 kap. 13 § tredje stycket, reglerar hur länge personuppgifter som behandlas i syfte att full- göra internationella åtaganden får behandlas. Paragrafen anpassas till den terminologi som används i lagen i övrigt.

Föreskrifter

10 §

I paragrafen upplyses om att regeringen kan meddela föreskrifter om att vissa kategorier av personuppgifter får fortsätta att behand- las för ändamål inom lagens tillämpningsområde under längre tid än vad som anges i 3, 4 och 7–9 §§ (vilket motsvarar nuvarande 4 kap. 11 § och 14 § första stycket) och om begränsning av behandlingen av personuppgifter för ändamål inom lagens tillämpningsområde vid digital arkivering (vilket motsvarar nuvarande 3 kap. 4 § tredje stycket). Frågan behandlas i avsnitt 5.5.3. Paragrafen anpassas till den terminologi som används i lagen i övrigt.

11 §

I paragrafen, som motsvarar nuvarande 3 kap. 5 § tredje stycket och 4 kap. 14 § andra stycket, upplyses om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om att personuppgifter, trots att den tillåtna tiden för behandling har löpt ut, får fortsätta att behandlas för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål. Frå- gan behandlas i avsnitt 5.5.2. Paragrafen anpassas till den termino- logi som används i lagen i övrigt och ändras också redaktionellt.

916

SOU 2017:74

Författningskommentar

5 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 §

Paragrafen, som är ny, reglerar vid vilka överträdelser sanktions- avgift får tas ut. Frågan behandlas i avsnitt 5.4.2.

I första stycket anges vid vilka överträdelser sanktionsavgift får tas ut av den personuppgiftsansvarige. Tillsynsmyndigheten avgör i det enskilda fallet om det är påkallat att ta ut sanktionsavgift, vilket framgår av formuleringen att avgift får tas ut. Uppräkningen av vilka överträdelser som kan föranleda sanktionsavgift är uttöm- mande. Sanktionsavgift kan tas ut för överträdelse av bestämmel- serna om tillåtna rättsliga grunder, särskilda upplysningar och längsta tid som personuppgifter får behandlas. Brottsdatalagens förfaranderegler när det gäller sanktionsavgift tillämpas även vid överträdelser enligt denna lag. I brottsdatalagen med tillhörande förordning regleras också handläggningen av frågor om sanktions- avgift.

Skadestånd

2 §

I paragrafen regleras den registrerades rätt till skadestånd för be- handling av personuppgifter i strid med regelverket. Paragrafen be- handlas i avsnitt 5.4.3.

917

Författningskommentar

SOU 2017:74

ideell skada som består i att den enskildes integritet kränkts genom behandlingen. Någon möjlighet till jämkning av skadeståndet finns inte.

Överklagande

3 §

I paragrafen, som behandlas i avsnitt 5.4.4, upplyses om att det i 7 kap. brottsdatalagen (2018:000) finns bestämmelser om överkla- gande och om vilka beslut som får överklagas.

Övergångsbestämmelser

Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 18.1 och 18.2.

Punkten 1 föreskriver när lagen ska träda i kraft.

Sanktionsavgift får enligt punkten 2 beslutas endast för överträ- delser som har begåtts efter ikraftträdandet.

20.15Förslaget till lag om ändring i lagen (2014:400) om Polismyndighetens elimineringsdatabas

1 §

Paragrafen reglerar Polismyndighetens rätt att föra register över dna-profiler.

I första och andra styckena görs endast redaktionella ändringar.

I tredje stycket ändras en hänvisning till en lag som byter namn, vilket behandlas i avsnitt 7.2.1.

918

SOU 2017:74

Författningskommentar

2 §

Paragrafen reglerar förhållandet till annan personuppgiftsreglering. I paragrafen, som behandlas i avsnitt 17.4, föreskrivs att lagen gäller utöver brottsdatalagen (2018:000). Vad det innebär utvecklas i kommentaren till 1 kap. 1 § polisens brottsdatalag (2010:361).

4 §

Av paragrafen framgår vilka jämförelser som får göras med dna- profiler i elimineringsdatabasen.

I första och andra styckena ändras hänvisningar till en lag som byter namn, vilket behandlas i avsnitt 7.2.1. Vidare görs redaktio- nella ändringar.

I tredje stycket görs endast redaktionella ändringar.

11 §

Paragrafen reglerar hur länge uppgifter får behandlas i eliminerings- databasen.

I första stycket, som är nytt, klargörs att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Det innebär att all automatiserad behandling av personuppgifterna ska upphöra när de tider som anges i paragrafen har löpt ut.

Ändringarna i andra–femte styckena består enbart i anpassningar till brottsdatalagen (2018:000) och den terminologi som används i den lagen. Ändringarna behandlas i avsnitt 17.4.

12 §

Paragrafen, som behandlas i avsnitt 17.4, hänvisar till bestämmelsen om skadestånd 7 kap. 1 § brottsdatalagen (2018:000), som ska till- lämpas på motsvarande sätt när det har förekommit felaktig be- handling av personuppgifter enligt förevarande lag. Vad hänvis- ningen innebär utvecklas i kommentaren till 7 kap. 2 § polisens brottsdatalag (2010:361).

919

Författningskommentar

SOU 2017:74

20.16Förslaget till lag om ändring i lagen (2015:51) om register över tillträdesförbud vid idrottsarrangemang

Bestämmelserna om Polismyndighetens behandling av personupp- gifter flyttas, av de skäl som anges i avsnitt 16.2, till polisens brottsdatalag (2010:361). Till följd av det upphävs ett flertal para- grafer i lagen och de återstående paragraferna numreras om och ändras redaktionellt. Lagen ges också nytt namn.

Dataskyddsförordningen och lagen med kompletterande be- stämmelser till EU:s dataskyddsförordning gäller för idrottsorga- nisationernas behandling av personuppgifter. Lagen anger, tillsam- mans med regleringen i lagen (2005:321) om tillträdesförbud vid idrottsarrangemang, den rättsliga grunden för att idrottsorganisa- tioner får behandla personuppgifter från tillträdesförbudsregistret.

1 §

I paragrafen anges syftet med lagen. Regleringen omfattar numera enbart idrottsorganisationernas behandling av personuppgifter för att upprätthålla gällande tillträdesförbud. Det förtydligas att be- handlingen rör tillträdesförbud som avses i 1 § lagen (2005:321) om tillträdesförbud vid idrottsarrangemang.

Ändringarna behandlas i avsnitt 16.3 och 16.4.

2 §

Paragrafen, som behandlas i avsnitt 16.3 och 16.4 och motsvarar nuvarande 3 §, anger lagens tillämpningsområde.

I första stycket regleras numera endast idrottsorganisationernas behandling av personuppgifter.

I andra stycket görs enbart redaktionella ändringar.

920

SOU 2017:74

Författningskommentar

3 §

Paragrafen, som är ny och behandlas i avsnitt 16.4, anger hur lagen förhåller sig till annan reglering om personuppgiftsbehandling.

Av paragrafen framgår att dataskyddsförordningen gäller vid idrottsorganisationernas behandling av personuppgifter. Lagen med kompletterande bestämmelser till EU:s dataskyddsförordning gäl- ler om det inte finns avvikande bestämmelser i denna lag eller före- skrifter som har meddelats i anslutning till den. Det framgår av hänvisningen i paragrafen.

4 §

I paragrafen, som motsvarar nuvarande 5 § andra stycket och be- handlas i avsnitt 16.3 och 16.4, regleras numera endast idrottsorga- nisationernas personuppgiftsansvar.

6 §

Paragrafen, som motsvarar nuvarande 11 §, reglerar tillgången till personuppgifter. Regleringen i första stycket omfattar numera en- bart idrottsorganisationernas behandling av personuppgifter. Änd- ringen behandlas i avsnitt 16.3 och 16.4. Andra stycket ändras inte.

7 §

Paragrafen, som motsvarar nuvarande 13 §, reglerar hur länge en idrottsorganisation får behandla personuppgifter som rör tillträdes- förbud. I paragrafen, som behandlas i avsnitt 16.4, tydliggörs när behandlingen av personuppgifter senast måste upphöra.

Övergångsbestämmelser

Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 18.1 och 18.3.

Punkten 1 föreskriver när lagen ska träda i kraft.

921

Författningskommentar

SOU 2017:74

Enligt punkten 2 ska vissa äldre bestämmelser fortsätta att gälla fram till dess att dataskyddsförordningen börjar tillämpas.

Enligt punkten 3 ska 3 §, som reglerar förhållandet till data- skyddsförordningen med kompletterande lagstiftning, inte tilläm- pas förrän den 25 maj 2018.

20.17Förslaget till lag om ändring i åklagardatalagen (2015:433)

Lagen renodlas så att den enbart omfattar personuppgiftsbehand- ling inom brottsdatalagens tillämpningsområde. Det leder bara till en mindre ändring.

Lagen anpassas till bestämmelserna i brottsdatalagen, vilket leder till en kraftig omarbetning av den och att två kapitel upphävs och ersätts med nya. Även i de övriga kapitlen upphävs vissa para- grafer, samtidigt som nya paragrafer tillkommer. Bestämmelserna om föreskrifter, som nu är utspridda, samlas i slutet av varje kapi- tel. Dessa förändringar föranleder bl.a. omnumreringar av vissa paragrafer.

De generella ändringarna i lagen behandlas i kapitel 4, 5 och 6 och övriga ändringar i kapitel 11.

Lagen får också ett nytt namn, åklagarväsendets brottsdatalag.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 §

I paragrafen, som behandlas i avsnitt 11.2 anges lagens tillämp- ningsområde.

Lagen gäller enligt första stycket utöver brottsdatalagen när Åkla- garmyndigheten eller Ekobrottsmyndigheten, som tillsammans ut- gör åklagarväsendet, i egenskap av behörig myndighet enligt brotts-

922

SOU 2017:74

Författningskommentar

datalagen behandlar personuppgifter i åklagarverksamhet för vissa syften. Behörig myndighet, personuppgift och behandling av per- sonuppgifter definieras i 1 kap. 6 § brottsdatalagen (2018:000).

Lagen gäller när Åklagarmyndigheten eller Ekobrottsmyndig- heten behandlar personuppgifter om syftet med behandlingen är att bekämpa eller lagföra brott eller handlägga frågor om ändring eller verkställighet av straffrättsliga påföljder eller upprätthållande av all- män ordning och säkerhet. Vad det innebär utvecklas i kommen- taren till 2 kap. 1 §.

En förutsättning för att lagen ska gälla är att personuppgiftsbe- handlingen utförs i åklagarverksamhet. Med det avses behandling av personuppgifter i samband med att åklagare fullgör åklagarupp- gifter t.ex. som förundersökningsledare eller fattar beslut i fråga om lagföring. Vad det innebär utvecklas i avsnitt 7.2.1 och kom- mentaren till 2 kap. 1 §.

För Ekobrottsmyndighetens del gäller lagen när myndigheten behandlar personuppgifter i sin åklagarverksamhet i syfte att utreda eller lagföra brott eller handlägga frågor om ändring eller verkstäl- lighet av straffrättsliga påföljder. Om Ekobrottsmyndigheten där- emot behandlar personuppgifter i syfte att utreda brott och det inte är fråga om åklagarverksamhet gäller i stället polisens brottsdatalag.

Lagen gäller inte när åklagaruppgifter utförs för andra syften än de som anges i paragrafen, t.ex. när åklagare fattar beslut enligt lagen (2011:111) om förstörande av vissa hälsofarliga missbruks- substanser (se SOU 2017:29 s. 232 f.).

923

Författningskommentar

SOU 2017:74

I andra stycket upplyses om att det även finns bestämmelser om personuppgiftsbehandling vid Ekobrottsmyndigheten i polisens brottsdatalag.

Personuppgiftsansvar

2 §

Paragrafen, som motsvarar nuvarande 2 kap. 3 §, reglerar person- uppgiftsansvaret. Personuppgiftsansvarig definieras i 1 kap. 6 § brottsdatalagen (2018:000). Personuppgiftsansvarigas skyldigheter regleras i 3 kap. brottsdatalagen.

Lagens tillämpning på uppgifter om juridiska personer

3 §

I paragrafen anges vilka bestämmelser i lagen och i brottsdatalagen (2018:000) som gäller för behandling av uppgifter om juridiska personer. Paragrafen behandlas i avsnitt 5.4.1.

Uppräkningen i paragrafen av bestämmelser som gäller vid be- handling av uppgifter om juridiska personer motsvarar nuvarande 1 kap. 4 §.

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 §

Paragrafen reglerar de tillåtna rättsliga grunderna för behandling av personuppgifter. Den behandlas i avsnitt 6.1, 6.3 och 11.3.1.

Paragrafen, som är anpassad till hur de rättsliga grunderna för behandling av personuppgifter är utformade i 2 kap. 1 § brotts- datalagen (2018:000), ersätter den bestämmelsen. Regleringen i 2 kap. 2 § brottsdatalagen ger myndigheterna rättsligt stöd för att i vissa fall behandla personuppgifter enbart för diarieföring och nöd- vändig handläggning, trots brist på stöd i denna paragraf.

924

SOU 2017:74

Författningskommentar

Åklagarväsendet får enligt första stycket behandla personuppgif- ter om det är nödvändigt för att utföra en arbetsuppgift i vissa sär- skilt angivna syften inom lagens tillämpningsområde. Bestämmel- sen bildar den yttre ramen för när behandling av personuppgifter är tillåten.

Enligt punkten 1 får personuppgifter behandlas i syfte att före- bygga eller förhindra brottslig verksamhet. Med förebygga brotts- lig verksamhet avses Ekobrottsmyndighetens brottsförebyggande arbete. I det ingår att lämna information om ekonomisk brottslig- het till andra myndigheter, kommuner, näringsliv, organisationer och allmänheten. Det brottsförebyggande arbete som utförs vid Ekobrottsmyndigheten är inte något underrättelsearbete, utan ett strategiskt förebyggande arbete där personuppgifter normalt inte förekommer, men det kan inte uteslutas (se prop. 2014/15:63

s.64). Underrättelseverksamheten regleras i polisens brottsdatalag. Med förhindra brottslig verksamhet avses bl.a. de uppgifter som

åklagare vid Åklagarmyndigheten utför enligt lagen (2007:979) om åtgärder för att förhindra vissa särskilt allvarliga brott, t.ex. att an- söka om tillstånd till hemlig avlyssning av elektronisk kommuni- kation och hemlig övervakning av elektronisk kommunikation. Även behandling av överskottsinformation med stöd av 27 kap. 23 a § rättegångsbalken omfattas, om syftet är att förhindra brott.

Åklagarväsendet får enligt punkten 2 behandla personuppgifter i syfte att utreda eller lagföra brott, vilket utgör huvuddelen av verk- samheten. Med utreda brott avses framför allt att besluta om för- undersökningsbegränsning och leda förundersökning enligt 23 kap. rättegångsbalken. Termen brott avser konkreta brott, men det kan vara fråga om både brott som bevisligen har begåtts och brott som det enbart finns misstankar om. Misstankarna behöver inte vara riktade mot någon bestämd person. Personuppgiftsbehandling inom ramen för den form av förenklat utredningsförfarande som regleras i 23 kap. 22 § rättegångsbalken omfattas också. Den gäller även för andra utredningar som genomförs enligt bestämmelserna i 23 kap. rättegångsbalken. Vad bestämmelsen innebär utvecklas i prop. 2014/15:63 s. 140.

Med lagföra brott avses främst beslut i fråga om åtal eller annan talan vid domstol, t.ex. särskild förverkandetalan, och att utfärda strafföreläggande (se prop. 2014/15:63 s. 140). Beslut i fråga om åtalsunderlåtelse och om särskild åtalsprövning är andra exempel.

925

Författningskommentar

SOU 2017:74

Hit hör också att föra talan om eller vara motpart i fråga om res- ning och andra extraordinära rättsmedel.

Enligt punkten 3 får åklagarväsendet behandla personuppgifter i syfte att handlägga frågor om ändring eller verkställighet av straff- rättsliga påföljder. Till punkten hör ärenden om ändring eller undanröjande av påföljd. Exempel på handläggning av frågor om verkställighet av straffrättsliga påföljder är yttranden om rättspsy- kiatrisk vård eller utfärdande av arresteringsorder som rör straff- verkställighet. Frågor om resning kan, om de inte hör under punk- ten 2, också höra hit.

Personuppgifter får enligt punkten 4 också behandlas i syfte att handlägga frågor som rör upprätthållande av allmän ordning och säkerhet. Punkten är tillämplig när åklagare utreder och prövar frågor om tillträdesförbud vid idrottsarrangemang.

Åklagarväsendet får enligt punkten 5 behandla personuppgifter i syfte att fullgöra förpliktelser som följer av internationella åtagan- den. Den tar sikte på förpliktelser i syfte att gagna utländsk brotts- bekämpande verksamhet. Sverige har exempelvis åtaganden enligt ett flertal konventioner där åklagare har vissa uppgifter (se prop. 2014/15:63 s. 140 f.). Handläggning av frågor som rör internatio- nell rättslig hjälp i brottmål kan som regel hänföras till punkterna 2 eller 3 men ligger i övrigt under denna punkt.

2 §

I paragrafen, som behandlas i avsnitt 11.3.1, upplyses om att förut- sättningarna för att personuppgifter ska få behandlas för nya än- damål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000). Innan personuppgifter får behandlas för ett nytt ändamål inom eller utanför brottsdatalagens tillämpningsområde krävs det en prövning enligt någon av paragraferna. Vad prövningen innebär ut- vecklas i SOU 2017:29 s. 249 f. och avsnitt 6.4.3.

926

SOU 2017:74

Författningskommentar

Särskilda upplysningar

3 §

I paragrafen, som behandlas i avsnitt 5.3.10, görs det undantag från bestämmelserna om särskilda upplysningar i 2 kap. 3 § andra stycket, 9 och 10 §§ brottsdatalagen (2018:000). Endast person- uppgifter som har gjorts gemensamt tillgängliga med stöd av 3 kap. 2 § ska i vissa fall förses med särskilda upplysningar. Det innebär att när personuppgifter behandlas av bara ett fåtal personer behöver särskilda upplysningar inte lämnas. Eftersom åklagare normalt bi- träds av polisen vid förundersökningar och samma reglering gäller för polisen, framgår de upplysningar som ska lämnas enligt paragra- fen normalt av sammanhanget och någon särskilt upplysning be- hövs i så fall inte heller när det gäller uppgifter som har gjorts gemensamt tillgängliga.

Känsliga personuppgifter

4 §

I paragrafen, som reglerar när det är tillåtet att använda känsliga personuppgifter vid sökning, görs det undantag från det generella sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000). Paragrafen behandlas i avsnitt 11.3.3.

Undantaget gäller vid sökning i alla slags personuppgifter, dvs. både personuppgifter som har gjorts gemensamt tillgängliga och personuppgifter som inte har det. Sökförbudet hindrar inte att brottsrubriceringar eller uppgifter som beskriver en persons ut- seende får användas vid sökning, även om det skulle leda till ett personurval grundat på känsliga personuppgifter. Med uppgifter som beskriver en persons utseende avses signalementsuppgifter om t.ex. kroppsbyggnad, ansiktsform, hår- och hudfärg, klädsel och fysiska kännetecken som födelsemärken, blindhet och tatueringar (jfr prop. 2011/12:45 s. 124). Sökning på sådana uppgifter kan resultera i personurval grundat på uppgifter om hälsa. Sökning på vissa sexualbrott kan resultera i ett personurval grundat på sexualliv eller sexuell läggning. En sökning på påföljder för vissa typer av brott kan ge ett urval grundat på uppgifter om hälsa.

927

Författningskommentar

SOU 2017:74

I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana upp- gifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 2 kap. 11 § brottsdata- lagen. Rätten att göra sökning enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna.

Utlämnande av personuppgifter

5 §

Paragrafen innehåller sekretessbrytande bestämmelser om utläm- nande av personuppgifter till utländska myndigheter och mellan- folkliga organisationer. Den motsvarar nuvarande 2 kap. 13 §.

Första stycket ändras endast redaktionellt.

Ändringen i andra stycket är en följd av att uttrycket brottsbe- kämpande verksamhet utmönstras ur lagen, vilket behandlas i av- snitt 4.4.1. Sekretessen bryts och personuppgifter får lämnas ut om mottagaren behöver dem för något av de syften som räknas upp i 1 §. Det innebär att möjligheterna till utlämnande vidgas något. När det gäller mottagare i tredjeland ska regleringen i 8 kap. 1 § brottsdatalagen (2018:000) också beaktas.

I tredje stycket görs endast en redaktionell ändring.

6 §

Paragrafen innehåller en bestämmelse som bryter viss sekretess som annars skulle ha gällt gentemot andra brottsbekämpande myn- digheter. Den motsvarar nuvarande 2 kap. 14 §.

Det tydliggörs att sekretessen bryts om den mottagande myn- digheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000). Ändringen är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vil- ket behandlas i avsnitt 4.4.1.

928

SOU 2017:74

Författningskommentar

7 §

Paragrafen reglerar när personuppgifter får lämnas ut elektroniskt. I första stycket föreskrivs att personuppgifter får lämnas ut

Frågan är särskilt svårbedömd när uppgifter ska lämnas ut till enskilda och det på grund av uppgifternas art, struktur, antal eller någon annan särskild omständighet finns anledning att befara att utlämnandet kan leda till integritetsrisker (jfr prop. 2014/15:148 s. 114). Bedömer den utlämnande myndigheten att det finns risk för att personuppgifterna kan komma att missbrukas om de lämnas ut elektroniskt gäller sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400). De får då inte lämnas ut till följd av sekretess.

Det kan också finnas särskild anledning att iaktta försiktighet när det gäller utlämnande av bild- och ljudupptagningar (jfr prop. 2016/17:68 s. 51 f.).

Vid prövningen av om personuppgifter bör lämnas ut elektro- niskt bör givetvis även informationssäkerheten vägas in.

Om någon begär att få tillgång till en allmän handling med stöd av tryckfrihetsförordningen får myndigheten inte efterforska syftet med begäran. Det kan ha betydelse för möjligheten att få underlag för att bedöma om det i ett enskilt fall är lämpligt att lämna ut en handling med personuppgifter elektroniskt (se JO dnr 4171-2011).

929

Författningskommentar

SOU 2017:74

Elektroniskt utlämnande genom direktåtkomst regleras i andra stycket, som motsvarar nuvarande 2 kap. 17 §. Det är tillåtet bara i den utsträckning som anges i lagen.

Föreskrifter

8 §

I paragrafen upplyses om att regeringen kan meddela föreskrifter om utlämnande av personuppgifter. Det gäller föreskrifter om dels att personuppgifter får lämnas ut även i andra fall än som anges i 5 och 6 §§ (vilket motsvarar nuvarande 2 kap. 15 § första stycket), dels begränsning av möjligheten att lämna ut personuppgifter elek- troniskt på annat sätt än genom direktåtkomst, vilket behandlas i avsnitt 5.6.4.

3 kap. Gemensamt tillgängliga uppgifter

1 §

Av paragrafen framgår att kapitlet innehåller särskilda bestämmel- ser för behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga. Vad som avses med att uppgifter görs gemensamt tillgängliga utvecklas i prop. 2014/15:63 s. 151 f.

I första stycket ändras regleringen på grund av att lagen endast omfattar åklagarverksamhet inom brottsdatalagens tillämpnings- område, vilket behandlas i avsnitt 11.2.

2 §

I paragrafen anges vilka personuppgifter som får göras gemensamt tillgängliga. Regleringen anpassas till att lagen har ett något annor- lunda utformat tillämpningsområde än tidigare.

930

SOU 2017:74

Författningskommentar

3 §

Paragrafen, som behandlas i avsnitt 11.4, innehåller en allmän be- gränsning av vilka uppgifter som får tas fram vid sökning i gemen- samt tillgängliga uppgifter på namn, personnummer, samordnings- nummer och liknande identitetsbeteckningar.

Genom ett tillägg tydliggörs det att paragrafen endast gäller vid sökning i automatiserade behandlingssystem. Vad som avses med automatiserade behandlingssystem anges i SOU 2017:29 s. 306 f.

Punkten 1, som är ny och behandlas i avsnitt 11.4, innebär att uppgifter om att någon är anmäld för brott får tas fram vid sök- ning. Punkterna 2–9 ändras endast redaktionellt.

4 §

I paragrafen görs undantag från begränsningarna i 3 §. Den ändras enbart redaktionellt.

5 §

Paragrafen innehåller en uppräkning av vilka myndigheter som får medges direktåtkomst till uppgifter som har gjorts gemensamt till- gängliga och för vilka syften. Ändringen är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behand- las i avsnitt 4.4.1. Den ändras också redaktionellt.

6 §

I paragrafen upplyses om att regeringen kan meddela föreskrifter om ytterligare undantag från bestämmelserna om sökning i 3 §.

7 §

I paragrafen, där kapitlets övriga bestämmelser om föreskrifter samlas, upplyses om att regeringen, eller den myndighet som rege- ringen bestämmer, kan meddela föreskrifter om gemensamt till- gängliga uppgifter (vilket motsvarar nuvarande 3 kap. 2 § andra

931

Författningskommentar

SOU 2017:74

stycket) och omfattningen av direktåtkomsten och om behörighet och säkerhet vid sådan åtkomst (vilket motsvarar nuvarande 3 kap. 8 § tredje stycket).

4 kap. Längsta tid som personuppgifter får behandlas

Allmän bestämmelse

1 §

De bestämmelser som anger hur länge personuppgifter får behand- las samlas i detta kapitel. Frågan behandlas i avsnitt 5.5.1.

I första stycket föreskrivs att bestämmelserna i kapitlet endast gäller personuppgifter som behandlas automatiserat.

Andra stycket upplyser om att den grundläggande bestämmelsen om att personuppgifter inte får behandlas längre än vad som är nödvändigt med hänsyn till ändamålet med behandlingen finns i 2 kap. 17 § första stycket brottsdatalagen (2018:000). I övriga para- grafer i kapitlet anges hur länge vissa typer av personuppgifter får behandlas inom den ram som sätts av denna huvudregel. Oavsett vilken bedömning som görs av nyttan med behandlingen av en viss personuppgift får den dock inte behandlas längre än vad som anges i respektive paragraf.

Personuppgifter i ärenden

2 §

Paragrafen, som motsvarar nuvarande 2 kap. 10 § andra stycket och behandlas i avsnitt 5.5.3, reglerar hur länge personuppgifter i ett ärende får behandlas. Någon ändring av hur länge sådana person- uppgifter får behandlas görs inte. Terminologin anpassas till den som används i lagen i övrigt. Vidare görs redaktionella ändringar.

932

SOU 2017:74

Författningskommentar

3 §

Paragrafen, som motsvarar nuvarande 3 kap. 7 §, reglerar vad som gäller i fråga om personuppgifter när förundersökning inte har in- letts eller har lagts ner eller där åtal har lagts ner eller frikännande dom har meddelats och fått laga kraft. Terminologin anpassas till den som används i lagen i övrigt. Vidare görs redaktionella änd- ringar.

Övriga personuppgifter

4 §

Paragrafen, som motsvarar nuvarande 2 kap. 10 § tredje stycket och behandlas i avsnitt 5.5.2, reglerar hur länge personuppgifter som inte kan hänföras till ett ärende får behandlas. Någon ändring av hur länge personuppgifter får behandlas görs inte. Terminologin anpassas till den som används i lagen i övrigt och vissa redaktionella ändringar görs.

Det klargör att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av personuppgifterna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att uppgifterna ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna får behandlas för arkiv- ändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i denna paragraf (jfr 5 §).

933

Författningskommentar

SOU 2017:74

Föreskrifter

5 §

I paragrafen, som motsvarar nuvarande 2 kap. 11 §, upplyses om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om att uppgifter i vissa ärendetyper eller vissa kategorier av personuppgifter får fortsätta att behandlas för ända- mål inom lagens tillämpningsområde under längre tid än vad som anges i 2 §, om att personuppgifter som inte kan hänföras till ett ärende, trots att den tillåtna tiden för behandling har löpt ut, får fortsätta att behandlas för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål och om begräns- ning av behandlingen av personuppgifter för ändamål inom lagens tillämpningsområde vid digital arkivering. Frågorna behandlas i av- snitt 5.5.2 och 5.5.3.

5 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 §

Paragrafen, som är ny, reglerar vid vilka överträdelser sanktionsav- gift får tas ut. Frågan behandlas i avsnitt 5.4.2.

I första stycket anges vid vilka överträdelser sanktionsavgift får tas ut av den personuppgiftsansvarige. Tillsynsmyndigheten avgör i det enskilda fallet om det är påkallat att ta ut sanktionsavgift, vilket framgår av formuleringen att avgift får tas ut. Uppräkningen av vilka överträdelser som kan föranleda sanktionsavgift är uttöm- mande. Sanktionsavgift kan tas ut för överträdelse av bestämmel- serna om tillåtna rättsliga grunder och längsta tid som personupp- gifter får behandlas. Brottsdatalagens förfaranderegler när det gäller sanktionsavgift tillämpas även vid överträdelser enligt denna lag. I brottsdatalagen med tillhörande förordning regleras också hand- läggningen av frågor om sanktionsavgift.

934

SOU 2017:74

Författningskommentar

Skadestånd

2 §

I paragrafen regleras den registrerades rätt till skadestånd för be- handling av personuppgifter i strid med regelverket. Paragrafen be- handlas i avsnitt 5.4.3.

Överklagande

3 §

I paragrafen, som behandlas i avsnitt 5.4.4, upplyses om att det i 7 kap. brottsdatalagen (2018:000) finns bestämmelser om överkla- gande och om vilka beslut som får överklagas.

Övergångsbestämmelser

Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 18.1 och 18.2.

Punkten 1 föreskriver när lagen ska träda i kraft.

Sanktionsavgift får enligt punkten 2 beslutas endast för överträ- delser som har begåtts efter ikraftträdandet.

935

Författningskommentar

SOU 2017:74

20.18Förslaget till lag om ändring i utlänningsdatalagen (2016:27)

14 §

Paragrafen reglerar Migrationsverkets rätt att föra register över fingeravtryck och för vilka ändamål registret får användas. En hän- visning i andra stycket till en lag som byter namn ändras, vilket be- handlas i avsnitt 7.1.2. Stycket ändras också redaktionellt.

Första och tredje styckena är oförändrade.

20.19Förslaget till lag om ändring i tullagen (2016:253)

4 kap.

8 §

I paragrafen, som behandlas i avsnitt 8.4.2, regleras på vilket sätt Tullverket får ta del av uppgifter som lämnas av transportföretag med stöd av 6 §.

Första stycket är oförändrat.

I andra stycket regleras numera endast i vilken omfattning Tull- verket får ta del av uppgifter genom terminalåtkomst. Myndighe- tens behandling av sådana personuppgifter regleras i Tullverkets brottsdatalag (2017:447).

20.20Förslaget till lag om ändring i tullbrottsdatalagen (2017:447)

Lagen anpassas till bestämmelserna i brottsdatalagen, vilket leder till omarbetning av den och att två kapitel upphävs och ersätts med nya. Vissa paragrafer upphävs, samtidigt som nya paragrafer till- kommer. Bestämmelserna om föreskrifter samlas i slutet av varje kapitel. Dessa förändringar föranleder omnumreringar av vissa paragrafer.

Vidare flyttas bestämmelserna om Tullverkets behandling av personuppgifter som transportföretag tillhandahåller myndigheten enligt bestämmelser i lagen (1996:701) om Tullverkets befogen-

936

SOU 2017:74

Författningskommentar

heter vid Sveriges gräns mot ett annat land inom Europeiska unio- nen och tullagen (2016:253) till den nu aktuella lagen.

Som en anpassning till brottsdatalagen införs ett nytt kapitel om administrativa sanktionsavgifter och rättsmedel.

De generella ändringarna i lagen behandlas i kapitel 4, 5 och 6 och övriga ändringar i kapitel 8.

Lagen får också ett nytt namn, Tullverkets brottsdatalag.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 §

I paragrafen, som behandlas i avsnitt 8.2, anges lagens tillämpnings- område.

Lagen gäller utöver brottsdatalagen när Tullverket i egenskap av behörig myndighet enligt den lagen behandlar personuppgifter för vissa syften. Behörig myndighet, personuppgift och behandling av personuppgifter definieras i 1 kap. 6 § brottsdatalagen (2018:000).

Lagen gäller när Tullverket behandlar personuppgifter om syftet med behandlingen är att bekämpa eller lagföra brott. Vad det inne- bär utvecklas i kommentaren till 2 kap. 1 §.

937

Författningskommentar

SOU 2017:74

2 §

Paragrafen, som motsvarar nuvarande 1 kap. 3 § första och tredje styckena, anger hur regleringen i lagen förhåller sig till regleringen i lagen (2017:496) om internationellt polisiärt samarbete. Frågan be- handlas i avsnitt 17.3.

Personuppgiftsansvar

3 §

I paragrafen, som motsvarar nuvarande 2 kap. 3 §, regleras person- uppgiftsansvaret. Personuppgiftsansvarig definieras i 1 kap. 6 § brottsdatalagen (2018:000). Personuppgiftsansvarigas skyldigheter regleras i 3 kap. brottsdatalagen.

Lagens tillämpning på uppgifter om juridiska personer

4 §

I paragrafen, som motsvarar nuvarande 1 kap. 4 §, anges vilka be- stämmelser i lagen och i brottsdatalagen som gäller för behandling av uppgifter om juridiska personer. Frågan behandlas i avsnitt 5.4.1.

Uppräkningen i paragrafen av bestämmelser som ska gälla vid behandling av uppgifter om juridiska personer motsvarar nuva- rande reglering.

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 §

Paragrafen reglerar de tillåtna rättsliga grunderna för behandling av personuppgifter. Den behandlas i avsnitt 6.1, 6.3 och 8.3.1.

Paragrafen, som är anpassad till hur de rättsliga grunderna för behandling av personuppgifter är utformade i 2 kap. 1 § brottsdata- lagen (2018:000), ersätter den bestämmelsen. Regleringen i 2 kap. 2 § brottsdatalagen ger myndigheten rättsligt stöd för att i vissa fall

938

SOU 2017:74

Författningskommentar

behandla personuppgifter enbart för diarieföring och nödvändig handläggning, trots brist på stöd i denna paragraf.

Enligt punkten 1 får personuppgifter behandlas i syfte att före- bygga, förhindra eller upptäcka brottslig verksamhet. Det är fram- för allt Tullverkets underrättelseverksamhet som regleras i punk- ten. Med det avses arbete med insamling, bearbetning och analys av information i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet när det ännu inte finns konkreta misstankar om att något konkret brott har begåtts (se prop. 2016/17:91 s. 198 f.). Personuppgiftsbehandling i Tullverkets brottsförebyggande arbete som rör införsel av varor, liksom kartläggning och spaning som inte är hänförlig till en förundersökning men utförs i syfte att upp- täcka brottslig verksamhet, omfattas också.

Behandling av uppgifter om vilka personer som kommer med en viss transport, t.ex. en viss färja, går i stor utsträckning ut på att förebygga, förhindra och upptäcka smuggling av framför allt nar- kotika genom att studera resmönster, betalningssätt, vilka som reser i sällskap och liknande. När uppslag om kontrollobjekt som är intressanta ur brottsbekämpningssynpunkt vidarebefordras till myndighetens kontrollverksamhet görs det i syfte att förhindra och upptäcka brottslig verksamhet. Viss personuppgiftsbehandling som är nödvändig för att planera kontroller, välja ut kontrollobjekt och utföra begärda kontroller i Tullverkets brottsbekämpande verksam- het ryms därför under punkten. Om personuppgiftsbehandling i samband med kontroller omfattas av lagen avgörs av om kontrollen görs i syfte att upptäcka, förebygga eller förhindra brottslig verk- samhet eller inte.

939

Författningskommentar

SOU 2017:74

gångsbalken och vid åtgärder som vidtas med stöd av 23 kap. 3 och 8 §§ rättegångsbalken omfattas.

Med lagföra brott avses framför allt att utfärda strafföreläggan- den och förelägganden av ordningsbot. Tullverkets åklagare får även väcka åtal och föra talan vid domstol i vissa typer av mål. Den personuppgiftsbehandling som är nödvändig för dessa åklagarupp- gifter har stöd i denna punkt.

Personuppgifter får enligt punkten 3 också behandlas i syfte att fullgöra förpliktelser som följer av internationella åtaganden. Punk- ten tar sikte på förpliktelser som syftar till att gagna utländsk brottsbekämpande verksamhet (se prop. 2016/17:91 s. 199).

2 §

I paragrafen, som behandlas i avsnitt 8.3.1, upplyses om att förut- sättningarna för att personuppgifter ska få behandlas för nya ända- mål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000). Innan personuppgifter får behandlas för ett nytt ändamål inom eller utan- för brottsdatalagens tillämpningsområde krävs det en prövning enligt någon av paragraferna. Vad prövningen innebär utvecklas i SOU 2017:29 s. 249 f. och avsnitt 6.4.3.

Särskilda upplysningar

3 §

940

SOU 2017:74

Författningskommentar

Det innebär att när personuppgifter behandlas bara av ett fåtal per- soner behöver särskilda upplysningar inte lämnas.

Känsliga personuppgifter

4 §

I paragrafen, som behandlas i avsnitt 8.3.2, regleras när Tullverket får behandla biometriska uppgifter. Biometriska uppgifter definie- ras i 1 kap. 6 § brottsdatalagen (2018:000).

Bestämmelsen möjliggör användning av särskild teknisk behand- ling för att bekräfta unik identifiering av en person. Regleringen innebär att t.ex. fingeravtryck, ansiktsgeometri, röstigenkänning eller rörelsemönster kan användas för att identifiera en person.

Biometriska uppgifter får behandlas enligt de förutsättningar som anges i 2 kap. 12 § brottsdatalagen. Behandlingen ska vara absolut nödvändig för ändamålet med behandlingen. Det innebär att behovet av att behandla biometriska uppgifter måste prövas noga i det enskilda fallet.

5 §

I paragrafen, som tillsammans med 6 § reglerar när det är tillåtet att använda känsliga personuppgifter vid sökning, görs undantag från det generella sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000) Paragrafen behandlas i avsnitt 8.3.3.

Undantaget gäller vid sökning i alla slags personuppgifter, dvs. såväl personuppgifter som har gjorts gemensamt tillgängliga som personuppgifter som inte har det.

Sökförbudet hindrar inte att brottsrubriceringar, uppgifter om tillvägagångssätt vid brott eller uppgifter som beskriver en persons utseende används vid sökning, även om det skulle leda till ett per- sonurval grundat på känsliga personuppgifter.

941

Författningskommentar

SOU 2017:74

som rör hälsa. Med uppgifter om tillvägagångssätt vid brott avses t.ex. uppgifter om smugglingsmetoder eller särskilda föremål som kan användas som brottsverktyg. Vid exempelvis kontroll av för- bud mot införsel och utförsel av barnpornografi kan sökning på brottsrubricering och särskilda föremål avslöja en persons sexualliv eller sexuella läggning.

Sökning på tillvägagångssätt vid brott kan t.ex. resultera i ett personurval grundat på hälsa. Det gäller exempelvis sökning på s.k. sväljare. Sökning på uppgifter om en persons utseende kan avse exempelvis fysiska skador eller särdrag som kan avslöja uppgifter om hälsa eller uppgifter om tatueringar som kan avslöja viss poli- tisk åsikt eller religiös övertygelse.

I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana upp- gifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 2 kap. 11 § brottsdata- lagen. Rätten enligt denna paragraf att göra sökning medför således inte en generell rätt att fortsätta att behandla uppgifterna.

6 §

I paragrafen, som tillsammans med 5 § reglerar när det är tillåtet att använda känsliga personuppgifter vid sökning, görs undantag från sökförbudet i 2 kap. 14 § brottsdatalagen (2018:000). Paragrafen behandlas i avsnitt 8.3.3.

Undantaget gäller enbart vid sökning i personuppgifter som inte har gjorts gemensamt tillgängliga, dvs. personuppgifter som enbart ett fåtal har tillgång till. Sökning i sådana uppgifter får göras i syfte att få fram ett personurval grundat på etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning. Sådana sökningar kan aktua- liseras bl.a. om det är känt att en viss narkotikasort används av en grupp med visst etniskt ursprung eller religiös övertygelse. Drogen kat som endast odlas utomlands är ett exempel på det. Tullverket kan även behöva göra sökningar i syfte att få fram uppgifter om ideologiskt motiverade grupperingar som är kända för att finansiera sin verksamhet genom smuggling av narkotika eller andra otillåtna föremål. Tullverket kan även ha skäl att söka på ordet pedofil eller

942

SOU 2017:74

Författningskommentar

vissa typer av föremål i syfte att förebygga, förhindra eller upptäcka smuggling av barnpornografi.

Rätten att söka på känsliga personuppgifter gäller dock inte sökning på ras eller medlemskap i fackförening eller sökning i genetiska eller biometriska uppgifter. Sökning som syftar till att få fram ett personurval grundat på sådana uppgifter är alltså inte tillåten.

I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana upp- gifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 2 kap. 11 § brottsdata- lagen. Rätten att göra sökning enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna.

Utlämnande av personuppgifter

7 §

Paragrafen innehåller sekretessbrytande bestämmelser om utläm- nande till utländska myndigheter och mellanfolkliga organisationer. Den motsvarar nuvarande 2 kap. 12 §.

I första stycket görs endast en redaktionell ändring.

Av andra stycket framgår att personuppgifter får lämnas ut bara om mottagaren behöver dem för något av de syften som räknas upp i 1 §. När det gäller mottagare i tredjeland ska regleringen i 8 kap. 1 § brottsdatalagen (2018:000) också beaktas.

Tredje stycket ändras endast redaktionellt.

8 §

Paragrafen innehåller en bestämmelse som bryter viss sekretess som annars skulle ha gällt gentemot andra brottsbekämpande myn- digheter. Den motsvarar nuvarande 2 kap. 13 §.

I paragrafen tydliggörs att sekretessen bryts om den mottagande myndigheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen (2018:000). Ändringen är en följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vil- ket behandlas i avsnitt 4.4.1.

943

Författningskommentar

SOU 2017:74

9 §

Paragrafen reglerar när personuppgifter får lämnas ut elektroniskt. I första stycket föreskrivs att personuppgifter får lämnas ut

Det kan också finnas särskild anledning att iaktta försiktighet när det gäller utlämnande av bild- och ljudupptagningar (jfr prop. 2016/17:68 s. 51 f.).

Vid prövningen av om personuppgifter bör lämnas ut elektro- niskt bör givetvis även informationssäkerheten vägas in.

944

SOU 2017:74

Författningskommentar

Elektroniskt utlämnande genom direktåtkomst regleras i andra stycket, som motsvarar nuvarande 2 kap. 17 §. Det är tillåtet bara i den utsträckning som anges i lagen.

Personuppgifter från transportföretag

10 §

Paragrafen, som motsvarar nuvarande 2 kap. 8 § första stycket och behandlas i avsnitt 8.4.1 och 8.4.2, reglerar hur personuppgifter som transportföretag tillhandahåller Tullverket får behandlas. Det är fråga om uppgifter om ankommande eller avgående transporter av varor, passagerare eller fordon som företagen befordrar till och från Sverige. Det rör sig om bokningsuppgifter i framför allt flyg- och färjetrafik. Transportföretagens skyldighet att tillhandahålla uppgifter regleras alltjämt i lagen (1996:701) om Tullverkets befo- genheter vid Sveriges gräns mot ett annat land inom Europeiska unionen och tullagen (2016:253).

Personuppgifter från transportföretag får enligt första stycket behandlas för att planera kontroller och välja ut kontrollobjekt i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet. Det innebär att arbetet inriktas på att få fram kontrollobjekt för vilka det råder förhöjd risk för smuggling eller andra brott. Sådana uppgifter får också behandlas i syfte att utreda eller lagföra brott. Möjligheten att söka i sådana personuppgifter med hjälp av person- nummer och andra identitetsbeteckningar regleras i 12 §.

Om det vid den behandling som görs, eller vid kontroll vid an- komsten till Sverige, uppkommer skäl att behandla personuppgif- terna för ett nytt ändamål inom lagens tillämpningsområde får det enligt andra stycket bara göras om förutsättningarna för behandling för nya ändamål i 2 kap. 4 § brottsdatalagen (2018:000) är uppfyllda i det enskilda fallet. Ett typiskt exempel är att ett brott upptäcks när någon har tagits ut för kontroll och att uppgifterna behövs för att utreda och lagföra brottet. Det kan också visa sig att vissa av uppgifterna behövs i ett underrättelseärende, t.ex. för kartläggning av nya smugglingsmetoder. Det kan inte uteslutas att personupp- gifterna behöver behandlas för ett nytt ändamål utanför lagens till- lämpningsområde, t.ex. för att lämnas ut enligt tryckfrihetsförord-

945

Författningskommentar

SOU 2017:74

ningen. Hänvisning görs därför även till prövningen i 2 kap. 22 § brottsdatalagen.

Av 3 kap. 2 § andra stycket framgår i vilken utsträckning per- sonuppgifter som transportföretag tillhandahåller får göras gemen- samt tillgängliga.

11 §

I paragrafen anges hur personuppgifter som Tullverket får del av genom terminalåtkomst får behandlas. Bestämmelsen motsvarar nuvarande 16 § andra stycket lagen (1996:701) om Tullverkets be- fogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen och 4 kap. 8 § andra stycket tullagen (2016:253). Paragra- fen behandlas i avsnitt 8.4.2.

Paragrafen reglerar enbart behandling vid terminalåtkomst till personuppgifter hos transportföretag, medan 10 och 12 §§ anger vad som gäller i fråga om personuppgifter som förs över till myn- dighetens it-system eller behandlas strukturerat på annat sätt.

Genom terminalåtkomsten till företagens it-system får Tullver- ket tillgång till omfattande överskottsinformation om resande. Myndigheten får inte ändra eller på annat sätt bearbeta uppgifter i sådana system. Syftet med regleringen är att myndigheten inte hel- ler ska kunna föra över en hel sådan uppgiftssamling till sina egna it-system för att bearbeta, ändra och lagra personuppgifterna där. Som framgår av 10 § får däremot uppgifter föras över i enskilda fall om förutsättningarna för det är uppfyllda.

12 §

I paragrafen, som motsvarar nuvarande 2 kap. 9 § första stycket och behandlas i avsnitt 8.4.2, regleras i vilken utsträckning direkta per- sonuppgifter får användas vid sökning i uppgifter som transport- företag tillhandahåller. Paragrafen ändras endast redaktionellt.

946

SOU 2017:74

Författningskommentar

Föreskrifter

13 §

Paragrafen upplyser om att regeringen kan meddela föreskrifter om att personuppgifter får lämnas ut i andra fall än som anges i 7 och 8 §§ (vilket motsvarar nuvarande 2 kap. 14 § första stycket) och om att begränsa möjligheten att lämna ut uppgifter elektroniskt på annat sätt än genom direktåtkomst, vilket behandlas i avsnitt 5.6.4.

3 kap.

1 §

Av paragrafen framgår att kapitlet innehåller bestämmelser om be- handling av personuppgifter som görs eller har gjorts gemensamt tillgängliga. Vad som avses med att uppgifter görs gemensamt tillgängliga utvecklas i prop. 2016/17:91 s. 208 f.

I första stycket anpassas regleringen till att uttrycket brottsbe- kämpande verksamhet utmönstras ur lagen, vilket behandlas i av- snitt 4.4.1. Av andra stycket framgår att kapitlet inte gäller när per- sonuppgifter behandlas med stöd av den särskilda bestämmelsen i 2 kap. 2 § brottsdatalagen (2018:000) om behandling av personupp- gifter för diarieföring eller för att utföra andra nödvändiga hand- läggningsuppgifter.

2 §

I paragrafen anges vilka personuppgifter som får göras gemensamt tillgängliga.

I första stycket anpassas terminologin till den som används i lagen i övrigt och görs redaktionella ändringar.

Av andra stycket, som är nytt och motsvarar nuvarande 2 kap. 8 § andra stycket, framgår att personuppgifter från transportföretag endast får göras gemensamt tillgängliga om det behövs i ett enskilt fall. Ändringen behandlas i avsnitt 8.5.2. Regleringen gör det möj- ligt för Tullverket att göra personuppgifter om utvalda kontroll- objekt gemensamt tillgängliga t.ex. för att kontrollverksamheten ska få kännedom om att det för vissa resande eller varusändningar

947

Författningskommentar

SOU 2017:74

kan finnas en förhöjd risk för smuggling. Uppgifterna kan också göras gemensamt tillgängliga i underrättelseverksamheten eller för att utreda eller lagföra brott.

Tredje stycket motsvarar nuvarande andra stycket och är oför- ändrat.

3 §

I paragrafen, som behandlas i avsnitt 5.3.10, föreskrivs att det ska framgå om personuppgifter har gjorts gemensamt tillgängliga med stöd av 2 § första stycket 2. Att det ska framgå för vilket närmare ändamål personuppgifterna behandlas följer av 2 kap. 3 § brotts- datalagen (2018:000). Paragrafen ändras också redaktionellt.

4 §

I paragrafen, som behandlas i avsnitt 5.3.10, ställs det krav på att uppgifter som är gemensamt tillgängliga i underrättelseverksamhet i vissa fall ska förses med särskilda upplysningar.

Enligt första stycket ska det framgå av uppgifter i underrättelse- verksamhet att en person inte är misstänkt för att utöva brottslig verksamhet. Det ska alltså gå att skilja mellan personer som är före- mål för myndighetens intresse på grund av inblandning i brottslig verksamhet och personer som inte är misstänkta för det. Att det ska framgå om en person är misstänkt för brott eller är ett brotts- offer regleras i 2 kap. 9 § brottsdatalagen (2018:000).

948

SOU 2017:74

Författningskommentar

är misstänkta för att utöva brottslig verksamhet eller ofta rör sig i miljöer där brottslighet förekommer, utan att ha naturliga skäl att befinna sig där. Uppgifter om den som är anhörig till en person som kan antas ha samband med misstänkt brottslig verksamhet faller alltså utanför, utom i de fall där båda kan antas ha direkt sam- band med brottslig verksamhet.

Det är bara uppgifter som rör en person som är misstänkt för att utöva eller komma att utöva brottslig verksamhet som behöver förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. De uppgifter som är av intresse är, förutom uppgifter om på vilket sätt personen är knuten till den brottsliga verksamheten, framför allt uppgifter som belyser brotts- lighetens art och omfattning. Uppgifter av det slaget kan behöva förses med särskilda upplysningar för att personens anknytning till brottsligheten ska kunna bedömas.

5 §

Paragrafen, som behandlas i avsnitt 8.5.1, innehåller en allmän be- gränsning av vilka uppgifter som får tas fram vid sökning i gemen- samt tillgängliga uppgifter på namn, personnummer eller liknande identitetsbeteckningar.

Genom ett tillägg tydliggörs att bestämmelsen endast gäller vid sökning i automatiserade behandlingssystem. Vad som avses med automatiserade behandlingssystem anges i SOU 2017:29 s. 306 f.

6 §

Paragrafen, som behandlas i avsnitt 8.5.1, innehåller undantag från begränsningarna i 5 §.

Enligt första stycket gäller inga begränsningar vid sökning i en viss handling eller ett visst ärende.

949

Författningskommentar

SOU 2017:74

Enligt andra stycket gäller begränsningarna i 5 § inte vid vissa sökningar som utförs av särskilt angivna tjänstemän. Det gäller enligt punkten 1, som är ny, när de utför beredningsuppgifter i underrättelseverksamhet och arbetet befinner sig i ett inledande skede. Syftet med bestämmelsen är att tjänstemännen inledningsvis ska ha större möjligheter att göra sökningar för att kunna finna samband med befintliga underrättelseuppgifter. Det kan t.ex. vara fråga om tips från allmänheten om smuggling. Det är bara under en begränsad tid efter det att uppgifterna kom in som punkten är till- lämplig. Så snart beredningsarbetet har avslutats upphör möjlighe- ten att göra sökningar med stöd av den nu aktuella punkten.

I punkten 2, som motsvarar nuvarande 3 kap. 7 § första stycket 2 och andra stycket 1, undantas sökning som utförs i syfte att bear- beta och analysera personuppgifter som har gjorts gemensamt till- gängliga i underrättelseverksamhet eller för övervakningen av en allvarligt kriminellt belastad person, om endast vissa tjänstemän har tillgång till uppgifterna.

Punkten 3, som motsvarar nuvarande 3 kap. 7 § andra stycket 2, ändras endast redaktionellt.

Enligt punkten 4, som är ny, gäller inte begränsningarna i 5 § vid sökningar i syfte att samordna utredningar av brott som kan vara systematiska och för vilka det är föreskrivet fängelse i två år eller däröver.

Undantaget i tredje stycket är nytt och innebär att begränsning- arna i 5 § inte gäller när en tjänsteman vid någon av Tullverkets led- ningscentraler utför sökningar på begäran av en tulltjänsteman som verkställer ett ingripande eller vidtar en åtgärd som rör en enskild.

7 §

I paragrafen anges vilka myndigheter som får medges direktåt- komst till uppgifter som har gjorts gemensamt tillgängliga och för vilka syften. Ändringen är en följd av att uttrycket brottsbekäm- pande verksamhet utmönstras ur lagen, vilket behandlas i av- snitt 4.4.1. Paragrafen ändras också redaktionellt.

950

SOU 2017:74

Författningskommentar

8 §

I paragrafen upplyses om att regeringen kan meddela föreskrifter om ytterligare undantag från bestämmelserna om sökning i 5 §. Paragrafen, som motsvarar nuvarande 3 kap. 7 § tredje stycket, ändras endast redaktionellt.

9 §

I paragrafen, där övriga bestämmelser om föreskrifter som rör gemensamt tillgängliga uppgifter samlas, upplyses om att rege- ringen, eller den myndighet som regeringen bestämmer, kan med- dela föreskrifter om begränsning av tillgången till personuppgifter som avses i 5 § (vilket motsvarar nuvarande 3 kap. 6 § andra stycket), under vilka förutsättningar sökning får utföras med stöd av 6 § (vilket motsvarar nuvarande 3 kap. 7 § tredje stycket) och omfattningen av direktåtkomst och behörighet och säkerhet vid så- dan åtkomst (vilket motsvarar nuvarande 3 kap. 8 § tredje stycket).

4 kap.

1 §

Regleringen av hur länge personuppgifter får behandlas är samlad i detta kapitel. I första stycket, som är nytt, föreskrivs att kapitlet endast gäller för uppgifter som behandlas automatiserat, om inget annat sägs. I 3 § finns en bestämmelse som även är tillämplig på viss annan behandling.

Andra stycket upplyser om att den grundläggande bestämmelsen om att personuppgifter inte får behandlas längre än vad som är nödvändigt med hänsyn till ändamålet med behandlingen finns i 2 kap. 17 § första stycket brottsdatalagen (2018:000). I övriga para- grafer i kapitlet anges hur länge vissa typer av personuppgifter får behandlas inom den ram som sätts av denna huvudregel. Oavsett vilken bedömning som görs av nyttan med behandlingen av en viss personuppgift får den dock inte behandlas längre än vad som anges i respektive paragraf.

951

Författningskommentar

SOU 2017:74

2 §

I paragrafen anges hur länge uppgifter som inte har gjorts gemen- samt tillgängliga får behandlas. Frågan behandlas i avsnitt 5.5.2. Någon ändring av hur länge personuppgifterna får behandlas görs inte.

I första stycket klargörs att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) om att arkiv- lagstiftningen har företräde, inte får arkiveras digitalt. Utgångs- punkten är alltså att all automatiserad behandling av personuppgif- terna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att uppgifterna ska tas bort. Endast om det har med- delats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för veten- skapliga, statistiska eller historiska ändamål får de behandlas auto- matiserat längre än vad som anges i denna paragraf (se 12 §). Stycket ändras även redaktionellt.

Andra stycket ändras endast redaktionellt.

3 §

Paragrafen, som är ny och behandlas i avsnitt 8.4.2, reglerar när personuppgifter från transportföretag ska förstöras. Den motsvarar 16 § tredje stycket lagen (1996:701) om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europeiska unionen och 4 kap. 8 § tredje stycket tullagen (2016:253).

Transportföretagens uppgiftsskyldighet kan fullgöras på det sätt transportföretagen finner lämpligt. Av 15 § lagen om Tullverkets befogenheter vid Sveriges gräns mot ett annat land inom Europe- iska unionen och 4 kap. 6 § tullagen framgår att terminalåtkomst bara tillåts i den omfattning och under den tid som behövs för att kontrollera aktuella transporter (se prop. 1995/96:166 s. 81 f.). Per- sonuppgifter som Tullverket får tillgång till på annat sätt än genom terminalåtkomst ska enligt första stycket förstöras omedelbart om de saknar betydelse för brottsbekämpning och lagföring. Eftersom flertalet uppgifter rör personer som varken är misstänkta för brott eller att utöva brottslig verksamhet, ska personuppgifterna omedel- bart tas bort när Tullverket har gjort profilsökning och riskanalys och inte längre behöver dem.

952

SOU 2017:74

Författningskommentar

Enligt 2 kap. 10 § andra stycket får uppgifter från transportföre- tag i ett enskilt fall behandlas för nya ändamål om förutsättning- arna för det är uppfyllda. Det kan t.ex. vara fallet om uppgifterna är nödvändiga för att Tullverket ska kunna utreda eller lagföra ett visst brott i samband med in- eller utförsel av varor (jfr prop. 1995/96:166 s. 99 f.). Sådana personuppgifter behöver då inte för- störas. För dem gäller i stället bestämmelserna i 4–6 §§.

I andra stycket föreskrivs att paragrafen även gäller för behand- ling som inte är automatiserad när uppgifter från transportföretag ingår i en strukturerad samling personuppgifter. Det innebär att paragrafen är tillämplig t.ex. på personuppgifter som lämnas i pap- persform.

4 §

Paragrafen reglerar hur länge personuppgifter i en anmälan om brott får behandlas. Terminologin anpassas till den som används i lagen i övrigt och till att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4.1.

Enligt paragrafen inskränks enbart behandlingen av personupp- gifter för de ändamål som regleras i lagen, vilket innebär att uppgif- terna får fortsätta att behandlas automatiserat för bl.a. arkivända- mål efter de tidpunkter som anges i paragrafen. Frågan behandlas i avsnitt 5.5.3.

5 §

Paragrafen reglerar hur länge personuppgifter i förundersökningar och andra utredningar som handläggs enligt bestämmelserna i 23 kap. rättegångsbalken får behandlas.

Enligt paragrafen inskränks enbart behandlingen av personupp- gifter för de ändamål som regleras i lagen, vilket innebär att uppgif- terna får fortsätta att behandlas automatiserat för bl.a. arkivända- mål efter de tidpunkter som anges i paragrafen. Frågan behandlas i avsnitt 5.5.3.

Terminologin i första och andra styckena anpassas till den som används i lagen i övrigt och till att uttrycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4.1.

953

Författningskommentar

SOU 2017:74

Tredje stycket är oförändrat.

7 §

I paragrafen anges att det i de följande paragraferna finns bestäm- melser om hur länge vissa typer av gemensamt tillgängliga uppgif- ter, som inte förekommer i ärenden om utredning av eller lagföring för brott, får behandlas. Det klargörs att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Ut- gångspunkten är alltså att all automatiserad behandling av person- uppgifterna ska upphöra när den tid som anges i 8–11 §§ har löpt ut, vilket innebär att uppgifterna ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i de följande paragraferna (jfr 12 §). Frågan behandlas i avsnitt 5.5.2.

8 §

Paragrafen reglerar hur länge personuppgifter får behandlas i underrättelseverksamhet. Paragrafen anpassas till den terminologi som används i lagen i övrigt.

Enligt första stycket, som är nytt och behandlas i avsnitt 8.6, får personuppgifter som kan antas ha samband med sådan brottslig verksamhet som anges i 3 kap. 2 § första stycket 1 och som be- handlas i ett ärende inte behandlas längre än ett år efter det att ärendet avslutades.

I andra stycket, som motsvarar 9 § andra stycket, görs ingen ändring i fråga om hur länge personuppgifterna får behandlas men stycket anpassas till den terminologi som används i lagen i övrigt. Det tydliggörs att fristen för hur länge personuppgifter får behand- las endast ska påverkas av om det görs en ny registrering beträf- fande personens anknytning till brottslig verksamhet. Andra upp- gifter som tillförs, t.ex. uppgifter om ändrade bostadsförhållanden eller annat som inte har betydelse för anknytningen till den brotts-

954

SOU 2017:74

Författningskommentar

liga verksamheten, påverkar alltså inte hur länge personuppgifterna får behandlas. Frågan behandlas i avsnitt 5.5.4.

Tredje stycket ändras endast redaktionellt.

9 §

Paragrafen, som motsvarar nuvarande 9 § tredje och fjärde stycke- na, reglerar hur länge uppgifter om en person som är föremål för övervakning enligt 3 kap. 2 § första stycket 2 får behandlas. I första stycket anpassas regleringen till den terminologi som används i lagen i övrigt. Frågan behandlas i avsnitt 5.5.2. Andra stycket är oförändrat.

10 §

I paragrafen, som motsvarar nuvarande 10 § tredje stycket, regleras hur länge uppgifter som har rapporterats till Tullverkets lednings- centraler får behandlas. Regleringen, som behandlas i avsnitt 5.5.2, anpassas till den terminologi som används i lagen i övrigt.

11 §

Paragrafen, som motsvarar nuvarande 10 § andra stycket, reglerar hur länge uppgifter som behandlas för att fullgöra internationella åtaganden får behandlas. Regleringen, som behandlas i avsnitt 5.5.2, anpassas till den terminologi som används i lagen i övrigt.

12 §

I paragrafen upplyses om att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om att vissa kate- gorier av personuppgifter får behandlas längre än vad som anges i 4, 5 och 8–11 §§ (vilket motsvarar nuvarande 2 § 1), om att person- uppgifter, trots att den tillåtna tiden för behandling har löpt ut, får fortsätta att behandlas för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål under längre tid än vad som anges i 2 § första stycket och 8–11 §§ (vilket motsvarar

955

Författningskommentar

SOU 2017:74

nuvarande 2 § 2) och om digital arkivering inom lagens tillämp- ningsområde (vilket motsvarar nuvarande 2 § 3).

5 kap.

Administrativa sanktionsavgifter

1 §

Paragrafen, som är ny, reglerar vilka överträdelser som kan föran- leda sanktionsavgift. Frågan behandlas i avsnitt 5.4.2.

I första stycket anges vid vilka överträdelser sanktionsavgift får tas ut av den personuppgiftsansvarige. Tillsynsmyndigheten avgör i det enskilda fallet om det är påkallat att ta ut sanktionsavgift, vilket framgår av formuleringen att avgift får tas ut. Uppräkningen av vilka överträdelser som kan föranleda sanktionsavgift är uttöm- mande. Sanktionsavgift kan tas ut för överträdelse av bestämmel- serna om tillåtna rättsliga grunder, särskilda upplysningar och längsta tid som personuppgifter får behandlas. Brottsdatalagens förfaranderegler när det gäller sanktionsavgift tillämpas även vid överträdelser enligt denna lag. I brottsdatalagen med tillhörande förordning regleras också handläggningen av frågor om sanktions- avgift.

Skadestånd

2 §

I paragrafen regleras den registrerades rätt till skadestånd för be- handling av personuppgifter i strid med regelverket. Paragrafen be- handlas i avsnitt 5.4.3.

956

SOU 2017:74

Författningskommentar

den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som behand- lingen av personuppgifter har orsakat. Med skada avses person- skada, sakskada eller ren förmögenhetsskada. Med kränkning avses ideell skada som består i att den enskildes integritet kränkts genom behandlingen. Någon möjlighet till jämkning av skadeståndet finns inte.

Överklagande

3 §

I paragrafen, som behandlas i avsnitt 5.4.4, upplyses om att det i 7 kap. brottsdatalagen (2018:000) finns bestämmelser om överkla- gande och om vilka beslut som får överklagas.

Övergångsbestämmelser

Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 18.1 och 18.2.

Punkten 1 föreskriver när lagen ska träda i kraft.

Sanktionsavgift får enligt punkten 2 beslutas endast för överträ- delser som har begåtts efter ikraftträdandet.

20.21Förslaget till lag om ändring i skattebrottsdatalagen (2017:452)

Lagen anpassas till bestämmelserna i brottsdatalagen, vilket leder till omarbetning av den och att två kapitel upphävs och ersätts med nya. Vissa paragrafer i de övriga kapitlen upphävs, samtidigt som nya paragrafer tillkommer. Bestämmelserna om föreskrifter, samlas i slutet av varje kapitel. Dessa förändringar föranleder omnumre- ringar av vissa paragrafer.

957

Författningskommentar

SOU 2017:74

Som en anpassning till brottsdatalagen tillkommer ett nytt kapi- tel om administrativa sanktionsavgifter och rättsmedel.

De generella ändringarna i lagen behandlas i kapitel 4, 5 och 6 och övriga ändringar i kapitel 10.

Lagen får också ett nytt namn, Skatteverkets brottsdatalag.

1 kap. Allmänna bestämmelser

Lagens tillämpningsområde

1 §

I paragrafen, som behandlas i avsnitt 10.2, anges lagens tillämp- ningsområde.

Lagen gäller utöver brottsdatalagen när Skatteverket i egenskap av behörig myndighet enligt brottsdatalagen behandlar personupp- gifter för vissa syften. Behörig myndighet, personuppgift och be- handling av personuppgifter definieras i 1 kap. 6 § brottsdatalagen (2018:000).

Lagen gäller när Skatteverket behandlar personuppgifter om syf- tet med behandlingen är att bekämpa brott. Vad det innebär ut- vecklas i kommentaren till 2 kap. 1 §.

958

SOU 2017:74

Författningskommentar

Personuppgiftsansvar

2 §

Lagens tillämpning på uppgifter om juridiska personer

3 §

I paragrafen anges vilka bestämmelser i lagen och i brottsdatalagen som gäller för behandling av uppgifter om juridiska personer. Frå- gan behandlas i avsnitt 5.4.1.

Uppräkningen i paragrafen av bestämmelser som ska gälla vid behandling av uppgifter om juridiska personer motsvarar nuva- rande reglering.

2 kap. Grundläggande bestämmelser om behandling

Tillåtna rättsliga grunder för behandling av personuppgifter

1 §

Paragrafen reglerar de tillåtna rättsliga grunderna för behandling av personuppgifter. Den behandlas i avsnitt 6.1, 6.3 och 10.3.1.

Paragrafen, som är anpassad till hur de rättsliga grunderna för behandling av personuppgifter anges i 2 kap. 1 § brottsdatalagen (2018:000), ersätter den bestämmelsen. Regleringen i 2 kap. 2 § brottsdatalagen ger myndigheten rättsligt stöd för att i vissa fall be- handla personuppgifter för diarieföring eller för att utföra andra nödvändiga handläggningsuppgifter, trots brist på stöd i denna paragraf.

959

Författningskommentar

SOU 2017:74

Enligt punkten 1 får Skatteverket behandla personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet. Det är framför allt myndighetens underrättelseverksamhet som av- ses (se prop. 2016/17:89 s. 139).

Enligt punkten 2 får personuppgifter behandlas i syfte att utreda brott. Vad det innebär utvecklas i prop. 2016/17:89 s. 139.

Personuppgifter får enligt punkten 3 också behandlas i syfte att fullgöra förpliktelser som följer av internationella åtaganden, vilket tar sikte på förpliktelser som syftar till att gagna utländsk brottsbe- kämpande verksamhet (se prop. 2016/17:89 s. 139).

I andra stycket anges att det ska vara fråga om en arbetsuppgift som framgår av en bindande unionsrättsakt eller av en lag, en för- ordning eller ett särskilt beslut i vilket regeringen uppdragit åt den behöriga myndigheten att ansvara för en sådan uppgift. Motsva- rande bestämmelse finns i 2 kap. 1 § brottsdatalagen. Vad den inne- bär utvecklas i SOU 2017:29 s. 238 f.

2 §

I paragrafen, som behandlas i avsnitt 10.3.1, upplyses om att förut- sättningarna för att personuppgifter ska få behandlas för nya ända- mål regleras i 2 kap. 4 och 22 §§ brottsdatalagen (2018:000). Innan personuppgifter får behandlas för ett nytt ändamål inom eller utan- för brottsdatalagens tillämpningsområde krävs det en prövning enligt någon av paragraferna. Vad prövningen innebär utvecklas i SOU 2017:29 s. 249 f. och avsnitt 6.4.3.

Särskilda upplysningar

3 §

960

SOU 2017:74

Författningskommentar

Sökning

Känsliga personuppgifter

4 §

Undantaget gäller vid sökning i alla slags personuppgifter, dvs. såväl personuppgifter som har gjorts gemensamt tillgängliga som personuppgifter som inte har det. Sökförbudet hindrar inte att uppgifter som beskriver en persons utseende får användas vid sök- ning, även om det skulle leda till ett personurval grundat på käns- liga personuppgifter. Med uppgifter som beskriver en persons utse- ende avses bl.a. uppgifter om hudfärg eller tatueringar. Sökning på sådana uppgifter kan t.ex. ge ett personurval grundat på uppgifter om etniskt ursprung, politisk åskådning eller religiös övertygelse.

I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana upp- gifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 2 kap. 11 §§ brottsdata- lagen. Rätten att göra sökning enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna.

5 §

961

Författningskommentar

SOU 2017:74

ursprung vara en gemensam faktor som knyter samman personerna i ett nätverk.

I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana uppgif- ter som sökningen resulterat i får prövas mot huvudregeln om be- handling av känsliga personuppgifter i 2 kap. 11 § brottsdatalagen. Rätten att göra sökning enligt denna paragraf medför således inte en generell rätt att fortsätta att behandla uppgifterna.

Beskattningsdatabasen

6 §

I paragrafen, som motsvarar nuvarande 2 kap. 9 §, regleras vilka uppgifter Skatteverket får använda vid sökning i beskattningsdata- basen i syfte att bekämpa brott. Ändringen är en följd av att ut- trycket brottsbekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4.1.

Utlämnande av personuppgifter

7 §

Paragrafen innehåller en sekretessbrytande bestämmelse om utläm- nande till utländska myndigheter och mellanfolkliga organisationer. Den motsvarar nuvarande 2 kap. 11 §.

8 §

Paragrafen innehåller en bestämmelse som bryter viss sekretess som annars skulle ha gällt gentemot andra brottsbekämpande myn- digheter. Den motsvarar nuvarande 2 kap. 12 §.

Det tydliggörs att sekretessen bryts om den mottagande myn- digheten behöver uppgifterna för något av de syften som anges i 1 kap. 2 § brottsdatalagen. Ändringen, som är en följd av att ut- trycket brottsbekämpande verksamhet utmönstras ur lagen, be- handlas i avsnitt 4.4.1.

962

SOU 2017:74

Författningskommentar

9 §

Paragrafen reglerar när personuppgifter får lämnas ut elektroniskt. I första stycket föreskrivs att personuppgifter får lämnas ut

Det kan också finnas särskild anledning att iaktta försiktighet när det gäller utlämnande av bild- och ljudupptagningar (jfr prop. 2016/17:68 s. 51 f.).

Vid prövningen av om personuppgifter bör lämnas ut elektro- niskt bör givetvis även informationssäkerheten vägas in.

963

Författningskommentar

SOU 2017:74

Elektroniskt utlämnande genom direktåtkomst regleras i andra stycket, som motsvarar nuvarande 2 kap. 16 §. Det är tillåtet endast i den utsträckning som anges i lagen.

Föreskrifter

10 §

I paragrafen upplyses om att regeringen kan meddela föreskrifter om att personuppgifter får lämnas ut även i andra fall än som anges i 7 och 8 §§ (vilket motsvarar nuvarande 2 kap. 13 § första stycket) och om begränsning av möjligheterna att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst. Frågan behand- las i avsnitt 5.6.4.

3 kap.

1 §

I första stycket anpassas regleringen till att uttrycket brottsbe- kämpande verksamhet utmönstras ur lagen, vilket behandlas i av- snitt 4.4.1.

2 §

I paragrafen anges vilka personuppgifter som får göras gemensamt tillgängliga. Regleringen anpassas till den terminologi som används i lagen i övrigt.

964

SOU 2017:74

Författningskommentar

3 §

I paragrafen ställs det krav på att uppgifter som är gemensamt till- gängliga i underrättelseverksamhet ska förses med särskilda upplys- ningar. Frågan behandlas i avsnitt 5.3.10.

Enligt första stycket ska det framgå av uppgifter i underrättelse- verksamhet att en person inte är misstänkt för att utöva brottslig verksamhet. Det ska alltså gå att skilja mellan personer som är föremål för myndighetens intresse på grund av inblandning i brottslig verksamhet och personer som inte är misstänkta för det. Att det ska framgå om en person är misstänkt för brott eller är ett brottsoffer, regleras i 2 kap. 9 § brottsdatalagen (2018:000).

Enligt andra stycket ska uppgifter om personer som kan antas ha samband med misstänkt brottslig verksamhet förses med upplys- ning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Det tydliggörs att kravet på särskild upplysning bara gäller uppgifter om en person som kan antas ha direkt samband med misstänkt brottslig verksamhet. Kravet på samband är lågt ställt. Så snart det finns något som stöder ett antagande om att en person har ett direkt samband med brottslig verksamhet och det är fråga om uppgifter som görs gemensamt tillgängliga ska det framgå på vilket sätt personen har anknytning till den brottsliga verksam- heten. Sambandet kan t.ex. bestå i att en person ofta träffar eller har annan kontakt med andra personer som är misstänkta för att utöva brottslig verksamhet eller ofta rör sig i miljöer där brottslig- het förekommer, utan att ha naturliga skäl att befinna sig där. Upp- gifter om den som är anhörig till en person som kan antas ha sam- band med misstänkt brottslig verksamhet faller alltså utanför, utom i de fall där båda kan antas ha direkt samband med brottslig verk- samhet.

Det är bara uppgifter som rör en person som är misstänkt för att utöva eller komma att utöva brottslig verksamhet som behöver förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. De uppgifter som är av intresse är, förutom uppgifter om på vilket sätt personen är knuten till den brottsliga verksamheten, framför allt uppgifter som belyser brotts- lighetens art och omfattning. Uppgifter av det slaget kan behöva förses med särskilda upplysningar för att personens anknytning till brottsligheten ska kunna bedömas.

965

Författningskommentar

SOU 2017:74

4 §

Paragrafen, som behandlas i avsnitt 10.4, innehåller en allmän be- gränsning av vilka uppgifter som får tas fram vid sökning i gemen- samt tillgängliga uppgifter på namn, personnummer eller liknande identitetsbeteckningar.

Genom ett tillägg tydliggörs det att bestämmelsen endast gäller vid sökning i automatiserade behandlingssystem. Vad som avses med automatiserade behandlingssystem utvecklas i SOU 2017:29 s. 306 f. I övrigt ändras paragrafen endast redaktionellt.

5 §

Paragrafen, som behandlas i avsnitt 10.4, innehåller undantag från begränsningarna i 4 §.

Enligt första stycket gäller inga begränsningar vid sökning i en viss handling eller ett visst ärende.

Enligt andra stycket gäller begränsningarna i 4 § inte vid vissa sökningar som utförs av särskilt angivna tjänstemän. Det gäller enligt punkten 1, som är ny, när de utför beredningsuppgifter i underrättelseverksamhet och arbetet befinner sig i ett inledande skede. Syftet med bestämmelsen är att tjänstemännen inledningsvis ska ha större möjligheter att göra sökningar för att kunna finna samband med befintliga underrättelseuppgifter. Det är således bara under en begränsad tid från det att uppgifterna kommit in som punkten är tillämplig. Så snart beredningsarbetet har avslutats upp- hör möjligheten att göra sökningar med stöd av den nu aktuella punkten.

I punkten 2, som motsvarar nuvarande 3 kap. 7 § första stycket 2 och andra stycket 1, undantas sökningar som utförs i syfte att be- arbeta och analysera personuppgifter som har gjorts gemensamt

966

SOU 2017:74

Författningskommentar

tillgängliga i underrättelseverksamhet, om det endast är de tjänste- män som får göra sökningen som också har tillgång till uppgifterna.

Punkten 3, som motsvarar nuvarande 3 kap. 7 § andra stycket 2, ändras endast redaktionellt.

6 §

I paragrafen anges vilka myndigheter som får medges direktåt- komst till uppgifter som har gjorts gemensamt tillgängliga och för vilka syften. Ändringen är en följd av att uttrycket brottslig verk- samhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4.1. Vidare görs redaktionella ändringar.

7 §

I paragrafen upplyses om att regeringen kan meddela föreskrifter om ytterligare undantag från bestämmelserna om sökning i 4 §.

8 §

I paragrafen, där övriga bestämmelser om föreskrifter samlas, upp- lyses om att regeringen eller den myndighet som regeringen be- stämmer kan meddela föreskrifter om begränsning av tillgången till sådana personuppgifter som avses i 4 § (vilket motsvarar nuvarande 6 § andra stycket), under vilka förutsättningar sökning får utföras med stöd av 5 § (vilket motsvarar nuvarande 7 § tredje stycket) och omfattningen av direktåtkomst och behörighet och säkerhet vid sådan åtkomst (vilket motsvarar nuvarande 8 § tredje stycket).

4 kap.

1 §

De bestämmelser som anger hur länge personuppgifter som be- handlas enligt lagen får behandlas är samlade i detta kapitel.

I första stycket, som är nytt, föreskrivs att bestämmelserna i kapitlet endast gäller för uppgifter som behandlas automatiserat.

967

Författningskommentar

SOU 2017:74

Andra stycket upplyser om att den grundläggande bestämmelsen om att personuppgifter inte får behandlas längre än vad som är nödvändigt med hänsyn till ändamålet med behandlingen finns i 2 kap. 17 § första stycket brottsdatalagen (2018:000). I övriga para- grafer i kapitlet anges hur länge vissa typer av personuppgifter får behandlas inom den ram som sätts av denna huvudregel. Oavsett vilken bedömning som görs av nyttan med behandlingen av en viss personuppgift får den dock inte behandlas längre än vad som anges i respektive paragraf.

2 §

I paragrafen anges hur länge uppgifter som inte har gjorts gemen- samt tillgängliga får behandlas. Frågan behandlas i avsnitt 5.5.2. Någon ändring av ur länge personuppgifterna får behandlas görs inte.

I första stycket klargörs att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) om att arkiv- lagstiftningen har företräde, inte får arkiveras digitalt. Utgångs- punkten är alltså att all automatiserad behandling av personupp- gifterna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att uppgifterna ska tas bort. Endast om det har med- delats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för veten- skapliga, statistiska eller historiska ändamål får de behandlas auto- matiserat längre än vad som anges i denna paragraf (jfr 9 §).

Andra stycket är oförändrat.

3 §

I paragrafen anges hur länge personuppgifter i en anmälan om brott får behandlas. Paragrafen ändras till följd av att uttrycket brotts- bekämpande verksamhet utmönstras ur lagen, vilket behandlas i avsnitt 4.4.1.

968

SOU 2017:74

Författningskommentar

mål efter de tidpunkter som anges i paragrafen. Frågan behandlas i avsnitt 5.5.3.

4 §

Paragrafen reglerar hur länge personuppgifter i förundersökningar och andra utredningar som handläggs enligt bestämmelser i 23 kap. rättegångsbalken får behandlas.

Enligt paragrafen inskränks enbart behandlingen av personupp- gifter för de ändamål som regleras i lagen, vilket innebär att uppgif- terna får fortsätta att behandlas automatiserat för bl.a. arkivända- mål efter de tidpunkter som anges i paragrafen. Frågan behandlas i avsnitt 5.5.3.

Första och andra styckena ändras till följd av att uttrycket brottsbekämpande verksamhet utmönstras ur lagen. Vidare anpas- sas terminologin till den som används i lagen i övrigt och vissa redaktionella ändringar görs. Frågorna behandlas i avsnitt 4.4.1 och 5.5.2.

Tredje stycket är oförändrat.

6 §

I paragrafen anges att det i de följande paragraferna finns bestäm- melser om hur länge vissa typer av gemensamt tillgängliga uppgif- ter, som inte förekommer i ärenden om utredning av eller lagföring för brott, får behandlas. Det klargörs att uppgifterna, trots det som sägs i 2 kap. 17 § andra stycket brottsdatalagen (2018:000) om att arkivlagstiftningen har företräde, inte får arkiveras digitalt. Ut- gångspunkten är alltså att all automatiserad behandling av person- uppgifterna ska upphöra när den tid som anges i 7och 8 §§ har löpt ut, vilket innebär att uppgifterna ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i de följande paragraferna (jfr 9 §). Frågan behandlas i avsnitt 5.5.2.

969

Författningskommentar

SOU 2017:74

7 §

Paragrafen reglerar hur länge personuppgifter får behandlas i underrättelseverksamhet. Någon ändring i fråga om hur länge per- sonuppgifterna får behandlas görs inte. Paragrafen anpassas till den terminologi som används i lagen i övrigt.

Det tydliggörs att fristen för hur länge personuppgifter får be- handlas endast ska påverkas av om det görs en ny registrering be- träffande personens anknytning till brottslig verksamhet. Andra uppgifter som tillförs, t.ex. uppgifter om ändrade bostadsförhål- landen eller annat som inte har betydelse för anknytningen till den brottsliga verksamheten, påverkar alltså inte hur länge personupp- gifterna får behandlas. Frågan behandlas i avsnitt 5.5.4.

8 §

Paragrafen, som motsvarar nuvarande 8 § tredje stycket, reglerar hur länge uppgifter som behövs för att fullgöra internationella åta- ganden får behandlas. Paragrafen anpassas till den terminologi som används i lagen i övrigt.

9 §

I paragrafen, som motsvarar nuvarande 2 §, upplyses om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om att vissa kategorier av personuppgifter får behandlas längre än vad som anges i 3, 4, 7 och 8 §§, om att person- uppgifter, trots att den tillåtna tiden för behandling har löpt ut, får fortsätta att behandlas för arkivändamål av allmänt intresse och vetenskapliga, statistiska eller historiska ändamål och om begräns- ning av behandlingen av personuppgifter för ändamål inom lagens tillämpningsområde för digital arkivering.

970

SOU 2017:74

Författningskommentar

5 kap. Administrativa sanktionsavgifter och rättsmedel

Administrativa sanktionsavgifter

1 §

Paragrafen, som är ny, reglerar vilka överträdelser som kan föran- leda sanktionsavgift. Frågan behandlas i avsnitt 5.4.2.

I första stycket anges vid vilka överträdelser sanktionsavgift får tas ut av den personuppgiftsansvarige. Tillsynsmyndigheten avgör i det enskilda fallet om det är påkallat att ta ut sanktionsavgift, vilket framgår av formuleringen att avgift får tas ut. Uppräkningen av vilka överträdelser som kan föranleda sanktionsavgift är uttöm- mande. Sanktionsavgift kan tas ut för överträdelse av bestämmel- serna om tillåtna rättsliga grunder, särskilda upplysningar och längsta tid som personuppgifter får behandlas. Brottsdatalagens förfaranderegler när det gäller sanktionsavgift tillämpas även vid överträdelser enligt denna lag. I brottsdatalagen med tillhörande förordning regleras också handläggningen av frågor om sanktions- avgift.

Skadestånd

2 §

I paragrafen regleras den registrerades rätt till skadestånd för be- handling av personuppgifter i strid med regelverket. Paragrafen be- handlas i avsnitt 5.4.3.

971

Författningskommentar

SOU 2017:74

ideell skada som består i att den enskildes integritet kränkts genom behandlingen. Någon möjlighet till jämkning av skadeståndet finns inte.

Överklagande

3 §

I paragrafen, som behandlas i avsnitt 5.4.4, upplyses om att det i 7 kap. brottsdatalagen (2018:000) finns bestämmelser om överkla- gande och om vilka beslut som får överklagas.

Övergångsbestämmelser

Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 18.1 och 18.2.

Punkten 1 föreskriver när lagen ska träda i kraft.

Sanktionsavgift får enligt punkten 2 beslutas endast för överträ- delser som har begåtts efter ikraftträdandet.

20.22Förslaget till lag om ändring i lagen (2017:496) om internationellt polisiärt samarbete

6 kap.

1 §

I paragrafen regleras hur bestämmelserna i lagen förhåller sig till andra bestämmelser om behandling av personuppgifter. Frågan be- handlas i avsnitt 17.3.

Av paragrafen framgår att brottsdatalagen och de registerför- fattningar som gäller för Polismyndigheten, Säkerhetspolisen, Kustbevakningen respektive Tullverket gäller vid behandling av personuppgifter i internationellt polisiärt samarbete, om det inte

972

SOU 2017:74

Författningskommentar

finns avvikande bestämmelser i förevarande lag eller föreskrifter som regeringen har meddelat i anslutning till den. Vidare ändras hänvisningarna till de lagar som byter namn, vilket behandlas i av- snitt 7.1.2, 8.1.2, 9.1.2 och 14.2.2.

7 kap.

1 §

Paragrafen reglerar direktåtkomst till och sökning i referensupp- gifter i dna-register. I tredje stycket ändras en hänvisning till en lag som byter namn, vilket behandlas i avsnitt 7.1.2. I övrigt är para- grafen oförändrad.

3 §

Paragrafen reglerar direktåtkomst till referensuppgifter i fingerav- trycksregister. Ändringen är av samma slag som i 1 §.

4 §

Paragrafen reglerar sökning i fingeravtrycksregister. Ändringen är av samma slag som i 1 §.

7 §

Paragrafen hänvisar i fråga om skadestånd till bestämmelsen i 7 kap. 1 § brottsdatalagen (2018:000). Den behandlas i avsnitt 17.3. Vad hänvisningen innebär utvecklas i kommentaren till 7 kap. 2 § poli- sens brottsdatalag (2010:361). Vidare görs en redaktionell ändring.

973

Författningskommentar

SOU 2017:74

8 kap.

3 §

Paragrafen hänvisar i fråga om skadestånd till bestämmelsen i 7 kap. 1 § brottsdatalagen (2018:000). Ändringen är av samma slag som i 7 kap. 7 §.

9 kap.

4 §

Paragrafen, som behandlas i avsnitt 17.3, reglerar överföring av personuppgifter som hämtats från VIS till tredjeland eller en inter- nationell organisation.

Första stycket är oförändrat.

Av andra stycket punkten 4 framgår att bestämmelserna i 8 kap. 1 § brottsdatalagen (2018:000) om överföring av personuppgifter till tredjeland eller internationella organisationer ska vara uppfyllda.

5 §

Paragrafen hänvisar i fråga om skadestånd till bestämmelsen i 7 kap. 2 § brottsdatalagen (2018:000). Ändringen är av samma slag som i 7 kap. 7 §.

10 kap.

1 §

Paragrafen reglerar direktåtkomst till referensuppgifter i fingerav- trycksregistret. Hänvisningen till personuppgiftslagen (1998:204) tas bort och hänvisningen till en lag som byter namn ändras, vilket behandlas i avsnitt 7.1.2.

974

SOU 2017:74

Författningskommentar

2 §

Paragrafen reglerar det svenska kontaktställets sökning i amerikan- ska fingeravtrycksregister och i vilken utsträckning behandling är tillåten. En hänvisning till en lag som byter namn ändras, vilket behandlas i avsnitt 7.1.2.

3 §

Paragrafen hänvisar i fråga om skadestånd till bestämmelsen i 7 kap. 2 § brottsdatalagen (2018:000). Ändringen är av samma slag som i 7 kap. 7 §.

Övergångsbestämmelser

Ikraftträdande- och övergångsbestämmelserna tas upp i avsnitt 18.1 och 18.2.

Punkten 1 föreskriver när lagen ska träda i kraft.

Punkten 2 innebär att bestämmelsen om skadestånd i 48 § per- sonuppgiftslagen fortfarande ska gälla för skada som har orsakats före ikraftträdandet vid behandling av personuppgifter med stöd lagen eller föreskrifter som har meddelats i anslutning till den.

20.23Förslaget till lag om ändring i brottsdatalagen (2018:000)

2 kap.

4 §

I paragrafen regleras förutsättningarna för att personuppgifter ska få behandlas för ett nytt ändamål inom lagens tillämpningsområde.

I första stycket görs endast en redaktionell ändring.

I andra stycket, som är nytt och behandlas i avsnitt 6.5, före- skrivs att någon prövning enligt första stycket inte behöver göras i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning. I de fall där det i lag eller förordning bara föreskrivs en möjlighet, men ingen skyldighet, att lämna personuppgifter ska det

975

Författningskommentar

SOU 2017:74

däremot prövas om uppgiftslämnandet är nödvändigt och propor- tionerligt. En prövning ska också göras innan uppgifter lämnas med stöd av 6 kap. 5 § offentlighets- och sekretesslagen (2009:400).

13 §

Av paragrafen framgår vad som är känsliga personuppgifter. Det tydliggörs att vad som betecknas som känsliga personuppgifter inte enbart gäller enligt lagen, utan även för författningar som gäller ut- över brottsdatalagen.

18 §

Den personuppgiftsansvarige är enligt paragrafen skyldig att årligen se över behovet av att fortsätta att behandla personuppgifter för vilka det inte i lag eller författning är föreskrivet hur länge de får behandlas. I paragrafen, som behandlas i avsnitt 5.5.3, tydliggörs att regleringen enbart avser behandling för ändamål inom lagens till- lämpningsområde. Det innebär att personuppgifterna får behandlas automatiserat för bl.a. arkivändamål.

21 §

Paragrafen, som är ny och behandlas i avsnitt 5.4.5, reglerar be- handling av personuppgifter som är nödvändiga för att framställa rättsstatistiken. Sådana uppgifter ska enligt paragrafen lämnas till den som ansvarar för att framställa sådan statistik. Enligt 2 § för- ordningen (2016:1201) med instruktion för Brottsförebyggande rådet ansvarar myndigheten för kriminalstatistiken. I 24 kap. 8 § första stycket offentlighets- och sekretesslagen (2009:400) före- skrivs att absolut sekretess gäller för uppgifter om enskilds person- liga eller ekonomiska förhållanden i sådan särskild verksamhet hos en myndighet som avser framställning av statistik.

976

SOU 2017:74

Författningskommentar

22 §

Paragrafen anger vad som gäller när fråga uppkommer om att be- handla personuppgifter, som behandlas med stöd av lagen, för nya ändamål utanför lagens tillämpningsområde.

I första stycket ändras hänvisningen till artikel 2.2 d i Europapar- lamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning). Av regleringen framgår att dataskyddsförordningen ska tillämpas när en behörig myndighet behandlar personuppgifter för ändamål utanför lagens tillämpningsområde. Det innebär att de förutsätt- ningar för behandling av personuppgifter som anges där, t.ex. att det finns en rättslig grund för behandling enligt artikel 6.1, måste vara uppfyllda för att personuppgifterna ska få behandlas.

Innan personuppgifter som behandlas med stöd av lagen be- handlas för ett nytt ändamål utanför lagens tillämpningsområde ska det enligt andra stycket, som är nytt, säkerställas att behandlingen är nödvändig och proportionerlig för det ändamålet. I kravet på proportionalitet ligger att skälen för den nya behandlingen ska väga tyngre än det intrång som behandlingen innebär för den enskilde. Det som står att vinna med behandlingen ska alltså vägas mot in- trånget i enskildas integritet. Det har också betydelse vilka person- uppgifter det är fråga om och för vilket syfte de ska användas. Någon prövning av om behandlingen för det nya ändamålet är för- enlig med det ändamål för vilket uppgifterna ursprungligen be- handlades behöver däremot inte göras. Ändringen behandlas i av- snitt 6.4.2 och 6.4.3.

I tredje stycket, som är nytt och behandlas i avsnitt 6.5, före- skrivs att någon prövning enligt andra stycket inte behöver göras i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning. I de fall där det i lag eller förordning bara föreskrivs en möjlighet, men ingen skyldighet, att lämna personuppgifter ska det däremot prövas om uppgiftslämnandet är nödvändigt och pro- portionerligt. En prövning ska också göras i de fall där uppgifter lämnas med stöd av 6 kap. 5 § offentlighets- och sekretesslagen (2009:400).

977

Författningskommentar

SOU 2017:74

3 kap.

16 §

I paragrafen, som är ny och behandlas i avsnitt 17.1, regleras data- skyddsombudens tystnadsplikt.

I första stycket föreskrivs att ett dataskyddsombud inte obehöri- gen får röja eller utnyttja det som han eller hon i den rollen har fått veta om enskilds personliga eller ekonomiska förhållanden. Be- stämmelsen är tillämplig på den som har utsetts till dataskyddsom- bud av någon annan aktör än en myndighet eller annat organ som tillämpar offentlighets- och sekretesslagen.

Om dataskyddsombudet har en sådan anställning eller uppdrag som avses i 2 kap. 1 § offentlighets- och sekretesslagen tillämpas i stället den lagen, vilket framgår av andra stycket.

6 kap.

1 §

Paragrafen reglerar vid vilka överträdelser sanktionsavgift får tas ut av en personuppgiftsansvarig.

I första stycket punkten 1 läggs 2 kap. 22 § andra stycket till i uppräkningen av vilka överträdelser som kan föranleda sanktions- avgift. Ändringen behandlas i avsnitt 6.4.3. Stycket är i övrigt oför- ändrat.

Andra stycket är oförändrat.

978

Bilaga 1

Kommittédirektiv 2016:21

Genomförande av EU:s direktiv om skydd av personuppgifter vid brottsbekämpning, brottmålshantering och straffverkställighet

Beslut vid regeringssammanträde den 17 mars 2016

Sammanfattning

Inom kort förväntas EU besluta om ett direktiv med regler om skydd av personuppgifter när behöriga myndigheter behandlar så- dana uppgifter vid brottsbekämpning, brottmålshantering eller straffverkställighet. En särskild utredare ska föreslå hur EU-direk- tivet ska genomföras i svensk rätt. Utredaren ska bl.a.

lämna förslag till en ny ramlagstiftning med bestämmelser om skydd av personuppgifter inom direktivets tillämpningsområde,

lämna de förslag till författningsändringar som krävs för att anpassa vissa centrala författningar om rättsväsendets behand- ling av personuppgifter till de nya förutsättningarna,

bedöma om direktivet ger anledning till ny eller ändrad reglering om tillsyn och vid behov lämna författningsförslag,

bedöma om det finns anledning att reglera Säkerhetspolisens personuppgiftsbehandling separat från den lagstiftning som gäller för Polismyndigheten och vid behov lämna författnings- förslag.

979

Bilaga 1

SOU 2017:74

Utredaren ska senast den 1 april 2017 i ett delbetänkande redovisa uppdraget i den del det rör dels en ny ramlagstiftning, dels tillsyn inom direktivets tillämpningsområde. Uppdraget ska slutredovisas senast den 30 september 2017.

Den nuvarande regleringen och EU:s dataskyddsreform

Några grundläggande bestämmelser om skydd av personuppgifter vid brottsbekämpning

Grundläggande bestämmelser till skydd för den personliga inte- griteten finns i regeringsformen. I 1 kap. 2 § första stycket slås det fast att den offentliga makten ska utövas med respekt bl.a. för den enskilda människans frihet och i fjärde stycket anges bl.a. att det allmänna ska värna den enskildes privatliv och familjeliv. Enligt 2 kap. 6 § andra stycket är var och en gentemot det allmänna skyd- dad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Behandling av personupp- gifter i brottsbekämpande myndigheters verksamhet kan typiskt sett falla under bestämmelsen. Inskränkningar i det grundlagsfästa skyddet kan endast göras genom lag och bara under de förut- sättningar som anges i 2 kap. regeringsformen.

I EU:s stadga om de grundläggande rättigheterna (EUT C 83, 30.3.2010, s. 389) bekräftas de rättigheter som har sin grund i med- lemsstaternas gemensamma författningstraditioner och internation- ella förpliktelser, Europakonventionen, unionens och Europarådets sociala stadgor samt rättspraxis vid Europeiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna. Artikel 8 i stadgan reglerar skydd av personuppgifter. Enligt artikeln har var och en rätt till skydd av de personuppgifter som rör honom eller henne. Sådana uppgifter ska behandlas lagenligt för bestämda ända- mål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få dem rättade. En oberoende myndighet ska kontrollera att reglerna efterlevs.

I detta sammanhang bör även artikel 8 i Europakonventionen nämnas. Enligt artikeln har var och en rätt till respekt för sitt

980

SOU 2017:74

Bilaga 1

privat- och familjeliv, sitt hem och sin korrespondens. Med detta avses bl.a. skyddet av personuppgifter. Rättigheten är dock inte absolut. Inskränkningar får göras med stöd av lag och om det är nödvändigt och proportionerligt i ett demokratiskt samhälle med hänsyn till vissa särskilt angivna ändamål, bl.a. förebyggande av oordning och brott.

Den nuvarande EU-regleringen

Den allmänna regleringen om behandling av personuppgifter inom EU finns i dag i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med av- seende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivet gäller inte på området för polissamarbete och straffrättsligt samarbete och inte heller på området för nationell säkerhet.

Den nuvarande EU-regleringen i rådets rambeslut 2008/977/RIF av den 27 november 2008 om skydd av personuppgifter som behand- las inom ramen för polissamarbete och straffrättsligt samarbete (dataskyddsrambeslutet) är tillämplig på informationsutbyte över gränserna. Dataskyddsrambeslutet är alltså tillämpligt på uppgifter som överförs eller görs tillgängliga mellan medlemsstater eller mellan medlemsstater och EU-organ och vissa informationssystem. Data- skyddsrambeslutet gäller däremot inte för rent nationell person- uppgiftsbehandling. Från tillämpningsområdet undantas också per- sonuppgiftsbehandling inom området nationell säkerhet.

Den nuvarande svenska regleringen

Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204). Personuppgiftslagen har gjorts generellt tillämplig vilket innebär att den gäller även utanför EU-rättens tillämpningsområde och alltså reglerar behandling av personuppgifter oavsett ändamålet med behandlingen. Personupp- giftslagen är dock subsidiär i förhållande till andra lagar och för- ordningar. Inom flera områden, bl.a. när det gäller brottsbekämp- ning, finns särlagstiftning i s.k. registerförfattningar som helt eller delvis ersätter personuppgiftslagen. När särregleringen helt ersätter

981

Bilaga 1

SOU 2017:74

personuppgiftslagen, görs som regel hänvisningar till vissa para- grafer i lagen som ändå ska gälla. Sådana hänvisningar görs ofta till personuppgiftslagens bestämmelser om bl.a. information till den registrerade, rättelser, säkerheten vid behandling, överföring av personuppgifter till tredjeland, tillsynsmyndighetens befogenheter och skadestånd.

Vid genomförandet av dataskyddsrambeslutet bedömdes mer- parten av rambeslutets artiklar motsvaras av bestämmelser i svensk rätt, dels i personuppgiftslagen, dels i berörda myndigheters register- författningar. De kompletterande bestämmelser som krävdes genomfördes i en särskild lag, lagen (2013:329) med vissa bestäm- melser om skydd för personuppgifter vid polissamarbete och straff- rättsligt samarbete inom Europeiska unionen.

EU:s dataskyddsreform

Inom kort väntas en ny EU-förordning antas om skydd för en- skilda personer med avseende på behandling av personuppgifter och det fria flödet av sådana uppgifter (nedan dataskyddsförord- ningen).1 Samtidigt väntas ett nytt EU-direktiv antas om skydd för enskilda personer med avseende på behöriga myndigheters behand- ling av personuppgifter för att förebygga, utreda, upptäcka eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter (nedan det nya dataskyddsdirektivet).2

Dataskyddsförordningen utgör en ny generell reglering för personuppgiftsbehandling inom EU och kommer att ersätta data- skyddsdirektivet från år 1995. Den börjar tillämpas två år räknat från den tjugonde dagen efter publicering i Europeiska unionens officiella tidning. Det huvudsakliga syftet med förordningen är att ytterligare harmonisera och effektivisera skyddet för personuppgifter för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter.

Från dataskyddsförordningens tillämpningsområde undantas bl.a. personuppgiftsbehandling som utförs av behöriga myndig-

1Kommittédirektiven utgår från den version av förslaget som finns i dok 5455/16 av den

28januari 2016.

2Kommittédirektiven utgår från den version av förslaget som finns i dok 5463/16 av den

28januari 2016.

982

SOU 2017:74

Bilaga 1

heter i syfte att förebygga, utreda, upptäcka eller lagföra brott eller verkställa straff, inkluderande skydd mot samt förebyggande av hot mot den allmänna säkerheten. Den personuppgiftsbehandling som görs för dessa syften faller i stället under det nya dataskyddsdirek- tivets tillämpningsområde. Direktivet ska dels skydda fysiska personers grundläggande fri- och rättigheter, särskilt deras rätt till skydd av personuppgifter, dels underlätta det informationsutbyte mellan behöriga myndigheter som är nödvändigt enligt unionsrätt eller nationell rätt.

Från både förordningens och direktivets tillämpningsområden undantas personuppgiftsbehandling i verksamhet som inte om- fattas av unionsrätten, däribland området nationell säkerhet.

EU:s dataskyddsreform kommer att kräva en bred översyn av svenska författningar om personuppgiftsbehandling. Bland övrigt utredningsarbete bör nämnas att en särskild utredare har i uppdrag att föreslå de anpassningar och kompletterande författnings- bestämmelser på generell nivå som dataskyddsförordningen ger anledning till (dir. 2016:15). Den utredningen syftar till att säker- ställa att det finns en ändamålsenlig och välbalanserad komplette- rande nationell reglering om personuppgiftsbehandling när förord- ningen börjar tillämpas.

Uppdraget att föreslå hur EU-direktivet ska genomföras i svensk rätt

En väl avvägd balans är nödvändig mellan å ena sidan skyddet för den personliga integriteten och å andra sidan samhällets krav på att brott förebyggs och förhindras, att brott utreds och att personer som begår brott lagförs. Den svenska regleringen om skydd av personuppgifter inom direktivets tillämpningsområde har i stor utsträckning nyligen moderniserats och bedömts ändamålsenlig. En avvägning mellan olika intressen har då gjorts. En allmän utgångs- punkt för uppdraget är därför att utredaren ska sträva efter princi- piella lösningar som ansluter till nuvarande systematik i bl.a. polis- datalagen (2010:361), åklagardatalagen (2015:433) och domstols- datalagen (2015:728). Även i övrigt ska utredaren så långt det är lämpligt och möjligt sträva efter principiella lösningar som är för- enliga med gällande författningar och systematik. Vid utformning- en av de författningsförslag som lämnas ska utredaren beakta EU:s

983

Bilaga 1

SOU 2017:74

stadga om de grundläggande rättigheterna och de internationella konventioner på området som Sverige är förpliktat att följa. Lik- som vid all lagstiftning ska enkelhet, överskådlighet och konse- kvens eftersträvas för det samlade regelverket om skydd av person- uppgifter. I detta ligger också att förslagen så långt som möjligt ska vara kostnadseffektiva.

Direktivet kommer att vara ett resultat av förhandlingar och kompromisser i och mellan kommissionen, rådet och Europaparla- mentet, vilket kan medföra oklarheter och otydligheter i text och systematik. Utredaren ska därför eftersträva att innebörden av direktivet vid behov förklaras och tydliggörs.

En ny ramlagstiftning för skydd av personuppgifter vid brottsbekämpning, brottmålshantering och straffverkställighet

Det nya dataskyddsdirektivet innehåller ett antal bestämmelser som innebär förpliktelser för medlemsstaterna. Medlemsstaterna ska vidta de åtgärder som är nödvändiga för att följa bestämmel- serna i direktivet.

I förhållande till nuvarande svensk reglering innehåller direk- tivet en delvis ny eller mer detaljerad reglering om rättigheter för enskilda och om skyldigheter för personuppgiftsansvariga eller biträden när det gäller bl.a. datasäkerhet, dokumentation och logg- ning, konsekvensanalyser och förhandssamråd med tillsynsmyndig- het och regler om underrättelser vid s.k. personuppgiftsincidenter.

Direktivet innehåller också regler som anpassats för rättsaktens tillämpningsområde om överföring av personuppgifter till tredje- land och internationella organisationer. Även när det gäller upp- gifter och befogenheter för en tillsynsmyndighet innehåller direk- tivet särskilt anpassade bestämmelser.

Enligt direktivet har enskilda vissa rättigheter, bl.a. att vända sig till en tillsynsmyndighet med klagomål, att få tillgång till rätts- medel både mot tillsynsmyndighetens beslut och mot åtgärder av en personuppgiftsansvarig eller biträde samt att få ersättning av an- svariga som inte lever upp till direktivets krav. Direktivet förpliktar även medlemsstater att föreskriva regler om påföljder eller sank- tioner vid överträdelser av bestämmelser som genomför direktivet.

Direktivets tillämpningsområde omfattar personuppgiftsbe- handling som utförs av behöriga myndigheter i syfte att förebygga,

984

SOU 2017:74

Bilaga 1

utreda, upptäcka eller lagföra brott eller verkställa straff, inkluderande skydd mot samt förebyggande av hot mot den all- männa säkerheten. Det finns behov av att utifrån svenska för- hållanden analysera och beskriva direktivets tillämpningsområde. Det behöver bl.a. analyseras i vilken utsträckning även person- uppgiftsbehandling vid andra myndigheter än dem som ingår i rättskedjan, exempelvis Statens institutionsstyrelse och Rätts- medicinalverket, omfattas av direktivets förpliktelser.

Som framgått är det personuppgiftslagen som i dag i huvudsak innehåller reglering av motsvarande slag som det nya dataskydds- direktivet kräver. När den nya dataskyddsförordningen börjar tillämpas kommer dock personuppgiftslagen och föreskrifter i anslutning till den lagen att behöva upphävas. Det regelverk som ersätter personuppgiftslagen – förordningen och kompletterande nationella bestämmelser – är inte anpassat till de särskilda förut- sättningar som gäller för personuppgiftsbehandling inom området för brottsbekämpning, brottmålshantering och straffverkställighet. Det bedöms emellertid fortfarande vara lämpligt med ett så långt som möjligt gemensamt regelverk om behandling av personupp- gifter för de myndigheter som bedriver verksamhet inom det aktuella området. Det behövs därför en ny svensk ramlagstiftning för skydd av personuppgifter inom direktivets tillämpningsområde och att utredaren utgår från detta vid analyser, bedömningar och förslag.

Efter en analys av direktivets tillämpningsområde är det möjligt att utredaren bedömer att myndigheter som för närvarande inte omfattas av särreglering i registerförfattningar kommer att om- fattas av direktivets krav. Det finns därför anledning att i första hand undersöka om den nya ramlagstiftningen kan utformas på ett sätt som inte förutsätter att det tas fram nya, kompletterande, registerförfattningar för sådana myndigheter.

Det behöver analyseras hur direktivets förpliktelser förhåller sig till svensk rätt. Förutom en övergripande analys avseende för- hållandet till svensk reglering av personuppgiftsbehandling inom direktivets tillämpningsområde, behöver analysen omfatta för- hållandet till nationell reglering avseende sekretess och arkiv lik- som förvaltningsrätt, processrätt och skadeståndsrätt. Behovet av analys omfattar exempelvis frågan om hur direktivets utrymme för begränsningar av enskildas rätt till information eller tillgång till sina

985

Bilaga 1

SOU 2017:74

egna personuppgifter förhåller sig till svensk sekretessreglering och hur möjligheterna att anpassa tidpunkten för den enskildes ut- övande av rätten till insyn förhåller sig till nationella straff- processuella bestämmelser.

Direktivet innehåller en bestämmelse om att dataskyddsram- beslutet ska upphävas. Frågan är vilka konsekvenser det får för den svenska lagstiftning som delvis genomförde rambeslutet, lagen med vissa bestämmelser om skydd för personuppgifter vid polissam- arbete och straffrättsligt samarbete inom Europeiska unionen.

Utredaren ska alltså

analysera och beskriva direktivets tillämpningsområde,

analysera hur svensk rätt förhåller sig till direktivets för- pliktelser,

bedöma i vilka avseenden ny eller ändrad författningsreglering krävs för att Sverige ska leva upp till förpliktelserna,

lämna förslag till en ny ramlagstiftning för skydd av personupp- gifter inom direktivets tillämpningsområde,

ta ställning till om lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen bör upphävas och vid behov lämna förslag till författningsändringar, och

om det behövs, lämna förslag till författningsändringar även på andra områden än den reglering som närmast rör personupp- giftsbehandling.

Hur behöver centrala författningar om rättsväsendets personuppgiftsbehandling anpassas?

Inom det nya dataskyddsdirektivets tillämpningsområde hanterar rättsväsendet en stor mängd information som innebär behandling av personuppgifter. Ett antal författningar är i detta avseende av central betydelse. Det gäller polisdatalagen, lagen (1999:90) om behandling av personuppgifter vid Skatteverkets medverkan i brottsutredningar, lagen (2005:787) om behandling av uppgifter i Tullverkets brotts- bekämpande verksamhet, kustbevakningsdatalagen (2012:145), åklagardatalagen, domstolsdatalagen och lagen (2001:617) om

986

SOU 2017:74

Bilaga 1

behandling av personuppgifter inom kriminalvården. De berörda lagarna kompletteras av förordningar.

Det krävs en närmare analys och bedömning av i vilken ut- sträckning direktivets förpliktelser medför behov av ändringar av de angivna lagarna och de tillhörande förordningarna. Det kommer också att krävas en anpassning av de angivna författningarna med anledning av en ny ramlagstiftning för skydd av personuppgifter inom direktivets tillämpningsområde när personuppgiftslagen upp- hävs.

Utredaren ska därför

analysera och bedöma behovet av författningsändringar för att anpassa de angivna författningarna till direktivets förpliktelser och de nya förutsättningarna för regleringen, och

lämna förslag till författningsändringar.

Inom direktivets tillämpningsområde berörs, utöver de angivna lagarna och förordningarna, även andra författningar av direktivets förpliktelser eller andra delar av EU:s dataskyddsreform. Det gäller t.ex. lagen (1998:620) om belastningsregister och lagen (1998:621) om misstankeregister. Det ligger dock inte inom ramen för utredarens uppdrag att se över behovet av ändringar när det gäller de lagarna eller andra författningar som inte har angetts här.

Personuppgiftsbehandling vid tillhandahållande av information – bör även dataskyddsförordningens reglering kompletteras?

Polismyndigheten, Skatteverket, Tullverket, Kustbevakningen, åklagarväsendet, domstolsväsendet och Kriminalvården kommer att tillämpa regleringen i dataskyddsförordningen när de behandlar personuppgifter i verksamhet som utförs i annat syfte än att bekämpa brott, hantera brottmål eller verkställa straff. Som en ut- gångspunkt ingår det inte i utredarens uppdrag att se över eller lämna förslag till förändringar av författningar inom förordningens tillämpningsområde. Det gäller även i den utsträckning t.ex. kust- bevakningsdatalagen eller domstolsdatalagen reglerar behandling av personuppgifter inom förordningens tillämpningsområde.

Enligt det nya dataskyddsdirektivets artikel 7a ska person- uppgifter som samlas in av behöriga myndigheter i syfte att

987

Bilaga 1

SOU 2017:74

bekämpa brott, hantera brottmål eller verkställa straff inte därefter behandlas för andra ändamål än de som ryms inom direktivets tillämpningsområde, om inte sådan behandling är tillåten enligt unionsrätten eller nationell rätt. I sådana fall ska dataskyddsförord- ningen tillämpas på denna behandling, om inte behandlingen utförs som ett led i en verksamhet som inte omfattas av unionsrätten. Förordningens reglering tillämpas alltså redan vid tillhandahållan- det när t.ex. uppgifter som samlats in under en förundersökning överförs för ändamål som faller utanför direktivets tillämpnings- område. Enligt den nuvarande svenska regleringen finns bestäm- melser som reglerar tillåtligheten av behandling för sådant tillhan- dahållande, s.k. sekundära ändamål, i den författning som reglerar myndighetens behandling av personuppgifter för brottsbekäm- pande ändamål (se t.ex. 2 kap. 8 § polisdatalagen).

Förordningen ger ett visst utrymme för medlemsstaterna att behålla eller införa mer specifika bestämmelser om hur bestäm- melserna i förordningen ska tillämpas (förordningens artikel 6.2 a). Det krävs en analys och bedömning av i vilken utsträckning det är möjligt och lämpligt att utnyttja förordningens utrymme att be- hålla eller införa specifik reglering i svensk rätt som tar sikte på den typ av situation som beskrivits.

Utredaren ska därför

analysera om det finns utrymme för och behov av att inom för- ordningens tillämpningsområde införa eller behålla specifik reg- lering i svensk rätt om behandling av personuppgifter för till- handahållande av information, och

vid behov föreslå författningsändringar.

Hur behöver reglerna om tillsyn anpassas?

Tillsyn över behandling av personuppgifter inom det nya data- skyddsdirektivets tillämpningsområde utövas i dag av Datainspek- tionen. Säkerhets- och integritetsskyddsnämnden har också ett till- synsuppdrag och granskar bl.a. brottsbekämpande myndigheters användning av hemliga tvångsmedel och polisens personuppgifts- behandling. Att Datainspektionens tillsyn kompletteras med tillsyn av en myndighet med särskild uppgift att utöva tillsyn över person- uppgiftsbehandling i bl.a. polisens brottsbekämpande verksamhet

988

SOU 2017:74

Bilaga 1

har ansetts innebära möjligheter att inrikta tillsynen på de områden som kan ge upphov till särskilda risker från integritetssynpunkt (prop. 2009/10:85 s. 273 f.).

Det nya dataskyddsdirektivet innehåller flera bestämmelser som rör tillsyn, bl.a. tillsynsmyndighetens befogenheter. Det ligger i utredarens uppdrag att föreslå hur direktivets förpliktelser ska genomföras även när det gäller bestämmelserna om tillsyn. Det finns dock några frågor om tillsyn som inte ingår i uppdraget på grund av att de omhändertas av andra utredningar.

Utredningen om tillsynen över den personliga integriteten (Ju 2015:02), som ska redovisa sitt uppdrag senast den 30 september 2016, ska bl.a. lämna de förslag som behövs för att den myndighet för tillsyn som utredningen kommer att föreslå ska kunna fullgöra de uppgifter som den nu aktuella EU-reformen medför. Det får därför anses ligga inom ramen för det uppdraget att omhänderta vissa frågor om genomförandet av direktivet. Hit hör frågor om anpassning till direktivets förpliktelser avseende organisation, ut- nämningen respektive avsättandet av medlemmar samt resurser och anknytande frågor för den myndigheten. Dessa frågor ingår alltså inte i utredarens uppdrag.

Det ligger vidare inom ramen för uppdraget för den särskilda utredare som har i uppdrag att föreslå anpassningar på generell nivå som förordningen ger anledning till att bl.a. analysera om det finns behov av författningsändringar med avseende på tystnadsplikt hos tillsynsmyndigheten till skydd för enskild. Eftersom direktivets krav i denna del överensstämmer med förordningens ingår inte heller denna fråga i utredarens uppdrag.

Med en utgångspunkt i att Säkerhets- och integritetsskydds- nämnden även i fortsättningen utövar tillsyn inom direktivets tillämpningsområde finns det behov av att också med avseende på nämnden se över om och i vilken utsträckning en ny reglering eller ändringar i svensk rätt krävs med anledning av direktivets för- pliktelser. Detta ingår i sin helhet i utredarens uppdrag.

Utredaren ska alltså, med undantag för de frågor som angetts ingå i andra utredningars uppdrag,

analysera och bedöma om direktivet föranleder behov av ny eller ändrad reglering om tillsyn, och

vid behov föreslå författningsändringar.

989

Bilaga 1

SOU 2017:74

Uppdraget att bedöma hur Säkerhetspolisens personuppgiftsbehandling bör regleras

Den 1 januari 2015 ombildades Säkerhetspolisen till en fristående myndighet. Regleringen av Säkerhetspolisens behandling av person- uppgifter har anpassats till de nya förhållandena (se prop. 2014/15:94), men myndighetens behandling av personuppgifter regleras fortfarande i polisdatalagen med tillhörande förordning.

EU:s dataskyddsreform kommer att medföra ett förändrat regelverk för nationell personuppgiftsbehandling. Samtidigt är centrala delar av Säkerhetspolisens verksamhet av sådant slag att unionsrätten inte är tillämplig.

De förändringar i nationell rätt som föranleds av EU:s data- skyddsreform innebär att det behövs en analys och bedömning av på vilket sätt Säkerhetspolisens personuppgiftsbehandling bör regleras och om det finns skäl att separera den regleringen från polisdatalagstiftningen. En utgångspunkt för utredarens analys och bedömning ska vara att regleringen av Säkerhetspolisens person- uppgiftsbehandling nyligen har moderniserats och bedömts ända- målsenlig. Så långt det är lämpligt och möjligt ska principiella lös- ningar som är förenliga med gällande författningar och systematik eftersträvas om författningsförslag lämnas.

Utredaren ska

analysera och bedöma hur Säkerhetspolisens personuppgifts- behandling bör regleras och om regleringen bör separeras från den lagstiftning som gäller för Polismyndigheten, och

vid behov föreslå författningsändringar.

Konsekvensbeskrivningar

Utredaren ska bedöma de ekonomiska konsekvenserna av för- slagen. Om förslagen kan förväntas leda till kostnadsökningar för det allmänna ska utredaren föreslå hur dessa ska finansieras. Utredaren ska också redovisa förslagens konsekvenser för brotts- bekämpningen och för den personliga integriteten.

990

SOU 2017:74

Bilaga 1

Samråd och redovisning av uppdraget

Utredaren ska hålla sig väl informerad om och beakta relevant arbete som bedrivs inom Regeringskansliet, utredningsväsendet och EU. Vid anpassningen av svensk rätt till den nya EU-regle- ringen bör en enhetlig tolkning av regelverket eftersträvas. Utreda- ren ska därför följa och i lämplig omfattning samråda med utred- ningen som har i uppdrag att föreslå anpassningar på generell nivå som dataskyddsförordningen ger anledning till och Utredningen om tillsynen över den personliga integriteten.

Samråd är särskilt viktigt i processuella frågor och frågor som rör sanktioner, tillsynsmyndigheten och arkivering. Utredaren ska också, i den utsträckning det bedöms lämpligt, hålla sig informerad om och samråda med övriga utredningar som har i uppdrag att anpassa svensk rätt till reformen av EU:s dataskyddsregelverk. Under genomförandet av uppdraget ska utredaren även ha en dialog med och inhämta upplysningar från de myndigheter som kan vara berörda av aktuella frågor.

Utredaren är fri att ta upp och lämna förslag i näraliggande frågor som aktualiseras under utredningsuppdraget men som inte rör genomförandet av eller anpassningen av svensk rätt till EU:s dataskyddsreform.

Uppdraget att föreslå hur direktivet ska genomföras ska redo- visas genom ett delbetänkande senast den 1 april 2017 i den del det rör dels en ny ramlagstiftning för skydd av personuppgifter vid brottsbekämpning, brottmålshantering och straffverkställighet, dels tillsyn inom direktivets tillämpningsområde. Uppdraget ska slutredovisas senast den 30 september 2017.

(Justitiedepartementet)

991

Statens offentliga utredningar 2017

Kronologisk förteckning

1.För Sveriges landsbygder

–en sammanhållen politik för arbete, hållbar tillväxt och välfärd. N.

2.Kraftsamling för framtidens energi. M.

3.Karens för statsråd och statssekreterare. Fi.

4.För en god och jämlik hälsa. En utveckling av det folkhälsopolitiska ramverket. S.

5.Svensk social trygghet i en globaliserad värld. Del 1 och 2. S.

6.Se barnet! Ju.

7.Straffprocessens ramar och domstolens beslutsunderlag

i brottmål – en bättre hantering av stora mål. Ju.

8.Kunskapsläget på kärnavfallsområdet 2017. Kärnavfallet – en fråga i ständig förändring. M.

9.Det handlar om oss.

–unga som varken arbetar eller studerar. U.

10.Ny ordning för att främja god sed och hantera oredlighet i forskning. U.

11.Vägskatt. Volym 1 och 2. Fi.

12.Att ta emot människor på flykt. Sverige hösten 2015. Ju.

13.Finansiering av infrastruktur med privat kapital? Fi.

14.Migrationsärenden

vid utlandsmyndigheterna. Ju.

15.Kvalitet och säkerhet

på apoteksmarknaden. S.

16.Sverige i Afghanistan 2002–2014. UD.

17.Om oskuldspresumtionen och rätten att närvara vid rättegången. Genomförande av EU:s oskuldspresumtionsdirektiv. Ju.

18.En nationell strategi för validering. U.

19.Uppdrag: Samverkan. Steg på vägen mot fördjupad lokal samverkan

för unga arbetslösa. A.

20.Tillträde för nybörjare – ett öppnare och enklare system för tillträde till högskoleutbildning. U.

21.Läs mig! Nationell kvalitetsplan för vård och omsorg om äldre personer. Del 1 och 2. S.

22.Från värdekedja till värdecykel – så får Sverige en mer cirkulär ekonomi. M.

23.digitalforvaltning.nu. Fi.

24.Ett arbetsliv i förändring – hur påverkas ansvaret för arbetsmiljön? A.

25.Samlad kunskap – stärkt handläggning. S.

26.Delningsekonomi. På användarnas villkor. Fi.

27.Vissa frågor inom fastighets- och stämpelskatteområdet. Fi.

28.Ett nationellt centrum för kunskap om och utvärdering av arbetsmiljö. A.

29.Brottsdatalag. Ju

30.En omreglerad spelmarknad. Del 1 och 2. Fi.

31.Stärkt konsumentskydd

på bostadsrättsmarknaden. Ju.

32.Substitution i Centrum

–stärkt konkurrenskraft med kemikaliesmarta lösningar. M.

33.Stärkt ställning för hyresgäster. Ju.

34.Ekologisk kompensation – Åtgärder för att motverka nettoförluster av biologisk mångfald och ekosystem- tjänster, samtidigt som behovet av markexploatering tillgodoses. M.

35.Samling för skolan. Nationell strategi för kunskap och likvärdighet. U.

36.Informationssäkerhet för samhälls viktiga och digitala tjänster. Ju.

37.Kvalificerad välfärdsbrottslighet

–förebygga, förhindra, upptäcka och beivra. Ju.

38.Kvalitet i välfärden – bättre upphandling och uppföljning. Fi.

39.Ny dataskyddslag. Kompletterande bestämmelser till EU:s dataskydds förordning. Ju.

40.För dig och för alla. S.

41.Meddelarskyddslagen – fler verksam- heter med stärkt meddelarskydd. Ju.

42.Vem har ansvaret? M.

43.På lika villkor! Delaktighet, jämlikhet och effektivitet i hjälpmedelsförsörj- ningen. S.

44.Entreprenad, fjärrundervisning och distansundervisning. U.

45.Ny lag om företagshemligheter. Ju.

46.Stärkt ordning och säkerhet i domstol. Ju.

47.Nästa steg på vägen mot en mer jämlik hälsa. Förslag för ett långsiktigt arbete för en god och jämlik hälsa. S.

48.Kunskapsbaserad och jämlik vård. Förutsättningar för en lärande hälso- och sjukvård. S.

49.EU:s dataskyddsförordning och utbildningsområdet. U.

50.Personuppgiftsbehandling för forskningsändamål. U.

51.Utbildning, undervisning och ledning

– reformvård till stöd för en bättre skola. U.

52.Så stärker vi den personliga integriteten. Ju.

53.God och nära vård. En gemensam färdplan och målbild. S.

54.Fler nyanlända elever ska uppnå behörighet till gymnasiet. U.

55.En ny kamerabevakningslag. Ju.

56.Jakten på den perfekta ersättnings modellen. Vad händer med med arbetarnas handlingsutrymme? Fi.

57.Lag om flygpassageraruppgifter i brottsbekämpningen. Ju.

58.Amerikansk inresekontroll vid utresa från Sverige – så kan avtalen genom- föras. Ju.

59.Reglering av alkoglass m.fl. produkter. S.

60.Nästa steg? Förslag för en stärkt minoritetspolitik. Ku.

61.Villkorlig frigivning – förstärkta åtgärder mot återfall i brott. Ju.

62.Kärnavfallsrådets yttrande över SKB:s Fud-program 2016. M.

63.Miljötillsyn och sanktioner

–en tillsyn präglad av ansvar, respekt och enkelhet. M.

64.Detaljplanekravet. N.

65.Hyran vid nyproduktion

–en utvärdering och utveckling av modellen med presumtionshyra. Ju.

66.Dataskydd inom Socialdepartementets verksamhetsområde – en anpassning till EU:s dataskyddsförordning. S.

67.Våldsbejakande extremism. En forskarantologi. Ku.

68.Barnets rättigheter i ett straffrättsligt förfarande m.m. Genomförande av EU:s barnrättsdirektiv och två andra straffprocessuella frågor. Ju.

69.Marknadskontrollmyndigheter

–befogenheter och sanktionsmöjligheter. UD.

70.Förstärkt skydd för uppgifter

av betydelse för ett internationellt samarbete för fred och säkerhet som Sverige deltar i. Ju.

71.Bostäder på statens mark

–en möjlighet? N.

72.Genomförande av vissa straffrättsliga åtaganden för att förhindra och bekämpa terrorism. Ju.

73.En gemensam bild av bostads‑ byggnadsbehovet. N.

74.Brottsdatalag – kompletterande lagstiftning. Ju.

Statens offentliga utredningar 2017

Systematisk förteckning

Arbetsmarknadsdepartementet

Uppdrag: Samverkan. Steg på vägen mot fördjupad lokal samverkan för unga arbetslösa. [19]

Ett arbetsliv i förändring – hur påverkas ansvaret för arbetsmiljön? [24]

Ett nationellt centrum för kunskap om och utvärdering av arbetsmiljö. [28]

Finansdepartementet

Karens för statsråd och statssekreterare. [3] Vägskatt. Volym 1 och 2. [11]

Finansiering av infrastruktur med privat kapital? [13]

digitalforvaltning.nu. [23]

Delningsekonomi. På användarnas villkor. [26]

Vissa frågor inom fastighets- och stämpel- skatteområdet. [27]

En omreglerad spelmarknad. Del 1 och 2. [30]

Kvalitet i välfärden – bättre upphandling och uppföljning. [38]

Jakten på den perfekta ersättningsmodel- len. Vad händer med medarbetarnas handlingsutrymme? [56]

Justitiedepartementet

Se barnet! [6]

Straffprocessens ramar och domstolens beslutsunderlag i brottmål

– en bättre hantering av stora mål. [7]

Att ta emot människor på flykt. Sverige hösten 2015. [12]

Migrationsärenden

vid utlandsmyndigheterna.[14]

Om oskuldspresumtionen och rätten att närvara vid rättegången. Genomförande av EU:s oskuldspresumtionsdirektiv. [17]

Brottsdatalag. [29]

Stärkt konsumentskydd

på bostadsrättsmarknaden. [31] Stärkt ställning för hyresgäster. [33]

Informationssäkerhet för samhällsviktiga och digitala tjänster. [36]

Kvalificerad välfärdsbrottslighet

– förebygga, förhindra, upptäcka och beivra. [37]

Ny dataskyddslag. Kompletterande bestämmelser till EU:s dataskydds förordning. [39]

Meddelarskyddslagen – fler verksam- heter med stärkt meddelarskydd. [41]

Ny lag om företagshemligheter. [45] Stärkt ordning och säkerhet i domstol. [46] Så stärker vi den personliga integriteten. [52] En ny kamerabevakningslag. [55]

Lag om flygpassageraruppgifter i brotts- bekämpningen. [57]

Amerikansk inresekontroll vid utresa från Sverige – så kan avtalen genomföras. [58]

Villkorlig frigivning – förstärkta åtgärder mot återfall i brott. [61]

Hyran vid nyproduktion

– en utvärdering och utveckling av modellen med presumtionshyra. [65]

Barnets rättigheter i ett straffrättsligt förfarande m.m. Genomförande av EU:s barnrättsdirektiv och två andra straffprocessuella frågor. [68]

Förstärkt skydd för uppgifter av betydelse för ett internationellt samarbete för fred och säkerhet som Sverige deltar i. [70]

Genomförande av vissa straffrättsliga åtaganden för att förhindra och bekämpa terrorism. [72]

Brottsdatalag – kompletterande lagstiftning. [74]

Kulturdepartementet

Nästa steg? Förslag för en stärkt minoritetspolitik. [60]

Våldsbejakande extremism. En forskarantologi. [67]

Miljö- och energidepartementet

Kraftsamling för framtidens energi. [2]

Kunskapsläget på kärnavfallsområdet 2017. Kärnavfallet – en fråga i ständig förändring. [8]

Från värdekedja till värdecykel – så får Sverige en mer cirkulär ekonomi. [22]

Substitution i Centrum

– stärkt konkurrenskraft med kemikaliesmarta lösningar. [32]

Ekologisk kompensation – Åtgärder för att motverka nettoförluster av biologisk mångfald och ekosystemtjänster, sam- tidigt som behovet av markexploatering tillgodoses. [34]

Vem har ansvaret? [42]

Kärnavfallsrådets yttrande över SKB:s Fud-program 2016. [62]

Miljötillsyn och sanktioner

– en tillsyn präglad av ansvar, respekt och enkelhet. [63]

Näringsdepartementet

För Sveriges landsbygder

– en sammanhållen politik för arbete, hållbar tillväxt och välfärd. [1]

Detaljplanekravet. [64]

Bostäder på statens mark

– en möjlighet? [71]

En gemensam bild av bostadsbyggnads‑ behovet. [73]

Socialdepartementet

För en god och jämlik hälsa. En utveckling av det

folkhälsopolitiska ramverket. [4]

Svensk social trygghet i en globaliserad värld. Del 1 och 2.[5]

Kvalitet och säkerhet

på apoteksmarknaden. [15]

Läs mig! Nationell kvalitetsplan

för vård och omsorg om äldre personer. Del 1 och 2. [21]

Samlad kunskap – stärkt handläggning. [25] För dig och för alla. [40]

På lika villkor! Delaktighet, jämlikhet och effektivitet i hjälpmedelsförsörjningen. [43]

Nästa steg på vägen mot en mer jämlik hälsa. Förslag för ett långsiktigt arbete för en god och jämlik hälsa. [47]

Kunskapsbaserad och jämlik vård. Förutsättningar för en lärande hälso- och sjukvård. [48]

God och nära vård. En gemensam färdplan och målbild. [53]

Reglering av alkoglass m.fl. produkter. [59]

Dataskydd inom Socialdepartementets verksamhetsområde – en anpassning till EU:s dataskyddsförordning. [66]

Utbildningsdepartementet

Det handlar om oss.

– unga som varken arbetar eller studerar. [9]

Ny ordning för att främja god sed

och hantera oredlighet i forskning. [10] En nationell strategi för validering [18]

Tillträde för nybörjare – ett öppnare och enklare system för tillträde till hög skoleutbildning. [20]

Samling för skolan.

Nationell strategi för kunskap och likvärdighet. [35]

Entreprenad, fjärrundervisning och distansundervisning. [44]

EU:s dataskyddsförordning och utbildningsområdet. [49]

Personuppgiftsbehandling

för forskningsändamål.[50]

Utbildning, undervisning och ledning

– reformvård till stöd för en bättre skola. [51]

Fler nyanlända elever ska uppnå behörighet till gymnasiet. [54]

Utrikesdepartementet

Sverige i Afghanistan 2002–2014. [16]

Marknadskontrollmyndigheter

– befogenheter och

sanktionsmöjligheter. UD. [69]